トピック5.4 — 公共部門のデータ、相互運用性、オープンデータ

公共価値にとってなぜ重要か

あらゆる公共機関はすでに、それがうまく活用している以上のデータを保有している。税務当局、病院ネットワーク、交通機関、地元の計画事務所は、それぞれサービスを運営する副産物として情報を収集しており、それぞれが、通常は遅すぎるタイミングで、市民の問いに答えたり紛争を解決したりするために必要な記録が、組織内の誰も検索できないシステムの中に眠っていることを発見する。その代償は抽象的ではない。すでに一つの機関に自分の住所を伝えた市民は、同じ政府の内部にある別の機関にそれを再び伝える必要があるべきではない。

このトピックのタイトルの中には二つの別個の野心があり、公共機関は日常的にそれらを混同する。第一は相互運用性である。異なるチームや異なる時代の技術が独立して構築したシステムの間で、データを信頼性をもって移動させ、政府のある部分が別の部分がすでに知っていることに基づいて行動できるようにすることである。第二は開放性である。政府の外部に完全にデータを公表し、ジャーナリスト、研究者、市民が、公表機関が一度も予期しなかった目的のためにそれを使えるようにすることである。相互運用性は主にエンジニアリングとガバナンスの問題であり、開放性はそれ自体一つの公共価値であり、トピック1.4「公共財・メリット財・価値多元主義」が記述する公共財と同じ系統である。なぜなら、公表されたデータは非競合的であり、一度公開されれば誰かをそこから排除することは困難であるため、市場だけではそれを過小供給してしまうからである。

この両方の野心は、このトピックが、きちんとした答えを持つ問題としてではなく、真の未解決の緊張関係として扱う第三の事実と衝突する。役に立つほど詳細なデータは、名前や明白な識別子が取り除かれた後でさえ、それが記述する個人を特定できるほど詳細であることが多い。豊かに公表する政府と、その記録の中の人々をよく保護する政府は、同じレバーの上で異なる方向に引っ張っている。そして、アルゴリズムシステムを訓練し評価するためのデータへの欲求の高まり(トピック5.2「行政におけるAIとアルゴリズム的意思決定」を参照)は、利害を高めている。なぜなら、かつてないほど多くの行為主体が、まさにそれを公開するのが最もリスクの高い粒度で公共データを求めているからである。ガバナンス、相互運用性、開放性を、プライバシーを恒久的な制約とした一つの問題として扱う指導者は、それぞれを孤立して扱う指導者よりも、このトピックの価値を捉えるのに適した立場にある。

中核概念

データガバナンスとは、誰が組織のデータを作成、変更、アクセス、廃止できるか、そしてそれをどのような品質基準で保持しなければならないかを決める、決定権、基準、説明責任の集合である(データガバナンスを参照)。それは、データを日々移動させ保存する運用上の作業であるデータマネジメントとは区別される。ガバナンスが規則を決め、マネジメントがそれを実行する。データガバナンスのない公共機関もデータは持っているが、市民の記録のどのコピーが権威あるものかを自信をもって言える者はおらず、その記録が誤りだと判明したときに誰が説明責任を負うかも言えない。

データスチュワードとは、特定のデータセットの品質、定義、適切な利用について説明責任を負う、名指しされた個人あるいは役割であり、それが存在するシステムを運用する技術職員とは区別される(データスチュワードを参照)。スチュワードシップが重要なのは、データの品質は既定で劣化するからである。誰も説明責任を負わない項目は、一貫性のない入力、重複したレコード、そしてある項目が意味するはずのものと職員が実際にそこに入力するものとの間の静かな乖離を蓄積する。あるデータセットにスチュワードを割り当てることは、データ品質を、時折の清掃演習から、継続的で名指しされた責任へと変える。

