公共部門資料、互操作性與開放資料

這為何對公共價值重要

每一個公共機構所持有的資料,都比它善加利用的要多。一個稅務機關、一個醫院網路、一個交通機構,以及一個地方規劃辦公室,各自作為運營一項服務的副產品而收集資訊,而每一個都會發現——通常發現得太晚——回答一位公民的問題或解決一場糾紛所需要的記錄,正躺在一套這個組織裡沒有任何其他人能夠查詢的系統裡。這項代價並不抽象:一位已經向一個機構提供過自己地址的公民,不應該還要向同一個政府內部的另一個機構再說一遍。

本主題標題中包含著兩個不同的雄心,而公共機構常常把它們混為一談。第一個是互操作性——讓資料能夠在由不同團隊、不同技術時代獨立構建的系統之間可靠地流動,使政府的一個部分能夠依據另一個部分已經知道的東西採取行動。第二個是開放性——把資料完全公佈到政府之外,讓記者、研究人員與公民能夠為釋出機構從未預料到的目的使用它。互操作性主要是一個工程與治理問題;開放性本身就是一種公共價值,與主題1.4——公共物品、優值品與價值多元論所描述的公共物品同屬一類,因為已釋出的資料是非競用的,一旦釋出便很難排除任何人使用它,因此單憑市場會供給不足。

這兩種雄心,都與第三個事實相沖突,本主題把它當作一種真正的、尚未解決的張力、而非一個有整潔答案的問題來處理:詳細到足以有用的資料,常常也詳細到足以識別它所描述的個人,即便姓名與明顯的識別符號已被剝離。一個大量釋出資料的政府,與一個良好地保護自己記錄中的人的政府,是在同一個槓桿上朝不同方向拉扯,而對資料用於訓練與評估演算法系統日益增長的胃口(見主題5.2——政府中的人工智慧與演算法決策),提高了這種利害關係,因為如今比以往任何時候都更多的行為者,想要恰恰在最容易識別的那種粒度上獲得公共資料。一位把治理、互操作性與開放性當作同一個問題、把隱私當作它永久約束的領導者,比一位把三者各自孤立對待的領導者,更有能力捕捉本主題的價值。

核心概念

資料治理是一套決策權、標準與問責,決定誰可以建立、更改、訪問並淘汰一個組織的資料,以及它必須被保持在什麼質量標準之下(見資料治理)。它與資料管理不同,後者是日常移動與儲存資料的運營工作;治理決定規則,管理執行它們。一個沒有資料治理的公共機構依然擁有資料,但沒有人能夠自信地說,一位公民記錄的哪個副本才是權威版本,或者當那份記錄被證明是錯的時,由誰負責。

資料管家是對一個具體資料集的質量、定義與恰當使用負責的具名個人或角色,不同於操作它所存放系統的技術人員(見資料管家)。管家職責之所以重要,是因為資料質量預設會衰退:一個沒有人對其負責的欄位,會積累起不一致的錄入、重複的記錄,以及一個欄位本應代表的含義與員工實際填入其中的內容之間悄悄的漂移。為一個資料集指定一位管家,能把資料質量從一項偶爾的清理工作,轉變為一項持續的、具名的責任。

互操作性是獨立構建的系統在不需要為每一對涉及的系統進行特殊、一次性工程的情況下,交換資料並正確使用它的能力(見互操作性)。它在三個容易被混淆的層面上運作:技術互操作性(這些系統能否連線、能否傳輸位元組資料,通常透過一個應用程式程式設計介面,即API,一種讓一件軟體向另一件軟體請求資料或操作的明確規定的方式——見應用程式程式設計介面);語義互操作性(兩套系統是否對一個共享欄位——例如"家庭"或"活躍案例"——賦予同樣的含義);以及組織互操作性(這兩個組織是否就為什麼要共享這項資料、以及誰對接下來發生的事情負責達成一致)。即便技術連線完美地運作,大多數代價高昂的互操作性失敗,也發生在語義層面或組織層面。

