A Posição da CNIL como a DPA Mais Tecnologicamente Exigente da UE
A Comissão Nacional de Informática e Liberdades da França (CNIL) publica as orientações mais detalhadas e tecnicamente específicas da UE sobre proteção de dados. Enquanto a maioria das DPAs da UE emite orientações gerais, a CNIL publica "recomendações" — especificações técnicas detalhadas que constituem a interpretação da CNIL sobre o que a conformidade com o GDPR exige.
Esse rigor técnico estabeleceu a CNIL como o padrão da UE para engenharia de privacidade. Outras DPAs da UE frequentemente referenciam as publicações técnicas da CNIL, particularmente seu "Guia Prático de Anonimização" de 2023 e a orientação sobre IA generativa de 2024.
A CNIL processou 16.433 reclamações em 2023 — um aumento de 43% em relação a 2022 — e emitiu aproximadamente €150M em multas do GDPR desde 2018. A aceleração no volume de reclamações reflete tanto a crescente conscientização pública quanto as campanhas de divulgação da CNIL incentivando os titulares de dados a exercerem seus direitos.
Requisitos de Anonimização de Dados de Treinamento de IA da CNIL
A orientação sobre IA generativa de 2024 da CNIL ("Systèmes d'IA générative") estabelece requisitos vinculativos para organizações que treinam modelos de IA com dados pessoais franceses ou implantam sistemas de IA que processam dados de usuários franceses.
A orientação identifica seis categorias de anonimização obrigatórias para dados de treinamento de IA:
- Identifiants directs (identificadores diretos): Nomes, endereços, números de identificação — devem ser removidos ou substituídos antes do treinamento de IA
- Identifiants quasi-directs (quasi-identificadores): Combinações de atributos que permitem a reidentificação — devem ser avaliados para k-anonimato
- Données sensibles (categorias especiais): Dados de saúde, biométricos, políticos, religiosos — devem ser segregados com medidas adicionais de anonimização
- Données comportementales (dados comportamentais): Histórico de navegação, padrões de interação — devem ser agregados ou pseudonimizados
- Données inférées (dados inferidos): Características inferidas pela IA a partir de dados comportamentais — sujeitas a controles de limitação de propósito
- Données relatives aux mineurs (dados de crianças): Quaisquer dados potencialmente relacionados a pessoas com menos de 15 anos — verificação de idade obrigatória e anonimização aprimorada
Para organizações que utilizam LLMs treinados com dados extraídos da web (uma abordagem comum), a orientação da CNIL exige documentação de que os dados de treinamento foram avaliados em relação a essas seis categorias e que a anonimização apropriada foi aplicada.
Os Requisitos do "Guia Prático de Anonimização"
O guia de anonimização de 2023 da CNIL é a orientação oficial mais detalhada da UE sobre o que constitui tecnicamente a anonimização. Requisitos principais:
Técnicas de anonimização endossadas pela CNIL:
- k-anonimato: garantindo que cada registro seja indistinguível de pelo menos k-1 outros registros
- l-diversidade: exigindo diversidade em atributos sensíveis dentro de classes de equivalência
- Privacidade diferencial: adicionando ruído calibrado a saídas estatísticas
- Pseudonimização (explicitamente notada como não anonimização, mas uma medida de redução de risco)
Requisitos de documentação: O guia da CNIL exige que as organizações mantenham uma "fiche d'anonymisation" (registro de anonimização) para cada atividade de processamento que utilize anonimização, documentando: a técnica de anonimização aplicada, os parâmetros utilizados (valor k para k-anonimato, valor epsilon para privacidade diferencial), a avaliação do risco residual de reidentificação e a metodologia de validação.
Avaliação de risco de reidentificação: A CNIL exige que as organizações realizem uma avaliação de risco de reidentificação antes de afirmar que os dados estão anonimizados. A avaliação deve considerar: o teste do "intruso motivado" (um indivíduo motivado poderia reidentificar os dados?), conjuntos de dados auxiliares disponíveis e o contexto específico dos dados.
