CNIL Frankrike: GDPR teknisk efterlevnad
Frankrikes strängaste integritetsregulator
Frankrikes dataskyddsorgan är CNIL. Det sätter EU:s mest exakta integritetskrav. De flesta EU-regulatorer skriver bred vägledning. CNIL går längre. De publicerar precisa tekniska specifikationer kallade recommandations. Dessa definierar hur verklig GDPR-efterlevnad ser ut.
Andra EU-regulatorer kopierar ofta CNIL:s arbete. Viktiga texter inkluderar 2023 års Guide pratique de l'anonymisation och 2024 års AI-vägledning.
Siffrorna visar att myndigheten är aktiv. Den hanterade 16 433 klagomål 2023. Det är 43% fler än 2022. Den har utfärdat ungefär 150 miljoner euro i GDPR-böter sedan tillsynen startade.
AI-träning: Sex registertyper att rensa
CNIL:s 2024 AI-vägledning gäller brett. Den täcker alla grupper som tränar AI på franska personuppgifter. Den gäller också dem som betjänar franska användare med AI-verktyg.
Myndigheten listar sex registertyper som behöver rensas före AI-träning:
- Identifiants directs (direkta identifierare): Namn, adresser, ID-nummer. Ta bort eller ersätt dessa före träning.
- Identifiants quasi-directs (quasi-identifierare): Grupper av egenskaper som möjliggör återidentifiering. Tillämpa k-anonymitetskontroller.
- Données sensibles (särskilda typer): Hälso-, biometriska, politiska och religiösa register. Isolera med extra kontroller.
- Données comportementales (användarposter): Webbhistorik och användningsmönster. Aggregera eller maskera dessa.
- Données inférées (härledda egenskaper): AI-härledda signaler från användning. Tillämpa ändamålsgränser.
- Données relatives aux mineurs (barns uppgifter): Alla uppgifter kopplade till personer under 15. Kör ålderskontroller och använd stark rensning.
Använder du LLM:er tränade på skrapat innehåll? Du behöver skriftliga bevis. Visa att dina träningsposter granskades och rensades. Se vår GDPR-efterlevnadsguide för detaljer om räckvidd.
Anonymiseringsguiden: Centrala regler
2023 års guide är EU:s mest detaljerade text om detta ämne. Den sätter ribban för vad som räknas som verkligt anonymt.
Godkända tekniker:
- k-anonymitet — varje post liknar minst k-1 andra
- l-diversitet — känsliga egenskaper varierar inom varje grupp
- Differentiell integritet — brus läggs till utdatastatistik
- Pseudonymisering — ett riskreducerande steg, inte verklig anonymisering
Obligatoriska poster:
För varje aktivitet som använder rensning förväntar sig CNIL en fiche d'anonymisation (anonymiseringspost). Den måste inkludera:
- Den använda tekniken och dess nyckelinställningar (k-värde, epsilon-värde)
- Resultatet av en kontroll av återidentifieringsrisk
- Valideringsmetoden (testning eller extern granskning)
- Ansvarig person och granskningsdatum
Kontroll av återidentifieringsrisk:
Innan poster märks som anonyma, kör en formell kontroll. Fråga: kunde en motiverad person återidentifiera detta? Titta på vilka hjälpdatasatser som finns. Beakta hela sammanhanget.
Franska PII: Vad dina verktyg måste hitta
Franska regler kräver franska PII-täckning. Dina verktyg måste identifiera franska ID-typer.
Viktiga ID-typer att täcka:
- NIR: 15 siffror (13 bas + 2-siffrig nyckel). Detta är det franska personnumret.
- Carte vitale-nummer: Sjukförsäkringskort-ID.
- SIRET/SIREN: Företags-ID:n som finns i personliga filer.
- Numéro d'ordre professionnel: Registernummer för läkare, jurister och revisorer.
- CNI (Carte nationale d'identité): Franskt nationellt ID-kortnummer.
Franska NER-modeller måste hantera franska namnmönster. Dessa inkluderar sammansatta namn (Jean-Pierre), partiklar (de, du, des) och bindestreckssurnamn. Se vår flerspråkiga PII-identifieringsguide för hur man täcker alla lokaler.
Tillsyn: Vad som leder till böter
Myndighetens böter följer ett tydligt mönster. De riktar sig mot saknade tekniska kontroller. Dålig process ensam är sällan det viktigaste problemet.
Clearview AI — 20 miljoner euro (2022): Företaget behandlade biometriska uppgifter om franska medborgare utan rättslig grund. Uppgifter skrapades från offentliga webbkällor. Fallet bekräftade: bulkwebbskrapning för AI-träning kräver en explicit rättslig grund.
TikTok — utredning inledd 2024: Fokuserade på system som kan härleda känsliga typer från användningssignaler. Denna metod är nu EU:s referens för AI-revisioner.
Generativ AI-granskning (2024–2025): Myndigheten granskade LLM-leverantörer i Frankrike. Den fokuserade på träningsinnehållets ursprung. Leverantörer utan korrekta poster var tvungna att lägga till kontroller.
Fyra steg till CNIL-efterlevnad
Hanterar du franska personuppgifter? Du behöver fyra saker på plats.
1. En anonymiseringspost för varje aktivitet
Varje aktivitet som använder rensning behöver sin egen post. Notera tekniken, dess inställningar, ett riskresultat och ett granskningsdatum.
2. Förbehandlingsloggar för AI
Logga vilket PII-identifieringsverktyg du använde. Notera vilka entitetstyper det hittade. Registrera vad som togs bort eller maskerades. Håll dessa loggar redo för revisioner.
3. Franska PII-täckning
Kontrollera att ditt verktyg hittar NIR, carte vitale och CNI-nummer. Testa din franska NER-modell på riktiga franska namn. Notera eventuella luckor. Registrera de kontroller du infört för att åtgärda dem.
4. Ursprungsposter för träningsinnehåll
För skrapat innehåll: dokumentera källrensningskontrollen. För användaruppgifter: dokumentera rensningsprocessen. Vår säkerhetsefterlevnadsöversikt visar hur detta passar in i en bredare skyddsstack.
Grupper med goda poster tar sig igenom revisioner snabbt. Bygg din akt nu. Vänta inte på en inspektion.