Dữ liệu, khả năng liên thông và dữ liệu mở của khu vực công

Vì sao điều này quan trọng đối với giá trị công

Mọi cơ quan công đã nắm giữ nhiều dữ liệu hơn mức nó dùng tốt. Một cơ quan thuế, một mạng lưới bệnh viện, một cơ quan giao thông và một văn phòng quy hoạch địa phương mỗi nơi thu thập thông tin như sản phẩm phụ của việc vận hành một dịch vụ, và mỗi nơi phát hiện, thường là quá muộn, rằng hồ sơ nó cần để trả lời câu hỏi của một công dân hay giải quyết một tranh chấp đang nằm trong một hệ thống mà không ai khác trong tổ chức có thể truy vấn. Cái giá không trừu tượng: một công dân đã cho một cơ quan biết địa chỉ của mình không nên phải cho một cơ quan khác trong cùng chính phủ biết lần nữa.

Hai tham vọng riêng biệt nằm trong tiêu đề của chủ đề này, và các cơ quan công thường xuyên nhầm lẫn chúng. Tham vọng thứ nhất là khả năng liên thông — làm cho dữ liệu di chuyển đáng tin giữa các hệ thống mà các nhóm và thời đại công nghệ khác nhau đã xây độc lập, để một phần của chính phủ có thể hành động theo điều một phần khác đã biết. Tham vọng thứ hai là sự cởi mở — công bố dữ liệu hoàn toàn ra ngoài chính phủ, để nhà báo, nhà nghiên cứu và công dân có thể dùng nó cho các mục đích mà cơ quan công bố chưa bao giờ lường trước. Khả năng liên thông chủ yếu là một vấn đề kỹ nghệ và quản trị; sự cởi mở là một giá trị công tự thân, cùng họ với các hàng hóa công được mô tả trong Chủ đề 1.4 — Hàng hóa công, hàng hóa khuyến dụng và đa nguyên giá trị, vì dữ liệu đã công bố là không cạnh tranh và khó loại trừ ai một khi đã phát hành, nên riêng thị trường sẽ cung cấp thiếu nó.

Cả hai tham vọng va chạm với một sự thật thứ ba mà chủ đề này coi là một căng thẳng thực sự, chưa giải quyết hơn là một vấn đề có câu trả lời gọn: dữ liệu đủ chi tiết để hữu ích thường đủ chi tiết để nhận diện cá nhân mà nó mô tả, ngay cả sau khi tên và các định danh hiển nhiên bị loại bỏ. Một chính phủ công bố phong phú và một chính phủ bảo vệ tốt những người trong hồ sơ của mình đang kéo về các hướng khác nhau trên cùng một đòn bẩy, và nhu cầu ngày càng tăng về dữ liệu để huấn luyện và đánh giá các hệ thống thuật toán (xem Chủ đề 5.2 — Trí tuệ nhân tạo và ra quyết định theo thuật toán trong chính phủ) đã nâng mức rủi ro, vì nhiều chủ thể hơn bao giờ hết muốn dữ liệu công ở đúng độ chi tiết khiến việc phát hành nó rủi ro nhất. Một nhà lãnh đạo coi quản trị, khả năng liên thông và sự cởi mở là một vấn đề, với quyền riêng tư là ràng buộc thường trực của nó, ở vị trí tốt hơn để nắm bắt giá trị của chủ đề này so với người coi từng cái trong cô lập.

Khái niệm cốt lõi

Quản trị dữ liệu là tập hợp các quyền quyết định, chuẩn mực và trách nhiệm giải trình xác định ai có thể tạo, thay đổi, tiếp cận và cho nghỉ hưu dữ liệu của một tổ chức, và nó phải được giữ ở tiêu chuẩn chất lượng nào (xem quản trị dữ liệu). Nó khác với quản lý dữ liệu, là công việc vận hành di chuyển và lưu trữ dữ liệu hằng ngày; quản trị quyết định các quy tắc, quản lý thực hiện chúng. Một cơ quan công không có quản trị dữ liệu vẫn có dữ liệu, nhưng không ai có thể nói với sự tự tin bản sao nào của hồ sơ một công dân là bản có thẩm quyền, hay ai chịu trách nhiệm khi hồ sơ đó hóa ra sai.

Người quản lý dữ liệu (data steward) là cá nhân hay vai trò được nêu tên chịu trách nhiệm về chất lượng, định nghĩa và cách sử dụng phù hợp của một bộ dữ liệu cụ thể, khác với nhân viên kỹ thuật vận hành các hệ thống nó nằm trong (xem người quản lý dữ liệu). Việc quản lý quan trọng vì chất lượng dữ liệu suy giảm theo mặc định: một trường mà không ai chịu trách nhiệm tích lũy các mục nhập không nhất quán, bản ghi trùng lặp, và sự trôi dạt im lặng giữa điều một trường được cho là có nghĩa và điều nhân viên thực sự nhập vào. Giao một người quản lý cho một bộ dữ liệu biến chất lượng dữ liệu từ một bài tập dọn dẹp thỉnh thoảng thành một trách nhiệm liên tục, được nêu tên.

