Supprimer les informations sensibles d'un document : repérer, retirer, vérifier
Supprimer les informations sensibles d'un document demande quatre étapes : définir ce qui est sensible dans votre contexte (données protégées par le RGPD, secret des affaires, secret professionnel), repérer chaque occurrence, la retirer réellement du fichier selon son format, puis vérifier le résultat et garder une trace de ce qui a été retiré. La difficulté n'est pas dans l'outil, mais dans l'inventaire : ce qu'on n'a pas repéré ne sera pas supprimé.
Le mot « sensible » a un sens juridique précis et un sens courant plus large. Au sens du RGPD, les données sensibles sont une catégorie particulière de données personnelles. Au sens courant, est sensible tout ce qui ne doit pas sortir : un prix d'achat, un salaire, une stratégie, un diagnostic, le nom d'un client. Cet article tient compte des deux, parce qu'un document professionnel mêle en général les deux.
Nous décrivons d'abord les trois cadres qui définissent une information sensible, puis une liste de repérage par famille, la méthode de suppression selon le format, et enfin le contrôle et la trace. Pour la question plus large du document à protéger, l'article document confidentiel complète celui-ci ; pour le traitement complet d'un fichier, la page pilier anonymiser un document décrit la démarche.
À retenir
- Trois cadres définissent le sensible : l'article 9 du RGPD, le secret des affaires et le secret professionnel ; le bon sens ajoute ce qui nuirait s'il sortait.
- Le repérage se fait famille par famille, avec une liste, et non à la lecture rapide.
- Supprimer, c'est retirer du fichier : remplacer le texte, écraser les pixels, vider les propriétés, et non recouvrir.
- Le contrôle final passe par une recherche de chaque valeur retirée ; une table de correspondance chiffrée garde la trace sans la diffuser.
Qu'est-ce qu'une information sensible ? Trois cadres
Trois textes donnent au mot un contenu précis, et chacun désigne des informations différentes.
Les données sensibles du RGPD
L'article 9 du RGPD interdit par principe de traiter les données qui révèlent l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, biométriques, de santé, et celles qui concernent la vie ou l'orientation sexuelle. La CNIL en donne la définition et les exceptions. Un certificat médical, un arrêt de travail, une mention de handicap dans un dossier RH relèvent de cette catégorie.
Le secret des affaires
Depuis la loi n° 2018-670 du 30 juillet 2018, est protégée l'information qui n'est pas généralement connue, qui a une valeur commerciale parce qu'elle est secrète, et qui fait l'objet de mesures de protection raisonnables. Prix, marges, listes de clients, procédés, projets : supprimer ces informations avant de diffuser un document fait partie de ces mesures raisonnables.
Le secret professionnel
L'article 226-13 du code pénal sanctionne la révélation d'une information à caractère secret par la personne qui en est dépositaire par état, profession ou fonction : avocats, médecins, notaires, experts-comptables, travailleurs sociaux. Pour eux, le nom d'un client ou d'un patient rattaché à un dossier est une information sensible par nature.
À ces trois cadres s'ajoutent les données personnelles ordinaires (nom, coordonnées, identifiants), qui ne sont pas « sensibles » au sens de l'article 9 mais qu'il faut également retirer dès que le destinataire n'a pas à les connaître. En pratique, c'est l'objectif du document qui tranche : ce qui est nécessaire au lecteur reste, le reste disparaît.
