Вы собираетесь предоставить противоположной стороне 4000 документов. Где-то в этих PDF-файлах есть три абзаца конфиденциальной переписки между адвокатом и клиентом, две страницы анализа рабочей документации и семнадцать случаев номеров социального страхования, которые федеральные правила требуют от вас удалить перед подачей.

Вы рисуете черные прямоугольники поверх конфиденциального текста, сохраняете PDF-файлы и предоставляете пакет документов.

Вы только что передали противоположной стороне все, что пытались скрыть. Текст все еще находится в файле. Его можно выделить, скопировать, вставить и прочитать. Каждое конфиденциальное сообщение. Каждый номер социального страхования. Каждый элемент рабочей документации, который, как вы думали, удалили.

Это не гипотетическая ситуация. Такое случалось с командами защиты по федеральным уголовным делам, с правительственными учреждениями, предоставляющими записи по Закону о свободе информации, и с юридическими фирмами, ведущими судебные процессы на миллионы долларов. Последствия варьируются от судебных санкций до исков о профессиональной халатности и дисциплинарных разбирательств в адвокатских коллегиях.

В этом руководстве рассматривается, что на самом деле представляет собой истинное удаление данных на уровне файла PDF, что федеральные правила требуют от вас удалять, как проверить, сработало ли удаление, и как построить рабочий процесс удаления, который защитит ваших клиентов и вашу лицензию.

How to Redact PDFs for Legal Discovery - true data removal vs visual cover-ups, with a step-by-step redaction checklist

Истинное удаление данных против визуального скрытия: Техническая реальность

Прежде чем обсуждать юридические требования, вам необходимо понять, что происходит внутри файла PDF, когда вы «удаляете» из него данные. Это различие — самое важное понятие во всем этом руководстве.

Как PDF хранят текст

Страница PDF — это поток содержимого, последовательность операторов, которые размещают отдельные символы в точных координатах на холсте. Когда в PDF отображается «SSN: 123-45-6789», файл содержит инструкции, размещающие каждый символ в определенной позиции x,y. Это принципиально отличается от документа Word или веб-страницы. Текст «встроен» в поток рендеринга на основе координат.

Когда вы рисуете черный прямоугольник поверх этого текста с помощью инструмента аннотаций, выделения или фигур, вы добавляете новый графический элемент на страницу. Исходные операторы текста остаются точно там, где они были. Черный прямоугольник располагается поверх текста, как стикер на напечатанной странице.

Результат: любой, кто получит PDF-файл, может выделить область под прямоугольником, скопировать ее и вставить полный не удаленный текст в любой текстовый редактор. Программные инструменты могут извлечь текст еще проще — без ручного выделения.

Что делает истинное удаление данных

Истинное удаление данных необратимо изменяет поток содержимого PDF. Оно не добавляет слой поверх текста. Оно удаляет сами операторы текста из структуры файла. После истинного удаления данных:

Символьные данные удаляются из потока содержимого.
Видимая область показывает черный (или цветной) прямоугольник.
Под прямоугольником ничего нет — нет текста для выделения, копирования или извлечения.
Текст не может быть восстановлен никакими средствами.
Инструменты поиска не находят совпадений для удаленных данных.
Ссылки на метаданные удаленных данных очищаются.

Это необратимая операция. Как только текст истинно удален, он исчезает. Отмены нет. В этом вся суть.

Сравнение

	Визуальное скрытие	Истинное удаление данных
Визуальный вид	Черный прямоугольник поверх текста	Черный прямоугольник поверх текста
Исходный текст	Остается в потоке содержимого PDF	Безвозвратно удален
Выделение и копирование	Полный текст можно скопировать	Нечего копировать
Поиск текста	Найдены совпадения	Нет совпадений
Программное извлечение	Возвращен полный текст	Данные не возвращены
Метаданные	Автор, комментарии, свойства сохранены	Очищены
Обратимость	Да — удалить слой аннотаций	Нет — данные уничтожены

Снаружи оба выглядят идентично. Разница полностью скрыта под поверхностью.

