IMY Швеция: анонимизиране по GDPR и скандинавският стандарт
Шведският Integritetsskyddsmyndigheten (IMY) прилага GDPR. Той също така определя технически стандарти. Ръководството му за анонимизиране от 2023 г. е най-подробният документ на DPA по тази тема в ЕС. Дванадесет други DPA в ЕС го цитират като ключова справка. IMY е издал 28 решения за прилагане на закона през 2024 г. на обща стойност 8,5 млн. евро.
Рамката за анонимизиране на IMY
Ръководството на IMY установява едно основно правило: анонимизирането е технически тест. Само политиките и договорите не правят записите анонимни. IMY използва четири теста, за да прецени дали записите са наистина анонимни.
k-анонимност: Всяко лице трябва да изглежда същото като поне k-1 други лица по всички ключови полета. IMY определя k>=5 за записи от изследователска дейност.
l-разнообразие: Във всяка група чувствителните полета трябва да съдържат поне l различни стойности. Това блокира атаките за извод дори когато k-анонимността е изпълнена.
Диференциална поверителност: Към резултатите от заявките се добавя шум. Присъствието на нито едно лице не може да бъде открито от изходните данни.
Псевдонимизиране срещу анонимизиране: Псевдонимизирането заменя идентификаторите с кодове, но запазва ключ за възстановяване. То остава регулирано от GDPR. Само записи, преминали тези четири теста, са наистина анонимни.
Вижте нашето ръководство за анонимизиране на данни за обучение на ML, съответстващо на GDPR за това как тези тестове се прилагат към AI работата.
Процентът на упражняване на права в Швеция
79% от шведските възрастни използват правата си по GDPR всяка година. Това е най-високият процент в ЕС. В повечето страни от ЕС заявките за права идват от жалби. В Швеция те са нормална част от ежедневния живот.
Фирмите с шведски потребители трябва да обработват много заявки за достъп. Всяка от тях трябва да бъде отговорена в рамките на един месец. Закъснелите отговори водят до последващо действие от IMY. Необходими са актуални лични записи в всички системи.
Personnummer: предизвикателството с шведския идентификатор
Шведският personnummer се среща в почти всеки официален шведски документ. Форматът е 10 или 12 цифри (YYMMDD-XXXX). Прегледът на IMY установи, че 45% от общите NLP инструменти не успяват да разпознаят personnummer.
Вариации на формата: Числото може да се появи със или без тире. Може да е 10 или 12 цифри. Инструментите, изградени за един формат, пропускат другия.
Проверка по Луун: Без проверка по Луун инструментите маркират всеки 10-цифрен низ като фалшиво положителен резултат. Те също пропускат числа в нестандартни формати.
Samordningsnummer: Този номер се използва за чуждестранни жители в Швеция. Той следва същия модел, но добавя 60 към цифрите за деня на раждане (61-91 вместо 01-31). Инструменти, разпознаващи само стандартния personnummer, пропускат samordningsnummer. Тази празнина е важна за фирми с персонал или клиенти, които не са шведи.
Позицията на IMY относно обучението на AI
IMY публикува насоки за личните записи в обучението на AI през 2024 г. Три точки са важни за фирми с шведски потребители.
Първо, "обучение на AI" само по себе си не е валидна цел по GDPR. То трябва да е свързано с ясна и специфична крайна цел.
Второ, псевдонимизираните записи, използвани за обучение на AI, остават регулирани от GDPR. Само записи, преминали тестовете на IMY, могат да се използват без правно основание.
Трето, фирмите, настройващи фино AI модели върху шведски записи, трябва да докажат истинска анонимизация. Или трябва да документират ясно правно основание.
Вижте нашето ръководство за анонимизиране на данни за обучение по Закона за AI на ЕС за начина, по който органите на ЕС третират обучението на AI в целия блок.
Разходите за съответствие с изискванията в Швеция
Средните годишни разходи за съответствие с GDPR на шведско предприятие са 85 000 евро. Работата по правата на достъп и одитите за анонимизиране движат тези разходи. Автоматизирането на разпознаването на лични данни до стандартите на IMY намалява разходите. Ръчните проверки не могат да се справят с темпа на упражняване на права в Швеция.
Рамката на IMY е цитирана в целия ЕС. Спазването на нейните стандарти поставя фирмите в силна позиция за по-широк преглед от страна на ЕС.