Η ιδιωτικότητα είναι ό,τι απομένει αφού το σύστημα μάθει να ξεχνά.

Το δικαίωμα στη διαγραφή δεν είναι ένα κουμπί με την ένδειξη «διαγραφή». Στα σύγχρονα συστήματα, είναι ένα αυστηρό ερώτημα για αντίγραφα, παράγωγα δεδομένα,...

Η ιδιωτικότητα είναι ό,τι απομένει αφού το σύστημα μάθει να ξεχνά.

Η λήθη δεν είναι το αντίθετο της ανάμνησης

Ένας έντυπος φάκελος έχει μια καθησυχαστικά ορατή ζωή. Φτάνει, τοποθετείται κάπου, αντιγράφεται αν κάποιος έχει φωτοτυπικό, και τελικά καταλήγει σε καταστροφέα εγγράφων ή αρχειοθήκη. Το δύσκολο μέρος μπορεί να είναι η απόφαση για το αν πρέπει να καταστραφεί, αλλά το ίδιο το αντικείμενο είναι με συγκατάβαση πεπερασμένο. Ένα ψηφιακό αρχείο είναι λιγότερο ευγενικό. Μπορεί να αποθηκεύεται ως εγγραφή, συνημμένο, ευρετήριο αναζήτησης, προεπισκόπηση μηνύματος, μπλοκ αντιγράφου ασφαλείας, καταχώριση ελέγχου, χαρακτηριστικό σε είσοδο μοντέλου, διάνυσμα σε χώρο αποθήκευσης ενσωματώσεων, αποθηκευμένη απάντηση ή τιμή που έχει ταξιδέψει στο σύστημα άλλου οργανισμού. Δεν αρκεί να ρωτήσουμε πού ζει το πρωτότυπο. Το πιο χρήσιμο ερώτημα είναι τι έχει δημιουργηθεί από αυτό, τι εξακολουθεί να επιτρέπει την ταυτοποίηση ενός ατόμου και ποιος σκοπός εξυπηρετεί κάθε εναπομείναν ίχνος.

Αυτή είναι η πρακτική αξιοπρέπεια του δικαιώματος στη διαγραφή. Συχνά αποκαλείται δικαίωμα στη λήθη, μια γλαφυρή φράση αλλά όχι απόλυτα ακριβής. Η ανθρώπινη λήθη είναι τυχαία, μερική και γεμάτη από αμήχανες επιστροφές. Μια νόμιμη διαδικασία διαγραφής θα πρέπει να είναι σκόπιμη. Θα πρέπει να μπορεί να διακρίνει μια εγγραφή που πρέπει να αφαιρεθεί από μια εγγραφή που πρέπει να διατηρηθεί επειδή το απαιτεί ο νόμος, μια αμφισβητούμενη αξίωση που πρέπει να παραμείνει διαθέσιμη για τη νομική υπεράσπιση και ένα τεχνικό υπόλειμμα που μπορεί να απομονωθεί έως την προγραμματισμένη λήξη του. Θα πρέπει επίσης να αντιστέκεται σε μια χρήσιμη εταιρική τάση: να αντιμετωπίζεται η διαγραφή ως κατάσταση οθόνης και όχι ως ιδιότητα των συστημάτων.

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων δεν υπόσχεται ότι κάθε στοιχείο που συνδέεται με ένα άτομο θα εξαφανιστεί κατόπιν αιτήματος. Το Άρθρο 17 ορίζει τις περιπτώσεις κατά τις οποίες ο υπεύθυνος επεξεργασίας οφείλει να διαγράφει τα δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, μεταξύ άλλων όταν τα δεδομένα δεν είναι πλέον απαραίτητα για τον σκοπό για τον οποίο συλλέχθηκαν ή υποβλήθηκαν σε επεξεργασία, όταν ανακαλείται η συγκατάθεση και δεν υπάρχει άλλη νομική βάση και όταν η επεξεργασία ήταν παράνομη. Το ίδιο άρθρο θέτει όρια. Η διαγραφή δεν εφαρμόζεται όταν η επεξεργασία είναι απαραίτητη, για παράδειγμα, για την ελευθερία έκφρασης και ενημέρωσης, για τη συμμόρφωση με νομική υποχρέωση, για την εκτέλεση καθηκόντων δημοσίου συμφέροντος σε ορισμένες περιπτώσεις, για λόγους δημόσιας υγείας, για αρχειοθέτηση, για ερευνητικούς ή στατιστικούς σκοπούς υπό την επιφύλαξη διασφαλίσεων ή για την υποστήριξη νομικών αξιώσεων. Αυτό δεν είναι παραθυράκι σε μια υπόσχεση. Είναι το πραγματικό σχήμα του δικαιώματος.

Άρα το ερώτημα για τον ιδιοκτήτη ενός συστήματος δεν είναι, «Μπορούμε να διαγράψουμε δεδομένα;» Σχεδόν κάθε σύστημα μπορεί να διαγράψει κάτι. Το ερώτημα είναι αν ο οργανισμός μπορεί να εξηγήσει, για ένα συγκεκριμένο αίτημα και έναν συγκεκριμένο σκοπό επεξεργασίας, ποια δεδομένα κατέχει, τι έχει συμβεί σε αυτά τα δεδομένα, τι υποχρεούται ή δικαιούται να διατηρήσει, ποιοι μεταγενέστεροι αποδέκτες πρέπει να ενημερωθούν και πώς μπορεί να ελεγχθεί η ολοκληρωμένη ενέργεια. Η διαφορά ακούγεται διαδικαστική. Στην πράξη είναι αρχιτεκτονική. Ένα προϊόν που ξέρει μόνο πώς να προσθέτει πληροφορίες θα ανακαλύψει ότι η διαγραφή είναι ένα πολύ πιο ακριβό χαρακτηριστικό.

Αυτό είναι ιδιαίτερα έντονο για τα συστήματα τεχνητής νοημοσύνης, αλλά δεν περιορίζεται σε αυτά. Η αναζήτηση, η ανάλυση, η υποστήριξη πελατών, η ταυτοποίηση, η παρακολούθηση ασφάλειας και η διαχείριση εγγράφων παράγουν όλα παράγωγα. Ένα μοντέλο απλώς δίνει στο πρόβλημα νέα ονόματα: διακριτικά, κλίσεις, ενσωματώσεις, ευρετήρια ανάκτησης, προτροπές και έξοδοι. Καμία από αυτές τις ετικέτες δεν διαλύει το υποκείμενο ερώτημα αν ένα φυσικό πρόσωπο παραμένει ταυτοποιήσιμο. Ούτε ένας τεχνικός όρος απαντά σιωπηλά στο νομικό ερώτημα. Μια ενσωμάτωση δεν είναι αυτόματα ανώνυμη επειδή είναι δύσκολο να διαβαστεί. Ένα αρχείο καταγραφής δεν είναι αυτόματα απαραίτητο επειδή είναι χρήσιμο. Ένα αντίγραφο ασφαλείας δεν εξαιρείται αυτόματα επειδή είναι άβολο.

Η ιδιωτικότητα μετά τη λήθη δεν είναι επομένως μια κενή σελίδα. Είναι η υπολειμματική κατάσταση που παραμένει αφού ένας οργανισμός έχει λάβει μια νόμιμη, αναλογική και επαληθεύσιμη απόφαση σχετικά με το τι δεν θα πρέπει πλέον να υποβάλλεται σε επεξεργασία. Η ποιότητα αυτής της υπολειμματικής κατάστασης λέει στους ανθρώπους πολύ περισσότερα για ένα σύστημα από ό,τι θα πει ποτέ η παρουσία ενός κουμπιού διαγραφής.

Το δικαίωμα έχει προϋποθέσεις, και αυτό το καθιστά ισχυρότερο

Ο ευρωπαϊκός νόμος για την προστασία δεδομένων περιγράφεται μερικές φορές σαν να προσφέρει στο άτομο ένα καθολικό κουμπί έκτακτης ανάγκης. Αυτή η εικόνα είναι αρκετά τακτοποιημένη για μια παρουσίαση και αρκετά λανθασμένη για να προκαλέσει προβλήματα. Το Άρθρο 17 συνδέεται με τον σκοπό, τη νομική βάση και τις περιστάσεις της επεξεργασίας. Περιέχει ένα δικαίωμα, υποχρεώσεις για τους υπευθύνους επεξεργασίας και εξαιρέσεις που προστατεύουν άλλα δικαιώματα και δημόσια συμφέροντα. Μια υπεύθυνη απάντηση ξεκινά με την εξακρίβωση της ταυτότητας του αιτούντος όπου αυτό είναι απαραίτητο, την κατανόηση των δεδομένων και του σκοπού επεξεργασίας που εμπλέκονται, και την απόφαση για το αν ισχύει κάποια βάση του Άρθρου 17 και κάποια εξαίρεση. Η απάντηση μπορεί να είναι η διαγραφή. Μπορεί να είναι μια αιτιολογημένη άρνηση εν όλω ή εν μέρει. Μπορεί να είναι ο περιορισμός της επεξεργασίας έως ότου επιλυθεί μια διαφορά. Μπορεί επίσης να είναι ένα αίτημα που παραπέμπει σε ένα σύστημα το οποίο ο οργανισμός δεν ελέγχει.

