Rachat de matériel informatique pour la banque et l'assurance

Secret bancaire et données d'assurés : ce que garde un poste en fin d'usage

Le secret bancaire est une obligation légale qui vise les personnes autant que les systèmes. L'article L511-33 du code monétaire et financier dispose que toute personne qui participe à la direction ou à la gestion d'un établissement de crédit, ou qui y est employée, « est tenu au secret professionnel ». Un ordinateur de conseiller qui quitte l'agence avec un disque lisible fait sortir ce secret du périmètre de la banque.

Les applications bancaires gardent en général leurs données sur les serveurs, mais le poste en conserve des fragments : fichiers téléchargés, exports de tableur, pièces jointes en cache, profils de navigateur, parfois des identifiants enregistrés. Chez un assureur s'ajoutent des pièces de souscription et de sinistre, dont des données concernant la santé pour la prévoyance ou la complémentaire santé, que l'article 9 du RGPD range parmi les catégories particulières.

Une réinitialisation du système ne répond pas à cette exigence pour un parc professionnel, car elle ne laisse aucune preuve opposable machine par machine. La fiche effacer un PC Windows avant revente détaille les limites de cette méthode.

Le règlement DORA et la fin de vie des équipements : ce que dit le texte

Le règlement (UE) 2022/2554, dit DORA, s'applique depuis le 17 janvier 2025 à vingt catégories d'entités financières, dont les établissements de crédit, les entreprises d'assurance et de réassurance et les intermédiaires d'assurance (art. 2). Il ne parle nulle part de reprise, de revente ou de recyclage d'ordinateurs. Il impose en revanche d'identifier tous les actifs de TIC, « y compris ceux situés sur des sites extérieurs, les ressources du réseau et les équipements matériels », et de tenir des inventaires à jour (art. 8, § 4 et 6).

La fin de vie apparaît dans les normes techniques qui détaillent le cadre de gestion du risque lié aux TIC. Le règlement délégué (UE) 2024/1774 exige une procédure de sécurité des données et des systèmes qui comprend « le processus d'effacement sécurisé des données » dont l'entité n'a plus besoin, et « le processus d'élimination ou de déclassement en toute sécurité des dispositifs de stockage de données » qui contiennent des informations confidentielles (art. 11, § 2, g et h). Son article 4 prescrit un registre où chaque actif de TIC a un identifiant unique, une localisation et un propriétaire. Les entités soumises au cadre simplifié retrouvent ces deux processus à l'article 35.

Exigences d'audit des prestataires : ce qu'une banque ou un assureur peut demander

Pour un service TIC qui soutient une fonction critique ou importante, DORA impose au contrat « les droits illimités d'accès, d'inspection et d'audit par l'entité financière ou par une tierce partie désignée, et par l'autorité compétente » (art. 30, § 3, e). Pour tout contrat de services TIC, il faut déjà préciser les lieux où les données seront traitées et les dispositions de confidentialité (art. 30, § 2, b et c).

Les banques relèvent aussi de l'arrêté du 3 novembre 2014 sur le contrôle interne. Pour les activités externalisées, c'est-à-dire confiées à un tiers de manière durable et à titre habituel (art. 10), le prestataire doit permettre l'accès, le cas échéant sur place, aux informations sur les services fournis (art. 239). Une reprise ponctuelle n'entre pas forcément dans cette définition ; un contrat-cadre de reprise récurrente mérite la question.

Quelle que soit la qualification retenue, la revue d'un prestataire de reprise peut se concentrer sur quatre points : le lieu de l'effacement et le recours éventuel à des sous-traitants, la méthode appliquée à chaque type de support, la forme des preuves remises et la possibilité de vérifier sur place. La grille complète se trouve dans la fiche pour comparer les prestataires de rachat informatique sur douze critères.

Destock Info réalise toute la chaîne sur un seul site de 1 200 m², à Veurey-Voroize en Isère, sans confier l'effacement à un tiers, et accueille les visites lorsque le projet le justifie. Son équipe de douze techniciens remet en état 24 000 ordinateurs chaque année, et l'entreprise exerce ce métier depuis 2008.