相互運用性とは、独立して構築されたシステムが、関与するすべてのシステムのペアについて特別な一回限りのエンジニアリングを行うことなく、データを交換し正しく使用する能力である(相互運用性を参照)。これは混同されやすい三つの水準で機能する。技術的相互運用性(システムは接続してそもそもバイト列を移動できるか――通常はアプリケーション・プログラミング・インターフェース、すなわちAPIを通じて行われる。これは、あるソフトウェアの一部が別のものからデータや操作を要求する定義された方法である。アプリケーション・プログラミング・インターフェースを参照)、意味的相互運用性(両方のシステムは、「世帯」や「進行中の事案」といった共有される項目によって同じことを意味しているか)、そして組織的相互運用性(二つの組織は、なぜそのデータが共有されているのか、そして次に何が起きることについて誰が説明責任を負うのかについて合意しているか)である。最も費用のかかる相互運用性の失敗は、技術的な接続が完璧に機能している場合でさえ、意味的あるいは組織的な水準で起きることが多い。

共通スキーマ、あるいはデータ標準とは、あるカテゴリーのデータがどう表現されるか――項目名、形式、単位、許可される値――についての合意され公表された構造であり、複数のシステムや組織によって採用され、一方が生み出したデータを手作業の翻訳なしに他方が消費できるようにする。住所や事案の状態といった基本的なもののために共有されたスキーマを採用する政府機関は、何十もの潜在的な二者間の翻訳の問題を、いかなる新しいシステムも単純に実装できる一つの標準に変える。システムをまたいで、時間を超えて持続する一意識別子――事案番号、事業登録番号、市民の参照番号――は、同一の人物や実体についての記録を正しく結びつけることを可能にする特定のメカニズムであり、識別子の設計を誤ること(番号を再利用する、形式を変える、あるいはまったく持たない)は、相互運用性の失敗の最も一般的で回避可能な原因の一つである。

メタデータとは、データについてのデータである――あるデータセットの構造、出所、更新頻度、意味の記述であり、それを作成していない利用者が理解し信頼できるよう、データ自体とあわせて公表される(メタデータを参照)。十分なメタデータなしに公表されたデータセットは、そのライセンスがどれほど開かれていようとも、それを作成したチームの外部の誰にとってもほとんど使えない。メタデータこそが、ファイルの投げ捨てを、第三者が実際に再利用できるものに変えるものである。

データ共有契約とは、機関間、あるいは公共機関と外部のパートナーとの間の正式な取り決めであり、データがどのような目的で使われうるか、それを共有するための法的根拠、それがどれだけ保持されうるか、そしてその目的が変わったときに何が起きるかを定める。目的制限――共有されたデータの利用を、それが収集あるいは共有された目的に制限すること――は、データ共有契約が個人情報を再利用するための無制限のライセンスになってしまうことを防ぐ規律であり、それの不在は、複数機関にまたがるデータを含む公衆の信頼の失敗において繰り返される主題である。

オープンデータとは、誰でもあらゆる目的でアクセス、使用、再配布できるよう自由に利用可能にされたデータであり、通常は機械可読で、単に閲覧を許可するだけでなく再利用を許可するライセンスのもとで公表される(オープンデータを参照)。その公共価値の論拠は、トピック1.4「公共財・メリット財・価値多元主義」が示す公共財の論理に従う。あるデータセットが一度公表されれば、ある人の利用が別の人の利用を減らすことはなく、政府はしばしば、そもそもそれを収集し公表する法的な立場と規模の両方を持つ唯一の行為主体であるため、民間市場だけでは、この種の情報は慢性的に過小供給される。オープンデータは、説明責任(ジャーナリストや市民が政府自身の主張をその記録と照らし合わせて検証すること)、第三者による革新(企業や市民技術者が、政府自身が決して構築しないであろう公共データの上にサービスを構築すること)、そして経済の他の場所でのより良い公共の決定を、公表機関があらゆる用途を事前に予期する必要なく可能にする。

