Data, interoperabiliteit en open data in de publieke sector

Waarom dit ertoe doet bij publieke waarde

Elk publiek orgaan bezit al meer data dan het goed gebruikt. Een belastingdienst, een ziekenhuisnetwerk, een vervoersagentschap en een lokaal planologisch kantoor verzamelen elk informatie als bijproduct van het draaien van een dienst, en ontdekken elk, doorgaans te laat, dat het dossier dat ze nodig hebben om de vraag van een burger te beantwoorden of een geschil te beslechten in een systeem zit dat niemand anders in de organisatie kan bevragen. De kosten zijn niet abstract: een burger die één agentschap al zijn adres heeft verteld, zou het niet opnieuw aan een ander agentschap binnen dezelfde overheid hoeven te vertellen.

In de titel van dit onderwerp zitten twee afzonderlijke ambities, en publieke organen halen ze routinematig door elkaar. De eerste is interoperabiliteit – data betrouwbaar laten bewegen tussen systemen die verschillende teams en technologische tijdperken onafhankelijk bouwden, zodat het ene deel van de overheid kan handelen op wat een ander deel al weet. De tweede is openheid – data volledig buiten de overheid publiceren, zodat journalisten, onderzoekers en burgers haar kunnen gebruiken voor doeleinden die het publicerende orgaan nooit voorzag. Interoperabiliteit is vooral een engineering- en bestuursprobleem; openheid is een publieke waarde op zichzelf, van dezelfde familie als de publieke goederen beschreven in Onderwerp 1.4 — Collectieve goederen, meritgoederen en waardenpluralisme, omdat gepubliceerde data niet-rivaliserend is en niemand er eenmaal vrijgegeven gemakkelijk van kan worden uitgesloten, zodat een markt alleen haar te weinig zou aanbieden.

Beide ambities botsen met een derde feit dat dit onderwerp als echte, onopgeloste spanning behandelt en niet als probleem met een nette oplossing: data die gedetailleerd genoeg is om nuttig te zijn, is vaak gedetailleerd genoeg om het individu te identificeren dat ze beschrijft, zelfs nadat namen en voor de hand liggende identificatoren zijn verwijderd. Een overheid die rijk publiceert en een overheid die de mensen in haar dossiers goed beschermt, trekken aan dezelfde hefboom in verschillende richtingen, en de groeiende honger naar data om algoritmische systemen te trainen en te evalueren (zie Onderwerp 5.2 — AI en algoritmische besluitvorming bij de overheid) heeft de inzet verhoogd, omdat meer actoren dan ooit publieke data willen op precies de granulariteit die vrijgave het riskantst maakt. Een leider die bestuur, interoperabiliteit en openheid als één probleem behandelt, met privacy als permanente randvoorwaarde, is beter geplaatst om de waarde van dit onderwerp te vangen dan iemand die ze elk afzonderlijk behandelt.

Kernbegrippen

Databestuur (data governance) is de set van beslissingsrechten, normen en verantwoordelijkheden die bepalen wie de data van een organisatie mag creëren, wijzigen, raadplegen en afvoeren, en aan welke kwaliteitsnorm ze moet worden gehouden (zie data governance). Het is te onderscheiden van databeheer, het operationele werk van data dagelijks verplaatsen en opslaan; bestuur bepaalt de regels, beheer voert ze uit. Een publiek orgaan zonder databestuur heeft nog steeds data, maar niemand kan met zekerheid zeggen welk exemplaar van het dossier van een burger het gezaghebbende is, of wie verantwoordelijk is wanneer dat dossier onjuist blijkt.

Een datasteward is de genoemde persoon of rol die verantwoordelijk is voor de kwaliteit, definitie en passend gebruik van een specifieke dataset, te onderscheiden van het technische personeel dat de systemen bedient waarin ze leeft (zie data steward). Stewardship doet ertoe omdat datakwaliteit standaard vervalt: een veld waarvoor niemand verantwoordelijk is, verzamelt inconsistente invoer, dubbele records en stille afwijking tussen wat een veld moet betekenen en wat personeel er werkelijk in zet. Een steward aan een dataset toewijzen verandert datakwaliteit van een af en toe uitgevoerde opschoonoefening in een voortdurende, genoemde verantwoordelijkheid.

