プライバシー原則

人の自律性とは、自らの個人的な意思に基づいて 意思決定を行う能力であり、 他のアクターから不当な影響を受けないことを意味します。人々が意思決定を検討するために使える知的資源 と 時間には限りがあり、意思決定を行う際には近道に頼らなければなりません。このため、 プライバシーに関する選好を含め、その人々の選好を 操作することが可能になります ([Privacy-Behavior]、 [Digital-Market-Manipulation])。 人の自律性は、 システムが、無制限の時間と知的 能力があったならその人が下したであろう判断により近い近道を提供するとき、向上します。自律性は、 同様の近道がこれらの理想的な条件下で下される判断に反する場合、低下します。

自律性を低下させるアフォーダンスやインタラクションは、 欺瞞的 パターン（またはダークパターン）として知られています。 欺瞞的パターンは、意図的である必要はありません ([Dark-Patterns], [Dark-Pattern-Dark])。 人々の自律性に影響を与える可能性のあるものを構築する場合、 複数の独立した観点からレビュー担当者が、そこに欺瞞的パターンが導入されていないことを確認することが重要です。

今日のデータ経済では、データに関して行い得る意思決定が非常に多いため、 人々が自身のデータがどのように処理されるかを詳細に制御することは不可能です。 この事実は、プライバシーが死んだことを意味するものではありません。研究によれば、 人々は依然として自身のデータがどのように処理されるかを懸念し、無力感を抱き、 主体性を失ったと感じています ([Privacy-Concerned])。 技術インフラストラクチャを 注意深く設計すれば、人々に自身のデータに関するより大きな自律性を与えることができます。これは、 適切でプライバシーを保護する既定値を設定し、 利用者にとって使いやすい選択 アーキテクチャを設計することで実現されます。

子どもや高齢者など、特定の人々の集団が 脆弱な人々に分類されることがあります。しかし、どの人も、 ときには自身が気づかないまま、1つ以上のコンテキストで脆弱になる可能性があります。 人は、個人データを開示する際に自身が脆弱である、または 脆弱になり得ることに気づかない場合があり、アクターには、 その人が脆弱であることを知る方法がない場合があります。 システム設計者は、システム設計においてこれを考慮すべきです。

一部の個人は、個人データの収集、誤用、紛失、または盗難の結果として、 次の理由によりプライバシー上のリスクや被害に対してより脆弱になる場合があります。

• その人の属性、関心、意見、または行動によるもの。
• 状況または環境によるもの（例：情報の非対称性やその他の 権力の不均衡がある場合）。
• リスクを十分に評価する能力がないこと。
• 選択肢が理解しやすく意味のある方法で提示されていないこと（例：欺瞞的パターン）。
• プライバシーに関するニーズや期待について本人への相談が行われていないこと。
• 製品またはサービスの設計に関する意思決定で本人が 考慮されていないこと。

脆弱な人々の個人データ、または個人データが収集、利用、共有された場合に 人を脆弱にする可能性がある機微情報については、 追加のプライバシー保護が必要になる場合があります（例：トラッキング要素、センサーデータ、または インストール済みソフトウェアや接続されたデバイスに関する情報のブロック）。

保護者、後見人、仲間など、 他者が脆弱な人々のプライバシーリスクの評価や プライバシーに関する意思決定を支援できる場合もありますが、すべての人が 自身のプライバシーに対する権利を持っています。

プライバシー原則は社会的プロセスを通じて定義されるため、特定のコンテキストにおいて適用される プライバシーの定義は 論争の対象となる可能性があります ([Privacy-Contested])。 このため、プライバシーは集団行動の問題になります ([GKC-Privacy])。 グループレベルのデータ処理は、集団や個人に影響を与える可能性があり、 同意に関する楽観的な前提の下でさえ、人々が制御できない形で影響する場合があります。たとえば、 ある人が特定のアクターに明かしてもよいと考える唯一の情報が、特定のグループの一員であることだけだとします。 しかし、同じグループの他のメンバーが同じアクターとやり取りし、さらに多くの情報を明かしている可能性があり、 その結果、自身についての情報提供を控えている人々についても効果的な統計的推論が可能になることがあります。

