Statistics-Friendly Confidentiality Protection for Establishment Data, with Applications to the QCEW

1. Problématique et Contexte

Le Défi des Données d'Établissements :
Les données économiques sur les entreprises (établissements), telles que le recensement trimestriel de l'emploi et des salaires (QCEW) des États-Unis, présentent des défis de confidentialité uniques par rapport aux données individuelles.

• Nature des données : Les données d'établissements sont extrêmement asymétriques (skewed). Quelques grandes entreprises (ex: Disney, Microsoft) contribuent de manière disproportionnée aux totaux nationaux, tandis que la majorité sont de petites structures.
• Limites des méthodes actuelles :
  • La méthode dominante, la suppression de cellules, masque les données sensibles mais entraîne une perte d'utilité massive (environ 60 % des cellules dans les tableaux QCEW sont supprimées).
  • Les techniques de confidentialité formelle classiques, comme la Différentielle Privée (DP) standard, sont conçues pour protéger la membership inference (savoir si une entité est présente dans le jeu de données). Or, pour les grandes entreprises, leur existence est souvent publique et leur inclusion est nécessaire pour des estimations économiques fiables.
  • Les approches de DP personnalisée (où les grandes entreprises ont moins de protection) posent un problème de politique publique : il est difficile de justifier que certaines entreprises aient des garanties de confidentialité strictement inférieures à d'autres.

Objectif : Développer un cadre de confidentialité qui protège contre les inférences d'attributs trop précises (ex: connaître le nombre exact d'employés) tout en préservant l'utilité statistique, avec des garanties interprétables par les décideurs politiques.

---

2. Méthodologie Proposée

Les auteurs proposent un nouveau cadre appelé Gaussian Establishment DP (gedp). Ce cadre repose sur une philosophie différente de la DP classique : au lieu de masquer la présence d'un établissement, il garantit que la valeur réelle d'un attribut (ex: salaires) est indistinguable d'une valeur « voisine » définie par un intervalle d'incertitude.

A. La Fonction de Voisinage ($\psi$) et les Intervalles d'Incertitude

Au cœur de la méthode se trouve une fonction de voisinage $\psi$ qui transforme les valeurs confidentielles pour définir des intervalles d'incertitude.

• Principe clé : Les auteurs rejettent la protection par erreur relative constante (qui donnerait le même pourcentage d'erreur pour une petite boutique et une multinationale). Ils adoptent plutôt :
  • Une erreur relative élevée pour les petites entreprises (car l'erreur absolue est naturellement faible).
  • Une erreur absolue élevée pour les grandes entreprises (car l'erreur relative peut être faible tout en restant statistiquement significative).
• Choix de la fonction : Ils recommandent la transformation racine carrée ($\psi(x) = \sqrt{x}$) plutôt que le logarithme ($\log x$).
  • Justification : L'erreur d'estimation naturelle d'un attaquant (via échantillonnage) est souvent de l'ordre de $O(\sqrt{x})$. La fonction $\sqrt{x}$ aligne donc la protection sur la difficulté réelle d'inférence d'un attaquant, offrant une meilleure utilité pour les grandes agrégations tout en protégeant les petites.

B. Définition de la Confidentialité ($\mu$-gedp)

La définition s'inspire de la Gaussian Differential Privacy (GDP). Deux jeux de données sont considérés comme « voisins » si un établissement dans l'un peut être remplacé par un autre dont les attributs sont « proches » selon la métrique définie par $\psi$.

• La garantie de confidentialité est mesurée par la difficulté pour un attaquant de distinguer entre deux valeurs plausibles dans le même intervalle d'incertitude, formulée en termes de tests d'hypothèses statistiques (taux de faux positifs/négatifs).

C. Deux Mécanismes de Réponse aux Requêtes

Pour répondre aux requêtes de type « group-by » (sommes par groupe), deux mécanismes sont proposés :

1. Le Mécanisme $\psi$ (psi-mechanism) :

   • Applique la transformation $\psi$ aux résultats de la requête, ajoute du bruit gaussien, puis inverse la transformation.
   • Problème : La variance du bruit dépend des données réelles (data-dependent). Cette variance ne peut pas être révélée exactement sans compromettre la confidentialité, ce qui rend difficile l'estimation précise de l'erreur pour les statisticiens.

