Capítulo 7 — Síntese da tese e arquivo de reprodutibilidade | Pesquisa doutoral Privacidade e proteção de dados

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX039.

flowchart TD
  N0["7.1 A síntese"]
  N1["7.2 O que entra no arquivo"]
  N2["7.3 Um vazamento detectado"]
  N3["7.4 Licenciamento e acesso"]
  N4["Laboratório — Manifesto e verificação de identificad"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX039"]

Desenho lógico

flowchart LR
  N0["7.1 A síntese"]
  N1["7.2 O que entra no arquivo"]
  N2["7.3 Um vazamento detectado"]
  N3["7.4 Licenciamento e acesso"]
  N4["Laboratório — Manifesto e verificação de identificad"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX039"]

[7.1 A síntese]
    |
    v
[7.2 O que entra no arquivo]
    |
    v
[7.3 Um vazamento detectado]
    |
    v
[7.4 Licenciamento e acesso]
    |
    v
[Laboratório — Manifesto e verificação de identificad]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX039]

Objetivos de aprendizagem

Você vai (1) sintetizar os achados em afirmações defensáveis; (2) montar um arquivo de reprodutibilidade; (3) conferir que nenhum identificador sai nos arquivos suplementares.

7.1 A síntese

Ines redige sua afirmação central com cuidado. A pseudonimização sozinha deixa a maioria dos passageiros sintéticos reidentificável. Um arquivo k-anonimizado bem escolhido resiste à vinculação simples, mas vaza sob ataques com vários dias de viagens. As contagens diferencialmente privadas eliminam a vinculação de registros, com um erro desprezível nas linhas movimentadas e grave nas linhas pouco movimentadas quando o épsilon é baixo. Os planejadores, em uma revisão estruturada, aceitaram as contagens com épsilon igual a um. A afirmação é limitada pela população sintética, pelos três planejadores e pelos ataques testados. Ela confere cada frase da afirmação com uma tabela, uma figura ou uma saída de laboratório, para que nada na conclusão fique solto da evidência.

7.2 O que entra no arquivo

A Thornbury exige um arquivo de reprodutibilidade. Ines inclui o protocolo pré-registrado, o código de análise com suas sementes aleatórias, as tabelas de resultados e um breve arquivo de instruções que explica como executar tudo de novo. Cada arquivo é listado em um manifesto com seu resumo SHA-256, para que qualquer alteração posterior possa ser detectada. Ela não inclui a população sintética em si, apenas o gerador e sua semente, porque a população pode ser reconstruída exatamente. Isso deixa o arquivo pequeno o bastante para ser depositado no repositório da universidade, mantendo cada número da tese reproduzível por um examinador com ferramentas comuns.

7.3 Um vazamento detectado

Quando Ines executa a verificação do arquivo, ela bloqueia um item. Um arquivo de linhas de exemplo, que ela acrescentara para ilustrar o formato dos dados, contém uma coluna chamada identificador do passageiro, com um token copiado de um teste inicial que usava formatos reais de cartão. Embora o token seja fictício, a verificação foi desenhada justamente para barrar esse tipo de deslize. Ela retira o arquivo e o substitui por uma descrição do formato. O episódio mostra por que a proteção de dados desde a concepção, descrita no artigo 25 do GDPR e nas diretrizes do EDPB, e refletida na LGPD na exigência de que as medidas de segurança sejam observadas desde a fase de concepção (art. 46, § 2º), alcança também os produtos da pesquisa, e não só o sistema principal estudado.

7.4 Licenciamento e acesso

Ines publica o código sob uma licença aberta e declara que o gerador é sintético e não contém dados pessoais. Ela acrescenta uma declaração de dados que explica o que o arquivo contém, o que não contém e com quem falar na autoridade sobre o acesso a dados reais pelos procedimentos próprios dela. O Prof. Aaltonen lembra que ciência aberta e proteção de dados são compatíveis quando o arquivo é desenhado para as duas desde o início. Ela registra a declaração tanto nas páginas iniciais da tese quanto no arquivo, para que leitores que nunca abram o repositório também entendam os seus limites.

