Soukromí je to, co zůstane, když se systém naučí zapomínat.

Právo na zapomnění není tlačítko s popiskem „smazat". V moderních systémech je to disciplinovaná otázka ohledně kopií, odvozených dat, důkazů, výjimek a...

Soukromí je to, co zůstane, když se systém naučí zapomínat.

Zapomínání není opakem pamatování

Papírový spis má uklidňující viditelný život. Přijde, někam se uloží, zkopíruje se, má-li někdo kopírku, a nakonec skončí ve skartovačce nebo v archivu. Těžké může být rozhodnout, zda má být zničen, ale samotný objekt je ochotně konečný. Digitální záznam je méně zdvořilý. Může být uložen jako řádek, příloha, index vyhledávání, náhled zprávy, blok zálohy, položka auditu, prvek ve vstupu modelu, vektor v úložišti embeddingů, odpověď v mezipaměti nebo hodnota, která se dostala do systému jiné organizace. Nestačí se ptát, kde žije originál. Užitečnější otázka je, co se z něj vytvořilo, co stále umožňuje identifikovat osobu a jakému účelu slouží každá zbývající stopa.

V tom spočívá praktická důstojnost práva na výmaz. Často se nazývá právem být zapomenut, což je výstižné, ale nedokonalé spojení. Lidské zapomínání je náhodné, částečné a plné trapných návratů. Zákonný proces výmazu by měl být záměrný. Měl by umět rozlišit záznam, který musí být odstraněn, od záznamu, který musí být uchován, protože to vyžaduje zákon, sporného nároku, který musí zůstat k dispozici pro právní obhajobu, a technického zbytku, který lze izolovat do plánovaného vypršení platnosti. Měl by také odolat užitečnému firemnímu instinktu: zacházet s mazáním jako se stavem obrazovky, nikoli jako s vlastností systému.

Obecné nařízení o ochraně osobních údajů neslibuje, že každá položka spojená s osobou na požádání zmizí. Článek 17 stanoví důvody, na jejichž základě musí správce osobní údaje vymazat bez zbytečného odkladu, mimo jiné pokud údaje již nejsou nezbytné pro účel, pro který byly shromážděny nebo zpracovány, pokud byl odvolán souhlas a neexistuje žádný jiný právní důvod, a pokud bylo zpracování protiprávní. Tentýž článek stanoví omezení. VýmaZ se nevztahuje na zpracování nezbytné například pro svobodu projevu a informací, pro splnění právní povinnosti, pro úkoly ve veřejném zájmu za určitých okolností, pro důvody veřejného zdraví, pro archivaci, výzkum nebo statistiku podléhající zárukám, nebo pro právní nároky. To není mezera ve slibu. To je skutečný tvar tohoto práva.

Otázka pro vlastníka systému tedy nezní: „Můžeme data smazat?“ Téměř každý systém může něco smazat. Otázkou je, zda organizace dokáže u konkrétní žádosti a konkrétního účelu zpracování vysvětlit, jaká data drží, co se s těmito daty stalo, co je povinna nebo oprávněna uchovat, které navazující příjemce je třeba informovat a jak lze zkontrolovat dokončenou akci. Rozdíl zní procedurálně. V praxi je architektonický. Produkt, který umí pouze přidávat informace, zjistí, že mazání je mnohem dražší funkce.

To platí obzvlášť ostře pro systémy umělé inteligence, ale neomezuje se to na ně. Vyhledávání, analytika, zákaznická podpora, identita, monitorování zabezpečení a správa dokumentů vytvářejí odvozeniny. Model pouze dává problému nová jména: tokeny, gradienty, embeddingy, indexy vyhledávání, promptY a výstupy. Žádný z těchto štítků nevyřeší základní otázku, zda fyzická osoba zůstává identifikovatelná. Ani technický termín tiše neodpoví na právní otázku. Embedding není automaticky anonymní proto, že se špatně čte. Log není automaticky nezbytný proto, že je užitečný. Záloha není automaticky vyňata proto, že je nepohodlná.

Soukromí po zapomnění tedy není prázdná stránka. Je to zbytkový stav, který zůstane poté, co organizace učinila zákonné, přiměřené a ověřitelné rozhodnutí o tom, co by se již nemělo zpracovávat. Kvalita tohoto zbytkového stavu řekne lidem o systému mnohem více než přítomnost tlačítka pro smazání.

Právo má podmínky, a to ho činí silnějším

Evropské právo na ochranu osobních údajů je někdy popisováno, jako by jednotlivci nabízelo univerzální červené tlačítko. Tento obrázek se hodí na prezentaci, ale je natolik nepřesný, že působí potíže. Článek 17 je vázán na účel, právní základ a okolnosti zpracování. Obsahuje právo, povinnosti správců a výjimky, které chrání jiná práva a veřejné zájmy. Odpovědný přístup začíná zjištěním totožnosti žadatele tam, kde je to nezbytné, pochopením dotčených údajů a účelu zpracování a rozhodnutím, zda se uplatní důvod podle článku 17 a některá z výjimek. Odpovědí může být výmaz. Může jím být odůvodněné odmítnutí zcela nebo zčásti. Může jím být omezení zpracování, dokud se nevyřeší spor. Může jít také o žádost, která míří na systém, který organizace neovládá.

