Súkromie je to, čo zostane, keď sa systém naučí zabúdať

Právo na vymazanie nie je tlačidlo s označením delete. V moderných systémoch je to disciplinovaná otázka o kópiách, odvodených dátach, dôkazoch, výnimkách a...

Súkromie je to, čo zostane, keď sa systém naučí zabúdať

Zabúdanie nie je opakom pamätania

Papierový spis má upokojujúco viditeľný život. Príde, niekam sa uloží, skopíruje sa, ak má niekto kopírku, a nakoniec skončí v skartovačke alebo v archíve. Ťažké môže byť rozhodnúť, či by sa mal zničiť, ale samotný objekt je poslušne konečný. Digitálny záznam je menej zdvorilý. Môže byť uložený ako riadok, príloha, vyhľadávací index, náhľad správy, blok zálohy, záznam auditu, prvok vo vstupe modelu, vektor v úložisku vložení, odpoveď z vyrovnávacej pamäte alebo hodnota, ktorá sa dostala do systému inej organizácie. Nestačí sa pýtať, kde žije originál. Užitočnejšia otázka je, čo sa z neho vytvorilo, čo ešte umožňuje identifikovať osobu a akému účelu slúži každá zostávajúca stopa.

To je praktická dôstojnosť práva na výmaz. Často sa nazýva právom na zabudnutie, čo je výstižné slovné spojenie, ale nedokonalé. Ľudské zabúdanie je náhodné, čiastočné a plné trápnych návratov. Zákonný proces výmazu by mal byť zámerný. Mal by vedieť rozlíšiť záznam, ktorý sa musí odstrániť, od záznamu, ktorý sa musí ponechať, pretože to vyžaduje zákon, sporný nárok, ktorý musí zostať dostupný na právnu obranu, a technický zvyšok, ktorý možno izolovať až do jeho plánovaného uplynutia. Mal by tiež odolať užitočnému firemnému inštinktu: zaobchádzať s výmazom ako so stavom obrazovky, nie ako s vlastnosťou systému.

Všeobecné nariadenie o ochrane údajov nesľubuje, že každá položka spojená s osobou na požiadanie zmizne. Článok 17 stanovuje dôvody, na základe ktorých musí prevádzkovateľ vymazať osobné údaje bez zbytočného odkladu, a to aj vtedy, keď údaje už nie sú potrebné na účel, na ktorý sa získavali alebo spracúvali, keď sa odvolal súhlas a neexistuje iný právny základ, a keď sa spracúvanie uskutočnilo nezákonne. Ten istý článok stanovuje limity. Výmaz sa neuplatňuje, ak je spracúvanie potrebné napríklad na výkon slobody prejavu a informácií, na splnenie zákonnej povinnosti, na úlohy vo verejnom záujme za určitých okolností, z dôvodov verejného zdravia, na účely archivácie, výskumu alebo štatistiky za predpokladu záruk, alebo na právne nároky. To nie je medzera v sľube. To je skutočný tvar tohto práva.

Otázka pre vlastníka systému teda neznie: „Môžeme vymazať údaje?“ Takmer každý systém môže niečo vymazať. Otázka znie, či organizácia dokáže pri konkrétnej žiadosti a konkrétnom účele spracúvania vysvetliť, ktoré údaje drží, čo sa s týmito údajmi stalo, čo je povinná alebo oprávnená ponechať, ktorých príjemcov v reťazci treba informovať a ako možno skontrolovať dokončený úkon. Rozdiel znie procedurálne. V praxi je architektonický. Produkt, ktorý vie iba pridávať informácie, zistí, že výmaz je oveľa drahšia funkcia.

Toto je obzvlášť výrazné pri systémoch umelej inteligencie, ale neobmedzuje sa to na ne. Vyhľadávanie, analytika, zákaznícka podpora, identita, monitorovanie bezpečnosti a správa dokumentov vytvárajú odvodené údaje. Model len dáva problému nové názvy: tokeny, gradienty, vloženia, indexy vyhľadávania, výzvy a výstupy. Žiadny z týchto štítkov nerieši základnú otázku, či fyzická osoba zostáva identifikovateľná. Technický termín tiež potichu nezodpovedá právnu otázku. Vloženie nie je automaticky anonymné, pretože sa ťažko číta. Protokol nie je automaticky potrebný, pretože je užitočný. Záloha nie je automaticky vyňatá, pretože je nepohodlná.

Súkromie po zabudnutí teda nie je prázdna stránka. Je to zvyškový stav, ktorý zostane po tom, čo organizácia urobí zákonné, primerané a overiteľné rozhodnutie o tom, čo by sa už nemalo spracúvať. Kvalita tohto zvyškového stavu povie ľuďom o systéme oveľa viac než prítomnosť tlačidla na výmaz.

Právo má podmienky, a to ho robí silnejším

Európske právo ochrany údajov sa niekedy opisuje, ako keby jednotlivcovi ponúkalo univerzálne červené tlačidlo. Tento obraz je dosť úhľadný na prezentáciu a dosť nesprávny na to, aby spôsobil problémy. Článok 17 je viazaný na účel, právny základ a okolnosti spracúvania. Obsahuje právo, povinnosti prevádzkovateľov a výnimky, ktoré chránia iné práva a verejné záujmy. Zodpovedná reakcia sa začína zistením totožnosti žiadateľa, ak je to potrebné, pochopením dotknutých údajov a účelu spracúvania a rozhodnutím, či sa uplatní dôvod podľa článku 17 a výnimka. Odpoveďou môže byť výmaz. Môže ísť o odôvodnené odmietnutie v celom rozsahu alebo sčasti. Môže ísť o obmedzenie spracúvania, kým sa nevyrieši spor. Môže ísť aj o žiadosť, ktorá smeruje k systému, ktorý organizácia nekontroluje.

