プライバシーを考慮した設計

プライバシー・バイ・デザインは、アン・カヴーキアンによって最初に開発されたシステム工学のアプローチであり、1995年にオンタリオ州情報プライバシーコミッショナー（カナダ）、オランダデータ保護局、オランダ応用科学研究機構の合同チームによるプライバシー強化技術に関する共同報告書で公式化されました。 ^{[1] [2]}プライバシー・バイ・デザインのフレームワークは2009年に公開され^[3]、2010年にプライバシーコミッショナーとデータ保護当局の国際会議で採択されました。 ^[4]プライバシー・バイ・デザインでは、エンジニアリングプロセス全体を通してプライバシーを考慮することが求められています。この概念は価値に敏感な設計、つまりプロセス全体を通して明確に定義された方法で人間の価値を考慮する例です。 ^{[5] [6]}

カヴーキアンのプライバシーに対するアプローチは、曖昧であること、^[7]採用を強制することが難しいこと、^[8]特定の分野に適用することが難しいこと、^{[9] [10]}ネットワーク化されたインフラストラクチャへの拡張が困難であること、^[10]消費者の利益よりも企業の利益を優先していること^[7]、データ収集を最小限に抑えることに十分な重点を置いていないこと^{[9]など、批判されてきました。データ内のプライバシーのエンコードのサポート[11]や}プライバシー強化技術(PET)の可用性と品質など、コンピューターサイエンスとデータエンジニアリングの最近の進歩は、これらの批判を部分的に相殺し、現実世界で原則を実現可能にするのに役立っています。

欧州のGDPR規制ではプライバシーを設計に組み込んでいます。^[12]

プライバシー・バイ・デザインのフレームワークは、オンタリオ州の情報プライバシー・コミッショナーであるアン・カヴーキアン氏によって、1995年にオランダのデータ保護局およびオランダ応用科学研究機構との共同研究を経て開発されました。 ^{[1] [12]} 2009年に、オンタリオ州の情報プライバシー・コミッショナーは、イスラエルの法律、情報、技術局と共同で、第31回データ保護およびプライバシー・コミッショナー国際会議（2009年）において、 「プライバシー・バイ・デザイン：決定的なワークショップ」というイベントを主催しました。^{[13] [14]}

2010年に国際プライバシーコミッショナー会議およびデータ保護当局会議が、年次会議でプライバシー・バイ・デザインに関する決議^[15]を全会一致で可決し、この枠組みは国際的に受け入れられ、国際標準として認められました。^{[14] [16] [17] [4]}コミッショナーは、他の公約の中でも、プライバシー・バイ・デザインを可能な限り広く推進し、この原則を政策や法律に組み込むよう推進することを決議しました。^[4]

プライバシー・バイ・デザインは7つの「基本原則」に基づいています: ^{[3] [18] [19] [20]}

1. 受動的ではなく能動的、修復的ではなく予防的
2. プライバシーをデフォルト設定にする
3. デザインにプライバシーを組み込む
4. 完全な機能性 – ゼロサムではなくプラスサム
5. エンドツーエンドのセキュリティ – ライフサイクル全体の保護
6. 可視性と透明性 – オープンに保つ
7. ユーザーのプライバシーを尊重 – ユーザー中心に

これらの原則は、アン・カヴーキアンによる「法律、政策、実践におけるプライバシー・バイ・デザイン」のホワイトペーパー^[22]を参照した500以上の論文^[21]で引用されています。

プライバシー・バイ・デザインのアプローチは、事後対応的ではなく、事前対応的であるという特徴があります。プライバシー侵害が発生する前にそれを予測し、防止します。プライバシー・バイ・デザインは、プライバシーリスクが顕在化するのを待つことも、プライバシー侵害が発生してから解決するための救済策を提供することもありません。プライバシー侵害が発生しないようにすることを目指しています。つまり、プライバシー・バイ・デザインは事後ではなく、事前に行われます。^{[18] [19] [20]}

プライバシーバイデザインは、あらゆるITシステムやビジネス慣行において個人データが自動的に保護されるようにすることで、最大限のプライバシーを実現することを目指しています。個人が何もしなくても、プライバシーは損なわれません。プライバシーを保護するために個人側で行動する必要はありません。プライバシーはデフォルトでシステムに組み込まれています。^{[18] [19] [20]}

