Registro Federal, Volume 89 Edição 200 (Quarta-feira, outubro 16, 2024 ). [Volume do Registo Federal 89, Número 200 (Quarta-feira, outubro 16, 2024 )] [Notificações] [Páginas 83517 - 83519 ] Do Registo Federal Online via o Escritório de Publicações do Governo [ www.gpo.gov ] [FR Doc No: 2024 - 23773 ] ======================================================================= -----------------------------------------------------------------------. SERVIÇO DE GESTÃO E ORÇAMENTO Pedido de informação: Direção Executiva Manejo da Agência de Informação Comercialmente Disponível Contendo Informações Personalmente Identificadas.
AGÊNCIA: Escritório de Gerenciamento e Orçamento. ACÇÃO: Notificação de solicitação de informações.
-----------------------------------------------------------------------. SUMÁRIO: Como parte da implementação da ordem executiva, Desenvolvimento e Uso Seguros, Seguros e Confiáveis da Inteligência Artificial, o Escritório de Gestão e Orçamento (OMB) está solicitando entrada pública sobre questões relacionadas à coleta, processamento, manutenção, uso, compartilhamento, divulgação e disposição de informações disponíveis comercialmente (CAI) que contêm informações identificáveis pessoalmente (PII). DATAS: Consideração será dada aos comentários escritos recebidos até dezembro 16, 2024.
ADRESSO: Por favor, envie comentários via e siga as instruções para enviar comentários. Os comentários públicos são valiosos, e eles irão informar quaisquer atualizações potenciais para a orientação relevante da OMB; no entanto, geralmente a OMB não responderá a submissões individuais ou não endereçará as mesmas. Declaração de Lei de Privacidade: A OMB está emitindo este pedido de informações (RFI) como parte da sua implementação da Ordem Executiva 14110 Desenvolvimento e uso de Inteligência Artificial, Seguro, Seguro e Confiável,\ 1 \ de acordo com as autoridades estatutárias da OMB para definir políticas para a gestão dos recursos de informação das agências da Filiação Executiva, incluindo o CAI contendo PII.\ 2 \ A submissão de comentários em resposta a este RFI é voluntária. Os comentários podem ser usados para informar a tomada de decisões sólidas sobre tópicos relacionados a este RFI, incluindo atualizações potenciais para orientação. Por favor, note que as submissões recebidas em resposta a este aviso podem ser publicadas em ou divulgadas em sua totalidade, incluindo quaisquer informações pessoais, informações confidenciais de negócios ou outras informações sensíveis fornecidas pelo comentarista. Não inclua em suas submissões qualquer material protegido por direitos autorais; informações de natureza confidencial, como informações pessoais ou de propriedade; ou qualquer informação que você não gostaria de tornar pública. Os comentários e informações do comentarista são mantidos sob o Sistema de Entrada Pública de Registros OMB, OMB/ INPUT/ 01; o sistema de aviso de registros é acessível em 88 FR 20913 ( 2023 / 04 / 07 / 2023 - 07452 /privacy- act- of- 1974 - sistema de registros ) e inclui uma lista de usos de rotina associados à coleta desta informação. ----------------------------------------------------------------------------------------- \ 1 \ Executivo. Ordem 14110, 88 FR 75191 (Nov. 1, 2023 ). \ 2 \ Veja, por exemplo, 44 U.S.C. 3504 (a); 5 U.S.C. 552 a( v).
PARA OUTRAS INFORMAÇÕES CONTACTO: Kevin Herms, Escritório de Gestão e Orçamento, via e-mail em [email protected] ou telefone em 202 - --------------------------------------------------------------------------- 395 - 3200. INFORMAÇÕES SUPLEMENTÁRIAS: A informação comercialmente disponível (CAI) assume muitas formas e, quando utilizada de forma responsável, suporta muitas das missões realizadas pelos departamentos e agências da Diretoria Executiva (``agencies'') em nome do povo americano. Seção 3 (f) da Ordem Executiva 14110 define a IAC como "qualquer informação ou dado sobre um indivíduo ou grupo de indivíduos, incluindo o dispositivo ou localização de um indivíduo ou grupo de indivíduos, que é disponibilizado ou obtido e vendido, alugado ou licenciado para o público em geral ou para entidades governamentais ou não governamentais." \ 3 \ CAI também pode incluir PII, que OMB Circular No. A- 130 define como `` informação que pode ser usada para distinguir ou rastrear a identidade de um indivíduo, quer isoladamente, quer quando combinada com outras informações que estão ligadas ou vinculadas a um indivíduo específico.'' O IAC pode ser coletado de várias fontes, incluindo registros públicos, e licenciado,.
