GDPR och äldre skannade filer: OCR för PII
Uppdaterat för 2026
GDPR-revisioner avslöjar ofta samma dolda risk: gamla bildbaserade PDF-arkiv.
Advokatbyråer förvarar 20 år av skannade klientfiler. Sjukhus sparar decennier av patientformulär. Myndigheter lagrar skannade handlingar. Banker har bildkopierade lånefiler.
Dessa arkiv delar ett drag. Filerna är rasterbilder — skannade PDF:er, TIFF eller JPEG. Det finns inget textlager. Standardverktyg för PII kan inte läsa dem. För de flesta anonymiseringsverktyg existerar dessa filer inte.
En vanlig uppfattning: "Det här är bildfiler — GDPR gäller inte."
GDPR Artikel 17(1) ger personer rätten till radering. Recital 26 säger att anonymisering tar bort personuppgifter från tillämpningsområdet. Ingen av dessa innehåller ett undantag för bildformat. En advokatbyrå som inte kan uppfylla en raderingsförfrågan för en 15 år gammal klientfil har en efterlevnadslucka. Det finns inget undantag.
Se vår efterlevnadsöversikt och säkerhetspraxis för hur vi stödjer GDPR.
Hur identifieringspipelinen fungerar
Processen körs i tre steg.
Steg 1 — OCR
OCR-motorn läser bilden och extraherar text. Den registrerar positionen för varje ord. Utdata är maskinläsbar text med koordinater. Noggrannheten minskar vid handskrift, blekt bläck eller gamla typsnitt.
Steg 2 — NLP-entitetsidentifiering
Namngiven entitetsigenkänning (NER) skannar OCR-texten. Den hittar personnamn, organisationer och platser. Mönstermatchning lägger till personnummer, telefonnummer och kontonummer. Varje träff får ett konfidenspoäng.
Steg 3 — Anonymisering
Identifierade entiteter ersätts i textutdata. Originalbilden ändras inte. Att ändra bilden kräver separata redigeringsverktyg. Den anonymiserade texten stöder raderingsförfrågningar, DSAR-svar och efterlevnadsdokument.
Moderna OCR-motorer når 98–99 % teckennoggrannhet på rena tryckta sidor. Handskrift eller försämrade skanningar sjunker till 85–92 %. Entitetsnivånoggrannheten tenderar att vara högre än teckennivånoggrannheten. Ett namn kan identifieras även när några bokstäver är fel.
Den praktiska slutsatsen: OCR-noggrannhet påverkar hur många entiteter du hittar. Det avgör inte om metoden fungerar. Även vid 90 % noggrannhet hittar du de flesta namn och nummer. Kvalitetsnivåer behövs ändå. Metoden i sig är solid.
Bearbetning av ett stort arkiv
Stora äldre arkiv följer ett arbetsflöde i fyra faser.
Fas 1 — Inventering: Lista alla bildbaserade arkiv. Notera källsystem och datumintervall. Prioritera poster med hög raderingsrisk. Klientvända filer kommer före interna.
Fas 2 — Batchbearbetning: Kör OCR och PII-identifiering i omgångar. Fem till tiotusen filer per omgång är en vanlig storlek. Bearbetning körs över natten. Utdata är en PII-rapport och ett anonymiserat textutdrag för varje fil.
Fas 3 — Raderingsfullgörande: Den registrerade skickar en förfrågan med sitt namn och tidsperiod. Sök i de anonymiserade utdragen efter deras token. Hitta filerna. Redigera dem. Logga åtgärden.
Fas 4 — Löpande efterlevnad: Kör nya skannade filer genom samma pipeline innan arkivering. Behåll PII-rapporter som bevis för Artikel 30-register över behandlingsaktiviteter.
Fallstudie: Advokatbyråarkiv
En revision på en advokatbyrå hittade 80 000 bildbaserade PDF-klientkontrakt skannade från 1998 till 2010. Standardverktyg för PII visade noll identifieringar. Bildformatet var osynligt.
Femton tidigare klienter hade lämnat in raderingsförfrågningar under de senaste 12 månaderna. Byrån sade: "Vi kan inte bekräfta att era uppgifter har raderats." Det svaret uppfyller inte GDPR Artikel 17.
Vad byrån gjorde:
- Körde OCR och PII-identifiering på alla 80 000 filer i omgångar om 5 000
- Bearbetningen tog ungefär tre veckor
- Resultat: 80 000 anonymiserade textutdrag med filspecifika rapporter
- Byggde ett sökbart index som kopplar entiteter till fil-ID:n
Efter bearbetning:
- Hitta filer för en registrerad: i genomsnitt 4 minuter
- Filer per förfrågan: i genomsnitt 6–8
- Redigeringstid per förfrågan: 20–30 minuter
Alla 15 utestående förfrågningar löstes inom 30 dagar.
Huvudpunkten: efterlevnadsskyldigheten fanns innan bearbetningen. Byrån saknade helt enkelt verktyg för att uppfylla den. OCR-baserad bearbetning skapade inte en ny skyldighet. Det gjorde en befintlig skyldighet möjlig att uppfylla.
OCR-begränsningar och kvalitetsnivåer
Handskrift har lägre OCR-noggrannhet. Ange en lägre konfidenströskel innan handskrivet innehåll bearbetas.
Dålig skanningskvalitet minskar poängen. Kontrastförbättring och deskewing hjälper innan OCR körs.
Ovanliga layouter — flerspaltige sidor, gamla juridiska typsnitt — kan också ge lägre poäng.
Ange kvalitetsnivåer för efterlevnadsarbete:
- Över 95 % sidnoggrannhet: kör automatiserad bearbetning
- 80–95 %: kör automatiserad bearbetning, sedan mänsklig granskning av flaggade entiteter
- Under 80 %: skicka till manuell granskning
Ett nivåbaserat tillvägagångssätt ger tillsynsmyndigheter ett tydligt svar om hur du bedömde tillförlitligheten. De flesta automatiserade verktyg hanterar filer med hög konfidenspoäng. En manuell kö hanterar resten. Genomströmningen förblir hög. Efterlevnadskvaliteten förblir också hög.
Vår FAQ besvarar vanliga frågor om OCR-baserad bearbetning och krav på revisionsspår.