Oscurare un PDF: perché una barra nera non basta

Un’amministrazione immobiliare a Lugano riceve un reclamo per il rumore nella tromba delle scale. La proprietaria vuole vederlo. Ma la lettera contiene anche i nomi e i numeri d’appartamento di altri inquilini, che lì non hanno nulla a che fare. La collaboratrice apre il PDF, traccia rettangoli neri sui nomi e invia il file.

Sullo schermo il risultato è impeccabile. Se i nomi siano davvero spariti dipende da come sono stati creati i rettangoli. In molti casi sono semplicemente appoggiati sopra il testo — e il testo è ancora lì sotto.

Perché una barra non basta

Una pagina PDF è fatta di livelli: il contenuto vero e proprio e, sopra, commenti, evidenziazioni e disegni. Un rettangolo creato con lo strumento di commento o di disegno appartiene al livello superiore. Copre il testo, ma non lo cancella.

Un tribunale statunitense ha descritto questo errore in dettaglio in una nota sull’oscuramento. Cita un caso in cui barre nere coprivano passaggi riservati di una sentenza pubblicata in PDF: le barre si limitavano a nascondere il testo senza cancellarlo, e un semplice copia e incolla lo rendeva leggibile. La nota indica come errore frequente il coprire il testo con lo strumento di evidenziazione o con uno strumento di disegno; il risultato è un testo nascosto, ma non rimosso dal documento.

Lo stesso vale per un testo evidenziato in nero in un documento Word salvato poi in PDF: il colore cambia, le lettere restano.

Che cosa significa oscurare davvero

I programmi con una vera funzione di oscuramento lavorano diversamente. Adobe descrive così l’oscuramento in Acrobat Pro: i contenuti oscurati, come testo o immagini, vengono sostituiti da riquadri colorati, così che le informazioni non possano essere ripristinate né visualizzate. La differenza rispetto al rettangolo sta nella parola «sostituiti»: il testo è rimosso dal contenuto della pagina e il riquadro ne prende il posto.

Adobe cita due limiti:

• Definitivo. Un oscuramento non si può annullare dopo averlo applicato e salvato. Per questo va fatto su una copia, mai sull’originale.
• Solo il visibile. L’oscuramento rimuove testo e grafica visibili. I dati nascosti, come i metadati o i contenuti incorporati, vanno rimossi a parte.

Adobe chiama il secondo passo «pulizia»: rimuovere dati nascosti come metadati, contenuti incorporati, script e altri elementi non visibili. Quando in Acrobat Pro si applica un oscuramento, il programma propone di rimuovere contemporaneamente queste informazioni.

Dove si nascondono le informazioni

Ciò che si vede sulla pagina non è tutto ciò che contiene il file. La nota del tribunale statunitense ricorda che i file PDF possono contenere automaticamente alcune indicazioni: il nome originale del file con il percorso, il nome utente di chi ha creato il documento e la data di creazione. Sono visibili nelle proprietà del documento.

Altri punti tipici:

Punto	Che cosa può contenere
Proprietà del documento	Autore, titolo, programma, percorso del file, data di creazione
Commenti e note	Osservazioni aggiunte durante una revisione
Segnalibri	Titoli con nomi o numeri di pratica
Campi di modulo	Valori inseriti, anche in campi nascosti
Allegati	File incorporati, per esempio il documento Word originale

Già nel 2005 la NSA statunitense osservava, in una guida alla pubblicazione di documenti ripuliti, che la semplice conversione di un documento Word in PDF non rimuove automaticamente tutti i metadati. La pulizia non è quindi un’aggiunta, ma la seconda metà dello stesso lavoro.

La via più semplice: togliere nell’originale

La nota del tribunale statunitense indica come via migliore e più sicura cancellare il testo nel documento originale — non coprirlo — e poi creare di nuovo il PDF. Così il testo indesiderato non esiste mai nel PDF.

Per l’amministrazione significa: se il reclamo esiste come file Word, i nomi vi vengono sostituiti con «[inquilina, 2° piano]», e solo dopo nasce il PDF. Se il reclamo è arrivato per lettera ed è stato scansionato, è un’immagine; se la scansione è passata per un riconoscimento del testo, sotto l’immagine c’è anche un testo invisibile, e per questo vale lo stesso che per ogni altro PDF.

Come verificare il risultato

Alcuni gesti mostrano se un oscuramento tiene, prima che il file lasci l’ufficio:

1. Cercare. Inserire il nome oscurato nella ricerca del programma PDF. Se lo trova, è ancora lì.
2. Selezionare e copiare. Selezionare l’area della barra e incollarla in un editor di testo. Se compare del testo, la barra era solo appoggiata sopra.
3. Guardare le proprietà. Controllare autore, titolo e percorso indicati nelle proprietà del documento.
4. Livelli e commenti. Scorrere l’elenco dei commenti e i segnalibri.

Quando il nome è sparito, ma la persona resta riconoscibile

Un oscuramento pulito elimina dei caratteri. Che la persona non sia più riconoscibile è un’altra questione. La legge sulla protezione dei dati intende per dati personali tutte le informazioni concernenti una persona fisica identificata o identificabile (art. 5 lett. a LPD). Una persona può essere identificabile anche senza nome.

In un condominio di sei appartamenti, «inquilina, 2° piano a sinistra» basta per sapere di chi si tratta. In un certificato di lavoro, la combinazione di funzione, data d’entrata e reparto rivela spesso più del nome oscurato. Chi oscura per proteggere una persona rilegge quindi il documento una seconda volta chiedendosi: qualcuno che conosce l’azienda potrebbe comunque riconoscerla?

A volte la risposta è oscurare di più — il numero dell’appartamento, la data, il reparto. A volte è non trasmettere affatto il documento e riassumere invece con parole proprie ciò che la destinataria deve sapere.

Una procedura per l’azienda

Nella pratica si oscura di rado in modo pianificato, piuttosto poco prima dell’invio. Una procedura fissa aiuta, perché mette ogni volta gli stessi passi nello stesso ordine:

1. Creare una copia e darle un nome chiaro.
2. Se possibile, sostituire nel documento originale e ricreare il PDF; altrimenti usare una vera funzione di oscuramento.
3. Ripulire i contenuti nascosti: proprietà, commenti, allegati.
4. Eseguire la verifica descritta sopra: cercare, copiare, guardare le proprietà.
5. Una seconda persona rilegge il risultato chiedendosi se qualcuno resti riconoscibile.

Ci vogliono pochi minuti. Un documento inviato non si può più richiamare.

Trasmettere meno, fin dall’inizio

Dietro la tecnica c’è una domanda semplice: di che cosa ha davvero bisogno la destinataria? La legge sulla protezione dei dati richiede che un trattamento sia proporzionato (art. 6 cpv. 2 LPD), e la comunicazione a terzi è una forma di trattamento (art. 5 lett. d ed e LPD). Un estratto o un breve riassunto è spesso una risposta migliore di un documento completo oscurato.

Quando il documento intero va trasmesso, un oscuramento accurato seguito da una verifica è la via affidabile. Per gli strumenti PDF che stiamo sviluppando varrà lo stesso principio per ogni lavoro: il file viene elaborato in Svizzera, in memoria, e non viene salvato, e per i documenti riservati una modalità apposita svolgerà alcuni lavori interamente sul Suo dispositivo.