Novas leis de privacidade, como o Regulamento Geral de Proteção de Dados (GDPR) da Europa e o Ato de Privacidade do Consumidor da Califórnia (CCPA), geraram uma nova indústria de empresas e plataformas que anunciam que podem tornar seus dados anônimos e estar em conformidade com a lei.

Mas o pesquisador do MIT Aloni Cohen diz que tem suas dúvidas sobre essas afirmações, e o trabalho mais recente de sua equipe mostra que há motivos para ceticismo.

Especificamente, um novo artigo de jornal de Cohen e do professor Kobbi Nissim argumenta que uma técnica de anonimato chamada k-anonimato - que é usada por muitas empresas que fazem tais afirmações - não impede que um usuário seja destacado e desanônimo olhando para a plataforma mais ampla dados. Os pesquisadores estudam um novo tipo de ataque que chamam de "predicado destacando, "modelado a partir de um tipo de violação de privacidade do GDPR denominado singularização.

"Acho que é razoável dizer que muitas das alegações feitas por essas empresas de 'anonimato como serviço' são suspeitas, "diz Cohen, cujo artigo com Nissim foi publicado online hoje em PNAS . "Este artigo é uma etapa para testar isso e mostrar os furos de sua abordagem."

A equipe argumentou que as empresas que usam o k-anonimato para tornar os dados anônimos podem, em vez disso, empregar privacidade diferencial, uma técnica mais recente que envolve randomização controlada com precisão para mascarar a presença ou ausência de qualquer indivíduo em particular em um conjunto de dados. Os pesquisadores mostram que a privacidade diferencial impede ataques de identificação de predicados.

A privacidade diferencial está vendo uma adoção crescente em ambientes onde as abordagens mais tradicionais de anonimato são consideradas inadequadas. O US Census Bureau está usando privacidade diferencial para fornecer confidencialidade para o censo de 2020. A adoção do GDPR também estimulou o Facebook a usar privacidade diferenciada para ajudar cientistas sociais a estudar desinformação online.

"Embora mostremos privacidade diferencial evita ataques de identificação de predicados, não é necessariamente anonimato completo sob a lei, "diz Cohen." Por outro lado, este trabalho mostra que, como uma regra geral, você deve ser cético em relação a qualquer empresa que diga a você que o uso do k-anonimato fornece "conformidade com o GDPR".

O artigo também representa um novo exemplo intrigante de como a matemática e o código de computador podem ser usados ​​para determinar de forma quantificável se as empresas estão realmente seguindo a lei.

"Sentimos que provar que algo é seguro para PSO não é apenas um conceito matemático, mas um que pode ser usado para apoiar uma conclusão legal, e isso deveria ter consequências legais, "diz Cohen.