Data, interoperabilitet och öppna data i offentlig sektor

Varför detta är viktigt för offentligt värde

Varje offentligt organ förfogar redan över mer data än det använder väl. En skattemyndighet, ett sjukvårdsnätverk, en trafikmyndighet och ett lokalt planeringskontor samlar var och en in information som en biprodukt av att driva en tjänst, och var och en upptäcker, vanligen för sent, att den post som behövs för att besvara en medborgares fråga eller avgöra en tvist ligger i ett system som ingen annan i organisationen kan söka i. Kostnaden är inte abstrakt: en medborgare som redan har berättat sin adress för en myndighet ska inte behöva berätta den igen för en annan myndighet inom samma stat.

Två skilda ambitioner ryms i detta ämnes titel, och offentliga organ blandar rutinmässigt ihop dem. Den första är interoperabilitet – att få data att röra sig tillförlitligt mellan system som olika team och teknikepoker byggt oberoende av varandra, så att en del av staten kan agera på det en annan del redan vet. Den andra är öppenhet – att publicera data helt utanför staten, så att journalister, forskare och medborgare kan använda den för syften det publicerande organet aldrig förutsåg. Interoperabilitet är mest ett ingenjörs- och styrningsproblem; öppenhet är ett offentligt värde i sig, av samma släkte som de allmänna nyttigheter som beskrivs i Ämne 1.4 — Kollektiva nyttigheter, meritvaror och värdepluralism, eftersom publicerade data är icke-rivaliserande och svåra att utesluta någon från när de väl släppts, så att en marknad ensam skulle underförsörja dem.

Båda ambitionerna kolliderar med ett tredje faktum som detta ämne behandlar som en genuin, olöst spänning snarare än ett problem med ett snyggt svar: data detaljerade nog för att vara användbara är ofta detaljerade nog för att identifiera den individ de beskriver, även efter att namn och uppenbara identifierare tagits bort. En stat som publicerar rikligt och en stat som skyddar människorna i sina register väl drar åt olika håll i samma spak, och den växande aptiten på data för att träna och utvärdera algoritmiska system (se Ämne 5.2 — AI och algoritmiskt beslutsfattande i offentlig sektor) har höjt insatserna, eftersom fler aktörer än någonsin vill ha offentliga data på just den detaljnivå som gör dem riskablast att släppa. En ledare som behandlar datastyrning, interoperabilitet och öppenhet som ett enda problem, med integritet som dess permanenta begränsning, är bättre placerad att ta tillvara detta ämnes värde än en som behandlar var och en för sig.

Grundläggande begrepp

Datastyrning (data governance) är den uppsättning beslutsrätter, standarder och ansvar som avgör vem som får skapa, ändra, få tillgång till och avveckla en organisations data, och till vilken kvalitetsstandard de måste hållas (se data governance). Den skiljer sig från datahantering, som är det operativa arbetet att flytta och lagra data dag för dag; styrning bestämmer reglerna, hantering verkställer dem. Ett offentligt organ utan datastyrning har fortfarande data, men ingen kan med säkerhet säga vilken kopia av en medborgares post som är den auktoritativa, eller vem som är ansvarig när den posten visar sig vara fel.

En dataförvaltare (data steward) är den namngivna person eller roll som är ansvarig för ett särskilt dataset kvalitet, definition och lämpliga användning, skild från den tekniska personal som driver de system det ligger i (se data steward). Förvaltarskap spelar roll eftersom datakvalitet förfaller som standard: ett fält som ingen är ansvarig för ackumulerar inkonsekventa poster, dubbletter och tyst glidning mellan vad ett fält är tänkt att betyda och vad personalen faktiskt skriver i det. Att tilldela ett dataset en förvaltare förvandlar datakvalitet från en tillfällig städinsats till ett löpande, namngivet ansvar.

Interoperabilitet är förmågan hos oberoende byggda system att utbyta data och använda dem korrekt utan särlösningar, engångsutveckling för varje par av inblandade system (se interoperability). Den verkar på tre nivåer som lätt blandas ihop: teknisk interoperabilitet (kan systemen alls ansluta och flytta bytes, typiskt genom ett applikationsprogrammeringsgränssnitt, eller API, ett definierat sätt för en programvara att begära data eller åtgärd av en annan – se application programming interface); semantisk interoperabilitet (menar båda systemen samma sak med ett delat fält, såsom ”hushåll” eller ”aktivt ärende”); och organisatorisk interoperabilitet (är de två organisationerna överens om varför data delas och vem som är ansvarig för vad som händer härnäst). De flesta kostsamma interoperabilitetsmisslyckanden sker på den semantiska eller organisatoriska nivån även när den tekniska anslutningen fungerar perfekt.

