« Est-ce qu’on peut utiliser ce site pour fusionner des PDF ? » La question revient chaque semaine dans la boîte d’un DPO. Derrière un outil en apparence anodin se cache une qualification juridique précise : dès que le document contient des données personnelles, le service qui le reçoit devient sous-traitant — avec tout le dossier de conformité que cela déclenche. Un outil qui traite le fichier dans votre navigateur sort entièrement de ce cadre, et pour une raison structurelle : sans transfert, il n’y a pas de sous-traitance.
À quel moment un outil PDF devient-il sous-traitant ?
L’article 4, point 8, du RGPD définit le sous-traitant comme la personne qui traite des données personnelles pour le compte du responsable de traitement. Les lignes directrices 07/2020 de l’EDPB sur les notions de responsable et de sous-traitant précisent que la qualification dépend de la réalité du traitement, pas de l’intention des parties ni de l’existence d’un contrat.
Le déclencheur est donc le transfert du fichier, pas la signature de quoi que ce soit. Vous déposez un contrat de travail sur un compresseur en ligne : le serveur reçoit des données personnelles et exécute une opération dessus pour votre compte. Le service est sous-traitant à cet instant — même si le fichier est « supprimé au bout d’une heure », même si vous n’avez créé aucun compte.
Fellowes 6M — micro-coupe P-4Micro-coupe P-4 : pour pièces d’identité et documents financiers.affilié
Ce que la sous-traitance oblige à faire
Une fois la qualification posée, l’article 28 impose un contrat de traitement (le fameux DPA, Data Processing Agreement) dont le contenu minimal est listé par le règlement : instructions documentées, confidentialité, mesures de sécurité de l’article 32, encadrement des sous-traitants ultérieurs, assistance pour les droits des personnes, suppression ou restitution en fin de prestation, informations d’audit.
Autour du contrat, trois obligations pratiques :
- Registre : le sous-traitant doit figurer dans votre registre des activités de traitement (art. 30), avec les catégories de traitements effectués pour votre compte.
- Violation de données : le sous-traitant doit vous notifier « sans retard indu » toute violation (art. 33, §2), pour que vous puissiez vous-même notifier la CNIL dans les 72 heures (art. 33, §1). Sans DPA, rien ne contractuellement garantit cette notification.
- Transferts hors UE : si le prestataire ou ses sous-traitants hébergent hors Union européenne, le chapitre V exige une garantie — clauses contractuelles types, décision d’adéquation — et depuis l’arrêt Schrems II (CJUE, C-311/18, 2020), une évaluation concrète du droit du pays destinataire.
La réalité du marché : les outils PDF gratuits ne proposent presque jamais de DPA. Chaque bulletin de paie compressé sur un service quelconque est donc une sous-traitance non documentée — indéfendable en cas de contrôle.
L’article 28 inversé : sans transfert, pas de sous-traitant
Document Flare applique la logique inverse : le fichier est lu en mémoire dans votre navigateur, traité par des moteurs locaux (pdf-lib pour l’assemblage, pdf.js pour le rendu, Tesseract en WebAssembly pour l’OCR, le tout dans des Web Workers), puis reconstruit en Blob téléchargeable. Aucun octet du document ne franchit le réseau.
Conséquence juridique directe : pour cette étape de manipulation, il n’y a pas de destinataire, donc pas de sous-traitant. Pas de DPA à négocier, pas de ligne à ajouter au registre des sous-traitants, pas de clause de transfert à évaluer, pas de délai de purge à espérer respecté par un tiers. Une section entière du dossier de conformité devient sans objet.
Deux précisions d’honnêteté. D’abord, ce n’est pas une certification : l’outil supprime la question du sous-traitant pour la manipulation du fichier — il ne rend pas votre organisation « conforme RGPD », notion qui n’existe d’ailleurs pas comme label. Ensuite, la discipline est visible dans le code : les seules capacités à distance prévues (conversions Office, résumé IA distant) sont marquées « simulation » dans le catalogue et exclues de la version publique — le débat « local ou distant » est tranché par le build, pas par une promesse.
Une propriété vérifiable, pas une promesse
La différence entre une politique de confidentialité et une architecture, c’est que la seconde se contrôle sans nous croire :
- Ouvrez les outils de développement (F12), onglet Réseau, cochez « Conserver le journal ».
- Déposez un PDF et lancez le traitement.
- Examinez les requêtes : le chargement de la page et des moteurs est normal — aucune requête ne doit transporter le document.
Le protocole complet est détaillé dans notre article sur le test réseau en cinq minutes. Test plus radical encore : après une première visite en ligne, l’application fonctionne hors connexion — le service worker a précaché les assets, les modèles lourds (OCR, IA) se téléchargent au premier usage puis restent disponibles. Coupez le réseau et l’outil continue de traiter vos fichiers ; aucun octet de document n’est conservé dans un cache persistant, la liste blanche du service worker ne couvrant que les assets applicatifs — la seule exception, un tampon éphémère pour le partage Android, est purgée à la première lecture. Côté mesure, les pages d’outils n’embarquent ni AdSense ni analytics — le script Plausible n’est injecté que sur les pages publiques, jamais sur /tools/.
Ce que le local ne dispense pas
Le traitement local règle la question du tiers, pas la vôtre. Vous restez responsable de traitement : base légale du traitement (art. 6), finalités, information des personnes, sécurité de vos postes — un ordinateur compromis expose un document local comme un autre.
La minimisation (art. 5) reste également pertinente, et deux outils du catalogue la servent directement : le nettoyage de PDF retire au choix métadonnées, JavaScript, pièces jointes et annotations avant diffusion ; le caviardage détecte localement neuf types de données personnelles (IBAN, numéro de sécurité sociale, cartes bancaires, SIREN/SIRET, e-mails, téléphones, dates de naissance, adresses IP) et rastérise les pages touchées pour rendre le texte irrécupérable — le contexte complet dans notre article sur le RGPD et le traitement local.
Enfin, le reste de votre chaîne documentaire garde ses obligations : messagerie, stockage partagé, GED. Le local ne supprime qu’un maillon — mais c’est le maillon le plus fragile, celui où un document partait vers un service sans contrat.
Checklist pour évaluer un outil PDF (avant de le recommander)
- Le fichier quitte-t-il l’appareil ? Test réseau, pas politique de confidentialité.
- Si oui : le fournisseur propose-t-il un DPA reprenant le contenu de l’art. 28 §3 ? Ses sous-traitants ultérieurs sont-ils listés ? Où sont les serveurs ?
- La rétention et la purge sont-elles déclarées — et vérifiables ?
- La notification de violation est-elle contractée, avec un délai ?
- Si non (outil local) : la propriété est-elle vérifiable par votre équipe ? Les pages outils émettent-elles de la télémétrie ? Fonctionnent-elles hors ligne ?
Avertissement
Cet article décrit un mécanisme technique et le cadre général du RGPD ; il ne constitue pas un conseil juridique ni une analyse de votre situation. La qualification d’un flux précis et les obligations de votre organisation relèvent de votre DPO ou de votre conseil.
Toutes les opérations citées s’exécutent dans le navigateur, comme l’ensemble du catalogue présenté dans notre article sur les outils PDF sans upload — vérifiable dans l’onglet Réseau plutôt qu’à nous croire.
Le matériel adapté
Fellowes 6M — micro-coupe P-4Micro-coupe P-4 : pour pièces d’identité et documents financiers.affilié