したがって考慮すべきなのは、データを共有する人々と、 その共有を促すアクターとの関係だけではありません ([Relational-Turn])。データを共有していなくても、 間接的にグループの一員として分類される可能性がある人々の間の関係も考慮する必要があります。 ここで重要なのは、データが非識別化されていても、そのような関係が持続する可能性があるという点です。 さらに、人々をそのように分類することは、自発的か否かにかかわらず、世界の動作の仕方そのものを変えます。 これによって、個人と グループの両方を害し得る自己強化ループが生じる可能性があります ([Seeing-Like-A-State])。

一般に、データに関する集団的問題には集団的解決策が必要です。 ウェブ標準は、ユーザーエージェントに構造的な制御を 定義し、研究者や規制当局がグループレベルの悪用を発見できるようにし、 プライバシーの問題を扱える機関を設立または委任することで、 データガバナンスを支援します。 ガバナンスが集団行動ではなく 主に個人の制御を増やすことで機能する場合、その目標を達成するのはしばしば困難になります。

大規模なデータ収集は、社会にとって大きな利益をもたらす可能性があります。問題は、 アクターが、集団的利益のためのデータの処理と、 不忠実な目的のための処理を同時に行う場合に 生じる傾向があります。不忠実な目的は、社会的利益を 資金面で支えるものとして正当化されることがよくありますが、これが適切であるためには 集団的な監督が必要です。

ユーザーエージェントは、 人（その利用者）とウェブとの間の 仲介者として機能します。 ユーザーエージェントは、 集団的ガバナンスが個人の利益のために確立した原則を、可能な範囲で実装します。 情報の非対称性が生じることを防ぎ、利用者に自動化を提供して 自動化の非対称性を是正することで、その利用者に奉仕します。 可能な場合には、利用者が 侵害的なメッセージを受け取ることから保護します。

ユーザーエージェントは、 それを使用する人と完全に利害を一致させ、 その人の利益のためだけに動作することが期待されます。それは ファーストパーティではありません。ユーザーエージェントは、 人に信頼できるエージェントとして奉仕し、 常にその人の利益を最優先します。場合によっては、 危険な判断を実行させないようにしたり、その判断を遅らせたりすることで、 人を本人自身から保護することを意味する場合があります。たとえば、 ユーザーエージェントは、 サイトが真正であることを検証できない場合、そのサイトへの接続を困難にします。 その人が本当に 機微なデバイスをページに公開する意図があるかを確認します。その人が、 自身の行動を恒久的に監視することに同意するのを防ぎます。そのユーザーエージェントの義務には 次が含まれます ([Taking-Trust-Seriously]):

保護義務

保護には、ユーザー エージェントが単純なセキュリティ対策を超えて、 利用者のデータを積極的に保護することが必要です。 保存時および転送時に暗号化するだけでは不十分です。 ユーザーエージェントは、 保存期間も制限し、厳密に必要なデータのみが収集されるよう支援し、 データが共有されることをユーザーエージェントが合理的に認識できるあらゆるアクターに 保証を要求しなければなりません。

慎重義務

慎重さには、ユーザーエージェントが、自ら管理する個人データの開示方法に注意を払い、 原則を適用するため最善を尽くすことが必要です。慎重さとは 機密保持や秘密保持そのものではありません。ユーザーエージェントが一部の個人データを共有した場合でも、 適切に慎重な方法で行われる限り、 信頼を維持できます。

誠実義務

誠実さには、ユーザーエージェントが合理的に認識可能で、 利用者に関連し、その自律性を高める情報を、 利用者が理解でき、かつ提示するのに適切な 時機がある限り提供することが必要です。その適切な時機が、人が ページを読んだり機能を有効化したりするなど、別のことをしようとしているときであることはほとんどありません。 誠実義務は、古いプライバシー制度にしばしば含まれる 透明性をはるかに超えるものです。透明性とは異なり、誠実さは、 複雑な法的通知の中に関連情報を隠すことも、 同意ダイアログに表示される非常に短い要約だけに依存することもできません。 人が自身の個人データの処理に同意している場合、 ユーザーエージェントは、 継続中の処理について人に通知し、その明瞭さの程度を 処理によって合理的に予見可能な影響に比例させるべきです。

