Det er fantastisk at lave forskning i Danmark. Danskerne har en lang tradition for at deltage i forskningsprojekter og bidrage med data til videnskabelige undersøgelser, og de danske registre udgør en uvurderlig ressource, som andre lande misunder os.
Befolkningens positive indstilling skyldes en kombination af den tillid, der er til forskerne og til de systemer, der gør det muligt at bidrage, samtidig med at det er muligt at være anonym, så data ikke kan føres tilbage til enkeltpersoner. Men er det rigtigt?
Hvor let er det egentlig at forblive anonym i en verden, hvor det bliver lettere og mere almindeligt at kombinere data fra mange forskellige kilder? Er det overhovedet muligt at beskytte personlige oplysninger og hemmeligholde identiteter med de detaljerede oplysninger, som vi alle bidrager med?
Det vil jeg gennemgå i denne artikel - men svaret vil jeg afsløre på forhånd: Det er stort set umuligt i teorien. I praksis forholder det sig til gengæld anderledes.
\ Serie: Vidtgående overvågning
Vi bliver overvåget mere end nogensinde før, vi overvåger os selv, og de fleste af os genererer store mængder data hver dag. Hvad er konsekvenserne? Og fordelene?
I denne serie fra Videnskab.dk’s ‘Forskerne Formidler’ belyser en række forskere overvågningens udvikling, omfang og konsekvenser. Læs alle udgivne artikler i serien her.
Tillid skal forvaltes med omhu
I Danmark og Norden bryster vi os med at have nogle af verdens mest omfattende og velorganiserede registre til brug for forskning, og hele populationen kan ses som en stor stikprøve.
Danmarks Statistik samler oplysninger om alt fra fødsler og dødsfald, sygdomme, uddannelse, indkomst, boligforhold, arbejdsmarkedstilknytning, kriminalitet, sociale forhold, strømforbrug og meget mere.
De mange oplysninger er samlet i registre, som forskere kan søge om at få adgang til. Det er denne type ressource og infrastruktur, som gør meget forskning muligt, og den er baseret på befolkningens tillid til, at deres oplysninger bliver behandlet forsvarligt.
Men det er en tillid, der skal forvaltes med omhu, og blot en enkelt stor skandale i medierne kan få tilliden til at fordufte som dug for solen. I april måned i år kom det for eksempel frem, at tre millioner danskere har fået opbevaret blodprøver, uden at de vidste det, og det har skabt bekymring for, om det kan skade danskernes tillid til forskningen.
Der er naturligvis sat instanser i værk for at forhindre, at data kan spores tilbage til enkeltpersoner, og så den lokale bibliotekar ikke pludselig kan se, hvor mange huller en låner har i tænderne, eller hvornår man sidst har brugt penge på at købe en fransk hotdog.
En tilgang er at begrænse de data, som den enkelte forsker har til rådighed: need-to-know-princippet. Færre oplysninger gør det sværere at identificere enkeltpersoner. Det vender jeg tilbage til. En anden tilgang er at fjerne eller ændre oplysninger, så de ikke længere kan knyttes til en specifik person. Det kan du læse mere om i boksen nedenfor.
\ Anonymisering og pseudonymisering af data
Anonymisering og pseudonymisering af data er to forskellige teknikker til at beskytte personlige oplysninger.
Anonymisering har til formål at fjerne alle identificerbare oplysninger fra data, så de ikke længere kan henføres til en specifik person. Ved anonymisering fjernes, ændres eller grupperes oplysninger, så det bliver umuligt eller yderst vanskeligt at genkende individer.
Dette kan omfatte fjernelse af navne, adresser, CPR-numre og andre direkte eller indirekte identifikationsoplysninger.
Anonymisering kan også omfatte at slå data sammen for at skabe grupper af mennesker, så individuel identifikation er umulig.
