How to Redact Sensitive Information from a PDF

У вас є PDF-файл із номером соціального страхування на сторінці 3, домашньою адресою клієнта на сторінці 7 та номером банківського рахунку, прихованим у таблиці на сторінці 12. Вам потрібно надати цей документ — протилежній стороні, регуляторному органу, діловому партнеру чи громадськості — але ця конфіденційна інформація має бути видалена.

Тож ви відкриваєте PDF, малюєте чорний прямокутник поверх номера соціального страхування, зберігаєте та надсилаєте.

Ви щойно зробили найпоширенішу помилку при видаленні даних у світі. Текст залишається. Будь-хто, хто отримає цей PDF, може виділити «видалену» область, скопіювати прихований текст і вставити його в текстовий редактор. Номер соціального страхування вашого клієнта тепер знаходиться в буфері обміну когось.

Це не теоретичний ризик. Це траплялося з Міністерством юстиції США, TSA, компаніями зі списку Fortune 500 та юридичними фірмами, які займаються гучними справами. Справжнє видалення даних — таке, що фактично видаляє інформацію назавжди — вимагає спеціального процесу. Малювання фігур поверх тексту — це не воно.

Цей посібник охоплює, що таке справжнє видалення даних, чим воно відрізняється від фальшивої версії та три методи правильного виконання — включаючи один, який обробляє ваш документ повністю у вашому браузері, щоб конфіденційний вміст ніколи не потрапив на сервер.

Що насправді означає видалення даних

Real Redaction vs. Fake Redaction - What Actually Happens to Your Data

Видалення даних — це постійне, незворотне видалення інформації з документа. Не приховування. Не закриття. Видалення.

Коли ви належним чином видаляєте дані з PDF: видимий текст замінюється чорним полем, базові дані символів видаляються з потоку вмісту PDF, текст стає недоступним для пошуку, його неможливо відновити за допомогою копіювання/вставлення або програмного вилучення, а пов'язані метадані (закладки, коментарі, поля форм) очищаються. Якщо будь-яка з цих умов не виконана, ви маєте візуальне накладання — а не видалення даних.

Як PDF зберігають текст (і чому накладання не працюють)

Щоб зрозуміти, чому чорні прямокутники не працюють, вам потрібно зрозуміти, як PDF зберігають текст.

Сторінка PDF — це потік вмісту — послідовність операторів, які розміщують окремі символи в точних координатах x,y на полотні. Текст «SSN: 123-45-6789» зберігається як команди позиціонування, що розміщують кожен символ у певних місцях. Малювання чорного прямокутника поверх цього тексту додає новий графічний елемент до потоку вмісту, але вихідні текстові оператори залишаються недоторканими. Текст все ще у файлі. Його все ще можна виділити. Його все ще можна вилучити.

Уявіть це як наклеювання шматка чорного паперу на рядок у друкованому документі. Чорнило все ще на сторінці під ним. Справжнє видалення даних — це цифровий еквівалент вирізання цього рядка зі сторінки повністю та спалювання обрізків.

Справжнє видалення даних проти фальшивого

	Справжнє видалення даних	Фальшиве видалення даних
Візуальний вигляд	Чорний прямокутник поверх вмісту	Чорний прямокутник поверх вмісту
Базовий текст	Назавжди видалений	Залишається у файлі
Виділення та копіювання	Нічого виділяти	Текст можна скопіювати
Пошук тексту	Немає збігів	Знайдені збіги
Програмне вилучення	Дані не повертаються	Повний текст вилучено
Метадані	Очищено	Недоторкані
Можна скасувати?	Ні — інформація знищена	Так — видаліть накладання

Ззовні справжнє та фальшиве видалення даних виглядають однаково. Чорний прямокутник є в обох випадках. Різниця полягає виключно в тому, що відбувається під поверхнею — і ця різниця спричинила деякі з найбільш ганебних витоків інформації в історії.

Відомі невдачі з видаленням даних

Це не гіпотетичні сценарії. Кожен випадок нижче включав професіоналів з великих організацій, які вважали, що вони видалили конфіденційну інформацію. Вони цього не зробили.

Справа Манафорта (2019)

Адвокати Пола Манафорта подали судовий документ до Окружного суду США, в якому вони мали намір видалити деталі взаємодії свого клієнта з російською розвідкою. «Видалені» розділи були чорними прямокутниками — але базовий текст був повністю цілим. Репортери просто скопіювали та вставили прихований текст, виявивши, що Манафорт ділився даними опитувань з російським партнером. Історія домінувала в повному новинному циклі. Юридична команда використала функцію виділення текстового редактора (чорне виділення поверх чорного тексту) і експортувала до PDF, не усвідомлюючи, що текстовий шар зберігся.

