Differential privacy i den amerikanske folketælling

14/05/2019          Taleboble Kommentarer

Som omtalt i mit tidligere indlæg om differentiel privacy (link) har man i USA besluttet, at differential privacy (i det følgende kaldet DP) skal være grundlaget for fortrolighedsbeskyttelsen i den amerikanske folketælling for 2020.  Den beslutning har stillet Folketællingsbureauet (Census Bureau) over for en række udfordringer. Bureauets afdelingsdirektør for forskning og metode — John Abowd — har i et foredrag offentliggjort på YouTube leveret nogle overvejelser omkring disse udfordringer. Han har også sammen med  Simson L. Garfinkel og Sarah Powazek lidt dybere redegjort for udfordringerne i artiklen “Issues Encountered Deploying Differential Privacy“.

DP er et ret nyt forskningsobjekt — de første artikler om emnet udkom i begyndelsen af dette årtusind —  så en af udfordringerne har været, at finde kvalificeret personale og egnede redskaber bl.a i form af programmel og matematiske metoder. I det omfang programmel og metoder eksisterer, har de vist sig ikke umiddelbart at kunne opfylde bureauets konkrete behov, så udviklingen af nye metoder er også en udfordring. Men den største udfordring er efter Abowds opfattelse at få brugerne til at forstå, at de nye offentliggørelsesprincipper, som bliver følgen af DP, i mange tilfælde kræver, at de de hidtil anvendte modeller, værktøjer og metoder må ændres.

Det er et centralt led i en DP-baseret fortrolighedpolitik, at den samlede information, der kan offentliggøres på grundlag af en given database, i dette tilfælde folketællingsresultaterne, må begrænses. Det kan ske ved lægge loft over omfanget af data , der offentliggøres, eller ved af mindske præcisionen i offentliggørelserne. Præcisionen mindskes ved de tal der offentliggøres afviger lidt fra de faktisk opgjorte tal. Det kaldes at indlægge støj i opgørelserne. I praksis vil en kombination af de to metoder blive anvendt

Hvor megen information, der tillades udtrukket af databasen, skal afgøres på forhånd ud fra en afvejning mellem risikoen for fortrolighedsbrud og ønsket om mest mulig information. Det er en politisk og ikke en teknisk afvejning, så den afgørelse vil blive truffet i en politisk beslutningsproces. Resultatet bliver et informationsbudget, som herefter skal fordeles mellem forskellige anvendelser. Det kan næppe undgå at give konflikter mellem forskellige brugerinteresser. Det vil nok også skabe utilfredshed hos brugerne, at deres hidtidige metoder og programmer skal tilpasses.  F.,eks. vil mikrodatasæt ikke nødvendigvis kunne leveres i den hidtidige form.

Referencer:
Simson L. Garfinkel, John M. Abowd og Sarah Powazek:  “Issues Encountered Deploying Differential Privacy”, arXiv:1809.02201v1 [cs.CR] 6 Sep 2018 (link)
 John M. Abowd: “Stepping-up: The Census Bureau Sets an Example of How to Be a Good Data Steward in the 21st Century”, YouTube (link) 

Første resultater fra USAs folketælling

31/08/2021          Taleboble Kommentarer

De første resultater fra USA’s folketælling for 2020 er kommet. I USA er folketællinger et politisk stridspunkt, fordi resultaterne fra dem danner grundlag for fordeling af både medlemmer af de lovgivende forsamlinger og af forbundets økonomiske ydelser til delstaterne. Ofte inddrages domstolene i striden, og folketællingen for 2020 har ikke været nogen undtagelse i den henseende (se indlæg fra 20/10-2020). Senest er kommet et sagsanlæg fra staten Alabama dels vedrørende en udskydelse af offentliggørelsen forårsaget af Covid19-krisen, og dels vedrørende den metode til beskyttelse af den statistiske fortrolighed, som  Folketællingsbureauet (Census Bureau) har valgt at anvende. Forsinkelsen af offentliggørelsen har betydet, at Alabama ikke har kunnet overholde en tidsfrist vedrørende fastlæggelsen af valgdistrikster fastsat i statens forfatning. Omkring databeskyttelsen er problemet en frygt for at sløringen af resultaterne kan hindre en fair repræsentation af minoriteter og små geografiske områder. Begge påstande blev afvist af federal distriktsdomstol i en kendelse afsagt 30/6 2021.

