Gögn hins opinbera, samvirkni og opin gögn

Hvers vegna þetta skiptir máli fyrir almannavirði

Sérhver opinber aðili hefur þegar meiri gögn en hann nýtir vel. Skattayfirvöld, sjúkrahúsnet, samgöngustofnun og staðbundin skipulagsskrifstofa safna hvert um sig upplýsingum sem aukaafurð þess að reka þjónustu, og hvert uppgötvar, yfirleitt of seint, að skráin sem það þarf til að svara spurningu borgara eða útkljá deilu situr í kerfi sem enginn annar í skipulagsheildinni getur spurt. Kostnaðurinn er ekki óhlutbundinn: borgari sem hefur þegar sagt einni stofnun heimilisfang sitt ætti ekki að þurfa að segja annarri stofnun innan sömu ríkisstjórnar það aftur.

Tvær aðskildar þrár sitja innan titils þessa viðfangsefnis, og opinberir aðilar blanda þeim reglulega saman. Fyrri er samvirkni – að láta gögn flytjast áreiðanlega milli kerfa sem ólík teymi og tæknitímabil byggðu sjálfstætt, svo einn hluti ríkisvalds geti brugðist við því sem annar hluti veit þegar. Seinni er opnun – að birta gögn utan ríkisvaldsins alfarið, svo blaðamenn, rannsakendur og borgarar geti notað þau í tilgangi sem birtandi aðilinn sá aldrei fyrir. Samvirkni er aðallega verkfræði- og stjórnarháttavandamál; opnun er almannavirði í sjálfu sér, af sömu fjölskyldu og almannagæðin sem lýst er í Viðfangsefni 1.4 — Almannagæði, verðleikagæði og margbreytileiki gilda, því birt gögn eru ókeppnisleg og erfitt að útiloka nokkurn frá þeim þegar þau eru gefin út, svo markaður einn myndi veita of lítið af þeim.

Báðar þrár rekast á þriðju staðreynd sem þetta viðfangsefni meðhöndlar sem raunverulega, óleysta spennu frekar en vandamál með snyrtilegt svar: gögn nægilega ítarleg til að vera gagnleg eru oft nægilega ítarleg til að auðkenna einstaklinginn sem þau lýsa, jafnvel eftir að nöfn og augljós auðkenni eru afmáð. Ríkisvald sem birtir ríkulega og ríkisvald sem ver fólkið í skrám sínum vel togast í ólíkar áttir á sama stjórntæki, og vaxandi lyst á gögnum til að þjálfa og meta reikniritakerfi (sjá Viðfangsefni 5.2 — Gervigreind og reiknirit í ákvarðanatöku hins opinbera) hefur hækkað hagsmunina, því fleiri aðilar en nokkru sinni vilja opinber gögn á nákvæmlega þeirri nákvæmni sem gerir þau áhættusömust að gefa út. Leiðtogi sem lítur á stjórnarhætti, samvirkni og opnun sem eitt vandamál, með friðhelgi sem varanlega skorðu þess, er betur í stakk búinn til að ná virði þessa viðfangsefnis en sá sem meðhöndlar hvert í einangrun.

Lykilhugtök

Gagnastjórnarhættir (data governance) eru mengi ákvörðunarréttinda, staðla og ábyrgðarskylda sem ákvarða hver má búa til, breyta, nálgast og leggja niður gögn skipulagsheildar, og að hvaða gæðastaðli þau verða að vera haldin (sjá data governance). Þeir eru aðgreindir frá gagnastjórnun, sem er rekstrarverkið að flytja og geyma gögn dag frá degi; stjórnarhættir ákveða reglurnar, stjórnun framkvæmir þær. Opinber aðili án gagnastjórnarhátta hefur samt gögn, en enginn getur sagt með öryggi hvaða afrit af skrá borgara er það opinbera, eða hver ber ábyrgð þegar sú skrá reynist röng.

Gagnavörður (data steward) er nefndur einstaklingur eða hlutverk sem ber ábyrgð á gæðum, skilgreiningu og viðeigandi notkun tiltekins gagnasafns, aðgreint frá tæknistarfsfólkinu sem rekur kerfin sem það lifir í (sjá data steward). Gagnavarsla skiptir máli því gagnagæði rýrna sjálfgefið: reitur sem enginn ber ábyrgð á safnar ósamræmdum færslum, tvíteknum skrám og þögulu reki milli þess sem reiturinn á að merkja og þess sem starfsfólk setur í hann í raun. Að úthluta verði á gagnasafn breytir gagnagæðum úr stöku hreinsunaræfingu í áframhaldandi, nefnda ábyrgð.

