Privātums ir tas, kas paliek pēc tam, kad sistēma ir iemācījusies aizmirst.

Dzēšanas tiesības nav poga ar uzrakstu "delete". Mūsdienu sistēmās tas ir disciplinēts jautājums par kopijām, atvasinātajiem datiem, pierādījumiem,...

Privātums ir tas, kas paliek pēc tam, kad sistēma ir iemācījusies aizmirst.

Aizmiršana nav atmiņas pretstats

Papīra dokumentam ir mierinoši redzama dzīve. Tas pienāk, tiek kaut kur nolikts, tiek kopēts, ja kādam ir kopētājs, un galu galā nonāk šrederī vai arhīvā. Grūtākais var būt lēmums, vai tas būtu jāiznīcina, bet pats objekts ir apbrīnojami ierobežots. Digitāls ieraksts ir mazāk pieklājīgs. Tas var būt glabāts kā rinda, pielikums, meklēšanas indekss, ziņojuma priekšskatījums, dublējuma bloks, revīzijas ieraksts, pazīme modeļa ievadē, vektors iegultņu krātuvē, kešota atbilde vai vērtība, kas nonākusi citas organizācijas sistēmā. Nepietiek jautāt, kur dzīvo oriģināls. Noderīgāks jautājums ir, kas no tā ir radīts, kas joprojām ļauj identificēt personu un kādam nolūkam kalpo katra atlikusī pēda.

Tā ir praktiskā cieņa tiesībās uz dzēšanu. Tās bieži dēvē par tiesībām tikt aizmirstam, kas ir spilgta, bet nepilnīga frāze. Cilvēciskā aizmiršana ir nejauša, daļēja un pilna nepatīkamu atgriešanos. Likumīgs dzēšanas process būtu jāveic apzināti. Tam būtu jāspēj atšķirt ierakstu, kas jāizdzēš, no ieraksta, kas jāsaglabā, jo to prasa likums, no apstrīdētas prasības, kam jāpaliek pieejamai juridiskai aizstāvībai, un no tehniskas paliekas, ko var izolēt līdz tās plānotajam termiņam. Tam būtu arī jāpretojas noderīgam korporatīvam instinktam: uztvert dzēšanu kā ekrāna stāvokli, nevis sistēmas īpašību.

Vispārīgā datu aizsardzības regula nesola, ka viss, kas saistīts ar personu, pēc pieprasījuma pazudīs. 17. pants nosaka pamatojumu, saskaņā ar kuru pārzinim ir jādzēš personas dati bez nepamatotas kavēšanās, tostarp gadījumos, kad dati vairs nav nepieciešami nolūkam, kādam tie tika vākti vai apstrādāti, kad piekrišana ir atsaukta un nav cita tiesiska pamata, un kad apstrāde ir bijusi nelikumīga. Tas pats pants nosaka ierobežojumus. Dzēšana neattiecas, ja apstrāde ir nepieciešama, piemēram, vārda un informācijas brīvībai, juridiskam pienākumam, sabiedrības interešu uzdevumiem atsevišķos apstākļos, sabiedrības veselības apsvērumiem, arhivēšanai, pētniecībai vai statistikai, ievērojot aizsardzības pasākumus, vai tiesiskām prasībām. Tas nav solījuma robiņš. Tā ir faktiskā tiesību forma.

Tātad jautājums sistēmas īpašniekam nav: “Vai mēs varam dzēst datus?” Gandrīz jebkura sistēma var kaut ko dzēst. Jautājums ir, vai organizācija var izskaidrot konkrētam pieprasījumam un konkrētam apstrādes nolūkam, kādus datus tā glabā, kas ar šiem datiem ir noticis, ko tai ir pienākums vai tiesības saglabāt, kuri lejupējie saņēmēji ir jāinformē un kā var pārbaudīt pabeigto darbību. Atšķirība izklausās procesuāla. Praksē tā ir arhitektoniska. Produkts, kas prot tikai pievienot informāciju, atklās, ka dzēšana ir daudz dārgāka funkcija.

Tas ir īpaši aktuāli mākslīgā intelekta sistēmām, bet ne tikai tām. Meklēšana, analītika, klientu atbalsts, identitāte, drošības uzraudzība un dokumentu pārvaldība rada atvasinājumus. Modelis tikai dod problēmai jaunus nosaukumus: marķieri, gradienti, iegultnes, izguves indeksi, uzvednes un izvades. Neviena no šīm etiķetēm neatrisina pamatjautājumu, vai fiziska persona joprojām ir identificējama. Arī tehnisks termins klusībā neatbild uz juridisko jautājumu. Iegultne nav automātiski anonīma tāpēc, ka to ir grūti nolasīt. Žurnāls nav automātiski nepieciešams tāpēc, ka tas ir noderīgs. Dublējums nav automātiski atbrīvots tāpēc, ka tas ir neērts.

Privātums pēc aizmiršanas tāpēc nav tukša lapa. Tas ir atlikušais stāvoklis, kas paliek pēc tam, kad organizācija ir pieņēmusi likumīgu, samērīgu un pārbaudāmu lēmumu par to, ko vairs nevajadzētu apstrādāt. Šī atlikušā stāvokļa kvalitāte cilvēkiem par sistēmu pasaka daudz vairāk nekā jebkura dzēšanas poga.

Tiesībām ir nosacījumi, un tas tās padara stiprākas

Eiropas datu aizsardzības tiesību akti dažkārt tiek raksturoti tā, it kā tie indivīdam piedāvātu universālu sarkanu pogu. Šis attēls ir pietiekami glīts prezentācijas slaidam, bet pietiekami nepareizs, lai radītu problēmas. 17. pants ir saistīts ar apstrādes mērķi, tiesisko pamatu un apstākļiem. Tajā ir ietvertas tiesības, pārzinim noteikti pienākumi un izņēmumi, kas aizsargā citu personu tiesības un sabiedrības intereses. Atbildīga rīcība sākas ar pieprasītāja identitātes noteikšanu, ja tas ir nepieciešams, izpratni par attiecīgajiem datiem un apstrādes mērķi, kā arī lēmumu par to, vai ir piemērojams kāds no 17. panta pamatiem un izņēmumiem. Atbilde var būt dzēšana. Tā var būt pamatots atteikums pilnībā vai daļēji. Tā var būt apstrādes ierobežošana, kamēr tiek atrisināts strīds. Tā var būt arī pieprasījums, kas attiecas uz sistēmu, kuru organizācija nekontrolē.

