Para ocultar dados num PDF jurídico sem a nuvem, mantenha o arquivo no seu computador e use uma ferramenta que apague o texto sob a tarja. Um retângulo preto desenhado por cima não basta: o texto continua lá e sai com um copiar e colar.
Com material sigiloso, enviar já é revelar
O prazo vence amanhã, o processo tem centenas de páginas e um site gratuito promete ocultar texto em PDF em três cliques. É na pressa que o sigilo mais se perde, e quase nunca por má-fé.
Os dados pessoais de um processo são tratados pelo escritório, que é o controlador (art. 5º, VI da LGPD). Quando um site recebe o arquivo, quem o administra vira operador (art. 5º, VII). Isso exige base legal (art. 7º) e instruções do controlador (art. 39), em geral num contrato escrito. Um site gratuito com termos que ninguém leu não oferece isso.
O art. 6º, X cobra do controlador a demonstração das medidas adotadas. O art. 52 prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
Para um advogado, porém, o argumento mais forte é o sigilo profissional (art. 34, VII da Lei nº 8.906/1994 e art. 154 do Código Penal). Para o Estatuto da Advocacia, importa uma coisa: se a informação do cliente saiu das mãos de quem devia guardá-la. Por isso a saída é não enviar o arquivo, e não escolher uma nuvem melhor.
Quando a tarja só cobre o texto
A segunda falha acontece mesmo quando o arquivo nunca sai do computador. É o retângulo preto que apenas cobre o texto. Por baixo, a camada de texto do PDF continua intacta, selecionável e pesquisável. O documento parece pronto para quem o preparou, e por isso ninguém desconfia.
O exemplo mais citado é de janeiro de 2019. A defesa de Paul Manafort protocolou num tribunal federal americano um documento com trechos tarjados. Jornalistas perceberam que bastava copiar a área coberta e colar num editor para ler o texto. O caso foi amplamente noticiado nos Estados Unidos.
O que interessa aqui é a ferramenta. Advogados experientes usaram um recurso que desenhava retângulos e o trataram como ocultação. O mesmo vale para um realce preto no Word ou uma forma desenhada num editor de PDF.
O teste leva dois segundos. Abra o PDF final, selecione a área tarjada, copie e cole num bloco de notas. Se aparecer algo além de um espaço em branco ou do código escolhido, o texto continua no arquivo. Uma busca com Ctrl+F por um nome que deveria ter sumido é a segunda prova.
O que significa remover de verdade
No promptShield, Ocultar apaga o conteúdo da região. Mas um nome também fica guardado fora da página visível: metadados XMP, texto alternativo, ActualText, PieceInfo, destinos internos e campos de formulário e a imagem que cada um exibe.
Na exportação, o original é substituído também nesses lugares: pelo código, se você codificou, ou por um marcador neutro, se ocultou. A miniatura da página, gerada antes, é uma foto do original. Ela é descartada, e o leitor de PDF gera outra.
As páginas digitalizadas
Um processo longo quase sempre traz digitalizações, como a procuração assinada. Uma imagem não tem texto para apagar. O promptShield renderiza a página a 300 dpi, lê com o Tesseract no idioma do documento mais o inglês e cobre os pixels dos dados pessoais. Depois reconstrói por baixo uma camada pesquisável.
Só há oito pacotes de idioma: português, inglês, francês, alemão, espanhol, italiano, holandês e polonês. Com o pacote errado, a leitura sai ruim e sem aviso. Os detalhes estão em como ocultar dados em PDFs digitalizados e em imagens.
Anonimizado ou pseudonimizado
Codificar troca cada valor por um código curto e reversível. O documento continua legível, e Decodificar devolve os valores reais na sua máquina.
O ICO, autoridade britânica, separa as duas coisas: enquanto houver uma tabela que leve de volta ao original, os dados continuam pessoais. Na LGPD, o art. 12 só exclui da lei o dado que não pode ser revertido com esforços razoáveis. O art. 13, § 4º chama de pseudonimização o tratamento que depende de uma informação mantida à parte.
Um documento codificado é, portanto, pseudonimizado, e é isso que permite voltar ao original. O que a palavra “anonimizado” exige está em outro texto desta série.
Num processo de centenas de páginas, o mesmo réu recebe o mesmo código na página 3 e na página 280, desde que tudo esteja na mesma pasta. Pastas diferentes têm códigos próprios, e só um código fixado manualmente vale em toda a Biblioteca. Se o processo chegou em vários arquivos, junte-os numa pasta antes de detectar.
Nós mesmos já publicamos essa informação errada, em sete idiomas, dizendo que um valor recebia o mesmo código em toda a Biblioteca. O mecanismo está em como funciona a ocultação reversível.
O mapa fica no Registro de códigos, um arquivo SQLite local sem criptografia, de propósito: quem o abre já tem os originais no mesmo disco. A exportação do registro gera um JSON em texto puro. Enviá-la junto com o PDF codificado equivale a enviar o original, então ela nunca deve ir num e-mail ou num arquivo enviado ao suporte.
Nenhuma detecção dispensa a revisão
A detecção funciona em camadas. Padrões de alta precisão encontram CPF (11 dígitos), CNPJ (14), CEP (8) e dados bancários. Um modelo treinado para isso encontra nomes, empresas e endereços, e um modelo de linguagem opcional vem desligado por padrão. Os resultados são combinados, estendidos às outras páginas e filtrados para reduzir ruído.
Nenhum modelo local acha todos os identificadores de um processo. Por isso um arquivo com regiões protegidas só pode ser baixado depois da revisão. Clicar em Baixar antes disso abre um aviso que explica o que falta e oferece a revisão. É ao confirmar a revisão que os códigos entram no Registro de códigos.
Desktop ou navegador
O selo “100% offline” vale para o aplicativo de desktop, cujo modo isolado (sem verificação de licença nem relatório de falhas) é do plano Pro. O app gratuito no navegador processa o documento ali mesmo, mas envia um sinal anônimo a cada abertura. Nas duas versões, o documento não sai da máquina.
Perguntas frequentes
Desenhar um retângulo preto num editor de PDF resolve?
Na maioria dos casos, não: o retângulo fica numa camada por cima, e o texto continua lá para ser copiado. Alguns editores têm uma função própria de ocultação, que apaga o conteúdo num passo separado. De qualquer forma, copie a área tarjada e cole num bloco de notas antes de enviar.
Processar localmente significa detectar pior?
A qualidade depende dos modelos, que o desktop roda no seu computador. A Análise profunda é opcional, vem desligada e costuma usar um modelo local, mas tem um modo remoto em que o texto das páginas sai da máquina. Local ou não, a revisão continua obrigatória.
Uma ferramenta no navegador é de fato privada?
Depende de onde o processamento acontece. Para conferir, abra as ferramentas de desenvolvedor, vá até a aba Rede e veja se o arquivo sobe quando você o adiciona. No app gratuito do promptShield, o documento fica no navegador, embora um sinal anônimo de abertura seja enviado.
Antes de clicar em enviar
O sigilo de um cliente costuma se perder em gestos pequenos, feitos com pressa por gente cuidadosa. A proteção é manter o arquivo na sua máquina e, antes de enviar, tentar copiar o que deveria ter sumido.