Как затереть конфиденциальные данные в PDF

Скрыть персональные данные в PDF так, чтобы их нельзя было достать

История повторяется примерно раз в год и попадает в новости. Организация публикует документ, где фамилии и адреса аккуратно закрашены чёрными прямоугольниками. Через час кто-нибудь выделяет текст мышью, копирует его в блокнот и получает всё закрашенное целиком.

Причина простая, и понимать её важнее, чем помнить последовательность кнопок.

Почему прямоугольник поверх текста ничего не скрывает

PDF устроен слоями. Текст лежит в содержимом страницы как текст, с координатами и шрифтом. Прямоугольник, нарисованный поверх него в редакторе, — это ещё один элемент содержимого, который рисуется позже и поэтому виден сверху.

Текст при этом никуда не девается. Он по-прежнему в файле, находится поиском, выделяется мышью и копируется. Прямоугольник закрывает его только визуально, ровно как лист бумаги, положенный на монитор.

Настоящее редактирование устроено иначе: содержимое под областью сначала вырезается из страницы, и только потом на освободившееся место кладётся заливка.

Три стиля и что каждый делает с содержимым

Первые два — это настоящее удаление. Проверено на документе, где строка с условным номером была закрыта чёрной областью: после обработки эта строка не находится ни поиском, ни копированием, а соседние строки продолжают выделяться как обычный текст.

Размытие маскирует, а не удаляет

Третий стиль стоит отдельно, и у него две цены.

Первая: он не удаляет. Размытие ухудшает изображение области, но информация из него частично восстанавливается обработкой. Для персональных данных это неприемлемо, и инструмент говорит об этом прямо: при выборе размытия к результату прикладывается предупреждение с рекомендацией взять чёрный или белый стиль.

Вторая цена измеряется в байтах и в возможностях. Размытие работает по растрированной копии всего документа, а не одной области. Тестовый файл на одну страницу с двадцатью строками текста весил около одного килобайта. После чёрного редактирования он остался тем же килобайтом. После размытия вырос до девяноста и потерял текстовый слой целиком: искать по такому документу нельзя.

Размытие имеет смысл ровно в одном случае: нужно скрыть лицо на фотографии или фрагмент изображения, где вырезание оставило бы неуместную чёрную дыру.

Как выполнить редактирование

1. Откройте redact-pdf и загрузите документ. 2. Выделите области прямо на странице: инструмент показывает документ и позволяет обвести нужные места. 3. Выберите стиль. Для данных берите чёрный или белый. 4. Оставьте удаление метаданных включённым. 5. Запустите обработку. 6. Откройте результат и попробуйте выделить закрашенное место мышью, а затем поискать по документу удалённое слово.

Шестой пункт не формальность. Это единственная проверка, которая отличает настоящее удаление от нарисованного прямоугольника, и занимает она десять секунд.

Области указывать обязательно

Инструмент не пытается угадать, что именно нужно скрыть. Без указанных областей задача не запускается вовсе и возвращает прямое сообщение о том, что нужна хотя бы одна область.

Это осознанное решение, и оно правильное. Автоматический подбор области в задаче, где ошибка означает утечку персональных данных, опаснее отказа: закрасив не то место, инструмент отчитался бы об успехе, а данные остались бы на виду.

По той же причине области проверяются на осмысленность: координаты за пределами страницы или нулевая ширина дают ошибку, а не молча пропускаются.

Метаданные удаляются по умолчанию

Отдельный переключатель управляет очисткой свойств документа, и по умолчанию она включена.

Это не мелочь. В свойствах регулярно лежит имя сотрудника, готовившего документ, внутреннее рабочее название, иногда путь к папке на диске. Документ, из которого аккуратно вырезали фамилию клиента, но оставили в свойствах имя автора и название «дело Иванова, черновик», задачу не решает.

Если очистку выключить, придёт отдельное предупреждение: исходные метаданные сохранены и могут содержать сведения, позволяющие идентифицировать людей. Молча это не происходит.

Для более тонкой работы со свойствами есть set-pdf-metadata, где поля можно не только очистить, но и заполнить нужными значениями.

Отметка о проведённом редактировании

В параметрах есть поле для короткой заметки, которая записывается в свойства готового файла, в поле темы.

Смысл у него делопроизводственный: получатель видит, что документ отредактирован намеренно, а не пришёл повреждённым. Формулировки вроде «персональные данные удалены» или «изъято на основании такого-то пункта» экономят один раунд переписки.

Длина ограничена пятьюстами символами. Более длинный текст будет обрезан, и об этом придёт предупреждение — то есть заметка не пропадёт молча, но и не поместится целиком.

Где данные прячутся, кроме основного текста

Полный обход документа стоит делать по списку, а не по памяти. Места, о которых забывают чаще всего, повторяются от документа к документу.

Колонтитулы. Верхний и нижний колонтитул повторяются на каждой странице, и если в них стоит фамилия или номер дела, закрасить нужно все страницы, а не первую.

Подписи и печати. Подпись — это персональные данные, и на скане она видна целиком. Печать содержит наименование организации и часто адрес.

Таблицы приложений. Основной текст просматривают внимательно, приложения пролистывают, а именно в них лежат реестры с фамилиями и телефонами.

Обороты. В двустороннем скане обороты идут вперемешку с лицевыми сторонами, и половина из них обычно кажется пустой, потому что на превью различима только тень текста.

Служебные пометки на полях. Рукописные резолюции, штампы регистрации, наклейки с номерами.

Практический приём: перед началом откройте документ и пройдите по нему поиском по фамилии, номеру телефона и адресу. Поиск покажет все вхождения, включая те, что глаз пропустит.

Чего инструмент не делает

Он не ищет персональные данные сам. Инструмент удаляет то, что вы обвели, и ничего больше. Ответственность за полноту обхода документа остаётся на человеке.

Отсюда практическое правило: проходить документ нужно целиком, включая колонтитулы, подписи под таблицами и оборотные страницы. Данные чаще всего забывают именно там, потому что смотрят на основной текст.

И отдельно: обрезка страницы через crop-pdf редактированием не является. Она меняет видимую область листа, а содержимое за её пределами остаётся в файле и возвращается сбросом обрезки.

Если документ представляет собой скан, текста под областью может не быть вовсе, и вырезать будет нечего — там просто изображение. В этом случае результат надёжен по-другому: удаляется кусок изображения. Но если скан перед этим прогнали через ocr-pdf, под картинкой появился текстовый слой, и его тоже нужно накрыть областью.