Επεξήγηση τεχνικών ανωνυμοποίησης δεδομένων με παραδείγματα

Οι κύριες τεχνικές ανωνυμοποίησης δεδομένων είναι η απόκρυψη, η γενίκευση, η συγκέντρωση δεδομένων, ο θόρυβος, η ανταλλαγή τιμών, η διακριτοποίηση, η ψευδωνυμοποίηση και ο κατακερματισμός, καθώς και δύο τρόποι μέτρησης του αποτελέσματος: η k-ανωνυμία και η διαφορική ιδιωτικότητα. Καμία τους δεν αρκεί από μόνη της. Οι ευρωπαϊκές ρυθμιστικές αρχές αναφέρουν ότι κάθε τεχνική αφήνει κάποιον κίνδυνο επαναταυτοποίησης και ότι το αποτέλεσμα θεωρείται ανώνυμο μόνο όταν κανείς δεν μπορεί ευλόγως να εξακριβώσει σε ποιον αφορά ένα αρχείο.

Το κριτήριο με βάση το οποίο αξιολογείται κάθε τεχνική

Βάσει του ΓΚΠΔ της ΕΕ και του ΓΚΠΔ του Ηνωμένου Βασιλείου, οι ανώνυμες πληροφορίες δεν υπόκεινται στη νομοθεσία περί προστασίας δεδομένων, ενώ τα προσωπικά δεδομένα υπόκεινται. Η αιτιολογική σκέψη 26 ορίζει τη διαχωριστική γραμμή: λαμβάνετε υπόψη όλα τα μέσα «που είναι ευλόγως πιθανό να χρησιμοποιηθούν», όπως η δυνατότητα απομόνωσης ενός ατόμου, για την άμεση ή έμμεση ταυτοποίησή του. Η ίδια αιτιολογική σκέψη αναφέρει ότι τα ψευδωνυμοποιημένα δεδομένα, τα οποία μπορούν να αποδοθούν σε ένα πρόσωπο με τη χρήση πρόσθετων πληροφοριών, εξακολουθούν να είναι πληροφορίες που αφορούν ταυτοποιήσιμο πρόσωπο.

Οι ευρωπαϊκές αρχές προστασίας δεδομένων της εποχής, η Ομάδα Εργασίας του άρθρου 29, το διατύπωσαν ως τρία ερωτήματα στη Γνώμη 05/2014 σχετικά με τις Τεχνικές Ανωνυμοποίησης (WP216). Μπορεί κάποιος να απομονώσει ακόμη ένα πρόσωπο; Να συνδέσει δύο αρχεία που αφορούν το ίδιο πρόσωπο; Να συναγάγει κάτι για ένα πρόσωπο; Η γνώμη καταλήγει ότι κάθε τεχνική που εξετάζει αποτυγχάνει τουλάχιστον σε ένα από αυτά τα ερωτήματα σε ορισμένες περιπτώσεις, γι’ αυτό και συνδυάζονται τεχνικές. Οι οδηγίες της ρυθμιστικής αρχής του Ηνωμένου Βασιλείου για την ανωνυμοποίηση και την ψευδωνυμοποίηση, που δημοσιεύτηκαν στις 28 Μαρτίου 2025, ακολουθούν την ίδια προσέγγιση βάσει κινδύνου.

Αν χρειάζεστε πρώτα να κατανοήσετε τη διαφορά ανάμεσα στην ανωνυμοποίηση, την ψευδωνυμοποίηση και τη διαγραφή προσωπικών στοιχείων, ξεκινήστε από το ποια από αυτές χρειάζεστε για την τεχνητή νοημοσύνη. Αυτό το άρθρο αφορά τις επιμέρους τεχνικές.

Το ενδεικτικό αρχείο

Όλα τα παρακάτω παραδείγματα ξεκινούν από το ίδιο φανταστικό αρχείο προσωπικού:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Τεχνικές που αφαιρούν ή θολώνουν τιμές

Απόκρυψη και απαλοιφή

Η απόκρυψη καλύπτει μέρος μιας τιμής· η απαλοιφή διαγράφει την τιμή, τη στήλη ή ολόκληρο το αρχείο.

