Pour une pièce couverte par le secret professionnel, l'envoi à un service en ligne constitue déjà une communication à un tiers. Il faut donc caviarder sur votre poste, avec un outil qui supprime réellement le texte sous la zone noire. En effet, un simple rectangle noir posé par-dessus laisse le texte en place : un copier-coller suffit à le lire.
Envoyer le fichier, c'est déjà le divulguer
Un outil de caviardage en ligne est commode. Il s'ouvre dans un onglet, sans installation, et promet d'effacer le fichier de ses serveurs dans l'heure. Pourtant, pour une pièce couverte par le secret, cette promesse arrive trop tard : le document a déjà quitté le cabinet.
Le RGPD formule la même idée dans ses propres termes. Le cabinet est responsable du traitement des données de ses clients, et l'éditeur qui reçoit le fichier devient son sous-traitant. L'article 28 exige alors un contrat écrit qui fixe l'objet, la durée, la sécurité et le sort des données. Le traitement doit en outre reposer sur une base légale.
Or des conditions générales acceptées d'un clic réunissent rarement ces éléments, et c'est au cabinet que la CNIL en demandera la preuve. On peut chercher un prestataire plus sérieux. Mais si le fichier n'est jamais envoyé, il n'y a plus de sous-traitant du tout.
Le dossier Manafort et un contrôle de deux secondes
En janvier 2019, la défense de Paul Manafort a déposé devant un tribunal fédéral américain un document aux passages noircis. Il suffisait pourtant de copier ces passages dans un autre programme pour lire tout le texte. L'affaire a été largement relayée par la presse américaine. Seul le mécanisme nous intéresse ici : un outil a donné l'apparence d'un caviardage sans rien supprimer.
Ce type d'erreur persiste parce que la pièce paraît caviardée, à l'écran comme à l'impression, et d'abord aux yeux de celui qui l'a préparée. Or la plupart des éditeurs PDF proposent trois outils qui se ressemblent : le dessin, l'annotation et le véritable caviardage. Seul le dernier détruit le contenu situé sous la zone.
Ouvrez le fichier exporté, sélectionnez la zone noire, copiez-la, puis collez le résultat dans un bloc-notes. Si du texte apparaît, rien n'a été supprimé. Cherchez aussi dans le PDF un nom que vous croyez effacé. Ce contrôle prend deux secondes, mais on le fait rarement, parce que le document a l'air parfait.
Ce que la page ne montre pas
Un PDF contient davantage que ce que la page affiche. Ainsi, les PDF balisés pour l'accessibilité comportent un texte de substitution (ActualText) et des descriptions (Alt), qui reprennent souvent le contenu visible.
S'y ajoutent les métadonnées XMP, les données d'application (PieceInfo), les destinations nommées, et les champs de formulaire avec leur apparence. Un rectangle dessiné sur la page n'atteint aucun de ces emplacements.
promptShield, lui, supprime le contenu sous la zone au lieu de le recouvrir. Il écrit ensuite dans chacun de ces emplacements le code de la valeur encodée, ou une marque neutre si la valeur est caviardée. Les vignettes calculées avant le caviardage sont supprimées, car on ne peut pas remplacer un mot dans une image.
Encoder n'est pas anonymiser
Caviarder retire la valeur sans retour possible. Encoder, en revanche, la remplace par un code réversible : la correspondance est conservée dans le Registre de codes, et Décoder rétablit l'original. Dans une pièce de 300 pages, une même personne garde ainsi le même code de la page 3 à la page 280. Le texte reste donc lisible, y compris pour un modèle, comme l'explique notre article sur les codes réversibles.
Cette cohérence s'arrête toutefois au dossier de la Bibliothèque, et nos propres textes l'ont déjà mal décrite. Chaque dossier a ses propres codes et ignore ceux des autres. Si vous répartissez une communication de pièces entre plusieurs dossiers, la même personne y recevra donc des codes différents. Rangez plutôt les pièces dans un seul dossier. Seul un code ajouté à la main, avec « Ajouter un code » dans les Paramètres, vaut pour toute la Bibliothèque.
