2026年9月から10月にかけて、企業や組織による個人情報漏洩の公表が相次ぎました。流出したもののなかには、本人確認書類の画像が約160万件含まれていた事案もあります。免許証や保険証の画像を、提出されたそのままの形で保管し続けていたことが、被害の範囲を広げた一因でした。
一方で、個人情報を含むデータは、業務での利用や分析、システムの検証など、さまざまな場面で必要とされています。重要なのは、オリジナルデータを適切に管理するだけでなく、分析や検証に利用するデータから個人情報を取り除き、漏洩リスクを抑える仕組みを整えることです。たとえオリジナルデータを保有していても、用途に応じて墨消し済みのデータを用意しておけば、個人情報に触れる機会を減らし、万が一の漏洩による被害を抑えられる可能性があります。
ただし、墨消しは単に情報を黒く塗りつぶせばよいわけではありません。象徴的なのが、PDFの黒塗りです。黒く塗ったはずの文字が、コピー＆ペーストするとそのまま読めてしまう——この問題は実際に複数の自治体で発生し、公開済み文書の再点検や、漏洩のおそれの公表に至っています。
PDFの「黒塗り」と「墨消し」は、画面上の見た目が同じでも、中身はまったく違う処理です。本記事では、よくある失敗のパターンとその理由を整理したうえで、正しい墨消しのやり方と、業務として大量の文書を処理する場合の考え方をまとめます。
この記事で分かること
- PDFの黒塗りでよくある5つの失敗と、情報が残ってしまう構造的な理由
- 「黒塗り」と「墨消し（Redaction）」の違いと、処理後に必ず行うべき検証
- 開示請求対応などで大量の文書を処理する場合に、どこを自動化できるのか
1. PDFの黒塗りでよくある失敗
まず、実際に起きている失敗のパターンを押さえます。いずれも「画面上は黒く塗られている」という点では成功して見えるものです。
- 失敗①：図形や塗りつぶしで覆う。長方形を重ねて黒くする方法です。見た目は黒くなりますが、その下のテキストはデータとして残っています。コピー＆ペーストやテキスト抽出で読み取れてしまいます
- 失敗②：ハイライトや注釈機能を使う。注釈として黒い矩形を載せた状態です。注釈を削除すれば、元の文字がそのまま現れます
- 失敗③：文字色を背景色に合わせる（いわゆる白塗り）。文字自体は存在しているため、範囲選択すれば読めます
- 失敗④：画像化したつもりが、テキスト情報が残っている。スキャン文書やOCR処理を経たPDFには、画像の下に認識済みのテキストが埋め込まれていることがあります。画像にしたから大丈夫、とは言い切れません
- 失敗⑤：本文は処理したが、本文以外に残っている。文書プロパティ（作成者名やタイトル）、しおり、添付ファイル、変更履歴、メタデータ。これらは画面に表示されないため、点検の対象から漏れがちです
なぜ起きるのか
原因は、PDFというファイル形式の構造にあります。PDFは「表示される見た目」と「内部に保持されたデータ」が別の層になっています。ページの上に黒い図形を重ねても、それは見た目の層に1つオブジェクトが増えただけで、下にあるテキストのデータは手つかずのまま残ります。
紙であれば、黒いマーカーで塗れば物理的に読めなくなります。PDFでは、塗っても下のデータは消えません。紙の感覚をそのまま持ち込むと、ここで判断を誤ります。
2. 「黒塗り」と「墨消し（Redaction）」の違い
この2つは、言葉としては似ていますが、処理の中身が異なります。
- 黒塗り：対象を覆い隠す処理です。上から黒を重ねて見えない状態にしますが、データとしての文字は残ります。前章の失敗①〜③は、すべてこの黒塗りにあたります
- 墨消し（Redaction）：対象のテキストやオブジェクトそのものを削除したうえで、その跡を黒く塗る処理です。データが存在しないため、コピー＆ペーストでもテキスト抽出でも取り出せません。元に戻すこともできません
「見えなくする」のが黒塗り、「存在しない状態にする」のが墨消し、という整理になります。PDFのマスキングという言い方をする場合も、実際にどちらの処理が行われているのかを確認する必要があります。