vendidos, ou transferidos de outra forma por empresas, incluindo aquelas comumente conhecidas como brokers de dados, para uma variedade de clientes, incluindo profissionais de marketing, pesquisadores e agências federais, estaduais, locais e tribais. ------------------------------------------------------------------------------------------------------------ \ 3 \ 88 FR 75194. ---------------------------------------------------------------------------. Enquanto o uso responsável do CAI pode suportar missões da agência, a coleta, processamento, manutenção, uso, compartilhamento, divulgação e disposição (a seguir "manipulação") de CAI contendo PII também pode apresentar riscos de privacidade. Por exemplo, fatores incluindo a sensibilidade e o volume de PII contidos em alguns CAI podem exacerbar os riscos de privacidade e limitar a aplicação de princípios-chave que são fundamentais para o manejo de PII pela agência, tais como minimização de dados, transparência e participação individual. Como discutido na Circular A- 130, ao considerar os riscos de privacidade associados ao seu tratamento de PII, as agências são responsáveis por avaliar a sensibilidade dos elementos de dados individualmente e quando agrupados, bem como por considerar o volume de PII. Estas considerações são particularmente importantes para o manejo da agência de ICC, como participantes em um mês de agosto 2023 Mesa redonda da Casa Branca sobre práticas de corretores de dados ``explicava como os corretores de dados compram ou adquirem grandes volumes de dados excessivamente detalhados sobre pessoas, incluindo geolocalização e informações de saúde-- muitas vezes sem o seu conhecimento ou consentimento.' \' 4 \ Como destacado na Ordem Executiva 14110, tais riscos de privacidade podem ser exacerbados ainda mais pela inteligência artificial (AI) facilitando a coleta ou uso de informações sobre indivíduos, e a tomada de inferências sobre indivíduos. A leitura da mesa redonda da Casa Branca aborda essa preocupação também, observando que ``[r]ecent avanços na inteligência artificial, advertidos os participantes, expandiram rapidamente as habilidades dos corretores de dados para desenhar inferências sobre estilos de vida, desejos e fraquezas dos indivíduos, e estão incentivando a coleta de dados desencadeantes para alimentar o seu desenvolvimento.' \' 5 \ ---------------------------------------------------------------------------.
\ 4 \ Leia a Mesa Redonda da Casa Branca sobre Proteger os Americanos das Práticas de Corretor de Dados Nocivos, Casa Branca (Ago. 16, 2023 ) statements- releases/ 2023 / 08 / 16 /leia- fora- de- branco- mesa- em- proteção- americanos- de- prejudicial- dados- corretor- práticas/. \ 5 \ ID. ---------------------------------------------------------------------------------------- Ordem Executiva 14110 práticas identificadas da agência relacionadas com o CAI, particularmente o CAI que contém PII e incluindo o CAI adquirido a partir de corretores de dados e o CAI adquirido e processado indiretamente através de fornecedores, como uma área para a OMB avaliar em relação à atenuação de riscos de privacidade potencialmente exacerbados pela IA. Especificamente, seção 9 (a)(i) e (ii) da Ordem Executiva 14110 instrui a OMB a ``avaliar e tomar medidas para identificar [CAI] adquiridas por agências, particularmente CAI que contém [PII]'' e ``avaliar... padrões e procedimentos da agência associados com o [manejo] de CAI que contém [PII]''' Como parte da sua implementação da Ordem Executiva 14110, OMB está procurando comentários públicos e entradas para a consideração da OMB, pois avalia as políticas e procedimentos associados ao tratamento de CAI contendo PII e avalia como as agências podem mitigar os riscos de privacidade decorrentes especificamente do seu tratamento de CAI contendo PII. Por seção 9 (a)(i) e (ii) da Ordem Executiva 14110, o trabalho da OMB nesta área e, portanto, o escopo deste RFI não inclui CAI contendo PII quando ele é usado para fins de segurança nacional.\ 6 \ ---------------------------------------------------------------------------.
\ 6 \ 88 FR 75217. Para um exemplo de trabalho abordando este tópico no contexto de segurança nacional, consulte o Quadro de Política da Comunidade de Inteligência para CAI publicado pelo Escritório do Diretor da Inteligência Nacional, disponível em 2024.pdf. ---------------------------------------------------------------------------------------- Procurando entrada pública na gestão responsável das agências do CAI que contém PII.
OMB procura respostas para as seguintes perguntas. Considerações Gerais 1. Como a IA potencialmente exacerba os riscos de privacidade associados ao manejo de agências de IAC contendo IPP? a. Quais são os principais riscos de privacidade associados ao manuseio de CAI por parte das agências que contêm PII que a OMB deve considerar e por quê? 2. Que frameworks, modelos ou melhores práticas devem ser considerados pela OMB, enquanto avalia os padrões e procedimentos associados ao tratamento do IAC que contém PII e considera a orientação potencial para as agências sobre formas de mitigar os riscos de privacidade do tratamento do IAC que contém PII? 3. O que, se houver, alterações à sua orientação atual deve a OMB considerar para melhorar a forma como as agências abordam e mitigam os riscos de privacidade que podem estar associados ao seu tratamento de ICC contendo PII? a. Existem políticas, padrões ou procedimentos específicos que governam o manejo das agências de CAI que contêm PII que a OMB deve incluir na orientação? 4. O que, se houver, a implementação ou outros desafios poderiam surgir com o uso da definição de ICC na Ordem Executiva 14110 para governar o manejo de agências de ICC que contenham PII? a. Qual, se algum, aspectos da definição devem OMB procurar esclarecer através de orientações para abordar quaisquer desafios?
