Privatnost je ono što ostane nakon što sustav nauči zaboraviti

Pravo na brisanje nije gumb označen s "delete". U modernim sustavima to je disciplinirano pitanje o kopijama, izvedenim podacima, dokazima, iznimkama i može...

Privatnost je ono što ostane nakon što sustav nauči zaboraviti

Zaboravljanje nije suprotnost pamćenju

Papirnati spis ima umirujuće vidljiv život. Stigne, negdje se odloži, preslika ga netko tko ima kopirni uređaj i na kraju završi u sjeckalici ili arhivu. Težak dio može biti odluka treba li ga uništiti, ali sam predmet je poslušno konačan. Digitalni zapis manje je uljudan. Može biti pohranjen kao redak, privitak, indeks pretraživanja, pregled poruke, blok sigurnosne kopije, unos u revizijskom zapisu, značajka u ulaznim podacima modela, vektor u spremištu ugradnji, predmemorirani odgovor ili vrijednost koja je otputovala u sustav druge organizacije. Nije dovoljno pitati gdje živi izvornik. Korisnije je pitanje što je od njega napravljeno, što još uvijek omogućuje identifikaciju osobe i kojoj svrsi služi svaki preostali trag.

To je praktično dostojanstvo prava na brisanje. Često se naziva pravom na zaborav, što je slikovit, ali nesavršen izraz. Ljudsko zaboravljanje je slučajno, djelomično i puno neugodnih povrataka. Zakonit postupak brisanja trebao bi biti promišljen. Trebao bi moći razlikovati zapis koji se mora ukloniti od zapisa koji se mora zadržati jer to zahtijeva zakon, sporni zahtjev koji mora ostati dostupan za pravnu obranu i tehnički ostatak koji se može izolirati do njegova planiranog isteka. Trebao bi se također oduprijeti korisnoj korporativnoj sklonosti: tretiranju brisanja kao stanja zaslona, a ne svojstva sustava.

Opća uredba o zaštiti podataka ne obećava da će svaka stavka povezana s osobom nestati na zahtjev. Članak 17. utvrđuje osnove na kojima voditelj obrade mora bez nepotrebnog odgađanja izbrisati osobne podatke, uključujući slučajeve kada podaci više nisu nužni za svrhu u koju su prikupljeni ili obrađivani, kada je povučena privola i ne postoji druga pravna osnova te kada je obrada bila nezakonita. Isti članak postavlja ograničenja. Brisanje se ne primjenjuje kada je obrada nužna, na primjer, za slobodu izražavanja i informiranja, ispunjenje pravne obveze, obavljanje zadaća u javnom interesu u nekim okolnostima, zaštitu javnog zdravlja, arhiviranje, znanstveno istraživanje ili statistiku podložnu zaštitnim mjerama ili za potrebe pravnih zahtjeva. To nije rupa u obećanju. To je stvarni oblik tog prava.

Stoga pitanje za vlasnika sustava nije: 'Možemo li izbrisati podatke?' Gotovo svaki sustav može nešto izbrisati. Pitanje je može li organizacija za konkretan zahtjev i konkretnu svrhu obrade objasniti koje podatke posjeduje, što se s tim podacima dogodilo, što ih je dužna ili ovlaštena zadržati, koje nizvodne primatelje treba obavijestiti i kako se može provjeriti dovršena radnja. Razlika zvuči proceduralno. U praksi je arhitektonska. Proizvod koji zna samo dodavati informacije otkrit će da je brisanje mnogo skuplja značajka.

To je posebno izraženo za sustave umjetne inteligencije, ali nije ograničeno na njih. Pretraživanje, analitika, korisnička podrška, identitet, sigurnosno praćenje i upravljanje dokumentima svi proizvode izvedenice. Model samo daje problemu nova imena: tokeni, gradijenti, ugradnje, indeksi za dohvat, upiti i izlazi. Nijedna od tih oznaka ne rješava temeljno pitanje ostaje li fizička osoba prepoznatljiva. Niti tehnički pojam tiho odgovara na pravno pitanje. Ugradnja nije automatski anonimna zato što ju je teško čitati. Zapisnik nije automatski nužan zato što je koristan. Sigurnosna kopija nije automatski izuzeta zato što je nezgodna.

Privatnost nakon zaboravljanja stoga nije prazna stranica. To je preostalo stanje koje ostaje nakon što je organizacija donijela zakonitu, razmjernu i provjerljivu odluku o tome što se više ne bi trebalo obrađivati. Kvaliteta tog preostalog stanja govori ljudima mnogo više o sustavu nego što će ikada reći prisutnost gumba za brisanje.

Pravo ima uvjete, a to ga čini jačim

Europsko pravo zaštite podataka ponekad se opisuje kao da pojedincu nudi univerzalni crveni gumb. Ta je slika dovoljno uredna za prezentaciju, a dovoljno pogrešna da stvara probleme. Članak 17. vezan je uz svrhu, pravnu osnovu i okolnosti obrade. On sadrži pravo, obveze voditelja obrade i iznimke koje štite druga prava i javne interese. Odgovoran odgovor počinje utvrđivanjem identiteta podnositelja zahtjeva gdje je to potrebno, razumijevanjem podataka i svrhe obrade te odlukom primjenjuju li se osnova iz članka 17. i neka iznimka. Odgovor može biti brisanje. Može biti obrazloženo odbijanje u cijelosti ili djelomično. Može biti ograničenje obrade dok se spor ne riješi. Može biti i zahtjev koji upućuje na sustav koji organizacija ne kontrolira.