• 目的の明示 - データの収集、保持、使用が行われる前またはその時点でデータ主体に明確に伝えられなければならず、その目的は限定され、明示されたニーズに関連したものでなければならない。^[18]
• 収集の制限 - データの収集は公正かつ合法であり、明示された目的に限定されなければならない。^[18]
• データの最小化- データの収集は可能な限り最小限に抑えるべきであり、技術はデフォルトでユーザーを識別不可能かつ観察不可能にするか、絶対に必要な場合にのみ最小限に抑えるべきである。^[18]
• 使用、保持、開示 - データの使用、保持、開示は、法律による例外を除き、同意されたものに限定されなければなりません。情報は、定められた必要な期間のみ保持され、その後は安全に消去されるべきです。^[18]

プライバシーバイデザインは、ITシステムの設計とアーキテクチャ、そしてビジネス慣行に組み込まれています。事後的にアドオンとして追加されるものではありません。その結果、プライバシーは提供されるコア機能の不可欠な要素になります。プライバシーは、機能性を損なうことなくシステムに不可欠なものになります。^{[18] [19] [20]}

プライバシー・バイ・デザインは、不必要なトレードオフが行われる時代遅れのゼロサムアプローチではなく、プラスサムの「ウィンウィン」方式ですべての正当な利益と目的に対応することを目指しています。プライバシー・バイ・デザインは、プライバシー対セキュリティなどの誤った二分法のふりを避け、両方を実現することが可能であることを示しています。^{[18] [19] [20]}

プライバシーバイデザインは、情報の最初の要素が収集される前にシステムに組み込まれており、関連するデータのライフサイクル全体にわたって安全に拡張されます。強力なセキュリティ対策は、最初から最後までプライバシーにとって不可欠です。これにより、すべてのデータが安全に保持され、プロセスの最後にタイムリーに安全に破棄されます。したがって、プライバシーバイデザインは、ゆりかごから墓場まで、エンドツーエンドで情報の安全なライフサイクル管理を保証します。^{[18] [19] [20]}

プライバシーバイデザインは、独立した検証に基づいて、関連するビジネス慣行やテクノロジーが実際に定められた約束と目的に従って動作していることをすべての関係者に保証することを目指しています。構成要素と操作は、ユーザーとプロバイダーの両方に対して可視性と透明性を維持します。信頼するが検証することを忘れないでください。^{[18] [19] [20]}

何よりも、プライバシーバイデザインでは、設計者とオペレーターが、強力なプライバシーデフォルト、適切な通知、ユーザーフレンドリーなオプションの強化などの対策を講じて、個人の利益を最優先にすることが求められます。ユーザー中心に考えましょう。^{[18] [19] [20]}

国際標準化機構（ISO）は、消費者政策委員会（COPOLCO）による新しいISO規格「消費者保護：消費者向け製品およびサービスの設計におけるプライバシー（ISO/PC317）」の提案を承認した。^{[23]この規格は、消費者の国内処理プライバシーのニーズと}データ保護の個人プライバシー要件を満たす消費者向け製品およびサービスを提供するための設計プロセスを規定することを目的としている。この規格には、英国が事務局を務め、13の参加国^[24]と20のオブザーバーメンバーがいる。^[24]

カナダ規格協会（SCC）は参加メンバーの一つであり、ISO/PC317のミラーカナダ委員会を設立した。^[25]

OASIS ソフトウェア エンジニア向けプライバシー バイ デザイン ドキュメント (PbD-SE) ^[26]技術委員会は、ソフトウェア エンジニアリングのコンテキストでプライバシー バイ デザインを運用するための仕様を提供します。プライバシー バイ デザインは、セキュリティ バイ デザインと同様に、ソフトウェア開発プロセスの通常の一部であり、ソフトウェア エンジニアにとってのリスク軽減戦略です。PbD-SE 仕様は、PbD 原則をソフトウェア エンジニアリング タスク内の適合要件に変換し、ソフトウェア開発チームがPbD 原則の遵守の証拠として成果物を作成するのに役立ちます。仕様に従うことで、ソフトウェアの構想から廃止までプライバシー要件のドキュメント化が容易になり、プライバシー バイ デザイン原則の遵守に関する計画や、NIST の 800-53 付録 J (NIST SP 800–53) や公正情報実践原則 (FIPP) (PMRM-1.0) などのプライバシーのベスト プラクティスに関するその他のガイダンスが提供されます。^[26]

プライバシー・バイ・デザインは、1995年にアン・カヴォーキアンとジョン・ボーキングが共同で発表したプライバシー強化技術（PET）から生まれました。 ^[1] 2007年に欧州委員会はPETに関する覚書を発表しました。^{[27] 2008年に英国情報コミッショナー事務局は}「プライバシー・バイ・デザイン - プライバシー強化技術の概要」と題する報告書を委託しました。^[28]