To není důvod proměnit žádost subjektu údajů v malou překážkovou dráhu. GDPR ukládá správcům povinnost usnadňovat výkon práv. Článek 12 vyžaduje, aby informace a sdělení o opatřeních přijatých na základě žádosti byly stručné, transparentní, srozumitelné a snadno přístupné. Obecně vyžaduje informace o přijatých opatřeních bez zbytečného odkladu, a v každém případě do jednoho měsíce od obdržení žádosti. Lhůtu lze prodloužit o další dva měsíce, je-li to nezbytné, s přihlédnutím k složitosti a počtu žádostí, ale správce musí osobu o prodloužení a jeho důvodech informovat do prvního měsíce. Systém, který nedokáže identifikovat vlastní toky údajů až do třetího měsíce, nenašel procesní obranu. Našel problém ve správě.

Pokyny Evropského sboru pro ochranu osobních údajů pro malé a střední podniky uvádějí provozní hledisko jasně: lidé mohou v určitých případech požádat o výmaz a organizace by měly mít postupy pro vyřizování žádostí o práva. Postup není právní stanovisko uložené na sdíleném disku. Je to fungující cesta od žádosti k rozhodnutí a k provedení. Zahrnuje role oprávněné rozhodovat, mapy údajů, které jim umožní vidět příslušné zpracování, dodavatele a příjemce, kteří mohou potřebovat oznámení, plány uchovávání, které vysvětlují výjimku, a důkazy, které pozdějšímu posuzovateli umožní pochopit, co bylo učiněno.

Soudní dvůr pomohl zviditelnit další rozlišení. Jeho rozsudky týkající se de-referencování se týkají zobrazování odkazů vyhledávači, nikoli pokynu vymazat původní publikaci ze zdrojového webu. Ve věci Google Spain Soudní dvůr rozhodl, že provozovatel vyhledávače může odpovídat za zpracování osobních údajů, které se objevují na webových stránkách zveřejněných třetími stranami, a že subjekt údajů může za určitých okolností požádat o odstranění odkazů ze seznamu výsledků zobrazených po vyhledání podle jména dané osoby. V pozdějších věcech se Soudní dvůr zabýval mimo jiné citlivými údaji, územním rozsahem de-referencování a nepřesnými informacemi. Tyto případy neproměňují každou nežádoucí skutečnost v nárok na výmaz. Ukazují, proč musí systém pojmenovat dotčenou vrstvu: zdrojovou publikaci, index, seznam výsledků, mezipaměť, výpis nebo jinou kopii.

Tato disciplína vrstev je důležitá i uvnitř organizací. Zaměstnanec může požádat správce o výmaz kontaktního záznamu, který již není potřebný pro účely náboru. Správce může muset posoudit samostatnou povinnost uchovávání pro mzdovou agendu nebo důkazy o rovnosti zacházení. Veřejný subjekt může zpracovávat záznam na základě zákonného úkolu a musí posoudit použitelné právo, nikoli opakovat odpověď ze soukromého sektoru. Vydavatel může muset zvážit svobodu projevu a informací. Výsledek nelze rozhodnout pouze slovníkem databází.

Je lákavé nesnášet tyto podmínky, protože brání jednoduchému slibu. Ale právě ony dávají slibu smysl. Právo, které ignoruje právní povinnosti, ostatní základní práva a praktický rozdíl mezi systémy, by se zhroutilo v pouhý rituál. Evropský přístup vyžaduje odpovědné rozhodnutí, nikoli divadlo. To vyžaduje více práce. Zároveň to umožňuje rozhodnutí o odmítnutí napadnout a výmaz činí důvěryhodným.

Výmaz začíná tím, že zjistíme, kde všude se data zpracovávají. Diagram je mapou systémů, nikoli tvrzením, že se všemi místy zachází právně stejně.

Záznam může zmizet z obrazovky a přitom zůstat v systému

Nejjednodušší selhání výmazu zná každý, kdo někdy sestavoval aplikaci: odeberete položku z uživatelského rozhraní, podkladová data zůstanou v úložišti a máte za to, že je hotovo, protože běžní uživatelé je už nevidí. Někdy je měkké smazání přesně tím správným provozním řešením. Může zachovat krátkou lhůtu pro vrácení změny, zajistit bezpečnou replikaci nebo zabránit přerušení vztahu, který je třeba vyřešit. Ale měkké smazání není výmaz jen proto, že se rozhraní ztišilo. Jeho použití musí být spojeno s definovaným účelem, dobou uchování, řízením přístupu a následnou akcí, která skutečně změní stav dat.

I tvrdé smazání má své meze. Smazání řádku může ponechat vyhledávací index až do dalšího indexačního cyklu. Objektové úložiště může mít verzování. Mezipaměť doručování obsahu může nést odpověď až do vypršení platnosti nebo zneplatnění. Fronta zpráv může obsahovat událost, která ještě nebyla zpracována. Datový sklad mohl pojmout snímek dat. Služba mohla data předat zpracovateli, subdodavateli nebo příjemci. Praktické ponaučení není, že smazání je nemožné. Je jím to, že organizace potřebuje inventář s dostatečnou přesností, aby tyto povrchy rozlišila, a politiku, která určuje, co se na každém z nich děje.

