## Capítulo 2 — Privacidade e proteção de dados: fronteira da pesquisa ### Mapa da aula Aula 02 publicada. Mapa, exemplo, EX008. ```mermaid flowchart TD N0["2.1 Do direito de ser deixado em paz"] N1["2.2 Modelos sintáticos de anonimato"] N2["2.3 Vinculação e desanonimização"] N3["2.4 Privacidade diferencial"] N4["2.5 A lacuna"] N5["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 N5 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX008"] ``` ### Desenho lógico ```mermaid flowchart LR N0["2.1 Do direito de ser deixado em paz"] N1["2.2 Modelos sintáticos de anonimato"] N2["2.3 Vinculação e desanonimização"] N3["2.4 Privacidade diferencial"] N4["2.5 A lacuna"] N5["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"] ``` ```text [2.1 Do direito de ser deixado em paz] | v [2.2 Modelos sintáticos de anonimato] | v [2.3 Vinculação e desanonimização] | v [2.4 Privacidade diferencial] | v [2.5 A lacuna] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX008] ``` ### Objetivos de aprendizagem Você vai (1) traçar o desenvolvimento da teoria da privacidade; (2) contrastar os modelos sintáticos de anonimato com a privacidade diferencial; (3) localizar a lacuna que o estudo de Ines aborda. ### 2.1 Do direito de ser deixado em paz Ines começa sua revisão por Warren e Brandeis (1890), que defenderam na Harvard Law Review um direito à privacidade contra a fotografia invasiva e a fofoca. Mais tarde, Solove (2006) argumentou que a privacidade não é uma coisa só e ofereceu uma taxonomia de atividades danosas, agrupadas em coleta de informações, processamento de informações, disseminação de informações e invasão. Nissenbaum (2004, 2009) propôs a integridade contextual: um fluxo de informação é apropriado quando respeita as normas do contexto em que a informação foi compartilhada. Para dados de transporte, a integridade contextual pergunta se os passageiros esperam que suas viagens cheguem, de alguma forma, aos planejadores urbanos. ### 2.2 Modelos sintáticos de anonimato A primeira família técnica protege os registros fazendo com que se pareçam uns com os outros. Sweeney (2002) definiu o k-anonimato: cada combinação de quase-identificadores deve ser compartilhada por pelo menos k registros. Machanavajjhala e colegas (2007) mostraram que um grupo k-anônimo ainda pode revelar um valor sensível se todos nele tiverem esse mesmo valor, e propuseram a l-diversidade. Li, Li e Venkatasubramanian (2007) propuseram a t-proximidade (t-closeness), que exige que a distribuição sensível de cada grupo fique próxima da distribuição geral. Ines observa que cada modelo foi proposto depois de um ataque ao anterior, o que sugere que as garantias sintáticas dependem de hipóteses sobre o atacante. ### 2.3 Vinculação e desanonimização Narayanan e Shmatikov (2008) mostraram que um conjunto supostamente anônimo de avaliações de filmes podia ser vinculado a resenhas públicas usando apenas algumas avaliações conhecidas, porque registros esparsos são muito distintivos. O resultado se generaliza para as viagens de transporte, que também são esparsas e distintivas. O relatório de Garfinkel para o NIST sobre desidentificação (NISTIR 8053, 2015) e a NIST SP 800-188 (2023) descrevem a posição prática que resulta disso: remover nomes não basta, o risco de reidentificação precisa ser estimado, e a escolha do método deve depender do modelo de publicação, seja público, restrito ou em ambiente controlado (enclave), bem como dos usuários pretendidos dos dados. ### 2.4 Privacidade diferencial A segunda família protege o resultado de uma análise, e não os registros. Dwork, McSherry, Nissim e Smith (2006) introduziram a calibração do ruído pela sensibilidade da consulta: se acrescentar ou retirar uma pessoa muda uma contagem em no máximo um, o ruído de Laplace com escala de um sobre épsilon torna a contagem publicada quase igualmente provável com ou sem aquela pessoa. Dwork e Roth (2014) apresentam os fundamentos formais. A garantia vale seja qual for o conhecimento prévio do atacante, o que responde à fraqueza dos modelos sintáticos, mas custa precisão, e o custo é maior nas contagens pequenas, como estações pouco movimentadas e viagens raras. ### 2.5 A lacuna Ines encontra muitas comparações teóricas e muitos estudos de caso com um único método, mas poucos estudos que comparem as duas famílias sobre a mesma publicação, meçam o risco com o mesmo ataque e perguntem a usuários reais se o resultado continua útil. Essa é a sua lacuna. Sua contribuição será empírica e