Šis nav iemesls, lai datu subjekta pieprasījumu pārvērstu par nelielu šķēršļu joslu. VDAR pieprasa pārzinim atvieglot tiesību īstenošanu. 12. pants nosaka, ka informācijai un saziņai par darbībām, kas veiktas saistībā ar pieprasījumu, jābūt kodolīgai, pārskatāmai, saprotamai un viegli pieejamai. Tas parasti paredz, ka informācija par veiktajām darbībām jāsniedz bez nepamatotas kavēšanās un jebkurā gadījumā viena mēneša laikā no pieprasījuma saņemšanas. Šo termiņu var pagarināt vēl par diviem mēnešiem, ja tas nepieciešams, ņemot vērā pieprasījumu sarežģītību un skaitu, taču pārzinim pirmā mēneša laikā jāinformē persona par pagarinājumu un tā iemesliem. Sistēma, kas līdz trešajam mēnesim nespēj identificēt savas datu plūsmas, nav atradusi procesuālu aizstāvību. Tā ir atklājusi pārvaldības problēmu.

Eiropas Datu aizsardzības kolēģijas vadlīnijas maziem un vidējiem uzņēmumiem skaidri norāda uz praktisko aspektu: personas atsevišķos apstākļos var lūgt dzēšanu, un organizācijām būtu jābūt procedūrām, kā atbildēt uz tiesību pieprasījumiem. Procedūra nav juridisks atzinums, kas glabājas koplietojamā diskā. Tā ir darba ceļš no pieprasījuma līdz lēmumam un tā izpildei. Tajā ietilpst personas, kurām ir tiesības pieņemt lēmumu, datu kartes, kas ļauj tām redzēt attiecīgo apstrādi, piegādātāji un saņēmēji, kuriem var būt nepieciešams paziņojums, glabāšanas termiņu grafiki, kas izskaidro izņēmumu, un pierādījumi, kas ļauj vēlākam pārskatītājam saprast, kas ir darīts.

Tiesa ir palīdzējusi padarīt redzamu vēl vienu atšķirību. Tās spriedumi par atsauču noņemšanu attiecas uz saišu attēlošanu meklētājprogrammās, nevis uz norādījumu dzēst pamatā esošo publikāciju no avota tīmekļa vietnes. Lietā Google Spain Tiesa nosprieda, ka meklētājprogrammas operators var būt atbildīgs par tādu personas datu apstrādi, kas parādās trešo personu publicētās tīmekļa lapās, un ka datu subjekts noteiktos apstākļos var pieprasīt saišu noņemšanu no rezultātu saraksta, kas tiek parādīts pēc personas vārda meklēšanas. Vēlākās lietās Tiesa izskatīja jautājumus, tostarp par sensitīviem datiem, atsauču noņemšanas teritoriālo piemērojamību un neprecīzu informāciju. Šīs lietas nepārvērš katru nevēlamu faktu par dzēšanas prasību. Tās parāda, kāpēc sistēmai ir jānosauc konkrētais līmenis: avota publikācija, indekss, rezultātu saraksts, kešatmiņa, izvilkums vai cita kopija.

Šī līmeņu disciplīna ir svarīga arī organizāciju iekšienē. Darbinieks var lūgt pārzinim dzēst kontaktinformācijas ierakstu, kas vairs nav nepieciešams personāla atlases mērķim. Pārzinim var būt jāizvērtē atsevišķs glabāšanas pienākums attiecībā uz algu vai vienlīdzīgas attieksmes pierādījumiem. Publiska iestāde var apstrādāt ierakstu saskaņā ar likumā noteiktu uzdevumu, un tai var būt jāizvērtē piemērojamie tiesību akti, nevis jāatkārto privātā sektora atbilde. Izdevējam var būt jāizvērtē vārda un informācijas brīvība. Rezultātu nevar noteikt tikai ar datubāzes terminoloģiju.

Ir vilinoši dusmoties uz šiem nosacījumiem, jo tie neļauj dot vienkāršu solījumu. Taču tieši tie padara solījumu jēgpilnu. Tiesības, kas ignorē juridiskos pienākumus, citas pamattiesības un praktisko atšķirību starp sistēmām, pārvērstos par rituālu. Eiropas pieeja prasa atbildīgu lēmumu, nevis teatrālu. Tas prasa vairāk darba. Tas arī padara atteikumu apstrīdamu un dzēšanu ticamu.

Dzēšana sākas ar apstrādes virsmu atrašanu. Diagramma ir sistēmu karte, nevis apgalvojums, ka katrai virsmai ir vienāds juridiskais statuss.

Ieraksts var pazust no ekrāna un palikt sistēmā

Vienkāršākā dzēšanas kļūme ir pazīstama ikvienam, kurš ir veidojis lietotni: noņemiet vienumu no produkta saskarnes, atstājiet pamatā esošos datus krātuvē un pieņemiet, ka darbs ir padarīts, jo parastie lietotāji to vairs neredz. Dažkārt mīkstā dzēšana ir tieši pareizais operacionālais risinājums. Tā var nodrošināt īsu atsaukšanas periodu, padarīt replikāciju drošu vai neļaut pārraut attiecību, kas jāatrisina. Taču mīkstā dzēšana nav dzēšana tikai tāpēc, ka saskarne ir kļuvusi klusāka. Tās izmantošanai jābūt saistītai ar noteiktu mērķi, glabāšanas periodu, piekļuves kontroli un vēlāku darbību, kas faktiski maina datu stāvokli.

