تقنيات إخفاء هوية البيانات: شرح بالأمثلة

أهم تقنيات إخفاء هوية البيانات هي الإخفاء الجزئي، والتعميم، والتجميع، والضوضاء، والتبديل، والترميز، والتسمية المستعارة، والتجزئة، إضافة إلى طريقتين لقياس النتيجة: k-anonymity والخصوصية التفاضلية. ولا تكفي أي منها وحدها. تقول الجهات الأوروبية المنظِّمة إن كل تقنية تترك قدرًا من خطر إعادة تحديد الهوية، وإن النتيجة لا تُعد مجهولة الهوية إلا حين لا يستطيع أحد، بشكل معقول، أن يعرف من يخصه السجل.

المعيار الذي تُقاس به كل تقنية

بموجب اللائحة العامة لحماية البيانات (GDPR) وUK GDPR، تقع المعلومات مجهولة الهوية خارج قانون حماية البيانات، وتقع البيانات الشخصية داخله. ويرسم الحيثية 26 الحد الفاصل: تؤخذ في الحسبان كل الوسائل «التي يُرجَّح بشكل معقول أن تُستخدم»، مثل التمييز الفردي، لتحديد هوية شخص بشكل مباشر أو غير مباشر. وتقول الحيثية نفسها إن البيانات ذات الأسماء المستعارة التي يمكن نسبتها إلى شخص بمعلومات إضافية تظل معلومات عن شخص قابل لتحديد هويته.

حوّلت الجهات الأوروبية المنظِّمة لحماية البيانات في ذلك الوقت، Article 29 Working Party، هذا المعيار إلى ثلاثة أسئلة في Opinion 05/2014 on Anonymisation Techniques ‏(WP216). هل لا يزال بإمكان أحد تمييز شخص واحد؟ أو ربط سجلين عن الشخص نفسه؟ أو استنتاج شيء عن شخص؟ ويخلص الرأي إلى أن كل تقنية يراجعها تخفق في سؤال واحد على الأقل من هذه الأسئلة في بعض الحالات، ولهذا تُجمع التقنيات معًا. وتتبنى إرشادات إخفاء الهوية والتسمية المستعارة الصادرة عن الجهة المنظِّمة البريطانية في 28 مارس 2025 النهج نفسه القائم على تقدير المخاطر.

إذا كنت تحتاج أولًا إلى الفرق بين إخفاء الهوية والتسمية المستعارة والحجب، فابدأ بمقال أيها تحتاج للذكاء الاصطناعي. أما هذا المقال فعن التقنيات كلٍّ على حدة.

السجل النموذجي

كل الأمثلة أدناه تبدأ من السجل المختلَق نفسه من ملف موارد بشرية:

آنا كوالسكي، مولودة في 12.03.1989 (37 عامًا)، 14 Elm Street، ليدز،
anna.kowalski@example.com، ممرضة، 12 يوم إجازة مرضية

تقنيات تحذف القيم أو تموّهها

الإخفاء الجزئي والحذف

يخفي الإخفاء الجزئي جزءًا من القيمة؛ أما الحذف فيزيل القيمة أو العمود أو السجل كله.

آ*** ك******، مولودة في **.**.1989، [حُذف العنوان]، ممرضة

إنه يحمي من التعريف المباشر. ويفسد كل ما يحتاج إلى القيمة المحذوفة، ولا يمكن عكسه من المخرجات. وما يتبقى قد يظل يشير إلى آنا: ليس من الصعب العثور على ممرضة مولودة في 1989 في جناح صغير. نادرًا ما يجعل الإخفاء الجزئي وحده البيانات مجهولة الهوية.

التعميم

يستبدل التعميم قيمة دقيقة بقيمة أوسع.

