Data, interoperabilitet og åbne data i den offentlige sektor

Hvorfor det er vigtigt for offentlig værdi

Ethvert offentligt organ besidder allerede flere data, end det bruger godt. En skattemyndighed, et hospitalsnetværk, en transportmyndighed og et lokalt planlægningskontor indsamler hver information som et biprodukt af at drive en tjeneste, og hver opdager, normalt for sent, at den registrering, den har brug for til at besvare en borgers spørgsmål eller bilægge en tvist, ligger i et system, ingen andre i organisationen kan forespørge. Omkostningen er ikke abstrakt: en borger, der allerede har oplyst én myndighed sin adresse, bør ikke skulle oplyse den igen til en anden myndighed inden for samme regering.

To adskilte ambitioner sidder inde i dette emnes titel, og offentlige organer forveksler dem rutinemæssigt. Den første er interoperabilitet – at få data til at bevæge sig pålideligt mellem systemer, som forskellige teams og teknologiepoker har bygget uafhængigt, så én del af det offentlige kan handle på det, en anden del allerede ved. Den anden er åbenhed – at offentliggøre data helt uden for det offentlige, så journalister, forskere og borgere kan bruge dem til formål, det offentliggørende organ aldrig forudså. Interoperabilitet er mest et ingeniør- og styringsproblem; åbenhed er en offentlig værdi i sig selv, af samme familie som de kollektive goder beskrevet i Emne 1.4 — Kollektive goder, meritgoder og værdipluralisme, fordi offentliggjorte data er ikke-rivaliserende og svære at udelukke nogen fra, når de først er udgivet, så et marked alene ville underudbyde dem.

Begge ambitioner støder sammen med et tredje faktum, dette emne behandler som en reel, uafklaret spænding frem for et problem med et pænt svar: data detaljerede nok til at være nyttige er ofte detaljerede nok til at identificere det individ, de beskriver, selv efter at navne og åbenlyse identifikatorer er fjernet. En regering, der offentliggør rigt, og en regering, der beskytter menneskerne i sine registre godt, trækker i forskellige retninger på den samme løftestang, og den voksende appetit på data til at træne og evaluere algoritmiske systemer (se Emne 5.2 — AI og algoritmisk beslutningstagning i den offentlige sektor) har hævet indsatsen, fordi flere aktører end nogensinde vil have offentlige data på netop den granularitet, der gør dem farligst at udgive. En leder, der behandler styring, interoperabilitet og åbenhed som ét problem, med privatliv som dets permanente begrænsning, er bedre placeret til at indfange dette emnes værdi end en, der behandler hver for sig.

Kernebegreber

Datastyring er det sæt af beslutningsrettigheder, standarder og ansvarsforhold, der afgør, hvem der må oprette, ændre, tilgå og pensionere en organisations data, og til hvilken kvalitetsstandard de skal holdes (se datastyring). Det er adskilt fra datahåndtering, som er det operationelle arbejde med at flytte og lagre data fra dag til dag; styring beslutter reglerne, håndtering udfører dem. Et offentligt organ uden datastyring har stadig data, men ingen kan med sikkerhed sige, hvilken kopi af en borgers registrering der er den autoritative, eller hvem der er ansvarlig, når den registrering viser sig at være forkert.

En datasteward er den navngivne person eller rolle, der er ansvarlig for et specifikt datasæts kvalitet, definition og passende brug, adskilt fra det tekniske personale, der driver de systemer, det ligger i (se datasteward). Stewardship betyder noget, fordi datakvalitet forfalder som standard: et felt, ingen er ansvarlig for, akkumulerer inkonsistente indtastninger, dublerede registreringer og stille drift mellem, hvad et felt skal betyde, og hvad medarbejdere faktisk skriver i det. At tildele et datasæt en steward forvandler datakvalitet fra en lejlighedsvis oprydningsøvelse til et løbende, navngivet ansvar.

