Zasebnost je tisto, kar ostane, ko se sistem nauči pozabiti.

Pravica do izbrisa ni gumb z oznako »izbriši«. V sodobnih sistemih je to disciplinirano vprašanje o kopijah, izpeljanih podatkih, dokazih, izjemah in o tem,...

Zasebnost je tisto, kar ostane, ko se sistem nauči pozabiti.

Pozabljanje ni nasprotje spominjanja

Papirnata mapa ima pomirjujoče oprijemljivo življenje. Prispe, se nekam odloži, se kopira, če ima kdo kopirni stroj, in na koncu konča v uničevalniku ali arhivu. Težji del je morda odločitev, ali jo je treba uničiti, a sam predmet je prijazno končen. Digitalni zapis je manj vljuden. Lahko je shranjen kot vrstica, priloga, iskalni indeks, predogled sporočila, blok varnostne kopije, revizijski vnos, funkcija v vhodnih podatkih modela, vektor v zbirki vdelav, predpomnjena odgovor ali vrednost, ki je potovala v sistem druge organizacije. Ni dovolj vprašati, kje živi izvirnik. Bolj uporabno vprašanje je, kaj je bilo iz njega narejeno, kaj še vedno omogoča identifikacijo posameznika in kakšen namen ima vsaka preostala sled.

To je praktično dostojanstvo pravice do izbrisa. Pogosto se imenuje pravica do pozabe, kar je slikovita, a nepopolna besedna zveza. Človeško pozabljanje je naključno, delno in polno nerodnih vrnitev. Zakonit postopek izbrisa mora biti premišljen. Ločiti mora zapis, ki ga je treba odstraniti, od zapisa, ki ga je treba hraniti, ker to zahteva zakon, spornega zahtevka, ki mora ostati na voljo za pravno obrambo, in tehničnega ostanka, ki ga je mogoče izolirati do njegovega predvidenega izteka. Upreti se mora tudi uporabnemu korporativnemu nagonu: obravnavanju izbrisa kot stanja zaslona in ne kot lastnosti sistema.

Splošna uredba o varstvu podatkov ne obljublja, da bo vsaka postavka, povezana s posameznikom, na zahtevo izginila. Člen 17 določa okoliščine, v katerih mora upravljavec izbrisati osebne podatke brez nepotrebnega odlašanja, vključno s primeri, ko podatki niso več potrebni za namen, za katerega so bili zbrani ali obdelani, ko je preklicano soglasje in ni druge pravne podlage ter ko je bila obdelava nezakonita. Isti člen določa omejitve. Izbris se ne uporablja, kadar je obdelava potrebna, na primer, za uresničevanje svobode izražanja in obveščanja, izpolnjevanje pravne obveznosti, opravljanje nalog v javnem interesu v nekaterih okoliščinah, namene javnega zdravja, arhiviranje, raziskovanje ali statistiko ob ustreznih zaščitnih ukrepih ali za uveljavljanje pravnih zahtevkov. To ni vrzel v obljubi. To je dejanska oblika te pravice.

Torej vprašanje za lastnika sistema ni: »Ali lahko izbrišemo podatke?« Skoraj vsak sistem lahko nekaj izbriše. Vprašanje je, ali lahko organizacija za določeno zahtevo in določen namen obdelave pojasni, katere podatke ima, kaj se je s temi podatki zgodilo, kaj jih je dolžna ali upravičena hraniti, katere nadaljnje prejemnike je treba obvestiti in kako je mogoče preveriti izvedeno dejanje. Razlika se sliši postopkovna. V praksi je arhitekturna. Izdelek, ki zna samo dodajati informacije, bo ugotovil, da je izbris veliko dražja funkcija.

To je še posebej izrazito pri sistemih umetne inteligence, vendar ni omejeno nanje. Iskanje, analitika, podpora strankam, identiteta, varnostno spremljanje in upravljanje dokumentov ustvarjajo izpeljanke. Model problemu samo nadene nova imena: žetoni, gradienti, vdelave, iskalni indeksi, pozivi in izhodi. Nobena od teh oznak ne razblini temeljnega vprašanja, ali fizična oseba ostaja prepoznavna. Prav tako tehnični izraz tiho ne odgovori na pravno vprašanje. Vdelava ni samodejno anonimna, ker jo je težko prebrati. Dnevnik ni samodejno nujen, ker je uporaben. Varnostna kopija ni samodejno izvzeta, ker je nepriročna.

Zasebnost po pozabi torej ni prazen list. Je preostalo stanje, ki ostane, potem ko se organizacija zakonito, sorazmerno in preverljivo odloči, česa ne bi smela več obdelovati. Kakovost tega preostalega stanja ljudem pove o sistemu veliko več kot prisotnost gumba za izbris.

Pravica ima pogoje, zaradi česar je močnejša

Evropsko pravo varstva podatkov je včasih opisano, kot da posamezniku ponuja univerzalni rdeči gumb. Ta slika je dovolj urejena za predstavitev in dovolj napačna, da povzroča težave. Člen 17 je vezan na namen, pravno podlago in okoliščine obdelave. Vsebuje pravico, obveznosti upravljavcev in izjeme, ki varujejo druge pravice in javne interese. Odgovoren odziv se začne z ugotavljanjem identitete vlagatelja, kjer je to potrebno, z razumevanjem podatkov in namena obdelave ter z odločitvijo, ali velja podlaga iz člena 17 in izjema. Odgovor je lahko izbris. Lahko je obrazložena zavrnitev v celoti ali delno. Lahko je omejitev obdelave, dokler se spor ne reši. Lahko pa gre tudi za zahtevo, ki se nanaša na sistem, ki ga organizacija ne obvladuje.

