PDF個人情報の墨消し

PDF個人情報の墨消しについて

PDFで「黒塗りした」と言うとき、2つの意味があり得ます。画面上で黒い四角を重ねただけなのか、その下の文字データをファイルから消したのか。前者は見た目が隠れるだけで、範囲を選んでコピーすれば元の文字がそのまま出てきます。このツールが行うのは後者、データを消す墨消し（リダクション）です。

範囲はプレビューでドラッグするか、マイナンバー・携帯電話番号・メールアドレス・カード番号などの用意されたパターンや自分で書いた正規表現で探します。処理方法は2つです。「コンテンツを削除」はページを描く命令を解析して、ボックスと重なる文字・画像・図形だけを消し、残りのテキストは検索できる状態のまま残します。「画像に変換」はボックスを塗ったページ全体を1枚の画像に置き換えます。

黒い四角が失敗する典型：2019年のマナフォート事件

2019年1月、米国連邦裁判所に提出されたポール・マナフォート氏の弁護団の書面で、黒塗り部分がコピー＆ペーストだけで読めてしまいました。マナフォート氏が2016年のトランプ陣営の世論調査データをロシア側の元ビジネスパートナー、コンスタンチン・キリムニク氏に渡した疑いは、こうして初めて公になりました。報道によれば、文字の上に黒い図形を置いただけで、下のテキストを消していなかったことが原因とされています。

こうした事故は珍しくなく、米国法曹協会（ABA）の裁判官向け誌も墨消しの失敗例をまとめています。Wordで黒いマーカーを引く、PDF編集ソフトの四角形注釈を使う、墨消しツールで印を付けただけで「適用」しない、というのが共通のパターンです。

「コンテンツを削除」が実際に消すもの

ページのコンテンツストリームを命令単位で読み、座標変換とフォントの文字幅を計算して、各描画命令がページのどこに描かれるかを求めます。ボックスと重なるものは次のように処理します。

• テキスト：文字幅が正確に分かる場合はボックスと重なる文字だけを同じ幅の空白に置き換え、同じ文字列の残りの文字はそのまま残します。幅が分からない場合は重なる文字列をまるごと置き換えます。どちらでも同じ行の後ろの文字は元の位置に残ります。
• 画像：ボックスの下の画素を塗り直します。デコードできない形式なら画像全体を消します。透明マスクも同じ範囲を不透明にします。
• 図形・インライン画像：ボックスと重なる線や面を切り取ります。ボックスを完全に含む背景の四角や表のセルは残します。
• 注釈（コメント、リンク、フォームウィジェット）：重なれば削除し、フォームフィールドの値もフィールド一覧から外します。
• 見えないテキスト：タグ付きPDFの ActualText や代替テキストなど、画面には出ないが抽出される文字も確認します。
• ファイル全体：選択すると文書情報（Info）とXMPメタデータを削除し、新しい文書IDを書き、どこからも参照されないオブジェクト（以前の版の残り）を捨ててファイルを最初から書き直します。

ボックスより広く消えることがある

PDFの文字は1文字ずつではなく文字列単位で描かれます。1語ごとに記録するソフトもあれば、1行まるごとを1つの文字列にするソフトもあります。標準14フォントや文字幅の表（/Widths、Identity-Hの/W）を持つフォントなら、ツールは文字列を1文字ずつに分けてボックスと重なる文字だけを消すので、1行が1つの文字列でもマイナンバーだけが消え、氏名や住所は残ります。ボックスの縁にかかる文字と、文字サイズの10%以内に接する文字（たいてい前後の空白）も一緒に消します。1文字でも幅を推測するしかないフォントなら、従来どおり重なる文字列をまるごと消します。消し残すよりは安全側ですが、結果のプレビューで確認してください。

フォント情報が不完全なPDF（一部のCIDフォントのようにコード長や文字幅が分からない場合）では、すべてのバイトを最も幅の広い文字と仮定して重なりを計算します。これも消す範囲を広げる方向に働きます。

ツールが消さない場所

しおり（目次）のタイトルや、ボックスと重ならない位置のフォーム値に同じ情報が書かれていることがあります。「しおりのタイトルとフォームの値からも隠した文字を消す」（既定でオン）は、ボックスの下の文字を読み取り、同じ文字（空白の違いは無視）をしおりのタイトルとフォームの値で■に置き換え、変わったフィールドはビューアに描き直させます。2文字未満の文字や、表記の違うもの（ハイフンなしの番号など）は見つけられないため、オフにしたときや見つからなかったときは従来どおり警告だけが出ます。添付ファイル、ページ外に置かれたテキスト、別のページに繰り返し出てくる同じ情報も、ボックスを描かない限り残ります。

パターン検索はテキストレイヤーにしか効きません。スキャン文書は文字が画像なので、範囲を手で描く必要があります。2行にまたがった番号、空白の入り方が違う表記、表のセルごとに分かれた数字は見逃すことがあります。実行後、ツールは出力ファイルを同じパターンで再検索し、残った件数を表示します（空白を除いた状態でも確認）。

黒塗りの大きさ自体も情報です。氏名欄の黒い帯の長さから文字数が推測でき、候補が少なければ人物が特定されることもあります。重要な文書では、ボックスを文字より広めに描くほうが安全です。

「画像に変換」を使う場面

フォント構造が特殊でコンテンツ削除の結果がずれる場合や、何も残してはいけない文書では画像変換を選びます。ボックスを塗った状態でページを描画し、ページの内容をその画像1枚に置き換えるので、テキストレイヤーは残りません。その代わり、文字検索・コピー・読み上げができなくなり、ファイルが大きくなり、拡大すると文字がぼやけます。公開文書ではアクセシビリティの要件がないか先に確認してください。

例

使い方

1. PDFを選び、プレビューでドラッグするかパターンで検索します。
2. ページごとにボックスを確認し、「コンテンツを削除」か「画像に変換」を選びます。
3. 実行後、プレビューと残り件数を確認し、しおり・フォームの案内があれば内容を確認します。
4. 元ファイルは別に保管し、出力ファイルだけを公開します。

主な用語

墨消し（リダクション）

機密情報を復元できないように削除すること。上から覆い隠すこととは区別されます。

コンテンツストリーム

ページに文字・画像・図形を描く命令の並び。このツールが解析し書き換える対象です。

増分保存

変更をファイル末尾に追記する保存方法。古い内容がファイル内に残る原因になります。

よくある質問