Prawa zbiorowe do danych mogą powstrzymać wielkie technologie przed zniszczeniem prywatności

ilustracja koncepcyjna

Franziska Barczyk





Każda osoba zaangażowana w świat sieci nieustannie tworzy rzeki danych. Robimy to w sposób, którego jesteśmy świadomi i w sposób, w jaki nie jesteśmy. Korporacje chętnie korzystają.

Weźmy na przykład NumberEight, startup, który według Przewodowy , pomaga aplikacjom określać aktywność użytkownika na podstawie danych z czujników smartfona: niezależnie od tego, czy biegają, czy siedzą, w pobliżu parku lub muzeum, prowadzą lub jadą pociągiem. Nowe usługi oparte na takiej technologii będą łączyć to, co wiedzą o aktywności użytkownika we własnych aplikacjach, z informacjami o tym, co w danym momencie robi fizycznie. Dzięki tym informacjom, zamiast tworzyć profil skierowany na przykład do kobiet powyżej 35 roku życia, serwis może kierować reklamy do „wczesnych ptaszków”.

Takie ambicje są powszechne. Jak ten niedawny artykuł w Harvard Business Review Większość dyrektorów generalnych zdaje sobie sprawę, że sztuczna inteligencja może całkowicie zmienić sposób działania organizacji. Mogą wyobrazić sobie przyszłość, w której na przykład detaliści dostarczają zindywidualizowane produkty, zanim klienci nawet o nie poproszą – być może tego samego dnia, w którym te produkty są wytwarzane. Ponieważ korporacje wykorzystują sztuczną inteligencję w coraz bardziej odrębnych dziedzinach, artykuł przepowiada, że ​​ich możliwości AI gwałtownie się zwiększą i odkryją, że przyszłość, którą sobie wyobrażali, jest w rzeczywistości bliższa niż kiedyś.



Nawet dzisiaj, nie mówiąc już o takiej przyszłości, technologia może całkowicie zniszczyć prywatność. Wymyślanie praw i polityk, które miałyby temu zapobiec, jest kluczowym zadaniem dla rządów. Ponieważ administracja Bidena i Kongres rozważają federalne ustawodawstwo dotyczące prywatności, nie mogą ulegać powszechnemu błędowi. Prawa chroniące prywatność danych osobowych to nie tylko ochrona jednostek. Dotyczą także ochrony naszych praw jako członków grup — jako części społeczeństwa jako całości.

Szkoda wyrządzona jednej osobie w grupie, która wynika z naruszenia praw do prywatności, może być stosunkowo niewielka lub trudna do określenia, ale szkoda wyrządzona grupie jako całości może być głęboka. Powiedzmy, że Amazon wykorzystuje swoje dane na temat zachowań konsumentów, aby dowiedzieć się, które produkty warto skopiować, a następnie podcina producentów sprzedawanych przez siebie produktów, jak buty czy torby na aparat . Chociaż bezpośrednie szkody wyrządzają szewcowi lub producentowi torebek fotograficznych, długoterminowa – i ostatecznie trwalsza – szkoda dotyczy konsumentów, którzy na dłuższą metę są okradani z wyborów wynikających z zawierania transakcji w sposób naprawdę otwarty i sprawiedliwy. rynek. I podczas gdy szewc lub producent torebek fotograficznych może próbować podjąć kroki prawne, konsumentom znacznie trudniej jest wykazać, w jaki sposób praktyki Amazona im szkodzą.

To może być trudne do zrozumienia pojęcie. Pozwy zbiorowe, w których wiele osób łączy się razem, nawet jeśli każda z nich mogła ponieść tylko niewielką krzywdę, są dobrą analogią pojęciową. Wielkie firmy technologiczne rozumieją komercyjne korzyści, jakie mogą czerpać z analizy danych grup, przy powierzchownej ochronie danych osób za pomocą technik matematycznych, takich jak prywatność różnicowa. Jednak organy regulacyjne nadal koncentrują się na ochronie jednostek lub, w najlepszym przypadku, chronionych klas, takich jak osoby o określonej płci, wieku, pochodzeniu etnicznym lub orientacji seksualnej.