Interoperabilitet er kapaciteten hos uafhængigt byggede systemer til at udveksle data og bruge dem korrekt uden særtilfælde, engangsudvikling for hvert par af involverede systemer (se interoperabilitet). Den opererer på tre niveauer, der er lette at sammenblande: teknisk interoperabilitet (kan systemerne overhovedet forbindes og flytte bytes, typisk gennem en applikationsprogrammeringsgrænseflade, eller API, en defineret måde for et stykke software at anmode om data eller handling fra et andet – se applikationsprogrammeringsgrænseflade); semantisk interoperabilitet (mener begge systemer det samme med et fælles felt, såsom «husstand» eller «aktiv sag»); og organisatorisk interoperabilitet (er de to organisationer enige om, hvorfor data deles, og hvem der er ansvarlig for, hvad der sker derefter). De fleste dyre interoperabilitetssvigt sker på det semantiske eller organisatoriske niveau, selv når den tekniske forbindelse virker perfekt.

Et fælles skema, eller datastandard, er en aftalt, offentliggjort struktur for, hvordan en kategori af data repræsenteres – feltnavne, formater, enheder og tilladte værdier – vedtaget af mere end ét system eller én organisation, så data produceret af ét kan forbruges af et andet uden manuel oversættelse. Offentlige organer, der vedtager et fælles skema for noget så grundlæggende som en adresse eller en sagsstatus, omdanner dusinvis af potentielle bilaterale oversættelsesproblemer til én standard, hvert nyt system blot kan implementere. En unik identifikator, der består på tværs af systemer og over tid – et sagsnummer, et virksomhedsregistreringsnummer, en borgerreference – er den specifikke mekanisme, der lader registreringer om den samme person eller enhed blive koblet korrekt, og at få identifikatordesign forkert (genbrug af numre, skiftende formater eller helt at mangle en) er en af de mest almindelige, undgåelige årsager til interoperabilitetssvigt.

Metadata er data om data – beskrivelsen af et datasæts struktur, proveniens, opdateringsfrekvens og betydning, offentliggjort sammen med selve dataene, så en bruger, der ikke skabte dem, kan forstå og stole på dem (se metadata). Et datasæt offentliggjort uden tilstrækkelig metadata er næppe brugbart for nogen uden for det team, der producerede det, uanset hvor åben dets licens er; metadata er, hvad der forvandler en fildump til noget, en tredjepart faktisk kan genbruge.

En datadelingsaftale er en formel ordning mellem myndigheder, eller mellem et offentligt organ og en ekstern partner, der angiver det formål, data må bruges til, det retlige grundlag for at dele dem, hvor længe de må opbevares, og hvad der sker, hvis formålet ændrer sig. Formålsbegrænsning – at begrænse brugen af delte data til det formål, de blev indsamlet eller delt til – er den disciplin, der forhindrer en datadelingsaftale i at blive en ubegrænset licens til at genbruge personoplysninger, og dens fravær er et tilbagevendende tema i tillidssvigt, der involverer tværmyndighedsdata.

Åbne data er data, der gøres frit tilgængelige for enhver til at tilgå, bruge og videredistribuere, til ethvert formål, typisk maskinlæsbare og udgivet under en licens, der tillader genbrug frem for blot visning (se åbne data). Dens offentlige værdi-sag følger den kollektive goder-logik fremlagt i Emne 1.4 — Kollektive goder, meritgoder og værdipluralisme: når et datasæt er offentliggjort, mindsker én persons brug af det ikke en andens, og det offentlige er ofte den eneste aktør med både den retlige stilling og skalaen til overhovedet at indsamle og offentliggøre det, så private markeder alene kronisk underudbyder denne slags information. Åbne data muliggør ansvarlighed (journalister og borgere, der tjekker det offentliges egne påstande mod dets egne registre), tredjepartsinnovation (virksomheder og civiltekniske udviklere, der bygger tjenester oven på offentlige data, det offentlige selv aldrig vil bygge) og bedre offentlige beslutninger andetsteds i økonomien, alt sammen uden at det offentliggørende organ skal forudse hver brug på forhånd.