To nije razlog da se zahtjev ispitanika pretvori u mali poligon s preprekama. GDPR od voditelja obrade zahtijeva da olakšaju ostvarivanje prava. Članak 12. zahtijeva da informacije i komunikacija o poduzetim radnjama u vezi sa zahtjevom budu sažete, transparentne, razumljive i lako dostupne. Općenito zahtijeva informaciju o poduzetoj radnji bez nepotrebnog odgađanja i, u svakom slučaju, u roku od mjesec dana od primitka. Rok se može produžiti za dodatna dva mjeseca kada je to potrebno, uzimajući u obzir složenost i broj zahtjeva, ali voditelj obrade mora obavijestiti osobu o produženju i razlozima u prvom mjesecu. Sustav koji ne može identificirati vlastite tokove podataka do trećeg mjeseca nije pronašao proceduralnu obranu. Pronašao je problem upravljanja.

Smjernice Europskog odbora za zaštitu podataka za mala i srednja poduzeća jasno iznose operativnu poantu: ljudi mogu zatražiti brisanje u posebnim okolnostima, a organizacije bi trebale imati postupke za odgovaranje na zahtjeve za ostvarivanje prava. Postupak nije pravno mišljenje pohranjeno na zajedničkom disku. To je radni put od zahtjeva do odluke do izvršenja. Uključuje uloge ovlaštene za donošenje odluke, karte podataka koje im omogućuju uvid u relevantnu obradu, dobavljače i primatelje koje je možda potrebno obavijestiti, rokove čuvanja koji objašnjavaju iznimku te dokaze koji kasnijem revizoru omogućuju razumijevanje onoga što je učinjeno.

Sud Europske unije pomogao je učiniti vidljivom još jednu razliku. Njegove presude o deindeksiranju odnose se na prikaz poveznica putem tražilica, a ne na nalog za brisanje temeljne objave s izvorne web stranice. U predmetu Google Spain Sud je utvrdio da operater tražilice može biti odgovoran za obradu osobnih podataka koji se pojavljuju na web stranicama koje objavljuju treće strane te da ispitanik u određenim okolnostima može zatražiti uklanjanje poveznica s popisa rezultata prikazanog nakon pretraživanja po imenu osobe. U kasnijim predmetima Sud se bavio pitanjima uključujući osjetljive podatke, teritorijalni doseg deindeksiranja i netočne informacije. Ti predmeti ne pretvaraju svaku neželjenu činjenicu u zahtjev za brisanje. Oni pokazuju zašto sustav mora imenovati razinu o kojoj je riječ: izvorna objava, indeks, popis rezultata, predmemorija, izvadak ili druga kopija.

Ta disciplina razina važna je i unutar organizacija. Zaposlenik može zatražiti od voditelja obrade da izbriše evidenciju kontakta koja više nije potrebna u svrhu zapošljavanja. Voditelj obrade možda mora procijeniti zasebnu obvezu čuvanja za evidenciju o plaćama ili dokaze o jednakom postupanju. Tijelo javne vlasti može obrađivati evidenciju na temelju zakonske zadaće i mora procijeniti primjenjivo pravo umjesto da ponavlja odgovor iz privatnog sektora. Izdavač možda mora odvagnuti slobodu izražavanja i informiranja. Rezultat se ne može odlučiti samo rječnikom baze podataka.

Primamljivo je zamjeriti se na uvjete jer onemogućuju jednostavno obećanje. No upravo oni čine obećanje smislenim. Pravo koje zanemaruje pravne obveze, druga temeljna prava i praktičnu razliku među sustavima pretvorilo bi se u puki ritual. Europski pristup traži odgovornu odluku, a ne teatralnu. To zahtijeva više posla. No time se odbijanje čini osporivim, a brisanje vjerodostojnim.

Brisanje počinje utvrđivanjem površina obrade. Dijagram je prikaz sustava, a ne tvrdnja da svaka površina ima isti pravni tretman.

Zapis može nestati sa zaslona, a ostati u sustavu

Najlakši oblik neuspješnog brisanja poznat je svakome tko je gradio aplikaciju: uklonite stavku iz sučelja proizvoda, ostavite temeljne podatke u spremištu i pretpostavite da je posao gotov jer ih obični korisnici više ne mogu vidjeti. Ponekad je meko brisanje upravo ispravno operativno rješenje. Može osigurati kratko razdoblje za poništavanje, učiniti replikaciju sigurnom ili izbjeći prekid odnosa koji se mora razriješiti. No meko brisanje nije brisanje samo zato što je sučelje postalo tiše. Njegova uporaba mora biti povezana s definiranom svrhom, razdobljem čuvanja, kontrolama pristupa i naknadnom radnjom koja stvarno mijenja stanje podataka.

I tvrdo brisanje ima svoja ograničenja. Brisanje retka može ostaviti indeks pretraživanja do sljedećeg ciklusa indeksiranja. Spremište objekata može imati verzioniranje. Predmemorija isporuke sadržaja može čuvati odgovor do isteka ili poništenja. Red poruka može sadržavati događaj koji još nije obrađen. Podatkovno skladište može biti unijelo snimku. Usluga je možda prenijela podatke obrađivaču, podizvođaču ili primatelju. Praktična pouka nije da je brisanje nemoguće. Pouka je da organizacija treba inventar dovoljne vjernosti da razlikuje te površine te politiku koja propisuje što se događa na svakoj od njih.

