CNIL Franciaország: GDPR technikai megfelelőség
Franciaország legszigorúbb adatvédelmi szabályozója
Franciaország adatvédelmi testülete a CNIL. Ez állítja fel az EU legpontosabb adatvédelmi szabályait. A legtöbb EU-s szabályozó általános iránymutatást ad. A CNIL tovább megy. Precíz technikai specifikációkat tesz közzé, az úgynevezett recommandations-okat (ajánlásokat). Ezek határozzák meg, mit jelent a valódi GDPR-megfelelőség.
Más EU-s szabályozók gyakran másolják a CNIL munkáját. A legfontosabb dokumentumok a 2023-as Guide pratique de l'anonymisation és a 2024-es AI-útmutatás.
A számok azt mutatják, hogy a testület aktív. 16 433 panaszt kezelt 2023-ban. Ez 43%-kal több, mint 2022-ben. A végrehajtás kezdete óta körülbelül 150 millió eurós GDPR-bírságot szabott ki.
AI-tanítás: Hat megtisztítandó adatkategória
A CNIL 2024-es AI-útmutatása széles körben alkalmazandó. Vonatkozik minden olyan szervezetre, amely francia személyes adatokon tanítja AI-rendszereit. Azokra is vonatkozik, akik AI-eszközökkel szolgálják ki a francia felhasználókat.
A testület hat adatkategóriát sorol fel, amelyeket az AI-tanítás előtt meg kell tisztítani:
- Identifiants directs (közvetlen azonosítók): Nevek, címek, azonosítószámok. A tanítás előtt ezeket távolítsa el vagy cserélje ki.
- Identifiants quasi-directs (kvázi-azonosítók): Olyan jellemzők csoportjai, amelyek lehetővé teszik az újra-azonosítást. Alkalmazzon k-anonimitás ellenőrzéseket.
- Données sensibles (különleges kategóriák): Egészségügyi, biometrikus, politikai és vallási adatok. Különítse el hozzáadott ellenőrzésekkel.
- Données comportementales (felhasználói adatok): Böngészési előzmények és használati minták. Ezeket összesítse vagy takarja el.
- Données inférées (következtetett jellemzők): Használatból AI által levezetett jelzések. Alkalmazzon célalapú korlátozásokat.
- Données relatives aux mineurs (gyermekek adatai): Minden 15 év alatti személlyel kapcsolatos adat. Futtasson korhatár-ellenőrzéseket és alkalmazzon erős megtisztítást.
Nyilvánosan elérhető tartalmakból kinyert LLM-eket használ? Írásos bizonyítékra van szüksége. Mutassa be, hogy a tanítási adatokat átvizsgálták és megtisztították. A hatályt illetően lásd: GDPR-megfelelőségi útmutató.
Az anonimizálási útmutató: alapvető szabályok
A 2023-as útmutató az EU legátfogóbb szövege ebben a témában. Meghatározza, mit jelent a valóban anonimizált állapot.
Elfogadott technikák:
- k-anonimitás — minden rekord legalább k-1 másikhoz hasonlít
- l-diverzitás — az érzékeny jellemzők minden csoporton belül változatosak
- Differenciális adatvédelem — zajt adnak a kimeneti statisztikákhoz
- Álnevesítés — kockázatcsökkentési lépés, nem valódi anonimizálás
Szükséges nyilvántartások:
Minden anonimizálást alkalmazó tevékenységhez a CNIL egy fiche d'anonymisation (anonimizálási feljegyzés) elkészítését várja. Ennek tartalmaznia kell:
- Az alkalmazott technikát és főbb beállításait (k-értéke, epsilon-értéke)
- Az újra-azonosítási kockázat ellenőrzésének eredményét
- Az érvényesítési módszert (tesztelés vagy külső felülvizsgálat)
- A felelős személyt és a felülvizsgálat dátumát
Újra-azonosítási kockázat ellenőrzése:
Az adatok anonimnak minősítése előtt végezzen formális ellenőrzést. Tegye fel a kérdést: újra tudna-e azonosítani egy elszánt személy? Vizsgálja meg, milyen kiegészítő adatkészletek léteznek. Vegye figyelembe a teljes körülményt.