Cietajai dzēšanai ir savi ierobežojumi. Dzēšot rindu, meklēšanas indekss var saglabāties līdz nākamajam indeksēšanas ciklam. Objektu krātuvē var būt versiju pārvaldība. Satura piegādes kešatmiņa var saglabāt atbildi līdz tās derīguma termiņa beigām vai anulēšanai. Ziņojumu rindā var būt notikums, kas vēl nav apstrādāts. Datu noliktava var būt uzņēmusi momentuzņēmumu. Pakalpojums var būt nodevis datus apstrādātājam, apakšapstrādātājam vai saņēmējam. Praktiskā mācība nav tā, ka dzēšana nav iespējama. Tā ir tāda, ka organizācijai ir nepieciešams inventārs ar pietiekamu precizitāti, lai atšķirtu šīs virsmas, un politika, kas nosaka, kas notiek ar katru no tām.

Pastāv arī atšķirība starp saturu un pierādījumiem. Klientu apkalpošanas biļete var saturēt personas ziņojumu. Sistēmai var būt nepieciešams ieraksts, ka biļete pastāvēja, tika atrisināta un dzēsta saskaņā ar apstiprinātu noteikumu. Saglabāt visu ziņojumu mūžīgi, lai pierādītu, ka tas ir dzēsts, ir neliels birokrātijas šedevrs, bet ne privātuma kontrole. Labāks risinājums saglabā tikai minimālos pierādījumus, kas nepieciešami atbildībai, nošķirtus no satura, kuram vairs nav mērķa. Šie pierādījumi var būt pieprasījuma identifikators, lēmuma veids, izpildes laiks, piemērojamā glabāšanas kategorija un sasniegtās sistēmas. Risinājums ir atkarīgs no organizācijas. Princips nav: pierādījumi nedrīkst atjaunot nevajadzīgus personas datus.

Dublējumiem ir jāpiemēro tā pati vienkāršā valoda. Dublējums var būt nepieciešams pieejamībai, drošībai vai katastrofu atjaunošanai. Tā joprojām ir apstrāde. Praktiskais jautājums ir, vai dublējums ir atsevišķi pieejams, cik ilgi tas ir atjaunojams, kas to var atjaunot, vai tas ir iekļauts parastajā dzēšanas plūsmā un kā atjaunotā vide tiek novērsta no tā, ka tā klusi atgriež datus, kas kopš tā laika ir noņemti no tiešās sistēmas. Saprātīga politika var paļauties uz dublējuma noteikto rotācijas periodu, nevis modificēt katru vēsturisko dublējuma bloku atsevišķi. Taču politikai tas ir jānosaka, jāaizsargā piekļuve šajā laikā un jānodrošina, ka atjaunošana, kur iespējams, seko pašreizējam datu stāvoklim. “Tas ir dublējumā” apraksta problēmu. Tā nav atbilde uz to.

Žurnālfaili ir līdzīgi. Drošības un darbības žurnālfaili var būt būtiski. Tie var būt vienīgais pierādījums par piekļuvi, neizdevušos autentifikācijas mēģinājumu vai izmaiņām ražošanas vidē. Tie var arī saglabāt identifikatorus, adreses, pieprasījumu saturu vai satura fragmentus, kas nekad nav bijuši nepieciešami diagnostikai. Laba žurnālfailu dizaina prakse samazina datu apjomu jau to ievākšanas brīdī, vajadzības gadījumā anonimizē vai pseidonimizē, atdala sensitīvus datus no notikumu metadatiem, ierobežo piekļuvi un piemēro glabāšanas termiņus. Mēģināt atklāt katru sensitīvo lauku dzēšanas pieprasījuma laikā ir iespējams, taču tas ir vājš aizstājējs tam, lai jau dizaina posmā izlemtu, ko žurnālfails nekad nedrīkstētu saturēt.

Tehniskais īpašnieks, lai rīkotos atbildīgi, nesola tūlītēju un vienotu datu dzēšanu visās ierīcēs. Viņam ir jāspēj izklāstīt datu dzīves cikls: kas kļūst nepieejams nekavējoties, kas tiek dzēsts nākamajā apstrādes ciklā, kas tiek saglabāts saskaņā ar dokumentētu glabāšanas termiņu, kas paliek aizsargāts līdz termiņa beigām un kas notiks, ja tiks veikta atkopšanas darbība. Šāds izklāsts sniedz personai, regulatoram un operatoram konkrētu informāciju, ko izvērtēt. Zaļš paziņojums ekrānā sniedz ļoti maz.

Atvasinātie dati nav izejas ceļš

Mūsdienu sistēmas bieži pārveido personas datus pirms to izmantošanas. Tās iegūst datumu no dokumenta, klasificē ziņojumu, aprēķina punktu skaitu, secina valodu, veido meklēšanas indeksu, ģenerē kopsavilkumu, saista divus kontus vai pārvērš tekstu un attēlus vektoros, ko izmanto līdzības meklēšanā. Šīs pārvērtības var būt noderīgas. Tās var arī radīt organizācijai iespaidu, ka tā ir tikusi pāri personas datiem. Tā ne vienmēr tā ir.

VDAR ir tehnoloģiski neitrāls. Tā apsvērumi skaidro, ka pseidonimizēti dati, kurus var attiecināt uz fizisku personu, izmantojot papildu informāciju, būtu jāuzskata par informāciju par identificējamu fizisku personu. Tie arī skaidro, ka, nosakot identifikācijas iespējamību, jāņem vērā visi līdzekļi, kurus pārzinis vai cita persona, iespējams, izmantos, ņemot vērā tādus faktorus kā izmaksas, laiks, pieejamās tehnoloģijas un tehnoloģiju attīstība. Jautājums nav par to, vai attēlojums izskatās kā vārds izklājlapā. Jautājums ir par to, vai tas attiecas uz identificētu vai identificējamu personu faktiskajā kontekstā.

Iegultais attēlojums jeb embeddings padara šo jautājumu uzskatāmi sarežģītu. Izguves sistēmā dokuments var tikt sadalīts daļās un attēlots kā skaitliski vektori, lai vaicājums varētu atrast semantiski līdzīgu materiālu. Vektors nav lasāma rindkopa. Tomēr tas var būt saistīts ar avota dokumentu, nomnieku, lietotāju, piekļuves kontroli, metadatu lauku vai izguves atslēgu. Tas var ļaut sistēmai atlasīt personas datus, atbildot uz vaicājumu. Organizācija nevar to saukt par anonīmu tikai tāpēc, ka cilvēks nevar rekonstruēt teikumu, aplūkojot koordinātu sarakstu. Tai ir jāizvērtē attēlojums, saistītie dati, savienošanas līdzekļi un apstrādes mērķis.