План аеропортової безпеки TSA (2009)

Адміністрація транспортної безпеки опублікувала видалену версію свого посібника з процедур аеропортової безпеки. Видалення даних полягало в простих чорних прямокутниках, намальованих поверх тексту в PDF. Дослідники безпеки видалили накладання та отримали доступ до повного невідредагованого документа, який містив деталі про винятки з перевірок, процедури ідентифікації правоохоронних органів та вразливості контрольно-пропускних пунктів. TSA довелося переглянути весь свій протокол перевірок.

Справа про прослуховування AT&T / NSA (2006)

У позові Electronic Frontier Foundation проти AT&T щодо несанкціонованого прослуховування, AT&T подала юридичний документ із «видаленими» комерційними таємницями. Видалення даних полягало в чорних прямокутниках поверх тексту в PDF. Повний текст — що описував інфраструктуру спостереження NSA на об'єктах AT&T — був легко вилучений. Документ було завантажено тисячі разів, перш ніж його вилучили.

Шаблон

У кожному випадку режим збою був ідентичним: візуальний елемент був намальований поверх тексту, не видаляючи сам текст. І люди, які робили ці помилки, не були недбалими — вони були юристами, державними службовцями та фахівцями з безпеки. Інструменти, які вони використовували (текстові редактори, базові PDF-редактори, функції анотування), просто не виконують справжнього видалення даних.

Яку інформацію слід видаляти?

Відповідь залежить від вашого регуляторного середовища, але наступні категорії охоплюють найпоширеніші конфіденційні дані в ділових документах.

Особиста ідентифікаційна інформація (PII)

Номери соціального страхування (SSN) та податкові ідентифікаційні номери (TIN)
Номери банківських рахунків та маршрутизаційні номери
Номери кредитних та дебетових карток
Номери водійських посвідчень та паспортів
Дати народження
Домашні адреси та особисті номери телефонів
Адреси електронної пошти (у поєднанні з іншою PII)
Біометричні ідентифікатори

Фінансова інформація

Баланси рахунків та історія транзакцій
Суми зарплати та винагороди
Дані податкових декларацій
Деталі інвестиційних рахунків
Інформація про позики та іпотеку
Кредитні рейтинги та дані кредитних звітів

Медична інформація (HIPAA)

Імена пацієнтів у поєднанні з медичними даними
Номери медичних карток
Діагнози та деталі лікування
Інформація про рецепти
Номери полісів медичного страхування
Результати лабораторних досліджень та звіти про медичну візуалізацію

Юридична та ділова інформація

Імена неповнолітніх у судових документах
Ідентифікатори потерпілих та свідків у кримінальних процесах
Адвокатсько-клієнтські привілейовані повідомлення
Комерційні таємниці та пропрієтарні формули
Запечатані судові записи та матеріали великого журі
Номери справ та інформація про судовий розклад (у певних юрисдикціях)
Конфіденційні умови врегулювання

Кадрові та трудові записи

Номери SSN працівників та дані про податкове утримання
Суми зарплати та бонуси
Дисциплінарні записи та оцінки ефективності
Деталі медичної відпустки
Результати перевірки біографії
Нотатки внутрішніх розслідувань

Загальне правило: якщо інформація може ідентифікувати конкретну особу, розкрити її фінансовий стан, виявити її медичну історію або розкрити привілейовані юридичні повідомлення, її слід видалити перед тим, як документ буде надано будь-кому, хто не має законної потреби її бачити.

За типом документа

Різні документи, як правило, приховують конфіденційні дані в різних місцях:

Юридичні документи: Імена та адреси сторін (особливо у справах сім'ї/неповнолітніх), привілейовані повідомлення, ідентифікатори свідків, умови врегулювання, SSN у фінансових додатках, імена неповнолітніх
Фінансові документи: Номери рахунків та маршрутизації, SSN/TIN, деталі транзакцій, баланси, дані про зарплату
Медичні записи (HIPAA): Правило конфіденційності HIPAA визначає 18 конкретних ідентифікаторів, які повинні бути видалені для деідентифікації, включаючи імена, географічні дані, дати, телефони/факси/електронні адреси, SSN, номери медичних карток, ідентифікатори планів охорони здоров'я, номери рахунків, номери ліцензій, ідентифікатори пристроїв, біометричні дані та фотографії. Штрафи варіюються від 100 до 50 000 доларів США за порушення.
Кадрові документи: SSN працівників у податкових формах (W-2, W-4, I-9), суми зарплати, дисциплінарні записи, деталі медичної відпустки, результати перевірки біографії, особиста контактна інформація