Postoji i daljnja razlika između sadržaja i dokaza. Zahtjev u službi za korisnike može sadržavati poruku osobe. Sustavu može biti potreban zapis da je zahtjev postojao, da je riješen i da je obrisan prema odobrenom pravilu. Čuvati cijelu poruku zauvijek kako bi se dokazalo da je obrisana malo je birokratsko remek-djelo, ali ne i mjera zaštite privatnosti. Bolje rješenje čuva samo najmanju količinu dokaza potrebnu za odgovornost, odvojeno od sadržaja koji više nema svrhu. Ti dokazi mogu biti identifikator zahtjeva, vrsta odluke, vrijeme dovršetka, primjenjiva kategorija čuvanja i dosegnuti sustavi. Rješenje ovisi o organizaciji. Načelo ne ovisi: dokaz ne bi smio ponovno stvoriti nepotrebne osobne podatke.

Sigurnosne kopije zaslužuju isti jasan jezik. Sigurnosna kopija može biti nužna za dostupnost, sigurnost ili oporavak nakon katastrofe. I dalje je riječ o obradi. Praktično je pitanje je li sigurnosna kopija zasebno dostupna, koliko dugo ostaje obnovljiva, tko je može vratiti, je li uključena u uobičajeni postupak brisanja te kako se sprječava da obnovljeno okruženje neprimjetno ponovno uvede podatke koji su od tada uklonjeni iz aktivnog sustava. Razumna politika može se osloniti na definirano razdoblje rotacije sigurnosne kopije umjesto na pojedinačnu izmjenu svakog povijesnog bloka kopije. No politika to mora izrijekom propisati, zaštititi pristup u međuvremenu i osigurati da obnova, gdje je to moguće, slijedi trenutačno stanje podataka. „U sigurnosnoj je kopiji” opisuje problem. Nije odgovor na njega.

Zapisi su slični. Sigurnosni i operativni zapisi mogu biti ključni. Oni mogu biti jedini trag pristupa, neuspjelog pokušaja autentifikacije ili promjene u produkciji. Također mogu zadržati identifikatore, adrese, tijela zahtjeva ili dijelove sadržaja koji nikada nisu bili potrebni za dijagnostiku. Dobro osmišljen dizajn zapisa minimizira prikupljanje, anonimizira ili pseudonimizira gdje je prikladno, odvaja osjetljive podatke od metapodataka događaja, ograničava pristup i primjenjuje rasporede čuvanja. Pokušaj otkrivanja svakog osjetljivog polja tijekom zahtjeva za brisanjem moguć je, ali je loša zamjena za odluku u fazi dizajna o tome što zapis nikada nije smio sadržavati.

Tehnički vlasnik ne mora obećati trenutačno, jednoliko brisanje na svim uređajima da bi djelovao odgovorno. Mora moći navesti životni ciklus: što postaje nedostupno odmah, što se uklanja u sljedećem procesu obrade, što ostaje pod dokumentiranim rasporedom čuvanja, što ostaje zaštićeno do isteka roka te što će se dogoditi ako dođe do oporavka podataka. Takav opis daje osobi, regulatoru i operateru nešto konkretno za provjeru. Zelena obavijest o uspjehu daje im vrlo malo.

Izvedeni podaci nisu izlaz iz situacije

Suvremeni sustavi često transformiraju osobne podatke prije nego što ih upotrijebe. Iz dokumenta izdvajaju datum, klasificiraju poruku, izračunavaju ocjenu, zaključuju jezik, stvaraju indeks pretraživanja, izrađuju sažetak, povezuju dva računa ili pretvaraju tekst i slike u vektore za pretraživanje sličnosti. Te transformacije mogu biti korisne. Također mogu stvoriti dojam da je organizacija nadišla osobne podatke. No to nije nužno tako.

GDPR je tehnološki neutralan. Uvodne izjave objašnjavaju da se pseudonimizirani podaci koji se dodatnim informacijama mogu pripisati fizičkoj osobi smatraju informacijama o identificiranoj fizičkoj osobi. Također objašnjavaju da se mogućnost identifikacije mora procijeniti uzimajući u obzir sva sredstva za koja je razumno vjerojatno da će ih upotrijebiti voditelj obrade ili druga osoba, uzimajući u obzir čimbenike kao što su trošak, vrijeme, dostupna tehnologija i tehnološki razvoj. Pitanje nije izgleda li prikaz poput imena u tablici. Pitanje je odnosi li se na identificiranu ili prepoznatljivu osobu u stvarnom kontekstu.

Embedding čini ovu točku korisno nezgodnom. U sustavu za pronalaženje informacija dokument se može podijeliti na dijelove i predstaviti kao numerički vektori kako bi upit mogao pronaći semantički sličan sadržaj. Vektor nije čitljiv odlomak. Ipak, može biti povezan s izvornim dokumentom, stanarom, korisnikom, kontrolom pristupa, poljem metapodataka ili ključem za pronalaženje. Može omogućiti sustavu da odabere osobni materijal kao odgovor na upit. Organizacija ga ne može nazvati anonimnim samo zato što čovjek ne može rekonstruirati rečenicu gledajući popis koordinata. Mora procijeniti prikaz, povezane podatke, načine povezivanja i svrhu obrade.

