Текст книги "Сила конфиденциальности. Почему необходимо обладать контролем над своими персональными данными и как его установить"

В онлайн-мире есть место для рекламы. Особенно это касается информативной рекламы (в отличие от агрессивной или убеждающей), которая, как утверждал Дэвид Огилви, представляет собой вид маркетинга, являющийся более нравственным и прибыльным. Интернет-рекламодателям следует помнить поговорку Огилви о том, что «реклама – это словесный бизнес». Возможно, онлайн-реклама должна больше походить на рекламу в журналах, чем на телевизионную. Вместо того, чтобы создавать вредную рекламу, которая одновременно шпионит за нами и отвлекает нас от мыслей прыгающими яркими изображениями, разработчики онлайн-рекламы могут стремиться основываться на словах и фактах, следуя идеалу Огилви. Больше фактов о продукте вместо прилагательных, добавление полезных советов, таких как удаление пятен или рецепт какого-нибудь блюда, – нечто подобное является примером передовой практики[260]260
  David Ogilvy, ‘Confessions of an Advertising Man’, 168, 112, 127.


[Закрыть]. Интернет-рекламодатели должны предлагать нам информацию, а не получать ее от нас.

Реклама особенно оправданна в случае новых продуктов и брендов. Но ее эффективность не должна достигаться за счет нарушения нашего права на неприкосновенность частной жизни. Кроме того, есть аргумент в пользу ограничения доли экономики, приходящейся на рекламу. На данный момент реклама – это основа экономики данных. Однако слишком большое количество рекламы, доминирующей в нашей среде, может плохо сказаться на нашем благополучии.

Недавнее исследование примерно одного миллиона европейских граждан в двадцати семи странах за три десятилетия показало, что существует корреляция между увеличением национальных расходов на рекламу и снижением уровня удовлетворенности жизнью. После учета других макроэкономических переменных, таких как безработица и социально-экономические характеристики отдельных лиц, исследователи подсчитали, что удвоение расходов на рекламу в стране связано с последующим падением заявленной удовлетворенности на 3 % – эффект примерно на четверть сильнее, чем у безработицы[261]261
  Chloé Michel, Michelle Sovinsky, Eugenio Proto and Andrew Oswald, ‘Advertising as a Major Source of Human Dissatisfaction: Cross-National Evidence on One Million Europeans’, in M. Rojas (ed.), The Economics of Happiness (Springer, 2019).


[Закрыть]. Если реклама стимулирует экономику за счет нашего счастья, нам стоит серьезно задуматься над тем, какое место мы позволяем ей занимать в нашей жизни.

Согласно отчету, подготовленному Ассоциацией национальных рекламодателей и Рекламной коалицией, в 2014 году на рекламу приходилось 19 процентов от общего объема производства США[262]262
  ‘Economic Impact of Advertising in the United States’ (IHS Economics and Country Risk, 2015).


[Закрыть]. Для сравнения, в том же году на туризм пришлось 7,7 процента[263]263
  ‘United States of America – Contribution of Travel and Tourism to GDP as a Share of GDP’ (Knoema, 2018).


[Закрыть]. Объем американского рекламного рынка больше, чем банковской отрасли[264]264
  ‘Something Doesn’t Ad Up About America’s Advertising Market’, The Economist, 18 January 2018.


[Закрыть]. И все же реклама, похоже, делает нас несчастными. Как и бывшего аналитика данных Facebook Джеффа Хаммербахера, меня также удручает то, что «лучшие умы [нашего] поколения думают о том, как заставить людей кликать на рекламу».

Ограничение рекламы также было бы естественным способом обуздать мощь крупных технологических платформ, которые сильно от них зависят. Не будем забывать, что реклама составляет бóльшую часть доходов Alphabet (материнской компании Google) и Facebook[265]265
  ‘Something Doesn’t Ad Up About America’s Advertising Market’.


[Закрыть].

