Un atto in PDF si oscura senza cloud con uno strumento locale che elimina davvero il testo coperto. Un rettangolo nero disegnato in un editor copre le parole, ma spesso le lascia nel file. Caricare il fascicolo su un servizio online, invece, significa già comunicarlo a un terzo.
Il caso Manafort
Nel gennaio 2019 la difesa di Paul Manafort depositò in tribunale un atto con passaggi oscurati. Si potevano leggere copiandoli e incollandoli in un altro programma. Il caso fu riportato da BuzzFeed News e da molte altre testate. Mostra che l'errore è reale e che lo commettono anche professionisti competenti.
Perché un riquadro nero non basta
Un PDF tiene separati due livelli: il testo, con la posizione di ogni parola, e ciò che viene disegnato sopra. Un rettangolo nero, che sia una forma o un'annotazione, appartiene al secondo livello. Il testo sotto resta intatto e si può selezionare, copiare e indicizzare.
L'errore inganna per primo chi oscura. L'avvocato vede i riquadri neri, controlla l'anteprima e deposita il PDF. Nessuno di questi passaggi mostra che il testo è ancora lì.
Il nome del cliente può restare anche dove nessuno guarda: testo alternativo dei PDF con tag, metadati XMP, destinazioni interne, campi modulo. Spesso c'è anche una miniatura di ogni pagina creata prima dell'oscuramento.
Un'informazione è oscurata solo quando il contenuto sottostante è distrutto. La prova richiede due secondi: selezioni il testo sotto il riquadro, lo copi e lo incolli in un editor. Se compare qualcosa, l'oscuramento non c'è.
Caricare il file è già una comunicazione
Un servizio online può rimuovere davvero il testo. Quando un documento con dati personali arriva sui suoi server, però, lo studio resta titolare del trattamento. Il fornitore diventa responsabile del trattamento ai sensi dell'art. 28 GDPR. Servono una base giuridica e, di norma, un contratto, che il Garante chiede di vedere quando apre un'istruttoria.
Per il materiale coperto da segreto professionale c'è un vincolo in più: l'art. 622 del codice penale punisce la rivelazione del segreto. Un fascicolo caricato su un servizio terzo esce dallo studio appena il caricamento è finito. Questo vale anche se il servizio cancella tutto entro un'ora.
Per questo il rimedio è non spedire il file. Non spetta a noi dire se una comunicazione sia consentita: dipende dal mandato, dai consensi e dai dati. Indichiamo solo da dove nasce l'obbligo e quando scatta.
Tre strade a confronto
| Strada | Il file esce dallo studio | Il testo sottostante viene distrutto | Che cosa resta da dimostrare |
|---|---|---|---|
| Rettangolo disegnato in un editor PDF | No | No, se è una forma o un'annotazione | Che nessuno selezionerà mai quell'area |
| Servizio di oscuramento online | Sì | Di solito sì, a seconda del servizio | Base giuridica, accordo ex art. 28, sorte delle copie sui server |
| Strumento locale che rimuove il contenuto | No | Sì | Che una persona ha verificato le rilevazioni |
Gli editor professionali hanno anche una vera funzione di oscuramento, ma offrono pure la forma nera, e sotto scadenza si usa la forma. Le prime due colonne si verificano con un file di prova e un copia e incolla.
Passo per passo, senza che il file esca
Con promptShield ogni passaggio avviene sul computer dove il file è già salvato.
- Una cartella per pratica. I PDF si importano nella Libreria, nella cartella della pratica. La cartella decide quali codici sono condivisi fra i documenti.
- Rileva. Gli Schemi trovano codice fiscale, IBAN e numero di tessera sanitaria, un modello trova nomi e società. L'Analisi approfondita è facoltativa e spenta per impostazione predefinita. I risultati si propagano fra le pagine, da pagina 1 a pagina 280.
- Espressioni. Qui si aggiunge il lessico della pratica: il nome in codice di un'operazione, un numero di ruolo, un soprannome.
