Andmed, koostalitlusvõime ja avaandmed avalikus sektoris

Miks see avaliku väärtuse jaoks oluline on

Iga avalik organ hoiab juba rohkem andmeid, kui ta hästi kasutab. Maksuamet, haiglavõrk, transpordiamet ja kohalik planeerimisbüroo koguvad igaüks teavet teenuse käitamise kõrvalproduktina ning igaüks avastab, tavaliselt liiga hilja, et kirje, mida ta vajab kodaniku küsimusele vastamiseks või vaidluse lahendamiseks, asub süsteemis, mida keegi teine organisatsioonis ei saa päringuga leida. Kulu ei ole abstraktne: kodanik, kes on juba ühele asutusele oma aadressi öelnud, ei peaks seda uuesti ütlema teisele asutusele sama valitsuse sees.

Selle teema pealkirja sees asuvad kaks eraldi püüdlust ja avalikud organid ajavad neid rutiinselt segi. Esimene on koostalitlusvõime – andmete usaldusväärne liikumine süsteemide vahel, mida erinevad meeskonnad ja tehnoloogiaajastud on sõltumatult ehitanud, nii et üks osa valitsusest saab tegutseda selle põhjal, mida teine osa juba teab. Teine on avatus – andmete avaldamine täiesti väljaspool valitsust, nii et ajakirjanikud, teadlased ja kodanikud saavad neid kasutada eesmärkidel, mida avaldav organ ei näinud ette. Koostalitlusvõime on enamasti inseneri- ja juhtimisprobleem; avatus on avalik väärtus omaette, samast perekonnast kui teemas 1.4 kirjeldatud avalikud hüved (vt Teema 1.4 — Avalikud hüved, teeneshüved ja väärtuspluralism), sest avaldatud andmed on mittekonkureerivad ja kedagi on pärast väljalaskmist raske välistada, nii et turg üksi pakuks neid liiga vähe.

Mõlemad püüdlused põrkuvad kolmanda faktiga, mida see teema käsitleb tõelise, lahendamata pingena, mitte puhta vastusega probleemina: piisavalt üksikasjalikud andmed, et olla kasulikud, on sageli piisavalt üksikasjalikud, et tuvastada üksikisikut, keda nad kirjeldavad, isegi pärast nimede ja ilmsete identifikaatorite eemaldamist. Valitsus, mis avaldab rikkalikult, ja valitsus, mis kaitseb oma kirjetes olevaid inimesi hästi, tõmbavad erinevates suundades sama hoova külge, ning kasvav isu andmete järele algoritmiliste süsteemide treenimiseks ja hindamiseks (vt Teema 5.2 — Tehisintellekt ja algoritmiline otsustamine avalikus sektoris) on tõstnud panuseid, sest rohkem osalejaid kui kunagi varem tahab avalikke andmeid täpselt sellises detailsuses, mis teeb nende väljalaskmise kõige riskantsemaks. Juht, kes käsitleb juhtimist, koostalitlusvõimet ja avatust ühe probleemina, millel on privaatsus püsiva piiranguna, on selle teema väärtuse haaramiseks paremas seisus kui see, kes käsitleb igaüht isoleeritult.

Põhimõisted

Andmejuhtimine on otsustusõiguste, standardite ja vastutuste kogum, mis määrab, kes tohib organisatsiooni andmeid luua, muuta, nendele juurde pääseda ja neid pensionile saata ning millise kvaliteedistandardi juures neid tuleb hoida (vt andmejuhtimine). See erineb andmehaldusest, mis on operatiivne töö andmete päevast päeva liigutamiseks ja säilitamiseks; juhtimine otsustab reeglid, haldus täidab neid. Avalikul organil ilma andmejuhtimiseta on endiselt andmeid, kuid keegi ei saa kindlalt öelda, milline koopia kodaniku kirjest on autoriteetne või kes vastutab, kui see kirje osutub valeks.

Andmehoidja (data steward) on nimetatud isik või roll, kes vastutab konkreetse andmekogumi kvaliteedi, määratluse ja sobiva kasutuse eest, erinevalt tehnilistest töötajatest, kes käitavad süsteeme, milles see asub (vt andmehoidja). Hoidmine loeb, sest andmete kvaliteet laguneb vaikimisi: väli, mille eest keegi ei vastuta, kogub ebajärjekindlaid kirjeid, dubleerivaid kirjeid ja vaikset triivi selle vahel, mida väli peab tähendama, ja selle vahel, mida töötajad sinna tegelikult panevad. Andmehoidja määramine andmekogumile muudab andmete kvaliteedi aeg-ajalt toimuvast puhastusharjutusest pidevaks, nimetatud vastutuseks.

