KVKK, נתונים אישיים ועיבוד נתונים

רווחים:

• יכולת להעריך אילו נתונים ניתן להזין לכלי AI בהתאם לעקרונות KVKK
• יכולת להגן על נתונים אישיים באמצעות מיסוך/אנונימיזציה והגדרת הנחיה מאובטחת
• יכולת לנסח ולאמת מסמכי KVKK כגון טקסט מידע ומלאי עיבוד נתונים

הנכס הרגיש ביותר בידיו של איש מקצוע משפטי וציות הוא נתונים: מידע על לקוחות, רישומי עובדים, נתונים אישיים בחוזים. הזנת נתונים שגויים לכלי בינה מלאכותית (AI) היא קלה כמו לחיצה על כפתור, אך ההשלכות הן חמורות: הפרת KVKK, קנס מנהלי, הפרת סודיות חוזית ואובדן מוניטין. השאלה ליחידה זו ברורה: אילו נתונים ניתן להזין לאיזה כלי וכיצד? נלמד להשתמש בבינה מלאכותית גם בבטחה בתהליכי KVKK וגם למקם אותה כעוזר בהכנת מסמכים כמו טקסט הבהרה, עיבוד מלאי וכו' - אך האחריות לנתונים שהוזנו תמיד נשארת עליך.

בואו נבהיר את התנאים. KVKK הוא חוק הגנת מידע אישי מס' 6698; מסדיר את עיבוד הנתונים האישיים. נתונים אישיים הם כל מידע הנוגע לאדם טבעי מזוהה או מזוהה (שם, מספר תעודת זהות, טלפון, דואר אלקטרוני, מיקום). נתונים איכותיים (רגישים) מיוחדים הם סוג של נתונים המוגנים בצורה קפדנית יותר, כגון בריאות, דת, חיי מין, הרשעות פליליות. מזעור נתונים הוא העיקרון של עיבוד מידע רב ככל הדרוש למטרה מסוימת. אנונימיזציה היא התהליך של הפיכת נתונים ללא אפשרות לקישור חזרה לאדם; מיסוך/פיסאודונימיזציה הוא הסתרת פרטי הזהות אך הגנה על מערכת היחסים באמצעות מפתח. טקסט מידע הוא התראה שמספרת לבעל הנתונים כיצד הנתונים שלו מעובדים.

איזה נתונים, לאיזה רכב?

ההחלטה הבסיסית מתקבלת בשני צירים: רגישות הנתונים והבטחת הכלי. ניתן להזין נתונים אישיים או סודיים רק לכלים מאושרים המספקים אבטחת נתונים מוסדיים (נתונים לא לשמש בחינוך, לא לאחסון, לא לשיתוף עם צדדים שלישיים). הזנת נתונים אישיים לכלי ציבורי לא מאובטח מוציאה את הנתונים האלה משליטתך.

זרימת ההחלטות היא כדלקמן:

1. לסווג. האם יש בטקסט נתונים אישיים/פרטיים/סודיים?
2. שאל אם יש צורך. האם נתונים אישיים באמת נחוצים למשימה זו (מזעור)?
3. בדוק את ביטוח הרכב. האם הכלי מספק אבטחת נתונים ארגוניים?
4. לְהַגֵן. מסכה או אנונימית אם אין צורך.
5. תעד את זה. רשום את המטרה, הבסיס ומשך העיבוד.

תפקידך: יועץ KVKK/הגנת מידע. בצע סיווג נתונים לפני הזנת הטקסט הבא לכלי AI: 1) רשום את הנתונים האישיים שבו (סוג: שם, מספר תעודת זהות, איש קשר, מיקום...). 2) סמן אם יש נתונים רגישים (רגישים). 3) סמן נתונים אישיים שאינם נדרשים למשימה כ"ניתנים להסרה". 4) תן המלצת מיסוך/אנונימיזציה למי שצריך להישאר. לפרש את תוכן הטקסט; פשוט צור מלאי של הנתונים.<text>[טקסט לסקירה]</text>

זהירות: מחיקת צ'אט לא מחזירה את הנתונים. ברגע שהנתונים האישיים/סודיים מוכנסים לכלי לא מאובטח, הנתונים האלה נחשבים מעובדים במערכות של הצד השלישי. "אני אמחק את זה אחר כך" אינו הגנה; מקום ההגנה הוא לפני הזנת הנתונים.