To ni razlog, da bi zahtevo posameznika spremenili v majhno poligon z ovirami. Splošna uredba o varstvu podatkov od upravljavcev zahteva, da olajšajo uresničevanje pravic. Člen 12 zahteva, da so informacije in sporočila o ukrepih v zvezi z zahtevo jedrnati, pregledni, razumljivi in lahko dostopni. Na splošno zahteva, da se informacije o ukrepih zagotovijo brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu od prejema. To obdobje se lahko podaljša še za dva meseca, kjer je to potrebno, ob upoštevanju zahtevnosti in števila zahtev, vendar mora upravljavec posameznika o podaljšanju in razlogih zanj obvestiti v prvem mesecu. Sistem, ki svojih podatkovnih tokov ne more prepoznati do tretjega meseca, ni našel postopkovne obrambe. Našel je problem upravljanja.

Smernice Evropskega odbora za varstvo podatkov za mala in srednja podjetja operativno stališče pojasnjujejo jasno: ljudje lahko v določenih okoliščinah zaprosijo za izbris, organizacije pa bi morale imeti postopke za odzivanje na zahteve v zvezi s pravicami. Postopek ni pravno mnenje, shranjeno v skupni mapi. Je delovna pot od zahteve do odločitve in izvedbe. Vključuje vloge, ki lahko sprejmejo odločitev, zemljevide podatkov, ki jim omogočajo vpogled v zadevno obdelavo, dobavitelje in prejemnike, ki jih bo morda treba obvestiti, roke hrambe, ki pojasnjujejo izjemo, in dokaze, ki poznejšemu pregledovalcu omogočijo razumevanje, kaj je bilo storjeno.

Sodišče je pomagalo razkriti še eno razliko. Njegove sodbe o odreferenciranju se nanašajo na prikaz povezav s strani iskalnikov, ne pa na navodilo za izbris osnovne objave s spletišča vira. V zadevi Google Spain je Sodišče odločilo, da je lahko upravljavec iskalnika odgovoren za obdelavo osebnih podatkov, ki se pojavljajo na spletnih straneh, ki so jih objavile tretje osebe, in da lahko posameznik v določenih okoliščinah zahteva odstranitev povezav s seznama rezultatov, prikazanega po iskanju po imenu posameznika. V poznejših zadevah je Sodišče obravnavalo vprašanja, vključno z občutljivimi podatki, ozemeljsko veljavnostjo odreferenciranja in netočnimi informacijami. Te zadeve ne spremenijo vsakega neželenega dejstva v zahtevek za izbris. Pokažejo, zakaj mora sistem poimenovati raven, na kateri je težava: izvorna objava, indeks, seznam rezultatov, predpomnilnik, izvleček ali druga kopija.

Ta disciplina ravni je pomembna tudi znotraj organizacij. Zaposleni lahko od upravljavca zahteva izbris kontaktnega zapisa, ki za namen zaposlovanja ni več potreben. Upravljavec bo morda moral oceniti ločeno obveznost hrambe za dokaze o izplačilu plač ali enakem obravnavanju. Javni organ lahko obdeluje zapis na podlagi zakonske naloge in mora oceniti veljavno pravo, namesto da ponovi odgovor iz zasebnega sektorja. Založnik bo morda moral pretehtati svobodo izražanja in obveščanja. Rezultata ni mogoče določiti samo z besediščem podatkovnih zbirk.

Zamerati tem pogojem je skušnjava, ker preprečujejo preprosto obljubo. A prav ti pogoji dajejo obljubi pomen. Pravica, ki spregleda pravne dolžnosti, druge temeljne pravice in praktično razliko med sistemi, bi se izrodila v obred. Evropski pristop zahteva odgovorno odločitev, ne teatralne. To terja več dela. Prav tako naredi zavrnitev izpodbojno in izbris verodostojen.

Izbris se začne z opredelitvijo mest obdelave. Diagram je zemljevid sistema, ne trditev, da ima vsako mesto enako pravno obravnavo.

Zapis lahko izgine z zaslona in ostane v sistemu

Najlažji neuspeh pri izbrisu pozna vsak, ki je kdaj zgradil aplikacijo: element odstraniš iz uporabniškega vmesnika, osnovne podatke pustiš v shrambi in domnevaš, da je delo opravljeno, ker jih običajni uporabniki ne vidijo več. Včasih je mehki izbris povsem prava operativna zasnova. Lahko omogoči kratko obdobje za razveljavitev, naredi podvajanje varno ali prepreči prekinitev razmerja, ki ga je treba razrešiti. A mehki izbris ni izbris samo zato, ker je vmesnik postal tišji. Njegova uporaba mora biti povezana z opredeljenim namenom, obdobjem hrambe, nadzorom dostopa in poznejšim dejanjem, ki dejansko spremeni stanje podatkov.

Tudi trdi izbris ima svoje meje. Izbris vrstice lahko pusti iskalni indeks do naslednjega cikla indeksiranja. Shramba objektov ima lahko različice. Predpomnilnik za dostavo vsebine lahko hrani odziv do izteka veljavnosti ali razveljavitve. Čakalna vrsta sporočil lahko vsebuje dogodek, ki še ni bil obdelan. Podatkovno skladišče je morda že prevzelo posnetek. Storitev je morda podatke prenesla obdelovalcu, podizvajalcu ali prejemniku. Praktično spoznanje ni, da je izbris nemogoč. Je to, da organizacija potrebuje popis z zadostno natančnostjo, da te površine razlikuje, ter politiko, ki določa, kaj se zgodi na vsaki od njih.