Re-identifikation er processen at matche formodet anonymiserede data mod anden tilgængelig information for at regne ud, hvilken rigtig person en registrering beskriver, og det er det centrale tekniske faktum, der gør privatlivsspændingen i dette emne uundgåelig frem for blot ubelejlig (se data-re-identifikation). At fjerne et navn, eller en åbenlys identifikator som et cpr-nummer eller socialsikringsnummer, fjerner ikke risikoen: en kombination af kvasi-identifikatorer som alder, postnummer og en sjælden medicinsk tilstand kan entydigt identificere nogen selv i et datasæt, der aldrig navngav dem, især når det krydsrefereres mod et andet, separat offentligt datasæt. K-anonymitet er én formel måde at ræsonnere om denne risiko: et datasæt opfylder k-anonymitet, hvis hver kombination af kvasi-identificerende felter, det indeholder, deles af mindst et defineret antal, k, registreringer, så ingen enkelt række kan isoleres til færre end k mulige personer (se k-anonymitet). Differentiel privatliv er en nyere, matematisk stringent tilgang, der tilføjer omhyggeligt kalibreret statistisk støj til et datasæt eller til resultaterne af forespørgsler mod det, så tilstedeværelsen eller fraværet af en enkelt persons registrering ændrer det offentliggjorte output med kun et afgrænset, bevisligt beløb, uanset hvad en angriber allerede ved (se differentiel privatliv). Privatliv ved design er det bredere princip, at privatlivsbeskyttelse bør bygges ind i et systems arkitektur fra begyndelsen, som en standardindstilling, frem for at klistres på som et redigeringstrin lige før offentliggørelse (se privatliv ved design); at redigere åbenlyse identifikatorer bagefter er den svageste form for denne disciplin, ikke en erstatning for den.

Bedste praksis

1. Navngiv en ansvarlig steward for hvert datasæt, der betyder noget, ikke kun et centralt dataagentur. Et dataagentur kan fastsætte standarder, men kan ikke vide, om et specifikt felt i et specifikt system stadig betyder det, det blev defineret til at betyde; den dømmekraft tilhører nogen tæt på dataenes faktiske brug.
2. Offentliggør åbent som standard, og dokumentér den specifikke grund, når du ikke gør. At vende standarden – at kræve en begrundelse for at tilbageholde frem for en begrundelse for at offentliggøre – bringer ægte følsomheder frem til individuel gennemgang i stedet for at lade forsigtighed gælde vilkårligt for alt.
3. Vedtag et eksisterende, fælles skema, før du designer et nyt. En skræddersyet datastruktur, der passer perfekt til ét projekt og matcher intet andet i det offentlige, garanterer en fremtidig integrationsomkostning; tjek, hvad din sektor, jurisdiktion eller et internationalt standardiseringsorgan allerede har offentliggjort, før du bygger dit eget.
4. Design vedvarende, velstyrede unikke identifikatorer, før et system går i drift, ikke efter. At eftermontere et identifikatorskema på registreringer, der har ophobet sig i årevis under inkonsistente nøgler, er dramatisk dyrere end at få designet rigtigt fra begyndelsen.
5. Byg dataudveksling gennem styrede API'er frem for engangsfiloverførsler. Et API, der håndhæver et skema, logger adgang og kan versioneres, giver dig et kontrollerbart, reviderbart interoperabilitetspunkt; et regneark e-mailet mellem afdelinger giver dig intet af det, og ingen lægger mærke til, når det bliver forældet.
6. Skriv datadelingsaftaler, der angiver formål, retligt grundlag og udløb, ikke blot den tekniske mekanisme. En aftale, der angiver, hvordan data flytter, men ikke hvorfor eller hvor længe, har tendens til at overleve det formål, der berettigede den, og stille blive tilladelse til noget, ingen eksplicit godkendte.
7. Behandl afidentificering som en risikovurdering med et restresultat, ikke en engangsredigeringsopgave. Spørg, hvilke andre offentlige eller købbare datasæt der kunne kobles mod det, du er ved at udgive, og mål re-identifikationsrisikoen mod den realistiske trusselsmodel, ikke mod en idealiseret angriber uden ekstern information.
8. Anvend differentielt privatliv eller en tilsvarende formel teknik på enhver udgivelse, der involverer små populationer eller sjældne egenskaber. Simpel undertrykkelse eller generalisering af åbenlyse identifikatorer er utilstrækkelig, når et datasæt indeholder noget usædvanligt nok til at være identificerende i sig selv, såsom en sjælden tilstand, en lille lokal befolkning eller en højværditransaktion.
9. Vedligehold et offentligt, aktuelt datakatalog med reel metadata, ikke blot en liste over filnavne. Et datasæt, en potentiel bruger ikke kan forstå godt nok til at stole på, er funktionelt uudgivet, uanset hvor tilladende dets licens er; katalogindgange bør sige, hvad et felt betyder, hvor ofte det opdateres, og hvad dets kendte begrænsninger er.
10. Mål datakvalitet mod definerede standarder efter en tilbagevendende tidsplan, og rapportér resultaterne til den, der ejer datasættet. Kvalitet, der kun tjekkes, når noget går i stykker, forfalder usynligt i lange perioder imellem; en rutinemæssig måling forvandler forfald til en synlig, håndterbar tendens.
11. Gennemgå hvert offentliggjort datasæt periodisk for fortsat offentlig værdi og fortsat risiko. Befolkninger ændrer sig, re-identifikationsteknikker forbedres, og en udgivelse, der var sikker for fem år siden, er måske ikke sikker i dag mod data, der siden er blevet nyligt tilgængelige andetsteds.
12. Adskil beslutningen om at dele eller offentliggøre data fra det tekniske team, der flytter dem. De mennesker, der er bedst placeret til at bedømme formål, proportionalitet og privatlivsrisiko, er sjældent de samme som dem, der er bedst placeret til at bygge pipelinen, og at slå de to roller sammen efterlader den sværere dømmekraft underundersøgt.