To nie je dôvod na to, aby sa zo žiadosti dotknutej osoby stal malý prekážkový kurz. GDPR vyžaduje, aby prevádzkovatelia uľahčovali výkon práv. Článok 12 vyžaduje, aby informácie a komunikácia o opatreniach prijatých na základe žiadosti boli stručné, transparentné, zrozumiteľné a ľahko dostupné. Všeobecne vyžaduje, aby informácie o prijatom opatrení boli poskytnuté bez zbytočného odkladu a v každom prípade do jedného mesiaca od prijatia žiadosti. Táto lehota sa môže predĺžiť o ďalšie dva mesiace, ak je to potrebné, s prihliadnutím na zložitosť a počet žiadostí, ale prevádzkovateľ musí dotknutú osobu informovať o predĺžení a jeho dôvodoch v rámci prvého mesiaca. Systém, ktorý nedokáže identifikovať vlastné toky údajov až do tretieho mesiaca, nenašiel procesnú obranu. Našiel problém v riadení.

Usmernenia Európskeho výboru pre ochranu údajov pre malé a stredné podniky jasne uvádzajú operačný bod: ľudia môžu za určitých okolností požiadať o výmaz a organizácie by mali mať postupy na reagovanie na žiadosti o práva. Postup nie je právny názor uložený na zdieľanom disku. Je to funkčná cesta od žiadosti k rozhodnutiu a k vykonaniu. Zahŕňa role oprávnené rozhodovať, mapy údajov, ktoré im umožňujú vidieť relevantné spracúvanie, dodávateľov a príjemcov, ktorých môže byť potrebné informovať, plány uchovávania, ktoré vysvetľujú výnimku, a dôkazy, ktoré neskoršiemu posudzovateľovi umožnia pochopiť, čo sa urobilo.

Súdny dvor pomohol objasniť ďalší rozdiel. Jeho rozsudky o deindexovaní sa týkajú zobrazovania odkazov vyhľadávačmi, nie príkazu vymazať pôvodnú publikáciu zo zdrojovej webovej stránky. V prípade Google Spain súd rozhodol, že prevádzkovateľ vyhľadávača môže byť zodpovedný za spracúvanie osobných údajov, ktoré sa objavujú na webových stránkach publikovaných tretími stranami, a že dotknutá osoba môže za určitých okolností požiadať o odstránenie odkazov zo zoznamu výsledkov zobrazených po vyhľadaní mena tejto osoby. V neskorších prípadoch sa súd zaoberal okrem iného citlivými údajmi, územným rozsahom deindexovania a nesprávnymi informáciami. Tieto prípady nemenia každý nežiaduci fakt na nárok na výmaz. Ukazujú, prečo musí systém pomenovať vrstvu, ktorej sa to týka: zdrojovú publikáciu, index, zoznam výsledkov, vyrovnávaciu pamäť, výpis alebo inú kópiu.

Táto disciplína vrstiev je dôležitá aj v rámci organizácií. Zamestnanec môže požiadať prevádzkovateľa o výmaz kontaktného záznamu, ktorý už nie je potrebný na účely náboru. Prevádzkovateľ možno bude musieť posúdiť samostatnú povinnosť uchovávania pre mzdové alebo dôkazy o rovnakom zaobchádzaní. Verejný orgán môže spracúvať záznam na základe zákonnej úlohy a musí posúdiť príslušný právny predpis, nie zopakovať odpoveď zo súkromného sektora. Vydavateľ možno bude musieť zvážiť slobodu prejavu a informácií. Výsledok nemožno rozhodnúť len na základe databázovej terminológie.

Je lákavé cítiť voči týmto podmienkam odpor, pretože bránia jednoduchému sľubu. Ale práve ony dávajú sľubu zmysel. Právo, ktoré ignoruje zákonné povinnosti, iné základné práva a praktický rozdiel medzi systémami, by sa zvrhlo na rituál. Európsky prístup žiada zodpovedné rozhodnutie, nie divadelné predstavenie. To si vyžaduje viac práce. Zároveň to umožňuje odmietnutie napadnúť a výmaz považovať za dôveryhodný.

Výmaz sa začína lokalizáciou spracúvaných povrchov. Diagram je mapou systémov, nie tvrdením, že každý povrch má rovnaké právne zaobchádzanie.

Záznam môže zmiznúť z obrazovky a zostať v systéme

Najjednoduchšie zlyhanie výmazu pozná každý, kto postavil aplikáciu: odstránite položku z rozhrania produktu, necháte základné údaje v úložisku a predpokladáte, že práca je hotová, pretože bežní používatelia ju už nevidia. Niekedy je mäkký výmaz presne tým správnym prevádzkovým návrhom. Môže zachovať krátke okno na vrátenie zmien, urobiť replikáciu bezpečnou alebo zabrániť prerušeniu vzťahu, ktorý treba vyriešiť. Ale mäkký výmaz nie je výmazom len preto, že rozhranie stíchlo. Jeho použitie musí byť spojené s definovaným účelom, dobou uchovávania, kontrolami prístupu a neskoršou akciou, ktorá skutočne zmení stav údajov.

