Yksityisyyden ja etäisyyden ero
Huone käytävän päässä
Selkein yksityisyyden oppitunti, jonka olen koskaan nähnyt, ei tullut juridisesta muistiosta. Se tuli terveyskeskuksesta, jossa oli kaksi odotushuonetta, yksi tavallinen työpöytä ja käytävä, joka vaikutti sellaisen ihmisen suunnittelemalta, joka uskoi että häpeän pitäisi kulkea suorissa linjoissa. Potilaat ilmoittautuivat vastaanotossa, kävelivät rivin tuoleja ohi ja istuivat sitten vastaanottohuoneen ulkopuolella paperit sylissään. Potilastiedot eivät olleet verkossa. Keskus oli ylpeä siitä. Kaikki tärkeä oli kaapeissa, kansioissa ja paikallisessa koneessa, joka piti ääntä kuin väsynyt jääkaappi.
Paperilla tiedot olivat lähellä. Ne pysyivät rakennuksen sisällä. Ei ulkomaista pilveä, ei etäkäyttöliittymää, ei toimittajan analytiikkapaneelia. Silti yksityisyys oli heikkoa niissä tavallisissa paikoissa, joissa ihmiset oikeasti elävät. Nimiä sanottiin ääneen huoneen poikki. Lähetekirjeet makasivat tekstipuoli ylöspäin tulostimen vieressä. Sairaanhoitaja lainasi kollegan tunnuksia, koska työvuorojärjestelmä oli hitaampi kuin flunssakausi. Arkiston ovi oli lukittu, paitsi silloin kun se oli pidettävä auki väriainelaatikolla, koska jonkun piti siirtää tiedostoja nopeasti. Etäisyys oli saavutettu. Yksityisyys ei.
Tämä on ero, joka hämmentää jatkuvasti digitaalista politiikkaa. Etäisyys tarkoittaa sitä, missä tiedot, laskenta, ihmiset, avaimet ja järjestelmät sijaitsevat suhteessa toisiinsa. Yksityisyys tarkoittaa sitä, mitä saa tietää, kuka saa tietää, mihin tarkoitukseen, millä rajoituksilla, millä todisteella, kuinka kauan ja millä hyvityksellä kun vastaus on väärä. Etäisyys voi tukea yksityisyyttä. Se voi vähentää altistumista, pienentää viivettä, yksinkertaistaa tarkastusta ja pitää jotkin valtuudet lähellä organisaatiota. Mutta etäisyys on koordinaatti, ei moraalinen ominaisuus. Tiedostoa samassa huoneessa voidaan käyttää väärin. Etäistä prosessia voidaan rajoittaa tiukasti. Vaikea työ on tietää kumpi on kumpi, ennen kuin joku sanoo paikallinen ikään kuin se päättäisi keskustelun.
Etäisyys tuntuu lohdulliselta, koska se on näkyvää
Etäisyydellä on ystävällinen etu yksityisyyteen verrattuna: sen voi valokuvata. Voit näyttää palvelinhuoneen. Voit piirtää verkon rajan. Voit osoittaa maahan, kampukseen, laitteeseen, telineeseen, aliverkkoon, kaappiin. Hankinta pitää tästä, koska näkyvät hallintatoimet sopivat hyvin dioihin. Hallitukset pitävät siitä, koska etäisyys kuulostaa päätökseltä. Käyttäjät pitävät siitä, koska läheisyys tuntuu inhimilliseltä. Siinä vaistossa ei ole mitään typerää. Ihmiset ovat oppineet, usein kantapään kautta, että etäistä valtaa on vaikea haastaa.
Virhe alkaa, kun näkyvää läheisyyttä kohdellaan täydellisenä suojana. Tietokanta kansallisen rajan sisällä voi silti olla muiden paikkojen järjestelmänvalvojien luettavissa. Paikallinen sovellus voi silti lähettää telemetriaa, joka paljastaa arkaluonteisia kaavoja. Kannettava, joka ei koskaan poistu toimistosta, voi silti sisältää vietyjä taulukoita latauskansiossa yhtä kurinalaisesti kuin teinin pyykkituoli. Paikallisesti toimiva malli voi silti paljastaa koulutusaineistoa kehotteiden, lokien, välimuistien tai tulosteiden kautta. Läheisyys vähentää joitakin hyökkäyspintoja ja lisää jonkinlaista vastuullisuutta. Se ei automaattisesti päätä tarkoitusta, välttämättömyyttä, käyttöoikeutta, säilytysaikaa tai oikeudenmukaisuutta.