Персонализированная реклама должна прекратиться. Следует запретить аукционы рекламы в реальном времени. Мы должны ограничить засилье рекламы или изменить ее, чтобы она не оказывала негативного воздействия на благополучие людей. К счастью, вам не нужно ждать, пока политики реформируют рекламную отрасль: вы можете использовать блокировку рекламы (подробности см. в следующей главе).

Остановить торговлю персональными данными

Персональные данные не должны быть чем-то, что можно покупать, продавать или передавать с целью извлечения прибыли. Возможностей для злоупотреблений слишком много, и они увеличиваются. Чем более конфиденциальна информация, тем строже должен быть запрет и суровее наказание за нарушение закона. То, что мы позволяем компаниям получать прибыль от информации о том, что кто-то болен, потерял сына в автокатастрофе или стал жертвой изнасилования, вызывает отвращение.

Я никогда не встречала достойных аргументов в защиту брокеров данных.

Брокеры данных – это мусорщики виртуальной среды. Они живут за счет информации, которую мы оставляем, продают ее тому, кто больше заплатит, и очень редко обращают внимание на людей, от персональных данных которых они получают прибыль.

Двадцать лет назад Эми Бойер была убита человеком, который ее преследовал, после того как он купил ее личную информацию и данные о местоположении у Docusearch – брокера данных, который, к слову, до сих пор существует. На своем веб-сайте они заявляют, что «находятся в Сети и пользуются доверием более 20 лет».

Охотникам за данными нельзя доверять. Брокеры данных продавали информацию о людях мошенникам. В 2014 году LeapLab, брокер данных из Невады, продал личную информацию сотен тысяч людей «компании», которая использовала записи для несанкционированного снятия средств с банковских счетов[266]266
  Natasha Singer, ‘Data Broker Is Charged With Selling Consumers’ Financial Details to “Fraudsters” ’.


[Закрыть]. У вас когда-нибудь пропадали деньги со счета? Вы могли бы поблагодарить за это брокеров данных – именно они могли продать или потерять ваши данные. Одной из самых страшных утечек данных в истории корпораций является утечка данных компании Equifax в 2017 году. Из-за неудовлетворительного состояния системы кибербезопасности преступники украли историю операций по кредитным картам, номера социального страхования и другие персональные данные 147 миллионов человек[267]267
  David A. Hoffman, ‘Intel Executive: Rein In Data Brokers’, New York Times, 15 July 2019.


[Закрыть].

Само существование файлов с конфиденциальной информацией на пользователей интернета представляет собой риск на уровне всего населения. Часто персональные данные хранятся в базе брокеров даже без шифрования и хорошей защиты. Брокеры данных в настоящее время не имеют достаточного стимула вкладывать средства в обеспечение надежного уровня безопасности.

Иностранные правительства и злоумышленники могут взломать базу данных и использовать украденную информацию против нас. Чем больше брокеров данных собирают наши персональные данные и чем больше этих данных они продают другим компаниям, тем выше наш риск пострадать от утечки данных.

А что мы получаем взамен? Ничего. Были ли мы пьяны, когда заключали такую сделку? Нет, нас просто даже не спросили. Покупка персональных профилей у брокеров данных стоит недорого. Номера банковских счетов можно купить за 50 центов, а полный отчет о человеке может стоить всего 95 центов[268]268
  Elizabeth Dwoskin, ‘FTC: Data Brokers Can Buy Your Bank Account Number for 50 Cents’, Wall Street Journal, 24 December 2014; Julia Angwin, Dragnet Nation (New York: Times Books, 2014), 7.


[Закрыть]. Менее чем за 25 долларов в месяц вы можете проводить проверку биографических данных всех, кого вы знаете (только, пожалуйста, не делайте этого).