Obstaja še nadaljnja razlika med vsebino in dokazom. Vstopnica za podporo strankam lahko vsebuje sporočilo posameznika. Sistem morda potrebuje zapis, da je vstopnica obstajala, bila rešena in izbrisana po odobrenem pravilu. Hraniti celotno sporočilo za vedno, da bi dokazali, da je bilo izbrisano, je mali birokratski mojstrski izdelek, ne pa ukrep za zasebnost. Boljša zasnova hrani le najmanjši dokaz, potreben za odgovornost, ločen od vsebine, ki nima več namena. Ta dokaz je lahko identifikator zahteve, vrsta odločitve, čas dokončanja, ustrezna kategorija hrambe in doseženi sistemi. Zasnova je odvisna od organizacije. Načelo ni: dokaz ne sme znova ustvarjati nepotrebnih osebnih podatkov.

Varnostne kopije si zaslužijo enako preprost jezik. Varnostna kopija je lahko potrebna za razpoložljivost, varnost ali obnovo po nesreči. Še vedno gre za obdelavo. Praktično vprašanje je, ali je varnostna kopija dostopna ločeno, kako dolgo ostane obnovljiva, kdo jo lahko obnovi, ali je vključena v običajni postopek izbrisa ter kako preprečiti, da bi obnovljeno okolje tiho znova uvedlo podatke, ki so bili medtem odstranjeni iz živega sistema. Razumna politika se lahko zanese na opredeljeno obdobje kroženja varnostnih kopij, namesto da bi vsak zgodovinski blok varnostne kopije spreminjala posebej. A politika mora to povedati, medtem zaščititi dostop in zagotoviti, da obnovitev tam, kjer je mogoče, sledi trenutnemu stanju podatkov. »Je v varnostni kopiji« opisuje težavo. Ni odgovor nanjo.

Dnevniki so podobni. Varnostni in operativni dnevniki so lahko ključnega pomena. Morda so edini zapis dostopa, neuspelega poskusa overitve ali produkcijske spremembe. Prav tako lahko hranijo identifikatorje, naslove, vsebino zahtevkov ali delčke vsebine, ki za diagnostiko nikoli niso bili potrebni. Dobro načrtovanje beleženja zmanjša zbiranje na viru, po potrebi prikrije ali psevdonimizira podatke, loči občutljive vsebine od metapodatkov dogodkov, omeji dostop in določi urnike hrambe. Poskušati odkriti vsako občutljivo polje med zahtevo za izbris je mogoče, a je slab nadomestek za odločitev ob načrtovanju, česa dnevnik ne bi smel nikoli vsebovati.

Tehnični lastnik za odgovorno ravnanje ne potrebuje obljube o takojšnjem in enotnem izbrisu na vseh napravah. Mora pa znati opisati življenjski cikel: kaj postane takoj nedostopno, kaj se odstrani v naslednjem obdelovalnem zagonu, kaj ostane v skladu z dokumentiranim urnikom hrambe, kaj ostane zaščiteno do izteka roka in kaj se zgodi ob obnovitvenem postopku. Ta opis da osebi, regulatorju in upravljavcu nekaj konkretnega za preverjanje. Zelena obvestilna pasica jim da zelo malo.

Izvedeni podatki niso izhod v sili

Sodobni sistemi osebne podatke pogosto preoblikujejo, preden jih uporabijo. Iz dokumenta izluščijo datum, razvrstijo sporočilo, izračunajo oceno, sklepajo o jeziku, ustvarijo iskalni indeks, pripravijo povzetek, povežejo dva računa ali pretvorijo besedilo in slike v vektorje za iskanje podobnosti. Te preobrazbe so lahko uporabne. Organizaciji pa lahko tudi vzbudijo občutek, da je presegla osebne podatke. Ni nujno, da jih je.

Splošna uredba o varstvu podatkov je tehnološko nevtralna. Njeni uvodni stavki pojasnjujejo, da je treba psevdonimizirane podatke, ki bi jih bilo mogoče z dodatnimi informacijami pripisati fizični osebi, obravnavati kot informacije o določljivi fizični osebi. Prav tako pojasnjujejo, da je treba pri določljivosti upoštevati vsa sredstva, za katera je razumno verjetno, da bi jih uporabil upravljavec ali druga oseba, ob upoštevanju dejavnikov, kot so stroški, čas, razpoložljiva tehnologija in tehnološki razvoj. Vprašanje ni, ali predstavitev spominja na ime v preglednici. Vprašanje je, ali se v dejanskem okviru nanaša na določeno ali določljivo osebo.

Vdelava ta vidik prikaže na uporabno neprijeten način. V sistemu za iskanje je dokument lahko razdeljen na dele in predstavljen kot številski vektorji, da lahko poizvedba poišče pomensko podobno gradivo. Vektor ni berljiv odstavek. Kljub temu je lahko povezan z izvornim dokumentom, najemnikom, uporabnikom, nadzorom dostopa, poljem metapodatkov ali iskalnim ključem. Sistemu lahko omogoči, da na podlagi poizvedbe izbere osebno gradivo. Organizacija tega ne more imenovati anonimno samo zato, ker človek iz seznama koordinat ne more obnoviti stavka. Oceniti mora predstavitev, povezane podatke, sredstva povezovanja in namen obdelave.

