La prueba: una caja negra y treinta segundos
La hemos hecho hoy, 23 de octubre de 2026, y se puede repetir. Creamos un PDF de una página con texto normal: un titular, un nombre inventado, un DNI (12345678Z, cuya letra de control hemos calculado para que sea válida), un IBAN y una dirección. Nada de eso corresponde a ninguna persona real. Después tapamos el DNI y el IBAN de las dos maneras en que lo hace casi todo el mundo:
Tapar un DNI en un PDF: qué funciona y qué no
Mira qué hay debajo
Abre el PDF, selecciona todo el texto y pégalo en un bloc de notas. Si el dato que creías tapado aparece, no está tapado.
No dibujes encima: elimina
El rectángulo es una instrucción más, o una anotación guardada aparte. Usa la función de tachado que borra el contenido y te pide confirmarlo.
Si dudas, convierte la página en imagen
Una página rasterizada no conserva nada debajo. A cambio, deja de ser texto seleccionable y buscable.
Comprueba el resultado, no el original
Repite la extracción sobre el fichero que vas a enviar, y mira también sus metadatos.
- Dibujando el rectángulo sobre la página, que es lo que produce un editor de imágenes o un resaltado en negro que se exporta a PDF.
- Añadiendo el rectángulo como anotación, que es lo que produce la herramienta de marcado de un lector de PDF: la caja queda guardada aparte, como un post-it opaco.
Luego extrajimos el texto de cada fichero con pdftotext, una utilidad libre que viene
con casi cualquier Linux y que no hace nada especial: lee el texto que el PDF ya lleva dentro. El
mismo resultado se obtiene abriendo el documento y pulsando «seleccionar todo» y «copiar».
| Fichero | Qué se hizo | Se ve el DNI | Texto extraíble |
|---|---|---|---|
| Original | nada | sí | 239 bytes, con el DNI y el IBAN |
| Caja dibujada | rectángulo negro sobre la página | no | 239 bytes, con el DNI y el IBAN |
| Caja como anotación | dos anotaciones negras | no | 239 bytes, con el DNI y el IBAN |
| Pasado por el Anonimizador | página convertida en imagen | no | 1 byte (ningún carácter) |
Los dos ficheros del medio se ven exactamente igual que el de abajo. La diferencia no está en la pantalla: está en lo que viaja dentro del archivo.
Por qué la caja no borra nada
Un PDF no es una fotografía de una página. Dentro lleva, por un lado, las instrucciones que dibujan el texto —cada letra, con su tipografía y su posición— y, por otro, todo lo demás. Cuando dibujas un rectángulo encima, lo único que haces es añadir una instrucción más, que se ejecuta después y pinta negro sobre esa zona. Las instrucciones del texto siguen ahí, intactas, y cualquier programa que lea el fichero en vez de mirarlo las encuentra.
Con las anotaciones la separación es todavía más clara. La norma del formato lo dice sin rodeos: «las anotaciones asociadas a una página no se intercalan en el flujo de contenido de la página, sino que se colocan en el array Annots de su objeto de página» (ISO 32000-1:2008, apartado 14.8.2.3.2; traducción nuestra del original en inglés). Es decir: el texto va en un sitio y la caja negra en otro. Borrar la segunda no toca al primero, y tampoco al revés.
Qué llama «tachar» la norma del PDF
El formato sí tiene una función pensada para esto, y lo interesante es que la define en dos fases. La primera, «identificación del contenido»: el usuario marca las zonas que deben desaparecer, y hasta el paso siguiente puede verlas, moverlas y cambiarlas. La segunda, «eliminación del contenido»: el usuario ordena al programa aplicar esas marcas, «tras lo cual el contenido del área especificada se elimina» (ISO 32000-1:2008, apartado 12.5.6.23).
El mismo apartado es explícito sobre lo que no vale. Los lectores que admitan esta función «deberán eliminar todo rastro del contenido especificado. Si una parte de una imagen queda dentro de una región de tachado, esa parte de los datos de la imagen deberá destruirse; no se usarán recortes ni máscaras de imagen para ocultar esos datos». En el original: «clipping or image masks shall not be used to hide that data». Dicho de otro modo, la propia norma del formato previó hace casi veinte años el error que seguimos cometiendo: tapar no es borrar, y marcar una zona no la elimina hasta que se aplica el segundo paso.
Las formas que sí funcionan
Tres, por orden de preferencia:
- Aplicar un tachado real. Es la función que en los programas de PDF suele llamarse «redacción», «tachado» o redact, y que al terminar avisa de que va a eliminar contenido de forma permanente. Si la herramienta no te hace confirmar ese segundo paso, desconfía: probablemente solo esté dibujando.
