Zo redigeer je PII uit Word-, PDF- en Excel-bestanden
Wie een document “redigeert” met een zwart vlak of een markering, verwijdert in werkelijkheid niets: de tekst wordt alleen maar bedekt en blijft in het bestand staan, nog steeds selecteerbaar en kopieerbaar. Deze gids laat zien hoe u persoonsgegevens (en de verborgen metadata eromheen) correct verwijdert uit Word, PDF en Excel, en hoe u controleert of het gelukt is voordat u het bestand deelt.
Waarom een zwart vlak (of markering) geen redactie is
Wanneer u een zwarte rechthoek over tekst tekent of die tekst zwart markeert, voegt u een vorm toe boven op de pagina. De woorden eronder blijven onaangeroerd — nog steeds in de contentstroom van het document, nog steeds selecteerbaar, doorzoekbaar en kopieerbaar. De redactiehandleiding voor elektronisch indienen van het Amerikaanse federale hof van beroep voor het D.C. Circuit schaart de teken- en opmerkingentools van Acrobat, die tekst zwart maken of afdekken, onder de methoden die u niet moet gebruiken, met de waarschuwing dat iedereen de bewerkingen van die tools weer kan verwijderen en zo de tekst eronder kan onthullen. (Bron: U.S. Court of Appeals, D.C. Circuit.)
De beroemde redactieblunders
Het blijft misgaan — bij advocatenkantoren, overheidsinstanties en rechtbanken. Een korte bloemlezing:
| Zaak | Wat er misging |
|---|---|
| Paul Manafort filing (2019) | Delen van een processtuk van de advocaten van Paul Manafort hadden geredigeerd en verzegeld moeten blijven. Wie de tekst selecteerde, kopieerde en in een ander document plakte, kon de geredigeerde passages volledig lezen, inclusief beschuldigingen dat hij had gelogen over het delen van peilingsgegevens met Konstantin Kilimnik. |
| DOJ Epstein files (reported 2026) | De Epstein Files Transparency Act beperkte de redacties tot gegevens van slachtoffers, maar toch belandde er identificerende informatie in de vrijgegeven bestanden. Todd Blanche zei dat het ministerie van Justitie in 1% van de gevallen fouten maakte bij het redigeren, en dat fouten werden gecorrigeerd zodra het ministerie erop werd gewezen. |
| Maxwell deposition (2020) | Geredigeerde namen werden niet via kopiëren en plakken achterhaald, maar uit een alfabetische woordindex die in het bestand was achtergebleven — het bewijs dat verificatie verder moet gaan dan de kopieer-plaktest. |
| Glyph-position study (2022) | Onderzoekers testten 11 populaire PDF-redactietools, waaronder Adobe Acrobat. Minieme subpixelverschuivingen in de tekens rond een redactie lieten hen voor- en achternamen achterhalen, en ze haalden de tekst achter honderden echte PDF-redacties terug. |
In drie van de vier gevallen overleefden de gegevens buiten het zichtbare deel van de pagina: in de tekstlaag, in een woordindex, in de posities van de letters rond de weggelakte plek. Bedekken is niet hetzelfde als verwijderen. Hebt u een PDF nodig waarin onder de zwarte vlakken niets meer zit, dan brandt de Redact-modus van Occlira de redacties op uw eigen computer in een kopie die alleen uit afbeeldingen bestaat: zonder tekstlaag om te kopiëren en zonder de metadata en annotaties van het bronbestand, terwijl het origineel ongewijzigd blijft.
De verborgen gegevens die je niet ziet
Zelfs wanneer u de zichtbare tekst wél verwijdert, draagt een bestand gegevens met zich mee die verder gaan dan wat er op het scherm staat. Microsoft bouwde de Documentinspectie juist om die te vinden en te verwijderen. (Bron: Microsoft.) Wat er op de loer ligt, verschilt per bestandsformaat:
Word (DOCX)
Bijgehouden wijzigingen en revisiegeschiedenis, opmerkingen, de auteursnaam en documenteigenschappen, kop- en voetteksten, verborgen tekst en aangepaste XML.
Documentmetadata, bijgevoegde bestanden en ingesloten inhoud. In Acrobat zijn redactie en opschonen twee afzonderlijke stappen: volgens de helppagina van Adobe verwijdert redactie alleen zichtbare tekst en grafische elementen, en moeten verborgen gegevens, zoals metadata of ingesloten inhoud, apart worden opgeschoond. Pas het opschonen wist die drie categorieën; Acrobat vraagt of u wilt opschonen wanneer u de redacties opslaat. (Bronnen: Adobe, momentopname van het Internet Archive van 16 september 2026; Loughborough University, in het Engels.)
