O que os dados EXIF revelam e como removê-los corretamente

O que está realmente no bloco

Um JPEG guarda os metadados em segmentos de marcador APPn situados antes dos dados de imagem comprimidos. O bloco Exif é uma pequena estrutura TIFF com vários diretórios. O primeiro leva o aparelho — marca, modelo, orientação, o software que escreveu o ficheiro por último, por vezes um autor e uma linha de copyright. Um subdiretório leva a captação: DateTimeOriginal ao segundo, um campo de desvio a dar o fuso horário, um campo de subsegundo, tempo de exposição, diafragma, ISO, distância focal, marca e modelo de objetiva. Vários fabricantes acrescentam um número de série de corpo ou objetiva, e quase todos acrescentam um bloco MakerNote proprietário, não documentado e por vezes volumoso.

Se os serviços de localização estavam ativos, um terceiro diretório leva os dados GPS: latitude e longitude com as referências de hemisfério, altitude, marca temporal UTC, muitas vezes um rumo a indicar para onde a objetiva apontava, e em muitos telemóveis um campo de erro de posicionamento com a estimativa do próprio aparelho. Ao lado de tudo isso está um pacote XMP — um bloco XML capaz de levar palavras-chave, classificações, histórico de edição, etiquetas de região a nomear rostos e contactos do criador — mais um bloco IPTC herdado com legenda, assinatura e topónimos, um perfil de cor ICC, e uma pequena miniatura JPEG num diretório à parte.

Quão precisas são realmente as coordenadas

O Exif guarda latitude e longitude em graus, minutos e segundos, cada um escrito como fração. Um grau de latitude são cerca de 111 320 m, pelo que um minuto de arco são cerca de 1 855 m e um segundo de arco cerca de 30,92 m. Como o campo dos segundos é uma fração, a resolução guardada depende do denominador que o aparelho escolheu: um denominador de 100 regista a cerca de 31 cm, um de 1 000 a cerca de 3 cm. A longitude comporta-se do mesmo modo mas encolhe com o cosseno da latitude — a 40 graus norte, um segundo de arco de longitude cobre cerca de 23,69 m em vez de 30,92.

Não confunda essa resolução guardada com a exatidão. O ficheiro pode conter um número preciso ao centímetro enquanto a posição satelital subjacente é várias vezes mais grosseira, e é essa posição que decide se as coordenadas apontam para uma casa ou para a rua em frente. É precisamente por isso que a especificação inclui um campo de erro de posicionamento, e por isso uma leitura responsável de um par de coordenadas o trata como uma área, não como um ponto. Continua a ser específico o bastante para levantar uma questão de privacidade. Uma fotografia de férias publicada sozinha raramente importa; uma série de fotografias tiradas na mesma morada, todas com coordenadas e marcas temporais, descreve uma rotina.

Quem o remove no envio, e porque convém testar em vez de acreditar

As grandes plataformas costumam recodificar as fotografias enviadas, e a recodificação faz cair a maioria dos metadados como efeito colateral, não como função de privacidade. Mas o comportamento varia com a plataforma e, mais ainda, com o caminho que o ficheiro toma dentro de uma mesma plataforma. A mesma aplicação de mensagens que recodifica uma fotografia enviada como fotografia transmitirá os bytes originais intactos se o mesmo ficheiro seguir como documento ou anexo, porque esse caminho é explicitamente concebido para preservar o ficheiro tal e qual. Um link de armazenamento na nuvem serve o original por definição. Um gestor de conteúdos costuma guardar o original carregado ao lado dos seus derivados redimensionados, e embora os derivados sejam recodificados, o original permanece muitas vezes acessível no seu próprio URL.

Como estes comportamentos mudam sem aviso, nenhuma lista publicada se mantém correta por muito tempo, e esta página não lhe vai dar uma. O procedimento fiável é a ida e volta: limpe o ficheiro, envie-o exatamente como faria, descarregue a cópia que a plataforma serve e inspecione essa cópia. Cinco minutos de teste no caminho que usa de facto valem mais do que qualquer tabela de comportamentos, mesmo recente.

O que a limpeza não faz

Limpar metadados edita o cabeçalho. Não toca na imagem, pelo que tudo o que nela é visível sobrevive intacto: uma marca de água, um rosto, um número de porta, um emblema escolar numa camisola, um nome numa etiqueta de entrega, uma silhueta urbana reconhecível pela janela. Se a própria fotografia identifica uma pessoa ou um lugar, o remédio é uma edição dos píxeis — recorte, desfoque ou bloco opaco — não uma operação de metadados. As duas coisas confundem-se muitas vezes porque ambas são apresentadas como funções de privacidade, e resolvem problemas completamente diferentes.

O caso da captura de ecrã ilustra-o exatamente. Fotografar um ecrã, ou capturar uma fotografia, produz um ficheiro novo sem metadados de câmara — sem coordenadas, sem marca temporal de captação, sem aparelho. Também reproduz cada píxel do original. O dado de localização desapareceu; a esquina reconhecível não. Uma captura é uma boa forma de entregar uma imagem sem o seu histórico, e uma má forma de esconder o que a imagem mostra.

