Etika dát: súkromie, GDPR a zodpovednosť

S dátami sa dá urobiť veľa dobrého. Dá sa nimi aj ublížiť, často úplne nechtiac. Stačí zverejniť tabuľku, v ktorej sa dá spoznať konkrétny človek, alebo graf, ktorý celú skupinu ľudí ukáže v horšom svetle, než si zaslúži.

Etika dát nie je len o tom, či niečo zakazuje zákon. Ide o otázku, ktorú si pri práci s dátami treba klásť stále dookola: komu môžem ublížiť a čo s tým urobím?

Kedy sú dáta osobné

GDPR, nariadenie EÚ o ochrane osobných údajov, definuje osobné údaje veľmi široko: je to akákoľvek informácia o identifikovanej alebo identifikovateľnej fyzickej osobe. Nejde teda len o meno a rodné číslo. Osobným údajom môže byť aj kombinácia veku, obce a povolania, ak podľa nej spoznáš konkrétneho človeka.

Niektoré údaje GDPR chráni ešte prísnejšie. Patria medzi ne údaje o rasovom alebo etnickom pôvode, politických názoroch, náboženstve, členstve v odboroch, genetické a biometrické údaje, údaje o zdraví a o sexuálnom živote či orientácii. Ak robíš projekt o menšinách alebo zdraví (napríklad v rámci témy Dáta a inklúzia), pohybuješ sa presne v tomto území.

Anonymizácia nie je vymazanie mena

Toto je asi najčastejší omyl. Zmažeš stĺpec s menami a myslíš si, že dáta sú anonymné. Často nie sú.

Výskumníčka Latanya Sweeney v roku 2000 ukázala, že na základe údajov zo sčítania z roku 1990 sa dalo 87 % obyvateľov USA pravdepodobne jednoznačne identifikovať len podľa troch údajov: päťmiestneho PSČ, pohlavia a dátumu narodenia. Žiadne meno nebolo treba.

Predstav si to v slovenskej obci s pár stovkami obyvateľov. Tabuľka „vek, pohlavie, ulica, zdravotný problém“ bez mien je pre susedov prakticky podpísaná.

GDPR rozlišuje dva pojmy:

• Pseudonymizácia. Údaje sa nedajú priradiť konkrétnemu človeku bez dodatočnej informácie, napríklad kľúča, ktorý je uložený oddelene. Takéto údaje sú však stále osobné.
• Anonymizácia. Údaje sa už nijakými prostriedkami, ktoré by niekto rozumne mohol použiť, nedajú spojiť s konkrétnym človekom. Na anonymné informácie sa pravidlá ochrany údajov nevzťahujú.

V praxi to znamená: zlučuj (napríklad vekové skupiny namiesto presného veku, okres namiesto ulice), vynechávaj, čo nepotrebuješ, a malé skupiny radšej nezverejňuj samostatne.

Zbieraš dáta sám? Menej je viac

Ak robíš anketu alebo rozhovory, ako sme to robili pri zisťovaní potrieb komunity, drž sa dvoch zásad z GDPR:

• Minimalizácia údajov. Zbieraj len to, čo naozaj potrebuješ. Ak ti stačí veková skupina, nepýtaj sa na dátum narodenia.
• Obmedzenie účelu. Údaje zozbierané na jeden účel nepoužívaj na niečo úplne iné.

Pri službách informačnej spoločnosti ponúkaných priamo dieťaťu, ak sa údaje spracúvajú na základe súhlasu, GDPR stanovuje vekovú hranicu 16 rokov (štáty ju môžu znížiť, najviac však na 13). Na Slovensku platí 16 rokov a pod touto hranicou treba súhlas zákonného zástupcu. Ak pracuješ s mladšími účastníkmi, rátaj so súhlasom rodiča. Praktická rada: pred dotazníkom alebo fotením vždy povedz, na čo údaje použiješ, a fotky zverejňuj len so súhlasom.

Ľudia, o ktorých údaje ide, majú svoje práva. Úrad na ochranu osobných údajov SR ich vymenúva deväť, napríklad právo na prístup k údajom, na opravu, na vymazanie, právo namietať alebo odvolať súhlas.