Yksityisyys ei ole vain seinä. Se on joukko toimivia oikeuksia ja kieltäytymisiä. Se kysyy, pitäisikö järjestelmän kerätä kenttää lainkaan, tarvitaanko kenttää edelleen, ymmärtääkö käyttäjä tarkoituksen, onko johdetusta ominaisuudesta tullut arkaluonteinen, sisältääkö virheenjäljitys enemmän kuin käyttäjän pitäisi nähdä, säilyttääkö varmuuskopio tiedot poiston jälkeen, voiko asianomainen riitauttaa tuloksen ja voiko kukaan todistaa vastauksen kaivelematta perimätietoa. Mihinkään näistä kysymyksistä ei vastata mittaamalla kilometrejä.
Yksityisyys on verbijoukko
Käytännön testi yksityisyydelle ei ole se, missä palvelin seisoo. Se on se, mitkä verbit organisaatio voi suorittaa ja mitkä verbit se voi estää. Voiko se kieltäytyä pyynnöstä. Voiko se piilottaa kentän käyttäjältä. Voiko se erottaa identiteetin sisällöstä. Voiko se vaihtaa avaimet. Voiko se poistaa ensisijaisen tietueen ja merkitykselliset kopiot. Voiko se havaita poikkeavan käytön. Voiko se selittää, miksi henkilö oli mukana malliajossa. Voiko se lopettaa uudelleenkäytön, kun suostumus muuttuu. Voiko se osoittaa, ettei toimittaja saanut enempää kuin oli tarpeen. Yksityisyys elää näissä verbeissä.
Siksi pelkistä politiikkadokumenteista rakennetut yksityisysohjelmat muuttuvat teatraalisiksi. Politiikka sanoo, että pääsy on rajoitettu valtuutettuun henkilöstöön. Järjestelmä sanoo, että kaikilla osaston työntekijöillä on sama rooli, koska roolisuunnittelu lykättiin julkaisun jälkeiseen aikaan. Politiikka sanoo, että dataa säilytetään määritellyn ajan. Varasto sanoo, että vanhat viennit ovat yhä hyödyllisiä analyysille, eikä kukaan halua suututtaa kojelautaa. Politiikka sanoo, että vain välttämätön data kerätään. Lomake sanoo syntymäajan, sukupuolen, postinumeron, puhelinnumeron, laitetunnisteen ja vapaan tekstikentän, koska tuleva analytiikka voi olla kiinnostavaa. Tuleva analytiikka on viehättävä ilmaus. Se on syönyt monta kaappia.
Yksityisyyden suunnittelu tarkoittaa oikeudellisten ja eettisten rajojen kääntämistä järjestelmän käyttäytymiseksi. Tarkoitus muuttuu kenttätason säännöksi, ei kappaleeksi PDF:ssä. Minimointi muuttuu skeemasuunnitteluksi, oletusarvoiseksi poistamiseksi ja kieltäytymiseksi vastaanotossa. Pääsy muuttuu identiteetiksi, laajuuksiksi, istuntorajoiksi ja tarkasteluksi. Suostumus muuttuu tilaksi, joka vaikuttaa reititykseen, koulutuskelpoisuuteen, analytiikkaan ja säilytykseen. Poisto muuttuu leviämiseksi ja todisteiksi. Yksityisyys ei ole datan liikkumisen puuttumista. Se on hallittua liikkumista, hallittua liikkumattomuutta ja hallittua muistia.