Remoção que só finge remover

Nem toda a ferramenta apresentada como limpador de metadados reescreve o ficheiro. Algumas esvaziam os valores das etiquetas que reconhecem e deixam a estrutura de diretórios, o que engana um visualizador distraído e mais nada. Algumas tratam as etiquetas Exif padrão e saltam por completo o MakerNote proprietário ou o pacote XMP: o bloco que identifica com mais fiabilidade um corpo de câmara concreto é justamente o que fica. Algumas trabalham sobre uma cópia e deixam o original na mesma pasta com um nome parecido, e é assim que um ficheiro limpo e o seu gémeo por limpar acabam anexados à mesma mensagem.

Converter também não é limpar, e pode funcionar ao contrário. Converter para JPEG, com uma ferramenta padrão do sistema, um PNG que não levava metadado de câmara nenhum produziu um ficheiro de saída com um bloco Exif novinho de 124 bytes: cinco etiquetas no diretório principal e três no subdiretório, escritas pelo próprio conversor. Nada de sensível neste caso concreto, mas é um lembrete útil: cada ferramenta de uma cadeia pode acrescentar as suas anotações, e a única forma de saber o que um ficheiro transporta é abri-lo e olhar.

Guardar os metadados é muitas vezes a escolha certa

Isto não é um apelo a apagar tudo por reflexo. Os metadados são o que permite a uma fototeca ordenar por data, o que faz uma imagem aparecer direita, o que leva a linha de copyright de um fotógrafo e o que mantém legível daqui a trinta anos um arquivo familiar. A orientação merece proteção especial: retire-a de um ficheiro cujos píxeis estão gravados rodados e a imagem aparecerá deitada em qualquer software que respeite a etiqueta.

O hábito viável são, portanto, dois ficheiros, não uma regra única. Guarde o original com todos os metadados no seu próprio armazenamento e produza uma exportação limpa para tudo o que saia do seu controlo — uma publicação pública, um anúncio num marketplace, um fórum, um anexo para alguém que mal conhece. Assim nunca tem de escolher entre um arquivo pesquisável e uma fotografia publicável sem pensar.

Perguntas frequentes

Remover o EXIF torna o ficheiro sensivelmente mais pequeno?

Quase nada. Retirar todos os marcadores de metadados do nosso JPEG de teste de 5 617 703 bytes tirou 1 344 bytes — 0,0239 % do ficheiro. Limpar metadados é uma operação de privacidade, não de compressão. Se uma ferramenta anuncia uma grande redução de tamanho ao remover metadados, é porque também está a recodificar a imagem, o que é outra decisão e custa qualidade.

Recortar uma fotografia remove a localização?

Por si só, não. A maioria dos editores transporta os metadados para o ficheiro recortado, coordenadas incluídas, porque os fotógrafos esperam que sobrevivam à edição. Pior: se o editor não regenerar a miniatura incrustada, o ficheiro recortado pode ainda conter uma pequena cópia da imagem sem recorte. Recorte, depois limpe, depois volte a inspecionar — por esta ordem.

Posso antes desativar a marcação de localização na origem?

Sim, e é a solução mais limpa para as fotografias que já sabe que vai partilhar. Qualquer telemóvel atual permite negar à câmara o acesso à localização, e a maioria dos menus de partilha oferece ainda uma opção por envio para deixar a localização de fora. Fazê-lo no momento da captação significa que nunca existem coordenadas no ficheiro, pelo que não há nada que esquecer de retirar depois. A contrapartida é que a sua fototeca perde o mapa.

O PNG, o WebP e o HEIC também levam metadados?

Sim. O PNG tem um bloco eXIf e blocos textuais; o WebP e o AVIF têm os seus próprios blocos EXIF e XMP dentro do contentor; os ficheiros HEIC dos telemóveis levam a mesma estrutura Exif que um JPEG, e muitas vezes uma rajada de imagens extra por cima. O hábito de verificar só os JPEG é um resto da época em que o JPEG era o único formato partilhado. Inspecione o que vai enviar, seja qual for a extensão.

Se a plataforma remove os metadados de qualquer modo, porquê limpar antes?

Porque a plataforma recebe o original antes de remover o que quer que seja, porque essa remoção é um subproduto do seu processamento e não uma promessa, porque pode reenviar o mesmo ficheiro para outro lado mais tarde, e porque o comportamento pode mudar na próxima versão. Limpar antes de enviar custa segundos e não depende de a implementação alheia continuar igual.

Há alguma razão legítima para guardar os dados GPS?

Várias. Um arquivo de viagens percorrível num mapa é realmente útil, a documentação de campo e os levantamentos dependem disso, o jornalismo e as participações de seguro precisam muitas vezes disso como prova de onde a imagem foi tirada, e a fotografia científica considera-o parte do registo. O juízo é contextual: guarde-o no seu próprio armazenamento e decida deliberadamente para cada ficheiro que lhe sai do controlo.