Data'r Sector Cyhoeddus, Rhyngweithredu, a Data Agored

Pam mae hyn yn bwysig i werth cyhoeddus

Mae pob corff cyhoeddus eisoes yn dal mwy o ddata nag y mae'n ei ddefnyddio'n dda. Mae awdurdod treth, rhwydwaith ysbytai, asiantaeth drafnidiaeth, a swyddfa gynllunio leol bob un yn casglu gwybodaeth fel sgil-gynnyrch rhedeg gwasanaeth, a phob un yn darganfod, fel arfer yn rhy hwyr, fod y cofnod y mae ei angen i ateb cwestiwn dinesydd neu setlo anghydfod yn eistedd mewn system na all neb arall yn y sefydliad ymholi ynddi. Nid yw'r gost yn haniaethol: ni ddylai dinesydd sydd eisoes wedi dweud eu cyfeiriad wrth un asiantaeth orfod ei ddweud eto wrth asiantaeth arall y tu mewn i'r un llywodraeth.

Mae dau uchelgais ar wahân yn eistedd y tu mewn i deitl y pwnc hwn, ac mae cyrff cyhoeddus yn rheolaidd yn eu drysu. Y cyntaf yw rhyngweithredu — gwneud i ddata symud yn ddibynadwy rhwng systemau y mae timau a chyfnodau technoleg gwahanol wedi'u hadeiladu'n annibynnol, fel bod un rhan o lywodraeth yn gallu gweithredu ar yr hyn y mae rhan arall eisoes yn ei wybod. Yr ail yw agoredrwydd — cyhoeddi data y tu allan i lywodraeth yn gyfan gwbl, fel y gall newyddiadurwyr, ymchwilwyr, a dinasyddion ei ddefnyddio at ddibenion na ragwelodd y corff cyhoeddi erioed. Mae rhyngweithredu'n bennaf yn broblem beirianneg a llywodraethiant; mae agoredrwydd yn werth cyhoeddus yn ei hawl ei hun, o'r un teulu â'r nwyddau cyhoeddus a ddisgrifir ym Mhwnc 1.4 — Nwyddau Cyhoeddus, Nwyddau Teilyngdod, a Lluosogaeth Gwerth, oherwydd mae data cyhoeddedig yn ddi-gystadleuol ac yn anodd eithrio unrhyw un ohono unwaith y'i rhyddheir, felly byddai marchnad ar ei ben ei hun yn ei dan-gyflenwi.

Mae'r ddau uchelgais yn gwrthdaro â thrydydd ffaith y mae'r pwnc hwn yn ei drin fel tyndra gwirioneddol, heb ei ddatrys yn hytrach na phroblem ag ateb taclus: yn aml mae data digon manwl i fod yn ddefnyddiol yn ddigon manwl i adnabod yr unigolyn y mae'n ei ddisgrifio, hyd yn oed ar ôl tynnu enwau a dynodwyr amlwg. Mae llywodraeth sy'n cyhoeddi'n gyfoethog a llywodraeth sy'n amddiffyn y bobl yn ei chofnodion yn dda'n tynnu i gyfeiriadau gwahanol ar yr un lifer, ac mae'r archwaeth cynyddol am ddata i hyfforddi a gwerthuso systemau algorithmig (gweler Pwnc 5.2 — Deallusrwydd Artiffisial a Gwneud Penderfyniadau Algorithmig mewn Llywodraeth) wedi codi'r peryglon, oherwydd mae mwy o actorion nag erioed eisiau data cyhoeddus yn union y manylder sy'n ei gwneud fwyaf peryglus ei ryddhau. Mae arweinydd sy'n trin llywodraethiant, rhyngweithredu, ac agoredrwydd fel un broblem, â phreifatrwydd fel ei chyfyngiad parhaol, wedi'i leoli'n well i gaffael gwerth y pwnc hwn nag un sy'n trin pob un ar wahân.

Cysyniadau craidd

Mae llywodraethiant data yn set o hawliau penderfynu, safonau, ac atebolrwydd sy'n pennu pwy all greu, newid, cael mynediad at, ac ymddeol data sefydliad, a pha safon ansawdd y mae'n rhaid ei ddal iddo (gweler data governance). Mae'n wahanol i reolaeth data, sef gwaith gweithredol o symud a storio data ddydd i ddydd; mae llywodraethiant yn penderfynu'r rheolau, mae rheolaeth yn eu gweithredu. Mae gan gorff cyhoeddus heb lywodraethiant data ddata o hyd, ond ni all neb ddweud â hyder pa gopi o gofnod dinesydd yw'r un awdurdodol, neu pwy sy'n atebol pan mae'r cofnod hwnnw'n troi allan i fod yn anghywir.

