Effacement sécurisé des données : méthode et preuve

Le 8 janvier 2026, la CNIL a infligé 27 millions d’euros d’amende à FREE MOBILE (délibération SAN-2026-001). Parmi les manquements retenus figure celui de l’article 5(1)(e) : la société conservait les données de plus de quinze millions de contrats résiliés depuis plus de cinq ans, dont trois millions depuis plus de dix ans. Ce qui frappe dans cette décision, c’est que l’entreprise avait bien défini ses durées de conservation. Elle avait même lancé un projet de purge en 2023. Elle n’avait simplement jamais réussi à l’exécuter.

C’est le point aveugle de la conformité RGPD française : tout le monde sait rédiger une politique de conservation, presque personne ne sait démontrer qu’il supprime réellement.

Ce que le droit exige exactement

Quatre textes se combinent, et il faut les distinguer parce qu’ils ne portent pas sur la même chose.

L’article 5(1)(e) impose que les données soient conservées « pendant une durée n’excédant pas celle nécessaire au regard des finalités ». C’est une obligation de résultat sur l’échéance : passé le terme, la donnée ne doit plus exister sous forme identifiante. La formation restreinte l’a rappelé sans détour dans SAN-2026-001 : les difficultés techniques « n’exonèrent pas la société de sa responsabilité de s’assurer du tri ou de la suppression des données aux échéances de leurs durées de conservation telles qu’elle les a elle-même définies ». Vous êtes tenu par vos propres délais.

L’article 17 ouvre le droit à l’effacement au bénéfice de la personne concernée, et l’article 19 vous oblige à notifier cet effacement à chaque destinataire à qui les données ont été communiquées. Deux obligations distinctes, souvent confondues dans les procédures que j’audite.

L’article 32(1) impose des mesures de sécurité appropriées, et son paragraphe 2 vise expressément le risque de « divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière ». Un disque dur revendu sans effacement est exactement ce cas de figure.

L’article 28(3)(g) ferme le dispositif côté sous-traitance : au terme de la prestation, le sous-traitant doit, selon le choix du responsable de traitement, supprimer ou renvoyer les données, et détruire les copies existantes. C’est cette dernière incise que les contrats oublient de reprendre.

À cela s’ajoute la doctrine de la CNIL. Sa fiche « Encadrer la maintenance et la fin de vie des matériels et logiciels », mise à jour le 14 mars 2024 dans le Guide de la sécurité des données personnelles, formule trois précautions élémentaires et un interdit explicite : ne pas « réutiliser, revendre ou jeter des supports ayant contenu des données personnelles sans que les données n’aient été supprimées de façon sécurisée ». Elle recommande de rédiger une procédure de suppression sécurisée et d’utiliser des logiciels d’effacement audités ou certifiés — l’ANSSI délivre des certifications de sécurité de premier niveau (CSPN) à ce type d’outils.

Pour les entités soumises à NIS2, l’article 21(2)(e) range « la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information » parmi les mesures minimales exigées : la fin de vie du matériel en fait partie. Voir notre guide sur les 12 mesures de sécurité exigées par la CNIL et l’analyse de l’article 32 du RGPD.

Les trois issues possibles à l’échéance

À la fin de la durée de conservation, une donnée n’a que trois sorties légitimes. Confondre les trois est l’erreur d’architecture la plus fréquente.

Issue	Ce que c’est	Quand la retenir	Statut RGPD
Suppression	Destruction effective de la donnée sur tous les supports, y compris les sauvegardes	Aucune obligation légale ni besoin probatoire ne justifie la conservation	La donnée sort du champ du RGPD
Anonymisation	Transformation irréversible empêchant toute réidentification	Besoin statistique ou analytique durable	La donnée sort du champ du RGPD, mais le processus reste un traitement
Archivage intermédiaire	Conservation en base séparée, accès restreint aux seules personnes habilitées, durée bornée	Obligation légale (comptable, sociale, fiscale) ou intérêt précontentieux	La donnée reste dans le champ du RGPD

L’archivage intermédiaire n’est pas une zone grise où l’on repousse indéfiniment la décision. La CNIL en a une définition stricte : base logiquement ou physiquement distincte de la base active, habilitations restreintes, durée déterminée, et tri préalable. C’est précisément ce tri qui manquait dans l’affaire FREE MOBILE : la société n’avait pas mis en place de mécanisme permettant de sélectionner, parmi les données d’un ancien abonné, celles qui étaient réellement nécessaires aux obligations comptables de l’article L. 123-22 du code de commerce. Elle conservait tout, pendant dix ans.