Tas pats attiecas uz atvasinātu punktu skaitu. Riska rādītājs, preferenču kategorija vai atbilstības indikators var saturēt mazāk detalizētu informāciju nekā avota dati, taču tam joprojām var būt būtiska ietekme uz personu. Tie var būt personas dati, ja tie attiecas uz identificētu vai identificējamu personu. Dzēst avota datus, bet saglabāt rādītāju, kas turpina ietekmēt lēmumu, nav pareizs risinājums. Tas var vienkārši padarīt personas datus mazāk pārredzamus. Sistēmai ir nepieciešams noteikums atvasināto datu apstrādei: kuri tiek dzēsti kopā ar avota datiem, kuri tiek pārrēķināti, kurus vairs nevar izmantot, kuri jāsaglabā saskaņā ar atsevišķu pienākumu un kurš pieņem lēmumu.

Nav universāla tehniskā testa, kas atrisinātu katru atvasinājumu. Daži apkopoti statistikas dati var būt anonīmi. Daži joprojām var būt neaizsargāti pret identificēšanu vai sasaisti. Daži modeļa parametri konkrētā kontekstā var nebūt pamatoti attiecināmi uz konkrētu personu. Citi var būt saistīti ar apmācības datiem, šauri definētu modeli vai uzbrukuma virsmu, kas maina novērtējumu. GDPR anonīmas informācijas jēdziens nav dekoratīva etiķete datiem, kurus ir padarījuši neērti interpretēt. Pārzinim ir jāveic novērtējums, kas balstīts uz identifikācijas līdzekļiem un kontekstu.

Šī nenoteiktība nav iemesls, lai katru atvasinājumu raksturotu kā neatgriezeniski toksisku. Tas ir iemesls, lai uzturētu izcelsmes uzskaiti. Komandai būtu jāzina, kuras ievades kolekcijas tika izmantotas funkciju krātuvei, indeksam, apmācības sesijai vai atskaišu tabulai; kuras atvasinājuma versijas tika izveidotas; kuras sistēmas tās patērē; un kāda reakcija ir jāveic, mainoties avotam. Izcelsmes uzskaite pārvērš neērtu jautājumu par ierobežotu inženiertehnisku uzdevumu. Bez tās katrs tiesību pieprasījums kļūst par arheoloģisku ekspedīciju caur darbu nosaukumiem, krātuves konteineriem un kāda atmiņām par migrāciju pirms divām ziemām.

Mašīnmācīšanās rada sarežģītu jautājumu, nevis maģisku atbrīvojumu

Mašīnmācīšanās padara dzēšanu sarežģītu, jo apmācība nav dokumentu iesniegšanas darbība. Apmācības piemērs var ietekmēt parametrus ilgā atjauninājumu secībā kopā ar daudziem citiem piemēriem. Izvietots modelis var būt kopēts vairākās vidēs. Vēlāks modelis var būt precizēts no agrāka modeļa. Komanda var izmantot novērtēšanas datus, uzvednes, izguves korpusus un atsauksmju žurnālus, kuriem katram ir atšķirīgs dzīves cikls. Ja personas dati ir nonākuši šādā sistēmā, organizācija nevar atbildīgi atbildēt ar atrunu par matemātiku. Tā arī nevar godīgi solīt, ka viena datubāzes dzēšana novērsīs visu iespējamo ietekmi uz katru parametru.

Pirmais solis ir nodalīt sistēmas. Izguves korpuss nav apmācīts modelis. Ja dokuments tiek izmantots kā izguves avots, dzēšana var ietvert dokumenta, tā fragmentu, metadatu un indeksa ierakstu noņemšanu vai atspējošanu, pēc tam pārbaudot, vai izguve vairs to nesasniedz. Uzvedņu žurnāls nav iegulšanas krātuve. Precizēšanas datu kopa nav drošības audita pieraksts. Modeļa kontrolpunkts nav pašreizējais avota ieraksts. Pareizā reakcija var atšķirties katrai virsmai, bet reakciju nevar izstrādāt, kamēr virsmas nav nosauktas.

Apmācības datiem tiesiskā un tehniskā analīze var prasīt lēmumu par to, vai atkārtota apmācība, aizstāšana, ierobežošana, saglabāšana vai cits pasākums ir atbilstošs. Pētījumi par mašīnmācīšanās aizmiršanu ir būtiski, jo tie pēta metodes, kā samazināt konkrētu datu ietekmi bez modeļa atkārtotas apmācības no nulles. Tas nav vispārējs sertifikāts, ka sistēma ir aizmirsusi. Metodēm ir pieņēmumi, modeļu klases, datu nosacījumi un pārbaudes ierobežojumi. Organizācijai nevajadzētu reklamēt eksperimentālu paņēmienu kā universālu 17. panta īstenošanu. Tai arī nevajadzētu gaidīt perfektu paņēmienu, pirms izstrādāt labāku datu kontroli.

Labāka kontrole sākas augšpusē. Samaziniet apkopotā datu apjomu. Atdaliet personas datus no apmācības materiāla, ja paredzētais mērķis to pieļauj. Nosakiet saglabāšanas periodu, pirms uzkrāšana padara jautājumu emocionāli dārgu. Saglabājiet versētus datu kopu un apmācības sesiju ierakstus. Padariet piekrišanu vai citus tiesiskos nosacījumus skaidrus, ja tie ir attiecīgais pamats. Neļaujiet ražošanas uzvedņu arhīvam klusi kļūt par modeļa izstrādes korpusu. Saglabājiet novērtēšanas un atbalsta materiālu atšķirīgu no apmācības datiem. Jo mazāk sistēma paļaujas uz nezināmu izcelsmi, jo precīzāk tā var atbildēt uz dzēšanas jautājumu.

