RGPD 2026 : destruction d’archives et conformité

Vendredi 07 août 2026

Le RGPD n’est pas limité aux bases de données, aux logiciels ou aux échanges numériques. Les dossiers papier classés par salarié, client, patient, usager ou fournisseur peuvent eux aussi contenir des données personnelles soumises à des règles de conservation, de sécurité et de suppression. En 2026, les entreprises doivent donc regarder au-delà de la simple accumulation d’archives : conserver trop longtemps un document sensible peut créer un risque juridique, organisationnel et réputationnel. À l’inverse, le détruire trop tôt peut faire disparaître une preuve encore nécessaire ou contrevenir à une obligation légale.

Avec Destrudata, la destruction d’archives s’inscrit dans une démarche structurée qui relie le calendrier de conservation, le tri, le broyage sécurisé et la traçabilité. L’objectif n’est pas seulement de libérer de la place, mais de maîtriser réellement la fin de vie des informations sur support papier.

Sommaire

Les archives papier sont pleinement concernées par le RGPD
Déterminer la bonne durée de conservation avant toute destruction
Pourquoi l’expiration d’une durée doit conduire à une suppression effective
Prouver la destruction pour renforcer l’accountability
Organiser une destruction d’archives sécurisée et traçable

1. Les archives papier sont pleinement concernées par le RGPD

Le RGPD s’applique aux traitements automatisés, mais aussi aux données personnelles conservées dans des fichiers papier structurés. Un dossier de recrutement classé par nom, une fiche client, un dossier médical, un registre de visiteurs ou des documents sociaux peuvent donc entrer dans son champ d’application. La CNIL rappelle d’ailleurs qu’un traitement n’est pas nécessairement informatisé et que les fichiers papier doivent être protégés dans les mêmes conditions.

Le support ne change pas la nature du risque. Une armoire mal fermée, un local d’archives accessible sans contrôle, un carton laissé dans un couloir ou des documents jetés dans une benne peuvent provoquer une divulgation non autorisée. Or la sécurité doit être assurée pendant toute la durée de vie des informations, jusqu’à leur élimination.

La destruction de documents confidentiels n’est donc pas une simple opération logistique. Elle constitue la dernière étape d’un traitement de données. Pour être cohérente avec le RGPD, elle doit intervenir au bon moment, selon une procédure définie et avec un niveau de sécurité adapté à la sensibilité des dossiers concernés.

2. Déterminer la bonne durée de conservation avant toute destruction

Le principe de limitation de la conservation interdit de garder des données personnelles indéfiniment. La durée doit être déterminée en fonction de la finalité du traitement, sauf lorsqu’un texte impose une période précise. La CNIL distingue trois phases : la conservation en base active, l’archivage intermédiaire lorsque le dossier reste nécessaire pour une obligation ou un contentieux, puis, dans certains cas seulement, l’archivage définitif.

Avant de lancer une destruction d’archives, l’entreprise doit donc vérifier :

La nature du document et les données qu’il contient ;
L’objectif pour lequel il a été créé ou collecté ;
La durée légale, contractuelle ou administrative applicable ;
L’existence éventuelle d’un litige, d’un contrôle ou d’un besoin probatoire ;
La décision finale prévue : destruction, anonymisation ou conservation définitive.

Les délais varient selon les documents et les secteurs. Une facture, un dossier RH, un contrat, une pièce médicale ou un dossier contentieux ne suivent pas nécessairement le même calendrier. Aucun document ne doit être détruit avant la fin de sa durée obligatoire de conservation.

Pour les archives publiques, des règles particulières s’appliquent : leur élimination nécessite notamment un bordereau visé par l’autorité compétente en matière de contrôle scientifique et technique.

Service de destruction d’archives

Service de destruction de disques durs

3. Pourquoi l’expiration d’une durée doit conduire à une suppression effective

Définir un tableau de conservation ne suffit pas si les cartons arrivés à échéance continuent de s’accumuler. Une fois que la finalité initiale et, le cas échéant, la période d’archivage intermédiaire sont terminées, les données doivent en principe être supprimées ou anonymisées, sauf justification d’un archivage définitif. La CNIL souligne également que l’absence de mécanisme de purge et les durées excessives figurent parmi les manquements fréquemment constatés.

