Trois manieres d occulter un acte, et ce que chacune laisse passer

Publier un acte en ligne sans dévoiler de données personnelles impose de choisir une méthode durable. Depuis le 1er juillet 2022, l’ordonnance 2021-1310 et le décret 2021-1311 imposent la publicité des actes sous forme électronique pour rendre l’acte exécutoire. L’occultation devient un rouage de la chaîne de production, non un geste isolé.

Trois approches coexistent: préparer une version publiable dans le fichier source, poser un cache puis aplatir, ou effectuer une suppression destructive assortie d’une preuve. Chacune traite un pan du problème et en laisse d’autres ouverts. L’article L. 311-7 du code des relations entre le public et l’administration encadre l’occultation des mentions non communicables. Voici ce que chaque méthode couvre, et comment décider.

Poser le problème au bon endroit de la chaîne

Avant signature

Avant la signature, le texte peut être scindé: version intégrale de travail et version destinée au public. Ce qui n’est pas écrit dans la copie publique ne fuitera pas. C’est le moment de maîtrise éditoriale maximale, notamment pour les délibérations et arrêtés rédigés en interne.

Elle suppose des consignes claires aux rédacteurs et une arborescence séparant pièces publiques et internes. Elle ne s’applique pas aux pièces entrantes déjà signées ou scannées, ni aux documents tiers joints à la séance.

Après signature

Une fois signé, l’acte ne se modifie plus: la version publiée est une copie dérivée. L’expurgation se fait alors sur la copie: poser un cache puis aplatir, ou supprimer la chaîne de caractères dans le PDF de diffusion.

Ce choix impose, à chaque séance, un contrôle des annexes (plans, devis, baux, pièces sociales) aux formats variés. Il conditionne aussi la preuve à conserver pour démontrer plus tard ce qui a été rendu public et à quelle date.

Avant mise en ligne

Juste avant la mise en ligne, l’objectif est de garantir le respect de l’article L. 311-7 CRPA, qui impose l’occultation ou la disjonction des mentions non communicables. On agit alors sur des PDF prêts à publier, y compris des documents reçus de l’extérieur.

Le moment retenu détermine la suite: un texte non écrit dans la version publique est durablement protégé; un cache sans aplatissement laisse la sélection possible; une suppression destructive produit une copie maîtrisée, mais demande un dispositif de preuve et un registre horodaté pour être opposable.

Méthode 1: préparer une version publiable dans le document source

Ce que la méthode traite proprement

Ici, le travail se fait dans l’éditeur bureautique. On duplique l’acte, on établit une copie destinée au public, puis on retire ou reformule les mentions à exclure: données de santé, coordonnées bancaires, références cadastrales de particuliers, éléments RH nominaux. Le PDF issu de cette copie ne contient jamais ces informations. Pour une délibération rédigée en interne, c’est propre et traçable.

Elle permet d’anticiper avant la signature: l’élu signe la version intégrale, la publication reprend la version publique qui ne révèle pas les détails sensibles. Le risque de fuite par sélection de texte est nul, les chaînes n’existant plus dans la copie publique.

Ce qu’elle laisse passer

Elle ne s’applique pas aux pièces déjà signées, ni aux documents scannés, ni aux annexes reçues de tiers. Une décision d’urbanisme avec plan déposé, un devis, une attestation ou un bail transmis par un partenaire ne peuvent pas être réécrits dans l’outil bureautique. La coordination devient fragile si plusieurs contributeurs modifient en parallèle différentes versions.

La multiplication des fichiers dans le dossier de séance accroît le risque d’erreur: diffuser la mauvaise version ou joindre une annexe non expurgée. Un contrôle final reste nécessaire pour la cohérence du recueil, de la liste des délibérations et du tableau des actes.

Le temps qu’elle coûte par séance

Le coût est porté en amont: rédaction plus rigoureuse, relectures croisées, versions clairement nommées. Sur une petite séance, c’est gérable. Sur des volumes importants, la discipline documentaire évite les recherches de copies et les corrections en urgence.

Pour sécuriser, certains ajoutent une check-list de mise en ligne qui rappelle les points de contrôle. Sur ce volet, voir la méthode proposée dans la liste de contrôle avant publication des actes d’une séance.

Méthode 2: poser un cache puis aplatir le fichier

Ce que l’aplatissement supprime, et ce qu’il conserve

Le principe: poser un cache sur les zones à masquer, puis convertir la page en image (aplatir). La couche de texte disparaît: la sélection et le copier-coller ne restituent plus les mentions. C’est très différent d’un simple export PDF qui conserve les objets superposés.

• Conversion en image: supprime la couche texte et les objets vectoriels couverts.
• Export sans aplatissement: conserve le texte sous le cache, sélection et indexation possibles.
• OCR ultérieur par un tiers: reconstitue parfois un texte lisible sur les zones non masquées.

Dans la pratique, l’aplatissement règle la sélection et l’indexation directe. Il ne s’applique qu’à la copie de diffusion et nécessite de conserver en interne le document intégral pour le suivi du dossier.

Le risque résiduel des métadonnées et des annexes

Même aplati, le fichier peut transporter des métadonnées: auteur, titre, historique. Il faut vérifier les propriétés du PDF. Les annexes jointes en fin de fichier restent à traiter, page par page, avec le même soin. Une page oubliée réintroduit la fuite.

Sur le plan juridique, l’article L. 311-7 CRPA impose l’occultation ou la disjonction. L’aplatissement est recevable s’il rend la donnée non accessible dans la copie publiée. Le contrôle repose alors sur la qualité du geste et la traçabilité du processus, sans preuve interne standardisée.

