プライバシー強化技術

プライバシー強化技術（PET）は、個人データの使用を最小限に抑え、データセキュリティを最大限に高め、個人の権限を強化することで、基本的なデータ保護の原則を具体化する技術です。PETを使用すると、オンラインユーザーは、サービスやアプリケーションに提供され、処理されることが多い個人識別情報（PII）のプライバシーを保護できます。PETは、機能性を損なうことなく、情報システムによる個人データの保有を最小限に抑える技術を使用します。 ^[1]一般的に、PETはハードプライバシー技術とソフトプライバシー技術のいずれかに分類できます。^[2]

PETの目的は、個人データを保護し、テクノロジーユーザーに2つの重要なプライバシーポイントを保証することです。つまり、ユーザー自身の情報は機密に保たれ、データ保護の管理はPIIの責任を負う組織にとって優先事項です。PETにより、ユーザーは、オンラインサービスプロバイダー、販売者、またはその他のユーザーに送信され使用される個人データに関連して、次の1つ以上のアクションを実行できます（この制御は自己決定と呼ばれます）。PETは、サービスプロバイダーと販売者が収集および使用する個人データを最小限に抑え、匿名性を提供するために仮名または匿名データ認証情報を使用し、オンラインサービスプロバイダーと販売者に個人データを提供することについてインフォームドコンセントを得るよう努めることを目的としています。^[3]プライバシー交渉では、消費者とサービスプロバイダーは、サービスの選択肢の中から継続的に選択することで、個別の合意としてプライバシーポリシーを確立、維持、および改良し、オンラインサービスプロバイダーと販売者に個人データを提供するための条件を交渉する可能性を提供します（データ処理/プライバシーポリシー交渉）。非公開の交渉では、取引相手は個人情報の収集と処理の仕組みに金銭的または非金銭的な報酬を加えることもあります。^[4]

PET は、オンライン サービス プロバイダーと販売業者におけるこれらの利用規約の施行をリモートで監査する可能性 (保証) を提供し、ユーザーが個人データの過去の転送 (転送されたデータ、転送された日時、転送先、転送された条件など) を記録、アーカイブ、検索できるようにし、データの検査、修正、削除の法的権利の使用を容易にします。PET はまた、消費者またはプライバシー保護を望む人々が個人の身元を隠す機会も提供します。このプロセスでは、個人情報をマスクし、その情報を疑似データまたは匿名の身元に置き換えます。

プライバシー強化技術は、その前提に基づいて区別することができます。^[2]

ソフトプライバシー技術は、第三者がデータの処理を信頼できると想定できる場合に使用されます。このモデルは、コンプライアンス、同意、制御、監査に基づいています。^[2]

例としては、アクセス制御、差分プライバシー、トンネル暗号化 (SSL/TLS)などがあります。

ソフトプライバシー技術の一例としては、透明性とアクセスの向上が挙げられます。透明性とは、自動化された意思決定プロセスで使用される根拠について十分な詳細を人々に提供することです。さらに、ユーザーにアクセスを許可するための取り組みは、ソフトプライバシー技術と見なされます。個人は通常、アクセス権を認識していないか、明確な自動化プロセスの欠如など、アクセスの困難に直面しています。^[5]

ハードプライバシー技術では、いかなる団体もユーザーのプライバシーを侵害することはできません。ここでの前提は、第三者は信頼できないということです。データ保護の目標には、データの最小化と第三者への信頼の低減が含まれます。^[2]

このような技術の例としては、オニオンルーティング、秘密投票、民主的な選挙に使用されるVPN ^[6]などが挙げられます。

PET は 1980 年代に初めて登場して以来、進化してきました。^{[疑わしい–議論する]}プライバシー技術の現状についてのレビュー記事が時折発表されています。