Koostalitlusvõime on sõltumatult ehitatud süsteemide suutlikkus andmeid vahetada ja neid õigesti kasutada ilma erijuhtumi, ühekordse inseneritööta iga kaasatud süsteemipaari jaoks (vt koostalitlusvõime). See toimib kolmel tasandil, mida on lihtne segi ajada: tehniline koostalitlusvõime (kas süsteemid saavad üldse ühenduda ja baite liigutada, tavaliselt rakendusliidese ehk API kaudu, mis on määratletud viis, kuidas üks tarkvara küsib teiselt andmeid või tegevust – vt rakendusliides); semantiline koostalitlusvõime (kas mõlemad süsteemid mõtlevad jagatud välja all sama asja, näiteks „leibkond" või „aktiivne juhtum"); ja organisatsiooniline koostalitlusvõime (kas kaks organisatsiooni nõustuvad, miks andmeid jagatakse ja kes vastutab selle eest, mis juhtub edasi). Enamik kulukaid koostalitlusvõime ebaõnnestumisi juhtub semantilisel või organisatsioonilisel tasandil, isegi kui tehniline ühendus töötab täiuslikult.

Ühine skeem ehk andmestandard on kokku lepitud, avaldatud struktuur selle kohta, kuidas andmekategooriat esitatakse – väljanimed, vormingud, ühikud ja lubatud väärtused –, mille on vastu võtnud rohkem kui üks süsteem või organisatsioon, nii et ühe toodetud andmeid saab teine tarbida ilma käsitsi tõlkimiseta. Valitsusorganid, kes võtavad kasutusele jagatud skeemi millegi nii lihtsa kui aadress või juhtumi staatus jaoks, muudavad kümneid potentsiaalseid kahepoolseid tõlkeprobleeme üheks standardiks, mida iga uus süsteem saab lihtsalt rakendada. Unikaalne identifikaator, mis püsib süsteemide vahel ja aja jooksul – juhtumi number, ettevõtte registreerimisnumber, kodaniku viide –, on konkreetne mehhanism, mis laseb sama isiku või olemi kirjeid õigesti siduda, ja identifikaatori kavandamise valesti tegemine (numbrite taaskasutamine, vormingute muutmine või üldse mitte omamine) on üks levinumaid, vältitavaid koostalitlusvõime ebaõnnestumise põhjuseid.

Metaandmed on andmed andmete kohta – andmekogumi struktuuri, päritolu, uuendussageduse ja tähenduse kirjeldus, avaldatud koos andmetega endiga, nii et kasutaja, kes seda ei loonud, saab sellest aru ja seda usaldada (vt metaandmed). Piisavate metaandmeteta avaldatud andmekogum on peaaegu kasutamatu kellelegi peale meeskonna, kes selle tootis, olenemata sellest, kui avatud on selle litsents; metaandmed on see, mis muudab failivirna millekski, mida kolmas osapool saab tegelikult taaskasutada.

Andmejagamise leping on ametlik kokkulepe asutuste vahel või avaliku organi ja välispartneri vahel, mis täpsustab otstarbe, milleks andmeid võib kasutada, õigusliku aluse nende jagamiseks, kui kaua neid võib säilitada ja mis juhtub, kui otstarve muutub. Otstarbe piiramine – jagatud andmete kasutamise piiramine otstarbega, milleks neid koguti või jagati – on distsipliin, mis hoiab andmejagamise lepingul muutumast piiramatuks litsentsiks isikuandmete ümberkasutamiseks, ja selle puudumine on korduv teema asutustevahelisi andmeid hõlmavates avaliku usalduse ebaõnnestumistes.

Avaandmed on andmed, mis tehakse vabalt kättesaadavaks igaühele juurdepääsuks, kasutamiseks ja edasi levitamiseks mis tahes eesmärgil, tavaliselt masinloetavad ja välja antud litsentsi all, mis lubab taaskasutust, mitte ainult vaatamist (vt avaandmed). Selle avaliku väärtuse juhtum järgib teemas 1.4 esitatud avaliku hüve loogikat (vt Teema 1.4 — Avalikud hüved, teeneshüved ja väärtuspluralism): kui andmekogum on avaldatud, ei vähenda ühe isiku kasutus teise oma, ja valitsus on sageli ainus osaleja, kellel on nii õiguslik seisus kui ka mastaap seda esmalt koguda ja avaldada, nii et erasektori turud üksi pakuvad seda laadi teavet krooniliselt liiga vähe. Avaandmed võimaldavad vastutust (ajakirjanikud ja kodanikud kontrollivad valitsuse enda väiteid selle enda kirjete vastu), kolmanda osapoole innovatsiooni (ettevõtted ja kodanikutehnoloogid ehitavad teenuseid avalike andmete peale, mida valitsus ise ei ehita kunagi) ja paremaid avalikke otsuseid mujal majanduses, kõik ilma et avaldav organ peaks igat kasutust ette ennustama.

