Quali informazioni nascoste ci sono nei vostri documenti?

Metadati e dati nascosti in file Word, Excel e PDF: costi e mitigazione

25 agosto 2026

I documenti sono ben più ricchi di dati del contenuto visibile. Un file Word, un foglio Excel o un PDF è un contenitore che trasporta informazioni identificative che non compaiono mai sulla pagina: chi l’ha scritto, chi l’ha modificato, quando, da quale cartella di quale unità di rete, cosa è stato eliminato lungo il percorso e, a volte, interi insiemi di dati che non avrebbero mai dovuto uscire dall’edificio.

Quel carico nascosto viaggia con il file ogni volta che viene caricato in uno strumento di IA o consegnato a terzi. Questo articolo copre cosa c’è davvero dentro, i costi potenziali dell’esposizione e come pulire correttamente i metadati dai documenti.

La versione breve

Tre aree di attenzione:

• Metadati — informazioni descrittive che il software registra automaticamente sul file stesso: autori, date, percorsi, conteggi di modifiche.
• Contenuto nascosto — contenuto reale presente ma non visualizzato: fogli nascosti di un foglio di calcolo, testo eliminato ma tracciato, commenti, regioni ritagliate delle immagini, righe filtrate.
• Rimozione fallita — contenuto che si crede del tutto rimosso o oscurato, ma solo parzialmente coperto: riquadri neri disegnati su testo vivo, numeri sfocati, dati «eliminati» ancora in cache altrove nel file.

Cosa si nasconde in un documento Word

Word registra una cronologia continua della vita del documento. Anche dopo aver cancellato il testo visibile, parte di quella cronologia rimane.

• Nomi dell’autore e dell’ultimo editore. Chi ha realmente redatto il documento «revisionato dal socio», o che una bozza apparentemente neutrale proveniva dalla controparte.
• Il nome della vostra organizzazione, ereditato dalla licenza della macchina su cui il file è stato creato.
• Il percorso completo della cartella. Un rischio silenzioso ma latente. Un percorso come S:\Clienti\Acme Corp\Pratica 17 — Indagine regolamentare\bozza.docx rivela il cliente, il numero di pratica e la natura dell’incarico.
• Orari e tempo totale di editing. Utili per mostrare che un’analisi «attentamente ponderata» è stata prodotta in undici minuti, o che un documento esisteva prima che qualcuno testimoniasse il contrario.
• Revisioni e testo eliminato. Disattivare la visualizzazione delle revisioni non le rimuove.
• Commenti: compreso chi li ha scritti, quando, e i commenti contrassegnati come risolti. Trattative interne, strategia e «franchezza».
• Testo nascosto e invisibile: formattato come nascosto, testo bianco su sfondo bianco, posizionato dietro un’immagine o in una casella di testo fuori dal bordo della pagina.
• Immagini ritagliate. Quando ritagliate una foto in Word, la porzione ritagliata è di solito ancora memorizzata nel file a dimensione intera. Ritagliare non è cancellare.
• Oggetti incorporati. Una piccola tabella incollata da un foglio di calcolo porta spesso l’intera cartella di lavoro sottostante, non solo le celle visibili.
• Campi personalizzati di un sistema di gestione documentale: codici cliente, numeri di pratica, riferimenti di fatturazione, etichette di riservatezza, tutto allegato in modo invisibile.¹
• Riferimenti di stampa unione e collegamenti che puntano a un elenco di nomi e indirizzi su un’unità condivisa.
• Impronte delle sessioni di editing. Word timbra ogni sessione di editing con un identificatore, che può essere usato per dimostrare che due documenti distinti sono stati lavorati nella stessa sessione, sulla stessa macchina.²

Cosa si nasconde in un foglio di calcolo

I fogli di calcolo sono spesso costruiti a partire da altri file più grandi, e il file più grande ha l’abitudine di tagliare il viaggio.

• Fogli di lavoro nascosti. Una scheda può essere nascosta normalmente, o impostata in uno stato più profondo «molto nascosto» che non compare nemmeno nel menu usuale di scopri.³ È esattamente così che è avvenuta la più grande violazione di dati della polizia nella storia del Regno Unito — più sotto.
• Righe e colonne nascoste, gruppi compressi e righe filtrate. Un filtro nasconde le righe; non le rimuove.
• Celle mascherate dalla formattazione: testo bianco su sfondo bianco, o un formato numerico che non mostra nulla mentre il valore resta sotto.
• Cache delle tabelle pivot. Una tabella pivot memorizza una propria copia privata dei dati di origine. Cancellate il foglio di origine e la pivot continua a contenere tutto; un doppio clic su un totale a volte può rigenerare i record sottostanti completi.
• Formule collegate ad altre cartelle di lavoro. Il valore visualizzato può essere innocuo mentre la formula dietro nomina il file di un altro cliente e la sua posizione esatta sul vostro server.
• Impostazioni di query e connessioni: nomi di server di database, indirizzi interni e la logica passo passo usata per estrarre e trasformare i dati.
• Macro, che contengono di routine nomi utente, percorsi di server e codice commentato di versioni precedenti.
• Regole di formattazione condizionale, che codificano in silenzio logica di business: soglie di autorità per transigere, livelli di riserva, prezzi minimi.
• Commenti e note con nomi degli autori, e cronologia delle revisioni delle cartelle di lavoro condivise.
• Password di foglio e di cartella di lavoro, che si rimuovono trivialmente e servono soprattutto a creare una falsa sicurezza.

