Comment caviarder les données personnelles dans les fichiers Word, PDF et Excel
Un cadre noir ou un surlignage ne caviarde rien : il ne fait que recouvrir le texte, qui reste dans le fichier, toujours sélectionnable et copiable. Ce guide montre comment supprimer correctement les données personnelles (et les métadonnées masquées qui les entourent) dans Word, PDF et Excel, et comment vérifier que l’opération a fonctionné avant de partager.
Pourquoi un cadre noir (ou un surlignage) n’est pas du caviardage
Lorsque vous dessinez un rectangle noir sur du texte, ou que vous le surlignez en noir, vous ajoutez une forme par-dessus la page. Les mots situés en dessous restent intacts — toujours dans le flux de contenu du document, toujours sélectionnables, consultables et copiables. Le guide de caviardage pour le dépôt électronique de la Cour d’appel des États-Unis pour le circuit du district de Columbia range les outils graphiques et de commentaire d’Acrobat, qui noircissent ou recouvrent le texte, parmi les méthodes à ne pas utiliser, et avertit que n’importe qui peut retirer les modifications faites avec ces outils pour révéler le texte situé en dessous. (Source : U.S. Court of Appeals, D.C. Circuit.) Le problème ne s’arrête pas au texte visible : en présentant en janvier 2006 un guide de la NSA, Redacting with Confidence (en anglais), la Federation of American Scientists rappelait que la simple conversion d’un document Word en PDF ne retire pas automatiquement toutes les métadonnées sensibles. (Source : Federation of American Scientists, en anglais.)
Des échecs de caviardage restés célèbres
Le cas se reproduit sans cesse — dans les cabinets d’avocats, les administrations et les tribunaux. Un bref aperçu :
| Affaire | Ce qui a mal tourné |
|---|---|
| Paul Manafort filing (2019) | Des passages d’un dépôt des avocats de Paul Manafort devaient être caviardés et placés sous scellés. Une fois le texte sélectionné, copié et collé dans un autre document, les passages caviardés s’affichaient en entier, dont les accusations selon lesquelles il aurait menti sur le partage de données de sondage avec Konstantin Kilimnik. |
| DOJ Epstein files (reported 2026) | La loi Epstein Files Transparency Act limitait les caviardages aux victimes, mais certaines informations identifiantes ont tout de même figuré dans les fichiers publiés. Todd Blanche a déclaré que le ministère de la Justice s’était trompé dans ses caviardages dans 1 % des cas et que les erreurs étaient corrigées dès qu’elles étaient portées à son attention. |
| Maxwell deposition (2020) | Des noms caviardés ont été reconstitués, non pas par copier-coller, mais à partir d’un index de mots classé par ordre alphabétique oublié dans le fichier — la preuve que la vérification doit aller au-delà du seul test du copier-coller. |
| Glyph-position study (2022) | Des chercheurs ont testé 11 outils courants de caviardage PDF, dont Adobe Acrobat : même une fois le texte supprimé sous le cadre, de minuscules décalages sous-pixel des caractères voisins leur ont permis de retrouver des noms et prénoms, et ils ont décaviardé des centaines de caviardages réels. |
Dans trois de ces quatre cas, les données ont survécu hors de la page visible : dans la couche texte, dans un index, dans la position des lettres autour du blanc. Recouvrir, ce n’est pas supprimer. Si vous avez besoin d’un PDF où il ne reste rien sous les cadres noirs, le mode Redact de Occlira grave les zones caviardées sur votre propre ordinateur : le PDF de sortie n’est plus qu’une suite d’images, sans couche texte à copier.
Les données masquées que vous ne voyez pas
Même lorsque vous supprimez le texte visible, un fichier transporte des données au-delà de ce qui s’affiche à l’écran. C’est précisément pour les repérer et les supprimer que Microsoft a conçu l’Inspecteur de document. (Source : Microsoft.) Ce qui s’y cache diffère selon le format :
Word (DOCX)
Le suivi des modifications et l’historique des révisions, les commentaires, le nom de l’auteur et les propriétés du document, les en-têtes et pieds de page, le texte masqué et le XML personnalisé.
Les métadonnées du document, les fichiers joints et le contenu incorporé. Dans Acrobat, le caviardage et l’assainissement sont deux étapes distinctes : selon l’aide d’Adobe, le caviardage ne retire que le texte et les graphiques visibles, et les données masquées, comme les métadonnées ou le contenu incorporé, doivent être assainies séparément. C’est l’assainissement qui efface ces trois catégories ; Acrobat propose de le lancer quand vous enregistrez les caviardages. (Sources : Adobe, capture de l’Internet Archive du 16 septembre 2026 ; Loughborough University, en anglais.)
