Sim, mas só se a anonimização falhou. Uma anonimização bem feita apaga o texto do ficheiro, por isso as palavras em si não podem ser recuperadas (no máximo, o tamanho e a posição da caixa dão pistas; ver a falha 9). Uma anonimização falhada apenas o esconde: as palavras continuam lá, debaixo de uma caixa preta, numa camada de texto oculta, num marcador, num anexo ou numa versão anterior do ficheiro. Qualquer pessoa que abra o PDF as pode encontrar. Abaixo estão as nove formas como isto acontece, três casos reais e um teste de cinco minutos que pode fazer ao seu ficheiro antes de o enviar.
Anonimização real ou apenas uma caixa preta
Um PDF não é uma imagem de uma página. É um conjunto de camadas e contentores: o texto e os desenhos da página, imagens, anotações e comentários, marcadores, campos de formulário, anexos, metadados e, por vezes, versões anteriores de tudo isto. O que vê no ecrã é apenas o que o visualizador desenha.
- Uma caixa preta é mais um elemento desenhado por cima. O texto por baixo não muda. Selecione-o, pesquise-o ou apague a caixa, e ele volta.
- Uma anonimização real remove os caracteres (ou os píxeis da imagem) da página e coloca uma caixa onde estavam. Não há nada debaixo da caixa.
Se um PDF pode ou não ser revertido depende de qual dos dois casos se trata e de a mesma informação estar ou não noutro dos contentores.
Teste o seu PDF em cinco minutos
Faça estas verificações no ficheiro que vai enviar, no visualizador que já tem. Escolha uma ou duas palavras que anonimizou para testar.
- Pesquise. Prima Ctrl+F (Cmd+F num Mac) e pesquise uma palavra anonimizada. Se o visualizador a encontrar, a anonimização falhou.
- Selecione tudo e cole. Prima Ctrl+A, depois Ctrl+C, e cole num editor de texto simples (Bloco de Notas, TextEdit em modo de texto simples). Leia o que aparece onde estavam as caixas. Se houver texto, foi tapado, não removido.
- Abra-o num segundo visualizador. Abra o ficheiro no navegador (Chrome, Edge e Firefox mostram PDFs). Se uma caixa desaparecer, se transformar num contorno ou mostrar texto, era uma anotação ou uma marca de anonimização que nunca foi aplicada.
- Abra os painéis laterais. Veja Marcadores, Anexos, Comentários e Camadas. Cada um pode conter o texto que retirou da página.
- Verifique as propriedades. Abra Ficheiro → Propriedades (Propriedades do documento). Leia os campos título, autor, assunto e palavras-chave.
Se uma página for digitalizada, pesquise uma palavra que vê noutro ponto dessa página. Se a pesquisa a encontrar, a página tem uma camada de texto OCR oculta, e os passos 1 e 2 contam ainda mais.
Um ficheiro que passa: a pesquisa não encontra nada, o texto colado tem lacunas (ou as suas etiquetas de substituição) onde estão as caixas, os painéis estão vazios ou são inofensivos e as propriedades não identificam ninguém.
Para leitores técnicos: verificações na linha de comandos
Estas usam as ferramentas gratuitas poppler-utils e ExifTool.
| Verificação | Comando | O que procurar |
|---|---|---|
| Texto debaixo das caixas | pdftotext -layout file.pdf - | As palavras anonimizadas em qualquer ponto do resultado |
| Metadados do documento | pdfinfo file.pdf e pdfinfo -meta file.pdf | Nomes, números de processo ou caminhos de ficheiros em Title, Author, Subject, Keywords ou no pacote XMP |
| Metadados de imagens e outros | exiftool -a -G1 -ee file.pdf | Legendas, nomes, histórico de software |
| Anexos | pdfdetach -list file.pdf | Qualquer ficheiro anexo que não queria enviar |
| Imagens | pdfimages -list file.pdf | Imagens inesperadas, como uma digitalização de página inteira por trás do texto |
| Versões anteriores | grep -a -o '%%EOF' file.pdf | wc -l | 1 é normal. 2 pode significar «visualização rápida na Web» ou uma gravação incremental. Mais significa que o ficheiro guarda versões anteriores |
As 9 formas como a anonimização de PDF falha
1. Tapar o texto em vez de o remover
A falha mais comum: um retângulo preto, um realce preto ou um fundo de texto preto desenhado sobre as palavras. A página parece anonimizada; a camada de texto está intacta. Copiar e colar, pesquisar ou extrair texto lê-a.