Excel (XLSX)
Verborgen rijen, verborgen kolommen die nog gegevens bevatten, verborgen werkbladen, celopmerkingen — en de draaitabelcache: Microsoft meldt dat een werkmap voor draaitabellen en draaigrafieken gegevens in de cache kan bewaren die mogelijk niet zichtbaar zijn, en volgens de ICO blijft een draaitabel gekoppeld aan de onderliggende bron, ook als u hem naar een nieuwe werkmap kopieert of het werkblad met de gegevens verwijdert. Over de optie om brongegevens met het bestand op te slaan zegt Microsoft dat die niet gebruikt moet worden om gegevensprivacy te beheren. Het lek bij de Police Service of Northern Ireland (PSNI) liep echter niet via een draaitabel maar via een verborgen tabblad: achternaam, initialen, rang en functie van alle 9.483 agenten en medewerkers stonden in een verborgen tabblad van een spreadsheet die online was gepubliceerd als antwoord op een verzoek onder de Britse Freedom of Information Act. De ICO legde de PSNI een boete op van £750.000 (boetebesluit van 26 september 2024, bekendgemaakt in oktober 2024). (Bronnen: Microsoft, Documentinspectie; Microsoft, draaitabelopties; ICO, spreadsheets; ICO, mei 2024; ICO, oktober 2024; ICO, boetebesluit.)
Zo redigeer je correct, formaat voor formaat
- Word (DOCX). Accepteer of weiger eerst alle bijgehouden wijzigingen, verwijder de opmerkingen en zet het bijhouden van wijzigingen uit. Wis daarna de gevoelige tekst zelf, of vervang die met Zoeken en vervangen door [REDACTED] — markeer die niet alleen zwart. Voer vervolgens de Documentinspectie van Microsoft uit (Bestand → Info → Controleren op problemen → Document inspecteren) om de auteursnaam, documenteigenschappen en andere verborgen gegevens te verwijderen; die bestaat alleen in Windows, Word voor Mac heeft er geen (controleer de eigenschappen daar met de hand). Sla het bestand op en controleer het opgeslagen bestand met de tests hieronder.
- PDF. Gebruik een echte redactietool die de onderliggende tekstobjecten verwijdert, en niet een die er alleen een vlak overheen tekent. Voer daarna een aparte opschoonronde uit om metadata, bijgevoegde bestanden en ingesloten inhoud te wissen. In Acrobat zijn dit twee afzonderlijke stappen.
- Excel (XLSX). Verwijder de rijen, kolommen en werkbladen die de ontvanger niet mag zien — verberg ze niet alleen, want dan blijven ze in het bestand staan. Stuur geen draaitabellen mee die zijn gebouwd op gegevens die u niet deelt; stuur in plaats daarvan de cijfers. De ICO waarschuwt dat een draaitabel gekoppeld blijft aan de onderliggende bron, en Microsoft stelt dat de optie om brongegevens met het bestand op te slaan niet gebruikt moet worden om gegevensprivacy te beheren. Voer daarna de Documentinspectie uit, exporteer elk werkblad naar CSV en lees het door: de ICO stelt die omzetting voor om alle weer te geven informatie zichtbaar te maken.
De handmatige route werkt, maar het proces bestaat uit meerdere stappen en verschilt per formaat, wat fouten in de hand werkt — mist u de opschoonronde of de draaitabelcache, dan gaan de gegevens gewoon mee. Een tool die de persoonsgegevens voor u opspoort, beperkt die vergissingen; het opschonen van de draaitabelcache en de verborgen werkbladen blijft handwerk.
Zo controleer je of een redactie echt gewerkt heeft
Voordat er iets uw computer verlaat, doorloopt u deze controle:
- Kopieer-plaktest: selecteer over de redactie heen en plak de selectie elders — niets van wat u hebt verwijderd mag tevoorschijn komen.
- Zoektest: druk op Ctrl-F en zoek naar de verwijderde namen of nummers — er mogen geen treffers zijn.
- Deze twee tests werken alleen bij Word- en Excel-bestanden en bij PDF’s met een tekstlaag: in een gescande PDF of een PDF die alleen uit afbeeldingen bestaat, vindt zoeken per definitie niets, dus controleer daar elke pagina met het oog.
- Voer onder Windows de Documentinspectie van Microsoft nogmaals uit op het definitieve Word- of Excel-bestand — die hoort niets te melden van wat u wilde verwijderen.
- Controleer of documenteigenschappen, auteur, bijgehouden wijzigingen en opmerkingen verdwenen zijn.
