Faîtes appel à un spécialiste, Faîtes appel à Destrudata
Nous contacterLundi 26 octobre 2026
Confier ses archives à un prestataire spécialisé permet de libérer du temps et d’organiser leur élimination. Cette délégation exige toutefois une vigilance particulière : les dossiers clients, pièces comptables, documents RH ou courriers confidentiels restent exposés tant que leur contenu peut être consulté. Un accès injustifié, une collecte mal préparée ou une responsabilité mal définie peuvent compromettre la protection des informations.
La destruction de documents confidentiels doit donc être envisagée comme une opération encadrée, depuis la décision de détruire jusqu’à la preuve du broyage. Qui intervient ? Quels documents sont concernés ? Comment éviter une rupture de sécurité entre les différentes étapes ?
Destrudata accompagne les professionnels dans cette gestion de fin de vie des archives papier. Pour sécuriser la sous-traitance, il faut associer un contrat adapté, des consignes précises, une organisation maîtrisée et une traçabilité exploitable.
Sommaire
- Pourquoi la sous-traitance ne supprime pas les risques
- Encadrer le prestataire et ses intervenants par contrat
- Valider les documents à détruire et protéger leur collecte
- Limiter les manipulations grâce au broyage sur site
- Assurer la traçabilité et prévoir la gestion des incidents
1. Pourquoi la sous-traitance ne supprime pas les risques
Le 27 mai 2026, la CNIL a publié un cas pédagogique fictif, inspiré d’incidents réels, consacré à une cyberattaque chez un sous-traitant proposant un service cloud. Le scénario montre comment une intrusion chez un prestataire peut affecter les données de plusieurs entreprises clientes et compliquer la gestion de crise.
La leçon peut être transposée aux archives papier : confier des documents à un tiers ne dispense pas d’examiner les risques tout au long de leur prise en charge. Une boîte accessible pendant l’attente, un transfert mal surveillé ou une consultation inutile peuvent suffire à exposer des informations.
Lorsqu’un prestataire détruit des pièces contenant des données personnelles pour votre compte, cette opération relève de la sous-traitance au sens du RGPD. L’entreprise qui détermine les finalités du traitement reste responsable de ses propres obligations ; le prestataire assume également celles qui lui incombent.
Il faut enfin distinguer confidentialité et données sensibles au sens juridique. Un relevé bancaire peut être confidentiel sans appartenir aux catégories particulières de l’article 9 du RGPD. Les informations de santé ou l’appartenance syndicale, par exemple, relèvent de ces catégories et bénéficient d’une protection renforcée. Identifier la nature des dossiers aide à choisir des mesures proportionnées.
2. Encadrer le prestataire et ses intervenants par contrat
Un devis accepté décrit une prestation, mais il ne couvre pas nécessairement toutes les exigences relatives aux données personnelles. L’article 28 du RGPD impose un encadrement écrit de la relation avec le sous-traitant. Les clauses doivent correspondre aux opérations réellement réalisées.
Le contrat doit notamment préciser :
- L’objet, la durée, la nature et la finalité du traitement, ainsi que les données et personnes concernées ;
- Les instructions documentées du donneur d’ordre et les engagements de confidentialité ;
- Les mesures de sécurité et les conditions de recours à d’autres sous-traitants ;
- L’assistance prévue pour les droits des personnes et la gestion des violations ;
- Le sort des données en fin de prestation et les moyens de contrôle, notamment les audits.
La chaîne d’intervention doit être comprise avant la collecte. Demandez qui assure l’enlèvement, où se déroule le broyage et quels autres organismes traitent éventuellement les données pour votre compte.
Si vous êtes vous-même sous-traitant de vos clients, déléguer cette opération peut constituer une sous-traitance ultérieure : vérifiez l’autorisation écrite, spécifique ou générale, du responsable de traitement. En cas d’autorisation générale, les changements doivent lui être annoncés pour permettre une objection. Cette vérification évite qu’un engagement commercial masque une chaîne de responsabilités mal identifiée.
Service de destruction d’archives
Service de destruction de disques durs
3. Valider les documents à détruire et protéger leur collecte
Le prestataire ne devrait pas avoir à décider quels dossiers peuvent disparaître. Cette décision doit être préparée par l’entreprise, avec l’appui des services concernés et, si nécessaire, du délégué à la protection des données ou du service juridique.
