خرافات إخفاء هوية البيانات

في 2019، نشر باحثون دراسة أثبتت أن مجموعة بيانات من سجلات معاملات بطاقات ائتمان مجهّلة، أُزيلت منها الأسماء وأرقام الحسابات والمعرّفات المباشرة، يمكن إعادة التعرّف عليها بدقة 90% باستخدام أربع معلومات مساعدة فقط يمكن الحصول عليها من وسائل التواصل الاجتماعي والسجلات العامة. وكانت المعلومات المساعدة المطلوبة، أي الموقع التقريبي وأنماط فئات التسوق والتوقيت التقريبي لمعاملتين أو ثلاث، من نوع المعلومات التي يستطيع باحث متحفّز أو وسيط بيانات أو خصم لديه وصول إلى مجموعات بيانات مكمّلة تجميعها بسهولة. وكانت مجموعة البيانات قد شوركت بشكل مشروع بوصفها بيانات مجهّلة. لكن الأفراد فيها كانوا قابلين للتعرّف من قِبل أي شخص يملك الوقت والبيانات المكمّلة لمحاولة إعادة التعرّف. وكان إخفاء الهوية قد طُبّق بشكل صحيح وفق معايير ذلك الوقت. أما نموذج التهديد الذي جعله غير كافٍ فهو انتشار مصادر البيانات المساعدة التي جعلت إعادة التعرّف أسهل تدريجيًا.

ما حقيقة خرافات إخفاء هوية البيانات؟

إخفاء هوية البيانات هو عملية تحويل البيانات الشخصية بطريقة تمنع على نحو لا رجعة فيه التعرّف على الأفراد الذين تتعلق بهم، بإزالة المعلومات المحددة للهوية أو تعديلها بحيث لا تكون إعادة التعرّف ممكنة على نحو معقول باستخدام الوسائل التي يُرجّح أن تكون متاحة لخصم محتمل. وعند تحقيق إخفاء حقيقي للهوية، تقع مجموعة البيانات الناتجة خارج نطاق لوائح حماية البيانات، إذ لم تعد بيانات شخصية ولا تخضع لقيود المعالجة والتزامات حقوق صاحب البيانات والمتطلبات الأمنية التي تستتبعها البيانات الشخصية. ولذلك فإن جاذبية إخفاء الهوية كاستراتيجية لحوكمة البيانات كبيرة: فهو يتيح مشاركة البيانات وتحليلها والاحتفاظ بها لما بعد فترات الاحتفاظ المعتادة دون العبء الكامل للامتثال لحماية البيانات.

الخرافة هي أن إزالة المعرّفات المباشرة تُعدّ إخفاءً للهوية. فالنهج الأكثر شيوعًا لإخفاء الهوية، أي إزالة الأسماء وأرقام الحسابات وأرقام الهوية الوطنية وغيرها من الحقول المحددة للهوية صراحةً، يُوصف بدقة أكبر بأنه اسم مستعار أو إزالة للمعرّفات وليس إخفاءً للهوية. فالبيانات ذات الأسماء المستعارة تحتفظ بسمات يمكن ربطها مجددًا بالأفراد عند دمجها بمعلومات مساعدة، حتى في غياب المعرّفات المباشرة. فأنماط المعاملات والتسلسلات السلوكية وأنماط التنقل الجغرافي وتوليفات السمات الديموغرافية قد تكون فريدة بما يكفي لتتيح إعادة التعرّف من مجموعات بيانات أُزيلت منها المعرّفات المباشرة. ويميّز GDPR تحديدًا بين البيانات ذات الأسماء المستعارة، التي يمكن نسبتها مجددًا إلى فرد بمعلومات إضافية، والبيانات مجهولة الهوية حقًا، التي لا يمكن ذلك فيها.