Известные случаи неудачного удаления данных

Это не крайние случаи. В них участвовали опытные юристы и государственные служащие, которые считали, что их действия по удалению данных были эффективными.

Дело Манафорта (2019)

Адвокаты Пола Манафорта подали в федеральный суд документы с «удаленными данными», которые на самом деле были черным выделением текста. Репортеры скопировали текст под черными полосами и выяснили, что Манафорт делился данными опросов президентской кампании с российским партнером и обсуждал план мирного урегулирования на Украине. Неудача с удалением данных стоила сотни тысяч долларов дополнительных юридических расходов, нанесла огромный репутационный ущерб и способствовала усугублению последствий дела.

Причина была проста: кто-то использовал функцию черного выделения в текстовом редакторе и экспортировал результат в PDF. Текстовый слой был полностью сохранен.

Руководство по безопасности TSA (2009)

Администрация транспортной безопасности опубликовала отредактированную версию своего руководства по процедурам досмотра в аэропортах. «Удаленными данными» были черные прямоугольники, нарисованные поверх текста. Исследователи безопасности удалили наложения и получили доступ к полному документу, раскрывающему исключения из правил досмотра, процедуры идентификации правоохранительных органов и уязвимости контрольно-пропускных пунктов. TSA пришлось пересмотреть весь протокол досмотра.

Прослушка AT&T / АНБ (2006)

В судебном процессе Electronic Frontier Foundation против AT&T компания подала юридическую записку с «удаленными» коммерческими тайнами. Удаленными данными были черные прямоугольники поверх текста. Полное содержимое — описывающее инфраструктуру наблюдения АНБ внутри объектов AT&T — было тривиально извлекаемым. Документ был загружен тысячи раз.

Общая нить

В каждом случае режим отказа был идентичен: визуальный элемент помещался поверх текста без удаления самого текста. Люди, совершившие эти ошибки, не были неопытными любителями. Это были юристы, государственные служащие и специалисты по безопасности, использующие инструменты, которые просто не выполняют истинное удаление данных.

Что требуют федеральные правила для удаления данных

Федеральные правила гражданского судопроизводства 5.2: Защита конфиденциальности судебных документов

Правило 5.2 Федеральных правил гражданского судопроизводства требует, чтобы любая подача в суд, содержащая определенные категории личной информации, включала только частичные идентификаторы:

Тип информации	Что должно быть удалено	Что может остаться
Номера социального страхования	Все, кроме последних 4 цифр	Только последние 4 цифры
Идентификаторы налогоплательщика	Все, кроме последних 4 цифр	Только последние 4 цифры
Даты рождения	Месяц и день	Только год рождения
Имена несовершеннолетних	Полное имя	Только инициалы
Номера финансовых счетов	Все, кроме последних 4 цифр	Только последние 4 цифры

Это не опция. Это применимо к каждой подаче по каждому федеральному гражданскому делу. Многие суды штатов приняли аналогичные или идентичные правила.

Важно отметить, что Правило 5.2 применяется конкретно к судебным документам. Производства по раскрытию информации между сторонами регулируются другими правилами, но практическая реальность такова, что большинство соглашений о раскрытии информации также требуют удаления персональных данных — и любой документ, который может быть в конечном итоге подан в суд, должен быть готов к удалению данных.

Правило 26(b)(5) ФГСП: Журналы привилегий

Когда вы отказываетесь предоставить или удаляете информацию на основании привилегии (адвокатская тайна, доктрина рабочей документации или другая признанная привилегия), Правило 26(b)(5)(A) требует от вас:

Четко заявить о претензии на привилегию.
Описать характер удержанного материала достаточно подробно, чтобы другая сторона могла оценить претензию — не раскрывая сам конфиденциальный контент.