- Convertir la página en imagen. Si la página deja de tener texto y pasa a ser un mapa de puntos, no queda nada debajo que recuperar. Es la vía más tosca y la más segura, y tiene un coste que conviene conocer: esa página deja de ser seleccionable y buscable, también para un lector de pantalla.
- Imprimir en papel, tapar con rotulador y escanear. Funciona porque el resultado es una imagen, pero devuelve un documento de peor calidad y, si lo escaneas con reconocimiento de texto, vuelves a tener texto: comprueba el resultado igual que cualquier otro.
Y lo que no funciona, aunque lo parezca: bajar la opacidad, poner el texto en blanco sobre blanco, recortar la vista de la página sin recortar su contenido, o pixelar un número corto, que a veces se puede reconstruir probando combinaciones.
El dato que no está en la página
Tapar lo visible deja fuera otra capa: los metadatos, los comentarios y las revisiones anteriores que el fichero arrastra. Para las administraciones públicas esto es una obligación escrita. El Real Decreto 311/2022, del Esquema Nacional de Seguridad (texto consolidado, última actualización publicada el 06/11/2024), recoge en su anexo II la medida «Limpieza de documentos» [mp.info.5], que exige en sus tres niveles de seguridad: «En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida en campos ocultos, metadatos, comentarios o revisiones anteriores, salvo cuando dicha información sea pertinente para el receptor del documento».
Esa medida obliga a los sistemas sujetos al Esquema Nacional de Seguridad, no a un particular que manda su nómina por correo. Pero describe bien el problema: el documento que envías contiene más de lo que enseña. Si te interesa esa otra capa en una fotografía, lo contamos en la guía sobre por qué procesar tus documentos en el navegador es más seguro que subirlos.
¿Estás obligado a taparlo?
Depende de quién seas en esa escena. Si eres un particular enviando tus propios papeles, el Reglamento General de Protección de Datos no se te aplica: su artículo 2.2.c) excluye el tratamiento «efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas» (Reglamento (UE) 2016/679, DOUE L 119, de 4 de mayo de 2016). Tapar tu DNI no es una obligación legal: es tu interés.
Cambia si el documento lleva datos de otra persona y tú lo manejas como empresa, profesional o administración. Entonces entra el artículo 5.1.f), que exige tratar los datos «de tal manera que se garantice una seguridad adecuada», incluida «la protección contra el tratamiento no autorizado o ilícito». Un PDF cuyo DNI se copia y pega no encaja bien en esa frase. No somos abogados y esto no es asesoramiento: si el caso es serio, consúltalo.
Compruébalo tú, sobre el fichero que vas a enviar
La comprobación es la parte que casi nadie hace y la única que cierra el asunto. Abre el PDF
que vas a mandar, no el original; selecciona todo el texto de la página, cópialo y pégalo en
un bloc de notas. Si el dato que creías tapado aparece, no está tapado. Si prefieres la vía de línea
de órdenes, pdftotext documento.pdf - hace lo mismo. Y busca también el dato en los
metadatos del fichero, no solo en la página.
Lo que no hemos podido verificar
- La guía CCN-STIC 835 del Centro Criptológico Nacional, sobre borrado de metadatos en el marco del Esquema Nacional de Seguridad, que habría sido la fuente natural para el apartado anterior: su descarga devolvió un error 403 en los cinco intentos que hicimos hoy, así que no la hemos leído y no la citamos.
- Un documento de la Agencia Española de Protección de Datos específico sobre tachado de PDF. Buscamos uno y no lo encontramos; su «Guía básica de anonimización», que es la traducción de una guía de la autoridad de Singapur, advierte de pasada de que «la “redacción” puede no ser suficiente si los datos subyacentes siguen siendo accesibles», pero trata de conjuntos de datos, no de documentos. No encontrar algo no significa que no exista.
- Un riesgo que va más allá de todo lo anterior. El artículo Story Beyond the Eye: Glyph Positions Break PDF Text Redaction (Bland, Iyer y Levchenko, arXiv 2206.02285, 2022) sostiene en su resumen que la posición de los caracteres que quedan permite reconstruir nombres incluso cuando el texto tachado sí se eliminó del PDF, y dice haber revertido cientos de tachados reales. Solo hemos leído el resumen, no el artículo completo, y no hemos comprobado nada de lo que afirma.
- Qué hace exactamente cada programa. No hemos probado si «imprimir a PDF» desde cada lector elimina el texto oculto: depende del programa, y lo que sirve en uno puede no servir en otro. Compruébalo sobre tu resultado.
Si lo que tienes delante es otro tipo de documento y no sabes por dónde empezar, en qué herramienta usar según el documento que tengas delante está el mapa, y en qué puede pedirte una empresa en un proceso de selección verás qué datos tiene sentido tapar antes de enviarlo.
