Numériser ses documents sans les envoyer dans le cloud : le guide pratique RGPD

Un réflexe, un upload. On photographie une facture, on la dépose sur un service d’OCR en ligne, on récupère le texte. C’est rapide, c’est gratuit, et dans un nombre surprenant de cas c’est aussi un traitement de données à caractère personnel soumis au RGPD — avec un sous-traitant que vous n’avez pas choisi, hébergé dans un pays que vous ne connaissez pas.

Cet article n’est pas un cours de droit. Il explique ce qui pose réellement problème, ce qui ne le pose pas, et comment numériser ses documents en gardant la main.

Ce que dit le RGPD, concrètement

Le règlement ne vous interdit pas d’utiliser un service en ligne. Il vous rend responsable du traitement. Concrètement, dès que vous envoyez le document d’un tiers à un service, trois questions se posent :

• Sous-traitance (article 28). Le service agit comme sous-traitant. Vous devez théoriquement vérifier qu’il offre des garanties suffisantes et qu’un contrat encadre le traitement. Pour un particulier ou une TPE qui numérise trois factures par mois, personne ne le fait — mais le risque juridique existe, et il est réel pour une entreprise.
• Transferts hors Union européenne (chapitre V). Si le service héberge aux États-Unis ou ailleurs, le transfert doit reposer sur une base valide. L’histoire récente — invalidations successives des accords de transfert — montre que cette base peut disparaître d’une année sur l’autre.
• Minimisation (article 5.1.c). Envoyer un contrat entier pour en extraire deux paragraphes, c’est transmettre plus de données que nécessaire. C’est le principe de minimisation, et c’est le plus souvent ignoré.

Ajoutons les catégories qui ne devraient jamais partir : données de santé, pièces d’identité, dossiers sociaux, documents couverts par un accord de confidentialité, manuscrits avant publication.

Le traitement local ne vous dispense de rien — mais il change tout

Soyons précis, parce que la confusion est fréquente : traiter un document localement ne vous exonère pas du RGPD. Vous restez responsable de ce que vous faites de ces données, de leur durée de conservation et de leur sécurité.

Ce que le traitement local supprime, en revanche, c’est toute la chaîne de questions qui suit l’envoi : pas de sous-traitant, pas de transfert hors UE, pas de copie sur une infrastructure tierce, pas de politique de conservation à lire, pas de journalisation côté serveur. Il ne reste que le traitement que vous contrôlez déjà.

Pour une entreprise, c’est aussi un gain documentaire : le registre des traitements (article 30) et l’analyse d’impact sont infiniment plus simples quand aucun tiers n’intervient.

Ce que la loi impose de conserver, et combien de temps

Numériser sans règles de conservation, c’est déplacer le problème. Quelques repères usuels en France :

• Pièces comptables et factures : 10 ans à compter de la clôture de l’exercice (article L123-22 du Code de commerce).
• Bulletins de paie : 50 ans, ou jusqu’aux 75 ans du salarié (Code du travail) — la conservation sous forme électronique est admise sous conditions.
• Contrats : en pratique la durée de la prescription de droit commun, soit 5 ans (article 2224 du Code civil), allongée pour certains contrats.
• Données prospects : 3 ans après le dernier contact émanant de la personne (recommandation CNIL).

Ces durées sont des repères et non un conseil juridique : elles varient selon votre secteur, et certaines réglementations (santé, banque, assurance) imposent leurs propres règles.

Le workflow, étape par étape

1. Capturer correctement

300 ppi minimum pour du texte, document à plat, sans ombre portée. Une photo de téléphone suffit largement si elle cadre le document et évite le contre-jour. Le taux de reconnaissance dépend davantage de la prise de vue que du logiciel.

2. Reconnaître le texte localement

L’OCR s’exécute dans le navigateur : le fichier ne quitte pas la machine. Choisissez le mode de segmentation adapté — bloc unique pour une lettre, texte épars pour une facture ou un formulaire — et vérifiez les mots signalés par le score de confiance plutôt que de relire tout.

3. Nommer et ranger

Convention de nommage avec la date en premier, par exemple 2026-03-11_facture-fournisseur-untel.txt, et un dossier par année. C’est ce qui rendra l’archive retrouvable dans dix ans, quel que soit le logiciel que vous utiliserez alors.

4. Purger selon les durées

Une archive que l’on ne purge pas devient un passif. Notez la date de fin de conservation dans le nom du dossier, et supprimez à échéance. C’est la partie la plus souvent oubliée — et la plus facile à automatiser.

Les cas où il faut rester prudent

• La valeur probante. Une copie numérisée n’a pas automatiquement la même force probante que l’original. Pour les documents où cela compte, renseignez-vous sur les conditions d’une conservation électronique opposable.
• L’horodatage. Un outil de navigateur ne fournit pas d’horodatage qualifié. Si votre obligation en exige un, c’est un service distinct.
• La sauvegarde. Traiter localement ne protège pas contre la panne de disque. Sauvegardez — de préférence chiffrée, et de préférence là où vous contrôlez la clé.

En pratique

Commencez par un seul dossier : les factures fournisseurs de l’année, ou les attestations d’assurance. Ouvrez l’outil OCR, traitez dix documents, et constatez qu’aucune requête réseau ne contient votre fichier — la vérification se fait en trente secondes dans l’onglet Réseau des outils de développement.

Le gain n’est pas seulement juridique. C’est aussi de ne plus avoir à lire une politique de confidentialité pour savoir ce qui va arriver à une facture.