IMY Švedija: BDAR anoniminimas ir Šiaurės šalių standartas
Švedijos Integritetsskyddsmyndigheten (IMY) vykdo BDAR. Ji taip pat nustato techninius standartus. Jos 2023 m. anoniminimo vadovas yra išsamiausias DPA dokumentas šia tema ES. Dvylika kitų ES DPA jį cituoja kaip pagrindinę nuorodą. IMY 2024 m. priėmė 28 vykdymo sprendimus, iš viso 8,5 mln. eurų.
IMY anoniminimo sistema
IMY vadovas numato vieną pagrindinę taisyklę: anoniminimas yra techninis testas. Politika ir sutartys vienos nesudaro duomenų anoniminių. IMY naudoja keturis testus, kad nustatytų, ar duomenys iš tikrųjų anoniminiai.
k-anonimiškumas: Kiekvienas asmuo turi atrodyti panašiai kaip mažiausiai k-1 kiti pagal visus pagrindinius laukus. IMY nustato k>=5 mokslinių tyrimų duomenims.
l-įvairovė: Kiekvienoje grupėje jautrūs laukai turi turėti bent l skirtingas reikšmes. Tai blokuoja išvados atakas net tada, kai k-anonimiškumas išlaikomas.
Diferencialioji privatumas: Triukšmas pridedamas prie užklausų rezultatų. Jokio vieno asmens buvimas negali būti aptiktas iš rezultato.
Pseudonimizacija vs. anoniminimas: Pseudonimizacija keičia identifikatorius kodais, bet išlaiko atkūrimo raktą. Ji lieka BDAR reguliuojama. Tik duomenys, praeinantys šiuos keturis testus, yra iš tikrųjų anoniminiai.
Žr. mūsų BDAR atitinkančio ML mokymo duomenų anoniminimo vadovą, kaip šie testai taikomi DI darbui.
Švedijos teisių naudojimo norma
79% Švedijos suaugusiųjų kasmet naudojasi savo BDAR teisėmis. Tai yra aukščiausia norma ES. Daugelyje ES valstybių teisių prašymai ateina iš skundų. Švedijoje jie yra įprastas kasdienio gyvenimo aspektas.
Firmos, turinčios Švedijos naudotojus, turi tvarkyti daug prieigos prašymų. Į kiekvieną turi būti atsakyta per vieną mėnesį. Vėlavimai veda į IMY tolesnę priežiūrą. Reikalingi dabartiniai asmens duomenys visose sistemose.
Personnummer: Švedijos identifikatoriaus iššūkis
Švedų personnummer atsiranda beveik kiekviename oficialiame Švedijos dokumente. Formatas yra 10 arba 12 skaitmenų (YYMMDD-XXXX). IMY peržiūra parodė, kad 45% generinių NLP priemonių nepavyksta aptikti personnummer.
Formato variacija: Numeris gali atsirasti su arba be brūkšnelio. Jis gali būti 10 arba 12 skaitmenų. Vienu formatu sukurtos priemonės praleiskia kitą.
Luhn tikrinimas: Be Luhn tikrinimo, priemonės nustato bet kokią 10 skaitmenų eilutę kaip klaidingą teigiamą. Jos taip pat praleiskia numerius neįprastais formatais.
Samordningsnummer: Šis numeris naudojamas užsienio gyventojams Švedijoje. Jis seka tą patį modelį, bet prideda 60 prie gimimo dienos skaitmenų (61–91 vietoje 01–31). Priemonės, aptinkančios tik standartinį personnummer, praleiskia samordningsnummer. Ši spraga svarbi firmoms su ne Švedijos darbuotojais ar klientais.
IMY pozicija dėl DI mokymo
IMY 2024 m. paskelbė gaires dėl asmens duomenų DI mokyme. Trys punktai svarbūs firmoms, turinčioms Švedijos naudotojus.
Pirma, "DI mokymas" pats savaime nėra galiojantis BDAR tikslas. Jis turi būti susietas su aiškiu ir konkrečiu galutiniu tikslu.
Antra, pseudonimizuoti duomenys, naudojami DI mokymui, lieka BDAR reguliuojami. Tik duomenys, praeinantys IMY testus, gali būti naudojami be teisinio pagrindo.
Trečia, firmos, tiksliškai apmokančios DI modelius su Švedijos duomenimis, turi įrodyti tikrą anoniminimą. Arba turi dokumentuoti aiškų teisinį pagrindą.
Žr. mūsų ES DI akto mokymo duomenų anoniminimo vadovą, kaip ES institucijos traktuoja DI mokymą visoje ES.
Kiek kainuoja Švedijos atitiktis
Švedų įmonių BDAR atitiktis vidutiniškai kainuoja 85 000 eurų per metus. Prieigos teisių darbas ir anoniminimo auditai varo šias išlaidas. Asmens duomenų aptikimo automatizavimas pagal IMY standartus jas mažina. Rankiniai patikrinimai negali neatsilikti nuo Švedijos teisių naudojimo normos.
IMY sistema cituojama visoje ES. Jos standartų laikymasis suteikia firmoms stiprią poziciją platesnei ES peržiūrai.