Метод 1: Інструмент PDFSub для видалення даних з PDF (Рекомендовано)

Інструмент видалення даних з PDF від PDFSub виконує справжнє видалення — текст під позначками видалення назавжди видаляється з файлу, а не просто візуально закривається. І оскільки інструмент працює повністю у вашому браузері, документ, що містить вашу конфіденційну інформацію, ніколи не залишає ваш пристрій.

Як це працює

Крок 1: Завантажте свій PDF. Перетягніть документ на інструмент видалення даних з PDF або натисніть, щоб вибрати. Файл завантажується безпосередньо у ваш браузер — завантаження на сервер не відбувається.

Крок 2: Позначте області для видалення. Виберіть текст або області, які ви хочете видалити. Ви можете виділити окремі слова, речення, цілі абзаци або намалювати прямокутники видалення поверх зображень та діаграм. Інструмент показує вам точно, що буде видалено, перш ніж ви підтвердите.

Крок 3: Застосуйте видалення. Натисніть, щоб застосувати. Інструмент назавжди видаляє позначений вміст із потоку вмісту PDF. Текст видаляється — не приховується, не накладається, видаляється. Чорний прямокутник заповнює простір, де був вміст.

Крок 4: Завантажте. Збережіть видалений PDF. Файл, який ви завантажуєте, не містить жодного сліду видаленої інформації. Ви можете перевірити це, спробувавши виділити текст у видалених областях (немає нічого для виділення) або запустивши пошук тексту за видаленим вмістом (збігів не буде).

Чому цей метод найкращий для конфіденційних документів

Обробка в браузері. Весь процес видалення даних відбувається у вашому браузері. Ваш PDF ніколи не передається через Інтернет, ніколи не потрапляє на сторонній сервер і ніколи не реєструється, не кешується або не зберігається. Для робочих процесів, чутливих до відповідності, це не бажана функція — це вимога.

Справжнє видалення, а не анотування. Текст фактично видаляється з внутрішньої структури даних PDF, а не просто закривається. Після видалення вміст неможливо відновити.

Доступно. На відміну від Adobe Acrobat Pro за 240 доларів на рік, PDFSub надає професійне видалення даних за частку вартості. Почніть з 7-денної безкоштовної пробної версії, щоб перевірити, чи відповідає інструмент вашим потребам.

Працює на будь-якому пристрої. Видаляйте дані з PDF на Windows, Mac, Linux, Chromebook та планшетах — скрізь, де є сучасний веб-браузер.

Метод 2: Adobe Acrobat Pro

Adobe Acrobat Pro містить спеціальний інструмент для видалення даних, який виконує справжнє видалення. Це галузевий стандарт для юридичних та державних робочих процесів.

Як видаляти дані в Acrobat Pro

Крок 1: Відкрийте інструмент видалення даних. Перейдіть до Tools > Redact. Це відкриє панель інструментів видалення даних.

Крок 2: Позначте вміст для видалення. Натисніть і перетягніть, щоб вибрати текст, видалити цілі сторінки або скористайтеся функцією «Find and Redact» (Знайти та видалити), щоб шукати шаблони (наприклад, формати SSN) по всьому документу.

Крок 3: Застосуйте видалення. Це критичний крок, який багато користувачів пропускають. Позначення ставить червоний контур навколо тексту — воно ще не видаляє його. Ви повинні натиснути «Apply» (Застосувати), щоб назавжди видалити вміст.

Крок 4: Видаліть приховану інформацію. Використовуйте «Remove Hidden Information» (Видалити приховану інформацію), щоб очистити метадані, коментарі, поля форм та вкладені файли.

Переваги та недоліки

Acrobat Pro є галузевим стандартом із широким юридичним/державним визнанням, пропонує пакетне «Знайти та видалити» та видаляє приховану інформацію. Однак він коштує 240 доларів на рік, вимагає встановлення на робочий стіл, а двоступеневий процес (позначити, потім застосувати) є частою причиною помилок, коли користувачі забувають крок застосування.

