La suppression des métadonnées d'un document consiste à retirer les informations invisibles qu'un fichier embarque (auteur, historique des modifications, commentaires, localisation GPS, version du logiciel) avant de l'envoyer à un client, de le publier ou de le transmettre à une autorité. Cette opération se fait avec les outils intégrés à votre suite bureautique ou à votre système, ou avec un logiciel local dédié. Elle doit toujours être suivie d'une vérification. Pour un professionnel soumis à la nLPD ou au secret professionnel, elle ne se confie pas à n'importe quel service en ligne.
Ce guide détaille les risques, les méthodes par type de fichier (PDF, documents bureautiques, photos), la vérification, les pièges du noircissement et le cadre suisse. Il s'adresse aux fiduciaires, études d'avocats, cabinets médicaux, services RH et indépendants qui échangent chaque jour des fichiers contenant des données sensibles.
En bref
- Un fichier transporte plus que ce que vous voyez : auteur, commentaires, versions antérieures, coordonnées GPS, noms de fichiers internes.
- Chaque format a sa méthode : inspection du document pour la bureautique, nettoyage des propriétés pour les images, réécriture du fichier pour les PDF.
- Un rectangle noir posé sur du texte ne le supprime pas : il faut retirer le contenu lui-même, puis contrôler le résultat.
- Évitez de téléverser des documents confidentiels sur un outil en ligne inconnu : le fichier quitte alors votre périmètre, parfois la Suisse.
- Un processus écrit, une copie de travail et un contrôle final valent mieux qu'un outil miracle.
Table des matières
- Pourquoi les métadonnées posent un risque avant le partage
- Quelles métadonnées se cachent dans un PDF, un document bureautique ou une photo
- Supprimer les métadonnées d'un document bureautique
- Supprimer les métadonnées d'un PDF
- Supprimer les données EXIF et la localisation d'une photo
- Vérifier que le fichier est propre
- Les outils en ligne : un risque supplémentaire
- Le cadre suisse : nLPD, secret professionnel et anonymisation
- Notre point de vue chez Nectos
- Un espace de travail IA suisse pour vos documents sensibles
- Mettre en place une routine d'équipe
- FAQ
- Sources
Pourquoi les métadonnées posent un risque avant le partage
Une métadonnée est une donnée sur la donnée. Elle est créée automatiquement par le logiciel, souvent à votre insu, et elle suit le fichier à chaque envoi. Le Commissariat à la protection de la vie privée du Canada recense parmi elles le suivi des changements, les commentaires, les noms et initiales, les adresses électroniques, les propriétés et les versions. Invisibles à l'écran, ces éléments peuvent être communiqués à des personnes non autorisées.
Les conséquences sont concrètes. Le même commissariat relève qu'un document dont les statistiques de travail ne correspondent pas à la facturation communiquée à un client peut embarrasser une organisation, voire l'exposer à des amendes. Imaginez une offre d'honoraires envoyée en PDF : le nom de l'ancien client dont vous avez réutilisé le modèle, resté dans les propriétés, suffit à créer un incident de confidentialité.
L'autorité de protection des données du Liechtenstein, voisin et très proche du droit suisse, rappelle que les propriétés d'un fichier contiennent souvent des informations sensibles oubliées à la publication : identité de l'auteur, commentaires, révisions, géolocalisation des images, versions antérieures d'un document.
Il existe aussi un risque de sécurité informatique. Le centre de cybersécurité du Bade-Wurtemberg souligne que la publication inconsciente de métadonnées est un risque majeur : un attaquant y lit les versions de logiciels utilisées et en déduit les failles à exploiter.
Trois situations reviennent régulièrement dans les structures suisses :
- L'envoi à une partie adverse ou à un client : commentaires internes, modifications suivies ou noms de collaborateurs encore présents.
- La publication sur un site ou un intranet : un PDF de rapport annuel dont les propriétés révèlent le poste de travail, le chemin du fichier ou l'auteur d'origine.
