[论文解读] Health Data in an Open World

Chris Culnane, Benjamin I. P. Rubinstein+1 more|arXiv (Cornell University)|Dec 15, 2017

Privacy-Preserving Technologies in Data参考文献 8被引用 33

一句话总结

本文表明，仅使用年龄、性别和邮政编码等少数常见人口统计学特征，即可利用公开的澳大利亚数据集对去标识化的健康数据进行重新识别。研究显示，即使对数据进行扰动或降低精度，重新识别依然可行，且通过结合公开数据集与商业可用数据，进一步加剧了重新识别风险，从而破坏了开放数据计划中的隐私保障。

ABSTRACT

With the aim of informing sound policy about data sharing and privacy, we describe successful re-identification of patients in an Australian de-identified open health dataset. As in prior studies of similar datasets, a few mundane facts often suffice to isolate an individual. Some people can be identified by name based on publicly available information. Decreasing the precision of the unit-record level data, or perturbing it statistically, makes re-identification gradually harder at a substantial cost to utility. We also examine the value of related datasets in improving the accuracy and confidence of re-identification. Our re-identifications were performed on a 10% sample dataset, but a related open Australian dataset allows us to infer with high confidence that some individuals in the sample have been correctly re-identified. Finally, we examine the combination of the open datasets with some commercial datasets that are known to exist but are not in our possession. We show that they would further increase the ease of re-identification.

研究动机与目标

• 评估利用公开信息对开放去标识化健康数据集中的个体进行重新识别的可行性。
• 评估数据扰动和精度降低对重新识别风险与数据可用性之间平衡的影响。
• 考察将开放数据集与商业数据源结合使用如何提升重新识别的准确性和置信度。
• 通过展示开放数据中真实世界的隐私漏洞，为健康数据共享政策提供依据。
• 量化最少人口统计学属性在去标识化数据集中唯一标识个体的程度。

提出的方法

• 仅使用基本人口统计学属性（如年龄、性别、邮政编码）对一个公开的澳大利亚去标识化健康数据集的10%样本实施重新识别攻击。
• 利用公开可获取的数据源匹配并确认数据集中个体的身份。
• 评估降低数据精度（如对年龄或邮政编码进行四舍五入）对重新识别成功率的影响。
• 评估应用于个体记录数据的统计扰动技术对隐私和数据可用性的影响。
• 建模将开放数据集与研究人员未掌握但已知存在的商业数据集整合后可能带来的重新识别增益。
• 使用置信度阈值和跨数据集匹配验证重新识别结果，尤其利用相关公开数据集进行验证。

实验结果

研究问题

• RQ1 能否仅使用少数常见人口统计学特征，对开放去标识化健康数据集中的个体进行重新识别？
• RQ2 降低数据精度或应用统计扰动如何影响隐私与数据可用性之间的平衡？
• RQ3 相关开放数据集在多大程度上提升了重新识别的置信度和准确性？
• RQ4 若整合已知存在但不可访问的商业数据集，将如何进一步提升重新识别风险？
• RQ5 这些发现对健康数据共享与隐私保护的公共政策有何影响？

主要发现

• 仅使用年龄、性别和邮政编码等基本人口统计学特征，成功对公开澳大利亚健康数据集中的个体进行了重新识别。
• 即使数据精度降低或应用统计扰动，重新识别依然可行，但数据的可用性显著下降。
• 利用相关开放数据集可实现高置信度验证，确认样本中部分个体被正确重新识别。
• 尽管未直接访问，但将开放数据集与已知的商业数据集整合，将进一步提高重新识别的成功率。
• 本研究表明，极少信息即可唯一标识个体，挑战了去标识化健康数据隐私性的假设。
• 研究结果凸显了在开放数据生态系统中，数据可用性与隐私之间存在根本性矛盾。