Часть того, что подразумевает собой хорошее регулирование, – это предотвращение трансформации одного вида власти в другой. Например, экономической власти в политическую (т. е. подкуп избирателей или политиков). Точно так же нам нужно остановить трансформацию власти, получаемой через личные данные, в экономическую или политическую. Личные данные должны приносить пользу гражданам – они не должны заполнять карманы стервятников данных. Даже в наиболее ярко выраженных капиталистических обществах мы соглашаемся с тем, что определенные вещи не должны продаваться – среди них люди, голоса на выборах, органы и результаты спортивных матчей. Мы должны добавить в этот список еще и личную информацию. Но словосочетание «персональные данные» звучит слишком абстрактно. Эта абстракция очень удобна для стервятников данных. На самом деле под этим абстрактным понятием подразумеваются наши надежды и страхи, заболевания, личные разговоры, дружеские отношения, самые глубокие переживания, травмы, радости, то, что мы говорим и как бьется наше сердце, когда мы занимаемся любовью (если у вас есть портативное устройство, оно отслеживает, записывает и анализирует ваше сердцебиение в течение дня, так что можно получить информацию и о сексуальной активности. В 2019 году Bloomberg, The Guardian и Vice News сообщили, что Amazon, Google, Facebook, Microsoft и Apple использовали подрядчиков для анализа данных полученных от голосовых помощников. Подрядчики признались, что иногда подслушивают людей, занимающихся сексом. – Прим. авт.)[269]269
  Joana Moll, ‘The Dating Brokers: An Autopsy of Online Love’, October 2018.


[Закрыть]. Вот что эксплуатируется в корыстных целях, и слишком часто вопреки нашим интересам.

Запрет на торговлю личными данными не означает запрета на сбор или надлежащее использование таких данных. Некоторые виды персональной информации бывают необходимы. Например, передача наших личных данных врачу нужна для получения надлежащего лечения. Но нельзя позволять нашей системе здравоохранения делиться этими данными, а тем более продавать их.

Прекращение обмена персональными данными не означает, что другие виды информации не должны покупаться и продаваться – запрет должен распространяться только на персональные данные.

Однако нам нужны более строгие определения того, что считается персональными данными. На данный момент такое законодательство, как GDPR, не распространяется на анонимные данные. Однако, как мы видели в главе 1, слишком часто данные, которые считались анонимными, в итоге можно было легко идентифицировать заново. Отчасти проблема заключается в том, что мы не уверены, какие методы могут быть разработаны и использованы в будущем для повторной идентификации людей из анонимной базы данных. Поэтому мы должны быть настолько жесткими, насколько позволяет наше воображение, в определении того, что считается анонимным.

Нам также необходимо иметь очень широкое понимание того, что считается торговлей данными. Брокеры данных за плату предоставляют персональные данные, но многие другие компании заключают менее очевидные сделки по передаче информации. Facebook, например, предоставила другим компаниям доступ к персональным данным своих пользователей в обмен на то, что эти компании благосклонно относятся к Facebook на своих платформах. В частности, Facebook дала Netflix и Spotify возможность читать личные сообщения своих пользователей, а Amazon получила доступ к именам пользователей и контактной информации через их друзей. Взамен же Facebook получила данные для своего инструмента глубокого проникновения по поиску друзей – «Люди, которых вы можете знать»[270]270
  Gabriel J. X. Dance, Michael LaForgia and Nicholas Confessore, ‘As Facebook Raised a Privacy Wall, It Carved an Opening for Tech Giants’.


[Закрыть]. Персональные данные не должны быть частью нашего коммерческого рынка. Их нельзя продавать, разглашать, передавать или делиться каким-либо образом в целях получения прибыли или коммерческой выгоды.

Опять же, вам не придется ждать, когда политики запретят торговлю персональными данными, чтобы начать работать над достижением этой цели, если вы последуете советам из следующей главы.

