La Débarras et destruction d'archives">destruction d’archives contenant des données personnelles ou confidentielles n’est pas une simple opération de tri — c’est une obligation légale encadrée par le règlement général sur la protection des données (RGPD) et, pour les niveaux de sécurité les plus élevés, par la norme internationale DIN 66399. Que vous soyez une entreprise en cours de liquidation, un professionnel de santé qui ferme son cabinet ou un particulier qui hérite de documents personnels sensibles, ce guide présente les obligations applicables et les méthodes conformes.
Pourquoi la destruction des archives est-elle encadrée ?
Les obligations du RGPD
Le règlement (UE) n° 2016/679 (RGPD) impose aux responsables de traitement de ne pas conserver les données personnelles au-delà de la durée nécessaire à leur finalité de traitement. À l’expiration de cette durée, les données doivent être soit anonymisées, soit détruites de manière sécurisée.
Ce qui constitue des données personnelles dans les archives. Tout document contenant un nom, un prénom, une adresse, un numéro de téléphone, un numéro de sécurité sociale, des informations médicales, bancaires ou judiciaires concernant une personne physique identifiable constitue une donnée personnelle au sens du RGPD.
L’obligation de destruction sécurisée. Le RGPD impose que la destruction des données personnelles soit réalisée de façon à rendre la récupération des données impossible. La destruction par déchiquetage fin ou incinération répond à cette obligation — le simple découpage en grands morceaux ou le dépôt dans la corbeille à papier ordinaire ne suffit pas.
Les sanctions en cas de manquement. La CNIL (Commission nationale de l’informatique et des libertés) peut sanctionner les responsables de traitement qui ne détruisent pas correctement les données personnelles dont ils sont dépositaires. Les sanctions prévues par le RGPD peuvent atteindre, pour les manquements les plus graves, jusqu’à 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros.
Les durées légales de conservation
Avant de détruire des archives, il est indispensable de vérifier les durées légales de conservation applicables. Détruire des documents que la loi impose de conserver peut exposer à d’autres responsabilités.
Exemples de durées légales selon le type de document (liste non exhaustive) :
- Documents comptables : 10 ans à compter de la clôture de l’exercice (Code de commerce, article L.123-22)
- Contrats commerciaux : 5 ans à compter de leur fin d’exécution (délai de prescription de droit commun)
- Bulletins de paie : 5 ans (prescription en matière de créances salariales)
- Dossiers médicaux dans les établissements de santé : durées variables selon le type de soins, fixées par le Code de la santé publique
Pour les archives professionnelles, un tableau de gestion des archives établi avec un avocat ou un archiviste professionnel est la meilleure protection contre les destructions prématurées ou tardives.
La norme DIN 66399 : les niveaux de sécurité
La norme DIN 66399 (norme allemande adoptée au niveau international) définit les niveaux de sécurité applicables à la destruction des supports d’information selon la sensibilité des données qu’ils contiennent.
Les 7 niveaux de sécurité pour les documents papier :
| Niveau | Taille des particules | Usage typique |
|---|---|---|
| P-1 | < 2 000 mm² | Documents publics sans intérêt particulier |
| P-2 | < 800 mm² | Documents internes banals |
| P-3 | < 320 mm² | Documents confidentiels courants |
| P-4 | < 160 mm² | Documents sensibles (contrats, données personnelles) |
| P-5 | < 30 mm² | Documents très sensibles (données médicales, judiciaires) |
| P-6 | < 10 mm² | Documents classifiés (usage gouvernemental, défense) |
| P-7 | < 5 mm² | Documents top secret |
Pour les données personnelles ordinaires soumises au RGPD, le niveau P-4 est généralement considéré comme le standard minimum approprié. Pour les données de santé, les données judiciaires ou les données financières sensibles, le niveau P-5 est recommandé.
Besoin d’une destruction d’archives conforme ? Les professionnels référencés sur SOS Nettoyage Extrême interviennent dans les 101 départements français. Demandez un devis gratuit — réponse sous 24 heures.
Les méthodes de destruction conformes
La déchiqueteuse professionnelle
La déchiqueteuse de bureau standard (coupe en bandelettes) produit généralement des particules de niveau P-2 à P-3, insuffisant pour les données personnelles sensibles. Les déchiqueteuses coupe croisée ou micro-coupe peuvent atteindre les niveaux P-4 à P-5.
