Problém strukturálního PII versus PII ve volném textu
Výzkumná data sdílená mezi akademickými institucemi cestují nejčastěji ve formátu CSV. Když výzkumníci připravují CSV k sdílení, standardní kontrolní seznam anonymizace je na bázi sloupců: identifikujte sloupce obsahující osobní data, odstraňte nebo pseudonymizujte tyto sloupce.
Tento přístup spolehlivě zvládá strukturované PII. Sloupec nazvaný ‚e-mail' obsahuje e-mailové adresy — odstraňte ho. Sloupec nazvaný ‚telefon' obsahuje telefonní čísla — odstraňte ho. Sloupec nazvaný ‚jméno_účastníka' obsahuje jména — pseudonymizujte ho.
Co přístup mazání sloupců přehlíží: PII vložené do sloupců volnotextových odpovědí.
Dataset průzkumu s 5 000 řádky a 20 sloupci může mít:
- 5 strukturovaných sloupců PII (jméno, e-mail, telefon, ID, rok narození)
- 15 sloupců volnotextových odpovědí (‚další_komentáře', ‚popis_zkušenosti', ‚co_by_zlepšilo', ‚ostatní_podrobnosti')
Strukturované sloupce jsou vyčištěny mazáním sloupců. Sloupce volného textu jsou ponechány beze změny. Ale respondenti průzkumu píší věci jako:
- „Moje lékařka ve Všeobecné nemocnici, MUDr. Marie Součková, řekla, že léčba je experimentální”
- „Řeším to od své nehody v roce 2019, kdy do mě narazilo auto Jindřicha Procházky”
- „Pokud potřebujete více informací, kontaktujte mou pečovatelku na petra.horakova@gmail.com”
Tyto záznamy obsahují pojmenované jednotlivce, institucionální příslušnost, zdravotní informace a kontaktní údaje — žádné se neobjevují v záhlavích sloupců a žádné nejsou zachyceny anonymizací mazáním sloupců.
Proč to nesplňuje standard anonymizace GDPR
Recitál 26 GDPR definuje anonymní data jako informace, které „se nevztahují k identifikované nebo identifikovatelné fyzické osobě.” Standard anonymizace je vysoká laťka: data jsou anonymní pouze v případě, že je „nemožné” (v rozumném odhadu) identifikovat subjekt dat.
Částečně anonymizované výzkumné CSV — strukturované sloupce vyčištěné, sloupce volného textu obsahující pojmenované jednotlivce — tento standard nesplňuje. Pojmenovaní jednotlivci ve volnotextových odpovědích jsou identifikovatelní a dataset proto zůstává osobními daty podléhajícími zárukovým požadavkům dle čl. 89 GDPR.
Toto je důležité pro několik výzkumných kontextů:
Výjimka pro výzkum dle čl. 89: Čl. 89 GDPR umožňuje zpracování osobních dat pro vědecké výzkumné účely se sníženými povinnostmi, ale pouze tam, kde jsou zavedena „vhodná záruky.” Sdílení datasetu, který je částečně anonymizován (ale stále obsahuje PII ve volném textu), přičemž se tvrdí, že splňuje záruky čl. 89, je compliance selháním.
Schválení výzkumné etické komise: Většina akademických IRB a etických komisí vyžaduje, aby sdílené datasety byly genuinně anonymizovány. Částečná anonymizace, která ponechává PII ve volném textu nedotčené, zpravidla nesplňuje podmínky etického schválení.
Smlouvy o sdílení dat mezi institucemi: DSA pro výzkumná data zpravidla specifikují, že sdílená data musí být anonymizována na definovaný standard. Částečná anonymizace, která nesplňuje recitál 26 GDPR, může porušovat DSA.
Technická výzva detekce PII ve volném textu
Volnotextové odpovědi průzkumu patří k nejnáročnějším cílům detekce PII, protože:
Kontextuální pojmenování: „MUDr. Marie Součková ze Všeobecné nemocnice” vyžaduje NER, aby detekovala ‚Marie Součková' jako osobu a ‚Všeobecná nemocnice' jako organizaci — nikoli shodu klíčových slov. Vzory nejsou předvídatelné.