Spørgsmål at drøfte med dit team

Ved vi, hvilket system der holder den autoritative registrering for hver af vores centrale dataentiteter, og behandler alle det faktisk sådan? Mange organisationer har i praksis flere «sande» kopier af den samme information – en borgers adresse i faktureringssystemet, sagsbehandlingssystemet og korrespondancelogget, alle lidt forskellige og alle handlet på af nogen. Brug dette spørgsmål til at opregne jeres organisations centrale entiteter (borger, sag, ejendom, virksomhed) og identificere, ærligt, om en enkelt autoritativ kilde findes for hver, eller om medarbejdere stille har lært, hvilket system de skal stole på til hvilket formål. Drøft, hvad der skal til for at udpege og håndhæve én autoritativ kilde pr. entitet, og hvad der ville gå i stykker i overgangen. Dette er normalt billigere at rette tidligt end efter, at en alvorlig beslutning er truffet på den forkerte kopi.

Hvis en person spurgte os, hvorfor de skulle give den samme information til to dele af vores egen organisation, hvad ville vores ærlige svar være? Det ærlige svar er ofte «fordi vores systemer ikke kan udveksle den», hvilket er et interoperabilitetssvigt klædt ud som et proceskrav. Brug dette spørgsmål til at vælge ét serviceforløb, der spænder over mere end ét team eller system, og spore, trin for trin, hvor det samme faktum indfanges mere end én gang. Drøft, om den gentagne anmodning beskytter noget ægte – et friskt samtykke, et verifikationstrin – eller blot er fraværet af en datadelingsaftale eller et fælles skema. Overvej, hvad det ville koste, i borgertillid såvel som personaletid, at lade det være uløst i endnu et år.

