Teknik anonimisasi data dijelaskan dengan contoh

Teknik utama anonimisasi data adalah penyamaran, generalisasi, agregasi, penambahan derau, pertukaran, tokenisasi, pseudonimisasi, dan hashing, ditambah dua cara untuk mengukur hasilnya: k-anonimitas dan privasi diferensial. Tidak satu pun cukup jika digunakan sendiri. Regulator Eropa menyatakan bahwa setiap teknik masih menyisakan risiko identifikasi ulang, dan hasilnya hanya dianggap anonim jika tidak seorang pun secara wajar dapat mengetahui siapa yang terkait dengan suatu catatan.

Empat tumpukan kecil kartu indeks berjajar di atas meja krem: satu dengan tab biru tua menutupi baris-barisnya, satu dengan baris yang diburamkan menjadi balok abu-abu, satu dengan sudut yang dipotong, satu kosong, di samping pensil biru tua, tanaman, dan cangkir.

Uji yang menjadi tolok ukur semua teknik

Berdasarkan GDPR UE dan GDPR Inggris, informasi anonim berada di luar cakupan hukum perlindungan data, sedangkan data pribadi termasuk dalam cakupannya. Resital 26 menetapkan batasnya: pertimbangkan semua cara yang “secara wajar kemungkinan akan digunakan”, seperti mengidentifikasi satu orang secara khusus, untuk mengenali seseorang secara langsung atau tidak langsung. Resital yang sama menyatakan bahwa data berpseudonim yang dapat dikaitkan dengan seseorang menggunakan informasi tambahan tetap merupakan informasi tentang orang yang dapat diidentifikasi.

Para regulator perlindungan data UE pada masa itu, Article 29 Working Party, merumuskan tiga pertanyaan dalam Opinion 05/2014 on Anonymisation Techniques (WP216). Apakah seseorang masih dapat diidentifikasi secara khusus? Apakah dua catatan tentang orang yang sama dapat ditautkan? Apakah sesuatu tentang seseorang dapat disimpulkan? Pendapat tersebut menyimpulkan bahwa setiap teknik yang ditinjaunya gagal menjawab setidaknya satu pertanyaan ini dalam situasi tertentu, itulah sebabnya beberapa teknik digabungkan. Regulator Inggris panduan anonimisasi dan pseudonimisasi, yang diterbitkan pada 28 Maret 2025, mengambil pendekatan berbasis risiko yang sama.

Jika Anda terlebih dahulu perlu memahami perbedaan antara anonimisasi, pseudonimisasi, dan penyamaran, mulailah dari mana yang Anda perlukan untuk AI. Artikel ini membahas teknik-teknik individual.

Contoh catatan

Semua contoh di bawah ini dimulai dari catatan fiktif yang sama dari berkas SDM:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Teknik yang menghapus atau mengaburkan nilai

Penyamaran dan penghapusan

Penyamaran menyembunyikan sebagian nilai; penghapusan menghapus nilai, kolom, atau seluruh catatan.

A***** K*******, born **.**.1989, [address removed], staff nurse

Cara ini melindungi dari identifikasi langsung. Namun, apa pun yang memerlukan nilai yang dihapus tidak lagi dapat dilakukan, dan hasilnya tidak dapat dikembalikan ke bentuk semula. Informasi yang tersisa masih dapat menunjukkan bahwa orang itu Anna: perawat staf yang lahir pada 1989 tidak sulit ditemukan di bangsal kecil. Penyamaran saja jarang membuat data menjadi anonim.

Generalisasi

Generalisasi mengganti nilai yang spesifik dengan nilai yang lebih umum.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Cara ini melindungi dari identifikasi khusus dengan membuat banyak orang tampak serupa. Namun, presisi berkurang: Anda tidak lagi dapat mengetahui siapa yang lebih tua. Cara ini tidak dapat dikembalikan ke bentuk semula. Apakah hasilnya anonim bergantung pada jumlah orang yang memiliki kombinasi yang sama, yang diukur oleh k-anonimitas (lihat di bawah).