Vārdam “ietekme” ir arī savas robežas. Persona var uztraukties, ka teksts kādreiz ir bijis apmācības datu kopas daļa. Tehniskā komanda, iespējams, spēj noteikt, ka avota ieraksts ir izņemts no pašreizējās datu kopas, taču plašā filozofiskā nozīmē tā nevar pierādīt, ka neviena ietekmes daļiņa nav palikusi nevienā vēsturiskā modeļa parametrā. Privātuma tiesības nekļūst vienkāršākas, ja organizācija konkrētu aprakstu aizstāj ar metafiziku. Pienākums ir izvērtēt apstrādi, pamatojumu un pasākumus saskaņā ar tiesību aktiem. Organizācijai būtu jāpaskaidro sava secinājuma tvērums, sistēmas, uz kurām tas attiecas, un atlikušie ierobežojumi. Precizitāte ir laipnāka par pārspīlētu solījumu.

Mākslīgā intelekta izvietotājiem praktiskais slogs bieži vien gulstas tikpat lielā mērā uz iepirkumu kā uz inženieriju. Piegādātājam būtu jāspēj izskaidrot, ko tas dara ar uzvednēm, augšupielādētajiem failiem, telemetriju un neobligātajām atsauksmēm; kuri no tiem tiek izmantoti apmācībai vai pakalpojuma uzlabošanai; kādas saglabāšanas iespējas pastāv; kā klients var iegūt informāciju, kas nepieciešama, lai atbildētu uz tiesību pieprasījumiem; un kas notiek koplietotā salīdzinājumā ar atsevišķu vidi. Līgums, kurā vienkārši teikts “atbilst GDPR”, nav sniedzis informāciju, kas nepieciešama dzēšanas procesa īstenošanai. Tas ir sniedzis īpašības vārdu.

Meklētājprogrammas māca noderīgu mācību par slāņiem

Tiesas judikatūra par atsauču dzēšanu šeit ir noderīga tieši tāpēc, ka tā ir šaurāka par populāro frāzi “tiesības tikt aizmirstam”. Lietas attiecas uz to, vai un ar kādiem nosacījumiem meklētājprogrammai ir jānoņem saites no rezultātiem, kas iegūti, meklējot pēc personas vārda. Tās nerada vienkāršas tiesības mainīt vēsturi tās avotā. Šī atšķirība parāda, ka privātuma jautājumi bieži vien ir par to, kā informācija tiek padarīta pieejama, savienota un pastiprināta, nevis tikai par to, vai ieraksts kādreiz ir pastāvējis.

Lietā Google Spain Tiesa izskatīja saites meklētājprogrammas rezultātu sarakstā uz trešās puses publicētām lapām. Lēmumā tika skaidri norādīts, ka meklētājprogrammas darbība var būt personas datu apstrāde un ka noteiktos apstākļos operators var būt pienākums noņemt saites no rezultātiem, kas tiek rādīti pēc personas vārda meklēšanas. Lēmums nebija rīkojums laikrakstam, kas publicēja sākotnējos paziņojumus. Sistēmas īpašnieks, kas skatās uz iekšējo zināšanu bāzi, var no tā mācīties: meklēšanas indeksi, priekšskatījumi un rezultātu sarindošana ir apstrādes slāņi ar savām sekām.

Lietā GC un citi tika izskatīti pieprasījumi noņemt saites uz tīmekļa lapām, kas satur sensitīvus personas datus. Tiesa pievērsās veicamajai līdzsvarošanai un pienākumiem, kas var rasties meklētājprogrammas operatoram. Lietā Google pret CNIL tika izskatīts teritoriālais tvērums, un Tiesa šīs lietas apstākļos nosprieda, ka ES tiesību akti neprasa atsauču dzēšanu visās meklētājprogrammas versijās visā pasaulē, vienlaikus pieprasot efektīvus pasākumus, lai novērstu vai būtiski atturētu dalībvalstu lietotājus no piekļuves saitēm, kas noņemtas no ES versijām. Lietas TU un RE attiecās uz pieprasījumu saistībā ar iespējami neprecīzu informāciju un precizēja pierādīšanas pienākuma elementus un priekšskatījuma attēlu apstrādi. Šie spriedumi ir uz faktiem balstīti juridiski lēmumi, nevis izvietošanas kontrolsaraksts. Kopā tie apliecina sistēmisku atziņu: saitei, rezultātu sarakstam, attēla priekšskatījumam un sākotnējai lapai automātiski nav viena un tā paša tiesiskā aizsardzības līdzekļa.

Šī atziņa labi pārceļas uz citām jomām. Uzņēmuma portāls var likumīgi glabāt avota ierakstu ierobežotam mērķim, kamēr piekļuve, izmantojot plašu meklēšanas virsmu, ir pārmērīga. Tehniskā atbalsta sistēmai var būt nepieciešams aizsargāts audita ieraksts, kamēr tās automātiskās pabeigšanas priekšskatījumam nevajadzētu atklāt bijušā klienta datus lielai grupai. Dokuments var tikt izņemts no izguves datu kopas, kamēr modeļa ģenerēts kopsavilkums paliek citā krātuvē. Pareizā atbilde nav pasludināt katru slāni par identisku. Tā ir saprast, kā slānis maina iedarbību, mērķi un risku.

Šajā dokumentā arī brīdināts par populāru saīsinājumu: pieņemt, ka redzamība ir vienīgā privātuma problēma. Ieraksts var būt tehniski paslēpts un joprojām tikt apstrādāts, vaicāts, profilēts, pārsūtīts vai atjaunots. Un otrādi, organizācijai var būt nepieciešams rūpīgi ierobežots ieraksts, lai pierādītu, ka tā rīkojusies pareizi, aizsargātu juridisku prasību vai izpildītu likumā noteiktu pienākumu. Privātums nav sacensība, kurā jārada vismazākais datu apjoms jebkuros iedomājamos apstākļos. Tā ir disciplīna, kas balstīta uz mērķi, nepieciešamību, samērīgumu un kontroli.