Danmarks Statistik har eksempelvis en regel om, at tabeller skal indeholde mindst tre observationer per celle. Ellers skal celler/tal slås sammen, indtil denne grænse overholdes og dermed er med til at sikre anonymitet.
Eksempelvis kan højde angives i intervaller, så det oplyses, hvilken gruppe man tilhører, men ikke den specifikke højde: 170-180 cm, 180-190 cm, 190-200 cm osv.
Udfordringen med anonymisering er, at de anonymiserede data kan være mindre nyttige til nogle typer analyser, netop fordi detaljerne om individer er fjernet. Der er desuden - som vi skal se nedenfor - også risiko for, at personer kan genidentificeres ved at kombinere data. Denne risiko kan være stor for nogle individer, hvis de skiller sig ud på mange parametre.
Ved pseudonymisering erstattes direkte identificerbare oplysninger med pseudonymer eller unikke identifikatorer for at beskytte personlige oplysninger, samtidig med at dataens nyttighed bevares.
I pseudonymisering bibeholdes nogle identifikationsoplysninger, men de ændres eller erstattes, så de ikke umiddelbart kan bruges til at identificere individer. Typisk anvendes kryptografiske teknikker til at skabe pseudonymer. Individdata forbliver tilgængelige for analyser, men risikoen for misbrug eller identifikation af individer er reduceret for dem, der skal arbejde med data, så længe krypteringsnøglen hemmeligholdes.
Pseudonymisering udgør ikke en fuldstændig beskyttelse af personlige oplysninger, da det stadig er teoretisk muligt at knytte pseudonymerne til faktiske personer, især hvis der er adgang til supplerende oplysninger.
I praksis kombineres anonymisering og pseudonymisering for at opnå en højere grad af beskyttelse af personlige oplysninger, især i forbindelse med databehandling og analyse inden for sundhedsvæsenet, forskning og databeskyttelsesforordninger som GDPR (Generel Forordning om Databeskyttelse) i EU.
Hvor få oplysninger skal der til for indirekte at kunne identificere en person?
Lad os lave en hurtig bag-på-en-serviet-udregning af, hvor let det er at identificere en person, der er en del af en såkaldt population. En population er den gruppe af mennesker, man kigger på – det kan for eksempel være alle alle danskere, unge mellem 15 og 18 år, alle borgere i en kommune eller lignende.
Groft sagt kan vi sige, at hver enkelt person fra populationen skal puttes i kasser, så hver kasse indeholder personer, der er ’ens’. Hvis en kasse kun indeholder en person, så kan personen identificeres. Der findes for eksempel kun en dansker, der er 201 cm høj, bor i Rødovre og har en hund, der hedder Fido.
Sandsynligheden for at kunne identificere en person afhænger af to ting:
- Populationens størrelse:
I en større population er der større chance for, at der er nogen, der ligner en, og derfor er det lettere at skjule sig i mængden. - Antal forskellige oplysninger/registreringer på hvert individ:
Flere registreringer eller oplysninger betyder, at vi har flere ’kasser’ at placere hvert enkelt individ i. Når der er flere kasser, er der større chance for, at en kasse kun indeholder en person, som derved kan identificeres.
Et eksempel hvor folk fordeles i kasser
I Danmark fødes der cirka 60.000 personer om året. Hvis vi udelukkende har registreringer om personernes biologiske køn (to grupper), så skal de 60.000 personer fordeles tilfældigt i to kasser, og det vil være højst usandsynligt, at den ene kasse kun indeholder et individ. Det er let at forblive skjult.
Har vi derimod registreret både køn og fødselsdato (lad os for nemheds skyld sige, at der er 300 dage på et år), så er der 2 x 300 = 600 kasser at putte de 60.000 personer i. Der er stadig en del flere personer end kasser, og i gennemsnit forventer vi 100 personer i hver kasse. Risikoen for at have en kasse, der kun indeholder et enkelt individ, er stadig meget lille (her har vi lidt stiltiende antaget, at fødsler sker jævnt henover året, men det er som sagt kun en serviet-udregning).
