Statistics-Friendly Confidentiality Protection for Establishment Data, with Applications to the QCEW

Probleemstelling

Het artikel adresseert een cruciaal maar onderbelicht probleem in het domein van dataprivacy: de bescherming van bedrijfsdata (establishment data), zoals de Quarterly Census of Employment and Wages (QCEW) van het Amerikaanse Bureau of Labor Statistics (BLS).

• Afwijking van persoonsdata: Bestaande methoden voor persoonsdata, zoals Differential Privacy (DP), zijn ontworpen om te beschermen tegen lidmaatschapsinference (het bepalen of een individu in de dataset zit). Dit is echter vaak irrelevant voor bedrijfsdata, omdat grote bedrijven publieke entiteiten zijn en hun aanwezigheid in de data noodzakelijk is voor betrouwbare economische schattingen.
• De "Outlier"-uitdaging: Bedrijfsdata zijn extreem scheef verdeeld (skewed). Enkele zeer grote bedrijven (zoals Disney of Microsoft) dragen disproportioneel veel bij aan totale statistieken (loon en werkgelegenheid). Traditionele DP-methoden die gelijke bescherming bieden aan alle entiteiten, leiden tot twee problemen:
  1. Als ze sterk genoeg zijn om grote bedrijven te maskeren, worden de economische statistieken nutteloos (te veel ruis).
  2. Als ze zwak zijn om de nuttigheid te behouden, krijgen kleine bedrijven onvoldoende bescherming.
• Beperkingen van huidige methoden: De huidige standaard, Cell Suppression (het weglaten van cellen in tabellen), leidt tot een enorm verlies aan bruikbaarheid (ongeveer 60% van de cellen in QCEW-tabellen wordt onderdrukt) en is kwetsbaar voor "composition attacks" (het combineren van verschillende datasets om geheime waarden te reconstrueren).
• Beperkingen van eerdere formele privacy-aanpakken: Recent werk dat Personalized Differential Privacy toepast, geeft grote bedrijven slechtere privacyparameters dan kleine bedrijven. Dit wordt gezien als problematisch voor beleidsmakers omdat het impliceert dat sommige entiteiten strikt minder bescherming krijgen dan anderen.

Methodologie: Gaussian Establishment DP (gedp)

De auteurs stellen een nieuw privacykader voor genaamd Gaussian Establishment DP (gedp). In plaats van lidmaatschapsinference te beschermen, richt gedp zich op het beschermen tegen te nauwkeurige attribuutinferentie (het bepalen van de exacte waarde van een eigenschap, zoals het aantal werknemers).

Kernconcepten:

1. Vriendelijke Nabijheid (Neighbor Function - $\psi$):

   • Het kader gebruikt een neighbor function $\psi$ om te definiëren wat een "plausibele" waarde is voor een bedrijf. Twee waarden $x$ en $y$ worden als "nabij" beschouwd als $|\psi(x) - \psi(y)| \leq \gamma$.
   • Dit creëert onzekerheidsintervallen rondom de ware waarde.
   • Belangrijkste innovatie: De auteurs kiezen voor $\psi(x) = \sqrt{x}$ (vierkantsworteltransformatie) in plaats van de traditionele $\psi(x) = \log(x)$.
     • $\log$ leidt tot een constant relatief foutenmarge (bijv. 10% voor elk bedrijf). Dit is slecht voor kleine bedrijven (een onzekerheid van 10% op 3 werknemers is nutteloos) en overbodig voor grote bedrijven.
     • $\sqrt{x}$ zorgt ervoor dat het absolute foutenmarge toeneemt met de grootte van het bedrijf, terwijl het relatieve foutenmarge afneemt. Dit sluit aan bij de realiteit dat een attacker bij een groot bedrijf al een ruwe schatting heeft (bijv. "tussen 35.000 en 36.500"), maar bij een klein bedrijf een veel preciezere schatting kan maken.

2. Privacydefinitie:

   • Gedp is gebaseerd op Gaussian Differential Privacy (GDP). Het garandeert dat het onderscheiden tussen twee nabije waarden (binnen hetzelfde onzekerheidsinterval) minstens zo moeilijk is als het onderscheiden tussen twee Gaussische verdelingen $N(0,1)$ en $N(\mu, 1)$.
   • De parameter $\mu$ bepaalt de sterkte van de privacy.