Les repérer : une liste par famille
La lecture rapide ne suffit pas. Un nom en page 2 revient en note de bas de page, un montant se répète dans le récapitulatif, un diagnostic apparaît dans l'objet d'un courriel cité. Travaillez avec une liste, et cherchez chaque famille dans tout le document, y compris les en-têtes, pieds de page, tableaux, commentaires et propriétés du fichier.
| Famille | Exemples | Où regarder en priorité |
|---|---|---|
| Identité | Nom, prénom, civilité, date et lieu de naissance, nationalité, photo, signature | En-têtes, cartouches, dernière page, nom du fichier |
| Coordonnées | Adresse postale, email, téléphone | Blocs d'adresse, signatures de courriel |
| Identifiants | Numéro de sécurité sociale, IBAN, SIREN et SIRET, matricule, numéro de dossier, de contrat, de police, RPPS, toque | Tableaux, annexes, références en marge |
| Santé et vie privée (article 9) | Diagnostic, traitement, arrêt de travail, handicap, situation familiale, opinions, appartenance syndicale | Dossiers RH, comptes rendus, courriers médicaux |
| Affaires | Prix, marges, salaires, conditions négociées, liste de clients, projets, procédés | Clauses financières, tableaux, présentations |
| Éléments cachés | Auteur du fichier, révisions, commentaires, feuilles masquées, pièces jointes | Propriétés, mode suivi, onglets d'un classeur |
Pour les identifiants, une vérification par clé de contrôle (Luhn pour SIREN et SIRET, clé du numéro de sécurité sociale, modulo 97 pour l'IBAN) permet de les repérer sans confondre avec un numéro quelconque. Un logiciel de détection comme Biffer, que nous éditons, applique ces vérifications et cherche en plus les champs propres à 18 métiers, avant de vous présenter un aperçu à valider. L'article masquer des éléments dans un document détaille le traitement de chaque famille.
Les supprimer durablement selon le format
Supprimer, c'est retirer du fichier. Un surlignage, une forme ou un texte coloré en blanc ne retirent rien : l'information reste présente et récupérable. La méthode dépend du format.
Word et Excel
Remplacez le texte lui-même dans chaque occurrence, par un alias (PERSONNE_001) ou un masque ([PERSONNE]). Acceptez toutes les révisions, supprimez les commentaires, affichez et traitez les feuilles et lignes masquées, puis passez l'Inspecteur de document pour vider les propriétés. Word n'a pas d'outil de caviardage : c'est le remplacement qui supprime.
PDF texte
Utilisez un outil de caviardage qui supprime les caractères sous la zone et appliquez-le jusqu'au bout : dans Acrobat Pro, l'outil « Biffer » marque d'abord, puis applique ; Aperçu sur macOS propose « Caviarder » depuis macOS 11. Traitez toutes les occurrences, puis videz les propriétés du PDF. L'article effacer du texte dans un PDF décrit ce que chaque geste laisse dans le fichier.
PDF scanné et images
Le texte fait partie de l'image. Une reconnaissance de caractères localise les mots, puis les pixels de chaque zone sont écrasés, de façon irréversible. Sans reconnaissance, il reste le tracé manuel d'une zone, à faire sur chaque page.
Courriels et pièces jointes
Un courriel transféré emporte son historique et ses pièces jointes. Supprimez la conversation citée, retirez les pièces non nécessaires et traitez celles qui restent comme des documents à part entière.
Nom du fichier et dossier
Renommez le fichier produit sans nom de personne ni référence de dossier, et ne le rangez pas dans un dossier dont le nom révèle ce que vous venez de retirer.
Dans tous les formats, deux questions se posent : noir ou alias, et avec ou sans table de correspondance. Le noir convient à une publication ou à une pièce communiquée. L'alias garde le document lisible, ce qui compte pour une analyse par un tiers ou par une IA ; la page préparer un document pour l'IA décrit ce cas. Biffer applique l'une ou l'autre politique par type de donnée, sur votre ordinateur et sans connexion, dans Word, Excel, PDF, images et scans.
Vérifier le résultat et garder une trace
Un document dont on a supprimé les informations sensibles se contrôle comme un document neuf, en oubliant ce qu'on vient d'y faire.
- Recherchez chaque valeur retirée dans le fichier produit : nom, numéro, montant. La recherche doit ne rien trouver.
