Α holistic profile for the information privacy aware and competent user

Abstract

The ever-growing spread of the Internet, as well as the widespread use of online applications in today's society, have raised significant concerns about users’ information privacy and management of personal data. The protection of users' information privacy requires the development and application of contemporary methods, such as PETs (Privacy Enhancing Tools) or visualized methods for privacy policies, as well as compliance with the legal framework for the protection of users' personal data (e.g. GDPR 2016/679). However, although several aspects of information privacy have been widely explored and a number of relevant techniques and methods for privacy protection have been proposed, user who lacκs of relative awareness and competencies to protect own privacy, remains the weakest link in the chain of privacy protection. In order to effectively manage the protection of personal data, users should own not only the necessary knowledge to protect their privacy, but also the required competencies which lead to their implementation. Particularly, considering that although recent research focuses on the investigation of aspects which are relevant to the concept of competencies and awareness, they are unipolar and focus on the investigation of individual factors at a time, we conclude that the need for the implementation of a holistic approach which aims to strengthen users’ privacy protection, through the understanding of information privacy awareness and the information privacy competencies of users is urgent. The subject of the research that is presented in this thesis is the synthesis and introduction of the Holistic Profile for the Information Privacy Aware and Competent User (IPAC User). More specifically, the purpose of the dissertation is the synthesis and introduction of the holistic profile of the user who holds not only the knowledge about the online privacy risks, but also the necessary skills to protect themselves against them. The thesis begins with the study and critical evaluation of published research and practice on privacy policies, information privacy awareness (IPA) and information privacy competencies (IPC) that drives to the recognition of a) open issues in the area of IPA and IPC users, as well as b) existing techniques to enhance privacy protection. The critical examination of the literature highlights the research gap of a holistic approach towards users’ online privacy protection. To answer the first research question “How can online users be motivated to read privacy policies”, we relied on conducting conceptual and empirical research. Specifically, the investigation of both the existing text visualization techniques and the legal framework for the protection of users' personal data, led us to the development of a conceptual framework for the creation of two new privacy policy visualization techniques. Our application of the proposed framework to Instagram’s privacy policy in combination with the conduction of empirical research resulted in the identification of the contribution of visualization methods to the increase of users' IPA. In addition,5we indicated the importance on the part of users, not only to be aware of technologies to enhance IPA (including visualization techniques), but also to be able to read and understand them. To investigate our second research question, " What does it mean for a user to be information privacy aware and what are the main challenges related to raising IPA ", conceptual research was conducted. The detailed analysis of the literature revealed that there were converging and diverging aspects on IPA that needed to be identified. The synthesis and introduction of the Profile of the Information Privacy Aware User provided not only a clear definition and illustration of the attributes that a user should hold in order to be privacy aware online, but also provided guidance to privacy experts about the aspects they should focus on, trying to help users to increase IPA. To investigate the third research question, "What are the competencies that a user should hold in order to protect own information privacy?", we conducted conceptual and qualitative research. In particular, through the detailed literature analysis, we introduced two domain - specific Information Privacy Competency Models (IPCMs) (one in the field of e-commerce and the other in the field of installing and using mobile applications) and further, we validated them by privacy experts, thus paving the way to apply similar models in other fields too. In addition, the conduct of our qualitative research led us to the synthesis and introduction of the profile of information Privacy Competent User (IPC User). Furthermore, we introduced of the Holistic Profile of the Information Privacy Aware and Competent User (IPAC User), which not only contributes to the distinction and aggregation of privacy awareness and privacy competencies, but also offers a comprehensive approach for the creation of techniques that lead to the effective protection of users' privacy. Summarizing, the research develops a conceptual and methodological framework for the understanding of the attributes that an information privacy aware and competent user should own in order to protect own online privacy. The contribution of the research can be summarized in theoretical, methodological and practical level. Specifically, at a theoretical level, the contribution of the thesis consists in the following points: •Extends the existing literature of visualization techniques, proposing two new privacy policy visualization techniques •Highlights the efficacy of visualized privacy policies, providing empirical evidence that they are more effective than conventional privacy policies in the task of enhancing IPA •Introduces and validates two domain-specific IPCMs •Introduces the profile of the IPA User •Introduces the profile of the IPC User •Introduces the holistic profile of the IPAC User •It presents the distinction between the concepts of awareness and privacy competencies At a practical level, the contribution of the thesis consists in the following points:6•The proposed framework for creating visualized privacy policies can be leveraged by privacy experts to develop more attractive privacy policies •The proposed IPCMs can be used by privacy experts as a guide for creating similar models in other fields •The proposed IPCMs can be used by educators as a guide for designing interventions aiming to reinforce user’s privacy protection •The privacy IPCM for the installation and usage of mobile apps, provides designers with the ability to create their applications with respect for users' privacy •The holistic profile of the IPAC User enables professionals who design products and services to adopt an approach that prioritizes user’s privacy and respects their autonomy over the management of personal data At a methodological level, the contribution of the thesis lies in the following points:•A carefully designed framework is offered with specific steps to create visualization techniques for privacy policies, based on the recommendations of the European Regulation 2016/679•A carefully structured framework with specific steps for creating IPCMs is offered, which can be a useful guide for creating such models in other areas •Finally, a questionnaire is provided to measure IPA, which is designed based on different aspects of awareness.

