התממה

התממה או אנונימיזציה של מאגר נתונים היא יצירת עותק של מאגר נתונים שממנו הושמטו או הוסוו פרטים מזהים, כדי לאפשר מסירה של מאגר נתונים זה לגורם חיצוני, בלי לסכן את שמירת הסודיות של הנתונים שמאגר המקורי. התממה נחוצה, למשל, כאשר מוסד רפואי (בית חולים, קופת חולים וכו') מוסר נתונים של כל החולים שהיו בטיפולו בתקופה מסוימת לשם מחקר רפואי, אך מחויב למנוע אפשרות שמקבל הנתונים ישאב מהם מידע על מצבו הבריאותי של אדם מסוים, משום שתוצאה כזו תהווה פגיעה בפרטיות. על ההתממה להבטיח שלא רק מתוך מאגר הנתונים עצמו לא יתאפשר איתור מידע על פרט מסוים, אלא שגם בדרך של הצלבת נתונים ממאגר זה עם נתונים ממאגר זמין אחר לא תתאפשר תוצאה זו.

צעד ראשון בהתממה הוא סילוק פרטים מזהים ישירים, כגון שמו של אדם, מספר זהות, מספר טלפון, מספר כרטיס אשראי וכדומה. בפרטים אחרים, שהשמטתם תפגע בתועלת שרוצים להפיק מהמאגר, ניתן לצמצם רזולוציה. דוגמאות:

במקום ציון כתובת מדויקת להסתפק בציון שם היישוב בלבד, וכאשר מדובר ביישוב קטן – לציין רק את שם המועצה האזורית שהוא משתייך אליה.
במקום ציון גיל מדויק של אדם, לציין את העשור שהוא משתייך אליו. כך גיל 72 וגיל 78 יוחלפו שניהם לטווח 70–79.

על ההתממה להיות כזו שבכל שאילתא על מאגר הנתונים לא תתקבל תשובה שכוללת פרט יחיד או פרטים מעטים. דוגמה: במאגר נמצאים אנשים רבים שגובהם מעל 180 ס"מ, ואנשים רבים שעיניהם כחולות, ואנשים רבים שמתוגררים בראש העין, כך שכל נתון כזה כשלעצמו אינו מזהה איש מסוים, אבל חיתוך בין שלושה נתונים אלה (כלומר שאילתא המבקשת את הפרטים שלהם שלושה מאפיינים יחדיו) עלולה להוביל לאדם יחיד, וכך לחשוף את יתר פרטיו. דרישת התממה זו קרויה דרישת k-אנונימיות – יש לוודא שכל צירוף של שדות ייתן לפחות k רשומות בעלות צירוף זה.

דוגמה לכישלון מסוג אחר של התממה: לשם ניתוח סטטיסטי של התפלגות ההכנסות משחררת רשות המיסים מאגר נתונים ובו פרטי ההכנסה השנתית של כל אחד מתושבי ישראל, תוך השמטת פרטי הזיהוי מכל רשומה. שאילתא שתגלה, למשל, שלכל תושבי סביון בגילאי 30–60 יש הכנסה שנתית של יותר ממיליון ש"ח הופכת נתון סטטיסטי לנתון אישי על כל אחד מהחברים באוכלוסייה זו.

ככל שההתממה אגרסיבית יותר, כך עלולה התועלת שבמאגר לקטון, ולכן יש למצוא את שביל הזהב, שיאפשר שמירה על סודיות הנתונים הנדרשת, ועדיין לאפשר להפיק מהקובץ את התועלת המצופה.