Paikallinen voi olla huolimatonta
Paikallisia järjestelmiä puolustetaan usein luonnostaan yksityisinä, koska ne vähentävät riippuvuutta kaukaisesta infrastruktuurista. Joskus se on totta. Koulu, joka säilyttää ohjauskeskustelujen muistiinpanot tiukasti hallitussa paikallisessa järjestelmässä, jossa on koulutettua henkilöstöä, kapea pääsy, lyhyt säilytysaika eikä satunnaista analytiikkaa, voi tarjota vahvemman yksityisyyden kuin yleinen ulkoinen työnkulku. Tehdas, joka käsittelee anturidataa paikan päällä ennen kuin lähettää vain aggregoituja kunnossapitosignaaleja, voi vähentää altistumista. Puhelin, joka suorittaa puheentunnistuksen paikallisesti, voi välttää raa'an äänen suoratoiston. Paikallisuus voi olla yksityisyyden työkalu, kun se muuttaa sitä, mikä lähtee, kuka voi tarkastaa ja miten nopeasti väärinkäyttö havaitaan.
Mutta myös paikallisilla järjestelmillä on omat lempikatastrofinsa. Ne lahoavat hiljaa. Niihin kertyy jaettuja salasanoja, koska vanha identiteettien integrointi ei koskaan päässyt budjettikokoukseen. Niillä on varmuuskopioita, joita kukaan ei testaa, ja vientejä, joihin kaikki luottavat. Ne sijaitsevat toimistoissa, joissa fyysinen pääsy ratkaistaan vierailijakortilla ja optimismilla. Niissä pyörii vanhentunut ohjelmisto, koska toimittaja lopetti toimintansa ja ainoa henkilö, joka ymmärtää tietokantaa, tekee nyt töitä kolmena päivänä viikossa. Paikallinen yksityisyys voi olla erinomaista. Paikallinen laiminlyönti on silti laiminlyöntiä, vain lyhyemmillä kaapeleilla.
Sama pätee tekoälykuormiin. Mallin ajaminen lähellä dataa voi pitää raakadatan pois keskitetystä palvelusta. Hyvä. Se voi kuitenkin myös synnyttää uutta johdettua dataa, lokeja, kehotteita, upotuksia, arviointijoukkoja ja välimuistitulosteita, joita kukaan ei ole luokitellut. Paikallinen vektori-indeksi voi paljastaa arkaluonteisia käsitteitä, vaikka alkuperäiset asiakirjat olisivat lukittuja. Sisäisillä tapauksilla hienosäädetty pieni malli voi toisintaa epätavallisia faktoja, jos arviointi ja pääsynhallinta ovat heikkoja. Paikallinen agentti, jolla on laajat työkaluoikeudet, voi olla tunkeilevampi kuin etäluokitin, jolla on tiukat rajat. Paikallinen-leima saa aloittaa yksityisyyskeskustelun, ei lopettaa sitä.
Etäkäyttö voi olla kurinalaista
On myös väärin väittää, että etäisyys aina tuhoaisi yksityisyyden. Etäpalvelu voidaan rajata huolellisesti. Se voi vastaanottaa vain pseudonyymistä tai aggregoida dataa. Se voi käsitellä salattuja tai tokenisoituja syötteitä rajattuun tarkoitukseen. Se voi toimia vahvojen sopimus-, teknisten ja auditointikontrollien alaisena. Se voi tarjota vietävät lokit, asiakkaan hallinnoimat avaimet, alueellisen lukituksen, poistokuitit ja riippumattomat arvioinnit. Sitä voi olla helpompi päivittää, valvoa ja koventaa kuin paikallista palvelinta, jota ylläpitää sankarillinen henkilö ruuvimeisselin ja tapahtumia täynnä olevan kalenterin kanssa.
Tärkeä sana on kurinalainen. Etäkäsittely on suunniteltava niin, että etäisyydestä ei tule avuttomuutta. Kenellä on avaimet. Mitkä ylläpitäjät voivat nähdä sisällön. Mitä metatietoa kerätään. Mitkä tukipolut ovat olemassa. Voidaanko versiot lukita. Voidaanko data poistaa johdetuista tallennustiloista. Voidaanko lokit viedä hyödyllisessä muodossa. Onko mallin kouluttaminen sallittua vai kiellettyä. Voiko sääntelijä tai auditoija tarkastaa todisteet hyväksymättä kuvakaappausta pyhäinjäännökseksi. Jos vastaukset ovat epämääräisiä, etäisyydestä tulee sumukone. Jos ne ovat täsmällisiä, etäisyys voi olla hallittavissa.