العمر 37 ← 30-39؛ 14 Elm Street، ليدز ← ليدز؛ ممرضة ← عاملة في القطاع الصحي

إنه يحمي من التمييز الفردي بجعل كثير من الناس متشابهين. ويفسد الدقة: لم يعد بإمكانك أن تقول من الأكبر سنًا. ولا يمكن عكسه. وكون النتيجة مجهولة الهوية يتوقف على عدد الأشخاص الذين يشتركون في كل تركيبة، وهذا ما تقيسه k-anonymity (انظر أدناه).

التجميع

ينشر التجميع مجاميع أو متوسطات بدلًا من الصفوف الفردية.

الجناح 4، 2025: 23 ممرضة وممرضًا، متوسط الإجازة المرضية 9.4 يوم

إنه يحمي الأفراد ما دامت كل مجموعة كبيرة. ويفسد كل سؤال عن شخص واحد. ومع مجموعة من شخص أو شخصين، يكشف المتوسط رقم الفرد، لذلك تُحذف الخلايا الصغيرة عادةً.

الضوضاء (التشويش)

تغيّر الضوضاء القيم قليلًا بشكل عشوائي.

العمر 37 ← 39؛ الإجازة المرضية 12 يومًا ← 10 أيام

إنها تُبقي الإحصاءات صحيحة تقريبًا وتجعل كل قيمة غير موثوقة. وتفسد الأرقام الدقيقة. ويحذّر WP216 من أن الضوضاء ليست طريقة مستقلة لإخفاء الهوية ما لم تطغَ على المعلومات: فالقيمة الشاذة، مثل الشخص الوحيد الذي أخذ 90 يومًا من الإجازة، تظل قابلة للتعرف.

التبديل (التبديل التبادلي)

يتبادل التبديل القيم بين السجلات، فيحتفظ كل عمود بمجاميعه، لكن الصفوف لم تعد تخص شخصًا واحدًا.

أيام إجازة آنا الـ 12 ↔ أيام ممرضة أخرى الـ 3

إنه يحمي من ربط قيمة بشخص. ويفسد العلاقات بين الأعمدة، ويبيّن WP216 أنه يخفق حين تكون القيم المبدّلة مرتبطة بأعمدة أخرى: راتب مدير منقول إلى مسمى وظيفي مبتدئ يلفت النظر.

تقنيات تستبدل المعرّفات

الترميز

يستبدل الترميز المعرّف برمز عشوائي، ويحتفظ بالربط في جدول منفصل ومحمي.

anna.kowalski@example.com ← TKN-8F3K2Q

يشير ICO إلى أن الرمز العشوائي لا تربطه علاقة رياضية بالأصل، فالرمز وحده لا يكشف شيئًا. ويمكن عكسه لمن يملك الجدول، ولهذا تظل النتيجة بيانات شخصية بالنسبة إليه.

التسمية المستعارة برموز نائبة ثابتة

يحصل كل شخص أو شركة أو عنوان على رمز نائب مقروء، وتحصل القيمة نفسها دائمًا على الرمز نفسه.

Person_1، مولودة في [Date_1]، [Address_1]، ممرضة.
طلبت Person_1 من Person_2 الموافقة على الإجازة.

إنها تخفي المعرّفات المباشرة وتُبقي من فعل ماذا مقروءًا، وهذا مهم في النصوص. ويبقى منطق المستند سليمًا. ويمكن عكسها بجدول الربط، وبموجب الحيثية 26 تظل بيانات شخصية. ومسألة من يحمل المفتاح مشروحة بالتفصيل في مقالنا عن هل تظل البيانات ذات الأسماء المستعارة بيانات شخصية.

