Najsurowszy Organ Ochrony Danych we Francji
Francuski organ ds. danych osobowych to CNIL. Wyznacza on najbardziej precyzyjne standardy prywatności w całej UE. Większość europejskich organów nadzorczych wydaje ogólne wytyczne. CNIL idzie dalej — publikuje szczegółowe specyfikacje techniczne zwane recommandations, które określają, czym jest rzeczywista zgodność z RODO.
Inne organy w UE często wzorują się na pracach CNIL. Do kluczowych dokumentów należą Guide pratique de l'anonymisation z 2023 r. oraz wytyczne dotyczące AI z 2024 r.
Liczby świadczą o aktywności organu. W 2023 r. CNIL rozpatrzyła 16 433 skargi — o 43% więcej niż w 2022 r. Od początku stosowania RODO nałożyła łącznie około 150 mln € kar.
Trenowanie AI: Sześć Kategorii Danych do Oczyszczenia
Wytyczne CNIL z 2024 r. dotyczące AI mają szeroki zakres. Obejmują każdy podmiot, który trenuje modele AI na francuskich danych osobowych, a także tych, którzy udostępniają narzędzia AI użytkownikom we Francji.
Organ wskazuje sześć kategorii danych, które należy oczyścić przed treningiem modelu:
- Identifiants directs (bezpośrednie identyfikatory): Imiona, adresy, numery dokumentów. Należy je usunąć lub zastąpić przed treningiem.
- Identifiants quasi-directs (pośrednie identyfikatory): Zestawy cech umożliwiające ponowną identyfikację. Wymagają kontroli k-anonimowości.
- Données sensibles (dane szczególnych kategorii): Dane o zdrowiu, biometryczne, polityczne i wyznaniowe. Należy je izolować z zastosowaniem dodatkowych środków kontroli.
- Données comportementales (dane behawioralne): Historia przeglądania i wzorce użytkowania. Należy je agregować lub maskować.
- Données inférées (dane wywnioskowane): Sygnały wywnioskowane przez AI na podstawie zachowań. Wymagają ograniczenia celu przetwarzania.
- Données relatives aux mineurs (dane dzieci): Wszelkie dane dotyczące osób poniżej 15. roku życia. Wymagają weryfikacji wieku i rygorystycznego oczyszczania.
Korzystasz z dużych modeli językowych (LLM) wytrenowanych na danych ze scrapingu? Musisz mieć pisemne dowody — potwierdzenie, że dane treningowe zostały przejrzane i oczyszczone. Szczegółowy zakres opisuje nasz przewodnik po zgodności z RODO.
Przewodnik po Anonimizacji: Kluczowe Zasady
Przewodnik z 2023 r. jest najbardziej szczegółowym dokumentem w tej dziedzinie w całej UE. Ustanawia standardy dotyczące tego, co rzeczywiście uznaje się za dane anonimowe.
Dopuszczalne techniki:
- k-anonimowość — każdy rekord jest nieodróżnialny od co najmniej k-1 innych rekordów
- l-różnorodność — atrybuty wrażliwe wykazują zróżnicowanie w obrębie każdej grupy
- Prywatność różnicowa — do statystyk wyjściowych dodawany jest szum
- Pseudonimizacja — krok ograniczający ryzyko, ale nie stanowiący pełnej anonimizacji
Wymagana dokumentacja:
Dla każdego działania obejmującego oczyszczanie danych CNIL oczekuje fiche d'anonymisation (karty anonimizacji) zawierającej:
- Zastosowaną technikę i jej kluczowe parametry (wartość k, wartość epsilon)
- Wyniki oceny ryzyka ponownej identyfikacji
- Metodę walidacji (testy lub zewnętrzny przegląd)
- Osobę odpowiedzialną i datę przeglądu
Ocena ryzyka ponownej identyfikacji:
Przed uznaniem danych za anonimowe należy przeprowadzić formalną ocenę. Pytanie brzmi: czy zdeterminowana osoba byłaby w stanie ponownie zidentyfikować te dane? Należy przeanalizować dostępne zbiory pomocnicze i uwzględnić pełny kontekst.