Enako velja za izvedeno oceno. Ocena tveganja, kategorija preference ali kazalnik upravičenosti lahko vsebuje manj surovih podrobnosti kot izvorni podatki, a ima kljub temu resne učinke za osebo. Gre lahko za osebne podatke, če se nanaša na določeno ali določljivo osebo. Izbris izvora ob ohranitvi ocene, ki še naprej vpliva na odločitev, ni čista rešitev. Osebo lahko preprosto prestavi v bolj nepregledno obliko. Sistem potrebuje pravilo za izpeljanke: katere se izbrišejo skupaj z izvorom, katere se preračunajo, katere se ne smejo več uporabljati, katere je treba hraniti na podlagi ločene obveznosti in kdo o tem odloča.

Ni univerzalnega tehničnega preizkusa, ki bi razrešil vsak derivat. Nekatere agregatne statistike so lahko anonimne. Nekatere so lahko še vedno ranljive za izpostavljanje posameznikov ali povezovanje. Nekaterih parametrov modela v danem kontekstu morda ni mogoče razumno pripisati posamezniku. Drugi so lahko povezani z učnimi podatki, ozko opredeljenim modelom ali napadalno površino, ki spremeni oceno. Pojem anonimnih informacij v GDPR ni okrasna nalepka za podatke, ki so postali nepriročni za interpretacijo. Upravljavec mora opraviti oceno, ki temelji na sredstvih in okoliščinah identifikacije.

Ta negotovost ni razlog, da bi vsak derivat opisali kot trajno sporen. Je razlog za vzdrževanje sledljivosti izvora. Ekipa bi morala vedeti, katere zbirke vhodnih podatkov so bile uporabljene za shrambo funkcij, indeks, učno izvedbo ali poročevalsko tabelo; katere različice derivata so bile ustvarjene; kateri sistemi jih uporabljajo; in kakšen odziv mora sprožiti sprememba vira. Sledljivost izvora spremeni neprijetno vprašanje v omejeno inženirsko nalogo. Brez nje vsaka zahteva v zvezi s pravicami postane arheološka odprava skozi imena opravil, shrambne predale in spomin nekoga na selitev pred dvema zimama.

Strojno učenje dodaja težko vprašanje, ne čarobne izjeme

Strojno učenje otežuje izbris, ker učenje ni operacija arhiviranja. Učni primer lahko vpliva na parametre skozi dolgo zaporedje posodobitev, skupaj s številnimi drugimi primeri. Nameščen model je morda kopiran v več okolij. Poznejši model je morda nastavljen na podlagi prejšnjega. Ekipa lahko uporablja evalvacijske podatke, pozive, zbirke za pridobivanje informacij in dnevnike povratnih informacij, ki imajo vsak svojo življenjsko dobo. Če so podatki osebe vstopili v tak sistem, organizacija ne more odgovorno odgovoriti s skomigni z rameni o matematiki. Prav tako ne more pošteno obljubiti, da en izbris v podatkovni zbirki odstrani ves možen vpliv iz vsakega parametra.

Prvi korak je ločitev sistemov. Zbirka za pridobivanje informacij ni naučen model. Če se dokument uporablja kot vir za pridobivanje informacij, lahko izbris vključuje odstranitev ali onemogočanje dokumenta, njegovih delov, metapodatkov in vnosov v indeksu, nato pa preverjanje, da pridobivanje informacij do njega ne dostopa več. Dnevnik pozivov ni shramba vdelav. Nabor podatkov za nastavljanje ni revizijska sled za varnost. Kontrolna točka modela ni trenutni izvorni zapis. Pravilen odziv je lahko za vsako površino drugačen, vendar odziva ni mogoče načrtovati, dokler površine niso poimenovane.

Za učne podatke lahko zakonita in tehnična analiza zahteva odločitev o tem, ali so primerni ponovno učenje, zamenjava, omejitev, hramba ali drug ukrep. Raziskave o strojnem pozabljanju so pomembne, ker raziskujejo metode za zmanjšanje vpliva določenih podatkov brez ponovnega učenja modela iz nič. Niso splošno potrdilo, da je sistem pozabil. Metode imajo predpostavke, razrede modelov, pogoje glede podatkov in omejitve preverjanja. Organizacija ne bi smela tržiti eksperimentalne tehnike kot univerzalne izvedbe člena 17. Prav tako ne bi smela čakati na popolno tehniko, preden oblikuje boljše nadzore nad podatki.

Boljši nadzori se začnejo pred vstopom podatkov v sistem. Zmanjšajte količino zbranih podatkov. Ločite osebne podatke od učnega gradiva, kjer to namen omogoča. Določite obdobje hrambe, preden kopičenje naredi vprašanje čustveno zahtevno. Vodite različice zapisov naborov podatkov in učnih izvedb. Izrecno opredelite pogoje privolitve ali druge zakonite pogoje, kjer so ustrezna podlaga. Preprečite, da bi produkcijski arhiv pozivov tiho postal korpus za razvoj modelov. Evalvacijsko in podporno gradivo naj bo mogoče razlikovati od učnih podatkov. Manj kot sistem temelji na neznanem izvoru, natančneje lahko odgovori na vprašanje o izbrisu.

