IMY Швеции: анонимизация по GDPR и нордический стандарт
Шведский Integritetsskyddsmyndigheten (IMY) осуществляет правоприменение в рамках GDPR и устанавливает технические стандарты. Руководство по анонимизации 2023 года — наиболее детальный документ по этой теме среди всех регуляторов ЕС. Двенадцать других регуляторов ЕС ссылаются на него как на ключевой источник. В 2024 году IMY вынес 28 решений о правоприменении на общую сумму €8,5 миллиона.
Система анонимизации IMY
Руководство IMY формулирует одно основополагающее правило: анонимизация — это технический тест. Одних лишь политик и договоров недостаточно для признания данных анонимными. IMY применяет четыре критерия для оценки подлинной анонимности данных.
k-анонимность: Каждый человек должен быть неотличим от не менее чем k−1 других субъектов по всем ключевым полям. IMY устанавливает k≥5 для исследовательских данных.
l-разнообразие: Внутри каждой группы чувствительные поля должны содержать не менее l различных значений. Это блокирует атаки вывода информации даже при соблюдении k-анонимности.
Дифференциальная приватность: К результатам запросов добавляется шум. Присутствие конкретного человека не может быть обнаружено по выходным данным.
Псевдонимизация против анонимизации: Псевдонимизация заменяет идентификаторы кодами, сохраняя ключ восстановления. Такие данные остаются под регулированием GDPR. Только данные, прошедшие все четыре теста, являются по-настоящему анонимными.
См. наше руководство по анонимизации обучающих данных ML для GDPR о том, как эти тесты применяются в ИИ-работе.
Уровень использования прав в Швеции
79% взрослых шведов ежегодно используют свои права по GDPR — это наивысший показатель в ЕС. В большинстве стран ЕС запросы о правах поступают в основном при возникновении жалоб. В Швеции это норма повседневной жизни.
Компании с пользователями в Швеции должны справляться с большим потоком запросов на доступ. На каждый необходимо ответить в течение одного месяца. Задержки влекут контрольные действия IMY. Для ответов требуются актуальные данные о субъектах во всех системах.
Personnummer: шведский идентификатор как вызов для инструментов
Шведский personnummer встречается практически в каждом официальном шведском документе. Формат — 10 или 12 цифр (ГГММДД-ХХХХ). По данным проверки IMY, 45% универсальных NLP-инструментов не могут корректно обнаружить personnummer.
Вариации формата: Номер может встречаться с дефисом или без него. Он может состоять из 10 или 12 цифр. Инструменты, настроенные на один формат, пропускают другой.
Проверка по алгоритму Луна: Без применения алгоритма Луна инструменты помечают любую 10-значную строку как ложное срабатывание и одновременно пропускают номера в нестандартных форматах.
Samordningsnummer: Этот номер используется для иностранных резидентов в Швеции. Он следует тому же паттерну, но добавляет 60 к цифрам дня рождения (61–91 вместо 01–31). Инструменты, обнаруживающие только стандартный personnummer, пропускают samordningsnummer. Этот пробел важен для компаний с нешведскими сотрудниками или клиентами.
Позиция IMY по обучению ИИ
В 2024 году IMY опубликовал руководство по персональным данным в обучении ИИ. Три пункта важны для компаний с пользователями в Швеции.
Во-первых, «обучение ИИ» само по себе не является действительной целью по GDPR. Оно должно быть привязано к чёткой и конкретной конечной задаче.
Во-вторых, псевдонимизированные данные, используемые для обучения ИИ, остаются под регулированием GDPR. Только данные, прошедшие тесты IMY, могут использоваться без правового основания.
В-третьих, компании, дообучающие ИИ-модели на шведских данных, обязаны доказать подлинную анонимизацию или задокументировать чёткое правовое основание.
См. наше руководство по анонимизации обучающих данных согласно Акту ЕС об ИИ о том, как европейские регуляторы трактуют обучение ИИ.
Стоимость соответствия в Швеции
Среднегодовые расходы шведских предприятий на соответствие требованиям GDPR составляют €85 000. Основные статьи расходов — обработка запросов о правах и аудиты анонимизации. Автоматизация обнаружения персональных данных по стандартам IMY сокращает эти затраты. Ручные проверки не успевают за шведской частотой использования прав субъектами данных.
Стандарты IMY цитируются по всему ЕС. Их соблюдение обеспечивает компаниям прочные позиции при более широких европейских проверках.