Tvrdý výmaz má svoje vlastné obmedzenia. Odstránenie riadku môže ponechať vyhľadávací index až do ďalšieho indexovacieho cyklu. Objektové úložisko môže mať verzovanie. Vyrovnávacia pamäť doručovania obsahu môže uchovávať odpoveď až do vypršania platnosti alebo zneplatnenia. Fronta správ môže obsahovať udalosť, ktorá ešte nebola spracovaná. Dátový sklad mohol načítať snímku. Služba mohla preniesť údaje spracovateľovi, subdodávateľovi alebo príjemcovi. Praktické ponaučenie nie je, že výmaz je nemožný. Je také, že organizácia potrebuje inventár s dostatočnou presnosťou na rozlíšenie týchto povrchov a politiku, ktorá hovorí, čo sa deje na každom z nich.

Existuje ďalší rozdiel medzi obsahom a dôkazom. Lístok zákazníckej podpory môže obsahovať správu osoby. Systém môže potrebovať záznam o tom, že lístok existoval, bol vyriešený a bol odstránený podľa schváleného pravidla. Uchovávať celú správu navždy, aby sa dokázalo, že bola odstránená, je malé byrokratické majstrovské dielo, ale nie kontrola súkromia. Lepší návrh uchováva iba minimálny dôkaz potrebný na zodpovednosť, oddelený od obsahu, ktorý už nemá účel. Týmto dôkazom môže byť identifikátor žiadosti, typ rozhodnutia, čas dokončenia, príslušná kategória uchovávania a zasiahnuté systémy. Návrh závisí od organizácie. Princíp nie: dôkaz by nemal znovu vytvárať zbytočné osobné údaje.

Zálohy si zaslúžia rovnaký jasný jazyk. Záloha môže byť potrebná pre dostupnosť, bezpečnosť alebo obnovu po havárii. Stále ide o spracúvanie. Praktickou otázkou je, či je záloha samostatne prístupná, ako dlho zostáva obnoviteľná, kto ju môže obnoviť, či je zahrnutá do bežného toku výmazu a ako sa zabráni tomu, aby obnovené prostredie ticho znovu zaviedlo údaje, ktoré boli medzitým odstránené z živého systému. Rozumná politika sa môže spoľahnúť na definované obdobie rotácie zálohy namiesto individuálnej úpravy každého historického záložného bloku. Ale politika to musí povedať, medzitým chrániť prístup a zabezpečiť, aby obnova tam, kde je to možné, nasledovala aktuálny stav údajov. „Je to v zálohe“ opisuje problém. Nie je to odpoveď naň.

Protokoly sú na tom podobne. Bezpečnostné a prevádzkové protokoly môžu byť nevyhnutné. Môžu byť jediným záznamom o prístupe, neúspešnom pokuse o overenie totožnosti alebo zmene vo výrobe. Môžu však tiež uchovávať identifikátory, adresy, telá požiadaviek alebo fragmenty obsahu, ktoré nikdy neboli potrebné na diagnostiku. Dobrý návrh protokolov minimalizuje údaje už pri ich zbere, v prípade potreby ich rediguje alebo pseudonymizuje, oddeľuje citlivé dáta od metadát udalostí, obmedzuje prístup a uplatňuje plány uchovávania. Pokúsiť sa objaviť každé citlivé pole počas žiadosti o výmaz je možné, ale je to slabá náhrada za rozhodnutie už pri návrhu, čo by protokol nikdy nemal obsahovať.

Technický vlastník nemusí sľubovať okamžité a jednotné vymazanie na každom zariadení, aby konal zodpovedne. Musí však vedieť opísať životný cyklus: čo sa stane nedostupným okamžite, čo sa odstráni v nasledujúcom spracovateľskom cykle, čo pretrváva podľa zdokumentovaného plánu uchovávania, čo zostáva chránené do uplynutia lehoty a čo sa stane, ak dôjde k operácii obnovy. Tento opis dáva človeku, regulátorovi aj prevádzkovateľovi niečo konkrétne na preskúmanie. Zelené toastové upozornenie im dáva veľmi málo.

Odvodené údaje nie sú únikovým východiskom

Moderné systémy často transformujú osobné údaje pred ich použitím. Extrahujú dátum z dokumentu, klasifikujú správu, vypočítajú skóre, odvodzujú jazyk, vytvárajú vyhľadávací index, generujú súhrn, prepájajú dva účty alebo premieňajú text a obrázky na vektory používané na vyhľadávanie podobnosti. Tieto transformácie môžu byť užitočné. Môžu tiež vyvolať dojem, že organizácia prekonala osobné údaje. Nemusí to tak byť.

GDPR je technologicky neutrálne. Jeho recitály vysvetľujú, že pseudonymizované údaje, ktoré by sa dali pripísať fyzickej osobe pomocou dodatočných informácií, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe. Zároveň vysvetľujú, že identifikovateľnosť musí zohľadňovať všetky prostriedky, ktoré by prevádzkovateľ alebo iná osoba pravdepodobne použili, pričom sa zohľadňujú faktory ako náklady, čas, dostupná technológia a technologický vývoj. Otázkou nie je, či reprezentácia vyzerá ako meno v tabuľke. Otázkou je, či sa v skutočnom kontexte vzťahuje na identifikovanú alebo identifikovateľnú osobu.

Embedding túto pointu užitočne znepríjemňuje. Vo vyhľadávacom systéme môže byť dokument rozdelený na časti a reprezentovaný ako numerické vektory, aby dopyt dokázal nájsť sémanticky podobný materiál. Vektor nie je čitateľný odsek. Napriek tomu môže byť prepojený so zdrojovým dokumentom, nájomcom, používateľom, riadením prístupu, poľom metadát alebo kľúčom na vyhľadávanie. Môže systému umožniť vybrať osobné materiály v reakcii na dopyt. Organizácia ho nemôže nazvať anonymným len preto, že človek nedokáže zrekonštruovať vetu pohľadom na zoznam súradníc. Musí posúdiť reprezentáciu, súvisiace údaje, prostriedky prepojenia a účel spracovania.