Это означает, что каждое удаление данных на основании привилегии должно иметь соответствующую запись в журнале привилегий. Журнал обычно включает дату, тип документа, автора, получателя, общий предмет, а также конкретную заявленную привилегию.

Если вы удаляете контент, но не регистрируете его, противоположная сторона может оспорить удаление. Если суд найдет недостаточные основания, вас могут обязать предоставить не удаленный документ — или столкнуться с санкциями.

Какие категории следует удалять при раскрытии информации

Помимо обязательных категорий персональных данных в Правиле 5.2, удаление данных при раскрытии информации обычно подпадает под следующие категории:

Конфиденциальные сообщения между адвокатом и клиентом — конфиденциальные сообщения между адвокатом и клиентом, сделанные с целью получения или предоставления юридической консультации. Это включает электронные письма, служебные записки, заметки и любые документы, отражающие суть таких сообщений.

Рабочая документация адвоката — материалы, подготовленные в преддверии судебного разбирательства. Это могут быть заметки интервью, служебные записки, юридические исследования, умственные впечатления, стратегии и юридические теории. В соответствии с доктриной рабочей документации, рабочая документация мнения (умственные впечатления и юридические выводы) пользуется более сильной защитой, чем фактическая рабочая документация.

Нерелевантные личные данные — хотя суды в целом постановили, что вы не можете в одностороннем порядке удалять информацию, которую считаете «нерелевантной», из раскрываемых документов, вы можете подать ходатайство о защитном приказе в соответствии с Правилом 26(c)(1) для защиты личной информации, которая действительно не имеет отношения к искам или возражениям.

Коммерческие тайны и конфиденциальная деловая информация — часто регулируется согласованным защитным приказом, а не удалением данных, но при некоторых производствах удаление конкретного контента, составляющего коммерческую тайну, может быть уместным.

Пошаговый рабочий процесс удаления данных для юридического раскрытия информации

Шаг 1: Определите, что нужно удалить

Прежде чем приступать к работе с каким-либо документом, определите категории данных для удаления. Создайте письменный протокол, который определяет:

Какие категории информации будут удаляться (персональные данные согласно Правилу 5.2, конфиденциальный контент, рабочая документация).
Кто просматривает документы и принимает решения об удалении.
Как решения об удалении документируются для журнала привилегий.
Какой процесс контроля качества проверяет полноту удаления.

Для больших объемов документов этот протокол должен быть согласован с противоположной стороной во время конференции по Правилу 26(f). Раннее достижение согласия предотвращает споры в дальнейшем.

Шаг 2: Выполните истинное удаление данных

Используя инструмент Redact PDF от PDFSub:

Загрузите документ — инструмент обрабатывает файлы непосредственно в вашем браузере. PDF никогда не покидает ваше устройство, что устраняет риск конфиденциальности при загрузке клиентских документов на внешний сервер.
Выберите текст для удаления — выделите конкретный текст, абзацы или области, содержащие конфиденциальную или чувствительную информацию. Вы можете выделять отдельные слова, полные предложения или прямоугольные области.
Примените удаление — инструмент необратимо удаляет выбранный текст из потока содержимого PDF. Это истинное удаление данных — исходные данные уничтожаются, а не скрываются.
Сохраните отредактированный документ — скачайте новый PDF. Удаленный контент безвозвратно удален из файла.

Поскольку инструмент работает в браузере, конфиденциальные клиентские данные — номера социального страхования, конфиденциальные сообщения, номера финансовых счетов — никогда не загружаются на какой-либо сервер. Это напрямую соответствует обязательствам по конфиденциальности в соответствии с Модельной нормой 1.6.