البُعد الزمني لمخاطر إخفاء الهوية لا يحظى بالتقدير الكافي وتتزايد أهميته. فمجموعة البيانات التي كانت مجهولة الهوية عمليًا في 2015، حين كانت مصادر البيانات المساعدة المتاحة لإعادة التعرّف محدودة، قد تصبح قابلة للتعرّف عمليًا في 2024، حين وسّعت ملفات وسائل التواصل الاجتماعي وبيانات الموقع ووسطاء البيانات التجاريون وتقنيات إعادة التعرّف القائمة على تعلّم الآلة المعلومات المتاحة لخصم متحفّز توسيعًا هائلًا. فإخفاء الهوية ليس حالة دائمة تُطبَّق على البيانات في لحظة زمنية معينة، بل هو تقييم احتمالي لمخاطر إعادة التعرّف يجب أن يُقاس في ضوء المشهد المتطور للبيانات المساعدة وأساليب إعادة التعرّف. فالبيانات التي شوركت بوصفها مجهولة الهوية قبل خمس سنوات وفق نموذج تهديد معقول قد تتطلب إعادة تقييم اليوم وفق نموذج مختلف اختلافًا جوهريًا.

تتركز خرافات إخفاء هوية البيانات حول خمسة مفاهيم خاطئة محددة:

• معاملة إزالة المعرّفات المباشرة بوصفها إخفاءً للهوية: إزالة الأسماء وأرقام الحسابات مع الإبقاء على السمات السلوكية والجغرافية والديموغرافية التي تتيح إعادة التعرّف عبر الربط بالبيانات المساعدة
• إخفاء الهوية من نوع k بوصفه حماية كافية: تطبيق إخفاء الهوية من نوع k (ضمان ألا يمكن تمييز كل سجل عن k-1 سجلًا آخر على الأقل) دون معالجة هجمات تنوّع l وتقارب t التي قد تُبطل إخفاء الهوية من نوع k عمليًا
• إخفاء هوية ثابت في بيئة بيانات مساعدة متغيرة: معاملة إخفاء الهوية بوصفه خاصية دائمة دون إعادة تقييم مخاطر إعادة التعرّف مع توسّع مصادر البيانات المساعدة
• إخفاء الهوية المطبّق على مجموعات بيانات عالية الأبعاد: البيانات التي تحتوي على سمات كثيرة لكل فرد أصعب بكثير في إخفاء هويتها بفعالية لأن التوليفات الفريدة من السمات أكثر عددًا
• الخلط بين الخصوصية التفاضلية وإخفاء الهوية: توفّر الخصوصية التفاضلية ضمانات رياضية بشأن الخصوصية على مستوى الاستعلام لكنها لا تُنتج سجلات مجهّلة؛ فالسجلات الفردية في نظام الخصوصية التفاضلية قد تظل قابلة للتعرّف

لماذا يهم هذا

يهمّ إخفاء هوية البيانات في TPRM لأنه يُستخدم كثيرًا كآلية لتخفيف عبء الحوكمة على البيانات المُشارَكة مع مورّدي التحليلات والأبحاث وAI/ML، والحجة في ذلك أن البيانات المجهّلة ليست بيانات شخصية ومن ثم لا تتطلب ضوابط الوصول نفسها وأحكام DPA نفسها والمتطلبات الأمنية نفسها التي تتطلبها البيانات القابلة للتعرّف. وعندما يكون إخفاء الهوية حقيقيًا، تكون هذه الحجة سليمة ويكون تخفيف الحوكمة مناسبًا. أما عندما يكون إخفاء الهوية مجرد إزالة للمعرّفات يمكن عكسها عبر الربط بالبيانات المساعدة، فإن تخفيف الحوكمة يُنشئ إحساسًا زائفًا بالامتثال بينما تظل بيانات الأفراد قابلة للتعرّف عمليًا في بيئة المورّد مع حماية أقل.

انعكس هذا الخطر في الإنفاذ التنظيمي. فقد وجد تحقيق DPC الأيرلندية في شركة لتحليلات الصحة أن مجموعات البيانات الموصوفة بأنها مجهّلة تحتوي على معلومات شبه معرِّفة كافية، كالعمر ورمز التشخيص والمنطقة الجغرافية وتوقيت العلاج، بحيث كانت إعادة التعرّف ممكنة باستخدام السجلات الصحية المتاحة للعموم والبيانات الديموغرافية. وكان القرار التنظيمي أن البيانات ظلت بيانات شخصية رغم إزالة المعرّفات المباشرة، وأن الحوكمة المخففة المطبّقة على البيانات «المجهّلة» كانت غير كافية. وبالنسبة لممارسي TPRM، فإن المغزى هو أن ادعاءات إخفاء الهوية من قِبل مورّدي تحليلات البيانات والأبحاث يجب أن تُقيَّم وفق معيار تقني بدلًا من قبولها على أساس إزالة المعرّفات المباشرة.