Le détail le plus instructif de la décision porte d’ailleurs sur ce tri. La société avait décidé, en cours de procédure, de conserver l’IBAN de ses anciens abonnés au titre de la facturation. La formation restreinte a relevé que l’annexe de l’arrêté du 31 décembre 2013 relatif aux factures des services de communications électroniques ne vise pas l’IBAN, et que ce tri n’était donc pas conforme. Autrement dit : « obligation comptable » n’est pas un blanc-seing sur l’ensemble de la fiche client.

Sur l’anonymisation, attention au niveau d’exigence. Un pseudonyme, un hachage ou une suppression du nom ne suffisent pas. Le critère de référence reste celui de l’avis 05/2014 du G29 : le résultat doit résister à l’individualisation, à la corrélation et à l’inférence. Tant que ces trois risques subsistent, vous avez pseudonymisé, pas anonymisé — et le RGPD continue de s’appliquer. Voir notre comparatif pseudonymisation et anonymisation et le guide pratique pour anonymiser des données personnelles.

Effacer n’est pas supprimer : les trois niveaux d’effacement

Le vocabulaire courant entretient une confusion coûteuse. Vider la corbeille ne supprime rien : le système d’exploitation se contente de retirer l’entrée du répertoire et de marquer les blocs comme réutilisables. Les données restent intégralement lisibles avec un outil de récupération gratuit. Un formatage rapide ne fait pas mieux.

La référence technique universellement admise est le NIST SP 800-88, Guidelines for Media Sanitization, dont la révision 2 a remplacé la révision 1 en septembre 2025. Elle distingue trois niveaux :

• Clear — réécriture logique via les interfaces standard du support. Résiste à une récupération logicielle, pas à une analyse en laboratoire. Suffisant pour une réaffectation interne du matériel.
• Purge — commande d’effacement matériel intégrée au support (ATA Secure Erase, NVMe Sanitize) ou démagnétisation. Rend la récupération infaisable, y compris en laboratoire. C’est le niveau à retenir dès que le matériel sort du périmètre de l’organisation.
• Destroy — destruction physique du support par broyage, déchiquetage ou incinération. Le support n’est plus réutilisable.

Le choix ne dépend pas du niveau de sensibilité seul, mais du croisement entre la sensibilité des données et la destination du support. Un poste reconditionné pour un autre salarié n’appelle pas le même traitement qu’un poste revendu à un broker.

Support	Réaffectation interne	Sortie de l’organisation	Données sensibles (art. 9)
Disque dur magnétique (HDD)	Réécriture 1 passe	Purge : réécriture 1 passe vérifiée ou démagnétisation	Démagnétisation puis broyage
SSD / NVMe	Chiffrement intégral + effacement cryptographique	Purge : commande sanitize native, vérifiée	Broyage physique (fragments ≤ 2 mm)
Smartphone / tablette	Réinitialisation d’usine sur appareil chiffré	Réinitialisation d’usine + suppression du compte de gestion (MDM)	Broyage
Bande LTO	Réécriture	Démagnétisation	Broyage
Support optique (CD, DVD)	Sans objet	Déchiquetage	Déchiquetage niveau élevé
Papier	Sans objet	Broyeur coupe croisée	Broyeur haute sécurité + collecte tracée
Volume cloud / SaaS	Suppression applicative	Effacement cryptographique et attestation du prestataire	Idem + vérification contractuelle du délai

Sur la réécriture, un mot pour clore un débat qui n’a plus lieu d’être : les schémas à trente-cinq passes hérités des années 1990 sont sans objet sur les densités d’enregistrement actuelles. Une passe correctement vérifiée suffit sur un disque magnétique moderne. Ce qui compte n’est pas le nombre de passes, c’est la vérification de l’effacement et sa traçabilité.

Le cas particulier des SSD

Les SSD sont le principal piège technique, et c’est là que la plupart des procédures internes échouent.

