Anonymiser un PDF conformément au RGPD

Anonymiser ou pseudonymiser un PDF : ce que dit le RGPD

Les deux mots sont souvent employés l'un pour l'autre, à tort. La CNIL insiste : anonymisation et pseudonymisation « ne doivent pas être confondues », car leurs conséquences juridiques sont opposées.

• L'anonymisation rend impossible, en pratique et de manière irréversible, toute identification de la personne, par quelque moyen que ce soit. Des données réellement anonymes ne sont plus des données personnelles : le RGPD ne s'y applique plus (considérant 26 du règlement).
• La pseudonymisation remplace les identifiants directs (nom, prénom) par des identifiants indirects (initiales, numéro, alias). L'article 4 du RGPD la définit comme un traitement qui empêche d'attribuer les données à une personne sans informations supplémentaires. Elle est réversible pour qui détient ces informations, et les données restent personnelles : le RGPD continue de s'appliquer.

Pour juger si l'anonymisation est effective, la CNIL reprend les trois critères du groupe de travail européen (avis 05/2014) : on ne doit plus pouvoir isoler une personne (individualisation), relier entre eux des éléments qui la concernent (corrélation), ni déduire une information sur elle (inférence). Appliqué à un PDF, cela veut dire qu'un contrat dont on a noirci le nom, mais laissé l'adresse du logement, la date de signature et le montant du loyer, identifie encore très bien le locataire.

Caviardage réel ou rectangle noir : la différence qui fait fuiter les données

Un PDF n'est pas une image : son texte est stocké sous forme de caractères, avec leur position sur la page. Quand on dessine un rectangle noir par-dessus, dans Word, avec un outil d'annotation ou dans un lecteur PDF, le texte reste dans le fichier, juste en dessous. Il suffit de le sélectionner et de le copier, de rechercher un mot avec Ctrl+F, ou de supprimer le rectangle, pour le lire.

Le caviardage réel fonctionne à l'inverse : le texte situé sous la zone est supprimé du fichier, et la zone noire ne cache plus rien. C'est ce que fait l'outil pour caviarder un PDF en ligne de Certyneo, que vous traciez des zones à la souris ou que vous recherchiez des termes (un nom, un numéro) pour les retirer partout où ils apparaissent.

Trois fuites célèbres causées par un faux caviardage

L'erreur n'est pas réservée aux débutants. Elle a touché des cabinets d'avocats, des administrations et des tribunaux, et elle est documentée par la presse :

• Décembre 2009, TSA (sécurité des aéroports américains) : un manuel de procédures de contrôle des passagers est publié sur un site de marchés publics avec des passages noircis. Les rectangles noirs se retirent en quelques clics, et les passages sensibles, dont des modèles de cartes d'accréditation, sont copiés et diffusés (CBS News).
• Août 2018, comté de Broward (Floride) : un rapport sur la scolarité de l'auteur de la fusillade de Parkland est rendu public caviardé. Un lecteur du South Florida Sun Sentinel découvre qu'un copier-coller dans Word fait réapparaître le texte masqué (Columbia Journalism Review).
• Janvier 2019, dossier Paul Manafort : les avocats de l'ancien directeur de campagne déposent une réponse au procureur spécial dont certains passages sont noircis. Un copier-coller révèle les informations cachées, aussitôt reprises par la presse (Columbia Journalism Review).

Dans les trois cas, le document « avait l'air » caviardé à l'écran et à l'impression. Seul un outil qui retire le texte du fichier évite ce scénario.