Foi assim que falharam as rasuras num documento entregue em tribunal pelos advogados de Paul Manafort em janeiro de 2019. O PDF mostrava barras pretas, mas os jornalistas conseguiam selecionar as linhas tapadas e colá-las noutro documento, o que revelou que a acusação imputava a Manafort ter mentido sobre a partilha de sondagens da campanha de 2016 com Konstantin Kilimnik (BuzzFeed News, Axios). Em dezembro de 2025, leitores dos ficheiros do caso Epstein publicados pelo Departamento de Justiça dos EUA encontraram a mesma falha em pelo menos um documento judicial: os parágrafos tapados podiam ser realçados e colados num processador de texto (The Guardian via Yahoo News, Snopes).
«Achatar» o ficheiro depois não resolve. O achatamento funde as caixas com o conteúdo da página, pelo que a caixa já não pode ser movida, mas o texto desenhado por baixo continua no mesmo conteúdo e continua a copiar-se. A solução é remover os próprios caracteres.
Verificação: passos 1 e 2 do teste.
2. Camadas de texto ocultas: OCR, texto branco e campos de formulário
Os PDFs digitalizados têm muitas vezes uma camada de texto OCR invisível para que se possa pesquisar neles. Se tapar as palavras na imagem digitalizada, a imagem fica tapada, mas o texto OCR por trás continua a conter as palavras. Uma anonimização tem de remover o texto nos dois sítios.
Outro texto oculto: texto da mesma cor do fundo, texto colocado fora da página visível e campos de formulário cujo valor continua guardado depois de o campo ter sido ocultado ou tapado.
Verificação: pesquise uma palavra anonimizada na página digitalizada (passo 1) e cole o texto (passo 2).
3. Marcas de anonimização nunca aplicadas, e comentários
Ferramentas como o Adobe Acrobat anonimizam em dois passos: marca as áreas, depois aplica as marcas, e só a aplicação remove o conteúdo (Adobe). Um ficheiro guardado depois de marcar, mas antes de aplicar, continua a ter todo o texto debaixo das marcas. Alguns visualizadores desenham as marcas como caixas pretas, outros mostram apenas um contorno ou nada, e é por isso que «a minha anonimização mostra texto noutro leitor» é uma pergunta frequente.
Comentários e notas são uma segunda fuga. Uma nota do revisor como «anonimizar aqui o nome da cliente» pode conter o nome. Os comentários ficam fora do texto da página, por isso remover o texto não os remove.
Verificação: passo 3 (segundo visualizador) e o painel Comentários no passo 4.
4. Metadados do documento
Um PDF guarda dados sobre si próprio: título, autor, assunto, palavras-chave, o software que o criou e as datas de criação e modificação. Muitas vezes são preenchidos automaticamente a partir do documento de origem. Um título copiado da primeira linha de um memorando, ou um nome de ficheiro com um número de processo e o apelido de um cliente, sobrevivem a uma anonimização perfeita das páginas. Qualquer visualizador os mostra nas Propriedades, e os motores de pesquisa indexam-nos.
Verificação: passo 5, ou pdfinfo e exiftool -ee.
5. Marcadores e ligações
Os marcadores (o índice no painel lateral) são uma lista de texto separada. São muitas vezes gerados a partir dos títulos, por isso repetem o que os títulos diziam antes de os anonimizar.
