Razlika med zasebnostjo in distanco
Prostor na koncu hodnika
Najjasnejšo lekcijo o zasebnosti, kar sem jih kdaj videl, ni prinesel pravni dopis. Prišla je iz zdravstvene klinike z dvema čakalnicama, eno običajno pisalno mizo in hodnikom, ki se je zdel, kot da ga je zasnoval nekdo, ki je verjel, da bi se zadrega morala širiti po ravnih črtah. Pacienti so se prijavili na recepciji, šli mimo vrste stolov in nato sedeli pred ordinacijo s papirji v naročju. Kartoteke niso bile na spletu. Klinika je bila na to ponosna. Vse pomembno je bilo v omarah, mapah in na lokalnem računalniku, ki je brnel kot utrujen hladilnik.
Na papirju so bili podatki blizu. Ostali so v stavbi. Nobenega tujega oblaka, nobene oddaljene nadzorne plošče, nobene analitične plošče dobavitelja. Pa vendar je bila zasebnost šibka na običajnih mestih, kjer ljudje dejansko živijo. Imena so se izgovarjala čez cel prostor. Napotnice so ležale z besedilom navzgor poleg tiskalnika. Medicinska sestra si je sposodila prijavičino prijavo, ker je bil sistem izmen počasnejši od sezone gripe. Vrata arhiva so bila zaklenjena, razen ko so bila odprta s škatlo tonerja, ker je moral nekdo hitro premakniti dokumente. Oddaljenost je bila dosežena. Zasebnost ne.
To je razlika, ki še vedno bega digitalno politiko. Oddaljenost govori o tem, kje so podatki, računalniška moč, ljudje, ključi in sistemi nameščeni drug glede na drugega. Zasebnost govori o tem, kaj sme biti znano, komu, za kakšen namen, pod kakšnimi omejitvami, s kakšnim dokazom, kako dolgo in s kakšnim pravnim sredstvom, ko je odgovor napačen. Oddaljenost lahko podpira zasebnost. Lahko zmanjša izpostavljenost, zniža zakasnitev, poenostavi nadzor in ohrani nekatere pristojnosti blizu institucije. Toda oddaljenost je koordinata, ne moralna lastnost. Dokument v istem prostoru je lahko zlorabljen. Oddaljen proces je lahko tesno omejen. Težko delo je vedeti, katero je katero, preden nekdo reče lokalno, kot da s tem konča stavek.
Oddaljenost deluje pomirjujoče, ker je vidna
Oddaljenost ima prijazno prednost pred zasebnostjo: lahko jo fotografiraš. Lahko pokažeš prostor s strežniki. Lahko narišeš mejo omrežja. Lahko pokažeš na državo, kampus, napravo, regal, podomrežje, omaro. Nabava ima to rada, ker se vidni nadzor lepo prilega prosojnicam. Upravni odbori imajo to radi, ker oddaljenost zveni kot odločitev. Uporabniki imajo to radi, ker je bližina človeška. Na tem nagonu ni nič neumnega. Ljudje so se, pogosto na težji način, naučili, da je oddaljeno moč težko izpodbijati.
Napaka se začne, ko vidno bližino obravnavamo kot popolno zaščito. Podatkovna zbirka znotraj državnih meja je lahko še vedno berljiva skrbnikom drugje. Lokalna aplikacija lahko še vedno pošilja telemetrijo, ki razkriva občutljive vzorce. Prenosnik, ki nikoli ne zapusti pisarne, lahko še vedno vsebuje izvožene preglednice v mapi za prenose z disciplino najstniškega stola za oblačila. Model, ki teče na kraju samem, lahko še vedno razkrije učne podatke prek pozivov, dnevnikov, predpomnilnikov ali izhodov. Bližina zmanjša nekatere površine napadov in poveča nekaj odgovornosti. Ne odloča samodejno o namenu, nujnosti, dostopu, hrambi ali poštenosti.
