RGPD : détruire les documents papier dans les règles
Le RGPD ne parle jamais de destructeur de documents, ni de niveau DIN, ni de taille de particule. Il pose deux principes qui, appliqués au papier, changent tout : une sécurité adaptée au risque, et une conservation limitée dans le temps. À vous de traduire ces principes en organisation concrète — et de pouvoir la justifier. Voici ce qui relève de l'obligation, ce qui relève de la bonne pratique, et comment les distinguer.
Le RGPD s'applique-t-il au papier ?
Oui, et c'est le point de départ que beaucoup de structures manquent. Le règlement vise le traitement de données personnelles, automatisé ou non, dès lors que les données non automatisées sont contenues ou appelées à figurer dans un fichier, c'est-à-dire un ensemble structuré accessible selon des critères déterminés. Concrètement : un classeur de dossiers clients rangés par nom, des fiches patients dans un meuble à tiroirs, les dossiers du personnel classés par matricule sont des traitements au même titre qu'une base de données.
Une note manuscrite isolée et sans classement ne relève pas du même régime. Mais dès qu'il existe une logique de rangement permettant de retrouver l'information sur une personne, le papier bascule dans le champ du règlement, avec les mêmes exigences de sécurité et de durée de conservation que le numérique — et donc la même obligation de faire disparaître effectivement les données en fin de vie.
Quel niveau de destruction choisir
Ce que dit le texte : une sécurité appropriée compte tenu de l'état des connaissances, des coûts, et de la nature, de la portée et des risques du traitement. Rien de plus précis. Ce que le texte ne dit pas : aucun niveau DIN 66399, aucune technique imposée, aucun seuil chiffré. Toute source qui vous affirme que « le RGPD impose le P-4 » se trompe.
Ce vide apparent est en réalité une responsabilité : vous devez choisir un niveau et être capable d'expliquer pourquoi il est proportionné au risque encouru par les personnes concernées. La norme DIN 66399 est simplement l'outil le plus commode pour formaliser ce choix, parce qu'elle donne un vocabulaire commun et vérifiable. Voici les niveaux communément retenus par les professionnels :
| Nature des documents | Niveau généralement retenu | Raisonnement |
|---|---|---|
| Documents internes sans donnée nominative (notes, brouillons, doubles) | P-3 / P-4 (coupe croisée) | Risque faible, mais éviter la lecture directe |
| Données personnelles identifiantes : clients, adhérents, salariés, fournisseurs | P-4 minimum, P-5 recommandé | Un fragment lisible suffit à identifier une personne |
| Données sensibles : santé, pièces d'identité, données bancaires complètes, éléments d'enquête | P-5, voire P-6 | Impact majeur pour la personne en cas de fuite |
Un point mérite d'être dit franchement : la coupe en bandes ne suffit plus pour des données personnelles. Des lanières longues se remontent avec de la patience, et une seule bande peut porter un nom complet, un IBAN, un numéro de dossier. Ce n'est pas illégal en soi, mais c'est difficilement défendable dans une analyse de risque. La coupe croisée est le plancher raisonnable, la micro-coupe la position solide : notre comparatif des destructeurs micro-coupe P-5 détaille l'échelle des niveaux et ce qu'ils impliquent en pratique.
Le réflexe qui protège : écrivez votre choix quelque part. Une demi-page indiquant « les dossiers clients sont détruits en micro-coupe P-5 parce qu'ils comportent identité, coordonnées et références bancaires » vaut mieux qu'un matériel haut de gamme sans justification. Ce que l'on vous demandera en cas de contrôle, c'est votre raisonnement.
La sécurité de bout en bout
L'obligation de sécurité ne commence pas au moment où le document entre dans la machine : elle court sans interruption jusqu'à la destruction effective. Un dossier client en attente de broyage est un dossier client en clair. S'il passe trois semaines dans un carton ouvert près de la photocopieuse, la protection réelle est nulle, quel que soit le niveau DIN de l'appareil qui l'attend.
En pratique : les documents à détruire doivent être stockés dans un contenant fermant à clé ou dans un local non accessible au public et aux personnes non habilitées, pendant toute la durée de l'attente. Les corbeilles de collecte ouvertes, très répandues, sont exactement le maillon faible ; si vous passez par un prestataire, exigez des armoires verrouillées, pas des bacs à couvercle libre.
Corollaire : plus l'attente est longue, plus le risque est grand — et un appareil sous-dimensionné, qui refroidit en permanence, fabrique mécaniquement des piles de documents en clair. Ce dimensionnement est traité sur notre page destructeur de documents professionnel.
Traçabilité : registre, politique de conservation, certificat
Le registre des traitements recense vos traitements et, pour chacun, la durée de conservation prévue. Il doit couvrir vos traitements papier comme vos traitements informatiques. C'est le document de référence à partir duquel se déduit tout le reste : si le registre indique une durée, la destruction devient une échéance planifiable et non une improvisation.
La politique de conservation écrite est la traduction opérationnelle du registre : quel type de document, conservé combien de temps, par qui, détruit comment. Elle n'a pas besoin d'être longue ; elle a besoin d'exister et d'être suivie. Les durées usuelles par famille de documents sont regroupées sur notre page quels documents détruire, lesquels garder.
Le certificat de destruction intervient quand vous externalisez. Il n'est pas exigé en tant que tel par le règlement, mais c'est la preuve la plus simple et la plus robuste que l'opération a eu lieu. Surtout, le prestataire de destruction agit comme sous-traitant : la relation doit être encadrée par un contrat écrit précisant l'objet, la durée, les mesures de sécurité, la confidentialité du personnel et le sort des données. Choisir un prestataire n'est pas transférer sa responsabilité : vous restez responsable du choix et du suivi.
