[论文解读] GDPR: Is it worth it? Perceptions of workers who have experienced its implementation

Gerard Buckley, Tristan Caulfield+1 more|arXiv (Cornell University)|May 16, 2024

AI and HR TechnologiesBusiness, Management and Accounting被引用 3

一句话总结

本研究从英国员工在实施和受益于GDPR的双重视角出发，发现尽管存在合规成本，他们仍认为GDPR具有价值。通过对273名和102名员工在实施前、期间和之后的调查，研究显示员工认识到自身权利，观察到工作场所数据保护的实际改善，并认为GDPR有利于隐私保护和企业问责制，从而挑战了监管被视为官僚负担的普遍叙事。

ABSTRACT

The General Data Protection Regulation (GDPR) remains the gold standard in privacy and security regulation. We investigate how the cost and effort required to implement GDPR is viewed by workers who have also experienced the regulations' benefits as citizens: is it worth it? In a multi-stage study, we survey N = 273 & 102 individuals who remained working in the same companies before, during, and after the implementation of GDPR. The survey finds that participants recognise their rights when prompted but know little about their regulator. They have observed concrete changes to data practices in their workplaces and appreciate the trade-offs. They take comfort that their personal data is handled as carefully as their employers' client data. The very people who comply with and execute the GDPR consider it to be positive for their company, positive for privacy and not a pointless, bureaucratic regulation. This is rare as it contradicts the conventional negative narrative about regulation. Policymakers may wish to build upon this public support while it lasts and consider early feedback from a similar dual professional-consumer group as the GDPR evolves.

研究动机与目标

• 从实施GDPR的员工和受益于GDPR的公民的双重视角，考察GDPR perceived价值。
• 评估GDPR合规的感知成本是否被工作场所数据实践中的实际收益所抵消。
• 调查知情专业人士中对GDPR监管机构及其角色的认知程度。
• 探讨员工对GDPR的感知如何影响其对企业数据处理的信任度及监管合法性的认知。

提出的方法

• 在英国同一家组织的273名和102名员工中开展多阶段调查，时间覆盖GDPR实施前、期间和之后。
• 收集有关GDPR权利认知、对监管机构（ICO）的了解、工作场所数据实践变化以及监管影响感知的数据。
• 使用回归分析识别支撑GDPR价值感知的心理模型，重点关注权利认知、观察到的变化以及监管机构认知。
• 将员工对数据处理正向与负向变化的自我报告感知，与对监管合法性和合规性的态度进行对比。

实验结果

研究问题

• RQ1 那些实施GDPR的员工是否也认为其对隐私和企业责任具有益处？
• RQ2 员工对其数据保护监管机构的身份和权力的了解程度如何？
• RQ3 工作场所数据实践中的观察到的变化在多大程度上影响了员工对GDPR净价值的感知？
• RQ4 个人对数据权利的认知在多大程度上塑造了对GDPR整体价值的判断？

主要发现

• 在提示下，参与者能够识别出自己的GDPR权利，但对数据保护监管机构的身份及其权力了解有限。
• 员工观察到工作场所数据处理实践中的具体且积极的变化，包括数据安全性和透明度的提升。
• 尽管承认合规成本的存在，员工仍认为GDPR对公司有益，理由是数据保护能力增强且数据泄露风险降低。
• 当员工观察到更多正向变化且对自己权利理解更有信心时，认为GDPR‘物有所值’的感知最强。
• 若员工对监管机构角色的了解程度不高，他们反而更不容易将GDPR视为负担，表明适度认知存在‘恰到好处’效应。
• 本研究挑战了GDPR是官僚负担的主流叙事，表明实际实施者认为GDPR是隐私保护和组织诚信的净收益。