Ett gemensamt schema, eller en datastandard, är en överenskommen, publicerad struktur för hur en kategori av data representeras – fältnamn, format, enheter och tillåtna värden – som antas av mer än ett system eller en organisation så att data som produceras av en kan konsumeras av en annan utan manuell översättning. Statliga organ som antar ett gemensamt schema för något så grundläggande som en adress eller en ärendestatus förvandlar dussintals potentiella bilaterala översättningsproblem till en standard som varje nytt system helt enkelt kan implementera. En unik identifierare som består över system och över tid – ett ärendenummer, ett företagsregistreringsnummer, en medborgarreferens – är den särskilda mekanism som låter poster om samma person eller enhet länkas korrekt, och att få identifierardesignen fel (återanvända nummer, ändra format eller sakna en helt) är en av de vanligaste, undvikbara orsakerna till interoperabilitetsmisslyckanden.

Metadata är data om data – beskrivningen av ett datasets struktur, ursprung, uppdateringsfrekvens och betydelse, publicerad vid sidan av själva datan så att en användare som inte skapade den kan förstå och lita på den (se metadata). Ett dataset publicerat utan tillräcklig metadata är knappt användbart för någon utanför det team som producerade det, hur öppen dess licens än är; metadata är det som förvandlar en filhög till något en tredje part faktiskt kan återanvända.

Ett datadelningsavtal är en formell överenskommelse mellan myndigheter, eller mellan ett offentligt organ och en extern partner, som anger för vilket syfte data får användas, den rättsliga grunden för att dela dem, hur länge de får bevaras och vad som händer om syftet ändras. Ändamålsbegränsning – att begränsa användningen av delade data till det syfte de samlades in eller delades för – är den disciplin som hindrar ett datadelningsavtal från att bli en obegränsad licens att använda personuppgifter för nya syften, och dess frånvaro är ett återkommande tema i förtroendemisslyckanden som rör data mellan myndigheter.

Öppna data är data som görs fritt tillgängliga för vem som helst att få tillgång till, använda och vidaredistribuera, för vilket syfte som helst, typiskt maskinläsbara och släppta under en licens som tillåter återanvändning snarare än bara visning (se open data). Dess argument för offentligt värde följer den logik om allmänna nyttigheter som anges i Ämne 1.4 — Kollektiva nyttigheter, meritvaror och värdepluralism: när ett dataset väl publicerats minskar en persons användning av det inte en annans, och staten är ofta den enda aktör som har både den rättsliga ställningen och skalan att samla in och publicera det, så privata marknader ensamma underförsörjer kroniskt denna sorts information. Öppna data möjliggör ansvarsutkrävande (journalister och medborgare som kontrollerar statens egna påståenden mot dess egna register), innovation av tredje part (företag och samhällstekniker som bygger tjänster ovanpå offentliga data som staten själv aldrig kommer att bygga) och bättre offentliga beslut på andra håll i ekonomin, allt utan att det publicerande organet behöver förutse varje användning i förväg.

Återidentifiering (re-identification) är processen att matcha förment anonymiserade data mot annan tillgänglig information för att räkna ut vilken verklig person en post beskriver, och det är det centrala tekniska faktum som gör integritetsspänningen i detta ämne oundviklig snarare än bara besvärlig (se data re-identification). Att ta bort ett namn, eller en uppenbar identifierare såsom ett personnummer, tar inte bort risken: en kombination av kvasi-identifierare såsom ålder, postnummer och ett sällsynt medicinskt tillstånd kan unikt identifiera någon även i ett dataset som aldrig nämnde dem vid namn, särskilt när det korsrefereras mot ett annat, separat offentligt dataset. K-anonymitet är ett formellt sätt att resonera om denna risk: ett dataset uppfyller k-anonymitet om varje kombination av kvasi-identifierande fält det innehåller delas av minst ett definierat antal, k, poster, så att ingen enskild rad kan isoleras till färre än k möjliga personer (se k-anonymity). Differentiell integritet (differential privacy) är ett nyare, matematiskt rigoröst angreppssätt som lägger till noggrant kalibrerat statistiskt brus till ett dataset eller till resultaten av frågor mot det, så att närvaron eller frånvaron av en enskild individs post ändrar den publicerade utdatan med endast en begränsad, bevisbar mängd, oavsett vad en angripare redan vet (se differential privacy). Inbyggd integritet (privacy by design) är den bredare principen att integritetsskydd ska byggas in i ett systems arkitektur från början, som en standardinställning, snarare än fogas på som ett maskeringssteg strax före publicering (se privacy by design); att maskera uppenbara identifierare i efterhand är den svagaste formen av denna disciplin, inte ett substitut för den.

