Ẩn danh hoá là biến đổi dữ liệu sao cho không thể xác định được cá nhân mà dữ liệu mô tả, kể cả khi kết hợp với thông tin khác mà người tấn công có thể có. Xoá tên, số căn cước, số điện thoại chỉ loại bỏ định danh trực tiếp; các thuộc tính còn lại như ngày sinh, giới tính, nơi ở, nghề nghiệp kết hợp với nhau vẫn đủ để nhận ra một người trong rất nhiều trường hợp.
Điều này đã được chứng minh nhiều lần bằng các vụ tái nhận diện nổi tiếng, và là lý do các quy định bảo vệ dữ liệu cá nhân phân biệt rõ giữa dữ liệu đã giả danh hoá (vẫn là dữ liệu cá nhân, vì có thể liên kết lại) và dữ liệu đã ẩn danh thực sự. Với bất kỳ ai công bố dữ liệu mở có nguồn gốc từ con người, hiểu ranh giới này là trách nhiệm, không phải chi tiết kỹ thuật.
Bài này trình bày các vụ tái nhận diện kinh điển và bài học, các kỹ thuật ẩn danh từ cổ điển đến quyền riêng tư vi sai, đánh đổi giữa riêng tư và hữu ích, và quy trình rà soát trước khi công bố. Phần pháp lý chỉ nêu nguyên tắc; khi áp dụng, bạn cần đối chiếu văn bản hiện hành.
Những vụ tái nhận diện làm thay đổi nhận thức
Các vụ việc dưới đây được giới nghiên cứu quyền riêng tư dẫn lại nhiều nhất. Mỗi vụ chỉ ra một kiểu điểm yếu khác nhau:
- Hồ sơ bảo hiểm y tế ở Massachusetts (cuối thập niên 1990): cơ quan quản lý công bố dữ liệu khám chữa bệnh của công chức đã xoá tên. Latanya Sweeney, khi đó là nghiên cứu sinh, ghép với danh sách cử tri mua được với giá rẻ và tìm ra hồ sơ y tế của chính thống đốc bang, chỉ dựa trên ngày sinh, giới tính và mã bưu chính.
- Ba thuộc tính đủ nhận diện phần lớn dân số: trong nghiên cứu công bố năm 2000, Sweeney ước tính khoảng 87% dân số Mỹ có thể được xác định duy nhất chỉ bằng tổ hợp mã bưu chính năm chữ số, giới tính và ngày sinh đầy đủ. Nghiên cứu sau này với dữ liệu khác cho con số thấp hơn nhưng vẫn ở mức cao.
- Nhật ký tìm kiếm AOL (2006): công ty công bố hàng chục triệu truy vấn tìm kiếm đã thay tên người dùng bằng số. Phóng viên New York Times lần ra danh tính một người dùng chỉ từ nội dung các truy vấn của bà về địa phương và người thân.
- Dữ liệu chấm điểm phim Netflix (2008): Arvind Narayanan và Vitaly Shmatikov chỉ ra rằng chỉ cần biết vài đánh giá phim cùng thời điểm áng chừng, có thể nhận ra hồ sơ của một người trong bộ dữ liệu "ẩn danh" bằng cách so với đánh giá công khai trên trang khác.
- Dữ liệu di chuyển (2013): nghiên cứu của de Montjoye và cộng sự trên dữ liệu điện thoại di động cho thấy bốn điểm toạ độ và thời gian là đủ để xác định duy nhất khoảng 95% người trong bộ dữ liệu.
Bài học chung: định danh gián tiếp có ở khắp nơi, và dữ liệu càng chi tiết, càng nhiều chiều, càng dài theo thời gian thì càng dễ nhận diện. Dữ liệu vị trí, hành vi và giao dịch gần như không thể ẩn danh chỉ bằng cách xoá cột tên.
Định danh trực tiếp, gián tiếp và thuộc tính nhạy cảm
Để rà soát một bộ dữ liệu, trước hết cần phân loại từng cột. Cách phân loại dưới đây được dùng rộng trong thực hành kiểm soát công bố thống kê:
| Loại | Ví dụ | Cách xử lý thường gặp |
|---|---|---|
| Định danh trực tiếp | Họ tên, số căn cước, số điện thoại, địa chỉ thư điện tử, ảnh khuôn mặt | Xoá hoặc thay bằng mã ngẫu nhiên không thể đảo ngược |
| Định danh gián tiếp | Ngày sinh, giới tính, nơi ở, nghề nghiệp, dân tộc, ngày nhập viện | Khái quát hoá (năm sinh thay ngày sinh), gộp nhóm, bỏ bớt |
| Thuộc tính nhạy cảm | Chẩn đoán bệnh, thu nhập, tiền án, khuynh hướng cá nhân | Giữ nếu cần cho phân tích, nhưng bảo vệ khỏi suy luận ngược |
| Thuộc tính không nhạy cảm | Các biến không giúp nhận diện và không gây hại nếu lộ | Giữ nguyên, nhưng kiểm tra tổ hợp với các cột khác |
Ranh giới giữa các loại phụ thuộc bối cảnh. Nghề nghiệp "nhân viên văn phòng" là vô hại; nghề "hiệu trưởng" kèm tên xã có thể là định danh trực tiếp. Vì vậy việc phân loại cần người hiểu cả dữ liệu lẫn cộng đồng mà dữ liệu mô tả.
