[論文レビュー] Privacy Violations in Election Results

Shiro Kuriwaki, Jeffrey B. Lewis+1 more|arXiv (Cornell University)|Aug 8, 2023

Internet Traffic Analysis and Secure E-votingComputer Science被引用数 3

ひとこと要約

この論文は、米国選挙後の個々の投票記録（キャスト・ボート記録）の公開が引き起こすプライバシー上のリスクを実証的に評価している。アリゾナ州マリコパ郡の2020年データを用いて、投票内容の露光が全投票の0.2%未塔にとどまること、また、複数の選挙で投票された有権者のうち0.17%が潜在的に露光のリスクを負うことが判明した。これは、キャスト・ボート記録を公開しても、投票秘密の侵害が顕著に及ばないことを示唆している。

ABSTRACT

After an election, should election officials release a copy of each anonymous ballot? Some policymakers have championed public disclosure to counter distrust, but others worry that it might undermine ballot secrecy. We introduce the term vote revelation to refer to the linkage of a vote on an anonymous ballot to the voter's name in the public voter file, and detail how such revelation could theoretically occur. Using the 2020 election in Maricopa County, Arizona, as a case study, we show that the release of individual ballot records would lead to no revelation of any vote choice for 99.83% of voters as compared to 99.95% under Maricopa's current practice of reporting aggregate results by precinct and method of voting. Further, revelation is overwhelmingly concentrated among the few voters who cast provisional ballots or federal-only ballots. We discuss the potential benefits of transparency, compare remedies to reduce or eliminate privacy violations, and highlight the privacy-transparency tradeoff inherent in all election reporting.

研究の動機と目的

• 異なる選挙報告制度下における投票露光の範囲を実証的に評価すること。特に、個々のキャスト・ボート記録の公開を含むものである。
• 小規模な選挙区および方法コードが付与されたキャスト・ボート記録を公開することは、投票秘密に顕著な脅威をもたらすのかを評価すること。
• 実際のプライバシーのリスクを踏まえると、現在の手法である結果にランダムノイズを加えることは、必要以上に過剰であるのではなかろうかを検討すること。
• 透明性を損なわせることなく、プライバシー侵害をさらに低減できる構造的・手続的改革を同定すること。
• 現実の自治体におけるデータドリブンな知見を基に、選挙管理における透明性とプライバシーのトレードオフを支援する情報提供を行うこと。

提案手法

• 2020年一般選挙におけるアリゾナ州マリコパ郡の、すべての個人レベルのキャスト・ボート記録を用いた。
• 名前、住所、投票行動状況を含む公開済みの有権者ファイルと匿名化された投票選択肢を照合することで、投票露光をモデル化した。
• 集計された選挙区結果、選挙区および方法コードが付与されたキャスト・ボート記録、および完全な個人投票記録の各レポート制度における、一意の照合確率を測定した。
• 小規模または分割された選挙区およびレアな投票スタイルを使用する有権者に注目し、プライバシーリスクの分布を分析した。
• 代替的な選挙区再編および有権者ファイルの変更が、照合可能性を低減する影響を評価した。
• さまざまなシナリオ下で、個人に一意に照合可能な投票の割合を推定するために統計的分析を用いた。

Figure 1 : Schematic of Potential Privacy Violation by Vote Revelation. Panel A shows a Venn diagram of how quasi-identifiers could link sensitive vote choice to non-sensitive personally identifying information. Panel B depicts our definition of precincts and ballot styles in an example of an area s

実験結果

リサーチクエスチョン

• RQ1 キャスト・ボート記録が公開された場合、実際にどの程度の投票露光が発生するのか？
• RQ2 選挙区および方法コードが付与されたキャスト・ボート記録を公開するリスクは、集計結果のみを公開する場合と比べてどの程度高いのか？
• RQ3 どの有権者グループが投票露光のリスクに最も晒されているのか。その理由は何か？
• RQ4 選挙区再編や有権者ファイルの属性変更といった構造的改革は、透明性を損なわず、プライバシー侵害を低減できるのか？
• RQ5 実際のプライバシー脅威を踏まえると、結果にランダムノイズを加える現在の慣行は正当化されるのか？

主な発見

• マリコパ郡2020年選挙において、キャスト・ボート記録を公開すると、大統領選挙の有権者の約0.0003%が投票内容を露光される可能性がある。
• 本研究の対象となった200万人の有権者のうち、約0.17%が参加した60の選挙のいずれかで自身の投票が露光される可能性がある。
• 選挙区および方法コードが付与されたキャスト・ボート記録を公開することは、標準的な集計選挙区および方法結果を公開するのと同等の露光リスクである。
• プライバシーリスクは一様に分布していない。小規模または分割された選挙区に所属する有権者、および稀な投票スタイルを使用する有権者は、より高いリスクを負っている。
• 投票露光のリスクは非常に低いので、すべてのキャスト・ボート記録を公開から除外することは、実際のプライバシー上の利益に対して過剰である可能性がある。
• 選挙区数の削減や有権者ファイルの属性変更といった構造的改革により、プライバシー上の脆弱性をさらに低減できる可能性がある。

Figure 2 : Contests with More Revelation . A boxplot showing the fraction of eligible votes revealed by unanimous results in the precinct–method reporting regime. Each point represents a contest, and we group together contests by type. The solid bars indicate the median, the box indicates the first