Mantii pentru date: castigarea de bani din confidentialitate prin proiectare | cernuta

Incepand cu luna mai a anului 2018, companiile de pe continent s-au agatat sa notifice codul cookie-urilor, sa elimine listele de newsletter si sa cerceteze politicile de confidentialitate pentru a respecta Regulamentul general privind protectia datelor. Intre timp, ochii VC-urilor s-au extins pe masura ce au urmarit un grup de companii care construiesc solutii de confidentialitate a datelor pentru a le vinde companiilor, mari si mici (dar in mare parte mari).

In timp ce Europa se pregatea sa intre in noua lume curajoasa a GDPR, Marcel van der Heijden, partener la firma VC Speedinvest din Austria, a facut parte din compania germana Aircloak si a participat, alaturi de Constantia New Business, la o runda de investitii de 1,3 milioane USD in octombrie. 2017. „Investitia a fost condusa de GDPR, deoarece urma sa restrictioneze modalitatile prin care companiile ar putea folosi datele tertelor parti, si uneori primele parti”, a spus el. „Opinia noastra era ca multe companii foloseau procesul [pentru a se conforma], dar am considerat ca exista o solutie tehnologica.”

Solutia tehnologica este mai mult sau mai putin aceasta: faceti datele „anonime” si GDPR nu se aplica. Fondatorii Aircloak, Felix Bauer si Sebastian Probst Eide, au inceput sa lucreze la anonimizarea datelor in 2012, cu cativa ani inainte ca companiile sa aiba amenintarea cu o amenda de 20 de milioane de euro (sau 4% din cifra de afaceri anuala) daca se incalca regulamentul. Produsul lor este o interfata care permite unui analist sa interogheze un set de date fara a le vedea. Aceasta „mantie” inseamna ca setul de date de baza nu se schimba si rezultatele interogarii sunt anonimizate odata ce datele sunt procesate. „Cu cativa ani in urma, foarte putini oameni stiau despre subiectul nostru”, a spus Bauer. „Nu a existat concurenta si companiile nu au fost cu adevarat interesate de conducerea GDPR – majoritatea companiilor erau in regim de urgenta, pregatind documentele si casetele de marcat. Multi nu au cautat solutii pentru a lucra cu date, dar in a doua parte a anului 2018 [au inceput] sa caute solutii. GDPR ne-a oferit un buzunar de PR, interesul clientilor a venit mai tarziu. ”

Publicitate

Acum mai sunt cativa jucatori pe piata respectarii confidentialitatii. Privitar, o firma britanica infiintata in 2014, construieste produse software de imbunatatire a vietii private pentru banci, telefoane si institutii medicale, inclusiv Serviciul National de Sanatate din Marea Britanie. O alta companie din Marea Britanie, Sensible Code, a trecut de la furnizarea serviciilor de razuire profesioniste catre algoritmi de dezvaluire statistica care decupeaza date de informatii dezvaluitoare – au lansat primul pilot in 2017 si un pilot avansat cu Office of National Statistics in 2018. Noul copil pe bloc se afla Hazy, o start-up din University College London, al carei software de anonimizare a datelor este utilizat de catre Nationwide Bank, unul dintre sustinatorii acestora, pentru a permite partajarea securizata a datelor.

Atat pentru Privitar, cat si pentru Hazy, buzunarul GDPR a starnit interesul investitorilor. In 2017, Privitar a strans 16 milioane de dolari intr-o runda din seria A condusa de Partech Ventures din Franta, iar in decembrie 2018, Citi a investit o suma nedezvaluita. Hazy a primit 1,8 milioane de dolari de la investitori, inclusiv Albion Capital in august 2018. David Grimm de la Albion a spus ca „GDPR este un punct de durere specific cu care toata lumea se ocupa acum. Cand i-am cunoscut pentru prima data in 2017, [Hazy era format din] 3 tipuri de laptopuri care incercau sa rezolve [aceasta] problema presanta pentru companii. ”

Desi GDPR a fost „factorul declansator” pentru investitiile Partech Ventures, nu a fost singurul factor. „Inainte de GDPR, aveam scandaluri [cu incalcarea datelor] in care informatiile private sunt expuse cunostintelor generale din cauza hackerilor. Exista o lista nesfarsita, de la Facebook la site-uri de intalniri ”, a spus Jean-Marc Patouillaud, partener la Partech. „Companiile au trebuit sa reactioneze pentru a nu-si pierde clientii, iar GDPR este o expresie a vointei guvernelor de a reactiona la tot mai multe cazuri de hacking privat de date.”

Preocuparea din ce in ce mai mare cu privire la confidentialitatea datelor in randul consumatorilor este determinata de scandal. Dintre acestea, cel mai inalt profil a fost saga Facebook-Cambridge Analytica – cand s-a dezvaluit ca Cambridge Analytica a folosit peste 50 de milioane de profiluri de utilizator Facebook pentru a tinta alegatorii in moduri care exploatau trasaturile si preferintele emotionale individuale ale acestora. Un sondaj comandat de Privitar la sfarsitul anului 2018 a scos la iveala o „reactie impotriva revolutiei datelor”, cu 90% dintre respondentii consumatorilor din Marea Britanie, Franta si SUA afirmand ca considera ca progresul tehnologic reprezinta un risc pentru confidentialitatea datelor lor; iar 68% au declarat ca vor inceta sa utilizeze o marca daca nu le protejeaza datele. „Confidentialitatea datelor este acum in fruntea mintii tuturor. La fiecare saptamana exista o incalcare a datelor care este o stire principala. Ne-a ajutat sa intram pe usa “, spune Harry Keen, CEO Hazy, care si-a dezactivat propriul cont de Facebook. „Spunem companiilor, uite ca avem o solutie pentru asta, iar oamenii sunt dornici sa ne audie.”

