Captures d'écran : préparer une preuve sans fuite

Une capture d’écran peut résoudre un problème de support tout en créant une divulgation inutile. Le message d’erreur tient dans un coin ; le reste montre une liste de clients, une adresse, un onglet de messagerie ou un lien donnant accès à un dossier. Le bon fichier est celui qui permet le diagnostic avec les seules informations nécessaires.

La préparation comporte trois décisions différentes : ce qu’il faut montrer, comment retirer le reste et à qui transmettre le résultat. Masquer un nom ne règle pas les deux autres questions. Ce guide propose une méthode de sélection et un dossier de support rempli, entièrement fictif, pour organiser ces décisions avant l’envoi.

Définir la preuve dont le support a besoin

Commencez par décrire le défaut sans image : action effectuée, résultat attendu, résultat observé, version du logiciel et moment de l’erreur. Un code d’erreur exact est souvent plus utile qu’une capture générale difficile à lire. Si le problème concerne une disposition visuelle, une image ciblée devient pertinente.

L’Art. 5(1)(c) du RGPD exige de limiter les données à ce qui est nécessaire à la finalité. La création d’une pièce pour le support reste une opération de traitement : son utilité ne découle pas simplement de la demande « envoyez une capture complète ». La conservation et la confidentialité restent également encadrées par l’Art. 5(1)(e)-(f). RGPD, Art. 5.

Distinguez trois situations. Un défaut reproductible avec un compte de démonstration peut être montré avec des données fictives. Un problème lié à un dossier particulier peut demander un extrait réel limité. Une suspicion d’incident peut nécessiter de préserver un original, sans le joindre intégralement au ticket de dépannage. Ces situations n’appellent pas le même fichier ni les mêmes accès.

La préparation des données de test aide à construire une reproduction. Copier un dossier réel puis remplacer son nom ne suffit pas : ses autres valeurs peuvent rester personnelles. À l’inverse, si une chaîne de caractères particulière provoque le défaut, reproduisez cette propriété avec une valeur fictive plutôt que toute l’identité de la personne.

Un dossier de support rempli : le bouton inaccessible

Dans cet exemple hypothétique, une gestionnaire utilise un logiciel de réservation. Sur un écran étroit, le message « date de fin antérieure à la date de début » recouvre le bouton de correction. Le fournisseur doit comprendre la superposition. Il n’a pas besoin de connaître le client dont la réservation a révélé le problème.

La gestionnaire prépare le dossier S-41 suivant :

Objet : bouton de correction masqué sur formulaire de réservation. Version : version utilisée à relever dans l’application, sans inventer son numéro. Étapes : ouvrir une réservation de démonstration ; saisir une date de fin antérieure au début ; réduire la fenêtre aux dimensions reproduisant le défaut. Résultat observé dans le scénario : le message recouvre le bouton. Résultat attendu : pouvoir corriger la date. Pièce prévue : extrait du formulaire fictif avec son message et le bouton, nommé S-41-affichage.png. Éléments exclus : identité du client, liste latérale, autres onglets et notifications.

Dans ce scénario, la reproduction sur données fictives montre le même défaut. Elle remplace donc la capture initiale pour le support. La gestionnaire ne conserve pas automatiquement les deux fichiers : l’original réel n’a ici aucune autre utilité identifiée et suit la règle de suppression prévue par l’organisation.

Si la reproduction ne montrait pas le défaut, il faudrait le dire dans le ticket. Le support pourrait demander un contexte supplémentaire ciblé : dimensions de fenêtre, langue, étape exacte ou format de la valeur. Cette difficulté n’autoriserait pas d’emblée l’envoi de l’intégralité du dossier client. Le besoin complémentaire doit être expliqué et la pièce réexaminée.

Parcourir toute l’image, y compris ses marges

Le contrôle doit dépasser le centre de l’écran. Préparez l’environnement avant la capture : fermez les fenêtres inutiles, évitez les notifications et sélectionnez la zone pertinente. Cela réduit le travail d’occultation et le risque d’oublier un détail.

Une référence de dossier reste susceptible d’identifier une personne, même sans nom affiché. Ne qualifiez pas le fichier d’« anonyme » sur ce seul critère. La définition de l’Art. 4(1) couvre l’identification indirecte, notamment au moyen d’un identifiant. RGPD, définitions.

Les liens privés et les jetons d’accès demandent une vigilance distincte. Même lorsqu’ils ne décrivent pas une personne, leur divulgation peut ouvrir un accès à des informations. Ne les recopiez pas dans le corps du ticket après les avoir retirés de l’image.

Retirer les informations, sans seulement les recouvrir

Un rectangle placé sur une image dans un document modifiable peut être déplacé. Un recadrage visuel ne démontre pas non plus, à lui seul, que le fichier ne contient plus l’image d’origine. Il faut choisir une méthode qui supprime effectivement les éléments exclus du fichier remis.

Pour une capture simple, préparez une copie dont les pixels inutiles sont supprimés ou remplacés, puis exportez uniquement le résultat destiné au support. N’envoyez pas le projet d’édition avec ses calques et l’original. L’export d’une image aplatie règle la question des objets superposés, mais ne constitue pas une garantie générale d’absence de métadonnées ou d’autres informations dans tous les formats.

Si la capture est intégrée dans un PDF, utilisez une fonction adaptée à la suppression du contenu. À titre d’exemple documentaire, Adobe décrit dans Acrobat Pro la sélection du texte ou de l’image à biffer, l’application des biffures puis l’enregistrement du résultat. Une sélection en attente n’est donc pas l’opération terminée. Ce parcours vient de la documentation ; aucun fichier n’a été essayé pour cet article. Adobe, biffure de contenu sensible.