Yksityisyydensuojan suunnittelu vastustaa siis molempia iskulauseita. Pilvi ensin on liian laiska ajattelutapa. Myös paikallinen ensin on liian laiska, jos se pysähtyy maantieteeseen. Hyödyllinen kysymys on altistuminen ensin: mitä tietoa altistuu, kenelle, mihin tarkoitukseen, mitä reittiä, millä varajärjestelyllä ja millä todisteilla. Joskus vastaus on paikallinen laskenta. Joskus se on vahvasti hallinnoitu etäkäsittelijä. Joskus se on, ettei tietoa kerätä lainkaan, mikä on tietojenkäsittelyn aliarvostetuin arkkitehtuuri ja ainoa, joka ei koskaan tarvitse tietoturvaloukkauksen ilmoitusta.
Metatieto on se pieni ovi
Ihmiset kuvittelevat yksityisyyden liittyvän yleensä sisältöön: nimiin, viesteihin, asiakirjoihin, kuviin, kliinisiin muistiinpanoihin, taloustietoihin. Sisällöllä on merkitystä. Mutta etäisyys pettää usein metatiedon kohdalla, sen pienen oven, jonka kaikki jättävät hieman raolleen, koska se näyttää vaarattomalta. Käyttöajat, hakusanat, sijaintipyyhinnät, laitetunnisteet, viittauspolut, asiakirjojen otsikot, mallikehotteet, virhekoodit ja käyttölaskurit voivat paljastaa enemmän kuin huoliteltu järjestelmäsuunnittelija tarkoitti. Palvelu, joka ei koskaan vastaanota koko tietuetta, voi silti saada selville, milloin henkilö on sairas, ahdistunut, maksukyvytön, poissa, myöhässä, kiinnostunut, tutkinnan kohteena tai aikeissa lähteä.
Metatieto on erityisen liukasta tekoälyjärjestelmissä, koska työskentely luo jälkiä. Hakulokit kertovat, mitä käyttäjä pyysi ja mitkä asiakirjat vaikuttivat olennaisilta. Upotukset voivat säilyttää semanttisia naapurustoja. Kehotteet voivat sisältää liitettyjä katkelmia. Työkalujen kutsut paljastavat tarkoituksen. Rajoitukset ja varajärjestelypolut paljastavat työmäärän jakautumisen. Arviointiotokset sisältävät esimerkkejä oikeista tapauksista. Valvonta kerää vikoja, ja viat ovat usein rikkaita asiayhteydeltään, koska järjestelmä yritti selittää itseään. Mikään tästä ei ole oletusarvoisesti huonoa. Sokeus ei ole yksityisyyttä. Mutta jokaisella jäljellä on oltava tarkoitus, yleisö, säilytysaika ja poistostrategia.
Etäisyys ei ratkaise metatieto-ongelmaa itsestään. Paikallisella palvelimella toimiva malli voi kirjoittaa yksityiskohtaisia lokitietoja keskitettyyn valvontapalveluun. Näennäisen yksityinen sovellus voi lähettää kaatumisraportteja, joissa on näytön tila. Alueellinen käyttöönotto voi olla riippuvainen maailmanlaajuisesta identiteettitelemetriasta. Paikallinen analytiikkaskripti voi luoda kopioita, jotka elävät pidempään kuin tiedot, joita ne kuvaavat. Yksityisyyden rajan on katettava myös käsittelyn varjot, ei vain alkuperäistä kohdetta. Muuten etuovi on lukossa ja päiväkirja julkaistaan käyttölokissa.
