Anonimizzare documenti scansionati: i rischi dell'OCR e il doppio controllo

Quasi ogni archivio contiene due tipi di documenti: quelli nati digitali (un Word esportato in PDF, un provvedimento generato dal gestionale) e quelli scansionati (una lettera arrivata in cartaceo, una fattura ricevuta per posta, una carta d'identità fotografata con il telefono). Per una persona sono uguali. Per uno strumento di anonimizzazione no: un documento scansionato è un'immagine e, prima di cercarvi dati personali, bisogna trasformarla in testo con l'OCR (riconoscimento ottico dei caratteri). Tutto ciò che l'OCR legge male, o non legge, sfugge al rilevamento automatico. Per questo le scansioni sono il punto debole di quasi ogni progetto di oscuramento o anonimizzazione.

Perché una scansione non è un PDF nativo

In un PDF nativo il testo esiste come testo: si può selezionare, cercare e copiare, e uno strumento può individuare un codice fiscale al carattere. In una scansione ci sono solo pixel. L'OCR ricostruisce il testo dall'immagine e aggiunge un livello invisibile con le parole riconosciute e la loro posizione. Il rilevamento lavora su quel livello, mentre l'oscuramento va applicato all'immagine. Ne derivano due problemi: se l'OCR sbaglia un carattere, il rilevamento fallisce; e se l'oscuramento agisce solo sul livello di testo, o solo sull'immagine, il dato resta. Il secondo errore è tra i classici che descriviamo in errori di oscuramento nei PDF che fanno trapelare dati.

Sei rischi tipici

1. Errori di riconoscimento

Fotocopie di fotocopie, fax, bassa risoluzione o scarso contrasto producono confusioni note: 0 e O, 1, l e I, 5 e S, «rn» letto come «m». Basta un carattere perché un pattern non riconosca più un identificativo. Esempio fittizio: in un codice fiscale una «O» viene letta come «0» e la regola che si aspetta lettere e cifre in posizioni precise non lo individua. Lo stesso accade con un IBAN spezzato su due righe o con un cognome doppio sillabato.

2. Scrittura a mano

Annotazioni a margine, nomi compilati a mano in un modulo, la firma con il nome del firmatario sotto. L'OCR tradizionale riconosce male la scrittura manuale: questi dati compaiono di rado nel rilevamento automatico e vanno coperti con zone manuali dopo un controllo visivo.

3. Timbri, firme e codici

Timbri di protocollo con nome e numero, timbri aziendali sovrapposti al testo, diciture verticali a margine, firme autografe o codici QR che rimandano a una ricevuta nominativa. Sono elementi grafici, spesso ruotati o sovrapposti, che l'OCR legge solo in parte o per niente.

4. Pagine storte, ruotate o fotografate

Una pagina acquisita inclinata o una foto scattata in prospettiva peggiora il riconoscimento e sposta le coordinate: il rettangolo di oscuramento può risultare leggermente fuori posto e lasciare visibili le parti alte o basse delle lettere.

5. Documenti misti

Un contratto nativo con la copia scansionata del documento d'identità in fondo, un fascicolo con allegati fotografati, un'email con un allegato immagine. Chi vede prime pagine pulite e ben rilevate tende a fidarsi del resto.

6. Livelli OCR ereditati

Molti scanner generano un proprio livello di testo, talvolta di bassa qualità. Se si oscura l'immagine ma si conserva quel livello, il testo originale resta copiabile o ricercabile. Va eliminato insieme ai metadati del PDF.

Il doppio controllo: un metodo pratico

La normativa non impone una tecnica precisa, ma il GDPR richiede misure adeguate al rischio (art. 32) e protezione dei dati fin dalla progettazione (art. 25). Per le pubbliche amministrazioni, le linee guida del Garante sulla pubblicazione di atti sul web chiedono di oscurare i dati non pertinenti o eccedenti prima di pubblicare per finalità di trasparenza: un oscuramento fallito su una scansione equivale a pubblicarli. Per le scansioni questo si traduce in un doppio controllo:

Il secondo controllo funziona meglio se lo fa una persona diversa: chi ha già letto un documento tende a vedere ciò che si aspetta. Se il volume non consente una doppia revisione completa, concentratela sulle pagine scansionate e sui documenti con dati particolari, dove si addensano gli errori. Una guida passo passo è disponibile in come anonimizzare un PDF scansionato.

Come Anonimatum gestisce le scansioni

Nell'anonimizzatore di PDF scansionati di Anonimatum l'OCR si applica solo alle pagine scansionate: l'applicazione indica quali pagine ne hanno bisogno e chiede conferma, e le pagine che hanno già testo non vengono rielaborate. Le pagine sottoposte a OCR contano doppio nel conteggio delle pagine: un documento di dieci pagine con tre scansionate ne consuma tredici. Nel profilo si può scegliere tra un motore OCR più veloce e uno più preciso. Le immagini, anche HEIC e TIFF multipagina, vengono convertite in PDF e seguono lo stesso percorso. Dopo l'OCR, l'IA rileva nomi, date, indirizzi e importi, oltre a codici QR, timbri e firme digitali; i pattern individuano email, telefoni o IBAN. Il resto, come la scrittura a mano, si copre con l'anonimizzazione visiva per zone e figure, sempre con anteprima e revisione umana prima di applicare. Scoprite i piani e iniziate con le vostre scansioni.