Den anvendte databeskyttelsesmetode går under navnet differential privacy og har været beskrevet i to tidligere indlæg i denne blog (23/4-2019 og 14/5-2019). En konsekvens af metoden er, at der indlægges støj i resultaterne, således at de offentliggjorte tal afviger lidt fra de faktisk opgjorte. I de fleste tilfælde er afvigelserne små, navnlig set i forhold til samlede usikkerhed, der altid vil være i en folketællingsstatitsik, men i ekstreme tilfælde kan det for meget små populationer give misvisende og i nogle tilfælde meningsløse resultater.

I en erklæring til distriktsdomstolen har John M. Abowd, der er vicedirektør (associate director) for forskning og metode i Folketællingsbureauet, givet en grundig redegørelse for bureauets overvejelser omkring beslutningen om at anvende differential privacy. Fundamentalt set er der tale om en afvejning af to hensyn: respondenternes krav om  fortrolighed og databeskyttelse på den ene side og brugernes krav om detaljerede og præcise opgørelser på den anden. Valget af differential privacy er truffet ud fra en økonomisk efficiensbetragtning. Empiriske undersøgelser har vist, at man ved anvendelse af differential privacy opnår den mest efficiente afvejning mellem de to hensyn.

Hele offentliggørelsesprocessen er på grund af covid-19 krisen forsinket i forhold til de oprindelige planer, men som nævnt er de første resultater nu udkommet. De omfatter en foreløbig opgørelse til brug for fastlæggelsen af valgdistrikter. De endelige og mere detaljerede distriktsdata udkommer den 30. september. Folketællingsbureauet oplyser, at de øvrige opgørelser, herunder detaljeret befolknings- og husholdningsstatistik, følger senere, men har ikke oplyst datoer. Kun opfordret til at holde sig orienteret på deres hjemmeside. 

Referencer:
John M. Abowd: “Declaration of John M. Abowd” (til US District Court for the Middle District of Alabama), 13/4-2021 (link)

Folketællinger i EU og resten af verden

15/12/2020          Taleboble Kommentarer

Alverden skrives i mandtal i disse år. Det sker ikke på befaling fra Kejser Augustus, men på anbefaling af FN’s Økonomiske og Social Råd (Economic and Social Council of the United Nations, ECOSOC), og selvom en anbefaling fra ECOSOC i det 21. århundrede ikke underbygges af samme magt og autoritet som en befaling fra en romersk kejser omkring år 0, så afholdes der faktisk folketælling i næsten alle verdens lande i disse år.

ECOSOC anbefaler at folketælling så vidt muligt afholdes i 2020 eller 2021. Kina og Indien, der er verdens suverænt folkerigeste lande, og tilsammen rummer mere end en tredjedel af den samlede verdensbefolkning på 7,8 mia., har fastlagt hhv. 2020 og 2021 som folketællingsår. I Kina er folketællingen i fuld gang, men i Indien vil Covid19-situationen sandsynligvis nødvendiggøre en udsættelse. USA’s folketælling blev gennemført i år* og 2021 bliver EU’s folketællingsår. En lille gruppe lande har afholdt deres folketællinger i perioden  2015-2019, og enkelte har planlagt at afholde dem i 2022 eller senere, men langt de fleste følger anbefalingen om 2020 eller 2021. Kun ganske få lande har hverken gennemført eller planlagt en folketælling.

I en traditionel folketælling indsamles data ved, at der rettes henvendelse til hver enkelt husstand — personligt eller gennem postvæsenet. Det er en velprøvet metode, og i mange henseender den mest hensigtsmæssige, fordi den giver statistikproducenten fuld kontrol over hele processen. Men metoden er kostbar. En langt billigere fremgangsmåde er at basere opgørelsen på eksisterende administrative registre, f.eks. skattevæsenets og de sociale myndigheders registre, og/eller egentlige folkeregistre, som det danske CPR. Men i de fleste af verdens lande findes sådanne registre ikke, eller de er for ufuldstændige eller upålidelige til  at kunne anvendes som folketællingsgrundlag. Derfor gennemføres folketællingerne i to tredjedele af verdens lande efter den traditionelle metode (Mrkić, s. 37). I den resterende tredjedel anvendes registre enten alene eller i kombination med supplerende dataindsamling, evt i form af stikprøveundersøgelser**.

