III. Anonymisierung von Mikrodaten. Statistisches Bundesamt Dr. Markus Zwick, Dipl. Soz. Patricia Eilsberger

Transkript

1 III. Anonymisierung von Mikrodaten

2 Statistische Geheimhaltung in der amtlichen Statistik Ziele der statistischen Geheimhaltung - Schutz des Einzelnen vor der Offenlegung seiner persönlichen und sachlichen Verhältnisse - Erhaltung des Vertrauensverhältnisses zwischen Befragten und den statistischen Ämtern - Gewährleistung der Zuverlässigkeit der Angaben und der Berichtswilligkeit der Befragten

3 Statistische Geheimhaltung in der amtlichen Statistik Drei Ebenen der Durchbrechung statistische Geheimhaltung - Nutzung statistische Angaben für andere Zwecke z.b. Nutzung von Einkommensangaben in Befragungen mit Auskunftspflicht durch Steuerbehörden -Offenlegung von direkten Angaben durch Indiskretion der Erhebungsorgane - Offenlegung von direkten Angaben durch die Art der Veröffentlichung

4 Statistische Geheimhaltung in der amtlichen Statistik 16 Abs. 1 Gesetz über die Statistik für Bundeszwecke (Bundesstatistikgesetz - BStatG) Einzelangaben über persönliche und sachliche Verhältnisse, die für eine Bundesstatistik gemacht werden, sind von den Amtsträgern und für den öffentlichen Dienst besonders Verpflichteten, die mit der Durchführung von Bundesstatistiken vertraut sind, geheimzuhalten, soweit durch besondere Rechtsvorschriften nichts anderes bestimmt ist. Dies gilt nicht...

5 Statistische Geheimhaltung in der amtlichen Statistik Ausnahmen der Geheimhaltung - der Befragte hat zugestimmt - Einzelangaben aus allgemein zugänglichen Quellen - Einzelangaben die mit anderen zusammengefasst sind - Einzelangaben die dem Befragten oder Betroffenen nicht zuzuordnen sind

6 Statistische Geheimhaltung in der amtlichen Statistik Einzelangaben die dem Befragten oder Betroffenen nicht zuzuordnen sind anonymisierte Angaben - absolute Anonymität - faktische Anonymität - formale Anonymität

7 Geheimhaltung von Mikrodaten Mikrodaten bzw. Einzeldaten enthalten für einen einzelnen Merkmalsträger, die an ihm beobachteten oder gemessenen Merkmalsausprägungen der untersuchten Merkmale

8 Geheimhaltung von Mikrodaten Im Gegensatz zu Tabellen, die aggregierte Merkmalsausprägungen für eine Gruppe von Merkmalsträgern wiedergeben, enthalten Mikrodatenbestände die detaillierten Angaben zu den einzelnen Merkmalsträgern mit anderen Worten: Mikrodaten enthalten die Einzelangaben über persönliche und sachliche Verhältnisse die gemäß 16 Abs. 1 geheimzuhalten sind

9 Anonymisierung von Einzeldaten gemäß 16 Abs. 6 BStatG dürfen Einzelangaben zweckgebunden an die Wissenschaft weitergegeben werden, wenn diese nur mit unverhältnismäßig hohem Aufwand dem einzelnen Merkmalsträger zuzuordnen sind faktische Anonymität keine Operrationalisierung durch das Gesetz Unterschiede bei personen- und unternehmensbezogenen Daten

10 Anonymisierung von Einzeldaten Maßnahmen Weitergabe von (Unter)stichproben Verfremden Vergröbern Anonymisierungsmaßnahmen Weglassen systemfreie Sortierung der Datensätze Weitergabe älterer Daten

11 Anonymisierung von Einzeldaten Vergröbern von Merkmalsausprägungen Zusammenfassung von stetigen Merkmalen oder diskreten Merkmalen mit vielen Ausprägungen zu klassifizierten, diskreten Merkmalen mit wenigen Ausprägungen Beispiel: - Einkommen in Euro werden in Größenklassen zusammengefasst; - Gemeindebezeichnungen oder Kreisangaben werden zu Bundesländern zusammengefasst

12 Anonymisierung von Einzeldaten Vergröbern von Merkmalsausprägungen - Zusammenfassung von schwach besetzten oder extremen Merkmalen - Bildung von nach oben und unten zusammengefassten Klassen, buttom up und top up coding

13 Anonymisierung von Einzeldaten Weitere Maßnahmen - Entfernen einzelner Merkmale - Weitergabe von Unterstichproben die Kenntnis das jemand an einer Stichprobe teilgenommen hat führt nicht zu der sicheren Erkenntnis, dass dieser auch im Datenfile enthalten ist - Systemfreie Sortierung - Weitergabe veralteter Daten, z.b.bei den CAMPUS-Files

14 Anonymisierung von Einzeldaten Verfremden von Datensätzen Maskierung der Daten durch die Einführung von Zufallsfehlern - Addition oder Multiplikation der Merkmalsausprägungen stetiger Merkmale mit normalverteilten Zufallszahlen - zufälliges Vertauschen von Merkmalsausprägungen - zufällige oder systematische Veränderung der Merkmalsausprägungen Mikroaggregation als Zusammenfassung ausgewählter Werte