忠実義務

ユーザーエージェントは 信頼できるエージェントであるため、 ユーザーエージェントの実装者よりも優先して、それを使用する人にあらゆる状況で忠実であるとみなされます。 ユーザーエージェントが、 利用者の利益を損ない、代わりに別のアクターに利益を与える処理を行う場合、それは不忠実です。多くの場合、これは ユーザーエージェント自身に利益をもたらし、 その場合は「自己取引」と呼ばれます。行動は、 人の利益となる処理と同時に行われている場合でも 不忠実となり得ます。 重要なのは、その人の利益と潜在的に衝突することです。さらに、 追加の処理はほぼ常に追加のリスクを意味することを 念頭に置くことが重要です。したがって、利用者の利益になることが明示されていない処理は、 不忠実である可能性が高いです。 不忠実さは常に不適切です。

これらの義務により、ユーザー エージェントは利用者を大切に扱うことになります。学術 研究では、信頼できるエージェントとのこの関係は、しばしば 「受託者的」と表現されます ([Fiduciary-Law], [Fiduciary-Model], [Taking-Trust-Seriously]; より長い非公式の議論については[Fiduciary-UA]を参照）。 一部の法域では「受託者」に固有の 法的意味がある場合があります。([Fiduciary-Law])

この文書の残りの部分で説明される多くの原則は、ユーザーエージェントの義務を拡張し、 より明確にします。

プライバシー原則は相互に連携し支え合うよう設計されていますが、 あるプライバシー原則へのシステムの適合を改善する提案が、 別の原則への適合度を低下させることがあります。

パレートフロンティア上の異なる設計から選択する段階になると、どの プライバシー原則を優先するかの選択は複雑であり、それぞれの 特定の状況の詳細に大きく依存します。人々のプライバシーは、 プライバシー以外の懸念事項とも緊張関係になり得ることに注意してください。倫理的なウェブの原則で述べられているように、 「特定の技術が適用されるコンテキスト、その技術の想定 対象者、その技術から恩恵を受ける人と不利益を受ける可能性のある人、 および関係する権力構造を 考慮することが重要です」 ([Ethical-Web-Principles])。この複雑さにもかかわらず、 従うべき基本的な ルールがあります。

ある人が利用しているサービスの規則に違反した場合、 その人は違反に比例する量のプライバシー保護を失う、と言いたくなることがあります。しかし、

1. サービスが規則違反を防止するためには、多くの場合、 無実の利用者からもデータを収集するしかありません。この追加の収集が常に適切とは限らず、 特に広範な監視を可能にする場合はそうです ([RFC7258], [RFC7687])。
2. サービス運営者が追加のデータを収集したい場合、 それを可能にする規則や比例性を自ら定義したくなる可能性があります。

以下の例は、このような緊張関係の一部を示しています。

人のアイデンティティとは、その人を 定義する一連の特性です。特定のコンテキストにおけるアイデンティティとは、 特定の状況下でその人が 提示する一連の特性です。

人々は、異なるコンテキストに異なるアイデンティティを提示することも、 複数の異なるコンテキストで単一のアイデンティティを共有することもできます。

人々は、一時的または匿名のアイデンティティを提示したい場合があります。これは、 時間を超えてその人を追跡するためには小さすぎる、または不安定すぎる 一連の特性です。

人のアイデンティティは、多くの場合、その人が有する法的なアイデンティティ とは別個のものである可能性があります。

状況によっては、ユーザーエージェントがこの 原則を守る最良の方法は、認識を防ぐことです（たとえば、あるサイトが 別のサイトにおける利用者の行動について何も知ることができないようにする場合）。

別の状況では、ユーザーエージェントがこの 原則を守る最良の方法は、認識を支援することです（たとえば、 利用者が あるサイトに対して、 別のサイトで特定のアイデンティティを持つことを証明するのを支援する場合）。

同様に、ユーザーエージェントは、 同じサイトへの繰り返しの訪問間で、 認識を防止または支援することによって、利用者を支援できます。

ユーザーエージェントは、 サイト内のコンテキストを区別するために最善を尽くし、 パーティションを調整して、それらのサイト内コンテキスト間での認識を、 利用者の希望に応じて防止または支援すべきです。

データ最小化は、データが開示または誤用されるリスクを制限します。また、 ユーザーエージェントやその他の アクターが、利用者が行う必要のある判断をより意味のある形で 説明するのにも役立ちます。詳細については、Web APIにおけるデータ最小化を参照してください。