Indépendants et TPE : vos obligations réelles
Une idée fausse circule largement : en dessous d'un certain effectif, on serait dispensé. C'est inexact. Ce qui varie selon la taille et l'activité, c'est essentiellement l'obligation de désigner un délégué à la protection des données, et certains allègements documentaires très encadrés. Les obligations de fond — sécurité adaptée, limitation des durées, information des personnes, tenue d'un registre — s'appliquent à un cabinet d'infirmière libérale comme à un grand groupe.
Pour un indépendant, la mise en conformité de la partie papier tient en réalité en trois gestes : un meuble qui ferme à clé pour les dossiers actifs et ceux en attente de destruction, un destructeur au bon niveau posé à portée, et une page écrite listant vos catégories de documents avec leur durée de conservation. C'est peu, c'est faisable en une matinée, et c'est ce qui sépare une structure exposée d'une structure défendable.
Une benne de dossiers est une violation de données
Le point est contre-intuitif : on associe spontanément la violation de données au piratage informatique. Or une violation est une atteinte à la confidentialité, à l'intégrité ou à la disponibilité des données, quelle qu'en soit la cause. Des dossiers clients lisibles jetés dans une benne accessible, un carton d'archives oublié lors d'un déménagement, une armoire laissée ouverte sur le trottoir : ce sont des violations de données à caractère personnel.
Elles doivent être traitées comme telles : documentation interne de l'incident, évaluation du risque pour les personnes concernées, notification à l'autorité de contrôle selon les règles applicables, et information des personnes lorsque le risque est élevé. C'est l'argument le plus concret pour investir dans une procédure sérieuse : le coût du matériel est sans commune mesure avec celui de la gestion d'un incident.
La check-list opérationnelle en 7 points
- Inventoriez vos catégories de documents papier contenant des données personnelles, et rattachez-les à votre registre des traitements.
- Fixez une durée de conservation par catégorie, écrite, et une date de purge récurrente dans l'année.
- Choisissez un niveau DIN par catégorie et notez la justification en une phrase : c'est votre analyse de risque.
- Sécurisez l'attente : contenant fermant à clé ou local restreint pour tout document en attente de destruction, sans exception.
- Dimensionnez la machine pour que la destruction suive le flux : une machine sous-dimensionnée fabrique des piles de documents en clair.
- Encadrez le prestataire par un contrat de sous-traitance et exigez un certificat de destruction à chaque collecte.
- Formez et rappelez : une consigne affichée près du destructeur (« ce qui porte un nom ne va jamais à la corbeille ») produit plus d'effet qu'une procédure de vingt pages.
Questions fréquentes
Le RGPD s'applique-t-il vraiment au papier ?
Oui, dès lors que les documents papier contiennent des données personnelles et sont organisés dans un ensemble structuré selon des critères déterminés : dossiers clients classés par nom, fiches patients, classeurs du personnel. Une note manuscrite isolée et non classée n'entre pas dans le même cadre, mais dès qu'il existe un système de classement permettant de retrouver une personne, le papier est traité comme le numérique.
Le RGPD impose-t-il un niveau DIN précis ?
Non. Le texte n'impose aucun niveau DIN 66399 ni aucune technique de destruction. Il impose une sécurité adaptée au risque, à vous de la déterminer et de la justifier. La norme DIN est un outil pratique pour documenter ce choix, pas une obligation légale en soi.
La coupe en bandes suffit-elle pour des données personnelles ?
Ce n'est pas une bonne pratique. Des bandes longues restent reconstituables avec de la patience ou des outils informatiques, et une seule bande peut contenir un nom complet, un IBAN ou un numéro de dossier lisible. Pour des données personnelles identifiantes, la coupe croisée est le minimum raisonnable et la micro-coupe la valeur sûre.
Que faire des documents en attente de destruction ?
Ils doivent être protégés au même niveau que des documents actifs : armoire ou bac fermant à clé, local non accessible au public, jamais un carton ouvert dans un couloir ou une corbeille de tri. Un document en attente reste un document en clair, et l'obligation de sécurité s'applique jusqu'à sa destruction effective.
Un indépendant sans salarié a-t-il des obligations ?
Oui. Les obligations de sécurité, de limitation de la durée de conservation et de tenue d'un registre des traitements s'appliquent indépendamment de la taille de la structure. La désignation d'un délégué à la protection des données n'est en revanche obligatoire que dans certains cas ; son absence ne dispense d'aucune des autres obligations.
Faut-il un certificat de destruction ?
Il n'est pas exigé en tant que tel, mais il constitue la preuve la plus simple que la destruction a bien eu lieu. Quand vous passez par un prestataire, demandez-le systématiquement et conservez-le. Le prestataire agit comme sous-traitant et doit être encadré par un contrat écrit précisant ses obligations de sécurité et de confidentialité.
Des documents non détruits constituent-ils une violation de données ?
Oui. Une benne ou un local contenant des dossiers clients lisibles et accessibles est une violation de données à caractère personnel au même titre qu'une fuite informatique : il y a perte de confidentialité. Elle doit être traitée comme telle, documentée en interne, et notifiée à l'autorité de contrôle selon les règles applicables.
Et ensuite ? Cette page pose le cadre ; le passage à l'acte commence par l'inventaire. Continuez avec quels documents détruire, lesquels garder pour vos durées de conservation, puis choisissez le matériel adapté sur le guide du destructeur de documents. Cette page a une visée informative et ne constitue pas un conseil juridique : pour une situation particulière, rapprochez-vous d'un professionnel du droit ou de l'autorité de contrôle compétente.