プライバシー・バイ・デザインには多くの側面があります。ソフトウェアやシステムエンジニアリングのような技術的な側面、^[29]、管理上の要素（法律、ポリシー、手続きなど）、その他の組織的制御、運用コンテキストなどがあります。プライバシー・バイ・デザインは、公正な情報慣行の原則を情報通信技術の設計と運用に直接反映させようとする初期の取り組みから発展しました。^[30]ピーター・ハスティンクスは著書「プライバシー・バイ・デザイン：約束を果たす」^[2] で、当時プライバシー保護副コミッショナーだったアン・カヴォーキアンとジョン・ボーキングが1995年の共同著書「プライバシー強化技術：匿名性への道」^[1]で果たした重要な役割を認めています。

プライバシー強化技術により、オンライン ユーザーは、サービスやアプリケーションに提供され、処理される個人識別情報(PII) のプライバシーを保護できます。プライバシー バイ デザインは、PET が組み込まれ、運用されるより広範なシステムとプロセスを考慮するように進化しました。米国民主主義技術センター(CDT) は、 「消費者のプライバシー保護におけるプライバシー バイ デザインの役割^」[31]で、 PET とプライバシー バイ デザインを区別し、「PET は、オンライン プライバシーのリスクをすでに理解しているユーザーにとって最も役立ちます。PET は、ユーザー エンパワーメントに不可欠なツールですが、プライバシー保護のためにテクノロジーをどのように使用できるかを議論する際に考慮すべき、より広範なフレームワークの一部にすぎません」と述べています。^[31]

ドイツは、1997年7月に法律（§3 Sec. 4 Teledienstedatenschutzgesetz [テレサービスデータ保護法]）を発表しました。 ^[32]新しいEU一般データ保護規則（GDPR）には、「データ保護バイデザイン」と「データ保護バイデフォルト」が含まれています。^{[33] [34] [12]}これらは、プライバシーバイデザインの2番目の基本原則です。カナダのプライバシーコミッショナーは、プライバシー、信頼、イノベーション-カナダのデジタルアドバンテージの構築に関する報告書にプライバシーバイデザインを含めました。^{[35] [36]} 2012年に、米国連邦取引委員会（FTC）は、急速な変化の時代における消費者のプライバシーの保護と題する報告書で、オンラインプライバシーを保護するための3つの推奨プラクティスの1つとしてプライバシーバイデザインを認めました。 ^{[37]また、FTCは、}消費者プライバシーの保護に関する最終コミッショナーレポートでプライバシーバイデザインを主要な柱の1つに含めました。^[38]オーストラリアでは、ビクトリア州プライバシー・データ保護コミッショナー（CPDP）が、ビクトリア州公共部門の情報プライバシー管理を支える中核政策としてプライバシー・バイ・デザインを正式に採用した。^[39]英国情報コミッショナー事務所のウェブサイトでは、プライバシー・バイ・デザイン^[40]とデータ保護バイ・デザインおよびデフォルトを強調している。^[41] 2014年10月、第36回国際データ保護・プライバシーコミッショナー会議でモノのインターネットに関するモーリシャス宣言が採択され、プライバシー・バイ・デザインおよびデフォルトが盛り込まれた。^[42]香港の個人情報保護コミッショナーは、プライバシー・バイ・デザインの重要性に関する教育会議を開催した。^{[43] [44]}

民間部門では、サイドウォーク・トロントがプライバシー・バイ・デザインの原則に取り組んでいます。[ ^45]マイクロソフトの最高プライバシー責任者であるブレンドン・リンチは、 「マイクロソフトにおけるプライバシー・バイ・デザイン」という記事を執筆しました。^[46]一方、デロイトは、信頼性をプライバシー・バイ・デザインと関連付けています。^[47]

プライバシー・バイ・デザインのフレームワークは、特に2010年の国際データコミッショナーの決議を受けて学術的な議論を呼びました。この決議では、プライバシー・バイ・デザインに対する批判に対して、このフレームワークをさまざまな状況にどのように適用するかをよりよく理解するための法律および工学の専門家からの提案が提示されました。^{[7] [9] [8]}

プライバシー・バイ・デザインは「曖昧」^[7]であり、「システムを設計する際の適用については多くの未解決の疑問が残る」と批判されてきた。代わりに、セキュリティエンジニアリングを通じて実行できるデータの最小化から始めて、それに焦点を当てることが提案されている。^[9]

