CSVW-EO: Metadatenstandard für «Eyes-off»-Datenwissenschaft

In diesem Zusammenhang spielt Differential Privacy (DP) eine zentrale Rolle. Im Kern ist DP ein mathematisches Framework, das das Risiko begrenzt, dass aus den Ergebnissen statistischer Analysen Informationen über einzelne Personen gewonnen oder abgeleitet werden können. Mit anderen Worten: Selbst, wenn Ergebnisse veröffentlicht oder weitergegeben werden, kann mit DP garantiert werden, dass der Beitrag einzelner Personen zu diesen Ergebnissen praktisch verborgen bleibt.

Die praktische Anwendung von DP ist jedoch anspruchsvoll. Die korrekte Umsetzung dieser Schutzmassnahmen erfordert genaue Kenntnisse der Datenstruktur – etwa darüber, wie oft eine einzelne Person in einem Datensatz vorkommen kann, welche Kategorien öffentlich bekannt sind und welche Annahmen zur Organisation der Daten zulässig sind. Hier kommen Metadaten ins Spiel: Sie beschreiben die strukturellen Eigenschaften formell und bilden damit die Grundlage für die korrekte und sichere Kalibrierung von DP-Mechanismen.

Nutzende von Plattformen, die den «Eyes-off»-Ansatz umsetzen – beispielsweise Lomas –, müssen die verfügbaren Daten verstehen, ohne jemals direkt darauf zuzugreifen. Insbesondere müssen sie wissen, welche Datensätze zur Verfügung stehen, wie sie aufgebaut sind, welche statistischen Abfragen möglich sind und wie sich unter Einhaltung des Datenschutzes Algorithmen entwickeln und testen lassen. Diese Anforderungen zu erfüllen, ohne die zugrunde liegenden Daten offenzulegen, ist eine grosse Herausforderung. Deshalb wurde nun ein entsprechender Metadatenstandard entwickelt.

In diesem Kontext ist die Verwendung von Dummy-Datensätzen zentral. Dabei handelt es sich um Datensätze, die die strukturellen Eigenschaften der Originaldaten – deren Aufbau, Variablentypen, bekannte Kategorien oder interne Abhängigkeiten – nachbilden, ohne echte oder sensible Informationen zu enthalten. Die Werte in einem Dummy-Datensatz werden im Wesentlichen zufällig generiert, unterliegen jedoch den strukturellen Vorgaben der Originaldaten. So entsteht ein Datensatz, der formal realistisch ist, ohne inhaltlich reale Informationen abzubilden.

Obwohl Dummy-Datensätze keine tatsächlichen Informationen über einzelne Personen enthalten, sind sie in der Praxis sehr nützlich. In der Softwareentwicklung und Forschung lassen sich damit Algorithmen in einer realistischen Umgebung erstellen, testen und validieren. So kann sichergestellt werden, dass der Code korrekt funktioniert und Ergebnisse im erwarteten Format liefert, ohne auf echte, geschützte Daten zuzugreifen.

Um diesen Anforderungen gerecht zu werden, wird nun CSVW-EO eingeführt: Dieser Metadatenstandard ist eine Erweiterung von CSVW (CSV on the Web), einem etablierten W3C-Standard zur Beschreibung tabellarischer Daten. CSVW wurde dazu konzipiert, die Struktur und die Datentypen eines Datensatzes zu dokumentieren. Es berücksichtigt jedoch die spezifischen Anforderungen datenschutzkonformer Datensysteme nicht. Die «Eyes-off»-Erweiterung schliesst diese Lücke durch zwei Neuerungen: datenschutzkonforme Einträge zur Unterstützung der korrekten Anwendung von DP sowie strukturelle Modellierungseigenschaften, mit denen sich realistische Dummy-Datensätze generieren lassen.

Konkret erweitert CSVW-EO die Standardbeschreibungen von Datensätzen um folgende Elemente:

• Worst-Case-Obergrenzen für die Anzahl Einträge pro Person, die festlegen, wie oft eine Person maximal in einem Datensatz vorkommen darf – ein entscheidender Parameter für die korrekte Kalibrierung von DP-Mechanismen
• öffentlich bekannte Gruppierungsschlüssel wie Kalendermonate oder administrative Regionen, die bedenkenlos offengelegt werden können
• strukturelle Abhängigkeiten zwischen Variablen – z. B. die Bedingung, dass das Behandlungsdatum immer nach dem Geburtsdatum der Patientin bzw. des Patienten liegen muss –, die dazu beitragen, dass die generierten Dummy-Datensätze realistisch und in sich konsistent bleiben
• Partitionsdefinitionen, die beschreiben, wie ein Datensatz unterteilt werden kann (z. B. durch Filtern oder Gruppieren), und so dazu beitragen, dass DP-Mechanismen in jeder Teilmenge korrekt kalibriert sind
• zusätzliche strukturelle Annotationen, die Organisation und Eigenschaften der Daten näher beschreiben

Alle diese Felder sind optional. Vor einer Veröffentlichung müssen sie sorgfältig geprüft werden, da auch Metadaten unter Umständen sensible Informationen preisgeben können. Ein Beispiel zur Veranschaulichung: Es ist unbedenklich festzuhalten, dass der Februar 2026 28 Tage hat, da dies allgemein bekannt ist und keine Rückschlüsse auf einzelne Personen zulässt. Die Angabe, dass eine Person im Februar 2026 fünfmal im Spital war – selbst wenn kein Name genannt wird –, legt dagegen Informationen offen, die zur Identifizierung oder Profilerstellung genutzt werden könnten. Solche Angaben müssen daher mit derselben Sorgfalt behandelt werden wie die zugrunde liegenden Daten.

Die Erstellung präziser und vollständiger Metadaten ist anspruchsvoll und erfordert sowohl technische Genauigkeit als auch sorgfältiges Urteilsvermögen. Zur Unterstützung wurde CSVW-EO entwickelt, eine Open-Source-Python-Bibliothek, die den Standard ergänzt und den gesamten Metadaten-Workflow abdeckt. Konkret kann sie:

• aus einem vorhandenen Datensatz einen Entwurf für eine Metadatendatei ableiten und so den manuellen Aufwand deutlich reduzieren;
• aus validierten Metadaten Dummy-Datensätze generieren, mit denen sich Algorithmen in einer datenschutzkonformen Umgebung entwickeln und testen lassen;
• Metadaten sowohl anhand des CSVW-EO-Schemas als auch mittels SHACL-Regeln validieren – ein formaler Prüfmechanismus zur Gewährleistung von Konsistenz und Korrektheit.

Durch die Anbindung an etablierte DP-Frameworks wie OpenDP und SmartNoise SQL können Nutzende nahtlos von der Metadatenbeschreibung zur praktischen Umsetzung von Datenschutzmassnahmen übergehen.

Automatisierung allein reicht jedoch nicht aus. Eine menschliche Überprüfung bleibt in jeder Phase zentral, insbesondere bei automatisch abgeleiteten Metadaten. Wie bereits erwähnt, können Metadaten unbeabsichtigt sensible Informationen preisgeben, und automatisierte Systeme verfügen nicht über das nötige kontextbezogene Urteilsvermögen, um solche Risiken zu erkennen. Die Kontrolle durch eine Fachperson ist daher kein optionaler Schritt, sondern eine grundlegende Sicherheitsmassnahme.

Die Dokumentation ist verfügbar unter CSVW-EO – Github, der Quellcode unter dscc-admin-ch/csvw-eo: Eyes-Off Data Science Extension of CSVW und die Distribution unter csvw-eo – PyPI.