การ Anonymizing เพื่อลบข้อมูลส่วนบุคคลสามารถย้อนรอยได้?

ประเด็นเรื่อง data privacy มาเมื่อไร โซลูชันมาตรฐานก็คือการลบชื่อหรือ identity (เช่น username/mail) ออกจากตัวข้อมูล (เช่น ภาพหรือพิกัดหรือคอมเมนต์) เพื่อให้ตามรอยไม่ได้ และเป็นธรรมเนียมปฏิบัติที่วงการไอทีทำมาตลอด

แต่มีรายงานล่าสุดออกมาจากฝั่งแคนาดา โดย Ontario Information & Privacy Commissioner ชื่อ Ann Cavoukian ซึ่งบอกว่าถึงแม้ข้อมูลจะถูก anonymize ไปแล้ว แต่การตามรอยกลับยังทำได้ในทางปฏิบัติ เช่น งานวิจัยของสำนักไอทีสาธารณสุขของอเมริกา ที่ลองเอาข้อมูลคนป่วย (ซึ่ง sensitive มากในเรื่อง privacy) ที่ถูก anonymize ไปแล้ว ไปเทียบกับฐานข้อมูลอื่นๆ และสามารถระบุตัวตนได้ว่าผู้ป่วยคนนี้เป็นใคร (ถึงแม้ % จะต่ำมากคือ 0.013% แต่ก็ทำได้)

อีกกรณีหนึ่งคือ Netflix ซึ่งปล่อยฐานข้อมูลของลูกค้าว่าดูหนังอะไรบ้างออกมา เพื่อแข่งเขียนโปรแกรมด้าน machine learning (ซึ่ง Netflix จัดทุกปี) ข้อมูลถูก anonymize แล้ว แต่ก็มีนักวิจัยจาก U of Texas สามารถตามรอยได้ โดยเทียบข้อมูลหนังจาก Netflix กับคอมเมนต์ของผู้ใช้เกี่ยวกับหนังใน IMDB (เปเปอร์, เว็บ, ข่าว)

จาก ReadWriteWeb

Commercial Privacy

ประเด็นเรื่อง iPhone 4 เก็บพิกัด (แม้สาวกจะเถียงว่าไม่ได้เก็บ หรือเก็บไปเพื่อความสะดวกของผู้ใช้) ทำให้หน่วยงานภาครัฐทั่วโลกตื่นตัวเรื่อง ‘commercial privacy’ (ความเป็นส่วนตัวของข้อมูลจากบริษัทห้างร้านต่างๆ) มากขึ้นมาก

ในสหรัฐ อดีตผู้สมัคร ปธน. สองคนจากสองพรรคคือ John Kerry จากเดโมแครต กับ John McCain กำลังแท็กทีมกันเสนอกฎหมาย Commercial Privacy Bill of Rights เข้าสภา

นอกจากประเด็นเรื่อง “คนอื่นเข้าถึงข้อมูลส่วนตัว” แล้ว มันยังมีเรื่อง “เจ้าตัวเข้าถึงข้อมูลตัวเอง” ด้วย ซึ่งคนไม่ค่อยพูดถึงกันนัก (กรณีใหญ่ๆ คือ Facebook ที่เปิดให้ดาวน์โหลดข้อมูลเก่าได้ทั้งหมด) ของอังกฤษก็มีโครงการชื่อ mydata ที่จะผลักให้คนเข้าถึงข้อมูลตัวเองได้

กรณีศึกษาที่น่าสนใจของ “การเข้าถึงข้อมูลตัวเอง” คือการเลือกโปรฯ ของมือถือ ซึ่งเราจะเลือกโปรได้เหมาะกับตัวเองมากขึ้นถ้ารู้พฤติกรรมการใช้งานมือถือของตัวเอง ซึ่งยังทำไม่ได้มากนักจากฝั่งโอเปอเรเตอร์ (ทำได้บ้างแต่อาจจะไม่ละเอียดพอ)

จาก NYTimes: Show Us the Data. (It’s Ours, After All.)

