データの再識別

データの 再識別化または匿名化解除は、匿名データ（匿名化されたデータとも呼ばれる）を公開情報または補助データと照合して、そのデータが属する人物を発見する行為である。^[1]プライバシーポリシーを持つ企業、医療提供者、金融機関は、収集したデータを匿名化プロセスを経た後に公開する可能性がある ため、これは懸念される。

匿名化のプロセスには、直接的および間接的な識別子の両方をマスキング、一般化、または削除することが含まれます。このプロセスの定義は普遍的ではありません。パブリック ドメインの情報は、一見匿名化されているように見えても、他の利用可能なデータや基本的なコンピューター サイエンスの手法と組み合わせることで再識別される可能性があります。米国保健福祉省を含む複数の米国連邦政府機関および省庁の集まりである「人間被験者の保護 (「共通ルール」)」は、 「ビッグ データ」、つまり技術の進化とアルゴリズムの進歩に伴う情報の豊富さと継続的な収集と分析により、再識別が徐々に容易になっていると警告しています。ただし、匿名化は安全で効果的なデータ解放ツールであり、再識別を懸念事項とは見なしていないと主張する人もいます。^{[2] [中立性は議論されています]}

インターネット上で公開されるデータはますます増えています。これらのデータは、情報源のプライバシーを確​​保するために、名前、住所、社会保障番号などの個人を特定できる情報 (PII) を削除するなどの匿名化技術を適用した後に公開されます。このプライバシーの保証により、政府は書面による許可を必要とせずに、限られたデータセットを第三者と合法的に共有できます。このようなデータは、特に医療分野の研究者にとって非常に価値があることが証明されています。

GDPR 準拠の仮名化は、別々に保管された「追加情報」を使用することで、再識別のリスクを軽減しようとします。このアプローチは、データセットの専門家による評価に基づいており、一部の識別子を「直接」、一部を「間接」として指定します。このアプローチの支持者は、コントローラーが別々に保管する「追加情報」へのアクセスを制限することで、再識別を回避できると主張しています。この理論では、別々に保管された「追加情報」へのアクセスは再識別に必要であり、コントローラーは合法的な目的のみをサポートするために、データの特定のデータ主体への帰属を制限できます。このアプローチは、再識別に使用できる追加のデータセットがある場合に失敗するため、議論を呼んでいます。このような追加のデータセットは、GDPR 準拠の仮名化を認証する者には知られていないか、仮名化の時点では存在していない可能性がありますが、将来のある時点で存在する可能性があります。

既存のプライバシー規制は通常、変更された情報を保護しており、そのデータは匿名化または非識別化されているとみなされます。金融情報については、連邦取引委員会は、非識別化され集約されている場合にその流通を許可しています。^[3]グラム・リーチ・ブライリー法（GLBA）は、金融機関が消費者に第三者との情報共有を拒否する機会を与えることを義務付けていますが、情報が集約されており個人識別情報を含まない非識別化されたデータは、個人を特定できる情報として扱われないため、対象になりません。^[3]

大学の記録に関しては、州および連邦レベルの当局は教育におけるプライバシーの問題を認識しており、機関による情報開示を嫌悪している。米国教育省はデータの議論と識別に関するガイドラインを提供し、教育機関に対し、補助データとの相互参照による匿名データの再識別のリスクに配慮すること、学生や機関職員に関するディレクトリ情報の公開を減らすことでパブリックドメインのデータ量を最小限に抑えること、匿名化のプロセスに一貫性を持たせることを指示している。^[4]

患者の医療情報は、政府のオープンデータ政策や民間主導のデータ共有イニシアチブに後押しされ、 HealthData.govやPatientsLikeMeなどの無料で公開されているプラ​​ットフォーム上で、インターネット上でますます入手しやすくなってきている。このレベルのアクセス可能性は多くの利点をもたらす一方で、差別やプライバシーに関する懸念も生じている。^[5]薬局の医療記録や消費者データに対する保護は、他の種類の消費者データに比べて強力である。医療保険の携行性と説明責任に関する法律（HIPAA）は、健康に関する識別可能なデータのプライバシーを保護しているが、匿名化された場合には第三者への情報公開を認めている。さらに、患者の情報が不適切に開示されたり、患者への被害が十分に軽減されることなく利用された可能性が低いとは言えない場合には、患者が侵害通知を受け取ることを義務付けている。^[6]再識別の可能性は、患者の情報が侵害された可能性を判断する要因である。一般的に、薬局は匿名化された情報をデータマイニング会社に販売し、データマイニング会社は製薬会社に販売する。^[3]

医療情報のデータマイニングを禁止する州法が制定されたが、メイン州とニューハンプシャー州の連邦裁判所は憲法修正第1条を理由にこれを無効とした。別の連邦裁判所は別の事件で患者のプライバシーに関する懸念を「曖昧」と表現し、再識別のリスクを認識しなかった。^[3]

