הנוהג הרווח במשרדים הוא למחוק מהמסמך את השם ואת מספר הזהות, ואז להעלות אותו למודל בלב שקט. ועדת האתיקה הארצית הסבירה במפורש למה זה לא מספיק, והביאה דוגמה שכדאי לקרוא לאט.
בגילוי הדעת בעניין שימוש בבינה מלאכותית (החלטה את/60/24) מתוארת סיטואציה יומיומית: עורך דין מזין רשומה רפואית של לקוח למערכת, לאחר שמחק את השם ואת מספר הזהות. הוועדה קובעת שהמערכת ״עודנה תוכל להצליב מידעים נוספים הקיימים במסמך, כמו שם בית החולים, פרטים אודות מצבו הרפואי הספציפי של הלקוח ועוד, ועלולה להתחקות אחר שמו של הלקוח בדרך עקיפה זו״.
ומעבר לזיהוי עצמו, הוועדה מצביעה על סיכון שני ומתוחכם יותר: הותרת פרטים ייחודיים לצד פרט חסוי עלולה לייצר במערכת זיקה בין השניים, ובזיקה הזו המערכת עשויה להשתמש בפלט אחר. לדוגמה, בפלט שיופק על ידי הצד שכנגד.
שלושת המעגלים
הדרך המעשית לעבוד עם זה היא להפסיק לחשוב על ״פרטים מזהים״ כרשימה, ולהתחיל לחשוב עליהם כשלושה מעגלים. גילוי הדעת מונה את שניים הראשונים במפורש.
מעגל ראשון: מזהים ישירים
שם, כתובת, מספר זהות, סימני מסחר, נכסים בבעלות, תפקידים בהווה ובעבר, שותפים עסקיים, היסטוריה משפחתית. זה המעגל שכולם כבר מטפלים בו, וזה גם המעגל היחיד שכלי ״הסרת מידע רגיש״ אוטומטיים תופסים באופן סביר.
מעגל שני: מקשרים
הוועדה מגדירה אותו כפרטים אישיים ״המצויים במעגל השני העשויים לקשר את המידע אל הלקוח״, ומונה: טכנולוגיה, שירות, סיסמה, סגנון או מודל עסקי ייחודיים. בפרקטיקה זה מה שנשאר במסמך אחרי שמחקתם את המעגל הראשון: שם בית החולים, שם הקיבוץ, מספר העובדים בחברה, תאריך האירוע, סוג המכונה שהתקלקלה, הסכום המדויק.
מבחן מהיר למעגל הזה: אם עיתונאי שקיבל את המסמך היה מזהה את התיק, גם המודל יזהה. צירוף של שלושה עד ארבעה פרטים ״שוליים״ מספיק כדי לצמצם אוכלוסייה של מיליונים ליחיד.
מעגל שלישי: הזיקה עצמה
זה המעגל שלא מסירים, כי הוא אינו פרט אלא קשר. אם במסמך אחד מופיעים פרט ייחודי ופרט חסוי יחד, עצם הצמדתם הוא המידע. מכאן שאנונימיזציה מוצלחת של כל שדה בנפרד עדיין יכולה להשאיר את הסוד במקומו. זה גם הגבול שבו הנוהל נגמר וההחלטה מתחילה.
הנוהל
- סווגו לפני שאתם מסירים. קודם מחליטים אם המסמך בכלל אמור להגיע למערכת פתוחה. ההמלצה המפורשת של הוועדה היא שאין להזין למערכות בינה מלאכותית חומרים סודיים, מסמכים שאינם פומביים, כתבי בי דין שאינם פומביים וכל מידע שנחשב מידע אישי לפי חוק הגנת הפרטיות, גם אם נמחקו השם ומספר הזהות, אלא להשתמש במערכות הפתוחות לשאילתות כלליות ותיאורטיות בלבד
- הפעילו מזעור נתונים. גילוי הדעת מפנה לעיקרון הזה במפורש: לאסוף ולהשתמש רק בנתונים הנחוצים ליישום הספציפי. שלושה עמודים רלוונטיים עדיפים על תיק בן מאתיים עמודים, לא רק מטעמי חיסיון אלא גם מטעמי איכות פלט
- תארו במקום להעלות. ההנחיה המעשית ביותר בגילוי הדעת: כאשר יש לכתוב מכתב בעניינו של לקוח, יש לתאר למערכת בקווים כלליים את נושא המכתב, ולהימנע ככל הניתן מהזנת מידע ספציפי הנוגע למקרה, גם אם אין בו פרטים מזהים כלל
- החליפו במקום למחוק. מסמך עם חורים מייצר פלט גרוע, ומעודד את מי שעורך אותו להחזיר את הפרטים פנימה. עדיף להחליף בערכים עקביים: ״התובע״, ״המעסיקה״, ״המועד הקובע״. הפלט חוזר עם אותם מונחים, וההשלמה חזרה למסמך האמיתי היא פעולה מכנית
- בדקו את התוצאה כמסמך. הבדיקה האחרונה אינה על השדות שהסרתם אלא על מה שנשאר. קראו את הגרסה המעובדת מההתחלה ושאלו אם מישהו שמכיר את התחום היה מזהה את התיק
נקודות הבקרה
- זכויות יוצרים. גילוי הדעת מזהיר בנפרד מהזנת מידע המוגן בזכויות יוצרים, שלכם או של הלקוח, משום שהפלטפורמה תלמד אותו ועלולה לעשות בו שימוש
- הגדרת אימון. במערכות פתוחות רבות קיימת אפשרות לכבות אימון על תוכן המשתמש. זו הקטנת סיכון, לא פתרון, והיא אינה משנה את סיווג המסמך
- אחריות על עובדי המשרד. גילוי הדעת קובע שעורך הדין נושא באחריות מלאה, נזיקית ואתית, לשימוש שהוא ועובדי משרדו עושים בפלטפורמות. הערת שוליים באותו מסמך מוסיפה שראוי לבצע הדרכות תקופתיות לעובדים הרלוונטיים. נוהל שקיים ולא הודרך אינו נוהל
מתי לא להשתמש בזה
אנונימיזציה היא כלי להורדת סיכון בעבודה שוטפת. היא אינה הפתרון לחומר שהוא באמת רגיש. לחומר כזה התשובה אינה הסרה טובה יותר אלא הפרדה: מערכת סגורה עם הסדר חוזי מול הספק, או עבודה בלי מודל.
יש גם מקרים שבהם ההסרה עצמה הורסת את המשימה. ניתוח כשירות, בחינת מהימנות גרסה או שקילת ראיות תלויים בדיוק בפרטים שאתם אמורים להוריד. במקרים האלה הפלט שתקבלו יהיה בעל מראית עין של ניתוח ובלי הבסיס שלו, וזה גרוע יותר מלא לקבל אותו.
מסמך זה הוא ניתוח מקצועי ואינו ייעוץ משפטי. ראו את גילוי הדעת המלא של ועדת האתיקה הארצית במקור.