Samvirkni (interoperability) er geta sjálfstætt smíðaðra kerfa til að skiptast á gögnum og nota þau rétt án sértilfellis, einnota verkfræði fyrir hvert par kerfa sem um ræðir (sjá interoperability). Hún starfar á þremur stigum sem auðvelt er að blanda saman: tæknileg samvirkni (geta kerfin tengst og flutt bæti yfirleitt gegnum forritaskil, eða API, skilgreinda leið fyrir einn hugbúnaðarhluta til að biðja um gögn eða aðgerð frá öðrum – sjá application programming interface); merkingarleg samvirkni (meina bæði kerfin það sama með sameiginlegan reit, svo sem „heimili“ eða „virkt mál“); og skipulagsleg samvirkni (eru skipulagsheildirnar tvær sammála um hvers vegna gögnum er deilt og hver ber ábyrgð á hverju sem gerist næst). Flestar kostnaðarsamar samvirknibilanir verða á merkingar- eða skipulagsstiginu jafnvel þegar tæknitengingin virkar fullkomlega.

Sameiginlegt skema (common schema), eða gagnastaðall, er samþykkt, birt bygging fyrir hvernig flokkur gagna er settur fram – reitanöfn, snið, einingar og leyfileg gildi – tekin upp af fleiri en einu kerfi eða skipulagsheild svo gögn framleidd af einu geti verið neytt af öðru án handvirkrar þýðingar. Ríkisstofnanir sem taka upp sameiginlegt skema fyrir eitthvað jafn grundvallaratriði og heimilisfang eða málastöðu breyta tugum hugsanlegra tvíhliða þýðingarvandamála í einn staðal sem hvert nýtt kerfi getur einfaldlega útfært. Einkvæmt auðkenni (unique identifier) sem helst yfir kerfi og yfir tíma – málanúmer, viðskiptaskráningarnúmer, tilvísun borgara – er sértækur mekanisminn sem leyfir skrám um sama einstakling eða aðila að vera tengdar rétt, og að fá auðkennahönnun ranga (endurnýta númer, breyta sniðum eða skorta það yfirleitt) er ein algengasta, forðanlega orsök samvirknibilunar.

Lýsigögn (metadata) eru gögn um gögn – lýsingin á byggingu gagnasafns, uppruna, uppfærslutíðni og merkingu, birt samhliða gögnunum sjálfum svo notandi sem bjó þau ekki til geti skilið og treyst þeim (sjá metadata). Gagnasafn birt án fullnægjandi lýsigagna er varla nothæft fyrir nokkurn utan teymisins sem framleiddi það, hversu opið sem leyfi þess er; lýsigögn eru það sem breytir skráarhrúgu í eitthvað sem þriðji aðili getur í raun endurnýtt.

Gagnamiðlunarsamningur (data-sharing agreement) er formlegt fyrirkomulag milli stofnana, eða milli opinbers aðila og ytri samstarfsaðila, sem tilgreinir tilganginn sem gögn má nota í, lagagrunninn fyrir að deila þeim, hversu lengi má geyma þau og hvað gerist ef tilgangurinn breytist. Tilgangstakmörkun – að takmarka notkun sameiginlegra gagna við tilganginn sem þeim var safnað eða deilt fyrir – er agi sem heldur gagnamiðlunarsamningi frá því að verða ótakmörkuðu leyfi til að endurnýta persónuupplýsingar, og fjarvera hennar er endurtekið þema í almennum traustsbrestum sem fela í sér gögn milli stofnana.

Opin gögn (open data) eru gögn gerð frjálslega aðgengileg fyrir alla til að nálgast, nota og endurdreifa, í hvaða tilgangi sem er, yfirleitt vélrænt læsileg og gefin út undir leyfi sem leyfir endurnýtingu frekar en aðeins skoðun (sjá open data). Almannavirðisrök þeirra fylgja almannagæðarökfræðinni sem sett er fram í Viðfangsefni 1.4 — Almannagæði, verðleikagæði og margbreytileiki gilda: þegar gagnasafn er birt dregur notkun eins ekki úr notkun annars, og ríkisvald er oft eini aðilinn með bæði lagalega stöðu og skala til að safna og birta þau til að byrja með, svo einkamarkaðir veita þessa tegund upplýsinga kerfisbundið of lítið. Opin gögn gera kleift ábyrgðarskyldu (blaðamenn og borgarar athuga eigin fullyrðingar ríkisvalds gegn eigin skrám þess), nýsköpun þriðja aðila (fyrirtæki og borgaratæknisérfræðingar byggja þjónustu ofan á opinber gögn sem ríkisvaldið sjálft mun aldrei byggja) og betri opinberar ákvarðanir annars staðar í hagkerfinu, allt án þess að birtandi aðilinn þurfi að sjá fyrir hverja notkun fyrirfram.

