オンラインジオコーディングをプライバシーの侵害と見なしますか?


21

特定の研究に参加している個人のアドレスがたくさんあると仮定します(最も可能性が高いのは、プライバシーと倫理的配慮が常に重要な問題である健康関連です)。

最近では、GoogleやYahooなどのプロバイダーは、位置の正確さに関して適切な結果を提供しています。

北米中央癌登録協会(NAACCR)は、「ジオコーディングベストプラクティス:一般的に使用される8つのジオコーディングシステムレビュー」および「ジオコーディングベストプラクティスガイド」ガイドにそのようなオプションをリストしています。

たとえば、Cinnamon and Schuurman(2010)は、低リソース設定での負傷を調査するツールの一部としてBatchGeocodeサービスを使用しました。

GoogleマップやOpenStreetMapなどのオンラインサービスを使用してこのような住所をジオコーディングすることは、プライバシーの侵害と見なされますか?

PS1おそらく関連する質問

EpidemiologyのPS2の最近の記事(この分野の主要な査読ジャーナルの1つ)は、Google Maps&Places APIを使用してジオコーディングする方法に関する詳細な説明を短いコミュニケーションで公開しました。興味深いことに、セキュリティ/プライバシーに関する言葉は言及されていませんでした...


コミュニティWikiスコープの質問?
アートワーク21

回答:


11

ここには間違いなくプライバシーの意味があります-特に小さなデータのバッチで作業している場合。データストリームをマイニングしようとする人は誰でも、同じバッチ内のすべてのリクエストに共通のものがあると仮定することができます。たとえ病状や個人情報が有線で公開されていなくてもです。

より適切な手法は、大量のジオコーディングのために、大量の無関係なデータ/患者を一括処理することです。

たとえば、ジオコーディングが必要なデータを他の研究者と組み合わせる-無関係な問題が多いほど良い。要求の順序をランダム化します。そして、このキューを介して1日に1回、バッチ処理を一度に行います。

攻撃者がジオコーディングリクエストを傍受できたとしても、データのマイニングが非常に困難になりました。


面白い!このプロセスを容易にするツール/プラットフォームはありますか?
ニコラスラウル

8

セキュリティで保護されたサーバー上の暗号化されたファイルを使用してローカルにジオコーディングすることは、間違いなくプライバシーの標準です。リモートAPIを使用したジオコーディングが必要な場合は、Torを使用することが次に最適です。

Torは、世界中のボランティアが運営するリレーの分散ネットワークを介して通信をバウンスすることにより、あなたを保護します。

ランダムアドレスの注入(ここで他の人が推奨するように)とssl(https)を使用してエンドポイントへの通信を暗号化すること(これも実行していることを確認してください)とともに、Torプロジェクト。使用しているジオコーディングサービスがどのようなものであっても、リクエストが最終的にどこから来たのかを特定することはできません。注:これにAPIキーを必要とするジオコーディングサービスを使用しないでください。使用すると、匿名になります。(GoogleはAPIキーをもう必要としません)。

Torの使用に関する詳細は、関連する質問への私の回答にあります。


おかげで、私はTorについて考えたことはありませんが、それは良いアイデアのようです。
radek

Torを使用している場合でも、ジオコーディングサーバーは引き続き情報を受信しますが、これはプライバシーの根本的な侵害です。ジオコーディングサーバーを信頼することはできません。
ニコラスラウル

8

これは私がSmartyStreetsと呼ばれる住所確認会社で働いてから最近何度も尋ねられている素晴らしい質問です。

まず、住所は地図上の1つの場所を表します。アドレスには追加情報がないため、アドレス自体は本質的に無害です。地図にポイントを描画しても何も起こりません。CONTEXTをそのポイント(アドレス)に割り当て始めたときのみ、何かを意味し始めます。

それを念頭に置いて、住所は人、組織、建物、車などを表すことができます。複数の郵便アドレスの収集を開始すると、そのグループ化から派生できるコンテキストを増やします。類似性を確認して、アドレスに共通するものを確認できます。それでも、同じような領域内のアドレスのグループ化は、多くのコンテキストを示すものではありません。Googleマップを見て、特定の地域のすべての家を見ることができます。特権情報への不正アクセスがない限り、それはプライバシーの侵害ではありません。

あらゆる種類のプライベートデータを実際に提供するには、他のコンテキストポイントを組み合わせる必要があります。たとえば、住所の確認やジオコーディングのためにオンラインサービスに送信された住所のグループは、処理のためにリストを送信した人がわからない限り、情報を提供しません。リストの所有者がわかれば、リストの使用目的について特定の推論を行うことができます。リストの所有者や使用目的など、この追加のコンテキストを知っていることは、確かに特権情報として認められ、プライバシー侵害の原因になる可能性があります。