Agregasi

Agregasi menerbitkan total atau rata-rata, bukan baris individual.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Cara ini melindungi individu selama setiap kelompok beranggotakan banyak orang. Namun, semua pertanyaan tentang satu orang tidak lagi dapat dijawab. Jika kelompok berisi satu atau dua orang, rata-ratanya mengungkap angka milik individu, sehingga sel berisi sedikit data biasanya dihapus.

Derau (gangguan)

Derau sedikit mengubah nilai secara acak.

age 37 → 39; sick leave 12 days → 10 days

Cara ini mempertahankan statistik agar tetap kurang lebih akurat sekaligus membuat setiap nilai tidak dapat diandalkan. Namun, angka persisnya tidak lagi tersedia. WP216 memperingatkan bahwa jika derau tidak lebih besar daripada informasi yang dikandungnya, derau bukan metode anonimisasi yang dapat digunakan sendiri: nilai pencilan, seperti satu-satunya orang yang mengambil cuti selama 90 hari, tetap dapat dikenali.

Pertukaran (permutasi)

Pertukaran menukar nilai antarc atatan, sehingga total setiap kolom tetap sama, tetapi baris-barisnya tidak lagi berkaitan dengan satu orang.

Anna's 12 days of leave ↔ another nurse's 3 days

Cara ini melindungi dari penautan nilai dengan seseorang. Namun, hubungan antarkolom menjadi rusak, dan WP216 menunjukkan bahwa cara ini gagal jika nilai yang ditukar terkait dengan kolom lain: gaji seorang manajer yang dipindahkan ke jabatan junior akan terlihat janggal.

Teknik yang mengganti pengenal

Tokenisasi

Tokenisasi mengganti pengenal dengan token acak dan menyimpan tautannya dalam tabel terpisah yang dilindungi.

anna.kowalski@example.com → TKN-8F3K2Q

ICO mencatat bahwa token acak tidak memiliki hubungan matematis dengan nilai aslinya, sehingga token itu sendiri tidak mengungkapkan apa pun. Tokenisasi dapat dibalik oleh siapa pun yang memiliki tabel tersebut, dan itulah sebabnya hasilnya tetap merupakan data pribadi bagi mereka.

Pseudonimisasi dengan penanda pengganti yang konsisten

Setiap orang, perusahaan, atau alamat mendapat penanda pengganti yang mudah dibaca, dan nilai yang sama selalu mendapat penanda yang sama.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Cara ini menyembunyikan pengenal langsung dan tetap membuat siapa melakukan apa mudah dibaca, yang penting untuk teks. Alur logika dokumen tetap utuh. Cara ini dapat dibalik dengan menggunakan pemetaan, dan menurut Resital 26, hasilnya tetap merupakan data pribadi. Penjelasan terperinci tentang pertanyaan siapa yang memegang kunci tersedia dalam artikel kami tentang apakah data yang dipseudonimkan masih merupakan data pribadi.

Pencirian hash

Pencirian hash menjalankan suatu nilai melalui fungsi satu arah dan menyimpan hasilnya.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Cara ini tampak tidak dapat dibalik, tetapi untuk nama dan alamat email sering kali sebenarnya dapat dibalik. Siapa pun yang memiliki daftar nilai yang mungkin dapat menerapkan hashing pada setiap nilai lalu membandingkan hasilnya: jumlah nama staf atau alamat perusahaan tidaklah tak terbatas. WP216 menyampaikan hal ini mengenai rentang masukan yang diketahui, dan ICO menyarankan agar tidak menggunakan hashing tanpa salt, pepper, atau kunci, serta penggunaan algoritme usang seperti MD5 dan SHA-1, karena algoritme tersebut rentan terhadap serangan brute-force.

k-anonimitas dan privasi diferensial

Teknik-teknik ini tidak mengubah nilai. Teknik-teknik ini digunakan untuk memeriksa atau memastikan seberapa baik seluruh kumpulan data dilindungi.

k-anonimitas berarti setiap kombinasi atribut pengenal (rentang usia, kota, pekerjaan) dimiliki oleh setidaknya k catatan. Jika k = 5, Anna tersamarkan di antara setidaknya lima orang yang tampak sama. Cara ini tidak mencegah penarikan kesimpulan: jika kelima pekerja kesehatan berusia 30 hingga 39 tahun di Leeds mengambil cuti lebih dari sepuluh hari, Anda mengetahui hal itu tentang Anna. l-diversitas menambahkan aturan bahwa setiap kelompok harus berisi setidaknya l nilai yang berbeda untuk atribut sensitif.

