מומחה לפרטיות: איסור "הזרקת רעש" יהיה אסון לסטטיסטיקה האמריקאית

משרד המסחר האמריקאי הוציא צו שלפיו "הזרקת רעש" תיאסר בכל המוצרים הסטטיסטיים שמפרסמות לשכת המפקד (Census Bureau) והלשכה לניתוח כלכלי. את המהלך מנתח חוקר הפרטיות דאמיאן דפונטן: לדבריו, הצו למעשה מסיר את הבסיס לפרטיות דיפרנציאלית — השיטה שאומצה במפקד של 2020.

ארגז הכלים למניעת חשיפה

מוצר סטטיסטי הוא אוסף מספרים שמתפרסם מתוך מאגר סודי, והמספרים האלה אסורים בפרסום פרטים על רשומות חסויות. בתחום הזה, המכונה מניעת חשיפה, מפרט דפונטן את השיטות המקובלות: דיכוי (השמטת נתונים מתחת לסף), הפיכה לגסה (הפחתת הדיוק של מאפיינים), דגימה, החלפת מאפיינים בין רשומות, הגבלת תרומה, והוספת רעש — הוספת מספר אקראי לסטטיסטיקה כדי להסתיר את ערכה האמיתי.

שילוב של הגבלת תרומה עם רעש מכויל בקפידה מניב פרטיות דיפרנציאלית, שאותה מכנה הפוסט תקן הזהב של הגנת הפרטיות בקרב חוקרים.

מדוע נבחר הרעש

בין 1990 ל-2010 הסתמכה לשכת המפקד בעיקר על החלפת מאפיינים במפקד העשורי. לאחר מכן התברר שהשיטה אינה בטוחה ושניתן לשחזר רשומות בודדות מתוך הסטטיסטיקה שפורסמה — בעיה של ממש, שכן החוק הפדרלי מחייב לשמור על סודיותן. במפקד 2020 נבחרה פרטיות דיפרנציאלית משום שבין האפשרויות שצמצמו את התקיפה היא שימרה את התועלת הרבה ביותר; הפרמטרים שלה נקבעו כדי להפיק מהנתונים את המרב ברמת פרטיות סבירה, ולא כדי לספק ערבויות חסינות.

המספרים של 2020 היו פחות מדויקים מאלה של 2010, וחוסר הדיוק שלהם נעשה שקוף ולכן בלתי אפשרי להתעלמות. דמוגרפים ומדעני חברה נאלצו לעבוד עם נתונים רועשים יותר, והדרך שבה הלשכה תיקשרה ויישמה את השינוי ספגה ביקורת חריפה. שחזור רשומות, נכתב בפוסט, היה סוד גלוי ששימש פעילים פוליטיים לצורכי ג'רימנדרינג — כנראה הסיבה לכך שוויכוח טכני צר זוכה לתשומת לב פוליטית כה רבה.

מה עושה הצו

הצו מכוון לפרטיות דיפרנציאלית, אך נראה שהוא פוגע גם בשיטות אחרות שמערבות אקראיות: בטקסט נאמר במפורש שיש תמיד להעדיף הפיכה לגסה, ולהיעזר בדיכוי רק כ"מוצא אחרון". הצו גם מבהיר שאין לפרש אותו כסותר "הוראה חוקתית, חוקית, רגולטורית או משפטית אחרת", כך שחובות הסודיות נותרו בעינן.

דפונטן טוען שההשלכות יהיו קשות לתועלת או לפרטיות, ואולי לשתיהן: פרסומים עתידיים יהיו או הרבה פחות שימושיים מקודמיהם, או לא בטוחים. גם שיטות נפוצות אחרות נשענות על רעש — שיטת Cell Key, החלפה, דגימה ואף השלמת נתונים. הפיכה לגסה ודיכוי הם לעומת זאת כלים גסים: הם עובדים רק כשהסטטיסטיקה כבר גסה מאוד; במוצרים מורכבים הם או משמידים את התועלת, במיוחד עבור אוכלוסיות מיעוט, או משאירים את הנתונים פגיעים לתקיפה.

הפוסט מסתיים בכך שתקיפה על פרסומים סטטיסטיים היא למעשה פתרון של מערכת משוואות, ושאי-הוודאות היא מה שהופך אותה לקשה.