Statistics-Friendly Confidentiality Protection for Establishment Data, with Applications to the QCEW

Aquí presento un resumen técnico detallado del artículo "Statistics-Friendly Confidentiality Protection for Establishment Data, with Applications to the QCEW" en español.

1. El Problema: Protección de Datos de Establecimientos Empresariales

La protección de la confidencialidad en datos empresariales (como el censo de empleo y salarios) es un área subestudiada donde los métodos tradicionales fallan.

• Limitaciones de los métodos actuales: La técnica dominante, la supresión de celdas, elimina hasta el 60% de los datos en tablas como el Quarterly Census of Employment and Wages (QCEW) del BLS (Bureau of Labor Statistics) para evitar que atacantes deduzcan valores sensibles mediante álgebra lineal. Esto resulta en una pérdida masiva de utilidad estadística.
• Inadecuación de la Privacidad Diferencial (DP) estándar: Las técnicas formales de DP diseñadas para datos personales (como la DP pura o $\epsilon$-DP) buscan proteger contra la inferencia de membresía (saber si un individuo está en el dataset). Sin embargo, en datos empresariales:
  • La existencia de grandes empresas es conocimiento público y su inclusión es necesaria para estimaciones económicas precisas.
  • Los datos empresariales son altamente sesgados (skewed): hay muchas pequeñas empresas y pocas gigantes (ej. Disneyland).
  • Aplicar DP estándar requiere añadir tanto ruido para ocultar a las grandes empresas que las estadísticas regionales se vuelven inútiles, o añadir tan poco ruido para las pequeñas que estas quedan expuestas.
• El dilema de la DP Personalizada: Propuestas anteriores intentaron asignar parámetros de privacidad personalizados (peores parámetros para empresas grandes), pero esto es problemático desde una política pública, ya que implica que algunas entidades tienen protecciones estrictamente más débiles que otras.

2. Metodología Propuesta: Gaussian Establishment DP (gedp)

Los autores proponen un nuevo marco llamado Gaussian Establishment DP (gedp), basado en la Metric DP y la Gaussian Differential Privacy (GDP), diseñado específicamente para datos de establecimientos.

A. Cambio de Paradigma: De Membresía a Atributos

En lugar de proteger contra la inferencia de si una empresa existe (membresía), el marco protege contra inferencias de atributos demasiado precisas.

• Filosofía: Un establecimiento debe tener "denegabilidad plausible" sobre si su valor verdadero es $x$ o un valor "cercano" $y$.
• Definición de "Cercano": Se introduce una función de vecino ($\psi$) que define intervalos de incertidumbre.
  • Para empresas pequeñas, el intervalo debe ser pequeño en términos absolutos pero grande en términos relativos (alta tolerancia al error relativo).
  • Para empresas grandes, el intervalo debe ser grande en términos absolutos pero pequeño en términos relativos (alta tolerancia al error absoluto).
• Elección de la Función $\psi$: Los autores argumentan y demuestran que la transformación de raíz cuadrada ($\psi(x) = \sqrt{x}$) es superior a la logarítmica ($\psi(x) = \log(x)$).
  • $\sqrt{x}$ genera intervalos de incertidumbre de tamaño $O(\sqrt{x})$, lo cual coincide con el error natural que un atacante obtendría mediante muestreo estadístico (ej. encuestas).
  • $\log(x)$ impone un error relativo constante, lo que subprotege a las pequeñas empresas y sobreprotege (perdiendo utilidad) a las grandes.

B. Definición Formal

• $\mu$-gedp: Un mecanismo satisface $\mu$-gedp si, para cualquier par de conjuntos de datos vecinos (donde un registro se reemplaza por otro "cercano" según $\psi$), la dificultad de distinguir entre ellos es al menos tan difícil como distinguir entre dos distribuciones Gaussianas $N(0,1)$ y $N(\mu, 1)$.
• Contabilidad de Privacidad: Utiliza la contabilidad de GDP, que permite una composición adaptativa eficiente (la pérdida de privacidad crece con la raíz cuadrada de la suma de los cuadrados de los presupuestos individuales), ofreciendo mejores garantías que la DP pura o zCDP para mecanismos con ruido gaussiano.

C. Mecanismos de Respuesta a Consultas

Se proponen dos mecanismos para responder consultas de tipo group-by (sumas agrupadas):

1. Mecanismo $\psi$ (psi-mechanism):

   • Aplica la función $\psi$ a los resultados de la suma, añade ruido gaussiano y luego invierte la función.
   • Problema: La varianza del ruido es dependiente de los datos y no se puede revelar exactamente sin comprometer la privacidad, lo que dificulta la creación de microdatos post-procesados de alta calidad.

