Fin de vie du matériel : effacement sécurisé, DEEE et reconditionnement

La fin de vie d'un équipement informatique commence quand il quitte son usage : il peut être réaffecté en interne, donné ou revendu après reconditionnement, ou recyclé comme déchet. Dans tous les cas, deux obligations s'imposent : effacer les données de façon sûre et vérifiable, et confier ce qui devient un déchet à une filière agréée de traitement des DEEE (déchets d'équipements électriques et électroniques). Ce chapitre explique comment choisir entre réemploi et recyclage, comment effacer un disque dur ou un SSD et le prouver, ce que la loi impose, et comment sortir proprement un équipement de l'inventaire.

Réemployer avant de recycler

La fabrication d'un ordinateur concentre l'essentiel de son impact environnemental : extraction des métaux, fabrication des puces, transport. Le garder en service plus longtemps, ou lui donner une deuxième vie, réduit cet impact bien plus que le meilleur recyclage. L'ordre de préférence :

La loi suit le même ordre. La loi AGEC (anti-gaspillage pour une économie circulaire, 2020) et la loi REEN (réduire l'empreinte environnementale du numérique, 2021) poussent au réemploi : par exemple, les services de l'État et les collectivités doivent acheter une part de leur matériel informatique (20 % en valeur) issue du réemploi ou intégrant des matières recyclées. Depuis 2022, le mot reconditionné est encadré : il désigne un produit d'occasion testé, remis en état si nécessaire, et dont les données ont été effacées.

Pourquoi formater ne suffit pas

Supprimer un fichier ne l'efface pas : le système marque seulement son emplacement comme libre, et les données restent sur le disque jusqu'à ce qu'elles soient écrasées. Un formatage rapide fait la même chose pour tout le disque : il recrée une table vide. Des outils gratuits, comme PhotoRec, récupèrent alors la plupart des fichiers en quelques heures. Des études ont régulièrement montré que des disques d'occasion achetés en ligne contenaient encore des données d'entreprises : courriels, fiches de paie, mots de passe.

Le RGPD impose de protéger les données personnelles pendant tout leur cycle de vie, fin comprise. Le guide de la sécurité des données personnelles de la CNIL consacre une fiche à la maintenance et à la fin de vie des matériels : elle interdit de réutiliser, revendre ou jeter un support qui a contenu des données personnelles sans suppression sécurisée préalable, et recommande une procédure écrite et des outils d'effacement reconnus. L'ANSSI certifie certains de ces outils.

Les trois niveaux de nettoyage

La référence internationale du nettoyage des supports est la publication NIST SP 800-88 (révision 2, septembre 2025). Elle définit trois niveaux :

Le choix dépend du support et de la sensibilité des données :

Effacer en pratique

Les outils intégrés aux PC professionnels. Dell (Data Wipe), HP (Secure Erase) et Lenovo (ThinkShield Secure Wipe) intègrent dans le micrologiciel un outil qui lance la commande d'effacement adaptée au disque. C'est la méthode la plus simple pour un SSD de PC de marque.

Les outils des fabricants de disques (Samsung Magician, Crucial Storage Executive, WD Dashboard…) lancent aussi la commande d'effacement du SSD, souvent depuis une clé USB de démarrage.

Les logiciels d'effacement : nwipe, libre (disponible dans la distribution ShredOS, qui démarre sur une clé USB), réécrit les disques durs et produit un rapport ; des logiciels commerciaux comme Blancco gèrent aussi les SSD et délivrent des rapports d'effacement signés, utiles pour un grand parc.