Khả năng liên thông là năng lực của các hệ thống xây độc lập trao đổi dữ liệu và dùng nó đúng mà không cần kỹ nghệ trường hợp đặc biệt, một lần cho mỗi cặp hệ thống liên quan (xem khả năng liên thông). Nó vận hành ở ba cấp dễ bị nhập nhằng: liên thông kỹ thuật (các hệ thống có thể kết nối và di chuyển byte không, thường qua một giao diện lập trình ứng dụng, hay API, một cách xác định để một phần phần mềm yêu cầu dữ liệu hay hành động từ phần khác — xem giao diện lập trình ứng dụng); liên thông ngữ nghĩa (hai hệ thống có cùng ý nghĩa với một trường chung, như "hộ gia đình" hay "hồ sơ đang hoạt động" không); và liên thông tổ chức (hai tổ chức có đồng ý về lý do dữ liệu được chia sẻ và ai chịu trách nhiệm về điều xảy ra tiếp theo không). Hầu hết các thất bại liên thông tốn kém xảy ra ở cấp ngữ nghĩa hay tổ chức ngay cả khi kết nối kỹ thuật hoạt động hoàn hảo.

Một lược đồ chung, hay chuẩn dữ liệu, là cấu trúc đã thỏa thuận, được công bố về cách một loại dữ liệu được biểu diễn — tên trường, định dạng, đơn vị và giá trị cho phép — được nhiều hơn một hệ thống hay tổ chức áp dụng để dữ liệu do một hệ thống tạo ra có thể được hệ thống khác dùng mà không cần dịch thủ công. Các cơ quan chính phủ áp dụng một lược đồ chung cho thứ cơ bản như địa chỉ hay trạng thái hồ sơ biến hàng chục vấn đề dịch song phương tiềm tàng thành một chuẩn mà mọi hệ thống mới có thể đơn giản thực hiện. Một định danh duy nhất tồn tại bền vững qua các hệ thống và theo thời gian — số hồ sơ, số đăng ký doanh nghiệp, tham chiếu công dân — là cơ chế cụ thể cho phép các hồ sơ về cùng một người hay thực thể được liên kết đúng, và thiết kế sai định danh (tái sử dụng số, đổi định dạng, hay không có định danh) là một trong những nguyên nhân phổ biến, có thể tránh được nhất của thất bại liên thông.

Siêu dữ liệu là dữ liệu về dữ liệu — mô tả cấu trúc, nguồn gốc, tần suất cập nhật và ý nghĩa của một bộ dữ liệu, được công bố cùng với chính dữ liệu để người dùng không tạo ra nó có thể hiểu và tin nó (xem siêu dữ liệu). Một bộ dữ liệu được công bố mà không có siêu dữ liệu đầy đủ gần như không dùng được bởi bất kỳ ai ngoài nhóm tạo ra nó, dù giấy phép của nó mở đến đâu; siêu dữ liệu là điều biến một đống tệp thành thứ một bên thứ ba có thể thực sự tái sử dụng.

Một thỏa thuận chia sẻ dữ liệu là một sắp xếp chính thức giữa các cơ quan, hoặc giữa một cơ quan công và một đối tác bên ngoài, quy định mục đích dữ liệu có thể được dùng, cơ sở pháp lý để chia sẻ nó, thời gian có thể lưu giữ, và điều gì xảy ra nếu mục đích thay đổi. Giới hạn mục đích — hạn chế việc dùng dữ liệu chia sẻ ở mục đích mà nó được thu thập hay chia sẻ — là kỷ luật giữ cho một thỏa thuận chia sẻ dữ liệu không trở thành giấy phép không giới hạn để dùng lại thông tin cá nhân, và sự vắng mặt của nó là một chủ đề lặp lại trong các thất bại niềm tin công chúng liên quan đến dữ liệu liên cơ quan.

Dữ liệu mở là dữ liệu được cung cấp tự do cho bất kỳ ai tiếp cận, sử dụng và phân phối lại, cho bất kỳ mục đích nào, thường đọc được bằng máy và được phát hành dưới một giấy phép cho phép tái sử dụng thay vì chỉ xem (xem dữ liệu mở). Luận cứ giá trị công của nó theo logic hàng hóa công nêu trong Chủ đề 1.4 — Hàng hóa công, hàng hóa khuyến dụng và đa nguyên giá trị: một khi một bộ dữ liệu được công bố, việc dùng của một người không làm giảm của người khác, và chính phủ thường là chủ thể duy nhất có cả tư cách pháp lý và quy mô để thu thập và công bố nó ngay từ đầu, nên riêng thị trường tư nhân cung cấp thiếu một cách kinh niên loại thông tin này. Dữ liệu mở cho phép trách nhiệm giải trình (nhà báo và công dân kiểm tra các tuyên bố của chính phủ đối chiếu với hồ sơ của chính nó), đổi mới của bên thứ ba (doanh nghiệp và nhà công nghệ dân sự xây dịch vụ trên dữ liệu công mà chính phủ sẽ không bao giờ tự xây), và các quyết định công tốt hơn ở nơi khác trong nền kinh tế, mà cơ quan công bố không phải lường trước mọi cách sử dụng.