Un SSD ne réécrit pas en place. Le contrôleur répartit les écritures sur l’ensemble des cellules (wear leveling) et conserve une réserve de blocs invisible au système d’exploitation (over-provisioning), qui représente couramment 7 à 28 % de la capacité physique. Une réécriture logicielle classique ne touche donc pas ces zones : des fragments de données restent physiquement présents, récupérables par lecture directe des puces NAND.

Trois approches valides :

1. La commande native du support — ATA Secure Erase pour les SSD SATA, NVMe Format NVM ou Sanitize pour les NVMe. Le contrôleur efface l’intégralité des cellules, réserve comprise. Encore faut-il que le firmware l’implémente correctement : certains modèles grand public ont documenté la commande sans la mettre en œuvre. Vérifiez le résultat. La révision 2 du NIST SP 800-88 renvoie sur ce point à la norme IEEE 2883:2022, qui décrit les techniques d’assainissement propres aux supports flash.
2. L’effacement cryptographique — si le support était chiffré intégralement dès sa mise en service (BitLocker, FileVault, LUKS, ou chiffrement matériel SED), détruire la clé rend l’ensemble illisible en quelques secondes. C’est la méthode la plus fiable et la plus rapide, mais elle suppose que le chiffrement ait été activé avant l’écriture des données. Elle ne se rattrape pas après coup. Une raison de plus de généraliser le chiffrement des postes de travail.
3. Le broyage — pour les données sensibles au sens de l’article 9, ou lorsque le support est défaillant et n’accepte plus de commande.

La démagnétisation, elle, est inefficace sur un SSD : la mémoire flash ne stocke pas l’information magnétiquement. Un dégausseur sur un SSD ne fait rien du tout. J’ai vu cette erreur dans des procédures rédigées par des prestataires sérieux.

Le point aveugle : les sauvegardes

C’est le sujet sur lequel je vois le plus d’organisations se croire conformes à tort. Vous purgez la base de production, la donnée disparaît de l’application, et elle reste dans quatorze jeux de sauvegarde, dans le réplica de reprise d’activité et dans l’export mensuel déposé sur un partage réseau.

Le problème est réel : une purge sélective à l’intérieur d’une sauvegarde est techniquement absurde. Restaurer, purger, resauvegarder détruirait l’intégrité de la chaîne et contredirait l’article 32(1)©, qui impose de pouvoir rétablir la disponibilité des données. Le CEPD et la CNIL admettent donc une approche pragmatique, mais elle doit être documentée :

• La donnée est supprimée immédiatement en base active et dans tous les systèmes d’exploitation courante.
• Elle subsiste dans les sauvegardes jusqu’à l’expiration naturelle du cycle de rotation, avec une durée de rétention des sauvegardes courte et écrite — trois mois est un ordre de grandeur défendable pour la plupart des activités, un an devient difficile à justifier.
• Un mécanisme documenté empêche la réintroduction : toute restauration déclenche un rejeu du script de purge sur les enregistrements dont la durée est échue. C’est ce point, et non la présence de la donnée dans le backup, qui fait la différence en contrôle.
• L’accès aux sauvegardes est restreint aux administrateurs habilités et journalisé.

Si vous appliquez la règle de sauvegarde 3-2-1, documentez la durée de rétention de chacune des trois copies. Une copie hors ligne conservée « par précaution » depuis 2019 est un passif, pas une sécurité.

Cloud et sous-traitants : l’effacement que vous ne maîtrisez pas

Dès que la donnée est chez un tiers, vous ne pouvez plus effacer vous-même. Vous ne pouvez qu’exiger et vérifier. L’article 28(3)(g) vous donne le levier contractuel ; encore faut-il l’écrire correctement dans le DPA.

Les cinq clauses que je vérifie systématiquement dans un contrat de sous-traitance :

• Le choix entre suppression et restitution appartient au responsable de traitement, pas au prestataire. Un contrat qui prévoit une suppression automatique à J+30 sans possibilité de récupération est non conforme.
• Le délai d’exécution est chiffré. « Dans un délai raisonnable » ne s’oppose à personne. Trente jours après la fin du contrat est un standard tenable.
• Les copies sont visées expressément : sauvegardes, environnements de recette, réplicas géographiques, exports de support.
• Les sous-traitants ultérieurs sont couverts par la même obligation, en cascade.
• La preuve est due : attestation de suppression datée, signée, identifiant les périmètres traités.