再識別とは、匿名化されたとされるデータを、他の利用可能な情報と照合し、その記録が記述している実際の人物を割り出すプロセスであり、これはこのトピックのプライバシーの緊張関係を、単に不便であるというだけでなく回避不可能なものにする中心的な技術上の事実である(データ再識別を参照)。名前や、国民保険番号や社会保障番号といった明白な識別子を取り除くことは、そのリスクを取り除かない。年齢、郵便番号、まれな病状といった準識別子の組み合わせは、一度も本人を名指ししたことのないデータセットの中でさえ、特に別の、独立して公開されているデータセットと照らし合わされたとき、誰かを一意に特定できる。k匿名性とは、このリスクについて推論する一つの形式的な方法である。あるデータセットは、それが含む準識別項目のあらゆる組み合わせが、少なくとも定義された数k件のレコードによって共有されている場合にk匿名性を満たし、そのため単一の行がk人未満の可能な人物に絞り込まれることはない(k匿名性を参照)。差分プライバシーとは、より新しい数学的に厳密なアプローチであり、あるデータセットやそれに対するクエリの結果に慎重に較正された統計的ノイズを加え、攻撃者がすでに何を知っているかにかかわらず、いかなる単一の個人の記録の有無も、公表される出力を境界づけられ証明可能な量だけしか変えないようにする(差分プライバシーを参照)。プライバシー・バイ・デザインとは、プライバシー保護が、公表の直前の編集の段階として後付けされるのではなく、最初から既定の設定として、システムのアーキテクチャに組み込まれるべきだというより広い原則である(プライバシー・バイ・デザインを参照)。明白な識別子を事後に編集することは、この規律の最も弱い形態であって、その代替ではない。

ベストプラクティス

中央のデータ部門だけでなく、重要なすべてのデータセットに説明責任を負うスチュワードを名指しせよ。 データ部門は基準を設定できるが、特定のシステムの特定の項目が今もなおそれが定義された意味を持っているかどうかを知ることはできない。その判断は、データの実際の利用に近い誰かに属する。
既定で開かれた形で公表し、そうしないときには特定の理由を文書化せよ。 既定値を逆転させること――公表するための正当化ではなく差し控えるための正当化を要求すること――は、あらゆるものに無差別に慎重さを適用させるのではなく、真の機微さを個別の見直しのために表面化させる。
新しいスキーマを設計する前に、既存の共有スキーマを採用せよ。 ある一つのプロジェクトには完璧に合うが政府の他の何とも一致しないオーダーメイドのデータ構造は、将来の統合費用を保証する。独自のものを構築する前に、あなたのセクター、法域、あるいは国際標準機関がすでに何を公表しているかを確認せよ。
あるシステムが稼働する前に、持続的でよく統治された一意識別子を設計せよ、後ではなく。 何年にもわたって一貫性のないキーのもとで蓄積してきた記録に識別子の制度を後付けすることは、最初に設計を正しく行うよりも劇的に高くつく。
一回限りのファイル転送ではなく、統治されたAPIを通じてデータ交換を構築せよ。 スキーマを強制し、アクセスを記録し、バージョン管理できるAPIは、統制可能で監査可能な相互運用性の地点を与える。省庁間で電子メールで送られるスプレッドシートは、それらのいずれも与えず、それが陳腐化しても誰も気づかない。
単なる技術的な仕組みだけでなく、目的、法的根拠、失効を述べるデータ共有契約を書け。 データがどう移動するかは指定するがなぜ、あるいはどれだけの期間かは指定しない契約は、それを正当化した目的よりも長生きし、誰も明示的に認可していない何かのための許可に静かになってしまう傾向がある。
非識別化を、一回限りの編集作業としてではなく、残存リスクを伴うリスク評価として扱え。 あなたが公開しようとしているデータセットと照合できる他のどのような公開あるいは購入可能なデータセットがあるかを問い、外部の情報を持たない理想化された攻撃者に対してではなく、その現実的な脅威モデルに照らして再識別のリスクを見積もれ。
小規模な人口やまれな特性を含むいかなる公表にも、差分プライバシーあるいは同等の正式な技法を適用せよ。 明白な識別子の単純な抑制や一般化は、あるデータセットが、まれな病状、小さな地元の人口、あるいは高額な取引のような、それ自体で識別性を持つほど異例な何かを含むようになると不十分になる。
単なるファイル名のリストではなく、真のメタデータを伴う公のデータ目録を最新に保て。 潜在的な利用者が信頼できるほど十分に理解できないデータセットは、そのライセンスがどれほど寛容であろうとも、機能的には未公表である。目録の項目は、ある項目が何を意味するか、それがどれだけの頻度で更新されるか、そしてその既知の限界が何であるかを述べるべきである。
定義された基準に照らして繰り返されるスケジュールでデータ品質を測定し、その結果をそのデータセットを所有する者に報告せよ。 何かが壊れたときにのみ検証される品質は、その間ずっと見えない形で劣化する。日常的な測定は、その劣化を可視で管理可能なトレンドに変える。
公表されたすべてのデータセットを、継続する公共価値と継続するリスクについて定期的に見直せ。 人口は変化し、再識別の技法は向上し、五年前には安全だった公表が、その後他の場所で新たに利用可能になったデータに照らして、今日は安全ではないかもしれない。
データを共有あるいは公表する決定を、それを移動させる技術チームから分離せよ。 目的、比例性、プライバシーのリスクを判断するのに最も適した人々は、パイプラインを構築するのに最も適した人々とはめったに同じではなく、この二つの役割を一つに集約することは、より困難な判断を十分に検証されないままにしてしまう。

