Éliminer les imprimantes en entreprise : le disque dur dans le copieur

Pour les ordinateurs portables, tout le monde pense au disque dur. Pour l'imprimante du couloir, presque personne. Pourtant, de nombreux appareils multifonctions, copieurs et imprimantes réseau enregistrent des numérisations, des copies, des télécopies, des carnets d'adresses et des identifiants – souvent pendant des années. Quiconque veut éliminer des imprimantes en entreprise a donc besoin de plus qu'un passage à la déchetterie. Cet article montre où se trouvent les données, ce qu'exige la loi allemande sur les équipements électriques et électroniques et comment des anciens appareils deviennent une procédure correctement documentée.

Pourquoi les imprimantes sont un enjeu de protection des données

Un appareil multifonction moderne est, au fond, un petit ordinateur doté d'une connexion réseau. Il reçoit des documents, les met en mémoire tampon, les traite et les restitue. Pour que cela aille vite, de nombreux appareils utilisent un support de données interne. Selon le modèle, il s'agit d'un disque dur classique, d'un SSD ou d'une mémoire flash soudée à demeure.

L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) traite donc les imprimantes, copieurs et appareils multifonctions comme un module à part dans l'IT-Grundschutz (SYS.4.1). La raison : ce sont précisément les documents particulièrement confidentiels qui atterrissent sur ces appareils – contrats, dossiers du personnel, factures, copies de pièces d'identité.

Ce qui peut être enregistré sur un appareil multifonction

Type de données	Exemple	Risque en cas de cession
Travaux mis en mémoire	Travaux d'impression, de copie et de numérisation	Des documents confidentiels peuvent être restaurés
Classeur de documents (« boîte »)	Numérisations enregistrées pour impression ultérieure	Des documents entiers restent en permanence sur l'appareil
Carnets d'adresses	Adresses e-mail, numéros de télécopie, destinations de numérisation	Coordonnées de clients et de collaborateurs
Identifiants	Serveur de messagerie, dossiers réseau, codes PIN des utilisateurs	Point d'entrée dans le réseau de votre entreprise
Configuration réseau	Adresses IP, clés Wi-Fi, certificats	Indications sur la structure de votre réseau
Journaux	Qui a imprimé ou numérisé quoi, et quand ?	Données d'utilisation à caractère personnel

Les petites imprimantes à jet d'encre ou d'étiquettes n'ont généralement pas de grande capacité de stockage. Mais elles sont elles aussi rarement dépourvues de données : les accès Wi-Fi et les paramètres réseau y sont presque toujours enregistrés.

La réinitialisation d'usine suffit-elle ?

De nombreux fabricants proposent dans le menu une fonction de réinitialisation ou d'« écrasement de toutes les données ». C'est une première étape judicieuse. Mais elle ne suffit souvent pas comme preuve fiable, pour trois raisons :

• Périmètre flou : Une réinitialisation ne rétablit souvent que les paramètres. Savoir si le classeur de documents et la mémoire tampon sont également écrasés dépend du modèle et du firmware.
• Pas de rapport : La plupart des appareils ne produisent aucun justificatif avec numéro de série, procédé et résultat. En cas d'audit, vous vous retrouvez alors les mains vides.
• Mémoire flash : Avec les SSD et les mémoires flash, le contrôleur répartit lui-même les données. Un simple écrasement n'atteint pas nécessairement chaque zone de mémoire.

La voie la plus sûre est celle que vous suivez aussi pour les ordinateurs portables : identifier les supports de données, les effacer avec un logiciel certifié ou les détruire physiquement, et documenter le résultat par numéro de série. Chez Second IT, tous les appareils livrés sont contrôlés spécifiquement à la recherche de supports de stockage. Les lecteurs amovibles peuvent être nettoyés par un effacement certifié des données avec Blancco . Ce qui ne peut pas être effacé, par exemple un lecteur défectueux, est détruit.