Privasi diferensial diterapkan pada jawaban, bukan baris data. Derau ditambahkan ke setiap statistik yang diterbitkan, dengan tingkat yang dikalibrasi sedemikian rupa sehingga jawaban hanya sedikit berubah, baik seseorang tertentu tercakup dalam data maupun tidak. Tingkat perlindungannya ditentukan oleh sebuah parameter; perlindungan yang lebih kuat berarti angka yang kurang akurat. Biro Sensus AS menggunakannya untuk produk data Sensus 2020 , kecuali untuk total tingkat negara bagian yang digunakan dalam pembagian kursi. Teknik ini cocok untuk statistik; tetapi tidak berguna untuk dokumen yang perlu dibaca seseorang.

Untuk tabel, alat dapat melakukan pengukuran ini untuk Anda. ARX, sebuah alat desktop sumber terbuka gratis dan pustaka Java (lisensi Apache 2.0, versi 3.9.2 per Oktober 2026), menerapkan generalisasi, penghapusan, dan mikroagregasi pada data terstruktur, lalu memeriksa hasilnya berdasarkan k-anonimitas, l-diversitas, t-kedekatan, dan privasi diferensial. Alat ini juga memperkirakan risiko identifikasi ulang yang tersisa. Alat ini dirancang untuk kumpulan data seperti berkas CSV, lembar Excel, dan tabel basis data, bukan untuk kontrak atau surat.

Semua teknik secara berdampingan

Teknik	Melindungi dari	Menghilangkan	Dapat dikembalikan ke bentuk semula	Masih merupakan data pribadi menurut GDPR
Penyamaran, penghapusan	Identifikasi langsung	Apa pun yang memerlukan nilai tersebut	Tidak	Biasanya, jika masih ada detail lain
Generalisasi	Identifikasi khusus	Presisi	Tidak	Bergantung pada ukuran kelompok
Agregasi	Identifikasi khusus, penautan	Semua pertanyaan per orang	Tidak	Sering kali tidak, jika kelompok beranggotakan banyak orang
Derau	Nilai yang persis	Angka yang persis	Tidak	Biasanya, jika digunakan sendiri
Pertukaran	Penautan nilai dengan seseorang	Hubungan antarkolom	Tidak	Biasanya, jika digunakan sendiri
Tokenisasi	Identifikasi langsung	Sedikit	Ya, dengan tabel tersebut	Ya
Pseudonimisasi (penanda pengganti)	Identifikasi langsung	Sedikit; teks tetap mudah dibaca	Ya, dengan pemetaannya	Ya
Pencirian hash	Pembacaan sekilas	Sedikit	Sering kali dapat ditebak tanpa kunci	Ya
k-anonimitas, l-diversitas	Identifikasi khusus; penarikan kesimpulan (l)	Presisi, sebagian catatan	Tidak	Bergantung pada k, l, dan konteks
Privasi diferensial	Mengetahui sesuatu tentang satu orang dari statistik	Angka yang persis, semua penggunaan per orang	Tidak	Bergantung pada parameternya

Sebagian besar baris menyebutkan "bergantung" karena penentuan apakah suatu kumpulan data anonim dilakukan terhadap seluruh kumpulan data dalam konteksnya, bukan per teknik. Untuk apa pun yang hendak Anda terbitkan atau bagikan sebagai data anonim, mintalah pendapat DPO Anda atau pengacara perlindungan data.

Teknik yang sesuai untuk dokumen yang Anda berikan kepada AI

Kumpulan data untuk statistik dan dokumen untuk chatbot AI membutuhkan hal yang berlawanan. Statistik membutuhkan banyak baris dan tanpa individu; agregasi, generalisasi, k-anonimitas, dan privasi diferensial dirancang untuk itu. Kontrak, rangkaian email, atau surat pengaduan membahas orang-orang tertentu, dan AI harus dapat mengikuti siapa yang dimaksud.