チームで話し合うべき問い

私たちは、私たちの中核的なデータの実体のそれぞれについて、どのシステムが権威ある記録を保持しているかを知っているか、そして誰もが実際にそれをそう扱っているか? 多くの組織は、実務上、同じ情報の複数の「真の」コピーを持っている――請求システム、事案管理システム、通信ログの中の市民の住所であり、それらはすべてわずかに異なり、それぞれ誰かによって行動に移されている。この問いを使って、あなたの組織の中核的な実体(市民、事案、不動産、事業)を列挙し、それぞれについて単一の権威ある情報源が存在するのか、それとも職員が、どの目的にどのシステムを信頼すべきかを静かに学んでしまっているのかを正直に特定せよ。実体ごとに単一の権威ある情報源を指定し執行するには何が必要か、そして移行の中で何が壊れるかを議論せよ。これは通常、深刻な決定が誤ったコピーに基づいて下された後よりも、早期に修正するほうが安価である。

もしある人物が、なぜ同じ情報を私たち自身の組織の二つの部分に伝えなければならなかったのかと私たちに問うたら、私たちの正直な答えは何だろうか? 正直な答えはしばしば「私たちのシステムがそれを交換できないから」というものであり、これはプロセス上の要件を装った相互運用性の失敗である。この問いを使って、複数のチームやシステムにまたがる一つのサービスの旅路を選び、同じ事実が複数回取得される場所を段階的にたどれ。その繰り返しの要求が、新たな同意や検証の段階のような真の何かを保護しているのか、それとも単にデータ共有契約や共通スキーマの不在であるだけなのかを議論せよ。もう一年それを修正しないままにしておくことの、職員の時間だけでなく市民の信頼における費用を検討せよ。

決意あるジャーナリストや研究者が、私たちが現在匿名化されていると呼んでいるデータセットの中で誰かを再識別する最もありそうな場所はどこか? 非識別化されたデータを公表するほとんどの組織は、それを、準識別子の現実的な組み合わせや他の公開データセットとの照合リスクに照らしてストレステストしたことがない。この問いを使って、あなたの最もリスクの高い公表済みあるいはまもなく公表されるデータセットを選び、地元のニュース報道、別の機関のオープンデータセット、公的な登録簿といった、それと照らし合わせられうる他の情報を検討せよ。あなたの現行の非識別化のアプローチ(抑制、一般化、あるいはk匿名性や差分プライバシーのような正式な技法)が、その組み合わせに実際に耐えられるか、そして新しい外部データが利用可能になるにつれてそれを再検証する責任を誰が負っているかを議論せよ。