Các kỹ thuật ẩn danh cổ điển và giới hạn của chúng
Giả danh hoá. Thay định danh bằng mã. Hữu ích để liên kết dữ liệu nội bộ, nhưng nếu ai đó giữ bảng tra hoặc mã được tạo bằng hàm băm của số căn cước, việc đảo ngược thường dễ. Về pháp lý, dữ liệu giả danh hoá ở nhiều nước vẫn được coi là dữ liệu cá nhân.
Khái quát hoá và gộp nhóm. Thay ngày sinh bằng nhóm tuổi, xã bằng tỉnh, thu nhập chính xác bằng khoảng. Giảm khả năng nhận diện nhưng cũng giảm độ chi tiết cho phân tích.
Che giấu ô nhỏ. Trong bảng thống kê tổng hợp, ẩn các ô có số đếm dưới một ngưỡng nhất định, vì ô có một hai người gần như là thông tin cá nhân. Phải che thêm các ô khác để không suy ngược được từ tổng.
k-ẩn danh. Sweeney chính thức hoá năm 2002: mỗi tổ hợp giá trị định danh gián tiếp phải xuất hiện ở ít nhất k bản ghi. Nhưng nếu cả k người trong nhóm cùng một chẩn đoán, kẻ tấn công vẫn biết chẩn đoán của mục tiêu. Các mở rộng như l-đa dạng và t-gần ra đời để vá điểm yếu đó, và mỗi bản vá lại lộ điểm yếu mới.
Thêm nhiễu và hoán đổi. Cộng sai số ngẫu nhiên hoặc hoán đổi giá trị giữa các bản ghi tương tự. Cơ quan thống kê nhiều nước dùng lâu nay, nhưng thường không công bố tham số, nên người dùng không biết mức sai lệch.
Quyền riêng tư vi sai: đổi câu hỏi từ "dữ liệu" sang "thuật toán"
Các kỹ thuật cổ điển có chung một điểm yếu: chúng chỉ an toàn trước những kiểu tấn công mà người thiết kế nghĩ tới. Năm 2006, Cynthia Dwork, Frank McSherry, Kobbi Nissim và Adam Smith đề xuất quyền riêng tư vi sai (differential privacy), một định nghĩa toán học chặt chẽ: kết quả của một phép phân tích phải gần như không đổi dù có hay không có dữ liệu của bất kỳ một cá nhân nào. Mức "gần như" được đo bằng tham số thường ký hiệu là epsilon; epsilon càng nhỏ, riêng tư càng mạnh và nhiễu càng lớn.
Điểm mạnh là bảo đảm này đúng bất kể kẻ tấn công biết thêm gì, và có thể cộng dồn: mỗi lần công bố tiêu tốn một phần "ngân sách riêng tư", giúp kiểm soát rủi ro tích luỹ qua nhiều lần công bố. Cục Điều tra Dân số Mỹ áp dụng quyền riêng tư vi sai cho kết quả Tổng điều tra năm 2020, và một số công ty công nghệ dùng nó khi thu thập thống kê sử dụng.
Nhưng đây không phải giải pháp không có giá. Việc Cục Điều tra Dân số Mỹ áp dụng đã gây tranh luận lớn: các nhà nhân khẩu học lo ngại số liệu cho các đơn vị nhỏ, cộng đồng nhỏ bị sai lệch đáng kể, ảnh hưởng tới phân bổ nguồn lực và nghiên cứu. Lựa chọn epsilon là quyết định chính sách về đánh đổi, không phải câu hỏi kỹ thuật thuần tuý. Với tổ chức nhỏ, triển khai đúng đòi hỏi chuyên môn sâu; dùng thư viện có sẵn mà không hiểu tham số dễ cho cảm giác an toàn giả.
Đánh đổi giữa riêng tư và hữu ích: không có điểm tối ưu chung
Mọi kỹ thuật ẩn danh đều làm giảm thông tin. Dữ liệu càng an toàn thì càng ít chi tiết, và tới một mức nào đó không còn trả lời được câu hỏi nghiên cứu. Vấn đề không phải là tìm cách đạt cả hai tối đa, mà là chọn điểm cân bằng phù hợp với mục đích và mức nhạy cảm.
Giới kiểm soát công bố thống kê thường dùng khung "năm an toàn" để suy nghĩ có hệ thống: dự án an toàn (mục đích có chính đáng không), người dùng an toàn (ai được truy cập), môi trường an toàn (truy cập ở đâu, có giám sát không), dữ liệu an toàn (đã xử lý đến mức nào) và kết quả an toàn (đầu ra có làm lộ cá nhân không). Ý tưởng then chốt là các biện pháp bù trừ cho nhau: dữ liệu chi tiết có thể cấp cho nhà nghiên cứu đã được thẩm định trong phòng dữ liệu có kiểm soát, còn bản công khai cho mọi người thì phải xử lý mạnh hơn.
