公共部门数据、互操作性与开放数据

这为何对公共价值重要

每一个公共机构所持有的数据,都比它善加利用的要多。一个税务机关、一个医院网络、一个交通机构,以及一个地方规划办公室,各自作为运营一项服务的副产品而收集信息,而每一个都会发现——通常发现得太晚——回答一位公民的问题或解决一场纠纷所需要的记录,正躺在一套这个组织里没有任何其他人能够查询的系统里。这项代价并不抽象:一位已经向一个机构提供过自己地址的公民,不应该还要向同一个政府内部的另一个机构再说一遍。

本主题标题中包含着两个不同的雄心,而公共机构常常把它们混为一谈。第一个是互操作性——让数据能够在由不同团队、不同技术时代独立构建的系统之间可靠地流动,使政府的一个部分能够依据另一个部分已经知道的东西采取行动。第二个是开放性——把数据完全公布到政府之外,让记者、研究人员与公民能够为发布机构从未预料到的目的使用它。互操作性主要是一个工程与治理问题;开放性本身就是一种公共价值,与主题1.4——公共物品、优值品与价值多元论所描述的公共物品同属一类,因为已发布的数据是非竞用的,一旦发布便很难排除任何人使用它,因此单凭市场会供给不足。

这两种雄心,都与第三个事实相冲突,本主题把它当作一种真正的、尚未解决的张力、而非一个有整洁答案的问题来处理:详细到足以有用的数据,常常也详细到足以识别它所描述的个人,即便姓名与明显的标识符已被剥离。一个大量发布数据的政府,与一个良好地保护自己记录中的人的政府,是在同一个杠杆上朝不同方向拉扯,而对数据用于训练与评估算法系统日益增长的胃口(见主题5.2——政府中的人工智能与算法决策),提高了这种利害关系,因为如今比以往任何时候都更多的行为者,想要恰恰在最容易识别的那种粒度上获得公共数据。一位把治理、互操作性与开放性当作同一个问题、把隐私当作它永久约束的领导者,比一位把三者各自孤立对待的领导者,更有能力捕捉本主题的价值。

核心概念

数据治理是一套决策权、标准与问责,决定谁可以创建、更改、访问并淘汰一个组织的数据,以及它必须被保持在什么质量标准之下(见数据治理)。它与数据管理不同,后者是日常移动与存储数据的运营工作;治理决定规则,管理执行它们。一个没有数据治理的公共机构依然拥有数据,但没有人能够自信地说,一位公民记录的哪个副本才是权威版本,或者当那份记录被证明是错的时,由谁负责。

数据管家是对一个具体数据集的质量、定义与恰当使用负责的具名个人或角色,不同于操作它所存放系统的技术人员(见数据管家)。管家职责之所以重要,是因为数据质量默认会衰退:一个没有人对其负责的字段,会积累起不一致的录入、重复的记录,以及一个字段本应代表的含义与员工实际填入其中的内容之间悄悄的漂移。为一个数据集指定一位管家,能把数据质量从一项偶尔的清理工作,转变为一项持续的、具名的责任。

互操作性是独立构建的系统在不需要为每一对涉及的系统进行特殊、一次性工程的情况下,交换数据并正确使用它的能力(见互操作性)。它在三个容易被混淆的层面上运作:技术互操作性(这些系统能否连接、能否传输字节数据,通常通过一个应用程序编程接口,即API,一种让一件软件向另一件软件请求数据或操作的明确规定的方式——见应用程序编程接口);语义互操作性(两套系统是否对一个共享字段——例如"家庭"或"活跃案例"——赋予同样的含义);以及组织互操作性(这两个组织是否就为什么要共享这项数据、以及谁对接下来发生的事情负责达成一致)。即便技术连接完美地运作,大多数代价高昂的互操作性失败,也发生在语义层面或组织层面。

