CONTENTS
- 1. Защита персональных данных | Причины пересмотра руководства
- 2. Защита персональных данных | Основные изменения
- - Введение системы оценки, основанной на степени риска
- - Дифференциация процедур и документации
- - Учет условий разработки систем искусственного интеллекта
- - Совершенствование стандартов обработки неструктурированных данных
- 3. Защита персональных данных | Основные практические вопросы
- - Стратегия реагирования предприятий
- - Практический контрольный перечень для предприятий
- - Практические выводы и направления управления рисками
1. Защита персональных данных | Причины пересмотра руководства
31 марта 2026 года Комиссия по защите персональных данных Республики Корея объявила о полном пересмотре «Руководства по обработке псевдонимизированной информации».
Хотя эти изменения не являются поправками к самому законодательству, они непосредственно затрагивают предприятия, государственные учреждения и разработчиков систем искусственного интеллекта, поскольку коренным образом пересматривают практические стандарты проектирования, проверки и документирования применения специальных положений об обработке псевдонимизированной информации.
Основное содержание пересмотра заключается в переходе от прежнего формального и унифицированного порядка к системе оценки, основанной на степени риска.
В связи с этим предприятиям потребуется рассматривать псевдонимизацию для защиты персональных данных как вопрос, охватывающий всю систему управления данными.
Полный пересмотр проведен с учетом практических проблем, неоднократно поднимавшихся в ходе применения руководства.
Комиссия по защите персональных данных Республики Корея провела исследование и углубленные интервью с участием 50 компаний, работающих в сфере искусственного интеллекта, и 1 441 государственного учреждения. Были выявлены следующие основные проблемы.
- Неопределенность критериев оценки рисков
- Чрезмерная нагрузка, связанная с подготовкой документов и соблюдением процедур
- Несоответствие между условиями разработки систем искусственного интеллекта и регуляторными стандартами
- Нагрузка, связанная со сплошной проверкой неструктурированных данных, включая видео, изображения и тексты
Ранее оценки одного и того же вопроса нередко различались в зависимости от учреждения или ответственного сотрудника. Из-за риска привлечения к ответственности специалисты были склонны применять консервативный подход независимо от фактической степени риска.
Пересмотр направлен на изменение этой системы и переход к порядку, учитывающему как фактические условия использования данных, так и риск повторной идентификации.
2. Защита персональных данных | Основные изменения
Основные изменения представлены ниже.
Параметр | Прежняя проблема | Содержание изменений | Практическое значение |
Оценка степени риска | Различия в оценках разных учреждений | Введение критериев по субъекту использования и среде обработки | Обеспечение последовательности оценок |
Процедуры и документы | Чрезмерные требования к документации | Дифференциация по степени риска | Снижение затрат для проектов с низким риском |
Разработка систем искусственного интеллекта | Жесткие ограничения целей и сроков | Расширяемые цели и гибкие сроки | Возможность совершенствования моделей |
Неструктурированные данные | Нагрузка, связанная со сплошной проверкой | Допущение выборочной проверки | Возможность обработки больших объемов данных |
Система документации | Смешанная структура | Разделение на основной и дополнительный тома | Повышение практической доступности |
Введение системы оценки, основанной на степени риска
Наиболее важным изменением является стандартизация критериев оценки степени риска.
Если ранее оценка проводилась путем отдельного перечисления факторов риска, то после пересмотра она проводится на основе следующих 2 критериев.
На этой основе была сформирована следующая структура.
Категория | Критерии оценки | Степень риска |
Использование тем же оператором персональных данных внутри организации | Отсутствие передачи внешним лицам, внутренний анализ и объединение | Низкий риск |
Передача 3-му лицу + контролируемая среда | Возможность контроля, в частности в пространстве для анализа | Средний риск |
Передача 3-му лицу + неконтролируемая среда | Передача данных за пределы контролируемой среды и т. п. | Высокий риск |
Дифференциация процедур и документации
- Количество форм: сокращение с 24 видов → до 10 видов
- Низкий риск: минимальный комплект документов и проверка ответственным сотрудником
- Средний и высокий риск: поэтапная углубленная проверка
Эта система снижает барьеры для начала проектов с низким риском и одновременно предусматривает более тщательное управление проектами с высоким риском.