Hvis vi har registreret køn, fødselsdato og kommune (lad os sige, at der er 100 kommuner i Danmark), så er der 2 x 300 x 100 = 60.000 kasser at putte de 60.000 personer i. Nu er der i gennemsnit en person i hver kasse, og risikoen for at have kasser, der kun indeholder et enkelt individ, er enorm.
Med disse tre oplysninger - køn, fødselsdato og kommune - kan vi altså identificere nogle personer med stor sandsynlighed. Det er helt almindelige oplysninger, der hverken føles kritiske, og som heller ikke burde være så svære at opstøve. Mere skal der ikke til.
Det er vigtigt at huske, at det bare er et eksempel. I praksis skal en forsker redegøre for, at der er brug for eksempelvis den konkrete fødselsdato og ikke bare fødselsår. Men med en lille håndfuld variable bliver problemstillingen den samme.
Og så skal det understreges, at det naturligvis ikke er alle personer – eller bare specifikke personer – der kan identificeres. Blot at der vil være mange, der ender alene i en kasse.
\ Sammenhængen mellem personer og ’kasser’
For de særligt statistikinteresserede vil jeg i det følgende vise en udregning af den gennemsnitlige procentdel af kasser, der indeholder præcis en person. Det viser sammenhængen mellem en populations størrelse og antallet af kasser og kan hjælpe til at vurder, hvor stort problemet kan være.
Antag, at vi på baggrund af data har K mulige kasser, som vi kan putte N personer i. Med køn, fødselsdato og kommune er der eksempelvis K = 2 x 365 x 98 = 71.540 kasser. For udregningens skyld antager vi desuden, at alle kasser er lige sandsynlige.
Hvis vi starter med at betragte en vilkårlig kasse, så er sandsynligheden, for at denne kasse indeholder netop én person, givet ved binomialfordelingspunktsandsynligheden:
For at finde andelen af kasser, der indeholder netop en person, kan vi gange dette med antallet af kasser K, og vi får:
I alt er andelen af personer, der er alene i en kasse altså:
Som du kan se udregnet i boksen ovenfor, kan vi med oplysninger om blot køn, fødselsdato og kommune forvente, at der ud af en dansk årgang på cirka 60.000 personer vil være cirka 43 procent, der kan identificeres.
Til sammenligning er der cirka 19 procent, der kan identificeres, hvis man udelukkende har oplysninger om kommune og fødselsdato, mens stort set ingen (tæt på 0 procent) i gennemsnit kan identificeres ud fra fødselsdato og køn alene.
Tilsvarende kan man udregne sandsynligheden for at have henholdsvis to personer i en kasse, tre personer i en kasse og så videre, svarende til eksempelvis kravene fra Danmarks Statistik.
Danmarks Statistiks krav om en minimumsgruppestørrelse gør, at enkeltindivider ikke direkte kan identificeres. Men hvis der eksempelvis kun er tre personer i en enkelt kasse, så er der stadig en tredjedel (1/3) sandsynlighed for korrekt at gætte den rigtige af dem. Det er svært helt at forsvinde i mængden, når mængden er lille.
Antallet af kasser er vigtigt
I dette afsnit vil jeg vise, hvor mange kasser der skal til, før det enkelte individ i en dansk årgang på 60.000 personer har øget risiko for at blive identificeret. Som man kan se på figuren nedenfor, begynder der at ske noget, når der er omkring 10.000 kasser.
10.000 kasser kan lyde af meget, men der er 16.384 kasser allerede med 14 binære oplysninger (for eksempel ja/nej- spørgsmål), og med 20 binære oplysninger er der 1.048.576 kasser.
Med andre ord er det ikke fuldstændig urealistisk at nå højt op i antallet af kasser.
Når fordelingen i kasser er ubalanceret, falder den gennemsnitlige andel af populationen, der kan identificeres, medmindre forholdet mellem antallet af personer og kasser er meget stort. Med lidt god vilje er det altså okay at bruge tilnærmelsen om, at folk fordeler sig jævnt over variablene som rettesnor.