Interoperabiliteit is het vermogen van onafhankelijk gebouwde systemen om data uit te wisselen en correct te gebruiken zonder speciale, eenmalige engineering voor elk betrokken paar systemen (zie interoperability). Zij werkt op drie niveaus die gemakkelijk door elkaar worden gehaald: technische interoperabiliteit (kunnen de systemen überhaupt verbinden en bytes verplaatsen, doorgaans via een applicatie-interface, of API, een omschreven manier waarop het ene stuk software gegevens of actie van een ander kan vragen – zie application programming interface); semantische interoperabiliteit (bedoelen beide systemen hetzelfde met een gedeeld veld, zoals “huishouden” of “actief dossier”); en organisatorische interoperabiliteit (zijn de twee organisaties het eens over waarom de data wordt gedeeld en wie verantwoordelijk is voor wat daarna gebeurt). De meeste kostbare interoperabiliteitsfalen gebeuren op het semantische of organisatorische niveau, ook als de technische verbinding perfect werkt.

Een gemeenschappelijk schema, of datastandaard, is een overeengekomen, gepubliceerde structuur voor hoe een categorie data wordt weergegeven – veldnamen, formaten, eenheden en toegestane waarden – overgenomen door meer dan één systeem of organisatie zodat data geproduceerd door het ene door het andere kan worden gebruikt zonder handmatige vertaling. Overheidsorganen die een gedeeld schema aannemen voor iets zo eenvoudigs als een adres of een dossierstatus, zetten tientallen mogelijke bilaterale vertaalproblemen om in één standaard die elk nieuw systeem eenvoudig kan implementeren. Een unieke identificator die over systemen en in de tijd blijft bestaan – een dossiernummer, een bedrijfsregistratienummer, een burgerreferentie – is het specifieke mechanisme waarmee records over dezelfde persoon of entiteit correct kunnen worden gekoppeld, en een verkeerd ontwerp van de identificator (nummers hergebruiken, formaten wijzigen of er geen hebben) is een van de meest voorkomende, vermijdbare oorzaken van interoperabiliteitsfalen.

Metadata is data over data – de beschrijving van de structuur, herkomst, vernieuwingsfrequentie en betekenis van een dataset, samen met de data zelf gepubliceerd zodat een gebruiker die haar niet maakte haar kan begrijpen en vertrouwen (zie metadata). Een dataset zonder toereikende metadata is voor niemand buiten het team dat haar produceerde nauwelijks bruikbaar, hoe open haar licentie ook is; metadata is wat een bestandsdump verandert in iets wat een derde partij werkelijk kan hergebruiken.

Een gegevensdelingsovereenkomst is een formele regeling tussen agentschappen, of tussen een publiek orgaan en een externe partner, die vastlegt voor welk doel data mag worden gebruikt, de rechtsgrond voor het delen ervan, hoe lang ze mag worden bewaard en wat er gebeurt als het doel verandert. Doelbinding – het gebruik van gedeelde data beperken tot het doel waarvoor ze werd verzameld of gedeeld – is de discipline die voorkomt dat een gegevensdelingsovereenkomst een onbegrensde vergunning wordt om persoonsgegevens voor andere doelen te gebruiken, en het ontbreken ervan is een terugkerend thema in vertrouwensfalen rond data tussen agentschappen.

Open data is data die vrij beschikbaar wordt gesteld zodat iedereen haar kan raadplegen, gebruiken en herverspreiden, voor elk doel, doorgaans machineleesbaar en vrijgegeven onder een licentie die hergebruik toestaat en niet louter bekijken (zie open data). Haar publieke-waardezaak volgt de logica van publieke goederen uit Onderwerp 1.4 — Collectieve goederen, meritgoederen en waardenpluralisme: zodra een dataset is gepubliceerd, vermindert het gebruik door de een dat van een ander niet, en de overheid is vaak de enige actor met zowel de juridische status als de schaal om haar in de eerste plaats te verzamelen en te publiceren, zodat private markten alleen dit soort informatie chronisch te weinig aanbieden. Open data maakt verantwoording mogelijk (journalisten en burgers die de eigen beweringen van de overheid controleren aan haar eigen dossiers), innovatie door derden (bedrijven en civic technologists die diensten bouwen bovenop publieke data die de overheid zelf nooit zal bouwen) en betere publieke beslissingen elders in de economie, allemaal zonder dat het publicerende orgaan elk gebruik vooraf hoeft te voorzien.