情報公開・開示請求の場面では「復元できないこと」が要件になる
情報公開請求や開示請求への対応では、不開示とすべき部分を除いて文書を提供します。このとき求められるのは「見えないこと」ではなく「復元できないこと」です。黒塗りでは要件を満たしません。
開示請求の黒塗りをめぐるトラブルが起きるのは、この要件の違いが現場で共有されていないためです。担当者は「黒く塗った」という作業を完了させており、手を抜いたわけではありません。使った機能が黒塗りだったのか墨消しだったのか、という技術的な差が結果を分けています。
3. PDFを正しく墨消しする方法
では、どう処理すればよいのか。PDFのマスキングを正しく行う方法は、実務では3つあります。
方法①：PDF編集ソフトの墨消し機能を使う
多くのPDF編集ソフトには、墨消し（Redaction）という名称の機能が用意されています。塗りつぶしや注釈とは別の機能として実装されているため、まずは使っている機能が墨消しかどうかを確認してください。
注意点は、本文の墨消しだけでは完結しないことです。文書プロパティやしおり、添付ファイルといった非表示情報の削除は、別の操作として用意されている場合があります。ソフトやバージョンによって画面構成や機能名が異なるため、具体的な手順は使用しているソフトのマニュアルで確認し、「本文の処理」と「非表示情報の削除」の2つを行う、という考え方だけ押さえておくのが確実です。
方法②：印刷してスキャンし直す
一度紙に出力し、スキャンして画像として扱う方法です。テキストのデータは引き継がれないため確実性は高い一方、副作用もあります。文書内の文字検索ができなくなり、使い勝手が落ちます。また、受け取った側がOCRをかければ再びテキスト化されるため、塗り残しがあればそこは読み取られます。「スキャンしたから絶対に読めない」という話ではありません。
方法③：専用ツールで処理する
墨消しを前提に作られたツールを使う方法です。対象箇所の自動検出と一括処理ができるため、件数が多い業務ではこれが現実的な選択になります。詳細は第5章以降で扱います。
処理後の検証を工程に入れる
どの方法を採る場合でも、処理後の検証を作業手順に組み込んでください。確認するのは、該当箇所をコピー＆ペーストして文字が取り出せないか、PDFからテキストを抽出する操作（テキスト形式での保存など）で消したはずの文字列が出てこないか、そして文書プロパティやしおりに情報が残っていないか、の3点です。この検証を「念のため」の扱いにせず、処理と同じ必須工程として定義しておくことが、再発防止の実質的な中身になります。
注意：無料のオンラインツールに機密文書をアップロードしない
ブラウザ上でPDFを処理できる無料サービスは数多くあります。手元にソフトがない場合に便利ですが、機密文書や個人情報を含む文書をアップロードすること自体が、外部への情報の持ち出しにあたる場合があります。保存期間や取り扱いの条件はサービスごとに異なるため、業務文書では利用の可否を組織として判断しておく必要があります。
4. 業務として大量に処理するときの壁
ここまでは「1つのファイルを正しく処理する方法」でした。しかし実務では、処理すべき文書が大量にあります。ここから先は、作業の正しさではなく量との戦いになります。
- 課題①：目視で対象箇所を探す作業が終わらない。開示請求への対応では、対象文書が数百から数千ページに及ぶこともあります。1ページずつ目で追い、該当箇所を特定していく作業に、相当な時間がかかります
- 課題②：担当者によって塗る範囲がばらつく。どこまでを不開示とするかの判断が人に依存するため、塗り忘れと塗りすぎの両方が起きます。塗りすぎは、本来開示すべき情報を隠してしまうという別の問題につながります
- 課題③：ダブルチェックの負荷が高く、点検が形骸化する。全件を2人で見るのは、件数が増えるほど現実的でなくなります。結果として確認が流れ作業になり、チェックしたという記録だけが残ります