Αυτό δεν αποτελεί λόγο να μετατραπεί ένα αίτημα υποκειμένου των δεδομένων σε μικρό εμπόδιο. Ο GDPR απαιτεί από τους υπευθύνους επεξεργασίας να διευκολύνουν την άσκηση των δικαιωμάτων. Το Άρθρο 12 απαιτεί οι πληροφορίες και οι ανακοινώσεις σχετικά με τις ενέργειες που αναλαμβάνονται για ένα αίτημα να είναι συνοπτικές, διαφανείς, κατανοητές και εύκολα προσβάσιμες. Γενικά απαιτεί την ενημέρωση για την αναληφθείσα ενέργεια χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός ενός μηνός από την παραλαβή. Η προθεσμία μπορεί να παραταθεί κατά δύο επιπλέον μήνες όπου είναι απαραίτητο, λαμβάνοντας υπόψη την πολυπλοκότητα και τον αριθμό των αιτημάτων, αλλά ο υπεύθυνος επεξεργασίας πρέπει να ενημερώσει το άτομο για την παράταση και τους λόγους της εντός του πρώτου μηνός. Ένα σύστημα που δεν μπορεί να εντοπίσει τις δικές του ροές δεδομένων μέχρι τον τρίτο μήνα δεν έχει βρει διαδικαστική υπεράσπιση. Έχει βρει πρόβλημα διακυβέρνησης.

Οι κατευθυντήριες γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τις μικρές και μεσαίες επιχειρήσεις διατυπώνουν το επιχειρησιακό σημείο με σαφήνεια: τα άτομα μπορούν να ζητήσουν διαγραφή σε συγκεκριμένες περιστάσεις και οι οργανισμοί θα πρέπει να διαθέτουν διαδικασίες για την ανταπόκριση σε αιτήματα δικαιωμάτων. Μια διαδικασία δεν είναι μια νομική γνώμη αποθηκευμένη σε έναν κοινόχρηστο φάκελο. Είναι μια λειτουργική διαδρομή από το αίτημα στην απόφαση και στην εκτέλεση. Περιλαμβάνει τους ρόλους που επιτρέπεται να λαμβάνουν μια απόφαση, τους χάρτες δεδομένων που τους επιτρέπουν να βλέπουν τη σχετική επεξεργασία, τους προμηθευτές και τους αποδέκτες που μπορεί να χρειαστούν ενημέρωση, τα χρονοδιαγράμματα διατήρησης που εξηγούν μια εξαίρεση και τα αποδεικτικά στοιχεία που επιτρέπουν σε έναν μεταγενέστερο αξιολογητή να κατανοήσει τι έγινε.

Το Δικαστήριο έχει συμβάλει στο να γίνει ορατή μια άλλη διάκριση. Οι αποφάσεις του σχετικά με την αποσύνδεση αφορούν την παρουσίαση συνδέσμων από μηχανές αναζήτησης, όχι μια εντολή διαγραφής της υποκείμενης δημοσίευσης από τον ιστότοπο προέλευσης. Στην υπόθεση Google Spain, το Δικαστήριο έκρινε ότι ο διαχειριστής μιας μηχανής αναζήτησης μπορεί να θεωρηθεί υπεύθυνος για την επεξεργασία προσωπικών δεδομένων που εμφανίζονται σε ιστοσελίδες που δημοσιεύονται από τρίτους και ότι ένα υποκείμενο των δεδομένων μπορεί, υπό ορισμένες προϋποθέσεις, να ζητήσει την αφαίρεση συνδέσμων από μια λίστα αποτελεσμάτων που εμφανίζεται μετά από αναζήτηση με το όνομα του ατόμου. Σε μεταγενέστερες υποθέσεις, το Δικαστήριο εξέτασε θέματα όπως τα ευαίσθητα δεδομένα, το εδαφικό πεδίο εφαρμογής της αποσύνδεσης και οι ανακριβείς πληροφορίες. Αυτές οι υποθέσεις δεν μετατρέπουν κάθε ανεπιθύμητο γεγονός σε αξίωση διαγραφής. Δείχνουν γιατί ένα σύστημα πρέπει να κατονομάζει το επίπεδο που αφορά: τη δημοσίευση πηγής, τον ευρετήριο, τη λίστα αποτελεσμάτων, την προσωρινή μνήμη, το απόσπασμα ή ένα άλλο αντίγραφο.

Αυτή η πειθαρχία επιπέδων έχει σημασία και εντός των οργανισμών. Ένας εργαζόμενος μπορεί να ζητήσει από τον υπεύθυνο επεξεργασίας να διαγράψει μια εγγραφή επικοινίας που δεν χρειάζεται πλέον για σκοπό πρόσληψης. Ο υπεύθυνος επεξεργασίας μπορεί να χρειαστεί να αξιολογήσει μια ξεχωριστή υποχρέωση διατήρησης για αποδεικτικά στοιχεία μισθοδοσίας ή ίσης μεταχείρισης. Ένας δημόσιος φορέας μπορεί να επεξεργάζεται μια εγγραφή στο πλαίσιο νόμιμου καθήκοντος και να χρειαστεί να αξιολογήσει το εφαρμοστέο δίκαιο αντί να επαναλάβει μια απάντηση του ιδιωτικού τομέα. Ένας εκδότης μπορεί να χρειαστεί να σταθμίσει την ελευθερία έκφρασης και ενημέρωσης. Το αποτέλεσμα δεν μπορεί να αποφασιστεί μόνο με τη γλώσσα της βάσης δεδομένων.

Είναι δελεαστικό να δυσανασχετεί κανείς με τις προϋποθέσεις, επειδή εμποδίζουν μια απλή υπόσχεση. Αλλά αυτές κάνουν την υπόσχεση ουσιαστική. Ένα δικαίωμα που αγνοεί τις νομικές υποχρεώσεις, τα άλλα θεμελιώδη δικαιώματα και την πρακτική διάκριση μεταξύ συστημάτων θα κατέληγε σε μια τυπική διαδικασία. Η ευρωπαϊκή προσέγγιση ζητά μια απόφαση με λογοδοσία, όχι μια θεατρική. Αυτό απαιτεί περισσότερη δουλειά. Κάνει επίσης μια άρνηση αμφισβητήσιμη και μια διαγραφή αξιόπιστη.

Η διαγραφή ξεκινά με τον εντοπισμό των επιφανειών επεξεργασίας. Το διάγραμμα είναι ένας χάρτης συστημάτων, όχι ένας ισχυρισμός ότι κάθε επιφάνεια έχει την ίδια νομική μεταχείριση.

Μια εγγραφή μπορεί να εξαφανιστεί από την οθόνη και να παραμείνει στο σύστημα

Η πιο εύκολη αποτυχία διαγραφής είναι γνωστή σε όποιον έχει φτιάξει μια εφαρμογή: αφαιρείς ένα στοιχείο από τη διεπαφή του προϊόντος, αφήνεις τα υποκείμενα δεδομένα σε ένα αποθετήριο και υποθέτεις ότι η δουλειά τελείωσε επειδή οι απλοί χρήστες δεν μπορούν πλέον να το δουν. Μερικές φορές μια λογική διαγραφή είναι ακριβώς ο σωστός επιχειρησιακός σχεδιασμός. Μπορεί να διατηρεί μια σύντομη περίοδο αναίρεσης, να καθιστά την αντιγραφή ασφαλή ή να αποφεύγει τη διακοπή μιας σχέσης που πρέπει να επιλυθεί. Αλλά η λογική διαγραφή δεν είναι διαγραφή μόνο επειδή η διεπαφή έχει γίνει πιο ήσυχη. Η χρήση της πρέπει να συνδέεται με έναν καθορισμένο σκοπό, μια περίοδο διατήρησης, ελέγχους πρόσβασης και μια μεταγενέστερη ενέργεια που αλλάζει πραγματικά την κατάσταση των δεδομένων.

Η οριστική διαγραφή έχει τα δικά της όρια. Η διαγραφή μιας εγγραφής μπορεί να αφήσει ένα ευρετήριο αναζήτησης μέχρι τον επόμενο κύκλο ευρετηρίασης. Ένα αποθετήριο αντικειμένων μπορεί να έχει έλεγχο εκδόσεων. Μια κρυφή μνήμη παράδοσης περιεχομένου μπορεί να διατηρεί μια απάντηση μέχρι τη λήξη ή την ακύρωσή της. Μια ουρά μηνυμάτων μπορεί να περιέχει ένα συμβάν που δεν έχει ακόμη υποβληθεί σε επεξεργασία. Μια αποθήκη δεδομένων μπορεί να έχει ενσωματώσει ένα στιγμιότυπο. Μια υπηρεσία μπορεί να έχει μεταφέρει τα δεδομένα σε έναν επεξεργαστή, έναν υπεργολάβο επεξεργασίας ή έναν αποδέκτη. Το πρακτικό δίδαγμα δεν είναι ότι η διαγραφή είναι αδύνατη. Είναι ότι ένας οργανισμός χρειάζεται ένα μητρώο με αρκετή ακρίβεια για να διακρίνει αυτές τις επιφάνειες και μια πολιτική που να ορίζει τι συμβαίνει σε καθεμία.

