CNIL França: Conformidade Técnica com o RGPD
O Regulador de Privacidade Mais Rigoroso da França
A autoridade francesa de proteção de dados é a CNIL. Ela define as normas de privacidade mais detalhadas da UE. A maioria dos reguladores europeus publica orientações gerais. A CNIL vai mais longe. Ela publica especificações técnicas precisas chamadas recommandations. Estas definem como é a conformidade real com o RGPD na prática.
Outros reguladores da UE frequentemente seguem o trabalho da CNIL. Os textos de referência são o Guide pratique de l'anonymisation de 2023 e as orientações sobre IA de 2024.
Os números mostram que o organismo está ativo. Geriu 16.433 queixas em 2023. Isso representa 43 % mais do que em 2022. Desde o início da aplicação do RGPD, emitiu cerca de 150 milhões de euros em coimas.
Treino de IA: Seis Tipos de Registos a Limpar
As orientações de IA da CNIL de 2024 têm um amplo alcance. Abrangem qualquer organização que treine modelos de IA com dados pessoais franceses. Aplicam-se também a quem serve utilizadores franceses com ferramentas de IA.
O organismo lista seis tipos de registos que precisam de ser limpos antes do treino de IA:
- Identifiants directs (identificadores diretos): nomes, moradas, números de ID. Remover ou substituir antes do treino.
- Identifiants quasi-directs (quase-identificadores): combinações de atributos que permitem a reidentificação. Aplicar verificações de k-anonimato.
- Données sensibles (categorias especiais): dados de saúde, biométricos, políticos e religiosos. Isolar com controlos adicionais.
- Données comportementales (registos de utilização): histórico de navegação e padrões de uso. Agregar ou pseudonimizar.
- Données inférées (atributos inferidos): sinais derivados pela IA do comportamento. Aplicar limites de finalidade.
- Données relatives aux mineurs (registos de menores): qualquer registo ligado a pessoas com menos de 15 anos. Requer verificação de idade e limpeza reforçada.
Usa LLMs treinados com conteúdo raspado da web? Precisa de provas escritas. Demonstre que os seus registos de treino foram analisados e limpos. Consulte o nosso guia de conformidade com o RGPD para mais detalhes.
O Guia de Anonimização: Regras Essenciais
O guia de 2023 é o texto oficial mais detalhado da UE sobre este tema. Define o que conta como verdadeiramente anónimo.
Técnicas aprovadas:
- k-anonimato — cada registo é indistinguível de pelo menos k-1 outros
- l-diversidade — os atributos sensíveis variam dentro de cada grupo
- Privacidade diferencial — ruído adicionado aos resultados estatísticos
- Pseudonimização — uma etapa de redução de risco, não anonimização completa
Documentação necessária:
Para cada atividade que use limpeza, a CNIL espera uma fiche d'anonymisation (registo de anonimização). Deve incluir:
- A técnica utilizada e os seus parâmetros principais (valor k, valor epsilon)
- O resultado de uma verificação do risco de reidentificação
- O método de validação (testes ou revisão externa)
- O responsável e a data de revisão
Verificação do risco de reidentificação:
Antes de marcar registos como anónimos, realize uma verificação formal. Pergunte-se: poderia uma pessoa motivada reidentificar estes dados? Examine os conjuntos de dados auxiliares disponíveis. Considere o contexto completo.
PII em Francês: O Que as Suas Ferramentas Devem Detetar
As normas francesas exigem cobertura de dados pessoais em língua francesa. As suas ferramentas devem detetar tipos de ID específicos do francês.
Identificadores principais:
- NIR: 15 dígitos (13 base + chave de 2 dígitos). É o número de Segurança Social francês.
- Número de carte vitale: ID do cartão de seguro de saúde.
- SIRET/SIREN: identificadores de empresa em ficheiros pessoais.
- Numéro d'ordre professionnel: números de registo para médicos, advogados e contabilistas.
- CNI (Carte nationale d'identité): número do bilhete de identidade nacional francês.
Os modelos NER franceses devem lidar com padrões de nomes franceses. Estes incluem nomes compostos (Jean-Pierre), partículas (de, du, des) e apelidos com hífen. Consulte o nosso guia de deteção de PII multilingue.
Aplicação: O Que Leva a Coimas
As coimas do organismo seguem um padrão claro. Visam controlos técnicos ausentes. Um processo fraco por si só raramente é a causa principal.
Clearview AI — coima de 20 M€ (2022): A empresa tratou registos biométricos de pessoas francesas sem base legal. Os registos foram raspados de fontes web públicas. O caso confirmou que a raspagem massiva para treino de IA necessita de base legal explícita.
TikTok — inquérito iniciado em 2024: Focado em sistemas que podem inferir categorias sensíveis a partir de sinais de uso. Este método é agora a referência europeia para auditorias de IA.
Revisão de IA generativa (2024–2025): O organismo reviu fornecedores de LLM ativos em França. O foco foi na proveniência do conteúdo de treino. Fornecedores sem documentação adequada tiveram de adicionar controlos.
Quatro Passos para a Conformidade
Gere registos pessoais franceses? Precisa de quatro coisas.
1. Um registo de anonimização para cada atividade
Cada atividade que use limpeza precisa do seu próprio registo. Anote a técnica, os seus parâmetros, um resultado de risco e uma data de revisão.
2. Registos de pré-processamento para IA
Anote qual ferramenta de deteção de PII usou. Registe os tipos de entidades encontrados. Documente o que foi removido ou mascarado. Guarde estes registos para auditorias.
3. Cobertura de PII em francês
Verifique se a sua ferramenta deteta números NIR, carte vitale e CNI. Teste o seu modelo NER francês com nomes franceses reais. Documente lacunas e controlos compensatórios.
4. Registos de proveniência do conteúdo de treino
Para conteúdo raspado: documente a verificação de limpeza da fonte. Para registos de utilizadores: documente o processo de limpeza. A nossa visão geral de conformidade de segurança mostra como isto se integra numa estrutura de proteção mais ampla.
As organizações com bons registos passam pelas auditorias muito mais rapidamente. Crie a sua documentação agora. Não espere por uma inspeção para começar.