Imprimantes partagées : maîtriser les documents oubliés

Sécuriser une imprimante partagée ne consiste pas seulement à retirer les feuilles du bac. Le document peut aussi rester dans une file d’attente, une destination de scan ou un stockage de l’équipement. Pour décider des protections, suivez chaque copie, les personnes qui peuvent y accéder et ce qui doit se passer après l’impression, l’annulation ou la restitution du matériel.

La première mesure est souvent organisationnelle : réserver aux documents confidentiels un parcours identifié, dans un emplacement approprié, avec une personne chargée de les récupérer. Les fonctions techniques doivent ensuite soutenir ce parcours ; leur simple présence dans une brochure ne démontre pas leur activation.

Partir des documents et de leurs destinataires

Un devis destiné à un client, un bulletin de paie et une copie de dossier contentieux ne présentent pas les mêmes conséquences en cas de lecture indue. Inventoriez les grandes familles effectivement imprimées ou numérisées, sans constituer pour cet audit une nouvelle collection de documents personnels.

L’Art. 5(1)(f) exige une sécurité appropriée contre les traitements non autorisés et les pertes ou dommages accidentels. L’Art. 32(1) demande des mesures adaptées au risque, compte tenu notamment du contexte et des finalités. Aucun de ces textes n’impose une technologie unique de libération des impressions pour toutes les entreprises. Il faut pouvoir expliquer pourquoi le dispositif choisi convient aux documents et aux accès réels. Sources : Art. 5, Art. 32.

Posez ensuite une question concrète : qui doit recevoir le document, et qui peut le voir entre son émission et cette remise ? Une personne autorisée à entrer dans le bureau ne l’est pas nécessairement à consulter un dossier RH. La sécurité physique des locaux et les habilitations documentaires se complètent.

Dessiner le parcours sans présumer les fonctions du matériel

Relevez le modèle, sa configuration et les logiciels associés. Selon l’installation, le parcours peut comprendre un poste, un serveur, un service distant, l’équipement lui-même et un répertoire de destination. La présence d’un disque, la conservation des tâches ou les possibilités de réimpression doivent être établies à partir de la documentation pertinente et des réglages constatés.

Pour chaque étape, notez le contenu conservé, les accès possibles et l’action qui met fin à cette conservation. Une durée « jusqu’à impression » est incomplète si les tâches annulées ou bloquées n’ont pas de sort défini. De même, une option supprimant les fichiers sur l’équipement ne dit rien sur les copies du serveur.

La cartographie doit rester lisible par le service utilisateur. Une ligne « scan vers dossier comptabilité » doit préciser quel espace reçoit le fichier et quels groupes peuvent l’ouvrir. Le guide des liens de partage et accès documentaires aide à contrôler cette destination, distincte du scanner.

Exemple de fiche de décision pour un bureau partagé

Situation fictive. L’entreprise Alizé dispose d’un équipement multifonction dans un couloir emprunté par les salariés et des visiteurs accompagnés. Le service administratif l’utilise pour des courriers clients, des pièces comptables et certains dossiers de salariés. La fiche P-04 ci-dessous constitue une proposition de configuration, pas le compte rendu d’un essai d’un produit réel.

La direction choisit de déplacer le matériel hors du couloir avant d’y poursuivre le traitement des dossiers de salariés. Si le matériel ne permet pas une libération suffisamment maîtrisée, cette famille de documents utilise un autre parcours réservé. La consigne ne se limite pas à demander de « faire attention » près d’un bac ouvert.

La CNIL recommande de ne pas laisser visibles ou accessibles dans les zones d’accueil les données qui doivent rester confidentielles. Le choix d’emplacement doit aussi tenir compte des interventions et des passages habituels, pas seulement de l’accès pendant les heures de présence du responsable.

Vérifier la libération et l’annulation d’une impression

Préparez un document entièrement fictif portant une référence identifiable. Vérifiez d’abord le parcours normal : le bon utilisateur retrouve sa tâche, la libère et récupère toutes les pages. Ce contrôle évite de confondre un mécanisme de protection avec une tâche qui n’est jamais parvenue à l’équipement.

Examinez ensuite les comportements qui changent le risque : un autre utilisateur peut-il lire le titre, libérer le contenu ou réimprimer le document ? Que se passe-t-il si l’émetteur annule, se déconnecte ou ne vient jamais ? Un titre contenant un nom ou l’objet d’une procédure peut déjà révéler une information personnelle, même sans accès au contenu.

Consignez séparément l’observation et sa limite. « La tâche n’apparaît plus dans l’écran utilisateur » ne démontre pas nécessairement l’effacement de tous les stockages. Pour cette dernière affirmation, il faut connaître le mécanisme et son périmètre. Tant qu’ils restent inconnus, la fiche porte une réserve explicite et le responsable adapte les usages permis.

La durée des tâches en attente doit répondre à un besoin. Une possibilité de réimpression conservée indéfiniment par commodité mérite un réexamen au titre de l’Art. 5(1)(e). À l’inverse, supprimer une copie transitoire n’autorise pas à détruire la pièce qui doit être conservée dans le dossier métier.