Hyödyllinen työ tarvitsee silti tosiasioita
Yksityisyys kuvataan joskus karikatyyrinä taidosta sanoa ei, kunnes mikään ei toimi. Se on huono kuvaus ja, mikä tärkeämpää, tylsä sellainen. Hyvä yksityisyys pitää hyödyllisen työn mahdollisena tekemällä vähimmäisvaaditun polun näkyväksi. Kliinikko tarvitsee riittävästi tietoa potilaan hoitamiseen. Kaupunki tarvitsee riittävästi tietoa palvelun tuottamiseen ja petosten estämiseen. Tutkija tarvitsee riittävästi tietoa kysymykseen vastaamiseen muuttamatta jokaista tulevaa kysymystä pysyväksi vaatimukseksi tiedoista. Tavoitteena ei ole näännyttää järjestelmiä asiayhteydestä. Tavoitteena on lopettaa tarpeen ja mielihalun sekoittaminen toisiinsa.
Tässä etäisyys ja yksityisyys voivat toimia yhdessä. Arkaluonteiset tiedot voivat pysyä lähellä lähdettä, kun mallit matkustavat niiden luo. Raakatapahtumat voidaan muuntaa paikallisiksi piirteiksi ennen kuin aggregoidut signaalit lähtevät. Tunnisteet voidaan erottaa mittauksista. Ihmisen suorittama tarkastelu voi tapahtua rajapinnassa, jossa asiayhteyttä tarvitaan, mutta laajaa kopiointia ei. Raakatiedon säilytysaika voi olla lyhyempi ja tunnistamattoman todistusaineiston pidempi. Datatuote voi tarjota kapean näkymän varastokokonaisuuden avaimen sijaan. Nämä ovat suunnitteluratkaisuja, eivät tunnelmia. Ne voidaan piirtää, testata, valvoa ja selittää.
Kompromisseja on aina. Liian vähän dataa ja järjestelmistä tulee hyödyttömiä tai epäoikeudenmukaisia, koska ne eivät näe olennaista asiayhteyttä. Liikaa dataa ja niistä tulee tunkeilevia, kalliita ja mahdottomia hallita. Yksityisyyden raja ei ole suora viiva salaisuudesta hyödyllisyyteen. Se on joukko valintoja tarkkuudesta, sijainnista, yhdistämisestä, ajoituksesta, pääsystä ja todisteista. Kypsät tiimit väittelevät tästä rajasta esimerkkien, eivät iskulauseiden avulla. He tietävät tarkalleen, minkä kentän haluavat, miksi haluavat sen, mitä tapahtuu, jos eivät saa sitä, ja milloin sen pitäisi hävitä. Tämä on vähemmän glamouria kuin yksityisyyden manifesti, mutta se kestää kosketuksen tietokantaan.
Suostumus ei ole säilytyspaikka
Suostumus laitetaan usein samaan henkiseen lokeroon kuin etäisyys. Jos käyttäjä klikkasi kyllä ja data pysyi lähellä, järjestelmä tuntuu kunnioitettavalta. Se on liian ohutta. Suostumus ei ole koriste, joka asetetaan keräämisen päälle. Se on jatkuva käytön rajoite. Sen pitäisi vaikuttaa siihen, kuka saa dataa, voidaanko sitä käyttää uudelleen analytiikkaan tai koulutukseen, kuinka kauan sitä säilytetään, mitkä johdetut artefaktit ovat sallittuja ja mitä tapahtuu, kun henkilö peruuttaa suostumuksensa tai vastustaa käsittelyä. Suostumustieto, joka ei muuta järjestelmän käyttäytymistä, ei ole suostumusta. Se on matkamuisto.
Oikea suostumus ei myöskään ole aina oikea oikeudellinen tai eettinen peruste. Julkiset palvelut, työsuhde, terveydenhuolto, turvallisuus ja kriittinen infrastruktuuri sisältävät usein valtaeroja, joissa valintaruutu on heikko ihmisarvon muoto. Yksityisyyden kysymys tarkentuu: mikä on palvelun kannalta välttämätöntä, mitä vaihtoehtoja on olemassa, miten suhteellisuutta arvioidaan ja miten asianomainen voi riitauttaa väärinkäytön. Etäisyys on tässä lähes merkityksetöntä. Pakottava paikallinen lomake on silti pakottava. Etäkäsittelijä, joka toimii tiukkojen käyttötarkoitusten ja lakisääteisten rajoitusten alaisena, voi olla vähemmän tunkeileva kuin paikallinen toimisto, joka pyytää kaikkea, koska lomakkeessa on aina ollut se kenttä.
