Differential privacy

Wat is differential privacy?

Differential privacy is een wiskundige garantie dat het resultaat van een analyse vrijwel hetzelfde blijft, of de gegevens van een bepaalde persoon nu wel of niet in de dataset zitten. Precies daardoor kan niemand uit het resultaat afleiden of een specifieke persoon in de data zat. Je beschermt dus geen kolom of tabel, maar het individu zelf.

Het werkt door bewust kleine willekeurige afwijkingen toe te voegen aan het antwoord op een vraag. Vraag je het gemiddelde loon van een team op, dan krijg je een cijfer dat er bewust net naast zit: genoeg om een persoon onherkenbaar te maken, en toch dicht genoeg bij de waarheid om er iets aan te hebben.

Vergelijk het met een zaal waar iedereen zijn antwoord fluistert met wat opzettelijk geroezemoes erdoorheen. Je hoort de toon van de hele groep nog, maar geen enkele stem valt eruit te pikken.

Het privacybudget

De hoeveelheid afwijking kies je niet zomaar. Ze wordt afgestemd op een getal dat epsilon heet, ook wel het privacybudget genoemd. Epsilon regelt de afweging tussen privacy en nauwkeurigheid.

Een kleine epsilon betekent veel afwijking: sterke privacy, maar een minder nauwkeurig antwoord. Een grote epsilon betekent weinig afwijking: nauwkeuriger cijfers, maar zwakkere bescherming. Elke stap richting meer privacy kost dus wat nauwkeurigheid, en omgekeerd.

Er zit nog een tweede mechanisme in: het budget raakt op. Elke vraag op dezelfde data verbruikt een stukje van epsilon. Stel je genoeg vragen, dan kan iemand de antwoorden samenleggen en de afwijking wegmiddelen, tot het individu er alsnog uitkomt. Daarom verdelen systemen hun budget vooraf over de toegestane vragen, en als het op is, stopt de kraan.

Een voorbeeld met een gemiddeld loon

Stel: je rapporteert het gemiddelde loon van een team van tien mensen. Een gemiddelde lijkt onschuldig, er staat geen enkele naam bij. Maar iemand die het gemiddelde van alle tien kent, en daarna dat van dezelfde negen zonder Jan, hoeft enkel af te trekken om exact het loon van Jan te kennen.

Met differential privacy krijgt elk van die twee antwoorden een eigen kleine willekeurige afwijking. De twee cijfers schommelen net genoeg dat het verschil ertussen niet meer betrouwbaar naar een loon wijst. De aanvaller weet nog altijd ongeveer wat een team verdient, maar kan Jan er niet meer uit lichten. En het maakt niet uit welke extra data die aanvaller er nog naast legt: de garantie hangt niet af van wat hij toevallig al weet.

Differential privacy versus klassieke anonimisering

Klassieke anonimisering en pseudonimisering werken op de records zelf: je verwijdert namen, vervaagt geboortedata, vervangt een klantnummer door een code. Het probleem is koppeling. Leg zo'n dataset naast een tweede bron met dezelfde velden en een 'anoniem' record krijgt vaak weer een naam. Je bescherming is zo sterk als je kan voorspellen welke andere data er ooit naast komt te liggen, en dat kan je niet.

Differential privacy draait dat om. In plaats van te hopen dat niemand de puzzel kan leggen, geeft het een wiskundig bewezen bovengrens op wat een analyse over een persoon kan verklappen, ongeacht welke andere data een aanvaller heeft. Anonimisering belooft dat het moeilijk is om iemand terug te vinden, differential privacy legt een harde grens op hoeveel de uitkomst sowieso over jou prijsgeeft.

Waar kom je differential privacy tegen?

De techniek zit al in producten die je dagelijks gebruikt.

De Amerikaanse volkstelling. Het US Census Bureau paste differential privacy toe op de resultaten van de census van 2020. Elk gepubliceerd cijfer kreeg een afgestemde willekeurige afwijking, zodat niemand een individueel huishouden kon reconstrueren uit de gedetailleerde tabellen. Het bureau werkte met een totaal privacybudget van rond de twintig, bewust hoger dan wat onderzoekers ideaal vinden, omdat de cijfers ook bruikbaar moesten blijven voor bijvoorbeeld het hertekenen van kiesdistricten.

Apple. Apple voegt de afwijking al op je toestel toe, voordat er iets naar hun servers vertrekt. Zo verzamelt het bedrijf welke emoji of welke woorden populair worden zonder te weten wat jij precies typte. Voor emoji-suggesties gebruikt het een kleine epsilon, voor de QuickType-toetsenbordsuggesties iets ruimer.

Google. Google bouwde met RAPPOR een gelijkaardig systeem in Chrome, om bijvoorbeeld te meten welke browserinstellingen vaak voorkomen. Ook hier vertrekt elk rapport al vervormd van het toestel, zodat het antwoord van een enkele gebruiker nooit vastligt.

Voor een KMO is dat laatste geval, met de afwijking aan de bron, meestal overkill. Waar je het wel kan inzetten: geaggregeerde cijfers delen zonder individuen bloot te geven, bijvoorbeeld een benchmark of verkoopcijfers per regio voor een leverancier. Voeg een afgestemde afwijking toe aan de totalen en een klein segment, zoals een gemiddelde over twee klanten, verraadt niemand meer.

Waar moet je op letten bij het gebruik van differential privacy

Privacy kost nauwkeurigheid. Hoe sterker je beschermt, hoe verder je cijfers van de waarheid liggen. Voor grote aantallen valt dat te verwaarlozen, maar op kleine deelgroepen kan de afwijking groter worden dan het cijfer zelf. Beslis vooraf welke nauwkeurigheid je echt nodig hebt.

Het budget is eindig. Elke extra vraag op dezelfde dataset verzwakt de garantie. Een systeem dat onbeperkt vragen toelaat, lekt na verloop van tijd toch. Houd bij hoeveel budget je al verbruikt hebt.

Epsilon kiezen is een beleidskeuze. Er bestaat geen universeel juiste waarde. Onderzoekers mikken op lage waarden, echte systemen kiezen vaak hoger om bruikbaar te blijven. Dat getal bepaalt rechtstreeks hoeveel privacy je echt geeft, dus leg het bewust vast en noteer waarom.

Het vervangt de GDPR niet. Differential privacy verkleint het heridentificatierisico, maar de wet kijkt naar het geheel. Vertrek je van echte persoonsgegevens, dan is die verwerking gewoon onderworpen aan de GDPR. Behandel het resultaat pas als anoniem wanneer een onderbouwde risicobeoordeling dat bevestigt.