Υπάρχει μια περαιτέρω διάκριση μεταξύ περιεχομένου και αποδεικτικών στοιχείων. Ένα δελτίο εξυπηρέτησης πελατών μπορεί να περιέχει το μήνυμα ενός ατόμου. Ένα σύστημα μπορεί να χρειάζεται μια εγγραφή ότι ένα δελτίο υπήρχε, επιλύθηκε και διαγράφηκε σύμφωνα με έναν εγκεκριμένο κανόνα. Η διατήρηση ολόκληρου του μηνύματος για πάντα για να αποδειχθεί ότι διαγράφηκε είναι ένα μικρό γραφειοκρατικό αριστούργημα, αλλά όχι έλεγχος προστασίας προσωπικών δεδομένων. Ένας καλύτερος σχεδιασμός διατηρεί μόνο τα ελάχιστα αποδεικτικά στοιχεία που απαιτούνται για τη λογοδοσία, διαχωρισμένα από το περιεχόμενο που δεν εξυπηρετεί πλέον κανέναν σκοπό. Αυτά τα αποδεικτικά στοιχεία μπορεί να είναι ένα αναγνωριστικό αιτήματος, ο τύπος απόφασης, ο χρόνος ολοκλήρωσης, η ισχύουσα κατηγορία διατήρησης και τα συστήματα που προσεγγίστηκαν. Ο σχεδιασμός εξαρτάται από τον οργανισμό. Η αρχή όχι: η απόδειξη δεν θα πρέπει να αναδημιουργεί τα περιττά προσωπικά δεδομένα.

Τα αντίγραφα ασφαλείας αξίζουν την ίδια απλή γλώσσα. Ένα αντίγραφο ασφαλείας μπορεί να είναι απαραίτητο για τη διαθεσιμότητα, την ασφάλεια ή την ανάκαμψη από καταστροφή. Εξακολουθεί να αποτελεί επεξεργασία. Το πρακτικό ερώτημα είναι αν το αντίγραφο ασφαλείας είναι ξεχωριστά προσβάσιμο, πόσο καιρό παραμένει ανακτήσιμο, ποιος μπορεί να το επαναφέρει, αν περιλαμβάνεται στην κανονική ροή διαγραφής και πώς ένα επαναφερμένο περιβάλλον εμποδίζεται να επανεισάγει σιωπηλά δεδομένα που έχουν ήδη αφαιρεθεί από το ζωντανό σύστημα. Μια λογική πολιτική μπορεί να βασίζεται στην καθορισμένη περίοδο εναλλαγής του αντιγράφου ασφαλείας αντί να τροποποιεί κάθε ιστορικό μπλοκ αντιγράφου ξεχωριστά. Αλλά μια πολιτική πρέπει να το δηλώνει, να προστατεύει την πρόσβαση στο μεταξύ και να διασφαλίζει ότι η επαναφορά ακολουθεί την τρέχουσα κατάσταση δεδομένων όπου είναι δυνατόν. «Είναι στο αντίγραφο ασφαλείας» περιγράφει ένα πρόβλημα. Δεν είναι απάντηση σε αυτό.

Παρόμοια είναι και τα αρχεία καταγραφής. Τα αρχεία καταγραφής ασφάλειας και λειτουργίας μπορεί να είναι απαραίτητα. Μπορεί να αποτελούν τη μόνη καταγραφή μιας πρόσβασης, μιας αποτυχημένης απόπειρας ταυτοποίησης ή μιας αλλαγής στην παραγωγή. Μπορεί επίσης να διατηρούν αναγνωριστικά, διευθύνσεις, σώματα αιτημάτων ή αποσπάσματα περιεχομένου που δεν χρειάστηκαν ποτέ για διάγνωση. Ένας καλός σχεδιασμός καταγραφής ελαχιστοποιεί τα δεδομένα κατά τη συλλογή, αποκρύπτει ή ψευδωνυμοποιεί όπου χρειάζεται, διαχωρίζει τα ευαίσθητα δεδομένα από τα μεταδεδομένα συμβάντων, περιορίζει την πρόσβαση και εφαρμόζει χρονοδιαγράμματα διατήρησης. Το να επιχειρεί κανείς να εντοπίσει κάθε ευαίσθητο πεδίο κατά τη διάρκεια ενός αιτήματος διαγραφής είναι δυνατό, αλλά αποτελεί φτωχό υποκατάστατο του να αποφασίσει κατά τον σχεδιασμό τι δεν θα έπρεπε να περιέχει ποτέ το αρχείο καταγραφής.

Ο τεχνικός υπεύθυνος δεν χρειάζεται να υποσχεθεί μια άμεση, ομοιόμορφη διαγραφή σε κάθε συσκευή για να ενεργήσει υπεύθυνα. Χρειάζεται όμως να μπορεί να δηλώσει τον κύκλο ζωής: τι καθίσταται άμεσα μη διαθέσιμο, τι αφαιρείται στην επόμενη εκτέλεση επεξεργασίας, τι παραμένει βάσει τεκμηριωμένου χρονοδιαγράμματος διατήρησης, τι παραμένει προστατευμένο έως τη λήξη του και τι θα συμβεί αν πραγματοποιηθεί μια λειτουργία ανάκτησης. Αυτή η περιγραφή δίνει σε ένα άτομο, σε μια ρυθμιστική αρχή και σε έναν χειριστή κάτι συγκεκριμένο να εξετάσουν. Μια πράσινη ειδοποίηση επιτυχίας τους δίνει πολύ λίγα.

Τα παράγωγα δεδομένα δεν αποτελούν δίοδο διαφυγής

Τα σύγχρονα συστήματα συχνά μετασχηματίζουν τα προσωπικά δεδομένα πριν τα χρησιμοποιήσουν. Εξάγουν μια ημερομηνία από ένα έγγραφο, ταξινομούν ένα μήνυμα, υπολογίζουν μια βαθμολογία, συνάγουν μια γλώσσα, δημιουργούν ένα ευρετήριο αναζήτησης, παράγουν μια σύνοψη, συνδέουν δύο λογαριασμούς ή μετατρέπουν κείμενο και εικόνες σε διανύσματα που χρησιμοποιούνται για αναζήτηση ομοιότητας. Αυτοί οι μετασχηματισμοί μπορεί να είναι χρήσιμοι. Μπορεί επίσης να κάνουν έναν οργανισμό να αισθανθεί ότι έχει ξεπεράσει τα προσωπικά δεδομένα. Δεν ισχύει απαραίτητα κάτι τέτοιο.

Ο GDPR είναι τεχνολογικά ουδέτερος. Οι αιτιολογικές σκέψεις του εξηγούν ότι τα ψευδωνυμοποιημένα δεδομένα που θα μπορούσαν να αποδοθούν σε φυσικό πρόσωπο μέσω πρόσθετων πληροφοριών θα πρέπει να θεωρούνται πληροφορίες που αφορούν ταυτοποιήσιμο φυσικό πρόσωπο. Εξηγούν επίσης ότι η ταυτοποίηση πρέπει να λαμβάνει υπόψη όλα τα μέσα που είναι ευλόγως πιθανό να χρησιμοποιηθούν, από τον υπεύθυνο επεξεργασίας ή από άλλο πρόσωπο, λαμβάνοντας υπόψη παράγοντες όπως το κόστος, ο χρόνος, η διαθέσιμη τεχνολογία και οι τεχνολογικές εξελίξεις. Το ζήτημα δεν είναι αν μια αναπαράσταση μοιάζει με όνομα σε ένα υπολογιστικό φύλλο. Είναι αν σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο στο πραγματικό πλαίσιο.

Ένα διάνυσμα αναπαράστασης καθιστά αυτό το σημείο χρήσιμα δύσκολο. Σε ένα σύστημα ανάκτησης, ένα έγγραφο μπορεί να χωριστεί σε τμήματα και να αναπαρασταθεί ως αριθμητικά διανύσματα, ώστε ένα ερώτημα να μπορεί να βρει σημασιολογικά παρόμοιο υλικό. Το διάνυσμα δεν είναι ένα αναγνώσιμο εδάφιο. Μπορεί ωστόσο να συνδέεται με ένα έγγραφο προέλευσης, έναν μισθωτή, έναν χρήστη, έλεγχο πρόσβασης, πεδίο μεταδεδομένων ή κλειδί ανάκτησης. Μπορεί να επιτρέπει στο σύστημα να επιλέγει προσωπικό υλικό ως απάντηση σε ένα ερώτημα. Ο οργανισμός δεν μπορεί να το χαρακτηρίσει ανώνυμο απλώς επειδή ένας άνθρωπος δεν μπορεί να ανασυνθέσει μια πρόταση κοιτάζοντας μια λίστα συντεταγμένων. Πρέπει να αξιολογήσει την αναπαράσταση, τα συσχετιζόμενα δεδομένα, τα μέσα σύνδεσης και τον σκοπό επεξεργασίας.