Transparência no gerenciamento da Agência de CAI que contém PII. 5. As agências fornecem transparência no tratamento do PII por vários meios (por exemplo, políticas e diretrizes, declarações da Lei de Privacidade e outros avisos de privacidade no ponto de coleta, sistema da Lei de Privacidade de avisos de registros, avaliações de impacto de privacidade). O que, se houver, melhorias melhoraria a compreensão do público sobre como as agências lidam com o IAC contendo PII? 6. Quais outras abordagens para compartilhar informações com o público sobre como as agências lidam com o IAC que contém PII seriam mais úteis, por exemplo, para garantir a qualidade dos dados e aumentar a confiança do público? a. Que tipo de informação sobre este tópico deve ser compartilhada publicamente pelas agências? b. Quando, em que forma e a quem as agências devem fornecer essa informação? c. Devem as agências revelar aos indivíduos quando o IAC contendo PII é usado para informar uma decisão sobre esses indivíduos (por exemplo, uma determinação de sua elegibilidade para ou recebimento de um benefício Federal)? i. Que passos poderiam tomar as agências para proporcionar aos indivíduos a oportunidade de procurar emenda do ICC antes que as agências o usem para tomar tais decisões? ii. Que outras medidas poderiam ser tomadas pelas agências para verificar a precisão, relevância, actualidade e completude do CAI antes de usá-lo para tomar decisões sobre os indivíduos? 7. Devem as agências estabelecer e manter inventários abrangentes de IAC contendo PII que eles manuseiam? Por que ou por que não? a. Em caso afirmativo, estes inventários CAI da agência devem estar disponíveis ao público? Por que ou por que não? i. Existe alguma categoria de ICC que contenha PII que não deve ser incluída em um inventário público? Se assim for, o que corre o risco de suportar essa exclusão? ii. Como os inventários públicos de ICC seriam úteis para os stakeholders? 8. Devem as agências criar relatórios periódicos sobre o seu manejo do IAC contendo PII? Por que ou por que não? a. Se assim for, que informações devem ser incluídas nestes relatórios, e para quem a OMB deve direcionar as agências para enviar esses relatórios? b. Se assim for, as agências devem tornar esses relatórios públicos disponíveis e por que meios (por exemplo, publicá-los nas páginas web do programa de privacidade da agência)? Processos da Agência para o Manejo Responsável do CAI Contendo PII. 9. Devem as agências lidar com o IAC contendo PII de forma diferente, dependendo do propósito para o qual ele é usado? Por que ou por que não? a. Se assim for, quais devem ser os critérios para quaisquer diferenças no manejo da IAC com PII, e quais devem ser essas diferenças no manejo? b. O que, se houver, casos ou cenários específicos de uso são exemplos de onde a orientação da OMB deve limitar ou restringir como as agências lidam com o IAC contendo PII? Quais os riscos justificam essas limitações ou restrições? c. A agência insere o CAI contendo PII em um sistema IA, conforme definido pela seção 3 de Ordem Executiva 14110, alterar os riscos de privacidade e como? i. Como as agências devem mitigar os riscos de privacidade associados a tais entradas de CAI em um sistema IA? ii. A mitigação apropriada dos riscos de privacidade varia com base no tipo de sistema IA em que o IAC está inserido e nos propósitos desse sistema IA? Em caso afirmativo, como esses fatores devem ser considerados na mitigação dos riscos de privacidade? 10. O que, se houver, fatores devem incluir a orientação da OMB para a consideração das agências na sua avaliação de como podem mitigar os riscos de privacidade associados ao seu tratamento de IAC contendo PII (por exemplo, fonte dos dados, preocupações potenciais com a qualidade dos dados, propósito do seu uso)? a. Como as agências devem documentar a sua avaliação desses fatores relacionados ao manuseio do CAI contendo PII? b. Deve a avaliação desses fatores por parte das agências relacionada ao manejo do IAC contendo PII ser tornada pública e, se assim for, quando e como? c. Deve ser feita uma diferenciação entre o ICC mantido em sistemas de agências e o ICC acessado ou consultado por terceiros? Que fatores devem ser considerados na orientação em relação ao CAI acessado ou consultado por terceiros? 11. O que, se houver, meios de compartilhamento de informações entre agências devem ser considerados para permitir que as agências reportem problemas com o IAC contendo PII (por exemplo, preocupações recorrentes com a qualidade dos dados)? 12. O que, se houver, a orientação deve fornecer às agências sobre como os seus acordos com terceiros endereçam a requ de privacidade.