[論文レビュー] GDPR: Is it worth it? Perceptions of workers who have experienced its implementation

Gerard Buckley, Tristan Caulfield+1 more|arXiv (Cornell University)|May 16, 2024

AI and HR TechnologiesBusiness, Management and Accounting被引用数 3

ひとこと要約

本研究は、英国の労働者がGDPRを実施する側でありながらも受益者であるという二重の視点から、合意費用を伴いながらもそれが価値あるものであると認識していることを調査した。273名と102名の従業員を、導入前・導入中・導入後にかけて調査した結果、従業員は自身の権利を認識しており、職場におけるデータ保護の実態的な改善を観察し、GDPRがプライバシーおよび企業の責任体制に有益であると見なしている。これは、規制が官僚的負担であるという一般的な物語に挑戦するものである。

ABSTRACT

The General Data Protection Regulation (GDPR) remains the gold standard in privacy and security regulation. We investigate how the cost and effort required to implement GDPR is viewed by workers who have also experienced the regulations' benefits as citizens: is it worth it? In a multi-stage study, we survey N = 273 & 102 individuals who remained working in the same companies before, during, and after the implementation of GDPR. The survey finds that participants recognise their rights when prompted but know little about their regulator. They have observed concrete changes to data practices in their workplaces and appreciate the trade-offs. They take comfort that their personal data is handled as carefully as their employers' client data. The very people who comply with and execute the GDPR consider it to be positive for their company, positive for privacy and not a pointless, bureaucratic regulation. This is rare as it contradicts the conventional negative narrative about regulation. Policymakers may wish to build upon this public support while it lasts and consider early feedback from a similar dual professional-consumer group as the GDPR evolves.

研究の動機と目的

• GDPRの価値を、それを実施する従業員とそれを受益する市民という二重の視点から検討すること。
• GDPR適合に伴う認識上のコストが、職場におけるデータ管理の実態的改善によって上回られているかどうかを評価すること。
• 関係者が関与する専門家層における、GDPR監視機関およびその役割に関する認識の程度を調査すること。
• 従業員がGDPRにどのように認識しているかが、企業のデータ管理に対する信頼および規制の正当性に与える影響を明らかにすること。

提案手法

• 英国の同一組織に所属する273名と102名の従業員を対象に、GDPR導入前・中・後に複数段階のアンケート調査を実施した。
• GDPRの権利に関する認識、規制当局（ICO）の知識、職場におけるデータ管理の変化、規制の影響に関する認識のデータを収集した。
• 回帰分析を用いて、GDPRの価値に関する認識の背後にあるメンタルモデルを特定し、認識、観察された変化、規制当局の知識に焦点を当てた。
• 自己申告によるデータ管理の前向き・前向きでない変化と、規制の正当性および適合に対する態度を比較した。

実験結果

リサーチクエスチョン

• RQ1 GDPRを実施する従業員は、プライバシーおよび企業の責任体制の観点からもそれが有益であると認識しているか？
• RQ2 従業員は、自身のデータ保護当局の身元と権限をどの程度認識しているか？
• RQ3 職場におけるデータ管理の実態的変化が、従業員がGDPRの純粋な価値をどのように認識しているかにどのように影響しているか？
• RQ4 個人が自身のデータ権利を認識していることが、GDPR全体の価値に関する認識にどのように影響しているか？

主な発見

• 参加者は、誘導された場合にはGDPRの権利を認識していたが、自身のデータ保護当局の身元や権限については知識が限定的であった。
• 従業員は、職場におけるデータセキュリティの向上や透明性の向上といった、具体的で肯定的なデータ管理の変化を観察していた。
• 適合コストを認めつつも、従業員はGDPRが会社にとって有益であると見なしており、より強固なデータ保護と侵害リスクの低減を挙げていた。
• GDPRが『価値がある』と感じられる度合いは、前向きな変化をより多く観察し、自身の権利の理解に自信を持つ人々で最も強かった。
• 規制当局の役割についての知識が高くない従業員は、GDPRを負担と感じにくい傾向にあり、中程度の認識が適切なバランス（『ゴールディロック効果』）を示していると考えられた。
• 本研究は、GDPRが官僚的負担であるという支配的物語に挑戦し、実際にそれを実施する人々が、プライバシーおよび組織的整合性の観点から、それがネットでプラスの影響を与えていると見なしていることを示している。