„O publicare oferă protecție de tip k-anonimitate dacă informația despre fiecare persoană conținută în publicare nu poate fi deosebită de cea a cel puțin k-1 alte persoane ale căror informații apar, de asemenea, în publicare.”Latanya Sweeney · k-anonymity: a model for protecting privacy · 2002 · k-anonymity: a model for protecting privacy, International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems 10(5), 2002 — rezumat
Un cvasi-identificator e inofensiv singur; trei împreună sunt un nume.
Sweeney a arătat, cu date reale de spital „anonimizate” și o listă electorală cumpărată, că trei coloane banale — codul poștal, data nașterii și sexul — sunt unice pentru cea mai mare parte a populației. Coloanele astea sunt cvasi-identificatori: fiecare e inofensivă singură, împreună sunt un nume. k-anonimitatea e răspunsul ei: publicarea e sigură doar dacă fiecare combinație de cvasi-identificatori apare la cel puțin k persoane. Se obține prin generalizare (data nașterii devine an sau grupă de vârstă, codul poștal devine județ) și suprimare (rândurile prea rare se scot). Nu e sfârșitul poveștii. Dacă toți cei k dintr-un grup au același diagnostic, tot ai aflat ceva despre fiecare — de aici l-diversitatea și t-apropierea, care cer varietate în atributul sensibil. Și orice set „anonim” poate fi legat cu un alt set publicat mâine. Pentru depozit, regula practică: un extras fără nume nu e anonim până nu i-ai numărat cvasi-identificatorii și nu ai verificat k pe fiecare combinație; iar agregarea e prietena ta — un raport pe grupe de vârstă și județ nu are rânduri de persoane deloc.
De ce contează Extrasul „fără nume” trimis unui partener e cea mai des întâlnită scurgere de date personale și cea mai rar recunoscută ca atare.