Isto vrijedi i za izvedenu ocjenu. Ocjena rizika, kategorija preferencija ili pokazatelj podobnosti mogu sadržavati manje sirovih detalja od izvornih podataka, a ipak imati ozbiljne učinke na osobu. Mogu biti osobni podaci ako se odnose na identificiranu ili prepoznatljivu osobu. Brisanje izvora uz zadržavanje ocjene koja i dalje oblikuje odluku nije čisto rješenje. To može jednostavno prebaciti osobu u opakiji oblik. Sustav treba pravilo za izvedenice: koje se brišu zajedno s izvorom, koje se ponovno izračunavaju, koje se više ne smiju koristiti, koje se moraju zadržati prema zasebnoj obvezi te tko odlučuje.

Ne postoji univerzalni tehnički test koji rješava svaki derivat. Neke agregirane statistike mogu biti anonimne. Neke mogu ostati ranjive na izdvajanje pojedinca ili povezivanje. Neki modelni parametri možda se ne mogu razumno pripisati pojedincu u danom kontekstu. Drugi mogu biti povezani s podacima za obuku, usko definiranim modelom ili napadačkom površinom koja mijenja procjenu. Koncept anonimnih informacija iz GDPR-a nije ukrasna oznaka za podatke koje je postalo nezgodno tumačiti. Voditelj obrade mora provesti procjenu utemeljenu na sredstvima i kontekstu identifikacije.

Ta neizvjesnost nije razlog da se svaki derivat opiše kao trajno štetan. Ona je razlog za vođenje podrijetla podataka. Tim bi trebao znati koje su zbirke ulaznih podataka korištene za značajke, indeks, pokretanje obuke ili izvještajnu tablicu; koje su verzije derivata proizvedene; koji ih sustavi koriste; i kakav odgovor mora pokrenuti promjena u izvoru. Podrijetlo podataka pretvara neugodno pitanje u ograničen inženjerski zadatak. Bez njega, svaki zahtjev za ostvarivanjem prava postaje arheološka ekspedicija kroz nazive poslova, spremišta podataka i nečije sjećanje na migraciju od prije dvije zime.

Strojno učenje dodaje teško pitanje, ne čarobno izuzeće

Strojno učenje otežava brisanje jer obuka nije operacija arhiviranja. Primjer za obuku može utjecati na parametre kroz dugi niz ažuriranja, zajedno s mnogim drugim primjerima. Implementirani model mogao je biti kopiran u nekoliko okruženja. Kasniji model mogao je biti fino podešen na temelju ranijeg. Tim može koristiti podatke za evaluaciju, upite, korpuse za dohvat i zapise povratnih informacija koji slijede različite životne cikluse. Ako su podaci osobe ušli u takav sustav, organizacija ne može odgovorno odmahnuti rukom na matematiku. Također ne može pošteno obećati da će jedno brisanje iz baze podataka ukloniti sav mogući utjecaj iz svakog parametra.

Prvi je korak razdvojiti sustave. Korpus za dohvat nije obučeni model. Ako se dokument koristi kao izvor za dohvat, brisanje može uključivati uklanjanje ili onemogućavanje dokumenta, njegovih dijelova, metapodataka i indeksnih zapisa, a zatim provjeru da dohvat više ne doseže do njega. Zapisnik upita nije spremište vektorskih reprezentacija. Skup podataka za fino podešavanje nije zapis revizije sigurnosti. Kontrolna točka modela nije trenutni zapis izvora. Točan odgovor može biti različit za svaku površinu, ali se odgovor ne može osmisliti dok se površine ne imenuju.

Za podatke za obuku, zakonska i tehnička analiza može zahtijevati odluku o tome je li ponovna obuka, zamjena, ograničenje, zadržavanje ili druga mjera primjerena. Istraživanje o od-učenju stroja relevantno je jer istražuje metode za smanjenje utjecaja određenih podataka bez ponovne obuke modela od nule. Ono nije opća potvrda da je sustav zaboravio. Metode imaju pretpostavke, klase modela, uvjete podataka i ograničenja provjere. Organizacija ne bi trebala predstavljati eksperimentalnu tehniku kao univerzalnu provedbu članka 17. Također ne bi trebala čekati savršenu tehniku prije osmišljavanja boljih kontrola podataka.

Bolje kontrole počinju ranije u procesu. Smanjite količinu prikupljenih podataka. Odvojite osobne podatke od materijala za obuku gdje to namjena dopušta. Postavite razdoblje zadržavanja prije nego gomilanje učini pitanje emocionalno skupim. Vodite verzionirane zapise skupova podataka i pokretanja obuke. Učinite uvjete privole ili druge zakonske uvjete izričitima gdje su oni relevantna osnova. Izbjegavajte da proizvodni arhiv upita neprimjetno postane korpus za razvoj modela. Držite materijal za evaluaciju i podršku odvojivim od podataka za obuku. Što se sustav manje oslanja na nepoznato podrijetlo, to preciznije može odgovoriti na pitanje o brisanju.