Existuje ještě další rozdíl mezi obsahem a důkazem. Lístek zákaznické podpory může obsahovat zprávu člověka. Systém může potřebovat záznam o tom, že lístek existoval, byl vyřešen a byl smazán podle schváleného pravidla. Uchovávat celou zprávu navždy, abychom dokázali, že byla smazána, je malé byrokratické mistrovské dílo, ale nikoli opatření na ochranu soukromí. Lepší návrh uchovává jen minimum důkazů potřebných pro odpovědnost, oddělené od obsahu, který už nemá účel. Tím důkazem může být identifikátor žádosti, typ rozhodnutí, čas dokončení, příslušná kategorie uchování a systémy, kterých se to týkalo. Návrh závisí na organizaci. Princip nikoli: důkaz by neměl znovu vytvářet zbytečné osobní údaje.

Zálohy si zaslouží stejně prostý jazyk. Záloha může být nezbytná pro dostupnost, bezpečnost nebo obnovu po havárii. Stále je zpracováním. Praktickou otázkou je, zda je záloha samostatně přístupná, jak dlouho zůstává obnovitelná, kdo ji může obnovit, zda je zahrnuta do běžného toku výmazu a jak se zabrání tomu, aby obnovené prostředí tiše znovu zavedlo data, která byla mezitím z živého systému odstraněna. Rozumná politika se může spolehnout na definovanou dobu rotace záloh, místo aby upravovala každý historický blok zálohy jednotlivě. Ale politika to musí říci, mezitím chránit přístup a zajistit, aby obnova pokud možno odpovídala aktuálnímu stavu dat. „Je to v záloze“ popisuje problém. Není odpovědí na něj.

Logy jsou na tom podobně. Bezpečnostní a provozní logy mohou být zásadní. Mohou představovat jediný záznam o přístupu, neúspěšném pokusu o ověření nebo změně v produkci. Mohou také uchovávat identifikátory, adresy, těla požadavků nebo fragmenty obsahu, které k diagnostice nikdy nebyly potřeba. Dobrý návrh logování minimalizuje sběr, tam kde je to vhodné, rediguje nebo pseudonymizuje, odděluje citlivé datové části od metadat událostí, omezuje přístup a uplatňuje plány uchovávání. Snažit se při žádosti o výmaz odhalit každé citlivé pole je sice možné, ale je to chabá náhrada za rozhodnutí učiněné při návrhu, co by log nikdy obsahovat neměl.

Technický vlastník nemusí slibovat okamžitý, jednotný výmaz na všech zařízeních, aby jednal odpovědně. Musí být schopen popsat životní cyklus: co se stane nedostupným okamžitě, co se odstraní v příštím zpracovatelském běhu, co přetrvává podle zdokumentovaného plánu uchovávání, co zůstává chráněno do vypršení platnosti a co se stane, pokud dojde k operaci obnovy. Tento popis dává osobě, regulátorovi i operátorovi něco konkrétního k posouzení. Zelené toastové oznámení jim dává jen velmi málo.

Odvozená data nejsou úniková cesta

Moderní systémy často osobní údaje před použitím transformují. Z dokumentu extrahují datum, klasifikují zprávu, vypočítají skóre, odvodí jazyk, vytvoří vyhledávací index, vygenerují shrnutí, propojí dva účty nebo převedou text a obrázky na vektory používané pro vyhledávání podobnosti. Tyto transformace mohou být užitečné. Mohou také organizaci navodit pocit, že se posunula za hranici osobních údajů. Nemusí tomu tak nutně být.

GDPR je technologicky neutrální. Její recitály vysvětlují, že pseudonymizované údaje, které by mohly být fyzické osobě přiřazeny pomocí dodatečných informací, by měly být považovány za informace o identifikovatelné fyzické osobě. Rovněž vysvětlují, že identifikovatelnost musí zohlednit všechny prostředky, které lze rozumně pravděpodobně použít, ať už správcem nebo jinou osobou, s přihlédnutím k faktorům, jako jsou náklady, čas, dostupné technologie a technologický vývoj. Otázka nezní, zda reprezentace vypadá jako jméno v tabulce. Otázka zní, zda se ve skutečném kontextu vztahuje k identifikované nebo identifikovatelné osobě.

Embedding tento bod užitečně znepříjemňuje. V systému pro vyhledávání může být dokument rozdělen na části a reprezentován jako numerické vektory, aby dotaz mohl najít sémanticky podobný materiál. Vektor není čitelný odstavec. Přesto může být propojen se zdrojovým dokumentem, tenantem, uživatelem, řízením přístupu, polem metadat nebo klíčem pro vyhledávání. Může systému umožnit vybrat osobní materiál v reakci na dotaz. Organizace jej nemůže nazvat anonymním jen proto, že člověk nemůže rekonstruovat větu pohledem na seznam souřadnic. Musí posoudit reprezentaci, související údaje, prostředky propojení a účel zpracování.