L'ICO, l'autorité britannique de protection des données, distingue anonymisation et pseudonymisation : tant qu'une table permet de revenir à l'original, les données restent personnelles. Le RGPD suit la même logique dans sa définition de la pseudonymisation (article 4, point 5). Un fichier encodé est donc pseudonymisé, et non anonymisé. C'est voulu : grâce à la réversibilité, vous pouvez décoder la réponse d'un modèle ou d'un confrère.
Avant d'envoyer une pièce encodée à la partie adverse, gardez donc en tête qu'elle n'est que pseudonymisée. Voyez ce qu'exige réellement le mot « anonymisé ».
La table de correspondance est un fichier SQLite local. Nous avons choisi de ne pas la chiffrer, car vos pièces d'origine se trouvent déjà en clair sur le même disque. Attention toutefois à son export : il produit un fichier JSON, en clair, de toutes les correspondances. Joindre cet export à un PDF encodé revient à envoyer l'original en deux morceaux.
Caviarder un PDF juridique sur votre poste
Détecter combine plusieurs couches. D'abord, les Motifs repèrent les valeurs au format fixe, comme le numéro de sécurité sociale, l'IBAN ou le RIB.
Ensuite, la Reconnaissance d'entités repère les noms, les sociétés et les adresses, et vos Expressions ajoutent les termes propres à l'affaire. Enfin, l'Analyse approfondie, facultative et désactivée par défaut, traite les cas limites. Son mode distant ne s'active que sur votre choix.
Les résultats sont alors fusionnés, dédoublonnés, propagés d'une page à l'autre, puis filtrés. Aucun modèle local ne repère pour autant tous les identifiants. C'est pourquoi Réviser ouvre la liste des zones trouvées, que vous acceptez ou écartez une à une.
Le fichier ne peut être téléchargé qu'après cette vérification. Si vous cliquez trop tôt, une fenêtre explique ce qui bloque et ouvre directement la révision. Cette validation inscrit aussi les codes au Registre de codes.
Un dossier contentieux contient presque toujours des pièces numérisées, sans texte à supprimer. L'application convertit alors chaque page en image à 300 dpi. Tesseract, un moteur de reconnaissance de caractères, la lit dans la langue du document et en anglais. L'application recouvre ensuite les pixels des données personnelles et reconstruit une couche de texte où la recherche fonctionne.
Huit langues sont livrées : anglais, français, allemand, espagnol, italien, néerlandais, portugais et polonais. Une pièce lue dans la mauvaise langue est mal reconnue, et rien ne vous en avertit. Vérifiez donc la langue avant de détecter. Voyez aussi notre article sur le caviardage des PDF numérisés et des images.
La mention « 100 % hors ligne » ne s'applique qu'à l'application de bureau. L'offre Pro y ajoute un mode isolé, sans vérification de licence ni rapport d'incident. La version gratuite pour navigateur envoie, elle, un signal anonyme à chaque lancement. Dans les deux cas, le document ne quitte pas votre machine.
La vérification avant l'envoi
Aucun outil ne dispense de vérifier soi-même. Un traitement local et une révision obligatoire réduisent le risque, mais la pièce reste sous la responsabilité de l'avocat qui la communique. Faites donc un copier-coller de contrôle avant chaque envoi, y compris la veille d'une échéance. L'affaire de 2019 le montre : cette erreur arrive aussi à des professionnels compétents.
Questions fréquentes
Un rectangle noir dans un éditeur PDF suffit-il ?
Seulement si l'outil supprime le texte sous le rectangle. Un outil de dessin ou d'annotation se contente de poser une forme par-dessus. Le texte reste alors accessible par un copier-coller ou une recherche. Pensez aussi aux métadonnées et aux champs de formulaire, qu'aucun dessin n'atteint.
Le traitement en local rend-il la détection moins fiable ?
Pas en soi : les motifs et les modèles d'entités fonctionnent de la même façon sur votre poste que sur un serveur. Sans l'Analyse approfondie, les cas ambigus demandent un peu plus de révision. Aucun outil, local ou distant, ne repère tous les identifiants.
Un outil dans le navigateur est-il vraiment confidentiel ?
Pas toujours. Beaucoup d'outils en ligne envoient le fichier à leur serveur, ce qui fait de leur éditeur un sous-traitant. La version gratuite de promptShield, elle, traite le document dans le navigateur, sans l'envoyer. Elle transmet seulement un signal anonyme au lancement. C'est pourquoi nous ne la disons pas hors ligne.