Mae stiward data yn unigolyn neu rôl wedi'i enwi'n atebol am ansawdd, diffiniad, a defnydd priodol set ddata benodol, yn wahanol i'r staff technegol sy'n gweithredu'r systemau y mae'n byw ynddynt (gweler data steward). Mae stiwardiaeth yn bwysig oherwydd bod ansawdd data'n dirywio'n ddiofyn: mae maes nad oes neb yn atebol amdano'n cronni cofnodion anghyson, cofnodion dyblyg, a drifft tawel rhwng beth mae maes i fod i'w olygu a beth mae staff mewn gwirionedd yn ei roi ynddo. Mae neilltuo stiward i set ddata'n trosi ansawdd data o ymarfer glanhau achlysurol i mewn i gyfrifoldeb parhaus, wedi'i enwi.

Mae rhyngweithredu yn gapasiti systemau wedi'u hadeiladu'n annibynnol i gyfnewid data a'i ddefnyddio'n gywir heb beirianneg achos-arbennig, un-tro ar gyfer pob pâr o systemau dan sylw (gweler interoperability). Mae'n gweithredu ar dair lefel sy'n hawdd eu cymysgu: rhyngweithredu technegol (a all y systemau gysylltu a symud beitiau o gwbl, fel arfer trwy ryngwyneb rhaglennu cymhwysiad, neu API, ffordd ddiffiniedig i un darn o feddalwedd ofyn am ddata neu weithred gan un arall — gweler application programming interface); rhyngweithredu semantig (a yw'r ddwy system yn golygu'r un peth â maes a rennir, fel 'aelwyd' neu 'achos gweithredol'); a rhyngweithredu sefydliadol (a yw'r ddau sefydliad yn cytuno pam mae'r data'n cael ei rannu a phwy sy'n atebol am beth sy'n digwydd nesaf). Mae'r rhan fwyaf o fethiannau rhyngweithredu drud yn digwydd ar y lefel semantig neu sefydliadol hyd yn oed pan mae'r cysylltiad technegol yn gweithio'n berffaith.

Mae cynllun cyffredin, neu safon data, yn strwythur cytunedig, cyhoeddedig ar gyfer sut mae categori data'n cael ei gynrychioli — enwau maes, fformatau, unedau, a gwerthoedd caniataol — wedi'i fabwysiadu gan fwy nag un system neu sefydliad fel y gall data a gynhyrchir gan un gael ei ddefnyddio gan un arall heb gyfieithu â llaw. Mae cyrff llywodraeth sy'n mabwysiadu cynllun a rennir ar gyfer rhywbeth mor sylfaenol â chyfeiriad neu statws achos yn trosi dwsinau o broblemau cyfieithu dwyochrog posibl i mewn i un safon y gall pob system newydd ei gweithredu'n syml. Mae dynodwr unigryw sy'n parhau ar draws systemau a thros amser — rhif achos, rhif cofrestru busnes, cyfeirnod dinesydd — yn fecanwaith penodol sy'n gadael i gofnodion am yr un person neu endid gael eu cysylltu'n gywir, ac mae cael dyluniad dynodwr yn anghywir (ailddefnyddio rhifau, newid fformatau, neu ddim un o gwbl) yn un o'r achosion mwyaf cyffredin, osgoiadwy o fethiant rhyngweithredu.

Mae metadata yn ddata am ddata — y disgrifiad o strwythur, tarddiad, amledd diweddaru, ac ystyr set ddata, wedi'i gyhoeddi ochr yn ochr â'r data ei hun fel y gall defnyddiwr na wnaeth ei chreu ei deall a'i ymddiried ynddi (gweler metadata). Prin y mae set ddata a gyhoeddwyd heb fetadata digonol yn ddefnyddiadwy gan unrhyw un y tu allan i'r tîm a'i cynhyrchodd, ni waeth pa mor agored yw ei drwydded; metadata yw'r hyn sy'n troi tomen ffeil yn rhywbeth y gall trydydd parti ei wirioneddol ailddefnyddio.

Mae cytundeb rhannu-data yn drefniant ffurfiol rhwng asiantaethau, neu rhwng corff cyhoeddus a phartner allanol, sy'n nodi'r pwrpas y gellir defnyddio data ar ei gyfer, y sail gyfreithiol ar gyfer ei rannu, pa mor hir y gellir ei gadw, a beth sy'n digwydd os yw'r pwrpas yn newid. Cyfyngiad pwrpas — cyfyngu defnydd data a rennir i'r pwrpas y'i casglwyd neu y'i rhannwyd ar ei gyfer — yw'r ddisgyblaeth sy'n atal cytundeb rhannu-data rhag dod yn drwydded ddiderfyn i ailbwrpasu gwybodaeth bersonol, ac mae ei absenoldeb yn thema ailddigwydd mewn methiannau ymddiriedaeth gyhoeddus sy'n cynnwys data traws-asiantaeth.