- Le dépôt auprès d'une autorité ou d'un tribunal : un document censé être anonymisé qui conserve des traces de son contenu d'origine.
Quelles métadonnées se cachent dans un PDF, un document bureautique ou une photo
Tous les formats ne se valent pas. Savoir ce que contient chacun permet de choisir la bonne méthode.
| Type de fichier | Métadonnées fréquentes | Risque typique |
|---|---|---|
| Document bureautique (texte, tableur, présentation) | Auteur, initiales, historique de modifications, commentaires masqués, versions antérieures | Révéler un échange interne ou un ancien contenu |
| Auteur, logiciel de création, dates, titre interne, parfois texte masqué sous un aplat | Remonter à l'auteur ou au document source | |
| Photo | Coordonnées GPS, date et heure, modèle d'appareil | Localiser un domicile, un chantier, un patient |
| Image professionnelle | Champs EXIF, IPTC et XMP | Descriptions et crédits oubliés |
Pour les images, le guide de la Présidence de la Confédération sur les formats (directives PBC, 2008) distingue trois familles : EXIF contient des informations techniques dont la date de création, IPTC permet d'intégrer des descriptions simples, et XMP offre de nombreux ajouts définis par Adobe. Un fichier peut donc porter trois couches de métadonnées superposées, qu'il faut toutes contrôler.
Pour les fichiers de traitement de texte, l'autorité liechtensteinoise cite les versions antérieures et les commentaires masqués. Pour les photos, elle mentionne l'auteur et la position GPS.
Le nom du fichier compte aussi. « Contrat_Dupont_version_finale_après_litige.docx » raconte une histoire que le destinataire n'a pas à connaître. Renommez toujours le fichier avec une convention neutre avant l'envoi.
Supprimer les métadonnées d'un document bureautique
Les suites bureautiques proposent un outil d'inspection du document, généralement dans le menu Fichier, rubrique Informations, puis vérification de la présence de problèmes. Il détecte les commentaires, les révisions, les propriétés et les informations personnelles, et propose de les supprimer en un clic. Les intitulés exacts varient selon le logiciel et sa version : consultez l'aide de votre suite.
Voici une méthode fiable en cinq étapes :
- Faites une copie de travail. L'autorité liechtensteinoise recommande de créer une copie temporaire avant de noircir ou nettoyer un document, afin de pouvoir recommencer en cas d'erreur irréparable. Conservez l'original intact.
- Acceptez ou rejetez toutes les modifications suivies, puis supprimez les commentaires. Ne comptez pas sur l'outil d'inspection pour trancher à votre place.
- Lancez l'inspection du document et supprimez toutes les catégories détectées, y compris les propriétés et les informations personnelles.
- Exportez en PDF si le destinataire n'a pas besoin de modifier le fichier. C'est le format d'échange le plus sobre, à condition de traiter ensuite le PDF lui-même (voir plus bas).
- Renommez le fichier et contrôlez-le (section vérification).
Dans un tableur, vérifiez aussi les feuilles masquées, les lignes et colonnes cachées, les liens vers d'autres classeurs et les plages nommées. Ce ne sont pas des métadonnées au sens strict, mais elles fuient de la même manière et l'inspection du document les signale en général.
Dans une présentation, contrôlez les notes du présentateur et les diapositives masquées : elles contiennent fréquemment des arguments de négociation.
Supprimer les métadonnées d'un PDF
Le PDF donne une fausse impression de sécurité. Il est vu comme un format « fermé », alors qu'il conserve des propriétés (titre, auteur, logiciel, dates) et, selon sa construction, des couches de texte ou des annotations.
Les bonnes pratiques :
- Nettoyez à la source : supprimez les métadonnées du document bureautique avant l'export, puis vérifiez les propriétés du PDF généré.
- Utilisez un logiciel PDF local qui propose l'assainissement du document (suppression des métadonnées, annotations, texte masqué, pièces jointes). Privilégiez un outil installé sur votre poste, pas un site web.
