Cisza po anonimizacji: gdy dane zanonimizowane nadal wskazują na konkretną osobę
Przez lata przyjęło się, że wystarczy usunąć z bazy nazwiska, numery i adresy, a dane przestają dotyczyć konkretnych ludzi — i można je publikować, sprzedawać albo analizować bez ograniczeń. Praktyka pokazuje coś innego: pozornie neutralne informacje, połączone ze sobą, często wskazują na jedną osobę. Zjawisko to nazywa się reidentyfikacją, a rozwój sztucznej inteligencji — zwłaszcza modeli dobrze znajdujących wzorce w dużych zbiorach — pogłębia ten problem.
Klasyczne przykłady reidentyfikacji
Najczęściej przywoływanym dowodem jest praca Latanyi Sweeney z 2000 roku „Simple Demographics Often Identify People Uniquely”. Analizując dane amerykańskiego spisu powszechnego, badaczka wykazała, że 87,1 procent mieszkańców USA można jednoznacznie wskazać na podstawie zaledwie trzech cech: kodu pocztowego, płci i daty urodzenia. To ta praca stoi za słynnym eksperymentem, w którym Sweeney kupiła na aukcji zanonimizowane dane medyczne ubezpieczyciela stanu Massachusetts i — skrzyżowawszy je z publicznym rejestrem wyborców — dotarła do dokumentów medycznych ówczesnego gubernatora, a następnie wysłała mu je na adres domowy. Wniosek był głośny: „anonimizacja” przez samo usunięcie identyfikatorów bywa iluzoryczna.
Drugim kanonicznym przykładem jest sprawa Netflixu. W 2006 roku serwis udostępnił na potrzeby konkursu algorytmicznego dużą bazę ocen filmowych, pozbawioną nazwisk — oceny około 500 tysięcy subskrybentów. Badacze Arvind Narayanan i Vitaly Shmatikov pokazali w 2007 i 2008 roku, że baza ta daje się skrzyżować z publicznymi ocenami w serwisie IMDb: znając w przybliżeniu zaledwie osiem ocen danego użytkownika (w tym część błędnych), można dopasować jego profil w bazie Netflixa — według ich szacunków dla około 80 procent subskrybentów. W praktyce oznacza to ujawnienie całej historii oglądania, w tym filmów o tematyce, którą użytkownik woleliby zachować dla siebie. Po skardze Federalnej Komisji Handlowej i pozwie zbiorowym konkurs Netflix Prize został wycofany.
Dlaczego to działa
Mechanizm reidentyfikacji opiera się na prostym matematycznie fakcie: im więcej cech opisuje jedną osobę, tym mniej osób dzieli ten sam zestaw cech. Trzy pozornie nieszkodliwe informacje — miejsce zamieszkania, zawód i rok urodzenia — w połączeniu tworzą sygnaturę, która w dużej bazie bywa unikalna. Zanonimizowany zbiór rzadko usuwa te „pośrednie identyfikatory”, bo bez nich dane traciłyby wartość analityczną.
Sztuczna inteligencja wzmacnia ten mechanizm na dwa sposoby. Po pierwsze, modele uczenia maszynowego świetnie znajdują korelacje w wysokowymiarowych danych — dokładnie tam, gdzie człowiek nie widzi wzorca. Po drugie, duże modele językowe sprawiają, że skrzyżowanie zbiorów, które kiedyś wymagało warsztatu statystyka, staje się tańsze i dostępniejsze: można poprosić o dopasowanie rekordów, o napisanie skryptu łączącego bazy, o wydobycie sygnatur z danych tekstowych. Technika, która w 2000 roku była wąską specjalizacją badawczą, dziś zmierza w stronę narzędzia ogólnego użytku.
Co mówi prawo
W europejskim RODO „anonimizacja” jest pojęciem precyzyjnym: dane są anonimowe tylko wtedy, gdy identyfikacja osoby jest trwale niemożliwa, przy uwzględnieniu wszystkich środków, jakimi dysponuje lub może dysponować ktokolwiek — a więc także skrzyżowania z innymi bazami. Dane, które da się reidentyfikować, pozostają danymi osobowymi i podlegają pełnym wymaganiom RODO. Grupa robocza ds. ochrony danych (dawny Article 29 WP) opisała w 2014 roku metodologię oceny ryzyka reidentyfikacji, biorąc pod uwagę trzy czynniki: jednoznaczność, możliwość powiązania i wnioskowanie.
W praktyce oznacza to, że firma publikująca lub sprzedająca „zanonimizowane” dane ponosi ryzyko prawne zawsze wtedy, gdy ktoś — dziś coraz częściej z pomocą AI — zdoła te dane skrzyżować. Odpowiedzialność nie znika wraz z usunięciem nazwiska z pliku.
Co z tego wynika w praktyce
Dla organizacji udostępniających dane: „anonimizacja” to nie jednorazowa operacja, lecz ocena ryzyka, którą trzeba powtarzać wraz z rozwojem technik reidentyfikacji. Skuteczniejsze bywają techniki rzeczywistej aglomeracji ryzyka — jak prywatność różnicowa (differential privacy), która dodaje kontrolowany szum statystyczny i pozwala cechować gwarancje matematycznie — niż ręczne usuwanie kolumn.
Dla pojedynczego użytkownika: warto zakładać, że każda podana informacja może kiedyś zostać połączona z resztą. Dane o aktywności, oceny, lokalizacje, preferencje — z perspektywy reidentyfikacji to nie są „drobiazgi”, lecz elementy sygnatury. Trudno o pełną ochronę, ale świadomość tego mechanizmu to pierwszy krok: pytanie nie brzmi „czy dane mają moje nazwisko”, lecz „czy da się z nich wyczytać, że to ja”.
Oznaczenie treści AI
Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
