Destruction sûre des données – Bases juridiques

Le Règlement général sur la protection des données (RGPD) est en vigueur en Europe depuis 2018. Il encadre et uniformise le traitement des données à caractère personnel dans les entreprises. Ce traitement comprend d’une part le stockage et d’autre part l’effacement conforme de ces données. Dans le monde professionnel en particulier, la destruction des données sûre et conforme à la protection des données est d’une importance capitale compte tenu de l’augmentation considérable de la collecte de données à caractère personnel au cours des dernières années. Ainsi, les délais de conservation légaux d’une part et le droit à l’effacement d’autre part s’appliquent.

Destruction sûre des données - Les principaux points

Le Règlement général sur la protection des données stipule que les données à caractère personnel soient stockées seulement tant que cela est nécessaire au regard de la finalité pour laquelle elles ont été collectées. Cela signifie que les données doivent être effacées une fois la finalité atteinte, sauf délais de conservation légaux ou contractuels applicables (article 5 alinéa 1 e) du RGPD).

Droit à l’effacement

Conformément à l’article 17 alinéa 1 du RGPD, les personnes concernées ont le droit d’obtenir l’effacement de leurs données à caractère personnel / le droit de la personne concernée d’obtenir l’effacement des données à caractère personnel prévaut. Cela signifie que la personne concernée peut exiger du responsable que ses données à caractère personnel soient immédiatement effacées.

Pour effacer des données à caractère personnel, il suffit généralement de détruire physiquement les supports de données contenant les données à effacer. La destruction des supports de données constitue également une forme d’effacement.

Il NE SUFFIT PAS en revanche d’éliminer simplement les supports de données, à savoir de les jeter à la poubelle.

Destruction sûre des données - Types de supports de données

Pour le stockage de données à caractère personnel ou d’autres données sensibles, divers types de supports de données peuvent être utilisés:

P: Support de données sur papier comme documents ou classeurs entiers
O: Supports de données optiques comme CD, DVD
T: Supports de données magnétiques comme cartes magnétiques ou disquettes
E: Supports de données électroniques comme clés USB ou cartes à puce
F: Informations dans une forme réduite comme bobines de film ou transparents
H: Disques durs avec supports de données magnétiques

Destruction sûre des données - Destruction des supports de données

Indépendamment du choix du support de données utilisé, son effacement et/ou sa destruction conforme à la protection des données doit être réalisé selon les dispositions légales.

La destruction de ces supports de données est soumise à la norme-guide DIN 66399. Celle-ci est divisée en trois parties:

DIN 66399-1:

Cette partie définit les bases comme les besoins de protection, les classes de protection et les niveaux de sécurité. Le niveau de sécurité approprié découle du degré de besoin de protection des données à détruire. Pour les supports de données contenant des données particulièrement sensibles et confidentielles ainsi que des données à caractère personnel, soumises à un besoin de protection accru, par ex. bilans, fiches de salaire, dossiers du personnel, contrats de travail et documents fiscaux, HSM recommande, pour les données papier, un destructeur de documents avec le niveau de sécurité P-4 ou plus.

Lisez plus d’informations à ce sujet sur notre page Classes de protection et niveaux de sécurité.

DIN 66399-2:
La deuxième partie de la norme-guide DIN 66399 encadre la classification des supports de données ainsi que les exigences en vigueur en matière de machines.

DIN 66399-3:
La troisième partie de la norme décrit trois procédés de destruction des supports de données:

Les supports de données sont détruits par le service responsable lui-même
Les supports de données sont détruits par un prestataire de services sur le lieu du service responsable
Les supports de données sont détruits par un prestataire de services sur un lieu externe

Vous pouvez lire les avantages d’une destruction interne des données sur notre page Destruction interne par rapport à la destruction externe.

Destruction sûre des données - Recommandation des spécialistes

Pour appliquer correctement la norme-guide DIN 66399, HSM recommande une destruction interne des données, à savoir la destruction des données à caractère personnel directement sur le lieu d’origine.

En fonction du type de support de données à détruire et du besoin de protection des données qu’il contient, l’acquisition d’un destructeur de documents/supports avec un niveau de sécurité minimum P-4/H-4 est recommandée. Cependant, l’acquisition d’un destructeur de supports spécial n’est généralement pas nécessaire étant donné que les destructeurs de documents modernes détruisent, en fonction de leur équipement, presque tout : papier, CD, cartes d’identité, clés USB, cartes à puce, mémoires flash, films et transparents.

Dans ce cas également, des classes de protection et des niveaux de sécurité différents avec des tailles de particules différentes s’appliquent selon les besoins de sécurité.