Sur le plan technique, les grands fournisseurs cloud pratiquent l’effacement cryptographique : ils détruisent les clés de chiffrement du volume plutôt que de réécrire les cellules physiques, mutualisées entre clients. C’est une méthode acceptable, à condition qu’elle soit documentée dans la fiche technique du service et que le délai de propagation soit connu. Demandez-le par écrit lors de la sélection du prestataire ; c’est un critère d’audit au même titre que la localisation des données. Voir notre guide sur les obligations de sécurité du cloud et sur la qualification SecNumCloud.

Cas fréquent et mal traité : la réparation d’un poste sous garantie. Le disque part chez le constructeur avec les données. La CNIL vise expressément l’envoi en réparation chez un tiers dans sa fiche de mars 2024. Deux options praticables : retirer le disque avant expédition (et l’accepter comme non couvert par la garantie), ou avoir chiffré le poste dès l’origine. La seconde est la seule qui passe à l’échelle.

Destruction physique : ce que doit contenir la prestation

Quand vous externalisez la destruction, vous restez responsable de traitement. Le broyeur est votre sous-traitant au sens de l’article 28.

La norme technique de référence est l’ISO/IEC 21964 (issue de la norme allemande DIN 66399), qui croise deux dimensions : la catégorie de support et le niveau de sécurité. Les catégories utiles en pratique : P pour le papier, O pour les supports optiques, T pour les supports magnétiques type bandes, E pour les supports électroniques (puces, clés USB, SSD), H pour les disques durs. Les niveaux vont de 1 à 7, du plus grossier au plus fin. Pour des données personnelles courantes, le niveau 4 ou 5 est l’usage ; pour des données de santé ou des données sensibles au sens de l’article 9, on vise 6 ou 7. La norme NF EN 15713:2023 encadre pour sa part l’organisation de la prestation de destruction sécurisée : chaîne de garde, habilitation du personnel, sécurisation des locaux et des véhicules.

Ce que vous devez exiger dans le contrat :

• La destruction sur site ou le transport en véhicule scellé, avec chaîne de garde documentée.
• Le délai maximal entre l’enlèvement et la destruction. Un conteneur qui attend trois semaines dans un entrepôt est une violation de données en puissance.
• Le certificat de destruction nominatif : date, lieu, méthode, niveau de sécurité atteint, inventaire des supports avec numéros de série, identité du destructeur.
• La possibilité d’assister à l’opération, au moins par échantillonnage annuel. Faites-le une fois : c’est instructif.
• L’articulation avec la filière DEEE, qui impose ses propres bordereaux de suivi. Ne confondez pas le bordereau de déchets, qui prouve l’élimination du matériel, avec le certificat de destruction, qui prouve l’élimination des données. Le premier ne vaut pas le second.

La preuve : ce que vous devez pouvoir produire

L’article 5(2) fait peser sur vous la charge de démontrer la conformité. En matière d’effacement, cela signifie cinq pièces.

1. Une procédure écrite de suppression sécurisée. La CNIL la demande explicitement. Elle décrit, par catégorie de support et par destination, la méthode retenue, l’outil utilisé, le responsable de l’opération et la preuve produite. Deux pages suffisent si elles sont précises.

2. Un registre des destructions. Une ligne par opération : date, support, numéro de série ou identifiant du jeu de données, méthode, opérateur, référence du certificat. C’est la pièce que l’on vous demandera en premier.

3. Les journaux d’exécution des purges automatisées. Pour les suppressions en base, l’équivalent du certificat est le log applicatif : date d’exécution, requête, volumétrie traitée, résultat. C’est cette trace, plus qu’un tableau de durées, qui démontre que la politique s’applique réellement. Dans SAN-2026-001, l’entreprise disposait d’une politique de conservation parfaitement rédigée ; ce sont les constatations en base qui ont établi le manquement.

4. Les certificats des prestataires. Destruction physique, effacement cloud, fin de contrat SaaS. Classés et rattachés au traitement concerné dans votre registre.