A***** K*******, born **.**.1989, [address removed], staff nurse

Προστατεύει από την άμεση ταυτοποίηση. Αλλοιώνει οτιδήποτε χρειάζεται την τιμή που αφαιρέθηκε και δεν είναι αναστρέψιμη με βάση το αποτέλεσμα. Ό,τι παραμένει μπορεί και πάλι να παραπέμπει στην Άννα: δεν είναι δύσκολο να εντοπιστεί σε μια μικρή πτέρυγα μια νοσηλεύτρια που γεννήθηκε το 1989. Η απόκρυψη από μόνη της σπάνια καθιστά τα δεδομένα ανώνυμα.

Γενίκευση

Η γενίκευση αντικαθιστά μια ακριβή τιμή με μια ευρύτερη.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Προστατεύει από την απομόνωση ατόμων, κάνοντας πολλά άτομα να μοιάζουν μεταξύ τους. Αλλοιώνει την ακρίβεια: δεν μπορείτε πλέον να πείτε ποιος είναι μεγαλύτερος σε ηλικία. Δεν είναι αναστρέψιμη. Το αν το αποτέλεσμα είναι ανώνυμο εξαρτάται από το πόσα άτομα έχουν κάθε συνδυασμό χαρακτηριστικών· αυτό μετρά η k-ανωνυμία (βλ. παρακάτω).

Συγκέντρωση δεδομένων

Η συγκέντρωση δεδομένων δημοσιεύει σύνολα ή μέσους όρους αντί για μεμονωμένες εγγραφές.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Προστατεύει τα άτομα, εφόσον κάθε ομάδα είναι μεγάλη. Αλλοιώνει κάθε ερώτημα που αφορά ένα μεμονωμένο άτομο. Αν μια ομάδα έχει ένα ή δύο άτομα, ο μέσος όρος αποκαλύπτει την τιμή του ατόμου, γι’ αυτό συνήθως αποκρύπτονται οι μικρές ομάδες δεδομένων.

Θόρυβος (διατάραξη)

Ο θόρυβος μεταβάλλει ελαφρώς τις τιμές με τυχαίο τρόπο.

age 37 → 39; sick leave 12 days → 10 days

Διατηρεί τις στατιστικές κατά προσέγγιση σωστές, ενώ καθιστά αναξιόπιστη κάθε μεμονωμένη τιμή. Καταστρέφει την ακρίβεια των αριθμών. Η WP216 προειδοποιεί ότι, αν ο θόρυβος δεν υπερβαίνει την πληροφορία, δεν αποτελεί αυτόνομη μέθοδο ανωνυμοποίησης: μια ακραία τιμή, όπως το μοναδικό άτομο με άδεια 90 ημερών, παραμένει αναγνωρίσιμη.

Ανταλλαγή (μετάθεση)

Η ανταλλαγή μεταφέρει τιμές από τη μία εγγραφή στην άλλη, ώστε κάθε στήλη να διατηρεί τα σύνολά της, αλλά οι γραμμές να μην αντιστοιχούν πλέον σε ένα συγκεκριμένο άτομο.

Anna's 12 days of leave ↔ another nurse's 3 days

Προστατεύει από τη σύνδεση μιας τιμής με ένα άτομο. Καταστρέφει τις σχέσεις μεταξύ στηλών, και η WP216 δείχνει ότι αποτυγχάνει όταν οι τιμές που ανταλλάσσονται συνδέονται με άλλες στήλες: ο μισθός ενός διευθυντή που μεταφέρεται σε έναν κατώτερο επαγγελματικό τίτλο ξεχωρίζει.

Τεχνικές που αντικαθιστούν αναγνωριστικά

Τοκενοποίηση

Η τοκενοποίηση αντικαθιστά ένα αναγνωριστικό με ένα τυχαίο διακριτικό και διατηρεί τη σύνδεση σε ξεχωριστό, προστατευμένο πίνακα.

anna.kowalski@example.com → TKN-8F3K2Q

Το ICO σημειώνει ότι ένα τυχαίο διακριτικό δεν έχει μαθηματική σχέση με το αρχικό, επομένως το διακριτικό από μόνο του δεν αποκαλύπτει τίποτα. Είναι αναστρέψιμο για όποιον έχει τον πίνακα, και γι’ αυτό το αποτέλεσμα εξακολουθεί να αποτελεί προσωπικά δεδομένα για εκείνον.