- Réécrivez le fichier après l'avoir traité avec un outil en ligne de commande : une modification de propriétés peut laisser l'ancienne version dans le fichier, d'où l'intérêt d'une réécriture complète. Cette étape relève d'un profil technique ; si vous n'en avez pas, demandez à votre prestataire informatique.
- Ne vous fiez pas à l'apparence. Un texte recouvert n'est pas un texte supprimé.
Le piège du noircissement
C'est l'erreur la plus courante dans les dossiers confidentiels. D'après l'autorité de protection des données du Liechtenstein, changer la couleur du texte ou ajouter un rectangle noir peut laisser le texte lisible : il suffit de le sélectionner et de le copier. Elle recommande de supprimer véritablement le texte ou, si le volume le permet, d'imprimer puis de scanner le document. Elle précise aussi que le masquage doit empêcher la restauration du contenu original et que tous les logiciels gratuits ne proposent pas un véritable noircissement.
Une règle simple : après un noircissement, ouvrez le PDF résultant, sélectionnez tout le texte (Ctrl+A), collez-le dans un éditeur de texte brut et vérifiez que les passages caviardés n'y figurent plus.
Supprimer les données EXIF et la localisation d'une photo
Un smartphone enregistre par défaut le lieu et l'heure de chaque prise de vue. Une photo de chantier, de dossier médical ou de local d'archives peut donc livrer une adresse précise.
Le guide web de l'Office des publications de l'Union européenne décrit la marche à suivre :
- Sous Windows : clic droit sur le fichier, Propriétés, onglet Détails, puis « Supprimer les propriétés et les informations personnelles ».
- Sous macOS : l'application Photos permet de retirer les données de localisation, et des utilitaires tiers comme ImageOptim suppriment les autres métadonnées EXIF.
La précaution la plus efficace reste préventive : désactivez l'enregistrement de la position dans les réglages de l'appareil photo de votre téléphone pour les photos professionnelles.
Pour un lot important d'images, un logiciel installé localement évite le traitement fichier par fichier, sans que les images ne transitent par un serveur extérieur.
Vérifier que le fichier est propre
Nettoyer ne suffit pas, il faut contrôler. Quatre vérifications prennent moins de deux minutes :
- Propriétés du fichier : ouvrez-les depuis le système d'exploitation et vérifiez que auteur, titre, société et commentaires sont vides ou neutres.
- Propriétés dans le logiciel : contrôlez-les aussi depuis l'application qui a ouvert le fichier, car les deux vues ne montrent pas toujours les mêmes champs.
- Lecteur de métadonnées dédié : un outil comme ExifTool, installé sur votre poste, liste les champs restants. Une liste vide ne prouve cependant pas à elle seule l'absence de toute information résiduelle ; certains outils réinitialisent par exemple les dates plutôt que de les supprimer.
- Test de lecture : ouvrez le fichier sur un autre poste, activez l'affichage des révisions, tentez de copier le texte caviardé.
La vérification doit aussi tenir compte de la nature du fichier. Tout n'est pas à supprimer systématiquement : la date d'un acte ou le titre d'un rapport peuvent être utiles au destinataire. L'objectif est de décider, pour chaque envoi, quelles informations il doit recevoir, puis de retirer le reste.
Vérifiez enfin la destination : le bon destinataire, la bonne pièce jointe, le bon dossier de partage. Un fichier parfaitement nettoyé envoyé à la mauvaise personne reste une violation de la sécurité des données.
Les outils en ligne : un risque supplémentaire
Les résultats de recherche sur ce sujet regorgent de sites gratuits qui promettent de supprimer les métadonnées en quelques secondes. Le paradoxe est évident : pour protéger un document, vous le déposez sur un serveur dont vous ne connaissez ni l'exploitant, ni le pays, ni la durée de conservation.
L'éditeur de solutions de sécurité Kaspersky relève que les outils tiers constituent une couche supplémentaire qui peut elle-même conserver des métadonnées, alors que les fonctions intégrées évitent que le fichier passe par un tiers. En contexte professionnel suisse, la conclusion est directe : utilisez les fonctions intégrées à vos logiciels ou des outils exécutés localement, jamais un service web inconnu pour un document client.
