Differentiel privacy som grundlag for beskyttelse af statistisk fortrolighed
23/04/2019
Kommentarer
Det er et centralt krav til den officielle statistik at den skal levere pålidelige og detaljerede data til alle brugere. Det er også et centralt krav, at den skal sikre statistisk fortrolighed, herunder beskyttelse af dataleverandørernes identitet. Kravene fremgår bla. af EU’s Adfærdskodeks for Europæiske Statistikker. De to krav kan stride imod hinanden, så ved offentliggørelse må der foretages en afvejning af de to krav. I praksis har man hidtil løst problemet ved simple metoder, som at undlade offentliggørelse af celler i tabeller, hvis cellen kun omfatter meget få enheder, eller ved at anonymisere mikrodata, før de stilles til rådighed for forskere.
De simple metoder har været anset for tilstrækkelige, fordi det er blevet betragtet som utænkeligt, at nogen ville forsøge at udlede beskyttede data fra statistikkerene ved at kombinere forskellige opgørelser fra den samme kilde. Ikke fordi det i princippet var umuligt, men fordi det ville kræve så omfattende ressourcer, bl.a. i form af computerkraft, at ingen ville finde det umagen værd.
Det er ikke nødvendigvis tilfældet længere. Computerkraft er blevet billigere og blandt producenter af statistik har den erkendelse bredt sig, at der nu er en seriøs risiko for alvorlige angreb på statistikkernes fortrolighedsbeskyttelse. Det har skærpet bevistheden om afvejningsproblemet, for man har også erkendt, at fuld beskyttelse af fortroligheden kan kun opnås ved helt at undlade offentliggørelse. Derfor er den eneste praktiske mulighed, at man på forhånd gør sig overvejelser om, hvor stor en risiko for brud på fortroligheden, man vil acceptere, og efterfølgende indretter sin publiceringspolitik på det grundlag.
En metode til at beskyttelse af fortroligheden er at gå på kompromis med præcisionen i opgørelserne. I stedet for at offentliggøre det tal der faktisk fremgår af de statistiske opgørelser, så offentliggøres et lidt afvigende tal. Er det korrekte tal f.eks 1, kan man vælge at offentliggøre 0 eller 2 i stedet. Den tekniske betegnelse for fremgangsmåden er at indlægge støj i resultaterne. Brugeren vil stadig få en brugbar indikation af størrelsesordenen samtidig med, at det bliver vanskeligere at gennemføre et vellykket angreb på fortrolighedsbeskyttelsen.
Differential privacy er en egenskab ved en matematisk teknik, der gør det muligt, at fastlægge hvor meget støj, der skal implementeres i forbindelse med offentliggørelsen, for at sikre et givet niveau af fortrolighedsbeskyttelse. Før offentliggørelsen påbegyndes fastlægges et såkaldt fortrolighedsbudget, der er et mål for, hvor meget og hvor detaljeret der kan offentliggøres. Differential privacy leverer redskaberne til at opgøre budgettet, når beskyttelsesniveauet er fastlagt. Fastlæggelsen af hvilket beskyttelsesniveau, man vil acceptere, kan differentiel privacy-metoderne derimod ikke bidrage til. Det er og bliver et politisk spørgsmål.
Når fortrolighedsbudgettet er fastlagt, skal det afgøres, hvilke tabeller der skal offentliggøres. Hver tabel, der offentliggøres, trækker på budgettet, så det skal nøje overvejes, hvilke tabeller man vil vælge at offentliggøre. Enhver offentliggørelse belaster budgettet, således at der blive mindre til rådighed for andre offentliggørelser. Og budgettet lægger naturligvis en øvre grænse for, hvor meget der i alt kan offentliggøres.
USA’s folketællingsbureau har besluttet, at differentiel privacy skal være grundlaget for fortrolighedspolitikken i forbindelse med den næste folketælling der finder sted i 2020. Forberedelserne har givet anledning til en række erfaringer og overvejelser om, hvordan anvendelse af differentiel privacy i officiel statistik på en række områder vil ændre den måde hvorpå statistikken opfattes og anvendes. Disse erfaringer og overvejelser vil jeg vende tilbage til i et senere indlæg.
Referencer:
Eurostat: “Adfærdskodeks for Europæiske Statistikker”, Eurostat 2017 (link)
Hector Page, Charlie Cabot & Kobbi Nissim,: “Differential privacy: an introduction for statistical agencies“, Privatar 2018 (link)