Taastuvastamine (re-identification) on protsess, millega nõrgalt anonüümitud andmeid võrreldakse muu kättesaadava teabega, et välja selgitada, millist tegelikku isikut kirje kirjeldab, ja see on keskne tehniline fakt, mis teeb selle teema privaatsuspinge vältimatuks, mitte lihtsalt ebamugavaks (vt andmete taastuvastamine). Nime või ilmse identifikaatori, nagu riiklik kindlustus- või sotsiaalkindlustusnumber, eemaldamine ei eemalda riski: kvaasi-identifikaatorite, nagu vanus, postiindeks ja haruldane meditsiiniline seisund, kombinatsioon võib kedagi unikaalselt tuvastada isegi andmekogumis, mis teda kunagi ei nimetanud, eriti kui seda võrrelda teise, eraldi avaliku andmekogumiga. K-anonüümsus on üks ametlik viis selle riski üle arutlemiseks: andmekogum rahuldab k-anonüümsust, kui iga selle sisalduv kvaasi-identifitseerivate väljade kombinatsioon on jagatud vähemalt määratletud arvu, k, kirjete poolt, nii et ühtegi rida ei saa isoleerida vähema kui k võimaliku inimeseni (vt k-anonüümsus). Diferentsiaalne privaatsus on uuem, matemaatiliselt range lähenemine, mis lisab andmekogumile või selle vastu tehtud päringute tulemustele hoolikalt kalibreeritud statistilist müra, nii et ühegi üksikisiku kirje olemasolu või puudumine muudab avaldatud väljundit ainult piiratud, tõestatava koguse võrra, olenemata sellest, mida ründaja juba teab (vt diferentsiaalne privaatsus). Privaatsus kavandi järgi (privacy by design) on laiem põhimõte, et privaatsuskaitse tuleks süsteemi arhitektuuri algusest peale sisse ehitada vaikeseadena, mitte lisada redigeerimissammuna vahetult enne avaldamist (vt privaatsus kavandi järgi); ilmsete identifikaatorite tagantjärele redigeerimine on selle distsipliini nõrgim vorm, mitte selle asendaja.