التجزئة

تمرّر التجزئة القيمة عبر دالة أحادية الاتجاه وتحتفظ بالمخرجات.

anna.kowalski@example.com ← 3f9a…c71e (SHA-256)

تبدو غير قابلة للعكس، لكنها في الأسماء وعناوين البريد الإلكتروني ليست كذلك في الغالب. فكل من لديه قائمة بالقيم المحتملة يستطيع تجزئة كل منها والمقارنة: فعدد أسماء الموظفين أو عناوين الشركات محدود. ويطرح WP216 هذه النقطة بشأن نطاقات المدخلات المعروفة، وينصح ICO بعدم التجزئة دون salt أو pepper أو مفتاح، وبعدم استخدام خوارزميات قديمة مثل MD5 وSHA-1، لأنها عرضة لهجمات التخمين الشامل. التجزئة بمفتاح تسمية مستعارة؛ أما التجزئة العادية لبريد إلكتروني فبالكاد تكون كذلك.

k-anonymity والخصوصية التفاضلية

هاتان ليستا طريقتين لتغيير قيمة. إنهما طريقتان للتحقق من مدى حماية مجموعة بيانات كاملة، أو لضمانها.

k-anonymity تعني أن كل تركيبة من السمات التعريفية (الفئة العمرية، والمدينة، والوظيفة) يشترك فيها k سجلات على الأقل. مع k = 5 تختبئ آنا بين خمسة أشخاص على الأقل يبدون متشابهين. لكنها لا تمنع الاستنتاج: إذا كان كل العاملين الخمسة في القطاع الصحي الذين تتراوح أعمارهم بين 30 و39 في ليدز قد أخذوا أكثر من عشرة أيام إجازة، فأنت تعرف ذلك عن آنا. وتضيف l-diversity قاعدة تقضي بأن تحتوي كل مجموعة على l قيم مختلفة على الأقل من السمة الحساسة.

تعمل الخصوصية التفاضلية على الإجابات لا على الصفوف. تُضاف ضوضاء إلى كل إحصاء منشور، معايَرة بحيث تكاد الإجابة لا تتغير سواء كان شخص بعينه ضمن البيانات أم لا. وتُضبط الحماية بمعامل، وكلما قويت الحماية قلّت دقة الأرقام. وقد استخدمها مكتب التعداد الأمريكي في منتجات بيانات تعداد 2020، باستثناء مجاميع الولايات المستخدمة في توزيع المقاعد. وهي تناسب الإحصاءات؛ ولا تفيد شيئًا في مستند يحتاج أحد إلى قراءته.

في الجداول، تتولى الأدوات هذا القياس عنك. ARX، وهي أداة سطح مكتب ومكتبة Java مجانية ومفتوحة المصدر (ترخيص Apache 2.0، الإصدار 3.9.2 حتى أكتوبر 2026)، تطبق التعميم والحذف والتجميع الجزئي على البيانات المهيكلة وتتحقق من النتيجة مقابل k-anonymity وl-diversity وt-closeness والخصوصية التفاضلية. كما تقدّر خطر إعادة تحديد الهوية المتبقي. وهي مصممة لمجموعات بيانات مثل ملفات CSV وجداول Excel وجداول قواعد البيانات، لا للعقود أو الرسائل.

كل التقنيات جنبًا إلى جنب

معظم الصفوف تقول «يتوقف» لأن كون مجموعة البيانات مجهولة الهوية يُحكم عليه للمجموعة كلها في سياقها، لا لكل تقنية على حدة. ولكل ما تنوي نشره أو مشاركته على أنه مجهول الهوية، اسأل مسؤول حماية البيانات أو محاميًا متخصصًا في حماية البيانات.

أي التقنيات تناسب المستندات التي تعطيها للذكاء الاصطناعي

مجموعة البيانات المخصصة للإحصاء والمستند المخصص لروبوت محادثة يحتاجان إلى أمرين متعاكسين. الإحصاءات تحتاج إلى صفوف كثيرة ولا أفراد؛ والتجميع والتعميم وk-anonymity والخصوصية التفاضلية مصممة لذلك. أما العقد أو سلسلة الرسائل أو خطاب التظلم فيدور حول أشخاص بعينهم، وعلى الذكاء الاصطناعي أن يتتبعهم.

