Capítulo 1 — Integridade e métodos avançados de pesquisa
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Uma pergunta falseável"]
N1["1.2 Por que a pergunta importa"]
N2["1.3 Regras de integridade"]
N3["1.4 A unicidade como linha de base"]
N4["Laboratório — Unicidade de passageiros sintéticos em"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Uma pergunta falseável"]
N1["1.2 Por que a pergunta importa"]
N2["1.3 Regras de integridade"]
N3["1.4 A unicidade como linha de base"]
N4["Laboratório — Unicidade de passageiros sintéticos em"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]
[1.1 Uma pergunta falseável]
|
v
[1.2 Por que a pergunta importa]
|
v
[1.3 Regras de integridade]
|
v
[1.4 A unicidade como linha de base]
|
v
[Laboratório — Unicidade de passageiros sintéticos em]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) formular uma pergunta falseável sobre publicação de dados com preservação de privacidade; (2) definir regras de integridade para pesquisas que envolvem dados pessoais; (3) medir com que rapidez atributos comuns tornam as pessoas únicas.
1.1 Uma pergunta falseável
Ines Carvalho é doutoranda na fictícia Thornbury University, sob orientação do Prof. Henrik Aaltonen. Sua parceira é a fictícia Valemont Regional Transit Authority, que coleta as viagens feitas com cartão eletrônico e quer publicar dados de deslocamento para os planejadores urbanos. Ines pergunta se publicar contagens de origem e destino com privacidade diferencial protege os passageiros melhor do que publicar registros de viagens k-anonimizados, com uma utilidade que os planejadores ainda aceitem. Antes de coletar qualquer coisa, ela escreve quais resultados provariam que está errada: nenhuma redução mensurável no risco de vinculação, ou um erro tão grande que os planejadores rejeitem as contagens nas decisões rotineiras de quadro de horários.
1.2 Por que a pergunta importa
A pergunta importa porque dados de transporte parecem inofensivos, mas revelam onde as pessoas moram, trabalham e rezam. Pelo Regulamento (UE) 2016/679, o GDPR, dados que permitem singularizar uma pessoa continuam sendo dados pessoais, enquanto o Considerando 26 deixa a informação verdadeiramente anônima fora do regulamento. A LGPD brasileira, Lei nº 13.709/2018, traça uma linha semelhante: dado anonimizado é o dado relativo a titular que não possa ser identificado, considerando os meios técnicos razoáveis e disponíveis na ocasião do tratamento (art. 5º, III), e esse dado não é considerado pessoal, salvo quando a anonimização puder ser revertida com esforços razoáveis (art. 12). Saber se uma publicação é anônima é, portanto, uma questão jurídica e também técnica. Ines a trata como uma afirmação empírica a ser testada, e não como um rótulo que a autoridade possa simplesmente aplicar a uma planilha antes de publicá-la.
1.3 Regras de integridade
A pesquisa com dados pessoais não pode criar o dano que estuda. O protocolo de Ines, aprovado pelo comitê de ética da Thornbury e revisado pelo encarregado de proteção de dados da Valemont, fixa cinco regras. Ela trabalha apenas com uma população sintética gerada para reproduzir estatísticas agregadas já publicadas; nenhum número real de cartão sai da autoridade; todo experimento de ataque mira a população sintética, nunca passageiros reais; o plano de análise é pré-registrado antes que os resultados sejam vistos; e todo arquivo que deixa o ambiente seguro é conferido em busca de identificadores diretos. Ela também declara que não tem interesse comercial em nenhum produto ou consultoria de anonimização.
1.4 A unicidade como linha de base
Antes de comparar métodos de publicação, Ines mede quão identificadores são atributos comuns. Sweeney (2002) mostrou que poucos quase-identificadores, como código postal, data de nascimento e sexo, bastam para singularizar a maioria das pessoas, o que motivou o modelo de k-anonimato. O laboratório cria 20.000 passageiros sintéticos com uma zona de residência, uma zona de trabalho, um ano de nascimento e um sexo, e depois conta a parcela que é única em combinações crescentes. A zona de residência sozinha não singulariza ninguém, e residência mais trabalho também não, mas acrescentar o ano de nascimento torna 83,4% únicos, e acrescentar o sexo eleva a proporção para 91,5% da população sintética.