Rammerne for EU-landenes folketællinger er fastlagt i en forordning, hvis regler ligger indenfor FN’s retningslinjer. Med hensyn til metoder giver forordningen landene meget vide rammer. Derimod opstilles der ret præcise krav til hvilke data, der skal leveres. Resultaterne fra EU-landenes folketællinger vil blive offentligt tilgængelige gennem EU’s Census Hub (se tidl indlæg), hvor resultaterne fra EU-folketællingen i 2011 allerede findes (link). Landene skal levere data til Census Hub inden 1. april 2024.

I Danmark har der ikke været afholdt folketællinger siden 1981, og der kommer heller ingen folketælling i 2021. Som EU-medlem er Danmark naturligvis forpligtet til at levere en folketællingsopgørelse til EU, men det kan Danmarks Statistik gøre ud fra den eksisterende statistik. Den løbende registerbaserede statistik indeholder alle de data, der normalt indsamles ved en folketælling, herunder de data EU kræver indberettet, så en egentlig folketælling er overflødig.

* Den amerikanske folketælling har tidigere være behandlet i flere indlæg i denne blog (20/10-2020, 4/2-2020, 14/5-2019, 12/6-2018, 19/9-2017 og 23/5-2017)

** Korte beskrivelser af forskellige typer af folketællinger kan findes i et tidligere indlæg (link)

Referencer:
Srdjan Mrkić: “The 2020 round of population and housing censuses: An overview”, Statistical Journal of the IAOS, vol. 36, no. 1, pp. 35-42, 2020 (link)
UNSD: Webside – “World Population and Housing Census Programme” (website), (link)
Eurostat: “EU legislation on the 2021 population and housing censuses”, 2019 (link)
EU: “Census Hub”,  (link)

USA’s højesteret standser dataindsamlingen til folketællingen

20/10/2020          Taleboble Kommentarer

I USA er indsamlingen af data til folketællingen for 2020 nu afsluttet. Præcis hvornår afslutningen skulle ske har været genstand for en politisk og juridisk strid, der nu er blevet afgjort af højesteret. Efter den helt oprindelige plan skulle dataindsamlingen afsluttes med udgangen af juli, men på grund af covid-19 krisen blev indsamlingsperioden først udvidet til udgangen af oktober, og senere igen afkortet til udgangen af september. Da en række eksperter udtrykte bekymring for, at afkortningen af indberetningsperioden kunne få negative følger for folketællingens kvalitet, indbragte en alliance af lokale myndigheder og borgerretsgrupper sagen for retten, med krav om at udgangen af oktober blev fastholdt som afslutningtidspunkt.

Alliancen fik i første omgang medhold ved en distriktsdomstol, og dataindsamlingen blev fortsat ind i oktober, men den den 13. oktober besluttede højesteret, at regeringen har ret til at afslutte dataindsamlingen. I praksis betyder det, at dataindsamlingen blev afsluttet den 15. oktober. Trods nederlaget i Højesteret kan klagerne altså glæde sig over, at de gennem distriktsdomstolens kendelse opnåede 15 dages ekstra indsamlingsperiode.

Når fastlæggelse af afslutningsdatoen for indsamlæingsperioden kunne blive et politisk stridsspørgsmål skyldes det først og fremmest, at folketællingens resultater afgør fordelingen mellem delstaterne af medlemmerne af Repræsentanternes Hus og af det valgmandskollegium, der vælger præsidenten. Der er en forventning om, at der er en overvægt af økonomisk og socialt dårligt stillede husstande blandt de senest indkomne besvarelser, og da sådanne husstande i højere grad antages at støtte Demokraterne, kan en republikansk præsident og regering alene af den grund have en interesse i så kort en indsamlingsperiode som muligt. Dertil kommer, at folketællingen også anvendes som fordelingsgrundlag for ydelser i forbundets sociale støtteprogrammer. Jo færre fattige, der optælles, jo færre midler til de fattigste områder, og tilsvarende flere til de knap så fattige.

