Come oscurare i dati personali da file Word, PDF ed Excel
Un riquadro nero o un’evidenziazione non oscura davvero nulla: si limita a coprire il testo, che resta nel file, ancora selezionabile e copiabile. Questa guida mostra come rimuovere correttamente i dati personali (e i metadati nascosti che li circondano) da Word, PDF ed Excel, e come verificare che tutto abbia funzionato prima di condividere il file.
Perché un riquadro nero (o un’evidenziazione) non è oscuramento
Quando disegna un rettangolo nero sopra il testo, o lo evidenzia di nero, aggiunge una forma sopra la pagina. Le parole sottostanti restano intatte: ancora nel flusso di contenuto del documento, ancora selezionabili, ricercabili e copiabili. La guida all’oscuramento per il deposito telematico della Corte d’appello degli Stati Uniti per il circuito del Distretto di Columbia elenca gli strumenti grafici e di commento di Acrobat, che anneriscono o coprono il testo, tra i metodi da non usare, e avverte che chiunque può rimuovere le modifiche fatte con questi strumenti e rivelare il testo sottostante. (Fonte: U.S. Court of Appeals, D.C. Circuit.)
I celebri fallimenti dell’oscuramento
Continua a succedere: a studi legali, agenzie governative e tribunali. Una breve rassegna:
| Caso | Cosa è andato storto |
|---|---|
| Paul Manafort filing (2019) | Parti di una memoria depositata dagli avvocati di Paul Manafort dovevano restare oscurate e secretate. Selezionando il testo, copiandolo e incollandolo in un altro documento, i passaggi oscurati comparivano per intero, comprese le accuse secondo cui avrebbe mentito sulla condivisione di dati di sondaggi con Konstantin Kilimnik. |
| DOJ Epstein files (reported 2026) | L’Epstein Files Transparency Act limitava gli oscuramenti ai dati delle vittime, eppure alcune informazioni identificative sono comunque finite nei file pubblicati. Todd Blanche ha dichiarato che il Dipartimento di Giustizia ha sbagliato gli oscuramenti nell’1% dei casi e che gli errori sono stati corretti non appena gli sono stati segnalati. |
| Maxwell deposition (2020) | I nomi oscurati furono ricostruiti non con un copia-incolla, ma partendo da un indice alfabetico delle parole rimasto nel file — a riprova che la verifica deve spingersi oltre il test del copia-incolla. |
| Glyph-position study (2022) | Alcuni ricercatori hanno esaminato 11 diffusi strumenti di oscuramento dei PDF, tra cui Adobe Acrobat. I minimi spostamenti sub-pixel dei caratteri attorno a un oscuramento hanno permesso loro di risalire a nomi e cognomi e di recuperare il testo dietro centinaia di oscuramenti reali in PDF. |
In tre casi su quattro i dati sono sopravvissuti fuori dalla parte visibile della pagina: nel livello di testo, in un indice delle parole, nelle posizioni delle lettere attorno allo spazio oscurato. Coprire non significa rimuovere. Se le serve un PDF in cui sotto i riquadri neri non resti nulla, la modalità Redact di Occlira imprime gli oscuramenti, sul suo computer, in una copia composta solo da immagini: senza livello di testo da copiare e senza i metadati e le annotazioni del file di origine, mentre l’originale resta intatto.
I dati nascosti che non si vedono
Anche quando si cancella il testo visibile, un file si porta dietro dati che vanno oltre ciò che appare sullo schermo. Microsoft ha creato Document Inspector proprio per trovarli e rimuoverli. (Fonte: Microsoft.) Ciò che si annida varia a seconda del formato:
Word (DOCX)
Revisioni e cronologia delle modifiche, commenti, il nome dell’autore e le proprietà del documento, intestazioni/piè di pagina, testo nascosto e XML personalizzato.
Metadati del documento, file allegati e contenuti incorporati. In Acrobat, oscuramento e bonifica sono due passaggi separati: secondo la guida di Adobe, l’oscuramento rimuove solo testo e grafica visibili, mentre i dati nascosti, come i metadati o i contenuti incorporati, vanno bonificati a parte. È la bonifica a eliminare queste tre categorie; Acrobat propone di eseguirla al salvataggio degli oscuramenti. (Fonti: Adobe, copia archiviata da Internet Archive il 16 settembre 2026; Loughborough University, in inglese.)