- Maak bij spreadsheets elke rij, kolom en elk werkblad zichtbaar, exporteer daarna elk werkblad naar CSV en lees het door. Die export bewijst niet dat de cache van een draaitabel verdwenen is: verwijder daarom apart de draaitabellen die zijn gebouwd op gegevens die u niet deelt, of bouw de werkmap die u deelt opnieuw op uit de CSV-bestanden.
- Houd er rekening mee dat de kopieer-plaktest op zichzelf niet volstaat — bij de zaken Maxwell en de glyphposities lekte informatie via andere structuren, dus controleer of de onderliggende inhoud daadwerkelijk is verwijderd en niet alleen bedekt.
Wat de regels vereisen
De ICO-richtlijn uit 2025 over het vrijgeven van documenten somt de verborgen gegevens op die u moet strippen — metadata, bijgehouden wijzigingen en opmerkingen, verborgen rijen, kolommen en werkbladen en draaitabelgegevens — en beveelt aan om de Documentinspectie te gebruiken en bestanden naar CSV te converteren om die bloot te leggen. (Bronnen: ICO, documenten; ICO, spreadsheets.) In Amerikaanse federale civiele zaken verplicht Rule 5.2, tenzij de rechter anders beslist en behoudens de uitzonderingen in de regel, het redigeren van Amerikaanse socialezekerheidsnummers en belastingidentificatienummers (laatste vier), geboortedata (alleen het jaar), namen van minderjarigen (initialen) en financiële rekeningnummers (laatste vier). De griffie hoeft dit niet op naleving te controleren; de verantwoordelijkheid ligt bij de advocaat en bij de partij of derde die het stuk indient. Voor Amerikaanse gezondheidsinformatie die onder HIPAA valt, raadpleegt u de lijst van 18 HIPAA-identificatiegegevens; andere regels of ontvangers kunnen andere velden vereisen.
Word, PDF en Excel redigeren met Occlira — op je eigen apparaat
Occlira is een desktopapp voor Windows en macOS (Apple Silicon) met twee tools voor documenten, en werkt op uw
eigen computer: er wordt niets geüpload. Anonymize vindt de persoonsgegevens in Word- (DOCX) en
Excel-bestanden (XLSX) en vervangt ze in het bestand zelf door consistente plaatshouders zoals
<PERSON_1>, met behoud van de opmaak; opmerkingen, bijgehouden wijzigingen en documenteigenschappen
worden in dezelfde ronde opgeschoond. In het controlescherm klikt u op elke gemarkeerde bevinding om die te behouden of
te redigeren, en selecteert u tekst die gemist is, voordat de kopie wordt geëxporteerd. PDF’s, e-mails (EML) en scans
levert Anonymize af als tekst (.txt).
Anonymize is bewust omkeerbaar: de koppeling blijft op uw computer en Deanonymize zet de echte waarden terug in een teruggestuurd bestand. In AVG-termen is dat pseudonimiseren, geen anonimiseren, dus het resultaat blijft persoonsgegevens — beschouw het als gegevensminimalisatie, niet als een manier om onder de regels uit te komen (meer daarover in wat is PII?).
Voor een onomkeerbaar resultaat is er Redact, voor PDF’s en afbeeldingen van tekst. Het toont een
vlak voor elke gevonden term: u behoudt of schrapt elk vlak, voegt een gemiste term toe of tekent zelf een vlak.
Het resultaat is <naam>_redacted.pdf, naast het origineel, dat ongewijzigd blijft: een PDF die
alleen uit afbeeldingen bestaat, zonder tekstlaag en zonder de metadata en annotaties van het bronbestand. Dit kan
niet ongedaan worden gemaakt. Na het inbranden haalt de app de tekst opnieuw op om te controleren dat geen enkele
geredigeerde term nog te vinden is; bij gescande pagina’s is die controle alleen een waarschuwing, dus de laatste
controle doet u met het oog. De keerzijde: in het resultaat is niets selecteerbaar.
De Occlira-invoegtoepassing voor desktop-Word beschermt de persoonsgegevens rechtstreeks in het geopende document: u bekijkt de bevindingen, vervangt ze en zet later de echte waarden terug. Voer bij spreadsheets alsnog de hierboven beschreven handmatige opschoning van de draaitabelcache en verborgen werkbladen uit — Occlira verwerkt de PII in de cellen, niet de interne structuren van Excel. De detectie werkt offline; de app gaat alleen online om de licentie te activeren (via Polar), het model te downloaden en op updates te controleren. Het helpt, maar garandeert geen naleving: de laatste controle blijft uw werk.