外部データサービスが関与しないように処理を「社内」にすることはオプションです。特権情報へのあらゆる種類の不正アクセスを確実に排除します。住所の検証とジオコーディングは、初心者向けのタスクではありません。膨大な時間とリソースを消費せずに非常に大きなリストを処理するには、確かに高度なスキル(時間をかけて得られる経験)が必要です。社内に持ち込むことは確かに選択肢ですが、機密性の高い住所情報を持つすべての企業は、社内で「安全な」住所処理(ジオコーディングを含む)を行うためのリソースを持っていますか?いいえ。(それは確かにこのウェブサイトの読者にとって仕事の安全を意味するでしょう。)

必要なプライバシーを維持し、オンラインサービスを引き続き使用する方法があります。1つの方法は、アカウントを作成し、すべてをテストして把握し、一時的なメールアドレスを使用して、追跡できないクレジットカードに関連付けられている無関係の請求先アドレスで新しいアカウントを設定することです。このアカウントでアドレスを処理すると、理論的には貴重なコンテキストが失われないため、リスト上の個人のプライバシーが維持されます。(これは映画Enemy Of The Stateのように聞こえ始めています。

それが複雑で不必要に思える場合、私は同意します。より簡単な方法は、HTTPSとPOSTを使用し、処理するデータを保存またはログに記録しないAPIを利用することです。HTTPSの使用は、唯一のレコードがタイムスタンプと呼び出し元のIPアドレスであることを意味します。基礎となるURLは不明です。もちろん、使用するアカウントから戻ってきますが、POST要求を使用するとペイロード(この場合はアドレスのバッチ)を添付でき、ペイロードの内容はログに記録されないため、問題はありません。したがって、送信するアドレスはどのサーバーログにもありません。また、各プロセス間でメモリが消去されるという事実は、それらのアドレスが保存または記録されることはなく、安全な接続を介して送信されることを意味します。

13Mar2012 06:31(-6)IP:12.134.223.12 UserID:875564-POST QTY:3439942-[処理済み]

ログを見る人は、あなたがいくつかのアドレスを処理したことしか見ることができず、彼らはどのアドレスが処理されたか分からないでしょう。これは、最も厳格なプライバシーポリシー要件も満たしています。このタイプのサービスがどこにあるかを言及せずに利用できる(そして超高速)ことを指摘するのは意味がありません。SmartyStreetsからLiveAddress APIサービスに既に組み込まれています。Cdyne、QAS、ServiceObjectsなどの他のサービスも同様のサービスを提供する可能性がありますが、まだ聞いたことはありません。


詳細情報をありがとう。HTTPSは間違いなく合理的なアイデアのように聞こえます。SmartyStreetsは米国に限定されていると思いますか?
ラデック

はい、SmartyStreetsの住所確認とジオコーディングは米国郵政公社の住所に限定されています。
ジェフリー

5

おそらく、IDを作成して、テーブルを分割できます。個人を特定できる情報を削除する。次に、ジオコーディング後にテーブルを再結合します。

(フェデレーテッドPCネス)の流れの中で、どこかでサーバーでデータを実行した後、管理の連鎖を維持しなかったことを証明できると思います。

あなたがフォローしたい場合、私は主題に関するかなりの執筆を見つけました...

クラウドの所有と制御

電子年齢の所有と管理

Googleブック

クラウドコンピューティングの法的意味

法執行機関に対して執行が行われた場合、クラウドコンピューティングは政府サービスから完全に遮断される可能性があります。


5

いいえ、オフラインでジオコーディングできます。オンラインバッチジオコーダーを使用している場合、住所を地理座標に変換することはどのようにプライバシーの問題になりますか?全員の名前が含まれて公開されている場合は、さらに問題になります。Bradが個別の住所をIDで言及し、住所がジオコーディングされたときに再照合するように。標準プラクティス。


5
オフラインでジオコーディングでき、個人情報を開示する必要がないことに同意します。しかし、名前とIDのみを非公開にしておくべき情報とみなすというあなたの提案には同意しません。名前がなくても、個人の自宅の住所を開示する場合、本質的にそれらを識別しています。高度に厄介な伝染病を持つ人々の家にポイント付きの地図を公開することを考えてください。
DavidF

2
Mapperzが言ったように、送信する情報がアドレスに限定されている限り、問題はないはずです。送信する情報に「HECD」などの機密情報を含めないでください。
jvangeld

1
@DavidFすべての住所には地理座標があります-ジオコーディングは99.9%自動化されており[計算]プライバシーは失われません。オンラインが気に入らない場合は、そこに置かないで、オフラインバージョンを使用してください。
マッパーズ

