Privacy by design — это подход к системной инженерии, изначально разработанный Энн Кавукян и формализованный в совместном отчете о технологиях повышения конфиденциальности , подготовленном совместной группой Комиссара по информации и конфиденциальности Онтарио (Канада), Голландского органа по защите данных и Нидерландской организации прикладных научных исследований в 1995 году. [1] [2] Структура Privacy by design была опубликована в 2009 году [3] и принята Международной ассамблеей комиссаров по конфиденциальности и органов по защите данных в 2010 году. [4] Privacy by design требует учета конфиденциальности на протяжении всего процесса разработки. Эта концепция является примером ценностно-чувствительного проектирования , т. е. учета человеческих ценностей в четко определенной манере на протяжении всего процесса. [5] [6]
Подход Кавукяна к конфиденциальности подвергался критике как неопределенный, [7] сложный для обеспечения его принятия, [8] сложный для применения в определенных дисциплинах, [9] [10] сложный для масштабирования до сетевых инфраструктур, [10] а также как приоритет корпоративных интересов над интересами потребителей [7] и недостаточный акцент на минимизации сбора данных. [9] Последние разработки в области компьютерной науки и инженерии данных, такие как поддержка кодирования конфиденциальности в данных [11] и доступность и качество технологий повышения конфиденциальности (PET) частично компенсируют эту критику и помогают сделать принципы осуществимыми в реальных условиях.
Европейский регламент GDPR изначально предусматривает конфиденциальность. [12]
Концепция конфиденциальности по проекту была разработана Энн Кавукян , комиссаром по информации и конфиденциальности Онтарио , после ее совместной работы с Голландским управлением по защите данных и Нидерландской организацией прикладных научных исследований в 1995 году. [1] [12] В 2009 году комиссар по информации и конфиденциальности Онтарио совместно с Израильским управлением по законодательству, информации и технологиям провел мероприятие « Конфиденциальность по проекту: окончательный семинар » на 31-й Международной конференции комиссаров по защите данных и конфиденциальности (2009). [13] [14]
В 2010 году эта структура получила международное признание, когда Международная ассамблея уполномоченных по вопросам конфиденциальности и органов по защите данных единогласно приняла резолюцию о конфиденциальности по замыслу [15], признав ее международным стандартом на своей ежегодной конференции. [14] [16] [17] [4] Среди прочих обязательств уполномоченные постановили продвигать принцип конфиденциальности по замыслу как можно шире и способствовать включению этого принципа в политику и законодательство. [4]
Конфиденциальность по замыслу основана на семи «основополагающих принципах»: [3] [18] [19] [20]
Эти принципы были процитированы в более чем пятистах статьях [21], ссылающихся на документ « Конфиденциальность по замыслу в законодательстве, политике и практике» Энн Кавукян . [22]
Подход «конфиденциальность по замыслу» характеризуется скорее проактивными, чем реактивными мерами. Он предвидит и предотвращает события, нарушающие конфиденциальность, до того, как они произойдут. Конфиденциальность по замыслу не ждет, пока риски конфиденциальности материализуются, и не предлагает средств правовой защиты для устранения нарушений конфиденциальности после того, как они произошли — он направлен на предотвращение их возникновения. Короче говоря, конфиденциальность по замыслу наступает до факта, а не после. [18] [19] [20]
Privacy by design стремится обеспечить максимальную степень конфиденциальности, гарантируя, что персональные данные автоматически защищены в любой данной ИТ-системе или деловой практике. Если человек ничего не делает, его конфиденциальность все равно остается нетронутой. Со стороны человека не требуется никаких действий для защиты своей конфиденциальности — она встроена в систему по умолчанию. [18] [19] [20]
Конфиденциальность по замыслу встроена в дизайн и архитектуру ИТ-систем, а также в деловую практику. Она не прикручивается как дополнение, постфактум. Результатом является то, что конфиденциальность становится существенным компонентом основной функциональности, которая предоставляется. Конфиденциальность является неотъемлемой частью системы, не уменьшая ее функциональность. [18] [19] [20]
Конфиденциальность по замыслу стремится учесть все законные интересы и цели в положительной сумме «выигрыш-выигрыш», а не через устаревший подход с нулевой суммой, где делаются ненужные компромиссы. Конфиденциальность по замыслу избегает притворства ложных дихотомий, таких как конфиденциальность против безопасности, демонстрируя, что возможно иметь и то, и другое. [18] [19] [20]