Tái định danh là quá trình đối chiếu dữ liệu được cho là ẩn danh với thông tin sẵn có khác để suy ra người thực nào mà một hồ sơ mô tả, và là sự thật kỹ thuật trung tâm khiến căng thẳng quyền riêng tư trong chủ đề này không thể tránh thay vì chỉ bất tiện (xem tái định danh dữ liệu). Loại bỏ một cái tên, hay một định danh hiển nhiên như số bảo hiểm quốc gia hay an sinh xã hội, không loại bỏ rủi ro: một sự kết hợp các chuẩn định danh như tuổi, mã bưu chính và một bệnh y tế hiếm có thể nhận diện duy nhất ai đó ngay cả trong một bộ dữ liệu chưa bao giờ nêu tên họ, đặc biệt khi được tham chiếu chéo với một bộ dữ liệu khác, công khai riêng. K-ẩn danh là một cách chính thức để lập luận về rủi ro này: một bộ dữ liệu thỏa mãn k-ẩn danh nếu mọi kết hợp các trường chuẩn định danh nó chứa được chia sẻ bởi ít nhất một số xác định, k, các bản ghi, để không hàng đơn lẻ nào có thể bị cô lập xuống ít hơn k người khả dĩ (xem k-ẩn danh). Quyền riêng tư vi phân là một cách tiếp cận gần đây hơn, chặt chẽ về toán học, thêm nhiễu thống kê được hiệu chỉnh cẩn thận vào một bộ dữ liệu hay vào kết quả các truy vấn chống lại nó, để sự hiện diện hay vắng mặt của hồ sơ của bất kỳ cá nhân đơn lẻ nào thay đổi đầu ra đã công bố chỉ bằng một lượng bị giới hạn, chứng minh được, bất kể kẻ tấn công đã biết gì (xem quyền riêng tư vi phân). Quyền riêng tư từ thiết kế là nguyên tắc rộng hơn rằng bảo vệ quyền riêng tư nên được xây vào kiến trúc của một hệ thống ngay từ đầu, như một cài đặt mặc định, thay vì bổ sung như một bước che mờ ngay trước khi công bố (xem quyền riêng tư từ thiết kế); che mờ các định danh hiển nhiên sau sự việc là dạng yếu nhất của kỷ luật này, không phải sự thay thế cho nó.

Thực hành tốt nhất

1. Chỉ định một người quản lý chịu trách nhiệm cho mọi bộ dữ liệu quan trọng, không chỉ một văn phòng dữ liệu trung ương. Một văn phòng dữ liệu có thể đặt chuẩn, nhưng không thể biết một trường cụ thể trong một hệ thống cụ thể có còn mang nghĩa như đã được định nghĩa không; phán đoán đó thuộc về ai đó gần với việc sử dụng thực của dữ liệu.
2. Công bố mở theo mặc định, và ghi lại lý do cụ thể mỗi khi bạn không. Đảo ngược mặc định — yêu cầu một biện minh để giữ lại thay vì một biện minh để công bố — làm lộ các nhạy cảm thực sự để xem xét riêng lẻ thay vì để sự thận trọng áp dụng bừa bãi cho mọi thứ.
3. Áp dụng một lược đồ dùng chung sẵn có trước khi thiết kế cái mới. Một cấu trúc dữ liệu đặt riêng khớp hoàn hảo với một dự án và không khớp gì khác trong chính phủ bảo đảm một chi phí tích hợp tương lai; hãy kiểm tra khu vực, khu vực pháp lý của bạn hay một cơ quan chuẩn quốc tế đã công bố gì trước khi xây của riêng bạn.
4. Thiết kế các định danh duy nhất bền vững, được quản trị tốt trước khi một hệ thống sống, không phải sau. Bổ sung một sơ đồ định danh vào các hồ sơ đã tích lũy nhiều năm dưới các khóa không nhất quán đắt hơn rất nhiều so với việc làm đúng thiết kế ngay từ đầu.
5. Xây dựng trao đổi dữ liệu qua các API được quản trị thay vì chuyển tệp một lần. Một API thực thi một lược đồ, ghi nhật ký truy cập và có thể phiên bản hóa cho bạn một điểm liên thông kiểm soát được, kiểm toán được; một bảng tính gửi email giữa các phòng ban không cho bạn điều nào trong số đó và không ai nhận thấy khi nó cũ đi.
6. Viết các thỏa thuận chia sẻ dữ liệu nêu mục đích, cơ sở pháp lý và thời hạn hết hiệu lực, không chỉ cơ chế kỹ thuật. Một thỏa thuận nêu dữ liệu di chuyển thế nào nhưng không nêu vì sao, hay trong bao lâu, có xu hướng sống lâu hơn mục đích đã biện minh cho nó và lặng lẽ trở thành giấy phép cho điều không ai tường minh cho phép.
7. Coi khử định danh là một đánh giá rủi ro với một kết quả còn lại, không phải một nhiệm vụ che mờ một lần. Hãy hỏi những bộ dữ liệu công khai hay có thể mua khác nào có thể được liên kết với bộ bạn sắp phát hành, và định cỡ rủi ro tái định danh đối chiếu với mối đe dọa thực tế đó, không phải đối chiếu với một kẻ tấn công lý tưởng hóa không có thông tin bên ngoài.
8. Áp dụng quyền riêng tư vi phân hay một kỹ thuật chính thức tương đương cho bất kỳ lần phát hành nào liên quan đến dân số nhỏ hay đặc điểm hiếm. Đơn giản loại bỏ hay khái quát hóa các định danh hiển nhiên là không đủ một khi một bộ dữ liệu gồm bất cứ điều gì đủ bất thường để tự nó nhận diện, như một bệnh hiếm, một dân số địa phương nhỏ, hay một giao dịch giá trị cao.
9. Duy trì một danh mục dữ liệu công khai, hiện hành với siêu dữ liệu thực, không chỉ một danh sách tên tệp. Một bộ dữ liệu mà người dùng tiềm năng không thể hiểu đủ để tin về chức năng là chưa công bố, dù giấy phép của nó cho phép đến đâu; các mục danh mục nên nói một trường có nghĩa gì, cập nhật bao lâu một lần, và các hạn chế đã biết của nó là gì.
10. Đo chất lượng dữ liệu đối chiếu với các chuẩn xác định theo lịch định kỳ, và báo cáo kết quả cho người sở hữu bộ dữ liệu. Chất lượng chỉ được kiểm tra khi có gì hỏng suy giảm vô hình trong những khoảng giữa; một phép đo thường lệ biến sự suy giảm thành một xu hướng hiển thị, quản lý được.
11. Định kỳ xem xét mọi bộ dữ liệu đã công bố về giá trị công và rủi ro liên tục. Dân số thay đổi, kỹ thuật tái định danh cải thiện, và một lần phát hành an toàn năm năm trước có thể không an toàn hôm nay đối chiếu với dữ liệu đã trở nên sẵn có ở nơi khác kể từ đó.
12. Tách quyết định chia sẻ hay công bố dữ liệu khỏi nhóm kỹ thuật di chuyển nó. Những người ở vị trí tốt nhất để phán đoán mục đích, tính tương xứng và rủi ro quyền riêng tư hiếm khi là những người ở vị trí tốt nhất để xây đường ống, và gộp hai vai trò vào một để phán đoán khó hơn bị xem xét thiếu.