Heridentificatie (re-identification) is het proces van het vergelijken van zogenaamd geanonimiseerde data met andere beschikbare informatie om uit te zoeken welke echte persoon een record beschrijft, en het is het centrale technische feit dat de privacyspanning in dit onderwerp onvermijdelijk maakt en niet slechts ongemakkelijk (zie data re-identification). Het verwijderen van een naam, of een voor de hand liggende identificator zoals een burgerservicenummer of sofinummer, verwijdert het risico niet: een combinatie van quasi-identificatoren zoals leeftijd, postcode en een zeldzame medische aandoening kan iemand uniek identificeren, zelfs in een dataset die hem nooit noemde, vooral wanneer ze wordt gekruist met een andere, afzonderlijk openbare dataset. K-anonimiteit is een formele manier om over dit risico te redeneren: een dataset voldoet aan k-anonimiteit als elke combinatie van quasi-identificerende velden die ze bevat door minstens een omschreven aantal, k, records wordt gedeeld, zodat geen enkele rij kan worden geïsoleerd tot minder dan k mogelijke mensen (zie k-anonymity). Differentiële privacy is een recentere, wiskundig rigoureuze benadering die zorgvuldig gekalibreerde statistische ruis toevoegt aan een dataset of aan de resultaten van bevragingen ervan, zodat de aan- of afwezigheid van het record van een afzonderlijk individu de gepubliceerde uitvoer met slechts een begrensd, bewijsbaar bedrag verandert, ongeacht wat een aanvaller al weet (zie differential privacy). Privacy by design is het bredere beginsel dat privacybescherming vanaf het begin in de architectuur van een systeem moet worden ingebouwd, als standaardinstelling, in plaats van er vlak vóór publicatie als redactiestap op te worden geplakt (zie privacy by design); voor de hand liggende identificatoren achteraf wegwerken is de zwakste vorm van deze discipline, geen vervanging ervoor.

