L'anonymisation de documents consiste à retirer ou à transformer tout ce qui permet d'identifier une personne, directement (nom, signature) ou par recoupement (adresse de chantier, numéro de dossier, date et lieu), de façon irréversible. Si une table de correspondance existe, il s'agit de pseudonymisation : le document reste une donnée personnelle soumise au RGPD. Sur un PDF, il faut en plus supprimer le texte sous les masques, les métadonnées et les calques, puis vérifier qu'on ne peut plus retrouver la personne.
Ce guide porte sur les rapports, PV d'essai, expertises, mémoires techniques et plans. Les données de santé n'y sont pas traitées.
Anonymiser un document : que faut-il retirer, et que dit la loi ?
Un document est anonyme quand personne, ni vous ni un tiers, ne peut plus identifier une personne physique avec des moyens raisonnables, et quand l'opération ne peut pas être inversée.
Avant de masquer, séparez trois situations :
- Données personnelles de personnes physiques : propriétaire d'un logement diagnostiqué, salarié cité dans une analyse d'accident, riverain mentionné dans une expertise, technicien signataire. Le RGPD s'applique.
- Informations confidentielles non personnelles : nom d'une société cliente, prix unitaires, procédé de fabrication, résultats d'essai d'un produit pas encore commercialisé. Le RGPD ne protège pas les personnes morales, mais le contrat, le secret des affaires ou le secret professionnel conduisent au même masquage. Attention : le nom d'un entrepreneur individuel, ou d'une très petite société dont le gérant est connu, reste une donnée personnelle.
- Documents destinés à être diffusés : publication, référence dans un mémoire, mise en ligne. Le lecteur n'est pas connu à l'avance, le niveau d'exigence est le plus élevé.
Le RGPD n'oblige pas à anonymiser. C'est une option pour partager ou réutiliser un document hors du champ du règlement. Transmettre un rapport nominatif à un destinataire légitime, sur une base légale identifiée, reste possible (voir le cadre RGPD applicable à vos automatisations).
Les critères d'appréciation ont été précisés au niveau européen : lignes directrices sur l'anonymisation adoptées en 2026, arrêt C-413/23 P de 2025 sur les données pseudonymisées. Lisez les textes eux-mêmes plutôt que des résumés. Pour un cas limite (publication, très petite population, sinistre connu localement), faites valider par votre DPO ou un juriste.
Quelle différence entre anonymisation et pseudonymisation ?
La pseudonymisation remplace les identifiants par des codes et conserve, à part, le moyen de revenir à l'identité. L'anonymisation supprime ce retour pour tout le monde. Le critère pratique est l'existence, chez vous ou chez un tiers, d'un moyen de relier le document à la personne.
| Traitement appliqué au rapport | Qualification |
|---|---|
| « M. Durand, 12 rue des Lilas » remplacé par « Propriétaire A », table conservée dans le dossier d'affaire | Pseudonymisation |
| « Propriétaire A », table détruite, mais adresse du chantier restée en page 3 | Document identifiant |
| Noms supprimés, numéro d'affaire laissé dans le nom du fichier | Pseudonymisation de fait : votre logiciel de gestion relie le numéro au client |
| Noms supprimés, adresse remplacée par « maison individuelle, métropole de Lyon », aucune clé | Anonymisation possible, à confirmer par le test final |
Un document pseudonymisé reste soumis au RGPD pour vous : base légale, durée de conservation, droits des personnes, sécurité de la table (stockée à part, accès restreint). L'arrêt C-413/23 P admet que des données pseudonymisées peuvent ne pas être personnelles pour un destinataire sans moyen raisonnable de réidentifier. Vos obligations ne changent pas, puisque vous détenez la clé. Détruire la table ne suffit pas non plus : il reste à vérifier les identifiants indirects.
Quelle procédure suivre pour anonymiser un document, étape par étape ?
- Fixer la finalité et le destinataire. Un client, un sous-traitant, une publication, un service d'archives ou un outil d'IA n'appellent pas le même niveau.
- Inventorier les identifiants. Directs : noms, signatures, téléphones, courriels, immatriculations, numéros de contrat. Indirects : adresse de chantier, références cadastrales, numéro d'affaire, fonction rare, dates, lieux, montants, photos.
- Choisir un traitement par identifiant : suppression, généralisation (la commune au lieu de la rue, l'année au lieu du jour), code, ou pseudonyme cohérent dans tout le document, annexes comprises.
- Appliquer sur la source (Word, tableur, fichier DAO) quand vous l'avez, puis régénérer le PDF.
- Nettoyer ce qui ne se voit pas : métadonnées, commentaires, suivi des modifications, noms de fichiers, pièces jointes.
- Faire le test de réidentification décrit en dernière partie.
- Tracer : qui a anonymisé, quelle version, quelle règle, qui a contrôlé.
Écrivez ensuite une règle par type de livrable. Exemple pour un rapport de diagnostic cité en référence : commune conservée, rue et parcelle supprimées, date ramenée à l'année, photos de façade exclues.