Excel (XLSX)
Righe nascoste, colonne nascoste che contengono ancora dati, fogli di lavoro nascosti, commenti nelle celle — e la cache pivot: Microsoft segnala che una cartella di lavoro può contenere, per tabelle e grafici pivot, dati memorizzati nella cache che potrebbero non essere visibili, e l’ICO precisa che una tabella pivot resta collegata alla sua fonte di informazioni anche se viene copiata in una nuova cartella di lavoro o se si elimina il foglio che conteneva i dati. Quanto all’opzione per salvare i dati di origine insieme al file, Microsoft avverte che non va usata per gestire la privacy dei dati. Il caso della Police Service of Northern Ireland (PSNI), però, non è passato da una tabella pivot ma da una scheda nascosta: cognomi, iniziali, gradi e ruoli di tutti i 9.483 agenti e dipendenti erano in una scheda nascosta di un foglio di calcolo pubblicato online in risposta a una richiesta di accesso ai sensi del Freedom of Information Act. L’ICO ha inflitto alla PSNI una sanzione di 750.000 £ (avviso di sanzione del 26 settembre 2024, annunciato a ottobre 2024). (Fonti: Microsoft, Document Inspector; Microsoft, opzioni della tabella pivot; ICO, fogli di calcolo; ICO, maggio 2024; ICO, ottobre 2024; ICO, avviso di sanzione.)
Come oscurare correttamente, formato per formato
- Word (DOCX). Accetti o rifiuti prima tutte le revisioni, elimini i commenti e disattivi il rilevamento delle modifiche. Poi cancelli davvero il testo sensibile, o lo sostituisca con [REDACTED] tramite Trova e sostituisci — non si limiti a evidenziarlo di nero. Esegua quindi Document Inspector di Microsoft (File → Informazioni → Verifica documento → Controlla documento) per rimuovere nome dell’autore, proprietà del documento e altri dati nascosti; esiste solo su Windows, Word per Mac non lo ha (lì controlli le proprietà a mano). Salvi, quindi verifichi il file salvato con i test più sotto.
- PDF. Usi un vero strumento di oscuramento che cancella gli oggetti di testo sottostanti, non uno che si limita a disegnarci sopra un riquadro. Poi esegua un passaggio separato di “bonifica” per eliminare metadati, file allegati e contenuti incorporati — in Acrobat sono due passaggi distinti.
- Excel (XLSX). Cancelli le righe, le colonne e i fogli di lavoro che il destinatario non deve vedere: non si limiti a nasconderli, perché così restano nel file. Non invii tabelle pivot costruite su dati che non condivide; invii piuttosto le cifre. L’ICO avverte che una tabella pivot resta collegata alla sua fonte di informazioni, e Microsoft precisa che l’opzione per salvare i dati di origine insieme al file non va usata per gestire la privacy dei dati. Esegua poi Document Inspector, quindi esporti ogni foglio in CSV e lo rilegga: l’ICO suggerisce questa conversione per far emergere tutte le informazioni visualizzabili.
La strada manuale funziona, ma un processo in più passaggi e diverso per ogni formato si presta alle sviste: basta saltare la bonifica o la cache pivot e i dati sfuggono. Uno strumento che rileva i dati personali al posto suo riduce queste sviste; la pulizia della cache pivot e dei fogli nascosti resta però manuale.
Come verificare che un oscuramento abbia davvero funzionato
Prima che qualsiasi cosa lasci la sua macchina, esegua questo controllo:
- Test del copia-incolla: selezioni attraversando l’oscuramento e incolli altrove — non deve ricomparire nulla di ciò che ha rimosso.
- Test di ricerca: prema Ctrl-F cercando i nomi o i numeri rimossi — non dovrebbe emergere alcun risultato.
- Questi due test valgono solo per file Word ed Excel e per PDF con livello di testo: in un PDF scansionato o composto solo da immagini la ricerca non trova nulla per costruzione, quindi controlli ogni pagina a occhio.
- Su Windows, riesegua Document Inspector di Microsoft sul file Word o Excel finale: non dovrebbe segnalare nulla di ciò che intendeva rimuovere.
- Verifichi che proprietà del documento, autore, revisioni e commenti siano spariti.