يكتسب بُعد مورّدي AI/ML أهمية خاصة. فالمورّدون الذين يتلقون بيانات تدريب «مجهّلة» لنماذج تعلّم الآلة قد يضمّنون دون قصد معلومات قابلة للتعرّف في أوزان النماذج، وهي ظاهرة تُعرف بحفظ النماذج للبيانات، مما يتيح استخراج سجلات تدريب فردية عبر استعلامات مصممة بعناية. فيصبح النموذج نفسه آلية لإعادة التعرّف. وبالنسبة لممارسي TPRM الذين يقيّمون مورّدين يستخدمون بيانات العملاء لتدريب AI/ML، فإن ادعاء إخفاء الهوية يتطلب تقييمًا لا عند نقطة مشاركة البيانات فحسب، بل أيضًا من حيث المعلومات التي قد تُرمّزها النماذج الناتجة.

أين تخطئ معظم الفرق

الإخفاق الأكثر تكرارًا هو قبول ادعاءات إخفاء الهوية دون السؤال عن النهج التقني وتقييم مخاطر إعادة التعرّف. فالمورّد الذي يؤكد أن البيانات «مجهّلة» قد يكون أزال المعرّفات المباشرة، أو طبّق إخفاء الهوية من نوع k بقيمة دنيا لـ k غير كافية لثراء السمات في مجموعة البيانات، أو لم يُجرِ أي تقييم رسمي لمخاطر إعادة التعرّف على الإطلاق. فعبارة «هذه البيانات مجهّلة» تصف استنتاجًا دون تقديم الأساس التقني له.

الإخفاق الثاني هو عدم التمييز بين الاسم المستعار وإخفاء الهوية في سياقات مشاركة البيانات مع المورّدين. فمعظم عمليات إزالة المعرّفات تُنتج بيانات ذات أسماء مستعارة، أي بيانات يمكن نسبتها مجددًا إلى الأفراد بمعلومات إضافية، وليس بيانات مجهولة الهوية حقًا. وقبول البيانات ذات الأسماء المستعارة بوصفها مجهولة الهوية يُسقط التزامات حماية البيانات التي تظل سارية، ويطبّق على بيانات يمكن إعادة التعرّف عليها حوكمةً تلائم بيانات لا يمكن إعادة التعرّف عليها.

• قبول ادعاءات إخفاء الهوية دون أساس تقني: ما التقنية التي طُبّقت، وما مخاطر إعادة التعرّف التي قُيّمت
• معاملة الاسم المستعار بوصفه إخفاءً للهوية: إزالة المعرّفات المباشرة بوصفها مكافئة لإخفاء الهوية الحقيقي
• عدم إعادة تقييم إخفاء الهوية بمرور الوقت: بيانات أُخفيت هويتها قبل سنوات دون إعادة تقييمها في ضوء القدرات الحالية على إعادة التعرّف
• إخفاء الهوية من نوع k دون تنوّع l أو تقارب t: تطبيق إخفاء الهوية من نوع k دون معالجة الهجمات التي تُبطله
• عدم تقييم خطر حفظ النماذج للبيانات: مورّدو AI/ML يستخدمون بيانات تدريب «مجهّلة» دون تقييم لإعادة التعرّف عبر مخرجات النماذج

كيف تبدو الممارسة الجيدة

تطبّق برامج إخفاء هوية البيانات الناضجة تقنيات رسمية للحفاظ على الخصوصية، كالخصوصية التفاضلية، وإخفاء الهوية من نوع k مع تنوّع l، وهرميات التعميم الملائمة لأبعاد مجموعة البيانات، وتُجري تقييمات رسمية لمخاطر إعادة التعرّف تقيس فعالية إخفاء الهوية في مواجهة مصادر البيانات المساعدة المتاحة في بيئة التهديد الحالية. وتستند ادعاءات إخفاء الهوية إلى توثيق تقني بدلًا من تأكيدها على أساس إزالة المعرّفات المباشرة.

