Produktion av anonyma resultat

Om du inte kan producera anonyma resultat i enlighet med Findatas anvisningar, men anser att resultaten ändå är anonyma, ska du göra följande:

• Lämna en detaljerad motivering till varför resultaten är anonyma när du skickar in resultaten. Motiveringen ska endast gälla anonymiteten och inte till exempel undersökningens betydelse eller vikten av att publicera resultaten.
• Ange tillräckliga bakgrundsuppgifter för varje analystyp för att möjliggöra en bedömning av anonymiteten. Detta kan till exempel omfatta en beskrivning av hur studiepopulationen har bildats och antalet observationer.
• Observera att säkerställandet av anonymiteten för resultat som kräver en bedömning från fall till fall kan ta längre tid än normalt.

I fördelningsdiagram ska särskild uppmärksamhet fästas vid avvikande observationer som kan medföra en risk för avslöjande. Detta kan medföra en utmaning särskilt för till exempel normalfördelningens svansar, och därför är det är möjligt att hela svansen inte kan avbildas. I histogrammen ska uppmärksamhet fästas vid att materialet har klassificerats så att det finns tillräckligt med observationer i en enskild klass. Jämför med anvisningen gällande nyckeltal som beskriver materialet.

I stapeldiagram ska man fästa uppmärksamhet vid att det finns tillräckligt med observationer i varje klass. Jämför med anvisningen gällande nyckeltal som beskriver materialet.

I spridningsdiagram finns i regel en enhet bakom en punkt och därför är dessa inte publicerbara utan att materialet som använts för att producera diagrammet grupperats så att det finns flera observationer bakom en punkt. Spridningsdiagram får publiceras endast om de data som ligger till grund för diagrammet kan publiceras som en tabell. I bedömningen ska man dock också beakta om kombinationen av de använda variablerna gör det möjligt att identifiera en individ. Anonymiteten i spridningsdiagrammet kan förbättras genom att ersätta den med ett diagram som visar observationsfrekvensen i rutfältens celler eller genom att lägga till slumpmässighet i punkterna.

Lådagram medför i regel en risk för avslöjande, eftersom de innehåller bildpunkter för en enskild observation. I synnerhet avvikande observationer kan medföra risk för avslöjande. Även medeltalet kan medföra en risk för avslöjande. Jämför med anvisningen gällande nyckeltal som beskriver materialet.

Residualer hänvisar till en observation. Vid beskrivning av residualer bör diagrammets form användas i stället för ett diagram som baserar sig på enskilda punkter. Om man använder ett diagram som baserar sig på enskilda punkter bör man undvika att ange axlarnas värden.

En överlevnadsanalys kan orsaka en risk för avslöjande beroende på analysens specifikation. Utgångspunkten är att resultaten kan publiceras om varje steg i diagrammet motsvarar tillräckligt många observationer. Om det står klart att man med hjälp av uppgifterna bakom diagrammet inte kan dra en slutsats om exakt ålder eller kalendertidpunkter, kan även enskilda steg tillåtas. När enskilda steg publiceras måste man dock fundera på hur väl diagrammets bakgrundsuppgifter identifierar personer. Se även Exempel 3.

Spatial analys är särskilt utmanande med tanke på dataskyddet, eftersom lokaliseringsuppgifter i allmänhet är centrala för individens avslöjande. Publiceringen av resultaten av den spatiala analysen kräver i allmänhet mycket omklassificering och presentation av information som värmekartor i stället för observationspunkter.

Sankey-diagrammens, dvs. flödesdiagrammens, dataskydd påverkas av vilka uppgifter som visas i diagrammet. Om diagrammet beskriver exakta antal är anvisningen jämförbar med fallet med nyckeltal som beskriver materialet. Se även Exempel 4.

I fråga om bildmaterial ska situationen bedömas från fall till fall. Materialet får inte innehålla identifierings- eller metadata som hänvisar till en enskild person. Identifieringsrisken kan minskas genom begränsningar och genom att minska upplösningen. Om det går att kombinera annan data med bildmaterialet ökar detta risken för identifiering.