Zasebnost ni samo zid. Je niz delujočih dovoljenj in zavrnitev. Sprašuje, ali naj sistem polje sploh zbira, ali je polje še potrebno, ali uporabnik razume namen, ali je izpeljana funkcija postala občutljiva, ali razhroščevalni sled vsebuje več, kot bi moral videti upravljavec, ali varnostna kopija hrani podatke po izbrisu, ali lahko prizadeta oseba izpodbija rezultat in ali lahko kdo dokaže odgovor brez brskanja po ustnem izročilu. Na nobeno od teh vprašanj ne odgovori merjenje kilometrov.
Zasebnost je niz glagolov
Praktični preizkus zasebnosti ni v tem, kje stoji strežnik. Je v tem, katere glagole organizacija lahko izvede in katere lahko prepreči. Ali lahko zavrne zahtevo. Ali lahko operaterju skrije polje. Ali lahko loči identiteto od vsebine. Ali lahko zavrti ključe. Ali lahko izbriše primarni zapis in kopije, ki so pomembne. Ali lahko zazna nenavaden dostop. Ali lahko pojasni, zakaj je bila oseba vključena v izvedbo modela. Ali lahko prepreči ponovno uporabo, ko se soglasje spremeni. Ali lahko dokaže, da dobavitelj ni prejel več, kot je bilo potrebno. Zasebnost živi v teh glagolih.
Zato programi zasebnosti, zgrajeni samo iz dokumentov s pravilniki, postanejo teatralni. Pravilnik pravi, da je dostop omejen na pooblaščeno osebje. Sistem pravi, da si vsi v oddelku delijo vlogo, ker je bilo načrtovanje vlog preloženo na čas po zagonu. Pravilnik pravi, da se podatki hranijo določeno obdobje. Skladišče pravi, da so stari izvozí še vedno uporabni za analizo in nihče ne želi razburiti nadzorne plošče. Pravilnik pravi, da se zbirajo samo potrebni podatki. Obrazec pravi: datum rojstva, spol, poštna številka, telefonska številka, identifikator naprave in prosto besedilno polje, ker bi bila prihodnja analitika morda zanimiva. Prihodnja analitika je očarljiva besedna zveza. Pojedla je že marsikatero omaro.
Inženiring zasebnosti pomeni prevajanje pravnih in etičnih omejitev v vedenje sistema. Namen postane pravilo na ravni polja, ne odstavek v PDF-ju. Minimizacija postane načrt sheme, privzeto prekrivanje in zavrnitev ob vnosu. Dostop postane identiteta, obsegi, meje sej in pregled. Soglasje postane stanje, ki vpliva na usmerjanje, upravičenost do usposabljanja, analitiko in hrambo. Izbris postane razširjanje in dokazi. Zasebnost ni odsotnost pretoka podatkov. Je urejen pretok, urejen nepretok in urejen spomin.
Lokalno je lahko malomarno
Lokalne sisteme pogosto zagovarjajo kot naravno zasebne, ker zmanjšujejo odvisnost od oddaljene infrastrukture. Včasih to drži. Šola, ki hrani zapiske svetovanja v tesno upravljanem lokalnem sistemu, z usposobljenim osebjem, ozkim dostopom, kratko hrambo in brez priložnostne analitike, lahko ponudi močnejšo zasebnost kot splošni zunanji potek dela. Tovarna, ki obdeluje podatke senzorjev na kraju samem, preden pošlje samo agregirane signale vzdrževanja, lahko zmanjša izpostavljenost. Telefon, ki prepoznavanje govora izvaja lokalno, se lahko izogne pretakanju surovega zvoka. Lokalnost je lahko orodje zasebnosti, ko spremeni, kaj odide, kdo lahko pregleduje in kako hitro se odkrije zloraba.
Toda lokalni sistemi imajo tudi svoje najljubše nesreče. Tiho razpadajo. Dobivajo skupna gesla, ker stara integracija identitet nikoli ni prišla na vrsto na sestanku o proračunu. Imajo varnostne kopije, ki jih nihče ne preizkuša, in izvoze, ki jim vsi zaupajo. Sedijo v pisarnah, kjer je fizični dostop rešen z obiskovalsko značko in optimizmom. Poganjajo zastarelo programsko opremo, ker je dobavitelj prenehal delovati in edina oseba, ki razume bazo podatkov, zdaj dela tri dni na teden. Lokalna zasebnost je lahko odlična. Lokalno zanemarjanje je še vedno zanemarjanje, le s krajšimi kabli.
