Rechenschaftspflicht

Un ordinateur portable est mis au rebut, le disque dur est effacé, l’appareil est vendu. Quelques mois plus tard, l’autorité de contrôle ou un auditeur demande : comment avez-vous garanti que les données qu’il contenait ne sont plus lisibles ? Celui qui ne peut répondre que « c’est fait » a un problème. Cette entrée du glossaire explique l’obligation de rendre compte au titre du RGPD et montre quels justificatifs font partie de la mise au rebut de l’informatique.

Que dit l’art. 5 par. 2 du RGPD ?

L’art. 5 par. 1 du RGPD énonce les principes applicables à tout traitement de données à caractère personnel, par exemple la limitation des finalités, la minimisation des données, la limitation de la conservation ainsi que l’intégrité et la confidentialité. L’art. 5 par. 2 ajoute une phrase courte mais lourde de conséquences : le responsable du traitement est responsable du respect de ces principes et doit pouvoir le démontrer. Dans le texte anglais, cela s’appelle « accountability ».

Le responsable du traitement est celui qui décide des finalités et des moyens du traitement, en règle générale l’entreprise elle-même. L’art. 24 du RGPD précise l’obligation : le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées afin que le traitement soit conforme au RGPD, et doit pouvoir le démontrer. Ces mesures sont réexaminées et actualisées si nécessaire.

L’obligation de rendre compte n’est pas une disposition à part avec une liste de contrôle fixe. Elle agit comme une parenthèse autour de toutes les autres obligations. D’autres articles la concrétisent, par exemple le registre des activités de traitement (art. 30), la sécurité du traitement (art. 32) et la documentation des violations de données (art. 33 par. 5).

Que signifie l’obligation de rendre compte pour l’informatique mise au rebut ?

Un appareil sur lequel se trouvent des données à caractère personnel reste partie intégrante du traitement jusqu’à son effacement prouvé. Cela vaut pour les ordinateurs portables, PC, serveurs et smartphones, de même que pour les imprimantes dotées d’un disque dur ou les supports de stockage démontés. Les principes de limitation de la conservation et de confidentialité ne prennent donc pas fin avec le dernier jour de travail d’un appareil.

Trois questions pratiques en découlent, auxquelles vous devriez pouvoir répondre pour chaque appareil mis au rebut :

• De quel appareil s’agissait-il ? Identifié sans ambiguïté, idéalement par le numéro de série.
• Où se trouvait-il jusqu’à l’effacement ? Documenté sans rupture, du poste de travail jusqu’au prestataire. Cette suite documentée s’appelle Chaîne de traçabilité.
• Qu’est-il advenu des données ? Effacées ou détruites, avec quel procédé, quand et avec quel résultat.

Si vous mandatez un prestataire, vous restez responsable de rendre compte en tant que responsable du traitement. Le prestataire est en règle générale un sous-traitant, avec lequel vous concluez un contrat de sous-traitance . Ses rapports et certificats constituent alors vos justificatifs.

Obligations et justificatifs en un coup d’œil

Le tableau suivant associe les justificatifs typiques aux obligations du RGPD concernées par la mise au rebut de l’informatique.

Obligation	Base juridique	Justificatif typique lors de la mise au rebut
Respecter et démontrer les principes	Art. 5 par. 2, art. 24 du RGPD	Politique d’effacement, description du processus de mise au rebut
Sécurité du traitement	Art. 32 du RGPD	Mesures techniques et organisationnelles (TOM) du prestataire, transport sous scellés
Choisir soigneusement les sous-traitants	Art. 28 du RGPD	Contrat de sous-traitance, certificats, rapports d’audit
Limitation de la conservation et effacement	Art. 5 par. 1 point e), art. 17 du RGPD	Certificat d’effacement ou certificat de destruction par numéro de série
Documenter les violations de données	Art. 33 par. 5 du RGPD	Rapport d’écart si un appareil manque, et son évaluation

Le lien est important : les justificatifs individuels doivent concorder grâce à un identifiant commun. Un Certificat d'effacement sans numéro de série ne peut ensuite être rattaché à aucun appareil de votre parc.

Erreurs typiques

• Justificatifs globaux sans numéros de série : Une attestation portant sur « 3 palettes de ferraille informatique » ou un poids en kilogrammes ne prouve pas l’effacement de supports de données individuels.
• Réinitialisation d’usine considérée comme effacement : Une réinitialisation sans rapport n’est pas une preuve. Qu’elle suffise techniquement dépend de l’appareil.
• Remises non documentées : Des cartons sont enlevés sans que personne ne signe de liste d’appareils.
• Justificatifs qui se perdent : Les certificats se trouvent dans une boîte aux lettres que plus personne ne retrouve après un changement de personnel.
• Absence de vérification du prestataire : Il n’y a ni contrat ni aperçu de ses mesures. Des conseils pour le choix figurent dans notre guide Choisir un prestataire ITAD.

