Caviardage, Loi 25, RGPD et LPRPDE : comprendre les risques d'un PDF mal caviardé

Lorsqu'un document contient des renseignements personnels, confidentiels ou sensibles, un simple masquage visuel peut donc ne pas suffire à empêcher leur communication.

Un principe central : la personne peut-elle encore être identifiée ?

Les règles sur la protection des renseignements personnels varient selon les juridictions. Le RGPD, la législation québécoise et la législation fédérale canadienne n'ont pas le même champ d'application ni les mêmes exigences.

Toutefois, une question demeure centrale : une personne peut-elle encore être identifiée, directement ou indirectement, à partir des renseignements conservés ou communiqués ?

Si une personne peut encore être identifiée à partir du contenu visible, du contenu technique du fichier ou d'informations pouvant être combinées avec d'autres sources, les renseignements peuvent continuer d'être considérés comme des renseignements personnels.

Sous le RGPD, les informations rendues véritablement anonymes, de sorte qu'une personne ne soit plus identifiable, ne sont pas considérées comme des données à caractère personnel. Modifier la présentation d'une information ou masquer seulement son apparence ne suffit donc pas nécessairement à la rendre anonyme.

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé distingue notamment les renseignements dépersonnalisés des renseignements anonymisés. Un renseignement dépersonnalisé peut encore permettre d'identifier indirectement une personne et demeure généralement soumis aux règles applicables. L'anonymisation repose sur un critère plus exigeant : il doit être raisonnable de prévoir que le renseignement ne permet plus, de façon irréversible, d'identifier directement ou indirectement une personne.

La législation fédérale canadienne, les lois provinciales applicables et les exigences sectorielles peuvent prévoir des règles différentes selon le contexte.

Pourquoi un rectangle noir peut être insuffisant

Lorsqu'un rectangle graphique est simplement superposé à du texte sans supprimer le contenu sous-jacent, les renseignements masqués peuvent demeurer présents dans le fichier.

Dans certaines situations, une personne ayant accès au PDF peut encore sélectionner, copier, rechercher, extraire ou récupérer un contenu qui semblait pourtant masqué.

Le résultat visuel peut donc donner l'impression que l'information a été supprimée alors que le contenu numérique demeure accessible.

Masquer visuellement une information et retirer cette information du fichier sont deux opérations différentes.

Un véritable caviardage numérique doit viser à retirer les renseignements concernés du document produit, plutôt qu'à les recouvrir visuellement.

Que se passe-t-il lorsqu'un document mal caviardé est communiqué ?

La communication involontaire d'un renseignement personnel à une personne non autorisée peut, selon les circonstances et le régime applicable, constituer un incident de confidentialité, une atteinte aux mesures de sécurité ou une violation de données à caractère personnel.

Les conséquences et obligations ne sont pas identiques dans toutes les juridictions.

Au Québec, lorsqu'une entreprise constate un incident de confidentialité impliquant des renseignements personnels, elle doit prendre des mesures raisonnables pour réduire le risque de préjudice et empêcher que des incidents semblables se reproduisent. Elle doit aussi évaluer si l'incident présente un risque qu'un préjudice sérieux soit causé. Lorsqu'un tel risque existe, des obligations d'avis à la Commission d'accès à l'information et aux personnes concernées peuvent s'appliquer. Un registre des incidents de confidentialité doit également être tenu.

Sous le RGPD, une violation de données à caractère personnel peut entraîner une obligation de notification à l'autorité de contrôle. Lorsque les conditions sont réunies, cette notification doit être effectuée sans retard injustifié et, lorsque cela est possible, au plus tard dans les 72 heures suivant la prise de connaissance de la violation.

Le délai de 72 heures prévu par le RGPD ne signifie pas que toute erreur de caviardage doit automatiquement être signalée dans ce délai. L'obligation dépend notamment de la nature de la violation et du risque qu'elle présente pour les droits et libertés des personnes concernées.

Au Canada, la LPRPDE peut aussi s'appliquer à certaines organisations du secteur privé. Les organisations visées doivent notamment déclarer certaines atteintes aux mesures de sécurité présentant un risque réel de préjudice grave, aviser les personnes concernées lorsque requis et conserver un registre des atteintes.

Dans quels cas le caviardage peut-il être nécessaire ?

Le caviardage peut être utile lorsqu'un document doit être communiqué, publié ou transmis alors que certaines informations doivent demeurer confidentielles.

• Les demandes d'accès à des documents ou à des renseignements. Selon le régime applicable, notamment dans le secteur public ou dans le cadre d'une demande d'accès à des renseignements personnels, un document peut contenir des renseignements concernant d'autres personnes qui ne peuvent pas nécessairement être communiqués au demandeur.
• La minimisation des renseignements. Lorsqu'un document est transmis à un tiers, il peut être approprié de limiter la communication aux renseignements nécessaires à la finalité poursuivie.
• La publication ou la divulgation de documents. Des documents judiciaires, administratifs, des rapports, des données de recherche ou des documents destinés au public peuvent nécessiter le retrait préalable de certaines informations.
• La communication à des tiers ou à l'extérieur d'une organisation. Selon le contexte, des renseignements personnels, commerciaux, professionnels ou confidentiels peuvent devoir être retirés avant leur transmission.

Le fait qu'un caviardage soit techniquement possible ne signifie pas qu'une information doit nécessairement être retirée. La décision de caviarder dépend du contexte, des obligations applicables et de l'organisation ou du professionnel responsable du document.

