Il k-anonimato spiegato: principio, esempio pratico e limiti

Identificativi diretti e quasi-identificatori

Un identificativo diretto indica una persona da solo: nome e cognome, codice fiscale, numero di tessera sanitaria, indirizzo e-mail. Un quasi-identificatore non identifica preso singolarmente, ma sì in combinazione: data di nascita, CAP, sesso, professione, cittadinanza, data di ricovero. Togliere gli identificativi diretti non rende anonima una tabella se restano quasi-identificatori incrociabili con un’altra fonte, come un profilo professionale o un articolo di cronaca locale. Questo incrocio è il cuore della reidentificazione.

Le altre colonne sono spesso attributi sensibili (diagnosi, retribuzione, sanzione): proprio ciò che si vuole analizzare e ciò che non deve poter essere attribuito a nessuno.

Come si ottiene: generalizzazione e soppressione

• Generalizzazione: sostituire un valore con uno meno preciso. L’età 34 diventa «30-39»; il CAP 20121 diventa «201**»; la data di nascita completa si riduce all’anno.
• Soppressione: eliminare valori o righe ancora unici dopo la generalizzazione, per esempio l’unico paziente di 97 anni di un piccolo comune.
• Scelta di k: nessuna norma fissa un valore. Un k più alto riduce il rischio ma sacrifica dettaglio; dipende da dove i dati vengono diffusi e da chi potrà accedervi.

Esempio con una tabella fittizia

Partiamo da quattro pazienti fittizi con nome, CAP, età, sesso e diagnosi. Si eliminano i nomi, si generalizzano CAP ed età e si sopprime il sesso. Il risultato è 2-anonimo: ogni combinazione di quasi-identificatori compare due volte.

Osservate le ultime due righe: non si può sapere quale corrisponda alla vostra vicina romana di 45 anni, ma si sa che ha il diabete, perché entrambe le righe condividono la diagnosi. È l’attacco di omogeneità: il k-anonimato da solo non impedisce di rivelare informazioni.

l-diversità e t-closeness

Per colmare questa lacuna sono stati proposti due perfezionamenti. La l-diversità (Machanavajjhala e altri, 2006) richiede che ogni gruppo di righe equivalenti contenga almeno l valori ben rappresentati dell’attributo sensibile. La t-closeness (Li, Li e Venkatasubramanian, 2007) va oltre: la distribuzione dell’attributo sensibile in ogni gruppo non deve discostarsi più di una soglia t da quella dell’intera tabella.

Il Gruppo di lavoro Articolo 29, nel parere 05/2014 sulle tecniche di anonimizzazione, colloca tutte e tre le tecniche tra le forme di generalizzazione e conclude che nessuna è infallibile: riducono il rischio di individuazione, ma possono ancora consentire inferenze o collegamenti con altre banche dati.

I limiti del k-anonimato

• Dipende da quali quasi-identificatori si considerano. Se chi attacca conosce un dato non previsto, come la professione o la data esatta di un incidente, la garanzia svanisce.
• Peggiora con molte colonne. Con decine di attributi, formare gruppi di k righe impone una generalizzazione tale da rendere i dati poco utili.
• Non copre le pubblicazioni successive. Due versioni k-anonime della stessa banca dati, diffuse a distanza di mesi, possono essere incrociate.
• Non è uno standard giuridico. Il GDPR non nomina il k-anonimato; il considerando 26 chiede di valutare tutti i mezzi di cui si può ragionevolmente prevedere l’utilizzo per identificare una persona.

Tabelle e documenti in testo libero

Il k-anonimato è nato per database e fogli di calcolo con colonne omogenee. Con un elenco di pazienti o un registro di pratiche, ragionare per classi di equivalenza ha senso: conviene anonimizzare il file Excel per colonne e poi verificare quali combinazioni restano uniche.

Una sentenza, una lettera di dimissione ospedaliera o un’e-mail sono un’altra cosa: niente colonne, i dati identificativi sono intrecciati nel racconto. Conta individuare ed eliminare gli identificativi diretti (nomi, codice fiscale, indirizzi, telefoni, targhe) e poi rileggere il contesto: incarichi unici, date molto precise, fatti rari o rimandi che tradiscono la persona anche con il nome oscurato. Una cartella clinica anonimizzata che cita ancora «l’unica chirurga dell’ospedale di zona» indica comunque qualcuno.

Anonimatum è pensato per questo secondo scenario: rileva con IA e pattern nomi, date, indirizzi, importi e codici identificativi in PDF, Word, Excel e altri formati e consente di rivedere ogni proposta prima di applicare un oscuramento irreversibile. Decidere quale dettaglio di contesto togliere resta una scelta umana; lo strumento riduce il lavoro meccanico.