Em janeiro de 2021, a Comissão Europeia publicou o seu contrato de fornecimento de vacinas com a AstraZeneca, com partes rasuradas. As páginas estavam rasuradas, mas os marcadores do PDF não: quem abrisse o separador Marcadores podia ler passagens rasuradas, incluindo as condições de pagamento (um terço de 336 milhões de euros adiantado no prazo de 30 dias após a assinatura). O preço por dose ficou oculto. A Comissão substituiu o ficheiro por outro sem marcadores (The Register).
As ligações têm o mesmo problema. Uma ligação tem um texto visível e um destino oculto. Anonimize o texto visível, e o destino (um URL com um nome ou número de conta, um caminho de ficheiro com um nome de utilizador) continua no ficheiro.
Verificação: o painel Marcadores no passo 4; clique ou passe o rato sobre as ligações perto de texto anonimizado.
6. Anexos e metadados de imagens
Um PDF pode transportar outros ficheiros: uma folha de cálculo com os dados por trás de uma tabela, o documento Word original, um e-mail. Anonimize a tabela na página, e a folha de cálculo anexa continua a ter todas as linhas.
As imagens têm os seus próprios metadados (EXIF ou XMP), como uma legenda, a nota do fotógrafo ou o nome da pessoa na fotografia. Desfocar um rosto não altera a legenda guardada na imagem. Os anexos têm de ser apagados à parte.
Verificação: o painel Anexos no passo 4, pdfdetach -list e exiftool -ee.
7. Gravações incrementais
O formato PDF permite a um editor guardar alterações acrescentando-as ao fim do ficheiro em vez de o reescrever (ISO 32000-1, secção 7.5.6). A versão anterior fica no ficheiro, sem uso, mas legível. Apague um parágrafo, acrescente uma caixa, grave de forma incremental, e o parágrafo antigo continua nos bytes.
A função Limpar documento do Acrobat Pro remove os «dados ocultos de gravações anteriores do documento», juntamente com metadados, anexos, marcadores e comentários (guia da NSA para anonimização no Acrobat X). Sem ela, o caminho seguro é anonimizar com uma ferramenta que escreve um ficheiro novo e enviar esse ficheiro.
Verificação: a contagem de %%EOF na tabela de comandos.
8. Ocorrências esquecidas
Uma anonimização vale o mesmo que a ocorrência que lhe escapou. O nome que removeu na página 2 pode continuar num cabeçalho, num rodapé, numa legenda, numa nota de rodapé, num índice, num índice remissivo ou de fontes, ou num nome de ficheiro impresso no fundo de cada página. A anonimização baseada em pesquisa não apanha outras grafias: «M. Silva» quando pesquisou «Maria Silva», ou um nome partido entre duas linhas.
Verificação: pesquise todas as variantes de cada nome ou número, não só a que anonimizou primeiro.
9. A própria caixa dá pistas
Mesmo quando o texto desapareceu, a caixa pode revelar algo. A sua largura indica mais ou menos o comprimento da palavra e, com um tipo de letra proporcional e uma lista de nomes possíveis, isso reduz as opções. Os investigadores foram mais longe: mostraram que desvios subpíxel nas posições dos caracteres que ficam à volta de uma rasura podem ser usados para recuperar nomes próprios e apelidos. Testaram 11 ferramentas de anonimização populares, incluindo o Adobe Acrobat, concluíram que deixam escapar informação sobre o texto oculto e reverteram centenas de rasuras reais, algumas delas em respostas a pedidos ao abrigo da FOIA (Bland, Iyer e Levchenko, PoPETs 2023).
É um risco menor do que as falhas 1 a 8, que exigem pouca ou nenhuma perícia, mas é real: o ataque funciona mesmo quando o texto debaixo da caixa foi removido. Uma etiqueta de largura fixa, por si só, não ajuda, porque os caracteres à volta da caixa mantêm as suas posições. As defesas mais fortes do artigo: anonimizar a linha inteira (ou as palavras à volta) em vez de uma caixa à medida do nome, ou substituir o nome por texto sem significado no documento de origem antes de criar o PDF.
