De Ce ID-urile de Comenzi Sunt Date Personale
Definiția GDPR a datelor personale este în mod deliberat largă: „orice informație referitoare la o persoană fizică identificată sau identificabilă." O persoană este identificabilă dacă poate fi identificată „direct sau indirect, în special prin referire la un identificator."
Un ID de comandă (ORD-4521893) este un identificator indirect. Singur, nu o identifică pe Sarah Johnson. Dar combinat cu baza de date a comenzilor — pe care furnizorul AI o poate sau nu o poate accesa — o identifică cu certitudine.
Conceptul de pseudonimizare al GDPR Articolul 4(5) se aplică aici: ID-urile de comenzi sunt pseudonime care necesită informații suplimentare (baza de date de comenzi) pentru re-identificare. Când organizația care controlează cheia pseudonimului (dumneavoastră, controlerul de date) trimite acel pseudonim unui furnizor AI extern, partajați date pseudonime care pot fi re-identificabile.
Decalajul Standard de Anonimizare
Echipele de suport care implementează conformitatea GDPR pentru instrumentele lor AI implementează adesea detecția PII standard:
Ce este eliminat:
- Numele clienților (detecția entității PERSON) ✓
- Adresele de email (detecția EMAIL_ADDRESS) ✓
- Numerele de telefon (detecția PHONE_NUMBER) ✓
- Numerele cardurilor de credit (detecția CREDIT_CARD) ✓
Ce rămâne:
- ID-uri de comenzi (format ORD-XXXXXXX — nu în biblioteca standard de entități) ✗
- ID-uri de conturi (format ACC-XXXXXXXX — nu în biblioteca standard de entități) ✗
- ID-uri interne ale utilizatorilor ✗
Soluția: Recunoaștere de Entități Personalizate
Adăugarea detecției ID-urilor organizației specifice la configurația instrumentului PII rezolvă decalajul de anonimizare parțială:
Definiți tipare specifice organizației:
- ID comenzi:
ORD-[0-9]{7}— detectat și înlocuit cu[COMANDA] - ID conturi:
ACC-[0-9]{8}-[0-9]{2}— detectat și înlocuit cu[CONT] - ID utilizatori interni: format UUID sau personalizat — detectat și înlocuit cu
[UTILIZATOR]
Cu entitățile personalizate configurate, toate categoriile de identificatori — universale și specifice organizației — sunt eliminate înainte ca conținutul să ajungă la furnizorul AI extern.
Surse: Orientări EDPB privind Pseudonimizarea 2022; Decizia Comisarului pentru Confidențialitate ICO privind Transferurile de Date AI 2024