通用架构,或称数据标准,是关于一类数据如何被表示——字段名称、格式、单位与允许的取值——的一份商定的、已公布的结构,被不止一套系统或组织采纳,使一套系统产出的数据能够被另一套系统使用、而无需人工转译。采用一套共享架构来表示诸如地址或案件状态这类基本事物的政府机构,把数十个潜在的双边转译问题,转化成了每一套新系统都可以直接实施的一项标准。一个跨越各个系统、跨越时间持续存在的唯一标识符——一个案件编号、一个企业注册编号、一个公民参考号——是让关于同一个人或同一实体的记录能够被正确链接起来的具体机制,而把标识符设计做错(重复使用编号、更改格式,或干脆没有一个)是互操作性失败最常见、也最容易避免的原因之一。

元数据是关于数据的数据——对一个数据集的结构、来源、更新频率与含义的描述,与数据本身一并发布,使一位没有创建它的用户也能够理解并信任它(见元数据)。一个没有充分元数据发布的数据集,无论它的许可证多么开放,对产出它的团队之外的任何人来说都几乎无法使用;元数据正是把一次文件倾倒,变成一件第三方真正能够重复使用的东西的关键。

数据共享协议是机构之间、或一个公共机构与一个外部伙伴之间的一项正式安排,规定了数据可以被用于什么目的、共享它的法律依据、可以保留多久,以及如果这个目的发生变化会怎样。目的限制——把共享数据的使用限制在它被收集或共享的那个目的之内——是防止一份数据共享协议变成一张无限度地把个人信息挪作他用的许可证的纪律,而它的缺失,是涉及跨机构数据的公众信任失败案例中反复出现的一个主题。

开放数据是被免费提供给任何人访问、使用与再分发、用于任何目的的数据,通常是机器可读的,并在一种允许重复使用、而非仅仅查看的许可证之下发布(见开放数据)。它的公共价值论证,遵循主题1.4——公共物品、优值品与价值多元论所阐述的公共物品逻辑:一旦一个数据集被发布,一个人对它的使用不会减损另一个人的使用,而政府往往是唯一既拥有法律地位、又拥有规模去首先收集并发布它的行为者,因此单凭私营市场会长期供给不足这类信息。开放数据促成了问责(记者与公民对照政府自己的记录来核查政府自己的主张)、第三方创新(企业与公民技术专家在政府自己永远不会构建的公共数据之上构建服务),以及经济中其他地方更好的公共决策,而这一切都不需要发布机构事先预见每一种用途。

重新识别是把假设已经匿名化的数据与其他可获得的信息相匹配,以推算出一份记录描述的是哪一位真实的人的过程,它是让本主题的隐私张力变得不可避免、而非仅仅不便的核心技术事实(见数据重新识别)。移除一个姓名,或一个明显的标识符——例如国民保险号或社会安全号——并不能移除这种风险:一种由年龄、邮编,以及一种罕见的医疗状况所构成的准标识符组合,即便在一个从未列出姓名的数据集中,也能唯一地识别出某个人,尤其是一旦它被与另一个独立的公开数据集交叉参照之后。k-匿名性是推理这种风险的一种正式方式:如果一个数据集所包含的每一种准标识字段组合,都由至少一个明确设定的数量k的记录共享,这个数据集就满足k-匿名性,使得没有任何一行能够被孤立到少于k个可能的人身上(见k-匿名性)。差分隐私是一种更新近的、数学上严谨的方式,它向一个数据集或针对它的查询结果,添加经过精心校准的统计噪声,使任何单一个体记录的存在与否,只以一个有界的、可证明的幅度改变已发布的输出,无论一位攻击者已经知道什么(见差分隐私)。隐私设计原则是一项更广泛的原则,即隐私保护应该从一开始就被内建到一套系统的架构之中、作为一项默认设置,而不是在发布之前才作为一个删减步骤附加上去(见隐私设计原则);事后删减明显的标识符,是这门纪律最薄弱的形式,而非它的替代品。