• التقييم الرسمي لمخاطر إعادة التعرّف: تقييم منظّم لاحتمال إعادة التعرّف باستخدام مصادر بيانات مساعدة واقعية، لا مجرد إزالة المعرّفات المباشرة
• معاملات ملائمة لإخفاء الهوية من نوع k مع تنوّع l: تقنية إخفاء هوية معايَرة وفق أبعاد مجموعة البيانات وحساسيتها
• الخصوصية التفاضلية لنتائج الاستعلامات الإجمالية: ضمانات خصوصية رياضية لمخرجات الاستعلامات التي لا تُكشف فيها السجلات الفردية
• إعادة التقييم الدورية لفعالية إخفاء الهوية: تقييم مخاطر إعادة التعرّف في ضوء المشهد الحالي للبيانات المساعدة، لا عند التطبيق الأولي فحسب
• البيانات الاصطناعية لحالات استخدام التحليلات الأعلى حساسية: بيانات مولَّدة تحمل الخصائص الإحصائية للبيانات الأصلية، ولا توفّر أي مسار لإعادة التعرّف

الأدوات

يتطلب تقييم إخفاء الهوية الحقيقي وتطبيقه أدوات تطبّق تقنيات خصوصية رسمية وتقيّم مخاطر إعادة التعرّف بشكل منهجي.

الخصوصية التفاضلية: Apple DP Libraries وGoogle DP Library وOpenDP

توفّر أطر الخصوصية التفاضلية ضمانات خصوصية صارمة رياضيًا للتحليلات القائمة على الاستعلامات، بإضافة ضوضاء معايَرة إلى نتائج الاستعلامات بحيث لا يمكن تحديد وجود سجل فردي من مخرجات الاستعلام. وقد أتاحت Apple وGoogle كلتاهما مكتبات مفتوحة المصدر للخصوصية التفاضلية تتيح تطبيقها في أنظمة التحليلات. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم الخصوصية التفاضلية لنتائج التحليلات المتعلقة ببيانات العملاء يقدّم سؤالًا محددًا عن التقنية يميّز ضمانات الخصوصية الرسمية من إخفاء الهوية غير الرسمي.

توليد البيانات الاصطناعية: Tonic.ai وGretel.ai وMostly AI

تولّد منصات البيانات الاصطناعية مجموعات بيانات ممثِّلة إحصائيًا لا تحتوي على أي سجلات فعلية من البيانات المصدر، فتُلغي خطر إعادة التعرّف كليًا مع الحفاظ على الفائدة التحليلية. وفي حالات استخدام التحليلات وتدريب ML، تمثّل البيانات الاصطناعية أقوى نهج متاح لإخفاء الهوية لأنها لا تُنشئ أي صلة بالأفراد الأصليين. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستطيع استخدام بيانات اصطناعية لغرض التحليل أو التدريب الذي ينفّذه يكشف ما إذا كانت هناك بدائل حقيقية لإخفاء الهوية بدلًا من إزالة المعرّفات في حالة الاستخدام تلك.

تقييم مخاطر إعادة التعرّف: ARX Data Anonymization Tool وsdcMicro

تقيّم الأدوات الرسمية لتقييم مخاطر إعادة التعرّف مجموعات البيانات المجهّلة وفق نماذج تهديد محددة، فتحسب احتمال إعادة التعرّف بناءً على افتراضات واقعية بشأن البيانات المساعدة. ويوفّر ARX منصة شاملة مفتوحة المصدر لتطبيق تقنيات إخفاء الهوية وتقييمها. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد قد استخدم أدوات رسمية لتقييم مخاطر إعادة التعرّف لتقييم ادعاءاته بشأن إخفاء الهوية يكشف ما إذا كان إخفاء الهوية قد جرى التحقق منه تقنيًا أم أُكّد بشكل غير رسمي.