通用架構,或稱資料標準,是關於一類資料如何被表示——欄位名稱、格式、單位與允許的取值——的一份商定的、已公佈的結構,被不止一套系統或組織採納,使一套系統產出的資料能夠被另一套系統使用、而無需人工轉譯。採用一套共享架構來表示諸如地址或案件狀態這類基本事物的政府機構,把數十個潛在的雙邊轉譯問題,轉化成了每一套新系統都可以直接實施的一項標準。一個跨越各個系統、跨越時間持續存在的唯一識別符號——一個案件編號、一個企業註冊編號、一個公民參考號——是讓關於同一個人或同一實體的記錄能夠被正確連結起來的具體機制,而把識別符號設計做錯(重複使用編號、更改格式,或乾脆沒有一個)是互操作性失敗最常見、也最容易避免的原因之一。

後設資料是關於資料的資料——對一個資料集的結構、來源、更新頻率與含義的描述,與資料本身一併釋出,使一位沒有建立它的使用者也能夠理解並信任它(見後設資料)。一個沒有充分後設資料釋出的資料集,無論它的許可證多麼開放,對產出它的團隊之外的任何人來說都幾乎無法使用;後設資料正是把一次檔案傾倒,變成一件第三方真正能夠重複使用的東西的關鍵。

資料共享協議是機構之間、或一個公共機構與一個外部夥伴之間的一項正式安排,規定了資料可以被用於什麼目的、共享它的法律依據、可以保留多久,以及如果這個目的發生變化會怎樣。目的限制——把共享資料的使用限制在它被收集或共享的那個目的之內——是防止一份資料共享協議變成一張無限度地把個人資訊挪作他用的許可證的紀律,而它的缺失,是涉及跨機構資料的公眾信任失敗案例中反覆出現的一個主題。

開放資料是被免費提供給任何人訪問、使用與再分發、用於任何目的的資料,通常是機器可讀的,並在一種允許重複使用、而非僅僅檢視的許可證之下發布(見開放資料)。它的公共價值論證,遵循主題1.4——公共物品、優值品與價值多元論所闡述的公共物品邏輯:一旦一個資料集被髮布,一個人對它的使用不會減損另一個人的使用,而政府往往是唯一既擁有法律地位、又擁有規模去首先收集併發布它的行為者,因此單憑私營市場會長期供給不足這類資訊。開放資料促成了問責(記者與公民對照政府自己的記錄來核查政府自己的主張)、第三方創新(企業與公民技術專家在政府自己永遠不會構建的公共資料之上構建服務),以及經濟中其他地方更好的公共決策,而這一切都不需要釋出機構事先預見每一種用途。

重新識別是把假設已經匿名化的資料與其他可獲得的資訊相匹配,以推算出一份記錄描述的是哪一位真實的人的過程,它是讓本主題的隱私張力變得不可避免、而非僅僅不便的核心技術事實(見資料重新識別)。移除一個姓名,或一個明顯的識別符號——例如國民保險號或社會安全號——並不能移除這種風險:一種由年齡、郵編,以及一種罕見的醫療狀況所構成的準識別符號組合,即便在一個從未列出姓名的資料集中,也能唯一地識別出某個人,尤其是一旦它被與另一個獨立的公開資料集交叉參照之後。k-匿名性是推理這種風險的一種正式方式:如果一個資料集所包含的每一種準標識欄位組合,都由至少一個明確設定的數量k的記錄共享,這個資料集就滿足k-匿名性,使得沒有任何一行能夠被孤立到少於k個可能的人身上(見k-匿名性)。差分隱私是一種更新近的、數學上嚴謹的方式,它向一個資料集或針對它的查詢結果,新增經過精心校準的統計噪聲,使任何單一個體記錄的存在與否,只以一個有界的、可證明的幅度改變已釋出的輸出,無論一位攻擊者已經知道什麼(見差分隱私)。隱私設計原則是一項更廣泛的原則,即隱私保護應該從一開始就被內建到一套系統的架構之中、作為一項預設設定,而不是在釋出之前才作為一個刪減步驟附加上去(見隱私設計原則);事後刪減明顯的識別符號,是這門紀律最薄弱的形式,而非它的替代品。