Der er intet usædvanligt i, at en amerikansk folketælling er genstand for voldsomme politiske og juridiske slagsmål. Forfatningen fastlægger, at tællingen skal afholdes hvert tiende år, men siger meget lidt om det konkrete indhold. Der er derfor rig anledning til politisk uenighed, og med Højesterets rolle som fortolker af forfatningen kommer kampen til at udspille sig både i Kongressen og i Højesteret. Folketællingen for 2020 er dog nok en af de mest omstridte, navnlig fordi Trump-administrationen fra starten har udvist en meget kritisk holdning til officiel statistik i almindelighed og til Folketællingen i særdeleshed (se tidl indlæg, 19/9-2017 og 7/2-1017)

* Den amerikanske folketælling har tidigere være behandlet i flere indlæg i denne blog (4/2-2020, 14/5-2019, 12/6-2018, 19/9-2017 og 23/5-2017)

Referencer:
Mike Schneider: “Supreme Court halts census in latest twist of 2020 count”, AP News 14/10-2020 (link)

USA’s folketælling 2020

04/02/2020          Taleboble Kommentarer

En af dette års helt store begivenheder i statistikverdenen er folketællingen i USA. Mange andre lande afholder folketælling i 2020 — og EU-landene holder folketællinger i 2021 — men den amerikanske tælling er noget helt særligt i kraft af sit omfang, sin historie, sin rolle i det politiske spil og den tekniske og statistikfaglige indsats, der ligger bag. Forberedelserne til den amerikanske folketælling har tidigere være behandlet i flere indlæg i denne blog (14/5-2019, 12/6-2018, 19/9-2017 og 23/5-2017)

Grundlæggende foregår folketællingen på helt traditionel vis, ved at hvert husstandsoverhoved besvarer et spørgeskema om husstandens beboere. Moderne teknologi anvendes naturligvis, hvor det er muligt, men fundamentet er data indsamlet direkte hos borgerne. Det er en meget kostbar dataindsamlingsmetode, som i andre lande er søgt erstattet eller suppleret med anvendelse af data fra allerede eksisterende registre. Ugemagasinet The Economist påpeger da også, at metoden kan forekomme ret utidsvarende, men problemet er, at USA ikke råder over den administrative infrastuktur i form af omfattende administrative registre, der er forudsætningen for alternative og langt billigere metoder.

Dataindsamlingen er så småt begyndt i afsides liggende områder i Alaska og vil fortsætte sommeren over. Det officielle starttidspunkt var 21. januar. Men den store indsamlingsmåned bliver april. Folketællingsdagen — den 1. april 2020 — vil blive markeret som en mærkedag over hele USA. Det er forholdene på denne dato tællingen tilstræber at beskrive. Alle husholdninger vil på denne dag modtage en opfordring til at deltage. Besvarelsen kan foregå telefonisk, online på internettet eller med gammeldags post. En husholdning forstås i denne sammenhæng som en lille gruppe personer, der deler bolig. Beboere i fælleshusholdninger som fængsler, kollegier og plejehjem kan ikke optælles på denne måde. De vil i stedet blive besøgt af folketællere, der vil indsamle de krævede oplysninger om beboerne. Det samme gælder de almindelige husholdninger, der ikke efterkommer opfordringen til levere data telefonisk, online eller med post. Hjemløse udgør et helt specielt problem, men også de vil blive søgt optalt i dagene omkring 1. april.

De første resultatater fra folketællingen bliver de opgørelser forfatningen kræver til fordeling af pladserne i kongressen og i det valgmandskollegium, der vælger præsidenten. De vil blive leveret i december 2020. Den 31, marts 2021 vil delstaterne modtage data, der skal danne grundlag for afgrænsningen af valgkredsene. Den egentlige offentliggørelse påbegyndes i maj 2021 og forventes afsluttet i april 2023.

Referencer:
Economist: “Out for the Count — Americas census looks out of date in the age of big data”, Economist 20/1-2020 (link)
United States Census Bureau: Hjemmeside (link)

USA’s statistiske system

06/08/2019          Taleboble Kommentarer

USA’s statistiske system er stærkt decentraliseret, med en produktion af officiel statistik, der er fordelt på mere end 100 forskellige enheder. Udviklingen er tydeligvis sket ved knopskydning — når et behov er opstået, har man etableret ny enhed — uden særlig fokus på fordelene ved koordinering. Det har naturligvis skabt problemer, og kongressen har da også gennem lovgivning søgt at skabe lidt mere overblik. Den vigtigste lov omhandlende den federale statistikproduktion blev oprindeligt vedtaget i 1980, men revideret 1995. Lovens officielle navn: “Lov om Begrænsning af Papirarbejde” (Paperwork Reduction Act”) antyder, at irritation over, at skulle indberette samme oplysninger til flere myndigheder har været en drivkraft bag loven. Yderligere rammer for den officielle statistik er fastlagt i andre love som “Lov om Beskyttelse af Fortrolig Information og om Statistisk Effektivitet” (Confidential Information Protection and Statistical Efficiency Act, CIPSEA) fra 2002, og  “Lov om Evidensbaseret Politisk Beslutningstagning” (Evidence-Based Policymaking Act) fra 2018 .