Прекратить сбор персональных данных по умолчанию

Некоторые технологические гиганты стали популярными, разграбив наши данные, не спрашивая разрешения, не задумываясь о возможных последствиях своих действий для пользователей и общества в целом. Это безрассудное отношение лучше всего описывается внутренним девизом Facebook: «Двигайся быстро, иди напролом». Стратегия крупных технологических компаний заключается в том, чтобы делать то, что им нравится, пока они не столкнутся с сопротивлением. Когда начинается сопротивление, они обычно стараются его игнорировать. Когда это не срабатывает, они пытаются откупиться от людей дополнительными льготами и утомить своих критиков бесконечными пустыми ответами. Только когда сопротивление остается постоянным, технологические гиганты делают шаг назад, и это случается обычно после того, как они уже сделали много шагов вперед. По мнению Шошаны Зубофф, они надеются, что на этом этапе люди постепенно привыкнут принимать условия, на которые они никогда бы не согласились, если бы узнали о них с самого начала[271]271
  Shoshana Zuboff, ‘The Age of Surveillance Capitalism’, 138–155.


[Закрыть].

Именно на этом этапе мы и привыкли к тому, что наши данные собираются автоматически всеми, у кого есть средства для их сбора. Мы смирились с этим, потому что узнали об этом слишком поздно, спустя годы с тех пор, как увлеклись цифровыми технологиями, и только потому, что нам сказали, что нашим устройствам необходимо продолжать работать в том же духе и что все в любом случае поступают так же. Нам также сказали, что слежка необходима для обеспечения нашей безопасности. Только когда корпорации столкнулись с некоторым сопротивлением и были введены такие правила, как GDPR, они пошли на ряд уступок, например немного рассказали нам о том, какие данные о нас они хранят. Но этого недостаточно. Теперь мы лучше осведомлены. Мы знаем, что можно иметь передовые технические устройства без вторжения в частную жизнь. И мы знаем, что конфиденциальность – это важный компонент обеспечения нашей безопасности.

То, что происходит сейчас, – это повсеместный сбор данных. Почти все веб-сайты, приложения и устройства, с которыми вы взаимодействуете, собирают ваши данные. Некоторые из этих компаний даже не знают, что с ними делать, и собирают на всякий случай – вдруг пригодятся в будущем. Однако, как мы уже видели, сбор данных не является безобидным. Это подвергает риску всех нас.

До сих пор законодательство в основном касалось использования данных, а не их сбора. Даже если GDPR включает принцип минимизации данных, согласно которому компании должны собирать только адекватные, актуальные и необходимые сведения, многие учреждения, похоже, прикрываются очень широкой интерпретацией того, что является «законными интересами», для обработки данных. Нам нужно более жестко относиться к сбору информации.

По умолчанию – для компаний, государственных учреждений и пользовательских настроек на каждом веб-сайте и в приложении – не следует собирать данные или собирать только минимально необходимые данные.

То, что считается необходимыми данными, следует понимать в узком смысле – как данные, которые нужны для предоставления нам полезной услуги (не для финансирования этой услуги путем продажи наших данных или доступа к нам через наши данные, а для создания или поддержки услуги). Важно отметить, что данные могут свободно собираться до тех пор, пока они не являются персональными и пока они трактуются широко.

Нам нужно больше инвестировать в инновации в сфере конфиденциальности. Если крупные технологические компании будут вынуждены столкнуться с проблемой изобретения способов использования данных при одновременной защите конфиденциальности, у них есть все шансы справиться с этой задачей.

Если же им будет позволено продолжать работу так, как они делают это сейчас, такие инновации могут никогда не появиться.