Bästa praxis

1. Namnge en ansvarig förvaltare för varje dataset som spelar roll, inte bara ett centralt datakontor. Ett datakontor kan fastställa standarder, men det kan inte veta om ett särskilt fält i ett särskilt system fortfarande betyder det det definierades att betyda; det omdömet hör hemma hos någon nära datans faktiska användning.
2. Publicera öppet som standard, och dokumentera det särskilda skälet närhelst du inte gör det. Att vända standarden – att kräva ett skäl för att hålla tillbaka snarare än ett skäl för att publicera – lyfter genuina känsligheter till individuell prövning i stället för att låta försiktigheten gälla allt urskillningslöst.
3. Anta ett befintligt, delat schema innan du utformar ett nytt. En skräddarsydd datastruktur som passar ett projekt perfekt och inte matchar något annat i staten garanterar en framtida integrationskostnad; kontrollera vad din sektor, din jurisdiktion eller ett internationellt standardiseringsorgan redan har publicerat innan du bygger ditt eget.
4. Utforma beständiga, väl styrda unika identifierare innan ett system tas i drift, inte efter. Att eftermontera ett identifierarschema på poster som har ackumulerats i år under inkonsekventa nycklar är dramatiskt dyrare än att få designen rätt från början.
5. Bygg datautbyte genom styrda API:er snarare än engångsöverföringar av filer. Ett API som upprätthåller ett schema, loggar åtkomst och kan versionshanteras ger dig en kontrollerbar, granskbar interoperabilitetspunkt; ett kalkylblad som mejlas mellan förvaltningar ger dig inget av det, och ingen märker när det blir inaktuellt.
6. Skriv datadelningsavtal som anger syftet, den rättsliga grunden och utgångsdatumet, inte bara den tekniska mekanismen. Ett avtal som anger hur data rör sig men inte varför, eller hur länge, tenderar att överleva det syfte som motiverade det och i det tysta bli tillstånd för något ingen uttryckligen godkände.
7. Behandla avidentifiering som en riskbedömning med ett kvarstående resultat, inte en engångsuppgift av maskering. Fråga vilka andra offentliga eller köpbara dataset som kan länkas mot det du håller på att släppa, och dimensionera återidentifieringsrisken mot det realistiska hotet, inte mot en idealiserad angripare utan yttre information.
8. Tillämpa differentiell integritet eller en motsvarande formell teknik på varje utgivning som rör små populationer eller sällsynta egenskaper. Enkel undertryckning eller generalisering av uppenbara identifierare räcker inte när ett dataset innehåller något tillräckligt ovanligt för att vara identifierande i sig, såsom ett sällsynt tillstånd, en liten lokal population eller en transaktion av högt värde.
9. För en offentlig, aktuell datakatalog med verklig metadata, inte bara en lista över filnamn. Ett dataset som en tänkbar användare inte kan förstå väl nog för att lita på är funktionellt opublicerat, hur tillåtande dess licens än är; katalogposter bör säga vad ett fält betyder, hur ofta det uppdateras och vilka dess kända begränsningar är.
10. Mät datakvalitet mot definierade standarder enligt ett återkommande schema, och rapportera resultaten till den som äger datasetet. Kvalitet som bara kontrolleras när något går sönder förfaller osynligt under långa perioder däremellan; en rutinmässig mätning förvandlar förfall till en synlig, hanterbar trend.
11. Se över varje publicerat dataset periodiskt för fortsatt offentligt värde och fortsatt risk. Populationer förändras, tekniker för återidentifiering förbättras, och en utgivning som var säker för fem år sedan är kanske inte säker i dag mot data som sedan dess blivit nyligen tillgängliga på annat håll.
12. Skilj beslutet att dela eller publicera data från det tekniska team som flyttar dem. De människor som är bäst placerade att bedöma syfte, proportionalitet och integritetsrisk är sällan samma som de som är bäst placerade att bygga pipelinen, och att slå ihop de två rollerna till en lämnar det svårare omdömet underprövat.