- Per i fogli di calcolo, scopra ogni riga, colonna e foglio di lavoro, poi esporti ogni foglio in CSV e lo rilegga. Questa esportazione non dimostra che la cache di una tabella pivot sia sparita: elimini a parte le tabelle pivot costruite su dati che non condivide, oppure ricostruisca la cartella di lavoro da condividere a partire dai file CSV.
- Ricordi che il solo test del copia-incolla non basta: nei casi Maxwell e delle posizioni dei glifi i dati sono affiorati attraverso altre strutture, quindi confermi che il contenuto sottostante sia cancellato, non coperto.
Cosa richiedono le norme
Le indicazioni dell’ICO del 2025 sulla divulgazione dei documenti elencano i dati nascosti da eliminare — metadati, revisioni e commenti, righe/colonne/fogli di lavoro nascosti e dati pivot — e raccomandano Document Inspector e la conversione dei file in CSV per farli emergere. (Fonti: ICO, documenti; ICO, fogli di calcolo.) Nelle cause civili federali statunitensi, salvo diverso ordine del tribunale e fatte salve le eccezioni previste, la Rule 5.2 impone di oscurare i numeri di previdenza sociale e di identificazione fiscale (ultime quattro cifre), le date di nascita (solo l’anno), i nomi dei minori (iniziali) e i numeri di conto finanziario (ultime quattro cifre). Il cancelliere non è tenuto a verificarne la conformità: la responsabilità ricade sull’avvocato e sulla parte o sul terzo che deposita l’atto. Per le informazioni sanitarie soggette alla HIPAA negli Stati Uniti, consulti l’elenco dei 18 identificatori HIPAA; altre norme o altri destinatari possono richiedere campi diversi.
Oscuri Word, PDF ed Excel con Occlira — sul suo dispositivo
Occlira è un’app desktop per Windows e macOS (Apple Silicon) con due strumenti per i documenti, e lavora sul suo
computer: nulla viene caricato. Anonymize trova i dati personali nei file Word (DOCX) ed Excel (XLSX)
e li sostituisce direttamente nel file con segnaposto coerenti come <PERSON_1>, mantenendo la
formattazione; commenti, revisioni e proprietà del documento vengono ripuliti nello stesso passaggio. Nella schermata
di revisione può fare clic su ogni rilevamento evidenziato per mantenerlo o oscurarlo, e selezionare il testo che è
sfuggito, prima che la copia venga esportata. PDF, email (EML) e scansioni passano da Anonymize come testo (.txt).
Anonymize è reversibile per scelta: la mappatura resta sul suo computer e Deanonymize ripristina i valori reali in un file restituito. In termini di GDPR si tratta di pseudonimizzazione, non di anonimizzazione, quindi il risultato è comunque un dato personale — la consideri una misura di minimizzazione dei dati, non una scappatoia dalle norme (maggiori dettagli in che cosa sono i dati personali (PII)?).
Per un risultato irreversibile c’è Redact, per i PDF e le immagini di testo. Mostra un riquadro per
ogni termine rilevato: può mantenerlo o toglierlo, aggiungere un termine sfuggito o disegnare un riquadro a mano.
Il risultato è il file <nome>_redacted.pdf, salvato accanto all’originale, che non viene
modificato: un PDF composto solo da immagini, senza livello di testo e senza i metadati e le annotazioni del file di
origine. Non si può annullare. Dopo l’oscuramento l’app estrae di nuovo il testo per verificare che nessun termine
oscurato sia ancora rintracciabile; sulle pagine scansionate questa verifica è solo un avviso, quindi il controllo
finale è visivo. Il compromesso: nel risultato non si può selezionare nulla.
Il componente aggiuntivo di Occlira per Word desktop protegge i dati personali direttamente nel documento aperto: lei esamina i rilevamenti, li sostituisce e in seguito ripristina i valori reali. Per i fogli di calcolo, esegua comunque la pulizia manuale della cache pivot e dei fogli nascosti descritta sopra: Occlira gestisce i dati personali nelle celle, non le strutture interne di Excel. La rilevazione avviene offline; l’app si collega a Internet solo per attivare la licenza (tramite Polar), scaricare il modello e verificare gli aggiornamenti. È un aiuto, non una garanzia di conformità: i controlli finali restano a lei.