Une preuve par équipement, rapprochée du registre des actifs

La preuve utile à une entité financière est unitaire. Un procès-verbal global annonçant 200 postes effacés ne permet pas de solder 200 lignes d'un registre d'actifs ; un certificat par numéro de série, si. Celui que remet Destock Info réunit dans un document scellé le numéro de série, le modèle de la machine, la méthode employée et l'horodatage du traitement. Les niveaux Clear et Purge et le cas des SSD sont décrits sur la page effacement sécurisé et certifié des données.

Le rapprochement se fait en trois temps :

1. avant l'enlèvement, l'export du registre fixe la liste des numéros de série qui sortent ;
2. à réception des certificats, chaque numéro est apparié à son certificat, et tout écart se règle avant la clôture du dossier ;
3. la ligne du registre est soldée avec sa date de sortie, la référence du certificat et le devenir de la machine, reconditionnée ou recyclée.

Lorsqu'un disque résiste à l'effacement, il est détruit physiquement, en dernier recours, et sa destruction donne lieu à la même documentation qu'un effacement. Les autres pièces d'une cession et les clauses à exiger du cessionnaire sont présentées dans la fiche sur l'attestation de cession de matériel informatique.

Siège, agences et plateformes : sortir un parc bancaire dispersé

Le parc d'un réseau bancaire ou d'un assureur se répartit entre un siège, des centres de services et des agences qui détiennent chacune quelques postes. Destock Info peut regrouper plusieurs sites dans une même planification : chaque site garde sa liste de numéros de série, et les certificats rejoignent ensuite un dossier unique.

Portables, unités centrales, PC all-in-one et moniteurs sont repris quelle que soit la marque, en état de marche ou non. Les moniteurs des salles de marché et des plateaux de gestion ne contiennent pas de données ; leur valeur dépend de l'état de la dalle. Les serveurs sont étudiés au cas par cas.

Les portables des collaborateurs itinérants posent une autre question, celle des verrous. Un appareil inscrit dans un outil de gestion de flotte ou dans Windows Autopilot doit être libéré par l'organisation, avec ses accès d'administration, avant l'enlèvement. La démarche est décrite dans la fiche pour libérer un PC de son MDM et d'Autopilot.

Rachat de matériel informatique en banque : appel d'offres et contrat-cadre

Une banque ou un groupe d'assurance qui consulte plusieurs prestataires gagne à traiter la reprise comme un lot distinct, avec ses propres exigences : niveau d'effacement attendu par type de support, forme et délai des certificats, conditions de visite, sort des machines non reconditionnables. La fiche pour rédiger le cahier des charges d'une reprise informatique propose une structure de lots, de clauses et de critères de notation.

Pour un renouvellement par vagues, un contrat-cadre fixe une fois les modalités et les documents ; chaque vague donne ensuite lieu à une cotation sur la liste des machines. Le prix final suit l'audit en atelier, qui confirme l'état de chaque poste et lui attribue un grade, de A à B.

Le logo du groupe BPCE fait partie des références publiées par Destock Info.

Sources

• Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), art. 2, 3, 8, 30 et 64 EUR-Lex, Journal officiel de l'UE, 27 décembre 2022
• Règlement délégué (UE) 2024/1774 précisant les outils, méthodes, processus et politiques de gestion du risque lié aux TIC, art. 4, 11 et 35 EUR-Lex, Journal officiel de l'UE, 25 juin 2024
• Code monétaire et financier, article L511-33 (secret professionnel) Légifrance, version en vigueur depuis le 10 avril 2024
• Arrêté du 3 novembre 2014 relatif au contrôle interne, article 10 (définition de l'externalisation) Légifrance
• Arrêté du 3 novembre 2014 relatif au contrôle interne, article 239 (prestataires externes) Légifrance
• Règlement (UE) 2016/679 (RGPD), article 9 (catégories particulières de données) EUR-Lex