Chain of Custody

Lorsque des ordinateurs portables, serveurs ou disques durs mis au rebut quittent vos locaux, une question simple se pose : pouvez-vous prouver, pour chaque appareil, où il se trouvait jusqu’à ce que les données soient effacées ou détruites de manière vérifiable ? C’est exactement ce que permet une chain of custody. Cette entrée du glossaire explique le terme, présente les différents maillons de la chaîne et indique les points où elle se rompt le plus souvent dans la pratique.

Que signifie chain of custody ?

Le terme vient de la police scientifique : une pièce à conviction n’est recevable devant un tribunal que si l’on peut montrer sans interruption qui l’a eue en main depuis sa saisie. Le terme a ensuite été repris dans d’autres domaines, par exemple dans la certification des chaînes d’approvisionnement de produits en bois et en papier.

In der IT Asset Disposition (ITAD), also der geordneten Ausmusterung von IT-Hardware, bedeutet Chain of Custody: Jedes Gerät und jeder Datenträger ist von der Bestandsaufnahme beim Kunden bis zum Abschluss eindeutig identifizierbar. Jede Übergabe ist mit Zeitpunkt, beteiligten Personen und Zustand dokumentiert. Am Ende steht für jede Seriennummer ein Nachweis, was mit ihr geschehen ist.

Pourquoi la chain of custody compte lors de la mise au rebut informatique

Un ordinateur portable mis au rebut n’est pas de la ferraille, mais un support de données contenant des données de clients, de personnel ou d’entreprise. Tant que ces données ne sont pas effacées, les mêmes obligations de protection s’appliquent à l’appareil qu’en exploitation courante. Le RGPD exige que vous puissiez démontrer le respect des principes de protection des données (Obligation de rendre compte, art. 5, § 2 du RGPD) et que les données à caractère personnel soient protégées par des mesures techniques et organisationnelles appropriées (art. 32 du RGPD).

Si un appareil disparaît entre le bureau et le prestataire, il peut s’agir d’une violation de données à notifier. Selon l’art. 33 du RGPD, elle doit en règle générale être notifiée à l’autorité de contrôle dans les meilleurs délais et si possible dans un délai de 72 heures. Sans chain of custody, vous ne sauriez même pas, en cas de problème, à quel endroit l’appareil a été perdu.

Si vous confiez l’effacement ou la destruction à un prestataire, celui-ci est en règle générale un sous-traitant. La chaîne de traçabilité documentée constitue alors la preuve qu’il met effectivement en œuvre les mesures convenues.

Les maillons de la chaîne

Une chain of custody se compose de plusieurs maillons. Chaque maillon nécessite sa propre preuve, et toutes les preuves doivent concorder grâce à un identifiant unique, le plus souvent le numéro de série.

Maillon	Ce qui est documenté	Preuve typique
Inventaire	Quels appareils sont mis au rebut : type, fabricant, modèle, numéro de série, le cas échéant asset tag	Liste d’inventaire ou liste d’appareils
Emballage	Quels appareils se trouvent dans quel conteneur, numéro du scellé	Aperçu du contenu, numéro de scellé
Remise	Qui a remis à qui et quand, nombre de conteneurs	Procès-verbal de remise signé
Transport	Véhicule, itinéraire, période, arrêts intermédiaires	Données de trajet et de géolocalisation, documents de transport
Réception des marchandises	État des scellés, comparaison des numéros de série avec la liste, écarts	Procès-verbal de réception, rapport d’écart
Suppression ou destruction	Procédé, résultat et horodatage pour chaque support de données	Certificat d’effacement ou certificat de destruction pour chaque numéro de série
Valorisation	Revente, récupération de pièces détachées ou recyclage	Preuve de valorisation ou d’élimination

Ce qui compte, c’est le rapprochement : les numéros de série de l’inventaire doivent se retrouver à la réception et dans la preuve d’effacement ou de destruction. Ce qui manque dans un maillon doit être remarqué immédiatement et clarifié.

Comment reconnaître une chain of custody fiable

• Identifiant unique pour chaque appareil : Les preuves mentionnent des numéros de série, pas seulement des quantités ou un poids.
• Aucune étape intermédiaire non documentée : Chaque changement de lieu est consigné. Les transports directs sans entrepôt intermédiaire raccourcissent la chaîne.
• Fermetures inviolables : Les conteneurs sont fermés avec des scellés de sécurité numérotés dont les numéros figurent dans le procès-verbal.
• Comparaison théorique/réel à la réception : Le prestataire compare les appareils livrés avec votre liste et signale les écarts.
• Traitement protégé : Contrôle d’accès et vidéosurveillance là où les supports de données attendent l’effacement ou la destruction.
• Preuves que vous pouvez consulter : Les procès-verbaux et certificats sont à votre disposition et peuvent encore être rattachés à un appareil des années plus tard.
• Règles claires pour les sous-traitants : Si une partie de la chaîne est confiée à des tiers, les mêmes exigences s’y appliquent.