تحديات الحوكمة

يتمثل تحدي الحوكمة في إخفاء الهوية في متطلب الخبرة. فإخفاء الهوية الحقيقي يتطلب فهمًا لتقنيات الحفاظ على الخصوصية، وأساليب هجمات إعادة التعرّف، والخصائص المحددة لمجموعة البيانات المراد إخفاء هويتها، أي أبعادها وتوزيعات سماتها ومصادر البيانات المساعدة المتاحة. وهذه مهارات متخصصة لا تملكها معظم فرق البيانات. والنتيجة أن «إخفاء الهوية» كثيرًا ما يُنفّذه مهندسو بيانات يطبّقون تقنيات إزالة المعرّفات المألوفة لديهم، أي إزالة الأسماء والمعرّفات، دون الخبرة الإحصائية وخبرة الخصوصية اللازمتين لتقييم ما إذا كان ما تبقّى مجهول الهوية حقًا.

بالنسبة لبرامج TPRM، فإن نهج الحوكمة العملي هو معاملة ادعاءات إخفاء الهوية للبيانات عالية الحساسية على أنها تتطلب إثباتًا تقنيًا، وذلك بمطالبة المورّدين بوصف التقنية المستخدمة، وتقييم مخاطر إعادة التعرّف الذي أُجري، وما إذا كانت أدوات رسمية للحفاظ على الخصوصية قد طُبّقت. وبالنسبة لعلاقات مشاركة البيانات الأعلى خطورة، فإن اشتراط تقييم مستقل لمخاطر إعادة التعرّف يوفّر ضمانًا يتجاوز التقييم الذاتي للمورّد.

• اشترط وجود أساس تقني لادعاءات إخفاء الهوية: التقنية المستخدمة، وتقييم مخاطر إعادة التعرّف الذي أُجري، والأدوات المطبّقة
• ميّز بين الاسم المستعار وإخفاء الهوية: البيانات التي أُزيلت منها المعرّفات شبه المباشرة مع الإبقاء على السمات السلوكية هي بيانات ذات اسم مستعار، لا بيانات مجهولة الهوية
• قيّم فعالية إخفاء الهوية في مجموعات البيانات عالية الأبعاد، فمجموعات البيانات التي تحتوي على سمات كثيرة لكل فرد أصعب في إخفاء هويتها حقًا
• النظر في البيانات الاصطناعية لحالات استخدام التحليلات، فهي نهج إخفاء الهوية الأعلى ضمانًا لحالات الاستخدام التي لا تتطلب البيانات الأصلية
• أعد تقييم إخفاء الهوية دوريًا: تكرار تقييم مخاطر إعادة التعرّف مع تطوّر مشهد البيانات المساعدة

إذا كنت فريقًا صغيرًا

استبدل سؤال تأكيد إخفاء الهوية بسؤال يطلب إثباتًا تقنيًا: عندما تصفون البيانات بأنها مجهّلة، ما التقنية المحددة التي طُبّقت، وما تقييم مخاطر إعادة التعرّف الذي أُجري، وهل أُجري التقييم في ضوء مصادر البيانات المساعدة المتاحة حاليًا، لا عند إخفاء الهوية الأولي فحسب؟ يكشف هذا السؤال فورًا ما إذا كان إخفاء الهوية قد جرى التحقق منه تقنيًا أم أُكّد بشكل غير رسمي، وبالنسبة لأي مورّد تكون إجابته تأكيدًا غير رسمي، يتطلب الأمر تقييمًا رسميًا لمخاطر إعادة التعرّف قبل معاملة البيانات بوصفها مجهولة الهوية حقًا لأغراض الحوكمة.

• استبدل تأكيد إخفاء الهوية بأسئلة تطلب إثباتًا تقنيًا
• اسأل تحديدًا عمّا إذا كانت مخاطر إعادة التعرّف قد قُيّمت في ضوء مصادر البيانات المساعدة الحالية
• بالنسبة لمورّدي AI/ML، اسأل عن خطر حفظ النماذج للبيانات وعن التدابير التخفيفية التي طُبّقت
• النظر في اشتراط البيانات الاصطناعية لحالات استخدام التحليلات وتدريب ML التي لا تحتاج إلى البيانات الأصلية

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«عندما تصفون البيانات التي تتلقونها منا بأنها مجهّلة، ما التقنية المحددة التي طُبّقت، وهل أُجري تقييم رسمي لمخاطر إعادة التعرّف باستخدام مصادر بيانات مساعدة واقعية متاحة اليوم، لا مجرد إزالة المعرّفات المباشرة؟»