Mae data agored yn ddata sy'n cael ei wneud ar gael yn rhydd i unrhyw un gael mynediad ato, ei ddefnyddio, a'i ailddosbarthu, at unrhyw bwrpas, fel arfer yn beiriant-ddarllenadwy ac wedi'i ryddhau o dan drwydded sy'n caniatáu ailddefnyddio yn hytrach na dim ond gwylio (gweler open data). Mae ei achos gwerth cyhoeddus yn dilyn rhesymeg nwyddau cyhoeddus a nodwyd ym Mhwnc 1.4 — Nwyddau Cyhoeddus, Nwyddau Teilyngdod, a Lluosogaeth Gwerth: unwaith y cyhoeddir set ddata, nid yw defnydd un person ohoni'n lleihau un arall, ac yn aml llywodraeth yw'r unig actor â'r statws cyfreithiol a'r raddfa i'w chasglu a'i chyhoeddi yn y lle cyntaf, felly mae marchnadoedd preifat ar eu pen eu hunain yn tan-gyflenwi'r math hwn o wybodaeth yn gronig. Mae data agored yn galluogi atebolrwydd (newyddiadurwyr a dinasyddion yn gwirio honiadau llywodraeth ei hun yn erbyn ei chofnodion ei hun), arloesedd trydydd-parti (busnesau a thechnolegwyr dinesig yn adeiladu gwasanaethau ar ben data cyhoeddus na fydd llywodraeth ei hun byth yn ei adeiladu), a phenderfyniadau cyhoeddus gwell mewn mannau eraill yn yr economi, i gyd heb i'r corff cyhoeddi orfod rhagweld pob defnydd ymlaen llaw.

Mae ail-adnabod yn broses o gyfateb data i fod wedi'i ddienw yn erbyn gwybodaeth arall sydd ar gael i weithio allan pa berson gwirioneddol y mae cofnod yn ei ddisgrifio, a dyma'r ffaith dechnegol ganolog sy'n gwneud y tyndra preifatrwydd yn y pwnc hwn yn anochel yn hytrach na dim ond anghyfleus (gweler data re-identification). Nid yw tynnu enw, neu ddynodwr amlwg fel rhif yswiriant gwladol neu nawdd cymdeithasol, yn tynnu'r risg: gall cyfuniad o cwasi-ddynodwyr fel oedran, côd post, a chyflwr meddygol prin adnabod rhywun yn unigryw hyd yn oed mewn set ddata nad wnaeth erioed eu henwi, yn enwedig unwaith y caiff ei groesgyfeirio yn erbyn set ddata gyhoeddus ar wahân arall. Mae k-anhysbysrwydd yn un ffordd ffurfiol o resymu am y risg hon: mae set ddata'n bodloni k-anhysbysrwydd os yw pob cyfuniad o feysydd cwasi-ddynodi y mae'n ei gynnwys yn cael ei rannu gan o leiaf nifer diffiniedig, k, o gofnodion, fel na ellir ynysu unrhyw un rhes i lai na k o bobl posibl (gweler k-anonymity). Mae preifatrwydd differol yn ddull mwy diweddar, yn fathemategol drwyadl sy'n ychwanegu sŵn ystadegol wedi'i galibro'n ofalus i set ddata neu i ganlyniadau ymholiadau yn ei herbyn, fel bod presenoldeb neu absenoldeb cofnod unrhyw un unigolyn yn newid yr allbwn cyhoeddedig gan swm cyfyngedig, profadwy'n unig, ni waeth beth mae ymosodwr eisoes yn ei wybod (gweler differential privacy). Mae preifatrwydd trwy ddyluniad yn egwyddor ehangach bod amddiffyniad preifatrwydd yn cael ei adeiladu i mewn i bensaernïaeth system o'r dechrau, fel gosodiad diofyn, yn hytrach na'i folltio ymlaen fel cam golygu union cyn cyhoeddi (gweler privacy by design); golygu dynodwyr amlwg ar ôl y ffaith yw ffurf wannaf y ddisgyblaeth hon, nid disodliad ar ei chyfer.