Пастка двоступеневого процесу

Це заслуговує на наголос, оскільки це спричиняє реальні витоки даних: позначення вмісту для видалення не те саме, що його видалення. Позначення ставить візуальний індикатор. Текст все ще у файлі. Тільки застосування видаляє його. Якщо ви збережете та надішлете після позначення, але до застосування, ви надіслали документ із фальшивим видаленням даних.

Метод 3: Preview на Mac

Програма Preview від Apple (вбудована в macOS) має інструменти анотування, які можуть розміщувати чорні прямокутники поверх тексту. Багато користувачів Mac вважають, що це є видаленням даних. Це не так.

Що насправді робить Preview

Коли ви використовуєте інструмент анотування прямокутником у Preview, щоб закрити текст:

Чорна фігура малюється поверх вмісту PDF
Базовий текст залишається повністю цілим
Текст все ще можна виділити, клацнувши та перетягнувши під прямокутником
Текст все ще з'являється в результатах пошуку (Cmd+F)
Текст можна вилучити будь-яким інструментом для аналізу PDF
Анотування можна повністю видалити, розкривши вихідний текст

ПОПЕРЕДЖЕННЯ: Preview не виконує справжнього видалення даних

Анотування Preview не є видаленням даних. Це точно таке ж візуальне накладання, яке спричинило невдачі у справах Манафорта, TSA та AT&T, описані вище. Використання Preview для «видалення» PDF та його надсилання функціонально еквівалентно надсиланню невідредагованого документа.

Станом на macOS Sequoia (2025) Preview не має функції справжнього видалення даних. Якщо ви використовуєте Mac, скористайтеся інструментом видалення даних з PDF від PDFSub, що працює в браузері, або Adobe Acrobat Pro.

Як перевірити невдачу Preview

Спробуйте самі: відкрийте будь-який PDF у Preview, намалюйте чорний прямокутник поверх тексту, збережіть, знову відкрийте та натисніть Cmd+F, щоб знайти «прихований» текст. Він буде знайдений. Він ніколи не був видалений. Цей 30-секундний тест демонструє, чому інструменти анотування небезпечні при використанні для видалення даних.

Пакетне видалення: Пошук та видалення шаблонів

Коли вам потрібно видалити один і той самий тип інформації у великому документі, ручне виділення стає непрактичним. Пакетне видалення автоматизує процес, шукаючи шаблони та позначаючи всі збіги одночасно.

Поширені шаблони для пакетного видалення:

Тип даних	Формати шаблонів
Номери соціального страхування	`XXX-XX-XXXX`, `XXX XX XXXX`, `XXXXXXXXX`
Адреси електронної пошти	`[email protected]`
Номери телефонів	`(XXX) XXX-XXXX`, `XXX-XXX-XXXX`, `+1XXXXXXXXXX`
Номери кредитних карток	Послідовності з 13-19 цифр, часто групами по чотири
Номери рахунків	Послідовності з 8-17 цифр після «Account #» або «Acct»
Дати народження	`MM/DD/YYYY`, `Month DD, YYYY`, `DD-MM-YYYY`

Робочий процес: визначте свої шаблони, запустіть пошук по всіх сторінках, перегляньте кожен збіг (не кожен збіг шаблону є насправді конфіденційним), застосуйте все одночасно, а потім виконайте ручний огляд вмісту, який не відповідає вашим шаблонам. Імена, адреси та описи у вільному тексті рідко відповідають простим шаблонам і вимагають людського перегляду.

Юридичні вимоги до видалення даних

Видалення даних — це не просто найкраща практика. У багатьох контекстах це юридична вимога.

FOIA (Закон про свободу інформації). Федеральні агентства, які відповідають на запити FOIA, повинні розкривати документи, але зобов'язані видаляти інформацію, що підпадає під дев'ять конкретних винятків — включаючи інформацію про національну безпеку, комерційні таємниці, особисту приватність та записи правоохоронних органів. Закони штатів про відкриті записи накладають подібні вимоги. Неналежне видалення даних може призвести до судових позовів, судових наказів та санкцій проти агентств.

GDPR. Згідно з Загальним регламентом ЄС про захист даних, організації, які відповідають на запити суб'єктів даних (Стаття 15), повинні видаляти будь-які персональні дані третіх сторін у тих самих документах. «Право на забуття» (Стаття 17) також може вимагати видалення персональних даних із документів, які організація зобов'язана зберігати. Порушення можуть призвести до штрафів до 20 мільйонів євро або 4% річного світового доходу.

HIPAA. Захищена медична інформація повинна бути деідентифікована перед розкриттям для цілей, відмінних від лікування. Метод «Safe Harbor» вимагає видалення всіх 18 категорій ідентифікаторів, перелічених раніше. Штрафи варіюються від 100 до 50 000 доларів США за порушення.