Francia személyes adatok: mit kell találnia az eszközének?
A francia szabályok francia nyelvű személyesadat-lefedettséget igényelnek. Az eszközének az alábbi, Franciaország-specifikus azonosítótípusokat kell észlelnie:
Fontosabb észlelendő azonosítók:
- NIR: 15 jegyű szám (13 alap + 2 jegyű ellenőrzőszám). Ez a francia társadalombiztosítási szám.
- Carte vitale szám: Egészségbiztosítási kártyaazonosító.
- SIRET/SIREN: Személyes fájlokban előforduló cégazonosítók.
- Numéro d'ordre professionnel: Orvosok, jogászok és könyvelők nyilvántartási számai.
- CNI (Carte nationale d'identité): Francia személyazonosítókártya-szám.
A francia NER-modelleknek kezelniük kell a francia névmintákat. Ezek magukban foglalják az összetett neveket (Jean-Pierre), a névszókat (de, du, des) és a kötőjeles vezetékneveket. Arról, hogyan lehet lefedni az összes területi változatot, lásd: többnyelvű személyiadat-észlelési útmutató.
Végrehajtás: miért szabnak ki bírságot?
A testület bírságai egyértelmű mintát követnek. A hiányzó technikai ellenőrzéseket célozzák meg. A rossz folyamat önmagában ritkán a fő probléma.
Clearview AI — 20 millió eurós bírság (2022): A cég jogi alap nélkül dolgozta fel francia személyek biometrikus adatait. A rekordokat nyilvánosan elérhető webes forrásokból kaparták le. Az ügy megerősítette: az AI-tanításhoz szükséges tömeges webes adatgyűjtés explicit jogalapot igényel.
TikTok — 2024-ben indított vizsgálat: A vizsgálat azokra a rendszerekre összpontosít, amelyek érzékeny kategóriákat következtethetnek ki a felhasználási jelekből. Ez a módszer ma az EU AI-auditjainak referenciája.
Generatív AI-felülvizsgálat (2024–2025): A testület megvizsgálta a franciaországi LLM-szállítókat. A tanítási tartalom eredetére összpontosított. Megfelelő nyilvántartásokkal nem rendelkező szállítóknak ellenőrzéseket kellett hozzáadniuk.
Négy lépés a CNIL-megfelelőséghez
Francia személyes adatokat kezel? Négy dolognak kell a helyén lennie.
1. Anonimizálási feljegyzés minden tevékenységhez
Minden anonimizálást alkalmazó tevékenységhez saját feljegyzés szükséges. Tüntesse fel a technikát, annak beállításait, egy kockázati eredményt és egy felülvizsgálati dátumot.
2. Előfeldolgozási naplók az AI-hoz
Naplózza, melyik személyiadat-észlelő eszközt használta. Jegyezze fel, milyen entitástípusokat talált. Rögzítse, mi lett eltávolítva vagy elfedve. Tartsa készen ezeket a naplókat az auditokhoz.
3. Francia nyelvű személyesadat-lefedettség
Ellenőrizze, hogy az eszköze megtalálja-e az NIR-t, a carte vitale-t és a CNI-számokat. Tesztelje a francia NER-modellt valódi francia neveken. Jegyezze fel a hiányosságokat. Rögzítse az azok kezelésére bevezetett ellenőrzéseket.
4. Proveniencia-nyilvántartások a tanítási tartalomhoz
Kigyűjtött tartalomhoz: dokumentálja a forrás-megtisztítási ellenőrzést. Felhasználói adatokhoz: dokumentálja a felhasználói megtisztítási folyamatot. A biztonsági megfelelőségi áttekintőnk megmutatja, hogyan illeszkedik ez a szélesebb védelmi keretrendszerbe.
Azok a szervezetek, amelyek jó nyilvántartásokkal rendelkeznek, gyorsan átmennek az auditokon. Készítse el a dossziéját most. Ne várja meg az ellenőrzést.