Riječ „utjecaj“ također ima svoju granicu. Osoba može biti zabrinuta da je tekst nekada bio dio skupa za treniranje. Tehnički tim možda može utvrditi da je izvorni zapis uklonjen iz trenutačnog korpusa, ali ne može dokazati, u širem filozofskom smislu, da nijedan djelić utjecaja nije ostao u nijednom parametru povijesnog modela. Zakon o privatnosti ne postaje jednostavniji kada organizacija konkretan opis zamijeni metafizikom. Obveza je procijeniti obradu, pravne osnove i mjere u skladu sa zakonom. Organizacija bi trebala objasniti opseg svojeg zaključka, sustave koje on obuhvaća i preostala ograničenja. Preciznost je ljubaznija od raskošnog obećanja.

Za pružatelje usluga umjetne inteligencije praktičan teret često jednako pripada nabavi kao i inženjerstvu. Dobavljač bi trebao moći objasniti što čini sa zahtjevima, prenesenim datotekama, telemetrijom i dobrovoljnim povratnim informacijama; koji se od tih podataka koriste za treniranje ili poboljšanje usluge; koje kontrole zadržavanja postoje; kako korisnik može dobiti informacije potrebne za odgovor na zahtjeve za ostvarivanje prava; te što se događa u zajedničkom u odnosu na namjensko okruženje. Ugovor koji samo kaže „usklađeno s GDPR-om“ nije pružio informacije potrebne za provedbu postupka brisanja. Pružio je samo pridjev.

Tražilice poučavaju korisnu lekciju o slojevima

Praksa Suda Europske unije o uklanjanju poveznica ovdje je korisna upravo zato što je uža od popularnog izraza „pravo na zaborav“. Predmeti se odnose na pitanje treba li tražilica ukloniti poveznice iz rezultata pretraživanja po imenu i pod kojim uvjetima. Oni ne stvaraju jednostavnu ovlast za izmjenu povijesti na njezinu izvoru. Ta razlika pokazuje da se pitanja privatnosti često odnose na to kako su informacije učinjene dostupnima, povezane i pojačane, a ne samo na to je li zapis nekada postojao.

U predmetu Google Spain Sud je razmatrao poveznice u popisu rezultata tražilice na stranice koje je objavila treća strana. Odluka je jasno pokazala da aktivnost tražilice može predstavljati obradu osobnih podataka te da se, pod određenim uvjetima, od operatera može zahtijevati uklanjanje poveznica iz rezultata prikazanih nakon pretraživanja po imenu osobe. Odluka nije bila nalog novinama koje su objavile izvorne obavijesti. Vlasnik sustava koji promatra internu bazu znanja može iz toga naučiti: indeksi pretraživanja, pregledi i rangiranje rezultata slojevi su obrade sa svojim vlastitim posljedicama.

Predmet GC i drugi ispitao je zahtjeve za uklanjanje poveznica na web stranice koje sadrže osjetljive osobne podatke. Sud se bavio vaganjem interesa i obvezama koje mogu nastati za operatera tražilice. Predmet Google protiv CNIL-a odnosio se na teritorijalni opseg i utvrdio je, u okolnostima tog predmeta, da pravo EU-a nije zahtijevalo uklanjanje poveznica na svim verzijama tražilice u cijelom svijetu, dok je istodobno zahtijevalo učinkovite mjere za sprječavanje ili ozbiljno obeshrabrivanje pristupa iz država članica poveznicama uklonjenima iz verzija EU-a. Predmet TU i RE odnosio se na zahtjev koji se tiče navodno netočnih informacija i razjasnio je elemente tereta dokazivanja te postupanje s preglednim slikama. Te su presude pravne odluke utemeljene na činjenicama konkretnog slučaja, a ne kontrolni popis za implementaciju. Zajedno upućuju na sustavnu poantu: poveznica, popis rezultata, pregled slike i izvorna stranica nemaju automatski isti pravni lijek.

Ta se poanta dobro prenosi. Korporativni portal može zakonito čuvati izvorni zapis za ograničenu svrhu, dok je pristup kroz široku površinu pretraživanja pretjeran. Sustav tehničke podrške može trebati zaštićeni unos u zapisnik revizije, dok njegov pregled automatskog dovršavanja ne bi trebao otkrivati podatke bivšeg korisnika velikoj skupini. Dokument se može ukloniti iz korpusa za dohvaćanje, dok sažetak generiran modelom ostaje u drugom spremištu. Ispravan odgovor nije proglasiti svaki sloj istovjetnim. Ispravan je odgovor razumjeti kako sloj mijenja izloženost, svrhu i rizik.

Upozorava i na čestu prečicu: pretpostavku da je vidljivost jedino pitanje privatnosti. Zapis može biti tehnički skriven, a i dalje se obrađivati, pretraživati, profilirati, prenositi ili vraćati. S druge strane, organizaciji može biti potreban pažljivo ograničen zapis kako bi dokazala da je postupila ispravno, zaštitila pravni zahtjev ili ispunila zakonsku obvezu. Privatnost nije natjecanje u proizvodnji najmanje količine podataka u svakoj zamislivoj okolnosti. Ona je disciplina svrhe, nužnosti, proporcionalnosti i kontrole.