Arferion gorau

1. Enwch stiward atebol ar gyfer pob set ddata sy'n bwysig, nid dim ond swyddfa ddata ganolog. Gall swyddfa ddata osod safonau, ond ni all wybod a yw maes penodol mewn system benodol yn dal i olygu beth y'i diffiniwyd i'w olygu; mae'r dyfarniad hwnnw'n perthyn i rywun agos at ddefnydd gwirioneddol y data.
2. Cyhoeddwch yn agored yn ddiofyn, a dogfennwch y rheswm penodol pryd bynnag na wnewch. Mae gwrthdroi'r diofyn — mynnu cyfiawnhad i atal yn hytrach na chyfiawnhad i gyhoeddi — yn dwyn sensitifrwydd gwirioneddol i'r amlwg ar gyfer adolygiad unigol yn lle gadael i ofal gymhwyso i bopeth yn ddiwahân.
3. Mabwysiadwch gynllun a rennir presennol cyn dylunio un newydd. Mae strwythur data pwrpasol sy'n ffitio un prosiect yn berffaith ac yn cyfateb â dim byd arall mewn llywodraeth yn gwarantu cost integreiddio dyfodol; gwiriwch beth mae eich sector, awdurdodaeth, neu gorff safonau rhyngwladol eisoes wedi'i gyhoeddi cyn adeiladu eich un eich hun.
4. Dyluniwch ddynodwyr unigryw parhaus, wedi'u llywodraethu'n dda cyn i system fynd yn fyw, nid ar ei ôl. Mae ôl-ffitio cynllun dynodwr ar gofnodion sydd wedi bod yn cronni am flynyddoedd o dan allweddi anghyson yn ddramatig yn ddrytach na chael y dyluniad yn iawn ar y dechrau.
5. Adeiladwch gyfnewid data trwy APIau llywodraethedig yn hytrach na throsglwyddiadau ffeil un-tro. Mae API sy'n gorfodi cynllun, yn cofnodi mynediad, ac y gellir ei fersiynu'n rhoi i chi bwynt rhyngweithredu rheolaidd, archwiliadwy; nid yw taenlen wedi'i e-bostio rhwng adrannau'n rhoi unrhyw un o'r pethau hynny i chi.
6. Ysgrifennwch gytundebau rhannu-data sy'n nodi'r pwrpas, y sail gyfreithiol, a'r dyddiad dod-i-ben, nid dim ond y mecanwaith technegol. Mae cytundeb sy'n manylu sut mae data'n symud ond nid pam, neu am ba mor hir, yn tueddu i oroesi'r pwrpas a'i cyfiawnhaodd ac yn dawel ddod yn ganiatâd ar gyfer rhywbeth na wnaeth neb ei awdurdodi'n benodol.
7. Trinwch dad-adnabod fel asesiad risg â chanlyniad gweddilliol, nid tasg golygu un-tro. Gofynnwch pa setiau data cyhoeddus neu brynadwy eraill y gellid eu cysylltu yn erbyn yr un rydych ar fin ei rhyddhau, a meintiwch y risg ail-adnabod yn erbyn model bygythiad realistig hwnnw, nid yn erbyn ymosodwr delfrydedig heb wybodaeth allanol.
8. Cymhwyswch breifatrwydd differol neu dechneg ffurfiol gyfatebol i unrhyw ryddhad sy'n cynnwys poblogaethau bach neu nodweddion prin. Mae atal neu gyffredinoli syml o ddynodwyr amlwg yn annigonol unwaith y mae set ddata'n cynnwys unrhyw beth anarferol ddigon i fod yn adnabyddadwy ar ei ben ei hun, fel cyflwr prin, poblogaeth leol fach, neu drafodiad gwerth-uchel.
9. Cynhaliwch gatalog data cyhoeddus, cyfredol â metadata gwirioneddol, nid dim ond rhestr o enwau ffeil. Mae set ddata na all defnyddiwr posibl ei deall yn ddigon da i ymddiried ynddi'n anghyhoeddedig i bob pwrpas ymarferol, ni waeth pa mor ganiataol yw ei thrwydded.
10. Mesurwch ansawdd data yn erbyn safonau diffiniedig ar amserlen ailddigwydd, ac adroddwch y canlyniadau i bwy bynnag sy'n berchen ar y set ddata. Mae ansawdd na chaiff ei wirio dim ond pan mae rhywbeth yn torri'n dirywio'n anweledig am gyfnodau hir rhyngddynt; mae mesuriad rheolaidd yn troi dirywiad yn duedd weladwy, reoladwy.
11. Adolygwch bob set ddata gyhoeddedig yn gyfnodol am werth cyhoeddus parhaus a risg barhaus. Mae poblogaethau'n newid, mae technegau ail-adnabod yn gwella, ac efallai na fydd rhyddhad a oedd yn ddiogel bum mlynedd yn ôl yn ddiogel heddiw yn erbyn data sydd ers hynny wedi dod ar gael o'r newydd mewn man arall.
12. Gwahanwch y penderfyniad i rannu neu gyhoeddi data oddi wrth y tîm technegol sy'n ei symud. Anaml mai'r un bobl sydd wedi'u lleoli orau i farnu pwrpas, cymesuredd, a risg preifatrwydd â'r rhai wedi'u lleoli orau i adeiladu'r biblinell, ac mae cywasgu'r ddwy rôl i mewn i un yn gadael y dyfarniad anos yn dan-archwiliedig.

Cwestiynau i'w trafod gyda'ch tîm

A ydym yn gwybod pa system sy'n dal y cofnod awdurdodol ar gyfer pob un o'n prif endidau data, ac a yw pawb mewn gwirionedd yn ei drin felly? Mae gan lawer o sefydliadau, mewn ymarfer, sawl copi 'gwir' o'r un wybodaeth — cyfeiriad dinesydd yn y system filio, y system rheoli-achos, a'r cofnod gohebiaeth, i gyd ychydig yn wahanol a phob un yn cael ei weithredu arno gan rywun. Defnyddiwch y cwestiwn hwn i restru prif endidau eich sefydliad (dinesydd, achos, eiddo, busnes) a nodi, yn onest, a oes ffynhonnell awdurdodol sengl yn bodoli ar gyfer pob un neu a yw staff wedi dysgu'n dawel pa system i'w hymddiried ar gyfer pa bwrpas.