Конфиденциальность по замыслу, будучи встроенной в систему до того, как был собран первый элемент информации, надежно распространяется на протяжении всего жизненного цикла вовлеченных данных — надежные меры безопасности необходимы для конфиденциальности, от начала до конца. Это гарантирует, что все данные надежно сохраняются, а затем надежно уничтожаются в конце процесса, своевременно. Таким образом, конфиденциальность по замыслу обеспечивает надежное управление жизненным циклом информации от колыбели до могилы, от начала до конца. [18] [19] [20]
Privacy by design стремится гарантировать всем заинтересованным сторонам, что любая бизнес-практика или задействованная технология фактически работает в соответствии с заявленными обещаниями и целями, подлежащими независимой проверке. Составные части и операции остаются видимыми и прозрачными как для пользователей, так и для поставщиков. Помните: доверяй, но проверяй. [18] [19] [20]
Прежде всего, конфиденциальность по замыслу требует от архитекторов и операторов ставить интересы отдельного человека превыше всего, предлагая такие меры, как строгие настройки конфиденциальности по умолчанию, соответствующее уведомление и предоставление удобных для пользователя опций. Сохраняйте ориентацию на пользователя. [18] [19] [20]
Международная организация по стандартизации (ISO) одобрила предложение Комитета по политике в области прав потребителей (COPOLCO) о новом стандарте ISO: Защита прав потребителей: конфиденциальность по дизайну для потребительских товаров и услуг (ISO/PC317). [23] Стандарт будет направлен на определение процесса проектирования для предоставления потребительских товаров и услуг, которые соответствуют потребностям потребителей в конфиденциальности обработки данных на внутреннем рынке, а также требованиям к личной конфиденциальности защиты данных . Секретариатом стандарта является Великобритания с тринадцатью участвующими членами [24] и двадцатью наблюдателями. [24]
Совет по стандартам Канады (SCC) является одним из участвующих членов и создал зеркальный канадский комитет для ISO/PC317. [25]
Технический комитет OASIS Privacy by Design Documentation for Software Engineers (PbD-SE) [26] предоставляет спецификацию для операционализации конфиденциальности по дизайну в контексте разработки программного обеспечения. Конфиденциальность по дизайну, как и безопасность по дизайну, является обычной частью процесса разработки программного обеспечения и стратегией снижения рисков для инженеров-программистов. Спецификация PbD-SE переводит принципы PbD в требования соответствия в задачах разработки программного обеспечения и помогает группам разработчиков программного обеспечения создавать артефакты в качестве доказательства соблюдения принципа PbD. Соблюдение спецификации облегчает документирование требований к конфиденциальности от концепции программного обеспечения до выхода из эксплуатации, тем самым предоставляя план по соблюдению принципов конфиденциальности по дизайну и другие руководства по лучшим практикам конфиденциальности, такие как Приложение J NIST 800-53 (NIST SP 800–53) и Принципы честной информационной практики (FIPPs) (PMRM-1.0). [26]
Концепция конфиденциальности по замыслу возникла из технологий повышения конфиденциальности (PET) в совместном докладе 1995 года Энн Кавукян и Джона Боркинга. [1] В 2007 году Европейская комиссия представила меморандум о PET. [27] В 2008 году Управление комиссара по информации Великобритании заказало отчет под названием « Конфиденциальность по замыслу – обзор технологий повышения конфиденциальности» . [28]
Существует много аспектов конфиденциальности по замыслу. Существует техническая сторона, такая как программная и системная инженерия, [29] административные элементы (например, юридические, политические, процедурные), другие организационные элементы управления и операционные контексты. Конфиденциальность по замыслу развилась из ранних попыток выразить принципы честной информационной практики непосредственно в разработке и эксплуатации информационных и коммуникационных технологий. [30] В своей публикации Конфиденциальность по замыслу: выполнение обещаний [2] Питер Хастинкс признает ключевую роль, которую сыграли Энн Кавукян и Джон Боркинг, тогдашние заместители комиссаров по конфиденциальности, в совместной публикации 1995 года Технологии улучшения конфиденциальности: путь к анонимности . [1] Этот отчет 1995 года был сосредоточен на изучении технологий, которые позволяют проводить транзакции анонимно.