最佳實踐

1. 為每一個重要的資料集指定一位負責任的管家,而不僅僅是一箇中央資料辦公室。 一個資料辦公室可以設定標準,但它無法知道一套具體系統中的一個具體欄位是否仍然意味著它最初被定義時的含義;這項判斷屬於最接近資料實際使用的人。
2. 預設公開發布,並在每一次不這樣做時記錄具體的理由。 反轉預設選項——要求為扣留提供理由、而非為釋出提供理由——能讓真正的敏感性浮現出來接受個別審查,而不是任由謹慎不加區分地應用於一切。
3. 在設計一套新架構之前,先採用一套既有的共享架構。 一套完美契合某一個專案、卻與政府其他任何地方都不匹配的定製資料結構,保證了未來的整合成本;在自建之前,先核查你的行業、轄區,或一個國際標準機構是否已經公佈了什麼。
4. 在一套系統上線之前、而非之後,設計持久的、治理良好的唯一識別符號。 為已經在不一致的鍵值之下累積多年的記錄追加補建一套識別符號方案,比一開始就把設計做對昂貴得多。
5. 透過受治理的API、而非一次性的檔案傳輸來構建資料交換。 一個強制執行架構、記錄訪問日誌、並能夠被版本化的API,給了你一個可控的、可審計的互操作性節點;一份在部門之間透過電子郵件傳送的電子表格則不具備這些特性中的任何一個,而且沒有人會注意到它何時過時了。
6. 編寫說明目的、法律依據與到期日的資料共享協議,而不僅僅是技術機制。 一份規定了資料如何移動、卻沒有規定為什麼、或持續多久的協議,往往會比證成它的那個目的存續得更久,並悄悄變成一種沒有人明確授權過的許可。
7. 把去標識化當作一次帶有殘餘結果的風險評估,而非一項一次性的刪減任務來對待。 追問一下,還有哪些其他公共或可購買的資料集,可能被連結到你即將釋出的這個資料集,並依據那種現實的威脅模型、而非一個沒有任何外部資訊的理想化攻擊者,來衡量重新識別的風險。
8. 對任何涉及小規模人群或罕見特徵的釋出,應用差分隱私或一種同等的正式技術。 一旦一個資料集包含了任何獨特到本身就足以識別身份的東西——例如一種罕見狀況、一個小型地方人群,或一筆高價值交易——單純的明顯識別符號抑制或泛化就不再足夠。
9. 維護一份公開的、及時更新的、擁有真實後設資料的資料目錄,而不僅僅是一份檔名清單。 一個潛在使用者無法理解到足以信任它的資料集,無論它的許可證多麼寬鬆,實際上都等同於未釋出;目錄條目應該說明一個欄位的含義、它多久更新一次,以及它已知的侷限性是什麼。
10. 按固定日程,對照明確設定的標準衡量資料質量,並向資料集的負責人彙報結果。 只在出了問題時才被檢查的質量,會在兩次檢查之間的很長一段時間裡不可見地衰退;一次常規的衡量,能把衰退變成一個可見的、可管理的趨勢。
11. 定期審查每一個已釋出的資料集,判斷它是否仍然具有公共價值、是否仍然存在風險。 人口會變化,重新識別技術會改進,而一次五年前是安全的釋出,在別處已經新增可得的資料面前,今天可能不再安全。
12. 把分享或釋出資料的決策,與移動資料的技術團隊分開。 最適合判斷目的、相稱性與隱私風險的人,很少是最適合構建這條管道的人,把這兩個角色壓縮成一個,會讓那項更艱難的判斷得不到充分的審視。

與團隊討論的問題

我們是否知道哪套系統持有我們每一個核心資料實體的權威記錄,每個人是否真的這樣對待它? 許多組織在實踐中,對同一項資訊擁有好幾份"真實"副本——一位公民的地址存在於賬單系統、個案管理系統與通訊日誌之中,彼此略有不同,而每一份都被某人據以行動。用這個問題列出你的組織的核心實體(公民、案件、財產、企業),誠實地識別出,每一個是否存在單一的權威來源,還是員工已經悄悄學會了針對不同目的信任哪套系統。討論一下,要為每一個實體指定並強制執行一個權威來源需要什麼,以及在過渡過程中會出什麼問題。這通常在早期修復,比在依據錯誤副本做出一次重大決策之後修復要便宜。

如果一個人問我們,為什麼他必須向自己組織的兩個部分提供同一項資訊,我們誠實的答案會是什麼? 誠實的答案常常是"因為我們的系統無法交換它",這是一次披著流程要求外衣的互操作性失敗。用這個問題挑選一段跨越不止一個團隊或系統的服務歷程,逐步追溯,同一項事實在哪裡被採集了不止一次。討論一下,這次重複的請求是在保護某種真實的東西——一次新鮮的同意、一個驗證步驟——還是僅僅因為缺少一份資料共享協議或一套共同架構。想一想,再放任它一年不修復,在公民信任與員工時間上會付出什麼代價。