Excel (XLSX)
Les lignes masquées, les colonnes masquées contenant encore des données, les feuilles masquées, les commentaires de cellule. Une feuille masquée suffit : le Police Service of Northern Ireland (PSNI) a exposé le nom de famille, les initiales, le grade et la fonction de l’ensemble de ses 9 483 agents et membres du personnel, restés dans un onglet masqué d’un tableur publié en ligne en réponse à une demande d’accès à l’information. L’ICO lui a infligé une amende de 750 000 £ (avis de sanction du 26 septembre 2024, amende annoncée en octobre 2024). S’y ajoute le cache du tableau croisé : Microsoft signale qu’un classeur peut contenir, pour ses tableaux et graphiques croisés dynamiques, des données en cache qui ne sont pas forcément visibles, et l’ICO prévient qu’un tableau croisé dynamique reste lié à sa source d’information, même copié dans un nouveau classeur ou après suppression de la feuille qui contenait les données. Quant à l’option qui enregistre les données source avec le fichier, Microsoft précise qu’elle ne doit pas servir à gérer la confidentialité des données. (Sources : ICO, tableurs ; ICO, mai 2024 ; ICO, octobre 2024 ; avis de sanction de l’ICO ; Microsoft, Inspecteur de document ; Microsoft, options de tableau croisé dynamique, en anglais.)
Comment caviarder correctement, format par format
- Word (DOCX). Acceptez ou refusez d’abord toutes les modifications suivies, supprimez les commentaires et désactivez le suivi des modifications. Supprimez ensuite le texte sensible lui-même, ou remplacez-le par [REDACTED] avec Rechercher et remplacer — ne vous contentez pas de le surligner en noir. Lancez alors l’Inspecteur de document de Microsoft (Fichier → Informations → Vérifier la présence de problèmes → Inspecter le document) pour retirer le nom de l’auteur, les propriétés du document et les autres données masquées ; il n’existe que sous Windows, Word pour Mac n’en a pas (vérifiez-y les propriétés à la main). Enregistrez, puis contrôlez le fichier enregistré avec les tests plus bas.
- PDF. Utilisez un véritable outil de caviardage, qui supprime les objets texte sous-jacents, plutôt qu’un outil qui se contente de dessiner un cadre par-dessus. Effectuez ensuite un passage distinct d’« assainissement » pour retirer les métadonnées, les fichiers joints et le contenu incorporé — dans Acrobat, ce sont deux étapes bien distinctes.
- Excel (XLSX). Supprimez les lignes, les colonnes et les feuilles que le destinataire ne doit pas voir — ne vous contentez pas de les masquer, car elles restent alors dans le fichier. N’envoyez pas de tableau croisé dynamique construit sur des données que vous ne partagez pas : envoyez plutôt les chiffres. L’ICO prévient qu’un tableau croisé dynamique reste lié à sa source d’information, et Microsoft précise que l’option qui enregistre les données source avec le fichier ne doit pas servir à gérer la confidentialité des données. Lancez ensuite l’Inspecteur de document, puis exportez chaque feuille au format CSV et relisez-la : l’ICO suggère cette conversion pour faire apparaître toutes les informations affichables.
La méthode manuelle fonctionne, mais ce processus en plusieurs étapes, propre à chaque format, prête aux oublis — oubliez le passage d’assainissement ou le cache du tableau croisé, et les données s’échappent. Un outil qui repère les données personnelles à votre place limite ces erreurs ; le nettoyage du cache des tableaux croisés et des feuilles masquées reste, lui, manuel. Pour la marche à suivre outil par outil, voyez notre guide caviarder un document (PDF, Word).
Comment vérifier qu’un caviardage a réellement fonctionné
Avant que quoi que ce soit ne quitte votre machine, procédez à cette vérification :
- Test du copier-coller : sélectionnez la zone caviardée et collez-la ailleurs — rien de ce que vous avez supprimé ne doit apparaître.
- Test de recherche : lancez Ctrl-F sur les noms ou les numéros supprimés — aucun résultat ne doit remonter.
- Ces deux tests ne valent que pour un fichier Word ou Excel et pour un PDF doté d’une couche texte. Un scan ou un PDF composé d’images ne contient aucun texte à rechercher : vérifiez-le à l’œil, page par page.
- Sous Windows, relancez l’Inspecteur de document de Microsoft sur le fichier Word ou Excel final — il ne doit plus rien signaler de ce que vous vouliez retirer.
- Vérifiez que les propriétés du document, l’auteur, le suivi des modifications et les commentaires ont bien disparu.