To isté platí pre odvodené skóre. Skóre rizika, kategória preferencií alebo indikátor oprávnenosti môže obsahovať menej surových detailov ako zdrojové údaje a napriek tomu mať pre osobu závažné dôsledky. Môže ísť o osobné údaje, ak sa vzťahuje na identifikovanú alebo identifikovateľnú osobu. Vymazanie zdroja pri zachovaní skóre, ktoré naďalej ovplyvňuje rozhodnutie, nie je čistým riešením. Môže to jednoducho presunúť osobu do menej transparentnej formy. Systém potrebuje pravidlo pre odvodené údaje: ktoré sa vymažú so zdrojom, ktoré sa prepočítajú, ktoré sa už nesmú používať, ktoré sa musia uchovať na základe samostatnej povinnosti a kto o tom rozhoduje.

Neexistuje univerzálny technický test, ktorý by definitívne posúdil každý derivát. Niektoré agregované štatistiky môžu byť anonymné. Niektoré môžu zostať zraniteľné voči vyčleneniu jednotlivca alebo prepojeniu. Niektoré parametre modelu nemusia byť v danom kontexte primerane pripísateľné jednotlivcovi. Iné môžu byť spojené s tréningovými dátami, úzko zameraným modelom alebo útočnou plochou, ktorá mení hodnotenie. Koncept anonymných informácií podľa GDPR nie je len dekoratívny štítok pre dáta, ktoré sa stali nepohodlnými na interpretáciu. Prevádzkovateľ musí vykonať posúdenie založené na prostriedkoch a kontexte identifikácie.

Táto neistota nie je dôvodom označovať každý derivát za trvalo problematický. Je dôvodom na udržiavanie línie pôvodu. Tím by mal vedieť, ktoré vstupné kolekcie sa použili pre feature store, index, tréningový beh alebo reportovaciu tabuľku; ktoré verzie derivátu boli vytvorené; ktoré systémy ich spotrebúvajú; a akú reakciu musí spustiť zmena zdroja. Línia pôvodu mení nepríjemnú otázku na ohraničenú technickú úlohu. Bez nej sa každá žiadosť o práva stáva archeologickou expedíciou cez názvy úloh, storage buckety a spomienky niekoho na migráciu spred dvoch zím.

Strojové učenie prináša náročnú otázku, nie magickú výnimku

Strojové učenie sťažuje výmaz, pretože tréning nie je operácia ukladania súborov. Tréningový príklad môže ovplyvniť parametre prostredníctvom dlhej postupnosti aktualizácií, spolu s mnohými ďalšími príkladmi. Nasadený model mohol byť skopírovaný do niekoľkých prostredí. Neskorší model mohol byť doladený z predchádzajúceho. Tím môže používať vyhodnocovacie dáta, prompt-y, korpusy na vyhľadávanie a logy spätnej väzby, ktoré majú rôzne životné cykly. Ak sa dáta osoby dostali do takéhoto systému, organizácia nemôže zodpovedne odpovedať pokrčením pliec nad matematikou. Nemôže ani čestne sľúbiť, že jedno vymazanie z databázy odstráni všetok možný vplyv z každého parametra.

Prvým krokom je oddeliť systémy. Korpus na vyhľadávanie nie je natrénovaný model. Ak sa dokument používa ako zdroj pre vyhľadávanie, výmaz môže zahŕňať odstránenie alebo deaktiváciu dokumentu, jeho častí, metadát a záznamov v indexe, a následnú kontrolu, že vyhľadávanie sa k nemu už nedostane. Log promptov nie je úložisko embeddingov. Dátový súbor na doladenie nie je auditný záznam o bezpečnosti. Checkpoint modelu nie je aktuálny zdrojový záznam. Správna odpoveď sa môže líšiť pre každú plochu, ale odpoveď nemožno navrhnúť, kým nie sú plochy pomenované.

Pre tréningové dáta môže právna a technická analýza vyžadovať rozhodnutie, či je vhodné opätovné trénovanie, nahradenie, obmedzenie, uchovanie alebo iné opatrenie. Výskum v oblasti strojového zabúdania je relevantný, pretože skúma metódy na zníženie vplyvu konkrétnych dát bez opätovného trénovania modelu od začiatku. Nie je to všeobecný certifikát, že systém zabudol. Metódy majú predpoklady, triedy modelov, dátové podmienky a limity overenia. Organizácia by nemala predávať experimentálnu techniku ako univerzálnu implementáciu článku 17. Nemala by ani čakať na dokonalú techniku pred navrhnutím lepších kontrol dát.

Lepšie kontroly začínajú vyššie v procese. Minimalizujte zbierané dáta. Oddeľte osobné údaje od tréningového materiálu tam, kde to zamýšľaný účel umožňuje. Stanovte dobu uchovávania skôr, než akumulácia urobí otázku emocionálne nákladnou. Uchovávajte verzované záznamy dátových súborov a tréningových behov. Uveďte explicitne podmienky opt-in alebo iné zákonné podmienky tam, kde sú relevantným základom. Zabráňte tomu, aby sa produkčný archív promptov ticho stal korpusom na vývoj modelu. Udržujte vyhodnocovací a podporný materiál odlíšiteľný od tréningových dát. Čím menej systém spolieha na neznámy pôvod, tým presnejšie môže odpovedať na otázku výmazu.