Domande frequenti
No. Un rettangolo nero (o un’evidenziazione nera) è solo una copertura visiva disegnata sopra un livello di testo intatto: le parole sono ancora nel file e restano selezionabili, ricercabili e copiabili. La guida all’oscuramento per il deposito telematico della Corte d’appello degli Stati Uniti per il circuito del Distretto di Columbia indica esplicitamente gli strumenti di annerimento e copertura tra i metodi da NON usare. Il vero oscuramento rimuove il contenuto sottostante.
Perché l’oscuramento ha nascosto il testo solo a livello visivo, lasciandolo nel flusso di contenuto del PDF. Chiunque può selezionare sopra il riquadro e incollare le parole altrove — è così che sono state lette le parti secretate di una memoria di Manafort nel 2019. Un oscuramento corretto cancella gli oggetti di testo, così non resta nulla da copiare.
Revisioni e cronologia delle modifiche, commenti, il nome dell’autore e altre proprietà del documento, intestazioni e piè di pagina, testo nascosto e XML personalizzato. Microsoft ha creato Document Inspector proprio per trovarli e rimuoverli.
È uno strumento integrato di Office (File → Informazioni → Verifica documento → Controlla documento) che rimuove i dati nascosti e personali: commenti e segni di revisione, proprietà del documento incluso il nome utente, intestazioni/piè di pagina, testo nascosto e XML personalizzato — e in Excel righe nascoste, colonne nascoste che contengono dati e fogli di lavoro nascosti.
Spesso sì. L’ICO avverte che una tabella pivot resta collegata alla sua fonte di informazioni anche se viene copiata in una nuova cartella di lavoro o se si elimina il foglio che conteneva i dati, e Microsoft segnala che una cartella di lavoro può conservare, per le tabelle pivot, dati memorizzati nella cache che non sono visibili. Se al destinatario serve solo la sintesi, invii le cifre anziché la tabella pivot; in ogni caso elimini le tabelle pivot costruite su dati che non condivide, poi ricostruisca la cartella di lavoro da condividere a partire da ogni foglio esportato in CSV, come suggerisce l’ICO.
L’oscuramento rimuove definitivamente il testo o le immagini specifiche che si contrassegnano. La bonifica è un passaggio separato che elimina metadati, file allegati e contenuti incorporati. Di solito servono entrambi: il solo oscuramento lascia i dati nascosti al loro posto.
Esegua il test del copia-incolla e cerchi i termini rimossi: non deve ricomparire nulla di ciò che ha rimosso. Entrambi i test presuppongono un livello di testo; un PDF scansionato o composto solo da immagini va controllato a occhio, pagina per pagina. Su Windows, riesegua Document Inspector sul file Word o Excel finale: non dovrebbe segnalare nulla di ciò che intendeva rimuovere. Verifichi che autore, proprietà e revisioni siano spariti e, per i fogli di calcolo, scopra tutto, esporti ogni foglio in CSV e lo rilegga. Non si affidi al solo test del copia-incolla: alcune fughe di dati passano attraverso indici e posizioni dei glifi, quindi confermi che il contenuto sia cancellato, non coperto.
Nelle cause civili federali statunitensi, salvo diverso ordine del tribunale e fatte salve le eccezioni della norma, la Federal Rule of Civil Procedure 5.2 impone a chi deposita di oscurare i numeri di previdenza sociale e di identificazione fiscale (lasciando solo le ultime quattro cifre), le date di nascita (solo l’anno), i nomi dei minori (solo le iniziali) e i numeri di conto finanziario (solo le ultime quattro cifre). Il cancelliere non è tenuto a verificarne la conformità: la responsabilità ricade sull’avvocato e sulla parte o sul terzo che deposita l’atto.
Dipende dallo strumento. Redact trasforma un PDF in una copia composta solo da immagini e non si può annullare; il file originale resta intatto. Anonymize, lo strumento per i file Word ed Excel, sostituisce gli identificatori con segnaposto e conserva la mappatura sul suo computer, così Deanonymize può ripristinare i valori reali. È pseudonimizzazione, non anonimizzazione: la copia con i segnaposto resta un dato personale.
Oscuri i suoi file in locale
Sostituisca i dati personali nei file Word ed Excel oppure li oscuri in modo irreversibile nei PDF, sul suo computer. Gratis per 14 giorni su Windows e macOS (Apple Silicon).
Altro: ChatGPT per avvocati · per i commercialisti · rimuovere i dati personali dall’audio · come vengono gestiti i suoi dati