5. La trace des refus et des exceptions. Quand une suppression n’a pas été exécutée — contrainte technique, litige en cours, obligation légale concurrente —, écrivez-le et datez-le. Une exception documentée et bornée dans le temps se défend. Un reliquat non expliqué, non. Rappelons que dans l’affaire FREE MOBILE, le reliquat de 16 238 comptes non supprimés au jour de la séance a été relevé contre la société.

Ces pièces ont vocation à rejoindre votre registre des activités de traitement et votre documentation d’accountability. Et n’oubliez pas d’y faire figurer les durées de conservation elles-mêmes : voir notre tableau des durées de conservation et notre modèle de politique de conservation.

Procédure d’effacement en huit étapes

1. Cartographier les emplacements réels de chaque donnée. Base de production, réplicas, sauvegardes, environnements de test, exports plats, boîtes mail, postes locaux, prestataires. Une purge qui ne couvre pas les sept emplacements n’est pas une purge. C’est l’étape la plus longue, et celle qu’on saute le plus souvent.
2. Fixer et écrire la durée par finalité, pas par catégorie de données. Une même adresse e-mail peut relever de trois durées différentes selon qu’elle sert à la facturation, à la prospection ou au support.
3. Définir l’issue à l’échéance pour chaque jeu : suppression, anonymisation ou archivage intermédiaire — avec le tri associé.
4. Choisir la méthode par support et par destination, en s’appuyant sur la grille Clear / Purge / Destroy.
5. Automatiser la purge en base, avec journalisation. Une purge manuelle trimestrielle finit par ne plus être faite ; c’est mécanique.
6. Traiter le cas des sauvegardes : rétention courte, écrite, et mécanisme anti-réintroduction après restauration.
7. Encadrer les tiers : clause article 28(3)(g) complète, délais chiffrés, attestations exigibles.
8. Contrôler par échantillonnage. Une fois par an, prenez cinq personnes dont la durée est échue depuis six mois et cherchez leurs données partout. C’est le test qui révèle les emplacements oubliés — et c’est exactement ce que fait une délégation de contrôle de la CNIL. Notre guide sur l’audit de sécurité informatique détaille la méthode.

Cinq erreurs qui reviennent systématiquement

Confondre la politique et l’exécution. Rédiger un tableau de durées de conservation ne supprime aucune donnée. C’est l’enseignement central de SAN-2026-001. Si vous ne devez retenir qu’une chose, retenez celle-là.

Oublier les copies périphériques. Les exports Excel envoyés par e-mail, les extractions déposées sur un partage, les bases de recette alimentées avec des données de production. Sur ce dernier point : une base de test alimentée avec des données réelles est un traitement à part entière, avec sa propre durée de conservation. Utilisez des jeux de données synthétiques ou anonymisés.

Traiter un SSD comme un disque dur. Réécriture inefficace sur les zones réservées, démagnétisation totalement inopérante. Deux erreurs qui laissent des données récupérables sur un matériel réputé effacé.

Se contenter du bordereau DEEE. Il prouve que le matériel a été éliminé conformément à la réglementation environnementale. Il ne dit rien de l’effacement des données. Exigez les deux documents.

Ne pas dater les preuves. Un certificat de destruction sans date, un log sans horodatage, une attestation prestataire sans périmètre : ces pièces ne démontrent rien. La datation est ce qui transforme un document en preuve.

Ce qu’il faut retenir

• L’article 5(1)(e) est une obligation de résultat sur l’échéance. La CNIL l’a confirmé dans SAN-2026-001 (8 janvier 2026, 27 M€) : les contraintes techniques n’exonèrent pas de la suppression aux durées que l’organisme a lui-même fixées.
• Trois issues seulement à l’échéance : suppression, anonymisation irréversible, ou archivage intermédiaire après tri. L’archivage sans tri préalable est un manquement, pas une solution d’attente.
• La méthode dépend du couple sensibilité × destination, selon la grille Clear / Purge / Destroy du NIST SP 800-88 Rev. 2. Une seule passe vérifiée suffit sur un disque magnétique ; le nombre de passes n’a jamais été le sujet.
• Les SSD imposent une commande native ou l’effacement cryptographique. La réécriture logicielle laisse des données dans l’over-provisioning et la démagnétisation est sans effet sur la mémoire flash.
• Les sauvegardes se traitent par la rétention courte et le mécanisme anti-réintroduction, pas par une purge sélective techniquement absurde. Ce qui se démontre, c’est le dispositif, pas l’absence de la donnée dans le backup.
• La preuve tient en cinq pièces datées : procédure écrite, registre des destructions, journaux de purge, certificats prestataires, exceptions documentées. Sans datation, aucune valeur probatoire.

