Ce que révèlent les PDF publiés par les organismes publics : étude sur 435 documents

Près d’un PDF sur trois publiés par des collectivités et des services publics porte, dans ses propriétés invisibles, le nom d’une personne : 125 documents sur 435 dans notre échantillon, soit 28,7 %. Plus d’un sur trois conserve aussi des états antérieurs du document, lisibles avec des outils spécialisés. Ces informations ne s’affichent pas à l’écran, mais n’importe qui peut les lire.

La méthode

L’échantillon vient de data.gouv.fr, la plateforme ouverte des données publiques. Au 5 octobre 2026, 3 747 jeux de données y contenaient au moins une ressource PDF. Nous n’avons retenu que les organismes qui portent sur data.gouv.fr le badge « collectivité territoriale » ou « service public », et une ressource PDF par jeu de données, hébergée sur data.gouv.fr et de moins de 25 Mo. Cela laissait 1 588 candidats.

Le tirage est aléatoire, à graine fixe pour pouvoir être refait à l’identique, avec au plus trois PDF par organisme pour qu’un gros publieur ne pèse pas sur le résultat. Sur 438 PDF tirés, 435 ont pu être analysés, issus de 224 organismes, dont 188 fichiers de collectivités.

Les chiffres agrégés sont téléchargeables au format JSON ; ils ne contiennent aucun nom. Chaque fichier a été lu avec le même moteur que l’outil d’audit de métadonnées du site : propriétés du document (auteur, logiciel, titre, dates), métadonnées XMP et mises à jour incrémentales.

Un champ est compté comme un « nom de personne » s’il ne contient aucun terme institutionnel (mairie, service, direction, utilisateur…) et soit contient une adresse e-mail, soit compte deux à quatre mots sans chiffre dont au moins un est un prénom attribué au moins 200 fois en France d’après le fichier des prénoms de l’Insee (naissances de 1900 à 2025). Ce classement a été fait sans afficher aucun nom. La définition est volontairement prudente : un identifiant comme « jdupont » n’est pas compté. Les fichiers téléchargés et les valeurs extraites ont été supprimés après l’étude ; seuls les agrégats sont conservés.

Les résultats

Constat	Nombre	Part
Nom de personne dans les propriétés (champ Auteur ou XMP)	125 sur 435	28,7 %
… dans les PDF de collectivités	43 sur 188	22,9 %
… dans les PDF des autres services publics	82 sur 247	33,2 %
Organismes ayant publié au moins un PDF avec un nom	87 sur 224	38,8 %
Champ Auteur vide	187	43,0 %
Logiciel de création déclaré	419	96,3 %
Au moins une mise à jour incrémentale	158	36,3 %
Métadonnées XMP présentes en clair	200	46,0 %

Le logiciel déclaré raconte comment les documents sont produits. Microsoft Word arrive très loin devant (120 PDF), suivi des imprimantes PDF virtuelles comme « Microsoft Print to PDF » (63) et des copieurs ou scanners (51). Viennent ensuite Excel (32), LibreOffice (30), les logiciels métier qui génèrent eux-mêmes leurs PDF (24), les outils Adobe (24) et Google Docs (23). Dix documents sont passés par un service PDF en ligne.

Deux cas typiques

Ces deux exemples sont reconstitués : ils combinent des constats fréquents de l’échantillon, sans reprendre de document réel.

Le compte rendu exporté depuis Word. Une commune publie le compte rendu de son conseil municipal. Le PDF ne montre rien d’autre que le texte, mais ses propriétés indiquent comme auteur le prénom et le nom de l’agent qui l’a rédigé, comme titre « Microsoft Word - CR_conseil_brouillon_v3.docx », et comme logiciel la version exacte de Word. Rien de secret, mais trois informations que personne n’a choisi de publier : qui a écrit, sous quel nom de fichier interne, et qu’il s’agissait d’une troisième version de travail.

L’arrêté signé puis tamponné. Un service publie un arrêté scanné, puis signé électroniquement et complété d’un tampon. Chaque étape a ajouté une mise à jour incrémentale : le fichier contient trois états successifs. Ici, c’est normal, c’est la façon dont une signature électronique préserve le document signé. Mais si un paragraphe avait été retiré entre deux états, il resterait lisible dans le fichier publié.

Ce que ces chiffres ne disent pas

L’échantillon porte sur les PDF publiés sur data.gouv.fr, par des organismes plutôt familiers de l’open data. Il ne représente pas l’ensemble des sites publics.

Le classement par prénom est une approximation : il peut compter à tort un nom de lieu formé d’un prénom (« Pierre Bénite » sans tiret) et ignore les noms sans prénom courant. Une adresse e-mail générique sans terme institutionnel (de type contact@…) est comptée comme un nom de personne, ce qui peut surestimer légèrement ce chiffre. Les pourcentages sont des ordres de grandeur.

Une mise à jour incrémentale n’implique pas qu’un contenu sensible subsiste : beaucoup viennent d’un outil de signature ou d’un ajout de tampon. Elle signifie seulement que des états antérieurs restent présents.

Nettoyer un PDF avant de le publier

1. Avant l’export, dans Word : Fichier, Informations, Vérifier la présence de problèmes, Inspecter le document, puis supprimez les propriétés du document et les informations personnelles. Dans LibreOffice, l’option « Supprimer les informations personnelles lors de l’enregistrement » se trouve dans les options de sécurité.
2. Au moment de l’export : dans les options d’enregistrement en PDF de Word, décochez l’inclusion des propriétés du document.
3. Pour un PDF déjà produit et modifié plusieurs fois : un réenregistrement complet (« Enregistrer sous » plutôt que « Enregistrer ») réécrit le fichier sans ses états antérieurs. Ne le faites pas sur un document signé électroniquement : la signature ne serait plus valide.
4. Vérifiez le résultat : déposez le PDF final dans l’outil d’audit de métadonnées, qui affiche ce que le fichier révèle, dans le navigateur, sans l’envoyer.