Hvor ville en målbevidst journalist eller forsker mest plausibelt re-identificere nogen i et datasæt, vi i øjeblikket kalder anonymiseret? De fleste organisationer, der udgiver afidentificerede data, har ikke stresstestet dem mod en realistisk kombination af kvasi-identifikatorer og andre offentlige datasæt. Brug dette spørgsmål til at vælge jeres højest-risiko offentliggjorte eller snart-offentliggjorte datasæt og gennemgå, hvilken anden information – en lokal nyhedsrapport, en anden myndigheds åbne datasæt, et offentligt register – der plausibelt kunne kobles mod det. Drøft, om jeres nuværende afidentificeringstilgang (undertrykkelse, generalisering eller en formel teknik som k-anonymitet eller differentielt privatliv) faktisk ville modstå den kombination, og hvem der er ansvarlig for at gentage testen, efterhånden som nye eksterne data bliver tilgængelige.

Hvem har i øjeblikket myndighed til at sige, at et datasæt ikke skal offentliggøres, og er vi trygge ved, at den myndighed bruges af de rigtige grunde? En åben-som-standard-politik har stadig brug for en troværdig, velbegrundet undtagelsesproces, og den person, der udøver den, bør være identificerbar og ansvarlig. Brug dette spørgsmål til at tjekke, om tilbageholdelsesbeslutninger i jeres organisation træffes af en navngiven rolle mod dokumenterede kriterier eller uformelt, af den der tilfældigvis bliver spurgt og tager forsigtighedens parti. Drøft, om jeres tilbageholdelsesrate ligner omhyggelig sag-for-sag-dømmekraft eller et stående institutionelt reflex, og hvad en periodisk ekstern gennemgang af tilbageholdte datasæt måske ville afsløre.

Bliver vores datadelingsaftaler mellem myndigheder stadig brugt til det formål, de blev skrevet til? Formålsbegrænsning er let at angive i en aftale og let at erodere stille i praksis, især når et datasæt viser sig nyttigt til noget, dets oprindelige underskrivere aldrig forudså. Brug dette spørgsmål til at vælge to-tre levende datadelingsordninger mellem myndigheder og tjekke den faktiske nuværende brug mod det skrevne formål og udløbsdatoen. Drøft, hvilket styringstrin der mangler, hvis et misforhold dukker op, og hvem der bør være ansvarlig for at fange den slags drift, før en ekstern audit eller en journalist gør.

Hvis vores interoperabilitets- eller datastandarder blev en barriere for en legitim ny brug af vores data, ville vi så finde ud af det før eller efter, det forvoldte reel skade? Standarder, der var fornuftige, da de blev vedtaget, kan forstenes til forhindringer, efterhånden som behov og teknologi ændrer sig, og organisationer bygger sjældent en mekanisme ind til at bemærke, at det sker med deres egne regler. Brug dette spørgsmål til at drøfte, hvordan jeres organisation i øjeblikket gennemgår, om dens datastandarder, identifikatorskemaer eller delingsprocesser stadig tjener deres formål, frem for blot at være arvet og ubestridt. Overvej, om de mennesker, der ville bemærke, at en standard er blevet en forhindring – frontpersonale, partnerorganisationer, eksterne udviklere der bruger jeres åbne data – har en reel kanal til at rejse det, og om den kanal nogensinde faktisk har ændret en standard.

I praksis: et eksempel på offentlig værdi

En regional socialforvaltning og en separat regional sundhedsmyndighed – fiktive, illustrative for et mønster frem for en rapport om noget reelt organ – havde brugt et årti på at køre uforenelige sagsbehandlingssystemer, så en familie kendt af begge kunne registreres under forskellige referencenumre, uden pålidelig måde at fortælle myndighedspersonale, at den husstand, der optrådte i en boligstøttesagsmængde, var den samme husstand, der optrådte i en pædiatrisk opsøgende sagsmængde. Et fælles program til at identificere børn i risiko for at falde gennem hullet mellem de to tjenester gik gentagne gange i stå, ikke af mangel på politisk vilje, men fordi ingen kunne frembringe et enkelt, pålideligt kombineret billede af, hvilke familier der havde brug for begge former for støtte.