Endurauðkenning (re-identification) er ferlið að para saman að sögn nafnlaus gögn gegn öðrum tiltækum upplýsingum til að reikna út hvaða raunverulega manneskju skrá lýsir, og er miðlæga tæknilega staðreyndin sem gerir friðhelgisspennuna í þessu viðfangsefni óumflýjanlega frekar en aðeins óþægilega (sjá data re-identification). Að fjarlægja nafn, eða augljóst auðkenni eins og kennitölu eða almannatryggingarnúmer, fjarlægir ekki áhættuna: samsetning hálf-auðkenna eins og aldurs, póstnúmers og sjaldgæfs sjúkdóms getur auðkennt einhvern einkvæmt jafnvel í gagnasafni sem nefndi hann aldrei, einkum þegar það er víxlvísað gegn öðru, sérstaklega opinberu gagnasafni. K-nafnleysi (k-anonymity) er ein formleg leið til að rökræða þessa áhættu: gagnasafn fullnægir k-nafnleysi ef sérhver samsetning hálf-auðkennandi reita sem það inniheldur er deilt af að minnsta kosti skilgreindum fjölda, k, skráa, svo engin ein röð verði einangruð í færri en k mögulegar manneskjur (sjá k-anonymity). Mismunadrifið friðhelgi (differential privacy) er nýlegri, stærðfræðilega ströng nálgun sem bætir vandlega kvörðuðum tölfræðilegum hávaða við gagnasafn eða niðurstöður fyrirspurna gegn því, svo nærvera eða fjarvera skráar nokkurs eins einstaklings breytir birta úttakinu aðeins um bundið, sannanlegt magn, óháð því hvað árásaraðili veit þegar (sjá differential privacy). Friðhelgi við hönnun (privacy by design) er víðari meginreglan að friðhelgisvernd ætti að byggjast inn í byggingu kerfis frá upphafi, sem sjálfgefin stilling, frekar en að bætast við sem strikunarskref rétt fyrir birtingu (sjá privacy by design); að strika augljós auðkenni eftir á er veikasta form þess aga, ekki staðgengill fyrir hann.

Bestu starfsvenjur

1. Nefndu ábyrgan vörð fyrir hvert gagnasafn sem skiptir máli, ekki aðeins miðlæga gagnaskrifstofu. Gagnaskrifstofa getur sett staðla, en hún getur ekki vitað hvort tiltekinn reitur í tilteknu kerfi merkir enn það sem hann var skilgreindur til að merkja; sú dómgreind tilheyrir einhverjum nálægt raunverulegri notkun gagnanna.
2. Birtu opið sjálfgefið, og skjalfestu sértæku ástæðuna hvenær sem þú gerir það ekki. Að snúa sjálfgefnu við – að krefjast réttlætingar fyrir að halda eftir frekar en réttlætingar fyrir að birta – dregur fram raunverulega viðkvæmni til einstakrar yfirferðar í stað þess að láta varkárni gilda um allt án aðgreiningar.
3. Taktu upp fyrirliggjandi, sameiginlegt skema áður en þú hannar nýtt. Sérsmíðuð gagnabygging sem passar einu verkefni fullkomlega og engu öðru í ríkisvaldi tryggir framtíðarsamþættingarkostnað; athugaðu hvað geirinn þinn, lögsagnarumdæmi eða alþjóðleg staðlastofnun hefur þegar birt áður en þú smíðar þitt eigið.
4. Hannaðu viðvarandi, vel stýrð einkvæm auðkenni áður en kerfi fer í loftið, ekki eftir. Að endurbæta auðkennakerfi á skrár sem hafa safnast í ár undir ósamræmdum lyklum er stórlega dýrara en að fá hönnunina rétta í upphafi.
5. Byggðu gagnaskipti gegnum stýrð API frekar en einnota skráarflutninga. API sem framfylgir skema, skráir aðgang og má útgáfustýra gefur þér stjórnanlegan, endurskoðanlegan samvirknipunkt; töflureikni sendur í tölvupósti milli deilda gefur þér ekkert af því og enginn tekur eftir þegar hann úreldist.
6. Skrifaðu gagnamiðlunarsamninga sem segja tilganginn, lagagrunninn og gildislokin, ekki bara tæknilega mekanismann. Samningur sem tilgreinir hvernig gögn flytjast en ekki hvers vegna, eða hversu lengi, hefur tilhneigingu til að lifa lengur en tilgangurinn sem réttlætti hann og hljóðlega verða leyfi fyrir einhverju sem enginn heimilaði skýrt.
7. Meðhöndlaðu afauðkenningu sem áhættumat með leifaniðurstöðu, ekki einskiptis strikunarverk. Spyrðu hvaða önnur opinber eða keypt gagnasöfn gætu verið tengd gegn því sem þú ert um það bil að gefa út, og stærðarmettu endurauðkenningaráhættuna gegn þeirri raunhæfu ógnarlíkani, ekki gegn hugsjónaárásaraðila án utanaðkomandi upplýsinga.
8. Beittu mismunadrifinni friðhelgi eða jafngildri formlegri tækni á sérhverja útgáfu sem varðar lítil þýði eða sjaldgæf einkenni. Einföld bæling eða alhæfing augljósra auðkenna nægir ekki þegar gagnasafn inniheldur eitthvað nógu óvenjulegt til að auðkenna eitt og sér, svo sem sjaldgæfan sjúkdóm, lítið staðbundið þýði eða mikils virðis viðskipti.
9. Haltu opinberri, núgildandi gagnaskrá með raunverulegum lýsigögnum, ekki bara lista yfir skráarnöfn. Gagnasafn sem hugsanlegur notandi skilur ekki nógu vel til að treysta er virkni óbirt, hversu leyfilegt sem leyfi þess er; skráarfærslur ættu að segja hvað reitur merkir, hversu oft hann er uppfærður og hver þekkt takmörk hans eru.
10. Mældu gagnagæði gegn skilgreindum stöðlum á endurteknum áætlun, og greindu frá niðurstöðum til eiganda gagnasafnsins. Gæði sem eru athuguð aðeins þegar eitthvað bilar rýrna ósýnilega yfir löng tímabil á milli; venjubundin mæling breytir rýrnun í sýnilega, viðráðanlega þróun.
11. Yfirfarðu hvert birt gagnasafn reglulega fyrir áframhaldandi almannavirði og áframhaldandi áhættu. Þýði breytast, endurauðkenningartækni batnar, og útgáfa sem var örugg fyrir fimm árum er kannski ekki örugg í dag gegn gögnum sem hafa síðan orðið nýlega tiltæk annars staðar.
12. Aðgreindu ákvörðunina um að deila eða birta gögn frá tæknilega teyminu sem flytur þau. Fólkið best í stakk búið til að dæma tilgang, meðalhóf og friðhelgisáhættu er sjaldan sama fólkið og best er í stakk búið til að byggja leiðsluna, og að þjappa hlutverkunum tveimur í eitt skilur erfiðari dómgreindina órannsakaða.