Ψευδωνυμοποίηση με σταθερά υποκατάστατα

Κάθε άτομο, εταιρεία ή διεύθυνση λαμβάνει ένα ευανάγνωστο υποκατάστατο, και η ίδια τιμή λαμβάνει πάντα το ίδιο.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Κρύβει τα άμεσα αναγνωριστικά και διατηρεί ευανάγνωστο το ποιος έκανε τι, κάτι που έχει σημασία για το κείμενο. Η λογική του εγγράφου διατηρείται. Είναι αναστρέψιμη με τη χρήση της αντιστοίχισης και, βάσει της αιτιολογικής σκέψης 26, τα δεδομένα παραμένουν προσωπικά. Το ζήτημα του κατόχου του κλειδιού αναλύεται στο άρθρο μας για το αν τα ψευδωνυμοποιημένα δεδομένα εξακολουθούν να είναι προσωπικά δεδομένα.

Κατακερματισμός

Ο κατακερματισμός περνά μια τιμή από μια μονόδρομη συνάρτηση και διατηρεί το αποτέλεσμα.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Φαίνεται μη αναστρέψιμος, αλλά για ονόματα και διευθύνσεις ηλεκτρονικού ταχυδρομείου συχνά δεν είναι. Όποιος διαθέτει κατάλογο πιθανών τιμών μπορεί να κατακερματίσει καθεμία και να συγκρίνει τα αποτελέσματα: τα ονόματα των εργαζομένων ή οι διευθύνσεις εταιρειών είναι περιορισμένα. Η WP216 επισημαίνει αυτό το ζήτημα για γνωστά εύρη εισόδου, και το ICO συνιστά να αποφεύγεται ο κατακερματισμός χωρίς salt, pepper ή κλειδί, καθώς και η χρήση παρωχημένων αλγορίθμων όπως οι MD5 και SHA-1, επειδή είναι ευάλωτοι σε επιθέσεις ωμής βίας. Ο κατακερματισμός με κλειδί αποτελεί ψευδωνυμοποίηση· ένας απλός κατακερματισμός διεύθυνσης ηλεκτρονικού ταχυδρομείου μόλις που μπορεί να θεωρηθεί τέτοια.

k-ανωνυμία και διαφορική ιδιωτικότητα

Αυτές δεν είναι μέθοδοι αλλαγής μιας τιμής. Είναι μέθοδοι ελέγχου ή διασφάλισης του βαθμού προστασίας ενός ολόκληρου συνόλου δεδομένων.

k-ανωνυμία σημαίνει ότι κάθε συνδυασμός χαρακτηριστικών ταυτοποίησης (ηλικιακή ομάδα, πόλη, επάγγελμα) εμφανίζεται σε τουλάχιστον k εγγραφές. Με k = 5, η Άννα δεν ξεχωρίζει ανάμεσα σε τουλάχιστον πέντε άτομα με τα ίδια χαρακτηριστικά. Δεν αποτρέπει την εξαγωγή συμπερασμάτων: αν και οι πέντε εργαζόμενοι στον τομέα της υγείας ηλικίας 30 έως 39 ετών στο Λιντς είχαν περισσότερες από δέκα ημέρες άδειας, μαθαίνετε ότι το ίδιο ισχύει για την Άννα. l-ποικιλομορφία προσθέτει έναν κανόνα σύμφωνα με τον οποίο κάθε ομάδα πρέπει να περιλαμβάνει τουλάχιστον l διαφορετικές τιμές του ευαίσθητου χαρακτηριστικού.

Διαφορική ιδιωτικότητα εφαρμόζεται στις απαντήσεις και όχι στις γραμμές. Σε κάθε δημοσιευμένο στατιστικό στοιχείο προστίθεται θόρυβος, ο οποίος ρυθμίζεται έτσι ώστε η απάντηση να αλλάζει ελάχιστα, είτε ένα συγκεκριμένο άτομο περιλαμβάνεται στα δεδομένα είτε όχι. Το επίπεδο προστασίας καθορίζεται από μια παράμετρο, και ισχυρότερη προστασία σημαίνει λιγότερο ακριβή στοιχεία. Το Γραφείο Απογραφής των ΗΠΑ τη χρησιμοποίησε στα προϊόντα δεδομένων της Απογραφής του 2020 με εξαίρεση τα σύνολα ανά πολιτεία που χρησιμοποιήθηκαν για την κατανομή των εδρών. Είναι κατάλληλη για στατιστικές· δεν βοηθά σε ένα έγγραφο που πρέπει να διαβάσει κάποιος.