Zato bi inventar brisanja trebao uključivati putove dohvaćanja i prikaza. Zapitajte se koji indeksi nose zapis, koje predmemorije ga poslužuju, koji izvozi ga uključuju, koji API-ji ga vraćaju, koja se izvedena polja koriste za rangiranje ili preporuke te koji putovi vraćanja iz sigurnosne kopije mogu ponovno aktivirati zapis. Popis neće biti elegantan. Bit će korisniji od elegance.

Dokazivanje se razlikuje od tvrdnje

Kada sustav tvrdi da može izbrisati podatke, postoje dva odvojena pitanja. Prvo je ima li dizajn legitimnu, dokumentiranu rutu za to. Drugo je može li organizacija dokazati da je ta ruta slijedila za određeni zahtjev bez čuvanja više osobnih materijala nego što dokazivanje zahtijeva. Prvo je mogućnost proizvoda. Drugo je odgovornost.

Koristan zapis o brisanju namjerno je skroman. Ne mora reproducirati cijeli zahtjev, dokumente ili povijest računa osobe u novoj bazi podataka za usklađenost. Može zabilježiti referencu zahtjeva, ishod provjere identiteta gdje je to primjereno, kategoriju zahtjeva, primjenjive sustave, odluku i pravno obrazloženje na odgovarajućoj razini, datume radnji, iznimke ili osnove zadržavanja, obavijesti primateljima gdje su potrebne te status asinkronog brisanja ili isteka sigurnosne kopije. Točna polja ovise o voditelju obrade i kontekstu. Bitno je da kasniji pregledavatelj može vidjeti put bez rekonstruiranja osjetljivog sadržaja iz fragmenata.

Provjera bi trebala odgovarati površini podataka. Zapis uživo u aplikaciji može se provjeriti potvrdom da ga ovlašteni upit više ne vraća. Sustav za dohvaćanje može se testirati izvornim identifikatorom i relevantnim obrascima upita, uz izbjegavanje širokih pokušaja rekreiranja osobnog sadržaja. Indeks može prijaviti svoje stanje brisanja. Red čekanja može pokazati dovršenost. Proces sigurnosnog kopiranja može pokazati da je slika za oporavak zaštićena pravilom zadržavanja i da vraćanje primjenjuje trenutni registar brisanja ili ekvivalentnu kontrolu. Provjera ne mora dokazivati metafizičku negaciju. Treba pružiti dokaze proporcionalne tvrdnji koja se iznosi.

Ovdje postoji skromna zamka. Tim može izgraditi impresivnu nadzornu ploču sa svim zelenim svjetlima i bez stabilne veze sa stvarnim radom. Smislena nadzorna ploča imenuje površinu podataka, radnju, stanje, vlasnika, dokaze i sljedeći pregled. Omogućuje razlikovanje 'zahtjev prihvaćen', 'živi zapis izbrisan', 'obavijest primatelju na čekanju', 'sigurnosna kopija čeka istek' i 'zadržano prema zakonskoj obvezi'. Ta stanja imaju različita značenja. Sažimanje u 'izbrisano' pretvara nesigurnost u dizajn korisničkog sučelja.

Dokazivo brisanje također ovisi o upravljanju promjenama. Izvorni sustav može biti zamijenjen, dodan procesor, promijenjen format indeksa, uvedeno novo odredište za analitiku ili revidirana pravila zadržavanja dobavljača umjetne inteligencije. Ako se postupak brisanja ne ažurira s tim promjenama, postupak postupno opisuje sustav koji više ne postoji. Rezultat je poznat iz svake operativne discipline: prekrasan priručnik i stvarna usluga koje se kreću u suprotnim smjerovima. Redovito testiranje malog uzorka puta, uključujući i nezgodan sustav, obično otkriva više nego naručivanje velikog dokumenta o osiguranju kvalitete koji nitko ne može provesti.

Za javno tijelo ili regulirani posao to nije usko pitanje službe za privatnost. Službenik za zaštitu podataka može usmjeravati tumačenje, ali inženjering je odgovoran za sučelja i mehaniku brisanja, proizvod je odgovoran za svrhu i korisnički put, nabava je odgovorna za informacijske obveze nametnute dobavljačima, sigurnost je odgovorna za kontrole pristupa i vraćanja, a operacije su odgovorne za izvršenje pod pritiskom. Jedan vlasnik ne može sam pregledati svaki sloj. Sloj bez vlasnika ne postaje siguran time što je o njemu teško raspravljati.

Obranjiv postupak bilježi svoju odluku i izvršenje bez stvaranja druge, nepotrebne biografije osobe.

Pohrana je druga polovica brisanja

Mnogi problemi s brisanjem počinju mnogo prije zahtjeva. Počinju kada sustav uopće nema odluku o pohrani. Podaci stižu jer bi mogli postati korisni. Zapisi postaju trajni jer je pohrana jeftina. Izvozi se čuvaju jer bi buduća revizija mogla pitati za njih. Podaci za obuku se prikupljaju jer bi kasniji model mogao imati koristi. Svaka se odluka u izolaciji čini bezazlenom. Zajedno pretvaraju organizaciju u vlasnika velikog, slabo razumljivog arhiva i čine svaki zahtjev za brisanje skupljim, nesigurnijim i spornijim.