データ最小化の原則は、識別可能、機微、またはその他の有害なものとして 知られていない場合でも、すべての個人データに適用されます。以下を参照してください。 2.4 機微情報。

ウェブサイトで利用できる多数のAPIは、人、ウェブサーバー、その他のものに関する 情報へと組み合わせることのできる多くのデータを公開します。

利用者が制御する設定や許可は、ウェブ上のデータへのアクセスを保護 することができます。Web APIを設計する際には、アクセス保護を使用して、 APIが適切な方法で情報を公開することを保証してください。

情報を取得する新しい方法を追加する新しいAPIは、少なくとも既存の方法と同程度に強く 保護されなければなりません。

ある一連のアクセス保護の下では 公開しても許容可能な情報が、別の一連の保護の下では 許容できない場合があります。API設計者が、既存の許容可能なAPIがすでに同じ情報を公開しているため 新しいAPIも許容可能であると説明しようとする場合、 新しいAPIが少なくとも同等に厳格な一連の保護の下でのみ利用可能であることを 慎重に確認しなければなりません。そのような保護がない場合は、既存のAPIに依存せず、 ゼロから正当性を論じる必要があります。

既存のAPIがある情報へのアクセスを提供しているものの、 そのアクセスを防ぐようAPIを変更する計画がある場合、 同じ情報を提供する新しいAPIを追加してはなりません。ただし、 追加のアクセス保護を含めることで、アクセスが適切であることを保証する場合を除きます。

たとえば、ブラウザーは異なるパーティション間でアイデンティティを結合する機能を 徐々に削除しています。新しいAPIがコンテキスト横断認識を再び可能にする 機能を追加しないことが重要です。

人に関する多くの情報は、開示された場合にプライバシー上の被害を 引き起こす可能性があります。たとえば、次のものがあります。

• 位置情報。
• 言語の選好。
• その人に関連付けられたあらゆる識別子。
• カメラまたはマイクからの映像や音声。
• ファイルシステム上の特定のファイルの内容。
• 金融データ。
• 連絡先。
• カレンダーの予定。
• 支援技術を 使用しているかどうか。

特定の情報の機微性は、人によって異なる場合があります。 自身に関する機微情報が公開された、または公開される可能性がある場合、人々は脆弱になる可能性があります。1.2 脆弱性を参照してください。

データに関する権利だけでは、ウェブのすべてのプライバシー原則を 満たすには十分ではありませんが、 自己決定を支援し、説明責任の向上に役立ちます。このような権利には次が含まれます。

• 自身に関するデータへのアクセス権。

この権利には、自身についてどのような情報が収集または推論されたかを確認できることと、 自身について情報を収集したアクターを確認できることの両方が含まれます。 その結果、人々についての情報を含むデータベースを 秘密にすることはできず、人々について収集されたデータは、その人々自身が意味のある形で 発見できる必要があります。

• 自身に関するデータを消去する権利。

人には、サービスの利用を完全に終了するかどうかにかかわらず、 自身についての情報を消去する権利があります。ただし、消去できる データは、その2つの場合で異なることがあります。ウェブでは、人が、自身のデバイス上、サーバー上、またはその両方にある データを消去したい場合があり、データの場所がその人にとって常に明確であるとは限りません。

• 別のアクターに保存しているデータを含むデータを、容易に再利用したり 他の場所へ移したりできるよう移転する 権利。

ポータビリティは、異なるデータ慣行を持つサービスについて人が選択できる能力を支援するために必要です。 効果的な再利用には相互運用性の標準が不可欠です。 利用者データの移転には、[Portability-Threat-Model]で説明されているセキュリティおよびプライバシー上のリスクがあります。