Từ đó có mô hình nhiều tầng mà nhiều cơ quan thống kê áp dụng: bảng tổng hợp công khai hoàn toàn; tệp vi mô công khai đã xử lý mạnh; tệp vi mô cho nghiên cứu với thoả thuận sử dụng; và truy cập dữ liệu gốc trong môi trường an toàn. Đây là cách áp dụng tinh thần "mở nhất có thể, đóng khi cần thiết" vào dữ liệu về con người.
Quy trình rà soát trước khi công bố một bộ dữ liệu về con người
Áp dụng cho bất kỳ tổ chức nào định công bố dữ liệu khảo sát, dữ liệu khách hàng tổng hợp hay dữ liệu hành chính có nguồn gốc cá nhân:
- Xác định cơ sở pháp lý và phạm vi đồng thuận: người cung cấp dữ liệu có được thông báo về việc công bố không? Đối chiếu quy định hiện hành về bảo vệ dữ liệu cá nhân.
- Hỏi liệu có cần công bố dữ liệu vi mô không, hay bảng tổng hợp đã đủ cho mục đích. Không công bố cái không cần.
- Phân loại từng cột: định danh trực tiếp, gián tiếp, nhạy cảm, không nhạy cảm.
- Xoá định danh trực tiếp; khái quát hoá định danh gián tiếp tới mức mỗi tổ hợp có đủ số người.
- Đánh giá rủi ro bằng cách thử tấn công: một người trong nhóm, không tham gia xử lý, thử nhận diện một số bản ghi bằng thông tin công khai hợp pháp.
- Kiểm tra bảng tổng hợp đi kèm: có ô nhỏ không, có suy ngược được từ chênh lệch giữa các bảng không.
- Ghi lại quyết định và lý do, mức rủi ro còn lại chấp nhận được, người phê duyệt.
- Lập kế hoạch phản ứng: nếu phát hiện rủi ro sau khi công bố, ai rút dữ liệu, ai thông báo.
Đừng quên rủi ro tích luỹ: một bộ dữ liệu an toàn khi đứng một mình có thể trở nên nguy hiểm khi ghép với bộ khác bạn hoặc người khác công bố sau. Đây là lý do việc rà soát nên lặp lại mỗi khi công bố thêm dữ liệu liên quan.
Câu hỏi thường gặp
Dữ liệu tổng hợp theo nhóm có cần ẩn danh không?
Có, ở mức độ khác. Bảng tổng hợp có ô chứa rất ít người, hoặc nhiều bảng chồng lấn cho phép trừ ra số của một cá nhân, vẫn có thể làm lộ thông tin. Quy tắc che ô nhỏ và kiểm tra chênh lệch giữa các bảng là thực hành chuẩn của cơ quan thống kê.
Dữ liệu tổng hợp sinh bằng máy có giải quyết được vấn đề không?
Dữ liệu tổng hợp nhân tạo giữ được phân phối thống kê mà không chứa bản ghi thật, là hướng đầy hứa hẹn. Nhưng nếu mô hình học quá sát dữ liệu gốc, nó có thể tái tạo gần đúng bản ghi thật, nhất là bản ghi hiếm. Cần đánh giá rủi ro như với mọi phương pháp khác.
Hàm băm số điện thoại có phải là ẩn danh không?
Không. Không gian số điện thoại hữu hạn, nên kẻ tấn công có thể băm toàn bộ các số có thể có rồi so khớp trong thời gian ngắn. Băm chỉ là giả danh hoá, và dữ liệu như vậy vẫn phải được đối xử như dữ liệu cá nhân.
Ai trong tổ chức nên chịu trách nhiệm quyết định công bố?
Quyết định nên có sự tham gia của người hiểu dữ liệu, người phụ trách pháp chế hoặc bảo vệ dữ liệu, và người hiểu mục đích sử dụng. Một người đơn lẻ dễ bỏ sót rủi ro ngoài chuyên môn của mình. Quyết định và lý do cần được ghi lại bằng văn bản.
Dữ liệu ẩn danh thực sự có còn chịu luật bảo vệ dữ liệu cá nhân không?
Theo cách tiếp cận phổ biến trên thế giới, dữ liệu đã ẩn danh đến mức không thể nhận diện lại bằng phương tiện hợp lý thì không còn là dữ liệu cá nhân. Nhưng ngưỡng "hợp lý" khó xác định và thay đổi theo công nghệ; cần kiểm định nghĩa cụ thể trong văn bản hiện hành.
Tổ chức nhỏ không có chuyên gia thì nên làm gì?
Ưu tiên công bố bảng tổng hợp thay vì dữ liệu vi mô, áp dụng ngưỡng che ô nhỏ, khái quát hoá mạnh các biến địa lý và thời gian, và nhờ một bên độc lập thử nhận diện trước khi công bố. Khi dữ liệu nhạy cảm, nên tham vấn chuyên gia bảo vệ dữ liệu.
