Приватность по умолчанию
Приватность по умолчанию, а также Privacy by design или PbD— это подход к инженерии систем, изначально разработанный Энн Кавукян и формализованный в 1995 году в совместном отчёте по технологиям, повышающим приватность, подготовленном сотрудниками офиса омбудсмена по вопросам информации и приватности Онтарио, а также Нидерландского органа по защите данных и Нидерландской организации прикладных научных исследований[1][2].
Описание
Концепция «приватности по умолчанию» была опубликована в 2009 году и получила поддержку Международной ассамблеи уполномоченных по вопросам приватности и защиты данных в 2010 году. Данный подход требует, чтобы приватность учитывалась на всех этапах процесса проектирования и разработки систем. «Приватность по умолчанию» иллюстрирует идею ценностно-ориентированного проектирования (value sensitive design) — систематического включения человеческих ценностей в процесс разработки технологий[3][4].
Подход Кавукян к приватности критиковался за неясность[5], трудности внедрения[6], применимость не ко всем дисциплинам[7][8], проблемы масштабирования на сетевые инфраструктуры[8], а также за приоритет корпоративных интересов над интересами пользователей[5] и недостаточное внимание к минимизации сбора данных[7]. Современные методы кодирования приватности в данных[9] и развитие технологий, повышающих приватность (Privacy-Enhancing Technologies, PETs) частично нивелируют эти недостатки и делают принципы реализуемыми на практике.
Регламент Европейского союза GDPR включает принцип приватности по умолчанию[10].
Проактивность, а не реакция; предотвращение, а не устранение последствий
Фреймворк «приватности по умолчанию» ориентирован на упреждение, предотвращение угроз приватности до того, как они возникнут. Система должна опережать потенциальные риски, а не реагировать на возникшие инциденты, и не заниматься их последующим исправлением[11][12][13].
Приватность по умолчанию
Система должна обеспечивать максимальную защищённость персональных данных по умолчанию, даже если пользователь не совершает никаких дополнительных действий для своей защиты[11][12][13].
Практики реализации PbD
- Чёткое определение целей — лицо, которому принадлежат данные, должно быть заранее информировано о целях сбора, хранения и использования информации; цели должны быть ограничены и релевантны заявленным нуждам[11].
- Ограничение сбора — сбор данных должен быть справедливым, законным и сведён к целям, указанным заранее[11].
- Минимизация данных — сбор сведений о пользователе должен быть минимальным и системы должны по умолчанию стремиться к неидентифицируемости и неотслеживаемости пользователей[11].
- Использование, хранение и раскрытие данных — все действия с персональными данными осуществляются только с согласия пользователя (кроме случаев, предусмотренных законом); данные должны храниться не дольше обозначенного срока и затем безопасно уничтожаться[11].
Интеграция приватности в проектирование
Приватность закладывается непосредственно в дизайн систем и процессов — как неотъемлемая черта архитектуры, а не дополнительная опция. Это обеспечивает соответствие требованиям приватности без ущерба функциональности[11][12][13].
Полная функциональность — без компромиссов
Подход предполагает достижение всех легитимных целей без жесткой необходимости делать выбор между приватностью и иными интересами (например, безопасностью); отвергает ложные дихотомии[11][12][13].
Сквозная безопасность — защита на всём жизненном цикле данных
Меры по обеспечению приватности охватывают весь жизненный цикл информации: от момента сбора до уничтожения данных, включая безопасное хранение и удаление[11][12][13].
Проектирование и стандарты
Международная организация по стандартизации (ISO) одобрила предложение Комитета по политике в отношении потребителей (COPOLCO) о разработке нового стандарта: ‘‘Consumer Protection: Privacy by Design for Consumer Goods and Services’’ (ISO/PC317)[14]. Стандарт ориентирован на процессы проектирования товаров и услуг, отвечающих требованиям приватности пользователей. Секретариат возглавляет Великобритания, участвуют 13 членов и 20 наблюдателей[15].
Совет по стандартам Канады (SCC) также входит в число участников и создал зеркальный национальный комитет для ISO/PC317[16].
Технический комитет OASIS Privacy by Design Documentation for Software Engineers (PbD-SE)[17] разрабатывает спецификацию внедрения принципов PbD в программную инженерную практику. PbD-SE призвана переводить принципы «приватности по умолчанию» в формальные требования в сфере разработки ПО, а также документировать соответствие разработок этим принципам, исходя из лучших практик отрасли (например, NIST SP 800-53 и PMRM-1.0)[17].
Связь с технологиями, повышающими приватность
«Приватность по умолчанию» возникла как развитие идей из области технологий, повышающих приватность (PETs), впервые зафиксированных в совместном докладе Энн Кавукян и Джона Боркинга в 1995 году[1]. В 2007 году Европейская комиссия опубликовала информационный меморандум о PETs[18], а в 2008 году Британское управление по вопросам информации заказало отдельное исследование «Privacy by Design — An Overview of Privacy Enhancing Technologies»[19].
Фреймворк сочетает технические аспекты (ПО и инженерия систем)[20], административные меры, организационные механизмы и учёт контекста эксплуатации, развиваясь из практики формализации принципов честной обработки информации (Fair Information Practice Principles) в ИКТ[21]. В работе Питера Хустинкса подчёркивается вклад Кавукян и Боркинга в доклад 1995 года[1][2].
PETs позволяют пользователям контролировать приватность своих данных при взаимодействии с ИТ-сервисами. Фреймворк «приватности по умолчанию» учитывает не только отдельные технические средства, но и процессы, в которые они интегрированы. Центр за демократию и технологии США счёл PETs лишь частью более широкой системы обеспечения приватности, отметив: для реального повышения уровня защиты необходим системный подход[22].
