KVKK, Asmens duomenys ir duomenų tvarkymas

Pelnas:

• Gebėjimas įvertinti, kokius duomenis galima įvesti į AI įrankį pagal KVKK principus
• Galimybė apsaugoti asmens duomenis maskuojant / anonimiškai ir nustatyti saugų raginimą
• Gebėjimas rengti ir tikrinti KVKK dokumentus, tokius kaip informacinis tekstas ir duomenų apdorojimo inventorius

Pats jautriausias turtas teisės ir atitikties specialisto rankose yra duomenys: informacija apie klientą, darbuotojų įrašai, asmens duomenys sutartyse. Klaidingus duomenis į dirbtinio intelekto (AI) įrankį įvesti paprasta, kaip paspausti mygtuką, tačiau pasekmės skaudžios: KVKK pažeidimas, administracinė bauda, ​​sutarties konfidencialumo pažeidimas ir reputacijos praradimas. Klausimas šiam įrenginiui aiškus: kokius duomenis galima įvesti į kurį įrankį ir kaip? Išmoksime saugiai naudoti dirbtinį intelektą KVKK procesuose ir pozicionuosime jį kaip asistentą ruošiant dokumentus, tokius kaip paaiškinamasis tekstas, tvarkant inventorių ir kt., tačiau atsakomybė už įvestus duomenis visada lieka jums.

Paaiškinkime sąlygas. KVKK yra Asmens duomenų apsaugos įstatymas Nr. 6698; reglamentuoja asmens duomenų tvarkymą. Asmens duomenys – tai bet kokia informacija apie fizinį asmenį, kurio tapatybė yra nustatyta ar gali būti nustatyta (vardas, pavardė, asmens kodas, telefonas, el. paštas, buvimo vieta). Ypatingos kokybės (jautrūs) duomenys – tai duomenų rūšis, kuri yra griežčiau saugoma, pvz., sveikata, religija, seksualinis gyvenimas, teistumai. Duomenų mažinimas – tai principas, kad tvarkoma tik tiek duomenų, kiek reikia konkrečiam tikslui pasiekti. Anonimizavimas – tai procesas, kai duomenų nebegalima susieti su asmeniu; Maskavimas / pseudoniminimas yra tapatybės informacijos slėpimas, bet santykių apsauga raktu. Informacinis tekstas yra pranešimas, nurodantis duomenų savininkui, kaip tvarkomi jo duomenys.

Kokie duomenys, kuriai transporto priemonei?

Pagrindinis sprendimas priimamas pagal dvi ašis: duomenų jautrumą ir įrankio užtikrinimą. Asmens ar konfidencialūs duomenys gali būti įvedami tik į patvirtintus įrankius, kurie suteikia institucijų duomenų užtikrinimą (duomenys nenaudoti švietime, nesaugomi, nedalinami su trečiosiomis šalimis). Asmens duomenų įvedimas į neapsaugotą viešąjį įrankį nebegali tų duomenų valdyti.

Sprendimo eiga yra tokia:

1. Klasifikuoti. Ar tekste yra asmeninių/privačių/konfidencialių duomenų?
2. Paklausk ar reikia. Ar tikrai asmens duomenys reikalingi šiai užduočiai atlikti (minimizuoti)?
3. Patikrinkite transporto priemonės draudimą. Ar įrankis suteikia įmonės duomenų garantiją?
4. Apsaugoti. Jei nereikia, užmaskuokite arba anonimuokite.
5. Dokumentuokite tai. Užrašykite duomenų tvarkymo tikslą, pagrindą ir trukmę.

Jūsų vaidmuo: KVKK/duomenų apsaugos konsultantas. Atlikite duomenų klasifikavimą PRIEŠ įvesdami į AI įrankį šį tekstą: 1) Išvardykite jame esančius asmens duomenis (tipas: vardas, ID numeris, kontaktas, vieta...). 2) Pažymėkite, jei yra jautrių (jautrių) duomenų. 3) Asmens duomenis, kurių atlikti nereikia, pažymėkite kaip „pašalinamus“. 4) Pateikite maskavimo / anonimiškumo rekomendaciją tiems, kurie turėtų likti. Interpretuoti teksto turinį; tiesiog inventorizuokite duomenis.<text>[tekstas peržiūrėti]</text>

Įspėjimas: ištrynus pokalbį duomenys negrąžinami. Kai asmeniniai / konfidencialūs duomenys įvedami į neapsaugotą įrankį, tie duomenys laikomi apdorotais trečiosios šalies sistemose. „Ištrinsiu vėliau“ nėra apsauga; Apsaugos vieta yra prieš įvedant duomenis.

Maskavimas ir saugus greitas apsaugos įjungimas

Daugumą užduočių galima atlikti nežinant, kas tas asmuo. Sutarties santraukoje nebūtina nurodyti šalies tikrojo vardo; Užtenka „A pusės“. AI taip pat padeda užmaskuoti tekstą, tačiau žmogus turi kontroliuoti maskavimo išsamumą.

Šiame tekste visą tiesioginio identifikavimo informaciją pakeiskite nuosekliais slapyvardžiais: asmenų vardai → „1 asmuo, 2 asmuo“; įmonės → "Įmonė A, B";TR numeris, telefonas, el. paštas, adresas, IBAN → [MASKED]. Išsaugoti prasmę ir santykius. Pabaigoje pateikite atvaizdavimo lentelę, kurią informaciją pakeitėte kuo, kad galėčiau susieti rezultatą atgal. Jei praleidote, patikrinsiu maskavimą.

Svarbu žinoti maskavimo ribas: kartais informacija, kuri atrodo atskirai nekenksminga, kartu leidžia žmogų atpažinti (pvz., „Vienintelė moteris CFO Stambule“). Štai kodėl anonimiškumas ne visada garantuojamas, o didelio jautrumo darbui saugiausias būdas yra naudoti įmonės patvirtintus įrankius.

KVKK dokumentų rengimas

AI greitai sukuria pirmuosius dokumentų, pvz., atskleidimo teksto, aiškaus sutikimo teksto ir duomenų apdorojimo inventoriaus, juodraščius. Tačiau šie dokumentai yra teisiškai privalomi; Projektas turi tiksliai atitikti jūsų faktinę apdorojimo veiklą ir turi gauti teisinį patvirtinimą.

Paruoškite informacijos JUODRAŠTĮ, skirtą toliau nurodytai apdorojimo veiklai. Jame turėtų būti šios antraštės: duomenų valdytojas, tvarkomų duomenų kategorijos, tvarkymo tikslai, teisinė priežastis, perdavimas (gavėjų grupės, jei tokių yra), saugojimo laikotarpis, duomenų savininko teisės, teisių gynimo priemonė. Taisyklės: - Kiekviename laukelyje užpildykite mano pateiktą informaciją; Jei jo trūksta, palikite [TO BE FILLED] ir nesiimkite. – Pridėkite pastabą „Reikalingas teisinis patvirtinimas“ dėl teisinės priežasties ir saugojimo laikotarpio.<processing_activity>[tikslas, duomenų tipai, gavėjai, trukmė]</processing_activity>

Silpnas raginimas / stiprus raginimas

Silpnas raginimas: apibendrinkite šį kliento failą. [tikrasis vardas, pavardė, TR numeris, bylos informacija įklijuota]

Rezultatas: asmeniniai ir galbūt privatūs duomenys įvedami į įrankį su neapibrėžtu saugumu. Net jei užduotis įvykdyta, buvo pažeistas KVKK ir konfidencialumas.

Galingas raginimas: [pirmasis duomenų klasifikavimas + nereikalingų asmens duomenų pašalinimas + maskavimas (slapyvardžiai, [MASKED]) + patvirtintas / apsaugotas įrankis + tada apibendrinimas su maskuotu tekstu]

Rezultatas: Užduotis vis dar atlikta, bet asmens identifikuoti nepavyko; Duomenų apsauga buvo užtikrinta prieš misiją.

Duomenų tipas ir tinkamas apdorojimas

Duomenų tipas

pavyzdys

neprisegta transporto priemonė

Patvirtinta transporto priemonė

Tai nėra asmeniška

Anoniminis/viešas tekstas

tinkamas

tinkamas

asmeninis

Vardas, kontaktas, IBAN

Kaukė / naudojimas

Tinka maskuoti

specialios kvalifikacijos

Sveikata, teistumas

Naudojant

Būtinas + tik patvirtintas

Kliento paslaptis / privilegijuota

Bylinėjimosi strategija

Naudojant

Tik saugus

Trys mini dėklai

1 atvejis – sustojimas prieš įeinant. Ekspertas turėtų AI apibendrinti 30 žmonių darbuotojų sąrašą (vardas, pavardė, įrašas, medicininių atostogų pastabos). Duomenų klasifikavimo raginimas atskleidė, kad medicininiai užrašai buvo nuosavybės teise priklausantys duomenys ir visai nereikalingi misijai. Ekspertas visiškai pašalino šį stulpelį, pakeitė pavadinimus į „Darbuotojas 1–30“ ir dirbo tik su veiklos balais. Užduotis atlikta; Skelbtini duomenys niekada nepateko į transporto priemonę.

