CNIL Prancūzija: BDAR techninis atitiktis
Prancūzijos griežčiausia privatumo institucija
Prancūzijos duomenų institucija yra CNIL. Ji nustato ES tiksliausias privatumo taisykles. Dauguma ES reguliuotojų rašo bendras gaires. CNIL eina toliau. Ji skelbia tikslias technines specifikacijas, vadinamas rekomendacijomis. Šios apibrėžia, kaip atrodo tikra BDAR atitiktis.
Kiti ES reguliuotojai dažnai kopijuoja CNIL darbą. Pagrindiniai tekstai apima 2023 m. anoniminizavimo praktinį vadovą ir 2024 m. DI gaires.
Skaičiai rodo, kad agentūra yra aktyvi. Ji išnagrinejo 16 433 skundus 2023 m. Tai yra 43% daugiau nei 2022 m. Ji skyrė apie 150 mln. euro BDAR baudų nuo vykdymo pradžios.
DI mokymas: Šeši įrašų tipai, kuriuos reikia valyti
CNIL 2024 m. DI gairės taikomos plačiai. Jos apima bet kurią grupę, kuri moko DI naudodama Prancūzijos asmens duomenis. Ji taip pat taikoma tiems, kurie aptarnauja Prancūzijos vartotojus DI įrankiais.
Agentūra išvardija šešis įrašų tipus, kuriuos reikia valyti prieš DI mokymą:
- Identifiants directs (tiesioginiai ID): Vardai, adresai, asmens tapatybės numeriai. Pašalinkite arba pakeiskite juos prieš mokymą.
- Identifiants quasi-directs (kvaziID): Savybių grupės, leidžiančios atpažinimą. Taikykite k-anoniminiuosius tikrinimus.
- Données sensibles (ypatingi tipai): Sveikatos, biometriniai, politiniai ir tikėjimo įrašai. Izoliuokite su papildomomis kontrolėmis.
- Données comportementales (naudojimo įrašai): Naršymo istorija ir naudojimo modeliai. Agreguokite arba uzdenokite šiuos.
- Données inférées (išvestos savybės): DI gauti signalai iš naudojimo. Taikykite tikslo apribojimus.
- Données relatives aux mineurs (vaikų įrašai): Bet kokie įrašai, susieti su asmenimis iki 15 metų. Vykdykite amžiaus tikrinimus ir naudokite stiprų valymą.
Naudojate LLM, apmokytus ant nuskrabuotų turinio? Jums reikia rašytinių įrodymų. Parodykite, kad jūsų mokymo įrašai buvo peržiūrėti ir išvalyti. Žr. mūsų BDAR atitikties vadovą dėl apimties detalių.
Anoniminizavimo vadovas: Pagrindinės taisyklės
2023 m. vadovas yra ES detaliausiasis tekstas šia tema. Jis nustato, kas laikoma tikrai anoniminimu.
Patvirtinti metodai:
- k-anoniminiumas - kiekvienas įrašas atrodo kaip bent k-1 kiti
- l-įvairovė - jautrios savybės varijuoja kiekvienoje grupėje
- Diferencinis privatumas - triukšmas pridedamas prie išvesties statistikos
- Pseudoniminimas - rizikos mažinimo žingsnis, o ne tikras anoniminizavimas
Reikalingi įrašai:
Kiekvienai veiklai, kuri naudoja valymą, CNIL tikisi anoniminizavimo dokumento (fiche d'anonymisation). Jame turi būti:
- Naudota technika ir jos pagrindinės nuostatos (k reikšmė, epsilon reikšmė)
- Atpažinimo rizikos tikrinimo rezultatas
- Patvirtinimo metodas (bandymas arba išorinė peržiūra)
- Atsakingas asmuo ir peržiūros data
Atpažinimo rizikos tikrinimas:
Prieš žymint įrašus kaip anoniminius, atlikite formalų tikrinimą. Paklauskite: ar galėtų motyvuotas asmuo atpažinti šiuos duomenis? Pažvelkite, kokie pagalbiniai duomenų rinkiniai egzistuoja. Apsvarstykite visą kontekstą.