Enako velja za delovne obremenitve umetne inteligence. Zagon modela blizu podatkov lahko obdrži surove zapise zunaj osrednje storitve. Dobro. Lahko pa ustvari tudi nove izpeljane podatke, dnevnike, pozive, vdelave, nize za vrednotenje in predpomnjene izpise, ki jih nihče ni razvrstil. Lokalni vektorski indeks lahko razkrije občutljive pojme, tudi če so izvirni dokumenti zaklenjeni. Majhen model, prilagojen na notranjih primerih, lahko reproducira nenavadna dejstva, če sta vrednotenje in dostop šibka. Lokalni agent s širokimi pravicami do orodij je lahko bolj invaziven kot oddaljeni klasifikator s strogimi mejami. Oznaka lokalno bi morala začeti pogovor o zasebnosti, ne pa ga končati.
Oddaljeno je lahko disciplinirano
Prav tako je napačno domnevati, da razdalja vedno uniči zasebnost. Oddaljena storitev je lahko skrbno omejena. Lahko sprejema le psevdonimne ali agregirane podatke. Lahko obdeluje šifrirane ali tokenizirane vnose za ozek namen. Lahko deluje pod strogimi pogodbenimi, tehničnimi in revizijskimi kontrolami. Lahko zagotavlja izvozljive dnevnike, ključe v upravljanju stranke, zaklepanje regij, potrdila o izbrisu in neodvisne ocene. Lahko jo je lažje popraviti, spremljati in utrditi kot lokalni strežnik, ki ga vzdržuje junaška oseba z izvijačem in koledarjem, polnim incidentov.
Pomembna beseda je disciplinirano. Oddaljena obdelava mora biti zasnovana tako, da razdalja ne postane nemoč. Kdo ima ključe. Kateri skrbniki lahko vidijo vsebino. Kateri metapodatki se zbirajo. Katere poti podpore obstajajo. Ali je mogoče zakleniti različice. Ali je mogoče podatke izbrisati iz izpeljanih shramb. Ali je mogoče dnevnike izvoziti v uporabni obliki. Ali je usposabljanje modela dovoljeno ali prepovedano. Ali lahko regulator ali revizor pregleda dokaze, ne da bi sprejel posnetek zaslona kot sveto pismo. Če so ti odgovori nejasni, razdalja postane stroj za meglo. Če so natančni, je razdalja lahko obvladljiva.
Zasebnostno inženirstvo se zato upira obema sloganoma. »Cloud first« je preveč leno. »Local first« je prav tako preveč leno, ko se ustavi pri geografiji. Uporabno vprašanje je »exposure first«: kateri podatki so izpostavljeni, komu, za kaj, po kateri poti, s katerim nadomestnim načinom in s kakšnimi dokazi. Včasih je odgovor lokalno računanje. Včasih je to oddaljeni procesor z močnimi nadzori. Včasih ni zbiranja sploh, kar je najbolj podcenjena arhitektura v računalništvu in edina, ki nikoli ne potrebuje obvestila o kršitvi.
Metapodatki so mala vrata
Ljudje si zasebnost običajno predstavljajo okoli vsebine: imen, sporočil, dokumentov, slik, kliničnih zapisov, finančnih evidenc. Vsebina je pomembna. Toda razdalja pogosto odpove zaradi metapodatkov, malih vrat, ki jih vsakdo pusti rahlo odprta, ker so videti nedolžna. Časi dostopa, iskalni izrazi, lokacijski signali, identifikatorji naprav, referenčne poti, naslovi dokumentov, pozivi modela, kode napak in števci uporabe lahko razkrijejo več, kot je vljudni oblikovalec sistema nameraval. Storitev, ki nikoli ne prejme celotnega zapisa, lahko še vedno izve, kdaj je nekdo bolan, zaskrbljen, plačilno nesposoben, odsoten, zamuja, zainteresiran, preiskovan ali poskuša oditi.
