Un ordinateur qui sort d'une entreprise emporte avec lui tout ce qu'il a servi à produire : documents, messageries, identifiants enregistrés, exports de bases clients. Le réflexe habituel consiste à supprimer les fichiers et à reformater le disque. Cela ne détruit rien. Voici pourquoi, ce que la réglementation attend réellement, et ce que doit contenir un certificat d'effacement pour valoir quelque chose le jour où on vous le demande.
Supprimer un fichier ou formater un disque ne fait que déclarer l'espace réutilisable : les données restent physiquement présentes jusqu'à réécriture, et restent récupérables avec des outils courants. Un effacement sérieux suppose une méthode adaptée au type de support, une opération documentée et une preuve conservée.
Sur les supports modernes de type SSD, la réécriture classique ne suffit pas non plus : les mécanismes internes de répartition de l'écriture et la réserve d'espace non adressable peuvent laisser subsister des fragments. Les méthodes adaptées passent par les commandes internes du support ou par l'effacement de la clé de chiffrement.
Enfin, l'effacement n'est pas un acte isolé mais une procédure : qui décide, qui exécute, qui contrôle, et quelle preuve est conservée. C'est ce que demande la CNIL, et c'est ce que vous devrez produire en cas de contrôle ou d'incident.
Quand vous supprimez un fichier, le système ne parcourt pas le disque pour effacer son contenu. Il retire l'entrée qui permettait d'y accéder et marque l'espace comme disponible. Les données restent en place jusqu'à ce que quelque chose vienne écrire par dessus, ce qui peut ne jamais arriver sur un disque à moitié rempli.
Le formatage rapide fait la même chose à plus grande échelle : il reconstruit la table de référence, pas le contenu. Un logiciel de récupération grand public suffit alors à remonter une partie substantielle des fichiers.
Le formatage complet et la réécriture intégrale font mieux sur un disque dur mécanique classique. Mais ils reposent sur une hypothèse qui ne tient plus sur les supports actuels : que l'on puisse adresser et réécrire chaque emplacement physique de la mémoire.
Le règlement général sur la protection des données impose au responsable de traitement de garantir la sécurité des données personnelles, y compris au moment où le support qui les contient quitte son périmètre. Un poste cédé, donné, envoyé en réparation ou restitué en fin de contrat de location entre pleinement dans ce périmètre.
La CNIL recommande explicitement de supprimer de façon sécurisée les données des matériels avant mise au rebut, avant envoi en réparation chez un tiers, et en fin de contrat de location. Elle attend une procédure définie : qui décide, qui valide, quels supports sont effacés et lesquels doivent être détruits. Elle insiste également sur la sécurisation de la chaîne logistique, c'est-à-dire l'absence de zone grise entre le moment où le matériel quitte le bureau et celui où il est traité.
Deux conséquences pratiques. D'abord, confier le matériel à un prestataire ne transfère pas la responsabilité : c'est l'entreprise qui doit pouvoir démontrer que le traitement a eu lieu. Ensuite, une opération non documentée équivaut, en pratique, à une opération non réalisée. Sans trace, rien n'est démontrable.
Le risque ne se limite d'ailleurs pas aux données personnelles. Contrats, tarifs, projets, sauvegardes de messagerie : la fuite de données d'entreprise ne relève d'aucune obligation déclarative mais coûte tout aussi cher.
La référence internationale la plus citée en matière d'assainissement des supports est la publication NIST SP 800-88. Un point mérite d'être connu, car beaucoup de documents commerciaux ne l'ont pas intégré : la révision 2 a été publiée en septembre 2025 et remplace la révision 1, en vigueur depuis 2014. Un prestataire qui appuie encore son argumentaire sur la seule révision 1 travaille sur un texte remplacé.
Le changement d'approche est notable. Là où le texte précédent était centré sur les techniques, la nouvelle version raisonne davantage en termes de programme et de risque : c'est la sensibilité des données et la destination du support qui déterminent le niveau exigé, et non un procédé unique appliqué uniformément.
Trois niveaux structurent toujours le raisonnement, et ce vocabulaire est utile pour lire une offre :
Sur le plan technique, le standard IEEE 2883, publié en 2022, fait référence pour les procédures propres à chaque type de mémoire. C'est lui qui donne le détail que la publication du NIST ne descend plus au niveau du procédé.
Un disque SSD n'écrit pas comme un disque mécanique. Un contrôleur répartit les écritures sur l'ensemble des cellules pour les user uniformément, et réserve une portion de mémoire non visible du système d'exploitation. Conséquence directe : quand vous croyez réécrire un emplacement, le contrôleur écrit ailleurs et laisse l'ancien bloc intact, hors de portée.
La réécriture logicielle, méthode classique sur disque dur, est donc inadaptée sur SSD. Deux approches conviennent :
Ce dernier point a une implication en amont qui dépasse le sujet de cet article : chiffrer les postes dès leur déploiement simplifie radicalement leur fin de vie. C'est une décision qui se prend à l'entrée du parc, pas à la sortie.
Les smartphones professionnels sont chiffrés par défaut sur les systèmes récents, ce qui rend la réinitialisation d'usine nettement plus solide que sur un ordinateur non chiffré : elle détruit la clé. Trois précautions subsistent.
La destruction physique rassure, mais elle n'est pas systématiquement la bonne réponse. Elle supprime toute possibilité de réemploi, donc toute valeur résiduelle, et son bilan environnemental est le pire des trois options.
La règle raisonnable : effacement au niveau adapté quand le support fonctionne et répond aux commandes, destruction physique quand il est défaillant, illisible, ou quand la sensibilité des données l'impose. Un disque mort ne peut pas être effacé, il ne peut qu'être détruit.
Attention à un raccourci répandu : la destruction physique doit elle aussi être documentée. Un support « détruit » sans certificat ni bordereau ne vaut pas mieux, en termes de preuve, qu'un support effacé sans trace.
C'est la partie qui distingue un prestataire sérieux. Un certificat d'effacement exploitable comporte :
Ce dernier point est un bon révélateur. Un rapport où cent pour cent des supports passent sans exception mérite une question : soit le contrôle est incomplet, soit les échecs ont disparu du document.
Le formatage suffit-il à effacer un disque dur ?
Non. Le formatage rapide ne supprime que les références aux fichiers, dont le contenu reste récupérable. Un effacement au niveau attendu pour un support quittant l'entreprise passe par une réécriture complète vérifiée ou par les commandes internes du support.
Comment effacer un SSD de façon fiable ?
Par la commande d'effacement interne du contrôleur, ou par effacement cryptographique si le support était chiffré. La réécriture logicielle classique est inadaptée en raison de la répartition d'écriture et de la réserve non adressable.
Faut-il détruire physiquement les disques ?
Seulement si le support est défaillant, illisible, ou si la sensibilité des données l'exige. Sinon, l'effacement vérifié préserve la valeur de reprise et l'empreinte environnementale.
Qui est responsable si le prestataire fait mal son travail ?
L'entreprise détentrice reste responsable de ses données. D'où la nécessité d'un engagement contractuel écrit et de certificats nominatifs récupérés systématiquement.
Trois décisions couvrent l'essentiel du sujet. Chiffrer les postes dès leur déploiement, ce qui simplifie tout le reste. Écrire une procédure courte précisant qui décide et qui contrôle. Exiger de tout prestataire un certificat nominatif par appareil, y compris pour les supports détruits.
L'effacement s'inscrit dans une opération plus large, celle de la sortie de parc : voir notre guide sur la fin de vie du parc informatique. Nous traitons l'effacement et la remise des justificatifs dans le cadre de la reprise et revalorisation des appareils professionnels.