Der er stor variation i størrelse og betydning af de mange officielle statistikprodu­center. En væsentlig del af den officielle statistikproduktion — 43 pct. målt ud fra de størrelsen af den finanslovbevillingen til statistikproduktion i 2016 — varetages af 13 såkaldte statistiske hovedmyndigheder (principal statistical agencies). De statistiske hovedmyndigheder er karakteriseret ved, at deres hovedformål er indsamling, behandling og analyse mm. af statistiske oplysninger. Langt den vigtigste er Folketællingebureaet (Bureau of the Census). Andre vigtige hovedmyndigheder er Det Nationale Center for Uddannelsesstatistik (National Center for Education Statistics), Det Nationale Center for Sundhedsstatistik (National Center for Heath Statistics),  Bureauet for Arbejdsmarkedsstatistik (Bureau of Labor Statistics) og Det Økonomiske Analysebureau (Bureau of Economic Analysis). De resterende 57 pct. af finanslovbevillingerne er fordelt mere end 90 institutioner, der ikke har statistikproduktion som hovedopgave, men som på finansloven modtager en bevilling øremærket til statistik. Hertil kommer produktion officielle statistikker som ikke har deres eget punkt på finansloven og statistikker produceret af enheder uden for den egentlige regering (executive branch), f.eks. Nationalbanken  (Federal Reserve).

Folketællingerne, der som fastlagt i forfatningen afholdes hvert 10 år, spiller en helt grundlæggende rolle i den amerikanske statistik, og har været behandlet i en række tidligere indlæg((14/5-2019, 12/6-2018, 19/9-2917 og 23/5-2017). Næste folketælling afholdes i 2020.

Lovgivningen etablerer tre vigtige værktøjer til koordinering og kvalitetssikring af den officielle statistik: et embede som chefstatistiker, et fællesråd for planlægningen af den officielle statistik (Interagency Council on Statistical Policy, ICSP) og en ramme for beskyttelse af den statistiske fortrolighed. Chefstatistikeren har det overordnede ansvar for og myndigheden til at koordinere og overvåge den officielle statistik. Hun (Nancy Potok) er formand for ICSP, der herudover som medlemmer har cheferne for de tretten statistiske hovedmyndigheder og  en enkelt repræsentant for de øvrige officielle statistikproducenter.

I forbindelse med Donald Trumps tiltræden som USA’s præsident blev der fra nogle statistikere og statistikbrugere udtrykt bekymring for, at den nye administration ville svække kvaliteten af den officielle statistik, og måske ligefrem søge at manipulere den (se tidl. indlæg). Den debat kører stadig. Catherine Rampell, kommentator ved The Washington Post, mener at vigtige statistikproducenter som Bureauet for Arbejdsmarkedsstatistik og Det Økonomiske Analysebureau endnu har deres uafhængighed og troværdighed i behold, men at at andre områder, f.eks. miljøstatistikken og fattigdomsstatistikken, er truet.

Referencer:
Office of Management and Budget: “Statistical Programs of the United States Government, fiscal year 2018”  (link)
National Academies of Sciences, Engineering, and Medicine: “Principles and Practices for a Federal Statistical Agency” : Sixth Edition. Washington, DC: The National Academies Press. 2017 (link)
US Government: “Strengthening Federal Statistics”, Kapitel 18 i Analytical Perspectives, Budget of the US Government Fiscal Year 2020, (link)
Catherine Rampell: “The Trump Administration’s War on Statistics isn’t Slowing Down”, The Washington Post 23/5-2019 (link)

Differentiel privacy som grundlag for beskyttelse af statistisk fortrolighed

23/04/2019          Taleboble Kommentarer

Det er et centralt krav til den officielle statistik at den skal levere pålidelige og detaljerede data til alle brugere. Det er også et centralt krav, at den skal sikre statistisk fortrolighed, herunder beskyttelse af dataleverandørernes identitet. Kravene fremgår bla. af EU’s Adfærdskodeks for Europæiske Statistikker. De to krav kan stride imod hinanden, så ved offentliggørelse må der foretages en afvejning af de to krav. I praksis har man hidtil løst problemet ved simple metoder, som at undlade offentliggørelse af celler i tabeller, hvis cellen kun omfatter meget få enheder, eller ved at anonymisere mikrodata, før de stilles til rådighed for forskere.