• 自身のデータを訂正する権利。これにより、自身の アイデンティティがシステムに適切に反映されるようにします。

• 自身に関するデータに基づく自動化された 意思決定を受けない権利。

重大な結果をもたらす一部の種類の意思決定については、 自動化されたプロファイリングから自身を除外できることにプライバシー上の利益があります。たとえば、一部のサービスは、 人について収集されたデータに基づいて、 商品の価格（価格差別）や信用または保険の提示条件を変更する場合があります。 その変更は（たとえば金銭的に）重大な結果をもたらす可能性があり、 自身に関するデータに基づく判断が不正確または不公正だと考える人にとって 受け入れ難いものとなる可能性があります。別の例として、一部のサービスは、カメラデータに対して実行される 顔認識アルゴリズムに基づき、利用者のアイデンティティ、人間であること、または 存在について推論する場合があります。顔認識アルゴリズムと 学習データセットには誤りがあり得て、特定の偏りを示す場合もあるため、人々は そのような自動認識に基づく判断を受けたくない場合があります。

• 自身に関するデータの利用に異議を申し立て、 同意を撤回し、利用を制限する権利。

人々は、同意についての判断を変更したり、自身に関するデータの後続の利用に 異議を申し立てたりする場合があります。データに関する権利とは、人が収集時の選択だけでなく、 継続的な制御を持つ必要があることを意味します。

OECDプライバシー原則 [OECD-Guidelines]、 [Records-Computers-Rights]、および [GDPR]などでは、 データ主体として人々が有する多くの権利について説明しています。 自身に関するデータに対する人々のこうした参加型の 権利は、自律性に本質的なものです。

データだけによって、または他の利用可能な情報との組み合わせによって、 そのデータに記述されるどの人も直接または間接的に （たとえば識別子、ユーザーエージェント、またはデバイスとの関連付けを通じて） 識別できないという高い確信がある場合、データは非識別化されています。 多くの地域の規制では、データが非識別化されているとみなされるための追加要件を定義していますが、 それらの要件をプライバシー保護の最大 レベルとして扱うべきではありません。 グループに関する追加の考慮事項については、 プライバシーにおける集団的問題の節で扱っています。

次の場合を、管理された非識別化データと呼びます。

1. データの状態として、個人を再識別するために使用できる情報が 削除または変更されていること、および
2. 人々の再識別を試みる行為と、 非識別化データの意図しない 公開を防止するプロセスが存在すること。([De-identification-Privacy-Act])

管理された非識別化データを扱う状況によって、 必要な制御は異なります。 たとえば、管理された非識別化 データが1つの アクターによってのみ処理されている場合、一般的な制御には、 データで使用される識別子がそのデータセット固有であること、そのデータにアクセスできる者（たとえばアクターの従業員）が、 （たとえば法的条件に基づいて）データをさらに共有することを禁止されていること、および このデータに関する再識別や異なるデータセットの結合を防止するための技術的措置が 存在することを確認することが含まれます。

一般に、目標は、管理された非識別化データを、 仮名性の維持を保証する技術的および手続的手段が保持される程度に、 実効的な監督と説明責任を提供する方法で利用することです。

管理された非識別化データが複数の アクター間で共有される場合、これはより困難になります。そのような場合に、 ベストプラクティスを代表する一般的な制御の良い例としては、次を保証することが挙げられます。

• データで使用される識別子が、 ファーストパーティ（人が直接やり取りしているアクター）の 直接かつ排他的な管理下にあり、そのファーストパーティは厳格な制御によって 識別子とデータを照合できないこと。

• これらの識別子がサードパーティと共有される場合、 そのサードパーティ固有のものとし、複数の サードパーティと共有された場合でも、 それらが互いに照合できないこと。

• どのサード パーティも、データを、 ファーストパーティとのやり取りを通じて取得したデータ以外の データと照合できないという高い確信があること。

• そのようなデータを受け取るすべてのサードパーティが、 （たとえば法的条件に基づいて）それをさらに共有することを禁止されていること。

• このデータに関する再識別または 異なるデータセットの結合を防止する技術的措置が存在すること。および

• ファースト パーティとサードパーティの間に、 データを共有する限定的な目的を説明する契約条件が 存在すること。

管理された非識別化 データだけでは、 データ処理を適切なものにするには 十分ではないことに注意してください。

プライバシー原則は、多くの場合、個人に権利を拡張するという観点から定義されます。しかし、 どの原則を適用するかを、グループを代表して共同で決定するのが最善である場合があります。 集団的な意思決定は、次の場合に検討すべきです。

