si il copie pour partir avec les fichiers, c'est forcément sur un média amovible.
il est possible de monitorer ça aussi, je crois.
Si ça passe par mail, vous devriez pouvoir voir passer les fichiers dans le server de messagerie.

Ici, j'ai verrouillé l'accès aux médias amovibles et aux graveurs de cd/dvd.