Ce que la ElektroG exige des entreprises

Les imprimantes, copieurs et scanners sont des équipements électriques et électroniques. En Allemagne, leur élimination est régie par la loi sur les équipements électriques et électroniques (ElektroG), qui transpose la directive européenne DEEE 2012/19/UE. Pour les entreprises propriétaires d'anciens appareils, ces points sont particulièrement importants :

• Collecte séparée : Les anciens appareils ne doivent pas être jetés avec les ordures ménagères résiduelles. Le symbole de la poubelle barrée sur l'appareil le rappelle.
• Piles et accumulateurs : Ils doivent être retirés avant la remise de l'appareil, sauf s'ils sont enfermés dans l'appareil et ne peuvent pas être retirés sans le détruire.
• Effacer les données : Selon le § 10 ElektroG, les utilisateurs finaux sont eux-mêmes responsables de l'effacement des données à caractère personnel présentes sur les anciens appareils avant leur élimination.
• Reprise des appareils professionnels : Pour les appareils qui ne proviennent pas de ménages privés, le § 19 ElektroG prévoit une obligation de reprise par les fabricants. Les modalités de cette reprise varient d'un fabricant à l'autre.

Le Règlement général sur la protection des données s'applique en outre. L'article 32 du RGPD exige des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel – y compris lorsqu'un appareil quitte l'entreprise. Notre article sur les obligations découlant du RGPD lors de l'élimination de supports de donnéesdécrit à quoi cela ressemble en audit. Cet article ne remplace pas un conseil juridique.

Pour connaître les obligations que la ElektroG impose aux entreprises et savoir à quoi reconnaître une entreprise certifiée, lisez l'article Entreprise spécialisée en gestion des déchets certifiée et obligations de la ElektroG.

Cas particulier : appareils en leasing et en location

De nombreux copieurs de bureau ne sont pas achetés, mais loués ou en leasing. À la fin du contrat, le prestataire récupère l'appareil. Les données figurant sur la mémoire interne restent toutefois sous votre responsabilité. Clarifiez donc avant la restitution :

• Le contrat permet-il de retirer ou de remplacer le support de données au préalable ?
• Le bailleur propose-t-il un effacement avec rapport par numéro de série ?
• Qui est responsable si des données sont encore trouvées sur l'appareil restitué ?

Si votre contrat ne donne pas de réponse claire, un rapport d'effacement écrit avant la restitution est la solution la plus sûre. Notre article sur le risque de protection des données posé par les anciens disques durs.

Vendre, valoriser ou éliminer ?

Toutes les imprimantes réformées ne sont pas bonnes pour la casse. Les appareils de bureau récents et les imprimantes réseau avec un faible compteur peuvent encore avoir une valeur marchande. Les appareils plus anciens fournissent au moins des matières premières et des pièces détachées.

État	Voie judicieuse	Ce qu'il faut clarifier au préalable
En état de marche, modèle récent	Revente après effacement des données	Compteur, accessoires, consommables, licences
En état de marche, modèle plus ancien	Récupération de pièces détachées ou recyclage	Effacer ou détruire la mémoire
Défectueux	Recyclage conforme	Retirer et détruire la mémoire
En leasing ou en location	Restitution au prestataire	Justificatif d'effacement avant l'enlèvement

Outre les ordinateurs portables, PC, écrans et serveurs, Second IT reprend aussi les imprimantes. C'est le contrôle à la réception des marchandises qui détermine si un appareil est vendu, reconditionné ou recyclé. Dans tous les cas : les données sont d'abord supprimées, puis l'appareil est valorisé. Les appareils sans valeur marchande sont dirigés vers une élimination informatique conforme conformément à la loi allemande sur l'économie circulaire (KrWG) – avec des justificatifs pour vos dossiers.

