[論文レビュー] Mobile phone data for public health: towards data-sharing solutions that protect individual privacy and national security

Caroline O. Buckee, Kenth Engø‐Monsen|arXiv (Cornell University)|Jan 1, 2016

Human Mobility and Location-Based Analysis参考文献 16被引用数 5

ひとこと要約

本論文は、公衆衛生研究者とモバイル電話の通話記録（CDR）を共有するための保守的でプライバシー保護型のフレームワークを提案する。SIM ID をハッシュ化することで個人を特定不能化し、生データを通信事業者のセキュアなシステム内に保持したまま、集計された移動マトリクスのみを共有することで、個人の再特定が不可能であると同時に、感染症モデル化のための集団移動の疫学的分析を大規模に行うことが可能となる。

ABSTRACT

We outline the constraints faced by operators when deciding to share de-identified data with researchers or policy makers. We describe a conservative approach that we have taken to harness the value of CDRs for infectious disease epidemiology while ensuring that identification of individuals is impossible. We believe this approach serves as a useful and highly conservative model for productive partnerships between mobile operators, researchers, and public health practitioners.

研究の動機と目的

• モバイル電話データを用いた公衆衛生研究を可能にするという重要な課題に取り組むと同時に、個人のプライバシーと国家の安全保障を保護すること。
• プライバシーと再特定のリスクのため、通信事業者が CDR を共有することに消極的であるという問題を克服すること。
• モバイル事業者、研究者、公衆衛生専門家との協働を可能にする標準的で安全かつスケーラブルなデータ共有モデルを開発すること。
• 個々の個人レベルの情報が露呈されないままに、集計され、個人を特定できない CDR から高価値の公衆衛生的知見を導き出すことが可能であることを実証すること。
• 国家のデータ規制およびセキュリティ基準に準拠することで、信頼を築き、このようなフレームワークの採用を促進すること。

提案手法

• 生の CDR（SIM/電話番号、タイムスタンプ、基地局 ID を含む）は通信事業者のセキュアなデータウェアハウス内に留まり、研究者に移転されることはない。
• 加盟国内の Telenor 従業員が暗号的ハッシュ化を用いて、あらかじめ集計処理の前にサブスクライバー識別子を個人を特定不能にする。
• 集計処理は通信事業者の施設で実施され、1日ごとの各基地局ごとの合計ユーザー数および基地局間移動回数の空間的・時間的マトリクスが生成される。
• 個人レベルのデータを含まない最終的な集計マトリクスのみが研究者に共有され、再特定が設計上不可能となる。
• プロセスは、特定の研究課題および地域の規制環境に合わせてカスタマイズされたデータ共有契約によって管理される。
• すべてのデータ処理および保存は通信事業者が管理しており、継続的なセキュリティおよび国家データ法への準拠を保証する。

実験結果

リサーチクエスチョン

• RQ1 個人のプライバシーまたは国家の安全保障を損なわず、モバイル電話 CDR を公衆衛生研究者とどのように共有できるか。
• RQ2 通信事業者と研究者との間で、安全かつスケーラブルかつ準拠可能なデータ共有を可能にする技術的および制度的フレームワークは何か。
• RQ3 集計された CDR が、感染症の監視および対応のための集団移動の正確なモデル化をどの程度可能にするか。
• RQ4 プライバシーとセキュリティを維持したまま、異なる規制環境に適応可能なデータ共有プロトコルはどのように設計できるか。
• RQ5 通信事業者、研究者、公衆衛生機関との国内連携が、社会的価値のための持続可能なデータ利用をどのように促進できるか。

主な発見

• 生の CDR が通信事業者のセキュアなシステムから一切移出されず、ハッシュ化後に処理されるため、本モデルは個人の再特定を効果的に防止する。
• 集計された移動マトリクス（1日ごとの各基地局ごとのユーザー数および基地局間移動回数）は、個人の身元が露呈されない形で研究者に安全に共有可能である。
• 本フレームワークにより、生データの再処理なしに、デングエム病の伝播モデルや災害対応のための多様な公衆衛生用途へのデータの柔軟な再利用が可能となる。
• 通信事業者がデータを管理することで、国家のデータ規制への準拠が促進され、関係者間の信頼が強化される。
• 通信事業者、公衆衛生専門家、および現地の研究者との協働を通じて、国内の能力強化が促進される。
• 本モデルは、プライバシーおよびセキュリティを損なわず、個人を特定できない集計された CDR からも、高影響力の公衆衛生的知見を生成できることを示している。