Anonymiser des documents scannés : les risques de l'OCR et la double vérification

Presque toutes les archives mêlent deux familles de documents : ceux nés numériques (un Word exporté en PDF, une décision produite par le logiciel métier) et ceux qui ont été scannés (un courrier reçu sur papier, une facture postale, une pièce d'identité photographiée au téléphone). Pour un lecteur humain, aucune différence. Pour un outil d'anonymisation, si : un document scanné est une image, et avant d'y chercher des données personnelles il faut transformer cette image en texte grâce à l'OCR (reconnaissance optique de caractères). Tout ce que l'OCR lit mal, ou ne lit pas, échappe à la détection automatique. Les scans sont donc le point faible de presque tout projet d'occultation ou d'anonymisation.

Pourquoi un scan n'est pas un PDF natif

Dans un PDF natif, le texte existe en tant que texte : on peut le sélectionner, le rechercher, le copier, et un outil peut localiser un numéro de sécurité sociale au caractère près. Dans un scan, il n'y a que des pixels. L'OCR reconstruit le texte à partir de l'image et ajoute une couche invisible contenant les mots reconnus et leur position. La détection travaille sur cette couche ; l'occultation, elle, doit s'appliquer à l'image. D'où deux problèmes : si l'OCR se trompe, la détection échoue ; et si l'occultation ne touche que la couche texte, ou que l'image, la donnée subsiste. Cette seconde erreur fait partie des classiques décrits dans les erreurs de caviardage PDF qui laissent fuiter des données.

Six risques typiques

1. Erreurs de reconnaissance

Photocopies de photocopies, télécopies, basse résolution ou faible contraste produisent des confusions connues : 0 et O, 1, l et I, 5 et S, « rn » lu « m ». Un seul caractère suffit pour qu'un motif ne reconnaisse plus un identifiant. Exemple fictif : un NIR dont un « 1 » est lu « I » n'est plus reconnu par la règle qui attend une suite de chiffres. Il en va de même d'un IBAN coupé sur deux lignes ou d'un nom composé coupé par un trait d'union.

2. Écriture manuscrite

Annotations en marge, noms remplis à la main sur un formulaire, signature avec le nom du signataire en dessous. L'OCR classique reconnaît mal l'écriture manuscrite : ces données apparaissent rarement dans la détection automatique et doivent être couvertes par des zones manuelles après contrôle visuel.

3. Tampons, signatures et codes

Tampons d'arrivée avec nom et numéro d'enregistrement, cachets d'entreprise superposés au texte, mentions verticales en marge, signatures manuscrites ou codes QR renvoyant vers un justificatif nominatif. Ce sont des éléments graphiques, souvent pivotés ou superposés, que l'OCR lit partiellement ou pas du tout.

4. Pages de travers, pivotées ou photographiées

Une page numérisée de biais ou une photo prise en perspective dégrade la reconnaissance et décale les coordonnées : le cache peut être légèrement déplacé et laisser visibles le haut ou le bas des lettres.

5. Documents mixtes

Un contrat natif avec la copie scannée d'une pièce d'identité en dernière page, un dossier avec des annexes photographiées, un e-mail avec une pièce jointe en image. Après des premières pages propres et bien détectées, on a tendance à faire confiance au reste.

6. Couches OCR héritées

Beaucoup de scanners génèrent leur propre couche texte, parfois de mauvaise qualité. Si l'on occulte l'image en conservant cette couche, le texte d'origine reste copiable ou recherchable. Il faut la supprimer, comme les métadonnées du PDF.

La double vérification, méthode pratique

Le droit n'impose pas de technique particulière, mais le RGPD exige des mesures de sécurité adaptées au risque (article 32) et la protection des données dès la conception (article 25). La CNIL rappelle, dans sa page sur l'anonymisation de données personnelles, qu'il faut évaluer le risque de réidentification avant de considérer un résultat comme anonyme. Et lorsqu'un document administratif est communiqué après occultation des mentions non communicables, comme le prévoit le code des relations entre le public et l'administration, une occultation ratée sur un scan revient à divulguer ces mentions. Pour les scans, cela se traduit par une double vérification :

La seconde vérification est plus efficace si elle est confiée à une autre personne : celui qui a déjà relu un document a tendance à voir ce qu'il s'attend à voir. Si le volume interdit une double relecture complète, concentrez-la sur les pages scannées et les documents contenant des données sensibles, là où se concentrent les erreurs. Un pas-à-pas détaillé est disponible dans comment anonymiser un PDF scanné.

Comment Anonimatum traite les scans

Dans l'anonymiseur de PDF scannés d'Anonimatum, l'OCR ne s'applique qu'aux pages scannées : l'application indique quelles pages en ont besoin et demande confirmation, et les pages qui contiennent déjà du texte ne sont pas retraitées. Les pages passées à l'OCR comptent double dans le quota de pages : un document de dix pages dont trois scannées en consomme treize. Le profil permet de choisir entre un moteur OCR plus rapide et un autre plus précis. Les images, y compris HEIC et TIFF multipage, sont converties en PDF et suivent le même chemin. Après l'OCR, l'IA détecte noms, dates, adresses et montants, ainsi que codes QR, cachets et signatures numériques ; des motifs repèrent e-mails, téléphones ou IBAN. Le reste, comme l'écriture manuscrite, se couvre avec l'anonymisation visuelle par zones et formes, toujours avec aperçu et validation humaine avant application. Découvrez les offres et commencez avec vos propres scans.