De simple metoder har været anset for tilstrækkelige, fordi det er blevet betragtet som utænkeligt, at nogen ville forsøge at udlede beskyttede data fra statistikkerene ved at kombinere forskellige opgørelser fra den samme kilde. Ikke fordi det i princippet var umuligt, men fordi det ville kræve så omfattende ressourcer, bl.a.  i form af computerkraft, at ingen ville finde det umagen værd.

Det er ikke nødvendigvis tilfældet længere. Computerkraft er blevet billigere og blandt producenter af statistik har den erkendelse bredt sig, at der nu er en seriøs risiko for alvorlige angreb på statistikkernes fortrolighedsbeskyttelse. Det har skærpet bevistheden om afvejningsproblemet, for man har også erkendt, at fuld beskyttelse af fortroligheden kan kun opnås ved helt at undlade offentliggørelse. Derfor er den  eneste praktiske mulighed, at man på forhånd gør sig overvejelser om, hvor stor en risiko for brud på fortroligheden, man vil acceptere, og efterfølgende indretter sin publiceringspolitik på det grundlag.

En metode til at beskyttelse af fortroligheden er at gå på kompromis med præcisionen i opgørelserne. I stedet for at offentliggøre det tal der faktisk fremgår af de statistiske opgørelser, så offentliggøres et lidt afvigende tal. Er det korrekte tal f.eks 1, kan man vælge at offentliggøre 0 eller 2 i stedet. Den tekniske betegnelse for fremgangsmåden er at indlægge støj i resultaterne. Brugeren vil stadig få en brugbar indikation af størrelsesordenen samtidig med, at det bliver vanskeligere at gennemføre et vellykket angreb på fortrolighedsbeskyttelsen.   

Differential privacy er en egenskab ved en matematisk teknik, der gør det muligt, at fastlægge hvor meget støj, der skal implementeres i forbindelse med offentliggørelsen, for at sikre et givet niveau af fortrolighedsbeskyttelse. Før offentliggørelsen påbegyndes fastlægges et såkaldt fortrolighedsbudget, der er et mål for, hvor meget og hvor detaljeret der kan offentliggøres. Differential privacy leverer redskaberne til at opgøre budgettet, når beskyttelsesniveauet er fastlagt. Fastlæggelsen af hvilket beskyttelsesniveau, man vil acceptere,  kan differentiel privacy-metoderne derimod ikke bidrage til. Det er og bliver et  politisk spørgsmål.   

Når fortrolighedsbudgettet er fastlagt, skal det afgøres, hvilke tabeller der skal offentliggøres. Hver tabel, der offentliggøres, trækker på budgettet, så det skal nøje overvejes, hvilke tabeller man vil vælge at offentliggøre. Enhver offentliggørelse belaster budgettet, således at der blive mindre til rådighed for andre offentliggørelser. Og budgettet lægger naturligvis en øvre grænse for, hvor meget der i alt kan offentliggøres.

USA’s folketællingsbureau har besluttet, at differentiel privacy skal være grundlaget for fortrolighedspolitikken i forbindelse med den næste folketælling der finder sted i 2020. Forberedelserne har givet anledning til en række erfaringer og overvejelser om, hvordan anvendelse af differentiel privacy i officiel statistik på en række områder vil ændre den måde hvorpå statistikken opfattes og anvendes. Disse erfaringer og overvejelser vil jeg vende tilbage til i et senere indlæg.

Referencer:
Eurostat: “Adfærdskodeks for Europæiske Statistikker”, Eurostat 2017 (link)
Hector Page, Charlie Cabot & Kobbi Nissim,: “Differential privacy: an introduction for statistical agencies“,  Privatar 2018 (link)