As 9 falhas num relance
| Falha | Onde o texto sobrevive | Como verificar |
|---|---|---|
| 1. Tapar, não remover | Texto da página debaixo da caixa | Pesquisar; selecionar tudo e colar |
| 2. Camadas de texto ocultas | Camada OCR, texto branco, campos de formulário | Pesquisar numa página digitalizada; colar |
| 3. Marcas não aplicadas, comentários | Texto da página; texto dos comentários | Segundo visualizador; painel Comentários |
| 4. Metadados | Título, autor, assunto, palavras-chave, XMP | Ficheiro → Propriedades; pdfinfo, exiftool |
| 5. Marcadores e ligações | Títulos dos marcadores; destinos das ligações | Painel Marcadores; passar o rato nas ligações |
| 6. Anexos, metadados de imagens | Ficheiros anexos; EXIF/XMP | Painel Anexos; pdfdetach, exiftool |
| 7. Gravações incrementais | Versões anteriores no mesmo ficheiro | Contar %%EOF |
| 8. Ocorrências esquecidas | Cabeçalhos, rodapés, índices, outras grafias | Pesquisar todas as variantes |
| 9. Tamanho da caixa e posição dos caracteres | Largura da caixa; posição dos caracteres à volta | Anonimizar linhas inteiras, ou substituir o nome antes de criar o PDF |
Uma anonimização falhada pode ser uma violação de dados
Se o texto que queria remover são dados pessoais, um PDF enviado com uma anonimização falhada pode ser uma violação de dados pessoais nos termos do RGPD: «uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento» (RGPD art. 4.º, ponto 12). O responsável pelo tratamento tem então de a notificar à autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento dela, a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares (art. 33.º, n.º 1). O nosso guia de anonimização em conformidade com o RGPD (em inglês) explica o que remover e quando.
Perguntas frequentes
O que é um erro de anonimização? Informação que devia ter sido removida de um documento, mas que ainda pode ser lida ou recuperada a partir do ficheiro divulgado. As causas são as nove acima. O termo também se usa para o erro oposto: remover informação que devia ter ficado.
Porque é que a minha anonimização mostra texto quando abro o PDF noutro leitor? Porque a caixa é uma anotação ou uma marca de anonimização não aplicada, não uma anonimização. Os visualizadores desenham as anotações de forma diferente, e o texto nunca foi removido. Aplique a anonimização (ou anonimize de novo com uma ferramenta que remove o texto) e guarde um ficheiro novo.
Um PDF corretamente anonimizado pode ser recuperado? Não a partir do ficheiro. Depois de os caracteres serem apagados e de o ficheiro ser reescrito sem versões anteriores, o texto não está lá. O que ainda pode escapar é tudo o que fica fora do texto da página (falhas 4, 5, 6 e 8) e as pistas da falha 9.
Anonimize para que aguente
O redactpdf.io remove os caracteres e os píxeis de imagem debaixo de cada caixa em vez de os tapar, e limpa as propriedades do documento (título, autor, assunto, palavras-chave) e os metadados XMP, incluindo nas imagens. É gratuito para um único documento até 25 páginas e 5 MB, sem conta. A IA sugere o que anonimizar; o utilizador revê as sugestões, acrescenta o que lhe escapou e transfere o resultado.
O que não remove: anexos, marcadores, JavaScript, camadas, e comentários ou valores de formulários fora das áreas anonimizadas. São as falhas 2, 3, 5 e 6 acima. Apague-os antes de carregar o ficheiro, ou retire-os do ficheiro depois.
Depois, faça o teste de cinco minutos ao ficheiro transferido, seja qual for a ferramenta que usou. Nenhuma ferramenta apanha todos os casos-limite, nem a nossa: uma caixa desenhada mais fina do que a linha de texto, por exemplo, pode deixar caracteres para trás, por isso desenhe as caixas sobre toda a altura do texto. Se carrega documentos para qualquer serviço online, veja o que verificar primeiro (em inglês). Para mais do que um documento de cada vez, consulte os preços. As organizações com pastas de documentos para anonimizar podem usar o Redact Folders em ante.dk.