Obstaja tudi omejitev besede »vpliv«. Posameznik je lahko zaskrbljen, da je bilo besedilo nekoč del učne množice. Tehnična ekipa lahko ugotovi, da je bil izvorni zapis odstranjen iz trenutnega korpusa, ne more pa v širšem filozofnem smislu dokazati, da v nobenem parametru zgodovinskega modela ne ostaja noben delček vpliva. Zakonodaja o varstvu zasebnosti ne postane preprostejša, ko organizacija konkretni opis zamenja z metafiziko. Obveznost je oceniti obdelavo, pravne podlage in ukrepe v skladu z zakonom. Organizacija mora pojasniti obseg svojega zaključka, sisteme, ki jih ta zajema, in preostalo omejitev. Natančnost je prijaznejša od pretirane obljube.

Za uvajalce umetne inteligence praktično breme pogosto ni nič manjše na področju nabave kot na področju inženiringa. Ponudnik bi moral znati pojasniti, kaj počne s pozivi, naloženimi datotekami, telemetrijo in neobveznimi povratnimi informacijami; kateri od teh se uporabljajo za usposabljanje ali izboljšanje storitve; kateri nadzor nad hrambo obstaja; kako lahko stranka pridobi informacije, potrebne za odziv na zahteve v zvezi s pravicami; in kaj se zgodi v skupnem okolju v primerjavi z namenskim. Pogodba, ki zgolj navaja »skladno s splošno uredbo o varstvu podatkov«, ni zagotovila informacij, potrebnih za izvedbo postopka izbrisa. Zagotovila je le pridevnik.

Iskalniki nas učijo koristne lekcije o plasteh

Sodna praksa Sodišča o razveljavitvi povezav je tu uporabna prav zato, ker je ožja od priljubljene fraze »pravica do pozabe«. Zadeve se nanašajo na vprašanje, ali in pod katerimi pogoji mora iskalnik odstraniti povezave iz rezultatov, prikazanih na podlagi iskanja po imenu. Ne ustvarjajo preproste moči za spreminjanje zgodovine pri njenem izvoru. To razlikovanje kaže, da se vprašanja zasebnosti pogosto nanašajo na to, kako so informacije na voljo, povezane in okrepljene, ne le na to, ali je zapis nekoč obstajal.

V zadevi Google Spain je Sodišče obravnavalo povezave v seznamu rezultatov iskalnika do strani, ki jih je objavila tretja oseba. Odločba je jasno pokazala, da lahko dejavnost iskalnika pomeni obdelavo osebnih podatkov in da mora upravljavec pod določenimi pogoji morda odstraniti povezave iz rezultatov, prikazanih po iskanju po imenu posameznika. Odločba ni bila ukaz časopisu, ki je objavil prvotna obvestila. Lastnik sistema, ki pregleduje notranjo bazo znanja, se lahko iz tega nauči: indeksi iskanja, predogledi in razvrščanje rezultatov so plasti obdelave s svojimi posledicami.

V zadevi GC in drugi so bila obravnavana vprašanja zahtev za odstranitev povezav do spletnih strani, ki vsebujejo občutljive osebne podatke. Sodišče je obravnavalo potrebno tehtanje in dolžnosti, ki lahko nastanejo za upravljavca iskalnika. Zadeva Google proti CNIL je obravnavala teritorialni obseg in v okoliščinah tega primera odločila, da pravo EU ne zahteva razveljavitve povezav na vseh različicah iskalnika po vsem svetu, hkrati pa zahteva učinkovite ukrepe za preprečevanje ali resno odvračanje dostopa iz držav članic do povezav, odstranjenih iz različic EU. Zadevi TU in RE sta se nanašali na zahtevo v zvezi z domnevno netočnimi informacijami ter pojasnili elemente dokaznega bremena in obravnavo sličic predogleda. Te sodbe so dejansko specifične pravne odločitve, ne kontrolni seznam za uvajanje. Skupaj izpostavljajo sistemsko spoznanje: povezava, seznam rezultatov, sličica predogleda in izvirna stran nimajo samodejno enakega pravnega sredstva.

To spoznanje se dobro prenaša. Korporativni portal lahko zakonito hrani izvorni zapis za omejen namen, medtem ko je dostop prek široke iskalne površine čezmeren. Tehnični sistem podpore morda potrebuje zaščiten vnos revizije, medtem ko njegov samodokončani predogled ne bi smel prikazati podatkov prejšnje stranke veliki skupini. Dokument je lahko odstranjen iz korpusa za pridobivanje, medtem ko povzetek, ki ga ustvari model, ostane v drugi shrambi. Pravilen odziv ni razglasitev, da so vse plasti enake. Pravilen odziv je razumeti, kako plast spremeni izpostavljenost, namen in tveganje.

Opozarja tudi na pogosto bližnjico: domnevo, da je vidnost edina težava glede zasebnosti. Zapis je lahko tehnično skrit, a se še vedno obdeluje, poizveduje, profilira, prenaša ali obnavlja. Nasprotno pa organizacija morda potrebuje skrbno omejen zapis, da dokaže, da se je odzvala ustrezno, zaščiti pravni zahtevek ali izpolni zakonsko obveznost. Zasebnost ni tekmovanje v ustvarjanju čim manj podatkov v vsaki mogoči okoliščini. Je disciplina namena, nujnosti, sorazmernosti in nadzora.

Zato bi moral popis izbrisov vključevati poti pridobivanja in prikaza. Vprašajte se, kateri indeksi nosijo zapis, kateri predpomnilniki ga strežejo, kateri izvozi ga vključujejo, kateri API-ji ga vračajo, katera izpeljana polja se uporabljajo za razvrščanje ali priporočanje ter katere poti obnovitve varnostnih kopij bi ga lahko znova oživele. Seznam ne bo eleganten. A bo bolj uporaben kot elegance.