Το ίδιο ισχύει και για μια παράγωγη βαθμολογία. Μια βαθμολογία κινδύνου, μια κατηγορία προτίμησης ή ένας δείκτης επιλεξιμότητας μπορεί να περιέχει λιγότερες ακατέργαστες λεπτομέρειες από τα δεδομένα προέλευσης και παρόλα αυτά να έχει σοβαρές επιπτώσεις για το άτομο. Μπορεί να αποτελεί προσωπικά δεδομένα αν σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο. Η διαγραφή των δεδομένων προέλευσης ενώ διατηρείται μια βαθμολογία που συνεχίζει να επηρεάζει μια απόφαση δεν αποτελεί καθαρή λύση. Μπορεί απλώς να μεταφέρει το άτομο σε μια πιο αδιαφανή μορφή. Το σύστημα χρειάζεται έναν κανόνα για τα παράγωγα: ποια διαγράφονται μαζί με τα δεδομένα προέλευσης, ποια επανυπολογίζονται, ποια δεν μπορούν πλέον να χρησιμοποιηθούν, ποια πρέπει να διατηρηθούν βάσει ξεχωριστής υποχρέωσης και ποιος αποφασίζει.

Δεν υπάρχει ένα καθολικό τεχνικό τεστ που να επιλύει κάθε παράγωγο δεδομένο. Κάποια συγκεντρωτικά στατιστικά στοιχεία μπορεί να είναι ανώνυμα. Κάποια μπορεί να παραμένουν ευάλωτα σε ταυτοποίηση ή διασύνδεση. Ορισμένες παράμετροι μοντέλου μπορεί να μην αποδίδονται εύλογα σε ένα άτομο σε δεδομένο πλαίσιο. Άλλες μπορεί να συνδέονται με δεδομένα εκπαίδευσης, με ένα μοντέλο στενού πεδίου ή με μια επιφάνεια επίθεσης που μεταβάλλει την αξιολόγηση. Η έννοια των ανώνυμων πληροφοριών στον GDPR δεν είναι ένα διακοσμητικό χαρακτηριστικό για δεδομένα που έχουν καταστεί δύσκολο να ερμηνευτούν. Ο υπεύθυνος επεξεργασίας οφείλει να προβεί σε αξιολόγηση που βασίζεται στα μέσα και στο πλαίσιο της ταυτοποίησης.

Αυτή η αβεβαιότητα δεν αποτελεί λόγο να χαρακτηρίζεται κάθε παράγωγο δεδομένο ως μόνιμα επικίνδυνο. Αποτελεί λόγο για τη διατήρηση της προέλευσης των δεδομένων. Μια ομάδα θα πρέπει να γνωρίζει ποιες συλλογές δεδομένων εισόδου χρησιμοποιήθηκαν για ένα feature store, ένα ευρετήριο, μια εκτέλεση εκπαίδευσης ή έναν πίνακα αναφορών· ποιες εκδόσεις ενός παραγώγου παρήχθησαν· ποια συστήματα τα καταναλώνουν· και ποια απόκριση πρέπει να ενεργοποιείται από μια αλλαγή στην πηγή. Η ιχνηλασιμότητα μετατρέπει ένα δύσκολο ερώτημα σε ένα οριοθετημένο τεχνικό έργο. Χωρίς αυτήν, κάθε αίτημα δικαιώματος μετατρέπεται σε αρχαιολογική ανασκαφή μέσα από ονόματα εργασιών, χώρους αποθήκευσης και τις αναμνήσεις κάποιου από μια μετεγκατάσταση πριν από δύο χειμώνες.

Η μηχανική μάθηση προσθέτει ένα δύσκολο ερώτημα, όχι μια μαγική εξαίρεση

Η μηχανική μάθηση καθιστά τη διαγραφή δύσκολη, επειδή η εκπαίδευση δεν είναι μια διαδικασία αρχειοθέτησης. Ένα παράδειγμα εκπαίδευσης μπορεί να επηρεάσει τις παραμέτρους μέσω μιας μακράς ακολουθίας ενημερώσεων, μαζί με πολλά άλλα παραδείγματα. Ένα αναπτυγμένο μοντέλο μπορεί να έχει αντιγραφεί σε πολλά περιβάλλοντα. Ένα μεταγενέστερο μοντέλο μπορεί να έχει υποστεί fine-tuning από ένα προγενέστερο. Μια ομάδα μπορεί να χρησιμοποιεί δεδομένα αξιολόγησης, προτροπές, σώματα κειμένων ανάκτησης και αρχεία καταγραφής ανατροφοδότησης, καθένα από τα οποία ακολουθεί διαφορετικό κύκλο ζωής. Εάν τα δεδομένα ενός ατόμου έχουν εισέλθει σε ένα τέτοιο σύστημα, ένας οργανισμός δεν μπορεί να απαντήσει υπεύθυνα με έναν αναστεναγμό για τα μαθηματικά. Ούτε μπορεί να υποσχεθεί ειλικρινά ότι μια διαγραφή από μία βάση δεδομένων αφαιρεί κάθε πιθανή επιρροή από κάθε παράμετρο.

Το πρώτο βήμα είναι ο διαχωρισμός των συστημάτων. Ένα σώμα κειμένων ανάκτησης δεν είναι ένα εκπαιδευμένο μοντέλο. Εάν ένα έγγραφο χρησιμοποιείται ως πηγή για ανάκτηση, η διαγραφή μπορεί να περιλαμβάνει την αφαίρεση ή την απενεργοποίηση του εγγράφου, των τμημάτων του, των μεταδεδομένων και των εγγραφών ευρετηρίου, και στη συνέχεια τον έλεγχο ότι η ανάκτηση δεν το εντοπίζει πλέον. Ένα αρχείο καταγραφής προτροπών δεν είναι ένας χώρος αποθήκευσης ενσωματώσεων. Ένα σύνολο δεδομένων fine-tuning δεν είναι ένα ίχνος ελέγχου ασφαλείας. Ένα σημείο ελέγχου μοντέλου δεν είναι μια τρέχουσα εγγραφή πηγής. Η σωστή απόκριση μπορεί να διαφέρει για κάθε επιφάνεια, αλλά μια απόκριση δεν μπορεί να σχεδιαστεί έως ότου οι επιφάνειες ονομαστούν.

Για τα δεδομένα εκπαίδευσης, η νόμιμη και τεχνική ανάλυση μπορεί να απαιτεί απόφαση σχετικά με το εάν η επανεκπαίδευση, η αντικατάσταση, ο περιορισμός, η διατήρηση ή άλλο μέτρο είναι κατάλληλο. Η έρευνα για τη μηχανική απομάθηση είναι σχετική, διότι διερευνά μεθόδους για τη μείωση της επιρροής συγκεκριμένων δεδομένων χωρίς επανεκπαίδευση ενός μοντέλου από την αρχή. Δεν αποτελεί γενικό πιστοποιητικό ότι ένα σύστημα έχει ξεχάσει. Οι μέθοδοι έχουν παραδοχές, κατηγορίες μοντέλων, συνθήκες δεδομένων και όρια επαλήθευσης. Ένας οργανισμός δεν θα πρέπει να προωθεί μια πειραματική τεχνική ως καθολική εφαρμογή του Άρθρου 17. Ούτε θα πρέπει να περιμένει μια τέλεια τεχνική προτού σχεδιάσει καλύτερους ελέγχους δεδομένων.

Οι καλύτεροι έλεγχοι ξεκινούν ανάντη. Ελαχιστοποιήστε τα δεδομένα που συλλέγονται. Διαχωρίστε τα προσωπικά δεδομένα από το υλικό εκπαίδευσης όπου ο επιδιωκόμενος σκοπός το επιτρέπει. Ορίστε μια περίοδο διατήρησης προτού η συσσώρευση καταστήσει το ζήτημα συναισθηματικά δαπανηρό. Διατηρήστε εκδόσεις αρχείων των συνόλων δεδομένων και των εκτελέσεων εκπαίδευσης. Καταστήστε ρητές τις προϋποθέσεις συναίνεσης ή άλλες νόμιμες προϋποθέσεις όπου αποτελούν τη σχετική βάση. Αποφύγετε να επιτρέψετε σε ένα αρχείο παραγωγής προτροπών να μετατραπεί σιωπηλά σε σώμα κειμένων ανάπτυξης μοντέλων. Διατηρήστε το υλικό αξιολόγησης και υποστήριξης διακριτό από τα δεδομένα εκπαίδευσης. Όσο λιγότερο βασίζεται ένα σύστημα σε άγνωστη προέλευση, τόσο πιο συγκεκριμένα μπορεί να απαντήσει σε ένα ερώτημα διαγραφής.

