Anonimizar documentos digitalizados: riscos do OCR e a dupla verificação

Quase todos os arquivos misturam dois tipos de documentos: os que nasceram digitais (um Word exportado para PDF, uma decisão gerada pela aplicação de gestão processual) e os que foram digitalizados (um requerimento entregue em papel, uma fatura recebida pelo correio, um cartão de cidadão fotografado com o telemóvel). Para uma pessoa são iguais. Para uma ferramenta de anonimização, não: um documento digitalizado é uma imagem e, antes de procurar nele dados pessoais, é preciso transformá-la em texto com OCR (reconhecimento ótico de caracteres). Tudo o que o OCR lê mal, ou não lê, fica fora do alcance da deteção automática. Por isso, os digitalizados são o ponto fraco de quase qualquer projeto de rasura ou anonimização.

Porque um digitalizado não é um PDF nativo

Num PDF nativo o texto existe como texto: pode ser selecionado, pesquisado e copiado, e uma ferramenta consegue localizar um NIF com precisão de carácter. Num digitalizado há apenas píxeis. O OCR reconstrói o texto a partir da imagem e acrescenta uma camada invisível com as palavras reconhecidas e as suas posições. A deteção trabalha sobre essa camada; a rasura, pelo contrário, tem de ser aplicada à imagem. Daqui resultam dois problemas: se o OCR erra um carácter, a deteção falha; e se a rasura atua só sobre a camada de texto, ou só sobre a imagem, o dado continua lá. O segundo erro é um dos clássicos que analisamos em erros de rasura em PDF que deixam escapar dados.

Seis riscos típicos

1. Erros de reconhecimento

Fotocópias de fotocópias, faxes, baixa resolução ou pouco contraste produzem confusões conhecidas: 0 e O, 1, l e I, 5 e S, «rn» lido como «m». Basta um carácter para que um padrão deixe de reconhecer um identificador. Exemplo fictício: num NIF de nove dígitos, um 1 é lido como «I» e a regra que procura nove algarismos já não o encontra. O mesmo acontece com um IBAN partido em duas linhas ou com um apelido composto hifenizado.

2. Texto manuscrito

Anotações na margem, nomes preenchidos à mão num formulário, a assinatura com o nome do signatário por baixo. O OCR convencional reconhece mal a escrita manual, pelo que estes dados raramente surgem na deteção automática e têm de ser cobertos com zonas manuais após uma revisão visual.

3. Carimbos, assinaturas e códigos

Carimbos de entrada com nome e número de registo, carimbos de empresa sobrepostos ao texto, menções verticais na margem, assinaturas manuscritas ou códigos QR que remetem para um comprovativo nominativo. São elementos gráficos, muitas vezes rodados ou sobrepostos, que o OCR lê apenas em parte ou nada.

4. Páginas tortas, rodadas ou fotografadas

Uma página digitalizada inclinada ou uma fotografia tirada em perspetiva pioram o reconhecimento e deslocam as coordenadas: a caixa de rasura pode ficar ligeiramente desviada e deixar visível a parte superior ou inferior das letras.

5. Documentos mistos

Um contrato nativo com a cópia digitalizada do cartão de cidadão no fim, um processo com anexos fotografados, um e-mail com um anexo em imagem. Quem vê primeiras páginas limpas e bem detetadas tende a confiar no resto.

6. Camadas OCR herdadas

Muitos digitalizadores criam a sua própria camada de texto, por vezes de má qualidade. Se a imagem for rasurada mas essa camada se mantiver, o texto original continua a poder ser copiado ou pesquisado. Deve ser removida juntamente com os metadados do PDF.

A dupla verificação: um método prático

A lei não impõe uma técnica concreta, mas o RGPD exige medidas adequadas ao risco (artigo 32.º) e proteção de dados desde a conceção (artigo 25.º). E quando um documento administrativo é facultado ao abrigo da Lei n.º 26/2016 (LADA) com expurgo da informação nominativa, uma rasura falhada num digitalizado equivale a divulgar essa informação. O parecer do Grupo do Artigo 29 sobre técnicas de anonimização lembra ainda que é preciso avaliar o risco de reidentificação do resultado. Nos digitalizados, isto traduz-se numa dupla verificação:

A segunda verificação resulta melhor se for feita por outra pessoa: quem já reviu um documento tende a ver o que espera ver. Se o volume não permitir uma revisão dupla completa, concentre-a nas páginas digitalizadas e nos documentos com dados sensíveis, onde os erros se acumulam. Há um guia passo a passo em como anonimizar um PDF digitalizado.

Como o Anonimatum trata os digitalizados

No anonimizador de PDF digitalizados do Anonimatum, o OCR aplica-se apenas às páginas digitalizadas: a aplicação indica que páginas precisam dele e pede confirmação, e as páginas que já têm texto não são reprocessadas. As páginas com OCR contam a dobrar na quota de páginas: um documento de dez páginas com três digitalizadas consome treze. No perfil pode escolher entre um motor OCR mais rápido e outro mais preciso. As imagens, incluindo HEIC e TIFF multipágina, são convertidas em PDF e seguem o mesmo caminho. Depois do OCR, a IA deteta nomes, datas, moradas e montantes, bem como códigos QR, carimbos e assinaturas digitais; os padrões identificam e-mails, telefones ou IBAN. O que restar, como os manuscritos, cobre-se com a anonimização visual por zonas e figuras, sempre com pré-visualização e revisão humana antes de aplicar. Veja os planos e comece com os seus próprios digitalizados.