IMY Švédsko: Anonymizace dle GDPR a severský standard
Švédský Integritetsskyddsmyndigheten (IMY) vymáhá GDPR. Rovněž stanovuje technické standardy. Jeho průvodce anonymizací z roku 2023 je nejpodrobnějším dokumentem DPA k tomuto tématu v EU. Dvanáct dalších unijních DPA jej cituje jako klíčový referenční materiál. IMY vydal v roce 2024 celkem 28 vymáhacích rozhodnutí v hodnotě €8,5 milionu.
Rámec anonymizace IMY
Průvodce IMY stanoví jedno základní pravidlo: anonymizace je technický test. Politiky a smlouvy samy o sobě záznamy anonymními nečiní. IMY používá čtyři testy k posouzení, zda jsou záznamy skutečně anonymní.
k-anonymita: Každá osoba musí vypadat stejně jako alespoň k-1 dalších osob ve všech klíčových polích. IMY stanovuje k≥5 pro výzkumné záznamy.
l-diverzita: V rámci každé skupiny musí citlivá pole obsahovat alespoň l různých hodnot. To blokuje útočné útoky i tehdy, když platí k-anonymita.
Diferenciální soukromí: K výsledkům dotazů je přidán šum. Přítomnost žádné konkrétní osoby nelze z výstupu zjistit.
Pseudonymizace vs. anonymizace: Pseudonymizace nahrazuje identifikátory kódy, ale ponechává si obnovovací klíč. Zůstává regulovaná dle GDPR. Pouze záznamy, které projdou těmito čtyřmi testy, jsou skutečně anonymní.
Viz náš průvodce anonymizací trénovacích dat ML v souladu s GDPR, kde jsou tyto testy aplikovány na práci s AI.
Míra uplatňování práv ve Švédsku
79 % švédských dospělých každoročně uplatňuje svá práva dle GDPR. To je nejvyšší míra v EU. Ve většině unijních států přicházejí žádosti o uplatnění práv formou stížností. Ve Švédsku jsou běžnou součástí každodenního života.
Firmy se švédskými uživateli musí vyřizovat mnoho žádostí o přístup. Na každou musí odpovědět do jednoho měsíce. Pozdní odpovědi vedou k následným krokům IMY. Jsou vyžadovány aktuální osobní záznamy ze všech systémů.
Personnummer: Švédská výzva v oblasti identifikátorů
Švédské personnummer se nachází v téměř každém oficiálním švédském dokumentu. Formát je 10 nebo 12 číslic (YYMMDD-XXXX). Přezkum IMY zjistil, že 45 % generických nástrojů NLP selhává při detekci personnummer.
Variace formátu: Číslo se může objevit s pomlčkou nebo bez ní. Může mít 10 nebo 12 číslic. Nástroje vytvořené pro jeden formát přehlíží druhý.
Luhnův kontrolní součet: Bez Luhnovy kontroly nástroje označují jako falešně pozitivní jakýkoli 10místný řetězec. Zároveň přehlíží čísla v neobvyklých formátech.
Samordningsnummer: Toto číslo se používá pro cizí rezidenty ve Švédsku. Sleduje stejný vzor, ale přidává 60 k číslicím dne narození (61–91 místo 01–31). Nástroje detekující pouze standardní personnummer přehlíží samordningsnummer. Tato mezera je relevantní pro firmy se zahraničními zaměstnanci nebo klienty.
Postoj IMY k trénování AI
IMY zveřejnil v roce 2024 pokyny k osobním záznamům v trénování AI. Tři body jsou klíčové pro firmy se švédskými uživateli.
Za prvé, „trénování AI“ samo o sobě není platným účelem dle GDPR. Musí být navázáno na jasný a specifický konečný cíl.
Za druhé, pseudonymizované záznamy použité pro trénování AI zůstávají regulovány dle GDPR. Pouze záznamy, které projdou testy IMY, lze použít bez právního základu.
Za třetí, firmy dolaďující modely AI na švédských záznamech musí prokázat skutečnou anonymizaci. Nebo musí zdokumentovat jasný právní základ.
Viz náš průvodce anonymizací trénovacích dat dle zákona EU o AI, kde jsou popsány přístupy unijních orgánů k trénování AI napříč blokem.
Co stojí soulad se švédskými požadavky
Průměrné roční náklady na soulad s GDPR pro švédské podniky dosahují €85 000. Tuto cenu pohání práce související s právy na přístup a audity anonymizace. Automatizace detekce PII dle standardů IMY tyto náklady snižuje. Ruční kontroly nedokáží udržet krok s mírou uplatňování práv ve Švédsku.
Rámec IMY je citován napříč EU. Splnění jeho standardů staví firmy do silné pozice pro širší unijní přezkum.