GDPR וקבצים סרוקים ישנים: OCR לאיתור מידע אישי
עודכן לשנת 2026
ביקורות GDPR חושפות שוב ושוב את אותו סיכון נסתר: ארכיונים ישנים של PDF מבוסס תמונה.
משרדי עורכי דין מחזיקים 20 שנה של תיקי לקוחות סרוקים. בתי חולים שומרים עשרות שנים של טפסי מטופלים. גופים ממשלתיים מאחסנים רשומות סרוקות. בנקים מחזיקים תיקי הלוואות ממוסמכים.
לארכיונים אלו יש מאפיין משותף: הקבצים הם תמונות רסטר — PDF סרוק, TIFF או JPEG. אין שכבת טקסט. כלי PII סטנדרטיים אינם יכולים לקרוא אותם. עבור רוב כלי האנונימיזציה, קבצים אלו פשוט אינם קיימים.
אמונה נפוצה: "אלו קבצי תמונה — GDPR לא חל עליהם."
סעיף 17(1) של GDPR מעניק לאנשים זכות מחיקה. פרק 26 קובע כי אנונימיזציה מוציאה מידע אישי מהיקף הרגולציה. אף אחד מהם אינו מעניק פטור בגין פורמט התמונה. משרד עורכי דין שאינו יכול למלא בקשת מחיקה של תיק לקוח בן 15 שנה נמצא בפער תאימות — לא בפטור.
ראו את סקירת התאימות ואת נוהלי האבטחה שלנו לגבי האופן בו אנו תומכים ב-GDPR.
כיצד עובד תהליך הגילוי
התהליך מתבצע בשלושה שלבים.
שלב 1 — OCR
מנוע ה-OCR קורא את התמונה ומחלץ טקסט. הוא מתעד את מיקום כל מילה. הפלט הוא טקסט קריא למכונה עם קואורדינטות. הדיוק יורד כאשר כתב יד, דיו דהוי או גופנים ישנים מופיעים.
שלב 2 — זיהוי ישויות NLP
זיהוי ישויות שמות (NER) סורק את טקסט ה-OCR. הוא מוצא שמות אנשים, ארגונים ומיקומים. התאמת תבניות מוסיפה מספרי תעודות, מספרי טלפון ומספרי חשבון. לכל ממצא ניתן ציון ביטחון.
שלב 3 — אנונימיזציה
הישויות שזוהו מוחלפות בפלט הטקסט. התמונה המקורית אינה משתנה. שינוי התמונה מצריך כלי עריכה נפרדים. הטקסט המאונונם תומך בבקשות מחיקה, תגובות DSAR ורשומות תאימות.
מנועי OCR מודרניים מגיעים לדיוק תווים של 98–99% על דפים מודפסים נקיים. כתב יד או סריקות פגומות יורדים ל-85–92%. דיוק ברמת הישות נוטה להיות גבוה יותר מדיוק ברמת התו. שם יכול להיות מזוהה גם כאשר כמה אותיות שגויות.
המסקנה המעשית: דיוק ה-OCR משפיע על מספר הישויות שנמצאות. הוא אינו קובע אם השיטה עובדת. גם בדיוק של 90%, אתם מוצאים את רוב השמות והמספרים. יש צורך ברמות איכות — אך השיטה עצמה תקינה.
עיבוד ארכיון גדול
ארכיונים ישנים גדולים עוקבים אחר תהליך עבודה בארבעה שלבים.
שלב 1 — מלאי: רשמו את כל הארכיונים מבוססי התמונה. ציינו מערכת מקור וטווח תאריכים. העדיפו רשומות בסיכון מחיקה גבוה. קבצים המיועדים ללקוחות קודמים לפנימיים.
שלב 2 — עיבוד אצווה: הפעילו OCR וזיהוי PII באצוות. חמישה עד עשרת אלפים קבצים לאצווה הוא גודל נפוץ. העיבוד מתבצע בלילה. הפלט הוא דוח PII ותמצית טקסט מאונונמת לכל קובץ.
שלב 3 — מילוי בקשות מחיקה: הנבדק שולח בקשה עם שמו ותקופה. חפשו בתמציות המאונונמות את האסימונים שלו. מצאו את הקבצים. ערכו אותם. תעדו את הפעולה.
שלב 4 — תאימות שוטפת: הכניסו קבצים סרוקים חדשים לאותו תהליך לפני ארכיוב. שמרו דוחות PII כראיות לרשומות עיבוד לפי סעיף 30.
מקרה בוחן: ארכיון משרד עורכי דין
ביקורת במשרד עורכי דין מצאה 80,000 חוזי לקוח מבוססי PDF שנסרקו בין 1998 ל-2010. כלי PII סטנדרטיים הראו אפס ממצאים. פורמט התמונה היה בלתי נראה.
חמישה עשר לקוחות לשעבר הגישו בקשות מחיקה ב-12 החודשים הקודמים. המשרד אמר: "איננו יכולים לאשר שהרשומות שלך נמחקו." תשובה זו אינה עומדת בדרישות סעיף 17 של GDPR.
מה המשרד עשה:
- הפעיל OCR וזיהוי PII על כל 80,000 הקבצים באצוות של 5,000
- העיבוד ארך כשלושה שבועות
- התוצאה: 80,000 תמציות טקסט מאונונמות עם דוחות לכל קובץ
- בנה אינדקס לחיפוש המקשר ישויות למזהי קבצים
לאחר העיבוד:
- מציאת קבצים לנבדק אחד: 4 דקות בממוצע
- קבצים לכל בקשה: 6–8 בממוצע
- זמן עריכה לכל בקשה: 20–30 דקות
כל 15 הבקשות הפתוחות נפתרו בתוך 30 יום.
הנקודה המרכזית: חובת התאימות הייתה קיימת לפני העיבוד. למשרד פשוט חסרו הכלים לעמוד בה. עיבוד מבוסס OCR לא יצר חובה חדשה. הוא הפך חובה קיימת לניתנת למימוש.
מגבלות OCR ורמות איכות
כתב יד מניב דיוק OCR נמוך יותר. הגדירו סף ביטחון נמוך יותר לפני עיבוד תוכן כתוב ביד.
איכות סריקה ירודה מפחיתה ציונים. שיפור ניגודיות ויישור לפני הפעלת OCR עוזרים.
פריסות חריגות — דפים מרובי עמודות, גופני משפט ישנים — עשויים גם הם לקבל ציון נמוך יותר.
הגדירו רמות איכות לעבודת תאימות:
- מעל 95% דיוק לדף: הפעילו עיבוד אוטומטי
- 80–95%: הפעילו עיבוד אוטומטי, ואחריו בדיקה אנושית לישויות מסומנות
- מתחת ל-80%: שלחו לבדיקה ידנית
גישה מדורגת מספקת לרגולטורים תשובה ברורה על אופן הערכת האמינות. רוב הכלים האוטומטיים מטפלים בקבצים בביטחון גבוה. תור ידני מטפל בשאר. התפוקה נשארת גבוהה. איכות התאימות נשארת גבוהה גם כן.
ה-שאלות נפוצות שלנו עונות על שאלות נפוצות לגבי עיבוד מבוסס OCR ודרישות שבילי ביקורת.