Checklist : où trouver les identifiants dans un document technique
| Emplacement | Exemple concret | Type | Risque | Action | Contrôle |
|---|---|---|---|---|---|
| Corps de texte | « Selon M. Garnier, gérant… » dans une expertise | Direct | Élevé | Supprimer ou coder | Recherche de chaque nom |
| En-têtes et pieds de page | Client et numéro d'affaire sur chaque page | Direct | Élevé, souvent oublié | Corriger le modèle source | Première, dernière page, annexes |
| Cartouche de plan | Maître d'ouvrage, adresse, dessinateur | Direct et indirect | Élevé | Vider le cartouche dans la DAO | Zoom sur chaque planche |
| Adresse et référence cadastrale | « Parcelle AB 123 », coordonnées GPS d'un sondage | Indirect | Très élevé, cadastre public | Généraliser (commune, secteur) | Recherche des coordonnées |
| Numéro d'affaire et nom de fichier | « 2026-114_Durand_rapport_v3.pdf » | Indirect | Élevé | Renommer, recoder | Lecture du nom et des renvois |
| Signatures et tampons | Signature scannée, tampon avec numéro d'inscription | Direct | Élevé | Supprimer l'image | Pages de signature, PV |
| Photos et EXIF | Façade, plaque, visage, position GPS | Direct et non visible | Élevé | Flouter, recadrer, purger les EXIF | Lecture des EXIF |
| Tableaux et annexes | Liste des présents, mesures par logement | Direct et indirect | Moyen à élevé | Supprimer des colonnes, agréger | Onglets et colonnes masqués |
| Commentaires et suivi des modifications | « Voir avec Mme Petit », ancienne version | Non visible | Élevé | Accepter, supprimer | Inspecteur de document |
| Métadonnées PDF | Auteur, société, logiciel, dates | Non visible | Moyen | Nettoyer | Propriétés du document |
| Calques et texte sous masque | Rectangle noir sur un nom, calque DAO masqué | Non visible | Très élevé | Caviardage réel ou aplatissement | Copier-coller, liste des calques |
| Pièces jointes intégrées | Tableur source joint au PDF | Non visible | Élevé | Supprimer | Panneau des pièces jointes |
Exemple travaillé
Exemple fictif : un bureau d'études structure veut citer une expertise de fissuration dans un mémoire technique. Le rapport indique « maison de M. et Mme Roche, 8 impasse des Tilleuls, parcelle B 412, village de 900 habitants dans l'Ain, sinistre déclaré le 14 mars 2025, maison en pisé de 1850 avec extension à ossature bois ».
Version retenue : « maison individuelle ancienne avec extension, Ain, sinistre de 2025 ». Noms, adresse et parcelle sont supprimés, la commune passe au département, la date à l'année. Le détail « pisé de 1850 avec extension bois » est généralisé : dans un village de cette taille, recoupé avec un article de presse locale, il suffirait à retrouver les propriétaires.
Comment anonymiser un PDF sans laisser de trace ?
Un rectangle noir dessiné avec l'outil de forme ou d'annotation ne supprime rien. Le texte reste dessous, sélectionnable, copiable et trouvable par recherche. Le même défaut existe quand on surligne en noir dans Word avant l'export.
Deux méthodes fonctionnent :
- une fonction de caviardage qui supprime le contenu marqué (texte, tracés, images) avant de poser le masque ;
- la conversion de chaque page en image, suivie d'une reconnaissance de texte (OCR). Le texte d'origine disparaît, mais la qualité baisse, le fichier grossit, les tracés de plans deviennent des pixels et l'accessibilité se dégrade.
Sur le fichier final, copiez-collez chaque zone caviardée dans un éditeur de texte et recherchez chaque nom, numéro et adresse. Parcourez ensuite la checklist ci-dessus, en ajoutant les signets, les champs de formulaire et les signatures numériques. Toute modification invalide une signature numérique : retirez-la et indiquez que la version diffusée n'est pas l'original signé.
Un PDF scanné ne contient que des images. Sans OCR préalable, aucune recherche automatique ne trouve les noms. Les PDF issus d'une DAO ou d'un tableur se traitent plus sûrement à la source, car l'export peut conserver des calques masqués ou des colonnes cachées.
Quel logiciel utiliser pour anonymiser un document, y compris gratuit ?
Il n'existe pas de meilleur logiciel universel, mais quatre familles :
- Éditeurs PDF professionnels : Adobe Acrobat Pro et Foxit PDF Editor proposent un caviardage qui supprime le contenu, avec recherche par mot ou motif. Licence par utilisateur, en abonnement.
- Suites bureautiques, pour la source : recherche et remplacement, inspecteur de document dans Word. LibreOffice propose aussi un caviardage qui exporte le PDF en images.
- Bibliothèques open source : Microsoft Presidio pour la détection d'entités (avec un modèle français, par exemple spaCy), PyMuPDF pour appliquer les caviardages, ExifTool ou mat2 pour les métadonnées, OCRmyPDF pour les scans. Gratuites, elles demandent un développement, des règles propres à vos documents (numéros d'affaire, références cadastrales) et une maintenance.
- Outils dédiés, dont certains à base d'IA, à évaluer sur vos propres documents.
| Critère | Ce qu'il faut vérifier |
|---|---|
| Suppression réelle | Le texte caviardé ne se copie plus et n'apparaît plus en recherche |
| Traitement local | Le document reste sur votre poste ou votre serveur ; sinon, hébergement et sous-traitants écrits au contrat |
| Détection en français testée | Oubliés et faux positifs mesurés sur vos documents |
| Cohérence des pseudonymes | Même code pour la même personne, annexes comprises |
| Journal des remplacements | Liste des modifications, stockée de façon sécurisée (elle vaut table de correspondance) |
| Formats | PDF natif, scan, Word, tableur, plans |
| Coût par document | Licence, abonnement, facturation à la page ou développement interne, plus le temps de relecture |
Pour comparer, prenez 20 documents réels (rapports, PV, plans, scans) et comptez les identifiants oubliés et les faux positifs. Un oubli pèse plus lourd qu'un faux positif. Un outil gratuit suffit pour quelques documents par mois. Au-delà, le coût principal est la relecture : une détection médiocre en français oblige à tout relire ligne à ligne. Pour un outil à base d'IA, vérifiez où le texte est envoyé avant de le tester sur un vrai dossier.
Quand l'anonymisation est-elle exigée, et que faire avant de confier un document à une IA ?
L'obligation vient souvent de l'extérieur :
- Documents administratifs publiés en ligne. L'article L. 312-1-2 du code des relations entre le public et l'administration impose aux administrations, sauf exception, de rendre impossible l'identification des personnes avant de publier des documents contenant des données personnelles. Un maître d'ouvrage public peut donc vous demander une version publiable d'une étude ou d'un diagnostic. En cas de communication sur demande, c'est l'administration qui occulte ce qui touche à la vie privée ou au secret des affaires : signalez-lui les passages sensibles.
- Retour d'expérience ou cas client publié : accord du client, clause de confidentialité, puis anonymisation.
- Partage de données avec un partenaire ou un chercheur.
- Références citées dans un mémoire technique.
Pour une IA, le circuit est différent. On pseudonymise en local, on envoie le texte remplacé, puis on réinjecte les vrais noms dans le résultat, toujours en local. La table reste chez vous : c'est de la pseudonymisation, et le RGPD continue de s'appliquer à votre traitement. Le texte envoyé peut aussi contenir des identifiants indirects et des informations confidentielles non personnelles (prix, procédés) que la détection ne vise pas.
La pseudonymisation ne remplace pas le choix d'un hébergement maîtrisé. Voyez ce qu'on peut coller dans ChatGPT et ce qu'il faut garder, et l'option de faire tourner une IA en local sur ses propres serveurs. La CNIL publie ses recommandations dans son dossier intelligence artificielle.
Comment vérifier qu'un document est bien anonymisé ?
Le test repose sur trois critères classiques des autorités européennes de protection des données, réexaminés dans les lignes directrices de 2026 :
- Individualisation : vérifiez qu'aucune personne ne peut être isolée (profil unique, fonction rare, seul bâtiment de ce type dans la commune).
- Corrélation : vérifiez que le document ne peut pas être relié à une source accessible (annuaire, cadastre, presse locale, annonce immobilière, site de l'entreprise, autre rapport du même dossier).
- Inférence : vérifiez qu'on ne peut rien déduire sur une personne identifiable. « Le responsable maintenance » d'un site de 15 salariés désigne une seule personne.
Faites relire par quelqu'un qui ne connaît pas le dossier, avec pour consigne de retrouver le client ou les personnes. Lancez une recherche Internet sur les détails restants, puis contrôlez le fichier final (copier-coller, métadonnées, recherche de chaînes). En cas de doute, généralisez davantage. Conservez la preuve du contrôle : date, contrôleur, version, résultat.
Le risque dépend du contexte de diffusion : un document acceptable pour un partenaire sous accord de confidentialité peut ne pas l'être pour une publication. La détection automatique rate des identifiants indirects. La relecture humaine reste nécessaire, et la décision de diffuser appartient au responsable du livrable.
Prochaine étape
Écrivez la règle d'anonymisation de votre livrable le plus partagé, puis testez-la sur cinq dossiers récents avec la checklist. Si vous envisagez d'automatiser cette étape ou de faire traiter vos rapports par une IA, le guide IA, RGPD et souveraineté pour PME détaille les choix d'hébergement et de traitement. Lumivi propose un diagnostic de ces chaînes documentaires si vous souhaitez un regard extérieur.
Article rédigé par Loïc Mabilon, cofondateur de Lumivi.
