[論文レビュー] Exploring the Relationships between Privacy by Design Schemes and Privacy Laws: A Comparative Analysis

Atheer Aljeraisy, Masoud Barati+2 more|ORCA Online Research @Cardiff (Cardiff University)|Oct 6, 2022

Privacy, Security, and Data Protection参考文献 3被引用数 4

ひとこと要約

本論文は、GDPR、PIPEDA、CCPA、APPs、およびニュージーランド個人情報保護法1993年を含む5つの主要な国際的プライバシー法から、鍵となる原則と個人の権利を調和させることで、統合プライバシー法枠組み（CPLF）を提案する。この枠組みは、既存のプライバシー・バイ・デザイン（PbD）スキームと照合されている。研究では、現在のPbDパターンにおけるギャップを特定し、データポータビリティや苦情処理メカニズムといったコアな権利を十分に支援していないことが判明しており、ソフトウェア開発における法的適合性と技術的実装の間には、深刻な乖離が生じていることが浮き彫りになっている。

ABSTRACT

Internet of Things (IoT) applications have the potential to derive sensitive information about individuals. Therefore, developers must exercise due diligence to make sure that data are managed according to the privacy regulations and data protection laws. However, doing so can be a difficult and challenging task. Recent research has revealed that developers typically face difficulties when complying with regulations. One key reason is that, at times, regulations are vague, and could be challenging to extract and enact such legal requirements. In our research paper, we have conducted a systematic analysis of the data protection laws that are used across different continents, namely: (i) General Data Protection Regulations (GDPR), (ii) the Personal Information Protection and Electronic Documents Act (PIPEDA), (iii) the California Consumer Privacy Act (CCPA), (iv) Australian Privacy Principles (APPs), and (v) New Zealand's Privacy Act 1993. In this technical report, we presented the detailed results of the conducted framework analysis method to attain a comprehensive view of different data protection laws and highlighted the disparities, in order to assist developers in adhering to the regulations across different regions, along with creating a Combined Privacy Law Framework (CPLF). After that, we gave an overview of various Privacy by Design (PbD) schemes developed previously by different researchers. Then, the key principles and individuals' rights of the CPLF were mapped with the privacy principles, strategies, guidelines, and patterns of the Privacy by Design (PbD) schemes in order to investigate the gaps in existing schemes.

研究の動機と目的

• 主な国際的データ保護法にわたるコアなプライバシー原則および個人の権利を同定し、調和化すること。
• ソフトウェア開発者による国境を越えた適合性を可能にする統一された統合プライバシー法枠組み（CPLF）を構築すること。
• 既存のプライバシー・バイ・デザイン（PbD）スキームとCPLFの原則／権利との整合性を評価すること。
• 法的権利の実施、特に技術的実装に関する現在のPbDパターンにおけるギャップを同定すること。
• 多様な規制環境において法的適合性を支援するPbDパターンの適切な選定を、開発者にガイドすること。

提案手法

• GDPR、PIPEDA、CCPA、APPs、およびニュージーランド個人情報保護法1993年という5つの主要なプライバシー法について、体系的かつ比較的分析を行う。
• 各法から鍵となる原則と個人の権利を抽出・マッピングし、統合プライバシー法枠組み（CPLF）を構築する。
• 既存のプライバシー・バイ・デザイン（PbD）スキーム（原則、戦略、ガイドライン、パターンを含む）を調査・分類する。
• 2つの基準（直接的（•）および間接的（○）な関係）を用いて、CPLFの原則／権利とPbDパターンとの間の相関行列を確立する。
• 各PbDパターンがCPLFの構成要素をどの程度カバーしているかを分析し、満たされていない法的要件を同定する。
• 組織的または手続的性質に起因するため、開発段階で技術的に実装できない法律規定を特定する。

実験結果

リサーチクエスチョン

• RQ1 どのコアなプライバシー原則および個人の権利が、主要な国際的プライバシー法に一貫して存在するか？
• RQ2 既存のプライバシー・バイ・デザイン（PbD）パターンは、統合プライバシー法枠組み（CPLF）で定義された原則および権利をどの程度サポートしているか？
• RQ3 CPLFのどの原則および権利が、いかなる既存のPbDパターンでもカバーされておらず、その理由は何か？
• RQ4 PbDパターンとプライバシー法要件との完全な整合性を阻害する技術的および法的障壁は何か？
• RQ5 開発者はどのようにして、国境を越えたプライバシー規制適合性を確保できるPbDパターンを選定できるか？

主な発見

• 統合プライバシー法枠組み（CPLF）は、GDPR、PIPEDA、CCPA、APPs、およびニュージーランド個人情報保護法1993年を含む5つの主要なデータ保護法から、コアなプライバシー原則および個人の権利を効果的に統合した。
• 多くのPbDパターンはCPLFの複数の原則や権利に関連しているため、相互適合性の可能性が高く示唆されるが、『ブランケット戦略の抑制』や『相互性』といった一部のパターンは、限定的な整合性を示している。
• 『出所』『個人データの国境を越えた開示』『不適切なデータの取り扱い』『識別子の採用、使用、開示』といった原則は、オーストラリアおよびニュージーランドに特有であり、したがって大多数のPbDパターンがカバーしていない。
• 『データポータビリティの権利』『苦情を申し立てることの権利』『差別のを受けることのない権利』は、分析されたすべてのPbDパターンがサポートしていないため、顕著な技術的ギャップが存在することが示された。
• 内部ガバナンスや執行メカニズムに関係するような、組織的または手続的適合性を要する法律規定は、技術的PbDパターンでは実装できないため、法と実装の間に乖離が生じている。
• 本研究は、PbDパターンが技術的プライバシー制御には効果的であるが、法的手続きまたは制度的メカニズムに依存する権利の実施には不十分であることを明らかにした。