Effacer un ordinateur portable demande plus que l’option « Réinitialiser ce PC ». L’appareil doit également disparaître de la gestion de l’entreprise, la clé BitLocker doit être supprimée et la destination finale (réutilisation, vente, don ou recyclage) détermine la rigueur de votre intervention.
Chaque année, une partie du parc informatique quitte l’entreprise, soit parce que les appareils sont amortis, soit parce qu’un collaborateur s’en va. Chacun de ces appareils contient des e-mails, des documents et des mots de passe enregistrés ; un disque à moitié effacé chez un revendeur d’occasion constitue une fuite de données.
Le degré de nettoyage dépend de ce qu’il adviendra de l’appareil par la suite. Pour savoir quand un ordinateur portable doit être remplacé, consultez notre article sur la politique de remplacement des ordinateurs portables.
Effacer un ordinateur portable avec BitLocker
Sur un ordinateur portable professionnel, BitLocker est presque toujours activé. Le disque est alors entièrement chiffré et n’est lisible qu’avec la clé située dans la puce TPM et conservée comme clé de récupération dans Microsoft Entra ID ou Active Directory. Dans sa documentation, Microsoft cite explicitement l’inaccessibilité des données lors de la mise au rebut ou du recyclage des appareils comme l’un des objectifs de BitLocker.
Par conséquent, il suffit de détruire les clés et de reconfigurer le disque ; ce qui reste n’est que du bruit chiffré. L’institut américain de normalisation NIST accepte cette approche, appelée cryptographic erase (effacement cryptographique), comme une méthode à part entière dans la norme révisée SP 800-88 de septembre 2025, et juge inutile l’écrasement multiple d’un disque. La norme pose toutefois des conditions : le chiffrement doit avoir été activé dès le départ et les clés doivent avoir été effectivement effacées.
Le professionnel IT 2.0 : votre boîte à outils pour un travail basé sur l’IA
L’IA n’est pas un phénomène de mode, mais une révolution qui transforme profondément le travail des professionnels de l’IT. Dans ce livre blanc, vous…
Les étapes de la mise au rebut
- Sauvegardez ce dont le collaborateur a encore besoin et vérifiez que OneDrive est entièrement synchronisé. Pour savoir comment organiser vos sauvegardes, consultez notre article sur la méthode 3-2-1.
- Retirez l’appareil de la gestion. Dans Intune, choisissez « Effacer » (Wipe), ce qui rétablit les paramètres d’usine de l’appareil, et non « Mettre hors service » (Retire), qui conserve les données de l’utilisateur. L’option permettant d’écraser l’espace libre est destinée aux appareils dont les données doivent impérativement être détruites ; Microsoft avertit que certains appareils risquent de ne plus redémarrer après cette opération.
- Supprimez l’appareil d’Entra ID et de l’enregistrement Windows Autopilot. Microsoft stipule qu’un appareil quittant définitivement l’organisation doit toujours être retiré d’Autopilot. Si l’enregistrement subsiste, le propriétaire suivant ne pourra pas intégrer l’appareil dans son propre environnement et recevra un message d’erreur indiquant que celui-ci est affecté à un autre locataire (tenant).
- Réinitialisez l’ordinateur portable sans outil de gestion via Paramètres, Système, Récupération, « Réinitialiser ce PC », en choisissant « Tout supprimer », puis « Nettoyer les données ». Microsoft recommande cette dernière option en cas de don, de recyclage ou de vente.
- Effacez les paramètres du BIOS ajoutés par l’entreprise : le mot de passe administrateur, l’ordre de démarrage et les éventuelles restrictions sur les ports USB. Sur les ordinateurs portables HP, le menu BIOS (F10) propose en outre la fonction Secure Erase, qui efface le disque lui-même.
- Notez le numéro de série, la date et la méthode utilisée. En cas d’audit ou de fuite de données, cela vous permettra de prouver que l’appareil a été correctement effacé.
Transmission à un collègue
Si l’appareil reste dans l’entreprise, il n’est pas nécessaire de le retirer de la gestion. L’étape 1 et une réinitialisation Autopilot (Autopilot Reset) depuis Intune suffisent : cela efface les fichiers personnels et les applications tout en conservant l’inscription dans Entra ID et la gestion intactes.
Don ou recyclage
Un ordinateur portable effacé n’a pas sa place à la poubelle. Depuis 2019, l’ASBL DigitalForYouth.be a distribué plus de 30 000 ordinateurs portables à des jeunes de 6 à 25 ans. Nous avons précédemment décrit le déroulement d’un tel don. Là aussi, l’entreprise doit procéder elle-même à l’effacement avant le départ de l’appareil ; l’organisation bénéficiaire installe ensuite une version propre de Windows.
En Belgique, le recyclage est soumis à l’obligation de reprise : le vendeur d’un nouvel appareil doit reprendre gratuitement l’ancien, y compris lors d’achats professionnels. Recupel collecte les ordinateurs portables des entreprises à partir de deux cartons. Via son programme Planet Partners, HP reprend ses propres équipements et fournit un rapport faisant office de certificat de destruction, mais précise dans ses conditions que le client reste responsable de l’effacement des données confidentielles avant que l’appareil ne quitte le bâtiment.
Ce qu’il faut régler au préalable
Pour que l’effacement se déroule sans accroc, tout se joue des années avant le départ de l’appareil : BitLocker activé dès le premier jour, clés de récupération dans Entra ID, inventaire avec numéros de série et procédure fixe s’appliquant même en cas de départ soudain. Cet inventaire contiendra alors la preuve par appareil qu’un auditeur ou l’Autorité de protection des données pourrait demander ultérieurement.