Spurningar til að ræða með teyminu

Vitum við hvaða kerfi heldur á opinberu skránni fyrir hvern kjarnagagnaaðila okkar, og lítur allir í raun á það þannig? Margar skipulagsheildir hafa, í reynd, nokkur „sönn“ afrit af sömu upplýsingum – heimilisfang borgara í reikningakerfinu, málastjórnunarkerfinu og bréfaskrá, öll örlítið ólík og öll að vera brugðist við af einhverjum. Notaðu þessa spurningu til að telja upp kjarnaaðila skipulagsheildar ykkar (borgari, mál, eign, fyrirtæki) og greina, heiðarlega, hvort eitt opinbert upprunakerfi er til fyrir hvern eða hvort starfsfólk hefur hljóðlega lært hvaða kerfi skuli treysta í hvaða tilgangi. Ræðið hvað það myndi taka að tilnefna og framfylgja einu opinberu upprunakerfi fyrir hvern aðila, og hvað myndi brotna í umskiptunum. Þetta er yfirleitt ódýrara að laga snemma en eftir að alvarleg ákvörðun hefur verið tekin á röngu afriti.

Ef einstaklingur spurði okkur hvers vegna hann þyrfti að gefa sömu upplýsingar tveimur hlutum eigin skipulagsheildar okkar, hvert væri heiðarlega svar okkar? Heiðarlega svarið er oft „af því kerfin okkar geta ekki skipst á þeim,“ sem er samvirknibilun klædd sem ferliskrafa. Notaðu þessa spurningu til að velja eitt þjónustuferðalag sem spannar fleiri en eitt teymi eða kerfi og rekja, skref fyrir skref, hvar sama staðreynd er tekin oftar en einu sinni. Ræðið hvort endurtekna beiðnin verndar eitthvað raunverulegt – ferskt samþykki, staðfestingarskref – eða hvort hún er einfaldlega fjarvera gagnamiðlunarsamnings eða sameiginlegs skema. Íhugið hvað það myndi kosta, í trausti borgara jafnt og starfsmannatíma, að láta það ólagað í önnur ár.