Totéž platí pro odvozené skóre. Skóre rizika, kategorie preference nebo ukazatel způsobilosti může obsahovat méně podrobných údajů než zdrojová data, a přesto může mít pro danou osobu závažné důsledky. Může se jednat o osobní údaj, pokud se vztahuje k identifikované nebo identifikovatelné osobě. Smazat zdroj a ponechat si skóre, které nadále ovlivňuje rozhodování, není čisté řešení. Může to jednoduše přesunout osobu do méně průhledné podoby. Systém potřebuje pravidlo pro odvozené údaje: které se mažou společně se zdrojem, které se přepočítávají, které se již nesmí používat, které musí být uchovány na základě samostatné povinnosti a kdo o tom rozhoduje.

Neexistuje žádný univerzální technický test, který by jednoznačně posoudil každý derivát. Některé agregované statistiky mohou být anonymní. Některé mohou zůstat zranitelné vůči jednotlivému vyčlenění nebo propojení. Některé parametry modelu nemusí být v daném kontextu rozumně přiřaditelné konkrétní osobě. Jiné mohou být spojeny s trénovacími daty, úzce vymezeným modelem nebo útočnou plochou, která mění výsledek posouzení. Pojem anonymních informací podle GDPR není jen dekorativním označením pro data, jejichž interpretace byla záměrně ztížena. Správce musí provést posouzení založené na prostředcích a kontextu identifikace.

Tato nejistota není důvodem k tomu, aby byl každý derivát označen za trvale problematický. Je důvodem k vedení záznamů o původu dat. Tým by měl vědět, které vstupní kolekce byly použity pro feature store, index, trénovací běh nebo reportovací tabulku; které verze derivátu byly vytvořeny; které systémy je spotřebovávají; a jakou reakci musí změna ve zdroji vyvolat. Sledování původu mění nepříjemnou otázku na ohraničený technický úkol. Bez něj se každá žádost o práva subjektu údajů stává archeologickou expedicí přes názvy úloh, úložné kontejnery a vzpomínky někoho na migraci před dvěma zimami.

Strojové učení přináší obtížnou otázku, ne kouzelnou výjimku

Strojové učení ztěžuje výmaz, protože trénování není operace ukládání do spisu. Trénovací příklad může ovlivnit parametry prostřednictvím dlouhé sekvence aktualizací, společně s mnoha dalšími příklady. Nasazený model mohl být zkopírován do několika prostředí. Pozdější model mohl být doladěn z dřívějšího. Tým může používat vyhodnocovací data, prompt, korpusy pro vyhledávání a logy zpětné vazby, které se řídí různými životními cykly. Pokud data osoby vstoupila do takového systému, organizace nemůže odpovědně pokrčit rameny nad matematikou. Nemůže ani poctivě slíbit, že jedno smazání z databáze odstraní veškerý možný vliv z každého parametru.

Prvním krokem je oddělit systémy. Vyhledávací korpus není trénovaný model. Pokud je dokument použit jako zdroj pro vyhledávání, výmaz může zahrnovat odstranění nebo deaktivaci dokumentu, jeho částí, metadat a záznamů v indexu a následnou kontrolu, že se k němu vyhledávání již nedostane. Log promptů není úložiště embeddingů. Datová sada pro dolaďování není bezpečnostní auditní stopa. Kontrolní bod modelu není aktuální zdrojový záznam. Správná reakce se může pro každou oblast lišit, ale reakci nelze navrhnout, dokud nejsou oblasti pojmenovány.

U trénovacích dat může právní a technická analýza vyžadovat rozhodnutí, zda je vhodné přetrénování, náhrada, omezení, uchování nebo jiné opatření. Výzkum v oblasti zapomínání modelů je relevantní, protože zkoumá metody snižování vlivu konkrétních dat bez přetrénování modelu od začátku. Není to obecné potvrzení, že systém zapomněl. Metody mají předpoklady, třídy modelů, datové podmínky a omezení ověřování. Organizace by neměla prezentovat experimentální techniku jako univerzální implementaci článku 17. Ani by neměla čekat na dokonalou techniku, než navrhne lepší kontrolu dat.

Lepší kontrola začíná na začátku procesu. Minimalizujte shromažďovaná data. Oddělte osobní údaje od trénovacího materiálu tam, kde to zamýšlený účel umožňuje. Stanovte dobu uchování dříve, než se hromadění dat stane emocionálně nákladnou otázkou. Uchovávejte verzované záznamy datových sad a trénovacích běhů. Jasně vyjádřete podmínky opt-in nebo jiné zákonné podmínky tam, kde jsou relevantním základem. Nedovolte, aby se archiv produkčních promptů tiše stal korpusem pro vývoj modelů. Udržujte vyhodnocovací a podpůrný materiál odlišitelný od trénovacích dat. Čím méně systém spoléhá na neznámý původ dat, tím přesněji může odpovědět na otázku výmazu.

