Caviarder un PDF : pourquoi un rectangle noir ne suffit pas

Une gérance immobilière à Lausanne reçoit une plainte pour du bruit dans la cage d’escalier. La propriétaire veut la voir. Mais la lettre contient aussi les noms et les numéros d’appartement d’autres locataires, qui n’ont rien à y faire. La collaboratrice ouvre le PDF, trace des rectangles noirs sur les noms et envoie le fichier.

À l’écran, c’est impeccable. Que les noms aient vraiment disparu dépend de la manière dont les rectangles ont été créés. Bien souvent, ils se posent simplement sur le texte — et le texte est toujours dessous.

Pourquoi un rectangle ne suffit pas

Une page PDF se compose de couches : le contenu proprement dit et, par-dessus, les commentaires, surlignages et dessins. Un rectangle issu de l’outil de commentaire ou de dessin appartient à la couche supérieure. Il couvre le texte, mais ne l’efface pas.

Un tribunal américain a décrit cette erreur en détail dans une note sur le caviardage. Il cite un cas où des barres noires recouvraient des passages confidentiels d’un jugement publié en PDF : les barres ne faisaient que masquer le texte, sans l’effacer, et un simple copier-coller le rendait lisible. La note cite comme erreur fréquente le fait de couvrir le texte avec l’outil de surlignage ou un outil de dessin ; le résultat est un texte caché, mais pas supprimé du document.

Il en va de même pour un texte surligné en noir dans un document Word ensuite enregistré en PDF : la couleur change, les lettres restent.

Ce que caviarder veut vraiment dire

Les programmes dotés d’une véritable fonction de caviardage procèdent autrement. Adobe décrit ainsi le caviardage dans Acrobat Pro : les contenus caviardés, comme du texte ou des images, sont remplacés par des cases colorées, de sorte que les informations ne peuvent être ni restaurées ni affichées. La différence avec le rectangle tient au mot « remplacés » : le texte est retiré du contenu de la page, et la case prend sa place.

Adobe mentionne deux limites :

• Définitif. Un caviardage ne peut pas être annulé une fois appliqué et enregistré. C’est pourquoi il se fait sur une copie, jamais sur l’original.
• Visible seulement. Le caviardage retire le texte et les graphiques visibles. Les données masquées comme les métadonnées ou les contenus incorporés doivent être supprimées séparément.

Adobe appelle la seconde étape « nettoyage » : supprimer les données masquées comme les métadonnées, les contenus incorporés, les scripts et les autres éléments non visibles. Lorsqu’un caviardage est appliqué dans Acrobat Pro, le programme propose de supprimer ces informations en même temps.

Où se cachent les informations

Ce qu’on voit sur la page n’est pas tout ce que contient le fichier. La note du tribunal américain rappelle que les fichiers PDF peuvent contenir automatiquement certaines indications : le nom d’origine du fichier avec son chemin, le nom d’utilisateur de la personne qui a créé le document et la date de création. Elles apparaissent dans les propriétés du document.

Autres endroits typiques :

Endroit	Ce qu’on peut y trouver
Propriétés du document	Auteur, titre, programme, chemin du fichier, date de création
Commentaires et notes	Remarques ajoutées lors d’une relecture
Signets	Titres contenant des noms ou des numéros de dossier
Champs de formulaire	Valeurs saisies, y compris dans des champs masqués
Pièces jointes	Fichiers incorporés, par exemple le document Word d’origine

Dès 2005, la NSA américaine relevait dans un guide sur la publication de documents nettoyés que la simple conversion d’un document Word en PDF ne supprime pas automatiquement toutes les métadonnées. Le nettoyage n’est donc pas un supplément, mais la seconde moitié du même travail.

La voie la plus simple : supprimer dans l’original

La note du tribunal américain désigne comme voie la meilleure et la plus sûre la suppression du texte dans le document d’origine — et non son masquage —, puis la création d’un nouveau PDF. Ainsi, le texte indésirable n’existe jamais dans le PDF.

Pour la gérance, cela signifie : si la plainte existe en fichier Word, les noms y sont remplacés par « [locataire, 2e étage] », et ce n’est qu’ensuite que le PDF est créé. Si la plainte est arrivée par courrier et a été numérisée, c’est une image ; si la numérisation est passée par une reconnaissance de texte, un texte invisible se trouve en plus sous l’image, et il en va de lui comme de tout autre PDF.

Comment vérifier le résultat

Quelques gestes montrent si un caviardage tient avant que le fichier quitte le bureau :

1. Rechercher. Saisir le nom caviardé dans la recherche du lecteur PDF. S’il le trouve, il est toujours là.
2. Sélectionner et copier. Sélectionner la zone de la barre et la coller dans un éditeur de texte. Si du texte apparaît, la barre était seulement posée dessus.
3. Consulter les propriétés. Vérifier l’auteur, le titre et le chemin indiqués dans les propriétés du document.
4. Couches et commentaires. Parcourir la liste des commentaires et les signets.

Quand le nom a disparu, mais la personne reste reconnaissable

Un caviardage propre supprime des caractères. Que la personne ne soit ensuite plus reconnaissable est une autre question. La loi sur la protection des données entend par données personnelles toutes les informations concernant une personne physique identifiée ou identifiable (art. 5, let. a, LPD). Une personne peut être identifiable sans son nom.

Dans un immeuble de six appartements, « locataire, 2e étage gauche » suffit pour savoir de qui il s’agit. Dans un certificat de travail, la combinaison de la fonction, de la date d’entrée et du service en dit souvent plus que le nom caviardé. Qui caviarde pour protéger une personne relit donc le document une seconde fois en se demandant : quelqu’un qui connaît l’entreprise pourrait-il malgré tout reconnaître la personne ?

Parfois, la réponse est de caviarder davantage — le numéro d’appartement, la date, le service. Parfois, c’est de ne pas transmettre le document du tout et de résumer plutôt, avec ses propres mots, ce que la destinataire doit savoir.

Une marche à suivre pour l’entreprise

Au quotidien, on caviarde rarement de manière planifiée, plutôt juste avant l’envoi. Une marche à suivre fixe aide, parce qu’elle remet chaque fois les mêmes étapes dans le même ordre :

1. Créer une copie et la nommer clairement.
2. Si possible, remplacer dans le document d’origine et recréer le PDF ; sinon, utiliser une véritable fonction de caviardage.
3. Nettoyer les contenus masqués : propriétés, commentaires, pièces jointes.
4. Effectuer la vérification décrite plus haut : rechercher, copier, consulter les propriétés.
5. Une deuxième personne relit le résultat en se demandant si quelqu’un reste reconnaissable.

Cela prend quelques minutes. Un document envoyé ne se récupère plus.

Transmettre moins, dès le départ

Derrière la technique se pose une question simple : de quoi la destinataire a-t-elle vraiment besoin ? La loi sur la protection des données exige qu’un traitement soit proportionné (art. 6, al. 2, LPD), et la communication à des tiers est une forme de traitement (art. 5, let. d et e, LPD). Un extrait ou un bref résumé est souvent une meilleure réponse qu’un document complet caviardé.

Lorsque le document entier doit être transmis, un caviardage soigneux suivi d’une vérification est la voie fiable. Pour les outils PDF que nous développons, le même principe vaudra pour chaque tâche : le fichier est traité en Suisse, en mémoire, et n’est pas conservé, et pour les documents confidentiels un mode dédié effectuera certaines tâches entièrement sur votre propre appareil.