RGPD et documents : ce que dit la loi sur le téléversement de PDF
Téléverser un PDF contenant des données personnelles vers un outil cloud peut déclencher des obligations RGPD. Ce qui compte comme traitement, qui est le sous-traitant, et pourquoi le local l'emporte.
Vous glissez une facture dans un outil en ligne gratuit pour la réduire. Elle comporte le nom d’un client, une adresse, peut-être un numéro de TVA. Cinq secondes plus tard, vous avez un fichier plus léger et vous passez à autre chose. Est-ce que quelque chose de juridique vient de se produire ?
Au regard du RGPD, c’est fort possible. Et la plupart des gens n’y pensent jamais, parce que le document avait l’air anodin et l’outil avait l’air gratuit.
Ceci n’est pas un conseil juridique. Je ne suis pas votre avocate et chaque situation a ses propres subtilités. Mais il vaut la peine de comprendre la logique de ces règles, car elle change la façon dont vous devriez traiter des documents contenant les données d’autres personnes.
Ce que le RGPD appelle « traitement »
On suppose souvent que le RGPD concerne les bases de données et les fichiers marketing. La définition réelle est bien plus large. Un traitement, c’est à peu près tout ce que vous faites avec des données personnelles : les collecter, les conserver, les consulter, les modifier, les partager, les supprimer. Le règlement cite littéralement la « consultation » et l’« utilisation » comme des formes de traitement.
Donc, dès que votre PDF contient des données personnelles (un nom accompagné d’un numéro de téléphone suffit déjà) et que vous faites quelque chose avec ce fichier, vous traitez des données personnelles. Le compresser compte. Le fusionner compte. Le convertir compte.
Cela seul ne pose pas problème. Les entreprises traitent des données personnelles à longueur de journée. La question que pose le RGPD, c’est comment vous le faites, et qui d’autre touche aux données en chemin.
Ce qui change quand le fichier quitte votre machine
| Vous le traitez en local | Vous l’envoyez à un site | |
|---|---|---|
| Est-ce un « traitement » au sens du RGPD ? | Oui — toute opération sur des données personnelles en est un | Oui, et quelqu’un d’autre le fait aussi désormais |
| Qui est le sous-traitant | Personne d’autre que vous | Le site, qui traite les données pour votre compte |
| Formalités déclenchées | Aucune | Un contrat de sous-traitance (art. 28) |
| Transfert international | Aucun | Probable, si leurs serveurs sont hors EEE (chap. V) |
| Minimisation (art. 5.1.c) | Rien n’est communiqué | Le fichier entier part, pas seulement ce qu’il fallait |
| Ce qu’expose une violation chez eux | Rien de chez vous | Votre document, et c’est à vous de notifier |
Pourquoi le téléversement fait entrer en jeu un « sous-traitant »
C’est là que l’aspect cloud entre en scène. Quand vous téléversez cette facture vers un service externe, le fichier échappe à votre contrôle et atterrit sur les serveurs de quelqu’un d’autre. Cette entreprise traite désormais les données personnelles pour votre compte. Le RGPD lui donne un nom : un sous-traitant. Et vous, qui avez décidé de faire cela, êtes le responsable du traitement.
Dès qu’un sous-traitant entre en jeu, le responsable du traitement contracte de vraies obligations. La principale, c’est l’article 28 : vous devez disposer d’un contrat écrit avec ce sous-traitant, souvent appelé accord de traitement des données (DPA). Il doit préciser ce qu’il peut faire des données, comment il les protège, quand il les supprime, et s’il peut les confier à quelqu’un d’autre.
Arrêtez-vous un instant et pensez à l’outil PDF gratuit que vous avez utilisé le mois dernier. Avez-vous signé un DPA avec eux ? Avez-vous vérifié où se trouvent leurs serveurs ? Avez-vous regardé qui sont leurs sous-traitants ultérieurs ? Presque certainement pas. Vous avez téléversé un fichier contenant les données personnelles d’autrui vers une entreprise avec laquelle vous n’avez aucun contrat. C’est là que se trouve la faille.
Le piège du transfert international
Cela se complique encore quand les serveurs se trouvent hors de l’UE. Envoyer des données personnelles vers un prestataire situé dans un autre pays constitue un transfert, et le RGPD les encadre. Il vous faut une base juridique valable, comme les clauses contractuelles types ou une décision d’adéquation pour ce pays.
La plupart des outils gratuits ne vous disent pas où ils tournent. Le fichier pourrait être traité dans un centre de données sur un autre continent, passé dans une file d’attente, mis en cache dans un espace de stockage, sans aucun moyen pour vous de le savoir. Pour une photo de vacances personnelle, aucun souci. Pour un contrat rempli de données clients, vous venez de réaliser discrètement un transfert international que vous ne pouvez pas documenter.
