उदाहरणों के साथ डेटा अनामकरण की तकनीकें समझाई गईं

डेटा अनाम करने की मुख्य तकनीकें हैं मास्किंग, सामान्यीकरण, एकत्रीकरण, नॉइज़, अदला-बदली, टोकनाइज़ेशन, छद्मनामकरण और हैशिंग; साथ ही नतीजे को मापने के दो तरीके हैं: k-anonymity और differential privacy। इनमें से कोई भी तकनीक अकेले पर्याप्त नहीं है। यूरोपीय नियामक कहते हैं कि हर तकनीक में दोबारा पहचान का कुछ जोखिम रहता है, और नतीजे को तभी अनाम माना जाता है जब कोई भी उचित रूप से यह पता न लगा सके कि रिकॉर्ड किस व्यक्ति के बारे में है।

वह कसौटी जिस पर हर तकनीक को परखा जाता है

GDPR और UK GDPR के तहत, अनाम जानकारी डेटा संरक्षण कानून के दायरे से बाहर होती है, जबकि व्यक्तिगत डेटा उसके दायरे में आता है। Recital 26 सीमा तय करता है: उन सभी तरीकों को ध्यान में रखा जाता है जिनका इस्तेमाल “उचित रूप से किए जाने की संभावना है”, जैसे किसी व्यक्ति को अलग से पहचानना, ताकि उसे सीधे या अप्रत्यक्ष रूप से पहचाना जा सके। इसी रीसाइटल में यह भी कहा गया है कि अतिरिक्त जानकारी से किसी व्यक्ति से जोड़े जा सकने वाले छद्मनामित डेटा में अब भी किसी पहचाने जा सकने वाले व्यक्ति से जुड़ी जानकारी होती है।

उस समय के EU डेटा संरक्षण नियामक, Article 29 Working Party, ने अपनी Opinion 05/2014 on Anonymisation Techniques (WP216) में इसे तीन सवालों के रूप में रखा। क्या कोई अब भी एक व्यक्ति को अलग से पहचान सकता है? एक ही व्यक्ति के बारे में दो रिकॉर्ड जोड़ सकता है? किसी व्यक्ति के बारे में कुछ निष्कर्ष निकाल सकता है? राय का निष्कर्ष है कि समीक्षा की गई हर तकनीक कुछ परिस्थितियों में इनमें से कम-से-कम एक सवाल पर खरी नहीं उतरती, इसलिए तकनीकों को मिलाकर इस्तेमाल किया जाता है। UK नियामक की अनामकरण और छद्मनामकरण संबंधी गाइडेंस—जो 28 मार्च 2025 को प्रकाशित हुई—भी यही जोखिम-आधारित दृष्टिकोण अपनाती है।

अगर पहले आपको अनामकरण, छद्मनामकरण और संपादन के बीच का अंतर समझना है, तो शुरुआत करें AI के लिए इनमें से किसकी ज़रूरत हैसे। यह लेख अलग-अलग तकनीकों के बारे में है।

नमूना रिकॉर्ड

नीचे दिए गए सभी उदाहरण HR फ़ाइल के इसी काल्पनिक रिकॉर्ड से शुरू होते हैं:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

वे तकनीकें जो मान हटाती या धुंधले करती हैं

मास्किंग और छिपाना

मास्किंग किसी मान का कुछ हिस्सा छिपाती है; छिपाने की प्रक्रिया में मान, कॉलम या पूरा रिकॉर्ड मिटा दिया जाता है।

A***** K*******, born **.**.1989, [address removed], staff nurse

यह सीधे पहचान होने से बचाता है। हटाए गए मान पर निर्भर हर काम प्रभावित होता है, और आउटपुट से उसे वापस नहीं पाया जा सकता। फिर भी जो जानकारी बचती है उससे अन्ना की पहचान हो सकती है: 1989 में जन्मी स्टाफ़ नर्स को छोटे वार्ड में ढूँढ़ना मुश्किल नहीं है। केवल मास्किंग करने से डेटा शायद ही कभी अनाम बनता है।

सामान्यीकरण

सामान्यीकरण सटीक मान की जगह एक व्यापक मान रखता है।

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

यह कई लोगों को एक जैसा दिखाकर अलग-अलग पहचानने का जोखिम घटाता है। इससे सटीकता कम हो जाती है: आप यह नहीं बता सकते कि कौन बड़ा है। इसे उलटकर मूल मान नहीं पाया जा सकता। नतीजा अनाम है या नहीं, यह इस बात पर निर्भर करता है कि हर संयोजन कितने लोगों में समान है—इसी को k-anonymity मापता है (नीचे देखें)।