Companiile care s-au aratat interesate de Hazy au avut tendinta de a fi mari institutii financiare. In mod similar, principalul client Aircloak este banca germana, TeamBank, iar o treime dintre clientii Privitar sunt in sectorul financiar, inclusiv HSBC si Nordea. Hazy a lucrat cu startup-uri, cum ar fi platforma de gestionare a datelor Mammoth, dar Keen a descoperit ca startup-urile sunt dispuse „sa fie un pic riscante cu datele lor”, in timp ce incearca sa plece din teren. „Tendinta este ca cu cat o companie este mai matura, cu atat sunteti mai preocupati de aceste procese de conformitate si securitate”, a spus el. „Start-urile incearca doar sa-si obtina primii clienti si sa supravietuiasca luna urmatoare.” Dar poate exista un efect in jos.

In timp ce zgomotul este nou, ingrijorarea nu este. Europa are legislatie in domeniul protectiei datelor incepand cu 1995 si domenii precum cercetarea in domeniul sanatatii au fost intotdeauna necesare pentru a fi atenti la manipularea datelor sensibile. „A existat o noua cultura de astfel de organizatii si companii, deoarece tehnicile de anonimizare au fost in mare parte in mediul academic pana de curand”, spune Olivier Thereaux, seful tehnologiei la Open Data Institute. „Anonimizarea datelor nu este un lucru la care puteti aplica o reteta generica. Companiile care inteleg datele si au capacitatea de a crea ceva pe masura, acesta este un model de afaceri interesant. ”

Dar cat de fiabile sunt aceste servicii de respectare „din punct de vedere”? Site-ul Aircloak isi comercializeaza serviciul sub forma de „confidentialitate instantanee” si in octombrie 2017, autoritatea franceza de protectie a datelor CNIL a evaluat Aircloak drept „GDPR”, dar cand vine vorba de date, anonimatul nu este binar – aluneca pe o scara cu confidentialitate absoluta pe un capat, si utilitate extrema pe celalalt. „Nu este o intrebare usoara sa iei un set de date si sa stropiti praf de anonimizare magica”, spune Jason du Preez, CEO la Privitar, care ezita chiar sa foloseasca cuvantul „anonim”, deoarece oamenii nu stiu ce inseamna. „Este vorba sa il privim de la caz la caz. Trebuie sa ma gandesc la identificatori directi si indirecti, trebuie sa ma gandesc la risc. Ne uitam la utilizarea emoji sau la informatiile medicale? ”

„Nu este o intrebare usoara sa iei un set de date si sa stropiti praf de anonimizare magica pe el.”

Anonimizarea datelor il plaseaza in afara GDPR, dar tehnicile nu sunt etanse. Au fost nenumarate atacuri de legatura, in care seturile de date anonime sunt reidentificate combinandu-le cu toate informatiile care inot in aplicatii si pe web. In ianuarie 2018, de exemplu, datele despre locatia de identificare identificate lansate de aplicatia de fitness Strava au expus accidental locatia bazelor militare americane. In 2007, un grup de medici academicieni au re-identificat cu succes un set de date Netflix anonimizat folosind recomandari de filme pe baza de date Internet Movie. In mod celebru, studentul absolvent Latanya Sweeney l-a identificat pe guvernatorul Massachusetts, William Weld, intr-un jurnal anonimizat al vizitelor spitalului angajatilor statului, folosind cunostintele sale generale despre guvernator si o baza de date pentru alegatori pentru orasul Cambridge, Massachusetts.

Marea Britanie incearca sa legifereze impotriva acestei probleme in Data Protection Act 2018, ceea ce face ca aceasta sa fie o infractiune: „reidentificarea in cunostinta de cauza sau in mod imprudent a informatiilor care sunt dezafectate cu caracter personal, fara acordul controlorului responsabil pentru desidentificarea date personale.”

„Daca organizatiile considera ca o solutie tehnologica pura – cum sunt cele pe care le ofera unele companii – este suficienta pentru a nu fi sigura, cred ca este o greseala. De asemenea, ei trebuie sa aiba o buna guvernare ”, spune Thereaux. „Daca anonimizati, atunci sunteti in afara granitelor GDPR [dar] problema este ca nu exista intr-adevar un set de date 100% anonimizate. Exista intotdeauna un risc de reidentificare. ”  

Acest risc mereu prezent alimenteaza acum discutiile despre urmatoarele versiuni ale GDPR si daca datele anonimizate ar trebui sa conteze intr-adevar ca date cu caracter personal. A existat un scramble inainte de introducerea GDPR – acum, in lumea post-GDPR, factorii de decizie continua sa incerce sa inchida lacunele de reglementare in cautarea unei bune guvernari a datelor.