あるデータセットを公表すべきでないと言う権限を現在誰が持っており、私たちはその権限が正しい理由のために使われていると確信しているか? 既定で開くという方針にも、なお信頼に足る、十分に理由づけられた例外プロセスが必要であり、それを行使する人物は特定可能で説明責任を負うべきである。この問いを使って、あなたの組織における差し控えの決定が、文書化された基準に照らして名指しされた役割によって下されているのか、それとも非公式に、たまたま尋ねられた誰かによって、慎重さの側に誤って下されているのかを確認せよ。あなたの差し控え率が、注意深い事案ごとの判断のように見えるのか、それとも常設の制度的な反射のように見えるのか、そして差し控えられたデータセットの定期的な外部レビューが何を明らかにするかもしれないかを議論せよ。

機関間の私たちのデータ共有契約は、今もなおそれが書かれた目的のために使われているか? 目的制限は契約の中では述べやすいが、実務上、とりわけあるデータセットが元の署名者が一度も予期しなかった何かに有用であることが判明したときには静かに侵食されやすい。この問いを使って、二つか三つの稼働中の機関間のデータ共有の取り決めを選び、実際の現在の利用を、書面の目的と失効日と照らして確認せよ。もし不一致が見つかったら、どのガバナンスの段階が欠けているか、そして外部監査やジャーナリストがそうする前に、その種の漂流を捕捉する責任を誰が負うべきかを議論せよ。

もし私たちの相互運用性やデータ標準が、私たちのデータの正当な新しい利用への障壁になったら、私たちはそれが真の害を引き起こす前に気づくだろうか、それとも後になって気づくだろうか? 採択されたときには理にかなっていた標準は、ニーズと技術が変化するにつれて障害物へと硬直化しうるが、組織はめったに、これが自分自身の規則に起きていることに気づく仕組みを組み込まない。この問いを使って、あなたの組織が現在、そのデータ標準、識別子の制度、あるいは共有プロセスが今もなおその目的に仕えているかを、単に引き継がれ疑問視されないままであるのとは対照的に、どう見直しているかを議論せよ。ある標準が障害物になったことに気づくであろう人々――現場職員、パートナー組織、あなたのオープンデータを用いる外部の開発者――が、それを提起する真のチャンネルを持っているか、そしてそのチャンネルが実際にある標準を変えたことがあるかを検討せよ。

実践において:公共価値の事例

ある地域の社会福祉機関と、別個の地域保健当局――実在するいかなる機関の報告でもなく、あるパターンを例示するための架空のもの――は、十年間、互換性のない事案管理システムを運営しており、両方に知られている家族が異なる参照番号のもとで記録され、住宅支援の案件負荷に現れる世帯が、小児期のアウトリーチの案件負荷に現れる世帯と同じであると機関の職員に伝える信頼できる方法がなかった。この二つのサービスの間のギャップに落ち込むリスクのある子どもを特定する共同プログラムは繰り返し頓挫したが、それは政治的な意志の欠如のためではなく、どの家族が両方の種類の支援を必要としているかについて、単一の信頼できる統合された視点を誰も生み出せなかったためだった。

この二つの機関は最終的に、共有された世帯識別子と、両方のシステムが交換する必要のある項目についての共通スキーマを採用した。これは、それまで両方が頼っていた定期的なスプレッドシートのエクスポートではなく、統治されたAPIを通じて構築され、特定の目的――リスクのある世帯への支援を調整すること――を名指しし、年次見直しを要求するデータ共有契約のもとで行われた。一年以内に、両側のケースワーカーは、初めて、どの家族が他方のサービスに知られているかを見ることができるようになり、以前は手作業の相互確認に頼っていた合同ケースカンファレンスが日常的になった。この機関はさらに進み、地区ごとに合同支援を受けている世帯数を示す、集計された地域レベルのオープンデータセットを公表した。これは、地元の慈善団体が自分たち自身のアウトリーチを標的にするのを助け、選出された議員が、その合同プログラムが設計された地域に届いているかどうかを確認できるようにすることを意図していた。