Aj slovo „vplyv“ má svoje hranice. Človek sa môže obávať, že text bol kedysi súčasťou tréningovej množiny. Technický tím môže byť schopný určiť, že zdrojový záznam bol odstránený zo súčasného korpusu, ale nedokáže vo filozofickom zmysle dokázať, že v žiadnom parametri historického modelu nezostal žiadny fragment vplyvu. Zákon o ochrane osobných údajov sa nestáva jednoduchším, keď organizácia nahradí konkrétny opis metafyzikou. Povinnosťou je posúdiť spracúvanie, právne základy a opatrenia podľa zákona. Organizácia by mala vysvetliť rozsah svojho záveru, systémy, ktoré pokrýva, a zostávajúce obmedzenie. Presnosť je láskavejšia ako prehnaný sľub.

Pre nasadzovateľov umelej inteligencie praktické bremeno často spočíva rovnako na obstarávaní ako na inžinierstve. Dodávateľ by mal vedieť vysvetliť, čo robí s výzvami, nahranými súbormi, telemetriou a dobrovoľnou spätnou väzbou; ktoré z nich sa používajú na trénovanie alebo zlepšovanie služieb; aké existujú mechanizmy uchovávania; ako môže zákazník získať informácie potrebné na reagovanie na žiadosti o práva; a čo sa deje v zdieľanom prostredí v porovnaní s vyhradeným. Zmluva, ktorá len hovorí „v súlade s GDPR“, neposkytla informácie potrebné na vykonanie procesu výmazu. Poskytla prídavné meno.

Vyhľadávače učia užitočnú lekciu o vrstvách

Judikatúra Súdneho dvora o deindexácii je tu užitočná práve preto, že je užšia ako populárny pojem „právo byť zabudnutý“. Prípady sa týkajú toho, či a za akých podmienok musí vyhľadávač odstrániť odkazy z výsledkov vyhľadávania podľa mena. Nevytvárajú jednoduchú právomoc meniť históriu pri jej zdroji. Toto rozlíšenie ukazuje, že otázky ochrany súkromia sa často týkajú toho, ako sú informácie sprístupňované, prepájané a zosilňované, nielen toho, či záznam kedysi existoval.

V prípade Google Spain Súdny dvor posudzoval odkazy vo výsledkoch vyhľadávača na stránky publikované treťou stranou. Rozhodnutie objasnilo, že činnosť vyhľadávača môže predstavovať spracúvanie osobných údajov a že za určitých podmienok môže byť prevádzkovateľ povinný odstrániť odkazy z výsledkov zobrazených po vyhľadávaní podľa mena osoby. Rozhodnutie nebolo príkazom pre noviny, ktoré pôvodné oznámenia uverejnili. Vlastník systému, ktorý sa pozerá na internú znalostnú bázu, sa z toho môže poučiť: indexy vyhľadávania, ukážky a poradie výsledkov sú spracovateľské vrstvy s vlastnými dôsledkami.

Prípad GC a Others sa zaoberal žiadosťami o odstránenie odkazov na webové stránky obsahujúce citlivé osobné údaje. Súdny dvor sa zaoberal vyvažovaním a povinnosťami, ktoré môžu vzniknúť prevádzkovateľovi vyhľadávača. Prípad Google v CNIL sa zaoberal územným rozsahom a rozhodol, že za okolností tohto prípadu právo EÚ nevyžadovalo deindexáciu vo všetkých verziách vyhľadávača na celom svete, zároveň však vyžadovalo účinné opatrenia na zabránenie alebo vážne odrádzanie od prístupu z členských štátov k odkazom odstráneným z verzií EÚ. Prípady TU a RE sa týkali žiadosti týkajúcej sa údajne nepresných informácií a objasnili prvky dôkazného bremena a zaobchádzanie s ukážkovými obrázkami. Tieto rozsudky sú právne rozhodnutia špecifické pre dané skutkové okolnosti, nie kontrolný zoznam pre nasadenie. Spoločne poukazujú na systémový bod: odkaz, zoznam výsledkov, ukážka obrázka a pôvodná stránka nemajú automaticky rovnaký prostriedok nápravy.

Tento bod sa dobre prenáša. Podnikový portál môže zákonne uchovávať zdrojový záznam na obmedzený účel, zatiaľ čo prístup cez široké vyhľadávacie rozhranie je neprimeraný. Systém technickej podpory môže potrebovať chránený záznam auditu, zatiaľ čo jeho automatické dopĺňanie by nemalo zobrazovať údaje bývalého zákazníka veľkej skupine. Dokument môže byť odstránený z korpusu na vyhľadávanie, zatiaľ čo súhrn vygenerovaný modelom zostane v inom úložisku. Správnou reakciou nie je vyhlásiť každú vrstvu za identickú. Je ňou pochopiť, ako vrstva mení vystavenie, účel a riziko.

Varuje tiež pred obľúbenou skratkou: predpokladom, že viditeľnosť je jediným problémom ochrany súkromia. Záznam môže byť technicky skrytý a napriek tomu spracúvaný, dopytovaný, profilovaný, prenášaný alebo obnovený. Naopak, organizácia môže potrebovať starostlivo obmedzený záznam, aby dokázala, že reagovala správne, chránila právny nárok alebo splnila zákonnú povinnosť. Súkromie nie je súťaž o vytvorenie čo najmenšieho množstva údajov za každých okolností. Je disciplínou účelu, nevyhnutnosti, proporcionality a kontroly.

Preto by inventár výmazov mal zahŕňať cesty vyhľadávania a prezentácie. Treba si položiť otázku, ktoré indexy záznam nesú, ktoré vyrovnávacie pamäte ho obsluhujú, ktoré exporty ho obsahujú, ktoré API ho vracajú, ktoré odvodené polia sa používajú na hodnotenie alebo odporúčanie a ktoré cesty obnovy zo záloh by ho mohli oživiť. Zoznam nebude elegantný. Bude užitočnejší ako elegancia.