Pe bai person yn gofyn i ni pam roedd yn rhaid iddynt roi'r un wybodaeth i ddwy ran o'n sefydliad ein hunain, beth fyddai ein ateb gonest? Yn aml yr ateb gonest yw 'oherwydd na all ein systemau ei gyfnewid,' sef methiant rhyngweithredu wedi'i wisgo fel gofyniad proses. Defnyddiwch y cwestiwn hwn i ddewis un daith gwasanaeth sy'n rhychwantu mwy nag un tîm neu system ac olrhain, gam wrth gam, ble mae'r un ffaith yn cael ei chasglu fwy nag unwaith. Trafodwch a yw'r cais ailadroddus yn amddiffyn rhywbeth gwirioneddol — cydsyniad ffres, cam dilysu — neu a yw'n syml yn absenoldeb cytundeb rhannu-data neu gynllun cyffredin.

Ble byddai newyddiadurwr neu ymchwilydd penderfynol yn fwyaf tebygol o ail-adnabod rhywun mewn set ddata rydym yn ei galw'n ddienw ar hyn o bryd? Nid yw'r rhan fwyaf o sefydliadau sy'n cyhoeddi data wedi'i dad-adnabod wedi'i brofi dan straen yn erbyn cyfuniad realistig o cwasi-ddynodwyr a setiau data cyhoeddus eraill. Defnyddiwch y cwestiwn hwn i ddewis eich set ddata gyhoeddedig neu ar-fin-ei-chyhoeddi risg-uchaf a cherdded trwy pa wybodaeth arall — adroddiad newyddion lleol, set ddata agored asiantaeth arall, cofrestr gyhoeddus — a allai gael ei chysylltu'n gredadwy yn ei herbyn.

Pwy sydd ag awdurdod ar hyn o bryd i ddweud na ddylid cyhoeddi set ddata, ac a ydym yn hyderus bod yr awdurdod hwnnw'n cael ei ddefnyddio am y rhesymau cywir? Mae polisi diofyn-i-agored yn dal angen proses eithriad gredadwy, resymegol dda, a dylai'r person sy'n ei arfer fod yn adnabyddadwy ac yn atebol. Defnyddiwch y cwestiwn hwn i wirio a wneir penderfyniadau atal yn eich sefydliad gan rôl wedi'i henwi yn erbyn meini prawf wedi'u dogfennu, neu'n anffurfiol, gan bwy bynnag sy'n digwydd cael ei ofyn a gwallgofi ar ochr gofal.

A yw ein cytundebau rhannu-data rhwng asiantaethau'n dal i gael eu defnyddio ar gyfer y pwrpas y'u hysgrifennwyd ar ei gyfer? Mae cyfyngiad pwrpas yn hawdd ei nodi mewn cytundeb ac yn hawdd ei erydu'n dawel mewn ymarfer, yn enwedig unwaith y mae set ddata'n profi'n ddefnyddiol ar gyfer rhywbeth na ragwelodd ei llofnodwyr gwreiddiol erioed. Defnyddiwch y cwestiwn hwn i ddewis dau neu dri trefniant rhannu-data traws-asiantaeth byw a gwirio'r defnydd gwirioneddol cyfredol yn erbyn y pwrpas ysgrifenedig a'r dyddiad dod-i-ben.

Pe bai ein safonau rhyngweithredu neu ddata'n dod yn rhwystr i ddefnydd newydd dilys o'n data, a fyddem yn darganfod hynny cyn neu ar ôl iddo achosi niwed gwirioneddol? Gall safonau a oedd yn synhwyrol pan gawsant eu mabwysiadu galedu i mewn i rwystrau wrth i anghenion a thechnoleg newid, ac anaml y mae sefydliadau'n adeiladu mecanwaith i sylwi ar hyn yn digwydd i'w rheolau eu hunain. Defnyddiwch y cwestiwn hwn i drafod sut mae eich sefydliad ar hyn o bryd yn adolygu a yw ei safonau data, cynlluniau dynodwr, neu brosesau rhannu'n dal i wasanaethu eu pwrpas, o'i gymharu â chael eu hetifeddu a heb eu cwestiynu'n syml.

