Aby cię zidentyfikować, wystarczą... trzy transakcje kartą
Zgodnie z przepisami dane zanonimizowane to takie, które zostały pozbawione cech bezpośrednio identyfikujących konkretną osobę. Pozbawione są więc imienia, nazwiska, adresu, numeru dokumentu, nazw własnych.
Dla przykładu taka procedura anonimizacji obowiązuje sądy przy publikowaniu informacji o orzeczeniach. Podobnie traktuje się dane służące do obliczeń statystycznych (np. ustalających użycie sieci telefonicznej lub wartości zakupów kartą w danym sklepie). Czy to jednak faktycznie wystarcza? Jak pokazują wyniki badań opublikowane niedawno w czasopiśmie Science, być może trzeba będzie pomyśleć o lepszych metodach anonimizacji danych.
Jak wynika z danych, zanalizowanych przez grupę naukowców pracujących pod kierownictwem Yves-Alexandre de Montjoye z MIT (Massachusets Institute Of Techology), wystarczą trzy losowe transakcje aby zidentyfikować konkretną osobę.
Montjoye wraz ze współpracownikami dokonali analizy danych dostarczonych do badań przez bank. W danych znajdowały się transakcje dokonane kartami przez ponad milion klientów banku w przeciągu trzech miesięcy. Liczba sklepów w których dokonywano transakcji to około 10 tysięcy. W danych nie znajdowały się nazwiska, adresy, i inne dane osobiste, można było jednak ustalić że transakcja została wykonana przez konkretnego klienta.
Okazało się że dysponując metadanymi o transakcjach kartami, kilka wynikowych danych wystarczy, aby zidentyfikować konkretną osobę - mówi Yves-Alexandre de Montjoye. Wynika to z podstawowych właściwości ludzkiego zachowania. Nasze zachowanie czyni nas unikalnymi pod każdym względem, a co za tym idzie, łatwiejszymi do identyfikacji - dodaje.
Czego zdołali dokonać naukowcy?
Na przykład potrafili z 90% pewnością ustalić osobę dokonującą zakupów na podstawie czterech pojedynczych danych (np. czterech lokalizacji w których dokonano zakupów).Tak duże prawdopodobieństwo jedynie na podstawie lokalizacji - bez informacji o czasie, czy wartościach transakcji! Jeśli do tego mamy jedną dodatkową informację - na przykład kwotę transakcji, to wystarczą zaledwie trzy dane.
Jak twierdzą badacze, wystarczy również inna kombinacja - lista zanonimizowanych transakcji miliona klientów, i jedna informacja o konkretnej osobie: zdjęcie na Instagramie, gdzie siedzimy w konkretnym lokalu, wpis na Twitterze, gdzie chwalimy się zakupionym telefonem, czy zdjęcie z wakacji na Facebooku. To wszystko pozwala w ogromnym stopniu zawęzić wyszukiwania.
Wyniki badań wskazują, że regulacje prawne dotyczące danych osobowych (np. obowiązujące w Unii Europejskiej), wymagają aktualizacji. Takie jakie stosowane są teraz, nie zapewniają anonimowości. Z drugiej strony, prawodawcy muszą uważać aby nie "przedobrzyć" i nie uniemożliwić całkowicie legalnych i pożytecznych zastosowań danych zanonimizowanych - czyli badań rynkowych i statystycznych.
Źródło: Science Magazine, Network World. Ilustracje pochodzą z serwisu ShutterStock