Pour le papier, la suppression doit être matérielle et irréversible. Déplacer des dossiers vers une cave, retirer une étiquette d’un carton ou déposer des feuilles entières dans une filière de recyclage classique ne permet pas de neutraliser les informations. Tant que les documents restent lisibles ou reconstituables, les données demeurent exposées.

Le droit à l’effacement doit aussi être intégré aux procédures, sans être confondu avec une obligation de destruction immédiate dans tous les cas. Une demande peut devoir être refusée ou différée lorsqu’une obligation légale impose encore la conservation ou lorsque les données restent nécessaires à la constatation, à l’exercice ou à la défense de droits.

La bonne pratique consiste donc à relier chaque décision de destruction à une règle documentée, plutôt qu’à procéder au cas par cas sans validation.

4. Prouver la destruction pour renforcer l’accountability

Le RGPD repose sur un principe d’« accountability », c’est-à-dire la capacité de l’organisme à mettre en œuvre des mesures adaptées et à démontrer sa conformité. Une politique de destruction crédible doit donc produire des éléments vérifiables, et pas seulement faire disparaître physiquement des cartons.

La traçabilité peut notamment comprendre :

Le calendrier ou référentiel de conservation utilisé ;
L’identification des catégories d’archives arrivées à échéance ;
La validation interne de leur élimination ;
La date de l’intervention et le prestataire mobilisé ;
Le certificat de destruction et les informations associées à l’opération.

Après nos interventions, un certificat de destruction est remis et mentionne la quantité d’archives détruites. Ce document contribue à démontrer qu’une opération planifiée a bien été exécutée. Il doit toutefois être conservé avec les autres pièces de la procédure : inventaires, autorisations, règles de tri et responsabilités internes.

Le certificat ne garantit pas, à lui seul, une conformité RGPD complète. Il apporte une preuve utile sur la fin de vie des documents, tandis que la conformité globale dépend aussi de leur collecte, de leur accès, de leur utilisation, de leur durée de conservation et de la gestion des droits des personnes.

5. Organiser une destruction d’archives sécurisée et traçable

Une procédure efficace commence bien avant l’arrivée du broyeur. L’entreprise doit attribuer des responsabilités claires, recenser les principales familles documentaires, fixer les dates d’échéance et prévoir des revues périodiques. Les dossiers sélectionnés doivent ensuite être isolés de ceux qui restent soumis à une obligation de conservation, afin d’éviter toute destruction prématurée.

Pour les besoins réguliers, nous pouvons mettre à disposition des conteneurs sécurisés dans les locaux. Lors de l’intervention, nos agents prennent en charge les archives et les placent dans des contenants qui ne sont ouverts qu’à l’intérieur de l’unité mobile. Nos camions broyeurs réalisent ensuite la destruction directement sur site, devant les locaux. Un représentant du client peut assister à l’opération grâce à l’écran installé sur le camion. Les matières issues du broyage sont ensuite orientées vers le recyclage.

Cette organisation réduit les transports de documents encore lisibles et limite les manipulations entre leur prise en charge et leur destruction. Elle peut être mobilisée pour une opération ponctuelle, par exemple après un déménagement ou un tri massif, comme pour un besoin récurrent.

La destruction sécurisée d’archives devient ainsi un maillon concret de la gouvernance des données. Elle ne remplace ni le registre des traitements ni la politique de conservation, mais elle permet d’exécuter de manière fiable les décisions prises par l’entreprise.

Conclusion

En 2026, la conformité au RGPD ne peut plus s’arrêter à la gestion des fichiers numériques. Les archives papier doivent elles aussi être inventoriées, protégées, conservées pendant une durée justifiée puis éliminées de façon irréversible lorsque leur maintien n’est plus nécessaire. La difficulté consiste à trouver le bon équilibre : ne jamais détruire avant l’échéance applicable, mais ne pas laisser subsister indéfiniment des dossiers contenant des données sensibles.

Une procédure solide associe un calendrier de conservation, des validations internes, une chaîne de sécurité, un broyage adapté et une preuve de l’opération. Pour organiser une destruction ponctuelle ou régulière, directement sur site et avec remise d’un certificat, contactez-nous afin d’échanger sur vos volumes, vos contraintes et vos besoins avec Destrudata.