Cosa si considera anonimizzato
Un insieme di dati è anonimizzato solo quando nessuno di chi lo detiene può ragionevolmente reidentificare le persone che contiene. Eliminare gli identificatori evidenti, come nomi e numeri di identificazione, non basta, perché il resto del record può comunque descrivere una persona reale. I record con dati sensibili richiedono il test più rigoroso.
Autorità di vigilanza e organismi di normazione valutano il caso nel contesto complessivo. Chiedono quali altre fonti di dati esistono, chi potrebbe combinarle e quanto sforzo richiederebbe la reidentificazione. Rimuovere un nome lasciando una combinazione rara di CAP, data di nascita e genere è un modo noto per non superare questo test, perché quella combinazione da sola può individuare una persona in registri pubblici.
Principali tecniche di anonimizzazione
Quattro tecniche coprono la maggior parte dei casi. Non confonderle con il mascheramento dei dati, che nasconde i valori senza necessariamente eliminare la possibilità di identificare le persone.
Modelli formali come la k-anonimità, la l-diversità e la privacy differenziale danno a queste tecniche una garanzia misurabile. Ad esempio, la k-anonimità assicura che ogni combinazione di quasi-identificatori corrisponda ad almeno k persone nell'insieme di dati.
| Tecnica | Cosa fa | Limite principale |
|---|---|---|
| Generalizzazione | Sostituisce un valore preciso con una categoria più ampia | Una categoria troppo ampia può rendere i dati inutilizzabili |
| Soppressione | Elimina campi o record troppo identificativi per essere generalizzati in sicurezza | I record rimossi possono distorcere i dati restanti |
| Aggregazione | Riporta statistiche per un gruppo invece che per singoli record | I gruppi piccoli possono ancora rivelare individui |
| Aggiunta di rumore e perturbazione | Altera leggermente e casualmente i valori o li scambia tra record simili | I risultati cambiano, quindi va verificata l'accuratezza |
Anonimizzazione versus pseudonimizzazione
I due termini vengono spesso confusi, ma le norme li trattano in modo molto diverso. La pseudonimizzazione sostituisce i valori identificativi con segnaposto coerenti, ad esempio un ID cliente associato a un token. Una chiave separata può invertire il processo, quindi i dati restano dati personali, semplicemente protetti.
L'anonimizzazione elimina questa possibilità. Non esistono chiave né percorso legittimo per risalire alla persona. Per questo i dati pseudonimizzati restano soggetti alla normativa sulla protezione dei dati, mentre i dati anonimizzati in modo corretto generalmente no.
Come anonimizzare un insieme di dati
L'anonimizzazione è un processo, e ogni passo riduce il rischio. Parti dalla classificazione dei dati, che marca ogni campo prima di qualsiasi modifica.
- 1
Definisci la finalità
Stabilisci chi riceverà i dati e perché. La risposta determina quanto dettaglio può essere conservato.
- 2
Classifica ogni campo
Individua gli identificatori diretti, i quasi-identificatori come il CAP o la data di nascita e gli attributi sensibili come le diagnosi.
- 3
Applica le tecniche
Generalizza, sopprimi o aggrega i campi a rischio e rimuovi del tutto gli identificatori diretti.
- 4
Verifica con dati esterni
Chiediti se qualcuno con altri insiemi di dati potrebbe associare un record a una persona. Se sì, ripeti il passo precedente con modifiche più forti.
Individuare gli identificatori prima del rilascio
Prima di anonimizzare un insieme di dati bisogna individuarne gli identificatori. La console di Anexet DLP include tesauri integrati per SSN, carte di credito e dati finanziari, oltre a espressioni regolari per valori come i codici postali e i conti bancari. Le due schermate seguenti mostrano questi dizionari e questi schemi.
1 / 2
Dove si usa l'anonimizzazione
Le organizzazioni usano l'anonimizzazione in quattro situazioni comuni:
- Ricerca e pubblicazione di dati. I dati sanitari, censuari e delle indagini vengono anonimizzati prima di essere pubblicati o condivisi al di fuori dell'organizzazione che li ha raccolti.
- Analisi e apprendimento automatico. I dati di addestramento e le statistiche di utilizzo vengono anonimizzati per studiare schemi senza esporre le persone che vi stanno dietro.
- Conformità normativa. I dati realmente anonimi generalmente non sono più regolati come dati personali dal GDPR.
- Conservazione dei dati. I record vecchi mantengono il valore statistico senza essere riconducibili a individui, invece di essere cancellati del tutto.
Perché l'anonimizzazione fallisce nella pratica
Gli attacchi di reidentificazione hanno dimostrato più volte che insiemi di dati considerati anonimi possono essere smascherati incrociandoli con altri dati apparentemente non collegati, come tracce di localizzazione, storici di acquisto o post pubblici sui social media. Il testo libero è il caso più difficile, perché nomi e luoghi si nascondono nei dati non strutturati e sono facili da non notare.
Il rischio cresce con la ricchezza dell'insieme di dati. Più attributi porta un record, più è probabile che una loro combinazione sia unica per una persona. L'anonimizzazione è quindi una valutazione continua del rischio, non un passaggio tecnico una tantum.
Eliminare solo nomi e numeri di identificazione non rende anonimi i dati.
Da dove iniziare
Inizia dagli insiemi di dati la cui fuga causerebbe il danno maggiore, poi dai campi che, combinati, formano un'identità. Anonimizzali per primi.
Un insieme di dati che supera il test oggi può fallire l'anno prossimo, quando compariranno nuovi dati pubblici con cui poterlo incrociare.
Per approfondire: Come posso mantenere al sicuro i miei dati personali?; Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
Un file anonimizzato è sicuro solo quanto gli altri dati con cui può essere abbinato, quindi va ricontrollato prima di ogni rilascio.
Anexet Team