Toner, encre et consommables

Les cartouches de toner et d'encre vides ne vont pas dans le même conteneur que l'appareil. De nombreux fabricants et revendeurs exploitent leurs propres systèmes de reprise pour celles-ci. Les cartouches pleines, dans leur emballage d'origine, ne sont en revanche pas des déchets : elles peuvent souvent être réutilisées ou proposées avec l'appareil. Les bacs de toner usagé doivent être collectés fermés et séparément afin qu'aucune poussière ne s'échappe.

Pas à pas : éliminer les imprimantes en entreprise en toute sécurité

Quand la destruction est le meilleur choix

Si un appareil a traité des documents des ressources humaines, du service juridique ou de la recherche, certaines politiques internes exigent la destruction physique de la mémoire. Cela vaut aussi lorsqu'un lecteur est défectueux ou ne peut pas être lu entièrement. Chez Second IT, ces supports sont déchiquetés en interne conformément à la norme DIN 66399 – certifiés pour le niveau de sécurité H-5, avec suivi des numéros de série et certificat de destruction. En savoir plus sur la façon de faire détruire des supports de données selon la norme DIN 66399 .

Pour les mémoires flash soudées à demeure, le support de données ne peut pas simplement être retiré. Il est alors important que votre prestataire indique et documente au préalable le procédé : effacement via l'interface de l'appareil ou destruction de la carte électronique concernée.

Les erreurs les plus fréquentes

• Les imprimantes sont éliminées avec du mobilier ou des gravats sans que personne ne pense à la mémoire.
• Les appareils en leasing retournent chez le prestataire sans justificatif d'effacement.
• Les destinations de numérisation et les comptes de messagerie restent actifs dans le système alors que l'appareil est parti depuis longtemps.
• Il n'existe aucune liste indiquant quels appareils ont été remis à qui et quand.
• Les petites imprimantes de poste de travail du télétravail sont oubliées. Pour savoir comment récupérer aussi ces appareils, lisez notre guide sur la manière de restituer d'anciens ordinateurs portables d'entreprise – la marche à suivre est très similaire pour les imprimantes.

Plus d'informations sur le sujet : DIN 66399 : Quel niveau de sécurité vos disques durs nécessitent et Achat d'ordinateurs portables & vente de moniteurs - Rachat informatique professionnel en toute sécurité.

Questions fréquentes sur l'élimination des imprimantes

Toutes les imprimantes ont-elles un disque dur ?

Non. Ce sont surtout les appareils multifonctions, les copieurs et les grosses imprimantes réseau qui disposent d'une mémoire interne, par exemple un disque dur, un SSD ou une mémoire flash. Les petites imprimantes de poste de travail n'enregistrent généralement que des paramètres, comme les accès Wi-Fi. La mémoire installée est indiquée dans la fiche technique du modèle.

Puis-je apporter une imprimante d'entreprise à la déchetterie ?

Les déchetteries sont avant tout destinées aux appareils des ménages privés. Chaque commune décide elle-même si elle accepte des appareils professionnels et en quelle quantité. Pour les entreprises, la reprise par le fabricant ou le recours à une entreprise spécialisée en gestion des déchets certifiée est la voie habituelle. Les données doivent être effacées avant la remise de l'appareil.

Suffit-il de réinitialiser l'imprimante aux paramètres d'usine ?

Comme première étape, c'est judicieux ; comme preuve, généralement non. Une réinitialisation ne rétablit souvent que les paramètres et ne génère pas de rapport avec numéro de série. Un effacement certifié ou la destruction de la mémoire avec justificatif est plus sûr. Vous pouvez ainsi démontrer en audit ce qu'il est advenu des données.

Qui est responsable des données dans le cas de copieurs en leasing ?

Pour les données à caractère personnel, votre entreprise reste responsable en tant que responsable du traitement, même si l'appareil appartient au bailleur. Vérifiez dans le contrat si un effacement avec rapport est prévu. À défaut, vous devriez faire effectuer et documenter vous-même l'effacement avant la restitution de l'appareil.