Yn ymarferol: enghraifft gwerth cyhoeddus

Roedd asiantaeth lles-cymdeithasol rhanbarthol ac awdurdod iechyd rhanbarthol ar wahân — dychmygol, yn eglurhaol o batrwm yn hytrach nag adroddiad ar unrhyw gorff go iawn — wedi treulio degawd yn rhedeg systemau rheoli-achos anghydnaws, felly gallai teulu'n hysbys i'r ddau gael ei gofnodi o dan rifau cyfeirnod gwahanol, heb unrhyw ffordd ddibynadwy o ddweud wrth staff asiantaeth mai'r un aelwyd oedd yn ymddangos yn llwyth achos cymorth-tai a llwyth achos allgymorth-pediatrig. Stoliodd rhaglen ar y cyd i adnabod plant mewn perygl o syrthio trwy'r bwlch rhwng y ddau wasanaeth dro ar ôl tro, nid o ddiffyg ewyllys wleidyddol, ond oherwydd na allai neb gynhyrchu golwg gyfunol sengl, ymddiriedol o ba deuluoedd oedd angen y ddau fath o gymorth.

Yn y pen draw mabwysiadodd y ddwy asiantaeth ddynodwr aelwyd a rennir a chynllun cyffredin ar gyfer y meysydd yr oedd angen i'r ddwy system eu cyfnewid, wedi'u hadeiladu trwy API llywodraethedig yn hytrach na'r allforion taenlen cyfnodol yr oedd y ddwy wedi dibynnu arnynt o'r blaen, o dan gytundeb rhannu-data a enwodd y pwrpas penodol — cydgysylltu cymorth ar gyfer aelwydydd mewn perygl — ac a fynnodd adolygiad blynyddol. O fewn blwyddyn, gallai gweithwyr achos ar y ddwy ochr weld, am y tro cyntaf, pa deuluoedd oedd yn hysbys i'r gwasanaeth arall, a daeth cynadleddau achos ar y cyd a oedd yn flaenorol wedi dibynnu ar wiriadau-croes â llaw yn arferol. Aeth yr asiantaethau ymhellach wedyn, gan gyhoeddi set ddata agored, wedi'i chrynhoi, ar lefel-ardal yn dangos nifer yr aelwydydd sy'n derbyn cymorth cyfunol yn ôl dosbarth, wedi'i fwriadu i helpu elusennau lleol dargedu eu hallgymorth eu hunain ac i adael i gynghorwyr etholedig weld a oedd y rhaglen ar y cyd yn cyrraedd yr ardaloedd y'i dyluniwyd ar eu cyfer.

Darganfu eiriolwr hawliau-data lleol, yn gweithio â ymchwilydd prifysgol, y gellid croesgyfeirio'r ffigurau lefel-dosbarth cyhoeddedig yn erbyn set ddata agored a gyhoeddwyd ar wahân, yr un mor ddi-fai, gan yr awdurdod trafnidiaeth lleol — yn dangos ceisiadau ffi-wedi'i-gymorthdalu yn ôl ardal fach — i gulhau rhai dosbarthau i lawr i gyfrifon aelwyd yn ddigon bach fel y gellid adnabod teuluoedd penodol yn gredadwy, yn enwedig mewn dosbarthau gwledig gwasgaredig lle roedd y ddwy set ddata'n cyfrif niferoedd un-digid o aelwydydd. Nid oedd yr un o'r setiau data ar ei ben ei hun yn ddatgeliadol; wedi'u cyfuno, yn yr ardaloedd lleiaf poblog, roeddent. Byddai reddf gyntaf yr asiantaethau, i dynnu'r set ddata agored yn ôl yn gyfan gwbl, wedi dinistrio'r gwerth atebolrwydd a thargedu-elusen yr oedd eisoes wedi dechrau ei draddodi. Yn hytrach, gan weithio â'r un eiriolwr, ail-gyhoeddasant y set ddata gan ddefnyddio dull preifatrwydd-differol a ychwanegodd sŵn wedi'i galibro at gyfrifon bach, gan gadw ei ddefnyddioldeb ar gyfer sylwi ar batrymau rhanbarthol eang tra'n gwneud cyfrif gwirioneddol unrhyw un dosbarth poblogaeth-isel yn ddigon ansicr i drechu'r ymosodiad croesgyfeirio a ddatgelodd y rhyddhad gwreiddiol.

Pedwar lens sector

Llywodraeth leol

Fel arfer mae awdurdod lleol yn rhedeg mwy o systemau gwahanol, hŷn, a llai-integredig fesul preswylydd a wasanaethir na chorff cenedlaethol, oherwydd anaml yr adeiladwyd degawdau o systemau adrannol wedi'u caffael yn unigol — tai, cynllunio, gwastraff, gofal cymdeithasol — i rannu data â'i gilydd. Mae hyn yn gwneud rhyngweithredu'n frwydr fewnol wirioneddol cyn ei fod byth yn un allanol: gall preswylydd sy'n rhyngweithio â thair adran gyngor mewn un wythnos ddarganfod na all yr un ohonynt weld yr hyn y mae'r lleill eisoes yn ei wybod. Yn y cyfamser, mae gan ddata agored lleol werth dinesig anarferol o uniongyrchol yn aml — amserlenni casglu biniau, ceisiadau cynllunio, gwariant lleol — oherwydd mae preswylwyr a newyddiadurwyr lleol yn ymgysylltu ag ef ar lefel o benodolrwydd na fydd setiau data cenedlaethol yn ei gynnig yn aml.

