To nie był odosobniony wypadek amatorów. Osiem lat wcześniej identyczny błąd popełniło brytyjskie Ministerstwo Obrony, publikując raport o okrętach podwodnych z napędem atomowym — „zaczernione” fragmenty o podatnościach reaktorów dało się skopiować w ten sam sposób. Poniżej pięć mechanizmów, przez które anonimizacja zawodzi — i jak sprawdzić, czy dotyczą Twoich dokumentów.

1. Nakładka zamiast usunięcia

Najczęstszy błąd, ten od Manaforta: czarny prostokąt narysowany na tekście, podczas gdy tekst pozostaje w warstwie treści pliku. Wygląda identycznie jak prawdziwa redakcja — różnicę widać dopiero po zaznaczeniu i skopiowaniu treści albo po otwarciu pliku w edytorze.

Tak działa większość „domowych” metod: prostokąt w darmowym edytorze PDF, zakreślacz w programie graficznym, zaczernienie w niektórych trybach popularnych narzędzi biurowych. Poprawna redakcja musi usunąć tekst z pliku, nie zasłonić go.

Test: Ctrl+A, Ctrl+C, wklej do Notatnika. Jeśli widzisz ukryte dane — masz nakładkę.

2. Metadane i ukryte warstwy

Plik PDF to nie tylko to, co widać na stronach. Nazwisko autora we właściwościach dokumentu, historia zmian, komentarze i adnotacje, załączone pliki, a w dokumentach z Worda — dane recenzji i śledzenia zmian. Dokument o nienagannie zaczernionej treści potrafi mieć w polu „Autor” nazwisko osoby, której dane właśnie chroniono.

Test: Plik → Właściwości w czytniku PDF; warto też przejrzeć panel załączników i komentarzy.

3. Przeoczone wystąpienia — polska fleksja, inicjały, literówki

Wyszukanie i zaczernienie frazy „Jan Kowalski” nie usuwa z dokumentu form „Kowalskiego”, „Kowalskiemu”, „państwa Kowalskich” ani „J.K.” w nagłówku korespondencji. W polszczyźnie jedno nazwisko potrafi wystąpić w kilkunastu formach — a w skanowanych dokumentach dochodzą literówki OCR („Kowa1ski”), które człowiek czyta płynnie, ale proste wyszukiwanie ich nie znajdzie.

To jest kategoria błędu, w której zawodzą narzędzia oparte na wyszukiwaniu wzorców: świetnie łapią PESEL (bo ma stały format), znacznie gorzej — nazwisko odmienione w piątym przypadku w zdaniu podrzędnym na stronie 47.

Test: po anonimizacji wyszukaj w dokumencie samego rdzenia nazwiska („Kowalsk”) i inicjałów.

4. Identyfikacja pośrednia — dane osobowe bez nazwiska

Art. 4 pkt 1 RODO definiuje dane osobowe jako informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania — także pośrednio. Zdanie „skargę złożył właściciel jedynego warsztatu samochodowego przy ul. Polnej” nie zawiera żadnej danej wprost, a identyfikuje człowieka równie skutecznie jak PESEL. W małych społecznościach — a więc w dokumentach gmin, wspólnot, szkół — identyfikacja pośrednia jest raczej regułą niż wyjątkiem.

Dokument z zaczernionymi nazwiskami, ale nietkniętym kontekstem, nie jest zanonimizowany. W terminologii RODO jest co najwyżej spseudonimizowany — czyli nadal zawiera dane osobowe i nadal nie nadaje się do publikacji. Tego błędu nie wykryje żadne wyszukiwanie wzorców, bo nie ma tu wzorca: potrzebne jest zrozumienie treści.

Test: przeczytaj dokument oczami sąsiada osoby opisywanej. Rozpozna ją?

5. Artefakty techniczne, o których nie wie prawie nikt

W 2023 r. na konferencji PETS opublikowano badanie „Story Beyond the Eye: Glyph Positions Break PDF Text Redaction” (Bland i in.). Autorzy przeanalizowali 11 popularnych narzędzi do redakcji PDF — w tym Adobe Acrobat — i wykazali, że nawet po prawidłowym usunięciu tekstu w pliku potrafią zostać informacje o położeniu usuniętych znaków, pozwalające odtworzyć np. zaczernione nazwiska. Zbudowanym przez siebie narzędziem odredagowali setki prawdziwych, publicznie dostępnych dokumentów, w tym raporty śledcze i odpowiedzi na wnioski o informację publiczną w USA.

Wniosek z badania nie brzmi „nic nie działa”. Brzmi: redakcja dokumentów to problem techniczny o nieoczywistej głębi i narzędzie, które ją wykonuje, musi być zbudowane ze świadomością takich kanałów wycieku — usuwać nie tylko tekst, ale i informację o jego geometrii, spłaszczać strukturę pliku, czyścić metadane.

Co z tego wynika

  1. Ręczna anonimizacja w edytorze PDF to metoda wysokiego ryzyka. Nie dlatego, że ludzie są niestaranni — dlatego, że trzy z pięciu powyższych mechanizmów (nakładki, metadane, geometria) są niewidoczne gołym okiem, a czwarty (fleksja) wymaga nieludzkiej czujności na stronie 47 z 60.
  2. Narzędzie wzorcowe to za mało, jeśli publikujesz dokumenty. Wzorce łapią formaty (PESEL, NIP), ale nie kontekst. Przy dokumentach trafiających do BIP czy do osób trzecich o incydencie decyduje właśnie to, czego wzorzec nie widzi: odmieniona forma i identyfikacja pośrednia.
  3. Weryfikacja jest częścią procesu, nie opcją. Niezależnie od narzędzia, przed publikacją dokument powinien przejść przez człowieka, który widzi, co zostało wykryte i co z tym zrobiono — oraz przez testy techniczne opisane wyżej.

Właśnie wokół tych trzech wniosków zbudowaliśmy RedactRocket: wykrywanie oparte na rozumieniu treści (także skanów), weryfikacja wykryć przed pobraniem i eksport, w którym strony z anonimizacją są spłaszczane do obrazów — warstwa tekstowa jest usuwana w całości, więc nie ma czego kopiować ani odzyskiwać. Możesz sprawdzić na własnym dokumencie: wypróbuj RedactRocket.

Czytaj też: Kontrole UODO 2026: anonimizacja w BIP oraz Czy anonimizacja w chmurze jest zgodna z RODO?