Parimad tavad

1. Nimetage vastutav andmehoidja iga olulise andmekogumi jaoks, mitte ainult keskne andmeamet. Andmeamet saab seada standardeid, kuid ei saa teada, kas konkreetne väli konkreetses süsteemis tähendab endiselt seda, mida see pidi tähendama; see otsustus kuulub kellelegi andmete tegeliku kasutuse lähedal.
2. Avaldage vaikimisi avatult ja dokumenteerige konkreetne põhjus, kui te seda ei tee. Vaikimisi pööramine – nõudes põhjendust tagasihoidmiseks, mitte avaldamiseks – toob tõelised tundlikkused üksikuks ülevaatuseks esile, selle asemel et lasta ettevaatlikkusel kõikjale piiramatult rakenduda.
3. Võtke kasutusele olemasolev, jagatud skeem enne uue kavandamist. Eritellimusel andmestruktuur, mis sobib ühele projektile täiuslikult ja ei vasta millelegi muule valitsuses, garanteerib tulevase integratsioonikulu; kontrollige, mida teie sektor, jurisdiktsioon või rahvusvaheline standardiorganisatsioon on juba avaldanud, enne kui ehitate oma.
4. Kavandage püsivad, hästi juhitud unikaalsed identifikaatorid enne süsteemi käivitamist, mitte pärast. Identifikaatoriskeemi järelpaigaldamine kirjetele, mis on aastaid kogunenud ebajärjekindlate võtmete all, on dramaatiliselt kallim kui kavandi õigeks tegemine algusest peale.
5. Ehitage andmevahetus juhitud API-de kaudu, mitte ühekordsete failiülekannetega. API, mis jõustab skeemi, logib ligipääsu ja mida saab versioneerida, annab teile kontrollitava, auditeeritava koostalitlusvõime punkti; osakondade vahel e-postiga saadetud arvutustabel ei anna teile midagi neist ja keegi ei märka, kui see aegub.
6. Kirjutage andmejagamise lepingud nii, et need täpsustavad otstarbe, õigusliku aluse ja aegumise, mitte ainult tehnilise mehhanismi. Kokkulepe, mis täpsustab, kuidas andmed liiguvad, kuid mitte miks või kui kauaks, kipub elama üle otstarbe, mis seda õigustas, ja vaikselt muutuma loaks millegi jaoks, mida keegi selgesõnaliselt ei volitanud.
7. Käsitlege anonüümimist riskihindamisena jääktulemusega, mitte ühekordse redigeerimisülesandena. Küsige, millised teised avalikud või ostetavad andmekogumid võiksid olla seotud sellega, mida te avaldamas olete, ja mõõtke taastuvastamise riski selle realistliku ohumudeli vastu, mitte ideaalse ründaja vastu, kellel pole välist teavet.
8. Rakendage diferentsiaalset privaatsust või samaväärset ametlikku tehnikat igale väljalaskele, mis hõlmab väikeseid elanikkondi või haruldasi tunnuseid. Ilmsete identifikaatorite lihtne mahasurumine või üldistamine ei piisa, kui andmekogum sisaldab midagi piisavalt ebatavalist, et olla iseenesest tuvastav, näiteks haruldane seisund, väike kohalik elanikkond või suure väärtusega tehing.
9. Hoidke avalikku, ajakohast andmekataloogi päris metaandmetega, mitte ainult failinimede loendit. Andmekogum, mida potentsiaalne kasutaja ei mõista piisavalt hästi, et seda usaldada, on funktsionaalselt avaldamata, olenemata sellest, kui lubav on selle litsents; kataloogikirjed peaksid ütlema, mida väli tähendab, kui sageli see uueneb ja millised on selle teadaolevad piirangud.
10. Mõõtke andmete kvaliteeti määratletud standardite vastu korduval ajakaval ja andke tulemustest aru andmekogumi omanikule. Kvaliteet, mida kontrollitakse ainult siis, kui miski puruneb, laguneb vahepeal pikkade perioodide jooksul nähtamatult; rutiinne mõõtmine muudab lagunemise nähtavaks, hallatavaks suundumuseks.
11. Vaadake iga avaldatud andmekogum perioodiliselt üle jätkuva avaliku väärtuse ja jätkuva riski osas. Elanikkonnad muutuvad, taastuvastamise tehnikad paranevad ja väljalase, mis oli viis aastat tagasi ohutu, ei pruugi täna olla ohutu andmete vastu, mis on vahepeal mujal äsja kättesaadavaks muutunud.
12. Eraldage otsus andmeid jagada või avaldada meeskonnast, mis neid liigutab. Inimesed, kes on kõige paremas seisus otstarbe, proportsionaalsuse ja privaatsusriski hindamiseks, on harva samad inimesed, kes on kõige paremas seisus andmetorustiku ehitamiseks, ja kahe rolli kokku kukutamine ühte jätab raskema otsustuse alauuritud.

Küsimused arutamiseks oma meeskonnaga

Kas me teame, milline süsteem hoiab autoriteetset kirjet iga meie põhiandmete olemi jaoks, ja kas kõik seda ka nii käsitlevad? Paljudel organisatsioonidel on praktikas mitu „tõest" koopiat samast teabest – kodaniku aadress arveldussüsteemis, juhtumikorralduse süsteemis ja kirjavahetuse logis, kõik veidi erinevad ja kõigi põhjal tegutseb keegi. Kasutage seda küsimust, et loetleda oma organisatsiooni põhiolemid (kodanik, juhtum, kinnisvara, ettevõte) ja tuvastada ausalt, kas igaühe jaoks on olemas üks autoriteetne allikas või on töötajad vaikselt õppinud, millist süsteemi mis otstarbeks usaldada. Arutage, mida oleks vaja ühe autoriteetse allika määramiseks ja jõustamiseks olemi kohta ning mis üleminekul katki läheks. Seda on tavaliselt odavam varakult parandada kui pärast seda, kui tõsine otsus on tehtud vale koopia põhjal.

Kui inimene küsiks meilt, miks ta pidi sama teabe andma meie enda organisatsiooni kahele osale, mis oleks meie aus vastus? Aus vastus on sageli „sest meie süsteemid ei saa seda vahetada", mis on koostalitlusvõime ebaõnnestumine, mis on riietatud protsessinõudeks. Kasutage seda küsimust, et valida üks teenusetee, mis hõlmab rohkem kui ühte meeskonda või süsteemi, ja jälgida samm-sammult, kus sama fakti kogutakse rohkem kui üks kord. Arutage, kas korduv palve kaitseb midagi tõelist – värske nõusolek, kontrollisamm – või on see lihtsalt andmejagamise lepingu või ühise skeemi puudumine. Kaaluge, mis maksaks, kodanike usalduses sama palju kui töötajate ajas, jätta see veel üheks aastaks parandamata.