Hvis nu eksempelvis langt de fleste personer er født i årets første måneder, så er der en lille gruppe af personer – dem der er født senere - der ville være lettere at identificere. Langt de fleste vil dog 'klumpe sig sammen' og gøre det sværere at finde frem til enkeltindivider.
Hvilke typer data er problematiske?
Ovenstående overvejelser fokuserer udelukkende på de teoretiske, sandsynlighedsmæssige betragtninger: Hvad er den potentielle risiko for, at en person med adgang til data vil være i stand til at identificere enkeltpersoner?
I praksis er det sværere for en forsker eller en udefrakommende at identificere enkeltpersoner. Det kan godt være, at der er mange registreringer til rådighed, men det er ikke sikkert, at disse særlig let kan kobles til en specifik person.
Meget detaljerede oplysninger i et datasæt - som for eksempel at der findes en enkelt person, der havde en vægt på 99.08 kg den 1. april 2001, at personen dagen inden købte to kg økologiske gulerødder, og at personen dagen efter dag lyttede til Abbas 'Dancing Queen' på Spotify fire gange i træk - gør det ikke nødvendigvis lettere at identificere personen ude i den virkelige verden.
Ligeledes er DNA-profiler unikke og kan derfor identificere personer, men det er ikke let direkte at ’se’ eller skaffe naboens DNA-profil og koble en person i en database til en person i den virkelige verden.
Nogle oplysninger er simpelthen sværere at skaffe og koble til en konkret person - også selvom oplysningerne sandsynlighedsmæssigt giver anledning til mange kasser og dermed kasser, der kun indeholder en person.
Mange af oplysningerne, der findes i forskningsdatabaser, er ikke så lette at skaffe om naboen, den lokale politiker eller en kendt person
Nedenfor ses et overblik over typiske data, og hvilke inddelinger de kommer i.
Er risikoen for at blive identificeret et reelt problem?
Der er tre situationer, hvor pseudonymiteten kan tænkes at blive kompromitteret - selv når åbenlyse identificérbare oplysninger som navn, cpr-nummer, adresse eller telefonnummer er fjernet:
- Er en forsker i stand til at koble data til en konkret person, som forskeren ved er med i databasen?
Forskeren vil identificere en konkret person, som forskeren ved er med i databasen. Eksempel: forskeren vil finde sin nabo i databasen, og forskeren ved, at naboen er med i databasen. - Er en forsker i stand til at koble data til en bestemt person i den virkelige verden?
Forskeren vil identificere en konkret person, men forskeren ved ikke, om personen er med i databasen. Eksempel: Forskeren vil finde statsministeren i databasen, men forskeren ved ikke, om statsministeren overhovedet er med i databasen. - Er en forsker i stand til at koble data til en person i den virkelige verden?
Forskeren vil identificere en person i populationen, der matcher en person i databasen. Eksempel: forskeren vil finde frem til den person i befolkningen, der matcher en bestemt person i databasen.
Når vi går fra punkt 1 til 2 til 3 bliver det sværere og sværere at misbruge oplysningerne i databasen.
For de danske registre og data fra Danmarks Statistisk er der en række sikkerhedsforanstaltninger, der gør det sværere at misbruge oplysningerne: Man får ikke udleveret flere data, end man kan retfærdiggøre, at man har brug for, og man må ikke søge på enkeltpersoners oplysninger.
Derudover føres der en log over, hvad man foretager sig, så brodne kar kan nægtes adgang. Når unikke informationer som navn, cpr-nummer, adresse eller telefonnummer ikke er til stede, så bliver det markant sværere for en person med skumle hensigter og adgang til data at henføre dem til en konkret person.
Så skal vi være bekymrede for, om vi ikke kan skjule os i mængden? I teorien ja. I praksis nej.