prática: uma comparação controlada sobre uma única população sintética de transporte, com a aceitação dos planejadores como critério explícito de utilidade. Ela escreve a lacuna em uma única frase para sua banca e a confronta com a pergunta falseável do Capítulo 1, para que a revisão e o desenho do estudo apontem exatamente para a mesma incerteza. ### Exemplo resolvido Ines agrupa a literatura em teoria (Warren e Brandeis, Solove, Nissenbaum), modelos sintáticos (Sweeney, l-diversidade, t-proximidade), ataques (Narayanan e Shmatikov) e privacidade diferencial (Dwork e colegas), e identifica uma lacuna: a comparação na mesma publicação com um teste de utilidade feito pelos usuários. > **Caso sintético.** Todas as obras citadas são reais e constam das referências; a síntese de Ines é uma ilustração didática. ### Erros e limites Um mapa da literatura simplifica; a privacidade diferencial também tem variantes e sofre ataques às suas implementações. A integridade contextual é uma teoria normativa, não uma métrica. ### Exercícios - **EX008 — Integridade contextual.** Como a integridade contextual julgaria o envio de dados de viagem aos planejadores? *Rubrica:* 3 = pergunta se o fluxo respeita as normas que os passageiros esperavam ao passar o cartão;; 2 = menciona normas;; 1 = diz que é legal;; 0 = nenhuma. - **EX009 — Grupos de Solove.** Cite os quatro grupos de problemas de privacidade de Solove. *Rubrica:* 3 = coleta, processamento, disseminação, invasão;; 2 = cita três;; 1 = cita um;; 0 = nenhuma. - **EX010 — Motivo da l-diversidade.** Que fraqueza do k-anonimato levou à l-diversidade? *Rubrica:* 3 = um grupo k-anônimo pode compartilhar um único valor sensível, revelando-o para todos os membros;; 2 = menciona valores sensíveis;; 1 = repete a definição de k-anonimato;; 0 = nenhuma. - **EX011 — Registros esparsos.** Por que o resultado de Narayanan e Shmatikov importa para dados de transporte? *Rubrica:* 3 = as viagens são esparsas e distintivas como as avaliações, então poucas viagens conhecidas podem vincular um registro;; 2 = diz que a vinculação é possível;; 1 = cita apenas o caso dos filmes;; 0 = nenhuma. - **EX012 — Sentido da sensibilidade.** O que é a sensibilidade de uma consulta de contagem, e por que ela importa? *Rubrica:* 3 = o máximo que uma pessoa pode alterá-la, um; a escala do ruído é a sensibilidade sobre épsilon;; 2 = define sensibilidade de modo vago;; 1 = cita apenas o épsilon;; 0 = nenhuma. - **EX013 — Conhecimento prévio.** Que vantagem a privacidade diferencial tem sobre os modelos sintáticos? *Rubrica:* 3 = sua garantia vale independentemente do conhecimento prévio do atacante;; 2 = menciona atacantes;; 1 = diz que é mais nova;; 0 = nenhuma. - **EX014 — Enunciado da lacuna.** Enuncie em uma frase a lacuna de pesquisa de Ines. *Rubrica:* 3 = poucos estudos comparam as duas famílias em uma publicação, com um ataque e um teste de utilidade com usuários;; 2 = menciona comparação;; 1 = diz que é preciso mais pesquisa;; 0 = nenhuma. ### Síntese O capítulo 2 mapeia teoria, modelos, ataques e privacidade diferencial até chegar a uma lacuna precisa. O capítulo 3 transforma a lacuna em uma proposta com uma linha de base de generalização. ### Continue estudando — aula 02 (capítulo 02 de 08) [← Capítulo 01](#ch-01) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 03 →](#ch-03) Continue para a próxima aula já escrita. ## Worked answers **EX008.** Pergunta se esse fluxo corresponde às normas do contexto em que os passageiros compartilharam as viagens; se o uso pelos planejadores romper essas normas, o fluxo é inadequado. **EX009.** Coleta de informações, processamento de informações, disseminação de informações e invasão. **EX010.** Se todos os membros de um grupo k-anônimo têm o mesmo valor sensível, o atacante o descobre sem singularizar ninguém; a l-diversidade exige variedade. **EX011.** Históricos de transporte, como avaliações de filmes, são esparsos e distintivos; conhecer algumas viagens pode vincular um histórico pseudônimo a uma pessoa. **EX012.** Em uma contagem, uma pessoa muda a resposta em no máximo um; o ruído de Laplace com escala 1/épsilon é calibrado para esse limite. **EX013.** Sua garantia não depende do que o atacante já sabe, enquanto o k-anonimato presume um conjunto específico de quase-identificadores. **EX014.** Poucos estudos comparam registros k-anonimizados e contagens diferencialmente privadas na mesma publicação, sob o mesmo ataque, com a aceitação dos usuários como teste de utilidade.