Llywodraeth genedlaethol

Fel arfer mae llywodraethau cenedlaethol yn gweithredu'r ystod lawnaf o offer llywodraethiant data a rhyngweithredu — strategaeth ddata genedlaethol, cynlluniau dynodwr traws-lywodraeth, pyrth data-agored mandadol, a rheoleiddwyr diogelu-data pwrpasol — ond mae nifer syfrdanol o systemau etifeddol wedi'u cronni ar draws degawdau a gweinyddiaethau'n gwneud rhyngweithredu technegol yn dasg gefndir barhaus, ddrud yn hytrach na phrosiect un-tro. Mae rhaglenni data-agored cenedlaethol yn cario risg ail-adnabod anghymesur yn union oherwydd bod setiau data cenedlaethol yn ddigon mawr i fod yn wirioneddol werthfawr ac yn ddigon manwl, unwaith y'u cysylltir yn erbyn cofrestrfeydd cenedlaethol eraill, i adnabod unigolion.

Sector cymdeithasol a di-elw

Anaml y mae sefydliad dielw neu sefydliad anllywodraethol (NGO) yn ddarostyngedig i fandad data-agored, ond mae'n gynyddol yn wynebu disgwyliad cyfochrog gan gyllidwyr, rheoleiddwyr, a'r cyhoedd bod data rhaglen yn cael ei rannu'n dryloyw, ac yn aml mae'n gweithio â phoblogaethau — goroeswyr trais, pobl mewn tlodi eithafol, preswylwyr heb ddogfennau — y mae risg ail-adnabod yn cario cost bersonol lawer uwch iddynt nag y mae fel arfer i'r boblogaeth gyffredinol mewn set ddata llywodraeth. Mae cytundebau rhannu-data'n bwysig yn anghymesur yma oherwydd yn aml mae sefydliad dielw'n rhannu data cleient â chyllidwyr llywodraeth neu sefydliadau partner o dan gontractau na wnaeth ei ysgrifennu, ac mae angen arno'r capasiti i negodi cyfyngiad pwrpas yn hytrach na derbyn pa bynnag delerau rhannu-data sy'n gysylltiedig ag ariannu.

Amlochrog a rhyngwladol

Mae cyrff amlochrog yn crynhoi data ar draws taleithiau aelod ag aeddfedrwydd llywodraethiant, capasiti ystadegol, a chyfundrefnau cyfreithiol gwahanol iawn ar gyfer preifatrwydd, sy'n gwneud rhyngweithredu semantig — cytuno beth mae maes a rennir mewn gwirionedd yn ei olygu — yn broblem ddiplomataidd barhaus yn ogystal â thechnegol; mae term mor sylfaenol ag 'aelwyd' neu 'ddi-waith' wedi'i ddiffinio'n wahanol ddigon ar draws gwledydd fel bod cyrff ystadegol rhyngwladol yn cynnal safonau cyfan, fel fformat Cyfnewid Data ac Metadata Ystadegol (SDMX), yn bur i wneud data traws-wlad yn wirioneddol gymharadwy. Mae data agored ar y lefel hon yn gweithredu fel nwydd cyhoeddus arbennig o eglur yn yr ystyr a nodwyd ym Mhwnc 1.4 — Nwyddau Cyhoeddus, Nwyddau Teilyngdod, a Lluosogaeth Gwerth, oherwydd nid oes gan yr un dalaith aelod sengl gymhelliant i ariannu set ddata gymharol fyd-eang ar ei phen ei hun, ac eto mae pob gwladwriaeth ac ymchwilydd o fudd unwaith y mae corff amlochrog yn cyhoeddi un.

Moddau methiant cyffredin

Seilos data tawel. Mae systemau'n cronni'n annibynnol ar draws sefydliad heb ddynodwr neu gynllun a rennir, ac mae'r gost yn aros yn guddiedig hyd nes bod achos penodol — methiant diogelu, archwiliad, toriad gwasanaeth — yn mynnu golwg gyfunol sy'n troi allan i fod yn amhosibl ei chynhyrchu'n gyflym, ar y pwynt hwnnw mae cost y seilo'n dod yn weladwy ar unwaith ac yn ddrud ei thrwsio o dan bwysau.

Theatr dienwedigrwydd. Tynnir enwau a dynodwyr amlwg o set ddata ac fe'i trinnir wedyn fel un ddiogel ei chyhoeddi heb unrhyw asesiad o cwasi-ddynodwyr neu risg cysylltu yn erbyn data arall sydd ar gael. Mae'r gost yn ymddangos, yn aml yn gyhoeddus ac yn embaras, pan mae ymchwilydd, newyddiadurwr, neu eiriolwr yn dangos bod ail-adnabod yn bosibl.