Jeśli algorytm dyskryminuje ludzi, dzieląc ich na grupy, które nie należą do tych chronionych klas, przepisy antydyskryminacyjne nie mają zastosowania w Stanach Zjednoczonych. (Techniki profilowania, takie jak te, których używa Facebook, aby pomóc modelom uczenia maszynowego w sortowaniu użytkowników, są prawdopodobnie nielegalne w świetle przepisów Unii Europejskiej o ochronie danych, ale nie zostało to jeszcze wszczęte postępowanie sądowe.) Wiele osób nawet nie będzie wiedziało, że były profilowane lub dyskryminowane, co sprawia, że trudno jest wszcząć postępowanie prawne. Nie czują już niesprawiedliwości, niesprawiedliwości z pierwszej ręki – a to historycznie było warunkiem wstępnym do wniesienia roszczenia.

Powiązana historia

Czas na kartę praw do danych Podczas gdy Senat USA debatuje nad nową ustawą, ekspert ds. zarządzania danymi przedstawia plan ochrony wolności i wolności w erze cyfrowej.

Osoby nie powinni być zmuszeni do walki o swoje prawa do prywatności danych i ponosić odpowiedzialność za wszelkie konsekwencje swoich działań cyfrowych. Rozważmy analogię: ludzie mają prawo do bezpiecznej wody pitnej, ale nie są zachęcani do korzystania z tego prawa poprzez sprawdzanie jakości wody za pomocą pipety za każdym razem, gdy piją z kranu. Zamiast tego agencje regulacyjne działają w imieniu wszystkich, aby zapewnić, że cała nasza woda jest bezpieczna. To samo należy zrobić z prywatnością cyfrową: nie jest to coś, do ochrony przeciętnego użytkownika, który jest lub powinien być osobiście kompetentny.

Istnieją dwa równoległe podejścia, które należy zastosować w celu ochrony społeczeństwa.



Jednym z nich jest lepsze wykorzystanie pozwów zbiorowych lub grupowych, inaczej zwanych zbiorowymi akcjami zadośćuczynienia. Historycznie były one ograniczone w Europie, ale w listopadzie 2020 r. Parlament Europejski zdał miarę wymaga to od wszystkich 27 państw członkowskich UE wdrożenia środków umożliwiających zbiorowe dochodzenie roszczeń w całym regionie. W porównaniu z USA, UE ma silniejsze przepisy chroniące dane konsumentów i promujące konkurencję, więc pozwy zbiorowe lub grupowe w Europie mogą być potężnym narzędziem dla prawników i aktywistów, aby zmusić duże firmy technologiczne do zmiany ich zachowania, nawet w przypadkach, gdy szkody osobowe byłyby bardzo niskie.

Pozwy zbiorowe są najczęściej stosowane w Stanach Zjednoczonych w celu dochodzenia odszkodowania finansowego, ale mogą być również wykorzystywane do wymuszania zmian w polityce i praktyce. Mogą współpracować z kampaniami na rzecz zmiany opinii publicznej, zwłaszcza w sprawach konsumenckich (na przykład zmuszając Big Tobacco do przyznania się do związku między paleniem a rakiem lub torując drogę przepisom dotyczącym pasów bezpieczeństwa w samochodach). Są potężnymi narzędziami, gdy istnieją tysiące, jeśli nie miliony, podobnych indywidualnych szkód, które sumują się, aby pomóc udowodnić związek przyczynowy. Częścią problemu jest przede wszystkim uzyskanie odpowiednich informacji do pozwania. Wysiłki rządu, takie jak pozew przeciwko Facebookowi wniesiony w grudniu przez Federalna Komisja Handlu (FTC) i grupa 46 stanów , są kluczowe. Jak ujął to dziennikarz technologiczny Gilad Edelman: Według pozwów erozja prywatności użytkowników z biegiem czasu jest formą szkody dla konsumentów — sieć społecznościowa, która w mniejszym stopniu chroni dane użytkowników, jest gorszym produktem — który zmienia Facebooka z monopolu na nielegalny. W USA, jak New York Times ostatnio zgłoszone , prywatne pozwy, w tym pozwy zbiorowe, często opierają się na dowodach odkrytych w ramach dochodzeń rządowych. Jednak w UE jest odwrotnie: prywatne procesy sądowe mogą otwierać możliwość podjęcia działań regulacyjnych, co jest ograniczone przez lukę między przepisami ogólnounijnymi a krajowymi organami regulacyjnymi.

