[論文レビュー] What Are the Chances? Explaining the Epsilon Parameter in Differential Privacy

Priyanka Nanayakkara, Mary Anne Smart+3 more|arXiv (Cornell University)|Mar 1, 2023

Privacy, Security, and Data Protection被引用数 8

ひとこと要約

論文はエンドユーザーへDPプライバシー予算epsilonを伝えるために三つの説明（odds-text、odds-vis、sample reports）を開発し、 vignette研究で評価、oddsベースの説明が客観的リスク理解を向上させ、epsilonが開示されたときデータ共有意向を高めることを示唆します

ABSTRACT

Differential privacy (DP) is a mathematical privacy notion increasingly deployed across government and industry. With DP, privacy protections are probabilistic: they are bounded by the privacy budget parameter, $ε$. Prior work in health and computational science finds that people struggle to reason about probabilistic risks. Yet, communicating the implications of $ε$ to people contributing their data is vital to avoiding privacy theater -- presenting meaningless privacy protection as meaningful -- and empowering more informed data-sharing decisions. Drawing on best practices in risk communication and usability, we develop three methods to convey probabilistic DP guarantees to end users: two that communicate odds and one offering concrete examples of DP outputs. We quantitatively evaluate these explanation methods in a vignette survey study ($n=963$) via three metrics: objective risk comprehension, subjective privacy understanding of DP guarantees, and self-efficacy. We find that odds-based explanation methods are more effective than (1) output-based methods and (2) state-of-the-art approaches that gloss over information about $ε$. Further, when offered information about $ε$, respondents are more willing to share their data than when presented with a state-of-the-art DP explanation; this willingness to share is sensitive to $ε$ values: as privacy protections weaken, respondents are less likely to share data.

研究の動機と目的

• データ提供者へのDPのより良い伝達の必要性を動機づける。
• 技術的詳細なしでepsilonの含意を伝える携帯可能な説明を開発する。
• リスクコミュニケーションと使いやすさのベストプラクティスに基づく説明を作る。
• vignette調査と複数の指標を用いてエンドユーザーによる説明を評価する。

提案手法

• epsilonの三つの説明法を設計する：odds-text、odds-vis、sample reports。
• Laplaceノイズを伴う中央DPの下で職場のデータ共有ビネットに説明を埋め込む。
• 客観的リスク理解、主観的理解、自己効力感、データ共有意向を評価する963名のオンライン調査で説明を評価する。
• 介入設計は3×4×2の因子設計（説明法 × epsilon × シナリオタイプ）と二つの対照説明を含む。
• 真偽問題で客観的理解を算出；主観的理解と自己効力感を調査項目で評価；条件間でデータ共有意向を分析。

実験結果

リサーチクエスチョン

• RQ1 RQ1: どのリスク伝達実践がDP説明の客観的リスク理解、主観的プライバシー理解、自己効力感を最も改善するか？
• RQ2 RQ2: 説明法は人々のデータ共有の意思決定にどのような影響を与えるか？
• RQ3 RQ3: epsilonに関する情報提供は共有意向にどのように影響し、epsilon値とどのように相互作用するか？

主な発見

epsilon	x (Pr[r<r_threshold])	y (Pr[r>r_threshold])
0.1	48	52
0.5	39	61
2	18	82
4	7	93

• オッズベースの説明（odds-text、odds-vis）はサンプル出力の説明と比較して客観的リスク理解を改善する。
• いずれの説明も主観的プライバシー理解を意味的に改善しない。
• オッズベースの説明は、epsilonを省略する最先端の説明に比べてデータ共有意思決定を下すのに十分な情報があると感じさせる。
• サンプルレポート方式は、単純で非確率的な説明と比べて情報十分性の感覚を低下させる。
• epsilonに関する情報提供はepsilonに言及しない説明よりデータ共有意向を高める。
• 共有意向はepsilon値に敏感で、保護が弱い（epsilonが大きい）ほど共有傾向が低下する。