Errori di oscuramento nei PDF che espongono dati: livelli, metadati, OCR, versioni

Un PDF oscurato sembra sicuro perché si vedono solo rettangoli neri. Ma un PDF non è un foglio di carta: è un contenitore di testo, immagini, annotazioni, moduli, metadati e talvolta di più versioni dello stesso documento sovrapposte. L'oscuramento protegge solo se elimina il dato da tutti questi livelli. Altrimenti basta un copia e incolla, una ricerca con Ctrl+F o l'apertura con un altro lettore per far ricomparire ciò che doveva restare nascosto.

Non è un rischio teorico. Nel gennaio 2019 gli avvocati di Paul Manafort depositarono presso un tribunale federale statunitense un atto i cui passaggi «oscurati» potevano essere copiati e incollati, rivelando informazioni che dovevano restare riservate; la rivista dei giudici dell'American Bar Association lo ha citato come caso esemplare. Episodi simili si ripetono in pubbliche amministrazioni e aziende. Questo articolo passa in rassegna gli errori tecnici che causano queste fughe di dati e come individuarli prima di pubblicare o inviare un documento.

Sei errori che lasciano il dato dentro il file

1. Riquadri sovrapposti ed evidenziatore nero

È l'errore classico: disegnare un rettangolo nero con lo strumento forme o commenti, colorare il testo di nero su sfondo nero o usare un evidenziatore scuro. A vista il risultato è perfetto, ma il testo resta nel livello dei contenuti. Si recupera selezionandolo, copiandolo, con la ricerca del lettore o con qualsiasi strumento di estrazione. Lo stesso accade quando si evidenzia in nero in Word e poi si esporta in PDF: il testo viaggia intatto.

2. Livelli e oggetti nascosti

Un PDF può contenere annotazioni (note, commenti), campi modulo compilati, livelli opzionali nascosti per impostazione predefinita, file allegati incorporati e segnalibri il cui titolo contiene un nome («Verbale di audizione di Mario Rossi»). Uno strumento che agisce solo sul testo visibile lascia tutto questo intatto.

3. Il livello OCR invisibile delle scansioni

Quando un documento scansionato passa per l'OCR, il PDF conserva l'immagine della pagina e, sotto, un livello di testo invisibile che permette ricerca e copia. Se si copre l'immagine senza eliminare il testo riconosciuto, il nome «oscurato» riemerge con la ricerca. Succede anche il contrario: il testo viene eliminato, ma l'immagine mostra ancora il dato perché il riquadro non lo copre del tutto. Ne parliamo nella guida su come anonimizzare un PDF scansionato.

4. Metadati e proprietà del documento

Titolo, autore, oggetto, parole chiave, metadati XMP e applicazione di origine viaggiano con il file. Capita spesso che il titolo sia il nome dell'interessato o che l'autore sia chi ha redatto una relazione riservata. Vanno controllati ed è opportuno rimuovere i metadati del PDF nella copia da pubblicare, mai nell'originale conservato agli atti.

5. I salvataggi incrementali

Il formato PDF consente di salvare le modifiche aggiungendole in coda al file senza riscriverlo. È veloce, ma significa che la versione precedente all'oscuramento può restare nel file ed essere recuperata con strumenti specialistici. Il risultato va quindi salvato come nuovo file, riscritto per intero, e non con un semplice «Salva» sul documento di lavoro.

6. Ciò che sta fuori dal documento: nomi dei file e contesto

«Determina_sanzione_Giulia_Bianchi_oscurata.pdf» (esempio fittizio) vanifica il miglior oscuramento. Lo stesso vale per l'oggetto della PEC di accompagnamento, per il percorso di una cartella visibile in un URL pubblico o per un nome rimasto nel piè di pagina o nell'indice. E non vanno dimenticate le versioni non oscurate ancora pubblicate a un altro indirizzo.

Errori di valutazione, non solo di strumento

Anche con lo strumento giusto, alcune fughe nascono dalle scelte di revisione:

• Oscuramento incompleto: il nome sparisce dal corpo del testo ma non da intestazioni, piè di pagina, allegati, tabelle o dal blocco firma.
• Identificativi indiretti: il nome è oscurato, ma il ruolo unico («la dirigente scolastica»), l'indirizzo esatto o una combinazione di data e luogo indicano comunque una persona.
• Lunghezza rivelatrice: un riquadro tagliato sul nome breve di un piccolo comune può bastare per indovinarlo.
• Pixelare o sfocare le immagini invece di sostituirle: con bassa risoluzione o testo prevedibile, a volte il contenuto si ricostruisce.
• Oscurare invece di pseudonimizzare quando il lettore deve distinguere le parti: il documento diventa illeggibile e qualcuno finisce per inviare una versione «più utile» senza controllo.

Come verificare un PDF prima di pubblicarlo

Questi controlli richiedono cinque minuti e intercettano gran parte degli errori. Eseguili sul file finale, non sulla copia di lavoro:

Per le pubbliche amministrazioni, questi controlli completano le Linee guida del Garante del 2014 sulla pubblicazione di atti e documenti sul web per finalità di trasparenza, che chiedono di oscurare i dati personali non pertinenti o eccedenti prima della pubblicazione e di sottrarre i dati personali all'indicizzazione dei motori di ricerca generalisti. Gli obblighi di pubblicazione del d.lgs. 33/2013 non autorizzano a diffondere più dati del necessario.

Un processo che evita gli errori in partenza

Il modo più sicuro per evitare questi difetti è non dipendere dall'attenzione di chi oscura. Un processo robusto lavora sempre su una copia, individua i dati in modo sistematico (anche quelli ripetuti in intestazioni e allegati), elimina il contenuto invece di coprirlo, ripulisce i metadati, genera un nuovo file e prevede una revisione umana prima del via libera. Per gli errori organizzativi più comuni, leggi il nostro articolo sugli errori frequenti nell'oscuramento manuale dei PDF.

Anonimatum segue questo approccio: rileva i dati personali con un'IA propria eseguita su server nell'Unione europea e con pattern (codici identificativi, IBAN, telefoni, email), tratta i PDF scansionati con OCR, mostra un'anteprima per rivedere e correggere prima di applicare e produce un documento in cui il dato oscurato è eliminato in modo irreversibile. Include anche la rimozione dei metadati e l'oscuramento visivo per zone, utile per timbri, firme o fotografie.