Existuje také omezení slova „vliv“. Člověk se může obávat, že text byl kdysi součástí trénovacího souboru. Technický tým může být schopen určit, že zdrojový záznam byl odstraněn ze současného korpusu, ale nemůže v širokém filozofickém smyslu dokázat, že v žádném parametru historického modelu nezůstal žádný fragment vlivu. Právní úprava ochrany osobních údajů se neusnadní tím, že organizace nahradí konkrétní popis metafyzikou. Povinností je posoudit zpracování, právní důvody a opatření podle zákona. Organizace by měla vysvětlit rozsah svého závěru, systémy, kterých se týká, a zbývající omezení. Přesnost je laskavější než přehnaný slib.

Pro nasazovatele umělé inteligence často praktická zátěž spočívá stejnou měrou v pořizování jako v inženýrství. Dodavatel by měl být schopen vysvětlit, co dělá s výzvami, nahranými soubory, telemetrií a volitelnou zpětnou vazbou; které z nich se používají pro trénování nebo zlepšování služeb; jaké existují mechanismy uchovávání; jak může zákazník získat informace potřebné k vyřízení žádostí o práva; a co se děje ve sdíleném prostředí oproti vyhrazenému. Smlouva, která pouze uvádí „soulad s GDPR“, neposkytla informace potřebné k provozu procesu výmazu. Poskytla přídavné jméno.

Vyhledávače učí užitečnou lekci o vrstvách

Judikatura Soudního dvora k de-referencování je zde užitečná právě proto, že je užší než populární sousloví „právo být zapomenut“. Případy se týkají toho, zda a za jakých podmínek musí vyhledávač odstranit odkazy z výsledků vyhledávání podle jména. Nevytvářejí jednoduchou pravomoc měnit historii u jejího zdroje. Toto rozlišení ukazuje, že otázky ochrany osobních údajů se často týkají toho, jak jsou informace zpřístupňovány, propojovány a zesilovány, a nejen toho, zda záznam kdysi existoval.

Ve věci Google Spain se Soudní dvůr zabýval odkazy ve výsledcích vyhledávače na stránky publikované třetí stranou. Rozhodnutí objasnilo, že činnost vyhledávače může představovat zpracování osobních údajů a že za určitých podmínek může být provozovatel povinen odstranit odkazy z výsledků zobrazených po vyhledání podle jména osoby. Rozhodnutí nebylo příkazem novinám, které původní oznámení zveřejnily. Správce systému, který se dívá na interní znalostní bázi, se z toho může poučit: indexy vyhledávání, náhledy a řazení výsledků jsou vrstvy zpracování s vlastními důsledky.

Věc GC a další se zabývala žádostmi o odstranění odkazů na webové stránky obsahující citlivé osobní údaje. Soud se zabýval zvažováním a povinnostmi, které mohou provozovateli vyhledávače vzniknout. Věc Google v CNIL se zabývala územním rozsahem a v okolnostech tohoto případu rozhodla, že právo EU nevyžaduje de-referencování na všech verzích vyhledávače po celém světě, zároveň však vyžaduje účinná opatření k zabránění nebo vážnému odrazení přístupu z členských států k odkazům odstraněným z verzí EU. Věci TU a RE se týkaly žádosti týkající se údajně nepřesných informací a objasnily prvky důkazního břemene a zacházení s náhledovými obrázky. Tyto rozsudky jsou právní rozhodnutí závislá na konkrétních skutečnostech, nikoli kontrolní seznam pro nasazení. Společně tvoří systémový bod: odkaz, seznam výsledků, náhled obrázku a původní stránka nemají automaticky stejný prostředek nápravy.

Tento bod se dobře přenáší. Podnikový portál může oprávněně uchovávat zdrojový záznam pro omezený účel, zatímco přístup prostřednictvím širokého vyhledávacího rozhraní je nepřiměřený. Systém technické podpory může potřebovat chráněný záznam auditu, zatímco jeho náhled automatického doplňování by neměl zobrazovat údaje bývalého zákazníka velké skupině. Dokument může být odstraněn z vyhledávacího korpusu, zatímco souhrn generovaný modelem zůstává v jiném úložišti. Správnou reakcí není prohlásit všechny vrstvy za identické. Je jí pochopit, jak vrstva mění expozici, účel a riziko.

Varuje také před oblíbenou zkratkou: předpokladem, že viditelnost je jediným problémem ochrany soukromí. Záznam může být technicky skrytý, a přesto může být zpracováván, dotazován, profilován, přenášen nebo obnoven. Naopak organizace může potřebovat pečlivě omezený záznam, aby prokázala, že reagovala řádně, chránila právní nárok nebo splnila zákonnou povinnost. Soukromí není soutěž o to, kdo v každé myslitelné situaci vytvoří nejméně dat. Je to disciplína účelu, nezbytnosti, proporcionality a kontroly.

Proto by měl inventář výmazů zahrnovat cesty vyhledávání a prezentace. Zeptejte se, které indexy záznam nesou, které mezipaměti jej obsluhují, které exporty jej obsahují, které API jej vracejí, která odvozená pole se používají k řazení nebo doporučování a které cesty obnovy ze záloh by jej mohly znovu zpřístupnit. Seznam nebude elegantní. Bude užitečnější než elegance.

