[論文レビュー] Privacy Assessment of De-identified Opal Data: A report for Transport for NSW

Chris Culnane, Benjamin I. P. Rubinstein+1 more|arXiv (Cornell University)|Apr 27, 2017

Privacy-Preserving Technologies in Data参考文献 2被引用数 4

ひとこと要約

この論文は、ニューサウスウェールズ州交通局（Transport for NSW）が公開した脱識別化処理済みOpal公共交通データセットのプライバシーリスクを評価しており、現在の公開形態は、タップオン／タップオフイベントの分離と小規模なカウントの抑制により、合理的に安全であるものの、個々の人物や少数のグループを低確率で検出する可能性という残存リスクが依然として存在することを明らかにしている（例：個人の検出確率は約100万分の2）。著者らは、微分プライバシーのパラメータを公開することと、ゼロカウントへのばらつき適用を拡張することで、プライバシー保証を強化するよう提言している。

ABSTRACT

We consider the privacy implications of public release of a de-identified dataset of Opal card transactions. The data was recently published at https://opendata.transport.nsw.gov.au/dataset/opal-tap-on-and-tap-off. It consists of tap-on and tap-off counts for NSW's four modes of public transport, collected over two separate week-long periods. The data has been further treated to improve privacy by removing small counts, aggregating some stops and routes, and perturbing the counts. This is a summary of our findings.

研究の動機と目的

• ニューサウスウェールズ州交通局（Transport for NSW）が公開した脱識別化処理済みOpalカード取引データのプライバシーリスクを評価すること。
• データの抑制、集約、微分プライバシーのばらつき処理を含む、現在の脱識別化技術の有効性を評価すること。
• 脱識別化にもかかわらず、個人や少数のグループの検出という残存プライバシーリスクを特定すること。
• パラメータの公開やゼロカウントへのばらつき適用を含む、微分プライバシー手法の改善を提言すること。
• 今後のデータ公開が、分析目的に応じたデータ処理を整えることで、利便性とプライバシーのバランスを保つこと。

提案手法

• タップオンとタップオフイベントの関連性をデータ分析したところ、これらのイベントが分離されていることがプライバシー保護に不可欠であることが判明した。
• 微分プライバシーはラプラスノイズを用いて適用されたが、プライバシーパラメータpを用い、δパラメータが非ゼロであったため、より弱いプライバシー保証が得られた。
• 著者らは、データからばらつきパラメータを逆算することで、微分プライバシーの秘密保持が必須でないことを示し、パラメータの公開を提唱した。
• 統計的推論と既知の公開情報を利用して、個人または少数のグループがデータ内で検出される確率を評価した。
• 時間のみ、場所のみ、時間＋場所の独立した処理を施したデータセット間の差分を計算することで、抑制された値の回復可能性を評価した。
• 実世界の例（例：ペンリス発のナイトバス路線の特定）を用いて、部分的な情報から推論が可能になることを示した。

実験結果

リサーチクエスチョン

• RQ1 抑制とばらつき処理が施されたにもかかわらず、特定の個人または少数のグループが脱識別化済みOpalデータに存在する確率はどの程度か？
• RQ2 公開されたデータから、微分プライバシー機構のパラメータを推定可能か？その結果、プライバシーと透明性にどのような影響があるか？
• RQ3 時間のみ、場所のみ、時間＋場所の独立した処理が、差分の計算によって抑制された値を再構築可能にし、意図しないプライバシー漏洩を引き起こす可能性はどの程度か？
• RQ4 小規模なカウントの抑制とタップオン／タップオフイベントの分離は、プライバシーとデータの利便性にどのように影響を与えるか？
• RQ5 現在の脱識別化プロセスにどのような改善を加えることで、データ利便性を著しく損なわずにプライバシーを強化できるか？

主な発見

• 現在のデータセットは、タップオン／タップオフイベントが分離されているため、公共公開にあたっては合理的に安全である。これは、同一人物による乗車・降車のリンクが不可能になるためである。
• 個人がデータ内で検出される確率は約100万分の2、少数のグループでは1,000分の1未満と推定されており、低確率ではあるがゼロではないリスクが存在する。
• 微分プライバシー機構は、非ゼロのδを有する(ε,δ)-微分プライバシーを提供しており、純粋なε-微分プライバシーに比べて弱いプライバシー保証である。
• ばらつき機構のパラメータは、データから推定可能であり、これらのパラメータを公開することは、透明性とリスク評価の両面で安全かつ有益である。
• 時間、場所、両方の独立処理が、差分計算によって抑制された値の再構築を可能にし、意図しないプライバシー漏洩を引き起こす可能性がある。
• ゼロカウントへのばらつき適用を拡張し、すべてのパラメータを公開することで、今後のデータ公開のプライバシーと信頼性が著しく向上する。