Veelgestelde vragen
Nee. Een zwarte rechthoek (of een zwarte markering) is niet meer dan een visuele laag die boven op een intacte tekstlaag wordt getekend — de woorden staan nog steeds in het bestand en blijven selecteerbaar, doorzoekbaar en kopieerbaar. De redactiehandleiding voor elektronisch indienen van het Amerikaanse federale hof van beroep voor het D.C. Circuit noemt zwartmaak- en afdektools uitdrukkelijk bij de methoden die u NIET moet gebruiken. Echte redactie verwijdert de onderliggende inhoud.
Omdat de redactie de tekst alleen visueel verborg en die in de contentstroom van de PDF liet staan. Iedereen kan over het vlak heen selecteren en de woorden elders plakken — zo werden in 2019 de verzegelde delen van een processtuk van Manafort gelezen. Correcte redactie verwijdert de tekstobjecten, zodat er niets meer te kopiëren valt.
Bijgehouden wijzigingen en revisiegeschiedenis, opmerkingen, de auteursnaam en andere documenteigenschappen, kop- en voetteksten, verborgen tekst en aangepaste XML. Microsoft bouwde de Documentinspectie juist om die te vinden en te verwijderen.
Het is een ingebouwde Office-tool (Bestand → Info → Controleren op problemen → Document inspecteren) die verborgen en persoonlijke gegevens verwijdert: opmerkingen en revisiemarkeringen, documenteigenschappen inclusief de gebruikersnaam, kop- en voetteksten, verborgen tekst en aangepaste XML — en in Excel verborgen rijen, verborgen kolommen die gegevens bevatten, en verborgen werkbladen.
Vaak wel. De ICO waarschuwt dat een draaitabel gekoppeld blijft aan de onderliggende bron, ook als u hem naar een nieuwe werkmap kopieert of het werkblad met de gegevens verwijdert, en Microsoft meldt dat een werkmap voor draaitabellen gegevens in de cache kan bewaren die niet zichtbaar zijn. Heeft de ontvanger alleen de samenvatting nodig, stuur dan de cijfers en niet de draaitabel; verwijder in elk geval de draaitabellen die zijn gebouwd op gegevens die u niet deelt, en bouw de werkmap die u deelt daarna opnieuw op uit de CSV-export van elk werkblad, zoals de ICO voorstelt.
Redactie verwijdert de specifieke tekst of afbeeldingen die u markeert definitief. Opschonen is een aparte stap die metadata, bijgevoegde bestanden en ingesloten inhoud wist. Meestal hebt u beide nodig — alleen redigeren laat de verborgen gegevens achter.
Voer de kopieer-plaktest uit en zoek naar de verwijderde termen: niets van wat u hebt verwijderd mag terugkomen. Beide tests vereisen een tekstlaag; een gescande PDF of een PDF die alleen uit afbeeldingen bestaat, controleert u pagina voor pagina met het oog. Voer onder Windows de Documentinspectie nogmaals uit op het definitieve Word- of Excel-bestand: die hoort niets te melden van wat u wilde verwijderen. Controleer of de auteur, eigenschappen en bijgehouden wijzigingen verdwenen zijn, en maak bij spreadsheets alles zichtbaar, exporteer elk werkblad naar CSV en lees het door. Vertrouw niet alleen op de kopieer-plaktest — sommige lekken lopen via indexen en glyphposities, dus controleer of de inhoud echt is verwijderd en niet alleen bedekt.
In Amerikaanse federale civiele zaken moeten indieners op grond van Federal Rule of Civil Procedure 5.2, tenzij de rechter anders beslist en behoudens de uitzonderingen in de regel, Amerikaanse socialezekerheidsnummers en belastingidentificatienummers (alleen de laatste vier cijfers), geboortedata (alleen het jaar), namen van minderjarigen (alleen de initialen) en financiële rekeningnummers (alleen de laatste vier cijfers) redigeren. De griffie hoeft dit niet op naleving te controleren — de verantwoordelijkheid ligt bij de advocaat en bij de partij of derde die het stuk indient.
Dat hangt van de tool af. Redact zet een PDF om in een kopie die alleen uit afbeeldingen bestaat, en dat kan niet ongedaan worden gemaakt; uw originele bestand blijft onaangeroerd. Anonymize, de tool voor Word- en Excel-bestanden, vervangt identificatiegegevens door plaatshouders en bewaart de koppeling op uw computer, zodat Deanonymize de echte waarden kan terugzetten. Dat is pseudonimiseren, geen anonimiseren: de kopie met plaatshouders blijft persoonsgegevens.
Redigeer je bestanden lokaal
Vervang persoonsgegevens in Word- en Excel-bestanden of brand ze onomkeerbaar uit PDF’s, op uw eigen computer. 14 dagen gratis op Windows en macOS (Apple Silicon).
Meer: voor advocatenkantoren · voor accountants · persoonsgegevens uit audio verwijderen · hoe uw gegevens worden verwerkt