Cosa si nasconde in un PDF

Un PDF con testo ricercabile è a strati, e gli strati invisibili accompagnano ancora il file.

• Riquadri neri su testo vivo. Il fallimento più comune. Disegnare un rettangolo nero su un nome non rimuove il nome; selezionate la pagina, copiate, incollate in un editor di testo e spesso è recuperabile. È successo negli atti di Manafort, in Apple v. Samsung e nella pubblicazione del 2025 dei file Epstein.⁴
• Metadati ereditati da Word. Esportare in PDF di solito porta il nome dell’autore, il titolo e spesso il percorso originale del file. Convertire in PDF non è un passo di pulizia.
• Uno strato di testo ricercabile sotto un’immagine scansionata. Se un documento è stato scansionato e il testo riconosciuto, quel testo riconosciuto resta invisibile sotto l’immagine.
• Versioni precedenti del file. I PDF possono essere salvati in modo incrementale, il che significa che stati precedenti del documento vengono aggiunti nello stesso file e possono essere ricostruiti.⁵
• Livelli nascosti che sono stati disattivati, ma restano nel file.
• Annotazioni, evidenziazioni, note adesive e timbri, con il nome e l’orario di chi li ha aggiunti.
• Valori dei campi modulo, anche in moduli che appaiono appiattiti per l’utente, e campi che non sono mai stati visualizzati.
• File allegati e immagini incorporate, che possono trasportare i propri dati di fotocamera e GPS — una fotografia in atti può rivelare esattamente dove e quando è stata scattata.
• Dettagli della firma, che rivelano nome, indirizzo e-mail e datore di lavoro del firmatario.
• Pixelizzazione e sfocatura, che non sono una rimozione affidabile. Quando il contenuto nascosto è breve e prevedibile — un codice fiscale, un numero di conto, una data — l’output sfocato può essere invertito con forza bruta.⁶

Costi reali dei dati nascosti

Una scheda nascosta, una sanzione di 750.000 £ e le dimissioni

Nell’agosto 2023, il Police Service of Northern Ireland ha risposto a una richiesta di accesso alle informazioni di routine sul personale pubblicando un foglio di calcolo online. La scheda visibile mostrava gli organici. Una scheda nascosta nello stesso file conteneva cognome, iniziali, grado e ruolo di tutti i 9.483 agenti e dipendenti in servizio.⁷ Prima del caricamento è stato controllato solo il foglio visibile.

Le conseguenze sono state gravi:

• Una sanzione di 750.000 £ dell’Information Commissioner’s Office, la più alta mai inflitta a un ente pubblico del Regno Unito, confermata in appello.⁸
• Le dimissioni del capo della polizia.⁹
• Contenziosi da parte di oltre 4.000 dipendenti, con un’esposizione stimata di 24–37 milioni di £.¹⁰
• Agenti che hanno trasferito le proprie abitazioni, interrotto i contatti con la famiglia e modificato le routine quotidiane per timore della propria incolumità; nove su dieci hanno accettato un’offerta di attrezzature di sicurezza domestica finanziate.⁹

Il rilievo centrale del regolatore è quello da ricordare: l’organizzazione non aveva una procedura che imponesse a nessuno di controllare i file rilasciati alla ricerca di dati nascosti. Il file è stato pubblicato nel formato di lavoro originale invece di essere convertito o ricostruito. Un’organizzazione del settore privato che commettesse lo stesso errore non avrebbe ricevuto la riduzione applicata agli enti pubblici, e avrebbe affrontato un massimo teorico di 17,5 milioni di £.⁸ Nell’UE, una fuga equivalente può costituire una violazione del GDPR, con notifica all’autorità di controllo — in Italia, il Garante per la protezione dei dati personali — e sanzioni amministrative.

Fallimenti di oscuramento negli atti giudiziari

• Atti di Paul Manafort (2019). I difensori hanno depositato documenti in un tribunale federale le cui oscurazioni potevano essere sconfitte copiando e incollando, rivelando informazioni che erano riservate.⁴ Resta l’esempio cautelare di riferimento.
• Materiale di un grand jury. Un magistrate judge ha ordinato ai difensori di spiegare perché non dovessero essere sanzionati dopo che un memoriale depositato aveva esposto una testimonianza protetta; la spiegazione era una «debolezza tecnica» nella conversione da Word a PDF, e un giornalista ha recuperato il testo semplicemente selezionando e incollando i riquadri neri.¹¹
• Apple v. Samsung. Condizioni di licenza riservate e cifre di ricavi erano estraibili da un PDF depositato, pubblicate dai media e hanno originato un’istanza di sanzioni.¹²
• Una causa di famiglia in Florida. Uno studio è stato sanzionato di 30.000 $ per aver depositato materiale non oscurato contenente il nome di un minore, un numero di identificazione nazionale e informazioni mediche.¹²
• La pubblicazione del 2025 dei file Epstein. Sono stati pubblicati documenti con oscuramenti che si sono sciolti sotto lo stesso test di copia e incolla, generando immediatamente un dibattito professionale su cosa debbano fare i destinatari di un oscuramento fallito.¹³