Многообещающий метод сбора данных – дифференцированная конфиденциальность. По сути, это означает введение в базу данных достаточного количества математического шума, чтобы можно было успешно замаскировать каждого человека так, что нельзя будет сделать каких-либо конкретных выводов о конкретной персоне, но при этом сохранится точность результатов статистического анализа. Это может показаться сложным, но вот простой пример, иллюстрирующий эту идею. Предположим, вы хотите узнать, сколько людей в Лондоне проголосовали за выход Великобритании из ЕС. При обычном сборе данных вы звоните по нескольким тысячам телефонных номеров и спрашиваете каждого человека, как он голосовал. Даже если вы не фиксируете имена, но собираете номера телефонов и то, как люди голосовали, этих избирателей можно будет легко идентифицировать и их право на тайное голосование окажется под угрозой. Если вы собираете данные с использованием дифференциальной конфиденциальности, то вы также набираете несколько тысяч телефонных номеров, но вместо того, чтобы напрямую спрашивать, как люди голосовали, вы просите их подбросить монетку. Если монета выпадает орлом, люди должны сказать вам, как они проголосовали. Если выпадет решка, они должны снова подбросить монету, и если на этот раз выпадет орел, они должны сказать вам правду, а если решка – солгать. Важно отметить, что люди никогда не должны рассказывать вам, что выпало. Поскольку вы контролировали, как часто люди лгали вам, вы знаете, что примерно четверть ваших результатов неверны (ложные), и вы можете статистически скорректировать это. В результате получается база данных, которая почти так же точна, как и обычная, но не содержит личных данных, потому что только респонденты знают, что выпало. У вас нет возможности узнать, кто именно голосовал за выход Великобритании из ЕС, но вы можете приблизительно знать, сколько людей за него проголосовало. При этом каждый участник пользуется «правдоподобным отрицанием»: он может заявить, что не голосовал за выход Великобритании из ЕС, и никто не сможет доказать обратное (по крайней мере, на основе этой базы данных)[272]272
  Я беру этот пример из интервью с Аароном Ротом (он использовал кампанию Трампа, чтобы проиллюстрировать метод): https://twimlai.com/twiml-talk-132-differential-privacy-theory-practice-with-aaron-roth/


[Закрыть].

Конечно, не все виды данных могут быть собраны с использованием дифференцированной конфиденциальности, и этот метод требует доработки, чтобы организации могли эффективно его реализовывать. Тем не менее этот пример показывает, что существуют методы анализа данных, при которых не нужно подвергать опасности конфиденциальность людей. Гомоморфное шифрование и федеративное обучение – два других метода, которые стоит изучить. Нам следует больше инвестировать в разработку инструментов обеспечения конфиденциальности, а не вкладываться только в методы использования конфиденциальности для получения прибыли, удобства или эффективности.

Если нет иной альтернативы, кроме сбора персональных данных, их следует собирать только в том случае, когда лицо осмысленно и свободно дает согласие на такой сбор, указан способ использования этих данных и планы по их удалению (подробнее об этом ниже). Однако ограничения сбора персональных данных недостаточно, поскольку конфиденциальная информация может быть получена не только с помощью сбора данных, но и путем гипотез.

Остановить гипотетическое определение данных в закрытом режиме

Организации, жаждущие узнать о нас больше, могут выйти за рамки, которые мы для них установили, путем гипотез, а не сбора конфиденциальной информации о нас. Цифровые следы, которые мы оставляем после взаимодействия с технологиями, обычно рассматриваются как образцы поведения, которые затем используются, чтобы делать о нас выводы.

Количество теорий о том, что можно узнать о нас по нашим данным, в последние несколько лет показывает стремительный рост. То, как люди используют смартфоны, можно положить в основу для прогнозирования результатов тестов на когнитивные способности, такие как память и концентрация. Проблемы с памятью можно определить по тому, насколько быстро люди набирают текст на телефоне, какие ошибки они делают и насколько быстро они прокручивают свой список контактов[273]273
  Rachel Metz, ‘The Smartphone App That Can Tell You’re Depressed Before You Know it Yourself’, MIT Technology Review, 15 October 2018.


[Закрыть]. Лайки в Facebook используются для определения сексуальной ориентации, этнической принадлежности, религиозных и политических взглядов, личностных качеств, интеллекта, удовлетворенности жизнью, употребления вызывающих зависимость веществ, развода родителей, возраста и пола[274]274
  Michal Kosinski, David Stillwell and Thore Graepel, ‘Private Traits and Attributes Are Predictable From Digital Records of Human Behavior’, PNAS 110, 2013.