15 Anonymisierung von Einzeldaten vor der Anonymisierung Merkmal 1 (Name) Merkmal 2 (Wohnort) Merkmal 3 (Geschlecht) Merkmal 4 (Alter) Merkmal 5 (Staatsangehörigkeit) Merkmal 6 (monatliches Netto-Einkommen in DM) Anmerkungen Datensatz 1 Meyer München männlich 18 Deutschland Datensatz 2 Müller Rodgau weiblich 89 Deutschland Datensatz 3 Schmidt Dinslaken männlich 45 Kuba Nationalität selten in D. Datensatz 4 Arnold Saarbrücken weiblich 30 Irland Datensatz 5 Franz Darmstadt weiblich 29 Italien Nationalität selten in D. Datensatz 6 Koser Schwerin männlich 59 Türkei Datensatz 7 Wickmann Gotha weiblich 101 Marokko 550 auffallend hohes Alter Datensatz 8 Rathgeber Zwickau männlich 50 Deutschland auffallend hohes Einkommen Datensatz 9 Schulze Nürnberg männlich 18 Deutschland 4 800

16 Anonymisierung von Einzeldaten nach der Anonymisierung Merkmal 1 (N am e) Merkmal 2 (W ohnort) Merkmal 3 (Geschlecht) Merkmal 4 (Alter) Merkmal 5 (Staatsangehörigkeit) Merkmal 6 (m onatliches Netto-Einkommen in D M ) Anmerkungen Datensatz 1 (vorher 4) Systemfreie Nummer Saarland weiblich 30 übrige EU Nationalität selten in D. Datensatz 2 (vorher 8) Systemfreie Nummer Sachsen männlich 50 Deutschland > auffallend hohes Einkomm en Datensatz 3 (vorher 6) Systemfreie Nummer Mecklenburg- Vorpommern männlich 59 Türkei Datensatz 4 (vorher 9) Systemfreie Nummer Bayern männlich 18 Deutschland Datensatz 5 (vorher 1) Systemfreie Nummer Bayern männlich 18 Deutschland Datensatz 6 (vorher 7) Systemfreie Nummer Thüringen weiblich > 95 Marokko auffallend hohes Alter Datensatz 7 (vorher 2) Systemfreie Nummer Hessen weiblich 89 Deutschland Datensatz 8 (vorher 3) Systemfreie Nummer Nordrhein- Westfalen männlich 45 übriges Am erika Nationalität selten in D. Datensatz 9 (vorher 5) Systemfreie Nummer Hessen w eiblich 29 Italien

17 Anonymisierung von Einzeldaten Aufgabe Name Bundesland Familienstand Anzahl der Kinder Alter des Haus.- haltsvorstandes mon. Haushaltseinkommen in Vorstrafen Klaus SH ledig keine Jung SH ledig keine Alt HH geschieden keine Unter Hessen verheiratet keine Ober Hessen ledig ja Sommer Hessen ledig keine Winter Berlin verheiratet keine Meier Sachsen ledig keine Meyer Thüringen verheiratet keine Müller Thüringen verheiratet keine

18 - Verfremden von Datensätzen - Unternehmen a Umsatz in Mio. 212 Anzahl der Mitarbeiter 1590 Investitionen 21,8 b ,55 c ,1 d ,3 e ,8 f ,00 g ,1 h ,2 i ,5

19 Anonymisierungsstrategien bei haushalts- und personenbezogenen Daten Anonymisierungsmaßnahmen für den Mikrozensus - Regionalangaben stark vergröbert - Keine Nationalität mit weniger als Einwohner - Substichprobe von 70% - Merkmalsvergröberungen bei allen erforderlichen Merkmalen, so dass die univariaten Randverteilungen jeder ausgewiesenen Ausprägung mindestens Fälle umfasst

20 Anonymisierungsstrategien bei haushalts- und personenbezogenen Daten Anonymisierungsmaßnahmen für die Einkommens- und Verbrauchsstichprobe - Regionalangaben und Nationalität wie Mikrozensus - Substichprobe in Abhängigkeit von der Anzahl der weitergegebenen Merkmale - Merkmalsvergröberungen bei sichtbaren und über die Zeit stabilen Merkmalen (z.b. Geburtsjahr, Stellung im Beruf, auffällige Konsumgüter) - die fünf höchsten und fünf niedrigsten Ausprägungen eines stetigen Merkmals werden nur als Mittelwert ausgewiesen

21 Anonymisierungsstrategien bei wirtschaftsstatistischen Daten Mikrodaten von Unternehmen unterscheiden sich in wesentlichen Punkten von denen mit Personenbezug - wesentlich kleinere Grundgesamtheiten - Stichprobenauswahlsätze sind bei Unternehmenserhebungen wesentlich größer - starke Zusammenhänge zwischen einzelnen Erhebungen - Zusatzwissen im Bereich der Wirtschaft ist in wesentlich höherem Umfang vorhanden - der Nutzen einer Deanonymisierung ist deutlich höher

22 Anonymisierungsstrategien bei wirtschaftsstatistischen Daten Projekte (FAWE 1 bis FAWE 3) - Faktische Anonymisierung wirtschaftsstatistischer Einzeldaten - Anonymisierung wirtschaftsstatistischer Paneldaten - Zusammenführung und Anonymisierung wirtschaftsstatistischer Paneldaten über die Grenzen der einzelnen Datenproduzenten hinaus