Kus võiks otsusekindel ajakirjanik või teadlane kõige tõenäolisemalt kedagi andmekogumis taastuvastada, mida me praegu anonüümseks nimetame? Enamik organisatsioone, mis avaldavad anonüümitud andmeid, ei ole neid stressitestinud kvaasi-identifikaatorite ja teiste avalike andmekogumite realistliku kombinatsiooni vastu. Kasutage seda küsimust, et valida oma kõrgeima riskiga avaldatud või peagi avaldatav andmekogum ja käia läbi, milline muu teave – kohalik uudisteartikkel, teise asutuse avaandmed, avalik register – võiks usutavalt selle vastu seotud olla. Arutage, kas teie praegune anonüümimise lähenemine (mahasurumine, üldistamine või ametlik tehnika nagu k-anonüümsus või diferentsiaalne privaatsus) peaks tegelikult selle kombinatsioonile vastu ja kes vastutab selle uuesti testimise eest, kui uusi väliseid andmeid kättesaadavaks muutub.

Kellel on praegu volitus öelda, et andmekogumit ei tohiks avaldada, ja kas me oleme kindlad, et seda volitust kasutatakse õigetel põhjustel? Vaikimisi-avatud poliitika vajab siiski usaldusväärset, hästi põhjendatud erandiprotsessi ning seda teostav isik peaks olema tuvastatav ja vastutav. Kasutage seda küsimust, et kontrollida, kas tagasihoidmise otsused teie organisatsioonis tehakse nimetatud rolli poolt dokumenteeritud kriteeriumide alusel või mitteametlikult, kelle käest juhuslikult küsitakse, ja eksides ettevaatlikkuse poole. Arutage, kas teie tagasihoidmise määr näeb välja pigem hoolika juhtumipõhise otsustusvõime või püsiva institutsionaalse refleksina ning mida võiks avaldada tagasi hoitud andmekogumite perioodiline väline ülevaatus.

Kas meie asutustevahelisi andmejagamise lepinguid kasutatakse endiselt otstarbeks, milleks need kirjutati? Otstarbe piiramist on lepingus lihtne sõnastada ja praktikas lihtne vaikselt murendada, eriti kui andmekogum osutub kasulikuks millekski, mida selle algsed allakirjutajad ei näinud ette. Kasutage seda küsimust, et valida kaks-kolm elavat asutustevahelist andmejagamise korraldust ja kontrollida tegelikku praegust kasutust kirjaliku otstarbe ja aegumiskuupäeva vastu. Arutage, milline juhtimissamm puudub, kui lahknevus ilmneb, ja kes peaks vastutama sellise triivi tabamise eest enne välist auditit või ajakirjanikku.

Kui meie koostalitlusvõime või andmestandardid muutuksid tõkkeks meie andmete seaduslikule uuele kasutusele, kas me saaksime sellest teada enne või pärast tõelist kahju? Standardid, mis olid vastuvõtmisel mõistlikud, võivad vajadusi ja tehnoloogia muutudes muutuda takistusteks ning organisatsioonid ehitavad harva sisse mehhanismi, et märgata seda juhtumas nende enda reeglitega. Kasutage seda küsimust, et arutada, kuidas teie organisatsioon praegu üle vaatab, kas selle andmestandardid, identifikaatoriskeemid või jagamisprotsessid teenivad endiselt oma eesmärki, vastandina lihtsalt pärandina saamisele ja küsimata jätmisele. Kaaluge, kas inimestel, kes märkaksid, et standard on muutunud tõkkeks – eesliini töötajad, partnerorganisatsioonid, välised arendajad, kes kasutavad teie avaandmeid –, on tõeline kanal selle tõstatamiseks ja kas see kanal on kunagi standardit tegelikult muutnud.

Praktikas: avaliku väärtuse näide

Piirkondlik sotsiaalhoolekande amet ja eraldi piirkondlik tervishoiuamet – väljamõeldud, mustri, mitte ühegi tegeliku organi aruande illustratsioon – olid kümme aastat käitanud sobimatuid juhtumikorralduse süsteeme, nii et mõlemale tuntud perekond võis olla registreeritud erinevate viitenumbrite all, ilma usaldusväärse viisita öelda ameti töötajatele, et eluasemetoetuse juhtumikoormuses ilmuv leibkond oli sama leibkond, mis ilmus lasteuuringute teavitustöö juhtumikoormuses. Ühisprogramm laste tuvastamiseks, kes võivad kahe teenuse vahelisest lõhest läbi kukkuda, takerdus korduvalt, mitte poliitilise tahte puudumise tõttu, vaid seetõttu, et keegi ei suutnud toota ühtset, usaldusväärset kombineeritud vaadet selle kohta, millised perekonnad vajasid mõlemat tüüpi tuge.