一位堅決的記者或研究人員,最有可能在我們目前稱之為匿名的資料集中的哪個地方重新識別出某個人? 大多數釋出去標識化資料的組織,從未針對準識別符號與其他公共資料集的一種現實組合對它進行過壓力測試。用這個問題挑選你風險最高的一個已釋出或即將釋出的資料集,梳理一下還有哪些其他資訊——一篇本地新聞報道、另一個機構的開放資料集、一份公共登記冊——可能被合理地連結到它上面。討論一下,你目前的去標識化方式(抑制、泛化,或一種諸如k-匿名性或差分隱私的正式技術),是否真的能經受住那種組合的考驗,以及誰負責在新的外部資料變得可得時重新檢驗它。

目前誰有權說一個資料集不應該被髮布,我們是否有信心這項權力被用於正確的理由? 一項預設開放的政策,仍然需要一套可信的、有充分理由的例外流程,而行使它的人應該是可識別的、負責任的。用這個問題核查一下,你的組織中的扣留決策,是由一個具名角色依據有據可查的標準做出的,還是非正式地由恰好被問到的人、出於謹慎而做出的。討論一下,你的扣留率看起來更像是審慎的逐案判斷,還是一種常設的制度反射,以及對被扣留資料集的一次定期外部審查可能揭示出什麼。

我們各機構之間的資料共享協議,是否仍然被用於它們最初被撰寫的那個目的? 目的限制在一份協議中很容易被寫明,卻也很容易在實踐中悄悄被侵蝕,尤其是一旦一個資料集被證明對它最初簽署方從未預料到的某件事有用之後。用這個問題挑選兩三項正在執行中的機構間資料共享安排,核查一下當前的實際用途,與書面的目的與到期日相比較。討論一下,如果發現了不匹配,缺少了哪一步治理環節,以及在一次外部審計或一位記者之前,應該由誰負責發現這種漂移。

如果我們的互操作性或資料標準,變成了對我們資料一項合理新用途的障礙,我們會在它造成真正損害之前、還是之後才發現? 採用時看起來合理的標準,可能隨著需求與技術的變化而僵化成障礙,而組織很少建立起一種機制,來注意到這種情況正在發生在自己的規則之上。用這個問題討論一下,你的組織目前如何審查自己的資料標準、識別符號方案,或共享流程是否仍然服務於其目的,而非僅僅被繼承下來、從未被質疑。想一想,那些會注意到一項標準已經變成障礙的人——一線員工、夥伴組織、使用你開放資料的外部開發者——是否擁有一條真正的渠道來提出它,以及這條渠道是否曾經真正改變過一項標準。

實踐中的公共價值案例

一個區域社會福利機構與一個獨立的區域衛生管理局——虛構的,用於說明一種模式,而非對任何真實機構的報道——十年來一直執行著不相容的個案管理系統,因此一個兩個機構都認識的家庭,可能在不同的參考編號下被記錄,沒有任何可靠的方式能告訴機構員工,出現在住房支援個案量中的這戶人家,與出現在兒科外展個案量中的那戶人家是同一戶。一項旨在識別出有可能在兩項服務之間的縫隙中掉隊的兒童的聯合專案,反覆停滯不前,不是因為缺乏政治意願,而是因為沒有人能夠產出一份單一的、可信的、關於哪些家庭同時需要兩種支援的綜合檢視。

這兩個機構最終採用了一個共享的家庭識別符號,以及一套兩套系統都需要交換的欄位的通用架構,透過一個受治理的API構建——而不是此前依賴的定期電子表格匯出——並置於一份指名了具體目的的資料共享協議之下——協調對高風險家庭的支援——並要求年度審查。一年之內,雙方的個案工作者第一次能夠看到,哪些家庭為對方的服務所知,而此前依賴人工交叉核對的聯合個案會議,變成了常規做法。這兩個機構隨後更進一步,釋出了一份彙總的、地區層面的開放資料集,按轄區顯示接受聯合支援的家庭數量,旨在幫助地方慈善機構瞄準自己的外展工作,並讓民選議員能夠看到這項聯合專案是否觸及了它本應觸及的地區。