Demonstrace se liší od tvrzení

Když systém tvrdí, že dokáže vymazat data, vyvstávají dvě samostatné otázky. První je, zda má návrh legitimní a zdokumentovanou cestu, jak to provést. Druhá je, zda organizace dokáže prokázat, že byla tato cesta pro konkrétní žádost dodržena, aniž by uchovala více osobních údajů, než demonstrace vyžaduje. První je schopnost produktu. Druhá je odpovědnost.

Užitečný záznam o výmazu je záměrně skromný. Nemusí reprodukovat celou žádost osoby, dokumenty nebo historii účtu v nové databázi pro dodržování předpisů. Může zaznamenat referenční číslo žádosti, případně výsledek ověření totožnosti, kategorii žádosti, příslušné systémy, rozhodnutí a právní odůvodnění na odpovídající úrovni, data úkonů, výjimky nebo důvody pro uchování, oznámení příjemcům, pokud jsou vyžadována, a stav asynchronního výmazu nebo vypršení platnosti záloh. Přesná pole závisí na správci a kontextu. Důležité je, aby pozdější kontrolor viděl cestu, aniž by musel rekonstruovat citlivý obsah z fragmentů.

Ověřování by mělo odpovídat datové ploše. Živý aplikační záznam lze zkontrolovat potvrzením, že jej autorizované vyhledávání již nevrací. Vyhledávací systém lze testovat s původním identifikátorem a příslušnými vzory dotazů, přičemž je třeba se vyhnout širokým pokusům o znovuvytvoření osobního obsahu. Index může vykázat svůj stav výmazu. Fronta může ukázat dokončení. Záložní proces může ukázat, že je obraz pro obnovu chráněn podle pravidla uchovávání a že obnova aplikuje aktuální evidenci výmazů nebo ekvivalentní kontrolu. Ověřování nemusí dokazovat metafyzický negativ. Musí poskytnout důkazy přiměřené tvrzení, které je činěno.

Je zde skrytá past. Tým může vytvořit působivý dashboard se všemi zelenými kontrolkami a bez stabilního vztahu ke skutečné práci. Smysluplný dashboard uvádí datovou plochu, akci, stav, vlastníka, důkazy a další přezkum. Umožňuje rozlišit mezi „žádost přijata“, „živý záznam vymazán“, „oznámení příjemci čeká“, „záloha čeká na vypršení“ a „uchováno na základě zákonné povinnosti“. Tyto stavy mají různé významy. Sloučit je do kategorie „vymazáno“ mění nejistotu v design uživatelského rozhraní.

Prokazatelný výmaz závisí také na řízení změn. Zdrojový systém může být nahrazen, zpracovatel přidán, formát indexu změněn, nový analytický cíl zaveden nebo zásady uchovávání dodavatele umělé inteligence revidovány. Pokud není postup výmazu s těmito změnami aktualizován, postup postupně popisuje systém, který již neexistuje. Výsledek známe z každé provozní disciplíny: krásná příručka a skutečná služba, které se pohybují opačným směrem. Pravidelné testování malého vzorku cesty, včetně problematického systému, je obvykle vypovídající více než zadání rozsáhlého dokumentu o zajištění kvality, který nikdo nedokáže provést.

Pro veřejnou instituci nebo regulovanou společnost to není úzká záležitost oddělení ochrany osobních údajů. Pověřenec pro ochranu osobních údajů může vést výklad, ale za rozhraní a mechanismy mazání odpovídá technické oddělení, za účel a uživatelskou cestu odpovídá produktové oddělení, za informační povinnosti vůči dodavatelům odpovídá nákupní oddělení, za přístup a mechanismy obnovy odpovídá bezpečnostní oddělení a za provedení pod tlakem odpovídá provozní oddělení. Jediný vlastník nemůže sám zkontrolovat každou vrstvu. Vrstva bez vlastníka se nestane bezpečnou tím, že se o ní obtížně hovoří.

Obhajitelný proces zaznamenává své rozhodnutí a provedení, aniž by vytvářel druhý, zbytečný životopis dané osoby.

Uchovávání je druhá polovina mazání

Mnoho problémů s mazáním začíná dlouho před podáním žádosti. Začínají tehdy, když systém nemá žádné rozhodnutí o uchovávání. Data přicházejí, protože se mohou hodit. Protokoly se stávají trvalými, protože je úložiště levné. Exporty se uchovávají, protože budoucí audit by o ně mohl požádat. Trénovací data se hromadí, protože by z nich mohl těžit pozdější model. Každé rozhodnutí se v izolaci zdá neškodné. Dohromady mění organizaci ve vlastníka velkého, špatně pochopeného archivu a zdražují každou žádost o výmaz, činí ji nejistější a konfliktnější.

