Erreurs de caviardage PDF qui font fuiter des données : calques, métadonnées, OCR

Un PDF caviardé paraît sûr puisqu'on n'y voit que des rectangles noirs. Mais un PDF n'est pas une feuille de papier : c'est un conteneur qui renferme du texte, des images, des annotations, des formulaires, des métadonnées et parfois plusieurs versions du même document empilées. Le caviardage ne protège que s'il supprime la donnée de toutes ces couches. Sinon, un copier-coller, une recherche Ctrl+F ou l'ouverture dans une autre visionneuse suffisent à faire réapparaître ce qui devait être masqué.

Le risque n'a rien de théorique. En janvier 2019, les avocats de Paul Manafort ont déposé devant un tribunal fédéral américain un mémoire dont les passages « caviardés » pouvaient être copiés-collés, révélant des informations censées rester confidentielles ; la revue des juges de l'American Bar Association l'a cité comme cas d'école. Des incidents comparables touchent régulièrement administrations et entreprises. Cet article passe en revue les erreurs techniques à l'origine de ces fuites et la manière de les repérer avant toute diffusion.

Six erreurs qui laissent la donnée dans le fichier

1. Rectangles superposés ou surlignage noir

C'est l'erreur classique : dessiner un rectangle noir avec l'outil de formes ou de commentaires, passer le texte en noir sur fond noir ou utiliser un surligneur foncé. Le rendu est parfait, mais le texte reste dans la couche de contenu. Il se récupère par sélection, copie, recherche dans la visionneuse ou avec n'importe quel outil d'extraction. Même chose lorsqu'on surligne en noir dans Word avant d'exporter en PDF : le texte voyage intact.

2. Calques et objets cachés

Un PDF peut contenir des annotations (notes, commentaires), des champs de formulaire remplis, des calques optionnels masqués par défaut, des pièces jointes intégrées et des signets dont le titre comporte un nom (« Audition de Jean Martin »). Un outil qui n'agit que sur le texte visible laisse tout cela en place.

3. La couche OCR invisible des numérisations

Lorsqu'un document numérisé passe par l'OCR, le PDF conserve l'image de la page et, en dessous, une couche de texte invisible qui permet la recherche et la copie. Si l'on masque l'image sans supprimer le texte reconnu, le nom « caviardé » ressort à la recherche. L'inverse arrive aussi : le texte est supprimé, mais l'image numérisée montre encore la donnée parce que le rectangle ne la couvre pas entièrement. Notre guide pour anonymiser un PDF numérisé détaille ce cas.

4. Métadonnées et propriétés du document

Le titre, l'auteur, l'objet, les mots-clés, les métadonnées XMP et le logiciel producteur accompagnent le fichier. Il est fréquent que le titre soit le nom de la personne concernée ou que l'auteur soit le rédacteur d'une note confidentielle. Il faut les contrôler et supprimer les métadonnées du PDF sur la copie diffusée, jamais sur l'original archivé.

5. Les enregistrements incrémentaux

Le format PDF permet d'enregistrer des modifications en les ajoutant à la fin du fichier sans réécrire le reste. C'est rapide, mais la version antérieure au caviardage peut subsister dans le fichier et être récupérée avec des outils spécialisés. Le résultat doit donc être enregistré comme un nouveau fichier entièrement réécrit, et non par un simple « Enregistrer » sur le document de travail.

6. Ce qui se trouve hors du document : noms de fichier et contexte

« Arrete_sanction_Marie_Durand_caviarde.pdf » (exemple fictif) ruine le meilleur caviardage. Il en va de même de l'objet du courriel d'envoi, d'un chemin de dossier visible dans une URL publique ou d'un nom resté dans un pied de page ou une table des matières. Sans oublier les versions non caviardées encore en ligne à une autre adresse.

Des erreurs de jugement, pas seulement d'outil

Même avec le bon outil, certaines fuites viennent des choix de relecture :

• Caviardage incomplet : le nom est masqué dans le corps du texte, mais pas dans les en-têtes, pieds de page, annexes, tableaux ou le bloc de signature.
• Identifiants indirects : le nom disparaît, mais la fonction unique (« la directrice de l'école »), l'adresse exacte ou une combinaison date-lieu désigne toujours la même personne.
• Longueur révélatrice : un rectangle ajusté au nom court d'une petite commune peut suffire à le deviner.
• Pixellisation ou flou au lieu d'un remplacement : avec une faible résolution ou un texte prévisible, le contenu peut parfois être reconstitué.
• Caviarder au lieu de pseudonymiser quand le lecteur doit distinguer les parties : le document devient illisible et quelqu'un finit par envoyer une version « plus utile » hors de tout contrôle.

Contrôler un PDF avant de le diffuser

Ces vérifications prennent cinq minutes et repèrent la plupart des défauts. Faites-les sur le fichier final, pas sur la copie de travail :

Pour les administrations, ces contrôles prolongent les règles du code des relations entre le public et l'administration, qui prévoit la communication ou la publication de documents après occultation des mentions protégées. Le guide pratique de la publication en ligne publié par la CNIL et la CADA rappelle qu'un document contenant des données personnelles doit en principe être anonymisé avant sa mise en ligne, en vérifiant que la personne ne peut être ni isolée, ni reliée à d'autres informations, ni déduite.

Un processus qui évite les erreurs par construction

Le moyen le plus sûr d'éviter ces défauts est de ne pas dépendre de la vigilance de la personne qui caviarde. Un processus robuste travaille toujours sur une copie, repère les données de façon systématique (y compris dans les en-têtes et annexes), supprime le contenu au lieu de le recouvrir, nettoie les métadonnées, produit un nouveau fichier et prévoit une relecture humaine avant validation. Pour les erreurs d'organisation, voir notre article sur les erreurs fréquentes du caviardage manuel d'un PDF.

Anonimatum suit cette logique : il détecte les données personnelles grâce à une IA propre exécutée sur des serveurs situés dans l'UE et à des motifs (numéros d'identification, IBAN, téléphones, courriels), traite les PDF numérisés par OCR, affiche un aperçu pour relire et corriger avant application, et produit un document dans lequel la donnée caviardée est supprimée de façon irréversible. Il propose aussi la suppression des métadonnées et l'anonymisation visuelle par zones pour les tampons, signatures ou photos.