Frågor att diskutera med ditt team

Vet vi vilket system som håller den auktoritativa posten för var och en av våra centrala dataentiteter, och behandlar alla det faktiskt så? Många organisationer har i praktiken flera ”sanna” kopior av samma information – en medborgares adress i faktureringssystemet, ärendehanteringssystemet och korrespondensloggen, alla något olika och alla agerade på av någon. Använd frågan för att lista er organisations centrala entiteter (medborgare, ärende, fastighet, företag) och identifiera, ärligt, om en enda auktoritativ källa finns för var och en eller om personalen i det tysta har lärt sig vilket system som ska litas på för vilket syfte. Diskutera vad som skulle krävas för att utse och upprätthålla en auktoritativ källa per entitet, och vad som skulle gå sönder i övergången. Det är vanligen billigare att rätta tidigt än efter att ett allvarligt beslut har fattats på fel kopia.

Om en person frågade oss varför de var tvungna att ge samma information till två delar av vår egen organisation, vad skulle vårt ärliga svar vara? Det ärliga svaret är ofta ”därför att våra system inte kan utbyta den”, vilket är ett interoperabilitetsmisslyckande förklätt till ett processkrav. Använd frågan för att välja en tjänsteresa som spänner över mer än ett team eller system och spåra, steg för steg, var samma uppgift fångas mer än en gång. Diskutera om den upprepade begäran skyddar något genuint – ett nytt samtycke, ett verifieringssteg – eller om den helt enkelt är frånvaron av ett datadelningsavtal eller ett gemensamt schema. Fundera på vad det skulle kosta, i medborgarförtroende såväl som personaltid, att lämna det orättat ytterligare ett år.

Var skulle en målmedveten journalist eller forskare mest sannolikt återidentifiera någon i ett dataset vi i dag kallar anonymiserat? De flesta organisationer som publicerar avidentifierade data har inte stresstestat dem mot en realistisk kombination av kvasi-identifierare och andra offentliga dataset. Använd frågan för att välja ert högrisk-dataset som är publicerat eller snart ska publiceras och gå igenom vilken annan information – en lokal nyhetsrapport, en annan myndighets öppna dataset, ett offentligt register – som rimligen skulle kunna länkas mot det. Diskutera om ert nuvarande avidentifieringssätt (undertryckning, generalisering eller en formell teknik såsom k-anonymitet eller differentiell integritet) faktiskt skulle stå emot den kombinationen, och vem som ansvarar för att pröva om det när nya externa data blir tillgängliga.

Vem har för närvarande befogenhet att säga att ett dataset inte ska publiceras, och är vi säkra på att befogenheten används av rätt skäl? En policy om öppet som standard behöver ändå en trovärdig, väl motiverad undantagsprocess, och den som utövar den bör vara identifierbar och ansvarig. Använd frågan för att kontrollera om beslut att hålla tillbaka i er organisation fattas av en namngiven roll mot dokumenterade kriterier, eller informellt, av den som råkar tillfrågas och drar åt försiktighetens håll. Diskutera om er andel tillbakahållna dataset ser mer ut som noggrant omdöme fall för fall eller som en institutionell reflex, och vad en periodisk extern granskning av tillbakahållna dataset kunde avslöja.

Används våra datadelningsavtal mellan myndigheter fortfarande för det syfte de skrevs för? Ändamålsbegränsning är lätt att ange i ett avtal och lätt att i det tysta urholka i praktiken, särskilt när ett dataset visar sig användbart för något dess ursprungliga undertecknare aldrig förutsåg. Använd frågan för att välja två eller tre levande datadelningsarrangemang mellan myndigheter och kontrollera den faktiska nuvarande användningen mot det skrivna syftet och utgångsdatumet. Diskutera vilket styrningssteg som saknas om en avvikelse dyker upp, och vem som bör ansvara för att fånga sådan glidning innan en extern revision eller en journalist gör det.