- 課題④：対象がPDFだけではない。Word、Excel、PowerPointで作られた文書も同じ処理が必要になります。形式ごとに手順が変わると、手順書も点検方法も分かれていきます
探す・塗る・点検するという3つの工程すべてが、件数に比例して重くなります。人を増やす以外の手段を考えないと、この構造は解けません。
5. 自動検出で墨消しを効率化する
そこで出てくるのが、対象箇所の自動検出です。考え方と、実務で押さえるべき点を整理します。
前提：紙やスキャン文書は、まずテキスト化する
紙の文書やスキャンした画像は、そのままでは文字として扱えません。どこに何が書かれているかを機械が判別できなければ、検出も処理もできません。そのため、AI-OCRなどで文字として読み取れる状態にすることが出発点になります。手書きや非定型のレイアウトが混在する文書では、ここの精度がその後の工程を左右します。
何を検出するのか
一般的な対象は、氏名、住所、電話番号、メールアドレス、生年月日、マイナンバー、銀行口座番号、運転免許証番号、パスポート番号などです。組織によっては、取引先名、案件名、内部の符号なども対象になります。
検出の仕組み｜ルールとAIの組み合わせ
検出の方法は、対象の性質によって変わります。電話番号や口座番号のように書式が決まっているものは、ルール（正規表現など）で確実に拾えます。一方で、文脈によって判断が変わる語はルールだけでは扱えません。
分かりやすい例が「千葉」です。「千葉さんからの申請」なら個人名、「千葉県千葉市」なら住所、「千葉製作所」なら法人名。前後の文を読まないと決まりません。こうした判断には、文意を踏まえて推定できるAIによる解析が必要になります。
そのうえで、職員名や部署名、内部用語といった組織固有の語は辞書登録や正規表現で補います。逆に、残したい文字列（「株式会社」など）を除外語として指定できることも実務では重要です。すべてを塗ってしまえば、文書として読めなくなります。
画像に写り込んだ情報
文書に含まれるのは文字だけではありません。添付された写真に人物の顔が写っている、車両のナンバープレートが読み取れる、手書きの部分がある——こうした領域は文字情報として扱えないため、画像として検出する仕組みが別に必要になります。構成によっては対応が可能です。
最終判断は人が行うという運用
自動検出を入れる場合も、全自動にはしません。検出された候補をラベル付きで画面に表示し、墨消しするかどうかを担当者が確認する、という運用が現実的です。自動検出の役割は「判断を代行すること」ではなく、「探す工程を引き受けて、点検の負荷を下げること」にあります。
ここで必ず出てくるのが「精度が100%でなければ使えない」という議論です。しかし、目視による確認でも見落としはゼロになりません。数千ページを人の目だけで追う運用と、自動検出で候補を絞り込んだうえで人が確認する運用では、どちらの見落としが少ないか——問いはそこにあります。精度の問題ではなく、どこまで目視を残すかという設計の問題です。
6. Insight Maskingで墨消しを実行し解決
インサイトテクノロジーが提供する「Insight Masking」は、ここまでの考え方を製品として実装したものです。
自動検出と墨消し処理
自社開発のAIエンジン「Insight Asir」による解析と、ルールベースの検出を組み合わせて、文書内の個人情報・機密情報を自動で検出します。AIが文意を踏まえて単語にラベルを付けるため、文脈によって扱いが変わる語も候補として拾えます。
処理方法は、墨消しと文字の置き換えの2つから選択できます。いずれの場合も、文書のレイアウトや書式は崩れません。PDF文書内の画像については、画像検知機能によって人物の顔や車のナンバープレートなどを検出し、単なる黒塗りではなく対象領域を完全に削除する処理が採られています。
設定と、人による確認
検出対象の追加は、Web画面上で行えます。管理者はAIで検知しきれない単語を辞書登録や正規表現で追加でき、担当者は検出された候補のうち不要なものを外したり、ドラッグ操作で対象を手動で追加したりできます。マスキングする対象と対象外の指定が、画面上で完結します。