最佳实践

1. 为每一个重要的数据集指定一位负责任的管家,而不仅仅是一个中央数据办公室。 一个数据办公室可以设定标准,但它无法知道一套具体系统中的一个具体字段是否仍然意味着它最初被定义时的含义;这项判断属于最接近数据实际使用的人。
2. 默认公开发布,并在每一次不这样做时记录具体的理由。 反转默认选项——要求为扣留提供理由、而非为发布提供理由——能让真正的敏感性浮现出来接受个别审查,而不是任由谨慎不加区分地应用于一切。
3. 在设计一套新架构之前,先采用一套既有的共享架构。 一套完美契合某一个项目、却与政府其他任何地方都不匹配的定制数据结构,保证了未来的集成成本;在自建之前,先核查你的行业、辖区,或一个国际标准机构是否已经公布了什么。
4. 在一套系统上线之前、而非之后,设计持久的、治理良好的唯一标识符。 为已经在不一致的键值之下累积多年的记录追加补建一套标识符方案,比一开始就把设计做对昂贵得多。
5. 通过受治理的API、而非一次性的文件传输来构建数据交换。 一个强制执行架构、记录访问日志、并能够被版本化的API,给了你一个可控的、可审计的互操作性节点;一份在部门之间通过电子邮件传送的电子表格则不具备这些特性中的任何一个,而且没有人会注意到它何时过时了。
6. 编写说明目的、法律依据与到期日的数据共享协议,而不仅仅是技术机制。 一份规定了数据如何移动、却没有规定为什么、或持续多久的协议,往往会比证成它的那个目的存续得更久,并悄悄变成一种没有人明确授权过的许可。
7. 把去标识化当作一次带有残余结果的风险评估,而非一项一次性的删减任务来对待。 追问一下,还有哪些其他公共或可购买的数据集,可能被链接到你即将发布的这个数据集,并依据那种现实的威胁模型、而非一个没有任何外部信息的理想化攻击者,来衡量重新识别的风险。
8. 对任何涉及小规模人群或罕见特征的发布,应用差分隐私或一种同等的正式技术。 一旦一个数据集包含了任何独特到本身就足以识别身份的东西——例如一种罕见状况、一个小型地方人群,或一笔高价值交易——单纯的明显标识符抑制或泛化就不再足够。
9. 维护一份公开的、及时更新的、拥有真实元数据的数据目录,而不仅仅是一份文件名清单。 一个潜在用户无法理解到足以信任它的数据集,无论它的许可证多么宽松,实际上都等同于未发布;目录条目应该说明一个字段的含义、它多久更新一次,以及它已知的局限性是什么。
10. 按固定日程,对照明确设定的标准衡量数据质量,并向数据集的负责人汇报结果。 只在出了问题时才被检查的质量,会在两次检查之间的很长一段时间里不可见地衰退;一次常规的衡量,能把衰退变成一个可见的、可管理的趋势。
11. 定期审查每一个已发布的数据集,判断它是否仍然具有公共价值、是否仍然存在风险。 人口会变化,重新识别技术会改进,而一次五年前是安全的发布,在别处已经新增可得的数据面前,今天可能不再安全。
12. 把分享或发布数据的决策,与移动数据的技术团队分开。 最适合判断目的、相称性与隐私风险的人,很少是最适合构建这条管道的人,把这两个角色压缩成一个,会让那项更艰难的判断得不到充分的审视。

与团队讨论的问题

我们是否知道哪套系统持有我们每一个核心数据实体的权威记录,每个人是否真的这样对待它? 许多组织在实践中,对同一项信息拥有好几份"真实"副本——一位公民的地址存在于账单系统、个案管理系统与通信日志之中,彼此略有不同,而每一份都被某人据以行动。用这个问题列出你的组织的核心实体(公民、案件、财产、企业),诚实地识别出,每一个是否存在单一的权威来源,还是员工已经悄悄学会了针对不同目的信任哪套系统。讨论一下,要为每一个实体指定并强制执行一个权威来源需要什么,以及在过渡过程中会出什么问题。这通常在早期修复,比在依据错误副本做出一次重大决策之后修复要便宜。

如果一个人问我们,为什么他必须向自己组织的两个部分提供同一项信息,我们诚实的答案会是什么? 诚实的答案常常是"因为我们的系统无法交换它",这是一次披着流程要求外衣的互操作性失败。用这个问题挑选一段跨越不止一个团队或系统的服务历程,逐步追溯,同一项事实在哪里被采集了不止一次。讨论一下,这次重复的请求是在保护某种真实的东西——一次新鲜的同意、一个验证步骤——还是仅仅因为缺少一份数据共享协议或一套共同架构。想一想,再放任它一年不修复,在公民信任与员工时间上会付出什么代价。