2007 年、ルーヴェン KU の研究者は、エンジニアリング バイ デザインという論文を発表し、「システムにおけるプライバシー要件の設計と実装は難しい問題であり、複雑な社会的、法的、倫理的懸念をシステム要件に翻訳する必要がある」と述べています。プライバシー バイ デザインの原則は「あいまいなままであり、システムをエンジニアリングする際の適用について多くの疑問が残っています」。著者は、「データの最小化から始めることは、プライバシー バイ デザインの原則に沿ってシステムをエンジニアリングするための必要かつ基本的な最初のステップである」と主張しています。彼らの論文の目的は、「プライバシー バイ デザインの実践について、エンジニアリングの観点から最初の調査を行い、政策立案者とエンジニアのプライバシー バイ デザインに対する理解のギャップを埋めることに貢献すること」です。^[9] しかし、10 年後に EU プロジェクトで行われた長期のピア コンサルテーションでは、法的原則をエンジニアリング要件に翻訳することが依然として困難であることが確認されました。これは、法的原則が抽象的で、さまざまな解釈や例外が可能なオープンエンドであるのに対し、エンジニアリングの実践では明確な意味と設計概念の正式な定義が必要であるという事実による、より構造的な問題でもあります。^[10]

2011年、デンマーク国立IT・電気通信庁は、プライバシー・バイ・デザインの概念を「セキュリティ・バイ・デザイン」に拡張し、デジタルセキュリティモデルを作成するための重要な目標であると主張するディスカッションペーパーを発表しました。その目的は、身元を可能な限り排除することで匿名性と監視のバランスを取ることです。^[48]

もう一つの批判は、プライバシー・バイ・デザインの現在の定義は、完全なシステムとデータのライフサイクルをカバーするような適切なシステムエンジニアリング手法の使用など、システムエンジニアリングの方法論的側面を扱っていないというものである。^{[7]この問題は、}スマートシティやモノのインターネットなどのネットワーク化されたデジタルインフラストラクチャイニシアチブへの移行でさらに悪化している。プライバシー・バイ・デザインは、特定の技術に対する単一の組織の責任に主に焦点を当ててきたが、これらのイニシアチブでは、異なる組織によって運用される多くの異なる技術の相互運用性が求められることが多い。これには、組織設計からインフラストラクチャ設計への移行が必要である。^[10]

プライバシー・バイ・デザインの概念も、実際のデータ保有者の役割ではなく、システム設計者の役割に焦点を当てている。この役割はプライバシー法では知られていないため、プライバシー・バイ・デザインの概念は法律に基づいていない。これは、今度は、データ主体、データ保有者、政策立案者による信頼を損なう。^[7]科学技術研究では、プライバシー・バイ・デザインが技術、組織、標準、インフラへの実装を通じて権利の意味と実践を変えるかどうかという疑問が提起されている。^[49]市民社会の観点からは、これらの設計ベースのアプローチを悪用すると、ブルーウォッシングの危険につながる可能性さえあると指摘する人もいる。これは、組織が十分なチェックを行わずにプライバシー設計を最小限の道具として利用し、事実に照らして正当化される以上にプライバシーに配慮しているように見せることを指す。^[10]

また、プライバシー・バイ・デザインは、環境に影響を与える産業における自主的なコンプライアンス制度に似ているため、効果を発揮するために必要な強制力が欠けており、企業ごとに異なる可能性があるとも指摘されている。さらに、この概念の開発に現在採用されている進化的アプローチは、プライバシー侵害を犠牲にすることになる。なぜなら、進化は、不適合な表現型（プライバシーを侵害する製品）を不適合であると証明されるまで放置することを意味するからである。^[7]一部の批評家は、特定のビジネスモデルは顧客監視とデータ操作を中心に構築されているため、自主的なコンプライアンスはありそうにないと指摘している。^[8]

2013年、ルビンスタインとグッドは、GoogleとFacebookのプライバシーインシデントを利用して反事実分析を行い、規制当局がプライバシーバイデザインの推奨時に価値のある教訓を特定しました。1つ目は、「より詳細な原則と具体的な例」が企業にとってより役立つということです。2つ目は、「使いやすさはエンジニアリングの原則や実践と同じくらい重要です」ということです。3つ目は、「プライバシーエンジニアリングと使いやすさの設計の両方で、設計原則を洗練し、詳細化する」ための作業がさらに必要であるということです。これには国際的なプライバシー標準を定義する取り組みも含まれます。最後の教訓は、「規制当局は、プライバシーバイデザインの採用と実装を推奨するだけでは不十分である」ということです。^[8]

