CNIL Frankreich: DSGVO-Technische Compliance
Frankreichs strengste Datenschutzbehörde
Frankreichs Datenschutzbehörde ist die CNIL. Sie legt die strengsten Datenschutzregeln der EU fest. Die meisten EU-Behörden veröffentlichen allgemeine Leitlinien. CNIL geht weiter. Sie veröffentlicht präzise technische Spezifikationen, sogenannte recommandations. Diese definieren, wie echte DSGVO-Compliance in der Praxis aussieht.
Andere EU-Behörden übernehmen häufig die Arbeit der CNIL. Wichtige Referenzwerke sind der Guide pratique de l'anonymisation von 2023 und die KI-Leitlinien von 2024.
Die Zahlen zeigen, dass die Behörde aktiv ist. Im Jahr 2023 bearbeitete sie 16.433 Beschwerden. Das sind 43 % mehr als 2022. Seit Beginn der Durchsetzung hat sie rund 150 Millionen Euro an DSGVO-Bußgeldern verhängt.
KI-Training: Sechs Datensatztypen bereinigen
Die KI-Leitlinien der CNIL von 2024 gelten für viele Organisationen. Sie erfassen alle, die KI-Modelle mit französischen personenbezogenen Daten trainieren. Sie gelten auch für Anbieter, die französische Nutzer mit KI-Diensten bedienen.
Die Behörde nennt sechs Datensatztypen, die vor dem KI-Training bereinigt werden müssen:
- Identifiants directs (direkte Kennzeichen): Namen, Adressen, Ausweisnummern. Diese vor dem Training entfernen oder ersetzen.
- Identifiants quasi-directs (Quasi-Kennzeichen): Merkmalskombinationen, die eine Re-Identifizierung ermöglichen. k-Anonymitäts-Prüfungen anwenden.
- Données sensibles (besondere Kategorien): Gesundheits-, biometrische, politische und religiöse Daten. Mit zusätzlichen Maßnahmen isolieren.
- Données comportementales (Nutzungsdaten): Browserverlauf und Nutzungsmuster. Aggregieren oder pseudonymisieren.
- Données inférées (abgeleitete Merkmale): KI-ermittelte Signale aus dem Nutzungsverhalten. Zweckbeschränkungen anwenden.
- Données relatives aux mineurs (Kinderdaten): Alle Daten, die Personen unter 15 Jahren betreffen können. Altersverifikation und verstärkte Bereinigung erforderlich.
Verwenden Sie LLMs, die auf gescrapten Inhalten trainiert wurden? Sie benötigen schriftliche Nachweise. Zeigen Sie, dass Ihre Trainingsdaten geprüft und bereinigt wurden. Weitere Details finden Sie in unserem DSGVO-Compliance-Leitfaden.
Der Anonymisierungsleitfaden: Kernregeln
Der Leitfaden von 2023 ist der detaillierteste offizielle EU-Text zu diesem Thema. Er legt fest, was wirklich anonymisierte Daten sind.
Anerkannte Techniken:
- k-Anonymität — jeder Datensatz gleicht mindestens k-1 anderen
- l-Vielfalt — sensitive Merkmale variieren innerhalb jeder Gruppe
- Differential Privacy — Rauschen wird zu statistischen Ausgaben hinzugefügt
- Pseudonymisierung — ein Schritt zur Risikominderung, keine vollständige Anonymisierung
Erforderliche Unterlagen:
Für jede Verarbeitungstätigkeit mit Bereinigung erwartet die CNIL eine fiche d'anonymisation (Anonymisierungsprotokoll). Es muss Folgendes enthalten:
- Die verwendete Technik und ihre wichtigsten Einstellungen (k-Wert, Epsilon-Wert)
- Das Ergebnis einer Re-Identifizierungs-Risikoprüfung
- Die Validierungsmethode (Tests oder externe Prüfung)
- Die verantwortliche Person und das Überprüfungsdatum
Re-Identifizierungs-Risikoprüfung:
Bevor Datensätze als anonym eingestuft werden, ist eine formale Prüfung erforderlich. Frage: Könnte eine motivierte Person diese Daten re-identifizieren? Prüfen Sie vorhandene Zusatzdatensätze. Berücksichtigen Sie den gesamten Kontext.
