Comptables et équipes finance : anonymiser factures et relevés bancaires

Avant qu'un document financier quitte votre équipe, masquez ce qui désigne une personne ou une affaire. Gardez ce dont le lecteur a besoin pour vérifier les chiffres. Sur une facture : noms, adresses, coordonnées bancaires et numéros Siren ou de TVA des entrepreneurs individuels. Sur un relevé : les noms et libellés des opérations. Travaillez toujours sur une copie.

Ce guide suit le RGPD, avec des repères français, à jour en septembre 2026. Ce n'est pas un conseil juridique.

Qui demande vos documents financiers, et de quoi a-t-il besoin ?

L'article 5, paragraphe 1, point c) du RGPD limite les données personnelles à ce qui est nécessaire pour la finalité. Demandez-vous : que doit vérifier ce lecteur ?

Quels identifiants se cachent dans les factures, relevés et exports de paie ?

Les factures portent des identifiants par obligation légale. L'article 226 de la directive TVA de l'UE impose notamment le nom complet et l'adresse du vendeur et du client, et le numéro de TVA du vendeur. Pour une livraison intracommunautaire de biens, par exemple, celui du client figure aussi. En France, Service-Public cite en plus le numéro Siren.

Les données d'une entreprise sont-elles des données personnelles ?

En principe, non. Selon le considérant 14 du RGPD, le règlement ne couvre pas les données des personnes morales, y compris leur nom, leur forme juridique et leurs coordonnées. La CNIL le confirme : l'adresse postale d'une entreprise ou son e-mail de contact générique ne sont pas, en principe, des données personnelles.

Le piège, ce sont les entrepreneurs individuels. Selon Service-Public, leur facture doit porter le nom et le prénom de l'entrepreneur, avec la mention EI. Prenez la facture de Claire Exemple EI, comptable indépendante. Son nom, son numéro de TVA et son IBAN désignent une personne physique. Ce sont des données personnelles.

Pourquoi un IBAN à moitié masqué peut-il encore identifier quelqu'un ?

Un IBAN a une structure fixe. Selon la Banque de France, un IBAN français compte 27 caractères : FR, une clé de contrôle, puis le code banque, le code guichet, le numéro de compte et la clé RIB. Le début désigne la banque et l'agence. La fin contient le compte.

• Masquer seulement le milieu peut laisser voir la banque, l'agence et une partie du compte.
• Deux copies masquées à des endroits différents peuvent reconstituer le numéro.
• Le nom du titulaire imprimé à côté d'un IBAN masqué annule le masquage.
• Le même IBAN revient dans les conditions de paiement, relances et relevés : masquez-le partout.

Que dit PCI DSS sur le masquage des numéros de carte ?

PCI DSS est la norme de sécurité des cartes de paiement. Selon la FAQ 1492 du PCI Security Standards Council (avril 2024), l'exigence 3.4.1 n'autorise à l'écran et dans les rapports que le BIN et les quatre derniers chiffres, sauf besoin métier documenté. Le BIN, ce sont les six premiers chiffres, ou huit pour certains réseaux de cartes, a précisé le Council en 2021.

La FAQ 1146 distingue deux notions. Le masquage cache des chiffres à l'affichage : un numéro masqué pourrait être démasqué. La troncature les supprime pour de bon. La FAQ 1091 avertit qu'avoir plusieurs formats tronqués d'un même numéro facilite fortement sa reconstitution. Montrez seulement les chiffres utiles au lecteur, souvent aucun, dans un format unique.

Comment garder un document masqué utile ?

1. 1Copiez le fichier. Masquez la copie, jamais l'original.
2. 2Demandez au lecteur ce qu'il doit vérifier : totaux, TVA, dates ou mise en page.
3. 3Masquez ce qui identifie des personnes : noms, adresses, IBAN, numéros de carte et fiscaux.
4. 4Gardez montants, dates, taux de TVA et structure des lignes si le lecteur recalcule.
5. 5Remplacez les tiers par des libellés constants, comme Fournisseur A.
6. 6Si un montant est lui-même confidentiel, masquez-le partout où il se recalcule.
7. 7Exportez une copie aplatie (un PDF fait d'images), puis tentez d'y copier le texte masqué.

Surveillez la ligne de TVA. Vous masquez un montant hors taxe, mais laissez un taux de 20 % et 9 750 € de TVA. N'importe qui retrouve le hors taxe : 48 750 €. Le prix d'un contrat peut aussi figurer dans un total, un paiement et une relance. Masquez-le partout.

Conservez l'original. Selon Service-Public, factures et pièces justificatives se gardent 10 ans à partir de la clôture de l'exercice. Une copie masquée ne la remplace pas et ne permet pas de retrouver l'original.

Quels outils masquent correctement un document financier ?

Un rectangle noir dessiné sur un PDF ne supprime pas le texte. L'ICO, l'autorité britannique, la classe parmi les techniques à éviter. Selon Adobe, l'outil Biffer d'Acrobat Pro, Premium ou Studio supprime définitivement le contenu et peut retirer des données cachées comme les métadonnées. Sous Excel, selon Microsoft, l'Inspecteur de document supprime les lignes et colonnes masquées, sauf dans un en-tête de tableau ou de liste ou un tableau croisé dynamique, où il les réaffiche. Mieux : supprimez les colonnes inutiles.

ONYRI Sanitize est une option pour les PDF, fichiers Word et scans. Tout se passe dans le navigateur : le fichier n'est pas envoyé, et l'export est toujours aplati. L'outil recherche IBAN, BIC, numéros de carte vérifiés par l'algorithme de Luhn, numéros de TVA, fiscaux, Siren et Siret, montants avec devise. La formule Pro ajoute le mode token, avec des libellés constants. Aucun détecteur ne vise les noms d'entreprise ni les salaires en tant que tels : ajoutez ces termes vous-même, puis relisez l'aperçu.