Шаг 3: Очистите метаданные

Удаление видимого текста — это только половина работы. Файлы PDF содержат метаданные, которые могут раскрыть информацию, которую вы намеревались сохранить в конфиденциальности:

Свойства документа — имя автора, дата создания, даты модификации, программное обеспечение, использованное для создания документа.
Комментарии и аннотации — комментарии рецензентов, стикеры и отслеживаемые изменения из предыдущих черновиков.
Закладки — закладки для навигации, которые могут ссылаться на удаленные разделы по имени.
Встроенные вложения файлов — некоторые PDF-файлы содержат вложенные файлы, которые могут включать не удаленные версии.
Данные полей формы — скрытые поля формы могут содержать данные, которые были заполнены, а затем «очищены».
Метаданные XMP — расширенные метаданные, которые могут включать историю редактирования, информацию о версиях и многое другое.

После удаления контента просмотрите и очистите метаданные документа. Удалите информацию об авторе, комментарии и любые встроенные файлы, не являющиеся частью производства.

Шаг 4: Ведите журнал привилегий

Для каждого удаления, основанного на привилегии, создайте запись в журнале привилегий с:

Идентификатор документа (номер Бейтса или имя файла).
Дата документа.
Автор и получатели.
Тип документа (электронное письмо, служебная записка, письмо, отчет).
Общий предмет — достаточно подробно, чтобы противоположная сторона могла оценить претензию на привилегию, не раскрывая конфиденциальный контент.
Заявленная привилегия — адвокатская тайна, рабочая документация, совместная защита и т. д.

Хорошо поддерживаемый журнал привилегий — ваша защита от оспаривания удалений. Без него суд может обязать предоставить не удаленный документ.

Шаг 5: Проверьте удаление данных

Это шаг, который пропускают большинство людей — и именно он предотвращает сбои уровня Манафорта.

Чек-лист проверки:

Попробуйте выделить удаленную область — откройте отредактированный PDF и попытайтесь выделить текст в удаленных областях. Если вы можете выделить текст, удаление не удалось.
Попробуйте скопировать из удаленной области — даже если выделение кажется пустым, попробуйте скопировать из удаленной области и вставить в текстовый редактор. Если появится какой-либо текст, удаление не удалось.
Ищите известный удаленный контент — если вы удалили текст «123-45-6789», используйте функцию поиска PDF для поиска этой строки. Если результаты найдены, удаление не удалось.
Проверьте с помощью инструмента извлечения текста — используйте возможности извлечения текста PDFSub, чтобы извлечь весь текст из документа. Просмотрите выходные данные на наличие контента, который должен был быть удален.
Проверьте метаданные — убедитесь, что свойства документа, комментарии и встроенные файлы были очищены.

Выполняйте эту проверку для каждого документа перед производством. Для больших объемов производства установите выборку контроля качества — случайным образом проверяйте не менее 10% удаленных документов и 100% документов, содержащих наиболее конфиденциальные категории (номера социального страхования, финансовые счета, конфиденциальные сообщения).

Шаг 6: Производите с уверенностью

После успешной проверки документ готов к производству. Ваш удаленный контент был безвозвратно удален из файла, ваш журнал привилегий документирует основание для каждого удаления, и вы проверили, что не осталось восстанавливаемых данных.

Распространенные ошибки при удалении данных, которых следует избегать

Ошибка 1: Использование инструментов выделения или аннотирования

Текстовые процессоры и базовые программы просмотра PDF предлагают инструменты выделения и аннотирования, которые выглядят как удаление, но ничего не делают с исходным текстом. Черное выделение, поля для комментариев и рисование фигур — все это визуальные наложения. Ни одно из них не удаляет данные.

Ошибка 2: Удаление данных с напечатанной копии

Некоторые юристы печатают документ, используют черный маркер на бумаге, а затем сканируют результат. Хотя это действительно удаляет цифровой текстовый слой (сканирование создает новое изображение), это создает риск распознавания текста (OCR): если отсканированный документ позже будет обработан программным обеспечением оптического распознавания символов, текст под несовершенным покрытием маркера может быть частично восстановлен. Это также приводит к снижению качества документа и добавляет ненужные шаги.