2. Le Mécanisme PNC (Probably-No-Clipping) :

   • C'est une amélioration majeure. Il utilise d'abord le mécanisme $\psi$ pour estimer des bornes supérieures probables sur les valeurs de chaque établissement.
   • Il « tronque » (clips) les valeurs réelles à ces bornes avant d'ajouter du bruit.
   • Avantage clé : La variance du bruit ajouté est désormais sûre à publier (car elle dépend des bornes publiques et non des données brutes). Cela permet aux statisticiens de calculer des estimateurs sans biais et de connaître la précision exacte des résultats, facilitant la création de microdonnées protégées.

---

3. Contributions Clés

1. Définition de la Gaussian Establishment DP (gedp) : Une nouvelle définition de confidentialité adaptée aux données d'établissements, basée sur la métrique GDP et des fonctions de voisinage spécifiques ($\psi$), offrant une interprétation claire de l'incertitude pour les décideurs.
2. Justification de la transformation Racine Carrée : Démonstration théorique et empirique que $\psi(x) = \sqrt{x}$ est supérieur aux approches traditionnelles (logarithme) pour les données asymétriques, car elle correspond mieux aux erreurs d'estimation naturelles et offre un meilleur compromis confidentialité/utilité.
3. Mécanisme PNC : Introduction d'un mécanisme innovant permettant de répondre à des requêtes avec une variance dépendante des données mais publiable, résolvant le problème de l'estimation de l'erreur dans les microdonnées post-traitées.
4. Évaluation sur des données réelles et synthétiques :
   • Utilisation d'un accord de coopération avec le Bureau of Labor Statistics (BLS) pour tester sur des données QCEW confidentielles réelles.
   • Création d'un jeu de données synthétique public (basé sur des sources publiques comme le Census Bureau) pour permettre la reproductibilité et la recherche future.

---

4. Résultats Expérimentaux

Les auteurs ont évalué leurs méthodes sur le QCEW (données d'emploi) et des données synthétiques (New Jersey et Rhode Island) en comparant le mécanisme $\psi$, le mécanisme PNC et une DP standard (GDP au niveau de l'établissement).

• Précision et Biais :
  • Le mécanisme PNC surpasse systématiquement le mécanisme $\psi$ en termes de précision (erreur absolue plus faible) et de réduction du biais, en particulier pour les agrégations de haut niveau (ex: totaux par État).
  • La DP standard (GDP) s'est révélée inutilisable : le bruit ajouté pour protéger les grandes entreprises a rendu les statistiques régionales et nationales sans signification.
• Utilité des Microdonnées :
  • La capacité à publier la variance exacte avec le mécanisme PNC permet de générer des microdonnées de haute qualité. Les statisticiens peuvent utiliser ces microdonnées pour créer de nouveaux tableaux sans dépenser de nouveau budget de confidentialité.
  • Les résultats montrent que les erreurs restent faibles (< 3 % pour la plupart des groupes), sauf pour les groupes très petits où la confidentialité exige une erreur plus importante (comportement attendu).
• Comparaison des fonctions $\psi$ :
  • L'utilisation de $\sqrt{x}$ a permis de mieux gérer la distribution asymétrique des données que $\log(x)$, évitant la sous-protection des petites entreprises et la sur-protection inutile des grandes.

---

5. Signification et Impact

Ce travail est significatif pour plusieurs raisons :

• Adoption par les agences statistiques : Il propose une alternative viable et rigoureuse à la suppression de cellules, qui est actuellement la méthode de référence mais très coûteuse en termes de données perdues.
• Équilibre Politique et Technique : Il résout le dilemme de la protection différenciée en offrant un cadre où la nature de la protection (l'intervalle d'incertitude) varie selon la taille de l'entreprise, tout en maintenant une force de protection (le paramètre $\mu$) uniforme et interprétable.
• Outil pour les Statisticiens : En fournissant des mécanismes avec des variances publieables, le papier rend la confidentialité formelle compatible avec les besoins réels de l'analyse statistique (estimation de l'erreur, construction de modèles), comblant ainsi le fossé entre la théorie de la confidentialité et la pratique des agences de données.
• Ressources Open Source : La publication d'un jeu de données synthétique et du code associé favorise la recherche future dans ce domaine sous-exploité.

En résumé, ce papier introduit un cadre robuste et pratique pour la confidentialité des données économiques, permettant de libérer des données plus précises et plus utiles tout en respectant des garanties formelles de protection.