Hvar myndi ákveðinn blaðamaður eða rannsakandi sennilegast endurauðkenna einhvern í gagnasafni sem við köllum nú nafnlaust? Flestar skipulagsheildir sem birta afauðkennd gögn hafa ekki álagsprófað þau gegn raunhæfri samsetningu hálf-auðkenna og annarra opinberra gagnasafna. Notaðu þessa spurningu til að velja áhættumesta birta eða brátt-birta gagnasafn ykkar og ganga í gegnum hvaða aðrar upplýsingar – staðbundin fréttaskýrsla, opið gagnasafn annarrar stofnunar, opinber skrá – gætu sennilega verið tengdar gegn því. Ræðið hvort núverandi afauðkenningarnálgun ykkar (bæling, alhæfing eða formleg tækni eins og k-nafnleysi eða mismunadrifin friðhelgi) myndi í raun standast þá samsetningu, og hver ber ábyrgð á að prófa hana aftur eftir því sem ný ytri gögn verða tiltæk.

Hver hefur nú vald til að segja að gagnasafn ætti ekki að vera birt, og erum við viss um að því valdi sé beitt af réttum ástæðum? Sjálfgefið-opið stefna þarfnast samt trúverðugs, vel rökstudds undanþáguferlis, og einstaklingurinn sem beitir því ætti að vera auðkennanlegur og ábyrgur. Notaðu þessa spurningu til að athuga hvort ákvarðanir um að halda eftir í skipulagsheild ykkar eru teknar af nefndu hlutverki gegn skjalfestum viðmiðum, eða óformlega, af hverjum sem er beðinn og skeikar á varúðarhliðinni. Ræðið hvort haldið-eftir hlutfall ykkar lítur meira út eins og vandað mat mál fyrir mál eða föst stofnanaviðbrögð, og hvað tímabundin ytri yfirferð á gagnasöfnum sem haldið er eftir gæti afhjúpað.

Eru gagnamiðlunarsamningar okkar milli stofnana enn notaðir í tilganginum sem þeir voru skrifaðir fyrir? Tilgangstakmörkun er auðveld að segja í samningi og auðvelt að rýra hljóðlega í reynd, einkum þegar gagnasafn reynist gagnlegt fyrir eitthvað sem upprunalegu undirritendur sáu aldrei fyrir. Notaðu þessa spurningu til að velja tvö eða þrjú lifandi gagnamiðlunarfyrirkomulag milli stofnana og athuga raunverulega núverandi notkun gegn skrifuðum tilgangi og gildislokum. Ræðið hvaða stjórnarhátta skref vantar ef misræmi kemur í ljós, og hver ætti að bera ábyrgð á að grípa slíkt rek áður en ytri endurskoðun eða blaðamaður gerir það.

Ef samvirkni- eða gagnastaðlar okkar yrðu hindrun fyrir lögmæta nýja notkun gagna okkar, myndum við komast að því fyrir eða eftir að það olli raunverulegum skaða? Staðlar sem voru skynsamlegir þegar þeir voru teknir upp geta steingerst í hindranir eftir því sem þarfir og tækni breytast, og skipulagsheildir byggja sjaldan inn mekanisma til að taka eftir að þetta er að gerast með eigin reglur. Notaðu þessa spurningu til að ræða hvernig skipulagsheild ykkar yfirfer nú hvort gagnastaðlar hennar, auðkennakerfi eða miðlunarferli þjóna enn tilgangi sínum, á móti því að vera einfaldlega erfðir og óvéfengdir. Íhugið hvort fólkið sem myndi taka eftir að staðall er orðinn hindrun – starfsfólk í framlínu, samstarfsskipulagsheildir, ytri forritarar sem nota opnu gögnin ykkar – hafi raunverulega leið til að vekja máls á því, og hvort sú leið hefur nokkurn tímann í raun breytt staðli.

Í reynd: dæmi um almannavirði

Svæðisbundin félagsþjónustustofnun og aðskilið svæðisbundið heilbrigðisyfirvald – skálduð, lýsandi fyrir mynstur en ekki skýrsla um neina raunverulega aðila – höfðu eytt áratug í að reka ósamrýmanleg málastjórnunarkerfi, svo fjölskylda þekkt báðum gat verið skráð undir ólíkum tilvísunarnúmerum, án áreiðanlegrar leiðar til að segja starfsfólki stofnananna að heimilið sem birtist í húsnæðisstuðningsmálaskrá væri sama heimili og birtist í barnalæknaþjónustumálaskrá. Sameiginleg áætlun til að greina börn í hættu á að falla í bilið milli þjónustanna tveggja stöðvaðist ítrekað, ekki vegna skorts á pólitískum vilja, heldur því enginn gat framleitt eina, trausta samansetta sýn á hvaða fjölskyldur þörfnuðust beggja tegunda stuðnings.

