IMY Швеція: анонімізація за GDPR та скандинавський стандарт
Шведська Integritetsskyddsmyndigheten (IMY) застосовує GDPR. Вона також встановлює технічні стандарти. Її керівництво з анонімізації 2023 року є найдетальнішим документом DPA з цієї теми в ЄС. На нього посилаються дванадцять інших DPA ЄС як на ключове джерело. У 2024 році IMY видала 28 рішень про правозастосування на загальну суму €8,5 мільйона.
Система анонімізації IMY
Керівництво IMY встановлює одне основне правило: анонімізація є технічним тестом. Лише política та договори не роблять дані анонімними. IMY використовує чотири тести для оцінки того, чи є дані справді анонімними.
k-анонімність: Кожна людина повинна виглядати так само, як щонайменше k-1 інших людей за всіма ключовими полями. IMY встановлює k≥5 для дослідницьких даних.
l-різноманітність: У кожній групі чутливі поля повинні мати щонайменше l різних значень. Це блокує атаки через умовивід навіть тоді, коли k-анонімність виконується.
Диференційна конфіденційність: До результатів запитів додається шум. Присутність жодної конкретної людини не може бути виявлена у виводі.
Псевдонімізація проти анонімізації: Псевдонімізація замінює ідентифікатори кодами, але зберігає ключ відновлення. Вона залишається регульованою GDPR. Лише дані, що пройшли ці чотири тести, є справді анонімними.
Дивіться наш посібник з анонімізації навчальних даних ML, що відповідає GDPR, щоб дізнатися, як ці тести застосовуються до роботи зі ШІ.
Рівень реалізації прав шведів
79% дорослих шведів щороку реалізують свої права за GDPR. Це найвищий показник в ЄС. У більшості країн ЄС запити на реалізацію прав надходять зі скарг. У Швеції вони є звичайною частиною повсякденного життя.
Компанії з шведськими користувачами повинні обробляти багато запитів на доступ. На кожен запит необхідно відповісти протягом одного місяця. Запізнілі відповіді ведуть до подальших дій з боку IMY. Необхідні актуальні персональні дані в усіх системах.
Personnummer: виклик шведського ідентифікатора
Шведський personnummer зустрічається майже в кожному офіційному шведському документі. Формат — 10 або 12 цифр (YYMMDD-XXXX). Огляд IMY виявив, що 45% загальних інструментів NLP не виявляють personnummer правильно.
Варіації формату: Номер може з'являтися з дефісом або без нього. Він може містити 10 або 12 цифр. Інструменти, що знають лише один формат, пропускають інший.
Перевірка Луна: Без перевірки Луна інструменти позначають будь-який рядок із 10 цифр як хибнопозитивний. Вони також пропускають номери в нестандартних форматах.
Samordningsnummer: Цей номер використовується для іноземних резидентів Швеції. Він має той самий шаблон, але додає 60 до цифр дня народження (від 61 до 91 замість від 01 до 31). Інструменти, що виявляють лише стандартний personnummer, пропускають samordningsnummer. Ця прогалина важлива для компаній із нешведськими співробітниками або клієнтами.
Позиція IMY щодо навчання ШІ
IMY опублікувала керівництво щодо персональних даних у навчанні ШІ у 2024 році. Три пункти мають значення для компаній із шведськими користувачами.
По-перше, «навчання ШІ» саме по собі не є дійсною метою за GDPR. Воно має бути пов'язане з чіткою та конкретною кінцевою метою.
По-друге, псевдонімізовані дані, що використовуються для навчання ШІ, залишаються регульованими GDPR. Лише дані, що пройшли тести IMY, можуть використовуватися без правової підстави.
По-третє, компанії, що дообробляють моделі ШІ на шведських даних, повинні довести справжню анонімізацію. Або вони повинні задокументувати чітку правову підставу.
Дивіться наш посібник з анонімізації навчальних даних за Законом ЄС про ШІ, щоб дізнатися, як органи ЄС ставляться до навчання ШІ в усьому блоці.
Вартість шведської відповідності
Витрати шведських підприємств на відповідність GDPR в середньому становлять €85 000 на рік. Основними статтями витрат є робота з правами на доступ та аудити анонімізації. Автоматизація виявлення PII відповідно до стандартів IMY зменшує ці витрати. Ручні перевірки не встигають за шведською інтенсивністю реалізації прав.
Система IMY цитується по всьому ЄС. Відповідність її стандартам ставить компанії в сильну позицію для ширшої перевірки ЄС.