Anonimizacja PDF bez wysyłania pliku na obcy serwer

Przeciągnięcie pliku na stronę może wyglądać niewinnie. Technicznie to przesłanie pliku. Jego bajty opuszczają komputer, przechodzą przez sieć i trafiają na serwer, do którego nie masz dostępu. Tam ktoś otwiera PDF, wykonuje operację i zwraca link do pobrania.

W tym momencie dokument może istnieć w kilku miejscach naraz: w pamięci serwera, prawdopodobnie w pliku tymczasowym na dysku, być może w magazynie obiektów oraz w co najmniej jednym logu, który odnotował plik tej wielkości z twojego adresu. Część tych kopii jest zamierzona. Część to zwykły skutek działania serwerów.

Usługa może zapewniać, że kasuje pliki po godzinie albo zaraz po przetworzeniu. To możliwe, ale nie da się tego sprawdzić. Z zewnątrz nie odróżnisz usługi, która usuwa pliki zgodnie z harmonogramem, od tej z uszkodzonym zadaniem sprzątającym ani od takiej, której nocne kopie zapasowe przechowują plik przez miesiąc. Pozostaje zaufać deklaracji o wnętrzu maszyny, której nie widzisz. To nie jest weryfikacja.

Przy plakacie z numerem telefonu zaufanie może wystarczyć. Wybierz wtedy szybsze rozwiązanie. Przy niektórych dokumentach samo przesłanie pliku ma znaczenie, zanim jeszcze cokolwiek pójdzie źle.

Dokument objęty tajemnicą zawodową, wysłany do zewnętrznego podmiotu przetwarzającego, został ujawniony osobie trzeciej. Czy to narusza ochronę, oceni prawnik, ale problem już powstał. Tajemnica lekarska nie przestaje obowiązywać tylko dlatego, że dostawca ma dobrą opinię. W świetle RODO przekazanie danych osobowych usłudze do przetworzenia czyni ją podmiotem przetwarzającym: potrzebna jest umowa powierzenia z art. 28, wpis do rejestru z art. 30 i odpowiedź na pytanie, gdzie stoją serwery. Wszystko po to, by usunąć jedną kwotę wynagrodzenia. Typowe NDA ogranicza zaś ujawnianie do wskazanych stron lub zatwierdzonych podwykonawców. Narzędzie online nie jest ani jednym, ani drugim.

Nie wymaga to niedbalstwa po stronie dostawcy. Ryzyko powstaje, gdy plik trafia na serwer.

Technicznie dostępne są trzy możliwości.

Program zainstalowany na komputerze. Aplikacja do PDF-ów działa lokalnie, na twoim sprzęcie. Często to najlepsze rozwiązanie: pracuje bez sieci, a poważne programy od lat oferują prawidłowe usuwanie danych. Są też koszty: licencja, zgoda na instalację na służbowym sprzęcie i jedna stara wersja, od której zależy cała firma.

Narzędzie w przeglądarce, które przetwarza plik lokalnie. Przeglądarka potrafi uruchomić kod do obsługi PDF-ów i OCR na stronie, więc plik czyta JavaScript w twojej karcie, bez wysyłania go gdziekolwiek. Nie trzeba nic instalować. Z zewnątrz takie narzędzie wygląda jednak identycznie jak trzecia opcja.

Narzędzie internetowe, które przetwarza plik po stronie serwera. Wysyłasz, przetwarzasz, pobierasz. To zdecydowanie najczęstszy model, także wśród darmowych narzędzi do anonimizacji PDF. Ma realne zalety: działa na każdym sprzęcie i radzi sobie z plikami, które przeciążyłyby kartę przeglądarki.

Wszystkie trzy opisują się tymi samymi słowami: „bezpiecznie”, „prywatnie”, „twoje pliki są u nas bezpieczne”. Tylko narzędzie serwerowe musi użyć ostatniego z nich.

Nie musisz nikomu wierzyć na słowo.

Najpierw przygotuj testowy PDF: nieszkodliwy, ale o charakterystycznym rozmiarze kilku megabajtów, by łatwo znaleźć go na liście. Nigdy nie wykonuj tych sprawdzeń na prawdziwym dokumencie.

Sprawdzenie sieci. Otwórz stronę narzędzia, uruchom narzędzia deweloperskie przeglądarki (F12 w Windows i Linuksie, Cmd+Option+I na Macu) i przejdź do zakładki „Sieć”. Włącz zachowywanie logu, aby przeładowanie strony nie wyczyściło listy. Wczytaj plik testowy i pracuj normalnie. Szukaj wychodzącego żądania POST lub PUT o rozmiarze zbliżonym do pliku. Kliknij je i otwórz zakładkę z treścią żądania. To dokument wychodzi na zewnątrz. Odpowiedź o podobnym rozmiarze oznacza coś odwrotnego: wraca wynik, który może też wyprodukować narzędzie lokalne. Liczy się kierunek ruchu.

Sprawdzenie bez sieci. Wczytaj stronę i poczekaj, aż załaduje się do końca. Potem wyłącz Wi-Fi albo odłącz kabel. Bez dostępu do sieci wczytaj dokument, usuń dane i wyeksportuj plik. Jeśli operacja się powiedzie, przetwarzanie odbyło się na twoim komputerze, bo nie mogło odbyć się nigdzie indziej.

Oba testy mają granice. Naprawdę lokalne narzędzie może nie przejść testu bez sieci przy pierwszej wizycie, zanim pobierze własny kod i zasoby językowe, więc powtórz próbę później. Narzędzie mogłoby też wstrzymać wysyłkę do chwili powrotu sieci. Dlatego warto wykonać oba testy.

Przetwarzanie lokalne nie oznacza zerowego ruchu w sieci. Strona musi zostać skądś pobrana, a narzędzia OCR zwykle pobierają przy pierwszym użyciu model rozpoznawania dla danego języka. Wysyłanie wszystkich języków każdemu odwiedzającemu byłoby absurdem. Te żądania widać w zakładce „Sieć”. Nie zawierają treści dokumentu, ale są realne. Narzędzie, które przy pierwszym uruchomieniu obiecuje pełną pracę offline, obiecuje za dużo.

hddn działa właśnie w ten sposób, z ważnym zastrzeżeniem: bajty dokumentu nigdy nie trafiają na serwer aplikacji, lecz zasoby OCR i wykrywania są pobierane przy pierwszym potrzebnym użyciu, a potem pozostają w pamięci podręcznej. Automatyczne wykrywanie wskazuje kandydatów, nie znajduje wszystkiego. Każde miejsce sprawdzasz sam, zanim zostanie zastosowane. Nie musisz wierzyć na słowo. Wykonaj na tej stronie sprawdzenie sieci.

Narzędzia się zmieniają. Strona, która w marcu przetwarzała wszystko lokalnie, we wrześniu może po cichu dostać ścieżkę serwerową, bez śladu w interfejsie. Oba sprawdzenia zajmują cztery minuty i dotyczą wersji, którą masz przed sobą.