Câu hỏi thảo luận với đội ngũ của bạn

Chúng ta có biết hệ thống nào nắm hồ sơ có thẩm quyền cho từng thực thể dữ liệu cốt lõi của mình, và mọi người có thực sự đối xử với nó như vậy không? Nhiều tổ chức, trong thực tế, có vài bản sao "thật" của cùng thông tin — địa chỉ của một công dân trong hệ thống thanh toán, hệ thống quản lý hồ sơ và nhật ký thư từ, tất cả hơi khác nhau và tất cả đều đang được ai đó hành động theo. Hãy dùng câu hỏi này để liệt kê các thực thể cốt lõi của tổ chức bạn (công dân, hồ sơ, bất động sản, doanh nghiệp) và xác định, một cách trung thực, liệu một nguồn có thẩm quyền duy nhất có tồn tại cho từng cái hay nhân viên đã lặng lẽ học hệ thống nào tin cho mục đích nào. Hãy thảo luận cần gì để chỉ định và thực thi một nguồn có thẩm quyền cho mỗi thực thể, và điều gì sẽ vỡ trong quá trình chuyển đổi. Việc này thường rẻ hơn để sửa sớm so với sau khi một quyết định nghiêm trọng đã được đưa ra trên bản sao sai.

Nếu một người hỏi vì sao họ phải cho cùng thông tin cho hai phần của chính tổ chức chúng ta, câu trả lời trung thực của chúng ta là gì? Câu trả lời trung thực thường là "vì hệ thống của chúng tôi không thể trao đổi nó," một thất bại liên thông khoác áo yêu cầu quy trình. Hãy dùng câu hỏi này để chọn một hành trình dịch vụ trải qua nhiều hơn một nhóm hay hệ thống và lần theo, từng bước, nơi cùng một sự kiện được thu thập hơn một lần. Hãy thảo luận liệu yêu cầu lặp lại có đang bảo vệ điều gì thực sự — một sự đồng ý mới, một bước xác minh — hay chỉ đơn giản là sự vắng mặt của một thỏa thuận chia sẻ dữ liệu hay lược đồ chung. Hãy cân nhắc để nó không được sửa thêm một năm nữa sẽ tốn bao nhiêu, về niềm tin công dân cũng như thời gian nhân viên.