De to myndigheder vedtog til sidst en fælles husstandsidentifikator og et fælles skema for de felter, begge systemer havde brug for at udveksle, bygget gennem et styret API frem for de periodiske regnearkseksporter, hver havde støttet sig til tidligere, under en datadelingsaftale, der navngav det specifikke formål – at koordinere støtte til husstande i risiko – og krævede årlig gennemgang. Inden for et år kunne sagsbehandlere på begge sider for første gang se, hvilke familier der var kendt af den anden tjeneste, og fælles sagskonferencer, der tidligere havde støttet sig til manuel krydskontrol, blev rutine. Myndighederne gik derefter videre og offentliggjorde et aggregeret, områdeniveau åbent datasæt, der viste antallet af husstande, der modtog kombineret støtte, pr. distrikt, beregnet til at hjælpe lokale velgørende organisationer med at målrette deres egen opsøgende indsats og lade valgte rådsmedlemmer se, om det fælles program nåede de områder, det var designet til.

En lokal dataretsforkæmper, der arbejdede sammen med en universitetsforsker, opdagede, at de offentliggjorte distriktsniveautal kunne krydsrefereres mod et separat offentliggjort, lige så velment åbent datasæt fra den lokale transportmyndighed – der viste ansøgninger om subsidieret billetpris pr. lille område – til at indsnævre nogle distrikter til husstandsantal så små, at specifikke familier plausibelt kunne identificeres, især i tyndt befolkede landdistrikter, hvor begge datasæt talte enkeltcifrede antal husstande. Intet af datasættene alene var afslørende; kombineret, i de mindst befolkede områder, var de. Myndighedernes første instinkt, at trække det åbne datasæt helt tilbage, ville have ødelagt den ansvarligheds- og velgørenhedsmålretningsværdi, det allerede var begyndt at levere. I stedet genudgav de, sammen med den samme forkæmper, datasættet med en differentiel-privatlivstilgang, der tilføjede kalibreret støj til små tal, hvilket bevarede dets nytte til at få øje på brede regionale mønstre, mens det gjorde ethvert enkelt lavbefolket distrikts sande tal usikkert nok til at besejre det krydsrefereringsangreb, der havde afsløret den oprindelige udgivelse. Episoden blev den casestudie, myndighederne brugte i deres egen efterfølgende personaleuddannelse, for hvorfor afidentificering skal vurderes mod, hvad andet der er offentligt tilgængeligt, ikke mod datasættet isoleret.

Fire sektorlinser

Lokal forvaltning

En lokal myndighed kører typisk flere forskellige, ældre og mindre integrerede systemer pr. betjent beboer end et nationalt organ, fordi årtiers individuelt indkøbte afdelingssystemer – bolig, planlægning, affald, social omsorg – sjældent blev bygget til at dele data med hinanden. Det gør interoperabilitet til en reel intern kamp, før den nogensinde er en ekstern: en beboer, der interagerer med tre kommunale afdelinger i én uge, kan finde, at ingen af dem kan se, hvad de andre allerede ved. Lokale åbne data har imens en usædvanligt direkte borgerlig værdi – affaldsindsamlingsskemaer, planlægningsansøgninger, lokale udgifter – fordi beboere og lokale journalister engagerer sig i dem på et specificitetsniveau, nationale datasæt sjældent tilbyder, hvilket hæver indsatsen for at få metadata og opdateringsfrekvens rigtige selv for beskedne, hverdagsagtige datasæt.

National forvaltning

Nationale regeringer driver typisk det fyldigste udvalg af datastyrings- og interoperabilitetsinstrumenter – en national datastrategi, tværoffentlige identifikatorskemaer, påbudte åbne dataportaler og dedikerede databeskyttelsestilsyn – men det store antal legacy-systemer akkumuleret over årtier og administrationer gør teknisk interoperabilitet til en vedvarende, dyr baggrundsopgave frem for et engangsprojekt. Nationale åbne dataprogrammer bærer uforholdsmæssig re-identifikationsrisiko netop fordi nationale datasæt er store nok til at være ægte værdifulde og detaljerede nok, når de kobles mod andre nationale registre, til at identificere individer; de nationale datastrategidokumenter, flere regeringer nu offentliggør, navngiver i stigende grad privatlivsbevarende offentliggørelsesteknikker eksplicit, frem for at behandle afidentificering som en implementeringsdetalje under politikbemærkning.

