文脈の整合性

文脈的整合性は、ヘレン・ニッセンバウムによって開発され、著書『文脈におけるプライバシー：テクノロジー、ポリシー、および社会生活の整合性』で発表されたプライバシー理論です。^[1]これは、4つの重要な記述的主張で構成されています。

• プライバシーは適切な情報の流れによって提供されます。
• 適切な情報フローは、文脈情報規範に準拠したものである。
• 文脈的情報規範とは、データ主体、送信者、受信者、情報の種類、伝達原則という5つの独立したパラメータを指します。
• プライバシーの概念は、時間の経過とともに変化する倫理的な懸念に基づいています

文脈的整合性は、プライバシーを自分自身に関する情報の制御、秘密、またはプライベートまたは機密の個人情報の規制と 定義する理論に対する反応として見ることができます。

このため、文脈の整合性は、公正情報慣行原則に基づくプライバシー規制と矛盾することになります。また、プライバシーを保護することは、データ収集を中止することや、すべての情報の流れをブロックすること、データの流れを最小限に抑えること、情報漏洩を止めることではないため、新たに発見された暗号技術がデジタル時代のプライバシーを保証するという1990年代のサイファーパンクの見解とも一致しません。^[2]

文脈の完全性を構成する 4 番目の重要な主張は、プライバシーに倫理的な地位を与え、多くの場合は新しい社会技術システムによる情報規範の進化と変更を可能にします。これは、実践と規範が次の観点から評価できると主張しています。

• 影響を受ける当事者の利益と嗜好への影響
• 倫理的、政治的（社会的）原則と価値観をどれだけ維持しているか
• 文脈上の機能、目的、価値をどれだけ促進できるか

これらの考慮事項の中で最も特徴的なのは 3 番目です。したがって、コンテキストの整合性は、個人だけでなく、社会やそれぞれの社会的領域にとってのプライバシーの重要性を強調します。

コンテキスト整合性の「コンテキスト」は、社会的な領域、直感的には、健康、金融、市場、家族、市民、政治などです。データ転送操作を説明するために選ばれた 5 つの重要なパラメータは次のとおりです。

1. データ主体
2. データの送信者
3. データの受信者
4. 情報の種類
5. 伝達原理。

西洋社会における文脈的情報規範の例には次のようなものがあります。

• 就職面接では、面接官は応募者の宗教的所属について質問することは禁じられている。
• 司祭は信徒の告解を誰とも共有してはならない
• 米国民は、法律で義務付けられている場合を除き、機密保持の条件の下で、総所得をIRSに開示する義務がある。
• 友人の秘密を他人に話すことはできないかもしれないが、配偶者には話せるかもしれない。
• 親は子供の学業成績を監視すべきである

データ主体の例には、患者、買い物客、投資家、読者などが挙げられます。情報送信者の例としては、銀行、警察、広告ネットワーク、友人などが挙げられます。データ受信者の例には、銀行、警察、友人などが挙げられます。情報タイプの例としては、電子メール メッセージの内容、データ主体の人口統計情報、経歴情報、医療情報、財務情報などが挙げられます。送信原則の例には、同意、強制、盗難、購入、販売、機密保持、管理、令状による裁判所の権限に基づく行動、国家安全保障などが挙げられます。

重要な論点は、情報フローのプライバシーへの影響を評価するには、5つのパラメータの値をすべて指定する必要があるというものです。ニッセンバウムは、5つのパラメータを指定しないアクセス制御ルールは不完全であり、問​​題のある曖昧さにつながる可能性があることを発見しました。^[3]

ニッセンバウムは、ある種の言語は分析を誤った方向に導く可能性があると指摘しています。たとえば、受動態を使用してデータの移動を説明すると、話し手は能動的なエージェントがデータ転送を実行しているという事実を無視することができます。たとえば、「アリスは自分の個人情報を盗まれました」という文では、話し手は誰かまたは何かが実際にアリスの個人情報を盗んだという事実を無視することができます。「ボブの破産記録はオンラインに置かれていたため、キャロルはそれを見つけることができました」と言うと、誰かまたは何らかの組織が実際に裁判所から破産記録を収集し、それらの記録をオンラインに配置したという事実を暗黙的に無視していることになります。

次のような規範を考えてみましょう。「米国居住者は、法律により、氏名、住所、社会保障番号、総収入などの情報を厳重な機密保持の条件で米国国税庁に納税申告書を提出することが義務付けられています。」

• データ主体: 米国居住者
• 送信者: 同じ米国居住者
• 受取人: 米国国税庁
• 情報の種類: 税務情報
• 送信原則: 受信者は情報を厳重に機密に保持します。

この規範を踏まえて、次のような仮説的なシナリオを評価し、それが文脈整合性規範に違反しているかどうかを確認できます。「米国国税庁は、新聞社の記者の要請に応じて、アリスの納税申告書を市営新聞社に提供することに同意します。」この仮説は、税務情報を地方新聞社に提供することは、その情報を入手した際の伝達原則に違反するため、明らかに文脈整合性に違反しています。