Nơi nào một nhà báo hay nhà nghiên cứu kiên quyết có khả năng nhất tái định danh ai đó trong một bộ dữ liệu mà chúng ta hiện gọi là ẩn danh? Hầu hết các tổ chức công bố dữ liệu đã khử định danh chưa kiểm tra áp lực nó đối chiếu với một sự kết hợp thực tế của các chuẩn định danh và các bộ dữ liệu công khai khác. Hãy dùng câu hỏi này để chọn bộ dữ liệu rủi ro cao nhất đã công bố hoặc sắp công bố của bạn và đi qua thông tin nào khác — một báo cáo tin tức địa phương, bộ dữ liệu mở của cơ quan khác, một sổ đăng ký công khai — có thể hợp lý được liên kết với nó. Hãy thảo luận liệu cách tiếp cận khử định danh hiện tại của bạn (loại bỏ, khái quát hóa, hay một kỹ thuật chính thức như k-ẩn danh hay quyền riêng tư vi phân) có thực sự chịu được sự kết hợp đó không, và ai chịu trách nhiệm kiểm nghiệm lại nó khi dữ liệu bên ngoài mới trở nên sẵn có.

Ai hiện có thẩm quyền nói rằng một bộ dữ liệu không nên được công bố, và chúng ta có tự tin thẩm quyền đó đang được dùng vì những lý do đúng không? Một chính sách mặc định mở vẫn cần một quy trình ngoại lệ đáng tin, có lý do, và người thực hiện nó nên xác định được và chịu trách nhiệm. Hãy dùng câu hỏi này để kiểm tra liệu các quyết định giữ lại trong tổ chức bạn do một vai trò được nêu tên đưa ra đối chiếu với tiêu chí có tài liệu, hay không chính thức, bởi bất kỳ ai tình cờ được hỏi và nghiêng về phía thận trọng. Hãy thảo luận liệu tỷ lệ giữ lại của bạn trông giống phán đoán cẩn thận từng trường hợp hay một phản xạ thể chế thường trực, và một cuộc xem xét độc lập định kỳ các bộ dữ liệu bị giữ lại có thể làm lộ ra điều gì.

Các thỏa thuận chia sẻ dữ liệu giữa các cơ quan của chúng ta có còn được dùng cho mục đích chúng được viết cho không? Giới hạn mục đích dễ nêu trong một thỏa thuận và dễ bị xói mòn lặng lẽ trong thực tế, đặc biệt một khi một bộ dữ liệu chứng tỏ hữu ích cho điều mà các bên ký ban đầu không lường trước. Hãy dùng câu hỏi này để chọn hai hay ba sắp xếp chia sẻ dữ liệu liên cơ quan đang sống và kiểm tra việc sử dụng hiện tại thực tế đối chiếu với mục đích bằng văn bản và ngày hết hiệu lực. Hãy thảo luận bước quản trị nào còn thiếu nếu phát hiện một sự không khớp, và ai nên chịu trách nhiệm bắt loại trôi dạt đó trước một cuộc kiểm toán bên ngoài hay một nhà báo.

Nếu các chuẩn liên thông hay dữ liệu của chúng ta trở thành rào cản cho một cách dùng mới chính đáng của dữ liệu, chúng ta sẽ phát hiện trước hay sau khi nó gây hại thực? Các chuẩn hợp lý khi được áp dụng có thể cứng thành chướng ngại khi nhu cầu và công nghệ thay đổi, và các tổ chức hiếm khi xây một cơ chế để nhận thấy điều này xảy ra với quy tắc của chính mình. Hãy dùng câu hỏi này để thảo luận cách tổ chức bạn hiện xem xét liệu các chuẩn dữ liệu, sơ đồ định danh hay quy trình chia sẻ của mình có còn phục vụ mục đích của chúng, so với đơn giản được thừa hưởng và không bị chất vấn. Hãy cân nhắc liệu những người sẽ nhận thấy một chuẩn đã trở thành chướng ngại — nhân viên tuyến đầu, các tổ chức đối tác, nhà phát triển bên ngoài dùng dữ liệu mở của bạn — có một kênh thực để nêu nó không, và kênh đó đã bao giờ thực sự thay đổi một chuẩn chưa.

Trong thực tiễn: một ví dụ về giá trị công

Một cơ quan phúc lợi xã hội khu vực và một cơ quan y tế khu vực riêng — hư cấu, minh họa cho một khuôn mẫu chứ không phải báo cáo về bất kỳ cơ quan có thật nào — đã dành một thập kỷ chạy các hệ thống quản lý hồ sơ không tương thích, nên một gia đình được cả hai biết đến có thể được ghi lại dưới các số tham chiếu khác nhau, không có cách nào đáng tin để cho nhân viên cơ quan biết rằng hộ gia đình xuất hiện trong danh mục hỗ trợ nhà ở là cùng hộ gia đình xuất hiện trong danh mục tiếp cận nhi khoa. Một chương trình chung để xác định trẻ em có nguy cơ rơi qua khoảng trống giữa hai dịch vụ nhiều lần đình trệ, không phải do thiếu ý chí chính trị, mà vì không ai có thể tạo ra một góc nhìn kết hợp duy nhất, đáng tin về các gia đình nào cần cả hai loại hỗ trợ.

