[隐私工程师宣言]一种确定数据收集和使用是否“公平和合法”的实用方法

1. 确定数据收集和使用是否"公平合法"的实用方法

表达中，分两个步骤。

1.1. 第一步:确定需求

提出这个问题:这些数据是否需要?(不只是想要,而是真正需要)

如果答案是肯定的,并且所有其他设计/架构评审和善后工作都做了，那么继续进入第二步。

1.2. 第二步:按公式检验数据元素

对于每个数据元素,应用以下公式:

需要X才能完成Y

没有X就无法完成Y

如果这两个等式的答案都为真,则继续进行第三个:

Y属于Z(数据主体)已授权的数据使用目的之列 (Y ⊆ ?)

如果这个等式的答案为真,那么再问一个问题:它是否通过了"味道测试"?(符合授权精神,而不仅仅是字面含义?)

如果是,则可以继续进行数据收集和使用。

如果不是,那么根据数据和用途(即风险),探讨:

需要什么级别和类型的告知及同意?  
谁最适合扩展现有许可,以涵盖预期的用途?  
如果不愿意再次征求个人许可,那就要问自己:不愿意的症结是什么?

如果不是，需考虑以下两个原因:

• 收益是不是针对个人,还是针对组织;
• 个人隐私风险与个人收益成不成比例

2. A PRACTICAL APPROACH TO DETERMINING IF DATA COLLECTION AND USE IS “FAIR AND LEGITIMATE”

Two-Tiered Process

Tier 1: Determine Need

Ask the question: Is this data needed? (Not just wanted, but truly needed)

If the answer is yes, and all other design/architectural reviews and options (such as not collecting at all, truncating or de-identifying the data) have been exhausted, then proceed to Tier 2.

Tier 2: Run Data Elements Through Formulas

For each data element, apply the following formulas:

I need X to do Y

Without X I cannot do Y

If the answers to these two equations are true, proceed to the third:

Y is a subset of uses for the data for which Z has given permission (Y ⊆ Z)

If the answer to this equation is true, then ask: Does it pass the “smell test”? (Does it fit the spirit of the permission, as well as the letter?)

If yes, proceed with the data collection and use.

If no, then based on the data and the use (i.e., the risk), explore:

• What level and type of notice and consent are required?
• Who is best to expand the existing permission to cover the contemplated use?

If there is reluctance to go back to the individual for permission, ask: What is the locus of that discomfort?

It is usually because:

• The benefit is not so much for the person but for the organization, or
• There is a lack of proportionality between the risk to the privacy of the individual vs. the benefit to them.

Knowledge of this will help surface the real goals and purpose of the processing, leading to a more productive discussion of how to address and manage the risks.

3. 关于Smell Test

“味道测试”(smell test)是一种主观评估,判断某个行为或决策是否符合预期目的和精神,是否有违背道德或合理性的嫌疑。

具体来说,在确定数据收集和使用是否"公平合法"时，即使通过了前面的公式测试，证明数据收集是必须的，且属于已获得许可的范畴，仍需进行"味道测试"。

这个测试的目的是评估:

• 数据使用是否完全符合最初获得许可时的承诺和预期?只是在协议上符合许可还不够。
• 从更高层次上看,数据使用是否符合一般的道德和合理性标准?
• 是否有任何令人质疑或不适的地方?
• 数据使用是否完全公平正当,没有任何隐藏的不当目的或利益牵扯?

4. Smell Test例子

假设一家在线零售商在注册账户时获得了用户的许可,可以收集和使用他们的姓名、电子邮件地址和购买记录,目的是"为提供更好的个性化购物体验"。

按照前面的公式测试:

1. 零售商需要收集购买记录来实现个性化购物体验
2. 没有购买记录就无法做到个性化
3. 购买记录属于获得许可的数据范围

看似通过了所有测试,但如果进行"味道测试",可能会发现:

1. 零售商实际上是将用户购买数据出售给了其他营销公司获利，而非真正用于改善自身购物体验
2. 零售商将用户的完整购买记录裸露出售，而非匿名化和汇总处理
3. 零售商从未就出售数据一事主动告知和取得用户同意

那么尽管在形式上没违反数据收集许可,但这种数据使用行为明显有违初始许可目的和精神,存在不当利用,因此会被"味道测试"视为不通过。

这种主观评估可以发现一些看似合规但实际上有欺瞒嫌疑或不公平的数据处理行为,从而为下一步采取适当的风险管控和权衡措施。

5. Origin From: The Privacy Engineer’s Manifesto P45