Lacunes typiques dans la pratique

• Les anciens appareils restent des semaines dans des cartons ouverts dans le couloir ou à la cave.
• Un coursier enlève des cartons sans que personne ne signe de liste d’appareils.
• Les disques durs démontés sont collectés séparément de l’appareil, mais sans liste propre de numéros de série.
• La preuve de destruction n’indique qu’un poids, pas de numéros de série.

Exemple : 120 ordinateurs portables d’un site

Un exemple simplifié montre comment la chaîne aide au quotidien. Une entreprise met au rebut 120 ordinateurs portables sur un site. Le service informatique établit une liste d’inventaire avec numéros de série et la transmet à l’avance au prestataire.

1. Lors de l’enlèvement, les appareils sont emballés dans des conteneurs et scellés. Le procès-verbal de remise indique 120 appareils et les numéros de scellés.
2. À la réception, les scellés sont intacts. Le rapprochement ne donne toutefois que 119 numéros de série.
3. L’écart est signalé immédiatement. Le contrôle interne montre qu’un appareil se trouvait encore en télétravail chez un collaborateur et avait figuré par erreur sur la liste.
4. Au final, des certificats d’effacement par numéro de série sont disponibles pour les 119 appareils. L’appareil manquant est livré ultérieurement et documenté séparément.

Sans chain of custody, la lacune n’aurait peut-être été remarquée que des mois plus tard lors d’un audit, et personne n’aurait pu dire où était passé l’appareil.

La chain of custody chez Second IT

Second IT enlève le matériel avec sa propre Logistique de sécurité : trajets directs sans entrepôt intermédiaire, suivi GPS, scellement inviolable et transport assuré. Selon les CGV, tous les supports de données sont scellés lors de la logistique sécurisée, et le descellement n’a lieu que dans nos locaux à Schwäbisch Hall.

À la réception, tous les appareils livrés sont contrôlés pour détecter des supports de stockage, y compris des clés USB oubliées ou des supports cachés, et enregistrés par numéro de série. Le traitement a lieu dans des zones avec contrôle d’accès et vidéosurveillance. Chaque appareil est effacé avec Blancco et reçoit un Certificat d'annulation par appareilsigné numériquement. Les supports de données qui ne peuvent pas être effacés sont détruits sur place selon la norme DIN 66399 (jusqu’au niveau de sécurité H-5 et E-5) et documentés par un certificat de destruction. Des rapports d’audit et le suivi en direct sont disponibles dans le portail client.

Si vous envoyez vous-même des appareils, scellez par exemple un PELI Case avec deux scellés de haute sécurité conformes à ISO 17712 et faites accuser réception de la remise sur votre exemplaire du procès-verbal de remise.

Distinction avec les termes voisins

Un Certificat d'effacement ne prouve que le dernier maillon de la chaîne, à savoir l’effacement d’un support de données. La chain of custody couvre tous les maillons précédents. Une piste d’audit, quant à elle, est la journalisation technique des actions dans un système. Elle peut faire partie de la chain of custody, mais ne remplace pas les preuves des remises physiques. Notre guide explique ce que doivent contenir un certificat de destruction et un rapport d’effacement Certificat de destruction et rapport d'effacement. Ce à quoi il faut veiller lors du choix d’un prestataire est expliqué dans Choisir un prestataire ITAD.

Questions fréquentes sur la chain of custody

Que signifie chain of custody en allemand ?

On utilise couramment « Verwahrkette » ou « Beweismittelkette ». Il s’agit de la documentation ininterrompue de qui avait un objet en garde, quand, où et dans quel état. Lors de la mise au rebut informatique, le terme se rapporte aux appareils et supports de données jusqu’à l’effacement, la destruction ou la valorisation.

Une chain of custody est-elle exigée par la loi ?

Aucune loi n’emploie expressément ce terme. Le RGPD vous oblige toutefois à protéger de manière appropriée les données à caractère personnel et à en démontrer le respect (art. 5, § 2 et art. 32 du RGPD). Une chaîne de traçabilité documentée est le moyen pratique d’apporter cette preuve pour les supports de données mis au rebut.

Quels documents font partie d’une chain of custody ?

On trouve typiquement une liste d’inventaire avec numéros de série, l’aperçu du contenu des conteneurs avec les numéros de scellés, un procès-verbal de remise signé, les données de transport, le procès-verbal de réception avec comparaison théorique/réel ainsi que des certificats d’effacement ou de destruction par numéro de série. Pour la valorisation s’ajoutent des preuves d’élimination ou de recyclage.

Que faire s’il manque un appareil à la réception ?

L’écart doit être signalé immédiatement et documenté avec le numéro de série. Vérifiez en interne si l’appareil a bien été remis. Si l’on ne parvient pas à établir où il se trouve et qu’il contenait des données à caractère personnel, évaluez avec votre délégué à la protection des données si une notification au titre de l’art. 33 du RGPD est nécessaire.

Un certificat d’effacement est-il identique à une chain of custody ?

Non. Un certificat d’effacement ne prouve que le dernier maillon de la chaîne, à savoir l’effacement d’un support de données. La chain of custody couvre tous les maillons précédents, de l’inventaire à la réception en passant par la remise et le transport. Une piste d’audit ne remplace pas les preuves des remises physiques.