Beste praktijken

1. Benoem een verantwoordelijke steward voor elke dataset die ertoe doet, niet alleen een centraal databureau. Een databureau kan normen vaststellen, maar kan niet weten of een specifiek veld in een specifiek systeem nog betekent wat het moest betekenen; dat oordeel hoort bij iemand dicht bij het werkelijke gebruik van de data.
2. Publiceer standaard open, en documenteer de specifieke reden wanneer u dat niet doet. Het omkeren van de standaard – een rechtvaardiging eisen om achter te houden in plaats van een rechtvaardiging om te publiceren – brengt echte gevoeligheden naar voren voor individuele toetsing in plaats van voorzichtigheid zonder onderscheid op alles toe te passen.
3. Neem een bestaand, gedeeld schema over voordat u een nieuw ontwerpt. Een bespoke datastructuur die perfect bij één project past en bij niets anders in de overheid aansluit, garandeert toekomstige integratiekosten; controleer wat uw sector, rechtsgebied of een internationale normeringsorganisatie al heeft gepubliceerd voordat u uw eigen bouwt.
4. Ontwerp blijvende, goed beheerde unieke identificatoren voordat een systeem live gaat, niet erna. Een identificatorschema achteraf aanbrengen op records die jarenlang onder inconsistente sleutels zijn opgehoopt, is dramatisch duurder dan het ontwerp in het begin goed doen.
5. Bouw gegevensuitwisseling via beheerde API’s in plaats van eenmalige bestandsoverdrachten. Een API die een schema afdwingt, toegang logt en kan worden geversioneerd geeft u een beheersbaar, controleerbaar interoperabiliteitspunt; een spreadsheet die tussen departementen wordt gemaild geeft u niets daarvan en niemand merkt het wanneer ze veroudert.
6. Schrijf gegevensdelingsovereenkomsten die het doel, de rechtsgrond en de vervaldatum vermelden, niet alleen het technische mechanisme. Een overeenkomst die vastlegt hoe data beweegt maar niet waarom, of hoe lang, overleeft doorgaans het doel dat haar rechtvaardigde en wordt stilletjes een vergunning voor iets wat niemand expliciet machtigde.
7. Behandel de-identificatie als een risicobeoordeling met een restresultaat, niet als een eenmalige redactietaak. Vraag welke andere publieke of koopbare datasets tegen degene die u wilt vrijgeven kunnen worden gekoppeld en dimensioneer het heridentificatierisico aan dat realistische dreigingsmodel, niet aan een geïdealiseerde aanvaller zonder externe informatie.
8. Pas differentiële privacy of een gelijkwaardige formele techniek toe op elke vrijgave die kleine populaties of zeldzame kenmerken betreft. Eenvoudige onderdrukking of generalisatie van voor de hand liggende identificatoren is ontoereikend zodra een dataset iets bevat dat ongewoon genoeg is om op zichzelf te identificeren, zoals een zeldzame aandoening, een kleine lokale bevolking of een transactie met hoge waarde.
9. Onderhoud een openbare, actuele datacatalogus met echte metadata, niet slechts een lijst bestandsnamen. Een dataset die een potentiële gebruiker niet goed genoeg kan begrijpen om haar te vertrouwen, is functioneel ongepubliceerd, hoe ruim haar licentie ook is; catalogusitems moeten zeggen wat een veld betekent, hoe vaak het wordt bijgewerkt en wat de bekende beperkingen zijn.
10. Meet datakwaliteit aan omschreven normen volgens een terugkerend schema en rapporteer de resultaten aan wie de dataset beheert. Kwaliteit die alleen wordt gecontroleerd wanneer iets breekt, vervalt lange tijd onzichtbaar tussendoor; een routinemeting maakt van verval een zichtbare, beheersbare trend.
11. Toets elke gepubliceerde dataset periodiek op voortdurende publieke waarde en voortdurend risico. Bevolkingen veranderen, heridentificatietechnieken verbeteren en een vrijgave die vijf jaar geleden veilig was, is het misschien vandaag niet meer tegen data die sindsdien elders nieuw beschikbaar is gekomen.
12. Scheid het besluit om data te delen of te publiceren van het technische team dat haar verplaatst. De mensen die het best geplaatst zijn om doel, proportionaliteit en privacyrisico te beoordelen, zijn zelden dezelfde mensen die het best geplaatst zijn om de pijplijn te bouwen, en beide rollen in één samenvoegen laat het moeilijkere oordeel onderbelicht.

Vragen om met uw team te bespreken

Weten wij welk systeem het gezaghebbende record bevat voor elk van onze kerndata-entiteiten, en behandelt iedereen het ook zo? Veel organisaties hebben in de praktijk meerdere “ware” exemplaren van dezelfde informatie – het adres van een burger in het factureringssysteem, het dossiersysteem en het correspondentielogboek, allemaal licht verschillend en allemaal waarop door iemand wordt gehandeld. Gebruik deze vraag om de kernentiteiten van uw organisatie (burger, dossier, vastgoed, bedrijf) op te sommen en eerlijk vast te stellen of voor elk één gezaghebbende bron bestaat of dat personeel stilletjes heeft geleerd welk systeem voor welk doel te vertrouwen. Bespreek wat nodig zou zijn om één gezaghebbende bron per entiteit aan te wijzen en af te dwingen en wat er bij de overgang zou breken. Dit is doorgaans goedkoper vroeg te herstellen dan nadat een ernstig besluit op het verkeerde exemplaar is genomen.

Als iemand ons vroeg waarom hij dezelfde informatie aan twee delen van onze eigen organisatie moest geven, wat zou ons eerlijke antwoord zijn? Het eerlijke antwoord is vaak “omdat onze systemen het niet kunnen uitwisselen”, wat een interoperabiliteitsfalen is dat als procesvereiste is verkleed. Gebruik deze vraag om één dienstentraject te kiezen dat meer dan één team of systeem beslaat en stap voor stap te volgen waar hetzelfde feit meer dan eens wordt vastgelegd. Bespreek of het herhaalde verzoek iets werkelijks beschermt – een verse toestemming, een verificatiestap – of simpelweg het ontbreken is van een gegevensdelingsovereenkomst of gemeenschappelijk schema. Overweeg wat het zou kosten, in burgervertrouwen en in personeelstijd, om het nog een jaar onopgelost te laten.