Französische PII: Was Ihre Tools erkennen müssen
Französische Vorschriften verlangen eine Abdeckung französischsprachiger personenbezogener Daten. Ihre Tools müssen spezifische französische Kennzeichen erkennen.
Wichtige Kennzeichen:
- NIR: 15 Ziffern (13 Grundziffern + 2-stelliger Schlüssel). Das ist die französische Sozialversicherungsnummer.
- Carte vitale-Nummer: ID der Krankenversicherungskarte.
- SIRET/SIREN: Unternehmenskennzeichen in persönlichen Akten.
- Numéro d'ordre professionnel: Registriernummern für Ärzte, Anwälte und Buchhalter.
- CNI (Carte nationale d'identité): Nummer des französischen Personalausweises.
Französische NER-Modelle müssen mit französischen Namensmustern umgehen können. Dazu gehören zusammengesetzte Namen (Jean-Pierre), Partikel (de, du, des) und Doppelnamen. Erfahren Sie mehr in unserem Leitfaden zur mehrsprachigen PII-Erkennung.
Durchsetzung: Was zu Bußgeldern führt
Die Bußgelder der Behörde folgen einem klaren Muster. Sie zielen auf fehlende technische Kontrollen ab. Schlechte Prozesse allein sind selten der Hauptgrund.
Clearview AI — 20 Mio. € Bußgeld (2022): Das Unternehmen verarbeitete biometrische Daten französischer Personen ohne Rechtsgrundlage. Die Daten wurden aus öffentlichen Webquellen gescrapt. Der Fall bestätigte: Massen-Web-Scraping für KI-Training benötigt eine ausdrückliche Rechtsgrundlage.
TikTok — Untersuchung seit 2024: Fokus auf Systeme, die aus Nutzungssignalen auf sensible Kategorien schließen könnten. Diese Methode ist nun die EU-Referenz für KI-Audits.
Generative KI-Prüfung (2024–2025): Die Behörde prüfte LLM-Anbieter in Frankreich. Der Fokus lag auf der Herkunft von Trainingsinhalten. Anbieter ohne ordnungsgemäße Dokumentation mussten Kontrollen ergänzen.
Vier Schritte zur CNIL-Compliance
Verarbeiten Sie französische personenbezogene Daten? Sie benötigen vier Maßnahmen.
1. Anonymisierungsprotokoll für jede Tätigkeit
Jede Verarbeitungstätigkeit mit Bereinigung benötigt ein eigenes Protokoll. Notieren Sie Technik, Einstellungen, Risikoergebnis und Prüfdatum.
2. Vorverarbeitungs-Protokolle für KI
Dokumentieren Sie das verwendete PII-Erkennungstool. Notieren Sie die erkannten Entitätstypen. Halten Sie fest, was entfernt oder maskiert wurde. Bewahren Sie diese Protokolle für Audits bereit.
3. Abdeckung französischer PII
Prüfen Sie, ob Ihr Tool NIR-, Carte-vitale- und CNI-Nummern erkennt. Testen Sie Ihr französisches NER-Modell mit echten französischen Namen. Dokumentieren Sie Lücken und Kompensationsmaßnahmen.
4. Herkunftsnachweise für Trainingsinhalte
Für gescrapte Inhalte: Dokumentieren Sie die Bereinigungsprüfung der Quelle. Für Nutzerdaten: Dokumentieren Sie den Bereinigungsprozess. Unsere Sicherheits-Compliance-Übersicht zeigt, wie dies in einen breiteren Schutzrahmen passt.
Organisationen mit guten Unterlagen kommen schneller durch Audits. Erstellen Sie Ihre Dokumentation jetzt. Warten Sie nicht auf eine Inspektion.