[論文レビュー] When Data Protection Fails to Protect: Law, Power, and Postcolonial Governance in Bangladesh

Pratyasha Saha, Anita Say Chan+1 more|arXiv (Cornell University)|Mar 23, 2026

ICT in Developing Communities被引用数 0

ひとこと要約

要約: 本論文はバングラデシュの新興データ保護体制（PDPO、サイバーセキュリティ条例、NDGO）を分析し、正式な保護が行政支配、執行能力の弱さ、そして正式な安全策を回避するヒューマンブリッジのような社会技術的実践によって制約されていることを示す。

ABSTRACT

Rapid digitization across government services, financial platforms, and telecommunications has intensified the collection and processing of large scale personal data in Bangladesh. In response, the state has introduced multiple regulatory instruments, including the Personal Data Protection Ordinance, the Cyber Security Ordinance, and the National Data Governance Ordinance in 2025. While these initiatives signal an emerging legal regime for data protection, little scholarly work examines how these frameworks operate collectively in practice. This paper presents a legal and institutional analysis of Bangladeshs emerging data protection regime through a systematic review of these three ordinances. Through this review, the paper provides an integrated mapping of Bangladeshs evolving data protection framework and identifies key legal and institutional barriers that undermine the effective protection of citizens personal data. Our findings reveal that this emerging regime is constrained by limited institutional independence, uneven regulatory capacity, and the misaligned legal assumption of individualized, autonomous data subjects. Furthermore, these frameworks invisibilize prevalent sociotechnical layers, such as informal data flows and mediated access via human bridges, rendering formal protections difficult to operationalize. This paper contributes to HCI scholarship by expanding the concept of data protection as a complex sociotechnical design problem shaped by the informal infrastructures of the Global South.

研究の動機と目的

• バングラデシュのPersonal Data Protection Ordinance（個人データ保護条例）、Cyber Security Ordinance（サイバーセキュリティ条例）、National Data Governance Ordinance（国家データガバナンス条例）が個人データガバナンスをいかに共同で構造化するかを整理する。
• 執行を想定する制度的・技術的・社会技術的インフラを特定する。
• 公式なデータ保護法が実務的な保護を提供できない理由を説明する。
• インフォーマルに媒介されるデータフローとガバナンスのギャップを強調することで、脱植民地化研究とHCI研究（ヒューマン–コンピュータ相互作用）に貢献する。

提案手法

• 2025年時点のバングラデシュのデータガバナンス三機関（PDPO、CSO、NDGO）に関する定性的法制度分析。
• 法令の規定と関連法の帰納的主題分析、ベンガル語文本の英訳を含む。
• 紙の権利と実務的保護の間のギャップを説明する構造的失敗論理の開発。
• 権限/裁量、能力、権利の実用性という3つの軸を用いた分析的フレーミング。
• 監視と部門別法との比較を通じた相互作用・重複の理解。

Figure 1. Figure 1 models the structural failure logics of Bangladesh’s data protection regime. Rather than a single point of breakdown, failure emerges from the interaction of three systemic conditions: (1) unconstrained state authority that enables parallel access pathways, (2) weak institutional

実験結果

リサーチクエスチョン

• RQ1 RQ1: バングラデシュのデータ保護に関する法制度は何か？
• RQ2 RQ2: これらの枠組みは執行のためにどのような制度的・技術的インフラを想定しているのか？
• RQ3 RQ3: なぜ既存のデータ保護法は市民を実務上の効果的な保護として機能しないのか？

主な発見

• 規制権限は主に行政部門に埋め込まれており、国家データ処理に対する独立した監視を制限している。
• 広範な国家の免除と行政の上書き権限が、政府データ処理に対する有意味な制約を低下させている。
• 執行は高度なインフラと能力を前提としているが、それがまだ整っておらず、実務的な権利保護を妨げている。
• 権利規定はデジタルインフラ（例：Federated Interoperable Ecosystem、NRDEX、BNDIA）に依存するが、それらは実務で完全には実現されていない。
• 公式なデータ保護はPDPOの安全策外で国家アクセスを規律する部門別監視法と共存している。
• 社会技術的層（非公式の仲介者「ヒューマンブリッジ」など）は正式な規制体制には見えにくく、効果を損なっている。

Figure 2. It illustrates the mismatch between formal data protection logics and their operational reality. Figure 2a shows the legal fiction of direct, rights-based interaction between an autonomous data subject and the data protection framework. Figure 2b demonstrates how this pathway breaks in pra