Entreprises : quelles responsabilités légales en cas de destruction de données physiques ?

Dossiers clients égarés, disques durs jetés sans précaution, archives papier laissées à l’abandon dans un local inondé… La destruction de données physiques est un risque juridique réel. En France et en Europe, les entreprises qui ne protègent pas correctement les informations qu’elles détiennent s’exposent à des sanctions financières lourdes, à des poursuites et à une perte de confiance difficile à rattraper.

Que dit la loi exactement ? Et comment s’en prémunir ?

Ce que la loi impose aux entreprises

Le RGPD (Règlement Général sur la Protection des Données), en application depuis 2018, impose à toute entreprise traitant des données personnelles une obligation de sécurité. L’article 32 exige la mise en place de mesures techniques et organisationnelles adaptées au risque, y compris la protection contre la destruction accidentelle ou illicite de données, qu’elles soient numériques ou physiques.

En droit français, la loi Informatique et Libertés complète ce dispositif. Le Code pénal prévoit aussi des sanctions en cas de négligence grave ayant conduit à la divulgation ou à la perte de données sensibles. Un dossier médical jeté dans une benne à ordures, un registre comptable détruit par un dégât des eaux faute de rangement sécurisé : ce n’est pas de la malchance. C’est potentiellement une faute juridique.

Données physiques : de quoi parle-t-on ?

On pense souvent aux cyberattaques et aux serveurs piratés.

Pourtant, une part considérable des données sensibles existe encore sous forme physique : contrats papier, fiches de paie, dossiers RH, plans industriels, documents notariés, supports de sauvegarde (clés USB, disques durs externes), bandes magnétiques.

La destruction de ces supports, volontaire, accidentelle ou causée par un sinistre, engage la responsabilité de l’entreprise si elle n’avait pas pris de mesures de protection raisonnables. Et le juge ne se contentera pas de vérifier si vous aviez un extincteur. Il regardera l’ensemble du dispositif : stockage sécurisé, procédures d’archivage, politique de destruction contrôlée, traçabilité.

Ce que risquent réellement les entreprises

Le volet financier est le plus connu. En cas de manquement au RGPD, la CNIL peut infliger des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Mais ce n’est pas tout.

Les sanctions pénales peuvent atteindre 5 ans d’emprisonnement et 300 000 € d’amende pour le dirigeant en cas de manquement grave à la sécurité des données personnelles (article 226-17 du Code pénal). Sur le plan civil, les personnes dont les données ont été détruites ou exposées peuvent réclamer des dommages et intérêts. En cas de recours collectif, la facture grimpe vite.

Au-delà des chiffres, il y a l’atteinte à la réputation. Une entreprise qui perd les dossiers médicaux de ses salariés ou les données bancaires de ses clients ne s’en remet pas facilement. La confiance ne se restaure pas par communiqué de presse.

Destruction accidentelle ou destruction négligente : la distinction compte

Un incendie imprévisible qui ravage des locaux, ça arrive. La loi en tient compte : on ne reprochera pas à une entreprise un événement réellement imprévisible et irrésistible (la force majeure). En revanche, si les archives étaient stockées dans un sous-sol humide sans protection, sans copie de sauvegarde et sans coffre adapté, l’entreprise aura du mal à plaider l’imprévisibilité.

Le critère déterminant, c’est la diligence. Le juge et la CNIL examinent ce que l’entreprise a fait, ou n’a pas fait, pour anticiper le risque. Pas de procédure documentée de conservation ? Pas de dispositif de stockage sécurisé ? Pas de plan de continuité d’activité ? C’est la négligence qui sera retenue, pas la fatalité.

Des obligations renforcées selon les secteurs

Certaines entreprises sont soumises à des règles de conservation plus strictes. Les établissements de santé doivent conserver les dossiers médicaux pendant 20 ans minimum. Les entreprises du secteur financier sont tenues de garder certains documents comptables pendant 10 ans. Les cabinets d’avocats, les notaires, les experts-comptables ont aussi des durées légales strictes.

Détruire ces documents avant l’échéance, même involontairement, constitue un manquement réglementaire qui peut déclencher des contrôles, des sanctions disciplinaires et des poursuites. Le secteur d’activité détermine le niveau d’exigence, mais aucune entreprise n’est exemptée de l’obligation générale de sécurité.

Comment protéger concrètement les données physiques

La meilleure défense reste la prévention. Et elle passe par des choix concrets, pas par des déclarations d’intention. Premier réflexe : stocker les documents sensibles et les supports numériques dans un coffre-fort certifié anti-feu et anti-effraction. Un coffre ignifuge protège vos archives en cas d’incendie pendant 30 minutes à 2 heures selon les modèles, de quoi sauver l’essentiel.

Il faut aussi mettre en place une politique de gestion documentaire claire : quels documents conserver, combien de temps, où, et comment les détruire quand le moment vient (broyage certifié, destruction par un prestataire agréé avec certificat).

Chez Lyon Coffres, nous accompagnons depuis plus de 35 ans les entreprises dans le choix de solutions de stockage sécurisé adaptées à leurs obligations légales. Coffres-forts, armoires fortes, armoires ignifuges : chaque besoin a sa réponse, et mieux vaut investir dans la protection que dans la gestion de crise.

Destruction volontaire et destruction sécurisée : deux choses différentes

Dernier point souvent mal compris : détruire un document, c’est aussi un acte encadré par la loi. Jeter des dossiers contenant des données personnelles dans une poubelle classique, c’est une violation du RGPD. La destruction doit être irréversible et traçable. Pour le papier, un broyeur de niveau P-4 minimum est recommandé. Pour les disques durs, un effacement certifié ou une destruction physique par un prestataire spécialisé.

L’entreprise doit pouvoir prouver que la destruction a bien eu lieu, à quelle date, et selon quel procédé. Sans cette traçabilité, elle reste responsable des données qu’elle pensait avoir éliminées. En matière de protection des données, ce n’est jamais le geste qui compte, c’est la preuve du geste.