Commencez par vérifier les durées applicables. Elles varient selon les documents, le secteur et les obligations de l’organisme. Certaines pièces restent nécessaires pour un contrôle ou un contentieux. La fin d’un contrat avec un prestataire ne signifie donc pas que toutes les archives peuvent être éliminées immédiatement.
Un inventaire par catégorie, période et référence de lot facilite la validation. Il permet aussi de distinguer les dossiers à conserver de ceux autorisés à partir au broyage. Évitez les descriptions nominatives détaillées lorsqu’une référence interne suffit.
Pendant l’attente, les archives restent confidentielles. Elles doivent être protégées contre les accès injustifiés, y compris dans les zones de circulation ou de livraison. Pour les flux récurrents, nous proposons des collecteurs sécurisés fermés à clé, destinés aux documents voués à la destruction.
Des consignes partagées avec les équipes évitent les erreurs : seuls les documents validés pour l’élimination rejoignent ce circuit.
4. Limiter les manipulations grâce au broyage sur site
La sécurité dépend du parcours concret des documents. Avant de choisir une prestation, examinez les lieux de stockage temporaire, les manipulations, les transports et le moment auquel les archives cessent d’être lisibles. Une promesse générale de confidentialité ne suffit pas à comprendre cette organisation.
La destruction sur site permet de réduire certaines étapes de ce parcours. Nos camions broyeurs se déplacent chez le client pour réaliser l’opération directement sur place. Les archives sont prises en charge dans des conteneurs sécurisés jusqu’à leur broyage, au sein d’une chaîne de sécurité continue.
Un représentant de votre entreprise peut assister à la destruction. Les documents ne sont ainsi pas transportés intacts vers un autre lieu de traitement. Cette organisation limite les manipulations et facilite le suivi de l’intervention.
Le broyage sur site constitue un choix opérationnel, pas une méthode imposée systématiquement par le RGPD. L’exigence légale porte sur des mesures techniques et organisationnelles adaptées aux risques. Le procédé retenu doit donc être cohérent avec la confidentialité des pièces et les conditions de prise en charge.
Après destruction, le papier est recyclé. La valorisation intervient une fois les informations rendues illisibles, et non par dépôt préalable dans une collecte ordinaire.
5. Assurer la traçabilité et prévoir la gestion des incidents
La traçabilité doit relier les documents autorisés à être éliminés à l’opération effectivement réalisée. Conservez la validation interne, les références des lots et les justificatifs de l’intervention, avec des accès adaptés à leur contenu.
Nous remettons un certificat après chaque intervention de destruction d’archives, mentionnant la quantité détruite. Ce justificatif gagne à être rapproché de votre inventaire. Le certificat de destruction ne remplace ni le contrôle des durées de conservation ni les autres obligations du RGPD.
Prévoyez aussi les contacts et les actions à déclencher si un carton manque, si une collecte est interrompue ou si des documents sont accessibles à une personne non autorisée. La procédure doit permettre de :
- Sécuriser les pièces restantes ;
- Identifier les lots et les informations concernés ;
- Alerter les interlocuteurs désignés selon les consignes prévues ;
- Documenter l’incident et évaluer les suites à donner.
En cas de violation de données personnelles, le sous-traitant informe le responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Celui-ci documente l’incident et évalue les risques. Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, il doit la notifier à l’autorité compétente dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance.
Si le risque est élevé, les personnes concernées doivent également être informées, sauf exception prévue par le RGPD.
Enfin, réexaminez l’organisation lorsque les volumes, les documents ou les intervenants changent. Les garanties doivent rester effectives pendant la prestation.
Conclusion
Sécuriser la destruction de documents confidentiels confiée à un sous-traitant demande de maîtriser chaque étape. Le choix du prestataire, le contrat, la validation des archives, la protection de la collecte et les preuves d’élimination doivent former un ensemble cohérent.
Le cas publié par la CNIL rappelle l’importance de responsabilités claires et d’une réaction préparée face aux incidents. Pour les documents papier, limiter les accès et les manipulations réduit l’exposition des informations jusqu’au broyage. Une destruction sécurisée et traçable contribue à cette protection, sans garantir à elle seule la conformité complète de l’entreprise.
Contactez-nous pour échanger sur vos besoins avec Destrudata. Nous vous accompagnons dans l’organisation d’interventions ponctuelles ou régulières, avec une destruction sur site adaptée à vos archives et documents confidentiels.