- Revisione. Una persona controlla gli elementi, aggiunge ciò che manca e toglie il superfluo. Nessun rilevamento locale trova ogni identificativo, quindi un file con regioni protette non si scarica prima della verifica. Chi preme Scarica troppo presto vede che cosa manca e può aprire la Revisione.
- Rimuovi o Codifica. Rimuovi distrugge il contenuto, ed è la scelta normale per ciò che si deposita. Codifica lo sostituisce con un codice reversibile. L'esportazione interviene anche fuori dalla pagina visibile ed elimina le miniature.
- La verifica finale. Sul file esportato copi il testo dove c'era il nome e lo incolli altrove. Va fatta anche con il nostro strumento.
Un fascicolo reale contiene molte scansioni, cioè immagini senza testo. promptShield le legge a 300 dpi con Tesseract, nella lingua del documento più l'inglese, e copre i pixel dei dati personali. Le lingue sono otto, e con quella sbagliata la lettura peggiora senza avviso. I dettagli sono nella guida su come oscurare PDF scansionati e immagini.
Codificare e anonimizzare sono due cose diverse
Con Codifica, al posto del nome compare un codice, e dentro una cartella lo stesso nome riceve sempre lo stesso codice. Così una perizia di trecento pagine resta comprensibile. Finché esiste la tabella che lega i codici ai valori, però, il dato non è anonimo.
L'ICO, l'autorità britannica, distingue l'anonimizzazione dalla pseudonimizzazione: chi conserva la chiave detiene dati personali. Il considerando 26 del GDPR dice lo stesso. Ne abbiamo scritto in che cosa richiede davvero la parola "anonimizzato".
La tabella sta nel Registro codici, un file SQLite locale volutamente non cifrato: chi può aprirlo ha già gli originali sulla stessa macchina. L'esportazione è un file JSON leggibile con l'intera corrispondenza. Allegarla al documento codificato annulla l'oscuramento.
Cartelle diverse hanno codici diversi, e solo un codice fissato a mano vale per tutto l'archivio. Se la controparte deve seguire una persona lungo il fascicolo, i file vanno tenuti nella stessa cartella. Il meccanismo è spiegato in come funziona l'oscuramento reversibile.
Domande frequenti
Basta un rettangolo nero in un editor PDF?
Solo se l'editor usa una funzione che elimina il testo sottostante. Una forma o un'annotazione lasciano il testo nel file, come mostrò nel 2019 l'atto della difesa di Manafort. Per verificarlo, copi l'area e la incolli in un editor di testo.
Elaborare i file in locale comporta un rilevamento meno accurato?
Non necessariamente: gli Schemi funzionano allo stesso modo ovunque, e i modelli girano sulla macchina dello studio. Nessun rilevamento, locale o remoto, trova ogni identificativo, e per questo serve la Revisione.
Uno strumento nel browser è davvero riservato?
Nella versione gratuita di promptShield nel browser il documento resta sul computer, ma l'app invia un segnale anonimo di avvio. L'applicazione desktop è interamente offline, e la modalità senza connessione del piano Pro non verifica nemmeno la licenza. Con un servizio di terzi, se il file va su un server, il fornitore diventa responsabile del trattamento.
Come si oscura un PDF scansionato?
Serve il riconoscimento ottico, perché una scansione non ha testo da selezionare. promptShield legge la pagina con Tesseract, copre i pixel con dati personali e ricostruisce sotto un testo ricercabile. La procedura è nella guida dedicata alle scansioni.
Il controllo che manca
Il caso del 2019 mostra che un oscuramento sbagliato è invisibile a chi lo esegue. Basterebbe aggiungere la verifica ai controlli prima del deposito. Un copia e incolla su ogni documento oscurato, fatto da una persona diversa da chi lo ha preparato.
Il servizio online è comodo, ma il fascicolo esce dallo studio e questo non si annulla. Abbiamo costruito promptShield per evitare quell'uscita. La verifica con il copia e incolla non costa nulla: lo provi sull'ultimo PDF depositato, prima di valutare qualunque strumento.