FAQ

Vider la corbeille et formater un disque suffit-il à supprimer les données ?

Non. La suppression logique retire l’entrée du répertoire mais laisse les blocs intacts et lisibles avec un outil de récupération courant. Un formatage rapide ne fait pas davantage. Pour un matériel réaffecté en interne sur un poste chiffré, une réécriture complète est acceptable ; dès que le support sort de l’organisation, il faut passer au niveau Purge du NIST SP 800-88 : commande d’effacement native du support, démagnétisation pour les disques magnétiques, ou destruction physique.

Faut-il supprimer les données personnelles présentes dans les sauvegardes ?

À terme, oui, mais pas nécessairement immédiatement. Une purge sélective à l’intérieur d’un jeu de sauvegarde compromettrait son intégrité et entrerait en conflit avec l’article 32(1)©. L’approche admise consiste à supprimer immédiatement en base active, à laisser la sauvegarde expirer selon un cycle de rotation court et documenté, et à garantir par un mécanisme écrit qu’une restauration ne réintroduit pas la donnée effacée. C’est ce dispositif qui doit être documenté, et c’est lui qui sera examiné.

Un certificat de destruction est-il obligatoire ?

Aucun texte ne l’impose nommément. Mais l’article 5(2) vous oblige à démontrer votre conformité, et l’article 28 vous impose d’encadrer votre sous-traitant. En pratique, sans certificat nominatif — date, méthode, niveau ISO/IEC 21964 atteint, inventaire des numéros de série —, vous n’avez aucun moyen de prouver que la destruction a eu lieu ni sur quels supports. Un bordereau de suivi de déchets DEEE ne remplit pas cette fonction : il atteste de l’élimination du matériel, pas de celle des données.

Peut-on revendre ou donner du matériel informatique d’entreprise ?

Oui, à condition d’avoir effacé les données au niveau Purge et de conserver la preuve de l’opération, support par support. La CNIL vise expressément l’interdiction de « réutiliser, revendre ou jeter des supports ayant contenu des données personnelles » sans suppression sécurisée préalable. En pratique, chiffrer intégralement les postes dès leur mise en service simplifie considérablement l’opération : la destruction de la clé suffit alors à rendre le contenu illisible. Cela vaut aussi pour les terminaux personnels utilisés en entreprise et pour le matériel de télétravail.

L’anonymisation dispense-t-elle de supprimer ?

Oui, si elle est réelle. Une donnée véritablement anonyme sort du champ du RGPD et peut être conservée sans limite. Mais le seuil est élevé : le résultat doit résister à l’individualisation, à la corrélation et à l’inférence, selon les critères de l’avis 05/2014 du G29. Supprimer le nom, hacher un identifiant ou remplacer une valeur par un pseudonyme ne suffit jamais — ce sont des pseudonymisations, et les données restent soumises au règlement. En cas de doute, considérez que vous n’avez pas anonymisé.

Que faire des données déjà transmises à des tiers ?

L’article 19 impose de notifier tout effacement à chaque destinataire auquel les données ont été communiquées, sauf si cela s’avère impossible ou exige des efforts disproportionnés. Cela suppose de savoir à qui vous avez transmis quoi — d’où l’importance de renseigner sérieusement la colonne « destinataires » du registre des traitements. Si les données ont été rendues publiques, l’article 17(2) ajoute une obligation de mesures raisonnables pour informer les autres responsables de traitement. Voir notre article sur le droit à l’effacement.

---

Vous voulez recevoir ce type d’analyse chaque semaine ? Décisions de la CNIL décryptées, méthodes applicables, modèles à réutiliser : inscrivez-vous à la newsletter. Une analyse par semaine, rien d’autre.