[Закрыть]. По движению глаз может быть выявлена дислексия. Ваши сообщения в Twitter и выражение вашего лица могут быть использованы для выявления депрессии. Этот список можно продолжить, но вы видите картину: внешние сигналы систематически используются компаниями и учреждениями для получения персональных данных о вас[275]275
  Christopher Burr and Nello Cristianini, ‘Can Machines Read our Minds?’, Minds and Machines 29, 2019.


[Закрыть].

Существует множество проблем, связанных с гипотетическим определением данных. Такой метод почти ничем не отличается от других видов практик, нарушающих конфиденциальность, но некоторые из них присущи именно гипотезам. Как и в случае с тайным сбором личных данных, вызывает беспокойство то, что наша конфиденциальность может быть нарушена без нашего ведома. Хуже того, у вас мало или совсем нет контроля над некоторыми из этих внешних сигналов, поэтому вы мало что можете сделать, чтобы защитить себя.

Мы можем постараться не разглашать свои персональные данные, но мы не можем изменить лицо, походку, например, или то, как мы печатаем текст на телефоне. Все это – непроизвольные маркеры. И у вас нет возможности узнать, использует ли кто-то эту информацию и для каких целей.

Еще одна проблема, связанная с гипотетическим определением данных, заключается в том, что оно может быть неправильным в отношении человека и при этом использовано против него. Гипотезы, основанные на алгоритмах, являются вероятностными – они верны лишь в некоторых случаях. Степень корректности выводов сильно различается, и у компаний может не быть особого стимула удостовериться в их максимальной точности. Пока компании считают, что выводы дают им преимущество, они могут довольствоваться их использованием, даже если те несовершенны.

Например, исследователи смогли правильно определить, курил ли человек, на основании его лайков в Facebook в 73 % случаев[276]276
  Michal Kosinski, David Stillwell and Thore Graepel, ‘Private traits and attributes are predictable from digital records of human behavior’.


[Закрыть]. Предположим, компания использует такой вывод, как фильтр для найма сотрудников. Если у них достаточно претендентов на работу, их может не беспокоить то, что они ошибаются в отношении 27 процентов соискателей, потому что, с их точки зрения, это все равно лучше, чем если бы они не использовали этот метод. Однако если вы один из тех неудачников, которых ошибочно считают курильщиком, то вы пострадали от несправедливости и можете никогда не узнать об этом, потому что компания просто не сообщит вам, почему вы не получили эту работу.

В некоторых случаях использование гипотетических личностных построений может быть приемлемо. Будучи пациентом, вы можете захотеть, чтобы ваш врач проанализировал, как вы печатаете на своем смартфоне, чтобы как можно раньше обнаружить возможные когнитивные проблемы. Но подобные гипотетические построения должны регулироваться так же строго, как и персональные данные, потому что используются в качестве таковых – даже если они ошибочны. У субъектов данных следует запрашивать их согласие всякий раз, когда используются их внешние признаки для гипотетических личностных построений. (Исключением могут быть случаи, когда полиция проводит расследование в отношении подозреваемых в совершении преступлений. В этом случае мы должны установить очень высокие стандарты точности. Но даже в этом случае подозреваемый должен быть проинформирован о деталях этих гипотез сразу после завершения полицейского расследования и у него должна быть возможность оспорить неточные гипотезы. – Прим. авт.) Гипотетические личностные построения должны пользоваться таким же уровнем защиты, как и персональные данные. Как и в случае с персональными данными, в соответствии с европейским GDPR, субъекты данных должны иметь право оспаривать и исправлять неточные гипотезы.

Ситуация значительно улучшится с исчезновением рекламы с микротаргетингом, торговли персональными данными, сбора персональных данных по умолчанию и гипотетических выводов о субъектах данных. Но этих мер по-прежнему недостаточно, потому что нам все еще нужно будет заботиться о тех ситуациях, когда персональные данные не продаются, но могут быть использованы неправильно, вопреки интересам субъектов данных.