Un documento non è quello che si vede quando lo si apre. È quello più un secondo strato che l’editor mostra solo se glielo si chiede, e che chi riceve il file può leggere senza chiedere niente a nessuno. Un testo ripulito riga per riga può ancora portare il nome del cliente in quattro punti diversi, nessuno dei quali si trova rileggendo.
Queste sono le cinque che tornano più spesso.
1. Le revisioni e i commenti di un .docx
Se il documento è passato da una revisione con le modifiche registrate, ogni sostituzione fatta è ancora dentro il file: c’è il testo nuovo e c’è quello vecchio, con l’autore e l’ora. Accettare le modifiche non basta se restano i commenti, e i commenti portano un nome nella barra laterale. La voce da usare è quella che elimina revisioni e commenti, non quella che li nasconde.
2. Le proprietà del file
Un .docx e un PDF portano un blocco di proprietà che nessuno guarda mai: autore, ultimo autore che ha salvato, azienda, titolo, a volte il percorso della cartella da cui è stato generato. Il campo «Autore» è quasi sempre un nome di persona vera, e in un PDF esportato da Word ci finisce anche il titolo del documento originale, che spesso è il cognome del cliente seguito da un numero di pratica.
3. Il testo sotto un rettangolo
Disegnare un rettangolo nero sopra un PDF non toglie niente. Il rettangolo è un oggetto grafico posato sopra, e il testo continua a stare sotto: si seleziona, si copia e si legge con qualunque strumento che estragga il testo di un PDF. È l’errore che ha fatto finire in cronaca più di un documento istituzionale, e non richiede competenze per essere sfruttato.
Una redazione vera rimuove il testo dal file e poi ci disegna sopra. Se lo strumento che si sta usando non dice esplicitamente che cancella, sta solo disegnando.
4. Il livello di testo di una scansione
Un PDF nato da uno scanner è un’immagine, ma quasi sempre ha sotto un livello di testo prodotto dal riconoscimento ottico, perché è quello che rende il documento cercabile. Coprire l’immagine lascia il livello di testo intatto. Vale la stessa regola del punto sopra, con l’aggravante che qui il testo non si vede nemmeno selezionandolo a occhio: c’è, e basta un’estrazione per tirarlo fuori.
5. I nomi dei file e i percorsi
L’ultimo strato è quello che sta fuori dal documento. Un allegato chiamato Rossi_ricorso_definitivo_v3.pdf dice il cognome prima ancora di essere aperto, e un archivio zip porta con sé la struttura delle cartelle da cui è stato fatto. Se il file viene caricato da qualche parte, il nome viaggia con lui.
6. Quello che le immagini si portano dietro
Una fotografia inserita in un atto (lo stato dei luoghi, un danno, un documento fotografato invece che scansionato) porta con sé i propri metadati EXIF: modello dell’apparecchio, data e ora dello scatto e, quando il telefono ha la localizzazione accesa, le coordinate. Un sopralluogo diventa così un indirizzo con la precisione di pochi metri, dentro un documento da cui gli indirizzi erano stati tolti.
Ci sono poi due casi che nessuno si aspetta. Il primo è la schermata: si fotografa una finestra del gestionale per far vedere un dettaglio, e nella barra del titolo o nella colonna a fianco c’è il nome del cliente. Il secondo è il grafico incollato da un foglio di calcolo, che in molti formati non è un’immagine: è un oggetto che si porta dietro i dati che lo generano, e quei dati sono l’intera tabella, comprese le righe che nel grafico non si vedono.
7. La cronologia delle versioni
L’ultimo strato non sta nel file: sta nel servizio in cui il file vive. Un documento tenuto in un archivio in rete conserva la propria cronologia delle versioni, e la versione di prima è quella con i nomi dentro. Ripulire il documento modificandolo sul posto non toglie niente a nessuno: sposta soltanto la copia integra un clic più in là, dove resta a disposizione di chiunque abbia accesso al file.
La stessa cosa vale per la condivisione: mandare un collegamento a un documento vuol dire mandare anche il suo passato, e mandare una copia scaricata vuol dire mandare solo il presente. È la ragione per cui una copia ripulita va creata come file nuovo e non ottenuta cambiando l’originale, e per cui uno strumento che scrive il risultato accanto all’originale, invece che al suo posto, non lo fa per prudenza formale.
Come si controlla senza fidarsi
La verifica che vale è una sola: estrarre il testo dal file finito e leggerlo. Non riaprirlo nell’editor con cui è stato prodotto, che mostra quello che ha deciso di mostrare, ma tirarne fuori il contenuto grezzo e cercarci dentro i valori che dovevano sparire. Se un cognome è ancora lì, si vede subito.
In pratica sono due gesti, e nessuno dei due richiede un programma comprato. Un .docx è un archivio compresso. Se ne fa una copia, la si rinomina in .zip, la si apre e si guardano tre file: word/document.xml, che è il testo; word/comments.xml, che sono i commenti; e docProps/core.xml, che sono autore, titolo e date. Un PDF si dà a uno strumento che ne estragga il testo senza mostrarlo, e nel risultato si cerca il cognome. Se compare, il nero che si vedeva era un disegno.
Il controllo va fatto sul file che si consegna, non su quello di lavoro, e va fatto una volta per ogni tipo di documento e di flusso, non per ogni pratica: se il vostro modo di esportare un PDF lascia i metadati, li lascia sempre, e basta scoprirlo una volta per cambiarlo per sempre.
È il controllo che Omissia fa da solo prima di consegnare una copia: il file che nasce accanto all’originale ha le revisioni risolte, i commenti tolti e le proprietà svuotate, e se la pulizia non riesce il file non viene consegnato. Il resto del ragionamento sta negli altri due articoli: che cosa esce dallo studio quando un atto finisce in una chat, e perché oscurare e sostituire non sono la stessa cosa.