Hai cơ quan cuối cùng áp dụng một định danh hộ gia đình dùng chung và một lược đồ chung cho các trường mà cả hai hệ thống cần trao đổi, xây qua một API được quản trị thay vì các lần xuất bảng tính định kỳ mà mỗi bên đã dựa vào trước đó, dưới một thỏa thuận chia sẻ dữ liệu nêu mục đích cụ thể — phối hợp hỗ trợ cho các hộ gia đình có nguy cơ — và yêu cầu xem xét hằng năm. Trong vòng một năm, nhân viên hồ sơ ở cả hai phía có thể thấy, lần đầu tiên, gia đình nào được dịch vụ kia biết đến, và các cuộc họp hồ sơ chung từng dựa vào kiểm tra chéo thủ công trở thành thường lệ. Các cơ quan sau đó đi xa hơn, công bố một bộ dữ liệu mở tổng hợp, cấp khu vực cho thấy số hộ gia đình nhận hỗ trợ kết hợp theo quận, nhằm giúp các tổ chức từ thiện địa phương nhắm mục tiêu tiếp cận của chính họ và cho các ủy viên hội đồng dân cử thấy liệu chương trình chung có đang đến được các khu vực mà nó được thiết kế cho không.

Một người ủng hộ quyền dữ liệu địa phương, làm việc cùng một nhà nghiên cứu đại học, phát hiện rằng các con số cấp quận đã công bố có thể được tham chiếu chéo với một bộ dữ liệu mở khác, cũng thiện chí không kém, được công bố riêng từ cơ quan giao thông địa phương — cho thấy các đơn xin vé trợ giá theo khu vực nhỏ — để thu hẹp một số quận xuống số hộ gia đình đủ nhỏ để các gia đình cụ thể có thể hợp lý bị nhận diện, đặc biệt ở các quận nông thôn dân cư thưa nơi cả hai bộ dữ liệu đếm các số hộ gia đình một chữ số. Không bộ dữ liệu nào một mình mang tính tiết lộ; kết hợp, ở các khu vực ít dân nhất, chúng thì có. Bản năng đầu tiên của các cơ quan, rút hoàn toàn bộ dữ liệu mở, sẽ phá hủy giá trị trách nhiệm giải trình và nhắm mục tiêu từ thiện mà nó đã bắt đầu mang lại. Thay vào đó, làm việc cùng chính người ủng hộ đó, họ công bố lại bộ dữ liệu bằng cách tiếp cận quyền riêng tư vi phân thêm nhiễu được hiệu chỉnh vào các số đếm nhỏ, giữ tính hữu ích của nó để phát hiện các khuôn mẫu khu vực rộng trong khi làm cho số đếm thực của bất kỳ quận dân cư thấp đơn lẻ nào đủ bất định để đánh bại cuộc tấn công tham chiếu chéo đã làm lộ lần phát hành ban đầu. Sự việc trở thành nghiên cứu điển hình mà các cơ quan dùng trong đào tạo nhân viên tiếp theo của chính mình, về lý do khử định danh phải được đánh giá đối chiếu với điều gì khác có sẵn công khai, không phải đối chiếu với bộ dữ liệu trong cô lập.

Bốn góc nhìn theo khu vực

Chính quyền địa phương

Một chính quyền địa phương thường chạy nhiều hệ thống riêng biệt hơn, cũ hơn và ít tích hợp hơn trên mỗi cư dân được phục vụ so với một cơ quan quốc gia, vì nhiều thập kỷ các hệ thống cấp phòng ban được mua sắm riêng — nhà ở, quy hoạch, rác, chăm sóc xã hội — hiếm khi được xây để chia sẻ dữ liệu với nhau. Điều này khiến khả năng liên thông là một trận chiến thực sự nội bộ trước khi nó là một trận chiến bên ngoài: một cư dân tương tác với ba phòng ban của hội đồng trong một tuần có thể thấy không phòng ban nào thấy được điều các phòng ban khác đã biết. Dữ liệu mở địa phương, trong khi đó, có xu hướng có giá trị công dân đặc biệt trực tiếp — lịch thu gom rác, đơn quy hoạch, chi tiêu địa phương — vì cư dân và nhà báo địa phương gắn bó với nó ở mức cụ thể mà các bộ dữ liệu quốc gia hiếm khi đề nghị, điều nâng mức rủi ro về việc làm đúng siêu dữ liệu và tần suất cập nhật ngay cả với các bộ dữ liệu khiêm tốn, hằng ngày.

Chính phủ quốc gia

Các chính phủ quốc gia thường vận hành dải đầy đủ nhất các công cụ quản trị dữ liệu và liên thông — một chiến lược dữ liệu quốc gia, các sơ đồ định danh xuyên chính phủ, các cổng dữ liệu mở bắt buộc, và các cơ quan quản lý bảo vệ dữ liệu chuyên trách — nhưng chính số lượng các hệ thống di sản tích lũy qua nhiều thập kỷ và nhiều chính quyền khiến liên thông kỹ thuật là một nhiệm vụ nền dai dẳng, tốn kém hơn là một dự án một lần. Các chương trình dữ liệu mở quốc gia mang rủi ro tái định danh không cân xứng chính vì các bộ dữ liệu quốc gia đủ lớn để thực sự có giá trị và đủ chi tiết, một khi được liên kết với các sổ đăng ký quốc gia khác, để nhận diện cá nhân; các tài liệu chiến lược dữ liệu quốc gia mà một số chính phủ nay công bố ngày càng gọi tên tường minh các kỹ thuật công bố bảo vệ quyền riêng tư, thay vì coi khử định danh là một chi tiết triển khai nằm dưới thông báo chính sách.

