PDF وGDPR: تقليص النقل بفضل المعالجة المحلية

ملف PDF، مركَّز البيانات الشخصية

عقود وقسائم رواتب وملفات طبية ووثائق هوية وفواتير: يبقى PDF الصيغة المرجعية للمستندات الحساسة. وخلافًا لصفحة ويب تُعرَض ثم تُنسى، يحمل ملف PDF محتواه وبنيته وبياناته الوصفية وأحيانًا مرفقاته في ملف واحد. ما إن تعالجه عبر الإنترنت، تنقل كل ذلك إلى طرف ثالث.

لا ينطبق GDPR على الصيغة نفسها، بل على البيانات الشخصية التي يحملها. عنوان، رقم ضمان اجتماعي، IBAN، بريد إلكتروني، رقم هاتف: صفحة واحدة قد تحوي عدة عناصر. قبل إرسال مستند إلى أي كان، من الأفضل التساؤل عما يجب حقًا أن يخرج من نطاقك.

Fellowes 6M — قطع دقيق P-4قطع دقيق P-4: مناسب لوثائق الهوية والمستندات المالية.انتساب

ما يتوقعه GDPR: أساس قانوني وتقليل ومعالجة فرعية

ثلاثة مفاهيم توجّه المقاربة.

الأساس القانوني. كل معالجة بيانات شخصية يجب أن تستند إلى إحدى القواعد المنصوصة في المادة 6 من GDPR: الموافقة، العقد، الالتزام القانوني، مهمة المصلحة العامة، المصالح الحيوية أو المصلحة المشروعة. دمج عقود لملف موارد بشرية، ضغط إثباتات للضرائب، أو تمرير بيان محاسبي — كل منها يقع تحت أساس مختلف. الاختيار يلزم المسؤول عن المعالجة.

التقليل. تفرض المادة 5 حصر البيانات المجموعة بما هو «ضروري» للأغراض المعلنة. إرسال مستند كامل إلى خدمة عبر الإنترنت بينما تكفي صفحة واحدة، أو الاحتفاظ بملف أطول من اللازم، يصطدم بهذا المبدأ.

المعالجة الفرعية والنقل. حين تودع ملف PDF على خادم طرف ثالث، يصبح ذلك الخادم معالجًا فرعيًا بمعنى المادة 28. يجب حينها ضمان عقد معالجة، وكفالة تدابير الأمن، وإن كان الخادم خارج الاتحاد الأوروبي، تأطير النقل. وتذكّر CNIL بأن هذه الالتزامات تقع على المسؤول عن المعالجة، لا على الأداة وحدها.

المعالجة المحلية تغيّر جغرافيا المخاطر

حين تتم معالجة PDF في المتصفح على جهازك، لا يعبر المستند حدود جهازك أثناء المعالجة. تُقرأ البايتات محليًا، ويُنقَل الحساب إلى Web Workers، ويُعاد بناء النتيجة في الذاكرة قبل عرضها للتنزيل عبر كائن Blob. لا حساب مطلوب، ولا خادم مستندات يخزّن الملف.

آليًا، تزيل هذه المقاربة من السلسلة حلقة «المعالج السحابي الفرعي» بالنسبة لمعالجة المستند نفسه: لا عقد للتفاوض عليه لهذه العملية، لا تحليل نقل لتوثيقه، لا مهلة حذف تُنتظَر لدى طرف ثالث. لهذه المعالجة، لا يجب توقيع عقد معالجة بمقتضى المادة 28، لغياب معالج محدد.

غياب الإرسال قابل للتحقق تقنيًا: افتح تبويب الشبكة في أدوات المطور، ثم انتقل إلى وضع عدم الاتصال بعد التحميل الأول. إن واصلت الأداة العمل، فالملف بقي في مكانه.

ما يبقى محليًا، وما يعبر الشبكة رغم ذلك

«محلي» لا تعني «صفر طلبات». عدة تدفقات تبقى طبيعية.

تحميل الصفحة والموارد. الموقع وسكربتاته وخطوطه وأيقوناته تصل من الخادم، كأي تطبيق ويب.

الإعلان والموافقة. على الصفحات العامة، يحمّل Document Flare منصة AdSense مع منصة موافقة TCF v2.2. يُحمَّل سكربت AdSense دون شرط، لكن طلبات الإعلانات وحدها مشروطة بالموافقة. مسارات الأدوات (/tools/) لا تعرض إعلانات ولا لافتة موافقة.

نماذج OCR والذكاء الاصطناعي في الذاكرة المؤقتة. يستخدم OCR المحلي Tesseract WASM؛ النماذج تُنزَّل أول مرة من الخادم ثم تُخزَّن مؤقتًا. وظائف التلخيص والترجمة تعتمد على واجهات المتصفح (Chrome أو Edge 138+). والبحث الدلالي يحمّل نموذجًا بنحو 115 ميغابايت عبر Transformers.js. في كل الحالات، الحركة من الخادم إلى متصفحك لا العكس: ملف PDF لا يغادر.

