Ressources · 13

Cycle de vie des données : conserver, archiver et supprimer avec preuve

Une méthode pour relier chaque catégorie de données à une finalité, un propriétaire, une durée et une suppression réellement vérifiable.

Mis à jour le 23 octobre 2026 · 10 min

Illustration · scène fictive

Ce que ce guide permet

Réduire les données sans usage défini
Inclure sauvegardes et exports dans les règles
Tracer les exceptions et gels
Prouver la suppression sans surexposer les données

Contrôle express

Quelle finalité justifie encore chaque catégorie ?
Où existent les copies et dérivés ?
Qui peut prolonger la conservation ?
Comment une suppression se propage-t-elle ?
Quelle preuve reste après la purge ?

Méthode pas à pas

01
Cartographier les catégories et usages
Inventoriez données, finalités, personnes concernées, systèmes, propriétaires et flux. Regroupez par règles opérationnelles plutôt que par noms de tables.
Livrable : registre catégorie, usage, système et responsable.
02
Définir les événements du cycle
Reliez création, utilisation active, clôture, archivage, gel et suppression à des événements observables. Précisez la règle qui prévaut en cas de conflit.
Livrable : matrice événement, état et action.
03
Inclure toutes les copies
Ajoutez caches, exports, environnements de test, sauvegardes, archives, appareils et prestataires. Documentez le délai de propagation des changements.
Livrable : carte des emplacements et réplications.
04
Gérer les exceptions
Encadrez gels juridiques, obligations sectorielles et besoins probatoires avec une autorité, un périmètre, une durée et une revue.
Livrable : registre des exceptions datées.
05
Automatiser avec contrôle
Déclenchez archivage et purge à partir de règles versionnées. Journalisez les volumes, erreurs et reprises sans conserver le contenu supprimé dans la preuve.
Livrable : procédure et journal de traitement.
06
Tester la fin de vie
Échantillonnez des dossiers arrivés à échéance, vérifiez la disparition dans les systèmes et la gestion différée des sauvegardes, puis traitez les écarts.
Livrable : rapport de suppression et plan de correction.

Exemple d’application

Situation illustrative

Un formulaire crée une fiche client et plusieurs copies dans les exports et sauvegardes. L’équipe relie chaque copie à sa finalité, à son événement de départ et à une règle de conservation documentée.

Décision et preuve attendue

Un échantillon de fiches arrivées à échéance permet de vérifier suppression, exception justifiée et propagation vers les systèmes secondaires sans recopier les données effacées dans le journal.

Indicateurs de pilotage

Indicateur	Ce qu’il mesure	Première action
Couverture	Catégories reliées à une règle et un propriétaire	Traiter les données orphelines
Échéances exécutées	Objets arrivés à terme traités dans le délai prévu	Analyser files bloquées et exceptions
Copies maîtrisées	Emplacements inclus dans la propagation	Ajouter exports et sauvegardes oubliés
Échecs de purge	Suppressions en erreur ou non confirmées	Corriger puis rejouer avec preuve

Erreurs fréquentes

Définir une durée sans événement de départ
Oublier les exports et environnements de test
Confondre sauvegarde et archive permanente
Conserver dans les journaux la donnée censée être supprimée

Questions fréquentes

Faut-il supprimer immédiatement des sauvegardes immuables ?

Pas nécessairement. Documentez leur durée, empêchez leur réutilisation courante et appliquez la suppression lorsque la rotation ou la restauration le permet.

Une durée unique peut-elle couvrir toutes les données ?

Rarement. La finalité, la catégorie, la relation, les obligations et les besoins de preuve peuvent imposer des déclencheurs différents.

Comment prouver une suppression ?

Conservez identifiant technique, règle appliquée, horodatage, résultat et contrôle, sans recopier la donnée supprimée dans le journal.

Références : données, usages et limites

Documentation consultée le 2026-10-22.