En ligne de commande sous Linux, depuis une clé de démarrage, jamais sur le disque qui porte le système en cours d'exécution :

# SSD NVMe : identifier le disque, lancer un effacement de blocs (Sanitize), suivre l'avancement
sudo nvme list
sudo nvme sanitize /dev/nvme0n1 --sanact=2
sudo nvme sanitize-log /dev/nvme0n1

# Disque SATA : vérifier que l'effacement sécurisé est pris en charge et que le disque n'est pas « frozen »
sudo hdparm -I /dev/sdb | grep -A8 Security

Avec nvme sanitize, la valeur --sanact=2 lance un effacement de blocs, --sanact=4 un effacement cryptographique, si le disque le prend en charge (nvme id-ctrl l'indique). Ces commandes sont irréversibles : vérifie trois fois le nom du disque.

Sous Windows, l'option Réinitialiser ce PC > Supprimer tout, avec Nettoyer le lecteur, réécrit l'espace du disque. Elle suffit pour réaffecter en interne un poste qui n'a pas contenu de données sensibles, mais elle ne produit pas de rapport et ne lance pas la commande d'effacement d'un SSD : pour une sortie du parc, préfère les outils ci-dessus.

Prouver l'effacement. Chaque effacement donne un rapport ou un certificat d'effacement, conservé avec l'inventaire : numéro de série du support (et de l'équipement), méthode et outil utilisés, niveau (effacer, purger, détruire), date, nom de l'opérateur, résultat de la vérification. C'est ta preuve en cas de contrôle ou de fuite.

Les DEEE : que faire des déchets ?

Un DEEE (déchet d'équipement électrique et électronique) contient des substances dangereuses (plomb des soudures, mercure de certains écrans anciens, retardateurs de flamme bromés dans les plastiques, électrolytes des batteries) et des matières précieuses (cuivre, or, argent, palladium, cobalt). Il est interdit de le jeter avec les déchets ordinaires.

En France, les DEEE relèvent de la responsabilité élargie du producteur (REP) : les fabricants financent la collecte et le traitement, à travers des éco-organismes agréés par l'État (comme Ecologic ou ecosystem). Pour une entreprise :

• elle reste responsable de ses déchets jusqu'à leur traitement final, même quand elle les confie à un tiers ;
• elle les remet à un éco-organisme agréé ou à un prestataire autorisé, qui les enlève, souvent gratuitement à partir d'un certain volume ;
• elle conserve les justificatifs : bon d'enlèvement, bordereau de suivi des déchets, certificat de traitement ou de destruction ;
• les batteries et les piles suivent leur propre filière, et les batteries au lithium abîmées ou gonflées se stockent à part, car elles peuvent prendre feu.

Un équipement donné ou revendu à un reconditionneur ne devient pas un déchet : c'est du réemploi. Un équipement remis à un prestataire « qui s'en occupe » sans aucun document est un risque à la fois juridique et pour les données.

La procédure de sortie du parc

Voici la procédure de Ravelle Conseil pour sortir un poste du parc, à suivre dans l'ordre :

1. Décider de la sortie, selon les critères de renouvellement (chapitre 8), et l'enregistrer dans un ticket.
2. Sauvegarder ou transférer les données utiles de l'utilisateur vers son nouveau poste ou le serveur, et le faire valider par l'utilisateur.
3. Retirer l'équipement des outils : le désinscrire d'Intune et, s'il y était, de Windows Autopilot (sinon le nouveau propriétaire le verra se réinscrire chez Ravelle Conseil) ; supprimer l'objet ordinateur de l'annuaire ; retirer les licences logicielles par utilisateur pour les réattribuer.
4. Effacer le stockage avec la méthode adaptée au support, ou faire détruire un support en panne, et obtenir le rapport ou le certificat.
5. Retirer l'étiquette d'inventaire et les marques de l'entreprise, et récupérer les accessoires (chargeur, station d'accueil).
6. Orienter l'équipement : réaffectation, don (avec une convention de don), revente à un reconditionneur, ou filière DEEE, avec le justificatif de chaque cas.
7. Mettre à jour l'inventaire (dans GLPI, statut « Donné », « Vendu » ou « Au rebut »), avec la date et les pièces jointes : rapport d'effacement, bordereau, convention.

Exercices