Como apagar dados sensíveis num PDF

Esconder dados pessoais num PDF de modo que não possam ser recuperados

A história se repete mais ou menos uma vez por ano e chega ao noticiário. Uma organização publica um documento em que nomes e endereços estão caprichosamente cobertos por retângulos pretos. Uma hora depois alguém seleciona o texto com o mouse, cola num bloco de notas e obtém inteiro o que estava coberto.

O motivo é simples, e entendê-lo importa mais do que decorar uma sequência de botões.

Por que um retângulo sobre o texto não esconde nada

Um PDF é feito de camadas. O texto mora no conteúdo da página como texto, com coordenadas e fonte. Um retângulo desenhado por cima num editor é outro elemento de conteúdo, desenhado depois e por isso visível em cima.

O texto não vai a lugar nenhum. Continua no arquivo, é achado pela busca, selecionado pelo mouse e copiado. O retângulo o cobre apenas visualmente, exatamente como uma folha de papel posta sobre um monitor.

A tarja de verdade funciona de outro jeito: o conteúdo sob a área é primeiro recortado da página, e só então um preenchimento ocupa o espaço que sobrou.

Três estilos e o que cada um faz com o conteúdo

Os dois primeiros são remoção autêntica. Verificado num documento em que uma linha com um número de referência foi coberta por uma área preta: depois do processamento essa linha não é achada nem por busca nem por cópia, enquanto as linhas vizinhas continuam se selecionando como texto comum.

O desfoque mascara, não remove

O terceiro estilo fica à parte, e ele cobra duas vezes.

Primeiro: ele não remove. O desfoque degrada a imagem da área, mas a informação nela é parcialmente recuperável com processamento. Para dados pessoais isso é inaceitável, e a ferramenta diz isso sem rodeios: escolher desfoque anexa ao resultado um aviso recomendando o estilo preto ou branco.

O segundo preço se mede em bytes e em possibilidades. O desfoque trabalha sobre uma cópia rasterizada do documento inteiro, não de uma área. Um arquivo de teste de uma página com vinte linhas de texto pesava cerca de um quilobyte. Depois de uma tarja preta continuava esse quilobyte. Depois do desfoque foi a noventa e perdeu a camada de texto por completo: um documento desses não se pesquisa.

O desfoque faz sentido num caso só: esconder um rosto numa fotografia ou um trecho de imagem em que recortar deixaria um buraco preto fora de lugar.

Como executar uma tarja

1. Abra o redact-pdf e envie o documento. 2. Marque as áreas na própria página: a ferramenta mostra o documento e permite contornar os pontos desejados. 3. Escolha o estilo. Para dados, preto ou branco. 4. Deixe ligada a remoção de metadados. 5. Execute a tarefa. 6. Abra o resultado, tente selecionar com o mouse o ponto coberto e depois busque no documento a palavra removida.

O ponto seis não é formalidade. É a única conferência que distingue remoção real de um retângulo desenhado, e custa dez segundos.

As áreas são obrigatórias

A ferramenta não tenta adivinhar o que deve ser escondido. Sem áreas indicadas a tarefa nem começa e devolve uma mensagem direta dizendo que é preciso ao menos uma área.

É uma decisão proposital, e a certa. Adivinhar uma área numa tarefa em que o erro significa vazamento de dados pessoais é mais perigoso do que uma recusa: tendo coberto o ponto errado, a ferramenta relataria sucesso enquanto os dados seguem à mostra.

Pelo mesmo motivo, as áreas são conferidas: coordenadas fora da página ou largura zero produzem erro em vez de serem ignoradas em silêncio.

Os metadados são apagados por padrão

Uma chave separada governa a limpeza das propriedades do documento, e ela vem ligada.

Não é detalhe. Nas propriedades costuma haver o nome de quem preparou o documento, um título interno de trabalho, às vezes um caminho de pasta de um disco. Um documento do qual o sobrenome de um cliente foi cuidadosamente recortado, mas que mantém nas propriedades o nome do autor e um título como «caso Ivanov, rascunho», não resolve o problema.

Se você desligar a limpeza, chega um aviso próprio: os metadados originais foram mantidos e podem conter dados que identificam pessoas. Isso não acontece em silêncio.

Para um trabalho mais fino com as propriedades existe o set-pdf-metadata, onde os campos não só se esvaziam como se preenchem com os valores que você escolher.

Uma nota registrando que houve tarja

Entre os parâmetros há um campo para uma nota curta escrita nas propriedades do arquivo final, no campo de assunto.

O propósito é administrativo: o destinatário vê que o documento foi tarjado de propósito e não chegou danificado. Fórmulas como «dados pessoais removidos» ou «retido conforme tal cláusula» poupam uma rodada de correspondência.

O tamanho é limitado a quinhentos caracteres. Texto mais longo é cortado e um aviso informa isso, então a nota não some em silêncio, mas também não chega inteira.

Onde os dados se escondem além do texto principal

Uma varredura completa do documento sai melhor com uma lista do que de memória. Os lugares esquecidos se repetem de documento para documento.

Cabeçalhos e rodapés. Repetem-se em cada página, e se ali estiver um sobrenome ou um número de processo é preciso cobrir todas as páginas, não só a primeira.

Assinaturas e carimbos. Uma assinatura é dado pessoal e aparece inteira numa digitalização. Um carimbo traz o nome da organização e muitas vezes o endereço.

Tabelas dos anexos. O texto principal é lido com atenção, os anexos são folheados, e são os anexos que trazem registros com nomes e telefones.

Versos. Numa digitalização frente e verso os versos se intercalam com as frentes, e metade costuma parecer em branco porque na miniatura só se distingue a sombra do texto.

Anotações à margem. Despachos manuscritos, carimbos de registro, etiquetas com números.

Um truque prático: antes de começar, abra o documento e busque nele o sobrenome, o telefone e o endereço. A busca mostra todas as ocorrências, inclusive as que o olho pula.

O que a ferramenta não faz

Ela não procura dados pessoais por você. A ferramenta remove o que você contornou e nada mais. A responsabilidade de percorrer o documento inteiro continua sendo de uma pessoa.

Daí uma regra prática: percorra o documento por completo, incluindo cabeçalhos, rodapés, legendas sob tabelas e páginas de verso. É exatamente ali que os dados são esquecidos, porque a atenção vai para o texto principal.

E à parte: cortar uma página com o crop-pdf não é tarjar. Isso muda a área visível da folha, enquanto o conteúdo além dela continua no arquivo e volta quando o corte é desfeito.

Se o documento for uma digitalização, pode não haver texto algum sob a área e nada a recortar; ali há apenas uma imagem. Nesse caso o resultado é confiável por outro motivo: um pedaço da imagem é removido. Mas se a digitalização passou antes pelo ocr-pdf, sob a imagem surgiu uma camada de texto, e ela também precisa ser coberta pela área.