[论文解读] Covid-19 and contact tracing apps: A review under the European legal framework

Teresa Scantamburlo, Àtia Cortés+5 more|arXiv (Cornell University)|Apr 30, 2020

COVID-19 Digital Contact Tracing参考文献 1被引用 6

一句话总结

本文回顾了在COVID-19疫情期间，基于欧洲法律框架开发的蓝牙接触追踪应用程序，重点强调了如DP-3T和PEPP-PT等隐私保护设计。文章认为，尽管数据最小化和去中心化等技术措施有助于符合GDPR要求，但长期成功取决于通过透明度和包容性治理建立公众信任，而不仅仅是依赖技术本身。

ABSTRACT

In this article, we would like to review the main technologies that have been proposed so far to fight the spread of the virus. Also, we would like to give an overview of the policy recommendations that some European organisations have put forward in these regards. Finally, we conclude with some considerations we would like to present to public attention and discussion.

研究动机与目标

• 分析欧洲在COVID-19疫情期间部署的接触追踪应用程序的技术与法律框架。
• 评估所提出的接触追踪技术与GDPR原则（尤其是数据最小化和隐私默认设计）的契合度。
• 评估公众信任与制度合法性在数字接触追踪工具采纳与有效性中的作用。
• 审查欧洲机构（如欧洲数据保护委员会（EDPB）和欧洲委员会）的政策建议。
• 倡导以人为本的方法，通过透明、包容和负责的治理，补充技术保障措施。

提出的方法

• 对接触追踪技术（包括蓝牙低能耗（BLE）、GPS和自我报告调查）进行系统性回顾。
• 分析去中心化隐私保护近距离追踪（DP-3T）和泛欧洲隐私保护近距离追踪（PEPP-PT）等隐私保护协议。
• 通过数据最小化、目的限制以及危机后系统平稳停用等原则，评估与GDPR的合规性。
• 回顾欧洲委员会和EDPB发布的政策文件与指南，特别是关于位置数据和接触追踪的指南04/2020。
• 通过案例研究和公众意见数据，评估伦理与社会风险，包括数字鸿沟和监控过度扩张。
• 整合法律、计算机科学和社会科学等跨学科视角，评估数字接触追踪的更广泛影响。

实验结果

研究问题

• RQ1 基于蓝牙的接触追踪应用程序（如DP-3T和PEPP-PT）如何确保符合GDPR原则（如数据最小化和隐私默认设计）？
• RQ2 集中式与去中心化架构在接触追踪应用程序中的关键差异是什么？它们如何影响用户隐私与系统安全性？
• RQ3 欧洲委员会与EDPB的政策指南在多大程度上支持欧盟成员国间统一、互操作且尊重隐私的接触追踪方法？
• RQ4 公众信任在接触追踪应用程序采纳与有效性中扮演何种角色？除了技术保障外，如何建立这种信任？
• RQ5 在公共卫生紧急状态下部署接触追踪技术的长期社会风险是什么？如何通过治理与法律框架加以缓解？

主要发现

• 基于蓝牙的接触追踪应用程序，特别是采用去中心化架构（如DP-3T）的方案，相较于GPS或集中式系统，提供了更具隐私保护的替代方案，显著降低了数据重新识别的风险。
• 欧洲数据保护委员会（EDPB）和欧洲委员会明确支持基于BLE的解决方案，因其在近距离检测中的精确性，以及减少了对不必要的移动数据的收集。
• 尽管有技术保障措施，仅靠隐私默认设计仍不足够；持续的公众信任需要透明沟通、包容性对话和负责任的数据治理。
• 弗拉芒地区的一项调查显示，50%的受访者愿意自愿安装接触追踪应用程序，表明若建立信任，公众接受度具有潜力。
• EDPB强调，基本权利与有效的疫情应对并非相互排斥，数据保护原则可增强而非阻碍公共卫生干预。
• 缺乏统一的欧洲框架可能削弱GDPR保护，凸显了制定互操作、全欧盟范围标准的必要性，以确保一致的数据治理。