Судові накази. Суди регулярно наказують видаляти імена неповнолітніх, комерційні таємниці, ідентифікатори інформаторів та запечатані матеріали в публічних файлах. Недотримання може призвести до санкцій за неповагу до суду, припинення справи або дисциплінарних заходів щодо адвоката.

Закони штатів про конфіденційність. CCPA/CPRA Каліфорнії, CDPA Вірджинії, CPA Колорадо та подібні закони штатів накладають зобов'язання, подібні до GDPR. Організації, які відповідають на запити даних споживачів, повинні видаляти інформацію третіх сторін перед розкриттям.

Поширені запитання

Чи можна відновити видалені дані?

Якщо видалення було виконано належним чином за допомогою справжнього інструменту видалення даних — ні. Дані символів назавжди видаляються. Немає прихованого шару, зашифрованого резервного копіювання, шляху для криміналістичного відновлення. Якщо «видалення» було просто фігурою, намальованою поверх тексту (фальшиве видалення), то так — будь-хто може виділити, скопіювати та вставити прихований текст за допомогою базового PDF-переглядача.

Чи можу я видалити інформацію із зображень у PDF?

Так. Інструменти видалення даних можуть розміщувати прямокутники над областями вбудованих зображень, растризуючи уражену область суцільною заливкою, щоб вихідні пікселі були знищені. Це важливо для сканованих документів, де текст існує як частина зображення, а не як виділені символи.

Що робити з полями форм?

Поля форм PDF зберігають дані окремо від видимого вмісту сторінки. Прямокутник видалення над видимим розташуванням поля форми не обов'язково видаляє збережені дані. Ретельне видалення також повинно згладити або видалити поля форм та пов'язані з ними дані.

Чи змінює видалення макет сторінки?

Ні. Видалені області замінюються прямокутниками суцільного кольору, які займають той самий простір, що й видалений вміст. Навколишній текст та макет залишаються на своїх вихідних позиціях.

Чи можна скасувати видалення?

Ні — у цьому й суть. Видалення є постійним і незворотним. Ось чому ви завжди повинні працювати з копією та зберігати оригінал без видалених даних у безпечному місці.

Чим видалення відрізняється від шифрування?

Шифрування обмежує хто може отримати доступ до всього документа. Видалення обмежує який вміст видимий у документі, до якого будь-хто може отримати доступ. Вони служать різним цілям і часто використовуються разом.

Чи є друк у PDF після закриття тексту дійсним методом видалення?

Ненадійно. Деякі драйвери друку в PDF згладжують візуальний шар і видаляють базовий текст. Деякі зберігають його. Цей метод ніколи не слід використовувати для конфіденційних видалень. Використовуйте спеціальний інструмент видалення даних.

Чи можу я видалити дані з PDF, захищеного паролем?

Вам потрібно розблокувати PDF перед видаленням. Якщо PDF має пароль власника (обмежує редагування) або пароль користувача (обмежує відкриття), вам спочатку потрібен цей пароль. Після розблокування процес видалення даних такий самий, як і для будь-якого незахищеного PDF.

Висновок

Документ, який виглядає видаленим, але насправді не є таким, гірший за невідредагований документ — він створює хибне відчуття безпеки, яке змушує людей ділитися конфіденційною інформацією, яку вони б інакше захистили.

Три висновки:

Використовуйте справжній інструмент видалення даних. Малювання фігур поверх тексту нічого не видаляє. Текст залишається у файлі. Використовуйте інструмент, який видаляє базовий вміст.
Перевіряйте кожного разу. Спробуйте виділити текст у видалених областях, шукайте видалений вміст і тестуйте в іншій програмі.
Захищайте документ під час обробки. Якщо ваш інструмент завантажує ваш PDF на сервер, ваш конфіденційний документ тепер знаходиться на сторонньому сервері. Інструмент видалення даних з PDF від PDFSub обробляє документи у вашому браузері — файл ніколи не залишає ваш пристрій.

Ціна неправильного видалення даних — це розкриті номери SSN, витік медичних записів, розкриті комерційні таємниці та штрафи регуляторних органів, що сягають мільйонів. Ціна правильного виконання — це кілька хвилин вашого часу.

Спробуйте безкоштовно інструмент видалення даних з PDF від PDFSub протягом 7 днів і переконайтеся самі, що конфіденційна інформація назавжди зникла.