一位坚决的记者或研究人员,最有可能在我们目前称之为匿名的数据集中的哪个地方重新识别出某个人? 大多数发布去标识化数据的组织,从未针对准标识符与其他公共数据集的一种现实组合对它进行过压力测试。用这个问题挑选你风险最高的一个已发布或即将发布的数据集,梳理一下还有哪些其他信息——一篇本地新闻报道、另一个机构的开放数据集、一份公共登记册——可能被合理地链接到它上面。讨论一下,你目前的去标识化方式(抑制、泛化,或一种诸如k-匿名性或差分隐私的正式技术),是否真的能经受住那种组合的考验,以及谁负责在新的外部数据变得可得时重新检验它。

目前谁有权说一个数据集不应该被发布,我们是否有信心这项权力被用于正确的理由? 一项默认开放的政策,仍然需要一套可信的、有充分理由的例外流程,而行使它的人应该是可识别的、负责任的。用这个问题核查一下,你的组织中的扣留决策,是由一个具名角色依据有据可查的标准做出的,还是非正式地由恰好被问到的人、出于谨慎而做出的。讨论一下,你的扣留率看起来更像是审慎的逐案判断,还是一种常设的制度反射,以及对被扣留数据集的一次定期外部审查可能揭示出什么。

我们各机构之间的数据共享协议,是否仍然被用于它们最初被撰写的那个目的? 目的限制在一份协议中很容易被写明,却也很容易在实践中悄悄被侵蚀,尤其是一旦一个数据集被证明对它最初签署方从未预料到的某件事有用之后。用这个问题挑选两三项正在运行中的机构间数据共享安排,核查一下当前的实际用途,与书面的目的与到期日相比较。讨论一下,如果发现了不匹配,缺少了哪一步治理环节,以及在一次外部审计或一位记者之前,应该由谁负责发现这种漂移。

如果我们的互操作性或数据标准,变成了对我们数据一项合理新用途的障碍,我们会在它造成真正损害之前、还是之后才发现? 采用时看起来合理的标准,可能随着需求与技术的变化而僵化成障碍,而组织很少建立起一种机制,来注意到这种情况正在发生在自己的规则之上。用这个问题讨论一下,你的组织目前如何审查自己的数据标准、标识符方案,或共享流程是否仍然服务于其目的,而非仅仅被继承下来、从未被质疑。想一想,那些会注意到一项标准已经变成障碍的人——一线员工、伙伴组织、使用你开放数据的外部开发者——是否拥有一条真正的渠道来提出它,以及这条渠道是否曾经真正改变过一项标准。

实践中的公共价值案例

一个区域社会福利机构与一个独立的区域卫生管理局——虚构的,用于说明一种模式,而非对任何真实机构的报道——十年来一直运行着不兼容的个案管理系统,因此一个两个机构都认识的家庭,可能在不同的参考编号下被记录,没有任何可靠的方式能告诉机构员工,出现在住房支持个案量中的这户人家,与出现在儿科外展个案量中的那户人家是同一户。一项旨在识别出有可能在两项服务之间的缝隙中掉队的儿童的联合项目,反复停滞不前,不是因为缺乏政治意愿,而是因为没有人能够产出一份单一的、可信的、关于哪些家庭同时需要两种支持的综合视图。

这两个机构最终采用了一个共享的家庭标识符,以及一套两套系统都需要交换的字段的通用架构,通过一个受治理的API构建——而不是此前依赖的定期电子表格导出——并置于一份指名了具体目的的数据共享协议之下——协调对高风险家庭的支持——并要求年度审查。一年之内,双方的个案工作者第一次能够看到,哪些家庭为对方的服务所知,而此前依赖人工交叉核对的联合个案会议,变成了常规做法。这两个机构随后更进一步,发布了一份汇总的、地区层面的开放数据集,按辖区显示接受联合支持的家庭数量,旨在帮助地方慈善机构瞄准自己的外展工作,并让民选议员能够看到这项联合项目是否触及了它本应触及的地区。