• 情報がグループへの所属またはグループの行動に関するものである場合。 Brent Mittelstadtが説明しているように、「アルゴリズムによってグループ化された 個人には、グループに関する情報の作成、および そのグループを代表して行われる 行為について集団的な利益がある。」 ([Individual-Group-Privacy]) 1.3.1 グループプライバシーで 説明されているように、 個人の許可だけでは、グループの他の メンバーの自律性を支えるには十分ではありません。
• 個人が十分な情報に基づく意思決定を現実的に行えると期待できない場合。 これは、データ処理が複雑である場合や、 データ処理の要求が非常に頻繁に発生する場合に起こり得ます。
• 個人が、データ処理への同意を求める組織よりも 構造的に弱い立場にある場合 ([Relational-Turn])。
• 個人が匿名のままであっても、データ処理が社会全体のレベルで不公正である場合 ([Relational-Governance])。

どのデータが処理されるかによって、正当な集団的意思決定の形態は異なります。 その形態には、さまざまな行政レベルの政府機関、標準化 組織、労働者の交渉組織、市民社会のフォーラムなどがあります。 集団的意思決定は、プライバシー労働を個人に転嫁するより 望ましい場合がありますが、万能薬ではありません。 意思決定機関は慎重に設計する必要があり、 たとえば制度 分析および開発フレームワークを利用できます。

コンピューティングデバイスには管理者がおり、 そのデバイス上で動作するプログラムをインストールおよび構成するため、 デバイスへの特権アクセス権を持っています。デバイスの所有者は、 管理者にデバイス全体の管理を許可できます。 一部のユーザーエージェントの実装では、 ログインしているアカウントに基づいて、特定のユーザー エージェントを管理する管理者を 割り当てることもできます。

デバイスを使用する人が、そのデバイスを所有していなかったり、 管理者アクセス権を持っていなかったりすることがあります （たとえば、雇用主が従業員にデバイスを提供する場合、 友人が客にデバイスを貸す場合、または親が幼い子どもに デバイスを提供する場合）。また、デバイスの所有者かつ主な利用者が、 管理者アクセス権を持つ唯一の人ではない場合もあります。

これらの関係には権力の不均衡が伴う可能性があります。子どもは、親が提供するもの以外の コンピューティングデバイスにアクセスすることが難しい場合があります。虐待の被害者は、 パートナーが自分のデバイスへの管理者アクセス権を持つことを 防げない場合があります。従業員は、仕事を続けるために 雇用主のデバイスを使用することに同意せざるを得ない場合があります。

デバイス所有者には、自身の意図した方法でデバイスが 使用されることを保証する利益があり、ときには責任もありますが、デバイスを使用する人にも、利用中の プライバシー権があります。この原則は、このプライバシー権を次の2つの方法で適用します。

1. ユーザーエージェント開発者は、 デバイス所有者および 管理者からの要求が合理的かどうかを検討し、 売上が減ることになっても、不合理な要求の実装を拒否する必要があります。 構成主体の 優先順位において、所有者／管理者のニーズが利用者のニーズに優先することはありません。
2. 情報開示が合理的な場合でも、その人のデータが 開示されていることを本人が知る必要があります。そうすれば、望ましくない 結果につながる行為を避けることができます。

一部の管理者からの要求は、従業員や 子どもなど一部の種類の利用者には合理的でも、友人や親密なパートナーなど 他の種類の利用者には合理的でない場合があります。 ユーザーエージェントは、 異なる利用者が適切に対応できるような方法で、管理者が何を知ることになるのかを 説明すべきです。

デジタル悪用とは、 デジタル手段によって人を不当に扱うことです。オンラインハラスメントとは、 「有害な行為を通じて、オンライン上で個人またはグループを広範または深刻に標的とすること」 [PEN-Harassment]であり、 悪用の一形態です。ハラスメントはウェブ上で広く見られる問題であり、 特にソーシャルメディアを通じて発生します。ハラスメントはウェブを利用するどの人にも影響し得ますが、 LGBTQの人々、女性、人種的または民族的少数派の人々、障害のある人々、脆弱な人々、その他の周縁化された 集団にとっては、より深刻で、その結果もより大きくなる可能性があります。

ハラスメントは、それ自体がプライバシー侵害であると同時に、 他のプライバシー侵害によって可能になったり 悪化したりすることもあります。

ハラスメントには、望まれない情報を送信すること、 他者に人への連絡や迷惑行為を促すこと（「集団攻撃」）、人についての機微情報を 開示すること、人について虚偽の情報を投稿すること、他人になりすますこと、侮辱、脅迫、および 憎悪的または侮辱的な言論などが含まれます。