Waar zou een vastberaden journalist of onderzoeker het meest aannemelijk iemand kunnen heridentificeren in een dataset die wij nu geanonimiseerd noemen? De meeste organisaties die gede-identificeerde gegevens publiceren, hebben haar niet gestresstest tegen een realistische combinatie van quasi-identificatoren en andere publieke datasets. Gebruik deze vraag om uw hoogste-risicodataset te kiezen, gepubliceerd of binnenkort te publiceren, en door te lopen welke andere informatie – een lokaal nieuwsbericht, de open dataset van een ander agentschap, een openbaar register – aannemelijk ertegen kan worden gekoppeld. Bespreek of uw huidige de-identificatiebenadering (onderdrukking, generalisatie of een formele techniek als k-anonimiteit of differentiële privacy) die combinatie werkelijk zou doorstaan en wie verantwoordelijk is voor het opnieuw toetsen ervan naarmate nieuwe externe data beschikbaar komt.

Wie heeft op dit moment de bevoegdheid te zeggen dat een dataset niet mag worden gepubliceerd, en zijn wij ervan overtuigd dat die bevoegdheid om de juiste redenen wordt gebruikt? Een standaard-opendatabeleid heeft nog altijd een geloofwaardig, goed beredeneerd uitzonderingsproces nodig, en de persoon die het uitoefent moet identificeerbaar en verantwoordelijk zijn. Gebruik deze vraag om te controleren of besluiten tot achterhouden in uw organisatie worden genomen door een genoemde rol aan de hand van gedocumenteerde criteria, of informeel, door wie toevallig wordt gevraagd en aan de veilige kant kiest. Bespreek of uw achterhoudpercentage meer lijkt op zorgvuldig oordeel per geval of op een vaste institutionele reflex, en wat een periodieke externe toetsing van achtergehouden datasets zou kunnen onthullen.

Worden onze gegevensdelingsovereenkomsten tussen agentschappen nog gebruikt voor het doel waarvoor ze zijn geschreven? Doelbinding is gemakkelijk vast te leggen in een overeenkomst en gemakkelijk stilletjes uit te hollen in de praktijk, vooral zodra een dataset nuttig blijkt voor iets wat de oorspronkelijke ondertekenaars nooit voorzagen. Gebruik deze vraag om twee of drie lopende regelingen voor gegevensdeling tussen agentschappen te kiezen en het werkelijke huidige gebruik te controleren aan het schriftelijke doel en de vervaldatum. Bespreek welke bestuursstap ontbreekt als een mismatch opduikt en wie verantwoordelijk moet zijn om dat soort afwijking te vangen voordat een externe audit of journalist dat doet.

Als onze interoperabiliteits- of datastandaarden een barrière werden voor een legitiem nieuw gebruik van onze data, zouden wij dat dan vóór of na echte schade ontdekken? Standaarden die verstandig waren toen ze werden overgenomen, kunnen verstenen tot obstakels naarmate behoeften en technologie veranderen, en organisaties bouwen zelden een mechanisme in om op te merken dat dit met hun eigen regels gebeurt. Gebruik deze vraag om te bespreken hoe uw organisatie nu toetst of haar datastandaarden, identificatorschema’s of deelprocessen hun doel nog dienen, tegenover simpelweg geërfd en onbevraagd te zijn. Overweeg of de mensen die zouden merken dat een standaard een obstakel is geworden – frontlinie-personeel, partnerorganisaties, externe ontwikkelaars die uw open data gebruiken – een echt kanaal hebben om dat aan te kaarten en of dat kanaal ooit werkelijk een standaard heeft veranderd.

In de praktijk: een voorbeeld van publieke waarde

Een regionaal agentschap voor sociale welvaart en een afzonderlijke regionale gezondheidsautoriteit – fictief, illustratief voor een patroon en geen verslag over bestaande organen – draaiden een decennium lang onverenigbare dossiersystemen, zodat een gezin dat bij beide bekend was onder verschillende referentienummers kon worden geregistreerd, zonder betrouwbare manier om personeel van het agentschap te vertellen dat het huishouden dat in een huisvestingsondersteuningsbestand verscheen hetzelfde huishouden was dat in een pediatrisch outreachbestand verscheen. Een gezamenlijk programma om kinderen te identificeren die dreigden door de kloof tussen de twee diensten te vallen, stagneerde herhaaldelijk, niet door gebrek aan politieke wil maar omdat niemand één enkel, betrouwbaar gecombineerd beeld kon maken van welke gezinnen beide soorten ondersteuning nodig hadden.