Co prowadzi nas do drugiego podejścia: mało znanego francuskiego prawa z 2016 r. o nazwie Ustawa Cyfrowej Republiki. ten Ustawa o Republice Cyfrowej to jedno z niewielu nowoczesnych przepisów skoncentrowanych na zautomatyzowanym podejmowaniu decyzji. Prawo ma obecnie zastosowanie wyłącznie do decyzji administracyjnych podejmowanych przez systemy algorytmiczne sektora publicznego. Ale dostarcza szkicu tego, jak mogą wyglądać przyszłe prawa. Mówi, że kod źródłowy takich systemów musi być udostępniony opinii publicznej. Każdy może poprosić o ten kod.



Co ważne, prawo umożliwia organizacjom rzeczniczym żądanie informacji na temat funkcjonowania algorytmu i kodu źródłowego, który za nim stoi, nawet jeśli nie reprezentują one konkretnej osoby lub powoda, który rzekomo został poszkodowany. Konieczność znalezienia idealnego powoda, który może wykazać szkodę w celu wniesienia pozwu, bardzo utrudnia rozwiązanie problemów systemowych, które powodują szkody w zbiorowych danych. Laure Lucchesi, dyrektor Etalab, francuskiego biura rządowego odpowiedzialnego za nadzorowanie projektu ustawy, mówi, że koncentracja prawa na odpowiedzialności algorytmicznej wyprzedzała swoje czasy. Inne przepisy, takie jak europejskie ogólne rozporządzenie o ochronie danych (RODO), zbytnio koncentrują się na indywidualnej zgodzie i prywatności. Ale zarówno dane, jak i algorytmy wymagają regulacji.

Konieczność znalezienia idealnego powoda, który może wykazać szkodę w celu wniesienia pozwu, bardzo utrudnia rozwiązanie problemów systemowych, które powodują szkody w zbiorowych danych.

jabłko obietnice w jednej reklamie: W tej chwili w Twoim telefonie jest więcej prywatnych informacji niż w Twoim domu. Twoje lokalizacje, wiadomości, tętno po biegu. To są rzeczy prywatne. I powinny należeć do ciebie. Apple wzmacnia błąd tego indywidualisty: nie wspominając, że Twój telefon przechowuje więcej niż tylko Twoje dane osobowe, firma ukrywa fakt, że naprawdę cenne dane pochodzą z Twoich interakcji z dostawcami usług i innymi osobami. Pogląd, że Twój telefon jest cyfrowym odpowiednikiem Twojej szafki na akta, jest wygodną iluzją. Firmy tak naprawdę niewiele dbają o Twoje dane osobowe; dlatego mogą udawać, że zamykają go w pudełku. Wartość polega na wnioskach wyciągniętych z twoich interakcji, które są również przechowywane w twoim telefonie — ale te dane nie należą do ciebie.

Innym przykładem jest przejęcie Fitbit przez Google. Google obiecuje nie wykorzystywać danych Fitbit do celów reklamowych, ale lukratywne prognozy, których potrzebuje Google, nie zależą od indywidualnych danych. Jak przekonuje grupa europejskich ekonomistów d w niedawnym artykule opublikowanym przez Centre for Economic Policy Research, think tank w Londynie, wystarczy, że Google skoreluje zagregowane wyniki zdrowotne z wynikami niezwiązanymi ze zdrowiem nawet dla podzbioru użytkowników Fitbit, którzy nie zrezygnowali z niektórych wykorzystanie ich danych, aby następnie przewidzieć wyniki zdrowotne (a tym samym możliwości kierowania reklam) dla wszystkich użytkowników spoza Fitbit (miliardy z nich). Umowa Google-Fitbit to zasadniczo umowa dotycząca danych grupowych. Pozycjonuje Google na kluczowym rynku danych dotyczących zdrowia, jednocześnie umożliwiając mu triangulację różnych zbiorów danych i zarabianie na wnioskach wykorzystywanych przez rynki zdrowotne i ubezpieczeniowe.

Co muszą zrobić decydenci

Projekty ustaw starały się wypełnić tę lukę w Stanach Zjednoczonych. W 2019 roku senatorowie Cory Booker i Ron Wyden przedstawili Ustawa o odpowiedzialności algorytmicznej , który następnie utknął w Kongresie. Ustawa wymagałaby od firm przeprowadzania algorytmicznych ocen skutków w określonych sytuacjach w celu sprawdzenia stronniczości lub dyskryminacji. Jednak w Stanach Zjednoczonych jest bardziej prawdopodobne, że ta kluczowa kwestia zostanie podjęta w pierwszej kolejności w przepisach mających zastosowanie do określonych sektorów, takich jak opieka zdrowotna, gdzie niebezpieczeństwo błędu algorytmicznego zostało spotęgowane przez odmienny wpływ pandemii na grupy ludności w USA.

