Cession de matériel IT : la checklist RGPD du DPO
La revente d'un parc est aussi un événement RGPD. Ce que le DPO doit verrouiller avant, pendant et après la cession, avec les documents à archiver.
Pourquoi la cession de matériel concerne le DPO
Un poste de travail cédé contient potentiellement tout ce que le RGPD protège : données clients, données RH, messageries, caches applicatifs. La cession est donc un traitement à part entière du cycle de vie des données, et la responsabilité de l'entreprise ne s'éteint pas à la sortie du matériel : une fuite via un disque revendu mal effacé reste une violation de données imputable au responsable de traitement.
Le réflexe à ancrer : associer le DPO en amont de toute opération de revente significative, comme pour tout nouveau traitement.
Avant la cession : cadrer et préparer
Trois vérifications structurent la phase amont :
- Qualifier le prestataire : engagements d'effacement certifié (Blancco / NIST 800-88), traçabilité par numéro de série, clauses de confidentialité
- Sauvegarder puis purger ce qui doit l'être côté entreprise (durées de conservation respectées)
- Lever chiffrement, MDM et comptes constructeur, en gardant la preuve des désinscriptions
Pendant et après : la preuve, la preuve, la preuve
Le RGPD est un droit de la preuve : ce qui n'est pas documenté n'existe pas. Exigez un certificat d'effacement nominatif par machine (et par support pour les serveurs) mentionnant méthode, date et résultat de vérification. Pour les supports détruits physiquement, une attestation de destruction avec numéros de série.
Archivez l'ensemble avec l'inventaire de sortie : certificats, bordereau de cession, attestations DEEE. En cas de contrôle CNIL ou d'audit client, ce dossier démontre la diligence de l'entreprise en quelques minutes.
Inscrire l'opération dans la documentation RGPD
Deux mises à jour closent proprement le dossier : la procédure de fin de vie du matériel (annexée à la PSSI ou au registre des traitements) décrivant le circuit standard de cession, et, pour les opérations massives, une mention dans le registre avec le prestataire en qualité de sous-traitant. Le DPO dispose ainsi d'un cadre réutilisable à chaque renouvellement, au lieu de réinventer le process sous pression.
Pour le DPO, une cession bien menée tient en trois mots : cadrer, prouver, archiver. Avec un prestataire qui fournit certificats et traçabilité par défaut, la conformité devient un sous-produit naturel de l'opération : pas une course d'obstacles.
Votre parc informatique a de la valeur.
Estimation gratuite ligne par ligne, la meilleure offre sous 24 h.