Accessibilité et poids du document publié

Le Décret n° 2019-768 du 24 juillet 2019 relatif à l’accessibilité des services de communication au public en ligne rappelle l’enjeu d’un contenu lisible par les technologies d’assistance. Un PDF converti en image perd le balisage sémantique, la lecture machine et la recherche plein texte.

Le fichier devient plus lourd, ce qui pénalise l’affichage et la consultation sur mobile. Il faut arbitrer entre réduction du risque de sélection et obligations d’accessibilité, en gardant à l’esprit les recommandations de la CNIL sur la diffusion en ligne des données personnelles des collectivités. Pour le cadre juridique général, consulter le site Legifrance et les ressources de la CNIL.

Méthode 3: occultation destructive assortie d’une preuve

Suppression de la chaîne de caractères et reconstitution de la page

La logique: supprimer la chaîne de caractères ciblée dans le PDF de diffusion, puis reconstituer la page avec un cache qui ne recouvre plus un texte existant. Le reste du document conserve sa couche texte, maintenant la lisibilité machine et la recherche plein texte hors des zones supprimées.

Cette méthode s’applique aux pièces internes comme aux pièces reçues: délibérations, arrêtés, plans d’urbanisme, pièces de marchés, documents RH. Les règles d’occultation diffèrent selon la famille d’actes, par exemple références cadastrales et adresses en urbanisme, éléments de santé en aide sociale, IBAN et numéros d’immatriculation en comptabilité.

Le test d’extraction affiché à l’agent puis archivé

Parce que l’article L. 311-7 CRPA impose d’occulter ou de disjoindre, l’agent doit démontrer que le texte est supprimé. Un test d’extraction présenté après traitement, puis archivé, joue ce rôle probatoire: l’agent voit le résultat, vérifie les zones caviardées et conserve une trace interne.

Ce test devient une pièce du dossier, au même titre que le recueil des actes administratifs, la liste des délibérations et le tableau des actes. En cas de contestation, il illustre le geste réalisé le jour de la mise en ligne et renforce la crédibilité du processus.

L’empreinte numérique de la version publiée

Pour attester le caractère exécutoire, la date de publicité compte. Une empreinte numérique associée au fichier publié permet de démontrer que le document consulté est exactement celui mis en ligne, et de dater son remplacement éventuel. L’empreinte lie la fiche de preuve à la copie publique, y compris pour répondre à une demande fondée sur l’article L. 311-7.

Dans un dispositif complet, le registre horodaté consigne chaque publication, la référence de transmission au contrôle de légalité, l’accusé de réception préfectoral, et documente les rectifications ou retraits. Pour un aperçu des points de vigilance à la mise en ligne, voir les erreurs d’occultation à éviter en ligne.

Choisir selon le volume, les familles d’actes et l’exigence de preuve

Commune rurale, une séance par mois

Avec un volume modéré, préparer une version publiable dans le fichier source peut suffire, à compléter par un contrôle final des annexes. L’aplatissement par cache est une roue de secours ponctuelle. La priorité est d’éviter la confusion des versions et de tenir une liste de contrôle par séance.

Pour cadrer l’organisation générale de la publicité électronique, voir la publicité des actes sous forme électronique, qui rappelle les jalons d’entrée en vigueur et les pièces à produire.

Intercommunalité et centre communal d’action sociale, plusieurs familles d’actes

Dès que coexistent urbanisme, aide sociale, marchés et RH, les règles d’occultation varient. Une occultation destructive, paramétrée par type d’acte, sécurise le périmètre tout en préservant l’accessibilité du reste du contenu. L’aplatissement peut rester utile pour des pièces graphiques complexes, en l’acceptant comme exception documentée.

Le critère décisif devient la capacité à produire une preuve uniforme: test d’extraction, journal des publications, lien clair avec le recueil, la liste des délibérations et le tableau des actes.

Périmètre mutualisé de plusieurs dizaines de collectivités

Pour un délégué à la protection des données mutualisé, l’enjeu principal est la supervision: savoir, en un écran, où persistent des fichiers extractibles, où des publications sont en retard, et où la preuve d’occultation manque. Seule une méthode qui produit systématiquement une preuve et un registre horodaté est exploitable à l’échelle.

La mutualisation suppose aussi une standardisation des règles d’occultation par famille d’actes, des alertes, et un rapport annuel exportable pour objectiver l’audit. Pour un pas à pas opérationnel, voir occulter une délibération avant mise en ligne.

Contexte	Méthode tenable	Preuve associée
Commune rurale, séance mensuelle	Version publiable dans le source, contrôle des annexes	Traçabilité interne, check-list de séance
Intercommunalité et CCAS, actes variés	Occultation destructive, aplatissement ponctuel	Test d’extraction archivé, registre horodaté
Périmètre mutualisé multi-collectivités	Occultation destructive avec supervision	Empreinte numérique, journal des publications et retraits

Synthèse: trancher par la preuve, pas par l’outil

La bonne méthode est celle qui permet de démontrer, des mois plus tard, ce qui a été publié et quand. Préparer une version publique dans le source fonctionne pour des volumes limités; l’aplatissement règle un problème immédiat au prix d’une tension avec l’accessibilité; l’occultation destructive apporte la preuve sans sacrifier la lisibilité machine.

Sur un périmètre étendu, la supervision et l’empreinte numérique deviennent déterminantes. Pour industrialiser ces gestes et centraliser la preuve, voir l’occultation destructive dans Caviard, qui associe détection, test d’extraction, registre horodaté et suivi des séances, depuis la préparation jusqu’à la mise en ligne.