Načelo ograničenja pohrane iz GDPR-a kaže da se osobni podaci čuvaju u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno za svrhe u koje se obrađuju, uz mogućnost dulje pohrane u svrhe arhiviranja u javnom interesu, u znanstvene ili povijesne istraživačke svrhe ili u statističke svrhe ako se primjenjuju odgovarajuće zaštitne mjere. Načelo ne propisuje jedan kalendar za svaku organizaciju. Ono zahtijeva prosudbu povezanu sa svrhom. Raspored pohrane stoga treba navesti kategorije podataka, svrhu, pravnu osnovu, uobičajeno razdoblje, okidački događaj, iznimku, radnju odlaganja, vlasnika i točku pregleda. „Onoliko dugo koliko je potrebno” načelo je. Ono postaje operativno pravilo tek kada netko može reći potrebno za što, do kada i tko odlučuje.

Ta je struktura korisna za AI jer sprječava da jedna široka oznaka, poput podataka za obuku, sakrije nekoliko različitih stvari. Sirovi doprinos, očišćeni skup podataka, skup značajki, verzija modela, povijest upita, skup za evaluaciju i zapisnik praćenja mogu imati različite svrhe i razmatranja o pohrani. Njihovo spajanje u jednu neodređenu kategoriju pogoršava i inovacije i odgovornost. Njihovo razdvajanje ne jamči pravni odgovor, ali ga čini mogućim.

Odluke o pohrani također imaju koristi od uvjeta odbijanja. Što bi nas natjeralo da prestanemo zadržavati ovo? Završen ugovor, riješen spor, kraj zakonskog razdoblja, dovršena sigurnosna istraga, zamijenjena verzija modela, istek razdoblja vraćanja ili odluka da se ne nastavi istraživačka svrha, sve to mogu biti stvarni okidači. Poanta nije automatizirati sat za brisanje svega. Poanta je izbjeći sustav u kojem je jedini uvjet za čuvanje podataka taj da ih još nitko nije morao objasniti.

Ovdje vrijedi zadržati mali nizozemski instinkt: ormar nije organiziran zato što ima vrata. Organiziran je zato što možete pronaći relevantnu stvar, znati zašto je tamo i ukloniti je bez selidbe. Podatkovno imanje zaslužuje barem taj standard. Raspored pohrane koji ne može preživjeti razgovor s ljudima koji upravljaju sustavom nije raspored. To je vremenska prognoza napisana pravnim jezikom.

To ne znači da svaka organizacija mora centralizirati svaku odluku o brisanju. Lokalni timovi često bolje razumiju svoje procese. Znači da lokalna pravila trebaju zajedničke koncepte, vidljivo vlasništvo i put za eskalaciju. U suprotnom, arhiva jednog tima postaje kršenje pravila drugog tima, a zahtjev osobe prolazi kroz labirint uslužno nazvanih servisa.

Što pošteni dobavljač umjetne inteligencije može reći

Pošteni dobavljač umjetne inteligencije ne tvrdi da svi korisnički podaci nestanu čim zahtjev stigne. Niti se skriva iza težine modela. Opisuje granicu usluge. Što se obrađuje za zaključivanje. Što se zadržava za administraciju računa, sigurnost, podršku, naplatu ili sprječavanje zlouporabe. Pohranjuju li se upiti i izlazi. Koriste li se za obuku, evaluaciju ili poboljšanje usluge. Koji su procesori i regije uključeni. Kako korisnici mogu konfigurirati zadržavanje. Koja dokumentacija postoji za zahtjeve ispitanika. Koje su radnje trenutačne, koje su asinkrone, a koje ovise o zasebnoj pravnoj procjeni.

Za kupce su pitanja u postupku nabave praktična. Možemo li dobiti jasnu kartu tijeka podataka? Možemo li identificirati uloge voditelja obrade i izvršitelja obrade za relevantnu obradu? Možemo li izvesti ili izbrisati materijal na upotrebljiv način? Jesu li indeksi za pretraživanje i izvedene pohrane uključeni u dokumentirani životni ciklus? Što se događa sa sigurnosnim kopijama? Kako se komuniciraju promjene podizvršitelja? Može li nam pružatelj pomoći odgovoriti na zahtjev u primjenjivom roku? Jesu li korištenja za obuku i poboljšanje usluge opcija koju korisnik odabire, opcija od koje odustaje, ugovorena ili opisana samo na stranici koja se može promijeniti nakon kupnje? Koji su tehnički zapisi dostupni za dokazivanje radnje?

Odgovori će se razlikovati. Velika zajednička usluga ne može uvijek ponuditi istu razinu kontrole kao namjensko okruženje. Sigurnosni zapisnik ne može se uvijek izbrisati u istom trenutku kao profil računa. Zakonski obvezan arhiv ne može se tretirati kao korisnička preferencija. Te razlike nisu nužno nedostaci. Šutnja o njima jest. Prava reakcija kupca jest uskladiti dokumentirano ponašanje usluge sa svrhom, obvezama i rizikom organizacije. Proizvod može biti neprikladan za vrlo osjetljiv zadatak čak i kada je potpuno prikladan za alat za pisanje niskog rizika.

U Dweveu naš Trust Centre zauzima jednako uzak pogled na dokaze. Javna stranica može opisati kontrole i granice dokumentacije, ali ne može potvrditi svaku korisničku implementaciju niti odlučiti o zakonskoj osnovi za korisnikovu obradu. Ta granica je važna. Platforma može podržati kontrole zadržavanja, zapise i provjerljive tijekove rada. Organizacija koja je koristi i dalje je vlasnik svoje svrhe, svojih odluka o podacima i odluke o odgovoru određenoj osobi. Dobar proizvodni tekst trebao bi tu odgovornost učiniti jasnijom, a ne je tiho preuzeti.