- Pour les feuilles de calcul, affichez chaque ligne, colonne et feuille masquée, puis exportez chaque feuille au format CSV et relisez-la. Cet export ne prouve pas que le cache d’un tableau croisé dynamique a disparu : supprimez donc à part les tableaux croisés construits sur des données que vous ne partagez pas, ou reconstruisez le classeur à partager à partir des fichiers CSV.
- Gardez à l’esprit que le seul test du copier-coller ne suffit pas — dans les affaires Maxwell et des positions de glyphes, les données ont fuité par d’autres structures ; confirmez donc que le contenu sous-jacent est supprimé, et non simplement recouvert.
Ce qu’exigent les règles
Dans ses recommandations de 2025 sur la divulgation de documents, l’ICO énumère les données masquées à retirer — métadonnées, suivi des modifications et commentaires, lignes, colonnes et feuilles masquées, et données de tableau croisé — et préconise l’Inspecteur de document ainsi que la conversion des feuilles de calcul au format CSV pour les faire apparaître. (Sources : ICO, documents ; ICO, tableurs, en anglais.) Dans les affaires civiles fédérales aux États-Unis, sauf décision contraire du tribunal et sous réserve des exceptions qu’elle prévoit, la Règle 5.2 impose de caviarder les numéros de sécurité sociale et d’identifiant fiscal (quatre derniers chiffres), les dates de naissance (année seulement), les noms des mineurs (initiales) et les numéros de compte financier (quatre derniers chiffres). Le greffier n’est pas tenu de vérifier le respect de la règle : la responsabilité incombe à l’avocat et à la partie ou au tiers qui dépose le document. Pour les informations de santé soumises à la HIPAA aux États-Unis, consultez la liste des 18 identifiants HIPAA ; d’autres règles ou destinataires peuvent exiger d’autres champs.
Caviarder Word, PDF et Excel avec Occlira — sur votre appareil
Occlira est une application de bureau pour Windows et macOS (Apple Silicon) qui propose deux outils pour les
documents. Pour un fichier Word ou Excel, Anonymize repère les données personnelles grâce à un
modèle d’IA local et à des règles fondées sur des motifs, puis les remplace directement dans le DOCX ou le XLSX par
des espaces réservés cohérents du type <PERSON_1>, en conservant la mise en forme. Les
commentaires, le suivi des modifications et les propriétés du document sont nettoyés dans le même passage. Un PDF,
un e-mail (EML) ou un scan ressort, lui, en texte au format .txt. Sur l’écran de vérification, vous cliquez sur
chaque élément surligné pour le laisser en clair ou le remplacer, et vous sélectionnez le texte oublié, avant
l’export de la copie.
Anonymize est réversible par conception : la correspondance reste sur votre ordinateur, et Deanonymize remet les vraies valeurs dans un fichier qu’on vous renvoie, par exemple après le passage d’un collègue ou d’un outil d’IA sur la copie. Au sens du RGPD, il s’agit d’une pseudonymisation, et non d’une anonymisation : le résultat reste donc une donnée personnelle — voyez-y une minimisation des données, et non un moyen de vous soustraire aux règles (plus de détails dans qu’est-ce que les données personnelles ?).
Pour un résultat irréversible, enregistrez le fichier Word en PDF et ouvrez-le dans Redact, qui
accepte aussi les scans et les images de texte. L’aperçu pose un cadre sur chaque terme détecté : vous en gardez,
vous en retirez, vous ajoutez un terme oublié ou tracez une zone à la main. C’est un véritable caviardage : les zones
sont gravées, et le fichier <nom>_redacted.pdf, écrit à côté de l’original qui reste intact, est
un PDF composé d’images, sans couche texte, sans les métadonnées ni les annotations d’origine. L’opération est
irréversible ; l’application extrait ensuite à nouveau le texte pour vérifier qu’aucun terme caviardé n’en ressort.
Sur un scan, ce contrôle repasse par l’OCR et n’est qu’indicatif : la vérification finale reste visuelle. Le
compromis : rien n’est sélectionnable dans le résultat.
Le complément Occlira pour Word (version de bureau) fait le même travail dans le document ouvert : vous vérifiez les éléments repérés, vous les remplacez, puis vous restaurez les vraies valeurs plus tard. Pour les tableurs, effectuez tout de même vous-même le nettoyage des feuilles masquées et des tableaux croisés décrit plus haut : Occlira traite les données personnelles contenues dans les cellules, non les structures internes d’Excel. La détection tourne hors ligne ; l’application ne se connecte que pour activer la licence (via Polar), télécharger son modèle et vérifier les mises à jour. Elle aide, elle ne garantit pas la conformité, et les dernières vérifications vous reviennent.