Khu vực xã hội và phi lợi nhuận

Một tổ chức phi lợi nhuận hay phi chính phủ (NGO) hiếm khi chịu một ủy nhiệm dữ liệu mở, nhưng nó ngày càng đối mặt với một kỳ vọng song song từ nhà tài trợ, cơ quan quản lý và công chúng rằng dữ liệu chương trình được chia sẻ minh bạch, và nó thường làm việc với các dân số — người sống sót sau bạo lực, người nghèo cùng cực, cư dân không giấy tờ — mà với họ rủi ro tái định danh mang cái giá cá nhân cao hơn nhiều so với dân số chung trong một bộ dữ liệu chính phủ. Các thỏa thuận chia sẻ dữ liệu quan trọng không cân xứng ở đây vì một tổ chức phi lợi nhuận thường chia sẻ dữ liệu thân chủ với các nhà tài trợ chính phủ hay tổ chức đối tác theo các hợp đồng mà nó không viết, và nó cần năng lực đàm phán giới hạn mục đích thay vì đơn giản chấp nhận bất kỳ điều khoản chia sẻ dữ liệu nào gắn với tài trợ. Các chuẩn liên thông do các nhà tài trợ chính phủ hoặc từ thiện lớn hơn áp dụng có thể là một gánh nặng thực sự đối với năng lực kỹ thuật hạn chế của một tổ chức nhỏ, một chi phí thực đáng gọi tên thay vì coi việc áp dụng chuẩn là miễn phí.

Đa phương và quốc tế

Các tổ chức đa phương tổng hợp dữ liệu qua các quốc gia thành viên có mức trưởng thành quản trị, năng lực thống kê và chế độ pháp lý về quyền riêng tư rất khác nhau, khiến liên thông ngữ nghĩa — thống nhất một trường chung thực sự có nghĩa gì — là một vấn đề ngoại giao cũng như kỹ thuật dai dẳng; một thuật ngữ cơ bản như "hộ gia đình" hay "thất nghiệp" được định nghĩa đủ khác nhau qua các quốc gia để các cơ quan thống kê quốc tế duy trì cả các chuẩn, như định dạng Trao đổi Dữ liệu và Siêu dữ liệu Thống kê (SDMX), thuần túy để làm cho dữ liệu xuyên quốc gia thực sự so sánh được. Dữ liệu mở ở cấp này hoạt động như một hàng hóa công đặc biệt rõ theo nghĩa nêu trong Chủ đề 1.4 — Hàng hóa công, hàng hóa khuyến dụng và đa nguyên giá trị, vì không quốc gia thành viên đơn lẻ nào có động cơ tự tài trợ một bộ dữ liệu so sánh toàn cầu, vậy mà mọi quốc gia và nhà nghiên cứu hưởng lợi một khi một tổ chức đa phương công bố một bộ. Những lo ngại về chủ quyền dữ liệu sâu hơn ở đây so với bối cảnh một quốc gia: một quốc gia thành viên có thể kháng cự chia sẻ dữ liệu mà nó được quyền pháp lý giữ lại, hay có thể tranh chấp cách một tổ chức đa phương đã phân loại hay tổng hợp các con số quốc gia của chính nó, khiến câu hỏi quản trị về ai kiểm soát một thống kê chung có hệ quả ngang câu hỏi kỹ thuật về cách nó được trao đổi.

Các kiểu thất bại thường gặp

Ống khói dữ liệu im lặng. Các hệ thống tích lũy độc lập qua một tổ chức mà không có định danh hay lược đồ chung, và cái giá vẫn ẩn cho đến khi một hồ sơ cụ thể — một thất bại bảo vệ an toàn, một cuộc kiểm toán, một sự cố ngừng hoạt động dịch vụ — đòi hỏi một góc nhìn kết hợp hóa ra không thể tạo ra nhanh chóng, lúc đó cái giá của ống khói hiện ra cùng một lúc và đắt để sửa dưới áp lực.

Sân khấu ẩn danh. Một bộ dữ liệu bị loại bỏ tên và các định danh hiển nhiên rồi được coi là an toàn để công bố mà không có đánh giá nào về chuẩn định danh hay rủi ro liên kết với các dữ liệu sẵn có khác. Cái giá hiện ra, thường công khai và xấu hổ, khi một nhà nghiên cứu, nhà báo hay người ủng hộ chứng minh tái định danh là có thể, lúc đó uy tín của tổ chức về quyền riêng tư bị hại vượt xa bộ dữ liệu cụ thể liên quan.