„Veď je to verejné“ nestačí

Na stránke Úradu na ochranu osobných údajov nájdeš dôležité upozornenie: to, že je dokument s osobnými údajmi verejne dostupný, ešte samo osebe neznamená, že tieto údaje môžeš ďalej uchovávať, šíriť alebo zverejňovať.

Ak teda analyzuješ napríklad zmluvy obce, zameraj sa na sumy, dodávateľov a termíny. Mená súkromných osôb do svojej vizualizácie neprenášaj.

Zodpovedná vizualizácia

Aj graf môže ublížiť. Pár pravidiel, ktoré používame v projekte:

• Neukazuj jednotlivcov. Bodka na mape, ktorá predstavuje jednu domácnosť, je osobný údaj v grafickej podobe.
• Pozor na malé čísla. „Dvaja z troch“ v malej obci znie dramaticky, ale môže to byť náhoda a ľahko sa podľa toho dajú spoznať konkrétni ľudia.
• Slová majú váhu. Popis „problémová lokalita“ hovorí viac o autorovi než o dátach. Opisuj, čo dáta merajú.
• Nezamlčuj, čo v dátach chýba. Ak niektorá skupina v dátach nie je, napíš to.

Citovanie zdrojov a licencie

Každý graf potrebuje zdroj: kto dáta vydal, názov datasetu, odkaz a kedy si ich stiahol. Ak si dáta upravoval (filtroval, prepočítaval), napíš aj to.

Pozri sa aj na licenciu. Materiály projektu Dáta pre zmenu zverejňujeme pod licenciou CC BY-SA 4.0. Môžeš ich kopírovať, šíriť aj upravovať, aj na komerčné účely, ak:

• uvedieš autora, odkaz na licenciu a informáciu, či si materiál zmenil,
• svoje úpravy šíriš pod rovnakou licenciou,
• nepridáš ďalšie obmedzenia, ktoré by iným bránili v tom, čo licencia dovoľuje.

Šesť otázok pred zverejnením

1. Dá sa z mojich dát spoznať konkrétny človek?
2. Zbieral som len to, čo potrebujem?
3. Mám k údajom oprávnený prístup a vedia ľudia, na čo ich používam?
4. Neukazuje môj graf nejakú skupinu horšie, než dáta naozaj hovoria?
5. Uviedol som zdroj, dátum a licenciu?
6. Napísal som, čo v dátach chýba?

Ak niekde váhaš, opýtaj sa mentora alebo radšej údaj nezverejni. Ako overiť cudziu štatistiku, nájdeš v článku Ako overiť štatistiku za 3 minúty. Na čo si dať pozor pri nahrávaní dát do AI nástrojov, rozoberáme v článku AI a dáta. Ďalšie materiály hľadaj v otvorenej knižnici na dataswans.com/data-pre-zmenu.

Zdroje

• GDPR – čl. 4 Definície (osobné údaje, pseudonymizácia)
• GDPR – čl. 5 Zásady spracúvania osobných údajov
• GDPR – čl. 9 Osobitné kategórie osobných údajov
• GDPR – odôvodnenie 26 (anonymné informácie)
• GDPR – čl. 8 (text v slovenčine)
• Podnikajte.sk – Súhlas zákonného zástupcu so spracúvaním osobných údajov detí do 16 rokov
• Úrad na ochranu osobných údajov SR – úvodná stránka
• Úrad na ochranu osobných údajov SR – Práva dotknutých osôb
• Data Privacy Lab – Identifiability project (L. Sweeney, Simple Demographics Often Identify People Uniquely)
• Creative Commons – CC BY-SA 4.0 (slovenská verzia)

Projekt Dáta pre zmenu je financovaný Európskou úniou v rámci programu Európsky zbor solidarity. Vyjadrené názory a stanoviská sú názormi autorov a nemusia nevyhnutne odrážať názory Európskej únie alebo Národnej agentúry (NIVAM). Európska únia ani národná agentúra za ne nepreberajú zodpovednosť.