מיסוך והפעלה מהירה מאובטחת

ניתן לבצע את רוב המשימות מבלי לדעת מי האדם. שמו האמיתי של צד אינו נדרש לסיכום חוזה; "צד A" מספיק. AI גם עוזר במיסוך טקסט - אבל האדם חייב לשלוט בשלמות המיסוך.

בטקסט הבא, החלף את כל פרטי הזיהוי הישיר בכינויים עקביים: שמות אנשים ← "אדם 1, אדם 2"; חברות → "חברה A, B"; מספר TR, טלפון, דואר אלקטרוני, כתובת, IBAN → [מסוכה]. שמור על משמעות ויחסים. בסוף, ספק טבלת מיפוי של איזה מידע החלפת במה, כדי שאוכל לקשר את התוצאה בחזרה. למקרה שפספסת, אני אבדוק את המיסוך.

חשוב לדעת את גבולות המיסוך: לפעמים מידע שנראה תמים בנפרד בשילוב יחד הופך אדם לזיהוי (למשל "סמנכ"לית הכספים היחידה באיסטנבול"). לכן אנונימיזציה לא תמיד מובטחת, ולעבודה ברגישות גבוהה הדרך הבטוחה היא להשתמש בכלים שאושרו על ידי החברה.

ניסוח מסמכי KVKK

AI מייצרת במהירות טיוטות ראשונות של מסמכים כגון טקסט חשיפה, טקסט הסכמה מפורש ומלאי עיבוד נתונים. אבל מסמכים אלה מחייבים מבחינה משפטית; הטיוטה חייבת להתאים בדיוק לפעילות העיבוד שלך בפועל ועליה לעבור אישור משפטי.

הכן טקסט מידע טיוטה עבור פעילות העיבוד הבאה. זה צריך לכלול את הכותרות הבאות: בקר נתונים, קטגוריות של נתונים מעובדים, מטרות עיבוד, סיבה משפטית, העברה (קבוצות נמענים, אם יש), תקופת אחסון, זכויות בעל הנתונים, תרופה. כללים: - מלא כל שדה במידע שאני מספק; אם הוא חסר, השאירו את [TO BE FILLED] ואל תניחו. - הוסף הערה "דרוש אישור משפטי" עבור הסיבה המשפטית ותקופת השמירה.<processing_activity>[מטרה, סוגי נתונים, נמענים, משך זמן]</processing_activity>

הנחיה חלשה / הנחיה חזקה

הנחיה חלשה: סכם את קובץ הלקוח הזה. [שם אמיתי, מספר TR, פרטי מקרה מודבקים]

תוצאה: נתונים אישיים ואולי פרטיים מוזנים לכלי עם אבטחה לא ודאית. גם אם המשימה הושלמה, חלה הפרה של KVKK והסודיות.

הנחיה עוצמתית: [תחילה סיווג נתונים + הסרת נתונים אישיים מיותרים + מיסוך (שמות בדויים, [MASKED]) + כלי מאושר/מאובטח + לאחר מכן סיכום עם טקסט מוסווה]

תוצאה: המשימה עדיין בוצעה, אך לא ניתן לזהות את האדם; הגנת מידע הובטחה לפני המשימה.

סוג נתונים ועיבוד מתאים

סוג נתונים

דוגמה

רכב לא מאובטח

רכב מאושר

זה לא אישי

טקסט אנונימי/פומבי

מתאים

מתאים

אישי

שם, איש קשר, IBAN

מסכה/שימוש

מתאים על ידי מיסוך

מוסמכים במיוחד

בריאות, עבר פלילי

באמצעות

נדרש+מאושר בלבד

סוד לקוח/מוגן

אסטרטגיית ליטיגציה

באמצעות

מאובטח בלבד

שלושה מיני מארזים

מקרה 1 - עצירה לפני הכניסה. מומחה יבקש מה-AI לסכם רשימת ביצועים של 30 עובדים (שם, תיעוד, הערות חופשה רפואית). הנחיית סיווג הנתונים העלתה כי ההערות הרפואיות הן נתונים קנייניים ואינם נחוצים למשימה כלל. המומחה הסיר את העמודה הזו לחלוטין, שינה את השמות ל"עובד 1-30" ועבד עם ציוני ביצועים בלבד. המשימה בוצעה; נתונים רגישים מעולם לא נכנסו לרכב.

