非識別化とプライバシー保護データ分析

非識別化とは、医療データセット内の個人を特定しうる情報を削除または変換し、プライバシーリスクを低減した上でデータを活用・共有できるようにするプロセスです。プライバシー保護データ分析は、機密データに対して有用な計算を可能にしつつ、個人の特定につながる情報の漏洩を制限する、より広範な手法群を指します。これらを組み合わせることで、再識別化を抑制しつつ、医療データが研究や運用に貢献できるようになります。

Definition

非識別化とは、データから識別情報を削除または変更し、個人が容易に特定できないようにすることです。プライバシー保護データ分析とは、機密データの分析を可能にしつつ、個人の特定につながる情報の開示を制限する技術（形式的な匿名化モデルやノイズベースまたは分散計算手法を含む）を指します。

Scope

本項目では、非識別化の根拠、主要な形式的プライバシーモデル（k-匿名性とその改良、差分プライバシーなど）、再識別化の継続的なリスク、およびデータを集中化せずに計算を行う新たなアプローチ（連合学習など）について扱います。これらは参照および教育のための方法論的概念として扱われ、特定のデータセットを非識別化するためのプロトコルや、法的十分性を保証するものではありません。

Core questions

• どのような情報が記録を識別可能にするのか、また識別可能性はどのように低減できるのか？
• k-匿名性や差分プライバシーなどのモデルはどのような形式的保証を提供するのか？
• 非識別化されたデータが再識別されるリスクはどの程度現実的なのか？
• データを集中化したり直接共有したりせずに分析するにはどうすればよいのか？
• プライバシー保護とデータ有用性の間のトレードオフはどのように管理されているのか？

Key concepts

• 直接識別子と準識別子
• 再識別化リスク
• 有用性-プライバシーのトレードオフ
• 一般化と抑制
• ノイズ付加とランダム化応答
• 合成データ
• 連合学習と分散分析
• セキュア計算

Key theories

k-匿名性

データセットは、準識別子の集合に関して、各レコードが少なくともk-1個の他のレコードと区別できない場合、k-匿名性を満たす。これにより、個人がk人未満の集団の中で特定されることはない。これは、一見無害な属性の組み合わせが個人を特定しうるという直感を形式化したものである。

l-多様性

k-匿名性の拡張であり、区別できないレコードの各グループが、任意の機密属性について少なくともl個の十分に表現された値を含むことを要求する。これにより、k-匿名データが、グループが均質である場合に機密値を漏洩しうるという弱点に対処する。

差分プライバシー

分析の出力が、個々の個人のデータが含まれているかどうかにかかわらず、ほとんど変化しないという形式的な保証。これは、調整されたランダムノイズを加えることによって達成され、結果から特定の個人についてほとんど推測できないようにする。

Mechanisms

非識別化は、直接識別子を削除し、準識別子（年齢、郵便番号、日付など）を一般化または抑制することで、識別可能性を低減します。これらの準識別子は、組み合わせることで個人を特定する可能性があります。形式モデルは、このプロセスに検証可能な保証を与えます。k-匿名性は、各レコードが準識別子に関して少なくともk-1個の他のレコードと区別できないことを要求し（Sweeney, 2002）、l-多様性はこの要件を強化し、各グループ内の機密値に多様性があることを保証します（Machanavajjhala et al., 2007）。差分プライバシーは、調整されたノイズを加えることで、分析における個々の個人の影響を制限します（Dwork et al., 2006）。詳細を削除すると分析の有用性が低下するため、どの手法もプライバシーと有用性の間のトレードオフを考慮する必要があります。補完的な方向性として、データを分散化したままにする方法があります。連合学習は、基盤となるレコードを移動させることなく、複数の機関間でモデルを訓練し、識別可能なデータの露出を制限します（Rieke et al., 2020）。これらのアプローチのいずれもリスクがないわけではなく、不完全なデータセットや疎にサンプリングされたデータセットであっても、再識別化が成功する場合があります（Rocher et al., 2019）。

Clinical relevance

非識別化とプライバシー保護分析は、識別可能な記録を広範に公開することなく、研究、品質測定、公衆衛生のための臨床データの大規模な二次利用を可能にするものです。残存する再識別化リスクの認識は、そのようなデータがどのように管理され、共有されるべきかを決定する上で重要です（Rocher et al., 2019）。本項目は、参照および教育のためにこれらの手法を記述するものであり、特定のデータセットが適切に非識別化されていることや法的に準拠していることを保証するものではありません。

Evidence & guidelines

ここで引用されている形式的プライバシーモデルは、基礎的な方法論的貢献です（Sweeney, 2002; Machanavajjhala et al., 2007; Dwork et al., 2006）。実証研究は、再識別化が特定の条件下で依然として可能であることを示しており（Rocher et al., 2019）、連合学習のような分散型アプローチの継続的な開発を促しています（Rieke et al., 2020）。非識別化に関する規制基準（例えば、HIPAAセーフハーバーおよび専門家判断法）は、公式規則で別途定義されており、コンプライアンス目的で直接参照されるべきです。

History

統計的開示制限は公式統計において長い歴史がありますが、詳細な電子記録や公開データセットが普及するにつれて、医療データの非識別化は緊急性を増しました。Sweeneyのk-匿名性（2002）は、この分野に影響力のある形式モデルをもたらし、一見無害な属性の組み合わせがいかにして匿名であるとされた記録を再識別しうるかを有名に示しました。l-多様性（2007）のようなその後の改良は、その限界に対処し、差分プライバシー（2006）は、プライバシーを公開されたデータセットの特性ではなく、分析の特性として再定義しました。より最近の研究では、永続的な再識別化リスクが強調され（2019）、分散型分析手法が開発されています（2020）。

Debates

非識別化された医療データは、安全に匿名であるとみなせるのか？

一部の意見では、慎重な非識別化により再識別化は実際には無視できるレベルになると主張されるが、他の研究では、不完全なデータセットであっても再識別化が成功しうることを示しており、匿名性は固定された保証ではなく、程度の問題であり文脈に依存することを示唆している。

Seminal works

• sweeney-2002
• dwork-2006
• machanavajjhala-2007

Frequently asked questions

k-匿名性と差分プライバシーの違いは何ですか？

k-匿名性は、公開されたデータセットの特性であり、各レコードが準識別子に関して少なくともk-1個の他のレコードと区別できないことを保証します。差分プライバシーは、分析または公開メカニズムの特性であり、調整されたノイズを加えることで、個々の個人の存在が結果に与える影響の度合いを制限します。これらは異なる方法でプライバシーを保護し、異なる目的で使用されます。

非識別化は再識別化のリスクを完全に排除しますか？

いいえ。非識別化はリスクを低減しますが、常に排除するわけではありません。研究により、非識別化されたデータセットや不完全なデータセットから個人が再識別される場合があることが示されているため、残存リスクはゼロであると仮定するのではなく、評価し管理する必要があります。