Om våra interoperabilitets- eller datastandarder blev ett hinder för en legitim ny användning av våra data, skulle vi få veta det före eller efter att det orsakade verklig skada? Standarder som var vettiga när de antogs kan förstenas till hinder när behov och teknik förändras, och organisationer bygger sällan in en mekanism för att märka att detta händer med deras egna regler. Använd frågan för att diskutera hur er organisation för närvarande går igenom om dess datastandarder, identifierarscheman eller delningsprocesser fortfarande tjänar sitt syfte, i stället för att bara vara ärvda och oifrågasatta. Fundera på om de människor som skulle märka att en standard har blivit ett hinder – frontpersonal, partnerorganisationer, externa utvecklare som använder era öppna data – har en verklig kanal att ta upp det, och om den kanalen någonsin faktiskt har ändrat en standard.

I praktiken: ett exempel på offentligt värde

En regional socialförvaltning och en separat regional hälsomyndighet – fiktiva, illustrerar ett mönster och är ingen rapport om något verkligt organ – hade i ett decennium drivit oförenliga ärendehanteringssystem, så att en familj känd av båda kunde registreras under olika referensnummer, utan något tillförlitligt sätt att tala om för myndighetspersonalen att det hushåll som förekom i ett bostadsstödsflöde var samma hushåll som förekom i ett flöde för barnhälsouppsökande verksamhet. Ett gemensamt program för att identifiera barn med risk att falla mellan de två tjänsterna stannade upprepade gånger av, inte på grund av brist på politisk vilja, utan därför att ingen kunde ta fram en enda, pålitlig samlad bild av vilka familjer som behövde båda sorternas stöd.

De två myndigheterna antog så småningom en gemensam hushållsidentifierare och ett gemensamt schema för de fält båda systemen behövde utbyta, byggt genom ett styrt API i stället för de periodiska kalkylbladsexporter var och en tidigare hade förlitat sig på, under ett datadelningsavtal som angav det särskilda syftet – att samordna stöd till hushåll i riskzonen – och krävde årlig översyn. Inom ett år kunde handläggare på båda sidor för första gången se vilka familjer som var kända av den andra tjänsten, och gemensamma ärendekonferenser som tidigare förlitat sig på manuell korskontroll blev rutin. Myndigheterna gick sedan längre och publicerade ett aggregerat öppet dataset på områdesnivå som visade antalet hushåll som får kombinerat stöd per distrikt, avsett att hjälpa lokala välgörenhetsorganisationer att rikta sin egen uppsökande verksamhet och låta folkvalda ledamöter se om det gemensamma programmet nådde de områden det var utformat för.

En lokal förespråkare för dataskydd, i samarbete med en universitetsforskare, upptäckte att de publicerade siffrorna på distriktsnivå kunde korsrefereras mot ett separat publicerat, lika välment öppet dataset från den lokala trafikmyndigheten – som visade ansökningar om subventionerade biljetter per litet område – för att snäva in vissa distrikt till hushållsantal så små att särskilda familjer rimligen kunde identifieras, särskilt i glest befolkade landsbygdsdistrikt där båda dataseten räknade ensiffriga antal hushåll. Inget av dataseten var ensamt avslöjande; kombinerade, i de minst befolkade områdena, var de det. Myndigheternas första instinkt, att dra tillbaka det öppna datasetet helt, hade förstört det ansvarsutkrävande och den välgörenhetsinriktning som det redan hade börjat leverera. I stället publicerade de, tillsammans med samma förespråkare, datasetet på nytt med ett angreppssätt med differentiell integritet som lade till kalibrerat brus till små antal, vilket bevarade dess användbarhet för att upptäcka breda regionala mönster samtidigt som varje enskilt lågbefolkat distrikts sanna antal gjordes tillräckligt osäkert för att besegra den korsreferensattack som hade avslöjat den ursprungliga utgivningen. Episoden blev den fallstudie myndigheterna använde i sin egen efterföljande personalutbildning, för att visa varför avidentifiering måste bedömas mot vad som i övrigt är offentligt tillgängligt, inte mot datasetet isolerat.