מקרה 2 - זיהוי מחדש. צוות ישתף טקסט תלונה האומר "עשינו את זה אנונימי"; אבל הטקסט כלל את המשפט "המנהל היחיד במשרד הראשי שמשתמש בכיסא גלגלים". זה הפך את האדם לזיהוי גם אם שמו נמחק. זה הבחין בבדיקת המיסוך והאמירה הוכללה. לקח: ביטול זיהוי לא תמיד מבטיח אנונימיות; ההקשר יכול גם לתת את האדם.

מקרה 3 - האצת מלאי. מוסד לא הצליח לעדכן ידנית את מלאי עיבוד הנתונים שלו ב-KVKK במשך שנים. עם AI, פעילויות העיבוד של כל מחלקה הוכנסו למתווה מובנה (מטרה, סוג נתונים, תקופת שמירה, נמען); הצוות המשפטי אימת ותיקן אותם. הערכות הכנת המלאי ירדו מ-6 שבועות ל-2 שבועות. נקודה קריטית: כל שורה שהוכנסה למלאי אומתה על ידי אדם בהשוואה לפעילות בפועל; טיוטת הבינה המלאכותית לא התקבלה כפי שהיא.

טעויות נפוצות

• הזנת נתונים ללא סיווג. הדבקת הטקסט לתוך הכלי מבלי לראות איזה סוג של נתונים יש בו היא ההפרה הנפוצה ביותר.
• נשיאת נתונים אישיים מיותרים. כאשר מדלגים על מזעור, נתונים אישיים/רגישים מעובדים למרות שאין צורך בכך.
• בהסתמך על "אני אמחק את זה מאוחר יותר". הנתונים מעובדים מיד עם הזנתם; ההגנה מתבצעת תחילה.
• לא שולט במיסוך. AI יכול לדלג על אישור; מיסוך חייב להיות מאומת אנושי.
• לא רואה זיהוי מחדש הקשרי. מידע לא מזיק פרטני בשילוב יכול להסגיר את האדם.
• פרסום מסמך KVKK ללא אישור. מידע/טקסט הסכמה ומלאי דורשים אישור משפטי ואישור של פעילות בפועל.

לסיכום

השאלה הבסיסית ב-KVKK היא "אילו נתונים, לאיזה רכב, איך?" תחילה סווגו נתונים, הסר את מה שלא נחוץ (מזעור), מסווה או אנונימי את הדרוש, ועבד נתונים רגישים/סודיים רק בכלים מאושרים עם אבטחה ארגונית. יש לשלוט בשלמות המיסוך ובסיכון של זיהוי מחדש הקשרי; מסמכים כגון טקסט הבהרה ומלאי חייבים לעבור אישור משפטי. AI מאיץ את עבודת השימור והתיעוד; איש המקצוע המורשה מחליט אילו נתונים ניתן לעבד ואת נאותות ההגנה.

משימת יישום

בחר טקסט המכיל נתונים אישיים (אל תשתמש בנתונים אמיתיים; צור דוגמה). (1) הסר נתונים אישיים ורגישים עם הנחיית סיווג הנתונים. (2) זהה והסר את אלה שאינם נחוצים עבור המשימה, כינוי אלה הנדרשים עם הנחיית המיסוך, ולשלוט באופן ידני במיסוך. (3) חפש ביטויים שנמצאים בסיכון לזיהוי מחדש של הקשר. (4) הפק טיוטת טקסט מידע עבור פעילות עיבוד ורשום את סימני ה"אישור המשפטי".

רשימת בדיקה

• [ ] האם הנתונים מסווגים לפני הכניסה לכלי?
• [ ] האם הוסר מידע אישי/רגיש מיותר עבור המשימה (מזעור)?
• [ ] האם שאר הנתונים האישיים הוסוו/הושלמו?
• [ ] האם מיסוך נשלט על ידי אדם?
• [ ] האם הוערך הסיכון לזיהוי מחדש הקשרי?
• [ ] האם נתונים רגישים/סודיים מעובדים רק ברכב המאובטח המאושר?
• [ ] האם הוכנו מסמכי KVKK עם אישור משפטי ואישור פעילות בפועל?