Eksempler og bruksområder

(Merk at beskrivelsene ikke vil gi en fullstendig vurdering av alle aktuelle problemstillinger, da de vil variere avhengig av det konkrete bruksområdet.)

Differensielt personvern

Differensielt personvern ("differential privacy") er en metode for å analysere personopplysninger i et datasett uten at personene er direkte identifiserbare. Dette er hensiktsmessig når en aktør vil dele analytisk innsikt med eksterne aktører, men datagrunnlaget inneholder personopplysninger som ikke skal deles.

Ved bruk av differensielt personvern legger utvikleren bevisst til unøyaktige data som "støy" til deler av datasettet som ikke er relevante for analysen eller statistikkføringen. Dette skal sikre at analyser som deles ikke enkelt kan kobles til enkeltpersoner.

Ved å legge til nok unøyaktig informasjon, kan man oppnå en form for pseudonymisering i datagrunnlaget. En slik pseudonymisering kan bidra til å oppfylle dataminimeringsprinsippet, som vil si at bruken av personopplysninger avgrenses til det som er strengt nødvendig for å oppnå formålet. I tillegg til kan det være et sikkerhetstiltak for å redusere risiko for at enkeltpersoner identifiseres.

De tilførte unøyaktighetene medfører at informasjonen som hentes ut aldri vil være helt nøyaktig. Mindre støy i datasettet vil gi mer nøyaktige resultater, men samtidig øke sjansen for å identifisere enkeltpersoner. 

Føderert læring

Føderert læring ("federated learning"), er en tilnærming innen maskinlæring som tar sikte på at flere deltakere kan lære av hverandres datasett uten å dele selve datasettene (som ofte kan inneholde personopplysninger). 

Føderert læring fungerer ved at en deltaker først laster ned den siste versjonen av en maskinlæringsalgoritme til en klientenhet, for eksempel en mobiltelefon. Deretter foretas det lokale forbedringer på algoritmen basert på dataene som finnes på klientenheten. Disse lokale modifikasjonene blir deretter sendt tilbake til en server, hvor de blir oppdatert og sammenflettet med endringer fra andre enheter. Et gjennomsnitt av endringsinformasjonen blir deretter brukt til å forbedre modellen. Den oppgraderte maskinlæringsalgoritmen kan så lastes ned av alle klientenhetene.

Denne tilnærmingen gir muligheten til å forbedre en eksisterende modell basert på et stort antall brukere, uten at de forskjellige aktørene må dele personopplysninger som ligger i datasettene deres. Dette kan være hensiktsmessig hvis virksomheten har begrensede data å trene modellene sine på, og når det ikke er hensiktsmessig eller lovlig å dele personopplysninger med eksterne.

En kjent utfordring med føderert læring er at noen modeller kan være sårbare for inversjonsangrep. Dette betyr at ondsinnede aktører kan forsøke å avlede personopplysninger basert på informasjon som sendes ut av de lokale klientenhetene.

Føderert læring kan fungere som et tiltak for å oppfylle kravene til informasjonssikkerhet. Tiltaket kan også bidra til å overholde prinsippene om konfidensialitet og integritet ved at egne datasett ikke deles med andre parter for trening av maskinlæringsmodeller.

Homomorfisk kryptering

Homomorfisk kryptering er en type kryptering som skal muliggjøre behandling eller analyse av krypterte opplysninger uten at de trenger å dekrypteres. Dette betyr i teorien at konfidensialiteten opprettholdes, samtidig som det er mulig å bruke datagrunnlaget.

Denne tilnærmingen kan være verdifull når virksomheter ønsker å gi eksterne aktører en meningsfull innsikt i datasett uten å avsløre personopplysninger som ligger der. For enkeltpersonene som opplysningene gjelder, kan det bety at opplysningene er beskyttet fra eksterne aktører og utilsiktet adgang.

Homomorfisk kryptering kan redusere risiko for personvernet ved utkontraktering eller ekstern lagring av data. Den kan også integreres som en viktig komponent i andre personvernfremmende teknologier, for eksempel føderert læring.

Videre kan den bidra til å minimere risiko og redusere alvorligheten av et sikkerhetsbrudd, siden personopplysningene forblir krypterte gjennom hele behandlingsforløpet. Dette betyr at data med personopplysninger er uleselige for eventuelle angripere og ikke mulig å manipulere. Teknologien kan derfor bidra til å oppfylle prinsippene om konfidensialitet og integritet. 

Som med all bruk av kryptering, er det viktig at krypteringsnøkkelen beskyttes i tilstrekkelig grad – også for å sørge for at personopplysninger ikke tapes eller ødelegges ved at det blir umulig å dekryptere datasettet. 

Det også viktig å merke seg at opplysninger det er tilgang til via homomorfisk kryptering, ikke er anonyme. Så lenge de fremdeles er for personopplysninger å regne, vil kravene i personvernregelverket gjelde.

Kantprosessering og lokal behandling

I motsetning til de andre teknologiene, representerer kantprosessering ("edge computing") en tilnærming til databehandling snarere enn å være en teknologi i seg selv. Ved kantprosessering utføres behandlingen av data nærmere kilden som genererer opplysningene.

Et eksempel på kantprosessering er et kamera som bruker kunstig intelligens til å analysere bilder, og som gjennomfører analysen lokalt i kamerahuset. Dette skiller seg fra annen praksis, der bildene ofte sendes videre og analysene utføres i skyen eller på en ekstern maskin. Et annet eksempel kan være behandling av data som genereres av en mobiltelefon, og der innsamlingen av opplysninger, i tillegg til analysen, utføres på selve enheten før resultatene sendes til en skyserver.