大学の研究者と協力していた地元のデータ権利の擁護者は、公表された地区レベルの数値が、地元の交通当局からの、同じく善意で公表された別のオープンデータセット――小地域ごとの割引運賃の申請を示す――と照らし合わせられることを発見した。これによって、一部の地区は、特定の家族がもっともらしく特定できるほど小さな世帯数に絞り込むことができ、とりわけ、両方のデータセットが一桁の世帯数を数えていた人口密度の低い農村地区でそうだった。いずれのデータセットも単独では開示的ではなかったが、組み合わさると、最も人口の少ない地域では開示的だった。オープンデータセットを完全に撤回するというこの機関の最初の直感は、それがすでに届け始めていた説明責任と慈善団体の標的化の価値を破壊してしまったであろう。代わりに、同じ擁護者と協力して、彼らは、小さな数値に較正されたノイズを加える差分プライバシーのアプローチを用いてそのデータセットを再公表し、広範な地域のパターンを見つけるためのその有用性を保ちながら、いかなる単一の人口の少ない地区の真の数値も、元の公表を露呈させた照合攻撃を打ち負かすのに十分なほど不確かにした。この出来事は、なぜ非識別化が、データセットを単独で見るのではなく、他に何が公に利用可能であるかに照らして評価されなければならないかについて、この二つの機関がその後の職員研修で用いる事例研究になった。

四つのセクター別視点

地方自治体

地方自治体は通常、国の機関よりも、奉仕する住民一人あたり、より多くの別個の、より古く、より統合されていないシステムを運営している。なぜなら、住宅、計画、廃棄物、社会ケアといった、何十年にもわたって個別に調達された部署のシステムは、互いにデータを共有するよう構築されることはめったになかったからである。これは、相互運用性を、それが外部の戦いになるよりずっと前に、真に内部の戦いにする。一週間のうちに三つの議会の部署とやり取りする住民は、そのいずれもが他が知っていることを見ることができないことに気づくかもしれない。一方、地方のオープンデータは、異例なほど直接的な市民的価値を持つ傾向がある――ごみ収集のスケジュール、計画の申請、地元の支出――なぜなら、住民や地元のジャーナリストは、国のデータセットがめったに提供しない具体性のレベルでそれに関与するからであり、これは、控えめで日常的なデータセットについてさえ、メタデータと更新頻度を正しくすることの利害を高める。

国の政府

国の政府は通常、最も完全な範囲のデータガバナンスと相互運用性の道具――国のデータ戦略、政府横断の識別子の制度、義務づけられたオープンデータのポータル、専用のデータ保護規制当局――を運用しているが、何十年にもわたる政権をまたいで蓄積された膨大な数のレガシーシステムは、技術的相互運用性を、一回限りのプロジェクトではなく、持続的で高価な背景作業にしている。国のオープンデータのプログラムは、まさに、国のデータセットが真に価値があるほど大きく、他の国の登録簿と照らし合わされたときに個人を特定できるほど詳細であるために、不釣り合いな再識別のリスクを伴う。今や多くの政府が公表している国のデータ戦略の文書は、非識別化を政策の注目に値しない実施の詳細として扱うのではなく、プライバシーを保護する開示の技法をますます明示的に名指ししている。

社会セクターと非営利団体

非営利団体や非政府組織(NGO)は、オープンデータの義務にめったに従わないが、プログラムデータが透明に共有されるべきだという資金提供者、規制当局、公衆からの並行した期待にますます直面しており、暴力の生存者、極度の貧困にある人々、書類を持たない住民といった、再識別のリスクが、政府のデータセットにおける一般人口の場合よりもはるかに高い個人的な代償を伴う人口とともに働くことが多い。データ共有契約はここで不釣り合いに重要である。なぜなら、非営利団体は頻繁に、自分たちが書いたわけではない契約のもとで、クライアントのデータを政府の資金提供者やパートナー組織と共有しており、資金供給に添付されているいかなるデータ共有条件も単純に受け入れるのではなく、目的制限を交渉する能力を必要とするからである。より大きな政府やフィランソロピーの資金提供者によって採用された相互運用性の標準は、小規模な組織の限られた技術能力にとって真の負担になりうる。これは、標準の採用を無償だと扱うのではなく、名指しする価値のある現実の費用である。