GDPRの導入により、世界売上高の4%という最高額の罰金が課せられるようになり、ビジネス上の利益と売上高のバランスが取れるようになったほか、ルビンスタイン氏とグッド氏による自主的なコンプライアンス批判と「規制当局は、プライバシー・バイ・デザインの採用と実装を推奨するだけでは不十分だ」という要件も満たされるようになった。 ^[8]ルビンスタイン氏とグッド氏は、プライバシー・バイ・デザインによってプライバシー・バイ・デザインを体現するアプリケーションが生まれる可能性もあると強調し、その取り組みは好評を博した。^{[50] [8]}

2018年5月の欧州データ保護監督官 ジョヴァンニ・ブッタレッリ氏の論文「プライバシー・バイ・デザインに関する予備的意見」では、「プライバシー・バイ・デザインは法的、技術的、概念的な発展において大きな進歩を遂げてきたが、個人の基本的権利の保護に対する潜在能力を完全に発揮するにはまだ程遠い。この意見の以下のセクションでは、関連する発展の概要を示し、さらなる取り組みを推奨する」と述べられている。^[12]

エグゼクティブサマリーでは、EU機関に対して以下の勧告を行っています。

• ePrivacy規制において、プライバシーバイデザインを含む強力なプライバシー保護を確保するために、
• 技術の設計に影響を与えるすべての法的枠組みにおいてプライバシーをサポートし、適切な責任ルールを含むインセンティブを高め、義務を実証する。
• 適切な実施措置と政策イニシアチブを通じて、EUおよび加盟国レベルでのプライバシーバイデザインアプローチとPETの導入と採用を促進する。
• ENISAまたは他の機関によるEUレベルでのプライバシーエンジニアリングとプライバシー強化技術に関する研究と分析のための能力とリソースを確保するため、
• EUの研究・技術開発手段を通じて新たな実践やビジネスモデルの開発を支援するため、
• EUおよび各国の行政機関が公共調達において適切なプライバシーバイデザイン要件を統合できるよう支援する。
• プライバシーエンジニアリングと PET の「最先端」とその進歩の目録と観測をサポートします。

EDP​​S は次のようになります。

• 欧州データ保護委員会（EDPB）の他のデータ保護当局と協力し、必要に応じてプライバシー・バイ・デザインを推進し続ける。
• GDPR第25条および関連規定の協調的かつ効果的な施行を支援する。
• 法的根拠に定められた原則の適切な実施について管理者に指導し、
• オーストリア、アイルランド、シュレースヴィヒ＝ホルシュタイン州のデータ保護当局と協力して、モバイルヘルス分野におけるプライバシーに配慮したアプリに賞を授与します。 ^[12]

欧州データ保護監督官の ジョバンニ・ブッタレッリ氏は、自身の記事でプライバシーバイデザインを実装する要件を定めました。^[51]欧州連合ネットワーク情報セキュリティ機関(ENISA) は、実装に関する詳細なレポート「プライバシーとデータ保護バイデザイン – ポリシーからエンジニアリングまで」を提供しました。^[52]現実世界の暗号化とプライバシーに関するサマースクールでは、「プライバシーバイデザインをエンジニアリングする」というチュートリアルを提供しました。^[53]ウェブアプリケーション向けの OWASP トップ 10 プライバシーリスクプロジェクトでは、プライバシーバイデザインを実際に実装する方法についてヒントを提供しています。OASIS ソフトウェアエンジニア向けプライバシーバイデザインドキュメント (PbD-SE) ^{[26] は}、OMG の統一モデリング言語 (UML) に対するプライバシーの拡張機能/補完を提供し、OASIS の拡張アクセス制御マークアップ言語 (XACML) とプライバシー管理リファレンスモデル (PMRM) を補完する役割を果たします。プライバシー・バイ・デザインのガイドラインは、プライバシー保護に関する高レベルのアイデアの一部を、よりきめ細かな実用的なアドバイスとして運用化するために開発されました。^{[54] [55]}例えば、既存の（データ）システムにプライバシー・バイ・デザインを実装する方法に関する推奨事項などです。しかし、ソフトウェア開発者によるプライバシー・バイ・デザイン・ガイドラインの適用は依然として課題が残っています。^[56]

• コンピュータセキュリティ
• 消費者のプライバシー
• 一般データ保護規則
• FTC 公正情報慣行
• インターネットのプライバシー
  • メッシュネットワーク
  • ダークウェブ
  • エンドツーエンドの暗号化
• 個人データサービス
• プライバシーエンジニアリング
• プライバシー強化技術
• 監視資本主義
• ユーザーインターフェース設計