Dane Osobowe po Francusku: Co Muszą Wykrywać Twoje Narzędzia
Francuskie przepisy wymagają obsługi danych osobowych w języku francuskim. Twoje narzędzia muszą wykrywać identyfikatory specyficzne dla Francji.
Kluczowe identyfikatory do uwzględnienia:
- NIR: 15 cyfr (13 cyfr podstawowych + 2-cyfrowy klucz kontrolny). To francuski numer ubezpieczenia społecznego.
- Numer carte vitale: Identyfikator na karcie ubezpieczenia zdrowotnego.
- SIRET/SIREN: Identyfikatory firm spotykane w dokumentach osobowych.
- Numéro d'ordre professionnel: Numery rejestracyjne dla lekarzy, prawników i księgowych.
- CNI (Carte nationale d'identité): Numer francuskiego dowodu osobistego.
Francuskie modele NER muszą obsługiwać specyficzne wzorce nazw własnych — imiona złożone (Jean-Pierre), partykuły (de, du, des) oraz nazwiska złożone z łącznikiem. Nasz przewodnik po wielojęzycznym wykrywaniu danych osobowych wyjaśnia, jak zapewnić pokrycie we wszystkich lokalizacjach.
Egzekwowanie Prawa: Za Co Nakładane są Kary
Kary nakładane przez organ mają wyraźny wzorzec — dotyczą przede wszystkim braku technicznych środków kontroli. Samo niedoskonałe zarządzanie procesami rzadko bywa głównym powodem.
Clearview AI — kara 20 mln € (2022): Firma przetwarzała dane biometryczne Francuzów bez podstawy prawnej. Dane były scrapowane z publicznych źródeł w internecie. Sprawa potwierdziła, że masowe scrapowanie danych na potrzeby trenowania AI wymaga wyraźnej podstawy prawnej.
TikTok — postępowanie wszczęte w 2024 r.: Skoncentrowane na systemach mogących wnioskować o danych szczególnych kategorii na podstawie sygnałów behawioralnych. Metoda stała się europejskim wzorcem dla audytów AI.
Przegląd generatywnej AI (2024–2025): Organ kontrolował dostawców dużych modeli językowych działających we Francji pod kątem pochodzenia danych treningowych. Dostawcy bez odpowiedniej dokumentacji musieli wdrożyć dodatkowe środki kontroli.
Cztery Kroki do Zgodności z Wymogami CNIL
Przetwarzasz francuskie dane osobowe? Musisz mieć wdrożone cztery elementy.
1. Karta anonimizacji dla każdego działania
Każde działanie obejmujące oczyszczanie danych wymaga osobnej karty. Należy w niej wskazać zastosowaną technikę, jej parametry, wynik oceny ryzyka i datę przeglądu.
2. Logi przetwarzania wstępnego dla AI
Dokumentuj użyte narzędzie do wykrywania danych osobowych, wykryte typy encji, a także to, co zostało usunięte lub zamaskowane. Logi te muszą być dostępne podczas audytów.
3. Pokrycie danych osobowych w języku francuskim
Sprawdź, czy Twoje narzędzie wykrywa numery NIR, carte vitale i CNI. Przetestuj swój model NER dla języka francuskiego na rzeczywistych francuskich imionach i nazwiskach. Udokumentuj ewentualne luki i wdrożone środki zaradcze.
4. Dokumentacja pochodzenia danych treningowych
Dla danych ze scrapingu: udokumentuj proces weryfikacji i oczyszczania źródła. Dla danych użytkowników: udokumentuj procedurę ich oczyszczania. Nasz przegląd zgodności zabezpieczeń pokazuje, jak wpisuje się to w szerszy system ochrony.
Organizacje z dobrze prowadzoną dokumentacją przechodzą przez audyty znacznie szybciej. Zacznij budować swój plik teraz — nie czekaj na inspekcję.