技术统治、伪科学与表演式合规：隐私风险评估的风险——来自NIST隐私风险评估方法的教训
密码学与安全
2023-10-11 v1 计算机与社会
摘要
隐私风险评估被鼓吹为一种客观、有原则的方式，以鼓励组织实施隐私 by design（隐私设计）。它们作为以GDPR为代表的协作治理新型监管模式的核心。然而，现有指南与方法仍含糊不清，且关于隐私损害的实证证据匮乏。本文对美国NIST的隐私风险评估方法进行了细致分析，揭示了多处自由裁量空间，为对抗性组织从事表演式合规创造了无数机会。我们的分析表明，隐私风险评估成功所依赖的前提并不成立，尤其在组织激励与监管者审计能力方面。我们强调了本质上功利主义与技术统治式方法的局限与陷阱，进而讨论替代方案及政策与研究目标的重新调整。
引用
@article{arxiv.2310.05936,
title = {Technocracy, pseudoscience and performative compliance: the risks of privacy risk assessments. Lessons from NIST's Privacy Risk Assessment Methodology},
author = {Ero Balsa},
journal= {arXiv preprint arXiv:2310.05936},
year = {2023}
}
备注
Working draft. A version of this paper was presented at the 16th International Conference on Computers, Privacy and Data Protection, May 24-26, 2023 in Brussels (Belgium)