Metapodatki so še posebej spolzki v sistemih z umetno inteligenco, ker delo ustvarja sledi. Dnevniki pridobivanja kažejo, kaj je uporabnik zahteval in kateri dokumenti so bili videti pomembni. Vdelane predstavitve lahko ohranjajo pomenske soseske. Pozivi lahko vsebujejo prilepljene odlomke. Klici orodij razkrivajo namero. Omejitve hitrosti in nadomestne poti razkrivajo vzorce obremenitve. Vzorci za vrednotenje nosijo primere iz resničnih primerov. Spremljanje zbira napake, napake pa so pogosto bogate s kontekstom, ker se je sistem poskušal pojasniti. Nobena od teh stvari ni slaba sama po sebi. Slepota ni zasebnost. Toda vsaka sled potrebuje namen, občinstvo, obdobje hrambe in strategijo prečiščevanja.
Razdalja sama po sebi ne reši metapodatkov. Model, ki teče na lokalnem strežniku, lahko piše podrobne dnevnike v osrednjo storitev za opazovanje. Domnevno zasebna aplikacija lahko pošilja poročila o zrušitvah s stanjem zaslona. Regionalna namestitev je lahko odvisna od globalne telemetrije identitet. Lokalna skripta za analitiko lahko ustvari kopije, ki živijo dlje kot podatki, ki jih opisujejo. Meja zasebnosti mora vključevati sence, ki jih meče obdelava, ne le prvotni predmet. V nasprotnem primeru so vhodna vrata zaklenjena, dnevnik pa je objavljen v dnevniku dostopa.
Uporabno delo še vedno potrebuje dejstva
Zasebnost je včasih karikirana kot umetnost reči ne, dokler nič ne deluje. To je slab opis in, kar je pomembneje, dolgočasen. Dobra zasebnost ohranja uporabno delo mogoče tako, da naredi najmanjšo potrebno pot eksplicitno. Zdravnik potrebuje dovolj informacij za zdravljenje pacienta. Mesto potrebuje dovolj informacij za zagotavljanje storitve in preprečevanje goljufij. Raziskovalec potrebuje dovolj informacij za odgovor na vprašanje, ne da bi vsako prihodnje vprašanje spremenil v trajno zahtevo do podatkov. Cilj ni stradati sisteme konteksta. Cilj je prenehati zamenjevati apetit z nujnostjo.
Tu lahko razdalja in zasebnost delujeta skupaj. Občutljivi podatki lahko ostanejo blizu vira, medtem ko modeli potujejo k njim. Surovi dogodki se lahko pretvorijo v lokalne značilnosti, preden agregatni signali zapustijo sistem. Identifikatorji so lahko ločeni od meritev. Človeški pregled lahko poteka na meji, kjer je kontekst potreben, široka reprodukcija pa ni. Hramba je lahko krajša za surove podatke in daljša za neidentificirajoče dokaze. Podatkovni produkt lahko izpostavi ozek pogled namesto ključa do skladišča. To so oblikovalski premiki, ne občutki. Lahko jih narišemo, preizkusimo, spremljamo in pojasnimo.
Vedno obstaja kompromis. Premalo podatkov in sistemi postanejo neuporabni ali nepravični, ker ne vidijo ustreznega konteksta. Preveč podatkov in postanejo vsiljivi, dragi in neobvladljivi. Meja zasebnosti ni ravna črta od tajnosti do uporabnosti. Je niz odločitev o podrobnosti, lokaciji, združevanju, časovnem okviru, dostopu in dokazovanju. Zrele ekipe se o tej meji pogovarjajo s primeri, ne s slogani. Natančno vedo, katero polje želijo, zakaj ga želijo, kaj se zgodi, če ga ne dobijo, in kdaj naj izgine. To je manj glamurozno kot manifest o zasebnosti, vendar preživi stik s podatkovno zbirko.