Ошибка 3: Забывание о метаданных

Вы можете идеально удалить каждое слово конфиденциального текста в теле документа и все равно утечь ту же информацию через свойства документа, комментарии или встроенные вложения. Очистка метаданных должна быть частью каждого рабочего процесса удаления данных.

Ошибка 4: Удаление данных без журнала привилегий

Удаление данных без документации приглашает к оспариванию. Если противоположная сторона ставит под сомнение удаление, а вы не можете предоставить запись в журнале привилегий, оправдывающую его, суд может обязать предоставить не удаленный документ — или сделать неблагоприятные выводы.

Ошибка 5: Неспособность проверить

Проверка занимает минуты. Сбой удаления данных в деле с высокими ставками может занять годы для разрешения. Никогда не предоставляйте отредактированный документ, не пройдя чек-лист проверки.

Создание общефирменного протокола удаления данных

Для юридических фирм и юридических отделов, регулярно занимающихся раскрытием информации, стандартизированный протокол удаления данных предотвращает превращение индивидуальных ошибок в общефирменные проблемы.

Обучение: Каждый юрист и параюрист, занимающийся удалением данных, должен понимать разницу между визуальным скрытием и истинным удалением данных. 30-минутное обучение с демонстрацией вживую предотвращает многолетнее потенциальное воздействие профессиональной халатности.

Стандартизация инструментов: Выберите один инструмент для удаления данных и потребуйте его использования во всей фирме. Использование несогласованных инструментов увеличивает риск того, что кто-то вместо инструмента удаления данных возьмет инструмент выделения.

Контроль качества: Внедрите этап проверки в рабочий процесс производства. Назначьте второй набор глаз — кого-то, кроме человека, выполнившего удаление, — для проверки чек-листа.

Интеграция журнала привилегий: Создавайте журнал привилегий по мере удаления данных, а не после. Ретроспективное создание журнала привилегий из удаленных документов чревато ошибками и отнимает много времени.

Хранение документов: Сохраняйте как исходные не удаленные документы, так и отредактированные версии для производства. Вам могут понадобиться оригиналы, если претензия на привилегию будет оспорена, и суд проведет внутренний пересмотр.

Почему браузерное удаление данных важно для юридической этики

Модельная норма 1.6 Американской ассоциации юристов требует от юристов предпринимать «разумные усилия для предотвращения случайного или несанкционированного раскрытия или несанкционированного доступа к информации, касающейся представления интересов клиента». Модельная норма 1.1, комментарий 8, далее требует технологической компетентности.

Когда вы загружаете документ клиента в облачный инструмент PDF, вы отправляете данные этого клиента — потенциально включая конфиденциальные сообщения, номера социального страхования и информацию о финансовых счетах — на внешний сервер. Вы можете не знать, где находится этот сервер, кто имеет к нему доступ, как долго хранятся данные или обрабатываются ли данные других пользователей на той же инфраструктуре.

Браузерная обработка полностью устраняет эту категорию риска. Когда инструмент Redact PDF от PDFSub обрабатывает документ в вашем браузере, файл никогда не покидает ваше устройство. Нет загрузки на сервер, нет облачного хранения, нет хранения данных. Обработка происходит локально в памяти вашего браузера, и когда вы закрываете вкладку, данные исчезают.

Для юристов, работающих с конфиденциальной клиентской информацией — а это практически все юристы — это различие напрямую соответствует стандарту «разумных усилий» в Норме 1.6.

Часто задаваемые вопросы

Является ли рисование черного прямоугольника поверх текста тем же самым, что и удаление данных?

Нет. Рисование черного прямоугольника, черное выделение или размещение аннотации поверх текста — все это визуальные наложения. Текст остается в потоке содержимого PDF и может быть выделен, скопирован, найден и извлечен кем угодно, кто получит файл. Истинное удаление данных необратимо удаляет текст из структуры файла. Оба выглядят идентично визуально, но только истинное удаление данных фактически удаляет информацию.

