Анонимизация данных.

Анонимизация данных необратимо преобразует персональные данные так, чтобы людей нельзя было выделить, связать или вывести, даже объединяя публикацию с внешней информацией. Основные техники — подавление, обобщение (например, огрубление даты рождения до года), агрегация, возмущение/шум и рандомизация, оцениваемые по формальной модели: k-анонимность, l-разнообразие, t-близость или дифференциальная приватность, которая добавляет калиброванный шум в рамках доказуемого бюджета приватности (ε).

Планка высока из-за долгой истории повторной идентификации. Latanya Sweeney оценила, что 87 % американцев уникальны по сочетанию 5-значного почтового индекса, даты рождения и пола, и с помощью списков избирателей повторно идентифицировала больничные записи губернатора Массачусетса William Weld в «анонимизированных» государственных данных — результат, породивший k-анонимность. В 2008 году Narayanan и Shmatikov деанонимизировали набор Netflix Prize (~500 000 подписчиков), сопоставив разреженные оценки с публичными профилями IMDb. Публикацию поисковых логов AOL в 2006 году удалось возвести к конкретным людям за считанные дни.

По GDPR подлинно анонимные данные выходят из-под действия Регламента (рек. 26), однако Заключение 05/2014 Рабочей группы по статье 29 и регуляторы вроде EDPB и CNIL требуют документированной оценки риска повторной идентификации, охватывающей выделение, связываемость и вывод, с учётом «разумно вероятных» средств. Типичные ошибки: опора только на хеширование или простые псевдонимы, публикация многомерных микроданных, отождествление псевдонимизации с анонимизацией.

flowchart TD
  R["Сырые персональные данные"] --> D["Удалить прямые идентификаторы"]
  D --> Q["Обобщить / подавить квази-идентификаторы"]
  Q --> M["Применить модель приватности (k-анонимность / дифф. приватность)"]
  M --> T{"Риск повторной идентификации приемлем?"}
  T -->|"Нет"| Q
  T -->|"Да"| P["Опубликовать / передать анонимизированный набор"]