Tāpēc dzēšanas inventarizācijā būtu jāiekļauj izguves un attēlošanas ceļi. Jājautā, kuri indeksi satur ierakstu, kuras kešatmiņas to apkalpo, kuri eksporti to iekļauj, kuri API to atgriež, kuri atvasinātie lauki tiek izmantoti ranžēšanai vai ieteikšanai un kuri dublējuma atjaunošanas ceļi varētu to atkal padarīt aktīvu. Saraksts nebūs elegants. Tas būs noderīgāks par eleganci.

Demonstrēšana atšķiras no apgalvošanas

Kad sistēma apgalvo, ka tā var dzēst datus, rodas divi atsevišķi jautājumi. Pirmais ir tas, vai dizainam ir leģitīms, dokumentēts ceļš, kā to izdarīt. Otrais ir tas, vai organizācija var pierādīt, ka šis ceļš ir ievērots konkrētam pieprasījumam, nesaglabājot vairāk personas datu, nekā nepieciešams demonstrēšanai. Pirmais ir produkta iespēja. Otrais ir atbildība.

Noderīgs dzēšanas ieraksts ir apzināti pieticīgs. Tam nav jāatveido personas pilns pieprasījums, dokumenti vai konta vēsture jaunā atbilstības datubāzē. Tajā var reģistrēt pieprasījuma atsauci, identitātes pārbaudes rezultātu, ja tas ir atbilstoši, pieprasījuma kategoriju, piemērojamās sistēmas, lēmumu un juridisko pamatojumu atbilstošā līmenī, darbību datumus, izņēmumus vai saglabāšanas pamatojumu, saņēmēju paziņojumus, ja tie ir nepieciešami, un asinhronās dzēšanas vai dublējuma derīguma termiņa statusu. Precīzi lauki ir atkarīgi no pārzinis un konteksta. Svarīgi ir tas, ka vēlāks pārskatītājs var redzēt ceļu, neatjaunojot sensitīvo saturu no fragmentiem.

Pārbaudei jāatbilst datu virsmai. Tiešsaistes lietojumprogrammas ierakstu var pārbaudīt, apstiprinot, ka autorizēta uzmeklēšana to vairs neatgriež. Izguves sistēmu var testēt ar sākotnējo identifikatoru un attiecīgiem vaicājumu modeļiem, vienlaikus izvairoties no plašiem mēģinājumiem atjaunot personas saturu. Indekss var ziņot par savu dzēšanas stāvokli. Rinda var parādīt pabeigšanu. Dublēšanas process var parādīt, ka atkopšanas attēls ir aizsargāts saskaņā ar tā saglabāšanas noteikumu un ka atjaunošanā tiek piemērots pašreizējais dzēšanas reģistrs vai līdzvērtīga kontrole. Pārbaudei nav jāpierāda metafizisks noliegums. Tai jāsniedz pierādījumi, kas ir samērīgi ar izteikto apgalvojumu.

Šeit ir neliela lamatas. Komanda var izveidot iespaidīgu informācijas paneli ar visām zaļajām gaismām, kam nav stabilas saistības ar faktisko darbu. Jēgpilns informācijas panelis nosauc datu virsmu, darbību, stāvokli, īpašnieku, pierādījumus un nākamo pārskatīšanu. Tas ļauj atšķirt “pieprasījums pieņemts”, “tiešsaistes ieraksts dzēsts”, “saņēmēja paziņojums gaida”, “dublējums gaida derīguma termiņa beigām” un “saglabāts saskaņā ar juridisku pienākumu”. Šiem stāvokļiem ir atšķirīga nozīme. Apvienojot tos vienā “dzēsts”, nenoteiktība tiek pārvērsta lietotāja interfeisa dizainā.

Pierādāma dzēšana ir atkarīga arī no izmaiņu pārvaldības. Avota sistēma var tikt aizstāta, pievienots apstrādātājs, mainīts indeksa formāts, ieviests jauns analītikas galamērķis vai pārskatīta AI piegādātāja saglabāšanas politika. Ja dzēšanas procedūra netiek atjaunināta līdz ar šīm izmaiņām, procedūra pamazām sāk aprakstīt sistēmu, kas vairs nepastāv. Rezultāts ir pazīstams no jebkuras operacionālās disciplīnas: skaista rokasgrāmata un reāls pakalpojums, kas virzās pretējos virzienos. Regulāra nelielas ceļa daļas, tostarp neērtās sistēmas, testēšana parasti ir atklājošāka nekā liela apliecinājuma dokumenta pasūtīšana, kuru neviens nevar izpildīt.

Publiskai iestādei vai regulētam uzņēmumam tas nav šaurs privātuma biroja jautājums. Datu aizsardzības speciālists var vadīt interpretāciju, bet inženierija atbild par saskarnēm un dzēšanas mehāniku, produkts atbild par mērķi un lietotāja ceļu, iepirkums atbild par informācijas pienākumiem, ko uzliek piegādātājiem, drošība atbild par piekļuves un atjaunošanas kontroli, un operācijas atbild par izpildi spiediena apstākļos. Viens īpašnieks nevar viens pats pārbaudīt katru līmeni. Līmenis bez īpašnieka nekļūst drošs tāpēc, ka par to ir grūti runāt.

Pamatots process ieraksta savu lēmumu un izpildi, neradot otru, nevajadzīgu personas biogrāfiju.

Saglabāšana ir otra dzēšanas puse

Daudzas dzēšanas problēmas sākas ilgi pirms pieprasījuma. Tās sākas, kad sistēmai vispār nav lēmuma par saglabāšanu. Dati nonāk tāpēc, ka tie varētu kļūt noderīgi. Žurnālfaili kļūst pastāvīgi, jo krātuve ir lēta. Eksporti tiek glabāti, jo nākotnes audits varētu tos pieprasīt. Mācību dati tiek uzkrāti, jo vēlākam modelim tie varētu noderēt. Katrs lēmums atsevišķi šķiet nekaitīgs. Kopā tie pārvērš organizāciju par liela, slikti izprasta arhīva īpašnieku un padara katru dzēšanas pieprasījumu dārgāku, neskaidrāku un strīdīgāku.