Les communications hors Québec et à l'étranger

La communication de renseignements personnels à l'extérieur du Québec ou à l'étranger peut être soumise à des exigences particulières.

Au Québec, avant de communiquer un renseignement personnel à l'extérieur du Québec, une entreprise doit généralement effectuer une évaluation des facteurs relatifs à la vie privée. Cette évaluation tient notamment compte de la sensibilité des renseignements, de leur utilisation projetée, des mesures de protection applicables et du régime juridique du lieu de destination. Selon le contexte, une entente écrite peut également être requise.

Le principe de minimisation demeure également pertinent : ne communiquer que les renseignements nécessaires peut contribuer à réduire l'exposition des données.

Le caviardage d'un document ne dispense pas l'organisation d'effectuer les analyses, évaluations ou ententes requises par les lois applicables.

Pouvoir vérifier le caviardage

Pour les organisations qui manipulent des renseignements sensibles, la traçabilité du processus de caviardage peut constituer une bonne pratique de gouvernance.

Selon le contexte, il peut être utile de documenter :

• Les zones ou éléments du document qui ont été traités
• Les règles ou actions de caviardage appliquées
• Les pages concernées
• La date ou le moment du traitement
• Les vérifications effectuées sur le document final
• Les limites ou exceptions relevées durant le traitement

Ces renseignements peuvent faciliter les contrôles internes et la documentation du processus. Ils ne constituent toutefois pas, à eux seuls, une preuve de conformité à une loi particulière.

Comment Caviardeur traite le caviardage

Caviardeur est conçu pour faciliter le caviardage numérique d'un PDF, plutôt que de simplement ajouter une forme graphique au-dessus du contenu.

Lorsque les fonctions de vérification sont utilisées, Caviardeur analyse le fichier produit afin de détecter, selon les capacités et les limites de la fonction utilisée, si certains contenus désignés pour retrait semblent demeurer extractibles.

Caviardeur peut également produire un rapport associé au document traité afin de faciliter la traçabilité du processus. Ce rapport peut notamment indiquer les éléments traités, les règles appliquées et les pages concernées, sans reproduire les valeurs caviardées elles-mêmes.

La portée des vérifications dépend notamment de la structure du PDF, de la nature du contenu, des fonctions utilisées et des limites techniques du logiciel. Une vérification automatisée peut réduire certains risques, mais ne remplace pas l'examen du document final par l'utilisateur.

Ces fonctionnalités visent à réduire le risque d'un caviardage incomplet. Elles ne constituent pas une certification juridique, une garantie de conformité réglementaire ni un avis juridique.

L'utilisateur demeure responsable de déterminer quelles informations doivent être caviardées et de vérifier que le document final répond aux exigences applicables à son contexte.

Deux pièges importants : les métadonnées et la réidentification

Les métadonnées

Le contenu visible d'une page n'est pas le seul élément susceptible de contenir des informations.

Un PDF peut aussi contenir des métadonnées ou d'autres éléments internes, par exemple un auteur, un titre, des informations sur le logiciel utilisé pour créer le document, des commentaires, des annotations, des pièces jointes, des champs de formulaire, des calques ou d'autres données associées au fichier.

Le caviardage du contenu visible ne signifie donc pas nécessairement que toutes les informations présentes dans le fichier ont été supprimées.

Selon le contexte et le niveau de confidentialité recherché, ces éléments doivent être examinés séparément.

La réidentification

Supprimer le nom d'une personne ne suffit pas nécessairement à rendre un document anonyme.

D'autres informations peuvent permettre une identification directe ou indirecte, en particulier lorsqu'elles sont combinées entre elles ou avec des renseignements disponibles ailleurs.

Par exemple, une combinaison de date, fonction professionnelle, localisation, employeur, dossier, événement précis ou identifiant peut, dans certaines circonstances, contribuer à identifier une personne.

L'anonymisation et le caviardage ne sont donc pas nécessairement la même chose.

Le caviardage consiste généralement à retirer certaines informations d'un document destiné à être communiqué. Déterminer si les informations restantes permettent encore d'identifier une personne nécessite une analyse du contexte et des risques de réidentification.

Un caviardage technique ne remplace pas une analyse juridique

Un outil de caviardage peut contribuer à réduire le risque qu'une information masquée demeure présente dans un fichier.

Il ne peut toutefois pas déterminer, à la place de l'organisation ou du professionnel responsable, quelles informations doivent légalement être retirées, communiquées ou conservées.

Avant de communiquer un document contenant des renseignements personnels, confidentiels ou sensibles, il est recommandé de vérifier :

1. Quelles informations peuvent être communiquées
2. Quelles informations doivent être retirées
3. Quelles obligations légales, réglementaires, contractuelles ou internes s'appliquent
4. Que les informations retirées ne demeurent pas accessibles dans le fichier final
5. Que le document final, ses métadonnées et ses éléments intégrés ne contiennent pas d'informations qui ne devraient pas être communiquées
6. Que les risques de réidentification ont été évalués lorsque le document contient des données indirectement identifiantes

Pour les situations complexes, les documents sensibles, les transferts hors Québec ou les risques élevés, une validation juridique ou professionnelle peut être appropriée.

Pour aller plus loin

Découvrez pourquoi un rectangle noir ne suffit pas à caviarder un PDF et les méthodes permettant de caviarder un PDF sans téléverser le document.