Références : données, usages et limites
Source et objet	Donnée ou repère vérifié	Comment l’utiliser	Limite à conserver
NIST · Privacy Framework Examiner les risques pour les personnes liés au traitement de données.	Le Privacy Framework est un outil volontaire de gestion des risques pour la vie privée. Il se distingue d’une liste unique d’obligations juridiques.	Décrivez le traitement réel : données, finalités, destinataires, accès et durées. Comparez documents, configurations et tests de suppression ou de récupération. Approfondir la méthode →	L’utilisation du cadre ne détermine pas à elle seule la conformité au droit applicable. Le contexte du traitement et la juridiction restent à examiner.

Supports : assainissement et preuves

La fin de vie d’une donnée ne se résume pas à la suppression d’un fichier. Il faut préciser les données visées, leurs copies, le support, la destination et le niveau de protection attendu. L’assainissement d’un support, la suppression applicative et la fin d’une durée de conservation répondent à des questions liées mais différentes.

La publication NIST SP 800-88 révision 2 est finale depuis le 26 septembre 2025 et remplace la révision 1 retirée à cette date. La FAQ distincte du 16 juillet 2026 complète sa lecture. Les 20 points CIE-SAN ci-dessous sont une sélection éditoriale CIE, pas des identifiants de contrôle NIST ni une liste exhaustive de conformité.

NIST · SP 800-88 Rev. 2 · Guidelines for Media Sanitization · Final · 2025-09-26 · consulted 2026-10-23

NIST · SP 800-88 Rev. 1 · withdrawn edition · Withdrawn 2025-09-26 · superseded by Revision 2

Trois méthodes, des techniques à qualifier

Trois méthodes, des techniques à qualifier
Méthode NIST	Objectif et état du support · synthèse	Limite de lecture
Clear	Techniques logiques sur les emplacements adressables par l’utilisateur, visant à contrer une récupération simple par l’interface habituelle.	Ne démontre pas la couverture de zones non adressables ; ne s’applique pas au papier.
Purge	Techniques logiques ou physiques visant à rendre la récupération des données visées impraticable avec des techniques de laboratoire avancées ; support potentiellement réutilisable.	Technique à sélectionner pour le support et la politique. L’effacement cryptographique est une technique conditionnelle de Purge, pas une quatrième méthode.
Destroy	Récupération des données visées rendue impraticable au niveau de laboratoire avancé et support devenu inutilisable pour stocker des données.	Endommager un appareil ne suffit pas. Cette méthode ne s’applique pas à un stockage logique ou virtuel comme s’il s’agissait d’un support détenu.

La révision 2 traite surtout du programme et de l’assurance d’assainissement. Hors effacement cryptographique, les recettes techniques propres aux équipements sont renvoyées à des standards pertinents et à ceux acceptés par la politique de l’organisation. Cette page ne fournit pas une commande d’effacement ni une recommandation automatique de méthode.

NIST · SP 800-88r2 · full publication · September 2025 · printed pages distinguished from PDF viewer pages

Vérifier l’exécution, puis valider son adéquation

Vérifier l’exécution, puis valider son adéquation
Niveau	Question	Preuve utile
Vérification · §4.5.1	La technique s’est-elle terminée correctement ?	Statut, erreurs et anomalies ; selon la technique, inspection du support, des résidus ou de l’équipement.
Validation · §4.5.2	Le résultat est-il suffisant pour ces données et ce périmètre ?	Acceptation ou rejet motivé, tenant compte de la sensibilité et des limites constatées.
Documentation · §4.6	Peut-on attribuer l’action au bon support et suivre sa destination ?	Identifiants, méthode, technique, outil, version, vérification, validation et acteurs selon la politique.

Un outil peut déclarer une opération terminée alors que la technique ou la portée ne convient pas. Le NIST ne demande pas, sauf politique l’exigeant, un échantillonnage élaboré du contenu après chaque Clear ou Purge. Il faut conserver les limites de la vérification et la décision de validation ; un compteur de contrôles ne remplace pas cette décision.

Explorer les points de preuve

Filtrez les questions de revue par méthode et étape, ou recherchez un mot dans les lignes. Ces filtres servent à préparer la lecture des preuves ; ils ne choisissent pas une technique et n’exécutent aucune opération sur les supports. Les associations aux méthodes sont éditoriales et ne valent pas décision d’applicabilité.