- Copiez-collez les zones noircies dans un éditeur de texte : si du texte apparaît, la suppression n'a pas eu lieu.
- Relisez les propriétés du fichier, le nom du fichier et, pour un classeur, la liste des feuilles.
- Relisez une fois le document pour les variantes qu'aucune liste ne prévoit : un surnom, une initiale, une adresse écrite autrement.
Garder une trace a deux finalités. La première est pratique : savoir ce qui a été retiré pour pouvoir répondre à une question ou restaurer les valeurs dans la réponse d'une IA. Une table de correspondance chiffrée, conservée à part du document diffusé, remplit ce rôle ; c'est l'information supplémentaire conservée séparément qui caractérise la pseudonymisation au sens du RGPD. La seconde est juridique : pour une pièce communiquée ou un document administratif occulté, il faut pouvoir indiquer quelles mentions ont été retirées et pourquoi. Dans les deux cas, la trace ne voyage jamais avec le document ; et si aucune trace n'est conservée ni reconstituable, le document se rapproche de l'anonymisation, comme l'explique la page réglementation.
Supprimez les informations sensibles sans rien laisser dans le fichier
Biffer, édité par Opcadia et conçu par Romain Rissoan, formateur et consultant, détecte noms, coordonnées, identifiants et champs métier, les remplace dans toutes leurs occurrences, noircit les scans et vide les métadonnées, sur votre ordinateur, sans connexion. Gratuit pour 5 fichiers par mois avec toutes les fonctions ; illimité pour 10 € HT par poste, payés une fois.
Questions fréquentes
Quelle différence entre une information sensible et une donnée personnelle ?
Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou indirectement : nom, email, numéro de dossier, plaque d'immatriculation. Une donnée sensible, au sens de l'article 9 du RGPD, est une catégorie particulière de données personnelles dont le traitement est interdit par principe : santé, origine, opinions, religion, syndicat, vie sexuelle, données génétiques et biométriques. Dans le langage courant, « sensible » désigne aussi ce qui relève du secret des affaires ou du secret professionnel, sans être personnel. Avant de diffuser un document, il faut retirer les trois : les données sensibles, les données personnelles non nécessaires et les informations d'affaires.
Supprimer les informations sensibles suffit-il pour sortir du RGPD ?
Seulement si plus personne ne peut raisonnablement réidentifier les personnes. Si vous conservez une table de correspondance ou l'original, le document diffusé est pseudonymisé : il reste une donnée personnelle au sens du règlement, mais le risque est fortement réduit, ce que le RGPD encourage à l'article 32. Si aucune table n'est conservée et que le texte restant ne permet plus de remonter à quelqu'un, y compris par recoupement, on se rapproche de l'anonymisation, qui sort du champ du règlement. La CNIL rappelle que cette appréciation se fait au cas par cas. Un logiciel aide à ne rien oublier ; la relecture et la responsabilité restent les vôtres.
Comment supprimer les informations sensibles d'un lot de documents ?
Commencez par un document type, traité avec soin dans un outil qui montre chaque détection et permet de corriger les faux positifs. Les réglages obtenus (type de document, champs à retirer, valeurs à ignorer) servent ensuite de configuration pour la série. Biffer enregistre cette configuration dans un fichier réutilisable et traite une file d'attente en mode automatique, avec une option pour laisser en clair les détections douteuses et un bouton pour rouvrir un fichier à vérifier. Contrôlez ensuite un échantillon du lot avec les mêmes gestes que pour un document seul : recherche des valeurs, copier-coller des zones noircies, propriétés.
Vos documents professionnels anonymisés, prêts à être diffusés publiquement ou à un outil d'IA.
Biffer tourne sur votre ordinateur sans envoyer le moindre fichier. Gratuit pour cinq fichiers par mois, illimité pour 10 € HT par poste.
100 % hors ligne · Gratuit : 5 fichiers par mois · Aucun fichier envoyé