識別情報や連絡先情報の開示（「ドクシング」を含む）は、 追加の攻撃者がハラスメントに相当する持続的な望まれない情報を送信する原因として利用されることがあります。 位置情報の開示は、人の身体的安全や空間を侵害するために 利用される可能性があります。

報告メカニズムは軽減策ですが、特にホスト、モデレーター、その他の仲介者が 悪用を支持している、または共謀している場合、 ハラスメントを防止できないことがあります。

効果的な報告には、次が必要になる可能性があります。

• 悪用報告の連絡先を識別するための標準化されたメカニズム。
• サイトおよびユーザーエージェントが悪用を報告するための可視で利用可能な方法を提供すること。
• 送信者とコンテンツを参照するための識別子。
• 被害のコンテキストと説明を提供できること。
• 報告に迅速に対応する責任者。
• 軽減情報を共同利用するためのツール（例 13を参照）。

望まれない 情報には、個別には通常無害であるものの大量になると迷惑となるメッセージ （スパム）から、露骨、残酷、または暴力的な画像の送信まで、 幅広い未承諾の通信が含まれます。

システム設計者は、望まれない情報の送信をより困難または 高コストにし、送信者の説明責任を高めるための措置を講じるべきです。

特定目的向けに設計された機能は、特定の目的にのみ、または主として 有用な機能を提供することで、これらの原則を促進します。特定目的向けに設計された機能は、 人々に目的を説明しやすくし、 データの実行可能な二次利用を制限する可能性もあります。特定目的向け機能を構築する際には、 高レベルAPIと低 レベルAPIの トレードオフを検討してください。

管理された非識別化データは、 明示された目的と両立する方法で追加の目的に 使用される場合があります。

透明性は、同意に必要な条件ですが、 十分な条件ではありません。関連する説明情報には、誰がデータにアクセスしているか、 どのデータにアクセスしているか（そのようなデータから推論できる内容や組み合わせを含む）、 およびデータがどのように利用されるかが含まれます。透明性が人々にとって意味のあるものであるためには、 関連するコンテキストで説明情報を提供しなければなりません。

プライバシーに関連する慣行を機械可読形式で提示することは、ユーザーエージェントが 人々の一般的な意思決定を支援できるようにするために必要であり、 人々がウェブサイトを訪問するたびに事前に文書を読める、または読みたいと考えているという 誤った前提に依存すべきではありません。機械可読形式での 提示はまた、研究者や規制当局がデータの収集および 処理を発見、文書化、分析し、有害となる可能性があるケースを特定しやすくすることで、集団的ガバナンスを 促進します。

プライバシーに関連する慣行を容易にアクセスできる平易な言語で提示することは、 人々が、そうすることを選択した特定の場合に十分な情報に基づく判断を 行えるようにするために必要です。 サイト、 ユーザーエージェント、およびその他のアクターはいずれも、プライバシーに関連する慣行を 人々にアクセス可能な形式で提示する必要がある場合があります。

不透明な認識の手法は、利用者から見えず、 利用者による制御を損なうことなどから有害です [Unsanctioned-Tracking]。データを 最小化し、データ要求を明示的にする機能を設計することで、検出可能性を実現できます。これは ブラウザー フィンガープリンティングに対する重要な軽減策となる一種の透明性です。

人の真の選好に沿わない処理への同意を得ようとすると、 その人に望まれないプライバシー労働を課すことになり、 後になって後悔する同意を人々が誤って与える結果にもなり得ます。

アクターは、人が 同意するかどうかについて十分な情報に基づく判断を行うために必要な情報を持っている可能性が低い場合、 その人に同意を求めるべきではありません。 人が同意を求められるのに十分な情報を得ているかどうかを検討する際、 アクターは、同意を求めている処理を理解するために必要な時間と労力を 現実的に評価すべきです。 複雑なポリシーへのリンクを単に提供しただけでは、その人が十分な情報を得ていることにはなりにくいでしょう。

