[论文解读] Confidentiality Protection in the 2020 US Census of Population and Housing

John M. Abowd, Michael B Hawes|arXiv (Cornell University)|Jun 7, 2022

Privacy-Preserving Technologies in Data被引用 6

一句话总结

本文介绍了在2020年美国人口普查中部署定制化差分隐私框架，以保护高度细化的表格数据（特别是街区级地理数据）中的个人机密性。通过在整个地理层级中注入校准的噪声，该系统在防止重新识别的同时确保了可控的准确性，标志着与传统统计披露限制方法的根本性转变。

ABSTRACT

In an era where external data and computational capabilities far exceed statistical agencies' own resources and capabilities, they face the renewed challenge of protecting the confidentiality of underlying microdata when publishing statistics in very granular form and ensuring that these granular data are used for statistical purposes only. Conventional statistical disclosure limitation methods are too fragile to address this new challenge. This article discusses the deployment of a differential privacy framework for the 2020 US Census that was customized to protect confidentiality, particularly the most detailed geographic and demographic categories, and deliver controlled accuracy across the full geographic hierarchy.

研究动机与目标

• 应对由于计算能力提升和数据关联技术进步，高度详细的人口普查数据面临重新识别风险日益增加的问题。
• 用稳健且数学严谨的隐私框架取代脆弱的传统统计披露限制（SDL）方法。
• 实现准确且受隐私保护的数据发布，以支持诸如选区重划和联邦资金分配等关键应用。
• 在全地理层级范围内，平衡保密性保护与科学和政策应用的实用性。

提出的方法

• 将定制化差分隐私（DP）框架作为2020年人口普查披露规避系统（DAS）的核心。
• 对所有表格统计量注入校准的噪声，并在地理和人口统计层级中分配隐私预算。
• 采用数据空间的分层分解方法，确保在每个聚合层级上隐私损失均被限制并可控。
• 使用自上而下的算法在地理单元间分配隐私损失，在保护敏感单元的同时保持小区域估计的准确性。
• 实施严格的验证流程，以评估披露风险并确保符合法律和统计标准。
• 将DAS集成到从数据收集到最终公开发布的完整人口普查数据处理流程中。

实验结果

研究问题

• RQ1 如何有效扩展差分隐私，以保护2020年美国人口普查中高度细化的街区级人口普查数据的机密性？
• RQ2 差分隐私对选区重划数据的准确性与可用性有何影响？
• RQ3 如何在地理层级中最优分配隐私预算，以平衡准确性与保密性？
• RQ4 DP对使用2020年人口普查数据进行科学推断和统计分析有何影响？
• RQ5 与传统SDL方法相比，新系统在重新识别风险和数据实用性方面表现如何？

主要发现

• 2020年人口普查在所有表格输出中成功部署了差分隐私框架，实现了对街区级个人机密性的保护。
• 通过在地理层级中分布隐私损失，系统实现了可控的准确性，显著降低了小区域估计的方差。
• DAS通过设计将重新识别风险降低至接近零，即使在高级关联攻击下亦然。
• 通过使用校准的噪声，确保无法从已发布统计量中重新识别出任何个人或小群体。
• 科学用户能够在对隐私引起的变异性进行适当调整后，对DP保护的数据进行有效推断。
• 尽管增加了噪声，该系统仍保持了足够的数据实用性，适用于选区重划、联邦资金分配和人口统计分析。