Järjestelmien tulisi käsitellä suostumusta, käyttötarkoitusta ja oikeusperustaa operatiivisena datana, ei paperityönä. Niillä tulisi olla versiot, ne tulisi liittää tietueisiin ja putkistojen tulisi tarkistaa ne. Jos tietoaineisto ei ole kelvollinen mallin koulutukseen, koulutustehtävän pitäisi epäonnistua. Jos henkilö peruuttaa vapaaehtoisen analytiikkakäytön, analytiikkanäkymän pitäisi lopettaa hänen sisällyttämisensä ja tallentaa muutos. Jos käyttötarkoitus päättyy, säilytyksen pitäisi huomata se. Tämä on tylsää samalla tavalla kuin jarrut ovat tylsiä. Vaihtoehto on jännittävä vain niille, jotka nauttivat tutkinnoista.
Päätelmät muuttavat rajaa
Yksityisyydensuoja keskittyi aiemmin kerättyihin tietoihin. Tekoälyjärjestelmät pakottavat meidät huolehtimaan myös päätellyistä tiedoista. Malli voi päätellä raskausriskin, taloudellisen ahdingon, poliittisen kiinnostuksen, terveydentilan, työstressin, irtisanoutumisaikeen tai haavoittuvuuden sellaisesta datasta, joka keräyshetkellä näytti vähemmän arkaluonteiselta. Järjestelmä ei välttämättä koskaan kysy arkaluonteista kenttää. Se voi valmistaa sen käyttäytymisestä. Siksi minimointi ei voi pysähtyä syöttölomakkeeseen. Sen on seurattava muunnoksia, piirteitä, ennusteita, luokitteluja ja selityksiä.
Etäisyys voi tehdä päättelyn riskistä vaikeammin havaittavaa. Paikallinen tiimi voi uskoa, ettei se koskaan jaa arkaluonteisia tietoja, koska raakakentät pysyvät sisäisinä. Mutta jos se vie ulos pistemääriä, segmenttejä, lippuja tai luokiteltuja listoja, se voi viedä ulos arkaluonteisia johtopäätöksiä. Etäanalytiikkapalvelu ei välttämättä koskaan saa nimiä, mutta jos se saa pysyviä tunnisteita ja riittävästi käyttäytymistietoja, ero anonyymin ja potilaan välillä muuttuu juristivitsiksi, jolle ei löydy yleisöä. Yksityisyyden rajat on vedettävä merkityksen, ei vain tavujen ympärille. Merkitys on ärsyttävän siirrettävää.
Tekoälyn kohdalla yksityisyydensuojan tarkastelussa pitäisi kysyä, mitä uusia tosiasioita järjestelmä luo. Mitkä tulosteet muuttuvat tietueiksi. Kuka voi toimia niiden perusteella. Voiko ihminen nähdä tai riitauttaa ne. Käytetäänkö niitä toissijaisiin tarkoituksiin. Säilytetäänkö niitä pidempään kuin syötteitä. Syötetäänkö ne takaisin koulutukseen. Ovatko ne riittävän tarkkoja seurauksiin nähden. Ennuste voi olla tunkeilevampi kuin sen tuottamiseen käytetty data. Kone ei vain siirtänyt tietoa. Se lisäsi väitteen.
Näyttö on hiljainen suoja
Yksityisyydensuoja pettää kahdesti, kun näyttö puuttuu. Ensinnäkin haittaa voi syntyä, koska järjestelmä salli liikaa keräämistä, käyttöä, uudelleenkäyttöä tai säilytystä. Toiseksi organisaatio ei pysty todistamaan, mitä tapahtui, joten asianomainen saa sumean selityksen ja prosessikaavion muotoisen anteeksipyynnön. Näyttö ei ole valvontaa valvonnan vuoksi. Se on kykyä rekonstruoida reitti luvasta toimenpiteeseen paljastamatta enempää tietoa kuin on tarpeen.