Zásada omezení uložení podle GDPR říká, že osobní údaje by měly být uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány, s výhradou delšího uchovávání pro účely archivace ve veřejném zájmu, vědeckého či historického výzkumu nebo statistických účelů, pokud platí příslušné záruky. Tato zásada nepředepisuje jeden kalendář pro každou organizaci. Vyžaduje úsudek vázaný na účel. Plán uchovávání by proto měl uvádět kategorie údajů, účel, právní základ, běžnou dobu, spouštěcí událost, výjimku, způsob likvidace, vlastníka a bod přezkumu. „Tak dlouho, jak je nezbytné“ je zásada. Stává se provozním pravidlem teprve tehdy, když někdo umí říct, pro co je to nezbytné, do kdy a kdo to rozhodl.

Tato struktura je užitečná pro umělou inteligenci, protože zabraňuje tomu, aby jeden široký štítek, například trénovací data, skrýval několik různých věcí. Surový příspěvek, vyčištěná datová sada, sada příznaků, verze modelu, historie výzev, vyhodnocovací sada a monitorovací protokol mohou mít každý jiné účely a jiné úvahy o uchovávání. Jejich sloučení do jediného neurčitého celku zhoršuje inovaci i odpovědnost. Jejich oddělení nezaručuje právní odpověď, ale umožňuje ji.

Rozhodnutí o uchovávání také těží z podmínky odmítnutí. Co by nás přimělo přestat to uchovávat? Ukončená smlouva, vyřešený spor, konec zákonné lhůty, dokončené bezpečnostní šetření, nahrazená verze modelu, uplynutí okna pro obnovu nebo rozhodnutí nepokračovat ve výzkumném účelu, to vše mohou být skutečné spouštěče. Nejde o to automatizovat hodiny mazání pro všechno. Jde o to vyhnout se systému, v němž je jedinou podmínkou pro uchovávání dat to, že je dosud nikdo nemusel vysvětlovat.

Je tu jeden malý nizozemský instinkt, který stojí za to si ponechat: skříň není uspořádaná proto, že má dveře. Je uspořádaná proto, že v ní najdete to podstatné, víte, proč to tam je, a můžete to odstranit, aniž byste se stěhovali. Datové dědictví si zaslouží přinejmenším tento standard. Plán uchovávání, který nepřežije rozhovor s lidmi, kteří systém provozují, není plán. Je to předpověď počasí psaná právnickým jazykem.

To neznamená, že každá organizace musí centralizovat každé rozhodnutí o výmazu. Místní týmy často znají své procesy lépe. Znamená to, že místní pravidla potřebují společné pojmy, viditelnou odpovědnost a cestu pro eskalaci. Jinak je archiv jednoho týmu porušením jiného týmu a žádost člověka je vedena bludištěm zdvořile pojmenovaných služeb.

Co může říct poctivý dodavatel AI

Poctivý dodavatel AI netvrdí, že všechna data zákazníků zmizí, když přijde žádost. Ani se neschovává za obtížnost modelů. Popisuje hranici služby. Co se zpracovává pro inferenci. Co se uchovává pro správu účtu, bezpečnost, podporu, fakturaci nebo prevenci zneužití. Zda se ukládají výzvy a výstupy. Zda se používají pro trénování, vyhodnocování nebo zlepšování služby. Které zpracovatelé a regiony jsou zapojeni. Jak si zákazníci mohou nakonfigurovat uchovávání. Jaká dokumentace existuje pro žádosti subjektů údajů. Které akce jsou okamžité, které asynchronní a které závisí na samostatném právním posouzení.

Pro kupující jsou otázky při zadávání zakázky praktické. Můžeme získat jasnou mapu toku dat? Můžeme určit role správce a zpracovatele pro příslušné zpracování? Můžeme exportovat nebo mazat materiál použitelným způsobem? Jsou indexy vyhledávání a odvozená úložiště zahrnuta do dokumentovaného životního cyklu? Co se děje se zálohami? Jak se oznamují změny subzpracovatelů? Může nám poskytovatel pomoci odpovědět na žádost v rámci platného časového harmonogramu? Jsou použití pro trénování a zlepšování služby opt-in, opt-out, smluvně vyloučená nebo popsaná pouze na stránce, která se může po nákupu změnit? Které technické záznamy jsou k dispozici k prokázání akce?

Odpovědi se budou lišit. Velká sdílená služba nemůže vždy nabídnout stejnou kontrolu jako vyhrazené prostředí. Bezpečnostní protokol nelze vždy smazat ve stejný okamžik jako profil účtu. Zákonný archiv nelze řešit jako předvolbu spotřebitele. Tyto rozdíly nemusí být nutně selháním. Mlčení o nich ano. Správná reakce kupujícího je sladit dokumentované chování služby s účelem, povinnostmi a rizikem organizace. Produkt může být nevhodný pro vysoce citlivý úkol, i když je zcela vhodný pro nástroj na psaní návrhů s nízkým rizikem.

Ve společnosti Dweve zaujímá naše Trust Centre stejně úzký pohled na důkazy. Veřejná stránka může popisovat kontroly a hranice dokumentace, ale nemůže certifikovat každé nasazení u zákazníka ani rozhodovat o právním základu pro zpracování ze strany zákazníka. Tato hranice je důležitá. Platforma může podporovat kontroly uchovávání, záznamy a přezkoumatelné pracovní postupy. Organizace, která ji používá, stále vlastní svůj účel, svá rozhodnutí o datech a rozhodnutí odpovědět konkrétní osobě. Dobrý text o produktu by měl tuto odpovědnost objasnit, ne ji tiše převzít.

