Comment anonymiser un formulaire PDF rempli (et pourquoi les réponses peuvent survivre)

Un formulaire PDF rempli cache plus que ce que vous voyez à l'écran. Les réponses tapées, les cases cochées et la moindre note ajoutée par un collègue peuvent vivre dans des couches séparées, derrière le texte imprimé. Recouvrir la page d'un rectangle noir laisse souvent ces couches intactes.

Imaginons qu'un hôpital envoie un formulaire de consentement à Claire Exemple. Elle le remplit, l'enregistre, puis le transmet à une collègue qui a besoin d'une version sans son nom ni sa date de naissance. Si cette collègue se contente de dessiner un rectangle noir sur les champs, les réponses d'origine peuvent rester dans le fichier. Elles peuvent réapparaître en un clic.

Que contient vraiment un formulaire PDF rempli ?

Un formulaire PDF est construit à partir de couches distinctes, et chacune se comporte différemment. Le contenu de page est le texte et les images fixes du fichier d'origine. Un champ de formulaire, ou champ AcroForm, est un objet séparé avec sa propre valeur, comme le texte tapé par Claire. Une annotation est un repère posé sur la page, comme un surlignage ou un tampon. Un commentaire est une note attachée à la page, visible dans un panneau latéral, souvent laissée par une personne qui relit.

C'est pourquoi recouvrir un champ d'une forme aide rarement. La forme devient un nouvel objet dessiné sur la page. Elle se pose sur le champ, l'annotation ou le commentaire. Aucune des couches en dessous n'est touchée, donc leur contenu est toujours là, simplement caché à la vue.

Pourquoi un rectangle noir n'efface pas un champ de formulaire

Un rectangle noir dessiné dans un lecteur PDF n'est qu'une forme de plus. Il ne sait rien de ce qui est écrit dans le champ en dessous, et il ne supprime pas cette valeur. Quiconque ouvre le fichier dans un autre lecteur, ou retire votre forme, peut encore voir la réponse d'origine. Cherchez le nom de Claire dans le fichier, et il peut encore apparaître, même sous le rectangle.

Comment aplatir un formulaire PDF avant de le partager

Aplatir un formulaire de façon sûre veut dire transformer toute la page en image. Une fois la page en image, il n'y a plus de champ à lire, plus de commentaire à ouvrir, plus de texte à chercher ou à copier. C'est différent de simplement remplir un formulaire, et différent de dessiner une forme sur un champ. Le guide officiel d'Adobe sur le partage de documents pointe exactement vers cela : créer une copie aplatie ou rastérisée comme dernière étape, une fois le vrai travail de caviardage fait.

• Adobe Acrobat : utilisez l'outil de caviardage pour supprimer le texte sensible, puis exportez une copie aplatie et rastérisée, la dernière étape que recommande la documentation d'Adobe avant tout partage.
• Aperçu sur Mac : remplir ou signer un formulaire ne change que ce qui s'affiche à l'écran. Le guide d'Apple sur Aperçu ne dit pas que cette étape supprime les données des champs, donc traitez une copie remplie comme un brouillon, pas comme une version sûre à envoyer.
• LibreOffice : lors de l'export en PDF, laissez la case Créer un formulaire PDF décochée. Sa documentation associe cette case au fait de rendre l'export remplissable, donc la décocher évite des champs actifs dans le nouveau fichier.

Pour un formulaire comme celui de Claire, ONYRI Sanitize lit les valeurs tapées dans les champs en même temps que le texte de la page, puis reconstruit chaque page comme une image à l'export. Les annotations et les commentaires ne voyagent pas dans le nouveau fichier, qui n'est fait que de pixels. La limite : dans un champ de plusieurs lignes, un seul nom détecté masque tout le champ, et une valeur invisible est ignorée, pas vérifiée. Relisez l'aperçu avant le téléchargement.

Que devient une signature électronique quand vous modifiez un formulaire ?

Une signature électronique n'est pas juste une image de signature. C'est un sceau cryptographique enroulé autour des octets exacts du document au moment où il a été signé. Changez ne serait-ce qu'un caractère après cela, y compris une valeur de champ, un masque ou une étape d'aplatissement, et le sceau ne correspond plus.

Dès qu'un document PDF subit la moindre modification après l'apposition d'une signature numérique, la chaîne de signature cryptographique est rompue.

C'est exactement ce que dit sproof, un prestataire européen de signature électronique, et cela correspond à ce que rapportent la plupart des lecteurs PDF sur un fichier modifié : une signature invalide, pas juste changée. Si un formulaire a besoin à la fois d'un caviardage et d'une signature, caviardez d'abord, puis demandez une signature toute neuve, jamais l'inverse.

Comment vérifier qu'un formulaire est vraiment anonymisé ?

Un formulaire qui a l'air propre à l'écran ne prouve rien. Vérifier, c'est tester le fichier comme le ferait quelqu'un qui cherche à récupérer une donnée, avant d'appuyer sur envoyer.

1. 1Ouvrez le fichier dans un second lecteur, différent de celui utilisé pour l'éditer.
2. 2Essayez de sélectionner et de copier le texte sous chaque masque. Collez-le ailleurs et lisez ce qui en sort.
3. 3Cherchez dans tout le document le nom, la date ou le numéro que vous vouliez retirer.
4. 4Ouvrez le panneau des champs de formulaire, si le lecteur en a un, et vérifiez qu'aucun champ ne garde encore l'ancienne valeur.
5. 5Vérifiez le panneau des commentaires ou des annotations pour tout ce qu'un collègue aurait pu y laisser.

Aucune de ces vérifications ne prend plus d'une minute, et ensemble elles repèrent ce qu'un simple coup d'œil à la page ne peut pas voir. Un formulaire PDF rempli a plus de couches qu'il n'en montre, et chacune mérite son propre contrôle avant que le fichier ne quitte vos mains.