[논문 리뷰] Health Data in an Open World

Chris Culnane, Benjamin I. P. Rubinstein외 1명|arXiv (Cornell University)|2017. 12. 15.

Privacy-Preserving Technologies in Data참고 문헌 8인용 수 33

한 줄 요약

이 논문은 호주에서 공개된 개방형 건강 데이터셋에서 연령, 성별, 우편번호와 같은 몇 가지 일반적인 인구통계적 특성만을 사용하여 탈식별된 건강 데이터가 재식별될 수 있음을 입증한다. 연구는 데이터 흐림 처리나 정밀도 감소 조치가 내재된 후에도 재식별이 가능하며, 공개 데이터셋과 상업적으로 이용 가능한 데이터를 조합함으로써 재식별 위험이 더욱 증가함을 보여주어 개방형 데이터 이니셔티브의 개인정보 보호 보장 조치를 약화시킨다.

ABSTRACT

With the aim of informing sound policy about data sharing and privacy, we describe successful re-identification of patients in an Australian de-identified open health dataset. As in prior studies of similar datasets, a few mundane facts often suffice to isolate an individual. Some people can be identified by name based on publicly available information. Decreasing the precision of the unit-record level data, or perturbing it statistically, makes re-identification gradually harder at a substantial cost to utility. We also examine the value of related datasets in improving the accuracy and confidence of re-identification. Our re-identifications were performed on a 10% sample dataset, but a related open Australian dataset allows us to infer with high confidence that some individuals in the sample have been correctly re-identified. Finally, we examine the combination of the open datasets with some commercial datasets that are known to exist but are not in our possession. We show that they would further increase the ease of re-identification.

연구 동기 및 목표

• 공개 정보를 이용하여 개방형 탈식별 건강 데이터셋에 포함된 개인의 재식별 가능성 평가
• 데이터 흐림 처리 및 정밀도 감소가 재식별 위험과 데이터 유용성 간 균형에 미치는 영향 평가
• 개방형 데이터셋과 상업적 데이터 소스를 융합함으로써 재식별 정확도와 신뢰도가 어떻게 향상되는지 분석
• 실제 개인정보 유출 위험을 입증함으로써 건강 데이터 공유 정책에 영향을 주기
• 최소한의 인구통계적 특성이 탈식별 데이터셋 내에서 개인을 고유하게 식별할 수 있는 정도 수치화

제안 방법

• 기본 인구통계적 특성(예: 연령, 성별, 우편번호)만을 사용하여 개방형 호주 탈식별 건강 데이터셋의 10% 샘플에 대해 재식별 공격 수행
• 공개 가능한 데이터 소스를 활용하여 데이터셋 내 개인의 신원을 매칭하고 확인
• 연령 또는 우편번호의 정밀도를 낮추는 것(예: 반올림)이 재식별 성공률에 미치는 영향 평가
• 개별 기록 데이터에 적용된 통계적 흐림 기법의 영향을 개인정보 보호와 데이터 유용성 측면에서 평가
• 연구자가 소유하지 않은, 알려진 상업적 데이터셋과 개방형 데이터셋을 융합했을 경우의 잠재적 재식별 성과 모델링
• 신뢰도 기준과 다중 데이터셋 매칭을 통해 재식별 결과를 검증하였으며, 특히 검증을 위해 관련 개방형 데이터셋을 활용

실험 결과

연구 질문

• RQ1 탈식별된 개방형 건강 데이터셋에 포함된 개인은 오직 몇 가지 일반적인 인구통계적 특성만으로도 재식별될 수 있는가?
• RQ2 데이터 정밀도를 낮추거나 통계적 흐림 기법을 적용할 경우 개인정보 보호와 데이터 유용성 간 균형은 어떻게 영향을 받는가?
• RQ3 관련 개방형 데이터셋의 사용이 재식별의 정확도와 확신 수준을 어느 정도 향상시키는가?
• RQ4 연구자가 접근할 수 없지만 존재가 알려진 상업적 데이터셋을 통합할 경우 재식별 위험은 어떻게 증가하는가?
• RQ5 이러한 결과는 건강 데이터 공유 및 개인정보 보호 정책에 어떤 함의를 지닌다?

주요 결과

• 연령, 성별, 우편번호와 같은 기본 인구통계적 특성만을 사용하여 호주 개방형 건강 데이터셋 내 개인의 재식별이 성공적으로 수행되었다.
• 데이터 정밀도를 낮추거나 통계적 흐림 기법을 적용한 후에도 재식별은 가능했지만, 데이터의 유용성은 크게 감소하였다.
• 관련 개방형 데이터셋을 활용함으로써 일부 개인이 정확하게 재식별되었음을 고도로 신뢰할 수 있는 검증이 가능하였다.
• 연구자가 직접 접근하지 못하는 알려진 상업적 데이터셋과 개방형 데이터셋을 융합할 경우 재식별 성공률이 더욱 높아질 것이다.
• 이 연구는 최소한의 정보로도 개인을 고유하게 식별할 수 있음을 입증하여, 탈식별 건강 데이터의 개인정보 보호 가능성을 의심스럽게 만든다.
• 결과는 특히 개방형 데이터 생태계에서 데이터 유용성과 개인정보 보호 간의 근본적인 갈등을 드러낸다.