Dlaczego usunięcie imienia i nazwiska to za mało: ryzyko reidentyfikacji
6 min czytania
Usunięcie imienia i nazwiska to nie jest anonimizacja. Rekord pozbawiony nazwiska nadal może wskazywać jedną konkretną osobę, bo kombinacja zwykłych pól — kod pocztowy, data urodzenia, płeć — działa jak odcisk palca. Tę lukę nazywamy ryzykiem reidentyfikacji i to właśnie dlatego prawdziwa anonimizacja musi patrzeć na pola w kombinacji, a nie na każdą kolumnę z osobna.
Czym jest ryzyko reidentyfikacji?
Ryzyko reidentyfikacji to prawdopodobieństwo, że ktoś powiąże rzekomo anonimowy rekord z realną osobą, której dotyczy — łącząc pozostałe pola ze sobą albo z zewnętrznym zbiorem danych (spis wyborców, media społecznościowe, publiczny serwis z opiniami).
Pola, które to umożliwiają, nazywamy quasi-identyfikatorami: to atrybuty, które same w sobie nie są unikalne, ale stają się identyfikujące w kombinacji. Datę urodzenia dzielą setki tysięcy osób. Kod pocztowy — tysiące. Ale ta data urodzenia i ten kod pocztowy i ta płeć razem często opisują dokładnie jednego człowieka.
Czy da się Cię zidentyfikować bez nazwiska?
Zazwyczaj tak. Przełomowy dowód pochodzi od Latanyi Sweeney.
W badaniu „Simple Demographics Often Identify People Uniquely” (Carnegie Mellon, 2000), na danych z amerykańskiego spisu powszechnego z 1990 r., Sweeney wykazała, że 87% populacji USA (ok. 216 z 248 milionów osób) było prawdopodobnie jednoznacznie identyfikowalne na podstawie zaledwie trzech pól: pięciocyfrowego kodu pocztowego, płci i pełnej daty urodzenia.
Liczbę tę często cytuje się bez zastrzeżeń, więc dwa sprostowania są ważne:
- Została ponownie oszacowana. Philippe Golle powtórzył analizę na danych ze spisu z 2000 r. („Revisiting the Uniqueness of Simple Demographics in the US Population”, 2006) i ustalił, że odsetek osób jednoznacznie identyfikowalnych na podstawie {kod pocztowy, data urodzenia, płeć} był bliższy 63% — mniej niż 87%, ale nadal większość populacji.
- To nie była wyłącznie teoria. W 1997 r. Sweeney zidentyfikowała kartę medyczną gubernatora Massachusetts, Williama Welda, w „zdeidentyfikowanym” zbiorze danych szpitalnych udostępnionym badaczom — zestawiając kod pocztowy, datę urodzenia i płeć z publicznie dostępnym rejestrem wyborców, który kupiła za 20 dolarów.
Zatem nawet przy ostrożniejszym szacunku rekord z usuniętym nazwiskiem, ale z zachowanymi danymi demograficznymi, nie jest dla większości ludzi anonimowy.
Czym są quasi-identyfikatory i jak ryzykowne jest każde z pól?
| Pole (usunięte / zachowane) | Samo w sobie | W kombinacji z innymi |
|---|---|---|
| Imię i nazwisko | Identyfikator bezpośredni — usuń | — |
| Data urodzenia | Wspólna dla wielu | Wysokie ryzyko z kodem pocztowym + płcią |
| Kod pocztowy | Wspólny dla tysięcy | Wysokie ryzyko z datą urodzenia |
| Płeć | Bardzo niskie | Wzmacnia dwa powyższe |
| Stanowisko + pracodawca | Niskie–średnie | Może wskazać jedną osobę w małej firmie |
| Rzadka diagnoza lub schorzenie | Średnie–wysokie | Często identyfikuje samo w sobie |
| Dokładne znaczniki czasu / lokalizacje | Każdy z osobna niskie | Ich ślad jest bardzo unikalny |
Żadne z ryzyk ze środkowej kolumny nie wygląda alarmująco. To w prawej kolumnie mieszka reidentyfikacja.
Przypadki ostrzegawcze: AOL i Netflix
Dwa głośne udostępnienia danych pokazują, że to nie jest scenariusz hipotetyczny.
- AOL (2006). AOL opublikowało ok. 20 milionów zapytań wyszukiwania od 650 tysięcy użytkowników, zamieniając loginy na numery. The New York Times zidentyfikował użytkownika 4417749 jako Thelmę Arnold, 62-letnią wdowę z Lilburn w stanie Georgia, wyłącznie na podstawie treści jej wyszukiwań. Bez włamania — po prostu czytając. Identyfikatory nigdy nie były w kolumnie „nazwisko”; były rozproszone w samych danych.
- Nagroda Netflix (2008). Netflix udostępnił 100 milionów „zanonimizowanych” ocen filmów. Badacze Arvind Narayanan i Vitaly Shmatikov zreidentyfikowali abonentów, dopasowując oceny do publicznych profili w serwisie IMDb — dowodząc, że kilka znanych punktów danych wystarczy, by wyłuskać jednostkę z ogromnego, rzadkiego zbioru.
Co na to RODO?
Test wyznacza motyw 26 RODO. Aby ocenić, czy dane są anonimowe, trzeba uwzględnić „wszelkie rozsądnie prawdopodobne sposoby” identyfikacji osoby — w tym łączenie z innymi zbiorami danych oraz dostępny koszt, czas i technologię.