同意要求によって利用者を中断する代わりの例には、次のものがあります。

• サイトの対象者とカテゴリにおける情報共有の規範を考慮し、 サイトの目的に適した同意だけを要求すること。（たとえば、写真共有サイトの 利用者は、アップロードした作品を共有するための同意を求められることを 想定しているかもしれません。）サイトは、データがどのように処理されるかについての 人々の期待に関する利用者調査を実施することを検討すべきです。

• ユーザーエージェントからのグローバルオプトアウトシグナルに依存すること。

• 利用者が要求をコンテキストに置くような行動を取るまで 同意プロンプトを遅らせること。これは、十分な情報に基づく回答を 行う助けにもなります。

人は、他の人々についてのデータを共有する場合があります （たとえば、その人と他の人々の両方が写った写真）。その人が そのデータの処理に同意したとしても、他の人々も 同意したことを意味するわけではありません。

通知やその他の中断的なUIは、注意を引く強力な手段になり得ます。 使用しているオペレーティングシステムによっては、通知が ブラウザーのコンテキスト外（たとえば一般的な通知トレイ）に表示されたり、デバイスを 振動させたり警告音を鳴らしたりすることさえあります。 すべての強力な機能と同様に、通知も誤用され、迷惑となる可能性があり、 行動を操作して自律性を低下させるために 使用されることさえあります。

人々は、自身が共有する個人情報の量を自由に制限し、 すでに共有されたデータの利用を制限するようアクターに要求したり、 データの削除を要求したりできるべきです。 人が自身のデータを利用する許可を拒否または撤回することを選んだ場合、 報復は不適切です。

サービスの運用に不可欠なデータが提供されない場合にサービスを終了することは、 報復ではありません。 しかし、データを提供しないことが、 そのデータの利用とは無関係な行為につながる場合、 それは報復である可能性があります。 報復的行動の例には次が含まれます。

• 同意を与えるよりも、同意を撤回する手続きを煩雑にすること。

• 人々に選択を再考させるため、脅迫、執拗な要求、または欺瞞 ([dark-patterns]) を利用すること。および、

• データの利用に依存しないサービスへのアクセスを拒否すること。

アクターは、人々からデータを収集する方法の自動化に時間と労力を費やすことができ、また 人々が情報を開示しないよりも 開示する方がはるかに容易になるよう製品を設計できます。一方、 人々は通常、選択肢、繰り返される プロンプト、および欺瞞的パターンを手作業でかき分けなければなりません。多くの 場合、データが存在しないこと、すなわち人が特定の情報の提供を拒否したことも、 識別につながったり 情報を明らかにしたりする可能性があります。さらに、APIが硬直した方法で定義または実装されることで、人々が 有用な機能に アクセスできなくなる場合があります。たとえば、今週末に訪れる予定の都市でレストランを探したいとしても、 地理的位置がGPSと一致するよう強制的に設定されている場合、レストラン検索 サイトでは現在地でしか検索できない可能性があります。また、サイトがデータ 最小化原則に従わず、必要以上の情報を要求する場合もあります。この原則は、 人々が自身のデータを最小化することを支援します。

ユーザーエージェントは、 人々が望む アイデンティティを 提示し、自身または自身のデバイスに関する情報を 自ら制御できる方法で提供することを容易にすべきです。これは、 人々が目立たずに生活することを支援します ([Lost-In-Crowd]、 [Obscurity-By-Design])。これには、自身に関する 情報を難読化することも含まれます ([Obfuscation])。

代わりに、そのAPIは、人の選好、人が選んだアイデンティティ、 人の問い合わせや関心、または人が選択したコミュニケーションスタイルを示すことができます。

サイトは脅威モデリングに欺瞞を含め、ウェブプラットフォームAPIが 利用者について一貫性、最新性、または正確性を保証すると想定すべきではありません。人々はしばしば、 ウェブサイトとのやり取りに使用するデバイスやソフトウェアを制御できます。サイトからの 要求に応じて、人々は悪意や自己防衛を含むさまざまな理由から、 提供する情報を任意に変更または選択する場合があります。

APIが真の現在値を返すものとして定義されなければならないまれな場合でも、 利用者は、テスト、監査、またはブラウザー フィンガープリンティングを含むデータ収集の形態を軽減するなどの理由から、 エージェントが別の情報で応答するよう構成する場合があります。