Repères affichés : 20 sur 20.

Explorer les points de preuve · CIE-SAN · 20
Repère et étape · CIE	Question de revue · CIE	Preuve à examiner · CIE	Repère NIST
`CIE-SAN-01` Conservation et autorisation Préparation Clear · Purge · Destroy	Le retrait est-il autorisé pour ces données, au regard des règles applicables et des besoins de conservation validés ?	Décision du propriétaire, règle et éventuelle suspension documentées avant toute opération.	SP 800-88r2 · 1.1 page imprimée 2 · page PDF 11
`CIE-SAN-02` Sensibilité des données Préparation Clear · Purge · Destroy	La sensibilité et la protection attendue sont-elles explicites pour les données visées ?	Catégorisation datée et critères d’acceptation de l’organisation.	SP 800-88r2 · 4.3.2 page imprimée 21 · page PDF 30
`CIE-SAN-03` Données et copies visées Préparation Clear · Purge · Destroy	Quels supports, caches, copies et dérivés contiennent les données à traiter ?	Inventaire de périmètre, exclusions motivées et dépendances ; ne pas confondre un volume logique avec tout le stockage.	SP 800-88r2 · 2.3 page imprimée 6 · page PDF 15
`CIE-SAN-04` Réemploi et contrôle Préparation Clear · Purge · Destroy	Le support sera-t-il réutilisé, et restera-t-il sous le contrôle défini par l’organisation ?	Destination prévue, responsable et conditions de transfert ou de maintenance.	SP 800-88r2 · 4.3.3–4.3.4 page imprimée 22 · page PDF 31
`CIE-SAN-05` Capacités du support Préparation Clear · Purge · Destroy	Le fournisseur décrit-il la portée des commandes, les zones exclues et les essais de validation pertinents ?	Documentation du modèle et de sa version, zones couvertes, limites et éléments d’assurance.	SP 800-88r2 · Appendix B page imprimée 35 · page PDF 44
`CIE-SAN-06` Portée de Clear Exécution Clear	La technique retenue couvre-t-elle les emplacements adressables par l’utilisateur dans le périmètre visé ?	Procédure adaptée au support et résultat d’exécution ; un nombre de passes ne suffit pas à qualifier la protection.	SP 800-88r2 · 3.1.1 page imprimée 8 · page PDF 17
`CIE-SAN-07` Flash et zones non adressables Préparation Clear · Purge	Les zones remappées, cellules de réserve et mécanismes d’abstraction limitent-ils la technique envisagée ?	Caractéristiques du support et justification technique de la couverture ; ne pas transposer une recette de disque magnétique à un SSD.	SP 800-88r2 · 3.1.1 page imprimée 9 · page PDF 18
`CIE-SAN-08` Portée de Purge Exécution Purge	La technique vise-t-elle le niveau de protection attendu et une réutilisation éventuellement possible ?	Méthode, technique et standard acceptés par l’organisation, avec restrictions propres au support.	SP 800-88r2 · 3.1.2 page imprimée 10 · page PDF 19
`CIE-SAN-09` Portée de Destroy Exécution Destroy	Le résultat rend-il la récupération des données visées impraticable au niveau attendu et le support inutilisable ?	Critères applicables au support, inspection des résultats et destination des résidus ; un appareil simplement endommagé ne suffit pas.	SP 800-88r2 · 3.1.3 page imprimée 11 · page PDF 20
`CIE-SAN-10` Historique du chiffrement Effacement cryptographique Purge	Les données sensibles visées ont-elles été chiffrées dans les conditions nécessaires depuis leur présence sur le support ?	Historique et périmètre du chiffrement ; une activation tardive ne traite pas à elle seule les anciennes données en clair.	SP 800-88r2 · 3.2.2 page imprimée 13 · page PDF 22