Preukázanie je niečo iné ako tvrdenie

Keď systém tvrdí, že dokáže vymazať údaje, vznikajú dve samostatné otázky. Prvou je, či má dizajn legitímnu a zdokumentovanú cestu, ako to urobiť. Druhou je, či organizácia dokáže preukázať, že táto cesta bola dodržaná pri konkrétnej žiadosti bez uchovania väčšieho množstva osobných materiálov, než si preukázanie vyžaduje. Prvá je vlastnosťou produktu. Druhá je zodpovednosťou.

Užitočný záznam o výmaze je zámerne skromný. Nemusí reprodukovať celú žiadosť osoby, dokumenty alebo históriu účtu v novej databáze zhody. Môže zaznamenať referenciu žiadosti, výsledok overenia totožnosti, ak je to vhodné, kategóriu žiadosti, príslušné systémy, rozhodnutie a právne odôvodnenie na primeranej úrovni, dátumy úkonov, výnimky alebo dôvody uchovávania, oznámenia príjemcom, ak sa vyžadujú, a stav asynchrónneho výmazu alebo uplynutia platnosti záloh. Presné polia závisia od prevádzkovateľa a kontextu. Dôležité je, aby neskorší kontrolór videl cestu bez rekonštrukcie citlivého obsahu z fragmentov.

Overenie by malo zodpovedať povrchu údajov. Záznam v živej aplikácii možno skontrolovať potvrdením, že autorizované vyhľadávanie ho už nevracia. Vyhľadávací systém možno testovať pôvodným identifikátorom a relevantnými vzormi dopytov, pričom sa treba vyhnúť širokým pokusom o znovuvytvorenie osobného obsahu. Index môže hlásiť svoj stav výmazu. Fronta môže ukázať dokončenie. Proces zálohovania môže ukázať, že obraz na obnovu je chránený podľa pravidla uchovávania a že obnova aplikuje aktuálny register výmazov alebo ekvivalentnú kontrolu. Overenie nemusí dokazovať metafyzický negatív. Musí poskytnúť dôkazy primerané tvrdeniu, ktoré sa robí.

Je tu nenápadná pasca. Tím môže vytvoriť pôsobivý dashboard so všetkými zelenými svetlami a bez stabilného vzťahu k práci. Zmysluplný dashboard uvádza povrch údajov, akciu, stav, vlastníka, dôkazy a ďalšiu kontrolu. Umožňuje rozlíšiť „žiadosť prijatá“, „živý záznam vymazaný“, „oznámenie príjemcovi čaká“, „záloha čaká na uplynutie platnosti“ a „uchované na základe zákonnej povinnosti“. Tieto stavy majú rôzny význam. Zlúčiť ich do položky vymazané zmení neistotu na dizajn používateľského rozhrania.

Preukázateľný výmaz závisí aj od riadenia zmien. Zdrojový systém môže byť nahradený, môže pribudnúť spracovateľ, zmeniť sa formát indexu, zaviesť nový analytický cieľ alebo sa môže upraviť politika uchovávania dodávateľa umelej inteligencie. Ak sa postup výmazu neaktualizuje spolu s týmito zmenami, postup postupne opisuje systém, ktorý už neexistuje. Výsledok je známy z akejkoľvek prevádzkovej disciplíny: krásna príručka a skutočná služba sa pohybujú opačným smerom. Pravidelné testovanie malej vzorky cesty, vrátane problematického systému, je zvyčajne výpovednejšie ako objednanie veľkého dokumentu o zabezpečení, ktorý nikto nedokáže vykonať.

Pre orgán verejnej moci alebo regulovaný podnik to nie je úzka záležitosť útvaru ochrany súkromia. Dátový ochranca môže usmerňovať interpretáciu, ale za rozhrania a mechanizmy výmazu zodpovedá inžiniering, za účel a používateľskú cestu produkt, za informačné povinnosti voči dodávateľom obstarávanie, za prístup a kontroly obnovy bezpečnosť a za vykonanie pod tlakom prevádzka. Jediný vlastník nemôže sám skontrolovať každú vrstvu. Vrstva bez vlastníka sa nestane bezpečnou tým, že sa o nej ťažko hovorí.

Obhájiteľný proces zaznamenáva svoje rozhodnutie a vykonanie bez toho, aby vytváral druhý, zbytočný životopis človeka.

Uchovávanie je druhá polovica výmazu

Mnohé problémy s výmazom začínajú dávno pred žiadosťou. Začínajú vtedy, keď systém nemá žiadne rozhodnutie o uchovávaní. Údaje prichádzajú, pretože by sa mohli stať užitočnými. Denníky sa stávajú trvalými, pretože úložisko je lacné. Exporty sa uchovávajú, pretože budúci audit by sa na ne mohol pýtať. Tréningové údaje sa hromadia, pretože by z nich mohol profitovať neskorší model. Každé rozhodnutie sa v izolácii zdá neškodné. Spolu menia organizáciu na vlastníka veľkého, slabo pochopeného archívu a každú žiadosť o výmaz predražujú, robia ju neistejšou a spornejšou.