多国間・国際機関

多国間機関は、著しく異なるガバナンスの成熟度、統計能力、プライバシーのための法制度を持つ加盟国にわたってデータを集約しており、これは、意味的相互運用性――共有される項目が実際に何を意味するかについての合意――を、技術的であると同時に持続的な外交上の問題にもする。「世帯」や「失業」ほど基本的な用語でさえ、国によって十分に異なる形で定義されているため、国際統計機関は、国を横断したデータを真に比較可能にするためだけに、統計データ・メタデータ交換(SDMX)形式のような、まるまる一つの基準を維持している。この水準のオープンデータは、トピック1.4「公共財・メリット財・価値多元主義」が示す意味で、特に明確な公共財として機能する。なぜなら、いかなる単一の加盟国も、グローバルな比較データセットに単独で資金を出すインセンティブを持たないが、多国間機関が一度それを公表すれば、すべての国家と研究者が恩恵を受けるからである。データ主権への懸念は、単一国の文脈よりもここでより深く及ぶ。ある加盟国は、法的に差し控える権利を持つデータの共有に抵抗するかもしれず、あるいは多国間機関が自国の数値をどう分類あるいは集計したかに異議を唱えるかもしれず、これは、共有された統計を誰が統制するかというガバナンスの問いを、それがどう交換されるかという技術的な問いと同じくらい重大なものにする。

よくある失敗パターン

静かなデータのサイロ。 システムが、共有された識別子やスキーマなしに組織全体にわたって独立して蓄積し、その代償は、特定の事案――安全確保の失敗、監査、サービスの停止――が、迅速に生み出すことが不可能だと判明する統合された視点を必要とするまで隠れたままである。その時点で、サイロの費用は一度にすべて可視化され、圧力のもとで修正するのに高くつく。
匿名化という演劇。 あるデータセットから名前と明白な識別子が取り除かれ、その後、準識別子や他の利用可能なデータに対する結合リスクのいかなる評価もないまま、公表しても安全だと扱われる。その代償は、研究者、ジャーナリスト、あるいは擁護者が再識別が可能であることを示したとき、しばしば公然と恥をかく形で表面化し、その時点で、組織のプライバシーについての信頼性は、関与した特定のデータセットをはるかに超えて損なわれる。
所有者のいないガバナンス。 データガバナンスの方針は紙の上には存在するが、いかなる特定のデータセットの品質や最新性についても具体的な人物が説明責任を負っておらず、そのため基準は静かに劣化し、そのデータが実際には支えられない決定のために依拠されるまで誰も気づかない。これは特に一般的な失敗である。なぜなら、方針文書そのものが完全に見え、その下に実際に説明責任を負う者が誰もいないことを覆い隠すからである。
資源配分のない義務による相互運用性。 共有スキーマや識別子の制度が中央で義務づけられるが、それを採用することを期待されるチームのために一度も資金供給されず、そのためコンプライアンスは、真の使用可能な相互運用性ではなく、チェックボックスの演習――技術的には存在するが適切に記入されていない項目――になる。その代償は、共有された標準が存在するという偽りの感覚であり、誰かがそれが標準化するはずだったデータに実際に依拠しようとしたときにのみ発見される。
オープンウォッシング。 ある組織がダッシュボードと要約の可視化を公表し、これをオープンデータと呼ぶが、第三者が何か新しいものを構築するために必要とする根底にある機械可読なデータセットは未公表のまま、あるいは誰も実際には再利用できない形式で公表されたままである。これは、トピック3.4「説明責任、透明性、正当性」が記述する透明性と開放性の見た目を、その実質を伴わずに捉えており、そのダッシュボードが印象的に見えるために、しばしば真のオープンデータ・プログラムと誤解される。