Για τους πίνακες, τα εργαλεία κάνουν αυτές τις μετρήσεις για εσάς. ARXένα δωρεάν εργαλείο επιτραπέζιου υπολογιστή και βιβλιοθήκη Java ανοιχτού κώδικα (άδεια Apache 2.0, έκδοση 3.9.2 τον Οκτώβριο του 2026), εφαρμόζει γενίκευση, απόκρυψη και μικροσυνάθροιση σε δομημένα δεδομένα και ελέγχει το αποτέλεσμα ως προς την k-ανωνυμία, την l-ποικιλομορφία, την t-εγγύτητα και τη διαφορική ιδιωτικότητα. Εκτιμά επίσης τον εναπομένοντα κίνδυνο επαναταυτοποίησης. Έχει σχεδιαστεί για σύνολα δεδομένων όπως αρχεία CSV, υπολογιστικά φύλλα Excel και πίνακες βάσεων δεδομένων, όχι για συμβάσεις ή επιστολές.

Όλες οι τεχνικές, συγκριτικά

Οι περισσότερες γραμμές γράφουν «εξαρτάται», επειδή το αν ένα σύνολο δεδομένων είναι ανώνυμο κρίνεται για το σύνολο στο πλαίσιο χρήσης του και όχι ανά τεχνική. Για οτιδήποτε σκοπεύετε να δημοσιεύσετε ή να κοινοποιήσετε ως ανώνυμο, συμβουλευτείτε τον ΥΠΔ σας ή δικηγόρο ειδικευμένο στην προστασία δεδομένων.

Ποιες τεχνικές είναι κατάλληλες για έγγραφα που δίνετε σε τεχνητή νοημοσύνη

Ένα σύνολο δεδομένων για στατιστική ανάλυση και ένα έγγραφο για ένα chatbot τεχνητής νοημοσύνης χρειάζονται αντίθετα πράγματα. Οι στατιστικές χρειάζονται πολλές γραμμές και κανένα συγκεκριμένο άτομο· η συνάθροιση, η γενίκευση, η k-ανωνυμία και η διαφορική ιδιωτικότητα έχουν σχεδιαστεί γι’ αυτό. Μια σύμβαση, μια αλληλογραφία ηλεκτρονικού ταχυδρομείου ή μια επιστολή καταγγελίας αφορά συγκεκριμένα άτομα, και η τεχνητή νοημοσύνη πρέπει να μπορεί να τα παρακολουθεί.

Για τα έγγραφα, τρεις τεχνικές κάνουν το μεγαλύτερο μέρος της δουλειάς:

• Ψευδωνυμοποίηση με σταθερά υποκατάστατα για ονόματα, εταιρείες, διευθύνσεις, διευθύνσεις ηλεκτρονικού ταχυδρομείου και αριθμούς ταυτότητας. Το Person_1 παραμένει Person_1 σε ολόκληρο το κείμενο, ώστε η τεχνητή νοημοσύνη να μπορεί να καταλάβει ποιος έγραψε τι και ποιος οφείλει σε ποιον. Οι μαύρες γραμμές ή ένα ενιαίο «[ΑΠΑΛΕΙΦΘΗΚΕ]» τα σβήνουν αυτά· δείτε γιατί τα υποκατάστατα λειτουργούν καλύτερα.
• Γενίκευση ημερομηνιών και τοποθεσιών που δεν χρειάζεται να είναι ακριβείς για το ερώτημα: «Μάρτιος 2025» αντί για συγκεκριμένη ημέρα, «μια πόλη στη βόρεια Αγγλία» αντί για οδό.
• Καταστολή όσων δεν χρειάζεται καθόλου το ερώτημα, όπως μια λεπτομέρεια για την υγεία σε ένα έγγραφο για το οποίο ρωτάτε μόνο σχετικά με τις προθεσμίες προειδοποίησης.

Ο θόρυβος, η ανταλλαγή και η διαφορική ιδιωτικότητα δεν έχουν θέση εδώ: η αλλαγή γεγονότων σε ένα έγγραφο οδηγεί σε λανθασμένη απάντηση από την τεχνητή νοημοσύνη. Ο κατακερματισμός μετατρέπει τα ονόματα σε συμβολοσειρές που κανείς, ούτε καν η τεχνητή νοημοσύνη, δεν μπορεί να διαβάσει μέσα στο πλαίσιο.