• 用語と主要な匿名化技術に関する、基本的には理論的な概要は、PfitzmannとHansenの匿名性の用語集に記載されています。^[7]
• 1997年にカリフォルニア大学バークレー校のゴールドバーグ、ワグナー、ブリューワーによる報告書でPETの概要が発表されました。^[8]
• 2003年、Borking、Blarkom、Olkは、プライバシー強化技術ハンドブックの中で、データ保護の観点からこれらの技術をレビューしました。^[1]
• 2007年、フリッチュはPETWeb研究プロジェクトのために、インターネットにおける現代のプライバシー強化技術の歴史的、分類学的、実践的な概要を発表しました。^[9]
• 2008年、フリッチとアビーは、PETの研究ロードマップにおいて、実装されたPETとその成功した展開との間のギャップを文書化した。^[10]
• 2015年にHeurixらはプライバシー強化技術の分類法を発表しました。^[11]
• データ処理の透明性を高めることを目的としたPET研究の専門分野は、透明性向上技術（TET）と呼ばれています。Janicらによるレビュー記事では、TETの開発についてまとめています。^[12] MurmannとFischer-Hübnerは、2017年に透明性ツールのレビューを発表しました。^[13]
• 2019 年、世界経済フォーラムは金融テクノロジーとインフラにおける PET の使用事例を調査したホワイト ペーパーを公開しました。
• ボストン女性労働力協議会は、ボストンに拠点を置く複数の企業における男女賃金格差を調査した報告書を2017年と2019年に発表した。データはPETを使用して比較され、従業員の機密情報が常に非公開に保たれることが保証された。
• 2020 年、Identiq は、本人確認に積極的に使用されている PET について説明する電子書籍を出版しました。
• 2021年、 GDPRの施行を監督する欧州データ保護委員会と欧州連合サイバーセキュリティ機関は、ヘルスケアとサイバーセキュリティの両方のユースケースに適用される、有効なプライバシー保護手段としてのセキュアなマルチパーティコンピューティングをサポートする技術ガイダンスを公開しました。

