Consider to use Statistical Noise / Differential Privacy

[italia]

Consider to use Statistical Noise / Differential Privacy

[LBreda]

Sai che è il governatore della Campania perché te l'ha detto lui, non perché è nel dataset. Quali dati sensibili dei vaccinati questi dati rivelerebbero? Mo vabbè tutto ma non si esageri dai.

E no, il dato non conferma affatto che non sia stato utilizzato un placebo, non essendoci scritto in alcun modo che quello sia De Luca. Potrebbe essere un'altra persona vaccinata al suo posto per non far dire poi che era una finta, o potrebbe essere del tutto inventato. I dati non trasportano informazione personale alcuna.

[andreamarchetti]

As a developer I am committed to solve issues, not to create new ones. This issue is closed in relation to my contribution.

[LucaZeta]

per essere un problema di privacy è sufficiente che qualcuno (non necessariamente io) sia in grado di individuare (mediante correlazioni con questi dati) qualcun altro.

Non sono esperto di privacy, ma la maniera con la quale sei stato in grado di individuare il governatore della regione è solo perchè la sua vaccinazione è stata a caratteri cubitali su tutte le testate nazionali. Il problema di privacy a quel punto è già bello che andato, direi. Individuarlo tra questi dati vuol solo dire "aggiungere al bianco lo splendore."

[ivanvisconti]

Sai che è il governatore della Campania perché te l'ha detto lui, non perché è nel dataset. Quali dati sensibili dei vaccinati questi dati rivelerebbero? Mo vabbè tutto ma non si esageri dai.

Quello è un esempio, la correlazione in quell'esempio è con un annuncio pubblico; il caso generale prevede correlazioni che possono avvenire con altri dataset o informazioni private che da soli non rivelano tale informazione (in contrasto con l'annuncio pubblico) ma che lo fanno quando messi in correlazione. Non ho chiesto nell'issue di intervenire sull'esempio, ma sul caso generale. E comunque il titolo è "Consider to...". Per ragionare sull'issue bisogna abbandonare l'esempio che serve solo a far vedere le correlazioni. Va bene anche non cambiare nulla e spiegare perché va bene lasciare così. Ci ha provato anche lei, grazie ma non mi pare una spiegazione sufficiente.

Poi tornando all'esempio, se ci fosse stato zero sarebbe stato evidenziato il placebo al governatore (e questo sarebbe stato noto con la correlazione dei video con questi dati, il solo video non sarebbe bastato). Resta comunque un esempio ed è opportuno pensare al caso generale.

[sabas]

Per essere un problema di privacy probabilmente sarai in grado di individuare anche gli altri no?
Oppure bisogna andarci con le telecamere e correlare il filmato con il dataset?

[ivanvisconti]

Per essere un problema di privacy probabilmente sarai in grado di individuare anche gli altri no?
Oppure bisogna andarci con le telecamere e correlare il filmato con il dataset?

Non capisco la domanda, se è un problema di privacy o meno non dipende dalla mia capacità di individuare altri non videoregistrati che si vaccinano anche perché potrei vivere isolato senza conoscere nessuno, nemmeno telematicamente. AFAIK, per essere un problema di privacy è sufficiente che qualcuno (non necessariamente io) sia in grado di individuare (mediante correlazioni con questi dati) qualcun altro. Possiamo escluderlo? Io no. Quello del governatore è un esempio motivante, la correlazione con questi dati ci conferma che una dose reale è stata utilizzata anziché usare un placebo (che avrebbe potuto avere lo stesso effetto mediatico); poi però bisogna guardare al caso generale (non solo ad un esempio). Se il problema anche solo in minima parte c'è allora torna utile la mia segnalazione con questo issue insieme con le possibili mitigazioni che ho indicato. Se il problema non c'è è ancora meglio, magari una spiegazione del perché non c'è è pure utile. Ripeto, non vedo perché per segnalare un tale potenziale problema debba essere io ad avere relazioni sociali tali da poter fare correlazioni con questi dati pubblicati deanonimizzando qualche riga.

[ivanvisconti]

Non sono esperto di privacy, ma la maniera con la quale sei stato in grado di individuare il governatore della regione è solo perchè la sua vaccinazione è stata a caratteri cubitali su tutte le testate nazionali. Il problema di privacy a quel punto è già bello che andato, direi. Individuarlo tra questi dati vuol solo dire "aggiungere al bianco lo splendore."

Quello è solo un esempio. Bisogna pensare al caso generale. Io ho fatto la correlazione con l'annuncio a caratteri cubitali perché era l'unico dato esterno in mio possesso per correlare; la domanda da porsi è se esistono ulteriori dati esterni (es., il calendario delle vaccinazioni all'interno di una RSA) pubblici o cmq accessibili ad alcuni, tali da permettere di identificare una persona vaccinata proprio grazie alla correlazione (cioè senza la correlazione non ci sarebbero sufficienti informazioni per stabilire se una certa persona è ricevuto la dose o meno).