Den sociale sektor og nonprofit

En nonprofitorganisation eller ikke-statslig organisation (NGO) er sjældent underlagt et åbne data-mandat, men den møder i stigende grad en parallel forventning fra finansieringsgivere, tilsynsmyndigheder og offentligheden om, at programdata deles gennemsigtigt, og den arbejder ofte med befolkninger – overlevende efter vold, mennesker i akut fattigdom, papirløse beboere – for hvem re-identifikationsrisiko bærer en langt højere personlig omkostning end typisk for den almene befolkning i et offentligt datasæt. Datadelingsaftaler betyder uforholdsmæssigt meget her, fordi en nonprofitorganisation hyppigt deler klientdata med offentlige finansieringsgivere eller partnerorganisationer under kontrakter, den ikke selv skrev, og den har brug for kapacitet til at forhandle formålsbegrænsning frem for blot at acceptere de datadelingsvilkår, der er knyttet til finansiering. Interoperabilitetsstandarder vedtaget af større offentlige eller filantropiske finansieringsgivere kan være en reel byrde for en lille organisations begrænsede tekniske kapacitet, hvilket er en reel omkostning værd at navngive frem for at behandle standardvedtagelse som omkostningsfri.

Multilateral og international

Multilaterale organer aggregerer data på tværs af medlemsstater med vidt forskellig styringsmodenhed, statistisk kapacitet og retlige regimer for privatliv, hvilket gør semantisk interoperabilitet – at blive enige om, hvad et fælles felt faktisk betyder – til et vedvarende diplomatisk såvel som teknisk problem; et begreb så grundlæggende som «husstand» eller «arbejdsløs» er defineret forskelligt nok på tværs af lande til, at internationale statistiske organer vedligeholder hele standarder, såsom formatet Statistical Data and Metadata Exchange (SDMX), udelukkende for at gøre tværnationale data reelt sammenlignelige. Åbne data på dette niveau fungerer som et særligt klart kollektivt gode i den forstand, der er fremlagt i Emne 1.4 — Kollektive goder, meritgoder og værdipluralisme, fordi ingen enkelt medlemsstat har incitament til selv at finansiere et globalt sammenlignende datasæt, men hver stat og forsker har gavn, når et multilateralt organ udgiver et. Bekymringer om datasuverænitet løber dybere her end i en énlands-kontekst: en medlemsstat kan modsætte sig at dele data, den er juridisk berettiget til at tilbageholde, eller kan bestride, hvordan et multilateralt organ har klassificeret eller aggregeret dens egne nationale tal, hvilket gør styringsspørgsmålet om, hvem der kontrollerer en fælles statistik, lige så konsekvensfuldt som det tekniske spørgsmål om, hvordan den udveksles.

Almindelige fejlmønstre

Stille datasiloer. Systemer akkumuleres uafhængigt på tværs af en organisation uden fælles identifikator eller skema, og omkostningen forbliver skjult, indtil en specifik sag – et beskyttelsessvigt, en audit, et tjenestenedbrud – kræver et kombineret billede, der viser sig umuligt at frembringe hurtigt, hvorefter siloens omkostning bliver synlig på én gang og dyr at rette under pres.

Anonymiseringsteater. Et datasæt får fjernet navne og åbenlyse identifikatorer og behandles derefter som sikkert at offentliggøre uden nogen vurdering af kvasi-identifikatorer eller koblingsrisiko mod andre tilgængelige data. Omkostningen viser sig, ofte offentligt og pinligt, når en forsker, journalist eller forkæmper påviser, at re-identifikation er mulig, hvorefter organisationens troværdighed på privatliv er skadet langt ud over det specifikke datasæt.