De twee agentschappen namen uiteindelijk een gedeelde huishoudidentificator en een gemeenschappelijk schema aan voor de velden die beide systemen moesten uitwisselen, gebouwd via een beheerde API in plaats van de periodieke spreadsheetexports waarop elk eerder had geleund, onder een gegevensdelingsovereenkomst die het specifieke doel noemde – ondersteuning coördineren voor huishoudens in de risicozone – en jaarlijkse toetsing eiste. Binnen een jaar konden casemanagers aan beide kanten voor het eerst zien welke gezinnen bij de andere dienst bekend waren, en gezamenlijke dossieroverleggen die eerder op handmatige kruiscontrole leunden, werden routine. De agentschappen gingen vervolgens verder en publiceerden een geaggregeerde open dataset op gebiedsniveau die het aantal huishoudens met gecombineerde ondersteuning per wijk toonde, bedoeld om lokale goede doelen te helpen hun eigen outreach te richten en gekozen raadsleden te laten zien of het gezamenlijke programma de gebieden bereikte waarvoor het was ontworpen.

Een lokale pleitbezorger voor datarechten ontdekte, samen met een universitaire onderzoeker, dat de gepubliceerde cijfers op wijkniveau konden worden gekruist met een afzonderlijk gepubliceerde, even goedbedoelde open dataset van de lokale vervoersautoriteit – die aanvragen voor gesubsidieerde tarieven per klein gebied toonde – om sommige wijken terug te brengen tot huishoudaantallen die klein genoeg waren om specifieke gezinnen aannemelijk te kunnen identificeren, vooral in dun bevolkte plattelandswijken waar beide datasets enkelcijferige aantallen huishoudens telden. Geen van beide datasets was op zichzelf onthullend; gecombineerd, in de minst bevolkte gebieden, waren ze dat wel. Het eerste instinct van de agentschappen, de open dataset helemaal intrekken, zou de verantwoording en de waarde voor het richten van goede doelen die zij al begon te leveren hebben vernietigd. In plaats daarvan publiceerden zij de dataset, samen met dezelfde pleitbezorger, opnieuw met een benadering van differentiële privacy die gekalibreerde ruis aan kleine aantallen toevoegde, waarmee de bruikbaarheid ervan voor het opsporen van brede regionale patronen behouden bleef terwijl het ware aantal van een afzonderlijke wijk met lage bevolking voldoende onzeker werd om de kruisreferentieaanval te verijdelen die de oorspronkelijke vrijgave had blootgelegd. De episode werd de casestudy die de agentschappen in hun eigen daaropvolgende personeelstraining gebruikten, om uit te leggen waarom de-identificatie moet worden beoordeeld aan wat er verder openbaar beschikbaar is en niet aan de dataset in isolatie.

Vier sectorperspectieven

Lokale overheid

Een lokale autoriteit draait doorgaans meer verschillende, oudere en minder geïntegreerde systemen per bediende inwoner dan een nationaal orgaan, omdat decennia van afzonderlijk aangeschafte departementale systemen – huisvesting, ruimtelijke ordening, afval, sociale zorg – zelden waren gebouwd om data met elkaar te delen. Dat maakt interoperabiliteit een werkelijk interne strijd voordat zij ooit een externe is: een inwoner die in één week met drie gemeentelijke afdelingen te maken heeft, kan merken dat geen van hen kan zien wat de anderen al weten. Lokale open data heeft ondertussen doorgaans een ongewoon directe burgerlijke waarde – ophaalschema’s van afval, bouwaanvragen, lokale uitgaven – omdat inwoners en lokale journalisten ermee omgaan op een specificiteitsniveau dat nationale datasets zelden bieden, wat de inzet op het goed krijgen van metadata en vernieuwingsfrequentie verhoogt, zelfs voor bescheiden, alledaagse datasets.