एकत्रीकरण

एकत्रीकरण व्यक्तिगत पंक्तियों के बजाय कुल या औसत आँकड़े प्रकाशित करता है।

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

जब तक हर समूह बड़ा है, यह व्यक्तियों की रक्षा करता है। इससे किसी एक व्यक्ति के बारे में पूछे जाने वाले हर सवाल का जवाब नहीं मिल पाता। अगर समूह में एक या दो ही लोग हों, तो औसत से व्यक्ति का आँकड़ा पता चल सकता है, इसलिए छोटे समूहों के आँकड़े आमतौर पर दबा दिए जाते हैं।

नॉइज़ (मान में बदलाव)

शोर मानों को बेतरतीब ढंग से थोड़ा बदल देता है।

age 37 → 39; sick leave 12 days → 10 days

इससे आँकड़े मोटे तौर पर सही रहते हैं, जबकि हर मान अविश्वसनीय हो जाता है। सटीक आँकड़े बिगड़ जाते हैं। WP216 चेतावनी देता है कि जब तक शोर सूचना से अधिक न हो, शोर अपने-आप में गुमनामीकरण का तरीका नहीं है: कोई असामान्य मामला, जैसे छुट्टी के 90 दिन लेने वाला अकेला व्यक्ति, पहचानने योग्य बना रहता है।

अदला-बदली (परिवर्तनक्रम)

अदला-बदली में रिकॉर्डों के बीच मानों का विनिमय किया जाता है, इसलिए हर कॉलम का कुल योग वही रहता है, लेकिन पंक्तियाँ अब किसी एक व्यक्ति की नहीं रह जातीं।

Anna's 12 days of leave ↔ another nurse's 3 days

यह किसी मान को किसी व्यक्ति से जोड़ने से बचाता है। इससे कॉलमों के बीच संबंध टूट जाते हैं, और WP216 दिखाता है कि जब अदला-बदली किए गए मान दूसरे कॉलमों से जुड़े हों तो यह तरीका विफल हो जाता है: किसी कनिष्ठ पद पर प्रबंधक का वेतन असामान्य दिखाई देता है।

वे तकनीकें जो पहचानकर्ताओं की जगह कुछ और रखती हैं

टोकनाइज़ेशन

टोकनाइज़ेशन किसी पहचानकर्ता को एक बेतरतीब टोकन से बदलता है और उसका संबंध एक अलग, सुरक्षित तालिका में रखता है।

anna.kowalski@example.com → TKN-8F3K2Q

ICO बताता है कि किसी बेतरतीब टोकन का मूल मान से कोई गणितीय संबंध नहीं होता, इसलिए अकेला टोकन कुछ उजागर नहीं करता। जिस व्यक्ति के पास तालिका है, वह इसे उलट सकता है; इसीलिए उसके लिए यह अब भी व्यक्तिगत डेटा है।

एकसमान प्लेसहोल्डर के साथ छद्मनामकरण

हर व्यक्ति, कंपनी या पते को पढ़ने योग्य प्लेसहोल्डर दिया जाता है, और एक ही मान को हमेशा वही प्लेसहोल्डर मिलता है।

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

यह सीधे पहचान बताने वाले विवरण छिपाता है और यह पढ़ने योग्य रखता है कि किसने क्या किया—जो पाठ के लिए महत्त्वपूर्ण है। दस्तावेज़ का तर्क बरकरार रहता है। मैपिंग से इसे उलटा जा सकता है, और Recital 26 के तहत यह व्यक्तिगत डेटा बना रहता है। कुंजी किसके पास है, इस प्रश्न का विस्तृत उत्तर हमारे इस लेख में है: क्या छद्मनामित डेटा अब भी व्यक्तिगत डेटा है.

हैशिंग

हैशिंग किसी मान को एक-तरफ़ा फ़ंक्शन से गुज़ारकर उसका आउटपुट रखती है।

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

यह उलट न सकने योग्य लगता है, लेकिन नामों और ईमेल पतों के मामले में अक्सर ऐसा नहीं होता। संभावित मानों की सूची रखने वाला कोई भी व्यक्ति हर मान का हैश बनाकर उनकी तुलना कर सकता है: कर्मचारियों के नाम या कंपनी के पते सीमित संख्या में ही होते हैं। WP216 ज्ञात इनपुट सीमाओं के बारे में यह बात कहता है, और ICO सलाह देता है कि सॉल्ट, पेपर या कुंजी के बिना हैशिंग न करें, और MD5 तथा SHA-1 जैसे पुराने एल्गोरिदम का इस्तेमाल न करें, क्योंकि उन पर ब्रूट-फ़ोर्स हमले किए जा सकते हैं। कुंजीयुक्त हैश छद्मनामकरण है; किसी ईमेल का साधारण हैश मुश्किल से ही छद्मनामकरण कहा जा सकता है।