成熟度モデル

サブディメンション	開始	発展	標準化	管理	統合運用
データスチュワードシップと所有権	ほとんどのデータセットに名指しされた所有者がおらず、品質の問題は偶然発見される	一部の注目度の高いデータセットには非公式な所有者がおり、品質は大きく異なる	すべての中核的なデータセットに、定義された責任を持つ名指しされたスチュワードがいる	データ品質が基準に照らして測定され、日常的にスチュワードに報告される	スチュワードシップが組織の境界を越えて拡張され、共有されたデータセットには共同で説明責任を負う所有者がいる
相互運用性の標準	システムは独立して構築され、データを手作業のエクスポートで交換するか、まったく交換しない	一部の領域には共有スキーマが存在するが、一貫性なく採用されている	共通スキーマと識別子の制度が義務づけられ、統治されたAPIを通じて実装されている	相互運用性の実績が監視され、ギャップが是正と資金供給を発動させる	標準がパートナー組織や他の法域と共同で発展させられ、先取り的に適応させられる
オープンデータの公表	公表はその場限りで、文書化されておらず、個人の主体性に依存している	データ目録は存在するが不完全あるいは古く、メタデータは薄い	既定で開くことが方針であり、公表されていないすべてのデータセットには文書化された理由がある	公表が再利用とインパクトについて測定され、目録が積極的に維持される	公表が外部の需要を先取りし、他の機関のオープンデータ・プログラムと調整される
プライバシーを保護する開示	非識別化とは、リスク評価なしに明白な識別子だけを取り除くことを意味する	リスクは、注目度の高い公表についてのみ非公式に評価される	結合リスクを含む定義された再識別リスク評価が、すべての個人データの公表の前に実施される	正式な技法(k匿名性、差分プライバシー)が比例的に適用され、定期的に見直される	新しい外部のデータセットが利用可能になるにつれて開示リスクが継続的に再評価され、過去の公表が見直される

チェックリスト

あなたの組織の各中核的なデータ実体について、権威ある情報源のシステムを特定する。
実質的に重要なすべてのデータセットに、名指しされた説明責任のあるスチュワードがいることを確認する。
新しいデータプロジェクトについて、独自のスキーマを設計する前に、すでに共有スキーマや標準が存在するかを確認する。
それを用いるシステム全体にわたる持続性と一貫性について、一意識別子の設計を見直す。
少なくとも一つの繰り返される手作業あるいはスプレッドシートに基づくデータ交換を、統治されたAPIに置き換える。
すべての稼働中の機関間データ共有契約が、その目的、法的根拠、失効を述べており、現在の実際の利用と一致していることを確認する。
個人情報を含むいかなるデータセットを公表する前にも、他の公開データセットとのもっともらしい結合を含む再識別リスク評価を実施する。
小規模な人口やまれな特性を含むいかなる公表にも、k匿名性や差分プライバシーのような正式なプライバシー保護技法を適用する。
あなたのオープンデータ目録が、単なるファイル名ではなく、真の最新のメタデータを含んでいることを確認する。
新たに利用可能になった外部データに照らして、以前公表されたデータセットを新たな再識別リスクについて見直す。
差し控えの決定が、文書化された基準に照らして、名指しされた説明責任のある役割によって下されていることを確認する。
上記六つの討議設問をあなたのチームに問い、正直な答えが公式の答えと異なる箇所を記録する。

主要情報源

International Open Data Charter、その六つの原則、そして既定で開く公表についてのその指針。
OECD Recommendation of the Council on Enhancing Access to and Sharing of Data (2021年)。
US National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees。
開示回避と、十年ごとの国勢調査データへの差分プライバシーの適用についての米国国勢調査局の資料。
差分プライバシーを形式化したシンシア・ドワークの基礎的な研究、および統計的開示統制についてのより広い学術文献。
マーク・H・ムーアの戦略的三角形と、トピック1.4「公共財・メリット財・価値多元主義」が示す公共財の論理 — このトピックが依拠する枠組みとして。

参考文献

Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/