Mer information om anonymisering och anonymitet av bild- och signaluppgifter finns i riktlinjerna som utarbetats av en expertgrupp på hög nivå som tillsatts av social- och hälsovårdsministeriet: Anonymisering av bild- och signaluppgifter och anonymitet vid behandling enligt lagen om sekundär användning av social- och hälsovårdsuppgifter (stm.fi, PDF 248kB)

Anonymiteten hos resultat som baserar sig på genominformation bedöms alltid från fall till fall.

1. Sällsynta enskilda genetiska variationer

Det är i princip möjligt att publicera betydande sällsynta genetiska fynd om fyndet förekommer hos fler än tre undersökta personer. Om den genetiska variationen förekommer hos färre än tre undersökta personer, ska exakta uppgifter om antal till exempel döljas. När resultaten publiceras ska man fästa särskild uppmärksamhet vid deltagarnas identifierbarhet och från fall till fall bedöma om det räcker att använda minimifrekvensen n=3 för att förhindra att deltagarna identifieras. Ju mindre målgrupp som undersöks och ju mer bakgrundsuppgifter som berättas om deltagarna, till exempel om sjukdomens egenskaper (fenotypen) eller om det geografiska område från vilket målgruppen har samlats in, desto mer ökar de undersökta personernas identifierbarhet. Enskilda undersökta deltagares exakta ålder, exakt beskrivning av deltagarens egenskaper, sjukdomshistoria, exakta geografiska område från vilket deltagarna har samlats in eller annan information som äventyrar den undersöktas anonymitet får inte offentliggöras.

Uppgifter om egenskaperna hos genetiska variationer kan presenteras om dessa uppgifter redan finns i offentliga variantdatabaser för varianten i fråga (till exempel frekvensuppgifter om en allel, variantens kliniska betydelse, variantens identifierande rs-nummer eller undersökningsmetod med vilken det genetiska fyndet har upptäckts).

Sällsynta genetiska fynd kan publiceras till exempel enligt tabell 2.

2. Genetiska variationer som inte förekommer i den undersöktas egen arvsmassa

Tidsbundna genetiska mutationer som inte förekommer i den undersöktas egen arvsmassa utan förekommer till exempel i en cancertumör kan publiceras patientspecifikt. När resultaten publiceras ska dock särskild uppmärksamhet fästas vid risken för identifiering av enskilda personer. För enskilda personer får man inte publicera exakt ålder, exakt beskrivning av personens egenskaper, sjukdomshistoria, exakt geografiskt område där målgruppen har samlats in eller annan information som äventyrar personens anonymitet. Om det är möjligt att klassificera mutationer eller personer i grupper ska resultaten i första hand presenteras i denna form.

3. Släktforskning

När resultaten publiceras ska särskild uppmärksamhet fästas vid anonymiteten hos personer i släkten. Ärftliga genetiska förändringar som framkommer i en släktforskning kan publiceras och presenteras till exempel som släktträd enligt figur 1. Det är inte tillåtet att presentera andra exakta bakgrundsuppgifter om personer som förekommer i släktträdet, såsom ålder, tidpunkt då genetiska förändringar har hittats, geografiskt område där släkthistoria har samlats in eller annan information som äventyrar släktens anonymitet. Ju mer uppgifter om enskilda personer som visas i diagrammet, desto större blir risken för avslöjande. När det gäller mycket sällsynta sjukdomar är det möjligt att släktträd inte kan publiceras i anonym form.

Om en modell eller algoritm för artificiell intelligens eller maskininlärning i sig är ett resultat som publiceras i undersökningen, ska man fästa uppmärksamhet vid modellens anonymitet redan under utvecklingen av modellen. Modellens anonymitet ska kunna bevisas för att den ska kunna publiceras. Varje modells anonymitet bedöms från fall till fall.