第4章で挙げた「担当者によって範囲がばらつく」という課題に対しては、判断の根拠をメモとして残し、メンバー間で共有できる機能があります。なぜここを墨消ししたのか、なぜ残したのかを記録できるため、基準が人に閉じません。墨消し候補の単語リストはCSV形式で出力でき、点検の記録としても使えます。また、進行状況をPDF形式で保存して後から続きを処理できるため、件数の多い業務でも作業を分割できます。
対応する文書と、同じ基盤で扱える範囲
対応するのはPDFだけではありません。Word、Excel、PowerPointといったOffice文書のマスキングも、同じ製品で処理できます。第4章の課題④（形式ごとに手順が分かれる）に対する答えです。提供形態は、セルフホスト版（オンプレミス/IaaS環境）とSaaS版（クラウド提供）が用意されています。※Office 文書は、墨消しではなくマスキング処理となります。
また、Insight Maskingは文書の墨消しに加えて、データベースやCSVといった構造化データを対象としたマスキングも同じ製品ファミリーで提供しています。文書とデータで別のツールを用意しなくてよい、という点が運用上の利点になります。構造化・非構造化を含めたデータの扱いについては、本シリーズの後続記事で詳しく扱います。
想定される利用シーン
公開されている利用シーンとしては、国の行政機関や地方公共団体における行政文書の開示請求対応、各省庁向けの報告資料の墨消し、顧客提案資料から顧客名を伏せて社内共有する、外部提供向けの分析用データを作成する、といったものが挙げられています。紙の文書をPDF化し、墨消しして、確認するという一連の流れを、同じ環境のなかで処理できます。
なお、文書の墨消しは情報漏えい対策の一部です。データそのものへのアクセスを記録し、不正な操作を検知するという観点については、別記事「内部不正を防ぐデータベースアクセス監査の始め方」で解説しています。
まとめ
- PDFは「表示される見た目」と「内部に保持されたデータ」が別の層になっている。上から黒を重ねても下のテキストは残るため、コピー＆ペーストやテキスト抽出で読み取れてしまう
- 黒塗りは「見えなくする」処理、墨消し（Redaction）は「データそのものを削除してから塗る」処理。PDFのマスキングという言葉が指しているのがどちらなのかを確認する。情報公開・開示請求の場面で求められるのは、見えないことではなく復元できないこと
- よくある失敗は、図形で覆う／注釈を使う／白塗りにする／画像化したつもりでテキストが残る／本文以外（文書プロパティ・しおり・添付ファイル）に残る、の5つ
- 処理後の検証を必須工程として定義する。コピー＆ペーストとテキスト抽出で消したはずの文字列が出てこないかを確認する
- 大量処理では、探す・塗る・点検するの3工程すべてが件数に比例して重くなる。自動検出の役割は判断の代行ではなく、探す工程を引き受けて点検の負荷を下げること
大量の文書を安全に処理したい方へ
「個人情報を含むデータの漏洩による被害を抑えたい」「開示請求への対応に時間がかかりすぎている」「担当者によって墨消しの基準がばらついている」「PDF以外の文書も同じように処理したい」——インサイトテクノロジーでは、文書の墨消しからデータベースのマスキングまでを同じ基盤で扱えるInsight Maskingをご提供しています。現在の運用に合うかどうかの確認からでもご相談いただけます。
▼ Insight Maskingの資料をダウンロード
https://www.insight-tec.com/download/?product[]=masking&download_type=all
▼ Insight Maskingによる墨消しの利用用途について詳しく見る
https://www.insight-tec.com/products/masking/redaction
▼ Insight Maskingに関するご相談
https://www.insight-tec.com/products/masking/redaction/#f
