38、隐私需求中的模糊性检测与解决及隐私设计决策支持系统

隐私需求中的模糊性检测与解决及隐私设计决策支持系统

隐私需求中的模糊性问题

在个人数据隐私保护领域，存在诸多模糊性问题，这些问题严重影响了数据主体对个人数据的控制。

第一类模糊性：同意撤销与数据删除

数据主体能够设置时间和敏感度偏好，从而控制信息的更新内容、方式、处理者，并对这些控制设置保护措施。然而，当个人撤销或更改初始同意时，这些更改是否会影响第三方并不明确。

以公司 X 为例，它将一些企业服务外包，包括旅行社服务、养老基金管理等强制服务以及体育和社交俱乐部（SSC）等自愿服务。玛丽的部分数据（财务细节、地址、员工参考等）需要披露给这些第三方。当玛丽决定退出自愿的 SSC 服务并撤销使用其个人数据的同意时，就出现了问题。

在逻辑上，这一情况的形式化表达如下：

{ mΟδ }
revoke( m, t, δ ) || delete( m, t, δ )
{(¬tLδ ∧ ¬tAδ ) ∧ ¬tPδ )}

通过访问控制模型，我们可以表达数据主体关于数据删除过程的偏好：

(r, delete(σ, δ, Φ,  q), ν ) → ν΄
where ν΄ = ν [ ρ|→ ρ’] such that ν΄|= Φ
where Φ := φ1
φ1:= α
ψα := α = {delete from back-up system}

在这个例子中，玛丽选择撤销第三方处理她数据的能力，并希望存