Quản trị không có chủ. Chính sách quản trị dữ liệu tồn tại trên giấy, nhưng không người cụ thể nào chịu trách nhiệm về chất lượng hay độ cập nhật của bộ dữ liệu cụ thể nào, nên các chuẩn suy giảm lặng lẽ và không ai nhận ra cho đến khi dữ liệu được dựa vào cho một quyết định mà nó không thể thực sự hỗ trợ. Đây là một thất bại đặc biệt phổ biến vì bản thân tài liệu chính sách trông đầy đủ, che giấu sự vắng mặt của bất kỳ ai thực sự chịu trách nhiệm bên dưới nó.

Khả năng liên thông bằng ủy nhiệm, không có nguồn lực. Một lược đồ dùng chung hay sơ đồ định danh được bắt buộc tập trung nhưng không bao giờ được tài trợ cho các nhóm được kỳ vọng áp dụng nó, nên tuân thủ trở thành một bài tập đánh dấu hộp — một trường có mặt về mặt kỹ thuật nhưng không được điền đúng — thay vì khả năng liên thông thực sự, dùng được. Cái giá là một cảm giác sai rằng một chuẩn chung tồn tại, chỉ được phát hiện khi ai đó thực sự cố dựa vào dữ liệu mà nó được cho là chuẩn hóa.

Rửa mở. Một tổ chức công bố bảng điều khiển và trực quan hóa tóm tắt và gọi đây là dữ liệu mở, trong khi bộ dữ liệu đọc được bằng máy nền tảng mà một bên thứ ba cần để xây thứ mới vẫn chưa được công bố hoặc được công bố ở định dạng không ai thực tế tái sử dụng được. Điều này nắm bắt vẻ ngoài của sự minh bạch và cởi mở được mô tả trong Chủ đề 3.4 — Trách nhiệm giải trình, minh bạch và tính chính danh mà không có thực chất của nó, và thường bị nhầm là một chương trình dữ liệu mở thực sự vì bảng điều khiển trông ấn tượng.

Mô hình trưởng thành

Danh mục kiểm tra

• Xác định hệ thống nguồn có thẩm quyền cho từng thực thể dữ liệu cốt lõi của tổ chức bạn.
• Xác nhận mọi bộ dữ liệu quan trọng có một người quản lý được nêu tên, chịu trách nhiệm.
• Kiểm tra liệu một lược đồ hay chuẩn dùng chung đã tồn tại cho một dự án dữ liệu mới trước khi thiết kế cái đặt riêng.
• Xem xét thiết kế định danh duy nhất của bạn về tính bền vững và nhất quán qua các hệ thống dùng nó.
• Thay thế ít nhất một trao đổi dữ liệu thủ công hay dựa trên bảng tính lặp lại bằng một API được quản trị.
• Xác nhận mọi thỏa thuận chia sẻ dữ liệu liên cơ quan đang hoạt động nêu mục đích, cơ sở pháp lý và thời hạn hết hiệu lực, và khớp với việc sử dụng thực tế hiện tại.
• Chạy một đánh giá rủi ro tái định danh, gồm liên kết hợp lý với các bộ dữ liệu công khai khác, trước khi công bố bất kỳ bộ dữ liệu nào liên quan đến thông tin cá nhân.
• Áp dụng một kỹ thuật bảo vệ quyền riêng tư chính thức, như k-ẩn danh hay quyền riêng tư vi phân, cho bất kỳ lần phát hành nào liên quan đến dân số nhỏ hay đặc điểm hiếm.
• Xác nhận danh mục dữ liệu mở của bạn gồm siêu dữ liệu thực, hiện hành, không chỉ tên tệp.
• Xem xét các bộ dữ liệu đã công bố trước đó đối chiếu với dữ liệu bên ngoài mới sẵn có để tìm rủi ro tái định danh mới nổi.
• Xác nhận các quyết định giữ lại do một vai trò được nêu tên, chịu trách nhiệm đưa ra đối chiếu với tiêu chí có tài liệu.
• Hỏi nhóm của bạn sáu câu hỏi thảo luận ở trên và ghi lại nơi câu trả lời trung thực khác với câu trả lời chính thức.

Nguồn chính

• Hiến chương Dữ liệu Mở Quốc tế, sáu nguyên tắc của nó, và hướng dẫn của nó về công bố mở theo mặc định.
• Khuyến nghị của Hội đồng OECD về Tăng cường Tiếp cận và Chia sẻ Dữ liệu (2021).
• Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, Ấn phẩm Đặc biệt 800-226, Hướng dẫn Đánh giá các Bảo đảm Quyền riêng tư Vi phân.
• Tài liệu của Cục Điều tra Dân số Hoa Kỳ về tránh tiết lộ và việc áp dụng quyền riêng tư vi phân vào dữ liệu điều tra dân số mười năm.
• Công trình nền tảng của Cynthia Dwork hình thức hóa quyền riêng tư vi phân, và văn liệu học thuật rộng hơn về kiểm soát tiết lộ thống kê.
• Tam giác chiến lược của Mark H. Moore và logic hàng hóa công nêu trong Chủ đề 1.4 — Hàng hóa công, hàng hóa khuyến dụng và đa nguyên giá trị, như khung mà chủ đề này xây dựng trên đó.

Tài liệu tham khảo

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/