Le RGPD ne protège pas que le numérique : jeter des documents papier (contrats, bulletins de paie, listes clients) à la poubelle sans les détruire est une infraction lourde. En cas de vol de données dans vos poubelles, vous êtes jugé responsable pour négligence (risques d'amendes de la CNIL et sanctions pénales).
On pense souvent que le RGPD ne concerne que les fichiers Excel et les bases de données informatiques.
C’est une erreur qui peut coûter cher.
Le Règlement Général sur la Protection des Données s'applique à tout support contenant des informations personnelles.
Si vos anciens contrats, bulletins de paie ou listes de clients finissent simplement à la poubelle, vous êtes en infraction.
1. La fin de la coupe droite (en bandes)
Auparavant, de nombreuses entreprises utilisaient des destructeurs qui coupaient les feuilles en longues bandes verticales.
Problème : avec un peu de patience ou un logiciel de reconstitution d'image, ces documents sont facilement reconstituables.
Pour être en conformité avec le RGPD et la norme de sécurité DIN 66399, les entreprises doivent désormais viser au minimum le niveau de sécurité P-4.
- La technologie : Le destructeur à coupe croisée (ou micro-coupe).
- Le résultat : Le document n'est pas découpé en lanières, mais en confettis minuscules (particules).
- L'objectif : Rendre la reconstitution du document techniquement impossible ou disproportionnée en termes d'effort.
2. Vol de données : vous êtes responsable, même si vous êtes victime
C'est le point le plus critique de votre analyse : la notion de responsabilité.
Le RGPD impose une "obligation de moyens". Si vous vous faites voler des documents papier (dans vos locaux ou dans vos poubelles) et que ceux-ci n'ont pas été correctement détruits :
- Négligence caractérisée : La CNIL considérera que vous n'avez pas mis en œuvre les mesures de sécurité appropriées pour protéger les données.
- Poursuites et amendes : Vous pouvez être poursuivi non seulement par les autorités, mais aussi par les personnes dont les données ont été dérobées.
- Délit pénal : En France, le Code pénal sanctionne la conservation de données au-delà de la durée nécessaire ou le défaut de sécurisation.
3. Les 3 réflexes pour votre conformité cet été
Pour protéger votre entreprise avant la rentrée, assurez-vous de respecter ces trois points :
- Équipez-vous en P-4 minimum : Vérifiez que votre destructeur actuel produit des particules et non des bandes.
- Établissez une politique de "Clean Desk" : Aucun document contenant des données personnelles ne doit rester sur un bureau le soir ou être jeté intact.
- Documentez votre processus : En cas de contrôle, vous devez pouvoir prouver que vous avez une procédure de destruction systématique.