既存のプライバシー強化技術の例は次のとおりです。

• 通信匿名化機能は、ユーザーの実際のオンライン ID (電子メール アドレス、IP アドレスなど) を隠し、追跡不可能な ID (使い捨て/ワンタイム 電子メール アドレス、匿名化ネットワークに参加しているホストのランダム IP アドレス、仮名など) に置き換えます。電子メール、Web ブラウジング、 P2Pネットワーキング、 VoIP、チャット、インスタント メッセージングなど
• 共有された偽のオンライン アカウント。この技術は、多くのユーザーがアカウントを共有できるようにし、アカウント設定で偽の個人情報を設定することで、オンライン アカウントと特定のユーザーの習慣とのつながりを切り離します。これを実現するには、1 人のユーザーが MSN などの Web サイトにアカウントを作成し、名前、住所、電話番号、好み、生活状況などの偽のデータを入力します。次に、ユーザー ID とパスワードをインターネットに公開します。これで、誰もがこのアカウントを快適に使用できるようになります。これにより、ユーザーは、アカウント プロファイルに自分の個人データがないことを確信できます。(さらに、自分でサイトに登録する手間が省けます。)
• 難読化とは、ログやプロファイルに気を散らすデータや誤解を招くデータを追加する多くの方法を指します。これは、データが失われたり漏洩したりした後で、精密な分析を妨害するのに特に役立ちます。人間に対する有効性は疑問視されていますが、浅いアルゴリズムに対しては大きな期待が寄せられています。 ^{[14] [15] [16] [17]}難読化では、コンピューターアルゴリズムとマスキング技術を使用して個人情報や機密データを隠すこともできます。この技術には、攻撃者が必要なデータを取得しにくくするために、誤解を招くデータや情報を追加することも含まれます。
• 個人データへのアクセス: ここでは、サービス プロバイダーのインフラストラクチャにより、ユーザーはサービス プロバイダーに保存されているすべてのデータを検査、修正、または削除できるため、ユーザーはサービス内のデータのプライバシーを制御できます。
• 拡張プライバシーID（EPID）は、匿名性をサポートするデジタル署名アルゴリズムです。各エンティティが一意の公開検証鍵と一意の秘密署名鍵を持つ従来のデジタル署名アルゴリズム（例： PKI）とは異なり、EPIDは多くの一意の秘密署名鍵に関連付けられた共通のグループ公開検証鍵を提供します。 ^{[18] EPIDは、デバイスが外部の当事者に対して、正確なIDを明らかにすることなく、それがどのようなデバイスであるか（およびオプションでデバイス上で実行されているソフトウェア）を証明できるようにするために作成されました。つまり、}どのメンバーであるかを明らかにすることなく、グループの正当なメンバーであることを証明できます。2008年から使用されています。
• 準同型暗号化は、暗号文の計算を可能にする暗号化形式です。
• ゼロ知識証明とは、一方の当事者 (証明者) が、値 x を知っているという事実以外の情報を伝達することなく、もう一方の当事者 (検証者) に対して値 x を知っていることを証明できる方法です。
• 安全なマルチパーティ計算とは、入力を非公開にしたまま、入力に対して関数を共同で計算する方法です。
• リング署名は、それぞれが暗号化キーのペアを持つユーザー セットの任意のメンバーによって実行できるデジタル署名の一種です
• 非対話型ゼロ知識証明(NIZK) は、証明者と検証者間の対話を必要としないゼロ知識証明です。
• フォーマット保持暗号化（FPE）は、出力（暗号文）が入力（平文）と同じ形式になるように暗号化することを指します
• ブラインディングは、エージェントが実際の入力や実際の出力を知らなくても、エンコードされた形式でクライアントにサービスを提供できる暗号化技術です。
• 差分プライバシー: アルゴリズムは、データ分析の結果や出力が、特定の個人の情報が分析や結果の形成に使用されているかどうかを判断できないように制限されます。この技術は、大規模なデータベースに焦点を当てており、個人データやプライバシーに関する懸念がある可能性のある個人の「入力」の身元を隠します。
• 仮名化とは、個人の身元や個人情報を仮名と呼ばれる人工的な識別子に置き換えるデータ管理技術です。この匿名化方法により、情報の内容やフィールドを隠すことができるため、攻撃やハッカーが重要な情報を入手するのを阻止できます。これらの仮名は、グループにすることも、個々の情報に付けることもできます。全体として、仮名は情報の盗難を阻止すると同時に、データの整合性とデータ分析を維持するのに役立ちます。 ^[19]
• フェデレーテッド ラーニングは、複数の分散ノードにわたってモデルをトレーニングする機械学習手法です。各ノードには、ローカルのプライベート データセットが格納されます。
• 敵対的文体測定法は、匿名またはペンネームで執筆する著者が、言語的手がかりによって自分の文章が他のアイデンティティと結び付けられることに抵抗することを可能にするかもしれない。

研究または開発されているプラ​​イバシー強化技術の例としては、^[20]限定開示技術、匿名認証情報、データ処理条件の交渉と実施、データ取引ログなどが挙げられます。

限定開示技術は、サービスプロバイダーとやりとりや取引を完了するために必要な個人情報のみを共有できるようにすることで、個人のプライバシーを保護する方法を提供します。この技術は、ユーザーと第三者とのやりとりの追跡と相関関係を制限するようにも設計されています。限定開示では暗号化技術が使用され、ユーザーはプロバイダーによって精査されたデータを取得し、そのデータを信頼当事者に送信し、これらの信頼当事者がデータの真正性と整合性を信頼できるようにします。^[21]

匿名認証情報は、認証情報所有者の真の身元を明らかにしない、認証情報所有者の主張された特性または権利です。明らかにされる情報は、認証情報所有者が開示する意思のある情報のみです。アサーションは、ユーザー自身、オンライン サービスのプロバイダー、または第三者 (別のサービス プロバイダー、政府機関など) によって発行できます。例:

オンライン レンタカー。レンタカー会社は、顧客の本当の身元を知る必要はありません。顧客が 23 歳以上であること (例)、運転免許証、健康保険(事故などに対する保険) を持っていること、顧客が支払いをしていることを確認するだけで済みます。したがって、顧客の名前や住所、その他の個人情報を知る必要はまったくありません。匿名の資格情報により、双方が安心できます。顧客は、レンタカー会社がサービスを提供するために必要なデータのみを公開でき (データ最小化)、レンタカー会社は顧客の要件を確認してお金を受け取ることができます。オンラインで車を注文する場合、ユーザーは、従来の名前、住所、クレジットカード番号を提供する代わりに、次の資格情報を提供します。これらはすべて仮名(顧客の実名ではない) で発行されます。

