[论文解读] The control over personal data: True remedy or fairy tale ?

Christphe Lazaro, Daniel Le Métayer|arXiv (Cornell University)|Apr 15, 2015

Privacy, Security, and Data Protection被引用 5

一句话总结

本文批判性地审视了数据保护话语中关于个人数据'控制'的概念，认为尽管该概念在欧盟政策和公共讨论中被广泛推崇，但其内涵仍模糊不清且在技术上不切实际。通过法律与技术分析，本文揭示了当前的数据控制机制未能真正赋予个人实质性自主权，表明'控制'范式在现实社会技术系统中更像是一种神话，而非切实可行的解决方案。

ABSTRACT

This research report undertakes an interdisciplinary review of the concept of "control" (i.e. the idea that people should have greater "control" over their data), proposing an analysis of this con-cept in the field of law and computer science. Despite the omnipresence of the notion of control in the EU policy documents, scholarly literature and in the press, the very meaning of this concept remains surprisingly vague and under-studied in the face of contemporary socio-technical environments and practices. Beyond the current fashionable rhetoric of empowerment of the data subject, this report attempts to reorient the scholarly debates towards a more comprehensive and refined understanding of the concept of control by questioning its legal and technical implications on data subjectâs agency.

研究动机与目标

• 批判性评估'控制'作为数据保护政策核心原则在概念与实践上的可行性。
• 识别理想化的用户控制概念与其在数字系统中实际实施之间的差距。
• 分析法律框架与技术系统为何尽管广泛推广数据控制，却仍未能赋予个人实际赋能。
• 通过质疑数据主体通过控制实现赋权的假设，重新构建学术话语。

提出的方法

• 对法律文件、计算机科学文献及数据控制相关媒体话语进行跨学科综述。
• 分析欧盟政策中数据控制的法律基础，特别是类似GDPR的原则。
• 评估现实系统中数据控制机制的技术实现。
• 将用户自主性的理论模型与实际用户行为及系统设计约束进行比较。
• 运用概念分析揭示赋权修辞与技术限制之间的矛盾。
• 应用批判理论评估在复杂社会技术环境中，控制作为补救措施的可行性。

实验结果

研究问题

• RQ1 '控制'在法律与技术语境中，对个人数据的实际含义是什么？
• RQ2 为何尽管'控制'在数据保护政策中占据核心地位，其承诺仍被视为一种神话？
• RQ3 当前技术系统在多大程度上与用户控制的理想相一致或相矛盾？
• RQ4 在现有数据控制机制下，数据主体在多大程度上能行使有意义的自主权？
• RQ5 实践中存在哪些系统性障碍阻碍了有效数据控制？

主要发现

• 个人数据'控制'的概念在法律与技术领域中仍表述不清且应用不一致。
• 尽管政策广泛支持，但实际技术实现未能赋予个人真正意义上的自主权。
• 如GDPR等法律框架依赖'控制'的隐喻，却未阐明其操作含义或可行性。
• 用户界面与系统设计常掩盖或错误呈现控制机制，导致用户困惑与无力感。
• 控制的修辞掩盖了数据处理生态系统中的深层结构性问题，尤其是用户与数据处理者之间的权力失衡。
• 本文结论认为，'控制'在当代数据治理中更像一种象征性承诺，而非功能性补救措施。