VDAR uzglabāšanas ierobežojuma princips nosaka, ka personas dati jāglabā tādā formā, kas ļauj identificēt datu subjektus, ne ilgāk, nekā nepieciešams nolūkiem, kuros tos apstrādā, pieļaujot ilgāku glabāšanu arhivēšanai sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos, ja tiek piemērotas aizsardzības prasības. Princips nenosaka vienu kalendāru katrai organizācijai. Tas prasa ar mērķi saistītu spriedumu. Saglabāšanas grafikam tāpēc jānosauc datu kategorijas, mērķis, juridiskais pamats, parastais termiņš, izraisošais notikums, izņēmums, iznīcināšanas darbība, īpašnieks un pārskatīšanas punkts. "Tik ilgi, cik nepieciešams" ir princips. Tas kļūst par darbības noteikumu tikai tad, kad kāds var pateikt, kam nepieciešams, līdz kuram laikam un kurš to izlēma.

Šī struktūra ir noderīga mākslīgajam intelektam, jo tā neļauj vienam plašam apzīmējumam, piemēram, mācību dati, slēpt vairākas atšķirīgas lietas. Neapstrādāts ieguldījums, attīrīta datu kopa, pazīmju kopa, modeļa versija, uzvedņu vēsture, vērtēšanas kopa un uzraudzības žurnāls var katrs būt ar atšķirīgiem mērķiem un saglabāšanas apsvērumiem. Apvienojot tos vienā nenoteiktā kopā, pasliktinās gan inovācija, gan atbildība. Atdalot tos, netiek garantēta juridiska atbilde, bet tā kļūst iespējama.

Saglabāšanas lēmumi gūst labumu arī no atteikuma nosacījuma. Kas liktu mums pārtraukt šo glabāt? Pabeigts līgums, atrisināts strīds, likumā noteiktā termiņa beigas, pabeigta drošības izmeklēšana, aizstāta modeļa versija, atjaunošanas loga beigas vai lēmums neturpināt pētniecības mērķi var visi būt reāli izraisošie notikumi. Mērķis nav automatizēt dzēšanas pulksteni visam. Mērķis ir izvairīties no sistēmas, kurā vienīgais nosacījums datu glabāšanai ir tas, ka neviens vēl nav spiests tos izskaidrot.

Šeit ir vērts saglabāt nelielu holandiešu instinktu: skapis nav sakārtots tāpēc, ka tam ir durvis. Tas ir sakārtots, jo jūs varat atrast vajadzīgo lietu, zināt, kāpēc tā tur ir, un izņemt to, nepārceļoties. Datu īpašums ir pelnījis vismaz šādu standartu. Saglabāšanas grafiks, kas neiztur sarunu ar cilvēkiem, kuri pārvalda sistēmu, nav grafiks. Tā ir laika prognoze, kas uzrakstīta juridiskā prozā.

Tas nenozīmē, ka katrai organizācijai visi dzēšanas lēmumi jācentralizē. Vietējās komandas bieži vien labāk izprot savus procesus. Tas nozīmē, ka vietējiem noteikumiem ir vajadzīgi kopīgi jēdzieni, skaidra atbildība un ceļš eskalācijai. Citādi vienas komandas arhīvs ir citas komandas pārkāpums, un cilvēka pieprasījums tiek virzīts caur labi nosauktu pakalpojumu labirintu.

Ko var teikt godīgs mākslīgā intelekta pakalpojumu sniedzējs

Godīgs mākslīgā intelekta pakalpojumu sniedzējs neapgalvo, ka visi klientu dati iztvaiko, tiklīdz saņemts pieprasījums. Tas arī neslēpjas aiz modeļu sarežģītības. Tas apraksta pakalpojuma robežas. Kas tiek apstrādāts secinājumu veikšanai. Kas tiek saglabāts konta administrēšanai, drošībai, atbalstam, norēķiniem vai ļaunprātīgas izmantošanas novēršanai. Vai uzvednes un izvades tiek glabātas. Vai tās tiek izmantotas apmācībai, novērtēšanai vai pakalpojuma uzlabošanai. Kuri apstrādātāji un reģioni ir iesaistīti. Kā klienti var konfigurēt saglabāšanu. Kāda dokumentācija pastāv par datu subjektu pieprasījumiem. Kuras darbības ir tūlītējas, kuras asinhronas un kuras ir atkarīgas no atsevišķa juridiskā izvērtējuma.

Pircējiem iepirkuma jautājumi ir praktiski. Vai varam iegūt skaidru datu plūsmas karti? Vai varam noteikt pārzinieka un apstrādātāja lomas attiecīgajai apstrādei? Vai varam eksportēt vai dzēst materiālus lietojamā veidā? Vai izguves indeksi un atvasinātās krātuves ir iekļautas dokumentētajā dzīves ciklā? Kas notiek ar dublējumiem? Kā tiek paziņots par apakšapstrādātāju izmaiņām? Vai pakalpojumu sniedzējs var mums palīdzēt atbildēt uz pieprasījumu piemērojamajā termiņā? Vai apmācības un pakalpojuma uzlabošanas izmantošana ir izvēles iespēja, atteikšanās iespēja, līgumā noteikta vai aprakstīta tikai lapā, kas pēc iegādes var mainīties? Kādi tehniskie ieraksti ir pieejami, lai pierādītu darbību?

Atbildes būs dažādas. Liels koplietots pakalpojums ne vienmēr var piedāvāt tādu pašu kontroli kā īpaša vide. Drošības žurnālu ne vienmēr var dzēst tajā pašā brīdī, kad konta profilu. Statūtos noteiktu arhīvu nevar apstrādāt kā patērētāja izvēli. Šīs atšķirības ne vienmēr ir neveiksmes. Klusēšana par tām ir. Pareizā pircēja reakcija ir saskaņot pakalpojuma dokumentēto rīcību ar organizācijas mērķi, pienākumiem un risku. Produkts var būt nepiemērots ļoti sensitīvam uzdevumam pat tad, ja tas ir pilnīgi piemērots zemas riska pakāpes melnraksta rīkam.