Υπάρχει επίσης ένα όριο στη λέξη «επιρροή». Ένα άτομο μπορεί να ανησυχεί ότι ένα κείμενο ήταν κάποτε μέρος ενός συνόλου εκπαίδευσης. Μια τεχνική ομάδα μπορεί να είναι σε θέση να διαπιστώσει ότι η εγγραφή πηγής αφαιρέθηκε από ένα τρέχον σώμα κειμένων, αλλά όχι να αποδείξει, με μια ευρεία φιλοσοφική έννοια, ότι κανένα ίχνος επιρροής δεν παραμένει σε καμία παράμετρο ενός ιστορικού μοντέλου. Το δίκαιο προστασίας προσωπικών δεδομένων δεν γίνεται ευκολότερο όταν ένας οργανισμός αντικαθιστά μια συγκεκριμένη περιγραφή με μεταφυσική. Η υποχρέωση είναι να αξιολογηθεί η επεξεργασία, οι νόμιμες βάσεις και τα μέτρα σύμφωνα με τον νόμο. Ο οργανισμός θα πρέπει να εξηγεί το εύρος του συμπεράσματός του, τα συστήματα που καλύπτει και τον εναπομένοντα περιορισμό. Η ακρίβεια είναι πιο ευγενική από μια υπερβολική υπόσχεση.

Για τους παρόχους συστημάτων τεχνητής νοημοσύνης, το πρακτικό βάρος συχνά ανήκει τόσο στην προμήθεια όσο και στη μηχανική. Ένας προμηθευτής θα πρέπει να μπορεί να εξηγεί τι κάνει με τα ερωτήματα, τα μεταφορτωμένα αρχεία, τα δεδομένα τηλεμετρίας και την προαιρετική ανατροφοδότηση· ποια από αυτά χρησιμοποιούνται για εκπαίδευση ή βελτίωση υπηρεσιών· ποιοι έλεγχοι διατήρησης υπάρχουν· πώς μπορεί ένας πελάτης να λάβει πληροφορίες που χρειάζονται για να ανταποκριθεί σε αιτήματα δικαιωμάτων· και τι συμβαίνει σε ένα κοινόχρηστο σε αντίθεση με ένα αποκλειστικό περιβάλλον. Μια σύμβαση που απλώς αναφέρει «συμμόρφωση με τον GDPR» δεν έχει παράσχει τις πληροφορίες που απαιτούνται για τη λειτουργία μιας διαδικασίας διαγραφής. Έχει παράσχει ένα επίθετο.

Οι μηχανές αναζήτησης διδάσκουν ένα χρήσιμο μάθημα για τα επίπεδα

Η νομολογία του Δικαστηρίου σχετικά με την αποσύνδεση αποτελεσμάτων είναι χρήσιμη εδώ ακριβώς επειδή είναι στενότερη από τη δημοφιλή φράση «δικαίωμα στη λήθη». Οι υποθέσεις αφορούν το αν και υπό ποιες προϋποθέσεις μια μηχανή αναζήτησης πρέπει να αφαιρεί συνδέσμους από αποτελέσματα που βασίζονται σε ονόματα. Δεν δημιουργούν μια απλή εξουσία να αλλάζει κανείς την ιστορία στην πηγή της. Αυτή η διάκριση δείχνει ότι τα ζητήματα ιδιωτικότητας αφορούν συχνά το πώς οι πληροφορίες καθίστανται διαθέσιμες, συνδέονται και ενισχύονται, και όχι μόνο το αν υπήρξε κάποτε μια εγγραφή.

Στην υπόθεση Google Spain, το Δικαστήριο εξέτασε συνδέσμους στη λίστα αποτελεσμάτων μιας μηχανής αναζήτησης που οδηγούσαν σε σελίδες που δημοσιεύθηκαν από τρίτο μέρος. Η απόφαση κατέστησε σαφές ότι η δραστηριότητα μιας μηχανής αναζήτησης μπορεί να συνιστά επεξεργασία προσωπικών δεδομένων και ότι, υπό συγκεκριμένες προϋποθέσεις, ο φορέας εκμετάλλευσης μπορεί να υποχρεούται να αφαιρεί συνδέσμους από αποτελέσματα που εμφανίζονται μετά από αναζήτηση με το όνομα ενός ατόμου. Η απόφαση δεν ήταν εντολή προς την εφημερίδα που δημοσίευσε τις αρχικές ανακοινώσεις. Ο ιδιοκτήτης ενός συστήματος που εξετάζει μια εσωτερική βάση γνώσεων μπορεί να διδαχθεί από αυτό: τα ευρετήρια αναζήτησης, οι προεπισκοπήσεις και η κατάταξη αποτελεσμάτων είναι επίπεδα επεξεργασίας με τις δικές τους συνέπειες.

Η υπόθεση GC και λοιποί εξέτασε αιτήματα για αφαίρεση συνδέσμων προς ιστοσελίδες που περιείχαν ευαίσθητα προσωπικά δεδομένα. Το Δικαστήριο εξέτασε τη στάθμιση που απαιτείται και τα καθήκοντα που μπορούν να προκύψουν για τον φορέα εκμετάλλευσης μιας μηχανής αναζήτησης. Η υπόθεση Google κατά CNIL εξέτασε το εδαφικό πεδίο εφαρμογής και έκρινε, υπό τις περιστάσεις εκείνης της υπόθεσης, ότι το δίκαιο της ΕΕ δεν απαιτούσε αποσύνδεση σε όλες τις εκδόσεις μιας μηχανής αναζήτησης παγκοσμίως, ενώ απαιτούσε αποτελεσματικά μέτρα για την πρόληψη ή τη σοβαρή αποθάρρυνση της πρόσβασης από τα κράτη μέλη σε συνδέσμους που έχουν αφαιρεθεί από τις εκδόσεις της ΕΕ. Η υπόθεση TU και RE αφορούσε αίτημα σχετικά με φερόμενες ως ανακριβείς πληροφορίες και αποσαφήνισε στοιχεία του βάρους απόδειξης και τον χειρισμό των εικόνων προεπισκόπησης. Αυτές οι αποφάσεις είναι νομικές αποφάσεις που εξαρτώνται από τα πραγματικά περιστατικά, όχι μια λίστα ελέγχου για ανάπτυξη συστημάτων. Μαζί διατυπώνουν ένα επιχείρημα για τα συστήματα: ο σύνδεσμος, η λίστα αποτελεσμάτων, η προεπισκόπηση εικόνας και η αρχική σελίδα δεν έχουν αυτομάτως το ίδιο ένδικο μέσο.

Αυτό το επιχείρημα μεταφέρεται καλά. Μια εταιρική πύλη μπορεί να διατηρεί νόμιμα μια εγγραφή πηγής για περιορισμένο σκοπό, ενώ η πρόσβαση μέσω μιας ευρείας επιφάνειας αναζήτησης είναι υπερβολική. Ένα σύστημα τεχνικής υποστήριξης μπορεί να χρειάζεται μια προστατευμένη καταχώριση ελέγχου, ενώ η αυτόματη συμπλήρωση προεπισκόπησης δεν θα πρέπει να αποκαλύπτει τα στοιχεία ενός πρώην πελάτη σε μεγάλη ομάδα. Ένα έγγραφο μπορεί να αφαιρεθεί από ένα σώμα κειμένων ανάκτησης, ενώ μια περίληψη που δημιουργήθηκε από μοντέλο παραμένει σε διαφορετικό χώρο αποθήκευσης. Η σωστή απάντηση δεν είναι να κηρύξει κανείς κάθε επίπεδο ταυτόσημο. Είναι να κατανοήσει πώς το επίπεδο αλλάζει την έκθεση, τον σκοπό και τον κίνδυνο.

Προειδοποιεί επίσης για μια δημοφιλή συντόμευση: την υπόθεση ότι η ορατότητα είναι το μόνο ζήτημα ιδιωτικότητας. Μια εγγραφή μπορεί να είναι τεχνικά κρυφή και παρόλα αυτά να υποβάλλεται σε επεξεργασία, αναζήτηση, δημιουργία προφίλ, μεταφορά ή επαναφορά. Αντιστρόφως, ένας οργανισμός μπορεί να χρειάζεται μια προσεκτικά περιορισμένη εγγραφή για να αποδείξει ότι ανταποκρίθηκε σωστά, να προστατεύσει μια νομική αξίωση ή να εκπληρώσει μια νόμιμη υποχρέωση. Η ιδιωτικότητα δεν είναι ένας διαγωνισμός για την παραγωγή των λιγότερων δεδομένων σε κάθε πιθανή περίσταση. Είναι μια πειθαρχία σκοπού, αναγκαιότητας, αναλογικότητας και ελέγχου.