När modellen skickas för granskning av anonymiteten ska också en anonymitetsblankett för modeller för artificiell intelligens och maskininlärning skickas till Findata. Det är bra att bekanta sig noggrant med blanketten redan i modellens planeringsskede, så att de faktorer som påverkar anonymiteten är bekanta redan när modellen utvecklas.

Ladda ner blanketten: Anonymitetsblankett för modeller för artificiell intelligens och maskininlärning (Word-file, 53 kt)

Anonymiteten påverkas av 1) själva modellens drag, såsom typen av modell och antalet undervisningsparametrar, 2) egenskaperna hos det material som används i inlärningen av modellen, såsom dess mängd, innehåll, form och eventuell behandling, såsom anonymisering, samt 3) modellens generaliseringsförmåga och prestation i den uppgift för vilken den har tränats. Om modellen är utbildad med endast anonymt undervisningsmaterial kan också själva modellen anses vara anonym.

Modellens anonymitet kan säkerställas genom att använda differentiellt dataskydd i utbildningen. Det finns inga entydiga anvisningar för valet av parametrar för differentiellt dataskydd, utan det beror på situationen och valet måste motiveras. Små värden såsom

där N är antalet individer i det material som används, ger ett matematiskt starkt skydd, men beroende på fallet kan även större värden räcka.

I regel ska modellens undervisningsmaterial inte innehålla material som innehåller direkta identifierare på individnivå.En modell vars parametrar innehåller uppgifter som hänvisar till individen i begriplig form (till exempel i textform), uppfyller inte kriterierna för anonymitet. I utvecklingsprocessen bör man beakta tillräckliga åtgärder för att bedöma modellens generaliseringsförmåga.

Utgångspunkten är att resultaten som publiceras ska grunda sig på flera observationer. Om det finns behov av att publicera resultatmaterial som i sin helhet är på individnivå, ska resultatmaterialet uppfylla definitionen av anonym information (se även Vad betyder anonymisering?). För att producera anonymt material på individnivå behövs i allmänhet avancerade metoder, såsom differentiellt dataskydd. Anonymiteten hos material på individnivå ska alltid kontrolleras från fall till fall.

Det syntetiska materialets anonymitet påverkas av syntetiseringsmetoden och egenskaperna hos det personuppgiftsmaterial som eventuellt används som underlagsmaterial. Att det publicerade materialet är syntetiskt räcker inte i sig till för att garantera dess anonymitet. Påvisandet av anonymiteten är starkt beroende av hur materialet produceras och hur komplicerat det är. Om avsikten är att skapa anonyma syntetiska data är det bra att redan när processen utvecklas beakta hur anonymiteten kan verifieras. Det syntetiska resultatmaterialets anonymitet ska alltid kontrolleras från fall till fall.

Resultaten från kvalitativa forskningsmetoder ska också vara anonyma och uppfylla definitionen av anonym information. Om möjligt bör man i resultaten som publiceras använda en minimifrekvens på tre för att säkerställa dataskyddet. Om detta inte är möjligt ska resultaten behandlas så att en enskild person inte direkt eller indirekt kan identifieras. Metoden för hur målgruppen bildats påverkar identifieringsrisken. Identifieringsrisken är större om målgruppen innehåller alla personer som uppfyller vissa kriterier jämfört med en situation där målgruppen har valts slumpmässigt eller genom urval.

I synnerhet i samband med publicering av textutlåningar ska producenten av resultaten försäkra sig om att utlåningen inte möjliggör identifiering av en enskild person eller händelse. Identifieringsrisken ökar om citatet innehåller detaljer om en enskild person eller händelse eller om det gäller ett sällsynt fenomen. 

Mer information om anonymisering av kvalitativt material och anonymiseringsmetoder finns på Finlands samhällsvetenskapliga dataarkivs webbplats (fsd.tuni.fi).

Se även Exempel 5.