Llywodraethiant heb berchennog. Mae polisi llywodraethiant data'n bodoli ar bapur, ond nid oes unrhyw berson penodol yn atebol am ansawdd neu gyfredoldeb unrhyw set ddata benodol, felly mae safonau'n dirywio'n dawel ac nid oes neb yn sylwi hyd nes bod y data'n cael ei ddibynnu arno ar gyfer penderfyniad na all ei gefnogi mewn gwirionedd.

Rhyngweithredu trwy fandad, heb adnoddu. Mae cynllun neu gynllun dynodwr a rennir yn cael ei fandadu'n ganolog ond byth wedi'i ariannu ar gyfer y timau y disgwylir iddynt ei fabwysiadu, felly mae cydymffurfiaeth yn dod yn ymarfer blwch-ticio — maes yn dechnegol bresennol ond heb ei boblogi'n briodol — yn hytrach na rhyngweithredu gwirioneddol, defnyddiadwy.

Golchi-agored. Mae sefydliad yn cyhoeddi dangosfyrddau a delweddau crynodeb ac yn galw hyn yn ddata agored, tra bo'r set ddata beiriant-ddarllenadwy sylfaenol y byddai angen ar drydydd parti i adeiladu rhywbeth newydd yn parhau heb ei chyhoeddi neu wedi'i chyhoeddi mewn fformat na all neb ei hailddefnyddio'n ymarferol.

Model aeddfedrwydd

Rhestr wirio

• Nodi'r system ffynhonnell awdurdodol ar gyfer pob un o brif endidau data eich sefydliad.
• Cadarnhau bod gan bob set ddata sy'n bwysig yn sylweddol stiward wedi'i enwi, atebol.
• Gwirio a yw cynllun neu safon a rennir eisoes yn bodoli ar gyfer prosiect data newydd cyn dylunio un pwrpasol.
• Adolygu dyluniad eich dynodwr unigryw am barhad a chysondeb ar draws y systemau sy'n ei ddefnyddio.
• Disodli o leiaf un cyfnewid data â llaw neu daenlen-seiliedig ailddigwydd ag API llywodraethedig.
• Cadarnhau bod pob cytundeb rhannu-data traws-asiantaeth gweithredol yn nodi ei bwrpas, sail gyfreithiol, a dyddiad dod-i-ben, ac yn cyfateb â defnydd gwirioneddol cyfredol.
• Cynnal asesiad risg ail-adnabod, gan gynnwys cysylltu credadwy yn erbyn setiau data cyhoeddus eraill, cyn cyhoeddi unrhyw set ddata sy'n cynnwys gwybodaeth bersonol.
• Cymhwyso techneg breifatrwydd-warchodol ffurfiol, fel k-anhysbysrwydd neu breifatrwydd differol, i unrhyw ryddhad sy'n cynnwys poblogaethau bach neu nodweddion prin.
• Cadarnhau bod eich catalog data-agored yn cynnwys metadata gwirioneddol, cyfredol, nid dim ond enwau ffeil.
• Adolygu setiau data a gyhoeddwyd yn flaenorol yn erbyn data allanol newydd-argaeledd am risg ail-adnabod sy'n dod i'r amlwg.
• Cadarnhau bod penderfyniadau atal yn cael eu gwneud gan rôl wedi'i henwi, atebol yn erbyn meini prawf wedi'u dogfennu.
• Gofyn i'ch tîm y chwe chwestiwn trafod uchod a chofnodi lle mae'r ateb gonest yn wahanol i'r un swyddogol.

Ffynonellau allweddol

• Siarter Data Agored Rhyngwladol, ei chwe egwyddor, a'i chanllawiau ar gyhoeddi agored-yn-ddiofyn.
• Argymhelliad Cyngor OECD ar Wella Mynediad at a Rhannu Data (2021).
• Sefydliad Cenedlaethol Safonau a Thechnoleg UDA, Cyhoeddiad Arbennig 800-226, Canllawiau ar gyfer Gwerthuso Gwarantau Preifatrwydd Differol.
• Deunydd Swyddfa Cyfrifiad UDA ar osgoi datgeliad a'i chymhwysiad o breifatrwydd differol i ddata cyfrifiad degblynyddol.
• Gwaith sylfaenu Cynthia Dwork yn ffurfioli preifatrwydd differol, a'r llenyddiaeth academaidd ehangach ar reolaeth datgeliad ystadegol.
• Triongl strategol Mark H. Moore a rhesymeg nwyddau cyhoeddus a nodwyd ym Mhwnc 1.4 — Nwyddau Cyhoeddus, Nwyddau Teilyngdod, a Lluosogaeth Gwerth, fel y fframio y mae'r pwnc hwn yn adeiladu arno.

Cyfeiriadau

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/