Céder un parc engage votre responsabilité

Dans son guide de 2023 sur le reconditionnement des ordinateurs, l’ANSSI rappelle que confier un poste à un tiers lui donne accès aux données. Ses recommandations n’ont pas de caractère normatif, mais elles fixent le niveau d’attention attendu.

Responsable de traitement, l’entreprise qui cède reste tenue de la sécurité des données présentes sur ses appareils. Le cadre, les recommandations, et ce qui se passe dans une reprise.

• Ce que prévoit le cadre

  L’entreprise qui cède doit garantir aux données de ses appareils une sécurité adaptée au risque (RGPD, art. 32). Si un prestataire intervient sur ces données pour son compte, elle doit le choisir parmi ceux qui présentent des « garanties suffisantes » et encadrer sa mission par contrat (art. 28).

  RGPD, art. 28 et 32

• Ce que recommande la CNIL

  Supprimer les données de façon sécurisée avant revente ou mise au rebut, selon une procédure écrite, et insérer une clause de sécurité dans les contrats avec les prestataires. Réutiliser, revendre ou jeter un support sans suppression préalable fait partie des pratiques à éviter.

  CNIL, fin de vie des matériels

• Ce que recommande l’ANSSI

  Avant la cession d’un ordinateur, un effacement cryptographique, à condition que les disques aient été chiffrés dès l’installation ; sinon, une procédure adaptée à la sensibilité des données. Elle recommande aussi de réinitialiser l’UEFI et le lecteur d’empreintes, et d’effacer la mémoire du TPM.

  ANSSI, guide 2023

• Dans une reprise

  La procédure d’effacement ou de traitement des appareils est fixée au contrat. La proposition précise les justificatifs qui vous sont remis.

  Notre méthode pour les données

« Effacer contenu et réglages » sur Mac ou l’action « Wipe » d’Intune rétablissent les réglages d’usine. Ce sont des fonctions utiles avant la collecte, pas une prestation d’effacement.

L’ANSSI décrit l’effacement des données comme « une problématique complexe » : les logiciels d’effacement n’atteignent pas les secteurs défectueux d’un disque, et toutes les cellules d’une mémoire flash ne sont pas accessibles depuis le système. Des données peuvent y persister. Pour les mémoires flash, elle recommande l’effacement cryptographique.

C’est pourquoi la procédure appliquée aux supports est fixée au contrat, avec les justificatifs remis, plutôt que laissée à une réinitialisation faite poste par poste.

ANSSI, guide 2023

Préparer votre parc avant une reprise

Le devenir de chaque équipement relève du Code de l’environnement. La règle dépend de la date de mise sur le marché et de ce qui est fait de l’appareil.

• Ce que prévoit le cadre

  Lorsqu’un équipement professionnel devient un déchet, le Code de l’environnement confie son enlèvement et son traitement à son producteur s’il a été mis sur le marché après le 13 août 2005, et, sauf exceptions, à son détenteur s’il est plus ancien (art. R. 543-195).

  Code de l’environnement, art. R. 543-195

• Réemploi et statut de déchet

  Un équipement cédé pour être réemployé ne devient pas forcément un déchet : le réemploi relève de la prévention. Le Code de l’environnement place d’ailleurs la préparation en vue de la réutilisation avant le recyclage dans l’ordre des modes de traitement (art. L. 541-1).

  Revendre, recycler ou donner votre parcCode de l’environnement, art. L. 541-1

• Dans une reprise

  À la réception, les équipements sont comptés et identifiés selon le processus convenu. Les documents de suivi remis dépendent du périmètre de la reprise.

  Notre approche de la traçabilité

Tout ce qui engage Five Union est écrit dans la proposition, avant tout engagement de votre part.

• La procédure d’effacement ou de traitement des supports
• Les justificatifs qui vous sont remis
• Le comptage et l’identification des équipements à la réception
• Les documents de suivi, selon le périmètre convenu
• Le partage des tâches entre vos équipes et les nôtres