蓝培源

大数据研究是否会侵犯个人隐私？这个问题一直饱受争议。一方面，加强个人信息安全的呼声从未减少；但另一方面，越来越多掌握海量个人数据的机构开始向公众开放数据源，以推动学术研究，提升企业的商业表现，或是为用户的日常生活提供便利。

脆弱的匿名：仅仅四个数据点便能识别个体？

为了保障个人信息不被泄露，数据提供方常使用随机ID代替个人身份信息。敏感的个人身份识别信息——如名字，住址，手机号码等——因而得以隐藏。但是，匿名ID并不是万全之策，更何况在大多数情况下，公开数据只能做到某种程度上的匿名。通过极其少量的外部确认信息，比如时空数据点，数据使用者就能够反向识别某个具体的个人。

在最近发表的一项研究中，MIT的Yves-Alexandre de Montjoye等学者分析了100多万用户在3个月内的信用卡消费数据。他们发现，仅仅需要4个外部确认信息，数据使用者就能以超过90%的几率识别特定用户。所谓外部确认信息，也就是跟用户相关的时空数据点，比如带有定位信息的Twitter，在Google上对某地的评价，Netfliex上的电影评分等等。

反向识别的大致流程是这样的：比如说，数据使用者想找到用户S的消费记录。他们由外部确认信息得知，S曾经在9月23号在某甜品店消费，并于9月24号在某餐馆就餐。经过在信用卡数据集中的筛选，只有一位ID为“7abc1a23”的用户完全符合上述条件。于是，只通过两条外部确认信息，研究者们就在海量的信用卡数据中找到了S，并通过ID获取了ta的所有相关记录。……