Dokazovanje se razlikuje od zatrjevanja

Ko sistem trdi, da lahko izbriše podatke, se pojavita dve ločeni vprašanji. Prvo je, ali ima zasnova legitimno, dokumentirano pot za to. Drugo je, ali lahko organizacija dokaže, da je bila ta pot upoštevana pri določeni zahtevi, ne da bi pri tem ohranila več osebnih podatkov, kot jih dokazovanje zahteva. Prvo je zmogljivost izdelka. Drugo je odgovornost.

Uporaben zapis o izbrisu je namenoma skromen. Ni mu treba reproducirati celotne zahteve, dokumentov ali zgodovine računa posameznika v novi podatkovni zbirki za skladnost. Lahko zabeleži sklic zahteve, rezultat preverjanja identitete, kjer je to primerno, kategorijo zahteve, zadevne sisteme, odločitev in pravno utemeljitev na ustrezni ravni, datume ukrepov, izjeme ali razloge za hrambo, obvestila prejemnikom, kjer so zahtevana, ter stanje asinhronega izbrisa ali izteka varnostne kopije. Natančna polja so odvisna od upravljavca in okoliščin. Pomembno je, da lahko poznejši pregledovalec vidi pot, ne da bi iz delčkov poustvaril občutljivo vsebino.

Preverjanje bi se moralo ujemati s površino podatkov. Zapis v živi aplikaciji je mogoče preveriti s potrditvijo, da ga pooblaščeno iskanje ne vrne več. Sistem za pridobivanje je mogoče preizkusiti z izvirnim identifikatorjem in ustreznimi vzorci poizvedb, pri čemer se je treba izogibati širokim poskusom poustvarjanja osebne vsebine. Indeks lahko poroča o svojem stanju izbrisa. Čakalna vrsta lahko prikaže dokončanje. Postopek varnostnega kopiranja lahko pokaže, da je slika za obnovitev zaščitena v skladu s pravilom o hrambi in da obnovitev uporablja trenutni popis izbrisov ali enakovreden nadzor. Preverjanju ni treba dokazovati metafizičnega negativa. Zagotoviti mora dokaze, sorazmerne z zatrjevano trditvijo.

Tukaj se skriva zahrbtna past. Ekipa lahko zgradi impresivno nadzorno ploščo, kjer vse luči svetijo zeleno, a ni stabilne povezave z dejanskim delom. Smiselna nadzorna plošča navaja površino podatkov, ukrep, stanje, lastnika, dokaze in naslednji pregled. Omogoča razlikovanje med »zahteva sprejeta«, »živi zapis izbrisan«, »obvestilo prejemniku čaka«, »varnostna kopija čaka na iztek« in »ohranjeno zaradi zakonske obveznosti«. Ta stanja imajo različne pomene. Če jih strnemo v »izbrisano«, spremenimo negotovost v oblikovanje uporabniškega vmesnika.

Dokazljiv izbris je odvisen tudi od upravljanja sprememb. Izvorni sistem je lahko zamenjan, dodan obdelovalec, spremenjen format indeksa, uveden nov cilj za analitiko ali spremenjena politika hrambe dobavitelja umetne inteligence. Če postopek izbrisa ni posodobljen s temi spremembami, postopek postopoma opisuje sistem, ki ne obstaja več. Rezultat je znan iz vsake operativne discipline: lep priročnik in resnična storitev, ki se premikata v nasprotnih smereh. Redno preizkušanje majhnega vzorca poti, vključno z nerodnim sistemom, je običajno bolj razkrivajoče kot naročilo obsežnega dokumenta o zagotavljanju kakovosti, ki ga nihče ne more izvesti.

Za javni organ ali regulirano podjetje to ni ozko vprašanje službe za varstvo osebnih podatkov. Pooblaščena oseba za varstvo podatkov lahko usmerja razlago, vendar inženiring skrbi za vmesnike in mehanizme izbrisa, produkt za namen in uporabniško pot, nabava za informacijske obveznosti, naložene dobaviteljem, varnost za nadzor dostopa in obnovitve, operativa pa za izvedbo pod pritiskom. En sam lastnik ne more pregledati vsake plasti sam. Plast brez lastnika ni varnejša samo zato, ker je o njej težko razpravljati.

Obranljiv postopek zabeleži odločitev in izvedbo, ne da bi ustvaril drugo, nepotrebno biografijo osebe.

Hramba je druga polovica izbrisa

Številne težave z izbrisom se začnejo veliko pred zahtevo. Začnejo se, ko sistem sploh nima odločitve o hrambi. Podatki pridejo, ker bi lahko postali uporabni. Dnevniki postanejo trajni, ker je shranjevanje poceni. Izvozi se hranijo, ker bi jih prihodnja revizija morda zahtevala. Učni podatki se kopičijo, ker bi kasnejši model morda imel koristi. Vsaka odločitev se v izolaciji zdi neškodljiva. Skupaj spremenijo organizacijo v lastnico velikega, slabo razumljenega arhiva in naredijo vsako zahtevo za izbris dražjo, bolj negotovo in sporno.

