El rectángulo negro no anonimiza un PDF (y se demuestra en diez segundos)

Un PDF no es una fotografía de una página. Es un programa que describe cómo dibujarla. Y esa distinción, que suena a detalle de ingeniería, es la razón por la que el método de anonimización más usado en los despachos españoles no anonimiza nada.

Qué hay dentro de un PDF

Dentro de un PDF hay un flujo de contenido: una lista de instrucciones. «Coloca el cursor en la coordenada 72, 640. Usa la fuente F1 a 11 puntos. Escribe estos caracteres.» Y aparte, otras instrucciones para las líneas, los rectángulos y las imágenes.

Cuando abres el documento en un visor y dibujas un rectángulo negro sobre un nombre, lo que haces es añadir una instrucción nueva al final: «dibuja un rectángulo relleno de negro en estas coordenadas». Nada más.

La instrucción que escribe el nombre sigue estando ahí, exactamente igual que antes. Simplemente hay algo pintado encima.

La demostración

Abre ese PDF «anonimizado». Selecciona con el ratón el área del rectángulo negro, como si fueras a seleccionar texto. Copia. Pega en un documento en blanco.

Ahí está el nombre.

No hace falta ninguna herramienta especializada, ni conocimientos técnicos, ni intención maliciosa. Lo hace cualquiera por accidente al intentar copiar un párrafo. Y si alguien quiere hacerlo a propósito, cualquier extractor de texto vuelca el documento entero en un segundo, rectángulos incluidos.

Hay más rutas de recuperación, por si la de copiar y pegar no bastara: la extracción de texto por línea de comandos, la búsqueda dentro del fichero, la propia indexación del sistema operativo —que puede haber guardado el contenido antes de que lo taparas—, y las herramientas de accesibilidad, que leen la capa de texto ignorando por completo los gráficos.

Este error ha causado filtraciones documentadas en administraciones y grandes bufetes de medio mundo. No es un fallo de gente descuidada: es un fallo de una interfaz que te enseña un rectángulo negro y te deja creer que eso significa «borrado».

Los tres errores hermanos

Junto al rectángulo, hay tres variantes que fallan por la misma razón.

Texto en blanco sobre fondo blanco. El texto sigue en el flujo de contenido. Se recupera igual, y encima se ve al seleccionar toda la página.

Resaltado negro con el marcador. Es una anotación. Las anotaciones son una capa aparte que se puede eliminar con un clic desde cualquier editor de PDF.

Un recuadro puesto en Word antes de exportar. El texto sigue estando debajo en el PDF resultante. Además, el .docx original conserva el historial de cambios y los comentarios si no los has purgado.

Y en Word, un problema aún mayor

Un .docx es un ZIP con XML dentro. Si lo abres como fichero comprimido, ves las carpetas. Y ahí, además del texto:

• El control de cambios, si no se aceptaron todas las revisiones. Cada versión anterior de cada frase.
• Los comentarios, con el nombre de quien los escribió.
• Las propiedades del documento: autor, empresa, última modificación, tiempo total de edición.
• A veces, texto oculto o fragmentos eliminados que quedan en las relaciones del paquete.

He visto escritos que se presentaban «limpios» y que en el control de cambios conservaban la versión anterior con la estrategia real del cliente, borrada visualmente pero intacta en el XML.

Qué es hacerlo bien

Una anonimización correcta de un PDF hace tres cosas, en este orden:

Primero, localiza el dato en el flujo de texto, no en la imagen de la página. Es decir, encuentra los caracteres reales, con sus coordenadas exactas, incluso cuando el nombre está partido entre dos líneas o entre dos fragmentos de texto distintos —algo habitual en documentos que vienen de un procesador de textos.

Segundo, elimina esos caracteres del documento. No los tapa: los quita. En la especificación del PDF esto se llama aplicar redacciones, y el resultado es un fichero en el que esos caracteres ya no existen. Después de esa operación, copiar y pegar no devuelve nada porque no hay nada que devolver.

Tercero, escribe la etiqueta de sustitución en el hueco que ha quedado, para que el documento siga siendo legible y coherente: [ACTOR_1] donde estaba el nombre, [DNI_1] donde estaba el documento de identidad.

Y luego, limpiar los metadatos. Un documento perfecto por dentro que en las propiedades diga «Autor: María Jesús Ortega — Bufete Ortega y Asociados» sigue identificando.

Por qué esto es una obligación, no una buena práctica

El artículo 32 del RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica. La redacción real de un PDF es el estado de la técnica: está en la especificación del formato y la implementan todas las herramientas profesionales. Tapar con un rectángulo, no.

Y si se comparte un documento del que se recuperan datos personales, encaja de lleno en la definición del artículo 4.12: la destrucción, pérdida o alteración accidental o ilícita, o la comunicación o acceso no autorizados a datos personales. Es decir, una violación de la seguridad, con las obligaciones de notificación de los artículos 33 y 34 encima.

Cómo lo resuelve Anonimizator

Cuando construimos el motor, esta fue la decisión técnica que más tiempo nos llevó, y no la habríamos cambiado por nada.

Anonimizator no dibuja rectángulos. Usa redacción real: localiza cada dato en el flujo de contenido del PDF, elimina físicamente esos caracteres del fichero y después escribe la etiqueta de sustitución en el hueco. El resultado no es un documento con algo tapado; es un documento en el que ese texto no existe.

Puedes comprobarlo tú mismo con el resultado: selecciona la zona anonimizada, copia, pega. Sale la etiqueta. El dato original no está en ninguna parte del fichero.

En Word el enfoque es distinto porque el formato lo es: Anonimizator entra en el XML del .docx y sustituye el texto dentro de cada nodo, respetando la fuente, el tamaño, la negrita, el interlineado, los encabezados, los pies y las notas. El documento sale con la maquetación exacta con la que entró — que era la otra exigencia de partida: un escrito judicial con el formato roto no sirve de nada.

Dos detalles que costaron especialmente y que marcan la diferencia en documentos reales: los nombres partidos entre líneas se detectan igual (en un PDF, «Juan Antonio Pérez» puede estar en tres fragmentos separados), y la búsqueda es insensible a mayúsculas, porque en un mismo escrito el mismo apellido aparece como «Pérez» en el cuerpo y como «PÉREZ» en el encabezado. Si se te escapa una de las dos, no has anonimizado: has dejado una pista.

Al terminar, el motor relee el documento generado y comprueba que no queda ningún residuo de los datos detectados. Si encuentra alguno, lo dice.

---

Si hoy en tu despacho se anonimiza con el rectángulo negro del visor de PDF, la buena noticia es que se arregla en un minuto. La mala es que todos los documentos que ya se han enviado así siguen siendo legibles.