Kantprosessering kan redusere antall sårbarheter ettersom opplysningene blir behandlet på stedet der de genereres. Det muliggjør også dataminimering, ettersom kun ferdigbehandlede data blir overført.

Det er viktig å merke seg at kantprosessering eller lokal behandling ikke nødvendigvis vil påvirke hvorvidt virksomheten er behandlingsansvarlig eller databehandler. Selv om opplysningene behandles og lagres nærmere kilden, eller på en lokal enhet, har virksomheten fortsatt bestemt hvorfor en sånn behandling skal skje og hvordan. Virksomheten må derfor være oppmerksom på å fortsatt kunne være behandlingsansvarlig for dataene som behandles lokalt, selv om virksomheten ikke har direkte tilgang til dataene.

Nullkunnskapsbevis

Nullkunnskapsbevis ("zero-knowledge proofs"), gjør det mulig for en virksomhet eller tilbyder å bevise sannheten i et utsagn for en annen part uten å avsløre annen informasjon enn at utsagnet faktisk er sant.

Når en virksomhet autentiserer brukere, er det vanligvis nødvendig å gjøre det ved hjelp av en nøkkel som er kjent både for den som ønsker å bli autentisert og den som skal autentisere. Nullkunnskapsbevis er en tilnærming der opplysningene blir autentisert, uten at de faktiske opplysningene vises eller blir avslørt overfor motparten. Det vil si at personen som skal autentiseres må kunne bevise at de besitter kunnskap om noe hemmelig (for eksempel at en person er myndig), uten at den som autentiserer får vite hva hemmeligheten består av (for eksempel hva alderen er).

Bruk av nullkunnskapsbevis kan styrke personopplysningssikkerheten og føre til større grad av lagringsbegrensing og dataminimering ved at aktøren som autentiserer ikke behøver å selv lagre informasjonen som kreves for å autentisere.

Sikker flerpartsberegning

Sikker flerpartsberegning ("secure multiparty computation") er en protokoll som gjør det mulig for flere aktører å behandle opplysninger på tvers av enheter – uten at noen av aktørene har innsikt i de andres opplysninger utover det som er strengt nødvendig. Det betyr at det ikke er nødvendig med en sentral aktør som har tilgang til alle aktørenes datasett. I stedet kan de forskjellige aktørene bevare sine egne opplysninger og holde dem avskjermet.

En undervariant av sikker flerpartsberegning er "private set intersection". Denne protokollen gjør det mulig for to deltakere å finne ut hvilke data de har de har til felles i sine respektive datasett, uten å avsløre eller dele annen informasjon fra datasettene.

Bruk av sikker flerpartsberegning kan hjelpe til med å ivareta personopplysningssikkerheten ettersom fullstendige datasett ikke deles med andre deltakere. Risiko som kan oppstå ved databrudd vil kunne reduseres fordi data som deles mellom aktørene ikke lagres sammen på ett sted. Tiltaket kan også bidra til å oppfylle prinsippet om dataminimering, ettersom andre som hovedregel ikke får tilgang til personopplysninger som ikke er nødvendig til formålet deres. 

Tiltrodde prosesseringsområder

Tiltrodde prosesseringsområder ("trusted execution environment" (TEE)), er et kontrollert prosesseringsområde i datamaskiner eller mobiltelefoner. Disse områdene er isolert fra der programvare og programmer normalt kjøres. På dette sikre området er det mulig å kjøre kode og lagre informasjon som er isolert fra resten av enheten. Andre deler av enheten kan ikke behandle opplysninger lagret på dette området, men behandlinger på området kan benytte informasjon fra andre deler av enheten.

Bruk av tiltrodde prosesseringsområder kan være hensiktsmessig for virksomheter å bruke hvis de vil analysere opplysninger på en måte som ivaretar sikkerheten og forhindrer at andre aktører får tilgang.

Tiltaket vil kunne redusere sannsynligheten for at personopplysninger kommer på avveier, gjennom effektiv tilgangsstyring for bestemte deler av en behandling.

Syntetiske data

Syntetiske data er generert for å etterligne virkeligheten, uten å representere reelle personopplysninger. Prosessering av slike data i en løsning skal gi samme resultater som reelle data, og kan derfor være hensiktsmessig å benytte ved testing av løsninger hvor det ikke er nødvendig eller lovlig å bruke personopplysninger. 

Det er viktig å sørge for at det ikke er teknisk mulig å avlede reelle opplysninger basert på de syntetiske dataene. Syntetiske datasett har ofte de statistiske egenskapene til et opprinnelig datasett som inneholder personopplysninger. Produksjon av syntetiske data vil derfor som oftest kreve en behandling av reelle data for å skape en tilstrekkelig god etterligning, og behandlingen av de reelle dataene vil kreve et gyldig behandlingsgrunnlag.

Syntetiske data representerer en nyttig tilnærming for å oppfylle prinsippet om dataminimering, da tiltaket er et alternativ til å samle inn ytterligere personopplysninger kun for testformål.

Virksomheter må være bevisste på risikoene ved syntetiske data. Hvis dataene genereres fra personopplysninger som inneholder skjevheter, vil disse skjevheter føres videre. Skjevheter med potensielt uheldige konsekvenser bør derfor identifiseres og rettes, i tråd med riktighetsprinssippet i forordningen.