Laboratório — Manifesto e verificação de identificadores do arquivo da tese

# SHA-256 manifest for a synthetic thesis archive; the release check flags any file containing a raw rider id.
import hashlib
files = {"protocol.md": b"pre-registered protocol v3", "analysis.py": b"seed=7; epsilon grid", "results.csv": b"eps,mae\n0.1,10.1\n", "README.md": b"rerun: python3 analysis.py", "sample_rows.csv": b"rider_id,zone\nR-104233,12\n"}
for n, b in files.items():
    flag = "BLOCK (contains rider_id)" if b"rider_id" in b else "ok"
    print(f"{hashlib.sha256(b).hexdigest()[:16]}  {n:16s} {flag}")

Execute com python3 lab_archive.py. Saída verificada:

a52eebd60ecdcdf6  protocol.md      ok
fec505cc4b189e5f  analysis.py      ok
56ae8db2fd66c425  results.csv      ok
0859d3705f295926  README.md        ok
59ddbf48bee52954  sample_rows.csv  BLOCK (contains rider_id)

Exemplo resolvido

Ines redige uma afirmação central delimitada, monta um manifesto de cinco arquivos com resumos SHA-256 e detecta um arquivo de exemplo com uma coluna de identificador de passageiro, que ela substitui antes do depósito.

Caso sintético. Os arquivos e o token são sintéticos; o artigo 25 do GDPR, o art. 46, § 2º, da LGPD e as Diretrizes 4/2019 do EDPB são reais.

Erros e limites

Uma verificação por palavra-chave só encontra os identificadores que foi instruída a procurar; textos livres ainda podem vazar. Resumos criptográficos provam integridade, não correção.

Exercícios

EX039 — Afirmação delimitada. Liste os três limites da afirmação central de Ines.
Mostrar critérios de avaliação
Rubrica: 3 = população sintética, três planejadores, ataques testados;; 2 = lista dois;; 1 = não lista nenhum;; 0 = nenhuma.
EX040 — Gerador, não dados. Por que arquivar o gerador e a semente em vez da população?
Mostrar critérios de avaliação
Rubrica: 3 = reconstrói exatamente a mesma população e mantém o arquivo pequeno;; 2 = menciona o tamanho;; 1 = arquiva tudo;; 0 = nenhuma.
EX041 — Arquivo bloqueado. Que arquivo a verificação bloqueou, e por quê?
Mostrar critérios de avaliação
Rubrica: 3 = sample_rows.csv, porque contém uma coluna rider_id;; 2 = cita o arquivo;; 1 = diz que nenhum;; 0 = nenhuma.
EX042 — Papel dos resumos. O que um manifesto SHA-256 prova, e o que não prova?
Mostrar critérios de avaliação
Rubrica: 3 = que os arquivos não mudaram desde a listagem; não que as análises estejam corretas;; 2 = cita um;; 1 = confunde os dois;; 0 = nenhuma.
EX043 — Alcance da concepção. Por que a proteção de dados desde a concepção alcança o arquivo da pesquisa?
Mostrar critérios de avaliação
Rubrica: 3 = os produtos podem vazar dados pessoais tanto quanto os sistemas;; 2 = menciona os produtos;; 1 = limita-a aos sistemas;; 0 = nenhuma.
EX044 — Declaração de dados. O que a declaração de dados de Ines deve explicar?
Mostrar critérios de avaliação
Rubrica: 3 = conteúdo, exclusões e como pedir acesso a dados reais;; 2 = cita um;; 1 = omite;; 0 = nenhuma.

Síntese

O capítulo 7 produz uma afirmação delimitada e um arquivo limpo. O capítulo 8 prepara a defesa e a publicação.