`CIE-SAN-11` Clés et copies récupérables Effacement cryptographique Purge	Les clés ciblées, leurs copies et les clés dépendantes sont-elles identifiées, y compris hors du support ?	Carte de gestion des clés, séquestre, injection, sauvegardes et mécanisme d’assainissement ; ne pas recopier les secrets dans le dossier.	SP 800-88r2 · 3.2.3 page imprimée 14 · page PDF 23
`CIE-SAN-12` Assurance cryptographique Effacement cryptographique Purge	La qualité de l’implémentation et de l’assainissement des clés est-elle étayée ?	Assurances ou validations pertinentes sur génération, chiffrement, enveloppement et assainissement ; distinguer exigences fédérales américaines et politique locale.	SP 800-88r2 · 3.2.4 page imprimée 15 · page PDF 24
`CIE-SAN-13` Traçabilité de CE Traçabilité Purge	Le dossier précise-t-il les mécanismes, zones couvertes, erreurs et commandes de l’effacement cryptographique ?	Références de produit et version, portée cryptographique, cycle des clés et traitement des erreurs.	SP 800-88r2 · 3.2.5 page imprimée 16 · page PDF 25
`CIE-SAN-14` Stockage logique ou cloud Exécution Clear · Purge	Quelle assurance porte sur la frontière chiffrée, les copies et la gestion des clés quand le matériel est abstrait ?	Engagements et preuves du fournisseur ; la suppression d’un objet ou d’une clé d’API ne démontre pas l’assainissement du stockage.	SP 800-88r2 · 3.1.2 page imprimée 10 · page PDF 19
`CIE-SAN-15` Vérification technique Assurance Clear · Purge · Destroy	La technique s’est-elle terminée comme prévu, et quelles erreurs ou anomalies restent visibles ?	Statut de l’outil, erreurs, état du support ou inspection physique adaptée ; la politique précise les contrôles additionnels nécessaires.	SP 800-88r2 · 4.5.1 page imprimée 24 · page PDF 33
`CIE-SAN-16` Validation du résultat Assurance Clear · Purge · Destroy	Les résultats de vérification sont-ils acceptables au regard du périmètre et de la sensibilité ?	Décision d’acceptation ou de rejet motivée et responsable identifié, distincts du seul statut « terminé ».	SP 800-88r2 · 4.5.2 page imprimée 24 · page PDF 33
`CIE-SAN-17` Anomalies et reprise Assurance Clear · Purge · Destroy	Les limites de portée, mauvais paramètres ou résultats insuffisants sont-ils examinés avant acceptation ?	Analyse de l’écart et décision de reprise ou d’escalade ; réévaluer aussi la réutilisabilité du support.	SP 800-88r2 · 4.5.2 page imprimée 25 · page PDF 34
`CIE-SAN-18` Identifier l’opération Traçabilité Clear · Purge · Destroy	La preuve relie-t-elle le bon support à la méthode, à la technique et à la version de l’outil ?	Identifiants de support, type, origine, méthode et technique distinctes, outil et version.	SP 800-88r2 · 4.6 page imprimée 26 · page PDF 35
`CIE-SAN-19` Responsabilités et dates Traçabilité Clear · Purge · Destroy	Peut-on retrouver qui a exécuté, vérifié et validé l’opération, avec les dates et lieux utiles ?	Rôles et traces adaptés à la politique ; limiter les données personnelles aux besoins de preuve.	SP 800-88r2 · 4.6 page imprimée 26 · page PDF 35
`CIE-SAN-20` Destination et rapprochement Traçabilité Clear · Purge · Destroy	La destination finale et le suivi de chaque support concordent-ils avec l’inventaire d’origine ?	Preuve de destination et rapprochement des supports attendus, traités, rejetés ou manquants.	SP 800-88r2 · Appendix C page imprimée 37 · page PDF 46