Kaks asutust võtsid lõpuks kasutusele jagatud leibkonna identifikaatori ja ühise skeemi väljade jaoks, mida mõlemad süsteemid vahetama pidid, ehitatud juhitud API kaudu, mitte perioodiliste arvutustabeli ekspordistega, millele kumbki varem toetus, andmejagamise lepingu all, mis nimetas konkreetse otstarbe – ohustatud leibkondade toetuse koordineerimine – ja nõudis iga-aastast ülevaatust. Aasta jooksul said mõlema poole juhtumikorraldajad esimest korda näha, millised perekonnad olid teisele teenusele tuntud, ning ühised juhtumikonverentsid, mis olid varem toetunud käsitsi ristkontrollile, said rutiinseks. Asutused läksid seejärel kaugemale, avaldades koondatud, piirkonnapõhise avaandmete kogumi, mis näitas kombineeritud toetust saavate leibkondade arvu ringkondade kaupa, mille eesmärk oli aidata kohalikel heategevusorganisatsioonidel oma teavitustööd sihtida ja lasta valitud volikogu liikmetel näha, kas ühisprogramm jõudis piirkondadeni, mille jaoks see oli kavandatud.

Kohalik andmeõiguste advokaat, töötades koos ülikooli teadlasega, avastas, et avaldatud ringkonnatasandi arvusid sai ristviidata eraldi avaldatud, sama heade kavatsustega avaandmete kogumiga kohalikult transpordiametilt – mis näitas soodusliiklustaotlusi väikepiirkondade kaupa –, et kitsendada mõned ringkonnad leibkondade arvudeni, mis olid piisavalt väikesed, et konkreetseid perekondi sai usutavalt tuvastada, eriti hõredalt asustatud maapiirkondades, kus mõlemad andmekogumid lugesid ühekohalist arvu leibkondi. Ei kumbki andmekogum üksi paljastanud; kombineerituna, kõige vähem asustatud piirkondades, paljastasid. Asutuste esimene instinkt, tõmmata avaandmed täielikult tagasi, oleks hävitanud vastutuse ja heategevuse sihtimise väärtuse, mida see oli juba hakanud pakkuma. Selle asemel avaldasid nad koos sama advokaadiga andmekogumi uuesti diferentsiaalse privaatsuse lähenemisega, mis lisas väikestele arvudele kalibreeritud müra, säilitades selle kasulikkuse laiade piirkondlike mustrite märkamiseks, tehes samal ajal ükskõik millise madala elanikkonnaga ringkonna tõelise arvu piisavalt ebakindlaks, et nurjata ristviitamisrünnak, mis oli algse väljalaske paljastanud. Episoodist sai juhtumiuuring, mida asutused kasutasid oma hilisemas töötajate koolituses, selle kohta, miks anonüümimist tuleb hinnata selle vastu, mis muu on avalikult kättesaadav, mitte andmekogumi vastu isolatsioonis.

Neli sektoriläätse

Kohalik omavalitsus

Kohalik omavalitsus käitab tavaliselt teenindatava elaniku kohta rohkem erinevaid, vanemaid ja vähem integreeritud süsteeme kui riiklik organ, sest aastakümneid üksikult hangitud osakondlikke süsteeme – eluase, planeerimine, jäätmed, sotsiaalhooldus – ehitati harva omavahel andmeid jagama. See teeb koostalitlusvõime tõeliselt sisemiseks lahinguks enne, kui see on kunagi väline: elanik, kes suhtleb ühel nädalal kolme volikogu osakonnaga, võib avastada, et ükski neist ei näe, mida teised juba teavad. Kohalikel avaandmetel on samal ajal ebatavaliselt otsene kodanikuväärtus – prügiveo ajakavad, planeerimistaotlused, kohalikud kulutused –, sest elanikud ja kohalikud ajakirjanikud tegelevad nendega konkreetsuse tasemel, mida riiklikud andmekogumid harva pakuvad, mis tõstab panuseid metaandmete ja uuendussageduse õigeks tegemisel isegi tagasihoidlike, igapäevaste andmekogumite puhul.

Riigivalitsus

Riigivalitsused käitavad tavaliselt andmejuhtimise ja koostalitlusvõime instrumentide täielikumat valikut – riiklik andmestrateegia, valitsusülesed identifikaatoriskeemid, kohustuslikud avaandmete portaalid ja pühendunud andmekaitseregulaatorid –, kuid aastakümnete ja administratsioonide jooksul kogunenud pärandsüsteemide hulk teeb tehnilisest koostalitlusvõimest püsiva, kalli taustaülesande, mitte ühekordse projekti. Riiklikel avaandmete programmidel on ebaproportsionaalne taastuvastamise risk just seetõttu, et riiklikud andmekogumid on piisavalt suured, et olla tõeliselt väärtuslikud, ja piisavalt üksikasjalikud, kui neid teiste riiklike registritega siduda, et üksikisikuid tuvastada; riiklikud andmestrateegia dokumendid, mida mitmed valitsused nüüd avaldavad, nimetavad üha enam selgesõnaliselt privaatsust säilitavaid avalikustamistehnikaid, mitte ei käsitle anonüümimist poliitikateate all oleva rakendusdetailina.