Технологии повышения конфиденциальности позволяют пользователям в сети защищать конфиденциальность их персонально идентифицируемой информации (PII), предоставляемой и обрабатываемой службами или приложениями. Конфиденциальность по замыслу развилась, чтобы рассмотреть более широкие системы и процессы, в которые были встроены и эксплуатировались PET. Центр демократии и технологий США (CDT) в работе «Роль конфиденциальности по замыслу в защите конфиденциальности потребителей» [31] различает PET и конфиденциальность по замыслу, отмечая, что «PET наиболее полезны для пользователей, которые уже понимают риски конфиденциальности в сети. Они являются важными инструментами расширения прав и возможностей пользователей, но они образуют лишь часть более широкой структуры, которую следует учитывать при обсуждении того, как технология может использоваться для защиты конфиденциальности». [31]
Германия выпустила закон (§ 3 Sec. 4 Teledienstedatenschutzgesetz [Закон о защите данных в сфере телеуслуг]) еще в июле 1997 года . [32] Новый Общий регламент ЕС по защите данных (GDPR) включает «защиту данных по замыслу» и «защиту данных по умолчанию», [33] [34] [12] второй основополагающий принцип конфиденциальности по замыслу. Комиссар по вопросам конфиденциальности Канады включил конфиденциальность по замыслу в свой отчет « Конфиденциальность, доверие и инновации — создание цифрового преимущества Канады » . [35] [36] В 2012 году Федеральная торговая комиссия США (FTC) признала конфиденциальность по замыслу одной из трех рекомендуемых практик для защиты конфиденциальности в Интернете в своем отчете под названием « Защита конфиденциальности потребителей в эпоху быстрых изменений» , [37] а FTC включила конфиденциальность по замыслу в качестве одного из ключевых столпов в свой Заключительный отчет комиссара по защите конфиденциальности потребителей . [38] В Австралии Комиссар по вопросам конфиденциальности и защиты данных штата Виктория (CPDP) официально принял принцип конфиденциальности по замыслу в качестве основной политики для поддержки управления конфиденциальностью информации в государственном секторе Виктории. [39] На веб-сайте Управления комиссара по информации Великобритании особое внимание уделяется принципам конфиденциальности по замыслу [40] и защите данных по замыслу и по умолчанию. [41] В октябре 2014 года на 36-й Международной конференции комиссаров по защите данных и конфиденциальности была принята Маврикийская декларация об Интернете вещей, в которую вошли принципы конфиденциальности по замыслу и по умолчанию. [42] Комиссар по вопросам конфиденциальности персональных данных в Гонконге провел образовательную конференцию о важности принципа конфиденциальности по замыслу. [43] [44]
В частном секторе Sidewalk Toronto придерживается принципов конфиденциальности, заложенных в дизайне; [45] Брендон Линч, директор по конфиденциальности в Microsoft , написал статью под названием « Конфиденциальность, заложенная в дизайне в Microsoft» ; [46] в то время как Deloitte относится к конфиденциальности, заложенной в дизайне, как к сертифицированной и заслуживающей доверия. [47]
Концепция «конфиденциальности по замыслу» вызвала академические дебаты, особенно после принятия в 2010 году резолюции Комиссии по международным данным, в которой содержалась критика концепции «конфиденциальности по замыслу» с предложениями экспертов в области права и техники, направленными на лучшее понимание того, как применять эту концепцию в различных контекстах. [7] [9] [8]
Конфиденциальность по замыслу критиковалась как «неопределенная» [7] и оставляющая «много открытых вопросов об их применении при проектировании систем». Были высказаны предложения вместо этого начать и сосредоточиться на минимизации данных, что может быть достигнуто посредством проектирования безопасности. [9]