Posez-vous trois questions avant tout téléversement :
- Où le fichier est-il hébergé, et sous quel droit ?
- Le fichier est-il conservé, journalisé ou réutilisé ?
- Un contrat de sous-traitance existe-t-il, lorsque le document contient des données personnelles ?
Pour une approche structurée de ces questions, le privacy by design selon le RGPD montre comment intégrer la protection des données dès la conception d'un processus, par exemple en rendant le nettoyage des fichiers automatique plutôt que facultatif.
Le cadre suisse : nLPD, secret professionnel et anonymisation
La nouvelle loi fédérale sur la protection des données (nLPD) est entrée en vigueur le 1er septembre 2023. Un document qui renferme des données personnelles dans ses métadonnées est concerné au même titre que son contenu visible. Plusieurs points méritent votre attention.
La sécurité des données. La nLPD exige des mesures techniques et organisationnelles adaptées au risque. Le guide du PFPDT sur ces mesures (version de janvier 2024) rappelle que l'anonymisation n'est pas toujours irréversible : elle exige une analyse au cas par cas, afin que des données résiduelles ne permettent pas une réidentification par des techniques avancées. Retirer le nom de l'auteur n'anonymise donc pas, à lui seul, un document.
Les documents officiels. Pour les autorités fédérales, le PFPDT indique que la loi sur la transparence prévoit que les documents officiels contenant des données personnelles soient, si possible, rendus anonymes avant d'être consultés. Les organes fédéraux ne peuvent par ailleurs communiquer des données personnelles que si cela est indispensable à l'accomplissement de leurs tâches légales, sauf exceptions prévues.
Les accès en ligne. Le PFPDT a publié en 2024 un aide-mémoire sur l'obligation, pour les organes fédéraux, de prévoir et de motiver les accès en ligne aux données personnelles, avec une analyse d'impact pour les projets importants qui peuvent porter gravement atteinte aux droits d'un grand nombre de personnes. Même si vous n'êtes pas un organe fédéral, ce raisonnement est un bon repère : un outil en ligne qui traite des fichiers contenant des données personnelles mérite une évaluation formelle.
Le secret professionnel. Avocats, médecins, fiduciaires et autres professionnels tenus au secret doivent s'assurer que les fichiers confiés à un tiers technique restent protégés. Un fichier non nettoyé, envoyé au mauvais moment, peut constituer une divulgation. Pour les cas précis, rapprochez-vous de votre ordre professionnel ou de votre conseil juridique.
L'autorité britannique de protection des données (ICO) résume bien l'enjeu : sécuriser les documents avant une divulgation publique est une étape cruciale pour maintenir la confiance et prévenir les violations accidentelles de données personnelles.
Notre point de vue chez Nectos
Nous voyons chaque jour le même schéma : un collaborateur colle un contrat, un rapport ou une liste de clients dans un assistant d'IA grand public pour gagner du temps. Le fichier, avec ses métadonnées, prend alors la route d'un serveur étranger, soumis à un droit qui n'est pas le droit suisse. C'est le transfert transfrontalier que la nLPD vous demande de maîtriser.
Notre conviction est que le nettoyage des métadonnées n'est pas un geste isolé, mais le premier maillon d'une chaîne : ce que vous préparez, ce que vous partagez, où cela est traité, et ce qui en reste tracé. C'est pourquoi Nectos est conçu comme une alternative à ChatGPT pour les professionnels suisses : espace de travail hébergé exclusivement sur des serveurs suisses, sans entraînement des modèles sur les données clients, avec anonymisation automatique des prompts, journaux d'audit complets, gestion des rôles et exportation des logs pour la conformité.
Nous recommandons trois principes :
- Ne jamais confier un document sensible à un outil dont vous ne maîtrisez pas l'hébergement.
- Combiner nettoyage et traçabilité : savoir qui a traité quel fichier, quand, et pouvoir le démontrer.