Глобальное применение
Ещё в июле 1997 года в Германии был принят закон § 3 Sec. 4 Teledienstedatenschutzgesetz (Закон о защите данных в телематических сервисах)[23]. Новый регламент ЕС GDPR включает требования к защите данных «по умолчанию» и «по проекту»[10][24][25]. Канадский омбудсмен по вопросам приватности включил PbD в доклад «Privatnost, доверие и инновации — формирование цифрового преимущества Канады»[26][27]. В 2012 году Федеральная торговая комиссия США (FTC) включила PbD как один из трёх ключевых принципов защиты приватности[28][29]. В Австралии этот принцип закреплён на уровне государственного управления штата Виктория[30]. Управление уполномоченного Великобритании по вопросам информации акцентирует важность концепции PbD[31][32]. В 2014 году на Международной конференции комиссаров по защите данных принята Маврикийская декларация по интернету вещей, где прописаны требования «приватности по умолчанию»[33]. Гонконгский офис уполномоченного по защите данных проводил образовательную конференцию по этой теме[34][35].
В частном секторе примеру следуют Sidewalk Toronto[36], Microsoft[37], Deloitte[38].
Критика и рекомендации
Концепция привлекла широкий научный и профессиональный интерес, особенно после резолюции 2010 года о международном признании PbD, а также предметом дискуссии среди специалистов в праве и инженерии[5][6][7].
Часто выделяют чрезмерную неопределённость, открытые вопросы применения в инженерных проектах[5], а также необходимость уделять первоочередное внимание минимизации данных через инженерные меры[7]. В статье K.U. Leuven от 2007 года констатировалось, что требования к приватности сложны в формализации и требуют трансляции социальных и юридических аспектов в инженерные спецификации. И спустя десятилетие эксперты отмечали структурные затруднения с переводом абстрактных принципов в точные инженерные регламенты[8].
В 2011 году Датское агентство по ИТ и телекоммуникациям предложило развивать концепцию PbD как часть парадигмы «Security by Design», с целью балансировки анонимности и надзора[39].
Критике подвергается отсутствие проработанной инженерной методологии, охватывающей полный жизненный цикл систем и данных[5]. Сложности возрастают при переходе к инфраструктурам Интернета вещей и «умного города»: требования приватности должны обеспечиваться на уровне взаимодействия разнородных независимых систем[8].
Отмечается и правовой аспект: с точки зрения права ответственность несёт не проектировщик, а владелец или оператор данных, и концепция PbD не укоренена в законодательстве, что сказывается на доверии пользователей[5]. Представители гражданского общества указывают на риск формального соблюдения без реальных действий по защите приватности («bluewashing»)[8].
Также PbD сравнивают с добровольными стандартами экологического регулирования — отмечается недостаточная эффективность из-за вариабельности исполнения компаниями и уязвимость для злоупотреблений. Некоторые бизнес-модели прямо построены на сборе и анализе пользовательских данных, что делает внедрение PbD крайне затруднительным[6].
В исследовании 2013 года на примере инцидентов Google сформулировали рекомендации: необходимо конкретизировать принципы PbD, учитывать удобство для пользователя, совершенствовать как сами инженерные, так и интерфейсные решения, а также вводить нормативно-обязательные требования (а не просто рекомендации)[6][40].
Новое положение ЕС GDPR предусматривает штрафы до 4 % от мирового оборота компании за нарушения, что нивелирует основной недостаток добровольного подхода и обеспечивает серьёзную мотивацию к соблюдению[6].
В 2018 году Европейский инспектор по защите данных Джованни Буттарелли в докладе Preliminary Opinion on Privacy by Design написал: «Хотя приватность по умолчанию достигла значительных успехов на правовом, технологическом и концептуальном уровнях, её потенциал для защиты основных прав реализован лишь частично; требуются дальнейшие усилия»[10].
В числе рекомендаций:
- обеспечить сильную защиту приватности (включая PbD) при формировании регламента ePrivacy,
- поддерживать приватность в рамках всех нормативных и технических платформ, обязать к выполнению (в том числе через механизм ответственности),
- стимулировать внедрение PbD и PETs в Евросоюзе и на уровне государств,
- обеспечить кадровые и технические ресурсы для исследований и анализа PbD и PETs,
- поддерживать новые практики и бизнес-модели через технологическое финансирование,
- содействовать учёту требований PbD при госзакупках,
- создать инвентаризацию и мониторинг состояния внедрения privacy engineering и PETs.
Практическая реализация
Европейский инспектор по защите данных Джованни Буттарелли выделил необходимые требования к внедрению PbD[41]. Агентство Европейского союза по вопросам сетевой и информационной безопасности (ENISA) подготовило подробный отчёт об инженерных аспектах реализации privatnosti po umolchaniyu[42]. На летней школе по вопросам приватности были представлены учебные материалы по инженерной реализации PbD[43]. OWASP Top 10 Privacy Risks Project даёт практические советы по внедрению PbD для web-приложений. Спецификация OASIS PbD-SE рассматривает вопросы интеграции с отраслевыми стандартами моделирования (UML, XACML, PMRM). Появляются и частные гайды по внедрению PbD в реальные (data-driven) системы[44][45], включая рекомендации по адаптации существующих ИС под требования PbD. Однако задачи внедрения всё ещё остаются вызовом — даже в сообществах программных разработчиков[46].