[論文レビュー] Advanced Data Protection Control (ADPC): An Interdisciplinary Overview

Soheil Human|arXiv (Cornell University)|Sep 20, 2022

Privacy, Security, and Data Protection被引用数 5

ひとこと要約

本稿では、ウェブおよびIoTシステム全体にわたって標準的かつ相互運用可能に、ユーザーがプライバシーの好みや同意意思決定を表現できるようにする、双方向性で人間中心の通信メカニズム、Advanced Data Protection Control (ADPC) を紹介する。データコントローラーから個人に制御権を移管することで、法的・倫理的基準への準拠を支援するとともに、ユーザー体験とデジタルの持続可能性を向上させる。

ABSTRACT

The Advanced Data Protection Control (ADPC) is a technical specification - and a set of sociotechnical mechanisms surrounding it - that can change the current practice of Internet-based personal data protection and consenting by providing novel and standardized means for the communication of privacy and consenting data, meta-data, information, requests, preferences, and decisions. The ADPC supports humans in practicing their rights to privacy and agency by giving them more human-centric control over the processing of their personal data and consent. It helps the data controllers to improve their users' experiences and provides them with easy-to-adopt means to comply with the relevant legal and ethical requirements and expectations.

研究の動機と目的

• ユーザーが複雑な同意メカニズムを管理しなければならないという、デジタルシステムにおける個人のプライバシーと意思決定の自由を守るシステム的失敗を是正すること。
• 社会的・技術的フレームワークを通じて、オンラインデータ処理の権力構造をデータコントローラー中心からデータ主体中心のモデルにシフトさせること。
• 法的準拠性と倫理的データ実践を支援する、標準的かつ相互運用可能なプライバシーおよび同意データの通信メカニズムを提供すること。
• 同意バナーの干渉性の高い表示を、プライバシー好みのシームレスで自動化された通信レイヤーに置き換えることで、ユーザー体験を向上させること。
• 持続可能な人間中心のデジタル未来を実現するため、技術者、法的専門家、社会科学者、政策立案者らが協働して取り組める仕組みを創出すること。

提案手法

• ADPCは、HTTPおよびJavaScriptを介して動作する双方向通信プロトコルとして設計されており、ウェブブラウザ、モバイルアプリ、IoTデバイスへの統合を可能としている。
• ユーザーとデータコントローラーの間で、プライバシー関連データ、メタデータ、好み、意思決定、リクエストを、構造的かつ標準的な形式で交換できる。
• ドメイン固有の設計により、ファーザープrint（指紋）のリスクを低減し、データ交換時のユーザーのプライバシーを強化している。
• 拡張性を備えており、DNT や GPC と同様のバイナリ信号を生成できるが、それらに限定されず、同意状態のより豊かな表現を可能としている。
• セキュリティとプライバシーを設計段階から考慮しており、展開環境に応じた補完的セキュリティ対策の実装が想定される。
• 開発は、コンピュータサイエンス、法、社会科学、人文学分野の16名の専門家を対象とした、幅広いアクセス性を考慮した質的・ナラティブ型の質問ベースの協働研究に基づいている。

実験結果

リサーチクエスチョン

• RQ1 標準的かつ双方向性のある通信メカニズムは、オンラインシステムにおける個人の個人データに対するコントロールをどのように向上させ得るか？
• RQ2 現在の同意メカニズムにおける、ユーザーが自らのプライバシー権を効果的に行使できない主な課題は何か？
• RQ3 データコントローラーは、ADPC のような標準化されたプライバシー通信プロトコルを採用することで、準拠性、ユーザー体験、信頼性の面でどのような利益を得られるか？
• RQ4 ADPC は、GDPR や CCPA を含む多様な規制フレームワークにおいて、どのように法的・倫理的準拠性を支援できるか？
• RQ5 多様な分野の協働は、持続可能で人間中心のデータ保護システムを共同で創出する上で、どのような形で貢献できるか？

主な発見

• ADPC は、ユーザーがプライバシーの好みや同意意思決定を標準的かつ機械可読形式で表現できるようにし、曖昧で干渉的なクッキー・バナーへの依存を低減する。
• 双方向通信をサポートすることで、ADPC はデータコントローラーがユーザーの好みに動的に適合できるようになり、透明性とユーザー信頼の向上が図られる。
• プロトコルは、HTTP や JavaScript といった既存のウェブ技術と互換性があり、ブラウザ、モバイルアプリ、IoTデバイスへの展開が可能である。
• ADPC は、DNT や GPC と同様の信号を生成できるが、それらに限定されず、より豊かな、より表現力のあるプライバシー通信を可能としている。
• ADPC の導入により、カスタムの同意管理ソリューションの必要性が最小限に抑えられ、データコントローラーの運用負担が軽減される。
• プロトコルは、デジタルシステム全体にわたり、人間中心的で、責任を伴い、法的に適切で、倫理的な（HALE）データ実践への移行を可能にすることで、デジタルの持続可能性を支援する。