Γι' αυτό ένα αρχείο διαγραφής θα πρέπει να περιλαμβάνει τις διαδρομές ανάκτησης και παρουσίασης. Ρωτήστε ποια ευρετήρια περιέχουν την εγγραφή, ποιες κρυφές μνήμες την εξυπηρετούν, ποιες εξαγωγές την περιλαμβάνουν, ποια API την επιστρέφουν, ποια παράγωγα πεδία χρησιμοποιούνται για κατάταξη ή σύσταση και ποιες διαδρομές επαναφοράς από αντίγραφα ασφαλείας θα μπορούσαν να την επαναφέρουν σε χρήση. Η λίστα δεν θα είναι κομψή. Θα είναι πιο χρήσιμη από την κομψότητα.

Η επίδειξη διαφέρει από τον ισχυρισμό

Όταν ένα σύστημα ισχυρίζεται ότι μπορεί να διαγράψει δεδομένα, υπάρχουν δύο ξεχωριστά ερωτήματα. Το πρώτο είναι αν ο σχεδιασμός έχει μια νόμιμη, τεκμηριωμένη διαδρομή για να το πράξει. Το δεύτερο είναι αν ένας οργανισμός μπορεί να αποδείξει ότι η διαδρομή ακολουθήθηκε για ένα συγκεκριμένο αίτημα χωρίς να διατηρηθεί περισσότερο προσωπικό υλικό από όσο απαιτεί η επίδειξη. Το πρώτο είναι μια δυνατότητα προϊόντος. Το δεύτερο είναι λογοδοσία.

Ένα χρήσιμο αρχείο διαγραφής είναι σκόπιμα μετρημένο. Δεν χρειάζεται να αναπαράγει ολόκληρο το αίτημα, τα έγγραφα ή το ιστορικό λογαριασμού ενός ατόμου σε μια νέα βάση δεδομένων συμμόρφωσης. Μπορεί να καταγράφει έναν αριθμό αναφοράς αιτήματος, το αποτέλεσμα επαλήθευσης ταυτότητας όπου ενδείκνυται, την κατηγορία αιτήματος, τα εφαρμοστέα συστήματα, την απόφαση και το νομικό σκεπτικό σε κατάλληλο επίπεδο, τις ημερομηνίες ενεργειών, τις εξαιρέσεις ή τους λόγους διατήρησης, τις κοινοποιήσεις προς τους αποδέκτες όπου απαιτείται και την κατάσταση της ασύγχρονης διαγραφής ή της λήξης των αντιγράφων ασφαλείας. Τα ακριβή πεδία εξαρτώνται από τον υπεύθυνο επεξεργασίας και το πλαίσιο. Αυτό που έχει σημασία είναι ότι ένας μεταγενέστερος αναθεωρητής μπορεί να δει τη διαδρομή χωρίς να ανασυνθέσει το ευαίσθητο περιεχόμενο από αποσπάσματα.

Η επαλήθευση θα πρέπει να αντιστοιχεί στην επιφάνεια δεδομένων. Μια εγγραφή σε ζωντανή εφαρμογή μπορεί να ελεγχθεί επιβεβαιώνοντας ότι μια εξουσιοδοτημένη αναζήτηση δεν την επιστρέφει πλέον. Ένα σύστημα ανάκτησης μπορεί να δοκιμαστεί με το αρχικό αναγνωριστικό και τα σχετικά μοτίβα αναζήτησης, αποφεύγοντας παράλληλα ευρείες προσπάθειες αναδημιουργίας προσωπικού περιεχομένου. Ένα ευρετήριο μπορεί να αναφέρει την κατάσταση διαγραφής του. Μια ουρά μπορεί να δείξει ολοκλήρωση. Μια διαδικασία αντιγράφων ασφαλείας μπορεί να δείξει ότι μια εικόνα ανάκτησης προστατεύεται βάσει του κανόνα διατήρησής της και ότι η επαναφορά εφαρμόζει ένα τρέχον αρχείο διαγραφής ή ισοδύναμο έλεγχο. Η επαλήθευση δεν χρειάζεται να αποδείξει ένα μεταφυσικό αρνητικό. Χρειάζεται να παρέχει αποδεικτικά στοιχεία ανάλογα με τον ισχυρισμό που διατυπώνεται.

Υπάρχει μια διακριτική παγίδα εδώ. Μια ομάδα μπορεί να δημιουργήσει ένα εντυπωσιακό πίνακα ελέγχου με όλα τα πράσινα φωτάκια αναμμένα και καμία σταθερή σχέση με την πραγματική εργασία. Ένας ουσιαστικός πίνακας ελέγχου κατονομάζει την επιφάνεια δεδομένων, την ενέργεια, την κατάσταση, τον υπεύθυνο, τα αποδεικτικά στοιχεία και την επόμενη αναθεώρηση. Καθιστά δυνατή τη διάκριση μεταξύ «αίτημα αποδεκτό», «ζωντανή εγγραφή διαγράφηκε», «εκκρεμεί κοινοποίηση προς τον αποδέκτη», «αντίγραφο ασφαλείας αναμένει λήξη» και «διατηρείται βάσει νομικής υποχρέωσης». Αυτές οι καταστάσεις έχουν διαφορετικές σημασίες. Η συγχώνευσή τους σε «διαγράφηκε» μετατρέπει την αβεβαιότητα σε σχεδιασμό διεπαφής χρήστη.

Η αποδείξιμη διαγραφή εξαρτάται επίσης από τη διαχείριση αλλαγών. Ένα σύστημα προέλευσης μπορεί να αντικατασταθεί, να προστεθεί ένας επεξεργαστής, να αλλάξει η μορφή ενός ευρετηρίου, να εισαχθεί ένας νέος προορισμός αναλυτικής ή να αναθεωρηθεί η πολιτική διατήρησης ενός προμηθευτή τεχνητής νοημοσύνης. Εάν η διαδικασία διαγραφής δεν ενημερώνεται με αυτές τις αλλαγές, σταδιακά περιγράφει ένα σύστημα που δεν υπάρχει πλέον. Το αποτέλεσμα είναι γνωστό από κάθε επιχειρησιακή πειθαρχία: ένα όμορφο εγχειρίδιο διαδικασιών και μια πραγματική υπηρεσία να κινούνται σε αντίθετες κατευθύνσεις. Η τακτική δοκιμή ενός μικρού δείγματος της διαδρομής, συμπεριλαμβανομένου του δύσκολου συστήματος, είναι συνήθως πιο αποκαλυπτική από την ανάθεση ενός μεγάλου εγγράφου διασφάλισης που κανείς δεν μπορεί να εκτελέσει.

Για μια δημόσια αρχή ή μια επιχείρηση που υπόκειται σε ρυθμίσεις, αυτό δεν είναι ένα στενό ζήτημα του γραφείου προστασίας δεδομένων. Ο υπεύθυνος προστασίας δεδομένων μπορεί να καθοδηγήσει την ερμηνεία, αλλά το μηχανικό τμήμα κατέχει τις διεπαφές και τους μηχανισμούς διαγραφής, το τμήμα προϊόντος κατέχει τον σκοπό και τη διαδρομή του χρήστη, το τμήμα προμηθειών κατέχει τις υποχρεώσεις ενημέρωσης που επιβάλλονται στους προμηθευτές, το τμήμα ασφάλειας κατέχει τους ελέγχους πρόσβασης και αποκατάστασης και το επιχειρησιακό τμήμα κατέχει την εκτέλεση υπό πίεση. Ένας μόνος ιδιοκτήτης δεν μπορεί να επιθεωρήσει κάθε επίπεδο μόνος του. Ένα επίπεδο χωρίς ιδιοκτήτη δεν γίνεται ασφαλές επειδή είναι δύσκολο να συζητηθεί.

Μια υπερασπίσιμη διαδικασία καταγράφει την απόφαση και την εκτέλεσή της χωρίς να δημιουργεί μια δεύτερη, περιττή βιογραφία του ατόμου.

Η διατήρηση είναι το άλλο μισό της διαγραφής

Πολλά προβλήματα διαγραφής ξεκινούν πολύ πριν από ένα αίτημα. Ξεκινούν όταν ένα σύστημα δεν έχει καμία απόφαση διατήρησης. Τα δεδομένα φτάνουν επειδή μπορεί να αποδειχθούν χρήσιμα. Τα αρχεία καταγραφής γίνονται μόνιμα επειδή ο αποθηκευτικός χώρος είναι φθηνός. Τα εξαγόμενα δεδομένα διατηρούνται επειδή ένας μελλοντικός έλεγχος μπορεί να τα ζητήσει. Τα δεδομένα εκπαίδευσης συσσωρεύονται επειδή ένα μεταγενέστερο μοντέλο μπορεί να ωφεληθεί. Κάθε απόφαση φαίνεται ακίνδυνη μεμονωμένα. Μαζί μετατρέπουν έναν οργανισμό σε ιδιοκτήτη ενός μεγάλου, ελάχιστα κατανοητού αρχείου και καθιστούν κάθε αίτημα διαγραφής πιο δαπανηρό, πιο αβέβαιο και πιο αμφιλεγόμενο.

