El PDF, concentrado de datos personales
Contratos, nóminas, historiales médicos, documentos de identidad, facturas: el PDF sigue siendo el formato de referencia de los documentos sensibles. A diferencia de una página web que se muestra y se olvida, un PDF embarca su contenido, su estructura, sus metadatos y a veces adjuntos en un solo archivo. En cuanto lo procesas en línea, transfieres todo eso a un tercero.
El RGPD no se aplica al formato en sí, sino a los datos personales que transporta. Dirección, número de la seguridad social, IBAN, correo electrónico, número de teléfono: una sola página puede contener varios. Antes de enviar un documento a cualquiera, conviene preguntarse qué debe salir realmente de tu perímetro.
Fellowes 6M — microcorte P-4Microcorte P-4: para documentos de identidad y financieros.afiliado
Lo que espera el RGPD: base jurídica, minimización y encargados
Tres nociones guían el planteamiento.
Base jurídica. Todo tratamiento de datos personales debe apoyarse en una de las bases previstas por el artículo 6 del RGPD: consentimiento, contrato, obligación legal, misión de interés público, intereses vitales o interés legítimo. Unir contratos para un expediente de RRHH, comprimir justificantes para hacienda o transmitir un balance contable recaen cada uno en una base distinta. La elección compromete la responsabilidad del responsable del tratamiento.
Minimización. El artículo 5 impone limitar los datos recogidos a lo «necesario» para las finalidades declaradas. Enviar un documento completo a un servicio en línea cuando basta una página, o conservar un archivo más tiempo del necesario, choca con ese principio.
Encargados y transferencias. Cuando depositas un PDF en un servidor tercero, ese servidor se convierte en encargado del tratamiento en el sentido del artículo 28. Debes entonces asegurarte de un contrato de tratamiento, de una garantía de las medidas de seguridad y, si el servidor está fuera de la Unión Europea, de un encuadre de la transferencia. Estas obligaciones pesan sobre el responsable del tratamiento, no solo sobre la herramienta.
El procesamiento local cambia la geografía del riesgo
Cuando la manipulación del PDF se efectúa en el navegador, en tu dispositivo, el documento no franquea la frontera de tu máquina durante el tratamiento. Los bytes se leen localmente, el cálculo se descarga en Web Workers y el resultado se reconstruye en memoria antes de proponerse como descarga mediante un objeto Blob. No se exige cuenta, ningún servidor de documentos almacena el archivo.
Mecánicamente, este enfoque retira de la cadena el eslabón «encargado cloud» para la manipulación del propio documento: sin contrato que negociar para esa operación, sin análisis de transferencia que documentar, sin plazo de purga que esperar de un tercero. Para esa manipulación no hay que firmar contrato de tratamiento al amparo del artículo 28, a falta de encargado identificado.
La ausencia de envío se verifica técnicamente: abre la pestaña Red de las herramientas de desarrollo y luego pasa a modo sin conexión tras la carga inicial. Si la herramienta sigue funcionando, el PDF se quedó en su sitio.
Lo que se queda local, lo que pasa igualmente por la red
«Local» no significa «cero peticiones». Varios flujos siguen siendo normales.
Carga de la página y de los recursos. El sitio, sus scripts, sus fuentes y sus iconos llegan desde el servidor, como en cualquier aplicación web.
Publicidad y consentimiento. En las páginas públicas, Document Flare carga AdSense con una CMP TCF v2.2. El script de AdSense se carga incondicionalmente, pero solo las peticiones de anuncios están condicionadas al consentimiento. Las rutas de herramientas (/tools/) no muestran ni anuncios ni banner de consentimiento.
Modelos de OCR e IA en caché. El OCR local usa Tesseract WASM; los modelos se descargan una primera vez desde el servidor y luego se guardan en caché. Las funciones de resumen y traducción se apoyan en las API del navegador (Chrome o Edge 138+). La búsqueda semántica carga un modelo de unos 115 MB vía Transformers.js. En todos los casos, el tráfico va del servidor a tu navegador, nunca al revés: el PDF no sale.
Acciones concretas: limpiar metadatos, censurar antes de enviar
Dos herramientas locales responden directamente a los riesgos RGPD del PDF.
Limpiar los metadatos. El diccionario Info de un PDF puede contener título, autor, asunto, palabras clave, creador, productor, fechas de creación y modificación. Un flujo XMP puede almacenar más. La herramienta sanitize-pdf retira opcionalmente esos metadatos, las acciones JavaScript (OpenAction, AA, scripts embarcados), los adjuntos y las anotaciones. El contenido de las páginas queda intacto.
Censurar antes de transmitir. La herramienta redact-pdf detecta localmente datos personales comunes (IBAN, identificadores franceses NIR, números de tarjeta bancaria, SIREN, SIRET, direcciones de correo, números de teléfono, fechas de nacimiento con contexto, direcciones IPv4), luego dibuja rectángulos negros y rasteriza las páginas afectadas en JPEG. El texto bajo esas zonas deja de ser extraíble. También puedes introducir palabras clave manualmente para nombres, direcciones o cualquier campo no detectado automáticamente.
Atención: la detección automática no es exhaustiva. Un escaneo sin capa de texto, una fuente desestructurada, un nombre propio sin contexto o un identificador exótico pueden escapar a la detección. La revisión humana sigue siendo necesaria antes de cualquier envío.
De lo que lo local no te exime
El procesamiento local no «te hace conforme» al RGPD. Elimina un riesgo de subcontratación, no el conjunto de las obligaciones.
Sigues siendo responsable de la base jurídica, de la duración de conservación, de la seguridad de tu equipo, del control de accesos al archivo producido y de su transferencia final por correo o mensajería. Un malware, una extensión de navegador indiscreta, un administrador de sistemas o un simple error de envío pueden filtrar un archivo que nunca salió de tu navegador. El procesamiento local protege contra la exposición del lado del servidor; no protege contra un dispositivo ya comprometido ni contra una mala manipulación.
Por último, la herramienta no sustituye un consejo jurídico. Las interpretaciones del RGPD varían según tu sector, tu país de establecimiento y la naturaleza exacta de los datos tratados. Si tratas datos de salud, datos biométricos o datos relativos a condenas penales, se añaden reglas específicas.
En la práctica
Para un servicio de RRHH que une contratos, un despacho que prepara justificantes o un particular que transmite documentos administrativos, el planteamiento puede organizarse así:
- Abre la herramienta en el navegador.
- Elimina los metadatos innecesarios con
sanitize-pdf. - Censura las zonas sensibles con
redact-pdf. - Protege el archivo con contraseña si el destinatario debe recibirlo cifrado.
- Envía el documento por un canal seguro y conserva una traza del plazo de conservación previsto.
Esta cadena reduce mecánicamente los flujos de datos personales. No los elimina todos, pero suprime el más opaco: el envío sistemático del documento completo a un servidor tercero.
Para seguir: qué protege realmente el procesamiento local detalla el modelo de amenaza, adónde van tus archivos lee las políticas de conservación de las herramientas en la nube, y censurar un PDF guía la eliminación de datos personales antes del envío.
Fuentes
- CNIL, «Recomendaciones relativas al desarrollo de los sistemas de IA», 22 de julio de 2025: cnil.fr
El material adecuado
Fellowes 6M — microcorte P-4Microcorte P-4: para documentos de identidad y financieros.afiliado
Trodat ID Protector — sello de privacidadRodillo de tinta que oculta direcciones e identificadores en papel antes de destruirlos.afiliado