إجراءات عملية: تنظيف البيانات الوصفية والتعتيم قبل الإرسال

أداتان محليتان تجيبان مباشرة عن مخاطر GDPR في ملفات PDF.

تنظيف البيانات الوصفية. قاموس Info في ملف PDF قد يحوي العنوان والمؤلف والموضوع والكلمات المفتاحية والمنشئ والمنتج وتواريخ الإنشاء والتعديل. وتدفق XMP قد يخزّن أكثر. أداة sanitize-pdf تحذف اختياريًا هذه البيانات الوصفية وإجراءات JavaScript ‏(OpenAction وAA والسكربتات المضمّنة)‏ والمرفقات والتعليقات. يبقى محتوى الصفحات سليمًا.

التعتيم قبل الإرسال. تكتشف أداة redact-pdf محليًا بيانات شخصية شائعة (IBAN، وأرقام الضمان الاجتماعي الفرنسية NIR، وأرقام البطاقات البنكية، ومعرّفات SIREN وSIRET، وعناوين البريد، وأرقام الهاتف، وتواريخ الميلاد بسياقها، وعناوين IPv4)، ثم ترسم مستطيلات سوداء وتحوّل الصفحات المعنية إلى صور JPEG. النص تحت تلك المناطق لا يعود قابلًا للاستخراج. يمكنك أيضًا إدخال كلمات مفتاحية يدويًا للأسماء والعناوين أو أي حقل لا يكتشفه الكشف التلقائي.

انتبه: الكشف التلقائي ليس شاملًا. مسح بلا طبقة نصية، أو خط مشوّه، أو اسم علم بلا سياق، أو معرّف غير مألوف قد يفلت من الكشف. المراجعة البشرية تبقى ضرورية قبل أي إرسال.

ما لا تعفيك منه المعالجة المحلية

المعالجة المحلية لا «تجعلك ممتثلًا» لـGDPR. تزيل خطر معالجة فرعية، لا مجمل الالتزامات.

تبقى مسؤولًا عن الأساس القانوني ومدة الاحتفاظ وأمن جهازك وضبط الوصول إلى الملف الناتج ونقله النهائي بالبريد أو المراسلة. برنامج خبيث أو إضافة متصفح فضولية أو مدير نظام أو مجرد خطأ إرسال قد يسرّب ملفًا لم يغادر متصفحك قط. المعالجة المحلية تحمي من الانكشاف جهة الخادم؛ لا تحمي من جهاز مخترَق أو سوء استعمال.

أخيرًا، الأداة لا تحل محل استشارة قانونية. تفسيرات GDPR تختلف حسب قطاعك وبلد إقامتك والطبيعة الدقيقة للبيانات المعالجة. إن كنت تعالج بيانات صحية أو بيومترية أو متعلقة بإدانات جزائية، تُضاف قواعد خاصة.

عمليًا

لقسم موارد بشرية يدمج عقودًا، أو مكتب يجهّز مستندات إثبات، أو فرد يرسل وثائق إدارية، يمكن تنظيم المقاربة هكذا:

1. افتح الأداة في المتصفح.
2. احذف البيانات الوصفية غير الضرورية بـsanitize-pdf.
3. عتّم المناطق الحساسة بـredact-pdf.
4. احمِ الملف بكلمة مرور إن كان يجب أن يصل المستلم إليه مشفرًا.
5. أرسل المستند عبر قناة مؤمّنة واحتفظ بأثر لمدة الاحتفاظ المقررة.

هذه السلسلة تقلّص آليًا تدفقات البيانات الشخصية. لا تزيلها كلها، لكنها تحذف أكثرها عتمة: الإرسال المنهجي للمستند الكامل إلى خادم طرف ثالث.

للمتابعة: ما الذي تحميه المعالجة المحلية فعلًا يفصّل نموذج التهديد، وأين تذهب ملفاتك يقرأ سياسات الاحتفاظ للأدوات السحابية، وتعتيم ملف PDF يوجه حذف البيانات الشخصية قبل الإرسال.

المصادر

• CNIL، «توصيات بشأن تطوير أنظمة الذكاء الاصطناعي»، 22 يوليو 2025: cnil.fr

المعدات المناسبة

Fellowes 6M — قطع دقيق P-4قطع دقيق P-4: مناسب لوثائق الهوية والمستندات المالية.انتساب Trodat ID Protector — ختم حماية الهويةبكرة حبر تخفي العناوين والمعرّفات على الورق قبل الإتلاف.انتساب