Stofnanirnar tvær tóku að lokum upp sameiginlegt heimilisauðkenni og sameiginlegt skema fyrir reitina sem bæði kerfi þörfnuðust að skiptast á, byggt gegnum stýrt API frekar en reglulegu töflureiknaútflutningana sem hvort hafði reitt sig á áður, undir gagnamiðlunarsamningi sem nefndi tiltekna tilganginn – samhæfingu stuðnings við heimili í hættu – og krafðist árlegrar yfirferðar. Innan árs gátu málastjórar báðum megin séð, í fyrsta sinn, hvaða fjölskyldur voru þekktar hinni þjónustunni, og sameiginlegir málafundir sem áður reiddu sig á handvirka víxlathugun urðu venjubundnir. Stofnanirnar fóru síðan lengra, og birtu samanlagt, nafnlaust opið gagnasafn á svæðisstigi sem sýndi fjölda heimila sem fá sameiginlegan stuðning eftir hverfum, ætlað til að hjálpa staðbundnum góðgerðarfélögum að miða eigin útrás og til að leyfa kjörnum borgarfulltrúum að sjá hvort sameiginlega áætlunin væri að ná til svæðanna sem hún var hönnuð fyrir.

Staðbundinn gagnaréttindaaðgerðasinni, í samvinnu við háskólarannsakanda, uppgötvaði að birtu hverfisstigstölurnar mætti víxlvísa gegn aðskildu, jafn velmeintu opnu gagnasafni frá staðbundnu samgönguyfirvaldi – sem sýndi niðurgreiddar fargjaldaumsóknir eftir smásvæðum – til að þrengja sum hverfi niður í heimilisfjölda nógu litla til að tilteknar fjölskyldur gætu sennilega verið auðkenndar, einkum í strjálbýlum dreifbýlishverfum þar sem bæði gagnasöfn töldu stakar tölur heimila. Hvorugt gagnasafn eitt og sér var afhjúpandi; saman, á fámennustu svæðunum, voru þau það. Fyrsta eðlisávísun stofnananna, að draga opna gagnasafnið alfarið til baka, hefði eyðilagt ábyrgðarskyldu- og góðgerðamiðunargildið sem það var þegar byrjað að skila. Í staðinn, í samvinnu við sama aðgerðasinna, endurbirtu þær gagnasafnið með mismunadrifinni friðhelgisnálgun sem bætti kvörðuðum hávaða við litlar tölur, sem varðveitti gagnsemi þess til að greina breið svæðismynstur en gerði sanna tölu hvers fámennasta hverfis nógu óvissa til að sigra víxlvísunarárásina sem hafði afhjúpað upprunalegu útgáfuna. Atvikið varð tilviksrannsóknin sem stofnanirnar notuðu í eigin síðari starfsmannaþjálfun, um hvers vegna afauðkenning verður að vera metin gegn því hvað annað er opinberlega tiltækt, ekki gegn gagnasafninu í einangrun.

Fjögur geirasjónarhorn

Sveitarfélög

Sveitarfélag rekur yfirleitt fleiri aðgreind, eldri og minna samþætt kerfi á hvern íbúa sem þjónað er en landsstofnun gerir, því áratuga einstaklega keypt deildarkerfi – húsnæði, skipulag, sorp, félagsþjónusta – voru sjaldan byggð til að deila gögnum hvert með öðru. Þetta gerir samvirkni að raunverulegri innri baráttu áður en hún er nokkurn tímann ytri: íbúi sem á í samskiptum við þrjár sveitarfélagsdeildir í einni viku kann að finna að engin þeirra getur séð hvað hinar vita þegar. Staðbundin opin gögn, á sama tíma, hafa óvenju beint borgaralegt virði – sorphirðuáætlanir, skipulagsumsóknir, staðbundin útgjöld – því íbúar og staðbundnir blaðamenn nýta þau á stigi sértækni sem landsgagnasöfn bjóða sjaldan, sem hækkar hagsmunina á að fá lýsigögn og uppfærslutíðni rétt jafnvel fyrir hógvær, hversdagsleg gagnasöfn.

Ríkisvald

Landsstjórnir reka yfirleitt fullkomnasta svið gagnastjórnarháttar- og samvirknitækja – landsgagnastefnu, auðkennakerfi þvert á ríkisvald, fyrirskipaðar opnar gagnagáttir og sérstaka persónuverndareftirlitsaðila – en sá gífurlegi fjöldi arfleifðarkerfa sem safnast hefur yfir áratugi og stjórnir gerir tæknilega samvirkni að þrálátu, dýru bakgrunnsverkefni frekar en einskiptisverkefni. Landsbundin opin gagnaáætlanir bera óhóflega endurauðkenningaráhættu einmitt því landsgagnasöfn eru stór nóg til að vera raunverulega verðmæt og ítarleg nóg, þegar tengd gegn öðrum landsskrám, til að auðkenna einstaklinga; landsgagnastefnuskjölin sem nokkrar ríkisstjórnir birta nefna í auknum mæli friðhelgisvarðveitandi birtingartækni skýrt, frekar en að meðhöndla afauðkenningu sem framkvæmdaratriði undir stefnutilkynningu.