Pour de grands volumes d’archives, les prestataires spécialisés utilisent des déchiqueteuses industrielles capables de traiter plusieurs centaines de kilos par heure et d’atteindre le niveau de sécurité requis.
La destruction mobile sur site
Certains prestataires proposent une destruction mobile avec un camion-broyeur qui vient sur site. Les documents sont détruits devant le client, sans transport préalable, ce qui préserve la chaîne de custody des documents sensibles. Un certificat de destruction est remis à l’issue de l’opération.
L’incinération
L’incinération garantit une destruction complète et irréversible des supports. Elle est utilisée pour les volumes importants, les supports mixtes (reliures, classeurs métalliques) ou les documents de niveau de sécurité très élevé. Les centres d’incinération agréés fournissent des certificats de destruction conforme.
Le certificat de destruction
Pour toute destruction d’archives contenant des données personnelles, un certificat de destruction doit être demandé au prestataire. Ce document constitue la preuve que la destruction a été réalisée conformément aux obligations réglementaires. Il doit mentionner :
- La date et le lieu de destruction
- Le volume ou le poids des archives détruites
- Le niveau de sécurité DIN 66399 atteint
- L’identité du prestataire et sa certification éventuelle
Ce certificat doit être conservé dans les archives de l’organisation comme justificatif de conformité RGPD, pendant la durée de prescription applicable (généralement 3 ans pour les obligations administratives).
Cas pratiques
Fermeture d’entreprise ou de cabinet professionnel
Lors de la liquidation ou de la cessation d’activité, les archives professionnelles doivent être triées selon leur durée légale de conservation. Les documents arrivés en fin de délai légal sont détruits selon les normes applicables à leur sensibilité. Les documents devant encore être conservés peuvent être archivés en externe ou remis aux ayants droit.
Succession avec des archives personnelles
Les archives d’un particulier décédé peuvent contenir des documents très personnels : correspondances médicales, relevés bancaires, documents identitaires. Si ces documents n’ont pas de valeur successorale et dépassent les délais légaux, leur destruction sécurisée protège la vie privée du défunt. Les documents identitaires (carte nationale d’identité, passeport) doivent être remis à la mairie ou aux services de l’État selon les procédures applicables.
Déménagement de bureaux
Un déménagement de bureaux est souvent l’occasion de purger les archives accumulées. Un prestataire de débarras professionnel peut coordonner la destruction des archives arrivées à échéance avec l’évacuation du reste du mobilier.
Questions fréquentes sur la destruction d’archives
Peut-on jeter des vieilles factures ou des relevés bancaires dans la poubelle ordinaire ? Non, si ces documents contiennent des données personnelles. Le simple dépôt en corbeille ou en poubelle constitue un risque de violation de données personnelles. La déchiqueteuse ou la destruction sécurisée par un prestataire sont les méthodes conformes.
Un prestataire de débarras peut-il détruire les archives confidentielles dans le cadre d’un débarras global ? Certains prestataires proposent un service intégré incluant la destruction d’archives dans le cadre d’un débarras. Il est important de vérifier que la destruction est réalisée selon le niveau de sécurité approprié et qu’un certificat de destruction est fourni. Sinon, faire appel à un prestataire spécialisé en archives pour ce poste spécifique.
Quelle est la responsabilité d’un héritier face aux archives d’un défunt ? L’héritier qui récupère les archives d’un défunt devient responsable de la protection des données personnelles qu’elles contiennent. Il doit les traiter avec la même diligence que s’il s’agissait de ses propres données — notamment en détruisant de façon sécurisée les documents sensibles arrivés en fin de conservation utile.
La destruction d’archives confidentielles est une obligation légale et éthique qui protège à la fois les personnes dont les données sont concernées et l’organisation ou l’individu qui en est dépositaire. Une destruction non conforme peut exposer à des sanctions de la CNIL et à des actions en responsabilité. Pour être mis en relation avec le prestataire référent de votre département, demandez votre devis gratuit. La demande est sans engagement et la réponse intervient sous 24 heures.