Anonymiser un PDF en ligne, pas à pas

1. Déposez le PDF dans l'outil en haut de cette page. Il est traité sur votre appareil : le document, et les données personnelles qu'il contient, ne sont envoyés sur aucun serveur.
2. L'outil Caviarder est ouvert. Recherchez d'abord les termes qui reviennent (nom de famille, numéro de sécurité sociale, IBAN, numéro de dossier) pour les retirer sur toutes les pages d'un coup.
3. Tracez ensuite à la souris les zones restantes : adresse, signature manuscrite, photo, tampon, en-tête portant un nom.
4. Relisez chaque page avant d'appliquer : le caviardage retire définitivement le contenu, il n'y a pas de retour arrière dans le fichier produit.
5. Appliquez, puis téléchargez le PDF anonymisé sous un nouveau nom. Gardez l'original à part, dans un endroit protégé.
6. Faites le test du copier-coller et de la recherche décrit plus haut, puis retirez les métadonnées (étape suivante).

Si le PDF est protégé par un mot de passe, commencez par le déverrouiller avec son mot de passe. S'il s'agit d'un scan, le texte n'est qu'une image : la recherche de termes ne trouvera rien tant que vous n'aurez pas passé le document à l'OCR ; en attendant, tracez les zones à la main.

Quelles données retirer pour anonymiser un document

Retirer le nom ne suffit presque jamais. Passez le document au crible avec cette liste :

• Identifiants directs : nom, prénom, signature, photo, adresse e-mail, numéro de téléphone.
• Numéros uniques : sécurité sociale, IBAN, numéro fiscal, immatriculation, numéro de client, de contrat ou de dossier, identifiant de salarié.
• Identifiants indirects : adresse postale, date de naissance, lieu de travail, poste occupé, dates précises d'événements rares. Pris ensemble, ils suffisent souvent à retrouver quelqu'un.
• Éléments hors du corps du texte : en-têtes et pieds de page, tampons, logos portant un nom, numéros en marge, légendes d'images.
• Ce qui ne se voit pas : métadonnées (auteur, titre d'origine), commentaires, pièces jointes, calques masqués.

Quand l'information doit rester utile, généralisez plutôt que de tout noircir : remplacez une date de naissance par une tranche d'âge, une adresse par un département. C'est l'une des deux familles de techniques citées par la CNIL, avec la randomisation. Pour cela, l'outil pour modifier le texte d'un PDF permet de retaper une ligne, en ligne et gratuitement.

Métadonnées, pièces jointes, calques : ce que le caviardage ne voit pas

Un PDF transporte des informations hors des pages : le champ « Auteur » contient souvent le nom de la personne qui a créé le fichier, le titre peut reprendre le nom du fichier d'origine (« Licenciement_Martin_v2 »), et les dates trahissent la chronologie d'un dossier. Après le caviardage, passez le fichier dans l'outil pour supprimer les métadonnées d'un PDF : il affiche titre, auteur, sujet, mots-clés, application d'origine, dates et paquet XMP, et les efface d'un clic.

Cet outil ne retire pas le texte caché, les calques ni les pièces jointes. Si votre PDF en contient, le plus sûr est de repartir du document source ou de l'imprimer en PDF avant de caviarder. Pour contrôler le résultat final, extrayez le texte du PDF : tout ce qui sort de l'extraction est lisible par n'importe qui.

Pourquoi anonymiser sans envoyer le fichier sur un serveur

Il y a un paradoxe à confier un document à un service en ligne pour en retirer les données personnelles : pendant le traitement, ce service reçoit justement ces données. Au regard du RGPD, cet envoi est lui-même un traitement, qui suppose un prestataire encadré par contrat et des garanties sur le lieu d'hébergement.

Les outils PDF en ligne de Certyneo, fondés sur la version web de Certyneo Reader, évitent la question : le fichier est traité sur votre appareil et ne transite par aucun serveur. Notre page outils PDF sécurisés et RGPD explique ce choix. Les professions qui caviardent chaque semaine (avocats, ressources humaines, services juridiques) trouveront aussi le caviardage dans l'application de bureau gratuite : voir le logiciel PDF pour avocats.

Une fois le document anonymisé, il peut circuler, être publié ou signé. Pour le faire signer sans le renvoyer par e-mail, utilisez notre service pour signer un PDF en ligne, gratuitement et sans compte, et consultez notre guide sur la signature électronique et le RGPD.

Questions fréquentes