2015年9月に共通規則機関によって発行された規則制定案の通知では、研究における「被験者」という包括的な用語が拡大され、生体試料、つまり血液、尿、組織などの人体から採取された材料も含まれるようになりました。これにより、生体試料を使用する研究者は、ヒトを被験者とする研究を行うためのより厳格な要件に従わなければなりません。その理由は、生体試料の再識別のリスクが高まったためです。^[7]最終改訂では、この規制が確認されました。^{[8] [説明が必要] [全文引用が必要]}

さまざまな分野で再識別の試みが成功している例がかなりある。たとえ一般人にとって匿名性を破るのは容易ではないとしても、その手順が開示され、学べば、データベースの情報にアクセスするために高度な知識は必要なくなる。集団が固有の識別子の組み合わせを持っている場合、技術的な専門知識さえ必要ないこともある。^[3]

1990年代半ば、マサチューセッツ州の政府機関である団体保険委員会（GIC）は、州の従業員の健康保険を購入していたが、病院訪問の記録を、データを要求する研究者に無料で公開することを決定した。GICは、患者の氏名、住所、社会保障番号などの識別情報を削除しているため、プライバシーは問題にならないと保証した。しかし、郵便番号、生年月日、性別などの情報はそのまま残された。GICの保証は、当時のマサチューセッツ州知事ウィリアム・ウェルドによって強化された。当時大学院生だったラタニヤ・スウィーニーは、GICデータから知事の記録を見つけ出すことに心を砕いた。GICデータを、彼女が20ドルで購入したケンブリッジ市の有権者データベースと組み合わせることで、ウェルド知事の記録は簡単に発見された。^[9]

1997年、ある研究者が有権者データベースを使用して医療記録の匿名化を解除することに成功した。^[3]

2011年、ラタニヤ・スウィーニー教授は再びワシントン州の匿名化された病院訪問記録と投票記録を使用し、43％の確率で個人を照合することに成功しました。^[10]

処方薬情報を用いて患者を再識別するために使用される既存のアルゴリズムが存在する。^[3]

テキサス大学の2人の研究者、アルヴィンド・ナラヤナンとヴィタリー・シュマティコフ教授は、匿名化されたNetflixの映画ランキングデータの一部を、ストリーミングウェブサイト上の個々の消費者と再識別することができた。^{[11] [12] [13]} このデータは、個人名をランダムな数字に置き換え、個人情報を移動する匿名化処理を行った後にNetflixによって2006年に公開された。2人の研究者は、匿名化されていないIMDb（インターネット映画データベース）ユーザーの映画評価と比較することで、データの一部を匿名化解除した。その結果、加入者を識別するのにデータベースからの情報はごくわずかであることが判明した。^[3]結果として得られた研究論文では、Netflixユーザーを再識別することがいかに簡単であるかが驚くべき形で明らかにされた。たとえば、ユーザーがレビューした2本の映画に関するデータ、正確な評価、および評価日（3日前後）を知るだけで、68％の再識別成功率が得られる。^[9]

2006 年、AOL がユーザーの検索クエリ (公開前に匿名化されていたデータ) を公開した後、ニューヨーク タイムズの記者は匿名化されたユーザーが行った検索のグループを収集して、個人の再識別に成功しました。^[3] AOL はユーザー名や IP アドレスなどの識別情報を抑制しようとしましたが、研究者にとってこのデータの有用性を維持するために、これらを固有の識別番号に置き換えました。公開後、ブロガーはデータを詳しく調べ、このコンテンツで特定のユーザーを特定しようとしたり、面白い、憂鬱な、または衝撃的な検索クエリ (例: 「妻を殺す方法」、「うつ病と療養休暇」、「自動車事故の写真」など) を指摘したりしました。マイケル バルバロとトム ゼラーの 2 人の記者は、ユーザー 417729 の検索履歴から身元を示す手がかりを認識し、テルマ アーノルドという 62 歳の未亡人を追跡することができました。アーノルドは自分が検索の作成者であることを認め、再識別が可能であることを確認しました。^[9]

位置データ（時間内の地理的位置の連続で、個人の居場所や動きを表すもの）は、匿名性を保つのが特に難しい個人データの一種です。位置データは、自宅、職場、買い物、医療、特定の余暇パターンなど、日常生活で頻繁に訪れる場所への繰り返しの訪問を示します。^[14]位置データから個人のアイデンティティを削除するだけでは、通勤リズム、就寝場所、職場などの識別可能なパターンは削除されません。座標を住所にマッピングすることで、位置データは簡単に再識別され^[15]、個人の私生活の状況と相関付けられます。位置情報のストリームは、アプリがアクセスするスマートフォンデータから個人識別子を再構築する上で重要な役割を果たします。^[16]