Fyra sektorperspektiv

Lokal förvaltning

En kommun driver vanligen fler olika, äldre och mindre integrerade system per betjänad invånare än ett nationellt organ, eftersom decennier av var för sig upphandlade förvaltningssystem – bostäder, planering, avfall, socialtjänst – sällan byggdes för att dela data med varandra. Det gör interoperabilitet till en genuint intern strid innan den någonsin blir en extern: en invånare som under en vecka interagerar med tre kommunala förvaltningar kan finna att ingen av dem kan se vad de andra redan vet. Lokala öppna data har samtidigt ett ovanligt direkt medborgerligt värde – tömningsscheman för sopor, bygglovsansökningar, lokala utgifter – eftersom invånare och lokala journalister engagerar sig i dem på en specificitetsnivå som nationella dataset sällan erbjuder, vilket höjer insatserna för att få metadata och uppdateringsfrekvens rätt även för blygsamma, vardagliga dataset.

Nationell förvaltning

Nationella regeringar förfogar vanligen över det fullaste utbudet av instrument för datastyrning och interoperabilitet – en nationell datastrategi, identifierarscheman över hela staten, föreskrivna portaler för öppna data och särskilda dataskyddsmyndigheter – men det stora antalet äldre system som ackumulerats över decennier och administrationer gör teknisk interoperabilitet till en ihållande, dyr bakgrundsuppgift snarare än ett engångsprojekt. Nationella program för öppna data bär oproportionerlig återidentifieringsrisk just därför att nationella dataset är stora nog att vara genuint värdefulla och detaljerade nog, när de länkas mot andra nationella register, att identifiera individer; de nationella datastrategidokument som flera regeringar nu publicerar nämner alltmer uttryckligen integritetsbevarande utlämnandetekniker, i stället för att behandla avidentifiering som en genomförandedetalj under policynivån.

Social sektor och ideell sektor

En ideell organisation eller icke-statlig organisation (NGO) omfattas sällan av ett mandat om öppna data, men möter alltmer en parallell förväntan från finansiärer, tillsynsmyndigheter och allmänheten att programdata ska delas transparent, och den arbetar ofta med befolkningar – överlevare av våld, människor i akut fattigdom, papperslösa invånare – för vilka risken för återidentifiering bär en långt högre personlig kostnad än den vanligen gör för den allmänna befolkningen i ett statligt dataset. Datadelningsavtal spelar oproportionerligt stor roll här eftersom en ideell organisation ofta delar klientdata med statliga finansiärer eller partnerorganisationer under avtal den inte skrivit, och den behöver förmågan att förhandla om ändamålsbegränsning snarare än att bara acceptera de datadelningsvillkor som följer med finansieringen. Interoperabilitetsstandarder som antas av större statliga eller filantropiska finansiärer kan vara en genuin börda för en liten organisations begränsade tekniska kapacitet, vilket är en verklig kostnad värd att nämna snarare än att behandla antagandet av standarder som kostnadsfritt.

Multilaterala och internationella organ

Multilaterala organ aggregerar data över medlemsstater med vitt skilda nivåer av styrningsmognad, statistisk kapacitet och rättsliga regimer för integritet, vilket gör semantisk interoperabilitet – att vara överens om vad ett delat fält faktiskt betyder – till ett ihållande diplomatiskt såväl som tekniskt problem; en term så grundläggande som ”hushåll” eller ”arbetslös” definieras tillräckligt olika mellan länder för att internationella statistikorgan upprätthåller hela standarder, såsom formatet Statistical Data and Metadata Exchange (SDMX), enbart för att göra data mellan länder genuint jämförbara. Öppna data på denna nivå fungerar som en särskilt tydlig allmän nyttighet i den mening som anges i Ämne 1.4 — Kollektiva nyttigheter, meritvaror och värdepluralism, eftersom ingen enskild medlemsstat har incitament att ensam finansiera ett globalt jämförande dataset, men varje stat och forskare drar nytta så snart ett multilateralt organ publicerar ett. Frågor om datasuveränitet går djupare här än i ett enskilt lands sammanhang: en medlemsstat kan motsätta sig att dela data den har rätt att hålla tillbaka, eller kan bestrida hur ett multilateralt organ har klassificerat eller aggregerat dess egna nationella siffror, vilket gör styrningsfrågan om vem som kontrollerar en delad statistik lika följdtung som den tekniska frågan om hur den utbyts.

Vanliga felmönster

Tysta datasilor. System ackumuleras oberoende över en organisation utan delad identifierare eller delat schema, och kostnaden förblir dold tills ett särskilt fall – ett skyddsmisslyckande, en revision, ett tjänsteavbrott – kräver en samlad bild som visar sig vara omöjlig att ta fram snabbt, varvid silons kostnad blir synlig på en gång och dyr att åtgärda under tryck.