في المستندات، تؤدي ثلاث تقنيات معظم العمل:

• التسمية المستعارة برموز نائبة ثابتة للأسماء والشركات والعناوين ورسائل البريد الإلكتروني وأرقام الهوية. يبقى Person_1 هو Person_1 في النص كله، فيستطيع الذكاء الاصطناعي أن يعرف من كتب ماذا ومن مدين لمن. أما الأشرطة السوداء أو عبارة «[REDACTED]» الموحدة فتمحو ذلك؛ اطّلع على لماذا تعمل الرموز النائبة أفضل.
• التعميم للتواريخ والأماكن التي لا يحتاجها السؤال بدقة: «مارس 2025» بدلًا من يوم بعينه، و«مدينة في شمال إنجلترا» بدلًا من شارع.
• الحذف لكل ما لا يحتاجه السؤال إطلاقًا، مثل تفصيلة صحية في مستند لا تسأل فيه إلا عن مدد الإخطار.

لا مكان هنا للضوضاء والتبديل والخصوصية التفاضلية: تغيير الوقائع في المستند يجعل إجابة الذكاء الاصطناعي خاطئة. والتجزئة تحوّل الأسماء إلى سلاسل لا يستطيع أحد، بما في ذلك الذكاء الاصطناعي، قراءتها في سياقها.

النتيجة خاضعة للتسمية المستعارة، لذا تظل قواعد حماية البيانات سارية عليك. ما يتغير هو ما يغادر جهازك. وإذا كنت تختار برنامجًا لهذا الغرض، فإن قائمتنا لما تتحقق منه في أداة التسمية المستعارة تغطي أين تذهب البيانات وكيف تعود الأسماء.

الأسئلة الشائعة

ما أكثر تقنيات إخفاء هوية البيانات فعالية؟

لا توجد تقنية واحدة. فقد وجد WP216 أن كل تقنية راجعها تقصر عن واحد على الأقل من الاختبارات الثلاثة في بعض الحالات. وفي مجموعات البيانات الإحصائية، يعطي التعميم والحذف المقيسان بـ k-anonymity، أو الخصوصية التفاضلية، أقوى النتائج. أما في المستندات التي يجب أن يقرأها الذكاء الاصطناعي، فالتسمية المستعارة مع تعميم التواريخ والأماكن هي الخيار العملي، وهي ليست إخفاءً للهوية.

هل تكفي تجزئة عنوان بريد إلكتروني لإخفاء هويته؟

لا. فعناوين البريد الإلكتروني تتبع أنماطًا متوقعة، ويستطيع المهاجم تجزئة قائمة بالعناوين المحتملة ومطابقة النتائج. التجزئة بمفتاح أو الرمز العشوائي أكثر أمانًا، وكلاهما يظل تسمية مستعارة لا إخفاءً للهوية.

ما أدوات إخفاء هوية البيانات للجداول؟

ARX مثال مجاني ومفتوح المصدر: تحمّل ملف CSV أو Excel أو جدول قاعدة بيانات، وتضع قواعد للتعميم والحذف، وتختار نموذج خصوصية مثل k-anonymity، فتبلغك بالخطر المتبقي. أدوات من هذا النوع تعمل على الأعمدة والصفوف، لا على النص المتصل.

هل تخضع البيانات مجهولة الهوية للائحة العامة لحماية البيانات؟

البيانات المجهولة الهوية حقًا لا تخضع لها، وفقًا للحيثية 26. أما البيانات ذات الأسماء المستعارة فتخضع. والجزء الصعب هو إثبات أن أحدًا لا يستطيع بشكل معقول إعادة تحديد هوية البيانات، ولهذا تعامل الجهات المنظِّمة إخفاء الهوية كتقدير للمخاطر لا كخطوة واحدة.

يطبق ClientSafe التسمية المستعارة على المستندات على جهازك: يستبدل الأسماء والشركات والعناوين وأرقام الهاتف وعناوين البريد الإلكتروني وأرقام الحسابات والهويات وتواريخ الميلاد برموز نائبة مثل Person_1، ويُبقي الرمز النائب نفسه للاسم نفسه في كل مستندات القضية. الاكتشاف ليس مثاليًا، لذا راجع القائمة قبل النسخ.