Errores de tachado en PDF que filtran datos: capas, metadatos, OCR y versiones

Un PDF tachado parece seguro porque lo que se ve son rectángulos negros. Pero un PDF no es una hoja de papel: es un contenedor con texto, imágenes, anotaciones, formularios, metadatos y, a veces, varias versiones del mismo documento apiladas. Un tachado solo protege si elimina el dato de todas esas capas. Si no, basta con copiar y pegar, buscar con Ctrl+F o abrir el archivo con otro visor para recuperar lo que se quería ocultar.

No es un riesgo teórico. En enero de 2019, los abogados de Paul Manafort presentaron ante un tribunal federal de EE. UU. un escrito cuyas partes «tachadas» podían copiarse y pegarse, lo que reveló información que debía permanecer oculta; la revista de jueces de la American Bar Association lo recogió como ejemplo de fallo de tachado. Casos parecidos se repiten periódicamente en administraciones y empresas. Este artículo repasa, uno por uno, los errores técnicos que provocan estas filtraciones y cómo detectarlos antes de publicar o enviar un documento.

Seis errores que dejan el dato dentro del archivo

1. Recuadros superpuestos o resaltado negro

Es el error clásico: dibujar un rectángulo negro con la herramienta de formas o de comentarios, poner el texto en negro sobre fondo negro o usar un resaltador oscuro. Visualmente el resultado es impecable, pero el texto sigue en la capa de contenido. Se recupera seleccionándolo, copiándolo, con la búsqueda del visor o con cualquier herramienta de extracción de texto. Lo mismo ocurre cuando se tacha en Word con el resaltado negro y luego se exporta a PDF: el texto viaja intacto.

2. Capas y objetos ocultos

Un PDF puede contener anotaciones (notas adhesivas, comentarios), campos de formulario con valores rellenados, capas opcionales que no se muestran por defecto, archivos adjuntos incrustados y marcadores cuyo título incluye el nombre de una persona («Declaración de Juan Pérez»). Una herramienta de tachado que solo actúa sobre el texto visible deja todo eso intacto.

3. La capa OCR invisible de los escaneados

Cuando un documento escaneado se pasa por OCR, el PDF guarda la imagen de la página y, debajo, una capa de texto invisible para poder buscar y copiar. Si se tapa la imagen pero no se elimina el texto reconocido, el nombre «tachado» sigue apareciendo al buscar. El caso contrario también existe: se elimina el texto, pero la imagen escaneada conserva el dato porque el recuadro no la cubre entera. Lo explicamos con detalle en la guía para anonimizar un PDF escaneado.

4. Metadatos y propiedades del documento

El título del documento, el autor, el asunto, las palabras clave, los metadatos XMP y la aplicación que lo generó viajan con el archivo. Es habitual que el título sea el nombre del interesado o que el autor sea la persona que redactó un informe confidencial. Hay que revisarlos y eliminar los metadatos del PDF en la copia que se publica, nunca en el original que se archiva.

5. Guardados incrementales

El formato PDF permite guardar cambios añadiéndolos al final del archivo sin reescribir lo anterior. Es rápido, pero significa que la versión previa al tachado puede seguir dentro del fichero y recuperarse con herramientas especializadas. Por eso el resultado debe guardarse como un archivo nuevo, reescrito por completo, y no con «Guardar» sobre el documento de trabajo.

6. Lo que queda fuera del documento: nombres de archivo y contexto

«Resolucion_sancion_Maria_Lopez_Garcia_tachada.pdf» (ejemplo ficticio) anula el mejor tachado del mundo. Lo mismo ocurre con el asunto del correo que acompaña al archivo, con la ruta de la carpeta en una URL pública o con el nombre que aparece en el pie de página o en el índice y que nadie revisó. Y no hay que olvidar las versiones anteriores sin tachar que siguen publicadas en otro enlace.

Errores de criterio, no solo de herramienta

Incluso con una herramienta correcta, hay filtraciones que nacen de decisiones de revisión:

• Tachado incompleto: se oculta el nombre en el cuerpo, pero no en encabezados, pies de página, anexos, tablas o en la firma.
• Datos indirectos: se tacha el nombre pero se deja el cargo único («la directora del centro»), la dirección exacta o una combinación de fecha y lugar que identifica igual.
• Longitud reveladora: un recuadro ajustado al nombre corto de un pueblo pequeño puede bastar para adivinarlo.
• Pixelado o desenfoque de imágenes en lugar de sustituirlas: con resoluciones bajas o textos predecibles, a veces puede reconstruirse.
• Tachar en lugar de seudonimizar cuando el lector necesita distinguir a las partes: el documento resultante es ilegible y se acaba enviando otra versión «más útil» sin control.

Cómo comprobar un PDF antes de publicarlo

Estas pruebas llevan cinco minutos y detectan la mayoría de los fallos. Hazlas sobre el archivo final, no sobre el de trabajo:

En el sector público estas comprobaciones encajan con las medidas de seguridad del ENS y con el deber de publicar solo la información necesaria en el portal de transparencia. La disposición adicional séptima de la LOPDGDD y las orientaciones de la AEPD sobre su aplicación fijan, además, cómo publicar parcialmente identificadores como el DNI cuando deban aparecer.

Un proceso que evita los errores por diseño

La forma más segura de evitar estos fallos es no depender de la atención de quien tacha. Un proceso robusto trabaja siempre sobre una copia, detecta los datos de forma sistemática (incluidos los que se repiten en encabezados y anexos), elimina el contenido y no solo lo cubre, limpia metadatos, genera un archivo nuevo y deja una revisión humana antes de dar el documento por bueno. Si quieres repasar también los fallos de organización más frecuentes, consulta los errores comunes al tachar un PDF manualmente.

Anonimatum aplica ese enfoque: detecta datos personales con IA propia ejecutada en servidores de la UE y con patrones (DNI, IBAN, teléfonos, correos), trata los PDF escaneados con OCR, muestra una previsualización para revisar y corregir antes de aplicar, y genera un documento en el que el dato censurado se elimina de forma irreversible. Incluye también la eliminación de metadatos y la anonimización visual por zonas para sellos, firmas o fotografías.