一位與一位大學研究人員合作的本地資料權利倡導者發現,已釋出的轄區層面數字,可以與另一個獨立釋出、同樣出於良好意圖的、來自本地交通管理局的開放資料集——按小區域顯示優惠票價申請——交叉參照,把一些轄區縮小到家庭數量少到某些具體家庭有可能被識別出來的程度,尤其是在人口稀少的農村轄區,那裡兩個資料集都統計出個位數的家庭數量。單獨看,這兩個資料集都不具有識別性;組合起來,在人口最稀少的地區,它們就具有識別性了。這兩個機構最初的本能反應,是完全撤回這份開放資料集,這本會摧毀它已經開始交付的問責與慈善瞄準價值。相反,他們與同一位倡導者合作,使用一種差分隱私方式重新發布了這份資料集,為小數字新增了經過校準的噪聲,在保留其發現廣泛區域模式的用處的同時,讓任何單一低人口轄區的真實數字變得足夠不確定,從而挫敗了原始釋出所暴露出的那種交叉參照式攻擊。這段經歷成了這兩個機構在此後自己的員工培訓中所使用的案例研究,說明為什麼去標識化必須對照還有什麼其他資訊是公開可得的來評估,而不是孤立地針對這個資料集本身。

四種部門視角

地方政府

一個地方政府,通常每位所服務的居民執行著比一個國家機構更多的、各自獨立、更陳舊、整合程度更低的系統,因為數十年來各自單獨採購的部門系統——住房、規劃、垃圾處理、社會照護——很少被構建為能夠彼此共享資料。這使得互操作性在成為一個外部戰場之前,首先是一場真正的內部戰鬥:一位在一週之內與三個議會部門打交道的居民,可能會發現沒有一個部門能夠看到其他部門早已知道的事情。與此同時,地方開放資料往往具有異乎尋常直接的公民價值——垃圾收集時間表、規劃申請、地方支出——因為居民與本地記者與它接觸的具體程度,是國家資料集很少能夠提供的,這提高了即便是不起眼的日常資料集,也要把後設資料與更新頻率做對的利害關係。

國家政府

國家政府通常運營著最完整的一系列資料治理與互操作性工具——一份國家資料戰略、跨政府識別符號方案、強制性的開放資料門戶,以及專門的資料保護監管機構——但數十年、跨越多屆政府積累起來的大量遺留系統,讓技術互操作性成為一項持續的、代價高昂的背景任務、而非一個一次性的專案。國家開放資料專案承擔著不成比例的重新識別風險,恰恰因為國家資料集大到真正有價值,一旦與其他國家登記冊連結起來,又詳細到足以識別出個人;如今許多政府所釋出的國家資料戰略檔案,越來越明確地指名保護隱私的披露技術,而不再把去標識化當作一個低於政策關注度的實施細節來對待。

社會部門與非營利組織

一個非營利組織或非政府組織(NGO)很少受制於一項開放資料強制令,但它日益面對著來自資助方、監管者與公眾的一種平行期望,即專案資料應被透明地共享,而它常常與一些群體合作——暴力倖存者、身處極端貧困的人、無證居民——對他們而言,重新識別的風險所帶來的個人代價,遠高於一個政府資料集中一般人群通常所面對的代價。資料共享協議在這裡之所以格外重要,是因為一個非營利組織常常在自己並未起草的合同之下,與政府資助方或夥伴組織共享客戶資料,它需要具備協商目的限制的能力,而不是簡單地接受隨資金附帶的任何資料共享條款。大型政府或慈善資助方所採用的互操作性標準,可能對一個小型組織有限的技術能力造成真正的負擔,這是一項值得明說、而非把標準採納當作無成本之事來對待的真實代價。

多邊與國際

多邊機構彙總來自治理成熟度、統計能力與隱私法律制度差異巨大的成員國的資料,這使得語義互操作性——就一個共享欄位實際上意味著什麼達成一致——既是一個持續的外交問題、也是一個技術問題;像"家庭"或"失業"這樣基本的術語,在各國之間的定義差異如此之大,以至於國際統計機構維護著整套的標準,例如統計資料與後設資料交換(SDMX)格式,純粹是為了讓跨國資料真正具有可比性。在這個層面上,開放資料以主題1.4——公共物品、優值品與價值多元論所闡述的意義,起到了一種格外清晰的公共物品作用,因為沒有任何單一成員國有動機獨自資助一份全球比較性資料集,但一旦一個多邊機構釋出了一份,每一個國家與研究人員都能受益。資料主權方面的顧慮在這裡比在單一國家的情境中更為深遠:一個成員國可能會抵制分享它在法律上有權扣留的資料,或對一個多邊機構如何分類或彙總自己的國家數字提出爭議,這使得誰掌控一項共享統計數字這一治理問題,與它如何被交換這一技術問題一樣具有後果性。