2
@jvangeldサードパーティがジオコードリクエストを送信する組織のIDと住所を組み合わせることができる場合、オンラインの状況ではプライバシーが侵害される可能性があるとまだ考えています。ヴァンパイアリズムの治療のための人民戦線が100の住所を含むバッチジオコードを提出した場合、サードパーティは100の家に「代替ライフスタイル」を癒そうとする人々がいると合理的に想定できると思いませんか?明らかに、これはかなり学術的な議論ですが、本当にプライバシーと匿名性を保護したい場合、これは関連があると思います。
DavidF

1
@DavidFの意見はここまで非常に重要です。自宅の住所は非常にデリケートであると見なされており、調査参加者の開示につながる可能性があります。吸血鬼を研究している機関のIPアドレスから1000件のリクエストがある場合、潜在的に1000人の吸血鬼のアドレスがあると単純に仮定できます。ここでの私の問題は、そのような状況でオンラインジオコーディングサービスを「安全な当事者」と見なすことができるかどうかです。研究に参加していない無許可の第三者とデータを共有していると非難されることはありますか?ジオコーディングプロセスを介してデータにアクセスできる可能性がありますか?
ラデク

4

ジオコーディングはリスクが低い 今年の初めに、いくつかの病院と協力して、この疑問が浮上しました。ジオコーディングサービス自体は、データからIDとアドレス以外のすべてを削除し、安全な転送(https)を使用し、社内ジオコーダーが基準を満たすのに十分なプライバシー保護を指定したTOSを除いたため、大きな懸念ではありませんでした。

匿名で場所を表示するのは難しい 匿名性を維持しながら、スパースデータのマップを表示するのは、より難しいビットでした。クライアントが求めた最初のオプションは、各ポイントにランダムな「ファッジ」を追加して、実際の家の場所が不明瞭になるようにすることでした。このアプローチの問題は、必要なファッジのサイズが非常に大きく(1/2マイル以上)(誰かが農場に住んでいる場合)、マップユーザーがポイントの位置を正確に取る傾向があることです。有用な地図を持ちながら、匿名になるのに十分な数のポイントを集約することに決めました。私たちが取り組んできた他の業界の標準は、集約単位には少なくとも7〜10個のレコードが必要であるということです。


2

あなたはそれをジオコーディングしていて、結果を公開していないと思いますか?その場合、クラウドはそのデータが表すものをどのように認識しますか?

おそらく、存在する可能性のあるパターンを隠すランダムデータでジオコーディングしたデータを難読化することもできます。


正しい、ポイントは、特定のデータセットの地理座標のセットを取得することです。残りの分析はすべてオフラインで行われ、さらに公開されたものはすべて個人レベルの情報を利用しません。データセットを難読化するアイデアが好きです!
radek

2

質問がされて以来、これが新しいかどうかはわかりませんが、Google Maps API v3で誰かが疑問に思っているなら、SSL(https)を使用できます。また、NAACCRベストプラクティスガイドのプライバシーセクションでは、これらの問題について説明しています。


2

オーストリアでは、これは間違いなくプライバシーの問題になります。

まず第一に:健康データは機密として分類され、そのデータセットに関連する人の明示的な同意なしに第三者にそれをオーバーハンドすることを許可されないことは間違いありません。

匿名化されている場合でも、この健康データをジオコーディングすることは可能ですが、公開されている名前から住所への登録(電話帳)をジオコーディングし、そこに住んでいる人に健康データを接続することもできるため、住所も個人として分類されますデータ。

これにより、明示的に参加者に確認せずにサードパーティに送信してこのデータセットをジオコーディングすることはできなくなります。


1

正確なジオコードまたは一般的なエリアが必要ですか?郵便番号のみ、または部分的な郵便番号fを使用できる場合があります


@ user1466:ここでは、正確なジオコードが間違いなく優先されます。
ラデク

1

私はジオコーディング会社(YAddress.net)で働いており、金融業界、医療、法律など、厳しいプライバシー要件を持つ多数の顧客がいます。

プライバシーに関する懸念に対処する方法は2つあります。

  1. SSL暗号化接続を介したオンラインデータ処理(転送中のデータスヌーピングを防止)、および当社側のプライバシー契約。これは一部のお客様には十分ですが、すべてのお客様には十分ではありません。

  2. 究極のプライバシーのために、ジオコーディングが完全に顧客の敷地内で行われ、データがインターネット上を移動することのないオンサイトソフトウェア展開オプション。

他のコメンターが正しく述べているように、住所はそれ自体が公開情報であり、コンテキストデータ(顧客名、番号など)がないため、何も開示されていません。ただし、実生活のビジネスは実生活の法的環境で運営されており、この一連の推論は法廷に立つ場合とそうでない場合があります。プライバシーが差し迫った懸念である場合、オンサイトソリューションの追加コストは、将来の法的合併症のリスクを回避するのに十分価値があるかもしれません。

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.