k-anonymity और differential privacy

ये किसी मान को बदलने के तरीके नहीं हैं। ये यह जाँचने या सुनिश्चित करने के तरीके हैं कि पूरा डेटासेट कितनी अच्छी तरह सुरक्षित है।

k-अनामिता का अर्थ है कि पहचान बताने वाले गुणों (आयु-समूह, शहर, नौकरी) का हर संयोजन कम-से-कम k रिकॉर्ड में साझा हो। k = 5 होने पर Anna कम-से-कम पाँच ऐसे लोगों के बीच छिप जाती है जो एक जैसे दिखते हैं। इससे अनुमान लगाने पर रोक नहीं लगती: अगर Leeds में 30 से 39 वर्ष की आयु वाले सभी पाँच स्वास्थ्यकर्मियों ने दस दिन से अधिक की छुट्टी ली हो, तो आपको Anna के बारे में यह बात पता चल जाती है। l-विविधता यह नियम जोड़ती है कि हर समूह में संवेदनशील गुण के कम-से-कम l अलग-अलग मान होने चाहिए।

डिफ़रेंशियल प्राइवेसी पंक्तियों के बजाय उत्तरों पर काम करती है। प्रकाशित किए गए हर आँकड़े में शोर जोड़ा जाता है, जिसे इस तरह समायोजित किया जाता है कि कोई एक व्यक्ति डेटा में हो या न हो, उत्तर में मुश्किल से ही अंतर आए। सुरक्षा का स्तर एक पैरामीटर से तय होता है, और अधिक मज़बूत सुरक्षा का अर्थ है कम सटीक आँकड़े। अमेरिकी जनगणना ब्यूरो ने 2020 की जनगणना के डेटा उत्पादों में इसका इस्तेमाल किया था, लेकिन राज्यवार कुल आँकड़ों में नहीं, जिनका उपयोग सीटों के आवंटन के लिए किया गया था। यह आँकड़ों के लिए उपयुक्त है; किसी ऐसे दस्तावेज़ के लिए यह कुछ नहीं करता जिसे किसी को पढ़ना हो।

तालिकाओं के लिए, उपकरण यह माप आपके लिए करते हैं। ARXएक मुफ़्त, ओपन-सोर्स डेस्कटॉप टूल और Java लाइब्रेरी है (Apache 2.0 लाइसेंस; अक्टूबर 2026 तक संस्करण 3.9.2)। यह संरचित डेटा पर सामान्यीकरण, दमन और माइक्रोएग्रीगेशन लागू करता है और k-अनामिता, l-विविधता, t-क्लोज़नेस तथा डिफ़रेंशियल प्राइवेसी के आधार पर परिणाम की जाँच करता है। यह शेष पुनः-पहचान जोखिम का अनुमान भी लगाता है। इसे CSV फ़ाइलों, Excel शीट और डेटाबेस तालिकाओं जैसे डेटासेट के लिए बनाया गया है, अनुबंधों या पत्रों के लिए नहीं।

सभी तकनीकें साथ-साथ

अधिकांश पंक्तियों में "निर्भर करता है" लिखा है, क्योंकि डेटासेट गुमनाम है या नहीं, यह पूरे डेटासेट और उसके संदर्भ के आधार पर तय होता है, किसी एक तकनीक के आधार पर नहीं। जिस किसी चीज़ को आप गुमनाम रूप में प्रकाशित या साझा करने की योजना बना रहे हैं, उसके बारे में अपने DPO या डेटा-सुरक्षा वकील से पूछें।

AI को दिए जाने वाले दस्तावेज़ों के लिए कौन-सी तकनीकें उपयुक्त हैं

आँकड़ों के लिए डेटासेट और AI चैटबॉट के लिए दस्तावेज़ की ज़रूरतें एक-दूसरे के उलट होती हैं। आँकड़ों के लिए बहुत-सी पंक्तियाँ और कोई व्यक्ति विशेष नहीं चाहिए; एग्रीगेशन, सामान्यीकरण, k-अनामिता और डिफ़रेंशियल प्राइवेसी इसी काम के लिए बने हैं। अनुबंध, ईमेल का सिलसिला या शिकायत-पत्र विशिष्ट लोगों के बारे में होता है, और AI को उन लोगों के बारे में समझना ज़रूरी है।

दस्तावेज़ों के लिए तीन तकनीकें ज़्यादातर काम करती हैं:

