CSVW-EO: lo standard di metadati per la scienza dei dati «eyes off»

Perché questo sia possibile, la privacy differenziale (DP) svolge un ruolo centrale. In sostanza, la DP è un insieme di tecniche e principi matematici concepito per limitare il rischio che dai risultati di un’analisi statistica si possano ricavare o dedurre informazioni su una specifica persona. In altre parole, anche quando i risultati vengono pubblicati o condivisi, la DP offre una garanzia rigorosa che il contributo di ogni singola persona a tali risultati rimanga effettivamente nascosto.

Tuttavia, l’applicazione pratica della DP è tutt’altro che semplice. Per applicare correttamente le misure di protezione che prevede, è necessario conoscere con precisione la struttura dei dati, ad esempio quante volte una singola persona può comparire in un set di dati, quali categorie sono di dominio pubblico e quali ipotesi si possono formulare con certezza riguardo all’organizzazione dei dati. È qui che i metadati diventano fondamentali: documentando formalmente queste proprietà strutturali, i metadati costituiscono la base su cui è possibile calibrare in modo corretto e sicuro i meccanismi di protezione dei dati.

Nelle piattaforme che adottano l’approccio di scienza dei dati «eyes-off», come Lomas, gli utenti devono essere in grado di comprendere i dati a loro disposizione anche senza accedervi direttamente. In particolare, devono sapere quali set di dati sono disponibili, come sono strutturati, quali tipi di query statistiche è possibile eseguire, nonché come sviluppare e testare algoritmi che integrino misure di protezione della privacy differenziale. Soddisfare queste esigenze senza rendere visibili i dati sottostanti è proprio la sfida che uno standard apposito per i metadati è stato concepito per affrontare.

Un fattore chiave in questo contesto è l’utilizzo di set di dati fittizi. Si tratta di set di dati che riproducono fedelmente le proprietà strutturali dei dati originali, quali l’organizzazione, i tipi di variabili, le categorie note e le dipendenze interne, senza contenere alcuna informazione reale o sensibile. In sostanza, tutti i valori contenuti in un set di dati fittizio sono generati in modo casuale, ma rimangono comunque vincolati alla struttura dei dati originali, garantendo che il risultato sia realistico nella forma, se non nel contenuto.

Sebbene in effetti i set di dati fittizi non contengano informazioni reali su alcuna persona, nella pratica sono sempre estremamente preziosi. Consentono a sviluppatori e ricercatori di creare, testare e convalidare algoritmi di elaborazione dei dati in un ambiente realistico, verificando che il loro codice funzioni correttamente e produca risultati nel formato previsto, e questo prima ancora di interagire con i dati reali e protetti.

Per dar seguito a queste esigenze, presentiamo CSVW-EO: un nuovo standard di metadati sviluppato come estensione di CSVW (CSV on the Web), che è uno standard W3C consolidato per la descrizione dei dati tabulari. Sebbene il CSVW sia stato originariamente concepito per documentare la struttura e i tipi di contenuto di un set di dati, esso non tiene conto dei requisiti specifici dei sistemi di dati che garantiscono la tutela della privacy. L’estensione eyes-off colma questa lacuna aggiungendo due livelli fondamentali: voci che tengono conto della privacy e che favoriscono la corretta applicazione della DP, nonché proprietà di modellazione strutturale che consentono la generazione di set di dati fittizi realistici.

In concreto, CSVW-EO integra le descrizioni standard dei set di dati con gli elementi esposti di seguito.

• Limiti massimi di contribuzione, che definiscono il numero massimo di volte in cui un singolo individuo può comparire in un set di dati, un parametro fondamentale per calibrare correttamente le protezioni della DP.
• Chiavi di raggruppamento pubbliche, quali i mesi di calendario o le regioni amministrative, che rappresentano categorie la cui esistenza è già di dominio pubblico e che possono quindi essere divulgate in tutta sicurezza.
• Dipendenze strutturali tra le variabili, come ad esempio il vincolo secondo cui la data del trattamento deve sempre seguire la data di nascita del paziente, contribuiscono a garantire che i set di dati fittizi generati rimangano realistici e internamente coerenti.
• Definizioni delle partizioni, che descrivono come un set di dati possa essere suddiviso, ad esempio tramite filtraggio o raggruppamento, e garantiscono che le misure di protezione della DP rimangano correttamente applicate in ogni sottoinsieme risultante.
• Ulteriori annotazioni strutturali che descrivono in modo più dettagliato l’organizzazione e le proprietà dei dati.

È importante sottolineare che tutti questi campi sono facoltativi e che ciascuno di essi deve essere attentamente verificato prima di essere pubblicato insieme a un set di dati. Questo perché con i metadati stessi si possono inavvertitamente divulgare informazioni sensibili. Per chiarire la differenza: affermare che febbraio 2026 ha 28 giorni è una dichiarazione innocua, poiché si tratta di un fatto di dominio pubblico e non rivela nulla su nessuna persona in particolare. Al contrario, affermare che un determinato paziente si è recato in ospedale cinque volte nel febbraio 2026, anche se il suo nome non viene menzionato, comporta la divulgazione di informazioni che potrebbero essere utilizzate per identificare o tracciare il profilo di una persona e quindi è un’informazione che deve essere trattata con la stessa attenzione riservata ai dati che stanno alla base del set.

La creazione di metadati accurati e completi è un compito intrinsecamente impegnativo, che richiede sia precisione tecnica che un attento discernimento. Per supportare questo processo, abbiamo sviluppato csvw-eo, una libreria Python open source che integra lo standard e copre l’intero flusso di lavoro dei metadati. In particolare, la libreria è in grado di:

• ricavare una bozza di file di metadati da un set di dati esistente, fornendo un punto di partenza che riduce notevolmente il lavoro manuale;
• generare set di dati fittizi a partire da metadati convalidati, per consentire lo sviluppo e il collaudo di algoritmi in un ambiente che garantisce la tutela della privacy;
• convalidare metadati sia rispetto allo schema CSVW-EO sia rispetto a una serie di regole SHACL, un meccanismo di convalida formale che verifica la coerenza interna e la correttezza dei metadati.

Il collegamento a framework DP consolidati, come OpenDP e SmartNoise SQL, consente ai professionisti di passare senza soluzione di continuità dalla descrizione dei metadati all’applicazione pratica delle misure di tutela della privacy.

Tuttavia, l’automazione da sola non è sufficiente. Il controllo umano rimane una parte essenziale del processo in ogni fase, e in particolare durante la verifica dei metadati ricavati automaticamente. Come già detto, i metadati possono rivelare involontariamente informazioni sensibili, e un sistema automatizzato non è in grado di esercitare il giudizio contestuale necessario per individuare tali rischi. La revisione da parte di esperti non è quindi una fase facoltativa, ma una misura di sicurezza fondamentale.

La documentazione è disponibile all’indirizzo CSVW-EO, mentre il codice sorgente è disponibile all’indirizzo dscc-admin-ch/csvw-eo: Eyes-Off Data Science Extension of CSVW and distribution via csvw-eo · PyPI.