Uzņēmumā Dweve mūsu Trust Centre izmanto tikpat šauru pierādījumu skatījumu. Publiska lapa var aprakstīt kontroles un dokumentācijas robežas, bet tā nevar sertificēt katru klienta izvietojumu vai noteikt klienta apstrādes juridisko pamatu. Šai robežai ir nozīme. Platforma var atbalstīt saglabāšanas kontroles, ierakstus un pārskatāmus darba procesus. Organizācija, kas to izmanto, joprojām pati atbild par savu mērķi, datu izvēlēm un lēmumu atbildēt konkrētai personai. Laba produkta tekstam šī atbildība būtu jāpadara skaidrāka, nevis klusi jāpārņem.

Vērtīgākais pakalpojumu sniedzēja apgalvojums bieži vien ir ierobežojums. “Šis ieraksts paliks aizsargātos dublējumos līdz noteiktā rotācijas perioda beigām.” “Šis pakalpojums neizmanto norādīto klienta saturu apmācībai saskaņā ar šiem noteikumiem.” “Šis indekss tiek noņemts asinhroni, un statusu var pārbaudīt šeit.” “Mēs nevaram sniegt šo apgalvojumu par trešās puses integrāciju.” Šie teikumi var šķist mazāk brīnumaini nekā universāls privātuma solījums. Tie ļauj pircējam izveidot reālu procesu.

Jautājumi, ko vērts uzdot, pirms pieprasījums ir saņemts

Organizācijai nav jāizdomā pārkāpums, satraukts cilvēks vai varonīgs nakts incidents, lai pārbaudītu savu dzēšanas risinājumu. Tā var izmantot skaidri apzīmētu hipotētisku pieprasījumu parastā darba laikā. Pieņemsim, ka persona lūdz dzēst materiālus, kas glabājas klientiem pieejamā sistēmā. Kura komanda saņem pieprasījumu? Kā tiek pārbaudīta identitāte, nevācot lieku jaunu informāciju? Kuri nolūki ir būtiski? Kurās sistēmās ir avota dati, atvasinājumi, indeksi, žurnāli, kešatmiņas, eksporti un atkopšanas kopijas? Kuriem pārziniem ir nepieciešams norādījums vai paziņojums? Kurš izņēmums vai saglabāšanas pienākums, ja tāds ir, attiecas? Kurš var izlemt? Kurš var izpildīt? Kā organizācija izskaidros iznākumu?

Pēc tam uzdodiet neērtos tehniskos jautājumus. Vai operators var atrast pašreizējo datu inventarizāciju bez bijušā inženiera? Vai meklēšanas indeksu var pārbaudīt neatkarīgi no tā avota tabulas? Vai dzēsts identifikators parādās atkārtoti pēc atjaunošanas? Vai pakešuzdevumi izmanto vecus momentuzņēmumus? Vai iegulto attēlojumu krātuvi var saistīt ar tās dokumentiem un nomnieku? Vai uzraudzības cauruļvads pēc noklusējuma uztver uzvedņu saturu? Vai eksporta failiem ir tādi paši saglabāšanas noteikumi kā to avotam? Vai pierādījumu ieraksts rada jaunu sensitīva satura kopu? Tie nav malēji gadījumi, kas pievienoti, lai politika izskatītos nopietna. Tie ir parastas sekas sistēmām, kas veido kopijas, lai darbotos.

Visbeidzot uzdodiet pārvaldības jautājumu: kas liktu organizācijai mainīt savu atbildi? Jauns juridisks pienākums, apstrīdēta identitāte, atklāta tiesvedība, mainīta pārdevēja vienošanās, neizdevusies dzēšanas pārbaude, atjaunota dublējuma kopija, jauns modeļa cauruļvads vai regulatora lēmums, katrs no tiem var būt būtisks. Process bez pārskatīšanas aktivizētāja ir tikai sākotnējs minējums, kas paaugstināts par politiku.

Nekas no tā neaizstāj juridisku padomu konkrētā gadījumā. GDPR prasības, valsts tiesību akti, nozaru pienākumi, līgumi un apstrādes fakti, viss ir būtisks. Taču organizācijām nav nepieciešams juridisks strīds, lai sāktu veidot apstākļus saprotamai atbildei. Tām ir pietiekami labi jāpārzina savas sistēmas, lai pārstātu solīt vienkāršu atbildi sarežģītai realitātei.

Privātums ir atlikuma kvalitāte

Dzēšanas mērķis nav padarīt pagātni nereālu. Tas ir dot cilvēkiem jēgpilnu kontroli tur, kur dati vairs nav jāapstrādā, kur atsaukta piekrišana, kur apstrāde ir nelikumīga vai kur ir piemērojams cits 17. panta pamats. Tas prasa pārziniem attieksmi pret personas datiem kā pret kaut ko, kas tiek glabāts nolūkam, nevis kā pret izejmateriālu, kam piešķirts nenoteikts termiņš. Tas prasa izskaidrot izņēmumus, nevis izmantot tos kā miglas mašīnu. Tas prasa, lai sistēmām būtu pietiekama izsekojamība, lai aizmiršana varētu būt apzināta.

Digitālajiem pakalpojumiem klusais pārbaudījums ir tas, kas paliek. Pēc tam, kad ieraksts noņemts no produkta ekrāna, kas vēl ir aktīvs? Pēc tam, kad dokuments atstāj izguves korpusu, kāds atvasināts attēlojums to joprojām atlasa? Pēc konta dzēšanas, kāds žurnāls tiek saglabāts, kādam nolūkam un cik ilgi? Pēc dublējuma atjaunošanas, kas neļauj atgriezties nolietotam ierakstam? Pēc modeļa maiņas, kādu datu vēsturi var pārbaudīt? Pēc pieprasījuma slēgšanas, vai organizācija var parādīt savu darbu, neveidojot citu slēptu profilu?

Sistēma reti atbildēs uz visiem šiem jautājumiem ar vienu darbību un vienu laikspiedolu. Tas ir normāli. Nav normāli izlikties, ka jautājumi pazūd tāpēc, ka dati ir sarežģīti, izkliedēti vai ienesīgi. Privātums nav brīdis, kad pakalpojums apgūst dzēšanas komandu. Tas ir tas, kas paliek pēc tam, kad sistēma ir iemācījusies aizmirst ar nolūku, robežu un ierakstu par savu atturību.

Avoti