Sotsiaalsektor ja mittetulundussektor

Mittetulundusühingule või valitsusvälisele organisatsioonile (VVO) ei ole harva avaandmete mandaati, kuid ta seisab üha enam silmitsi paralleelse ootusega rahastajatelt, regulaatoritelt ja avalikkuselt, et programmiandmeid jagataks läbipaistvalt, ning ta töötab sageli elanikkondadega – vägivalla ellujääjad, äärmises vaesuses inimesed, dokumentideta elanikud –, kelle jaoks taastuvastamise risk kannab palju kõrgemat isiklikku kulu kui see tavaliselt üldise elanikkonna jaoks valitsuse andmekogumis. Andmejagamise lepingud loevad siin ebaproportsionaalselt, sest mittetulundusühing jagab sageli kliendiandmeid valitsuse rahastajate või partnerorganisatsioonidega lepingute alusel, mida ta ei kirjutanud, ning vajab suutlikkust pidada otstarbe piiramise üle läbirääkimisi, mitte lihtsalt aktsepteerida mis tahes andmejagamise tingimusi, mis rahastusega kaasas on. Koostalitlusvõime standardid, mille on võtnud kasutusele suuremad valitsuse või filantroopsed rahastajad, võivad olla väikese organisatsiooni piiratud tehnilisele suutlikkusele tõeline koormus, mis on tõeline kulu, mida tasub nimetada, mitte käsitleda standardite kasutuselevõttu kuluvabana.

Mitmepoolne ja rahvusvaheline

Mitmepoolsed organid koondavad andmeid liikmesriikide vahel, kellel on väga erinev juhtimisküpsus, statistiline suutlikkus ja õigusrežiimid privaatsuse osas, mis teeb semantilise koostalitlusvõime – kokkuleppimise, mida jagatud väli tegelikult tähendab – püsivalt diplomaatiliseks sama palju kui tehniliseks probleemiks; termin nii lihtne kui „leibkond" või „töötu" on määratletud riikides piisavalt erinevalt, et rahvusvahelised statistikaorganid hoiavad tervet standardeid, nagu Statistical Data and Metadata Exchange (SDMX) formaat, ainult riikidevahelise andmete tõeliseks võrreldavaks tegemiseks. Avaandmed sellel tasemel toimivad eriti selge avaliku hüvena teemas 1.4 esitatud mõttes (vt Teema 1.4 — Avalikud hüved, teeneshüved ja väärtuspluralism), sest ükski üksik liikmesriik ei ole stimuleeritud ise globaalset võrdlevat andmekogumit rahastama, kuid iga riik ja teadlane saab kasu, kui mitmepoolne organ selle avaldab. Andmesuveräänsuse mured on siin sügavamad kui ühe riigi kontekstis: liikmesriik võib vastu seista andmete jagamisele, mida tal on õigus tagasi hoida, või võib vaidlustada, kuidas mitmepoolne organ on tema enda riiklikke arve klassifitseerinud või koondanud, mis teeb juhtimisküsimuse selle kohta, kes jagatud statistikat kontrollib, sama tagajärgedega nagu tehnilise küsimuse selle kohta, kuidas seda vahetatakse.

Levinud ebaõnnestumisviisid

Vaiksed andmesiilod. Süsteemid kogunevad organisatsioonis sõltumatult ilma jagatud identifikaatori või skeemita ja kulu jääb varjatuks kuni konkreetse juhtumini – kaitse ebaõnnestumine, audit, teenuse seisak –, mis nõuab kombineeritud vaadet, mida osutub võimatuks kiiresti toota, mille hetkel siilo kulu muutub nähtavaks korraga ja surve all kalliks parandada.

Anonüümimise teater. Andmekogumi nimed ja ilmsed identifikaatorid eemaldatakse ning seejärel käsitletakse seda avaldamiseks ohutuna ilma kvaasi-identifikaatorite või seotuse riski hindamiseta teiste kättesaadavate andmete vastu. Kulu ilmneb, sageli avalikult ja piinlikult, kui teadlane, ajakirjanik või advokaat demonstreerib, et taastuvastamine on võimalik, mille hetkel organisatsiooni usaldusväärsus privaatsuse osas on kahjustatud kaugelt väljaspool konkreetset andmekogumit.