Contrôler les scans avant et après leur envoi

Un carnet d’adresses commun est un composant à maintenir. Attribuez la création et la correction des destinations à des personnes identifiées, avec une vérification lors d’un changement de prestataire, d’équipe ou d’adresse. Un nom familier dans le menu ne prouve pas que l’adresse appartient toujours au destinataire attendu.

Pour P-04, la destination « comptabilité » doit pointer vers l’espace validé, pas vers une boîte historique que plusieurs personnes consultent encore. La vérification porte sur le fichier reçu : pages complètes, absence d’un document précédent laissé dans le chargeur et accès limité. Le message « envoi réussi » ne démontre que ce que le système a effectivement contrôlé.

Si le scan part vers l’extérieur, choisissez une transmission adaptée au contenu. La CNIL recommande notamment de protéger les échanges et de limiter l’accès aux destinataires autorisés. Ne promettez pas le chiffrement ou une durée de suppression sans avoir établi le comportement de l’installation concernée.

Les feuilles originales doivent ensuite retourner au bon dossier. Les archives papier gardent leur propre organisation et leurs règles d’accès ; la réussite du scan ne décide pas à elle seule de leur destruction.

Organiser les documents oubliés et les déchets

La consigne de proximité doit expliquer qui appeler et où placer temporairement un document trouvé, sans encourager sa lecture pour rechercher son propriétaire. Pour Alizé, une personne d’accueil habilitée reçoit le signalement ; les pièces sont mises hors de vue dans un rangement protégé puis remises par le circuit interne autorisé.

Les pages de réglage contenant de vraies données, les brouillons et les duplicatas inutiles ne doivent pas rejoindre une corbeille librement accessible. Prévoyez un circuit de destruction adapté à leur sensibilité. Le choix d’un prestataire ne suffit pas : examinez aussi le contenant, les accès avant enlèvement et la preuve de l’opération convenue.

Lorsqu’une feuille manque, reconstituez le périmètre sans multiplier les copies « pour vérifier ». Le guide de la perte d’un dossier papier distingue la recherche matérielle et l’analyse des conséquences. Un document récupéré peut avoir été vu ou photographié ; sa restitution ne démontre pas le contraire.

Préparer la maintenance et la sortie de l’équipement

La CNIL recommande d’encadrer les interventions et de supprimer de manière sécurisée les données avant une réparation externe, une mise au rebut ou une fin de location. Appliquez cette démarche aux composants effectivement présents, en tenant compte des possibilités techniques et du risque.

Demandez une réponse précise au mainteneur : quels supports ou paramètres peuvent contenir des documents, des destinataires ou des identifiants ? Quelle opération traite chacun d’eux ? Qui l’exécute et quel compte rendu permettra de vérifier le périmètre ? Une formule « retour aux paramètres d’usine » ne répond pas automatiquement à toutes ces questions.

Pour P-04, le bordereau de sortie identifie l’équipement, les composants examinés, les opérations effectuées et les éléments restant à traiter. Il distingue le carnet d’adresses, les tâches et contenus stockés lorsque ces fonctions existent, ainsi que les copies situées ailleurs. Il ne contient pas les documents eux-mêmes comme prétendue preuve d’effacement.

Si une panne empêche l’opération prévue, ne signez pas une attestation de suppression non réalisée. Définissez avec le prestataire un traitement sécurisé du support, une intervention encadrée ou une autre solution appropriée ; gardez la réserve tant que son résultat n’est pas établi. Les conditions de restitution doivent permettre ce traitement, sans inventer un droit général de conserver le matériel loué.

La télémaintenance demande également un accès limité à l’intervention et sa fermeture. Si le prestataire traite des données pour votre compte, examinez les obligations de l’Art. 28(3), dont les instructions, la confidentialité et la sécurité. Son rôle se qualifie selon les opérations réelles. Source : Art. 28.

Ce qu’il faut retenir

Attribuez un destinataire et une fin d’usage à chaque copie. Vérifiez l’emplacement, la libération, les scans et les documents abandonnés. Pour la maintenance et la restitution, demandez des preuves portant sur les composants réels ; une fonction ou une suppression non vérifiée doit rester signalée comme telle.

FAQ

Une imprimante annoncée sans disque élimine-t-elle ce risque ?

Non. Le parcours peut encore comprendre le poste, un serveur, une mémoire temporaire ou une destination de scan. L’absence d’un composant ne démontre pas l’absence de copies ailleurs.

Peut-on réutiliser des feuilles imprimées comme brouillon ?

Évitez de remettre en circulation des informations personnelles sans nécessité. Même un verso utilisé pour une note banale laisse le recto lisible. Le sort d’une pièce à conserver reste distinct de celui d’un brouillon devenu inutile.

Un document trouvé doit-il toujours être notifié à la CNIL ?

Non automatiquement. Qualifiez les faits, les données et les accès possibles. Une divulgation non autorisée peut constituer une violation ; l’Art. 33 impose sa documentation et, selon le risque, sa notification. L’Art. 34 traite séparément le risque élevé pour les personnes. Sources : Art. 33–34.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.