Vous ouvrez un site « gratuit », vous déposez un PDF, il fait le travail, vous récupérez le résultat. Simple. Sauf qu’entre le dépôt et le résultat, votre fichier a quitté votre ordinateur, traversé internet, et atterri sur un serveur que vous ne connaissez pas — dans un pays que vous ne connaissez pas davantage. Et si ce fichier contient des données personnelles, ce geste anodin devient un acte juridique. C’est là que le RGPD entre en scène, et que la plupart des gens découvrent, trop tard, qu’ils étaient responsables.
Ce qui se passe vraiment quand vous téléversez un PDF
La promesse de ces outils est la simplicité. La réalité est un transfert de données. Et un transfert de données, en droit européen, n’est jamais neutre.
Le fichier quitte votre poste
C’est le point aveugle. Quand vous « déposez » un fichier sur un site, vous ne le copiez pas dans un vide : vous l’envoyez, via une requête POST, vers un serveur distant. Ce serveur le stocke, le traite, puis vous le renvoie. Entre-temps, votre document a existé ailleurs que chez vous — sur une machine dont vous ignorez l’emplacement, l’opérateur, la politique de conservation, et les sous-traitants.
Vous devenez responsable du transfert
Voici le renversement que personne n’anticipe. Si le fichier contient des données personnelles — un nom, une adresse, un salaire, une donnée de santé — alors vous êtes le responsable de traitement au sens du RGPD, et le site devient votre sous-traitant. Or un sous-traitant, ça s’encadre : un contrat (l’article 28), un registre (l’article 30), parfois une analyse d’impact (l’article 35). Rien de tout cela n’est fait quand vous cliquez sur « convertir ». Vous êtes donc en infraction sans le savoir, pour un geste que vous pensiez anodin.
Beaucoup de ces outils traitent sur des serveurs américains. Depuis l’arrêt Schrems II (2020), transférer des données personnelles vers les États-Unis sans garanties solides est, en principe, illicite. Un outil « gratuit » qui téléverse vos fichiers outre-Atlantique vous expose donc doublement : au RGPD, et à la jurisprudence qui l’interprète. Et c’est vous, pas l’outil, qui portez la responsabilité.
Les trois risques concrets, document par document
Le risque n’est pas abstrait. Il dépend de ce que contient le fichier. Voici ce qu’un téléversement expose, selon le type de document — et pourquoi « gratuit » ne veut pas dire « sans conséquence ».
| Type de document | Données exposées | Risque principal |
|---|---|---|
| Contrat de travail | Identité, adresse, salaire, n° de sécurité sociale | Fuite de données RH · transfert hors UE |
| Facture client | Coordonnées, montants, SIRET, RIB | Exposition commerciale · sous-traitant inconnu |
| Pièce d’identité | Identité complète, adresse, photo, n° de pièce | Usurpation d’identité · conservation non maîtrisée |
| Relevé bancaire | Coordonnées bancaires, solde, opérations | Fraude · transfert hors UE |
| Dossier médical | Données de santé (catégorie « sensible », art. 9) | Violation aggravée · HDS non respecté |
Remarquez la dernière ligne. Les données de santé sont, au sens de l’article 9 du RGPD, une catégorie « sensible » : leur traitement est, par défaut, interdit, sauf exception encadrée. Les téléverser vers un outil en ligne grand public n’est pas une zone grise — c’est une violation caractérisée. Et pourtant, c’est un geste que des milliers de personnes font chaque jour, parce que l’outil était « gratuit » et « pratique ».
Le test en 30 secondes — vérifiez vous-même
Vous n’avez pas à me croire sur parole. Vous pouvez voir, de vos yeux, si un outil téléverse vos fichiers. C’est le test que je recommande depuis le début, et il ne demande aucune compétence technique.
- Ouvrez l’outil en ligne que vous utilisez d’habitude.
- Appuyez sur F12 (ou clic droit → Inspecter).
- Allez dans l’onglet Réseau (ou Network).
- Téléversez un fichier et lancez le traitement.
- Regardez les requêtes : si des
POSTpartent vers un domaine qui n’est pas le vôtre, votre fichier quitte le poste.
Ce que vous devez voir — et ne pas voir
Sur un outil qui téléverse, vous verrez des requêtes POST vers un serveur (souvent un domaine du type api.… ou upload.…), avec votre fichier dans le corps de la requête. Sur un outil local, vous ne verrez rien de tel : le traitement se fait dans votre navigateur, aucun POST ne part, aucun fichier ne quitte votre machine. C’est la différence entre une promesse (« vos données sont en sécurité ») et une preuve (zéro requête, vérifiable en 30 secondes).
La solution — les outils qui traitent sans téléverser
Il existe une autre architecture : les outils qui traitent entièrement dans votre navigateur, en JavaScript local. Le fichier ne quitte jamais votre poste. Pas de serveur, pas de transfert, pas de sous-traitant, pas de contrat article 28 à signer, pas de transfert hors UE à justifier. Le risque RGPD lié au téléversement disparaît — non pas parce qu’on vous promet qu’il est maîtrisé, mais parce qu’il n’existe plus.
Rien ne quitte le poste — et c’est vérifiable
C’est le cœur de Toolocal : 111 outils (PDF, images, texte, générateurs, web) qui tournent dans votre navigateur. Vous faites le test F12 ci-dessus, et vous ne voyez aucune requête partir avec votre fichier. Ce n’est pas un argument marketing — c’est une propriété technique, vérifiable par vous, à tout moment, sans nous faire confiance. Et c’est précisément ce qui change tout pour un responsable de traitement : vous n’avez plus à croire que vos données sont en sécurité, vous le constatez.
Pour les pros — le pack juridique
Si vous êtes avocat, notaire, DPO, ou que vous traitez des documents sensibles pour vos clients, la question n’est pas seulement « est-ce que l’outil téléverse », mais « est-ce que je peux le prouver à un client ou à un contrôleur ». C’est pour cela qu’on a conçu le pack juridique : des outils de caviardage, de nettoyage de métadonnées, et de calcul de délais de procédure, tous locaux, tous vérifiables, avec une documentation que vous pouvez transmettre. Parce que la conformité, ce n’est pas seulement être conforme — c’est pouvoir le démontrer.
« La différence entre un outil qui promet la sécurité et un outil qui la prouve, c’est la différence entre une clause de style et un test F12. L’un vous rassure, l’autre vous protège. »
Questions fréquentes
Un outil PDF en ligne est-il illégal ?
Non, pas en soi. Il le devient pour vous si vous y téléversez des données personnelles sans encadrer le sous-traitant (contrat, registre, analyse d’impact) — et surtout si le serveur est hors UE sans garanties. Pour un fichier sans donnée personnelle, le risque est faible ; pour un contrat, une facture ou un dossier médical, il est réel.
Comment savoir si un outil téléverse mes fichiers ?
Le test F12 → onglet Réseau, en 30 secondes. Si des requêtes POST partent vers un serveur tiers pendant le traitement, le fichier quitte votre poste. S’il n’y en a aucune, le traitement est local.
Les outils Toolocal envoient-ils mes données quelque part ?
Non. Le traitement se fait dans votre navigateur, en JavaScript local. Aucun fichier n’est téléversé, aucune requête ne part avec votre contenu. C’est vérifiable via le test F12, à tout moment.
Que risque-t-on concrètement en cas de violation ?
Une amende administrative (jusqu’à 4 % du CA mondial ou 20 M€), une obligation de notification à la CNIL et aux personnes concernées, et un risque réputationnel. Pour les données de santé (art. 9), la violation est aggravée. Le risque n’est pas théorique : la CNIL sanctionne régulièrement des manquements de ce type.
Toolocal — 111 outils qui traitent vos fichiers sans jamais les téléverser. Vérifiez vous-même : F12, onglet Réseau, zéro requête.