Considerações da CNIL sobre Detecção de PII em Francês
Para organizações que processam dados em francês, a orientação da CNIL exige implicitamente que as ferramentas de detecção de PII cubram PII em língua francesa. Tipos de entidades específicas do francês que devem ser detectados:
- Numéro de Sécurité Sociale (NIR): Número de Segurança Social francês de 13 dígitos com validação de formato específica
- Número da carte vitale: Identificador do cartão de saúde usado na administração de saúde francesa
- Numéro d'identification au répertoire (NIR): Identificador do registro populacional
- SIRET/SIREN: Identificadores de negócios que podem aparecer em contextos de negócios pessoais
- Numéro d'ordre profissional: Números de registro profissional (médicos, advogados, contadores)
- Carte nationale d'identité (CNI): Número do cartão de identidade nacional francês
Modelos NER franceses para detecção de nomes de pessoas também devem lidar com convenções de nomenclatura francesas: nomes compostos (Jean-Pierre), nomes hifenizados, partículas (de, du, des) e padrões de nomes específicos do francês.
Aplicação da CNIL: O Padrão de Multas para IA
As ações de aplicação da CNIL contra sistemas de IA estabelecem o precedente para o que "medidas técnicas adequadas" significam no contexto da IA:
Clearview AI (€20M de multa, 2022): Processamento de dados biométricos de indivíduos franceses sem base legal, coletados de fontes públicas da web. Estabeleceu que a extração em massa de dados pessoais da web para treinamento de IA requer uma base legal explícita.
Investigação do TikTok (2024-2025 em andamento): Focada em sistemas de recomendação algorítmica que podem inferir categorias sensíveis a partir de dados comportamentais. A metodologia de investigação da CNIL se tornou o padrão da UE para auditorias de sistemas de IA.
Revisão de IA generativa (2024-2025): A CNIL realizou revisões sistemáticas de fornecedores de LLM operando na França, focando na proveniência dos dados de treinamento e anonimização. Fornecedores sem procedimentos documentados de anonimização para dados de usuários franceses foram obrigados a implementar controles.
O padrão: a aplicação da CNIL se concentra na inadequação técnica — a ausência de controles técnicos documentados — em vez de apenas em violações processuais.
Implementando Documentação de Anonimização em Conformidade com a CNIL
Para organizações francesas ou organizações que atendem usuários franceses, uma postura de anonimização em conformidade com a CNIL exige:
1. Fiche d'anonymisation (registro de anonimização) para cada atividade de processamento:
- Propósito do processamento e categorias de dados
- Técnica de anonimização aplicada (com parâmetros)
- Resultado da avaliação de risco de reidentificação
- Método de validação (teste, revisão externa)
- Pessoa responsável e data de revisão
2. Pré-processamento para sistemas de IA:
- Documentar a ferramenta de detecção de PII e a configuração utilizada
- Registrar os tipos de entidades detectadas e removidas/pseudonimizadas
- Manter registros de processamento para solicitações de auditoria da CNIL
3. Cobertura de PII em língua francesa:
- Verificar a cobertura de detecção para identificadores específicos do francês (NIR, carte vitale, CNI)
- Validar o desempenho do modelo NER francês em nomes pessoais franceses
- Documentar lacunas de cobertura e controles compensatórios
4. Proveniência dos dados de treinamento:
- Para sistemas de IA treinados com dados extraídos da web: documentar a avaliação de anonimização do conjunto de dados de origem
- Para sistemas de IA treinados com dados de usuários: documentar o processo de anonimização dos dados de usuários
Os pedidos de inspeção da CNIL para sistemas de IA incluem rotineiramente solicitações por esses documentos. Organizações com documentação pré-existente atendem aos requisitos de inspeção significativamente mais rápido do que aquelas que realizam avaliações reativamente.
Fontes: