Vérifier un PDF caviardé avant l'envoi : la liste de contrôle

Pourquoi vérifier le fichier final, et non l'original

La plupart des fuites par caviardage raté ne viennent pas d'une mauvaise intention, mais d'une vérification sautée parce que le document « avait l'air correct » à l'écran.

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé rend toute personne qui exploite une entreprise « responsable de la protection des renseignements personnels qu'elle détient » (art. 3.1) et l'oblige à prendre des mesures de sécurité « raisonnables » compte tenu notamment de la sensibilité des renseignements et du support (art. 10). La loi définit aussi l'incident de confidentialité, qui comprend la communication non autorisée d'un renseignement personnel (art. 3.6). Parmi ses exemples, la Commission d'accès à l'information cite le cas d'un membre du personnel qui communique des renseignements personnels au mauvais destinataire.

Un PDF dont le texte reste lisible sous les barres noires transmet, en pratique, ce qu'on voulait retirer. Pour les avocats et les autres professionnels, s'ajoute le secret professionnel protégé par l'article 9 de la Charte des droits et libertés de la personne. La vérification avant l'envoi coûte beaucoup moins cher que la gestion d'un problème après coup.

La liste de contrôle, point par point

1. Le bon fichier. Ouvrez le fichier exactement tel qu'il sera joint ou déposé, depuis son emplacement final. Vérifiez le nom et la date de modification. Une erreur fréquente consiste à caviarder une copie et à envoyer l'original, ou une version antérieure restée dans le même dossier.
2. Le test de sélection. Sur chaque zone caviardée, essayez de sélectionner le texte, puis copiez et collez le résultat dans un éditeur de texte brut. Si quoi que ce soit apparaît, le caviardage n'est qu'un masque. C'est le test décrit dans pourquoi une barre noire ne suffit pas : il prend trente secondes et il est décisif.
3. La recherche dans le document. Utilisez la recherche du lecteur PDF (Ctrl + F ou Cmd + F) avec un fragment de chaque renseignement retiré : les trois derniers chiffres d'un NAS, une partie d'un numéro d'assurance maladie, le domaine d'un courriel. Un identifiant apparaît souvent plus d'une fois : en en-tête, en pied de page, dans un tableau en annexe. La recherche trouve ce que l'œil a manqué.
4. Les champs de formulaire. Dans un formulaire rempli, les valeurs saisies sont stockées à part du texte de la page. Une barre posée sur la page ne les supprime pas forcément. Cliquez dans les champs, ou consultez le panneau des champs de votre lecteur. Le cas est détaillé dans les valeurs que le caviardage oublie.
5. Les annotations et commentaires. Ouvrez le panneau des commentaires. Une note autocollante, un surlignement accompagné d'une remarque ou une réponse dans un fil de discussion peuvent contenir le nom d'un client ou un identifiant recopié. Les annotations ne s'affichent pas toujours à l'impression, mais elles voyagent avec le fichier.
6. Les propriétés du document. Consultez les propriétés du fichier (titre, auteur, sujet, mots-clés). Un titre comme « Dossier Tremblay – NAS et relevés » trahit le contenu d'un document par ailleurs bien caviardé. Ces champs sont souvent remplis automatiquement par le logiciel d'origine.
7. Les pièces jointes et les signets. Un PDF peut contenir d'autres fichiers en pièces jointes, invisibles dans la page. Ouvrez le panneau des pièces jointes. Vérifiez aussi les signets : ils reprennent souvent les intitulés des sections, qui peuvent comporter un nom ou un numéro de dossier.
8. Les pages numérisées. Une page numérisée est une image. Une barre noire posée par-dessus ne modifie pas toujours l'image elle-même, et une couche de texte invisible issue de la reconnaissance optique (OCR) peut subsister sous l'image. Refaites les tests 2 et 3 sur ces pages : si la recherche trouve le texte caviardé, la couche OCR l'a conservé.
9. Le destinataire et le canal. Relisez l'adresse du destinataire avant d'envoyer. L'exemple du mauvais destinataire, retenu par la Commission d'accès à l'information, rappelle qu'un document parfaitement caviardé envoyé à la mauvaise personne reste un problème. Vérifiez aussi que la pièce jointe est bien le fichier contrôlé aux étapes précédentes.
10. La trace de l'envoi. Notez quel fichier a été transmis, à qui et à quelle date. Si un problème est découvert plus tard, cette trace permet d'évaluer rapidement la situation. La Commission précise que le registre des incidents de confidentialité doit être conservé au moins cinq ans à compter de la prise de connaissance de l'incident. Hors Québec, le Commissariat à la protection de la vie privée du Canada demande aux organisations assujetties à la LPRPDE de conserver pendant deux ans un registre de toutes les atteintes aux mesures de sécurité.

Ce que fait Biffe

Biffe automatise une partie de cette liste, sans la remplacer entièrement. À l'ouverture du PDF, il détecte les numéros d'assurance sociale (avec vérification de la clé de contrôle ; un numéro au bon format mais à la clé invalide est signalé « non vérifié »), les numéros d'assurance maladie, les numéros de permis de conduire du Québec, les codes postaux, les numéros de téléphone et les courriels, y compris dans les champs de formulaire. Vous revoyez chaque détection, vous la confirmez ou l'ignorez, et vous pouvez tracer à la main des zones supplémentaires avec un zoom.

À l'export, les pages caviardées ou portant des annotations sont converties en image : le texte sous les zones caviardées n'existe plus dans le fichier. Les propriétés du document d'origine (titre, auteur, sujet, mots-clés) sont vidées dans le fichier produit. Avant le téléchargement, Biffe vérifie qu'aucun texte ne reste extractible sur les pages converties et que le fichier ne contient plus aucun champ de formulaire, aucune pièce jointe et aucun script ; sinon, il bloque le téléchargement. Tout le traitement se fait dans votre navigateur : le document ne quitte jamais votre poste.

Biffe ne détecte ni les noms, ni les adresses, ni le contenu des images. Sur une page numérisée, le tracé manuel reste nécessaire. Les points 1, 9 et 10 de la liste, eux, relèvent toujours de votre vigilance.