В 2007 году исследователи из KU Leuven опубликовали Engineering Privacy by Design, отметив, что «Проектирование и реализация требований конфиденциальности в системах является сложной проблемой и требует перевода сложных социальных, правовых и этических проблем в системные требования». Принципы конфиденциальности по проекту «остаются неопределенными и оставляют много открытых вопросов об их применении при проектировании систем». Авторы утверждают, что «начало с минимизации данных является необходимым и основополагающим первым шагом к проектированию систем в соответствии с принципами конфиденциальности по проекту». Цель их статьи — предоставить «первоначальное исследование практики конфиденциальности по проекту с инженерной точки зрения, чтобы способствовать закрытию разрыва между пониманием конфиденциальности по проекту политиками и инженерами». [9] Расширенные консультации коллег, проведенные 10 лет спустя в проекте ЕС, однако, подтвердили сохраняющиеся трудности в переводе правовых принципов в инженерные требования. Это отчасти более структурная проблема из-за того, что правовые принципы абстрактны, открыты с различными возможными толкованиями и исключениями, в то время как инженерные практики требуют однозначных значений и формальных определений концепций дизайна. [10]
В 2011 году Датское национальное агентство по информационным технологиям и телекоммуникациям опубликовало дискуссионный документ, в котором утверждалось, что конфиденциальность по замыслу является ключевой целью для создания моделей цифровой безопасности, расширяя концепцию до «Безопасности по замыслу». Цель состоит в том, чтобы сбалансировать анонимность и наблюдение, максимально устранив идентификацию. [48]
Еще одна критика заключается в том, что текущие определения конфиденциальности по замыслу не затрагивают методологический аспект системной инженерии, такой как использование достойных методов системной инженерии, например, тех, которые охватывают полный жизненный цикл системы и данных. [7] Эта проблема еще больше усугубляется при переходе к инициативам сетевых цифровых инфраструктур, таким как умный город или Интернет вещей . В то время как конфиденциальность по замыслу в основном была сосредоточена на обязанностях отдельных организаций за определенную технологию, эти инициативы часто требуют взаимодействия многих различных технологий, используемых разными организациями. Это требует перехода от организационного к инфраструктурному проектированию. [10]
Концепция конфиденциальности по замыслу также фокусируется не на роли фактического держателя данных, а на роли разработчика системы. Эта роль не известна в законодательстве о конфиденциальности, поэтому концепция конфиденциальности по замыслу не основана на законе. Это, в свою очередь, подрывает доверие субъектов данных, держателей данных и политиков. [7] Были подняты вопросы в ходе научных и технологических исследований о том, изменит ли конфиденциальность по замыслу значение и практику прав посредством внедрения в технологии, организации, стандарты и инфраструктуры. [49] С точки зрения гражданского общества некоторые даже подняли вопрос о возможности того, что неправильное использование этих подходов, основанных на дизайне, может даже привести к опасности bluewashing . Это относится к минимальному инструментальному использованию организациями дизайна конфиденциальности без адекватных проверок, чтобы представить себя более дружелюбными к конфиденциальности, чем это фактически оправдано. [10]
