CNIL Франција: Технички барања на DPA за PII алатки
Францускиот CNIL е најстрогиот орган за податоци во ЕУ. Повеќето EU регулатори пишуваат широки правила. CNIL оди подалеку. Тој објавува прецизни технички упатства наречени recommandations. Тие поставуваат точни стандарди за анонимизација и употреба на ВИ-податоци.
Известувањата на CNIL во 2024 честопати ја цитирале слабата анонимизација во ВИ системите. Органот примил 16.433 поплаки во 2023. Тоа беше 43% повеќе отколку во 2022.
Упатствата на CNIL ја обликуваат EU политиката
Техничките текстови на CNIL широко ги цитираат другите EU DPA. Два водичи се од особена важност.
Guide pratique de l'anonymisation (2023): Овој водич ги покрива k-анонимноста, l-диверзитетот и диференцијалната приватност. Покажува како да се применуваат секој метод на француски податоци. Шведскиот IMY и другите EU тела го цитираат во своите сопствени правила.
Упатства за ВИ системи (2024): CNIL наведува шест типови на податоци со кои мора да се работи при обуката на ВИ. Ниту еден друг EU DPA не отишол толку далеку за ВИ.
Правила за колачиња: Упатствата на CNIL за колачиња поставуваат највисок технички стандард за алатки за согласност во ЕУ. Честопати се ажурираат.
NIR: Најчувствителниот француски идентификатор
Numéro d'Inscription au Répertoire (NIR) — исто познат како numéro de sécurité sociale — е 15-цифрен француски број на социјалното осигурување.
Неговиот формат е: S AA MM DD CCC OOO K
- S — 1 цифра: пол
- AA — година на раѓање
- MM — месец на раѓање
- DD — département на раѓање (01–95, 2A/2B за Корзика, 97–99 прекуморски, 99 странски)
- CCC — код на општина
- OOO — редоследот на раѓање
- K — 2-цифрен контролен клуч (97 − (NIR mod 97))
NIR содржи пол, датум на раѓање и место на раѓање во еден број. CNIL го третира со висок ризик. Бара исто внимание как и податоците од специјална категорија под GDPR член 9.
Зошто алатките го пропуштаат NIR: Генеричките NLP алатки паѓаат на NIR поради три причини. Прво, 15 цифри (честопати пишувани без празни места) изгледаат исто како и другите долги броеви. Второ, цифрите 7–11 содржат код на département. Алатките кои ја прескокнуваат mod-97 проверката пропуштаат лажни позитиви. Трето, корзиканските departements користат 2A и 2B, не чисти цифри. Алатки изградени за шаблони само со цифри овде паѓаат.
Доброто откривање на NIR бара три нешта: проверка на mod-97 клуч, географски кодекс и правила свесни за Корзика.
Видете го нашиот преглед за безбедна усогласеност за тоа како покриеноста на идентификаторите се вклопува во стек на GDPR заштита.
SIREN и SIRET: Деловни ID во лични досиеа
SIREN: 9-цифрен француски ID на компанија со Luhn контролна цифра. Се јавува во сите француски комерцијални документи.
SIRET: 14-цифрен број изграден од SIREN (9 цифри) плус код на установа (5 цифри). SIRET го именува местото. SIREN ја именува компанијата.
Деловните досиеа честопати содржат SIRET броеви покрај имиња на вработени. CNIL го третира SIRET плус името како лични податоци. Тој пар ги активира GDPR правилата дури и без посебно поле за лични податоци.
Шест чекори на анонимизација за обука на ВИ
Упатствата на CNIL за ВИ од 2024 покриваат шест типови на податоци. Секој мора да се обработи пред употреба на француски лични записи при обуката на ВИ:
- Отстранете директни идентификатори — Имиња, NIR, SIREN мора да се заменат или отстранат
- Генерализирајте квази-идентификатори — Возраст, département, занимање можат да се комбинираат за повторна идентификација; намалете ја нивната прецизност
- Додадете шум на броеви — Нумеричките полиња бараат калибриран шум за блокирање на заклучување
- Проверете k-анонимност — Секоја личност мора да изгледа исто како барем k-1 други; CNIL покажува на k ≥ 5
- Проверете l-диверзитет — Чувствителните атрибути мора да варираат во рамките на секоја група
- Извршете проверка на ризикот за повторна идентификација — Користете документирана метода пред какво било објавување на податоци
Отстранувањето само на NIR и целото лично ime не е доволно. CNIL го утврдил ова при спроведувањето. Квази-идентификаторите попут поштенскиот број и медицинската специјалност исто така бараат обработка.
Нашиот GDPR водич за усогласеност ги покрива записите кои ги очекуваат ревизиите на францускиот DPA.
Јазичен контекст за откривање на франкофонски PII
Франција има неколку јазични контексти кои влијаат на откривањето.
Стандарден француски е јазикот на сите службени документи. NER моделите мора да обработуваат акцентирани букви: é, è, ê, ë, à, â, î, ô, û, ç, œ.
Прекуморски територии (DOM-TOM): Мартиника, Гваделуп, Реунион, Гвајана и Мајоте користат NIR кодови во опсегот 97–98. Локалните шаблони на имиња се разликуваат од континентална Франција.
Алзас-Мозел: Германски имиња и некои германски формати на документи се јавуваат во француски записи. Модели обучени само на стандарден француски може да ги пропуштат.
Прекугранична употреба: Белгискиот француски користи различен формат на ID. Алатките користени во Франција и Белгија бараат правила за секоја.
Што мора да покрива вашата алатка
Француската усогласеност бара четири технички способности:
- NIR со mod-97 проверка — Усогласувањето на шаблони само не успева. Алатките мора да ја извршат проверката на клучот и да обработуваат 2A/2B кодови.
- SIREN/SIRET со Luhn проверка — Деловните ID се јавуваат во лични досиеа и создаваат GDPR-покриени комбинации на имиња.
- Француски NER со целосна поддршка за акценти — Мора да обработува составени имиња (Jean-Pierre), честички (de, du, des) и акцентирани знаци.
- Документиран шест-чекорен процес — Секој канал за обука на ВИ на француски податоци бара пишан запис за секоја активност на анонимизација.