Masquer des éléments dans un document : noms, coordonnées, montants, signatures, photos

Les familles d'éléments et la méthode qui convient à chacune

Avant d'ouvrir un outil, il est utile de dresser l'inventaire de ce qu'un document peut contenir. Chaque famille se cache à des endroits différents et appelle un geste différent.

Noms, coordonnées et numéros : remplacer plutôt que noircir

Pour les données textuelles, la méthode la plus sûre et la plus lisible n'est pas le rectangle noir mais le remplacement par un alias. Un alias est une étiquette stable, du type PERSONNE_001 ou EMAIL_002, qui remplace la même valeur partout dans le document. Le texte reste compréhensible : on sait que PERSONNE_001 signe le contrat en page 1 et le résilie en page 7, sans savoir qui est PERSONNE_001. C'est le principe de la pseudonymisation, définie par l'article 4 du RGPD et détaillée par la CNIL dans son guide sur l'anonymisation et la pseudonymisation.

Trois précautions comptent pour cette famille :

• Traiter toutes les occurrences, y compris les variantes : « Madame Durand », « M. Durand » et « A. Durand » désignent la même personne. Une seule occurrence oubliée suffit à tout réidentifier.
• Vérifier les numéros par leur clé de contrôle : un numéro de sécurité sociale, un IBAN ou un SIREN ont une structure vérifiable, ce qui évite de masquer un simple numéro de page ou de laisser passer un identifiant mal formaté.
• Garder la cohérence entre les documents d'un même dossier : si le salarié est PERSONNE_001 dans le contrat, il doit l'être aussi dans l'avenant.

C'est ce que fait Biffer, le logiciel que nous éditons (Opcadia, Romain Rissoan, formateur et consultant). Il détecte sur votre ordinateur les personnes, emails, téléphones, adresses, dates, identifiants à clé de contrôle et plus de cent champs métier, affiche un aperçu où vous décochez les faux positifs, puis remplace chaque valeur par un alias dans toutes ses occurrences. Trois politiques existent par type de donnée : pseudonymiser (alias), masquer ([PERSONNE]) ou conserver. Le détail figure sur la page fonctions de Biffer.

Montants, signatures, photos et tableaux : masquer sans casser le document

Ces éléments ne sont pas des données personnelles au sens strict, mais ils révèlent souvent autant qu'un nom : un salaire identifie un poste, une signature identifie une personne, une photo identifie tout le monde.

Les montants posent un piège propre aux tableurs. Masquer une colonne, appliquer un format de cellule qui n'affiche rien ou colorer le texte en blanc ne retire pas la valeur : elle reste dans la cellule, dans les formules qui la reprennent et dans les totaux. La seule méthode fiable consiste à remplacer la valeur elle-même, cellule par cellule, puis à vérifier les formules qui en dépendaient. Dans un Word ou un PDF, un montant se traite comme un texte : sélectionné, remplacé, puis recherché dans tout le document pour trouver ses répétitions.

Les signatures, tampons et paraphes sont des images incrustées. Aucun alias n'est possible : il faut noircir les pixels de la zone, c'est-à-dire réécrire l'image, et non poser une forme au-dessus. Le même geste vaut pour les logos quand l'organisation ne doit pas être reconnue. L'article noircir un document explique ce que le noir cache vraiment selon le support.

Les photos demandent une attention supplémentaire. Une photo d'identité sur un CV se noircit ou se retire du document. Mais une photo prise au téléphone porte aussi ses propres métadonnées (appareil, date, parfois position) : retirer l'image du document source les retire avec elle ; dans un PDF, le noircissement doit réécrire l'image. À vérifier au cas par cas.

Les tableaux (liste du personnel, grille de salaires, suivi de patients) gardent leurs en-têtes ; seules les valeurs identifiantes sont remplacées, ligne par ligne, et le document garde son sens.

Métadonnées, nom du fichier, historique : les éléments invisibles

Un document bien masqué à l'écran peut encore livrer des informations par ses propriétés. Voici ce qu'il faut contrôler avant tout envoi.

1. Les propriétés du fichier : auteur, société, titre, mots-clés, dernier modificateur. Word, Excel et PDF les remplissent automatiquement à la création.
2. Les commentaires et les révisions : un document Word relu en mode suivi conserve le texte supprimé et le nom de chaque relecteur tant que les modifications n'ont pas été acceptées.
3. Les feuilles et lignes masquées d'un classeur Excel, qui restent dans le fichier et réapparaissent d'un clic.
4. Le nom du fichier : « Contrat Jean Dupont 2024.pdf » annule tout le travail de masquage.
5. Les pièces jointes et liens d'un PDF, qui peuvent pointer vers la version non masquée.

Word propose l'Inspecteur de document pour repérer et retirer ces éléments ; il n'a en revanche aucun outil de masquage du contenu lui-même, comme le détaille l'article anonymiser un document Word. Un logiciel de biffage vide les métadonnées à l'export ; Biffer le fait par défaut et propose en plus d'anonymiser le nom du fichier produit.

Choisir le degré de masquage selon l'objectif

La même pièce ne se masque pas de la même façon selon ce qu'on en fait ensuite. Quatre situations couvrent la plupart des besoins.

Dans tous les cas, le contrôle final est le même : recherchez chaque valeur masquée dans le fichier produit, copiez-collez les zones noircies dans un éditeur de texte et relisez les propriétés. La page biffer un PDF détaille ce contrôle.