Najvrjednija izjava dobavljača često je ograničenje. „Ovaj će zapis ostati u zaštićenim sigurnosnim kopijama do kraja navedenog razdoblja rotacije.” „Ova usluga ne koristi navedeni korisnički sadržaj za obuku prema ovim uvjetima.” „Ovaj se indeks uklanja asinkrono, a status se može provjeriti ovdje.” „Ne možemo dati tu tvrdnju za integraciju treće strane.” Ove rečenice mogu djelovati manje čarobno od univerzalnog obećanja o privatnosti. Kupcu omogućuju osmišljavanje stvarnog procesa.

Pitanja koja vrijedi postaviti prije nego što zahtjev stigne

Organizacija ne mora izmisliti povredu podataka, uznemirenu osobu ili herojski noćni incident da bi testirala svoj dizajn brisanja. Može upotrijebiti jasno označen hipotetski zahtjev tijekom redovnog radnog vremena. Pretpostavimo da osoba traži brisanje materijala pohranjenog u sustavu namijenjenom korisnicima. Koji tim prima zahtjev? Kako se provjerava identitet bez prikupljanja prekomjernih novih informacija? Koje su svrhe relevantne? Koji sustavi sadrže izvorne podatke, izvedenice, indekse, zapise, predmemorije, izvoze i kopije za oporavak? Koji obrađivači trebaju uputu ili obavijest? Koja se iznimka ili obveza zadržavanja, ako postoji, primjenjuje? Tko može odlučiti? Tko može izvršiti? Kako će organizacija objasniti ishod?

Zatim postavite nezgodna tehnička pitanja. Može li operater pronaći trenutačni inventar podataka bez bivšeg inženjera? Može li se indeks pretraživanja provjeriti neovisno o svojoj izvornoj tablici? Pojavljuje li se izbrisani identifikator ponovno nakon vraćanja? Koriste li skupni poslovi stare snimke? Može li se pohrana ugrađivanja povezati sa svojim dokumentima i stanarom? Bilježi li nadzorni cjevovod sadržaj upita prema zadanim postavkama? Vrijede li za izvozne datoteke ista pravila zadržavanja kao i za njihov izvor? Stvara li evidencija dokaza novu hrpu osjetljivog sadržaja? To nisu rubni slučajevi dodani da bi politika izgledala ozbiljno. To su uobičajene posljedice sustava koji stvaraju kopije kako bi radili.

Na kraju postavite pitanje upravljanja: što bi natjeralo organizaciju da promijeni svoj odgovor? Nova zakonska obveza, osporeni identitet, otvoreni pravni zahtjev, promijenjeni aranžman s dobavljačem, neuspješna provjera brisanja, vraćena sigurnosna kopija, novi model cjevovoda ili odluka regulatora, svaki od tih elemenata može biti važan. Proces bez okidača za reviziju samo je početna pretpostavka koja je promovirana u politiku.

Ništa od ovoga ne zamjenjuje pravni savjet u konkretnom slučaju. Zahtjevi GDPR-a, nacionalno pravo, sektorske obveze, ugovori i činjenice obrade, sve je to važno. No organizacije ne trebaju pravni spor da bi počele graditi uvjete za razumljiv odgovor. Trebaju dovoljno dobro poznavati svoje sustave da prestanu nuditi jednostavno obećanje za složenu stvarnost.

Privatnost je kvaliteta ostatka

Ambicija iza brisanja nije učiniti prošlost nestvarnom. Cilj je dati ljudima smislenu kontrolu tamo gdje se podaci više ne moraju obrađivati, gdje je privola povučena, gdje je obrada nezakonita ili gdje se primjenjuje neka druga osnova iz članka 17. Od voditelja obrade traži se da osobne podatke tretira kao nešto što se drži radi svrhe, a ne kao sirovinu kojoj je odobren neograničeni najam. Traži se da objasne iznimke umjesto da ih koriste kao stroj za maglu. Traži se da sustavi nose dovoljno podrijetla da zaboravljanje može biti namjerno.

Za digitalne usluge tihi je test ono što ostaje. Nakon što se zapis ukloni sa zaslona proizvoda, što je još uvijek aktivno? Nakon što dokument napusti korpus za dohvat, koja ga izvedena reprezentacija još uvijek odabire? Nakon što se račun izbriše, koji se zapis zadržava, u koju svrhu i koliko dugo? Nakon što se sigurnosna kopija vrati, što sprječava povratak umirovljenog zapisa? Nakon što se model promijeni, koja se povijest podataka može pregledati? Nakon što se zahtjev zatvori, može li organizacija pokazati svoj rad bez izgradnje drugog skrivenog profila?

Sustav će rijetko odgovoriti na sva ta pitanja jednom radnjom i jednim vremenskim pečatom. To je normalno. Ono što nije normalno jest pretvaranje da pitanja nestaju jer su podaci teški, distribuirani ili profitabilni. Privatnost nije trenutak kada usluga nauči naredbu za brisanje. To je ono što ostaje nakon što je sustav naučio zaboraviti sa svrhom, granicom i zapisom vlastite suzdržanosti.

Izvori