Félagageirinn og félagasamtök

Félagasamtök eða frjáls félagasamtök (NGO) eru sjaldan undirseld opinni gagnaskyldu, en þau standa í auknum mæli frammi fyrir hliðstæðri væntingu frá fjármögnunaraðilum, eftirlitsaðilum og almenningi að áætlunargögnum sé deilt gagnsætt, og vinna oft með þýðum – eftirlifendum ofbeldis, fólki í bráðri fátækt, íbúum án skjala – fyrir sem endurauðkenningaráhætta ber langtum hærri persónulegan kostnað en hún gerir yfirleitt fyrir almenna þýðið í ríkisgagnasafni. Gagnamiðlunarsamningar skipta óhóflega miklu máli hér því félagasamtök deila oft skjólstæðingagögnum með ríkisfjármögnunaraðilum eða samstarfsskipulagsheildum undir samningum sem þau skrifuðu ekki, og þurfa getuna til að semja um tilgangstakmörkun frekar en að sætta sig einfaldlega við hvaða gagnamiðlunarskilmála sem eru festir við fjármögnun. Samvirknistaðlar teknir upp af stærri ríkis- eða mannúðarfjármögnunaraðilum geta verið raunveruleg byrði á takmarkaða tæknilega getu lítillar skipulagsheildar, sem er raunverulegur kostnaður sem vert er að nefna frekar en að meðhöndla staðlaupptöku sem kostnaðarlausa.

Fjölþjóðlegt og alþjóðlegt

Fjölþjóðlegar stofnanir safna gögnum yfir aðildarríki með gífurlega ólíkan stjórnarháttaþroska, tölfræðilega getu og lagakerfi um friðhelgi, sem gerir merkingarlega samvirkni – að koma sér saman um hvað sameiginlegur reitur merkir í raun – að þrálátu diplómatísku jafnt og tæknilegu vandamáli; hugtak eins grundvallaratriði og „heimili“ eða „atvinnulaus“ er skilgreint nógu ólíkt yfir lönd að alþjóðlegar tölfræðistofnanir viðhalda heilum stöðlum, svo sem Statistical Data and Metadata Exchange (SDMX) sniðinu, eingöngu til að gera gögn yfir lönd raunverulega sambærileg. Opin gögn á þessu stigi virka sem sérstaklega skýr almannagæði í skilningnum sem sett er fram í Viðfangsefni 1.4 — Almannagæði, verðleikagæði og margbreytileiki gilda, því ekkert eitt aðildarríki hefur hvata til að fjármagna hnattrænt samanburðargagnasafn ein, en samt njóta öll ríki og rannsakendur góðs þegar fjölþjóðleg stofnun birtir eitt. Gagnafullveldisáhyggjur ganga dýpra hér en í eins-lands samhengi: aðildarríki kann að standast að deila gögnum sem það er lagalega heimilt að halda eftir, eða kann að véfengja hvernig fjölþjóðleg stofnun hefur flokkað eða safnað eigin landstölum þess, sem gerir stjórnarháttaspurninguna um hver stjórnar sameiginlegri tölfræði jafn afdrifaríka og tæknilegu spurninguna um hvernig henni er skipst á.

Algeng mistök

Þöglar gagnasíló. Kerfi safnast sjálfstætt upp yfir skipulagsheild án sameiginlegs auðkennis eða skema, og kostnaðurinn helst falinn þar til tiltekið mál – verndarbrestur, endurskoðun, þjónustuniðurtími – krefst samsettrar sýnar sem reynist ómögulegt að framleiða fljótt, en þá verður kostnaður sílósins sýnilegur allur í einu og dýr að laga undir þrýstingi.

Nafnleysisleikhús. Gagnasafn hefur nöfn og augljós auðkenni fjarlægð og er síðan meðhöndlað sem öruggt að birta án nokkurs mats á hálf-auðkennum eða tengingaráhættu gegn öðrum tiltækum gögnum. Kostnaðurinn kemur fram, oft opinberlega og vandræðalega, þegar rannsakandi, blaðamaður eða aðgerðasinni sýnir að endurauðkenning er möguleg, en þá er trúverðugleiki skipulagsheildarinnar á friðhelgi skaðaður langt umfram tiltekna gagnasafnið sem um ræðir.

