L'employeur peut-il collecter des données sur les impressions papier des salariés ?
Réponse courte
La collecte de données sur les impressions papier (volume, identité, horaire, document) constitue un traitement de données personnelles soumis au RGPD et à l'article L.261-1 du Code du travail. Elle est licite si elle repose sur une base juridique valable (intérêt légitime, exécution du contrat) et poursuit une finalité précise : maîtrise des coûts, sécurité documentaire ou prévention des fuites.
L'identification nominative ne se justifie qu'en cas de nécessité avérée ; les statistiques anonymisées ou agrégées sont la voie privilégiée. L'employeur doit informer individuellement les salariés (article 13 RGPD), consulter la délégation du personnel (article L.414-9) et réaliser une analyse d'impact sur la protection des données si le suivi est systématique. Toute utilisation à des fins disciplinaires doit avoir été annoncée préalablement.
Définition
La collecte de données d'impression désigne l'enregistrement par l'employeur d'informations relatives à l'usage des imprimantes professionnelles : utilisateur identifié, nombre de pages, horaire, format, parfois nom du fichier ou contenu.
Ces informations constituent des données à caractère personnel dès lors qu'elles permettent d'identifier directement ou indirectement le salarié, et leur traitement entre dans le champ du RGPD ainsi que de la loi modifiée du 1er août 2018.
Questions fréquentes
Conditions d’exercice
Le suivi nominatif systématique des impressions est généralement disproportionné lorsqu'un suivi anonymisé ou agrégé permet d'atteindre la finalité (gestion des coûts, allocation budgétaire).
| Condition | Exigence |
|---|---|
| Base juridique | Intérêt légitime ou exécution du contrat (article 6 RGPD) |
| Finalité précise | Coûts, sécurité documentaire, prévention de fuites, traçabilité |
| Minimisation | Anonymisation ou agrégation privilégiée ; nominatif si nécessité avérée |
| Information préalable | Notice individuelle et charte informatique |
| Consultation délégation | Article L.414-9 avant déploiement du dispositif |
Modalités pratiques
L'utilisation des données d'impression à des fins disciplinaires n'est possible que si cette finalité a été annoncée préalablement dans la notice d'information du salarié.
| Démarche | Précision |
|---|---|
| Information individuelle | Notice écrite article 13 RGPD remise avant la mise en service |
| Consultation de la délégation | Article L.414-9 préalable avec procès-verbal |
| AIPD | Obligatoire si suivi systématique nominatif (article 35 RGPD) |
| Anonymisation | Privilégier les statistiques agrégées par service ou entité |
| Registre des traitements | Description du dispositif, durée, destinataires (article 30 RGPD) |
| Durée de conservation | Limitée à la finalité, généralement quelques mois |
| Habilitation des accès | Liste nominative restreinte aux fonctions concernées |
Pratiques et recommandations
Privilégier systématiquement les données agrégées par service plutôt que le suivi nominatif individuel.
Justifier par écrit la nécessité d'un suivi nominatif si l'agrégation ne permet pas d'atteindre la finalité.
Informer spécifiquement les salariés si l'usage à des fins disciplinaires est envisagé.
Limiter la durée de conservation à ce qui est strictement nécessaire (quelques mois maximum).
Sécuriser les logs d'impression par chiffrement et accès restreint aux personnes habilitées, en les inscrivant au registre des traitements RGPD.
Réviser annuellement la pertinence du dispositif avec la délégation et le DPO.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Traitement de données pour surveillance des salariés (loi du 1er août 2018) |
| Art. L.261-2 du Code du travail | Sanctions pénales en cas de violation |
| Art. L.414-9 du Code du travail | Co-décision de la délégation du personnel pour les installations de contrôle |
| Loi modifiée du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
| Art. 5, 6, 13, 30, 35 du RGPD | Principes, licéité, information, registre, AIPD |
| Lignes directrices CNPD | Cybersurveillance sur le lieu de travail |
Note
Le contrôle nominatif des impressions sans information préalable est sanctionné par la CNPD jusqu'à 20 millions € ou 4 % du chiffre d'affaires mondial, et les preuves recueillies sont irrecevables. Une décision automatisée fondée uniquement sur ces données ne peut produire d'effets disciplinaires sans intervention humaine effective (article 22 RGPD).