2. Mecanismo pnc (Probably-No-Clipping):

   • Es una mejora que "aprovecha" al mecanismo $\psi$.
   • Funcionamiento: Primero, se ejecuta una consulta de identidad (con ruido) para obtener cotas superiores probables de los valores de cada establecimiento. Luego, se "recortan" (clipping) los valores reales de las empresas a estas cotas antes de sumar.
   • Ventaja clave: Al recortar los valores, la sensibilidad de la consulta se vuelve dependiente de la cota superior (que es pública) y no del valor real. Esto permite liberar la varianza exacta del ruido añadido.
   • Beneficio: Tener la varianza exacta es crucial para los estadísticos que necesitan crear microdatos confidenciales (conjuntos de datos sintéticos protegidos) mediante técnicas de mínimos cuadrados ponderados, ya que evita sesgos y errores de estimación asociados a la varianza aproximada.

3. Contribuciones Clave

1. Definición de Privacidad Gedp: Una nueva definición formal de privacidad adaptada a datos empresariales que separa la especificación de qué valores son indistinguibles (mediante $\psi$) de la fuerza de esa indistinguibilidad ($\mu$).
2. Justificación de $\sqrt{x}$: Demostración teórica y empírica de que la transformación de raíz cuadrada es la métrica óptima para datos empresariales, alineándose con el error de muestreo natural y cumpliendo principios de equidad en protección (mayor error relativo para pequeños, mayor error absoluto para grandes).
3. Mecanismo pnc: Introducción de un mecanismo novedoso que permite liberar la varianza del ruido de forma segura, facilitando la generación de microdatos de alta calidad para análisis posteriores.
4. Evaluación Rigurosa: Validación en datos reales confidenciales del QCEW (mediante un acuerdo cooperativo con el BLS) y en un conjunto de datos sintéticos generados a partir de fuentes públicas.

4. Resultados de la Evaluación

Los experimentos compararon el mecanismo $\psi$ (con $\psi=\sqrt{}$), el mecanismo pnc y un mecanismo de DP estándar a nivel de establecimiento (GDP).

• Precisión: El mecanismo pnc superó significativamente al mecanismo $\sqrt{}$ en agregaciones de alto nivel (ej. totales estatales) y en la mayoría de los casos de empleo. Esto se debe a que el ruido en pnc depende del establecimiento más grande del grupo, mientras que en $\sqrt{}$ depende de la suma total, lo que genera mucho más ruido innecesario cuando no hay un solo establecimiento dominante.
• Sesgo en Microdatos: La creación de microdatos confidenciales a partir de respuestas con varianza desconocida (mecanismo $\psi$) introdujo sesgos significativos. El uso de pnc, al proporcionar varianza exacta, redujo drásticamente este sesgo.
• Comparación con GDP Estándar: La DP estándar a nivel de establecimiento (que trata a todos por igual) resultó ser inútil, generando errores tan grandes que los datos eran inservibles para fines estadísticos.
• Datos de Salarios: Se observó que los datos de salarios son más sesgados que los de empleo. En estos casos, el mecanismo $\sqrt{}$ a veces tuvo un rendimiento ligeramente mejor que pnc para agregaciones muy finas, sugiriendo que la elección del mecanismo podría depender de la distribución de los datos específicos.

5. Significado e Impacto

Este trabajo es fundamental para la estadística oficial y la privacidad de datos por varias razones:

• Viabilidad Política: Resuelve el problema de la "protección desigual" al ofrecer un marco donde la protección se adapta a la naturaleza del dato (tamaño de la empresa) sin violar principios de equidad, sino basándose en la utilidad estadística y el riesgo real de inferencia.
• Utilidad Práctica: Permite liberar datos agregados con mucha menos supresión que el método actual de celdas, manteniendo garantías formales de privacidad.
• Herramienta para Estadísticos: La capacidad de generar microdatos confidenciales con varianza conocida (gracias al mecanismo pnc) es un avance técnico crucial. Permite a las agencias estadísticas responder consultas personalizadas y realizar análisis complejos sin gastar más presupuesto de privacidad ni sacrificar la calidad de los datos.
• Reproducibilidad: Los autores han liberado un conjunto de datos sintéticos y el código, fomentando la investigación futura en este campo subestudiado.

En resumen, el artículo presenta un marco robusto y "amigable con la estadística" que equilibra la necesidad de proteger la confidencialidad de las empresas (especialmente las pequeñas) con la necesidad crítica de mantener la utilidad de los datos macroeconómicos para la toma de decisiones públicas y privadas.