Styring uden en ejer. Datastyringspolitik findes på papiret, men ingen specifik person er ansvarlig for noget specifikt datasæts kvalitet eller aktualitet, så standarder forfalder stille, og ingen bemærker det, før dataene bruges til en beslutning, de ikke faktisk kan understøtte. Dette er et særligt almindeligt svigt, fordi politikdokumentet selv ser komplet ud og maskerer fraværet af nogen faktisk ansvarlig under det.

Interoperabilitet ved påbud, uden ressourcer. Et fælles skema eller identifikatorskema påbydes centralt, men finansieres aldrig til de teams, der forventes at vedtage det, så overholdelse bliver en afkrydsningsøvelse – et felt teknisk til stede men ikke ordentligt udfyldt – frem for ægte, brugbar interoperabilitet. Omkostningen er en falsk følelse af, at en fælles standard findes, opdaget først når nogen faktisk forsøger at støtte sig til de data, den skulle standardisere.

Åbenhedsvask. En organisation offentliggør dashboards og opsummerende visualiseringer og kalder det åbne data, mens det underliggende maskinlæsbare datasæt, en tredjepart ville have brug for til at bygge noget nyt, forbliver uudgivet eller udgives i et format, ingen praktisk kan genbruge. Dette indfanger skinnet af gennemsigtighed og åbenhed beskrevet i Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet uden dens substans, og det forveksles ofte med et ægte åbne data-program, fordi dashboardet ser imponerende ud.

Modenhedsmodel

Tjekliste

• Identificér det autoritative kildesystem for hver af din organisations centrale dataentiteter.
• Bekræft, at hvert datasæt, der væsentligt betyder noget, har en navngiven, ansvarlig steward.
• Tjek, om et fælles skema eller en standard allerede findes til et nyt dataprojekt, før du designer et skræddersyet.
• Gennemgå dit design af unikke identifikatorer for vedvarenhed og konsistens på tværs af de systemer, der bruger dem.
• Erstat mindst én tilbagevendende manuel eller regnearksbaseret dataudveksling med et styret API.
• Bekræft, at hver aktiv datadelingsaftale mellem myndigheder angiver sit formål, retlige grundlag og udløb og matcher den aktuelle faktiske brug.
• Kør en re-identifikationsrisikovurdering, herunder plausibel kobling mod andre offentlige datasæt, før du offentliggør et datasæt, der involverer personoplysninger.
• Anvend en formel privatlivsbevarende teknik, såsom k-anonymitet eller differentielt privatliv, på enhver udgivelse, der involverer små populationer eller sjældne egenskaber.
• Bekræft, at dit åbne datakatalog indeholder reel, aktuel metadata, ikke blot filnavne.
• Gennemgå tidligere offentliggjorte datasæt mod nyligt tilgængelige eksterne data for opstående re-identifikationsrisiko.
• Bekræft, at tilbageholdelsesbeslutninger træffes af en navngiven, ansvarlig rolle mod dokumenterede kriterier.
• Stil dit team de seks drøftelsesspørgsmål ovenfor og registrér, hvor det ærlige svar afviger fra det officielle.

Centrale kilder

• International Open Data Charter, dens seks principper og dens vejledning om åben-som-standard-offentliggørelse.
• OECD Recommendation of the Council on Enhancing Access to and Sharing of Data (2021).
• US National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• US Census Bureau-materiale om disclosure avoidance og dets anvendelse af differentielt privatliv på folketællingsdata.
• Cynthia Dworks grundlæggende arbejde med at formalisere differentielt privatliv og den bredere akademiske litteratur om statistisk disclosure control.
• Mark H. Moores strategiske trekant og den kollektive goder-logik fremlagt i Emne 1.4 — Kollektive goder, meritgoder og værdipluralisme, som den ramme dette emne bygger på.

Henvisninger

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/