Juhtimine ilma omanikuta. Andmejuhtimise poliitika eksisteerib paberil, kuid ükski konkreetne isik ei vastuta ühegi konkreetse andmekogumi kvaliteedi või ajakohasuse eest, nii et standardid lagunevad vaikselt ja keegi ei märka enne, kui andmetele toetutakse otsuse jaoks, mida need tegelikult toetada ei suuda. See on eriti levinud ebaõnnestumine, sest poliitikadokument ise paistab täielik, varjates, et selle all pole kedagi tegelikult vastutavat.

Koostalitlusvõime mandaadiga, ilma ressurssideta. Jagatud skeem või identifikaatoriskeem on tsentraalselt kohustuslikuks tehtud, kuid kunagi ei rahastata meeskondi, kes seda omaks võtma peavad, nii et vastavusest saab linnukese harjutus – väli on tehniliselt olemas, kuid õigesti täitmata – mitte tõeline, kasutatav koostalitlusvõime. Kulu on vale tunne, et jagatud standard eksisteerib, avastatud alles siis, kui keegi proovib tegelikult toetuda andmetele, mida see pidi standardiseerima.

Avatuse pesemine (open-washing). Organisatsioon avaldab armatuurlaudu ja kokkuvõtlikke visualiseeringuid ning nimetab seda avaandmeteks, samal ajal kui aluseks olev masinloetav andmekogum, mida kolmas osapool uue ehitamiseks vajaks, jääb avaldamata või avaldatakse vormingus, mida keegi praktiliselt taaskasutada ei saa. See haarab läbipaistvuse ja avatuse välimuse, mida kirjeldatakse teemas 3.4 (vt Teema 3.4 — Vastutus, läbipaistvus ja legitiimsus), ilma selle sisuta, ja seda peetakse sageli tõeliseks avaandmete programmiks, sest armatuurlaud näeb muljetavaldav välja.

Küpsusmudel

Kontrollnimekiri

• Tuvastage autoriteetne allikasüsteem oma organisatsiooni iga põhiandmete olemi jaoks.
• Kinnitage, et igal oluliselt tähtsal andmekogumil on nimetatud, vastutav andmehoidja.
• Kontrollige, kas jagatud skeem või standard on uue andmeprojekti jaoks juba olemas, enne eritellimusliku kavandamist.
• Vaadake üle oma unikaalse identifikaatori kavand püsivuse ja järjepidevuse osas süsteemide vahel, mis seda kasutavad.
• Asendage vähemalt üks korduv käsitsi või arvutustabelipõhine andmevahetus juhitud API-ga.
• Kinnitage, et iga aktiivne asutustevaheline andmejagamise leping täpsustab oma otstarbe, õigusliku aluse ja aegumise ning ühtib praeguse tegeliku kasutusega.
• Viige läbi taastuvastamise riskihindamine, sealhulgas usutav seotus teiste avalike andmekogumitega, enne iga isikuandmeid hõlmava andmekogumi avaldamist.
• Rakendage ametlikku privaatsust säilitavat tehnikat, nagu k-anonüümsus või diferentsiaalne privaatsus, igale väljalaskele, mis hõlmab väikeseid elanikkondi või haruldasi tunnuseid.
• Kinnitage, et teie avaandmete kataloog sisaldab päris, ajakohaseid metaandmeid, mitte ainult failinimesid.
• Vaadake varem avaldatud andmekogumid üle äsja kättesaadavaks muutunud väliste andmete vastu tekkiva taastuvastamise riski osas.
• Kinnitage, et tagasihoidmise otsused tehakse nimetatud, vastutava rolli poolt dokumenteeritud kriteeriumide alusel.
• Küsige oma meeskonnalt kuut ülaltoodud arutelu küsimust ja märkige üles, kus aus vastus erineb ametlikust.

Põhiallikad

• International Open Data Charter, selle kuus põhimõtet ja juhend vaikimisi avatud avaldamise kohta.
• OECD Recommendation of the Council on Enhancing Access to and Sharing of Data (2021).
• US National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• US Census Bureau materjal avalikustamise vältimise ja diferentsiaalse privaatsuse rakendamise kohta kümneaastase rahvaloenduse andmetele.
• Cynthia Dworki aluseks olev töö diferentsiaalse privaatsuse formaliseerimisel ja laiem akadeemiline kirjandus statistilise avalikustamise kontrolli kohta.
• Mark H. Moore'i strateegiline kolmnurk ja teemas 1.4 esitatud avaliku hüve loogika (vt Teema 1.4 — Avalikud hüved, teeneshüved ja väärtuspluralism) raamistikuna, millele see teema tugineb.

Viited

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/