一位与一位大学研究人员合作的本地数据权利倡导者发现,已发布的辖区层面数字,可以与另一个独立发布、同样出于良好意图的、来自本地交通管理局的开放数据集——按小区域显示优惠票价申请——交叉参照,把一些辖区缩小到家庭数量少到某些具体家庭有可能被识别出来的程度,尤其是在人口稀少的农村辖区,那里两个数据集都统计出个位数的家庭数量。单独看,这两个数据集都不具有识别性;组合起来,在人口最稀少的地区,它们就具有识别性了。这两个机构最初的本能反应,是完全撤回这份开放数据集,这本会摧毁它已经开始交付的问责与慈善瞄准价值。相反,他们与同一位倡导者合作,使用一种差分隐私方式重新发布了这份数据集,为小数字添加了经过校准的噪声,在保留其发现广泛区域模式的用处的同时,让任何单一低人口辖区的真实数字变得足够不确定,从而挫败了原始发布所暴露出的那种交叉参照式攻击。这段经历成了这两个机构在此后自己的员工培训中所使用的案例研究,说明为什么去标识化必须对照还有什么其他信息是公开可得的来评估,而不是孤立地针对这个数据集本身。

四种部门视角

地方政府

一个地方政府,通常每位所服务的居民运行着比一个国家机构更多的、各自独立、更陈旧、集成程度更低的系统,因为数十年来各自单独采购的部门系统——住房、规划、垃圾处理、社会照护——很少被构建为能够彼此共享数据。这使得互操作性在成为一个外部战场之前,首先是一场真正的内部战斗:一位在一周之内与三个议会部门打交道的居民,可能会发现没有一个部门能够看到其他部门早已知道的事情。与此同时,地方开放数据往往具有异乎寻常直接的公民价值——垃圾收集时间表、规划申请、地方支出——因为居民与本地记者与它接触的具体程度,是国家数据集很少能够提供的,这提高了即便是不起眼的日常数据集,也要把元数据与更新频率做对的利害关系。

国家政府

国家政府通常运营着最完整的一系列数据治理与互操作性工具——一份国家数据战略、跨政府标识符方案、强制性的开放数据门户,以及专门的数据保护监管机构——但数十年、跨越多届政府积累起来的大量遗留系统,让技术互操作性成为一项持续的、代价高昂的背景任务、而非一个一次性的项目。国家开放数据项目承担着不成比例的重新识别风险,恰恰因为国家数据集大到真正有价值,一旦与其他国家登记册链接起来,又详细到足以识别出个人;如今许多政府所发布的国家数据战略文件,越来越明确地指名保护隐私的披露技术,而不再把去标识化当作一个低于政策关注度的实施细节来对待。

社会部门与非营利组织

一个非营利组织或非政府组织(NGO)很少受制于一项开放数据强制令,但它日益面对着来自资助方、监管者与公众的一种平行期望,即项目数据应被透明地共享,而它常常与一些群体合作——暴力幸存者、身处极端贫困的人、无证居民——对他们而言,重新识别的风险所带来的个人代价,远高于一个政府数据集中一般人群通常所面对的代价。数据共享协议在这里之所以格外重要,是因为一个非营利组织常常在自己并未起草的合同之下,与政府资助方或伙伴组织共享客户数据,它需要具备协商目的限制的能力,而不是简单地接受随资金附带的任何数据共享条款。大型政府或慈善资助方所采用的互操作性标准,可能对一个小型组织有限的技术能力造成真正的负担,这是一项值得明说、而非把标准采纳当作无成本之事来对待的真实代价。

多边与国际

多边机构汇总来自治理成熟度、统计能力与隐私法律制度差异巨大的成员国的数据,这使得语义互操作性——就一个共享字段实际上意味着什么达成一致——既是一个持续的外交问题、也是一个技术问题;像"家庭"或"失业"这样基本的术语,在各国之间的定义差异如此之大,以至于国际统计机构维护着整套的标准,例如统计数据与元数据交换(SDMX)格式,纯粹是为了让跨国数据真正具有可比性。在这个层面上,开放数据以主题1.4——公共物品、优值品与价值多元论所阐述的意义,起到了一种格外清晰的公共物品作用,因为没有任何单一成员国有动机独自资助一份全球比较性数据集,但一旦一个多边机构发布了一份,每一个国家与研究人员都能受益。数据主权方面的顾虑在这里比在单一国家的情境中更为深远:一个成员国可能会抵制分享它在法律上有权扣留的数据,或对一个多边机构如何分类或汇总自己的国家数字提出争议,这使得谁掌控一项共享统计数字这一治理问题,与它如何被交换这一技术问题一样具有后果性。