Также было отмечено, что конфиденциальность по замыслу похожа на схемы добровольного соответствия в отраслях, влияющих на окружающую среду, и, таким образом, не имеет зубов, необходимых для эффективности, и может отличаться в зависимости от компании. Кроме того, эволюционный подход, который в настоящее время применяется к разработке концепции, будет достигаться ценой нарушения конфиденциальности, поскольку эволюция также подразумевает возможность существования непригодных фенотипов (продуктов, нарушающих конфиденциальность) до тех пор, пока они не будут признаны непригодными. [7] Некоторые критики указали, что определенные бизнес-модели построены вокруг наблюдения за клиентами и манипулирования данными, и поэтому добровольное соответствие маловероятно. [8]
В 2013 году Рубинштейн и Гуд использовали инциденты с конфиденциальностью Google и Facebook для проведения контрфактуального анализа с целью выявления ценных уроков для регуляторов при рекомендации конфиденциальности по проекту. Первый заключается в том, что «более подробные принципы и конкретные примеры» будут более полезны для компаний. Второй заключается в том, что «удобство использования так же важно, как и принципы и практики проектирования». Третий заключается в том, что необходимо больше работы по «уточнению и детализации принципов проектирования — как в проектировании конфиденциальности, так и в проектировании удобства использования», включая усилия по определению международных стандартов конфиденциальности. Последний извлеченный урок заключается в том, что «регуляторы должны делать больше, чем просто рекомендовать принятие и реализацию конфиденциальности по проекту». [8]
Появление GDPR с его максимальным штрафом в 4% от мирового оборота теперь обеспечивает баланс между выгодой для бизнеса и оборотом и решает критику добровольного соответствия и требование Рубинштейна и Гуда о том, что «регуляторы должны делать больше, чем просто рекомендовать принятие и реализацию конфиденциальности по проекту». [8] Рубинштейн и Гуд также подчеркнули, что конфиденциальность по проекту может привести к приложениям, которые являются примером конфиденциальности по проекту, и их работа была хорошо принята. [50] [8]
В статье Европейского инспектора по защите данных Джованни Буттарелли от мая 2018 года « Предварительное мнение о конфиденциальности по замыслу» говорится: «Хотя конфиденциальность по замыслу достигла значительного прогресса в юридическом, технологическом и концептуальном развитии, она все еще далека от раскрытия всего своего потенциала для защиты основных прав личности. В следующих разделах этого мнения представлен обзор соответствующих разработок и рекомендованы дальнейшие усилия». [12]
В резюме содержатся следующие рекомендации для институтов ЕС:
EDPS будет:
Европейский инспектор по защите данных Джованни Буттарелли изложил требование по внедрению конфиденциальности по дизайну в своей статье. [51] Агентство Европейского союза по сетевой и информационной безопасности (ENISA) представило подробный отчет «Конфиденциальность и защита данных по дизайну — от политики к инжинирингу» о внедрении. [52] Летняя школа по реальному криптографическому обеспечению и конфиденциальности предоставила учебное пособие по теме «Инженерная конфиденциальность по дизайну». [53] Проект OWASP «10 главных рисков конфиденциальности» для веб-приложений, который дает подсказки о том, как внедрить конфиденциальность по дизайну на практике. Документация OASIS по конфиденциальности по дизайну для инженеров-программистов (PbD-SE) [26] предлагает расширение/дополнение к унифицированному языку моделирования OMG (UML) и служит дополнением к расширяемому языку разметки контроля доступа (XACML) и эталонной модели управления конфиденциальностью (PMRM) OASIS. Руководящие принципы Privacy by Design разрабатываются для операционализации некоторых высокоуровневых идей по сохранению конфиденциальности в более детальные действенные советы., [54] [55] такие как рекомендации по внедрению Privacy by Design в существующие системы (данных). Тем не менее, применение руководящих принципов Privacy by Design разработчиками программного обеспечения по-прежнему остается проблемой. [56]