Les violations des principes de l’art. 5 du RGPD font partie des cas pour lesquels l’art. 83 par. 5 du RGPD prévoit le niveau d’amende supérieur : jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Cette entrée ne remplace pas un conseil juridique. Pour votre cas particulier, adressez-vous à votre déléguée ou délégué à la protection des données.

Exemple pratique : 40 ordinateurs portables de la comptabilité

Un exemple simplifié montre à quoi ressemble la responsabilité au quotidien. Une entreprise remplace 40 ordinateurs portables de la comptabilité. Les appareils contiennent des données de paie et des données clients.

1. Le service informatique établit une liste d’appareils avec numéro de série, modèle et numéro d’inventaire et la remet au prestataire.
2. Lors de l’enlèvement, les appareils sont placés sous scellés. Un procès-verbal de remise indique le nombre et les numéros de scellés et est signé.
3. À la réception des marchandises, le prestataire rapproche les numéros de série de la liste. Les 40 appareils sont tous présents.
4. Chaque appareil est effacé. Pour chaque numéro de série, un certificat d’effacement indiquant le procédé, la date et le résultat est établi.
5. Le service informatique classe ensemble la liste d’appareils, le procès-verbal de remise et les certificats, et consigne l’opération dans la politique d’effacement.

Si un auditeur pose ultérieurement la question, chacun des 40 appareils peut être justifié en quelques minutes. Les informations que doit contenir un tel justificatif sont décrites dans notre guide Certificat de destruction et rapport d'effacement. Comment l’ensemble du processus peut être rendu conforme au RGPD, vous le lirez dans Éliminer les supports de données en conformité avec le RGPD.

Obligation de rendre compte chez Second IT

Second IT fournit les justificatifs dont vous avez besoin pour votre obligation de rendre compte. Le matériel est enlevé avec notre propre logistique sécurisée : trajets directs sans entrepôt intermédiaire, suivi GPS, scellés inviolables et transport assuré. À la réception des marchandises, tous les appareils sont contrôlés quant à leurs supports de stockage et enregistrés par numéro de série. Le traitement a lieu dans des zones à contrôle d’accès et sous vidéosurveillance, et les collaborateurs sont tenus au secret des données.

L’effacement est réalisé avec Blancco, y compris dans les zones cachées comme HPA et DCO. Chaque appareil reçoit un certificat d’effacement signé numériquement. Les supports de données qui ne peuvent pas être effacés sont détruits en interne conformément à DIN 66399 au niveau de sécurité H-5 et documentés par un certificat de destruction. Rapports d’audit et suivi en direct sont disponibles dans le portail client. Pour en savoir plus sur les mesures de protection, consultez Sécurité des données chez Second IT.

Distinction avec les termes voisins

L’obligation de rendre compte est le principe général. Les mesures techniques et organisationnelles (TOM) sont les dispositifs de protection concrets par lesquels vous le respectez. Un Audit de protection des données vérifie si les mesures et les justificatifs sont suffisants. Le Rapport d’effacement et le certificat d’effacement sont des justificatifs individuels au sein de ce système.

Questions fréquentes sur l’obligation de rendre compte

Que signifie l’obligation de rendre compte dans le RGPD ?

Elle oblige les entreprises à pouvoir démontrer le respect des principes de protection des données (art. 5 par. 2 du RGPD). Il ne suffit donc pas de traiter et d’effacer correctement les données. Vous devez pouvoir prouver, sur demande, que vous l’avez fait et comment.

Existe-t-il un modèle indiquant quels documents me sont nécessaires ?

Le RGPD ne donne pas de liste fixe. Sont courants un registre des activités de traitement, une politique d’effacement, des descriptions des mesures techniques et organisationnelles, des contrats avec les sous-traitants et, pour la mise au rebut, des justificatifs d’effacement ou de destruction par numéro de série.

Suis-je aussi responsable lorsqu’un prestataire efface ?

Oui. Le prestataire agit en tant que sous-traitant pour votre compte. Vous devez le choisir avec soin, conclure un contrat conformément à l’art. 28 du RGPD et conserver les justificatifs qu’il vous fournit.

Combien de temps dois-je conserver les justificatifs d’effacement ?

Le RGPD ne prévoit pas de durée fixe pour les justificatifs d’effacement. Conservez-les aussi longtemps que vous devez vous attendre à des demandes d’autorités, d’auditeurs ou de personnes concernées. Fixez la durée dans votre politique d’effacement et coordonnez-la avec votre conseil en protection des données.

Obligation de rendre compte ou TOM : quelle est la différence ?

L’obligation de rendre compte est le principe général. Les mesures techniques et organisationnelles (TOM) sont les dispositifs de protection concrets par lesquels vous le respectez. Un audit de protection des données vérifie si les mesures et les justificatifs sont suffisants. Le rapport d’effacement et le certificat d’effacement sont des justificatifs individuels.