Wniosek jest bezlitosny: jeśli dane demograficzne lub quasi-identyfikatory pozostawione w rekordzie sprawiają, że reidentyfikacja jest rozsądnie prawdopodobna, dane nadal są danymi osobowymi i RODO nadal ma zastosowanie — niezależnie od tego, ile kolumn z nazwiskami usunięto. (Pełne rozróżnienie znajdziesz w tekście anonimizacja vs pseudonimizacja.)
Czym jest k-anonimowość?
k-anonimowość to standardowy sposób mierzenia i ograniczania tego ryzyka, wprowadzony przez Sweeney w 2002 r. Zbiór danych jest k-anonimowy, jeśli każdy rekord jest nieodróżnialny od co najmniej k − 1 innych pod względem quasi-identyfikatorów.
Prościej: jeśli ustawisz k = 5, to dla dowolnej kombinacji {kod pocztowy, data urodzenia, płeć} w danych co najmniej 5 osób ją współdzieli — więc pojedynczego rekordu nie da się zawęzić do jednej osoby. Osiąga się to przez uogólnianie (rok urodzenia zamiast daty; region zamiast kodu pocztowego) lub usuwanie (odrzucanie rekordów odstających). Zbiór, w którym dane demograficzne są unikalne, jest 1-anonimowy — czyli nieanonimowy.
W skrócie (TL;DR)
- Usunięcie nazwiska nie anonimizuje rekordu; osoby reidentyfikują quasi-identyfikatory.
- Sweeney (2000): 87% populacji USA było jednoznacznie identyfikowalne na podstawie {kod pocztowy, data urodzenia, płeć}; ponowne oszacowanie Golle’a na spisie z 2000 r. dało blisko 63% — nadal większość ludzi.
- Realne przypadki (AOL, Netflix) zreidentyfikowały osoby z „zanonimizowanych” zbiorów.
- Motyw 26 RODO liczy „wszelkie rozsądnie prawdopodobne sposoby” — więc dane możliwe do reidentyfikacji to nadal dane osobowe.
- k-anonimowość to rozwiązanie: spraw, by każdy rekord zlewał się z co najmniej k − 1 innymi.
Przed i po: rekord, który wciąż identyfikuje
Przed („surowy”):
Imię i nazwisko: Anna Nowak — data ur.: 1987-03-14 — kod pocztowy: 30-002 — płeć: K — diagnoza: rzadka choroba autoimmunologiczna
Po naiwnym „znajdź i zamień” (usunięte nazwisko):
Imię i nazwisko: [USUNIĘTO] — data ur.: 1987-03-14 — kod pocztowy: 30-002 — płeć: K — diagnoza: rzadka choroba autoimmunologiczna
Nazwiska nie ma, ale rekord nie jest anonimowy. {Kod pocztowy + data urodzenia + płeć} mogą opisywać jednego mieszkańca tego kodu — a rzadka diagnoza jeszcze bardziej zawęża krąg. Zestawione z dowolną zewnętrzną listą, to jedna osoba. To dokładnie ten mechanizm porażki, który wykazała Sweeney.
FAQ
Czy dane są anonimowe, gdy usunę nazwiska i numery identyfikacyjne? Niekoniecznie. Jeśli pozostałe pola — kod pocztowy, data urodzenia, płeć, stanowisko, rzadka cecha — pozwalają na reidentyfikację w kombinacji lub po połączeniu z innymi źródłami, dane nadal są danymi osobowymi w rozumieniu motywu 26 RODO.
Czym jest quasi-identyfikator? To pole, które samo w sobie nie jest unikalne, ale staje się identyfikujące w kombinacji z innymi. Kod pocztowy, data urodzenia i płeć to klasyczna trójka.
Czy liczba 87% jest wciąż aktualna? Pochodzi z analizy Sweeney na danych ze spisu USA z 1990 r. Ponowne oszacowanie Golle’a na spisie z 2000 r. dało dla tych samych trzech pól około 63%. Oba pokazują, że większość ludzi jest jednoznacznie identyfikowalna — dokładny odsetek zależy od zbioru danych i roku.
Jak realnie ograniczyć ryzyko reidentyfikacji? Traktuj identyfikację jako cechę całego rekordu, a nie pojedynczej kolumny. Uogólniaj lub usuwaj quasi-identyfikatory, aż każdy rekord będzie współdzielił swoją kombinację z kilkoma innymi (k-anonimowość), i maskuj identyfikatory pośrednie, a nie tylko nazwiska.
Gdzie w tym wszystkim jest Amaze
Naiwne „znajdź i zamień” usuwa nazwisko i uznaje sprawę za zamkniętą. Amaze powstał z myślą o prawdziwym problemie: wykrywa i maskuje dane osobowe — imiona i nazwiska (w tym polskie w odmianie przez przypadki), adresy e-mail, numery telefonów, adresy oraz polskie identyfikatory jak PESEL, NIP, REGON i KRS — tak, by quasi-identyfikatory, które faktycznie reidentyfikują ludzi, nie prześlizgnęły się dalej. A działa lokalnie, na Twoim komputerze, zanim jakikolwiek tekst trafi do modelu AI.
Po szerszy słownik pojęć zajrzyj do tekstu maskowanie vs anonimizacja vs pseudonimizacja.
Źródła pierwotne w jednym miejscu: Czy Twoje dane są naprawdę anonimowe? zbiera motyw 26, badanie 87% i k-anonimowość wraz z cytowaniami.
Część naszego kompletnego przewodnika po anonimizacji danych.