Mise hors service & destruction des données.

Même hiérarchie que pour les particuliers, mais avec des exigences de documentation :

1. Efface les données — avec un certificat. Le risque n'est plus « quelqu'un pourrait récupérer une photo » ; c'est « es-tu conforme au RGPD ». La norme est NIST SP 800-88 Rev. 1 (Guidelines for Media Sanitization). Chaque disque qui quitte l'organisation a besoin d'un certificat d'assainissement référençant le niveau appliqué (Clear, Purge ou Destroy).

2. Cascade vers les canaux de don là où c'est possible. Un portable d'entreprise de 5 ans est souvent l'inventaire principal d'une association d'inclusion numérique. Plusieurs programmes luxembourgeois (Digital Inclusion parmi eux) acceptent les dons d'entreprise à l'échelle — souvent avec enlèvement par camion, reçus fiscaux et documentation de suivi.

3. ITAD uniquement pour la vraie fin de vie. Quand l'appareil ne peut vraiment plus remplir un autre rôle, les partenaires ITAD (IT Asset Disposition) gèrent le démantèlement, la récupération des matériaux et la documentation nécessaire à l'audit environnemental (manifestes de déchets, rapports de récupération de matériaux).

Chaque étape a des conséquences d'audit. Rate l'étape 1 et tu as une violation de données. Saute l'étape 2 et tu gaspilles des ressources. Ne fais pas correctement l'étape 3 et tu as un trou de conformité environnementale.

Les partenaires ITAD (IT Asset Disposition) gèrent la fin de vie physique : enlèvement sur ton site, destruction sécurisée des données, démantèlement, récupération des matériaux, et revente de ce qui a encore de la valeur. Ils ne sont pas tous équivalents. Les certifications ci-dessous sont la barre minimale pour un usage en entreprise :

• ISO 14001 (management environnemental) — les propres opérations du partenaire sont documentées et auditées pour leur impact environnemental. Sans elle, tu ne peux pas défendre le volet environnemental de ta mise hors service.

• ISO 27001 (sécurité de l'information) — les propres opérations du partenaire sont documentées et auditées pour la sécurité de l'information. Sans elle, la responsabilité RGPD de toute donnée compromise te suit, pas lui.

• Certificats d'assainissement NIST SP 800-88 par appareil — confirmation écrite que chaque disque a été assaini, à quel niveau, par quel technicien. La piste d'audit qui rend la destruction des données défendable.

• Certification R2 (Responsible Recycling) ou e-Stewards — certifications ITAD mondiales couvrant le suivi en aval. Confirme que les matériaux que tu remets ne finissent pas dans des filières de recyclage informelles à l'étranger.

Ce qu'il faut demander dans le cahier des charges : copies des certifications, exemples de rapports d'audit, exemples de certificats d'assainissement, et la carte de la chaîne d'approvisionnement en aval (où vont réellement les matériaux après le démantèlement).

Les appareils qui ne conviennent plus à ton parc ont souvent encore des années de vie utile pour quelqu'un d'autre. Le calcul carbone le dit : un appareil donné évite en aval l'empreinte de fabrication d'un appareil neuf (~250 kg CO₂e par portable), en supposant que le bénéficiaire aurait sinon acheté un neuf ou un reconditionné.

Au Luxembourg, le principal canal de don d'entreprise est Digital Inclusion Luxembourg (digital-inclusion.lu). Ils acceptent les dons d'entreprise en masse, viennent par camion pour les plus gros volumes, et fournissent une documentation de suivi pouvant appuyer des reçus fiscaux.

Ce qu'ils veulent :

• Portables, ordinateurs de bureau, écrans, tablettes, smartphones fonctionnels, assez récents pour recevoir encore des mises à jour de sécurité.
• Disques effacés au niveau NIST 800-88 Clear ou supérieur (ils réinstallent de toute façon, mais tu dois le faire pour la conformité RGPD).
• Volume préféré — ils ont la logistique pour 20+ appareils en un seul dépôt.

Ce qu'ils ne peuvent pas utiliser :

• Appareils de plus de 8–10 ans (trop vieux pour installer confortablement un Linux moderne).
• Appareils avec écrans, cartes mères ou batteries non fonctionnels qu'on ne peut pas remplacer de façon économique — ceux-là vont à l'ITAD.

Autres voies de cascade : écoles, ONG de formation, programmes de rachat par les employés (vente à prix réduit unique au personnel en fin de cycle), reconditionneurs régionaux qui achètent en gros le stock d'anciens parcs d'entreprise.

Un partenaire ITAD sérieux envoie des rapports trimestriels de récupération de matériaux. Ils identifient, par masse, ce qui a été récupéré des appareils traités : aluminium, cuivre, plastique, verre, lithium, cobalt, or, argent, terres rares.

À partir d'un portable typique, la technologie actuelle récupère :

• Le châssis en aluminium à près de 100 %.
• Le cuivre dans les câbles et les pistes à ~95 %.
• L'or et l'argent dans les connecteurs et les broches d'IC à ~70–80 %.
• Le lithium et le cobalt dans les batteries à ~50–70 % (en hausse, le règlement européen sur les matières premières critiques incitant l'infrastructure de récupération).
• Les terres rares (néodyme, dysprosium) à <30 % — technologie actuelle, s'améliorant lentement.

Le rapport de récupération de matériaux appuie deux choses : le reporting CSRD (déclarations de cycle de vie Scope 3, voir leçon 5) et le récit de durabilité de l'entreprise. « Nous avons mis hors service X appareils, récupérant Y tonnes d'aluminium, Z kg de cuivre, A grammes d'or » est le langage qui survit à un audit. « Nous les avons envoyés à un recycleur » ne l'est pas.

Les leçons 1 à 4 ont couvert le volet opérationnel : quoi acheter, comment le maintenir en service, comment l'éliminer. La dernière leçon couvre le volet reporting et conformité — transformer toute cette discipline opérationnelle en déclarations défendables, en KPI qu'un auditeur accepterait, et en alignement avec le pipeline réglementaire de l'UE arrivant en 2026.

La Leçon 5 — Reporting & conformité couvre quoi mesurer, comment le rapporter, et quels instruments de l'UE (CSRD, ESRS E1+E5, droit à la réparation, règlement sur les matières premières critiques) exigent quoi du cycle de vie IT.