[論文レビュー] Health Data in an Open World

Chris Culnane, Benjamin I. P. Rubinstein+1 more|arXiv (Cornell University)|Dec 15, 2017

Privacy-Preserving Technologies in Data参考文献 8被引用数 33

ひとこと要約

この論文は、オープンで公開されたオーストラリアの健康データセットから得られた匿名化済み健康データが、年齢、性別、郵便番号といったわずかな一般的な人口統計的属性のみを用いて再特定可能であることを示している。本研究では、データのばらつき処理や精度の低下があっても再特定が依然として可能であり、オープンデータと商業的に入手可能なデータを組み合わせることで、プライバシー保護の保証が損なわれる可能性があることが明らかになった。

ABSTRACT

With the aim of informing sound policy about data sharing and privacy, we describe successful re-identification of patients in an Australian de-identified open health dataset. As in prior studies of similar datasets, a few mundane facts often suffice to isolate an individual. Some people can be identified by name based on publicly available information. Decreasing the precision of the unit-record level data, or perturbing it statistically, makes re-identification gradually harder at a substantial cost to utility. We also examine the value of related datasets in improving the accuracy and confidence of re-identification. Our re-identifications were performed on a 10% sample dataset, but a related open Australian dataset allows us to infer with high confidence that some individuals in the sample have been correctly re-identified. Finally, we examine the combination of the open datasets with some commercial datasets that are known to exist but are not in our possession. We show that they would further increase the ease of re-identification.

研究の動機と目的

• 公開されている情報を利用して、オープンで匿名化された健康データセット内の個人を再特定可能かどうかを評価すること。
• データのばらつき処理や精度の低下が、再特定リスクとデータの有用性のバランスに与える影響を評価すること。
• オープンデータセットと商業的データソースを組み合わせることで、再特定の正確性と信頼性がどの程度向上するかを検討すること。
• オープンデータにおける現実のプライバシー上の脆弱性を示すことで、健康データ共有に関する政策に貢献すること。
• 最小限の人口統計的属性が、匿名化データセット内の個人をどれほど一意に特定可能にするかを定量化すること。

提案手法

• 年齢、性別、郵便番号などの基本的な人口統計的属性のみを用いて、オープンで匿名化されたオーストラリアの健康データセットの10％サンプルに対して再特定攻撃を実施した。
• 公に利用可能なデータソースを用いて、データセット内の個人の身元を照合・確認した。
• 年齢や郵便番号の丸めなどの精度の低下が、再特定成功率に与える影響を評価した。
• 個票データに適用された統計的ばらつき処理の影響を、プライバシー保護とデータの有用性の両面から評価した。
• 研究者が所有しないが既知の商業データセットとオープンデータセットを統合した場合の再特定の可能性をモデル化した。
• 信頼度の閾値と複数データセット間の照合を用いて再特定結果を検証し、特に関連するオープンデータセットを活用して検証を実施した。

実験結果

リサーチクエスチョン

• RQ1 オープンで匿名化された健康データセット内の個人は、わずかな一般的な人口統計的属性（例：年齢、性別、郵便番号）のみを用いて再特定可能か？
• RQ2 データ精度の低下や統計的ばらつき処理を施した場合、プライバシーとデータの有用性のバランスにどのような影響が生じるか？
• RQ3 関連するオープンデータセットを活用することで、再特定の信頼性と正確性はどの程度向上するか？
• RQ4 入手可能ではないが既知の商業データセットが存在する場合、それらを統合することで再特定リスクはどの程度増加するか？
• RQ5 これらの発見は、健康データ共有とプライバシー保護に関する公共政策にどのような意味を持つのか？

主な発見

• 年齢、性別、郵便番号といった基本的な人口統計的属性のみを用いて、オーストラリアのオープン健康データセット内の個人の再特定が成功した。
• データ精度の低下や統計的ばらつき処理があっても再特定は依然として可能であったが、データの有用性は著しく低下した。
• 関連するオープンデータセットの活用により、サンプルに含まれる一部の個人が正しく再特定されたという高い信頼性の検証が可能になった。
• 研究者が直接アクセスできないが既知の商業データセットとオープンデータセットを統合すれば、再特定の成功率がさらに向上する可能性がある。
• 本研究は、極めて限定的な情報でも個人を一意に特定可能であることを示しており、匿名化健康データのプライバシーに関する前提を疑問視するものである。
• 結果は、オープンデータエコシステムにおいて、データの有用性とプライバシーの間の根本的な対立を浮き彫りにしている。