Nationale overheid

Nationale overheden hanteren doorgaans het volledigste scala aan instrumenten voor databestuur en interoperabiliteit – een nationale datastrategie, identificatorschema’s over de overheid heen, verplichte open-dataportalen en speciale gegevensbeschermingstoezichthouders – maar het enorme aantal legacysystemen dat zich over decennia en besturen heeft opgehoopt maakt technische interoperabiliteit een hardnekkige, dure achtergrondtaak en geen eenmalig project. Nationale open-dataprogramma’s dragen onevenredig heridentificatierisico precies omdat nationale datasets groot genoeg zijn om werkelijk waardevol te zijn en, eenmaal gekoppeld aan andere nationale registers, gedetailleerd genoeg om individuen te identificeren; de nationale datastrategiedocumenten die verscheidene overheden nu publiceren, noemen privacybeschermende openbaarmakingstechnieken steeds explicieter, in plaats van de-identificatie als uitvoeringsdetail onder het beleid te behandelen.

Sociale sector en non-profit

Een non-profitorganisatie of niet-gouvernementele organisatie (ngo) valt zelden onder een open-datamandaat, maar krijgt steeds vaker te maken met een parallelle verwachting van financiers, toezichthouders en het publiek dat programmagegevens transparant worden gedeeld, en werkt vaak met bevolkingsgroepen – overlevenden van geweld, mensen in acute armoede, inwoners zonder papieren – voor wie heridentificatierisico een veel hogere persoonlijke prijs heeft dan doorgaans voor de algemene bevolking in een overheidsdataset. Gegevensdelingsovereenkomsten doen hier onevenredig ertoe omdat een non-profitorganisatie vaak cliëntgegevens deelt met overheidsfinanciers of partnerorganisaties onder contracten die zij niet schreef, en de capaciteit nodig heeft om doelbinding te onderhandelen in plaats van simpelweg te aanvaarden welke voorwaarden voor gegevensdeling aan financiering zijn gekoppeld. Interoperabiliteitsnormen overgenomen door grotere overheids- of filantropische financiers kunnen een echte last zijn voor de beperkte technische capaciteit van een kleine organisatie, een reële kost die het benoemen waard is in plaats van de invoering van normen als kosteloos te behandelen.

Multilateraal en internationaal

Multilaterale organen aggregeren data over lidstaten met sterk verschillende bestuursvolwassenheid, statistische capaciteit en juridische regimes voor privacy, wat semantische interoperabiliteit – het eens worden over wat een gedeeld veld werkelijk betekent – tot een hardnekkig diplomatiek en technisch probleem maakt; een term zo eenvoudig als “huishouden” of “werkloos” wordt over landen genoeg verschillend gedefinieerd dat internationale statistische organen hele normen onderhouden, zoals het formaat Statistical Data and Metadata Exchange (SDMX), uitsluitend om data tussen landen werkelijk vergelijkbaar te maken. Open data op dit niveau functioneert als bijzonder duidelijk publiek goed in de zin van Onderwerp 1.4 — Collectieve goederen, meritgoederen en waardenpluralisme, omdat geen enkele lidstaat de prikkel heeft een wereldwijde vergelijkende dataset alleen te financieren, terwijl elke staat en onderzoeker profiteert zodra een multilateraal orgaan er een publiceert. Zorgen over datasoevereiniteit gaan hier dieper dan in een context van één land: een lidstaat kan weerstand bieden aan het delen van data die hij wettelijk mag achterhouden, of kan betwisten hoe een multilateraal orgaan zijn eigen nationale cijfers heeft geclassificeerd of geaggregeerd, wat de bestuursvraag wie een gedeelde statistiek beheert even ingrijpend maakt als de technische vraag hoe ze wordt uitgewisseld.

Veelvoorkomende faalpatronen

Stille datasilo’s. Systemen hopen zich onafhankelijk over een organisatie op zonder gedeelde identificator of gedeeld schema, en de kosten blijven verborgen totdat een specifiek geval – een falen in de bescherming van kwetsbaren, een audit, een systeemuitval – een gecombineerd beeld vereist dat onmogelijk snel te produceren blijkt, op welk moment de kosten van de silo in één keer zichtbaar en onder druk duur te herstellen worden.

Anonimiseringstheater. Van een dataset worden namen en voor de hand liggende identificatoren verwijderd en zij wordt dan als veilig voor publicatie behandeld zonder enige beoordeling van quasi-identificatoren of koppelingsrisico tegen andere beschikbare data. De kosten komen, vaak openbaar en beschamend, aan het licht wanneer een onderzoeker, journalist of pleitbezorger aantoont dat heridentificatie mogelijk is, op welk moment de geloofwaardigheid van de organisatie op het gebied van privacy ver voorbij de specifieke dataset wordt geschaad.

