RGPD et destruction des documents : obligations, niveau DIN et sanctions

« Suis-je vraiment obligé d'avoir un destructeur pour être en règle avec le RGPD ? » C'est une question qu'on nous pose souvent. La réponse courte : non, le RGPD ne vous impose pas de posséder un destructeur — mais il vous demande de détruire tout document contenant des données personnelles de façon sûre et irréversible. Et au bureau, pour ça, un destructeur à coupe croisée P-4 minimum reste la solution la plus simple (P-5 ou plus pour des données sensibles). On vous explique tout.

Que dit vraiment le RGPD sur la destruction des documents ?

Le RGPD (Règlement Général sur la Protection des Données, en vigueur depuis mai 2018) ne s'occupe pas que du numérique : il couvre aussi le papier. Concrètement, deux obligations vous concernent directement :

• La sécurité du traitement (article 32) : vous devez prendre des mesures « appropriées » contre tout accès non autorisé aux données — y compris au moment où vous vous en débarrassez.
• Le droit à l'effacement (article 17) : n'importe qui peut demander la suppression de ses données, et vous devez pouvoir prouver qu'un document papier le concernant a bien été détruit.

Autrement dit : jeter une fiche client ou un bulletin de paie à la corbeille, tel quel, n'est pas conforme. Le document reste lisible — et donc reconstituable.

Faut-il obligatoirement un destructeur de documents ?

Non — le RGPD n'impose aucun équipement précis. Il exige un résultat : des données irrécupérables. Pour du papier, deux voies :

1. Un destructeur de documents sur place — la solution la plus simple et immédiate au bureau.
2. Un prestataire de destruction certifié (norme NF EN 15713) qui collecte et détruit vos archives — pertinent pour de gros volumes.

Pour un usage quotidien, le destructeur reste la réponse la plus économique et la plus traçable.

Quel niveau de destruction viser pour être conforme ?

Le RGPD ne cite aucun niveau DIN, mais le standard professionnel est clair :

Type de données	Niveau DIN conseillé
Documents internes non personnels	P-3
Données personnelles (clients, RH, courriers)	P-4 minimum
Données sensibles (santé, finances, judiciaire)	P-5 ou plus

Le niveau correspond à la finesse de coupe : plus il est élevé, plus les particules sont petites et le document irréconstituable. Le détail des 7 niveaux est expliqué dans notre guide de la norme DIN 66399.

Quelles sanctions en cas de manquement ?

Une fuite de données personnelles — y compris via des documents papier mal détruits — expose l'organisation à des sanctions de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. S'y ajoute l'atteinte à la réputation, souvent plus coûteuse encore sur la durée.

Comment se mettre en conformité concrètement ?

• Équipez les postes sensibles d'un destructeur P-4 minimum (coupe croisée).
• Ne laissez jamais un document nominatif partir à la corbeille classique.
• Sensibilisez les équipes : la conformité tient d'abord au réflexe quotidien.
• Pour les archives et les gros volumes, passez par un prestataire certifié.

Quel destructeur pour du RGPD ?

Pour un bureau qui traite des données personnelles, ciblez un modèle P-4 à coupe croisée, idéalement à lubrification automatique pour tenir la cadence dans la durée :

Un doute sur le niveau adapté à votre activité ? Appelez-nous au 02 41 79 39 74 ou passez par Pro-Destructeurs.com, on vous oriente vers le bon modèle. À très bientôt !