Zásada obmedzenia uchovávania podľa GDPR hovorí, že osobné údaje by sa mali uchovávať vo forme, ktorá umožňuje identifikáciu dotknutých osôb, nie dlhšie, než je nevyhnutné na účely, na ktoré sa spracúvajú, s výhradou dlhšieho uchovávania na účely archivácie vo verejnom záujme, vedeckého alebo historického výskumu či štatistických účelov, ak sa uplatňujú primerané záruky. Táto zásada nepredpisuje jeden kalendár pre každú organizáciu. Vyžaduje si úsudok viazaný na účel. Plán uchovávania by preto mal uvádzať kategórie údajov, účel, právny základ, bežnú lehotu, spúšťaciu udalosť, výnimku, opatrenie pri likvidácii, vlastníka a bod kontroly. „Tak dlho, ako je to potrebné“ je zásada. Stáva sa prevádzkovým pravidlom až vtedy, keď niekto dokáže povedať, na čo je to potrebné, dokedy a kto o tom rozhodol.

Táto štruktúra je užitočná pre AI, pretože zabraňuje tomu, aby jeden široký štítok, napríklad tréningové údaje, skrýval niekoľko rôznych vecí. Surový príspevok, vyčistený dátový súbor, sada vlastností, verzia modelu, história výziev, vyhodnocovacia sada a monitorovací denník môžu mať rôzne účely a rôzne hľadiská uchovávania. Ich spojenie do jedného neurčitého celku zhoršuje inováciu aj zodpovednosť. Ich oddelenie nezaručuje právnu odpoveď, ale umožňuje ju.

Rozhodnutia o uchovávaní tiež profitujú z podmienky odmietnutia. Čo by nás prinútilo prestať to uchovávať? Ukončená zmluva, vyriešený spor, koniec zákonnej lehoty, ukončené bezpečnostné vyšetrovanie, nahradená verzia modelu, uplynutie okna obnovy alebo rozhodnutie nepokračovať vo výskumnom účele môžu byť skutočnými spúšťačmi. Nejde o to automatizovať hodiny výmazu pre všetko. Ide o to vyhnúť sa systému, v ktorom je jedinou podmienkou uchovávania údajov to, že ich zatiaľ nikto nemusel vysvetľovať.

Je tu jeden malý holandský inštinkt, ktorý sa oplatí zachovať: skriňa nie je zorganizovaná preto, že má dvere. Je zorganizovaná preto, že v nej nájdete potrebnú vec, viete, prečo tam je, a môžete ju odstrániť bez sťahovania. Dátový majetok si zaslúži prinajmenšom túto úroveň. Plán uchovávania, ktorý neprežije rozhovor s ľuďmi prevádzkujúcimi systém, nie je plán. Je to predpoveď počasia napísaná právnickým jazykom.

To neznamená, že každá organizácia musí centralizovať každé rozhodnutie o výmaze. Miestne tímy často rozumejú svojim procesom lepšie. Znamená to, že miestne pravidlá potrebujú spoločné koncepty, viditeľné vlastníctvo a cestu na eskaláciu. Inak je archív jedného tímu porušením pre druhý tím a žiadosť človeka sa prediera bludiskom zdvorilo pomenovaných služieb.

Čo môže povedať čestný dodávateľ umelej inteligencie

Čestný dodávateľ umelej inteligencie netvrdí, že všetky dáta zákazníkov sa vyparia, keď príde žiadosť. Ani sa neskrýva za náročnosťou modelov. Opisuje hranicu služby. Čo sa spracúva na inferenciu. Čo sa uchováva na správu účtu, bezpečnosť, podporu, fakturáciu alebo prevenciu zneužitia. Či sa ukladajú výzvy a výstupy. Či sa používajú na trénovanie, vyhodnocovanie alebo zlepšovanie služby. Ktorí spracovatelia a regióny sú zapojení. Ako si zákazníci môžu nakonfigurovať uchovávanie. Aká dokumentácia existuje pre žiadosti dotknutých osôb. Ktoré úkony sú okamžité, ktoré asynchrónne a ktoré závisia od samostatného právneho posúdenia.

Pre kupujúcich sú otázky pri obstarávaní praktické. Vieme získať jasnú mapu toku dát? Vieme identifikovať úlohy prevádzkovateľa a sprostredkovateľa pre príslušné spracúvanie? Vieme exportovať alebo vymazať materiál použiteľným spôsobom? Sú indexy na vyhľadávanie a odvodené úložiská zahrnuté v zdokumentovanom životnom cykle? Čo sa stane so zálohami? Ako sa oznamujú zmeny subdodávateľov? Môže nám poskytovateľ pomôcť odpovedať na žiadosť v rámci príslušného časového rámca? Sú použitia na trénovanie a zlepšovanie služby opt-in, opt-out, zmluvne vylúčené alebo opísané len na stránke, ktorá sa môže po kúpe zmeniť? Aké technické záznamy sú k dispozícii na preukázanie konania?

Odpovede sa budú líšiť. Veľká zdieľaná služba nemôže vždy ponúknuť rovnakú kontrolu ako vyhradené prostredie. Bezpečnostný denník sa nedá vždy vymazať v rovnakom okamihu ako profil účtu. So zákonným archívom sa nedá zaobchádzať ako so spotrebiteľskou preferenciou. Tieto rozdiely nie sú nevyhnutne zlyhaniami. Mlčanie o nich áno. Správna reakcia kupujúceho je zosúladiť zdokumentované správanie služby s účelom, povinnosťami a rizikom organizácie. Produkt môže byť nevhodný na vysoko citlivú úlohu, aj keď je úplne vhodný ako nástroj na písanie s nízkym rizikom.