Pod koniec stycznia Ustawa o prywatności w sytuacji zagrożenia zdrowia publicznego został ponownie wprowadzony do Senatu i Izby Reprezentantów przez senatorów Marka Warnera i Richarda Blumenthala. Ustawa ta zapewniłaby, że dane gromadzone do celów zdrowia publicznego nie będą wykorzystywane w żadnym innym celu. Zabroniłby wykorzystywania danych dotyczących zdrowia w celach dyskryminacyjnych, niepowiązanych lub natrętnych, w tym reklamy komercyjnej, handlu elektronicznego lub prób kontrolowania dostępu do zatrudnienia, finansów, ubezpieczeń, mieszkalnictwa lub edukacji. To byłby świetny początek. Idąc dalej, prawo, które ma zastosowanie do wszystkich algorytmicznych procesów decyzyjnych, powinno, zainspirowane przykładem francuskim, koncentrować się na twardej odpowiedzialności, silnym nadzorze regulacyjnym nad podejmowaniem decyzji w oparciu o dane oraz zdolności do audytu i kontroli decyzji algorytmicznych i ich wpływu na społeczeństwo.

Aby zapewnić twardą odpowiedzialność, potrzebne są trzy elementy: (1) jasna przejrzystość dotycząca miejsca i czasu podejmowania zautomatyzowanych decyzji oraz ich wpływu na ludzi i grupy, (2) prawo społeczeństwa do oferowania znaczącego wkładu i wzywania władz do uzasadnienia swoich decyzji oraz (3) możliwość egzekwowania sankcji. Co najważniejsze, decydenci polityczni będą musieli zdecydować, jak ostatnio sugerowano w UE, co stanowi algorytm wysokiego ryzyka, który powinien spełniać wyższy standard kontroli.

Wyczyść przezroczystość

Należy położyć nacisk na publiczną kontrolę zautomatyzowanego podejmowania decyzji i rodzaje przejrzystości, które prowadzą do odpowiedzialności. Obejmuje to ujawnienie istnienia algorytmów, ich celu i danych treningowych, które za nimi stoją, a także ich wpływu — czy doprowadziły one do odmiennych wyników i w jakich grupach, jeśli tak.

Udział społeczny

Społeczeństwo ma fundamentalne prawo wzywać rządzących do uzasadnienia swoich decyzji. To prawo do żądania odpowiedzi nie powinno ograniczać się do udziału konsultacyjnego, gdzie ludzie są proszeni o ich wkład, a urzędnicy idą dalej. Powinna obejmować wzmocnione uczestnictwo, w przypadku którego wkład publiczny jest obowiązkowy przed wprowadzeniem algorytmów wysokiego ryzyka zarówno w sektorze publicznym, jak i prywatnym.

Sankcje

Wreszcie prawo do nakładania sankcji ma kluczowe znaczenie dla powodzenia tych reform i osiągnięcia odpowiedzialności. Obowiązkowe powinno być ustanowienie wymogów audytu w zakresie ukierunkowania, weryfikacji i przechowywania danych, aby wyposażyć audytorów w tę podstawową wiedzę oraz upoważnić organy nadzoru do egzekwowania sankcji, nie tylko w celu naprawienia szkody po fakcie, ale także zapobiegania jej.

Kwestia szkód spowodowanych zbiorowymi danymi dotyczy wszystkich. Pierwszym krokiem jest ustawa o ochronie prywatności w sytuacji zagrożenia zdrowia publicznego. Kongres powinien następnie wykorzystać wnioski z wdrożenia tej ustawy do opracowania przepisów, które koncentrują się w szczególności na prawach zbiorowych danych. Tylko dzięki takim działaniom Stany Zjednoczone mogą uniknąć sytuacji, w których wnioski wyciągnięte z danych, które firmy zbierają, prześladują zdolność ludzi do dostępu do mieszkań, miejsc pracy, kredytów i innych możliwości w nadchodzących latach.

ukryć