La minimisation, ce principe que tout le monde oublie
Le RGPD comporte un principe appelé minimisation des données. Vous ne devriez traiter que les données personnelles dont vous avez réellement besoin, de la manière la moins intrusive. Il existe aussi un principe cousin : pensez à la vie privée quand vous concevez un processus, pas après coup.
Appliquez cela à une tâche simple comme la compression d’un PDF. Avez-vous besoin d’envoyer le contrat d’un client vers un serveur tiers pour le rendre plus léger ? Non. La compression peut se faire sur votre propre machine. L’envoyer à l’extérieur ajoute un sous-traitant, un contrat que vous n’avez pas, et peut-être un transfert que vous ne pouvez pas justifier, le tout pour un simple changement de taille de fichier. C’est l’exact opposé de la minimisation.
Pourquoi le traitement local élimine l’essentiel du problème
Voici ce qui réduit considérablement l’ampleur du problème. Si le fichier ne quitte jamais votre appareil, aucun tiers ne le traite. Pas de sous-traitant, donc aucun contrat au titre de l’article 28 à courir après. Rien ne franchit de frontière, donc aucun transfert à justifier. Vous restez le responsable du traitement, vous devez toujours à la personne concernée le soin habituel, mais une grande partie de la paperasse ne s’applique tout simplement pas, parce que personne d’autre n’a touché aux données.
C’est l’idée qui sous-tend les outils qui s’exécutent entièrement dans votre navigateur. Le code fait le travail en local, dans la mémoire de votre ordinateur, et votre PDF reste sur place. C’est ainsi que nous avons conçu reader.me. Quand vous compressez un PDF, le fichier est traité dans votre navigateur et n’atteint jamais aucun de nos serveurs. Ouvrez les DevTools de votre navigateur, surveillez l’onglet Réseau, et vous pourrez confirmer que rien contenant votre document ne sort.
Étapes pratiques pour les entreprises et les indépendants
Quelques habitudes pour rester du bon côté des choses :
- Traitez tout document comportant des noms, des numéros d’identification ou des coordonnées comme des données personnelles. Factures, contrats, CV et formulaires médicaux en font tous partie.
- Avant de téléverser quoi que ce soit vers un outil cloud, demandez-vous qui est le sous-traitant. Pas de DPA, pas de réponse claire sur l’emplacement des serveurs ? N’y faites pas passer de données clients.
- Par défaut, privilégiez les outils locaux pour les tâches courantes comme compresser, fusionner ou découper. Si ça peut tourner dans votre navigateur, il n’y a aucun sous-traitant à vérifier.
- Tenez un bref registre des services qui touchent à des données personnelles. Le RGPD attend de toute façon des responsables du traitement qu’ils le sachent.
- Quand vous avez réellement besoin d’un service cloud, choisissez-en un qui propose un vrai DPA et vous indique où vivent les données.
Les règles paraissent lourdes, mais la solution du quotidien est légère. La plupart des tâches PDF n’ont besoin d’aucun serveur. Gardez le fichier sur votre machine, et l’essentiel du poids juridique ne retombe jamais sur vous.
Questions fréquentes
Envoyer un PDF sur un site en ligne, est-ce un problème au regard du RGPD ?
Si le document contient des données personnelles, oui : vous les avez communiquées à un tiers qui les traite désormais pour votre compte. Cela en fait un sous-traitant, ce qui exige un contrat au titre de l'article 28, et si ses serveurs sont hors de l'EEE le chapitre V sur les transferts s'applique aussi. Rien de tout cela ne se déclenche quand le fichier ne quitte pas votre machine.
Et si le site annonce qu'il supprime les fichiers au bout d'une heure ?
Cela réduit l'exposition mais ne supprime pas la relation juridique. La communication a déjà eu lieu au moment de l'envoi, la promesse de suppression est un engagement contractuel et non une impossibilité technique, et les journaux comme les sauvegardes survivent souvent au fichier. Le RGPD demande ce que vous avez communiqué et à qui, pas à quelle vitesse l'autre partie affirme l'avoir oublié.
Quel rapport entre la minimisation et un outil PDF ?
L'article 5.1.c dit de ne traiter que les données personnelles nécessaires. Envoyer un document transmet tout : chaque page, chaque nom, chaque chiffre, même quand la tâche ne concernait que le nombre de pages ou le poids du fichier. Faire le même travail en local ne communique rien, ce qui est la lecture la plus stricte possible de la minimisation.
Dois-je signer un contrat de sous-traitance avec reader.me ?
Non, car il n'y a rien à convenir. Un tel contrat encadre ce que le sous-traitant peut faire des données que vous lui confiez ; ici vous ne lui confiez rien. Votre fichier est lu dans le navigateur, sur votre propre machine, traité là et rendu à vous. Vous pouvez le vérifier avec les outils de développement, ou en vous déconnectant du réseau et en lançant une tâche quand même.