Načelo omejitve hrambe v GDPR določa, da se osebni podatki hranijo v obliki, ki omogoča identifikacijo posameznikov, na katere se nanašajo, le toliko časa, kolikor je potrebno za namene, za katere se obdelujejo, pri čemer je daljša hramba dovoljena za arhiviranje v javnem interesu, za znanstvene ali zgodovinske raziskovalne namene ali za statistične namene, če se uporabljajo ustrezni zaščitni ukrepi. Načelo ne predpisuje enega koledarja za vsako organizacijo. Zahteva presojo, povezano z namenom. Načrt hrambe mora zato navajati kategorije podatkov, namen, pravno podlago, običajno obdobje, sprožilni dogodek, izjemo, ukrep za uničenje, lastnika in točko pregleda. „Dokler je potrebno“ je načelo. Postane operativno pravilo šele, ko lahko nekdo pove, za kaj je potrebno, do kdaj in kdo je o tem odločil.

Ta struktura je koristna za umetno inteligenco, ker preprečuje, da bi ena široka oznaka, na primer učni podatki, skrivala več različnih stvari. Surov prispevek, očiščen nabor podatkov, nabor funkcij, različica modela, zgodovina pozivov, nabor za vrednotenje in dnevnik spremljanja imajo lahko različne namene in vidike hrambe. Združevanje v en sam nedoločen predal poslabša tako inovativnost kot odgovornost. Ločevanje ne zagotavlja pravnega odgovora, vendar ga omogoča.

Odločitve o hrambi imajo koristi tudi od pogoja za zavrnitev. Kaj bi nas ustavilo pri hrambi tega? Končana pogodba, rešen spor, konec zakonskega roka, zaključena varnostna preiskava, zamenjana različica modela, iztek obdobja za obnovitev ali odločitev, da ne nadaljujemo z raziskovalnim namenom, so lahko resnični sprožilci. Bistvo ni avtomatizirati uro izbrisa za vse. Bistvo je preprečiti sistem, v katerem je edini pogoj za hranjenje podatkov ta, da jih še nihče ni moral pojasniti.

Obstaja majhen nizozemski nagon, ki ga je vredno ohraniti: omara ni urejena zato, ker ima vrata. Urejena je zato, ker lahko najdeš ustrezno stvar, veš, zakaj je tam, in jo odstraniš brez selitve. Podatkovno premoženje si zasluži vsaj ta standard. Načrt hrambe, ki ne preživi pogovora z ljudmi, ki sistem upravljajo, ni načrt. Je vremenska napoved, zapisana v pravnem jeziku.

To ne pomeni, da mora vsaka organizacija centralizirati vsako odločitev o izbrisu. Lokalne ekipe pogosto bolje razumejo svoje procese. Pomeni, da lokalna pravila potrebujejo skupne koncepte, vidno lastništvo in pot za eskalacijo. V nasprotnem primeru je arhiv ene ekipe kršitev druge, zahteva posameznika pa se usmerja skozi labirint vljudno poimenovanih storitev.

Kaj lahko pove pošten dobavitelj umetne inteligence

Pošten dobavitelj umetne inteligence ne trdi, da vsi podatki strank izginejo, ko prispe zahteva. Prav tako se ne skriva za težavnostjo modelov. Opisuje mejo storitve. Kaj se obdeluje za sklepanje. Kaj se hrani za upravljanje računa, varnost, podporo, zaračunavanje ali preprečevanje zlorab. Ali se pozivi in izhodi shranjujejo. Ali se uporabljajo za usposabljanje, vrednotenje ali izboljšanje storitve. Kateri obdelovalci in regije so vključeni. Kako lahko stranke konfigurirajo hrambo. Kakšna dokumentacija obstaja za zahteve posameznikov v zvezi z njihovimi podatki. Kateri ukrepi so takojšnji, kateri asinhroni in kateri so odvisni od ločene pravne presoje.

Za kupce so vprašanja pri javnem naročanju praktična. Ali lahko dobimo jasen zemljevid pretoka podatkov? Ali lahko opredelimo vlogi upravljavca in obdelovalca za zadevno obdelavo? Ali lahko izvozimo ali izbrišemo gradivo na uporaben način? Ali so indeksi za iskanje in izpeljana shramba vključeni v dokumentirani življenjski cikel? Kaj se zgodi z varnostnimi kopijami? Kako se sporočajo spremembe podizvajalcev? Ali nam lahko ponudnik pomaga odgovoriti na zahtevo v veljavnem roku? Ali so uporabe za usposabljanje in izboljšanje storitve izbirne, privzeto izključene, pogodbeno izključene ali opisane le na strani, ki se lahko spremeni po nakupu? Kateri tehnični zapisi so na voljo za dokazovanje ukrepanja?

Odgovori se bodo razlikovali. Velika skupna storitev ne more vedno ponuditi enakega nadzora kot namensko okolje. Varnostnega dnevnika ni mogoče vedno izbrisati v istem trenutku kot profila računa. Zakonsko določenega arhiva ni mogoče obravnavati kot potrošniške nastavitve. Te razlike niso nujno napake. Molk o njih je. Pravilen odziv kupca je uskladiti dokumentirano vedenje storitve z namenom, obveznostmi in tveganjem organizacije. Izdelek je lahko neprimeren za zelo občutljivo nalogo, tudi če je povsem primeren za orodje za pripravo osnutkov z nizkim tveganjem.