Incidentální identifikace: „Do mě narazilo auto Jindřicha Procházky” vyžaduje NER, aby identifikovala ‚Jindřich Procházka' jako pojmenovaného jednotlivce v narativním kontextu — nikoli datové pole, ale osobu odkazovanou v příběhu.
Kontaktní informace v neočekávaných formátech: E-mailové adresy a telefonní čísla ve volném textu mohou mít nestandardní formátování (‚napište mi na petra tečka horakova zavináč gmail'), které detekce samotným regulárním výrazem přehlédne.
Typy entit specifické pro výzkum: Akademická a klinická výzkumná data často obsahují institucionální identifikátory (nemocniční ID, kódy výzkumných míst), klinickou terminologii a zeměpisné reference, které jsou v kontextu PII, i když to tak není zřejmé.
Z tohoto důvodu je pro genuinní anonymizaci volnotextových průzkumů nezbytná detekce na základě NLP — nikoli samotné vzorové přiřazování.
Případ použití: Výzkumné konsorcium více institucí
Výzkumné konsorcium tří evropských univerzit provedlo průzkum zkušeností pacientů: 5 000 respondentů, 3 strukturované sloupce PII a 8 sloupců volnotextových odpovědí. Data měla být sdílena mezi institucemi pro společnou analýzu v rámci Smlouvy o sdílení dat a výjimky dle čl. 89 GDPR.
Standardní přístup (pouze mazání sloupců):
- 3 strukturované sloupce PII odstraněny
- 8 sloupců volného textu zachováno beze změny
- Compliance tvrzení: „Sloupce PII odstraněny”
- Skutečné zbývající PII: 47 pojmenovaných jednotlivců zmíněných v odpovědích volného textu, 23 e-mailových adres dobrovolně uvedených v komentářích, 18 zeměpisných referencí, které by mohly identifikovat respondenty v kontextu
S NLP detekcí volného textu:
- 3 strukturované sloupce PII pseudonymizovány (konzistentní tokeny, nikoli odstraněny — zachovávají integritu počtu řádků)
- 8 sloupců volného textu zpracováno: 47 osobních jmen detekováno a nahrazeno, 23 e-mailových adres detekováno a maskováno, 18 zeměpisných referencí detekováno a zobecněno (‚Všeobecná nemocnice' → ‚[Zdravotnické zařízení]')
- Výstup: genuinně anonymizovaný dataset splňující standard recitálu 26 GDPR
- Výzkumná etická komise metodiku anonymizace přijala
- DPO potvrdil soulad DSA
Rozdíl: druhý přístup produkuje dataset, který skutečně splňuje standard anonymizace. První přístup produkuje dataset, který vypadá anonymizovaně, ale obsahuje identifikovatelné informace ve sloupcích, jež nebyly přezkoumány.
Sestavení protokolu anonymizace výzkumných dat
Pro výzkumné týmy pracující s daty průzkumů a rozhovorů je strukturovaný protokol před sdílením:
Krok 1: Klasifikace sloupců
- Kategorizujte všechny sloupce: strukturované PII, strukturované bez PII, odpověď volného textu
- Dokumentujte klasifikaci
Krok 2: Zpracování strukturovaných PII
- Odstraňte (pokud není potřeba pro výzkum) nebo pseudonymizujte (pokud je potřeba pro propojení záznamů)
- Dokumentujte použité náhradní tokeny
Krok 3: Analýza obsahu volného textu
- Spusťte NLP detekci na všech sloupcích volného textu
- Přezkoumejte detekované entity: potvrďte, které představují skutečné PII
- Aplikujte náhrady pro potvrzené entity PII
Krok 4: Ověření
- Vzorkujte 50–100 řádků z výstupního datasetu
- Ruční přezkum libovolných volnotextových záznamů obsahujících detekované entity
- Potvrďte, že míra detekce je vhodná pro daný typ sloupce
Krok 5: Dokumentace
- Dokument o metodice anonymizace: použité nástroje, detekované typy entit, zpracované sloupce
- Sdílejte dokument o metodice spolu s anonymizovaným datasetem pro etický přezkum
Tento protokol transformuje „smazali jsme sloupec se jménem” do obhajitelného, zdokumentovaného anonymizačního procesu, který splňuje čl. 89 GDPR a institucionální požadavky výzkumné etiky.
Zdroje: