Caviarder un PDF : pourquoi un rectangle noir ne suffit pas

Ce qui se passe quand on dessine un rectangle

Une page PDF est une suite d’instructions : écrire tel caractère à tel endroit, afficher telle image, tracer telle forme. Ajouter un rectangle noir revient à ajouter une instruction de plus, exécutée après les autres. Les caractères situés dessous ne sont ni effacés ni modifiés ; ils sont seulement recouverts, à l’écran comme à l’impression.

La recherche, la sélection et le copier-coller continuent donc de fonctionner. Le guide de bonnes pratiques de la Cour fédérale des réclamations des États-Unis décrit ce piège : un surlignage noir rend le texte illisible sans le retirer, et il suffit de copier la zone puis de la coller dans un traitement de texte pour le voir réapparaître.

Plusieurs méthodes courantes ne font ainsi que masquer :

• Surlignage ou annotation noire : l’annotation flotte au-dessus de la page et peut être déplacée, masquée ou supprimée.
• Texte recoloré en blanc, ou en noir sur fond noir : la couleur change, pas le contenu.
• Forme noire ajoutée dans un éditeur : le rectangle devient un objet de la page, le texte en reste un autre.
• Recadrage de la page : la zone rognée n’est plus affichée, mais son contenu demeure dans le fichier. L’outil Rogner PDF le précise d’ailleurs : il masque les zones hors cadre sans les supprimer.

Là où l’information survit aussi

Même une fois la zone traitée, la donnée sensible peut figurer ailleurs dans le fichier :

• Les métadonnées : titre, auteur, sujet ou mots-clés reprennent parfois le nom d’un client ou la référence d’un dossier (voir Métadonnées d’un PDF : ce qu’elles révèlent).
• La couche de texte d’un scan cherchable : l’OCR ajoute un texte invisible aligné sur l’image, et noircir l’image ne retire pas ce texte.
• Les signets, commentaires et pièces jointes : un nom peut apparaître dans un signet ou une note sans être visible sur la page.
• Les champs de formulaire : la valeur saisie est stockée dans le champ, indépendamment de ce qui s’affiche.
• Les autres pages : une même donnée revient souvent en en-tête, dans une annexe ou dans un tableau récapitulatif.

En France, la communication des documents administratifs repose sur ce principe de suppression. Lorsqu’un document contient des mentions non communicables, l’article L311-7 du CRPA, le code qui encadre les rapports entre l’administration et le public, prévoit de le transmettre une fois ces mentions occultées ou disjointes. Une occultation qui se défait par un copier-coller n’occulte rien.

Masquer un nom ne suffit pas non plus à anonymiser. La CNIL rappelle que des données dont on peut encore rattacher le contenu à une personne grâce à des informations tierces conservent un caractère personnel. Une fonction unique, une adresse ou une date précise permettent parfois de reconnaître quelqu’un dont le nom a disparu.

La méthode en six étapes

1. Travaillez sur une copie et gardez l’original non caviardé en lieu sûr : le caviardage est destructif.
2. Listez ce qui doit disparaître : noms, numéros de sécurité sociale ou de compte, adresses, signatures, mais aussi les indices indirects comme une fonction ou un lieu.
3. Retrouvez chaque occurrence avec la recherche du lecteur PDF, en-têtes, notes et annexes comprises.
4. Supprimez le contenu, pas son apparence : avec un logiciel qui efface réellement le texte sous la zone, ou en recomposant la page en image.
5. Nettoyez le reste : métadonnées, commentaires, signets et pièces jointes qui citent les mêmes données.
6. Contrôlez le fichier produit avant tout envoi, selon la liste de vérification plus bas.

Les logiciels qui s’appuient sur l’annotation de caviardage de la norme PDF, apparue avec la version 1.7, procèdent en deux temps. Vous marquez d’abord les zones, que vous pouvez encore déplacer ou corriger ; vous appliquez ensuite le caviardage, qui retire le contenu et laisse une marque à sa place. Tant que cette seconde étape n’a pas eu lieu, rien n’est supprimé.

Ce que fait l’outil Caviarder PDF

L’outil Caviarder PDF recompose les pages en image. Vous tracez des rectangles sur l’aperçu de chaque page. À la confirmation, toute page munie d’au moins un rectangle est redessinée en image ; les aplats noirs sont peints dans les pixels, puis cette image prend la place de la page d’origine. Sur ces pages, le texte, les tracés et les images d’origine ne sont pas repris.

• Pages recomposées : rendues à l’équivalent de 144 pixels par pouce et enregistrées en JPEG. Tout leur texte, et pas seulement la partie noircie, cesse d’être sélectionnable ou cherchable, et un texte de petite taille perd un peu de netteté.
• Pages sans zone : recopiées avec leur texte. Une donnée sensible oubliée sur l’une d’elles reste intacte et lisible. Quand une table des matières ou un autre lien interne pointe vers une page caviardée, ou qu’un champ de formulaire est commun aux deux pages, ce renvoi est retiré : l’original de la page caviardée n’entre pas dans le fichier produit. Seules les ressources déclarées en commun pour toutes les pages, images ou polices, sont recopiées en bloc ; elles peuvent y faire entrer une image d’origine, invisible à l’écran mais lisible par un outil d’analyse des objets du fichier.
• Éléments interactifs : les liens et commentaires des pages recomposées ne subsistent pas en tant qu’objets, et le fichier, reconstruit page par page, ne reprend pas les signets de l’original.
• Métadonnées : la case « Effacer aussi les métadonnées », cochée par défaut, laisse vides les champs titre, auteur, sujet, mots-clés et application d’origine du nouveau fichier. Si vous la décochez, quatre de ces informations sont reprises de l’original : titre, auteur, sujet et créateur.

Rien n’est automatique : l’outil ne recherche pas les occurrences d’un mot, chaque zone se trace à la main. Une zone se retire en la sélectionnant, et une confirmation rappelle que l’opération est irréversible dans le fichier produit.

Vérifier avant d’envoyer

1. Ouvrez le fichier caviardé dans un autre lecteur que celui qui a servi à le préparer.
2. Recherchez chaque terme masqué : le nom complet, mais aussi un fragment du numéro ou le seul prénom. Aucun résultat ne doit apparaître.
3. Sélectionnez tout le texte des pages concernées, copiez-le et collez-le dans un éditeur de texte : rien de ce qui est noirci ne doit ressortir.
4. Ouvrez les propriétés du document, puis les panneaux des signets, des commentaires et des pièces jointes.
5. Zoomez sur les bords de chaque zone : un rectangle trop juste laisse dépasser le haut des majuscules ou le bas des lettres descendantes.

Ces contrôles portent sur ce qu’un lecteur affiche. Ils ne révèlent pas une image d’origine restée dans une ressource commune du fichier : pour écarter ce risque, recomposez le document entier comme indiqué plus haut.

Quand passer par une autre approche

La recomposition en image convient aux pièces ponctuelles : un contrat, un relevé, un jugement à transmettre. Elle se prête moins à un document de plusieurs centaines de pages qui doit rester cherchable, ou à des dizaines de fichiers à traiter en série. Un logiciel qui efface le texte sous les zones en préservant le reste de la page est alors plus pratique.

La solution la plus sûre reste de ne jamais écrire la donnée : produire la version expurgée directement dans le fichier source, avant l’export en PDF. Le guide de la cour américaine donne l’exemple d’un numéro remplacé par des X, à l’exception de ses quatre derniers chiffres.