V spoločnosti Dweve naše Trust Centre zastáva rovnaký úzky pohľad na dôkazy. Verejná stránka môže opísať kontroly a hranice dokumentácie, ale nemôže certifikovať každé nasadenie zákazníka ani rozhodnúť o zákonnom základe spracúvania zákazníka. Táto hranica je dôležitá. Platforma môže podporovať kontroly uchovávania, záznamy a kontrolovateľné pracovné postupy. Organizácia, ktorá ju používa, stále vlastní svoj účel, svoje rozhodnutia o dátach a rozhodnutie odpovedať konkrétnej osobe. Dobrý produktový text by mal túto zodpovednosť objasniť, nie si ju potichu privlastniť.

Najhodnotnejšie vyhlásenie dodávateľa je často obmedzenie. „Tento záznam zostane v chránených zálohách, kým neskončí uvedené obdobie rotácie.“ „Táto služba nepoužíva určený obsah zákazníka na trénovanie podľa týchto podmienok.“ „Tento index sa odstraňuje asynchrónne a stav je možné skontrolovať tu.“ „Toto tvrdenie nemôžeme urobiť pre integráciu tretej strany.“ Tieto vety sa môžu zdať menej magické ako univerzálny sľub o súkromí. Umožňujú kupujúcemu navrhnúť skutočný proces.

Otázky, ktoré stojí za to položiť, kým žiadosť príde

Organizácia nemusí vymýšľať porušenie, zúfalého jednotlivca ani hrdinský nočný incident, aby otestovala svoj návrh výmazu. Môže použiť jasne označenú hypotetickú žiadosť počas bežného pracovného času. Predpokladajme, že osoba žiada o vymazanie materiálu uloženého v systéme určenom pre zákazníkov. Ktorý tím žiadosť dostane? Ako sa overí totožnosť bez zhromažďovania nadmerných nových informácií? Ktoré účely sú relevantné? Ktoré systémy obsahujú zdrojové údaje, odvodené údaje, indexy, protokoly, vyrovnávacie pamäte, exporty a kópie na obnovenie? Ktorí spracovatelia potrebujú pokyn alebo oznámenie? Ktorá výnimka alebo povinnosť uchovávania, ak nejaká existuje, sa uplatňuje? Kto môže rozhodnúť? Kto môže vykonať? Ako organizácia vysvetlí výsledok?

Potom si položte nepríjemné technické otázky. Dokáže operátor nájsť aktuálny inventár údajov bez bývalého inžiniera? Dá sa vyhľadávací index skontrolovať nezávisle od jeho zdrojovej tabuľky? Objaví sa vymazaný identifikátor znova po obnovení? Používajú dávkové úlohy staré snímky? Dá sa úložisko vložení prepojiť s jeho dokumentmi a nájomcom? Zachytáva monitorovací kanál obsah výziev štandardne? Riadia sa exportné súbory rovnakými pravidlami uchovávania ako ich zdroj? Vytvára záznam o dôkazoch novú hromadu citlivého obsahu? Toto nie sú okrajové prípady pridané na to, aby politika vyzerala seriózne. Sú to bežné dôsledky systémov, ktoré vytvárajú kópie, aby fungovali.

Nakoniec si položte otázku riadenia: čo by prinútilo organizáciu zmeniť svoju odpoveď? Nová právna povinnosť, sporná totožnosť, otvorený právny nárok, zmenené dojednanie s dodávateľom, neúspešné overenie výmazu, obnovená záloha, nový modelový kanál alebo rozhodnutie regulačného orgánu môžu mať každé svoj význam. Proces bez spúšťača preskúmania je jednoducho počiatočný odhad, ktorý bol povýšený na politiku.

Nič z toho nenahrádza právne poradenstvo v konkrétnom prípade. Požiadavky GDPR, vnútroštátne právo, sektorové povinnosti, zmluvy a skutkové okolnosti spracúvania všetko záleží. Organizácie však nepotrebujú právny spor, aby začali navrhovať podmienky pre zrozumiteľnú odpoveď. Potrebujú poznať svoje systémy dostatočne dobre na to, aby prestali ponúkať jednoduchý sľub pre komplikovanú realitu.

Súkromie je kvalita zvyšku

Ambícia výmazu nie je urobiť minulosť neskutočnou. Je dať ľuďom zmysluplnú kontrolu tam, kde údaje už nie je potrebné spracúvať, kde bol súhlas odvolaný, kde je spracúvanie nezákonné alebo kde sa uplatňuje iný dôvod podľa článku 17. Vyžaduje, aby prevádzkovatelia považovali osobné údaje za niečo držané na účel, nie za surovinu s neobmedzeným nájomom. Vyžaduje, aby vysvetľovali výnimky namiesto toho, aby ich používali ako hmlový stroj. Vyžaduje, aby systémy niesli dostatok pôvodu na to, aby zabúdanie mohlo byť zámerné.

Pre digitálne služby je tichým testom to, čo zostane. Po odstránení záznamu z obrazovky produktu, čo je stále aktívne? Po odchode dokumentu z korpusu na vyhľadávanie, aké odvodené zobrazenie ho stále vyberá? Po vymazaní účtu, aký protokol sa uchováva, na aký účel a ako dlho? Po obnovení zálohy, čo bráni návratu vyradeného záznamu? Po zmene modelu, aká história údajov sa dá preskúmať? Po uzavretí žiadosti, môže organizácia preukázať svoju prácu bez vytvárania ďalšieho skrytého profilu?

Systém len zriedka odpovie na všetky tieto otázky jednou akciou a jednou časovou pečiatkou. To je normálne. Čo normálne nie je, je predstierať, že otázky zmiznú, pretože údaje sú ťažké, distribuované alebo ziskové. Súkromie nie je moment, keď služba spozná príkaz na vymazanie. Je to to, čo zostane po tom, čo sa systém naučil zabúdať s účelom, hranicou a záznamom o vlastnej zdržanlivosti.

Zdroje