- Documenter le processus : un contrôle qui n'est pas écrit n'existe pas lors d'un audit.
Notre approche de la sécurité est détaillée sur la page sécurité de Nectos.
— Nectos
Un espace de travail IA suisse pour vos documents sensibles
Si vous analysez, résumez ou comparez régulièrement des documents contenant des données personnelles, l'enjeu dépasse la suppression des métadonnées : il porte sur l'outil qui reçoit ensuite le fichier. Nectos propose une analyse de documents et des bases de connaissances privées dans un environnement hébergé en Suisse. Le pack Sécurité & Conformité détaille les fonctions de contrôle disponibles.
Les abonnements se facturent par siège et par mois : Starter à CHF 29.90, Pro à CHF 49.90 et Pro+ à CHF 99.90, et une offre d'essai est proposée. Consultez les tarifs et le contenu de chaque formule pour choisir celle qui correspond à votre équipe.
Mettre en place une routine d'équipe
Les incidents viennent rarement d'un manque d'outil, mais d'un manque de règle. Une procédure d'une page suffit.
- Définir les fichiers concernés : tout document qui quitte l'organisation (client, autorité, site web, partenaire).
- Nommer un responsable par service, qui valide la méthode et la met à jour.
- Fixer les étapes : copie de travail, nettoyage, vérification, renommage, envoi.
- Choisir des outils locaux et interdire les services en ligne non évalués pour les documents confidentiels.
- Former les nouveaux collaborateurs et rappeler la règle au moins une fois par an.
- Garder une trace de l'évaluation des outils et de la procédure, utile en cas de contrôle ou d'incident.
Pour les photos, ajoutez une consigne simple : position GPS désactivée dans l'appareil photo de l'entreprise.
FAQ
Peut-on supprimer les métadonnées d'un PDF sans logiciel payant ?
Oui, dans certains cas : les propriétés peuvent être modifiées avec des fonctions intégrées ou des outils locaux gratuits. Vérifiez toutefois que l'outil retire réellement le contenu et non seulement son affichage, car tous les logiciels gratuits ne proposent pas un véritable noircissement. Contrôlez toujours le fichier final avant l'envoi.
Un rectangle noir suffit-il pour masquer une information dans un PDF ?
Non. Un aplat noir ou un changement de couleur peut laisser le texte sous-jacent lisible et copiable. Il faut supprimer le texte lui-même, ou imprimer puis scanner le document si le volume le permet, puis vérifier en copiant le texte du résultat.
Comment retirer la localisation d'une photo ?
Sous Windows, ouvrez les propriétés du fichier, onglet Détails, puis choisissez de supprimer les propriétés et les informations personnelles. Sous macOS, l'application Photos ou un utilitaire comme ImageOptim permet de retirer la localisation. Pour éviter le problème, désactivez la géolocalisation dans les réglages de l'appareil photo.
Un outil en ligne gratuit est-il acceptable pour des documents clients ?
En règle générale, non. Le fichier est envoyé à un tiers dont vous ne maîtrisez ni l'hébergement ni la conservation, ce qui est difficile à concilier avec la nLPD et le secret professionnel. Préférez les fonctions intégrées à vos logiciels ou des outils exécutés sur votre poste.
Sources
- Les risques associés aux métadonnées, Commissariat à la protection de la vie privée du Canada
- Schwärzen von Dokumenten und Bildern, Datenschutzstelle Liechtenstein
- CSBW-Factsheet : Umgang mit Metadaten in Dateien
- Guidelines 3/2008, directives de la PBC
- Removing metadata and personal information, Web Guide de l'UE
- How to remove metadata from photos, videos, and other files, Kaspersky
- Guide relatif aux mesures techniques et organisationnelles, PFPDT
- Entrée en vigueur de la LPD révisée, PFPDT
- Aide-mémoire sur l'obligation de prévoir et de motiver les accès en ligne, PFPDT
- Disclosing documents to the public securely, ICO