Учет условий разработки систем искусственного интеллекта
- Допущение расширяемой формулировки целей
- Более гибкое определение срока обработки
- Возможность повторного обучения и совершенствования моделей
Смягчение прежних жестких ограничений целей существенно повысило практическую применимость при проектировании систем искусственного интеллекта.
Совершенствование стандартов обработки неструктурированных данных
- Сплошная проверка → допущение выборочной проверки
- Учет фактических условий обработки больших объемов данных, включая видео, аудио и тексты
При этом требования к обоснованию выбора метода проверки, формированию выборки, дополнительным мерам и хранению документации стали более строгими.
3. Защита персональных данных | Основные практические вопросы
Основной смысл пересмотра состоит в том, что обработка псевдонимизированной информации рассматривается не как отдельная техническая операция, а как система управления всем процессом.
Предприятия должны быть способны обосновать следующие обстоятельства.
В частности, степень риска не является постоянной величиной и изменяется в зависимости от структуры проекта.
- Внутреннее использование → по общему правилу низкий риск
- Передача внешним лицам → повышение риска в зависимости от уровня контроля
- Неструктурированные данные → по общему правилу фактор высокого риска
Поэтому предварительная классификация и документирование причин корректировки, вероятно, станут основными элементами комплаенс-системы.
Стратегия реагирования предприятий
В связи с этими изменениями предприятиям потребуется разработать следующие меры реагирования.
Юридическое подразделение и подразделение комплаенса
- Повторная классификация всех проектов по использованию данных
- Проверка применимости специальных положений об обработке псевдонимизированной информации
- Конкретизация формулировок целей (обучение искусственного интеллекта → детализация на уровне моделей и показателей)
Подразделение данных и искусственного интеллекта
- Проектирование с учетом того, что неструктурированные данные = высокий риск
- Разработка порядка выборочной проверки и системы документирования
- Разделение обучающих данных и результатов работы сервиса
Подразделения безопасности, информационных технологий и бизнеса
- Пересмотр структуры передачи данных внешним лицам
- Проверка структуры договоров с подрядчиками, обрабатывающими данные по поручению
- Создание систем управления правами доступа, ведения журналов и контроля выгрузки данных
Практический контрольный перечень для предприятий
Следующие критерии могут использоваться при проведении внутренней проверки на предприятии.
Использование данных и управление рисками
- Установлены ли критерии предварительной классификации рисков по каждому проекту
- Разграничиваются ли внутреннее использование и передача внешним лицам
- Обеспечена ли контролируемая аналитическая среда
Система псевдонимизации и проверки
- Установлены ли критерии проверки надлежащего характера метода псевдонимизации
- Предусмотрена ли отдельная система проверки неструктурированных данных
- Документированы ли порядок формирования выборки и дополнительные процедуры
Система документирования и подтверждения
- Обеспечение конкретности целей (на уровне моделей и показателей)
- Документирование оснований для оценки степени риска
- Хранение документации о процедурах проверки и утверждения
Договоры и структура передачи внешним лицам
- Включение положений о защите персональных данных в договоры с подрядчиками, обрабатывающими данные по поручению
- Создание системы контроля выгрузки данных и управления правами доступа
- Обеспечение ведения журналов и возможности последующего отслеживания
Практические выводы и направления управления рисками
Пересмотр отражает следующий подход.
Возможности использования данных расширяются, однако ответственность за подтверждение правомерности и безопасности такого использования усиливается.
Упрощение порядка для случаев с низким риском, расширение целей использования искусственного интеллекта и допущение выборочной проверки являются явным смягчением регулирования, однако преимущества от этих изменений смогут получить только предприятия, располагающие обоснованной системой управления рисками.
Соблюдение пересмотренного руководства не может обеспечиваться исключительно техническими мерами: надлежащий характер обработки псевдонимизированной информации в конечном счете зависит от возможности ее правового обоснования.
Дэрюн оказывает следующие виды юридической поддержки на всех этапах использования корпоративных данных.
Комплексная юридическая поддержка, основанная на одновременном понимании технических и правовых аспектов вопросов, объединяющих данные, информационные технологии и право, способствует выработке практических мер реагирования.
Для получения помощи по соответствующим вопросам можно воспользоваться 🔗записью на юридическую консультацию нашей фирмы.