Hyvä näyttö on tarkoituksellisen pientä. Se kirjaa tarkoituksen, suostumuksen tilan tai oikeusperustan, lähteen, muunnoksen, käyttöpäätöksen, mallin tai säännön version, tulosteen, säilytysluokan ja poistotapahtumat. Se käyttää tiivisteitä, viittauksia, poistamista ja erottelua silloin, kun sisältöä ei pitäisi kopioida. Se tekee poikkeavan käytön näkyväksi. Se osoittaa, mikä käsittelijä sai mitä dataa millä ehdoilla. Se antaa tilintarkastajan varmistaa, että poistopyyntö saavutti indeksit ja välimuistit. Se antaa käyttäjän riitauttaa päätöksen ilman, että henkilökunnan on kaivettava yksityistä materiaalia kuin järjestelmänvalvojan oikeuksilla varustetut arkeologit.
Tässä etäisyys voi joko auttaa tai haitata. Paikallista näyttöä voi olla helpompi tarkastaa, mutta vain jos se on riittävän täydellistä ja riippumatonta. Etänäyttö voi olla vietävissä ja jäsenneltyä, mutta vain jos toimittaja ei voi hiljaa kirjoittaa sitä uusiksi tai piilottaa tärkeitä kerroksia. Tärkeä ominaisuus ei ole lokin postiosoite. Se on se, onko näyttö luotettavaa, oikeasuhteista, oikeiden ihmisten saatavilla ja sidottu niihin hallintatoimiin, joita sen väitetään edustavan.
Varsinainen ero
Ero yksityisyyden ja etäisyyden välillä ei ole teoreettinen. Se vaikuttaa ostopäätöksiin, arkkitehtuuriin, auditointeihin ja arjen tapoihin. Jos tiimi uskoo etäisyyden olevan yksityisyyttä, se siirtää dataa lähemmäs ja lakkaa ajattelemasta. Jos se uskoo yksityisyyden olevan toimiva käytäntö, se kysyy, mitä läheisyys oikeastaan muuttaa. Vähentääkö se sitä, ketkä voivat nähdä sisältöä. Pysyvätkö avaimet vastuullisessa hallinnassa. Rajoittaako se metatietoja. Yksinkertaistaako se poistamista. Säilyttääkö se hyödyllisiä todisteita. Vähentääkö se riippuvuuksia lisäämättä paikallista laiminlyöntiä. Helpottaako se sitä, että asianomainen pystyy ymmärtämään ja haastamaan käytön.
Yleispätevää vastausta ei ole. Kyläklinikalla, pankilla, yliopistolaboratoriolla, tuomioistuimella, valmistajalla ja puhelinsovelluksella on erilaiset riskit ja erilaiset käytännön vaihtoehdot. Joidenkin kannattaa laskea paikallisesti. Joidenkin kannattaa käyttää erikoistuneita etäkäsittelypalvelimia. Joidenkin kannattaa aggregoida. Joidenkin kannattaa erottaa identiteetti. Joidenkin kannattaa lopettaa sellaisten kenttien kerääminen, joita kukaan ei ole puolustanut sitten taulukkolaskennan alkuaikojen. Yhteistä niille on tarve kohdella yksityisyyttä käyttäytymisenä, ei kulissina. Järjestelmän on toteutettava rajansa silloin, kun kukaan ei pidä esitystä.
Etäisyydellä on silti merkitystä. Sillä on merkitystä, koska valta seuraa usein infrastruktuuria. Sillä on merkitystä, koska lainkäyttöalueet, toimijat, avaimet, viive, häiriönsieto ja poistumistiet eivät ole kuvitteellisia. Mutta etäisyys on hyödyllistä vain, kun se liittyy tarkoitukseen, minimointiin, käytönvalvontaan, todisteisiin, poistamiseen ja oikeussuojakeinoihin. Lähellä oleva sotku on edelleen sotku. Etäinen järjestelmä, jolla on kurinalaiset rajat, voi olla yksityisempi kuin paikallinen kaappi, jossa on sankarillinen tarra. Vakava kysymys ei ole se, onko data lähellä. Vakava kysymys on se, pystyykö datasta vastuussa oleva henkilö tai organisaatio hallitsemaan sille tapahtuvaa, todistamaan sen hallinnan ja lopettamaan, kun lopettaminen on tarpeen.