Soglasje ni prostor za shranjevanje
Soglasje pogosto pristane v istem miselnem predalu kot oddaljenost. Če je uporabnik kliknil da in so podatki ostali blizu, se sistem zdi spoštljiv. To je premalo. Soglasje ni okras, nameščen na zbiranje. Je stalna omejitev uporabe. Vplivati mora na to, kdo prejme podatke, ali jih je mogoče znova uporabiti za analitiko ali usposabljanje, kako dolgo se hranijo, kateri izpeljani artefakti so dovoljeni in kaj se zgodi, ko oseba soglasje prekliče ali mu ugovarja. Zapis soglasja, ki ne spremeni vedenja sistema, ni soglasje. Je spominek.
Pravo soglasje tudi ni vedno pravilna pravna ali etična podlaga. Javne storitve, zaposlovanje, zdravstvo, varnost in ključna infrastruktura pogosto vključujejo razlike v moči, kjer je potrditveno polje šibka oblika dostojanstva. Vprašanje zasebnosti postane ostrejše: kaj je nujno za storitev, katere alternative obstajajo, kako se presoja sorazmernost in kako lahko prizadeta oseba izpodbija zlorabo. Oddaljenost je tu skoraj nepomembna. Prisilni lokalni obrazec je še vedno prisilen. Oddaljeni obdelovalec, ki deluje v strogih mejah namena in zakonskih omejitev, je lahko manj vsiljiv kot lokalna pisarna, ki zahteva vse, ker je obrazec vedno imel to polje.
Sistemi bi morali obravnavati soglasje, namen in pravno podlago kot operativne podatke, ne kot papirologijo. Morali bi biti različiceni, priloženi zapisom in preverjeni s cevovodi. Če podatkovni niz ni primeren za usposabljanje modela, bi moralo usposabljanje spodleteti. Če oseba prekliče neobvezno uporabo za analitiko, bi moral analitični pogled to osebo izključiti in zabeležiti spremembo. Če namen poteče, bi moralo hranjenje to opaziti. To je dolgočasno na način, kot so dolgočasne zavore. Alternativa je vznemirljiva le za ljudi, ki uživajo v preiskavah.
Sklepanje spremeni mejo
Zasebnost je nekoč temeljila na zbranih dejstvih. Sistemi z umetno inteligenco nas silijo, da upoštevamo tudi izpeljana dejstva. Model lahko iz podatkov, ki so bili ob zbiranju videti manj občutljivi, sklepa o tveganju nosečnosti, finančnih težavah, političnih interesih, zdravstvenem stanju, delovnem stresu, nameri po odpovedi ali ranljivosti. Sistem morda nikoli ne zahteva občutljivega polja. Ustvari ga lahko iz vedenja. Zato se minimizacija ne more ustaviti pri vnosnem obrazcu. Slediti mora transformacijam, značilnostim, napovedim, razvrstitvam in razlagam.
Oddaljenost lahko oteži prepoznavanje tveganja sklepanja. Lokalna ekipa lahko verjame, da občutljivih podatkov nikoli ne deli, ker surova polja ostanejo notranja. Toda če izvaža ocene, segmente, oznake ali razvrščene sezname, morda izvaža občutljive zaključke. Oddaljena analitična storitev morda nikoli ne prejme imen, toda če prejme stabilne identifikatorje in dovolj podrobnosti o vedenju, razlika med anonimnim in pacientom postane pravna komedija s slabimi izkupički. Meje zasebnosti je treba potegniti okoli pomena, ne le okoli bajtov. Pomen je nadležno prenosljiv.
Pri umetni inteligenci bi moral pregled zasebnosti vprašati, katera nova dejstva sistem ustvarja. Kateri izhodi postanejo zapisi. Kdo lahko deluje na podlagi njih. Ali jih oseba lahko vidi ali izpodbija. Ali se uporabljajo za sekundarne namene. Ali se hranijo dlje kot vhodi. Ali se vračajo v usposabljanje. Ali so dovolj natančni za posledico. Napoved je lahko bolj vsiljiva kot podatki, uporabljeni za njeno izdelavo. Stroj ni le premaknil informacij. Dodajal je trditev.
