[論文レビュー] Covid-19 and contact tracing apps: A review under the European legal framework

Teresa Scantamburlo, Àtia Cortés+5 more|arXiv (Cornell University)|Apr 30, 2020

COVID-19 Digital Contact Tracing参考文献 1被引用数 6

ひとこと要約

この論文は、COVID-19パンデミック期におけるヨーロッパの法的枠組み下で開発されたBluetoothベースの接触追跡アプリをレビューし、DP-3T や PEPP-PT といったプライバシー保護設計の重要性を強調している。技術的措置としてのデータ最小化や分散型アーキテクチャはGDPR準拠を支援するが、長期的な成功は技術そのものではなく、透明性と包摂的ガバナンスを通じた公的信頼の構築にかかっていると主張している。

ABSTRACT

In this article, we would like to review the main technologies that have been proposed so far to fight the spread of the virus. Also, we would like to give an overview of the policy recommendations that some European organisations have put forward in these regards. Finally, we conclude with some considerations we would like to present to public attention and discussion.

研究の動機と目的

• COVID-19パンデミック期にヨーロッパで展開された接触追跡アプリの技術的および法的枠組みを分析すること。
• 提案された接触追跡技術が、特にデータ最小化とプライバシー・バイ・デザインの原則にどのように適合しているかを評価すること。
• デジタル接触追跡ツールの採用と有効性における公的信頼および制度的正当性の役割を評価すること。
• ヨーロッパデータ保護委員会（EDPB）や欧州委員会が発行した政策提言を検討すること。
• 技術的セーフティーハーバードに加え、透明性、包摂的、説明責任のあるガバナンスを組み合わせた人間中心のアプローチを提唱すること。

提案手法

• Bluetooth Low Energy（BLE）、GPS、自己申告型アンケート調査を含む接触追跡技術の体系的レビュー。
• 分散型プライバシー保護近接追跡（DP-3T）およびパンヨーロッパ型プライバシー保護近接追跡（PEPP-PT）などのプライバシー保護プロトコルの分析。
• データ最小化、目的制限、危機後におけるシステムの段階的解体といった原則を通じたGDPR準拠の評価。
• 特に位置情報と接触追跡に関する指針04/2020を含む、欧州委員会およびEDPBが発行した政策文書およびガイドラインのレビュー。
• ケーススタディおよび公衆世論データを通じた、デジタル格差や監視の過剰な拡大といった倫理的・社会的リスクの評価。
• 法、コンピュータサイエンス、社会科学の分野の統合的視点を統合し、デジタル接触追跡の広範な影響を評価すること。

実験結果

リサーチクエスチョン

• RQ1 DP-3T や PEPP-PT といったBluetoothベースの接触追跡アプリは、データ最小化やプライバシー・バイ・デザインといったGDPRの原則をどのように満たしているか？
• RQ2 中央集権型と分散型アーキテクチャの接触追跡アプリにはどのような主な相違点があり、それらがユーザーのプライバシーやシステムのセキュリティにどのように影響を与えるか？
• RQ3 欧州委員会およびEDPBが発行した政策ガイドラインは、EU加盟国間で統一的かつ相互運用可能で、プライバシーに配慮した接触追跡アプローチをどの程度支援しているか？
• RQ4 公的信頼は接触追跡アプリの採用と有効性にどのような役割を果たし、技術的措置を超えてどのように育てていくことができるか？
• RQ5 公衆衛生緊急事態の際における接触追跡技術の導入がもたらす長期的社會的リスクは何か、そしてガバナンスおよび法的枠組みを通じてどのように軽減できるか？

主な発見

• 特にDP-3Tのような分散型アーキテクチャを採用したBluetoothベースの接触追跡アプリは、GPSや中央集権型システムに比べ、データ再識別リスクを低減するよりプライバシー保護に配慮した代替手段を提供する。
• ヨーロッパデータ保護委員会（EDPB）および欧州委員会は、近接検出の正確性と不要な移動データ収集の低減という点で、BLEベースのソリューションを明確に支持している。
• 技術的措置があるにもかかわらず、プライバシー・バイ・デザインだけでは不十分である。持続的な公的信頼を得るには、透明なコミュニケーション、包摂的対話、責任あるデータガバナンスが不可欠である。
• フラマン地方の調査では、50％の回答者が自発的に接触追跡アプリをインストールすることに同意しており、信頼が確立されれば公的受容の可能性が示唆されている。
• EDPBは、基本的人権と効果的なパンデミック対応は互いに排他的ではないと強調し、データ保護の原則は公衆衛生対策を妨げるのではなく、むしろ強化するとした。
• 統一されたヨーロッパ枠組みの不在は、GDPR保護の根幹を揺るがすおそれがあり、一貫性のあるデータガバナンスを確保するためには、相互運用可能で連合域にわたる基準の整備が不可欠である。