[andreamarchetti]

(es., il calendario delle vaccinazioni all'interno di una RSA)

Lì sta la violazione della privacy, IMHO, non nella pubblicazione di dati aggregati. E' anche la definizione nel GDPR per quanto ne sappia.

[LucaZeta]

la domanda da porsi è se esistono ulteriori dati esterni (es., il calendario delle vaccinazioni all'interno di una RSA) pubblici o cmq accessibili ad alcuni.

Questo è tutt'altro discorso, quando vado a donare il sangue compilo un modulo con i miei dati e lo consegno, non vuol dire che leda il mio diritto alla privacy, almeno non credo. Quando vai in ospedale passi alla cassa per le spettanze presenti l'impegnativa con i tuoi dati, ma ciò non lede il tuo diritto alla privacy. Possono esistere problemi di privacy, ma per saperlo si dovrebbero analizzare le procedure e avere ben presenti i limiti, non è l'esempio che hai portato ad evidenziare un problema. IMHO

[ivanvisconti]

Questo è tutt'altro discorso, quando vado a donare il sangue compilo un modulo con i miei dati e lo consegno, non vuol dire che leda il mio diritto alla privacy, almeno non credo. Quando vai in ospedale passi alla cassa per le spettanze presenti l'impegnativa con i tuoi dati, ma ciò non lede il tuo diritto alla privacy. Possono esistere problemi di privacy, ma per saperlo si dovrebbero analizzare le procedure e avere ben presenti i limiti, non è l'esempio che hai portato ad evidenziare un problema. IMHO

Ripeto per la quarta volta: bisogna guardare al caso generale. L'esempio ha l'unico obiettivo di evidenziare che dalla riga di una tabella di questi open data si può risalire ad uno specifico evento esterno a questi open data. Fuori dall'esempio, quindi in generale, come ho detto già, la correlazione potrebbe rivelare informazioni che invece guardando ai dati in autonomia non si potrebbero ottenere. Con l'issue pongo l'attenzione su questa eventualità perché nel caso in cui non si possa escludere a priori, allora si potrebbero utilizzare delle tecniche che permettono di ridurre significativamente il rischio di deanonimizzazione.

[LucaZeta]

Ora è chiaro, grazie. La quarta volta è stata quella conclusiva.
Siccome non è possibile escluderlo a priori, allora ritieni opportuno sollevare il rischio che possano sussistere violazioni alla privacy, per supportare il quale (rischio) porti ad esempio un caso che non viola la privacy.

Scusami per non averlo capito subito e grazie per la tua segnalazione.

[ivanvisconti]

(es., il calendario delle vaccinazioni all'interno di una RSA)

Lì sta la violazione della privacy, IMHO, non nella pubblicazione di dati aggregati. E' anche la definizione nel GDPR per quanto ne sappia.

Bene, supponiamo sia vero che la violazione è quindi altrove (non è il mio campo e non lo metto minimamente in dubbio). Avremmo quindi che a causa di una violazione fatta dall'istituto X che di per se non rivela se alla signora Y è stata iniettata la dose, il signor Z correlando i dati ottenuti grazie alla violazione di X con gli open data così esposti su github ottiene l'informazione riguardante l'avvenuto uso di una dose per la signora Y. C'è un'amplificazione dell'errore compiuto da X a causa dei dati aperti così esposti su questo repository. L'amplificazione penalizza la signora Y ovviamente. Su questo penso/spero che siamo d'accordo. Possiamo lasciare tutto così com'è, penalizzando la signora Y o possiamo applicare tecniche che permettono di ridurre il rischio di amplificazione dell'errore (le ho proposte nel mio primo intervento). Tutto qui. Aggiungo che non mi sento (nelle mie limitate conoscenze) di escludere la possibilità che esistano informazioni esterne senza violazioni ma che portano comunque a correlare e a deanonimizzare. Se qualcuno ha informazioni per escluderlo mi farebbe piacere averle. Infine: facciamo attenzione a non banalizzare la protezione dei dati con l'argomento "fare in quel moto significa violare le regole quindi posso ignorarlo". Quando possibile bisogna utilizzare tecniche che proteggono i dati anche in presenza di violazioni delle regole. Altrimenti non avremmo la necessita di cifrare mai nulla e basterebbe avere la regola che leggere i dati degli altri è vietato.

[ivanvisconti]

Ora è chiaro, grazie. La quarta volta è stata quella conclusiva.
Siccome non è possibile escluderlo a priori, allora ritieni opportuno sollevare il rischio che possano sussistere violazioni alla privacy, per supportare il quale (rischio) porti ad esempio un caso che non viola la privacy.

Scusami per non averlo capito subito e grazie per la tua segnalazione.

Di nulla; si è proprio così. Non ho esempi che violano direttamente la privacy (il che significherebbe poi che il danno è fatto). Il problema è che pur non avendoli io, non è detto che non li abbiano altri, oggi o in futuro.