«هل أُعيد تقييم فعالية إخفاء الهوية دوريًا مع توسّع مصادر البيانات المساعدة، وتحديدًا، هل قُيّمت مخاطر إعادة التعرّف في ضوء مجموعات بيانات وسطاء البيانات وملفات وسائل التواصل الاجتماعي والسجلات العامة المتاحة اليوم؟»

«بالنسبة لحالات استخدام AI/ML، هل قيّمتم خطر حفظ النماذج للبيانات، أي احتمال استخراج سجلات تدريب فردية من مخرجات النماذج، وما التدابير التخفيفية التي طُبّقت لمعالجة مسار إعادة التعرّف هذا؟»

ما تتوقعه دليلًا

• توثيق تقنية إخفاء الهوية: الأسلوب المحدد المطبّق، لا مجرد «إزالة المعرّفات»
• تقييم مخاطر إعادة التعرّف باستخدام أدوات رسمية وافتراضات واقعية بشأن البيانات المساعدة
• التحقق من إعادة التقييم الدورية للبيانات التي أُخفيت هويتها قبل أكثر من 12 شهرًا
• تقييم خطر حفظ النماذج للبيانات في حالات استخدام بيانات تدريب AI/ML

المورّد الذي يرد على سؤال تقنية إخفاء الهوية بعبارة «أزلنا الأسماء وأرقام الحسابات» قد وصف إزالة المعرّفات المباشرة. اسأل عمّا إذا كان قد أُجري تقييم رسمي لمخاطر إعادة التعرّف على توليفات السمات المتبقية. فالمعرّفات المباشرة قد أُزيلت. والسؤال هو ما إذا كان ما تبقّى لا يزال يحدد الهوية عند دمجه ببيانات مساعدة يستطيع الوصول إليها أي شخص يملك حاسوبًا محمولًا واشتراكًا لدى وسيط بيانات.

كيف تُثبت ذلك

يشترط معيار إخفاء الهوية في الحيثية 26 من GDPR ألا تكون إعادة التعرّف ممكنة على نحو معقول، وذلك بالنظر إلى الوسائل الواقعية. وقد أكد الإنفاذ التنظيمي أن إزالة المعرّفات المباشرة لا تستوفي هذا المعيار في مجموعات البيانات ذات السمات شبه المعرِّفة الغنية. ويتطلب إثبات العناية الواجبة أدلة على أن فعالية إخفاء الهوية قد قُيّمت تقنيًا، لا مجرد تأكيدها.

• توثيق تقنية إخفاء الهوية لمجموعات البيانات المُشارَكة بوصفها مجهولة الهوية
• أدلة تقييم مخاطر إعادة التعرّف: مخرجات أداة رسمية أو تقييم من طرف ثالث
• سجلات إعادة التقييم الدورية لمجموعات البيانات التي شوركت قبل أكثر من 12 شهرًا
• التحقق من استخدام البيانات الاصطناعية في حالات استخدام تدريب AI/ML حيثما ينطبق ذلك

الخلاصة الرئيسية

إخفاء الهوية ليس ما أزلته. بل هو ما تبقّى، وما إذا كان ما تبقّى يمكن ربطه مجددًا بفرد باستخدام مصادر بيانات موجودة اليوم. فمجموعة بيانات المعاملات التي أُزيلت منها الأسماء تظل مجهولة الهوية إلى أن يدمجها أحدهم ببيانات الموقع وأنماط التسوق وتوقيت بضع عمليات شراء مميزة. ومجموعة البيانات الطبية التي أُزيلت منها معرّفات المرضى تظل مجهولة الهوية إلى أن يقارنها أحدهم بسجلات التأمين والبيانات الديموغرافية. وإخفاء الهوية الذي كان حقيقيًا في 2015 قد يكون غير كافٍ في 2024 لأن مشهد البيانات المساعدة غيّر ما تتطلبه إعادة التعرّف. وقبول ادعاءات إخفاء الهوية دون السؤال عن النهج التقني وتقييم مخاطر إعادة التعرّف وما إذا كان قد قُيّم في ضوء بيئة البيانات المساعدة اليوم هو قبول لضمان خصوصية ربما انتهت صلاحيته.