Fermer son entreprise : que faire des données informatiques et obligations RGPD
Mis à jour le 24 octobre 2026
Chaque année, près de 55 000 entreprises sont liquidées en France. Si les aspects juridiques et comptables de la fermeture sont généralement bien encadrés, la gestion des données informatiques reste un angle mort pour la majorité des dirigeants. Pourtant, le RGPD impose des obligations strictes en matière de conservation et de destruction des données personnelles, même après la cessation d’activité. Ignorer ces obligations peut entraîner des sanctions pouvant atteindre 20 millions d’euros.
Sommaire
Les obligations légales liées aux données lors d’une fermeture
La fermeture d’une entreprise ne met pas fin aux obligations en matière de protection des données personnelles. Le RGPD continue de s’appliquer tant que des données personnelles existent, quel que soit le statut juridique de l’entreprise.
Ce que dit le RGPD
Le règlement européen impose au responsable de traitement de garantir la sécurité des données personnelles jusqu’à leur suppression définitive. Cela signifie que même pendant la période de liquidation, vous devez maintenir les mesures de protection appropriées.
- Les données personnelles doivent être conservées uniquement le temps nécessaire aux finalités pour lesquelles elles ont été collectées
- Les personnes concernées conservent leurs droits (accès, rectification, suppression) jusqu’à la destruction effective des données
- Le responsable de traitement doit pouvoir justifier de la destruction sécurisée des données
Les obligations fiscales et comptables
Attention : certaines données doivent être conservées bien au-delà de la fermeture. Les documents comptables doivent être archivés pendant 10 ans. Les factures et pièces justificatives pendant 6 ans. Ces obligations prévalent sur le droit à l’effacement du RGPD.
Point clé : La CNIL recommande de désigner un référent données personnelles pendant toute la durée de la liquidation. Ce référent sera chargé de répondre aux demandes d’exercice de droits et de superviser la destruction des données.
Réaliser l’inventaire de toutes vos données
Avant toute opération de suppression, il est indispensable de dresser un inventaire exhaustif de toutes les données détenues par l’entreprise. Cette cartographie permettra d’identifier ce qui doit être conservé, ce qui peut être supprimé et ce qui doit être transféré.
Les catégories de données à recenser
- Données clients : fichiers clients, historiques de commandes, correspondances
- Données salariés : dossiers du personnel, bulletins de paie, contrats de travail
- Données fournisseurs : contrats, factures, coordonnées
- Données comptables : écritures, bilans, déclarations fiscales
- Données marketing : bases de prospection, newsletters, consentements
- Données techniques : logs, sauvegardes, configurations
Les supports à ne pas oublier
Les données ne se trouvent pas uniquement sur les serveurs. Pensez à inventorier tous les supports :
- Serveurs physiques et virtuels
- Postes de travail et ordinateurs portables
- Services cloud et SaaS (messagerie, CRM, stockage en ligne)
- Téléphones mobiles et tablettes
- Clés USB et disques durs externes
- Sauvegardes sur bande ou sur disque
- Documents papier contenant des données personnelles
Durées de conservation et archivage obligatoire
Toutes les données ne peuvent pas être supprimées immédiatement. Certaines obligations légales imposent des durées de conservation minimales qu’il faut respecter, même après la fermeture.
Comment organiser l’archivage
Pour les données soumises à obligation de conservation, mettez en place un archivage sécurisé. Les données archivées doivent être stockées dans un environnement protégé, avec un accès restreint aux seules personnes habilitées.
Privilégiez un archivage numérique certifié auprès d’un tiers de confiance. Ce type de service garantit l’intégrité des documents et leur valeur probante pendant toute la durée de conservation requise.
Détruire les données de manière sécurisée
La suppression simple d’un fichier ne suffit pas. Les données effacées de manière classique peuvent être récupérées avec des outils spécialisés. Pour garantir une destruction irrécupérable, il faut utiliser des méthodes appropriées.
Méthodes de destruction des données numériques
- Effacement sécurisé : utilisation de logiciels certifiés qui écrasent les données plusieurs fois (norme DoD 5220.22-M)
- Dégaussage : démagnétisation des supports magnétiques (disques durs HDD)
- Destruction physique : broyage des disques durs, SSD et supports amovibles
- Suppression des comptes cloud : fermeture définitive des comptes SaaS après export des données à conserver
Obtenir un certificat de destruction
Faites appel à un prestataire certifié pour la destruction des supports de données. Celui-ci doit vous remettre un certificat de destruction mentionnant la date, la méthode utilisée et l’identification des supports détruits. Ce document constitue votre preuve de conformité en cas de contrôle.
Que faire du matériel informatique
Le matériel informatique de l’entreprise doit être traité avec soin, tant pour des raisons de sécurité que pour des raisons environnementales. La réglementation DEEE (Déchets d’Équipements Électriques et Électroniques) encadre strictement la fin de vie du matériel.
Options pour le matériel
- Revente : après effacement sécurisé certifié des données, le matériel en bon état peut être revendu
- Don : à des associations ou écoles, toujours après effacement sécurisé
- Recyclage : via un éco-organisme agréé pour les équipements en fin de vie
- Destruction : pour les supports contenant des données sensibles impossibles à effacer
Dans tous les cas, ne jetez jamais du matériel informatique dans les ordures classiques. Outre l’obligation légale, cela représente un risque de fuite de données si les supports n’ont pas été correctement effacés.
Les étapes chronologiques à suivre
La gestion des données informatiques lors d’une fermeture doit suivre un processus structuré. Voici les étapes à respecter dans l’ordre :
- J-90 : Réaliser l’inventaire complet des données et des supports
- J-60 : Identifier les obligations de conservation par catégorie de données
- J-45 : Mettre en place l’archivage sécurisé des données à conserver
- J-30 : Informer les personnes concernées (clients, salariés) de la suppression de leurs données
- J-15 : Répondre aux éventuelles demandes d’exercice de droits
- J-7 : Procéder à la destruction sécurisée des données non soumises à obligation de conservation
- Jour J : Fermer les comptes cloud et services en ligne
- J+7 : Traiter le matériel informatique (effacement, revente, recyclage)
- J+30 : Collecter et archiver les certificats de destruction
Point clé : Informez vos sous-traitants (hébergeur, prestataire IT, éditeurs SaaS) de la fermeture de votre entreprise par courrier recommandé. Demandez-leur par écrit la confirmation de la suppression de vos données dans leurs systèmes.
Besoin d’accompagnement ?
Vous fermez votre entreprise et souhaitez gérer vos données informatiques en toute conformité ? Nos experts vous accompagnent dans l’inventaire, l’archivage et la destruction sécurisée de vos données.
Rédigé par l'équipe Odyssix
Experts IT, Cybersécurité & Digital depuis 2018
Odyssix accompagne les PME dans leur transformation numérique et la sécurisation de leur système d'information. Nos experts partagent leur expérience terrain à travers nos articles de blog.
Besoin d'en savoir plus ?
Contactez nos experts pour une démonstration personnalisée.
