Pourquoi un document est plus dur à anonymiser qu'une base

Une base de données est facile à anonymiser car chaque nom vit dans une colonne dédiée. Un document n'a pas de colonnes. Un nom, un numéro de téléphone ou une signature peuvent se trouver dans une phrase, un tableau, un pied de page ou une image scannée. Il faut repérer chacun séparément.

Prenez un tableur de clients et une lettre envoyée à l'un d'eux. Dans le tableur, supprimer la colonne « nom » efface le nom de chaque client d'un coup. Dans la lettre, le nom de Claire Exemple apparaît dans la formule de politesse, dans l'adresse postale, puis dans la signature : trois endroits différents.

Quelle est la différence entre données structurées et non structurées ?

Une donnée structurée a une forme fixe : lignes et colonnes, comme un tableur. Chaque valeur porte une étiquette : un programme peut supprimer la colonne « téléphone » sans lire une ligne. Une donnée non structurée n'a pas cette forme. Une lettre ou un scan, c'est du texte libre et des images, sans rien qui dise « ceci est un numéro de téléphone ». Il faut lire le contenu.

Où se cachent les identifiants dans un document ?

Un délégué à la protection des données travaillant sur une base peut lister toutes les colonnes en quelques minutes. Un document n'offre pas cette liste. La CNIL distingue les identifiants directs, comme le nom ou l'adresse, des identifiants indirects, qui n'identifient une personne qu'une fois croisés avec d'autres informations. Dans un document, les deux surgissent n'importe où.

• Le corps du texte : un nom, un numéro ou une adresse, dans une phrase ordinaire.
• Les tableaux du fichier : paie, liste de clients, planning de rendez-vous.
• Les en-têtes et pieds de page : une référence ou un nom, répété sur chaque page.
• Les signatures et notes manuscrites : sur une page scannée ou photographiée.
• Les métadonnées : le nom de l'auteur, enregistré par Word ou un outil PDF.
• Les images et captures d'écran collées : une photo, un graphique avec des étiquettes.

Pourquoi supprimer une colonne ne fonctionne pas sur une lettre ?

Supprimer la colonne « nom » dans une base de données est une seule opération qui couvre tous les enregistrements d'un coup. Une lettre n'a pas de champ « nom » à supprimer. Le mot « Claire » peut apparaître dans la formule de politesse. Il revient quand on la remercie pour sa commande, puis une troisième fois dans la signature. Chaque mention doit être reconnue à chaque fois qu'elle apparaît.

Comment la généralisation et la suppression s'appliquent-elles à un paragraphe de texte ?

La généralisation remplace un chiffre exact par une fourchette. La suppression retire la valeur. La CNIL distingue deux grandes familles de techniques, la randomisation et la généralisation, avec l'exemple de remplacer une date de naissance exacte par l'année seule. Appliquée à un document, la même logique fonctionne sur des phrases plutôt que sur des cellules de tableur.

• « Née le 3 mars 1990, à Lyon » devient « Née dans les années 1990, en France ».
• « Titulaire du compte : Claire Exemple, 47 ans » devient « Titulaire : [nom masqué], 40 à 49 ans ».
• Un salaire exact devient une fourchette, par exemple « entre 40 000 et 50 000 euros par an ».
• Une adresse postale devient un nom de ville, sans numéro de rue ni code postal.

À quoi ressemble un processus solide pour anonymiser des documents ?

Un processus solide suit cinq étapes : détecter, relire, retirer, aplatir, vérifier. Sauter la relecture, c'est là que la fausse confiance s'installe. Sauter l'aplatissement, c'est comment un fichier « masqué » garde son texte d'origine en dessous. Une distinction compte : remplacer un nom par une étiquette, comme NOM1, relève de la pseudonymisation, pas de l'anonymisation, car le motif reste traçable.

1. 1Détecter : passer chaque page au crible pour repérer noms, numéros, dates et valeurs sensibles.
2. 2Relire : parcourir la liste des détections, car un détecteur peut manquer ou se tromper.
3. 3Retirer ou masquer : noircir chaque valeur confirmée, dans le texte, les tableaux et les pieds de page.
4. 4Aplatir : transformer les pages masquées en images, sans couche de texte cachée.
5. 5Vérifier : ouvrir le résultat et s'assurer que rien n'est plus sélectionnable ou copiable.

ONYRI Sanitize est construit pour ce problème de document, pas celui de la base de données. Il lit le texte d'un PDF, d'un fichier Word ou d'un scan dans le navigateur. Il place les masques sur la mise en page réelle et exporte des pages aplaties, sans texte en dessous. Sa limite : il lit du texte, pas des images, donc un logo ou un visage n'est pas analysé et reste à vérifier soi-même.

Rien de tout cela ne rend l'anonymisation des documents impossible. Cela en fait un processus, pas un simple clic. Traitez un document comme un éditeur attentif traite un manuscrit. Lisez chaque page, repérez chaque occurrence, et vérifiez la copie avant qu'elle ne quitte vos mains.