2 atvejis – pakartotinis identifikavimas. Komanda pasidalytų skundo tekstu, sakydama „mes jį anonimizuojame“; tačiau tekste buvo frazė „vienintelis vadovas pagrindinėje buveinėje, kuris naudojasi invalido vežimėliu“. Dėl to asmuo buvo identifikuojamas, net jei jo vardas buvo ištrintas. Tai buvo pastebėta maskavimo patikrinime ir teiginys buvo apibendrintas. Pamoka: atpažinimas ne visada užtikrina anonimiškumą; Kontekstas taip pat gali atiduoti asmenį.

3 atvejis – atsargų pagreitinimas. Įstaiga daugelį metų negalėjo rankiniu būdu atnaujinti KVKK duomenų apdorojimo inventoriaus. Naudojant AI, kiekvieno skyriaus apdorojimo veikla buvo susisteminta (tikslas, duomenų tipas, saugojimo laikotarpis, gavėjas); Teisininkų komanda juos patikrino ir ištaisė. Atsargų paruošimo įverčiai sumažėjo nuo 6 savaičių iki 2 savaičių. Kritinis taškas: kiekviena į sąrašą įtraukta eilutė buvo patikrinta žmogaus, palyginus su faktine veikla; AI juodraštis nebuvo priimtas toks, koks yra.

Dažnos klaidos

• Duomenų įvedimas be klasifikacijos. Dažniausias pažeidimas yra teksto įklijavimas į įrankį nematant, kokie duomenys jame yra.
• Nereikalingų asmens duomenų gabenimas. Kai sumažinimas praleidžiamas, asmeniniai / neskelbtini duomenys tvarkomi, net jei tai nėra būtina.
• Pasikliaujant „ištrinsiu vėliau“. Duomenys tvarkomi iškart juos įvedus; apsauga atliekama pirmiausia.
• Nekontroliuoja maskavimo. AI gali praleisti kredencialą; maskavimas turi būti žmogaus patikrintas.
• Nematote kontekstinio pakartotinio identifikavimo. Atskirai nekenksminga informacija kartu gali atiduoti asmenį.
• KVKK dokumento paskelbimas be patvirtinimo. Informacijai/sutikimo tekstui ir inventoriui reikalingas teisinis patvirtinimas ir faktinės veiklos patvirtinimas.

Apibendrinant

Pagrindinis KVKK klausimas yra "kurie duomenys, kokiai transporto priemonei, kaip?" Pirmiausia klasifikuokite duomenis, pašalinkite tai, kas nereikalinga (sumažinimas), užmaskuokite arba anoniminkite tai, ko reikia, ir apdorokite jautrius / konfidencialius duomenis tik patvirtintuose įrankiuose su įmonės garantija. Reikia kontroliuoti maskavimo išsamumą ir konteksto pakartotinio identifikavimo riziką; Tokie dokumentai kaip paaiškinimo tekstas ir inventorius turi gauti teisinį patvirtinimą. AI pagreitina išsaugojimo ir dokumentavimo darbus; Įgaliotas specialistas nusprendžia, kurie duomenys gali būti tvarkomi ir ar tinkama apsauga.

Taikymo užduotis

Pasirinkite tekstą, kuriame yra asmens duomenų (nenaudokite tikrų duomenų; sukurkite pavyzdį). (1) Pašalinkite asmeninius ir neskelbtinus duomenis naudodami duomenų klasifikavimo raginimą. (2) Nustatykite ir pašalinkite tuos, kurie nereikalingi užduočiai atlikti, taip pat tuos, kurie reikalingi naudojant maskavimo raginimą, ir rankiniu būdu valdykite maskavimą. (3) Ieškokite frazių, kurioms gresia pakartotinis konteksto identifikavimas. (4) Parengti informacijos apie apdorojimo veiklą teksto projektą ir nurodyti „teisinio patvirtinimo“ ženklus.

kontrolinis sąrašas

• [ ] Ar duomenys įslaptinti prieš įvedant įrankį?
• [ ] Ar buvo pašalinti nereikalingi asmeniniai / neskelbtini duomenys atliekant užduotį (sumažinimas)?
• [ ] Ar likę asmens duomenys buvo užmaskuoti / anonimizuoti?
• [ ] Ar maskavimą kontroliuoja žmogus?
• [ ] Ar buvo įvertinta pakartotinio konteksto identifikavimo rizika?
• [ ] Ar jautrūs / konfidencialūs duomenys tvarkomi tik patvirtintoje apsaugotoje transporto priemonėje?
• [ ] Ar KVKK dokumentai buvo parengti su teisiniu patvirtinimu ir faktinės veiklos patvirtinimu?