Foire aux questions
Non. Un rectangle noir (ou un surlignage noir) n’est qu’une superposition visuelle dessinée par-dessus une couche de texte intacte : les mots restent dans le fichier et demeurent sélectionnables, consultables et copiables. Le guide de caviardage pour le dépôt électronique de la Cour d’appel des États-Unis pour le circuit du district de Columbia range d’ailleurs explicitement les outils de noircissement et de recouvrement parmi les méthodes à NE PAS utiliser. Le véritable caviardage, lui, supprime le contenu sous-jacent.
Parce que le caviardage n’a masqué le texte que visuellement, sans le retirer du flux de contenu du PDF. N’importe qui peut alors sélectionner la zone par-dessus le cadre et coller les mots ailleurs — c’est ainsi que les passages scellés d’un dépôt de Paul Manafort ont pu être lus en 2019. Un caviardage correct supprime les objets texte : il ne reste alors plus rien à copier.
Le suivi des modifications et l’historique des révisions, les commentaires, le nom de l’auteur et d’autres propriétés du document, les en-têtes et pieds de page, le texte masqué et le XML personnalisé. Microsoft a précisément conçu l’Inspecteur de document pour les repérer et les supprimer.
C’est un outil intégré à Office (Fichier → Informations → Vérifier la présence de problèmes → Inspecter le document) qui supprime les données masquées et personnelles : commentaires et marques de révision, propriétés du document dont le nom d’utilisateur, en-têtes/pieds de page, texte masqué et XML personnalisé — et, dans Excel, les lignes masquées, les colonnes masquées contenant des données et les feuilles de calcul masquées.
Souvent, oui. L’ICO prévient qu’un tableau croisé dynamique reste lié à sa source d’information, même copié dans un nouveau classeur ou après suppression de la feuille qui contenait les données, et Microsoft signale qu’un classeur peut conserver pour ses tableaux croisés des données en cache qui ne sont pas visibles. Si le destinataire n’a besoin que de la synthèse, envoyez les chiffres plutôt que le tableau croisé ; dans tous les cas, supprimez les tableaux croisés construits sur des données que vous ne partagez pas, puis reconstruisez le classeur à partager à partir de chaque feuille exportée au format CSV, comme le suggère l’ICO.
Le caviardage supprime définitivement le texte ou les images précis que vous sélectionnez. L’assainissement est une étape distincte qui supprime les métadonnées, les fichiers joints et le contenu incorporé. Les deux sont généralement nécessaires — à lui seul, le caviardage laisse subsister les données masquées.
Effectuez le test du copier-coller et recherchez les termes supprimés : rien de ce que vous avez supprimé ne doit réapparaître. Ces deux tests supposent une couche texte ; un scan ou un PDF composé d’images se vérifie à l’œil, page par page. Sous Windows, relancez l’Inspecteur de document sur le fichier Word ou Excel final : il ne doit plus rien signaler de ce que vous vouliez retirer. Vérifiez que l’auteur, les propriétés et le suivi des modifications ont disparu et, pour les feuilles de calcul, affichez tout, puis exportez chaque feuille au format CSV et relisez-la. Ne vous fiez pas au seul test du copier-coller — certaines fuites passent par des index ou des positions de glyphes ; confirmez donc que le contenu est bien supprimé, et non simplement recouvert.
Dans une affaire civile fédérale, sauf décision contraire du tribunal et sous réserve des exceptions qu’elle prévoit, la Règle 5.2 des Federal Rules of Civil Procedure impose de caviarder les numéros de sécurité sociale et d’identifiant fiscal (quatre derniers chiffres seulement), les dates de naissance (année seulement), les noms des mineurs (initiales seulement) et les numéros de compte financier (quatre derniers chiffres seulement). Le greffier n’est pas tenu de vérifier le respect de la règle : la responsabilité incombe à l’avocat et à la partie ou au tiers qui dépose le document.
Cela dépend de l’outil. Redact grave un PDF en une copie composée d’images, sans couche texte : l’opération est irréversible, et votre fichier d’origine reste intact. Anonymize, l’outil des fichiers Word et Excel, remplace les identifiants par des espaces réservés et conserve la correspondance sur votre ordinateur, si bien que Deanonymize peut restaurer les valeurs. Il s’agit alors de pseudonymisation, et non d’anonymisation : la copie avec espaces réservés reste une donnée personnelle.
Caviardez vos fichiers en local
Remplacez les données personnelles de vos fichiers Word et Excel, ou caviardez vos PDF de façon irréversible, sur votre propre ordinateur. Gratuit pendant 14 jours sur Windows et macOS (Apple Silicon).
Plus : pour les cabinets d’avocats · pour les comptables · supprimer les données personnelles de l’audio · comment vos données sont traitées