Laboratório — Unicidade de passageiros sintéticos em quase-identificadores
# Share of synthetic transit riders who are unique on combinations of quasi-identifiers.
import random
from collections import Counter
r = random.Random(7)
riders = [(r.randrange(40), r.randrange(40), r.randrange(1940, 2008), r.choice("FM")) for _ in range(20000)]
def unique(cols):
keys = [tuple(x[c] for c in cols) for x in riders]
c = Counter(keys)
return sum(1 for k in keys if c[k] == 1) / len(keys)
for name, cols in [("home zone", (0,)), ("home + work zone", (0, 1)),
("home + work + birth year", (0, 1, 2)), ("home + work + birth year + sex", (0, 1, 2, 3))]:
print(f"{name:32s} unique {unique(cols):6.1%}")
Execute com python3 lab_unique.py. Saída verificada:
home zone unique 0.0%
home + work zone unique 0.0%
home + work + birth year unique 83.4%
home + work + birth year + sex unique 91.5%
Exemplo resolvido
Ines formula uma comparação falseável entre registros k-anonimizados e contagens diferencialmente privadas, define regras de integridade para a pesquisa com dados de transporte e registra uma linha de base: 83,4% dos passageiros sintéticos são únicos na combinação de zona de residência, zona de trabalho e ano de nascimento.
Caso sintético. A Thornbury, a Valemont e todos os passageiros são sintéticos; o GDPR, a LGPD e Sweeney (2002) são reais.
Erros e limites
A unicidade em uma população sintética apenas se aproxima da unicidade na população real. Ser único não é o mesmo que ser reidentificado; o atacante também precisa de conhecimento externo.
Exercícios
- EX001 — Plano falseável. O que torna falseável a pergunta de pesquisa de Ines? Rubrica: 3 = ela lista de antemão os resultados que a refutariam: nenhuma queda no risco de vinculação ou um erro inaceitável;; 2 = menciona vagamente resultados definidos antes;; 1 = diz que é uma boa pergunta;; 0 = nenhuma.
- EX002 — Anônimo na lei. Por que "anônimo" é, para a autoridade, uma questão jurídica e também técnica? Rubrica: 3 = o Considerando 26 do GDPR e a LGPD deixam os dados anônimos fora da lei, então o rótulo muda os deveres legais;; 2 = cita uma só lei;; 1 = diz que é técnica;; 0 = nenhuma.
- EX003 — População sintética. Por que Ines trabalha com uma população sintética em vez de cartões reais? Rubrica: 3 = isso permite executar ataques e publicar resultados sem expor nem reidentificar passageiros reais;; 2 = diz que é mais fácil;; 1 = diz que os dados reais não estão disponíveis;; 0 = nenhuma.
- EX004 — Salto de unicidade. Que atributo causa o maior salto de unicidade no laboratório, e por quê? Rubrica: 3 = o ano de nascimento: de 0% para 83,4%, porque divide cada par de zonas em muitos grupos pequenos;; 2 = cita o ano de nascimento sem números;; 1 = cita a zona;; 0 = nenhuma.
- EX005 — Único versus identificado. Por que a unicidade ainda não é reidentificação? Rubrica: 3 = o atacante também precisa de conhecimento externo que ligue a combinação única a uma pessoa nomeada;; 2 = diz que são diferentes;; 1 = trata as duas como iguais;; 0 = nenhuma.
- EX006 — Declaração de interesses. Por que Ines declara não ter interesse comercial? Rubrica: 3 = os leitores podem avaliar o viés; um interesse em produto poderia inclinar a comparação de métodos;; 2 = diz que é obrigatório;; 1 = omite as razões;; 0 = nenhuma.
- EX007 — Valor do pré-registro. Contra o que o pré-registro do plano de análise protege? Rubrica: 3 = contra escolher métricas ou limiares depois de ver resultados que favorecem um método;; 2 = menciona viés em geral;; 1 = diz que é burocracia;; 0 = nenhuma.
Síntese
O capítulo 1 define uma pergunta falseável, regras de integridade e uma linha de base de unicidade. O capítulo 2 mapeia a fronteira da pesquisa, de Warren e Brandeis à privacidade diferencial.
Continue estudando — aula 01 (capítulo 01 de 08)
← Início do curso · Índice das aulas · Capítulo 02 →
Continue para a próxima aula já escrita.