Untuk dokumen, tiga teknik berikut paling banyak melakukan pekerjaan:

Pseudonimisasi dengan penanda pengganti yang konsisten untuk nama, perusahaan, alamat, email, dan nomor ID. Person_1 tetap menjadi Person_1 di seluruh teks, sehingga AI dapat mengetahui siapa menulis apa dan siapa berutang kepada siapa. Bilah hitam atau satu penanda "[DIHAPUS]" menghilangkan informasi itu; lihat mengapa penanda pengganti lebih efektif.
Generalisasi untuk tanggal dan tempat yang tidak perlu dijelaskan secara persis dalam pertanyaan: "Maret 2025" alih-alih tanggal tertentu, "sebuah kota di utara Inggris" alih-alih nama jalan.
Penghapusan untuk apa pun yang sama sekali tidak diperlukan oleh pertanyaan, seperti detail kesehatan dalam dokumen yang hanya Anda tanyakan tentang masa pemberitahuan.

Derau, pertukaran, dan privasi diferensial tidak tepat digunakan di sini: mengubah fakta dalam dokumen akan membuat jawaban AI keliru. Pencirian hash mengubah nama menjadi rangkaian karakter yang tidak dapat dibaca dalam konteksnya oleh siapa pun, termasuk AI.

Hasilnya dipseudonimkan, sehingga aturan perlindungan data tetap berlaku bagi Anda. Yang berubah adalah informasi yang keluar dari PC Anda. Jika Anda sedang memilih perangkat lunak untuk keperluan ini, daftar periksa kami tentang hal yang perlu diperhatikan dalam alat pseudonimisasi membahas ke mana data dikirim dan bagaimana nama dikembalikan.

Pertanyaan yang sering diajukan

Apa teknik anonimisasi data yang paling efektif?

Tidak ada satu teknik yang paling efektif. WP216 menemukan bahwa setiap teknik yang ditinjau gagal memenuhi setidaknya satu dari tiga pengujian dalam situasi tertentu. Untuk kumpulan data statistik, generalisasi dan penghapusan yang diukur dengan k-anonimitas, atau privasi diferensial, memberikan hasil terkuat. Untuk dokumen yang harus dibaca AI, pilihan praktisnya adalah pseudonimisasi dengan generalisasi tanggal dan tempat, dan ini bukan anonimisasi.

Apakah hashing alamat email cukup untuk menganonimkannya?

Tidak. Alamat email mengikuti pola yang dapat diprediksi, sehingga penyerang dapat menerapkan hashing pada daftar alamat yang mungkin lalu mencocokkan hasilnya. Hash berkunci atau token acak lebih aman, dan keduanya tetap merupakan pseudonimisasi, bukan anonimisasi.

Apa saja alat anonimisasi data untuk tabel?

ARX adalah salah satu contoh gratis dan sumber terbuka: Anda memuat berkas CSV, Excel, atau tabel basis data, menetapkan aturan generalisasi dan penghapusan, memilih model privasi seperti k-anonimitas, lalu alat tersebut melaporkan risiko yang tersisa. Alat seperti ini bekerja pada kolom dan baris, bukan teks yang mengalir.

Apakah data anonim tercakup dalam GDPR?

Data yang benar-benar anonim tidak tercakup, menurut Resital 26. Data yang dipseudonimkan tercakup. Bagian yang sulit adalah membuktikan bahwa tidak seorang pun dapat secara wajar mengidentifikasi ulang data tersebut, sehingga regulator memperlakukan anonimisasi sebagai penilaian risiko, bukan satu langkah tunggal.

ClientSafe melakukan pseudonimisasi dokumen di PC Anda: alat ini mengganti nama, perusahaan, alamat, nomor telepon, alamat email, nomor rekening dan ID, serta tanggal lahir dengan penanda pengganti seperti Person_1, dan menggunakan penanda yang sama untuk nama yang sama di seluruh dokumen dalam suatu perkara. Deteksi tidak sempurna, jadi tinjau daftarnya sebelum menyalin.