Nejcennější prohlášení dodavatele je často omezení. „Tento záznam zůstane v chráněných zálohách, dokud neskončí uvedené období rotace.“ „Tato služba nepoužívá určený obsah zákazníka pro trénování za těchto podmínek.“ „Tento index se odstraňuje asynchronně a stav lze zkontrolovat zde.“ „Toto tvrzení nemůžeme učinit pro integraci třetí strany.“ Tyto věty se mohou zdát méně magické než univerzální slib ochrany soukromí. Umožňují kupujícímu navrhnout skutečný proces.

Otázky, které stojí za to položit, než žádost přijde

Organizace nemusí vymýšlet únik dat, rozrušeného jednotlivce ani hrdinský noční incident, aby otestovala svůj návrh výmazu. Může použít jasně označenou hypotetickou žádost během běžné pracovní doby. Předpokládejme, že osoba požádá o výmaz materiálu uloženého v systému určeném pro zákazníky. Který tým žádost obdrží? Jak se ověřuje totožnost, aniž by se shromažďovaly nadměrné nové informace? Které účely jsou relevantní? Které systémy obsahují zdrojová data, odvozeniny, indexy, protokoly, mezipaměti, exporty a záložní kopie? Kteří zpracovatelé potřebují pokyn nebo oznámení? Která výjimka nebo povinnost uchovávání, pokud nějaká existuje, se uplatní? Kdo může rozhodnout? Kdo může provést? Jak organizace vysvětlí výsledek?

Pak si položte nepříjemné technické otázky. Dokáže operátor najít aktuální inventář dat bez bývalého inženýra? Lze index vyhledávání zkontrolovat nezávisle na jeho zdrojové tabulce? Objeví se smazaný identifikátor znovu po obnovení? Používají dávkové úlohy staré snímky? Lze úložiště vložení propojit s jeho dokumenty a klientem? Zachycuje monitorovací kanál ve výchozím nastavení obsah výzev? Řídí se exportní soubory stejnými pravidly uchovávání jako jejich zdroj? Vytváří záznam o důkazech novou hromadu citlivého obsahu? Toto nejsou okrajové případy přidané proto, aby politika vypadala seriózně. Jsou to běžné důsledky systémů, které vytvářejí kopie, aby fungovaly.

Nakonec si položte otázku správy: co by přimělo organizaci změnit její odpověď? Nová právní povinnost, sporná totožnost, probíhající právní nárok, změněné ujednání s dodavatelem, neúspěšné ověření výmazu, obnovená záloha, nový kanál modelu nebo rozhodnutí regulátora, to vše může být důležité. Proces bez spouštěče přezkumu je pouze počátečním odhadem, který byl povýšen na politiku.

Nic z toho nenahrazuje právní poradenství v konkrétním případě. Požadavky GDPR, vnitrostátní právo, odvětvové povinnosti, smlouvy a skutečnosti zpracování, to vše je důležité. Organizace ale nepotřebují právní spor, aby začaly vytvářet podmínky pro srozumitelnou odpověď. Potřebují znát své systémy dostatečně dobře na to, aby přestaly nabízet jednoduchý slib pro složitou realitu.

Soukromí je kvalita zbytku

Ambicí výmazu není učinit minulost neskutečnou. Je dát lidem smysluplnou kontrolu tam, kde data již nemusí být zpracovávána, kde byl odvolán souhlas, kde je zpracování protiprávní nebo kde se uplatňuje jiný důvod podle článku 17. Žádá správce, aby s osobními údaji zacházeli jako s něčím, co je drženo za určitým účelem, nikoli jako se surovinou s neomezeným nájmem. Žádá je, aby vysvětlovali výjimky, místo aby je používali jako mlžný stroj. Žádá systémy, aby nesly dostatek historie, aby zapomínání mohlo být záměrné.

U digitálních služeb je tichým testem to, co zůstane. Poté, co je záznam odstraněn z obrazovky produktu, co je stále aktivní? Poté, co dokument opustí korpus pro vyhledávání, jaká odvozená reprezentace jej stále vybírá? Poté, co je účet smazán, jaký protokol je uchováván, za jakým účelem a jak dlouho? Poté, co je obnovena záloha, co brání návratu vyřazeného záznamu? Poté, co se model změní, jakou historii dat lze zkontrolovat? Poté, co je žádost uzavřena, může organizace prokázat svou práci, aniž by vytvořila další skrytý profil?

Systém jen zřídka odpoví na všechny tyto otázky jednou akcí a jedním časovým razítkem. To je normální. Co normální není, je předstírat, že otázky zmizí, protože data jsou obtížná, distribuovaná nebo zisková. Soukromí není okamžik, kdy služba naučí příkaz k smazání. Je to to, co zůstane poté, co se systém naučí zapomínat s účelem, hranicí a záznamem o vlastní zdrženlivosti.

Zdroje