Adobe distingue aussi l’assainissement, qui traite notamment des métadonnées, commentaires et calques masqués. Examinez ces éléments lorsqu’ils existent dans le document. Leur absence ne peut pas être déduite de l’apparence d’une page. Adobe, assainir un PDF.

Le choix d’un outil doit déjà être encadré par l’organisation. Télécharger une capture sensible vers un service de retouche en ligne ajoute un destinataire et un traitement ; l’objectif de masquer des données ne rend pas cette transmission neutre. Privilégiez le circuit évalué et demandez une solution interne lorsque le traitement n’est pas autorisé.

Vérifier le fichier qui sera réellement envoyé

Fermez l’éditeur, puis ouvrez la copie exportée. Vérifiez sa lisibilité, toutes ses pages éventuelles, son nom et ses propriétés pertinentes. Pour un document contenant du texte, la recherche et la sélection peuvent révéler un contenu encore présent ; leur échec ne prouve toutefois pas, à lui seul, l’élimination de toute information masquée.

Dans S-41, la pièce doit toujours montrer le bouton et le message. Une occultation qui les recouvre rendrait le ticket inutilisable. La vérification porte donc aussi sur ce qui reste : le support doit pouvoir comprendre le défaut sans vous demander de renvoyer un écran plus large.

Contrôlez ensuite la pièce attachée au brouillon, pas seulement le fichier préparé dans un dossier. Deux fichiers aux noms voisins peuvent conduire à joindre l’original. Si l’aperçu du ticket révèle le nom du client, arrêtez l’envoi, retirez la pièce et reprenez la sélection. N’ajoutez pas la bonne version à côté de la mauvaise en espérant que le destinataire choisira.

Pour une pièce sensible, prévoyez une seconde lecture par une personne habilitée. L’objectif est un contrôle proportionné au contenu, non une validation systématique par le DPO de chaque image. Conservez une trace sobre du contrôle lorsque le risque le justifie : référence du fichier, périmètre autorisé, destinataire et validateur suffisent souvent à comprendre la décision.

Encadrer le ticket, ses copies et sa fin de vie

Vérifiez qui peut consulter le ticket : votre équipe, celle du prestataire, d’autres clients ou un forum public ne sont pas des destinataires équivalents. Le support d’un fournisseur intervenant pour votre compte doit rester dans le cadre de ses instructions et engagements, notamment au titre de l’Art. 28(3). Une donnée nécessaire au diagnostic ne devient pas disponible pour n’importe quel autre usage.

La CNIL recommande de protéger les pièces sensibles lors de leur transmission, de séparer le secret du fichier chiffré et de limiter les destinataires ainsi que la mise à disposition. Choisissez les mesures selon le contenu restant et le canal disponible. Guide de sécurité CNIL, fiche 13, pages 33–34.

La gestion des pièces sensibles dans les tickets doit couvrir les copies incluses dans les notifications, les exports et les pièces reprises dans une base de connaissances. Une copie expurgée utilisable pour le support n’est pas automatiquement adaptée à une publication publique.

Si la transmission se fait par lien, choisissez les accès et la durée selon le dossier. La revue des liens de partage permet de contrôler leur fermeture. Celle-ci n’efface pas les fichiers déjà téléchargés : prévoyez aussi leur sort dans le processus de support.

Après résolution, conservez ce qui reste nécessaire au suivi ou à une autre finalité justifiée, avec une durée et des accès propres. Si l’original sert à documenter un incident, séparez-le de la copie de dépannage. La preuve ne doit pas être altérée par inadvertance, mais sa conservation ne justifie pas une diffusion générale.

Si la mauvaise capture est déjà partie

Faites retirer ou fermer les accès dans les circuits que vous maîtrisez, demandez le traitement des copies reçues et avertissez le responsable interne des incidents. Si un secret d’accès a été exposé, son traitement relève aussi de l’équipe technique : supprimer l’image ne le rend pas à nouveau confidentiel.

L’analyse doit établir quelles données ont été communiquées, à qui, pendant combien de temps et quelles copies restent possibles. Elle qualifie l’événement au regard de l’Art. 4(12), puis applique les Art. 33–34 selon les risques. Ni le rappel d’un message ni une promesse de suppression ne dispensent automatiquement de cette analyse. RGPD, sécurité et violations.

Ce qu’il faut retenir

• Définissez le besoin de diagnostic avant de choisir la capture.
• Une reproduction fictive peut éviter l’envoi de données réelles.
• Contrôlez le contenu supprimé et l’utilité de ce qui reste.
• Vérifiez la pièce jointe, ses destinataires et ses copies jusqu’à la clôture.

FAQ

Le floutage suffit-il ?

Un flou léger peut laisser des informations lisibles ou devinables. Préférez une suppression effective de la zone inutile et vérifiez le résultat exporté, sans déduire une anonymisation du seul masquage du nom.

Le support peut-il demander l’écran entier ?

Il peut expliquer le contexte qui lui manque. Examinez cette demande et fournissez le périmètre nécessaire, en retirant les éléments étrangers au diagnostic et en choisissant un canal adapté.

Faut-il conserver toutes les captures originales ?

Non. Identifiez une finalité et une durée justifiées. Si aucune raison ne nécessite l’original, évitez de le garder simplement parce qu’une copie expurgée a été envoyée.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.