[论文解读] Privacy Violations in Election Results

Shiro Kuriwaki, Jeffrey B. Lewis+1 more|arXiv (Cornell University)|Aug 8, 2023

Internet Traffic Analysis and Secure E-votingComputer Science被引用 3

一句话总结

本文实证评估了在美国大选后公开邮寄选票记录——即个人选票记录——所涉及的隐私风险。基于亚利桑那州马里科帕县2020年的数据，研究发现，选票泄露仅影响不到0.2%的选票，跨竞选活动的选民中仅有0.17%可能暴露，表明公开邮寄选票记录并不会显著损害选票秘密性。

ABSTRACT

After an election, should election officials release a copy of each anonymous ballot? Some policymakers have championed public disclosure to counter distrust, but others worry that it might undermine ballot secrecy. We introduce the term vote revelation to refer to the linkage of a vote on an anonymous ballot to the voter's name in the public voter file, and detail how such revelation could theoretically occur. Using the 2020 election in Maricopa County, Arizona, as a case study, we show that the release of individual ballot records would lead to no revelation of any vote choice for 99.83% of voters as compared to 99.95% under Maricopa's current practice of reporting aggregate results by precinct and method of voting. Further, revelation is overwhelmingly concentrated among the few voters who cast provisional ballots or federal-only ballots. We discuss the potential benefits of transparency, compare remedies to reduce or eliminate privacy violations, and highlight the privacy-transparency tradeoff inherent in all election reporting.

研究动机与目标

• 实证评估在不同选举报告制度下，包括公开个人邮寄选票记录在内的选票泄露程度。
• 评估发布按选区和投票方式编码的详细邮寄选票记录是否对选票秘密构成重大威胁。
• 检验当前做法（如在结果中添加随机噪声）是否在实际隐私风险面前合理，或是否过度。
• 识别可进一步降低隐私违规行为的结构性与程序性改革，同时不损害透明度。
• 基于真实司法管辖区的数据驱动洞察，为选举管理中的透明度与隐私权衡提供建议。

提出的方法

• 使用了亚利桑那州马里科帕县2020年大选中的完整个人选票记录数据集。
• 通过将匿名选票选择与包含姓名、地址和投票参与状态的公开选民档案进行匹配，模拟选票泄露。
• 衡量在不同报告制度下唯一匹配的概率：汇总选区结果、按选区和投票方式编码的邮寄选票记录，以及完整的个人选票记录。
• 分析隐私风险在选民中的分布情况，重点关注小型或分裂选区以及罕见选票样式。
• 评估替代性选区重划和选民档案修改对降低匹配可能性的影响。
• 使用统计分析估算在各种情景下，可能被唯一关联到个人的选票比例。

Figure 1 : Schematic of Potential Privacy Violation by Vote Revelation. Panel A shows a Venn diagram of how quasi-identifiers could link sensitive vote choice to non-sensitive personally identifying information. Panel B depicts our definition of precincts and ballot styles in an example of an area s

实验结果

研究问题

• RQ1 当邮寄选票记录被公开时，实际的选票泄露范围有多大？
• RQ2 与仅发布汇总结果相比，发布按选区和投票方式编码的邮寄选票记录的隐私风险如何？
• RQ3 哪些选民子群体最易遭受选票泄露？原因是什么？
• RQ4 结构性改革（如选区重划或选民档案修改）是否能在不损害透明度的前提下减少隐私违规？
• RQ5 当前在结果中添加随机噪声的做法是否由实际隐私威胁所合理支持？

主要发现

• 在马里科帕县2020年大选中，公开邮寄选票记录可能导致约0.0003%的总统选票被泄露。
• 研究中约200万选民中的0.17%可能在他们参与的60场竞选中的至少一场中其选票被泄露。
• 按选区和投票方式编码的邮寄选票记录的公开，其泄露风险与仅发布标准汇总选区和投票方式结果无异。
• 隐私风险并非均匀分布；小型或分裂选区的选民以及使用罕见选票样式的选民面临更高风险。
• 选票泄露风险足够低，因此将所有邮寄选票记录屏蔽在公众访问之外可能与实际隐私收益不成比例。
• 结构性改革（如减少小型报告单位数量、修改选民档案属性）可进一步降低隐私漏洞。

Figure 2 : Contests with More Revelation . A boxplot showing the fraction of eligible votes revealed by unanimous results in the precinct–method reporting regime. Each point represents a contest, and we group together contests by type. The solid bars indicate the median, the box indicates the first