• 州が発行する最低年齢証明書で、所有者が 23 歳以上であることを証明するもの（注: 実際の年齢は記載されていません）
• 運転免許証は、自動車管理局が発行する、所有者が自動車を運転する資格があるという証明書である。
• 健康保険が発行する保険証明書
• デジタル現金

データ処理条件の交渉と実施。製品またはサービスをオンラインで注文する前に、ユーザーとオンライン サービス プロバイダーまたは販売者は、サービス プロバイダーに転送される個人データの種類について交渉します。これには、個人データの取り扱いに適用される条件、たとえば、個人データが第三者に送信されるかどうか (プロファイルの販売)、どのような条件で送信されるか (ユーザーに通知する場合のみなど)、将来のどの時点で削除されるか (削除される場合) などが含まれます。個人データの転送が行われた後、合意されたデータ取り扱い条件は、データ取り扱い義務を管理および処理できるサービス プロバイダーのインフラストラクチャによって技術的に実施されます。さらに、この実施は、信頼できるコンピューティング モジュールに基づく認証チェーンを検証したり、サードパーティの監査組織(データ保護機関など) によって発行されたプライバシー シール/ラベルを検証したりするなど、ユーザーがリモートで監査できます。したがって、ユーザーはサービスプロバイダーが個人データを悪用しないという単なる約束に頼るのではなく、サービスプロバイダーが交渉されたデータ処理条件を遵守していることに自信を持つことができるようになる^[22]。

最後に、データ トランザクション ログを使用すると、ユーザーはサービス プロバイダーに送信した個人データ、送信した時間、および送信条件をログに記録できます。これらのログは保存され、ユーザーはどのデータを誰に送信したかを確認したり、特定のサービス プロバイダーが所有しているデータの種類を確認したりできます。これにより、制御の前提条件である 透明性が向上します。

• 暗号シュレッディング
• サイファーパンク
• デジタル認証
• デジタル自己決定
• 拡張プライバシー ID (EPID)
• アイデンティティ管理
• 情報プライバシー
• 情報処理
• 情報セキュリティ
• プライバシー
• プライバシーを考慮した設計
• プライバシーエンジニアリング
• プライバシー強化電子メール
• プライバシーソフトウェア
• プライバシーポリシー
• 自己主権的アイデンティティ

• van Blarkom, GW; Borking, JJ; Olk, JGE (2003)。「PET」。プライバシーとプライバシー強化技術のハンドブック。(インテリジェント ソフトウェア エージェントのケース)。ISBN 978-90-74087-33-9。
• Cánovas Sanchez, Jose Luis; Bernal Bernabe, Jorge; Skarmeta, Antonio (2018). 「IoT 制約環境における匿名認証システムの統合」. IEEE Access . 6 : 4767–4778. Bibcode :2018IEEEA...6.4767S. doi : 10.1109/ACCESS.2017.2788464 .

PET全般:

• 新しいPETの研究と開発を目的としたEU PRIME研究プロジェクト（2004～2008年）
• 民主主義と技術センターのPETについて
• PETに関する年次シンポジウム
• デンマーク科学省が発行した META グループの PET に関するレポート^{[永久リンク切れ‍ ]}
• PET 分野における EU 委員会の活動 リンク切れ

匿名の資格情報:

• IBMチューリッヒ研究所のidemix
• ステファン・ブランズのU -Prove デジタル認証「credentica」
• 現在はMicrosoft U-Proveが所有している

プライバシーポリシーの交渉:

• W3Cの P3P
• IBMのEPAL
• セーレン・プライブッシュ：電子商取引におけるプライバシー交渉の実施、DIWベルリンのディスカッションペーパー 526、2005年