常见失败模式

沉默的数据孤岛。 系统在一个组织内各自独立地积累,没有共享的标识符或架构,而这项代价一直隐藏着,直到一个具体案例——一次保护失职、一次审计、一次服务中断——需要一幅综合视图,而这幅视图被证明无法迅速产出,到那时,这个孤岛的代价才一次性地变得可见,而在压力之下修复它代价高昂。

匿名化表演。 一个数据集被移除了姓名与明显的标识符,随后被当作可以安全发布,却从未对准标识符或对照其他可得数据的链接风险进行过任何评估。这项代价的浮现,常常是公开的、令人尴尬的,当一位研究人员、记者或倡导者证明了重新识别是可能的,到那时,这个组织在隐私方面的信誉受到的损害,远远超出了那一个具体的数据集。

没有负责人的治理。 数据治理政策存在于纸面上,但没有任何具体的人对任何具体数据集的质量或时效性负责,于是标准悄悄衰退,没有人注意到,直到这项数据被依赖于一项它实际上无法支撑的决策。这是一种格外常见的失败,因为这份政策文件本身看起来是完整的,掩盖了它之下实际上没有任何人负责的事实。

没有资源支持的强制性互操作性。 一套共享架构或标识符方案在中央被强制要求,却从未为被期望采纳它的团队提供资金,于是合规变成了一次打钩式的演练——一个字段在技术上存在,却没有被恰当地填入——而非真正的、可用的互操作性。这项代价是一种关于共享标准存在的虚假感觉,只有在有人真正尝试依赖它本应标准化的数据时才会被发现。

洗白式开放。 一个组织发布了仪表盘与摘要可视化图表,并称之为开放数据,而一个第三方需要用来构建新东西的底层机器可读数据集,却仍未发布、或以一种没有人能够实际重复使用的格式发布。这捕捉到了主题3.4——问责制、透明度与合法性所描述的透明度与开放性的外观、而没有它的实质,而它常常因为仪表盘看起来令人印象深刻,而被误认为是一项真正的开放数据项目。

成熟度模型

检查清单

• 识别出你的组织每一个核心数据实体的权威来源系统。
• 确认每一个真正重要的数据集都有一位具名的、负责任的管家。
• 在为一个新数据项目设计一套定制架构之前,先核查一套共享架构或标准是否已经存在。
• 审查你的唯一标识符设计在使用它的各套系统之间的持久性与一致性。
• 用一个受治理的API,替换至少一次反复出现的人工或电子表格式数据交换。
• 确认每一份正在生效的机构间数据共享协议,都说明了它的目的、法律依据与到期日,并与当前的实际用途相匹配。
• 在发布任何涉及个人信息的数据集之前,运行一次重新识别风险评估,包括对照其他公共数据集的合理链接可能性。
• 对任何涉及小规模人群或罕见特征的发布,应用一种正式的隐私保护技术,例如k-匿名性或差分隐私。
• 确认你的开放数据目录包含真实、及时的元数据,而不仅仅是文件名。
• 对照新近可得的外部数据,审查此前发布的数据集,判断新出现的重新识别风险。
• 确认扣留决策由一个具名的、负责任的角色依据有据可查的标准做出。
• 向你的团队提出以上六个讨论问题,并记录诚实的答案与官方答案不同之处。

关键资料来源

• 国际开放数据宪章,其六项原则,以及关于默认开放发布的指导。
• 经合组织《关于加强数据获取与共享的理事会建议》(2021年)。
• 美国国家标准与技术研究院,特别出版物800-226,《评估差分隐私保证的指导方针》。
• 美国人口普查局关于披露规避及其对十年一次人口普查数据应用差分隐私的材料。
• 辛西娅·德沃克关于差分隐私正式化的奠基性工作,以及更广泛的统计披露控制学术文献。
• 马克·H·摩尔的战略三角,以及主题1.4——公共物品、优值品与价值多元论所阐述的公共物品逻辑,作为本主题据以建立的框架。

参考文献

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/