Erros ao rasurar PDF que expõem dados: camadas, metadados, OCR e versões

Um PDF rasurado parece seguro porque só se veem retângulos pretos. Mas um PDF não é uma folha de papel: é um contentor com texto, imagens, anotações, formulários, metadados e, por vezes, várias versões do mesmo documento empilhadas. A rasura só protege se eliminar o dado de todas essas camadas. Caso contrário, basta copiar e colar, pesquisar com Ctrl+F ou abrir o ficheiro noutro leitor para recuperar o que se queria ocultar.

Não é um risco teórico. Em janeiro de 2019, os advogados de Paul Manafort entregaram num tribunal federal dos EUA uma peça cujas passagens «rasuradas» podiam ser copiadas e coladas, revelando informação que devia permanecer confidencial; a revista de juízes da American Bar Association citou o caso como exemplo de falha de expurgo. Situações semelhantes repetem-se em entidades públicas e empresas. Este artigo percorre os erros técnicos que provocam estas fugas e como detetá-los antes de publicar ou enviar um documento.

Seis erros que deixam o dado dentro do ficheiro

1. Caixas sobrepostas ou realce preto

É o erro clássico: desenhar um retângulo preto com a ferramenta de formas ou de comentários, pôr o texto a preto sobre fundo preto ou usar um marcador escuro. Visualmente fica perfeito, mas o texto continua na camada de conteúdo. Recupera-se selecionando-o, copiando-o, com a pesquisa do leitor ou com qualquer ferramenta de extração. O mesmo acontece quando se realça a preto no Word e depois se exporta para PDF: o texto viaja intacto.

2. Camadas e objetos ocultos

Um PDF pode conter anotações (notas, comentários), campos de formulário preenchidos, camadas opcionais ocultas por predefinição, ficheiros anexos incorporados e marcadores cujo título inclui um nome («Depoimento de João Silva»). Uma ferramenta que só atua sobre o texto visível deixa tudo isto intacto.

3. A camada OCR invisível das digitalizações

Quando um documento digitalizado passa por OCR, o PDF guarda a imagem da página e, por baixo, uma camada de texto invisível para pesquisa e cópia. Se se tapar a imagem sem eliminar o texto reconhecido, o nome «rasurado» volta a aparecer na pesquisa. O contrário também acontece: o texto é eliminado, mas a imagem digitalizada continua a mostrar o dado porque a caixa não o cobre totalmente. Explicamos este caso no guia sobre como anonimizar um PDF digitalizado.

4. Metadados e propriedades do documento

O título, o autor, o assunto, as palavras-chave, os metadados XMP e a aplicação de origem acompanham o ficheiro. É frequente o título ser o nome do titular dos dados ou o autor ser quem redigiu um parecer confidencial. Devem ser revistos e convém remover os metadados do PDF na cópia a publicar, nunca no original arquivado.

5. Gravações incrementais

O formato PDF permite gravar alterações acrescentando-as ao fim do ficheiro sem o reescrever. É rápido, mas significa que a versão anterior à rasura pode continuar dentro do ficheiro e ser recuperada com ferramentas especializadas. Por isso, o resultado deve ser gravado como um ficheiro novo, totalmente reescrito, e não com um simples «Guardar» sobre o documento de trabalho.

6. O que fica fora do documento: nomes de ficheiro e contexto

«Despacho_sancao_Maria_Santos_rasurado.pdf» (exemplo fictício) anula a melhor rasura. O mesmo vale para o assunto do e-mail que acompanha o ficheiro, para o caminho de uma pasta visível num URL público ou para um nome esquecido no rodapé ou no índice. E não se esqueça das versões sem rasura que continuam publicadas noutro endereço.

Erros de critério, não só de ferramenta

Mesmo com a ferramenta certa, há fugas que nascem das decisões de revisão:

• Rasura incompleta: o nome é ocultado no corpo do texto, mas não nos cabeçalhos, rodapés, anexos, tabelas ou no bloco de assinatura.
• Identificadores indiretos: o nome desaparece, mas o cargo único («a diretora do agrupamento»), a morada exata ou uma combinação de data e local continuam a apontar para uma pessoa.
• Comprimento revelador: uma caixa ajustada ao nome curto de uma freguesia pequena pode bastar para o adivinhar.
• Pixelizar ou desfocar imagens em vez de as substituir: com baixa resolução ou texto previsível, o conteúdo pode por vezes ser reconstruído.
• Rasurar em vez de pseudonimizar quando o leitor precisa de distinguir as partes: o documento fica ilegível e alguém acaba por enviar uma versão «mais útil» sem controlo.

Como verificar um PDF antes de o publicar

Estas verificações demoram cinco minutos e apanham a maioria das falhas. Faça-as no ficheiro final, não na cópia de trabalho:

Para as entidades públicas, estas verificações articulam-se com as orientações da CNPD. Na orientação sobre a publicação na Internet das atas de órgãos colegiais, a CNPD sublinha que a anonimização não se faz pelo mero expurgo do nome, tendo de abranger a demais informação que permita identificar a pessoa. Na orientação sobre procedimentos administrativos, recomenda ainda cifrar os documentos com dados pessoais enviados por correio eletrónico e transmitir a chave por outro meio.

Um processo que evita os erros à partida

A forma mais segura de evitar estas falhas é não depender da atenção de quem rasura. Um processo robusto trabalha sempre sobre uma cópia, deteta os dados de forma sistemática (incluindo os que se repetem em cabeçalhos e anexos), elimina o conteúdo em vez de o tapar, limpa os metadados, gera um ficheiro novo e prevê uma revisão humana antes da aprovação. Para os erros de organização mais comuns, leia o nosso artigo sobre erros frequentes ao rasurar PDF manualmente.

O Anonimatum segue esta abordagem: deteta dados pessoais com IA própria executada em servidores na União Europeia e com padrões (números de identificação, IBAN, telefones, e-mails), trata PDF digitalizados com OCR, mostra uma pré-visualização para rever e corrigir antes de aplicar e produz um documento em que o dado rasurado é eliminado de forma irreversível. Inclui ainda a remoção de metadados e a anonimização visual por zonas para carimbos, assinaturas ou fotografias.