Η αρχή του περιορισμού της αποθήκευσης στον GDPR ορίζει ότι τα προσωπικά δεδομένα πρέπει να διατηρούνται σε μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων για όχι μεγαλύτερο διάστημα από όσο απαιτείται για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, με την επιφύλαξη μεγαλύτερης αποθήκευσης για αρχειοθέτηση προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, εφόσον ισχύουν κατάλληλες εγγυήσεις. Η αρχή δεν ορίζει ένα ενιαίο χρονοδιάγραμμα για κάθε οργανισμό. Απαιτεί μια κρίση συνδεδεμένη με τον σκοπό. Ένα πρόγραμμα διατήρησης θα πρέπει επομένως να αναφέρει κατηγορίες δεδομένων, σκοπό, νομική βάση, συνήθη περίοδο, γεγονός ενεργοποίησης, εξαίρεση, ενέργεια διάθεσης, ιδιοκτήτη και σημείο επανεξέτασης. Το «όσο χρειαστεί» είναι μια αρχή. Γίνεται επιχειρησιακός κανόνας μόνο όταν κάποιος μπορεί να πει για τι χρειάζεται, μέχρι πότε και από ποιον αποφασίστηκε.

Αυτή η δομή είναι χρήσιμη για την τεχνητή νοημοσύνη επειδή αποτρέπει μια γενική ετικέτα, όπως τα δεδομένα εκπαίδευσης, από το να κρύβει πολλά διαφορετικά πράγματα. Μια ακατέργαστη συνεισφορά, ένα καθαρισμένο σύνολο δεδομένων, ένα σύνολο χαρακτηριστικών, μια έκδοση μοντέλου, ένα ιστορικό προτροπών, ένα σύνολο αξιολόγησης και ένα αρχείο καταγραφής παρακολούθησης μπορεί το καθένα να έχει διαφορετικούς σκοπούς και διαφορετικές εκτιμήσεις διατήρησης. Ο συνδυασμός τους σε ένα ενιαίο αόριστο σύνολο καθιστά χειρότερα τόσο την καινοτομία όσο και τη λογοδοσία. Ο διαχωρισμός τους δεν εγγυάται μια νομική απάντηση, αλλά την καθιστά δυνατή.

Οι αποφάσεις διατήρησης επωφελούνται επίσης από μια συνθήκη άρνησης. Τι θα μας έκανε να σταματήσουμε να διατηρούμε αυτό; Μια ολοκληρωμένη σύμβαση, μια επιλυθείσα διαφορά, το τέλος μιας νόμιμης περιόδου, μια ολοκληρωμένη έρευνα ασφάλειας, μια αντικατασταθείσα έκδοση μοντέλου, η λήξη ενός παραθύρου αποκατάστασης ή μια απόφαση να μην επιδιωχθεί ένας ερευνητικός σκοπός μπορούν όλα να αποτελέσουν πραγματικά γεγονότα ενεργοποίησης. Το ζητούμενο δεν είναι να αυτοματοποιηθεί ένα ρολόι διαγραφής για τα πάντα. Είναι να αποφευχθεί ένα σύστημα στο οποίο η μόνη προϋπόθεση για τη διατήρηση δεδομένων είναι ότι κανείς δεν έχει ακόμη κληθεί να τα εξηγήσει.

Υπάρχει ένα μικρό ολλανδικό ένστικτο που αξίζει να διατηρηθεί εδώ: μια ντουλάπα δεν είναι τακτοποιημένη επειδή έχει πόρτα. Είναι τακτοποιημένη επειδή μπορείς να βρεις το σχετικό αντικείμενο, να ξέρεις γιατί βρίσκεται εκεί και να το αφαιρέσεις χωρίς να μετακομίσεις. Μια περιουσία δεδομένων αξίζει τουλάχιστον αυτό το πρότυπο. Ένα πρόγραμμα διατήρησης που δεν αντέχει σε μια συζήτηση με τους ανθρώπους που λειτουργούν το σύστημα δεν είναι πρόγραμμα. Είναι μια πρόγνωση καιρού γραμμένη σε νομική γλώσσα.

Αυτό δεν σημαίνει ότι κάθε οργανισμός πρέπει να συγκεντρώνει κάθε απόφαση διαγραφής. Οι τοπικές ομάδες συχνά κατανοούν καλύτερα τις διαδικασίες τους. Σημαίνει ότι οι τοπικοί κανόνες χρειάζονται κοινές έννοιες, εμφανή ιδιοκτησία και μια οδό κλιμάκωσης. Διαφορετικά, το αρχείο της μιας ομάδας είναι η παραβίαση της άλλης, και το αίτημα ενός ατόμου διοχετεύεται μέσα από έναν λαβύρινθο υπηρεσιών με ευγενικά ονόματα.

Τι μπορεί να πει ένας ειλικρινής προμηθευτής τεχνητής νοημοσύνης

Ένας ειλικρινής προμηθευτής τεχνητής νοημοσύνης δεν ισχυρίζεται ότι όλα τα δεδομένα πελατών εξαφανίζονται όταν φτάνει ένα αίτημα. Ούτε κρύβεται πίσω από τη δυσκολία των μοντέλων. Περιγράφει τα όρια της υπηρεσίας. Τι υποβάλλεται σε επεξεργασία για εξαγωγή συμπερασμάτων. Τι διατηρείται για τη διαχείριση λογαριασμού, την ασφάλεια, την υποστήριξη, την τιμολόγηση ή την πρόληψη κατάχρησης. Αν αποθηκεύονται τα ερωτήματα και οι απαντήσεις. Αν χρησιμοποιούνται για εκπαίδευση, αξιολόγηση ή βελτίωση της υπηρεσίας. Ποιοι επεξεργαστές και ποιες περιοχές εμπλέκονται. Πώς μπορούν οι πελάτες να διαμορφώσουν τη διατήρηση. Τι τεκμηρίωση υπάρχει για αιτήματα υποκειμένων δεδομένων. Ποιες ενέργειες είναι άμεσες, ποιες ασύγχρονες και ποιες εξαρτώνται από ξεχωριστή νομική αξιολόγηση.

Για τους αγοραστές, τα ερωτήματα προμηθειών είναι πρακτικά. Μπορούμε να αποκτήσουμε έναν σαφή χάρτη ροής δεδομένων; Μπορούμε να προσδιορίσουμε τους ρόλους του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία για τη σχετική επεξεργασία; Μπορούμε να εξάγουμε ή να διαγράψουμε υλικό με χρησιμοποιήσιμο τρόπο; Περιλαμβάνονται οι ευρετηριασμένοι χώροι ανάκτησης και τα παράγωγα αποθηκευτικά μέσα στον τεκμηριωμένο κύκλο ζωής; Τι συμβαίνει με τα αντίγραφα ασφαλείας; Πώς κοινοποιούνται οι αλλαγές στους υποεπεξεργαστές; Μπορεί ο πάροχος να μας βοηθήσει να ανταποκριθούμε σε ένα αίτημα εντός του ισχύοντος χρονοδιαγράμματος; Είναι οι χρήσεις για εκπαίδευση και βελτίωση υπηρεσιών προαιρετικές, εξαιρούμενες, συμβατικά αποκλεισμένες ή περιγράφονται μόνο σε μια σελίδα που μπορεί να αλλάξει μετά την αγορά; Ποια τεχνικά αρχεία είναι διαθέσιμα για να αποδείξουν την ενέργεια;

Οι απαντήσεις θα διαφέρουν. Μια μεγάλη κοινόχρηστη υπηρεσία δεν μπορεί πάντα να προσφέρει τον ίδιο έλεγχο με ένα αποκλειστικό περιβάλλον. Ένα αρχείο καταγραφής ασφαλείας δεν μπορεί πάντα να διαγραφεί την ίδια στιγμή με ένα προφίλ λογαριασμού. Ένα θεσμοθετημένο αρχείο δεν μπορεί να αντιμετωπιστεί όπως μια προτίμηση καταναλωτή. Αυτές οι διαφορές δεν αποτελούν απαραίτητα αποτυχίες. Η σιωπή γι' αυτές αποτελεί. Η σωστή αντίδραση του αγοραστή είναι να αντιστοιχίσει την τεκμηριωμένη συμπεριφορά της υπηρεσίας με τον σκοπό, τις υποχρεώσεις και τον κίνδυνο του οργανισμού. Ένα προϊόν μπορεί να είναι ακατάλληλο για μια ιδιαίτερα ευαίσθητη εργασία, ακόμη και όταν είναι απολύτως κατάλληλο για ένα εργαλείο σύνταξης χαμηλού κινδύνου.

