IT

Téléphones mobiles en fin de leasing : détruire ou reconditionner ?

9 janvier 2026 · 8 min de lecture · DeSnipperaar

Tous les deux ans, de nombreuses entreprises voient une cargaison de smartphones sortir du cycle de leasing. Des appareils qui ont servi aux e-mails professionnels, au stockage cloud, aux jetons VPN, aux données clients et parfois à des applications médicales ou financières. La société de leasing les veut en retour, les reconditionneurs veulent les acheter, mais le RSSI se demande ce qu'il advient de toutes les données qui ont atterri sur ces appareils en trois ans. La tension entre la valeur résiduelle économique et la conformité au RGPD est plus forte pour les téléphones mobiles que partout ailleurs.

Cet article expose où se situent les risques, comment trancher entre reconditionner et détruire, et quand la destruction physique est la seule option sûre.

Pourquoi les smartphones forment une catégorie à part

Un smartphone professionnel contient plus de données personnelles qu'un ordinateur portable de bureau moyen. Pensez à :

• L'historique complet des e-mails avec pièces jointes
• Les contacts, y compris les numéros privés
• Les conversations WhatsApp et Signal
• Les photos du cloud avec données de localisation
• Les configurations et jetons VPN
• Les applications d'authentification avec clés 2FA
• Les applications de santé et de suivi de la forme
• Les applications professionnelles comme CRM, Microsoft Teams, Slack, DocuSign

En cas de perte ou de mise au rebut négligée, les conséquences sont donc importantes. Un appareil reconditionné avec des données lisibles peut provoquer une fuite de données d'une ampleur considérable.

Que peut faire l'effacement sécurisé sur iOS et Android ?

iPhone et iPad

Apple utilise un chiffrement matériel avec une Secure Enclave. La fonction « Effacer contenu et réglages » jette la clé de chiffrement, rendant toutes les données cryptographiquement illisibles. En théorie sûr, à condition que :

• L'appareil tourne sous une version iOS récente sans vulnérabilité connue d'extraction de clé
• L'identifiant Apple soit déconnecté avant l'effacement
• Localiser mon iPhone soit désactivé (sinon le verrouillage d'activation rend l'appareil inutilisable pour le reconditionneur)
• Aucun jailbreak ne soit présent

Android

Android est plus complexe. Les fabricants (Samsung, Google, Oppo, Xiaomi, etc.) mettent en œuvre le chiffrement et la réinitialisation d'usine à leur manière. Depuis Android 6, le chiffrement par fichier est la norme, mais les appareils plus anciens et les modèles bon marché n'ont pas toujours un chiffrement matériel complet. Une réinitialisation d'usine semble tout effacer, mais des recherches médicolégales ont montré à plusieurs reprises que des parties des données utilisateur restent récupérables sur les appareils à mémoire eMMC non chiffrée.

Pour Samsung Knox et Google Pixel, une réinitialisation d'usine suffit largement pour les modèles à partir de 2020. Pour les appareils plus anciens et de bas de gamme, le doute est justifié.

Une réinitialisation d'usine sur un Pixel 8 est cryptographiquement fiable. Une réinitialisation d'usine sur un Moto E de 2019 ne l'est pas. Sachez ce que vous tenez avant de le transmettre.

L'arbre de décision

1. L'appareil est-il protégé par un chiffrement matériel complet et une version d'OS récente ?
   Oui : réinitialisation d'usine et effacement à distance via MDM suffisent généralement pour le reconditionnement.
   Non : passez à l'étape 2.
2. Des données médicales, financières ou d'une autre catégorie particulière ont-elles été traitées ?
   Oui : détruisez physiquement.
   Non : passez à l'étape 3.
3. L'appareil a-t-il plus de 4 ans ou n'est-il plus pris en charge par le fabricant ?
   Oui : détruisez physiquement (les vulnérabilités du firmware ne sont plus corrigées).
   Non : passez à l'étape 4.
4. Disposez-vous d'un Mobile Device Management (MDM) et d'une journalisation de l'effacement ?
   Oui : le reconditionnement est acceptable.
   Non : détruisez physiquement ou utilisez un service d'effacement professionnel avec certificat.

Contrat de leasing : qui est responsable ?

Une idée fausse courante veut que la société de leasing soit responsable de la destruction des données au retour. Du point de vue du RGPD, le responsable du traitement est le fournisseur, autrement dit vous en tant qu'entreprise. Dès que l'appareil quitte vos locaux avec des données lisibles, vous supportez toute fuite. Les sociétés de leasing proposent souvent un service d'effacement, mais sans droit d'audit ni certificat, vous faites aveuglément confiance à leur travail. Réglez-le à l'avance dans le contrat. Qui efface, quand, avec quel outil et avec quel certificat.

Le rôle du MDM

Une solution de Mobile Device Management correctement configurée (Microsoft Intune, VMware Workspace ONE, Google Workspace, Apple Business Manager) est cruciale. Avant qu'un appareil ne soit rendu :

• Le MDM déclenche un effacement à distance et journalise le résultat
• L'identifiant Apple ou le compte Google est déconnecté
• Le verrouillage d'activation est désactivé
• L'appareil est marqué « hors service » dans le registre des actifs

Sans MDM, un traitement cohérent est pratiquement impossible. Les petites organisations avec une poignée d'appareils peuvent le faire manuellement, à condition de journaliser chaque étape.

Que dit la norme ?

DIN 66399 traite les téléphones mobiles comme des supports électroniques. Classe :

• E-4 : minimum pour les données personnelles ordinaires. Appareil réduit en particules d'au plus 30 mm².
• E-5 : pour les catégories particulières et financières. Souvent exigé par les banques, les prestataires de soins et les cabinets d'avocats.

Voir aussi notre article sur la destruction des SSD pour une explication plus approfondie de pourquoi l'effacement de la mémoire flash n'est pas fiable. Les téléphones fonctionnent sur la même technologie NAND et souffrent des mêmes limites.

Reconditionneurs et accords sur les données

Un reconditionneur sérieux travaille selon les règles de WEEELABEX ou de normes comparables et dispose d'une procédure d'effacement des données certifiée. Si vous décidez de reconditionner, exigez :

1. Un accord de traitement signé (RGPD art. 28)
2. Un certificat d'effacement par IMEI
3. Un droit d'audit
4. Une chaîne consignée : qui a repris, quand, où c'est stocké

Rien de tout cela ? La destruction physique est la voie sûre au regard du RGPD.

Batteries et DEEE

Lors de la destruction physique, les batteries lithium-ion doivent être prises en compte. Un service de destruction professionnel sépare d'abord la batterie ou utilise des équipements qui travaillent en toute sécurité avec les batteries installées. Percer une batterie soi-même ou la jeter dans un broyeur de bureau crée un risque d'incendie.

Les déchets électroniques après destruction partent vers un transformateur certifié WEEELABEX pour la récupération des métaux. Demandez-en la preuve si vous êtes certifié ISO 14001 ou si vous établissez un reporting ESG.

---

Des questions sur votre flux de retour ? Appelez-nous ou demandez un devis via desnipperaar.nl. Nous conseillons gratuitement sur le choix entre reconditionnement et broyeur, l'accord de traitement et la journalisation.