概念フレームワークとして、コンテキスト整合性は、さまざまなプラットフォーム (Web、スマートフォン、IoT システムなど) 上の社会技術システムのプライバシーへの影響を分析および理解するために使用されており、これらのプライバシーの問題の研究と対処に役立つ多くのツール、フレームワーク、およびシステム設計につながっています。

ニッセンバウム氏は著書『Privacy In Context: Technology, Policy, and the Integrity of Social Life』で、公共データに関連するプライバシー問題について論じ、Google ストリートビューのプライバシーに関する懸念や、以前は紙ベースだった公共記録をデジタル形式に変換してオンライン化することで生じる問題などを例に挙げた。近年、ソーシャルメディアの文脈で同様の問題が起こり、この議論が再燃している。

Shiらは、文脈整合性の枠組みを利用して、人々がどのように対人情報の境界を管理するかを調査しました。彼らは、情報アクセスの規範は、誰が情報を閲覧すると予想されるかに関連していることを発見しました。^{[4]研究者は、より物議を醸す社会的出来事、例えば}Facebookとケンブリッジ・アナリティカのデータスキャンダルにも文脈整合性を適用しました^[5]

文脈の完全性の概念は、ソーシャルメディアデータを使った研究活動の倫理規範にも影響を与えています。Fieslerらは、Twitterデータを分析したり、論文で結果を報告したり、実際のツイートを引用したりする研究活動に対するTwitterユーザーの認識と認識を調査しました。その結果、ユーザーの懸念は、研究を行っている人物や研究の目的など、文脈的要因に大きく依存していることが判明しました。これは文脈の完全性理論と一致しています。^[6]

スマートフォンを介した個人データの収集、配布、使用によって引き起こされるプライバシーの懸念は、さまざまな関係者から大きな注目を集めています。コンピュータサイエンスの研究では、機密性の高い個人データ（地理位置情報、ユーザーアカウントなど）がアプリ内をどのように流れ、いつ電話から流出するかを効率的かつ正確に分析することを目指しています。^[7]

客観的なデータフローのトレースのプライバシーに関する懸念を理解しようとするとき、文脈の整合性が広く参照されてきました。たとえば、Primal らは、スマートフォンの許可は、アプリケーションが機密データにアクセスすることが期待に反する可能性がある場合にのみユーザーに通知する方が効率的であると主張し、アプリケーションがどのように個人データにアクセスしているか、現在の慣行とユーザーの期待とのギャップを調査しました。^[8] Lin らは、ユーザーの期待に反する複数の問題のある個人データの使用例を示しました。その中で、モバイル広告目的での個人データの使用が最も問題となりました。ほとんどのユーザーは暗黙のデータ収集行動に気づいておらず、研究者がこの行動について知らせたとき、不快な驚きを感じました。^[9]

コンテキスト整合性の考え方は、システムの設計にも浸透しています。iOSとAndroidはどちらも、開発者が機密リソース（例：位置情報、連絡先リスト、ユーザーデータなど）へのアクセスを管理し、どのアプリがどのデータにアクセスできるかをユーザーが制御できるようにするために、許可システムを使用しています。開発者向けの公式ガイドライン^{[10] [11]}では、 iOSとAndroidの両方が、許可で保護されたデータの使用を必要な状況のみに制限し、許可が要求される理由の簡単な説明を提供することを推奨しています。Android 6.0以降、ユーザーは実行時にアプリのコンテキストでプロンプトが表示され、ドキュメントでは「状況コンテキストの増加」と呼ばれています。

2006年、バース、ダッタ、ミッチェル、ニッセンバウムは、プライバシー法におけるプライバシー規則について推論するために使用できる形式言語を提示しました。彼らはグラム・リーチ・ブライリー法のプライバシー条項を分析し、その原則のいくつかを形式言語に翻訳する方法を示しました。^[12]

• H. ニッセンバウム、文脈におけるプライバシー: テクノロジー、政策、社会生活の完全性 (パロアルト: スタンフォード大学出版局、2010 年)、スペイン語翻訳 Privacidad Amenazada: Tecnología、Política y la Integridad de la Vida Social (メキシコシティ: オセアノ、2011 年) )
• K. Martin および H. Nissenbaum (2017)「プライバシーの測定: 状況に応じた一般的なプライバシー対策の実証的検討」、Columbia Science and Technology Law Review (近日刊行予定)。
• H. Nissenbaum (2015)「プライバシーを保護するために文脈を尊重する: 意味が重要な理由」、科学と工学の倫理、7 月 12 日にオンラインで公開。
• A. Conley、A. Datta、H. Nissenbaum、D. Sharma (2012 年夏)「裁判記録へのローカル アクセスからオンライン アクセスへの移行におけるプライバシーと公開司法の維持: 多分野にわたる調査」、Maryland Law Review、71:3、772–847。
• H. Nissenbaum (2011 年秋)「オンライン プライバシーへの文脈的アプローチ」、Daedalus 140:4、32–48。
• A. Barth、A. Datta、J. Mitchell、および H. Nissenbaum (2006 年 5 月)「プライバシーとコンテキストの整合性: フレームワークとアプリケーション」、IEEE セキュリティとプライバシーに関するシンポジウムの議事録、np (「プライバシーの論理」、エコノミスト、2007 年 1 月 4 日に掲載)