Stjórnarhættir án eiganda. Gagnastjórnarháttastefna er til á pappír, en enginn tiltekinn einstaklingur ber ábyrgð á gæðum eða núgildi neins tiltekins gagnasafns, svo staðlar rýrna hljóðlega og enginn tekur eftir fyrr en gögnin eru notuð fyrir ákvörðun sem þau geta í raun ekki stutt. Þetta er sérstaklega algeng bilun því stefnuskjalið sjálft lítur fullkomið út og hylur fjarveru nokkurs sem er í raun ábyrgur undir því.

Samvirkni með fyrirmælum, án fjármögnunar. Sameiginlegt skema eða auðkennakerfi er fyrirskipað miðlægt en aldrei fjármagnað fyrir teymin sem búist er við að taki það upp, svo fylgni verður að hakreitaæfingu – reitur tæknilega til staðar en ekki rétt fylltur – frekar en raunveruleg, nothæf samvirkni. Kostnaðurinn er fölsk tilfinning um að sameiginlegur staðall sé til, uppgötvuð aðeins þegar einhver reynir í raun að reiða sig á gögnin sem hann átti að staðla.

Opinn-þvottur. Skipulagsheild birtir mælaborð og samantektarsjónræn framsetning og kallar það opin gögn, á meðan undirliggjandi vélrænt læsilega gagnasafnið sem þriðji aðili þarfnast til að byggja eitthvað nýtt er óbirt eða birt á sniði sem enginn getur hagnýtt endurnýtt. Þetta nær útliti gagnsæis og opnunar sem lýst er í Viðfangsefni 3.4 — Ábyrgðarskylda, gagnsæi og lögmæti án innihalds þess, og er oft tekið fyrir raunverulega opna gagnaáætlun því mælaborðið lítur áhrifamikið út.

Þroskalíkan

Gátlisti

• Greindu opinbera upprunakerfið fyrir hvern kjarnagagnaaðila skipulagsheildar þinnar.
• Staðfestu að sérhvert gagnasafn sem skiptir verulegu máli hafi nefndan, ábyrgan vörð.
• Athugaðu hvort sameiginlegt skema eða staðall sé þegar til fyrir nýtt gagnaverkefni áður en þú hannar sérsmíðað.
• Yfirfarðu hönnun einkvæmra auðkenna þinna fyrir varanleika og samkvæmni yfir kerfin sem nota þau.
• Skiptu út að minnsta kosti einum endurteknum handvirkum eða töflureiknisbyggðum gagnaskiptum fyrir stýrt API.
• Staðfestu að sérhver virkur gagnamiðlunarsamningur milli stofnana segi tilgang sinn, lagagrunn og gildislok, og passi við núverandi raunverulega notkun.
• Keyrðu endurauðkenningaráhættumat, þar á meðal sennilega tengingu gegn öðrum opinberum gagnasöfnum, fyrir útgáfu hvers gagnasafns sem varðar persónuupplýsingar.
• Beittu formlegri friðhelgisvarðveitandi tækni, svo sem k-nafnleysi eða mismunadrifinni friðhelgi, á sérhverja útgáfu sem varðar lítil þýði eða sjaldgæf einkenni.
• Staðfestu að opna gagnaskráin þín innihaldi raunveruleg, núgildandi lýsigögn, ekki bara skráarnöfn.
• Yfirfarðu áður birt gagnasöfn gegn nýlega tiltækum ytri gögnum fyrir vaxandi endurauðkenningaráhættu.
• Staðfestu að ákvarðanir um að halda eftir séu teknar af nefndu, ábyrgu hlutverki gegn skjalfestum viðmiðum.
• Spyrðu teymi þitt sex umræðuspurninganna hér að ofan og skráðu hvar heiðarlega svarið víkur frá því opinbera.

Helstu heimildir

• International Open Data Charter, sex meginreglur hennar og leiðbeiningar um útgáfu sem er opin sjálfgefið.
• OECD, Recommendation of the Council on Enhancing Access to and Sharing of Data (2021).
• US National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• Efni bandarísku manntalsstofunnar (US Census Bureau) um birtingarforðun og beitingu hennar á mismunadrifinni friðhelgi á áratugamanntalsgögn.
• Grundvallarstarf Cynthia Dwork sem formgerði mismunadrifna friðhelgi, og víðari fræðiritin um tölfræðilega birtingarstýringu.
• Stefnumótandi þríhyrningur Marks H. Moore og almannagæðarökfræðin sem sett er fram í Viðfangsefni 1.4 — Almannagæði, verðleikagæði og margbreytileiki gilda, sem rammann sem þetta viðfangsefni byggir á.

Tilvísanir

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/