ดักฟังข่าวกรองจาก social network

เหมือนการสื่อสารอื่นๆ เมื่อได้รับความนิยม คนใช้มากพอ ก็มีหน่วยงานด้านความมั่นคง “ดักฟัง” หรือเอาข้อมูลไปวิเคราะห์เป็นข่าวกรอง

• state revenue agents have been searching for tax scofflaws by mining information on MySpace and Facebook
• F.B.I. searched the New York home of a man suspected of helping coordinate protests at the Group of 20 meeting in Pittsburgh by sending out messages over Twitter.
• some police officers were going undercover on Facebook as part of their investigations.
• In-Q-Tel, an investment arm of the Central Intelligence Agency, has put money into Visible Technologies, a software company that crawls across blogs, online forums, and open networks like Twitter and YouTube to monitor what is being said.

ตอนนี้ทางหน่วยงานด้านการศึกษาและเสรีภาพของสหรัฐ ได้ฟ้องหน่วยงานรัฐในเรื่องนี้แล้ว

This month the Electronic Frontier Foundation and the Samuelson Law, Technology and Public Policy Clinic at the University of California, Berkeley, School of Law sued the Department of Defense, the C.I.A. and other federal agencies under the Freedom of Information Act to learn more about their use of social networking sites.

ที่มา – NYT

Google Analytics ผิดกฎหมายเยอรมนี

ข้อหาล้วงความเป็นส่วนตัว และความมั่นคงแห่งชาติ!!!

Achtung! Google Analytics is illegal, say German government officials

[Privacy] Affect from Online Privacy Bill

อีกไม่นานนี้เราจะได้เห็นการพูดเรื่อง online privacy เพิ่มขึ้นอีกมาก (ตอนนี้ก็มากอยู่แล้วแต่ยังไม่พอ) และที่จะเห็นตามมาคือความพยายาม regulate ด้วยกฎหมายที่เกี่ยวข้องกับความเป็นส่วนตัว

ในสหรัฐก็เพิ่งเริ่มพูดถึงเรื่องนี้เหมือนกัน ไอเดียหนึ่งของ Online Privacy Bill คือ บังคับให้ 3rd party cookie เลิกเก็บข้อมูลส่วนตัว (เช่น Google Analytics ที่ฝังอยู่ตามเว็บอื่นๆ ก็จะเก็บว่าผู้ใช้กดลิงก์อะไรบ้างไม่ได้แล้ว) แต่ยังยอมให้ 1st party cookie ทำได้อยู่ (เช่น Amazon เก็บว่าเราค้นหนังสืออะไร แล้วไปเลือกหนังสือที่เราน่าจะสนใจมาแสดงใน Recommendation)

ถ้ากฎนี้ออกมาจริง จะทำให้ “ภูมิทัศน์” ของ Online Ad เปลี่ยนไป ระบบที่ต้องพึ่ง cookie จะอยู่ยาก ส่วนระบบที่ไม่ต้องพึ่ง cookie อย่าง AdWords จะไม่โดนกระทบ และน่าจะกลายเป็นเจ้าตลาดโดยสมบูรณ์

ที่มา – BusinessWeek

Social Network Behaviors on Privacy

รายงานผลสำรวจโดย WebRoot บริษัทด้านความปลอดภัย ถามความเห็นผู้ใช้ social network จำนวน 1100 คน (ใช้ Facebook, MySpace, Twitter, LinkedIn) ในด้านความเป็นส่วนตัว พบว่าคนส่วนมาก “เป็นห่วง” ว่าความเป็นส่วนตัวของตัวเอง แต่เอาเข้าจริงกลับมีพฤติกรรมตรงกันข้าม

• 2/3 ของผู้ตอบแบบสอบถามทั้งหมด ไม่ได้จำกัดสิทธิ์การเข้าถึง profile
• 80% ให้ข้อมูลบางส่วนของ profile เข้าถึงได้จาก google
• เกินครึ่ง ไม่แน่ใจว่าใครเข้าถึง profile ของเราได้บ้าง
• 1/3 ใส่ข้อมูลที่ตามตัวตนได้ (identifiable information) มากกว่า 3 ชิ้นขึ้นไป
• 1/4 รับแอดเพือนจากคนแปลกหน้า