Anonymiseringsteater. Ett dataset får namn och uppenbara identifierare borttagna och behandlas sedan som säkert att publicera utan någon bedömning av kvasi-identifierare eller länkningsrisk mot andra tillgängliga data. Kostnaden visar sig, ofta offentligt och pinsamt, när en forskare, journalist eller förespråkare visar att återidentifiering är möjlig, varvid organisationens trovärdighet i integritetsfrågor skadas långt utöver det särskilda datasetet.

Styrning utan ägare. Datastyrningspolicy finns på pappret, men ingen särskild person är ansvarig för något särskilt datasets kvalitet eller aktualitet, så standarder förfaller i det tysta och ingen märker det förrän datan förlitas på för ett beslut den faktiskt inte kan bära. Det här är ett särskilt vanligt misslyckande eftersom själva policydokumentet ser fullständigt ut och döljer frånvaron av någon som faktiskt är ansvarig under det.

Interoperabilitet genom påbud, utan resurser. Ett gemensamt schema eller identifierarschema föreskrivs centralt men finansieras aldrig för de team som förväntas anta det, så efterlevnaden blir en kryssruteövning – ett fält som tekniskt finns men inte är korrekt ifyllt – snarare än genuin, användbar interoperabilitet. Kostnaden är en falsk känsla av att en gemensam standard finns, som upptäcks först när någon faktiskt försöker förlita sig på de data den var tänkt att standardisera.

Öppenhetstvätt. En organisation publicerar instrumentpaneler och sammanfattande visualiseringar och kallar detta öppna data, medan det underliggande maskinläsbara dataset en tredje part skulle behöva för att bygga något nytt förblir opublicerat eller publiceras i ett format ingen praktiskt kan återanvända. Detta fångar skenet av den transparens och öppenhet som beskrivs i Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet utan dess substans, och förväxlas ofta med ett genuint program för öppna data eftersom instrumentpanelen ser imponerande ut.

Mognadsmodell

Checklista

• Identifiera det auktoritativa källsystemet för var och en av organisationens centrala dataentiteter.
• Bekräfta att varje dataset som väsentligt spelar roll har en namngiven, ansvarig förvaltare.
• Kontrollera om ett gemensamt schema eller en standard redan finns för ett nytt dataprojekt innan du utformar ett skräddarsytt.
• Se över din design av unika identifierare för beständighet och konsekvens över de system som använder den.
• Ersätt minst ett återkommande manuellt eller kalkylbladsbaserat datautbyte med ett styrt API.
• Bekräfta att varje aktivt datadelningsavtal mellan myndigheter anger sitt syfte, sin rättsliga grund och sitt utgångsdatum, och stämmer med faktisk nuvarande användning.
• Kör en återidentifieringsriskbedömning, inklusive rimlig länkning mot andra offentliga dataset, före publicering av varje dataset som rör personuppgifter.
• Tillämpa en formell integritetsbevarande teknik, såsom k-anonymitet eller differentiell integritet, på varje utgivning som rör små populationer eller sällsynta egenskaper.
• Bekräfta att din katalog över öppna data innehåller verklig, aktuell metadata, inte bara filnamn.
• Se över tidigare publicerade dataset mot nyligen tillgängliga externa data för framväxande återidentifieringsrisk.
• Bekräfta att beslut att hålla tillbaka fattas av en namngiven, ansvarig roll mot dokumenterade kriterier.
• Ställ de sex diskussionsfrågorna ovan till ditt team och anteckna var det ärliga svaret skiljer sig från det officiella.

Viktiga källor

• International Open Data Charter, dess sex principer och dess vägledning om publicering med öppenhet som standard.
• OECD:s rekommendation från rådet om förbättrad tillgång till och delning av data (2021).
• USA:s National Institute of Standards and Technology, Special Publication 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• Material från US Census Bureau om skydd mot utlämnande (disclosure avoidance) och dess tillämpning av differentiell integritet på decennial census-data.
• Cynthia Dworks grundläggande arbete som formaliserade differentiell integritet, och den bredare akademiska litteraturen om statistisk kontroll av utlämnande.
• Mark H. Moores strategiska triangel och logiken om allmänna nyttigheter som anges i Ämne 1.4 — Kollektiva nyttigheter, meritvaror och värdepluralism, som den ram detta ämne bygger på.

Referenser

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/