• नामों, कंपनियों, पतों, ईमेल और ID नंबरों के लिए एकसमान प्लेसहोल्डर वाला छद्मनामकरण। पूरे पाठ में Person_1 का स्थान Person_1 ही रहेगा, ताकि AI समझ सके कि किसने क्या लिखा और किसका किस पर बकाया है। काली पट्टियाँ या एक ही "[REDACTED]" यह जानकारी मिटा देते हैं; देखें प्लेसहोल्डर बेहतर क्यों काम करते हैं.
• उन तारीखों और जगहों का सामान्यीकरण, जिनकी प्रश्न के लिए सटीक जानकारी ज़रूरी नहीं: किसी खास दिन के बजाय "मार्च 2025", किसी सड़क के बजाय "उत्तरी इंग्लैंड का एक शहर"।
• उस जानकारी का दमन जिसकी प्रश्न के लिए बिल्कुल भी ज़रूरत नहीं, जैसे नोटिस अवधि के बारे में पूछे जा रहे दस्तावेज़ में स्वास्थ्य संबंधी विवरण।

शोर, अदला-बदली और डिफ़रेंशियल प्राइवेसी का यहाँ कोई उपयोग नहीं है: दस्तावेज़ के तथ्य बदलने से AI का उत्तर गलत हो जाता है। हैशिंग नामों को ऐसी स्ट्रिंग में बदल देती है जिसे कोई भी—AI समेत—संदर्भ में पढ़ नहीं सकता।

नतीजा छद्मनामित होता है, इसलिए डेटा-सुरक्षा के नियम अब भी आप पर लागू होते हैं। फर्क यह है कि आपके PC से बाहर क्या जाता है। अगर आप इसके लिए सॉफ़्टवेयर चुन रहे हैं, तो हमारी इस जाँच-सूची में छद्मनामकरण टूल में किन बातों पर ध्यान दें बताया गया है कि डेटा कहाँ जाता है और नामों को वापस कैसे जोड़ा जाता है।

अक्सर पूछे जाने वाले सवाल

डेटा गुमनाम करने की सबसे प्रभावी तकनीक कौन-सी है?

कोई एक तकनीक नहीं है। WP216 ने पाया कि जिन तकनीकों की उसने समीक्षा की, उनमें से हर तकनीक कुछ परिस्थितियों में तीन में से कम-से-कम एक कसौटी पर खरी नहीं उतरती। सांख्यिकीय डेटासेट के लिए, k-अनामिता से मापा गया सामान्यीकरण और दमन, या डिफ़रेंशियल प्राइवेसी, सबसे मज़बूत परिणाम देते हैं। AI को पढ़ने वाले दस्तावेज़ों के लिए तारीखों और जगहों के सामान्यीकरण के साथ छद्मनामकरण व्यावहारिक विकल्प है, और यह गुमनामीकरण नहीं है।

क्या ईमेल पते को हैश करना उसे गुमनाम करने के लिए काफ़ी है?

नहीं। ईमेल पतों के पैटर्न अनुमानित होते हैं, इसलिए हमलावर संभावित पतों की सूची का हैश बनाकर परिणामों का मिलान कर सकता है। कुंजीयुक्त हैश या बेतरतीब टोकन अधिक सुरक्षित है, और दोनों ही गुमनामीकरण नहीं, बल्कि छद्मनामकरण हैं।

तालिकाओं के लिए डेटा गुमनाम करने वाले टूल क्या हैं?

ARX एक मुफ़्त, ओपन-सोर्स उदाहरण है: आप CSV, Excel फ़ाइल या डेटाबेस तालिका लोड करते हैं, सामान्यीकरण और दमन के नियम तय करते हैं, k-अनामिता जैसा गोपनीयता मॉडल चुनते हैं, और यह शेष जोखिम बताता है। इस तरह के टूल कॉलमों और पंक्तियों पर काम करते हैं, चल रहे पाठ पर नहीं।

क्या गुमनाम डेटा GDPR के दायरे में आता है?

Recital 26 के अनुसार, वास्तव में गुमनाम डेटा इसके दायरे में नहीं आता। छद्मनामित डेटा आता है। यह साबित करना कठिन है कि कोई भी व्यक्ति उचित रूप से डेटा की फिर से पहचान नहीं कर सकता; इसी वजह से नियामक गुमनामीकरण को एक जोखिम आकलन मानते हैं, न कि एक अकेला कदम।

ClientSafe यह आपके PC पर दस्तावेज़ों का छद्मनामकरण करता है: नामों, कंपनियों, पतों, फ़ोन नंबरों, ईमेल पतों, खातों और ID नंबरों तथा जन्मतिथियों को Person_1 जैसे प्लेसहोल्डर से बदलता है, और एक मामले के सभी दस्तावेज़ों में एक ही नाम के लिए वही प्लेसहोल्डर रखता है। पहचान पूरी तरह सटीक नहीं होती, इसलिए कॉपी करने से पहले सूची की समीक्षा करें।