2019年、チューリッヒ大学の2人の研究者、ケルスティン・ノエル・ヴォキンガー教授とウルス・ヤコブ・ミューレマッター博士は、スイス連邦最高裁判所の判例を分析し、医薬品の価格決定をめぐる連邦保健局（FOPH）に対する訴訟にどの製薬会社とどの医薬品が関与していたかを評価した。スイスの判決では、関与した民間当事者（製薬会社など）と民間当事者を明らかにする情報（医薬品名など）は一般に匿名化されている。研究者らは、公開されているデータベースからの情報をリンクすることで、匿名化されたスイス連邦最高裁判所の関連する判例の84％を再識別することができた。^{[17] [18]}この成果はメディアで取り上げられ、裁判例を匿名化すべきかどうか、またどのように匿名化すべきかについての議論が始まった。^{[19] [20]}

1997年、ラタニヤ・スウィーニーは国勢調査記録の研究から、5桁の郵便番号、性別、生年月日の組み合わせで米国の人口の最大87％を特定できることを発見しました。 ^{[21] [22]}

このような組み合わせに基づく不正な再識別では、GDPR 準拠の仮名化で現在要求されているように、データ管理者の管理下にある個別に保管された「追加情報」へのアクセスは必要ありません。

データが再識別された個人は、自分の身元が付帯された情報を、財政、健康、嗜好に関する個人情報を保有してほしくない組織に販売されるリスクもあります。このデータの公開は、不安、恥、当惑を引き起こす可能性があります。再識別の結果、個人のプライバシーが侵害されると、将来の侵害ははるかに容易になります。1つのデータと個人の実際の身元がリンクされると、データと匿名の身元との関連付けにより、個人の匿名性が破壊されます。^[3]

再識別により、匿名性を保証することを約束した企業や機関は、再識別後にユーザーを特定できる情報を第三者に公開することにより、内部ポリシー、公開プライバシーポリシー、財務上の機密性や医療上のプライバシーに関する法律などの州法や連邦法に違反する可能性があり、不法行為責任の増大につながる可能性があります。^[3]

再識別のリスクに対処するために、いくつかの提案が提案されています。

• データの有用性を維持しながら匿名化のより高い基準と統一された定義：匿名化の定義は、再識別リスクを減らすためのプライバシー保護と、企業がデータを削除することを拒否することとのバランスをとるべきである^[23]
• 匿名化された情報のプライバシー保護の強化^[3]
• 匿名化された情報を保存するデータベースのセキュリティ強化^[3]
• 悪意のある再識別の強力な禁止、プライバシー保護を保証し、データ共有プロジェクトや取り組みへの参加を奨励するより広範な差別禁止法およびプライバシー法の可決、科学コミュニティなどの学術コミュニティにおける統一されたデータ保護基準の確立により、プライバシー侵害を最小限に抑える^[24]
• データ公開ポリシーの作成：匿名化のレトリックが正確であることを確認し、再識別の試みと機密情報の流布を禁止する契約を作成し、データエンクレーブを確立し、必要な保護基準をリスクレベルに一致させるためのデータベース戦略を活用する。^[25]
• 要求されたデータセットに対する差分プライバシーの実装
• 実際の個人を特定することなく、生データの統計的特性を示す合成データの生成

再識別の完全な禁止が求められているが、施行は困難だろう。しかし、再識別行為が明らかになった場合、立法者がこれと闘い、罰する方法はある。禁止措置に連邦取引委員会と連邦捜査局によるより厳しい罰則とより強力な施行を組み合わせる、再識別の被害者に再識別を行った者に対する訴訟権を与える、匿名化されたデータを利用および分析する人々にソフトウェア監査証跡を義務付けるなどである。小規模な再識別禁止措置は、政府のデータマイナーや研究者など、特定のデータベースの信頼できる受信者に課すこともできる。この禁止措置は施行がはるかに容易であり、再識別を阻止する可能性がある。^[9]

• 「マサチューセッツ工科大学（MIT）とベルギーのルーヴァン・カトリック大学の研究者らは、ヨーロッパの小国に住む150万人の携帯電話ユーザーのデータを15か月間にわたって分析し、空間的および時間的解像度がかなり低い4つの参照ポイントだけで、ユーザーの95%を一意に特定できることを発見した。言い換えれば、100万人以上の「匿名化された」データ セットから1人の完全な位置情報を抽出するには、その人を携帯電話の送信機から数百ヤード以内に、1時間かけて1年間に4回置くだけでよい。その人の居場所に関する具体的な情報が含まれていれば、数件のTwitter投稿で必要な情報はすべて得られるだろう。」^[26]
• 「ここでは、Y染色体上の短いタンデムリピート（Y-STR）をプロファイリングし、レクリエーション遺伝子系譜データベースに問い合わせることで、個人のゲノムから姓を復元できることを報告します。姓と年齢や州などの他の種類のメタデータの組み合わせを使用して、対象の身元を三角測量できることを示しています。」^[27]