Effacement cryptographique : quatre frontières à documenter

Effacement cryptographique : quatre frontières à documenter
Frontière	Ce qu’il faut établir	Ce que le seul libellé ne prouve pas
Données chiffrées	Historique du chiffrement et données incluses depuis leur présence sur le support, en tenant compte d’un assainissement antérieur adapté.	Activer le chiffrement aujourd’hui ne traite pas à lui seul les anciennes données sensibles en clair.
Clés et hiérarchie	Clés ciblées, copies, séquestre, injection et dépendances qui pourraient rendre le déchiffrement possible.	Supprimer un identifiant d’accès à un service n’est pas nécessairement assainir une clé de chiffrement des données.
Implémentation	Qualité du chiffrement, de la génération, de l’enveloppement et de l’assainissement des clés, avec les assurances pertinentes.	Une mention « chiffré » ne démontre ni le périmètre couvert ni l’efficacité de CE.
Copies et cloud	Frontière chiffrée, copies externes et preuves du fournisseur lorsque le matériel sous-jacent est abstrait.	Une réponse positive à une API de suppression ne prouve pas à elle seule l’assainissement de toutes les copies.

NIST · FAQ for SP 800-88r2 · Published 2026-07-16 · consulted 2026-10-23

Six situations pédagogiques : où la preuve peut manquer

Six situations pédagogiques : où la preuve peut manquer
Situation fictive	Conclusion trop rapide	Vérification à préparer
Un SSD a subi plusieurs passes de réécriture.	Le nombre de passes prouve une Purge.	Examiner les cellules de réserve, le remappage, la portée de la technique et les assurances du support.
Un disque ne démarre plus après une opération physique.	Le support est donc Destroy et les données irrécupérables.	Identifier la technique et les critères applicables ; l’inopérabilité seule ne démontre pas le résultat.
Le chiffrement a été activé après un usage antérieur en clair.	La suppression des clés assainit aussi tout l’historique.	Établir le périmètre et l’historique ; examiner une technique adaptée aux données antérieures.
Un fournisseur cloud confirme la suppression d’un objet.	Toutes les copies physiques sont assainies.	Revoir versions, réplications, sauvegardes, frontière de clés et preuves contractuelles ou techniques pertinentes.
Un outil indique « terminé » malgré une zone inaccessible.	La validation peut être déduite du succès de l’outil.	Conserver l’anomalie, son effet sur la portée et la décision motivée d’acceptation ou de rejet.
Une attestation existe pour les supports confiés au prestataire.	Tout l’inventaire de départ a été traité.	Rapprocher les identifiants attendus et les attestations ; documenter manquants, rejets, transferts et destination.

Relier l’opération au bon support

Le §4.6 et l’exemple de l’annexe C décrivent les informations à enregistrer. Pour une revue interne, relier l’identité du support, méthode et technique distinctes, outil et version, résultats de vérification, décision de validation, acteurs et destination. Le modèle NIST n’est pas une certification de l’organisation par NIST.

Conserver les éléments nécessaires à la preuve avec des accès et une durée adaptés. La trace peut référencer les données visées sans les recopier : ne pas joindre au dossier les clés cryptographiques, les contenus supprimés ou des données personnelles sans nécessité de preuve.

Sources : NIST SP 800-88r2 et sa FAQ, consultées le 23 octobre 2026. La publication indique ne pas être soumise au copyright aux États-Unis ; attribution à Ramaswamy Chandramouli et Eric A. Hibbard, NIST, 2025. Questions, repères CIE-SAN, associations de filtres et situations fictives : synthèse éditoriale CIE en français et anglais. Aucune approbation de CIE, d’un produit ou d’une méthode particulière par NIST n’est impliquée.

NIST · Copyrights & Disclaimers · Publication also states its copyright status in the front matter

Éditions documentaires vérifiées

SP 800-88r2 · final 2025-09-26 · FAQ 2026-07-16 · reviewed 2026-10-23

Publication PDF SHA-256: 39bb805c72723ed74f08e5806cd8463ca2554a62abb4f97b9d19c0398a8a7c55

FAQ PDF SHA-256: 3f81228035aae09714d8e70962cdde45228bc421287068236d624ce40f44e3bf

Références officielles

Date de consultation des références : 23/10/2026. La méthode et la fiche de travail proposent des contrôles à adapter à votre contexte ; elles ne constituent pas une certification.