Spatial Anonymization

Spatial Anonymization bezeichnet eine Reihe datenschutzwahrender Methoden, die verhindern sollen, dass Personen anhand von Standortdatensätzen reidentifiziert werden können. Da selbst grobe geografische Spuren, etwa ein Wohnviertel und ein Arbeitsplatzbereich, die meisten Menschen eindeutig identifizieren können, reicht das bloße Entfernen von Namen und Geräte-IDs nicht aus. Spatial Anonymization verändert daher die geografische Komponente der Daten selbst.

Beim Spatial Cloaking werden Punktstandorte zu größeren Regionen erweitert, sodass beispielsweise gemeldet wird, dass sich ein Gerät in einem Viertel befand, statt an einer konkreten Adresse. Spatial k-Anonymität stellt sicher, dass sich jeder gemeldete Standort mindestens k Personen teilen, sodass keine einzelne Person herausgegriffen werden kann. Geo-Masking verschiebt Koordinaten um eine zufällige Distanz und Richtung, wodurch aggregierte räumliche Muster erhalten bleiben, während exakte Positionen verschleiert werden. Bei der Aggregation werden einzelne Beobachtungen in hexagonale Rasterzellen (etwa das H3-System von Uber) oder administrative Grenzen eingeordnet, wobei nur Statistiken auf Gruppenebene ausgegeben werden. Differential Privacy fügt Abfrageergebnissen kalibriertes statistisches Rauschen hinzu und liefert dadurch mathematisch garantierte Obergrenzen für das Reidentifikationsrisiko.

Jede Anonymisierungstechnik verringert die Datenauflösung. Die Herausforderung besteht darin, den Grad der Anonymisierung so zu kalibrieren, dass Datenschutzanforderungen erfüllt werden, ohne das für die Analyse benötigte räumliche Signal zu zerstören. Analystinnen und Analysten müssen bewerten, ob der jeweilige Anwendungsfall, etwa regionale Fußgängerfrequenz-Trends im Vergleich zu gebäudegenauen Besuchszahlen, den mit der gewählten Methode verbundenen Informationsverlust verkraften kann.

Spatial Anonymization ist ein zentraler Baustein für verantwortungsvolle Location Intelligence, da sie es Organisationen ermöglicht, Wert aus Mobilitätsdaten zu ziehen und dabei die Privatsphäre des Einzelnen zu wahren.