Что произойдет, если во время судебного разбирательства будет обнаружена ошибка при удалении данных?

Последствия варьируются в зависимости от юрисдикции и серьезности, но могут включать судебные санкции (денежные штрафы или инструкции о неблагоприятных выводах), иски о профессиональной халатности со стороны пострадавшего клиента, дисциплинарные разбирательства в адвокатской коллегии за нарушение обязательств по конфиденциальности и отказ от привилегии или защиты, применявшейся к раскрытой информации. В деле Манафорта ошибка при удалении данных раскрыла информацию, которая доминировала в новостном цикле и существенно повлияла на исход дела.

Нужно ли мне удалять метаданные в дополнение к видимому тексту?

Да. Метаданные PDF могут содержать имена авторов, даты создания и редактирования документов, комментарии, отслеживаемые изменения, встроенные файлы и другую информацию, которая может быть конфиденциальной или чувствительной. Документ с идеально удаленным текстом тела все равно может раскрыть информацию через свои метаданные. Всегда очищайте метаданные как часть вашего рабочего процесса удаления данных.

Могу ли я удалять нерелевантную информацию из документов для раскрытия?

Федеральные суды в целом пришли к выводу, что Федеральные правила гражданского судопроизводства не разрешают стороне в одностороннем порядке удалять информацию только потому, что она считает ее нерелевантной. Однако вы можете подать ходатайство о защитном приказе в соответствии с Правилом 26(c)(1) для защиты подлинно нерелевантной личной информации от производства. Более безопасный подход — встретиться и обсудить с противоположной стороной на ранней стадии процесса раскрытия информации и установить согласованные протоколы удаления данных.

Как обрабатывать удаление данных в журнале привилегий?

Для каждого удаления, основанного на претензии на привилегию, ваш журнал привилегий должен включать идентификатор документа (например, номер Бейтса), дату, автора и получателей, тип документа, общее описание предмета (достаточно подробное, чтобы противоположная сторона могла оценить претензию, но не настолько подробное, чтобы раскрыть конфиденциальный контент) и конкретную заявляемую привилегию. Правило 26(b)(5)(A) требует этого — недостаточные записи в журнале привилегий могут привести к тому, что суд обяжет предоставить не удаленный документ.

Является ли удаление данных в PDFSub истинным удалением или визуальным наложением?

Инструмент Redact PDF от PDFSub выполняет истинное удаление данных. Он необратимо удаляет выбранный текст из потока содержимого PDF. После удаления данные нельзя выделить, скопировать, найти или извлечь никакими средствами. Инструмент обрабатывает файлы полностью в вашем браузере — документ никогда не покидает ваше устройство — что соответствует обязательствам юристов по конфиденциальности в соответствии с Модельной нормой 1.6.

Заключение

Ошибки при удалении данных являются одними из самых избегаемых ошибок в юридической практике, но они продолжают случаться, потому что инструменты, которые используют большинство людей — функции выделения, слои аннотаций, черные фигуры — выглядят так, будто работают, но на самом деле не удаляют данные.

Решение простое: используйте инструмент, который выполняет истинное удаление данных (а не визуальное скрытие), очищайте метаданные после удаления контента, ведите журнал привилегий для каждого удаления на основании привилегии и проверяйте каждый документ перед производством. Делайте эти четыре вещи последовательно, и вы устраните целую категорию риска профессиональной халатности.

Если вы регулярно работаете с документами для раскрытия информации, инструмент Redact PDF от PDFSub выполняет истинное удаление данных непосредственно в вашем браузере — без загрузки на сервер, без облачного хранения, без хранения данных. Полный набор инструментов, включая сравнение документов, электронные подписи, OCR и слияние, см. в руководстве PDF Tools for Lawyers.