Prancūziški asmens duomenys: Ką jūsų įrankiai turi rasti
Prancūziškos taisyklės reikalauja Prancūziškos kalbos asmens duomenų aprėpties. Jūsų įrankiai turi aptikti Prancūzijai būdingus ID tipus.
Pagrindiniai ID, kuriuos reikia apimti:
- NIR: 15 skaitmenų (13 pagrindinių + 2 skaitmenų raktas). Tai yra Prancūzijos socialinio draudimo numeris.
- Carte vitale numeris: Sveikatos draudimo kortelės ID.
- SIRET/SIREN: Verslo ID, randami asmens failuose.
- Numéro d'ordre professionnel: Registro numeriai gydytojams, teisininkams ir buhalteriams.
- CNI (Carte nationale d'identite): Prancūzijos nacionalinės tapatybės kortelės numeris.
Prancūziški NER modeliai turi tvarkyti Prancūzijos vardų modelius. Tai apima sudėtinius vardus (Jean-Pierre), daleles (de, du, des) ir brūkšnelius pavardėse. Žr. mūsų daugiakalbio asmens duomenų aptikimo vadovą, kaip apimti visas lokalias.
Vykdymas: Už ką skiriamos baudos
Agentūros baudos seka aiškų modelį. Jos taikosi prie trūkstamų techninių kontrolių. Prasta procedūra viena retai yra pagrindinė problema.
Clearview AI - 20 mln. euro bauda (2022 m.): Firma apdorojo Prancūzijos gyventojų biometrinius įrašus be teisinio pagrindo. Įrašai buvo nuskrabuoti iš viešų interneto šaltinių. Šis atvejis patvirtino: masinis tinklo nuskabymas DI mokymo tikslais reikalauja aiškaus teisinio pagrindo.
TikTok - tyrimas pradėtas 2024 m.: Sutelktas ties sistemomis, galinčiomis daryti išvadas apie jautrius tipus iš naudojimo signalų. Šis metodas dabar yra ES DI auditų etalonas.
Generatyvaus DI peržiūra (2024-2025 m.): Agentūra peržiūrėjo Prancūzijoje veikiančius LLM tiekėjus. Ji sutelkė dėmesį į mokymo turinio kilmę. Tiekėjai be tinkamų įrašų turėjo pridėti kontrolių.
Keturi žingsniai CNIL atitikčiai
Tvarkote Prancūziškus asmens duomenis? Jums reikia keturių dalykų.
1. Anoniminizavimo dokumentas kiekvienai veiklai
Kiekviena veikla, naudojanti valymą, turi turėti savo įrašą. Nurodykite metodą, jo nuostatas, rizikos rezultatą ir peržiūros datą.
2. Išankstinio apdorojimo žurnalai DI
Užregistruokite, kurį asmens duomenų aptikimo įrankį naudojote. Nurodykite, kuriuos objektų tipus jis rado. Užfiksuokite, kas buvo pašalinta arba paslėpta. Laikykite šiuos žurnalus paruoštus auditams.
3. Prancūziškos kalbos asmens duomenų aprėptis
Patikrinkite, ar jūsų įrankis randa NIR, carte vitale ir CNI numerius. Išbandykite savo Prancūzišką NER modelį tikrais Prancūzijos vardais. Pastebėkite bet kokias spragas. Užregistruokite kontroles, kurias taikote joms spręsti.
4. Mokymo turinio kilmės įrašai
Nuskabyto turinio atveju: dokumentuokite šaltinio valymo tikrinimą. Vartotojų įrašų atveju: dokumentuokite vartotojų valymo procesą. Mūsų saugumo atitikties apžvalga rodo, kaip tai dera į platesnę apsaugos struktūrą.
Grupės, turinčios gerus įrašus, greičiau praeina auditus. Sudarykite savo bylą dabar. Nelaukite inspekcijos, kad pradėtumėte.