Dokazi so tiha zaščita
Zasebnost odpove dvakrat, kadar dokazi manjkajo. Prvič, škoda lahko nastane, ker je sistem dovolil preveč zbiranja, dostopa, ponovne uporabe ali hrambe. Drugič, organizacija ne more dokazati, kaj se je zgodilo, zato prizadeta oseba dobi megleno razlago in opravičilo v obliki diagrama procesa. Dokazi niso nadzor zaradi nadzora samega. So zmožnost rekonstrukcije poti od dovoljenja do dejanja brez razkrivanja več podatkov, kot je potrebno.
Dobri dokazi so namenoma majhni. Zabeležijo namen, stanje privolitve ali pravno podlago, vir, transformacijo, odločitev o dostopu, različico modela ali pravil, izhod, razred hrambe in dogodke izbrisa. Uporabljajo zgoščene vrednosti, sklice, redigiranje in ločevanje, kadar vsebine ne bi smeli kopirati. Omogočajo vidnost nenavadnega dostopa. Pokažejo, kateri obdelovalec je prejel katere podatke pod katerimi pogoji. Revizorju omogočijo preverjanje, da je zahteva za izbris dosegla indekse in predpomnilnike. Uporabniku omogočijo izpodbijanje odločitve, ne da bi moralo osebje brskati po zasebnem gradivu kot arheologi s skrbniškimi pravicami.
Tu lahko oddaljenost bodisi pomaga bodisi škodi. Lokalne dokaze je morda lažje pregledati, vendar le, če so popolni in dovolj neodvisni. Oddaljene dokaze je mogoče izvoziti in so lahko strukturirani, vendar le, če jih dobavitelj ne more tiho prepisati ali skriti pomembnih plasti. Pomembna lastnost ni poštni naslov dnevnika. Pomembno je, ali so dokazi zanesljivi, sorazmerni, dostopni pravim osebam in povezani s kontrolami, ki naj bi jih predstavljali.
Prava razlika
Razlika med zasebnostjo in oddaljenostjo ni zgolj akademska. Spreminja nakupe, arhitekturo, revizije in vsakdanje navade. Če ekipa verjame, da je oddaljenost zasebnost, bo podatke premaknila bližje in nehala razmišljati. Če verjame, da je zasebnost delovna disciplina, se bo vprašala, kaj bližina dejansko spremeni. Ali zmanjša, kdo lahko vidi vsebino. Ali ohranja ključe pod odgovornim nadzorom. Ali omejuje metapodatke. Ali poenostavlja izbris. Ali ohranja uporabne dokaze. Ali zmanjšuje odvisnost, ne da bi povečala lokalno zanemarjanje. Ali prizadeti osebi omogoča, da uporabo bolje razume in jo izpodbija.
Univerzalnega odgovora ni. Vaška ambulanta, banka, univerzitetni laboratorij, sodišče, proizvajalec in telefonska aplikacija imajo različna tveganja in različne praktične možnosti. Nekateri bi morali računati lokalno. Nekateri bi morali uporabljati specializirane oddaljene procesorje. Nekateri bi morali združevati podatke. Nekateri bi morali ločiti identiteto. Nekateri bi morali prenehati zbirati polja, ki jih nihče ni zagovarjal že od časov, ko je bila preglednica mlada. Skupno jim je, da morajo zasebnost obravnavati kot vedenje, ne kot kuliso. Sistem mora izvajati svoje omejitve, ko nihče ne pripravlja predstavitve.
Oddaljenost še vedno šteje. Šteje, ker moč pogosto sledi infrastrukturi. Šteje, ker jurisdikcije, upravljavci, ključi, zakasnitve, odpornost in izhodne poti niso izmišljene. Toda oddaljenost je uporabna le, ko je povezana z namenom, minimizacijo, nadzorom dostopa, dokazi, izbrisom in pravnimi sredstvi. Bližnji nered je še vedno nered. Oddaljen sistem z discipliniranimi omejitvami je lahko bolj zaseben kot lokalna omarica z junaško nalepko. Resno vprašanje ni, ali so podatki blizu. Resno vprašanje je, ali lahko oseba ali institucija, odgovorna za podatke, upravlja, kaj se z njimi dogaja, dokaže to upravljanje in ustavi, ko je ustavitev potrebna.