Pri Dweve naš Trust Centre upošteva enako ozko stališče do dokazov. Javna stran lahko opiše nadzorne ukrepe in meje dokumentacije, vendar ne more potrditi vsake namestitve pri stranki ali določiti pravne podlage za obdelavo pri stranki. Ta meja je pomembna. Platforma lahko podpira nadzor hrambe, zapise in pregledne poteke dela. Organizacija, ki jo uporablja, še vedno nosi svoj namen, svoje odločitve o podatkih in odločitev, da odgovori določeni osebi. Dobro besedilo izdelka bi moralo to odgovornost pojasniti, ne pa je tiho prevzeti.

Najdragocenejša izjava dobavitelja je pogosto omejitev. »Ta zapis bo ostal v zaščitenih varnostnih kopijah do konca navedenega obdobja rotacije.« »Ta storitev v skladu s temi pogoji ne uporablja navedene vsebine strank za usposabljanje.« »Ta indeks se odstrani asinhrono, stanje pa lahko preverite tukaj.« »Te trditve ne moremo dati za integracijo tretje osebe.« Ti stavki se morda zdijo manj čarobni kot univerzalna obljuba zasebnosti. Kupcu omogočajo, da oblikuje resničen proces.

Vprašanja, ki si jih velja zastaviti, preden prispe zahteva

Organizacija za preizkus zasnove izbrisa ne potrebuje izmišljene kršitve, stiske posameznika ali junaškega dogodka pozno ponoči. Uporabi lahko jasno označeno hipotetično zahtevo med običajnim delovnim časom. Recimo, da oseba zahteva izbris gradiva, ki je v sistemu, namenjenem strankam. Kateri tim prejme zahtevo? Kako se preveri identiteta brez zbiranja nepotrebnih novih podatkov? Kateri nameni so upoštevni? Kateri sistemi vsebujejo izvorne podatke, izpeljanke, indekse, dnevnike, predpomnilnike, izvoze in obnovitvene kopije? Kateri obdelovalci potrebujejo navodilo ali obvestilo? Katera izjema ali obveznost hrambe, če sploh katera, se uporablja? Kdo lahko odloča? Kdo lahko izvede? Kako bo organizacija pojasnila izid?

Nato si zastavite neprijetna tehnična vprašanja. Ali lahko operater najde trenutni popis podatkov brez nekdanjega inženirja? Ali je mogoče iskalni indeks preveriti neodvisno od njegove izvorne tabele? Ali se izbrisani identifikator po obnovitvi znova pojavi? Ali paketna opravila uporabljajo stare posnetke? Ali je mogoče shrambo vdelav povezati z njenimi dokumenti in najemnikom? Ali cevovod za spremljanje privzeto zajema vsebino pozivov? Ali za izvozne datoteke veljajo enaka pravila hrambe kot za njihov vir? Ali evidenca dokazov ustvari nov kup občutljivih vsebin? To niso robni primeri, dodani zato, da bi politika delovala resno. So običajne posledice sistemov, ki ustvarjajo kopije, da bi delovali.

Nazadnje si zastavite vprašanje upravljanja: kaj bi organizacijo spodbudilo, da spremeni svoj odgovor? Nova zakonska obveznost, sporna identiteta, odprt pravni zahtevek, spremenjen dogovor z dobaviteljem, neuspelo preverjanje izbrisa, obnovljena varnostna kopija, nov modelni cevovod ali odločitev regulatorja. Vsako od teh je lahko pomembno. Postopek brez sprožilca za pregled je zgolj začetna domneva, povišana v politiko.

Nič od tega ne nadomešča pravnih nasvetov v konkretnem primeru. Zahteve GDPR, nacionalno pravo, sektorske obveznosti, pogodbe in dejstva obdelave so vsi pomembni. Toda organizacije ne potrebujejo pravnega spora, da bi začele načrtovati pogoje za razumljiv odgovor. Svoje sisteme morajo poznati dovolj dobro, da prenehajo ponujati preprosto obljubo za zapleteno resničnost.

Zasebnost je kakovost ostanka

Namen izbrisa ni narediti preteklost neresnično. Namen je dati ljudem smiseln nadzor, kadar podatkov ni več treba obdelovati, kadar je bilo soglasje preklicano, kadar je obdelava nezakonita ali kadar velja katera druga podlaga iz člena 17. Upravljavce poziva, naj osebne podatke obravnavajo kot nekaj, kar se hrani z namenom, ne kot surovino z neomejenim najemom. Poziva jih, naj pojasnijo izjeme, namesto da bi jih uporabljali kot meglo. Sisteme poziva, naj nosijo dovolj izvora, da je pozabljanje lahko premišljeno.

Za digitalne storitve je tihi preizkus tisto, kar ostane. Ko je zapis odstranjen z zaslona izdelka, kaj je še vedno živo? Ko dokument zapusti zbirko za iskanje, katera izpeljana predstavitev ga še vedno izbere? Ko je račun izbrisan, kateri dnevnik se hrani, za kakšen namen in kako dolgo? Ko je varnostna kopija obnovljena, kaj preprečuje vrnitev umaknjenega zapisa? Ko se model spremeni, katero zgodovino podatkov je mogoče pregledati? Ko je zahteva zaključena, ali lahko organizacija pokaže svoje delo brez ustvarjanja novega skritega profila?

Sistem bo na vsa ta vprašanja le redko odgovoril z enim dejanjem in enim časovnim žigom. To je normalno. Kar ni normalno, je pretvarjanje, da vprašanja izginejo, ker so podatki težavni, razpršeni ali donosni. Zasebnost ni trenutek, ko storitev spozna ukaz za izbris. Je tisto, kar ostane, potem ko se sistem nauči pozabljati z namenom, mejo in zapisom lastne zadržanosti.

Viri