I soli metadati

• Una corte d’appello ha considerato di ricusare i difensori che avevano usato informazioni privilegiate esposte da metadati non rimossi. La corte ha rifiutato la ricusazione ma ha imposto altre sanzioni, e ha affermato chiaramente che il dovere di competenza di un avvocato si estende alla comprensione dei metadati e della tecnologia che li gestisce.¹⁴
• In un’altra vicenda, i difensori della produzione non hanno rimosso i metadati da un documento privilegiato parzialmente oscurato; lo studio ricevente ha tentato di usare il materiale recuperato come prove, ma è stato limitato dal tribunale.¹⁵
• Un audit del sistema di deposito dei tribunali federali statunitensi ha trovato circa 1.600 cause contenenti numeri di previdenza sociale non oscurati — il rilievo che ha spinto le odierne regole di oscuramento obbligatorio.⁴

L’esposizione generale, in tutte le giurisdizioni, arriva a: sanzioni regolamentari, sanzioni pecuniarie e condanne alle spese, atti stralciati dal fascicolo, ordini di giustificazione, rinvio a organi disciplinari, argomenti secondo cui il privilegio è stato rinunciato e azioni per responsabilità professionale.¹⁶

Perché i rimedi usuali non funzionano del tutto

Gli approcci comuni condividono una debolezza: operano sul file originale.

• Disegnare riquadri o evidenziare aggiunge uno strato sopra. Il contenuto resta sotto.
• Cancellare il testo visibile può lasciarlo nelle revisioni, in una copia in cache o in uno stato precedente salvato nello stesso file.
• Gli ispettori di documento integrati catturano una quantità utile, ma sono opt-in, facili da dimenticare sotto scadenza, e cercano solo le categorie che conoscono.
• «Basta esportare in PDF» trasporta i metadati invece di rimuoverli, e può conservare uno strato di testo nascosto.
• Proteggere un foglio con password può ostacolare l’accesso umano diretto, ma si può forzare e continua a trasportare metadati accessibili prima dello sblocco.

Come CamoText gestisce questo

CamoText non sovrappone, non maschera e non modifica il vostro file originale. Estrae il testo, lo elabora in locale sul vostro dispositivo e scrive un output interamente nuovo. Il file originale non viene mai alterato. Poiché l’output è scritto di nuovo anziché derivato dal contenitore di input, non ci sono metadati del file originale da ereditare: niente autori, niente percorsi, niente orari, niente commenti, niente fogli nascosti, niente cache pivot, niente collegamenti o media incorporati, niente versioni precedenti sepolte. Quelli non arrivano mai nel file nuovo.

Questo vale anche quando è attiva la conservazione della formattazione per gli output Word, Excel, Markdown e testo ricco: collegamenti, media e altri metadati vengono cancellati per impostazione predefinita, proprio perché sono una via così comune di esposizione accidentale. Per i documenti Word potete anche scegliere se le revisioni vengono accettate o rifiutate durante l’elaborazione, invece di lasciarle viaggiare in modo invisibile.

Il lavoro centrale di CamoText è usare e mascherare solo il contenuto visibile, eseguendosi interamente offline, senza cloud, senza chiamate API e senza connessione a Internet. Se in seguito vi servono i termini originali, una chiave tenuta in locale li reinserisce sulla vostra macchina.

Una checklist

1. Niente file di lavoro. Producete invece un estratto creato ad hoc.
2. Applicate il test di copia e incolla a qualsiasi PDF con oscuramenti. Selezionate tutto, copiate, incollate in un editor di testo semplice. Se compare il testo nascosto, non è mai stato rimosso.
3. Presumete che il contenuto compresso resti in un foglio di calcolo, comprese le schede che non compaiono nell’elenco di scopri.
4. Documentate la procedura. Fornite al personale strumenti e istruzioni semplici.
5. Producete un file fresco e pulito invece di trattare l’originale e lasciare dati nascosti.

Metadati e strumenti di IA

Questo rischio si acuisce notevolmente quando i documenti vanno all’IA. Caricare un file su un modello cloud invia l’intero contenitore e i metadati. Un modello a cui si chiede di esaminare un contratto non ha motivo di menzionare di aver ricevuto anche la cronologia di redazione e il numero di pratica del cliente, ma quell’informazione ha comunque lasciato il vostro controllo.

Incollare testo pulito, appena scritto, è più leggero, più economico e più veloce da elaborare per il modello, e limita l’accesso a ciò che è leggibile da un essere umano. Vedete le nostre guide su anonimizzare documenti per l’analisi con IA e preparare documenti confidenziali per la revisione con IA.

Sintesi

I documenti portano ben più di quanto mostrano. Gli strumenti che coprono o oscurano il file originale spesso trascurano molti vettori nascosti di informazione. Generare un file pulito da zero toglie quel peso.