Στην Dweve, το Trust Centre μας υιοθετεί την ίδια στενή άποψη για τα αποδεικτικά στοιχεία. Μια δημόσια σελίδα μπορεί να περιγράφει τους ελέγχους και τα όρια τεκμηρίωσης, αλλά δεν μπορεί να πιστοποιήσει κάθε ανάπτυξη πελάτη ούτε να αποφασίσει τη νόμιμη βάση για την επεξεργασία ενός πελάτη. Αυτό το όριο έχει σημασία. Μια πλατφόρμα μπορεί να υποστηρίξει ελέγχους διατήρησης, αρχεία και ροές εργασίας που υπόκεινται σε έλεγχο. Ο οργανισμός που τη χρησιμοποιεί εξακολουθεί να κατέχει τον σκοπό του, τις επιλογές δεδομένων του και την απόφαση να ανταποκριθεί σε ένα συγκεκριμένο άτομο. Ένα καλό κείμενο προϊόντος θα πρέπει να καθιστά αυτή την ευθύνη πιο σαφή, όχι να την αναλαμβάνει σιωπηρά.

Η πιο πολύτιμη δήλωση ενός προμηθευτή είναι συχνά ένας περιορισμός. «Αυτό το αρχείο θα παραμείνει σε προστατευμένα αντίγραφα ασφαλείας έως ότου λήξει η αναφερόμενη περίοδος εναλλαγής.» «Αυτή η υπηρεσία δεν χρησιμοποιεί το καθορισμένο περιεχόμενο πελάτη για εκπαίδευση υπό αυτούς τους όρους.» «Αυτό το ευρετήριο αφαιρείται ασύγχρονα και η κατάσταση μπορεί να ελεγχθεί εδώ.» «Δεν μπορούμε να κάνουμε αυτόν τον ισχυρισμό για μια ενσωμάτωση τρίτου μέρους.» Αυτές οι προτάσεις μπορεί να φαίνονται λιγότερο μαγικές από μια καθολική υπόσχεση απορρήτου. Επιτρέπουν στον αγοραστή να σχεδιάσει μια πραγματική διαδικασία.

Ερωτήσεις που αξίζει να τεθούν πριν φτάσει το αίτημα

Ένας οργανισμός δεν χρειάζεται να επινοήσει μια παραβίαση, ένα άτομο σε δυσχερή θέση ή ένα ηρωικό περιστατικό αργά τη νύχτα για να δοκιμάσει τον σχεδιασμό διαγραφής του. Μπορεί να χρησιμοποιήσει ένα σαφώς επισημασμένο υποθετικό αίτημα κατά τις συνήθεις ώρες εργασίας. Ας υποθέσουμε ότι ένα άτομο ζητά τη διαγραφή υλικού που τηρείται σε ένα σύστημα που εξυπηρετεί πελάτες. Ποια ομάδα λαμβάνει το αίτημα; Πώς επαληθεύεται η ταυτότητα χωρίς να συλλέγονται υπερβολικά νέα δεδομένα; Ποιοι σκοποί είναι σχετικοί; Ποια συστήματα περιέχουν δεδομένα προέλευσης, παράγωγα, ευρετήρια, αρχεία καταγραφής, προσωρινές αποθηκεύσεις, εξαγωγές και αντίγραφα ανάκτησης; Ποιοι επεξεργαστές χρειάζονται οδηγία ή ειδοποίηση; Ποια εξαίρεση ή υποχρέωση διατήρησης, εάν υπάρχει, ισχύει; Ποιος μπορεί να αποφασίσει; Ποιος μπορεί να εκτελέσει; Πώς θα εξηγήσει ο οργανισμός το αποτέλεσμα;

Στη συνέχεια, θέστε τα δύσκολα τεχνικά ερωτήματα. Μπορεί ένας χειριστής να βρει το τρέχον απόθεμα δεδομένων χωρίς έναν πρώην μηχανικό; Μπορεί ένα ευρετήριο αναζήτησης να ελεγχθεί ανεξάρτητα από τον πίνακα προέλευσης; Επανεμφανίζεται ένα διαγραμμένο αναγνωριστικό μετά από μια επαναφορά; Χρησιμοποιούν οι μαζικές εργασίες παλιά στιγμιότυπα; Μπορεί ένας χώρος αποθήκευσης ενσωματώσεων να συνδεθεί με τα έγγραφα και τον μισθωτή του; Καταγράφει ένας αγωγός παρακολούθησης τα περιεχόμενα προτροπών από προεπιλογή; Διέπονται τα αρχεία εξαγωγής από τους ίδιους κανόνες διατήρησης με την πηγή τους; Δημιουργεί το αρχείο αποδεικτικών στοιχείων ένα νέο σωρό ευαίσθητου περιεχομένου; Αυτά δεν είναι ακραίες περιπτώσεις που προστέθηκαν για να φαίνεται σοβαρή μια πολιτική. Είναι συνηθισμένες συνέπειες συστημάτων που δημιουργούν αντίγραφα για να λειτουργούν.

Τέλος, θέστε το ερώτημα διακυβέρνησης: τι θα έκανε τον οργανισμό να αλλάξει την απάντησή του; Μια νέα νομική υποχρέωση, μια αμφισβητούμενη ταυτότητα, μια εκκρεμής νομική αξίωση, μια αλλαγμένη συμφωνία με προμηθευτή, μια αποτυχημένη επαλήθευση διαγραφής, ένα επαναφερμένο αντίγραφο ασφαλείας, ένας νέος αγωγός μοντέλου ή μια απόφαση ρυθμιστικής αρχής μπορεί να έχουν σημασία. Μια διαδικασία χωρίς ερέθισμα επανεξέτασης είναι απλώς μια αρχική εικασία που προήχθη σε πολιτική.

Τίποτα από αυτά δεν υποκαθιστά τις νομικές συμβουλές σε μια συγκεκριμένη περίπτωση. Οι απαιτήσεις του GDPR, το εθνικό δίκαιο, οι τομεακές υποχρεώσεις, οι συμβάσεις και τα πραγματικά περιστατικά της επεξεργασίας έχουν όλα σημασία. Αλλά οι οργανισμοί δεν χρειάζονται μια νομική διαφορά για να αρχίσουν να διαμορφώνουν τις συνθήκες για μια κατανοητή απάντηση. Χρειάζεται να γνωρίζουν τα συστήματά τους αρκετά καλά ώστε να σταματήσουν να προσφέρουν μια απλή υπόσχεση για μια περίπλοκη πραγματικότητα.

Η ιδιωτικότητα είναι η ποιότητα του υπολείμματος

Η φιλοδοξία πίσω από τη διαγραφή δεν είναι να γίνει το παρελθόν μη πραγματικό. Είναι να δοθεί στους ανθρώπους ουσιαστικός έλεγχος όπου τα δεδομένα δεν χρειάζεται πλέον να υποβάλλονται σε επεξεργασία, όπου έχει ανακληθεί η συγκατάθεση, όπου η επεξεργασία είναι παράνομη ή όπου ισχύει άλλος λόγος του Άρθρου 17. Ζητά από τους υπευθύνους επεξεργασίας να αντιμετωπίζουν τα προσωπικά δεδομένα ως κάτι που τηρείται για έναν σκοπό, όχι ως πρώτη ύλη με αόριστη παραμονή. Τους ζητά να εξηγούν τις εξαιρέσεις αντί να τις χρησιμοποιούν ως μηχανή ομίχλης. Ζητά από τα συστήματα να φέρουν αρκετή ιχνηλασιμότητα ώστε η λήθη να μπορεί να είναι σκόπιμη.

Για τις ψηφιακές υπηρεσίες, η ήσυχη δοκιμή είναι τι απομένει. Αφού αφαιρεθεί μια εγγραφή από μια οθόνη προϊόντος, τι παραμένει ενεργό; Αφού ένα έγγραφο φύγει από ένα σώμα ανάκτησης, ποια παράγωγη αναπαράσταση εξακολουθεί να το επιλέγει; Αφού διαγραφεί ένας λογαριασμός, ποιο αρχείο καταγραφής διατηρείται, για ποιον σκοπό και για πόσο διάστημα; Αφού επαναφερθεί ένα αντίγραφο ασφαλείας, τι εμποδίζει μια αποσυρμένη εγγραφή να επιστρέψει; Αφού αλλάξει ένα μοντέλο, ποιο ιστορικό δεδομένων μπορεί να επιθεωρηθεί; Αφού κλείσει ένα αίτημα, μπορεί ο οργανισμός να δείξει τη δουλειά του χωρίς να δημιουργήσει άλλο κρυφό προφίλ;

Ένα σύστημα σπάνια θα απαντήσει σε όλα αυτά τα ερωτήματα με μία ενέργεια και μία χρονική σήμανση. Αυτό είναι φυσιολογικό. Αυτό που δεν είναι φυσιολογικό είναι να προσποιείται κανείς ότι τα ερωτήματα εξαφανίζονται επειδή τα δεδομένα είναι δύσκολα, κατανεμημένα ή επικερδή. Η ιδιωτικότητα δεν είναι η στιγμή που μια υπηρεσία μαθαίνει μια εντολή διαγραφής. Είναι αυτό που απομένει αφού το σύστημα μάθει να ξεχνά με σκοπό, όριο και αρχείο της δικής του συγκράτησης.

Πηγές