3. Twee Query-mechanismen:
   De auteurs introduceren twee mechanismen om query's te beantwoorden binnen dit kader:

   • De $\psi$-mechanisme:
     • Past de transformatie $\psi$ toe op de data, voegt Gaussisch ruis toe, en keert terug naar de oorspronkelijke schaal.
     • Nadeel: De variantie van het antwoord is afhankelijk van de ware data (data-dependent) en kan niet exact worden vrijgegeven zonder de privacy te schenden. Dit maakt het lastig om de nauwkeurigheid van de resultaten te beoordelen door statistici.
   • De pnc-mechanisme (Probably-No-Clipping):
     • Dit is een innovatief mechanisme dat "op het $\psi$-mechanisme" voortbouwt.
     • Het gebruikt eerst het $\psi$-mechanisme om een hoogstwaarschijnlijke bovengrens te schatten voor de waarden van elk bedrijf (zonder de privacy te schenden).
     • Vervolgens worden de data "geclipped" op deze bovengrens en wordt ruis toegevoegd.
     • Voordeel: De variantie van het antwoord is nu volledig vrij te geven (data-independent of veilig te schatten). Dit is cruciaal voor statistici die de betrouwbaarheid van de ruis moeten inschatten voor post-processing.

4. Post-processing naar Microdata:
   Het papier beschrijft hoe de ruisachtige query-antwoorden kunnen worden omgezet in een beschermde microdataset (individuele records) die gebruikt kan worden voor verdere analyses zonder extra privacykosten. De auteurs tonen aan dat het gebruik van het pnc-mechanisme (met bekende variantie) leidt tot minder bias in de gegenereerde microdata dan het $\psi$-mechanisme (met geschatte variantie).

Belangrijkste Bijdragen

1. Gedp Definitie: Een nieuwe privacydefinitie die specifiek is ontworpen voor scheef verdeelde bedrijfsdata, waarbij de bescherming is afgestemd op de grootte van het bedrijf (grotere absolute fouten voor grote bedrijven, grotere relatieve fouten voor kleine).
2. Voorkeur voor $\sqrt{x}$: Een theoretisch en empirisch onderbouwd argument voor het gebruik van de vierkantsworteltransformatie in plaats van logaritmische transformatie, wat leidt tot een meer realistische en nuttige bescherming.
3. pnc-mechanisme: Een nieuw mechanisme dat data-afhankelijke ruis toepast maar wel een veilig vrij te geven variantie biedt, wat een grote stap voorwaarts is voor de bruikbaarheid van privacybeschermde data.
4. Evaluatie op Real Data: De methoden zijn getest op een echte, vertrouwelijke QCEW-dataset (via een samenwerking met het BLS) en een synthetische dataset. Dit is zeldzaam en geeft hoge geloofwaardigheid aan de resultaten.

Resultaten

De experimenten tonen aan dat:

• Hogere Nauwkeurigheid: De voorgestelde mechanismen (vooral pnc) presteren aanzienlijk beter dan traditionele Gaussian DP op bedrijfsniveau (die gelijke bescherming biedt) en beter dan cell suppression.
• Vermindering van Bias: Het pnc-mechanisme produceert microdata met minder bias dan het $\psi$-mechanisme, omdat de variantie van de ruis exact bekend is en correct kan worden meegenomen in de schattingsalgoritmes.
• Robuustheid: Voor grote aggregaties (zoals staatsniveaus) presteert het pnc-mechanisme uitstekend omdat de ruis gebaseerd is op de grootste entiteit in de groep, wat vaak veel kleiner is dan de totale som. Voor zeer kleine groepen (waar één bedrijf de som domineert) is het verschil kleiner, maar nog steeds gunstig.
• Praktische Toepasbaarheid: De methode maakt het mogelijk om nieuwe statistieken en tabellen te genereren zonder dat de privacybescherming van bestaande publicaties wordt ondermijnd (resistentie tegen composition attacks).

Betekenis en Impact

Dit artikel is van groot belang voor statistische bureaus (zoals het CBS in Nederland of het BLS in de VS) en beleidsmakers:

• Beleidsvriendelijk: Het lost het dilemma op dat grote bedrijven "minder bescherming" nodig hebben voor nuttigheid, zonder dat dit ethisch of juridisch problematisch wordt geformuleerd als "minder privacy". In plaats daarvan wordt de type van bescherming aangepast (absolute vs. relatieve fout).
• Nieuwe Standaard: Het biedt een alternatief voor de verouderde en inefficiënte Cell Suppression, met formele privacygaranties en veel betere datakwaliteit.
• Open Science: De auteurs hebben een synthetische dataset en code openbaar gemaakt, wat de basis legt voor toekomstig onderzoek op dit gebied.
• Toekomstgericht: Het kader is schaalbaar en kan worden uitgebreid naar andere soorten scheef verdeelde data en complexe query-werklasten.

Kortom, het papier levert een brug tussen strikte wiskundige privacy en de praktische behoeften van economische statistiek, waardoor het mogelijk wordt om waardevolle bedrijfsdata veilig en bruikbaar te delen.