常見失敗模式

沉默的資料孤島。 系統在一個組織內各自獨立地積累,沒有共享的識別符號或架構,而這項代價一直隱藏著,直到一個具體案例——一次保護失職、一次審計、一次服務中斷——需要一幅綜合檢視,而這幅檢視被證明無法迅速產出,到那時,這個孤島的代價才一次性地變得可見,而在壓力之下修復它代價高昂。

匿名化表演。 一個資料集被移除了姓名與明顯的識別符號,隨後被當作可以安全釋出,卻從未對準識別符號或對照其他可得資料的連結風險進行過任何評估。這項代價的浮現,常常是公開的、令人尷尬的,當一位研究人員、記者或倡導者證明了重新識別是可能的,到那時,這個組織在隱私方面的信譽受到的損害,遠遠超出了那一個具體的資料集。

沒有負責人的治理。 資料治理政策存在於紙面上,但沒有任何具體的人對任何具體資料集的質量或時效性負責,於是標準悄悄衰退,沒有人注意到,直到這項資料被依賴於一項它實際上無法支撐的決策。這是一種格外常見的失敗,因為這份政策檔案本身看起來是完整的,掩蓋了它之下實際上沒有任何人負責的事實。

沒有資源支援的強制性互操作性。 一套共享架構或識別符號方案在中央被強制要求,卻從未為被期望採納它的團隊提供資金,於是合規變成了一次打鉤式的演練——一個欄位在技術上存在,卻沒有被恰當地填入——而非真正的、可用的互操作性。這項代價是一種關於共享標準存在的虛假感覺,只有在有人真正嘗試依賴它本應標準化的資料時才會被發現。

洗白式開放。 一個組織釋出了儀表盤與摘要視覺化圖表,並稱之為開放資料,而一個第三方需要用來構建新東西的底層機器可讀資料集,卻仍未釋出、或以一種沒有人能夠實際重複使用的格式釋出。這捕捉到了主題3.4——問責制、透明度與合法性所描述的透明度與開放性的外觀、而沒有它的實質,而它常常因為儀表盤看起來令人印象深刻,而被誤認為是一項真正的開放資料專案。

成熟度模型

檢查清單

• 識別出你的組織每一個核心資料實體的權威來源系統。
• 確認每一個真正重要的資料集都有一位具名的、負責任的管家。
• 在為一個新資料專案設計一套定製架構之前,先核查一套共享架構或標準是否已經存在。
• 審查你的唯一識別符號設計在使用它的各套系統之間的永續性與一致性。
• 用一個受治理的API,替換至少一次反覆出現的人工或電子表格式資料交換。
• 確認每一份正在生效的機構間資料共享協議,都說明了它的目的、法律依據與到期日,並與當前的實際用途相匹配。
• 在釋出任何涉及個人資訊的資料集之前,執行一次重新識別風險評估,包括對照其他公共資料集的合理連結可能性。
• 對任何涉及小規模人群或罕見特徵的釋出,應用一種正式的隱私保護技術,例如k-匿名性或差分隱私。
• 確認你的開放資料目錄包含真實、及時的後設資料,而不僅僅是檔名。
• 對照新近可得的外部資料,審查此前釋出的資料集,判斷新出現的重新識別風險。
• 確認扣留決策由一個具名的、負責任的角色依據有據可查的標準做出。
• 向你的團隊提出以上六個討論問題,並記錄誠實的答案與官方答案不同之處。

關鍵資料來源

• 國際開放資料憲章,其六項原則,以及關於預設開放釋出的指導。
• 經合組織《關於加強資料獲取與共享的理事會建議》(2021年)。
• 美國國家標準與技術研究院,特別出版物800-226,《評估差分隱私保證的指導方針》。
• 美國人口普查局關於披露規避及其對十年一次人口普查資料應用差分隱私的材料。
• 辛西婭·德沃克關於差分隱私正式化的奠基性工作,以及更廣泛的統計披露控制學術文獻。
• 馬克·H·摩爾的戰略三角,以及主題1.4——公共物品、優值品與價值多元論所闡述的公共物品邏輯,作為本主題據以建立的框架。

參考文獻

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/