Το αποτέλεσμα είναι ψευδωνυμοποιημένο, επομένως οι κανόνες προστασίας δεδομένων εξακολουθούν να ισχύουν για εσάς. Αυτό που αλλάζει είναι τα δεδομένα που φεύγουν από τον υπολογιστή σας. Αν επιλέγετε λογισμικό γι’ αυτό, η λίστα ελέγχου μας για το τι πρέπει να αναζητάτε σε ένα εργαλείο ψευδωνυμοποίησης καλύπτει το πού πηγαίνουν τα δεδομένα και πώς επανέρχονται τα ονόματα.

Συχνές ερωτήσεις

Ποια είναι η αποτελεσματικότερη τεχνική ανωνυμοποίησης δεδομένων;

Δεν υπάρχει μία και μοναδική. Η WP216 διαπίστωσε ότι κάθε τεχνική που εξέτασε υστερεί, σε ορισμένες περιπτώσεις, σε τουλάχιστον ένα από τα τρία κριτήρια. Για στατιστικά σύνολα δεδομένων, η γενίκευση και η καταστολή που αξιολογούνται με βάση την k-ανωνυμία, ή η διαφορική ιδιωτικότητα, προσφέρουν τα ισχυρότερα αποτελέσματα. Για έγγραφα που πρέπει να διαβάσει μια τεχνητή νοημοσύνη, η πρακτική επιλογή είναι η ψευδωνυμοποίηση με γενίκευση ημερομηνιών και τοποθεσιών, και αυτό δεν είναι ανωνυμοποίηση.

Αρκεί ο κατακερματισμός μιας διεύθυνσης ηλεκτρονικού ταχυδρομείου για να ανωνυμοποιηθεί;

Όχι. Οι διευθύνσεις ηλεκτρονικού ταχυδρομείου ακολουθούν προβλέψιμα μοτίβα, επομένως ένας επιτιθέμενος μπορεί να κατακερματίσει έναν κατάλογο πιθανών διευθύνσεων και να αντιστοιχίσει τα αποτελέσματα. Ένας κατακερματισμός με κλειδί ή ένα τυχαίο διακριτικό είναι ασφαλέστερα, αλλά και τα δύο εξακολουθούν να αποτελούν ψευδωνυμοποίηση και όχι ανωνυμοποίηση.

Τι εργαλεία ανωνυμοποίησης δεδομένων υπάρχουν για πίνακες;

Το ARX είναι ένα δωρεάν παράδειγμα ανοιχτού κώδικα: φορτώνετε ένα αρχείο CSV, Excel ή έναν πίνακα βάσης δεδομένων, ορίζετε κανόνες γενίκευσης και καταστολής, επιλέγετε ένα μοντέλο ιδιωτικότητας όπως η k-ανωνυμία και το εργαλείο αναφέρει τον εναπομένοντα κίνδυνο. Αυτού του είδους τα εργαλεία λειτουργούν σε στήλες και γραμμές, όχι σε συνεχές κείμενο.

Υπάγονται τα ανωνυμοποιημένα δεδομένα στον GDPR;

Τα πραγματικά ανώνυμα δεδομένα δεν υπάγονται, σύμφωνα με την αιτιολογική σκέψη 26. Τα ψευδωνυμοποιημένα δεδομένα υπάγονται. Το δύσκολο είναι να αποδειχθεί ότι κανείς δεν μπορεί εύλογα να επαναταυτοποιήσει τα δεδομένα, γι’ αυτό οι ρυθμιστικές αρχές αντιμετωπίζουν την ανωνυμοποίηση ως αξιολόγηση κινδύνου και όχι ως ένα μεμονωμένο βήμα.

ClientSafe ψευδωνυμοποιεί έγγραφα στον υπολογιστή σας: αντικαθιστά ονόματα, εταιρείες, διευθύνσεις, αριθμούς τηλεφώνου, διευθύνσεις ηλεκτρονικού ταχυδρομείου, αριθμούς λογαριασμών και ταυτότητας, καθώς και ημερομηνίες γέννησης, με υποκατάστατα όπως το Person_1, και διατηρεί το ίδιο υποκατάστατο για το ίδιο όνομα σε όλα τα έγγραφα μιας υπόθεσης. Ο εντοπισμός δεν είναι τέλειος, γι’ αυτό ελέγξτε τη λίστα πριν την αντιγράψετε.