Bestuur zonder eigenaar. Databestuursbeleid bestaat op papier, maar niemand is specifiek verantwoordelijk voor de kwaliteit of actualiteit van een specifieke dataset, zodat normen stilletjes vervallen en niemand het merkt totdat de data wordt gebruikt voor een besluit dat ze niet werkelijk kan dragen. Dit is een bijzonder veelvoorkomend falen omdat het beleidsdocument zelf compleet oogt, wat de afwezigheid van iemand die er werkelijk verantwoordelijk voor is erachter verhult.

Interoperabiliteit bij mandaat, zonder middelen. Een gedeeld schema of identificatorschema wordt centraal verplicht maar nooit gefinancierd voor de teams die het moeten overnemen, zodat naleving een vinkjesoefening wordt – een veld technisch aanwezig maar niet behoorlijk ingevuld – in plaats van echte, bruikbare interoperabiliteit. De kosten zijn een vals gevoel dat een gedeelde norm bestaat, pas ontdekt wanneer iemand werkelijk probeert te vertrouwen op de data die ze moest standaardiseren.

Open-washing. Een organisatie publiceert dashboards en samenvattende visualisaties en noemt dit open data, terwijl de onderliggende machineleesbare dataset die een derde partij nodig zou hebben om iets nieuws te bouwen ongepubliceerd blijft of wordt gepubliceerd in een formaat dat praktisch niemand kan hergebruiken. Dit vangt de schijn van transparantie en openheid zoals beschreven in Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit zonder haar inhoud, en wordt vaak aangezien voor een echt open-dataprogramma omdat het dashboard indrukwekkend oogt.

Volwassenheidsmodel

Checklist

• Identificeer het gezaghebbende bronsysteem voor elk van de kerndata-entiteiten van uw organisatie.
• Bevestig dat elke dataset die wezenlijk ertoe doet een genoemde, verantwoordelijke steward heeft.
• Controleer of een gedeeld schema of norm al bestaat voor een nieuw dataproject voordat u een bespoke ontwerpt.
• Toets uw ontwerp van unieke identificatoren op blijvendheid en consistentie over de systemen die ze gebruiken.
• Vervang minstens één terugkerende handmatige of op spreadsheets gebaseerde gegevensuitwisseling door een beheerde API.
• Bevestig dat elke actieve gegevensdelingsovereenkomst tussen agentschappen doel, rechtsgrond en vervaldatum vermeldt en overeenkomt met het huidige werkelijke gebruik.
• Voer een heridentificatierisicobeoordeling uit, inclusief aannemelijke koppeling aan andere publieke datasets, voordat u een dataset met persoonsgegevens publiceert.
• Pas een formele privacybeschermende techniek toe, zoals k-anonimiteit of differentiële privacy, op elke vrijgave die kleine populaties of zeldzame kenmerken betreft.
• Bevestig dat uw open-datacatalogus echte, actuele metadata bevat, niet slechts bestandsnamen.
• Toets eerder gepubliceerde datasets aan nieuw beschikbare externe data op opkomend heridentificatierisico.
• Bevestig dat besluiten tot achterhouden worden genomen door een genoemde, verantwoordelijke rol aan de hand van gedocumenteerde criteria.
• Stel uw team de zes bovenstaande gespreksvragen en leg vast waar het eerlijke antwoord afwijkt van het officiële.

Belangrijkste bronnen

• International Open Data Charter, de zes principes ervan en de richtlijnen over standaard-openpubliceren.
• OESO, Recommendation of the Council on Enhancing Access to and Sharing of Data (2021).
• US National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• Materiaal van het US Census Bureau over disclosure avoidance en de toepassing van differentiële privacy op tienjaarlijkse volkstellingsgegevens.
• Het fundamentele werk van Cynthia Dwork waarin differentiële privacy werd geformaliseerd, en de bredere academische literatuur over statistische controle van openbaarmaking.
• De strategische driehoek van Mark H. Moore en de logica van publieke goederen uit Onderwerp 1.4 — Collectieve goederen, meritgoederen en waardenpluralisme, als het kader waarop dit onderwerp voortbouwt.

Referenties

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/