Des métadonnées personnelles dans un PDF en ligne : comment agir ?

Un document publié sur un site peut révéler davantage que son contenu visible. Les propriétés d’un PDF, par exemple, peuvent contenir le nom de son auteur, une ancienne adresse électronique ou des informations sur le logiciel utilisé. Ces éléments peuvent constituer des données personnelles s’ils vous identifient ou permettent de vous identifier. Pour en limiter la diffusion, il faut distinguer la suppression ou la correction du fichier à la source du déréférencement dans les moteurs de recherche.

Les métadonnées sont des informations associées à un fichier. Dans un PDF, elles peuvent apparaître dans les propriétés du document ou être liées à des commentaires, des pièces jointes intégrées ou des éléments conservés lors de sa création. Une image intégrée peut aussi contenir des données de localisation. Leur présence ne signifie pas automatiquement qu’il y a une atteinte à vos droits : le contexte compte, notamment la nature des informations, la raison de publication et le caractère public ou privé du document.

Commencez par examiner le document téléchargé, pas seulement son aperçu. Consultez ses propriétés avec un lecteur de PDF ou les fonctions de votre ordinateur, sans envoyer le fichier à un service en ligne inconnu : il pourrait contenir d’autres informations confidentielles. Repérez l’adresse exacte de la page et notez les éléments qui vous concernent. Conservez une capture d’écran et une copie du fichier comme pièces justificatives, dans un espace sûr. Évitez de republier le document ou d’inclure des données sensibles dans votre demande si une description précise suffit.

Adressez-vous ensuite au responsable de traitement, c’est-à-dire à l’organisme qui décide de la publication et de l’usage du document. Vous pouvez écrire au service indiqué sur le site, à son délégué à la protection des données s’il en a un, ou à l’éditeur du document. Décrivez les métadonnées concernées, fournissez l’URL et demandez leur suppression ou leur rectification. Si cela est possible, demandez le remplacement du fichier par une version nettoyée, plutôt que le retrait de son contenu entier. Une demande d’effacement au titre du RGPD peut être présentée, mais le droit n’est pas absolu : une obligation légale, une mission d’intérêt public ou la liberté d’information peuvent justifier le maintien de certaines données. Ne transmettez une pièce d’identité que si elle est nécessaire pour vérifier votre identité, en masquant les informations qui ne sont pas utiles.

Le responsable de traitement doit en principe répondre dans un délai d’un mois. Il peut prolonger ce délai dans certaines situations complexes, mais doit vous en informer dans le premier mois. En l’absence de réponse ou si le refus vous paraît injustifié, vous pouvez saisir la CNIL en joignant votre demande et les échanges. Si le fichier est corrigé ou retiré du site mais qu’une ancienne version apparaît encore dans Google, le déréférencement ou l’actualisation du résultat constitue une démarche distincte. Elle ne supprime pas le document de sa source et n’est pas automatique.

Après une correction, vérifiez de nouveau le fichier publié et les pages qui y renvoient. Une version téléchargée auparavant peut continuer à circuler, sans que le site puisse toujours la récupérer. Conservez les réponses reçues et privilégiez des demandes proportionnées, adaptées à la nature des données et au contexte de publication. Ces démarches générales ne préjugent pas de l’issue d’une situation particulière.