Η συνεχώς αναπτυσσόμενη διάδοση του Διαδικτύου, καθώς και η ευρεία χρήση διαδικτυακών εφαρμογών στη σημερινή κοινωνία, έχουν εγείρει σημαντικές ανησυχίες σχετικά με τη διαχείριση των προσωπικών δεδομένων και την προστασία της ιδιωτικότητας του χρήστη. Η προστασία της πληροφοριακής ιδιωτικότητας των χρηστών προϋποθέτει την ανάπτυξη και την εφαρμογή σύγχρονων μεθόδων, όπως είναι τα PETs (Privacy Enhancing Tools) ή οι οπτικοποιημένες μέθοδοι για τις πολιτικές ιδιωτικότητας, καθώς και την τήρηση του νομικού πλαισίου για την προστασία των προσωπικών δεδομένων των χρηστών (π.χ. GDPR 2016/679). Ωστόσο, όπως προκύπτει από την βιβλιογραφία, παρόλο που η έρευνα για την ανάπτυξη τεχνικών και μεθόδων προστασίας της ιδιωτικότητας έχει αποδώσει σε μεγάλο βαθμό, ο ίδιος ο χρήστης είναι εκείνος που με την έλλειψη της ενημερότητας και των αντίστοιχων ικανοτήτων για την προστασία του, αποτελεί τον «αδύναμο κρίκο» στην αλυσίδα της προστασίας της ιδιωτικότητας. Για την αποτελεσματική διαχείριση της προστασίας των προσωπικών δεδομένων, οι χρήστες οφείλουν να διαθέτουν όχι μόνο τις απαραίτητες γνώσεις για την προστασία της ιδιωτικότητάς τους, αλλά και τις απαιτούμενες ικανότητες, που οδηγούν στην εφαρμογή τους. Συγκεκριμένα, καθώς οι σύγχρονες έρευνες εστιάζουν συνήθως σε μία πτυχή για την προστασία της ιδιωτικότητας, προκύπτει η ανάγκη για μία ολιστική προσέγγιση με στόχο την ενίσχυση της πληροφοριακής ιδιωτικότητας των χρηστών, μέσα από την κατανόηση της ενημερότητας (information privacy awareness) και των ικανοτήτων των χρηστών σχετικά με την ιδιωτικότητά τους (information privacy competencies).Το αντικείμενο της έρευνας που παρουσιάζει η παρούσα διατριβή με τίτλο «Το ολιστικό προφίλ του ενήμερου και ικανού χρήστη για την προστασία της πληροφοριακής του ιδιωτικότητας» είναι μια συνολική προσέγγιση των απαραίτητων γνώσεων και ικανονήτων που οφείλουν οι χρήστες να κατέχουν ώστε να προστατεύσουν αποτελεσματικά την ιδιωτικότητά τους στο διαδίκτυο. Πιο συγκεκριμένα, στόχος της διατριβής είναι η σύνθεση και η εισαγωγή του συνολικού προφίλ του χρήστη που κατέχει όχι μόνο τις γνώσεις σχετικά με τους κινδύνους του διαδικτυακού απορρήτου, αλλά και τις απαραίτητες ικανότητες για να προστατευθεί από αυτούς, δηλαδή το προφίλ του ενήμερου και ταυτόχρονα ικανού χρήστη να προστατεύσει την πληροφοριακή ιδιωτικότητά του. Η διατριβή ξεκινά με τη μελέτη και την κριτική ανάλυση της δημοσιευμένης έρευνας και πρακτικής σχετικά με τις πολιτικές ιδιωτικότητας, την ενημερότητα και τις απαραίτητες ικανοτήτες για την προστασία της ιδιωτικότητας των χρηστών, που οδηγεί στην αναγνώριση α)των ανοικτών ζητημάτων στον χώρο της ενημερότητας και των ικανοτήτων ιδιωτικότητας των χρηστών, καθώς και β) των υφιστάμενων τεχνικών για την ενίσχυση της προστασίας της ιδιωτικότητας. Η κριτική ανάλυση της βιβλιογραφίας, αναδεικνύει την απουσία ενός ολιστικού τρόπου προσέγγισης για την προστασία της ιδιωτικότητας των χρηστών στο διαδίκτυο. Για να απαντήσουμε στο πρώτο ερευνητικό ερώτημα «Πώς μπορούν οι διαδικτυακοί χρήστες να παρακινηθούν ώστε να διαβάσουν τις πολιτικές ιδιωτικότητας», στηριχτήκαμε στην διεξαγωγή εννοιολογικής και εμπειρικής έρευνας. Συγκεκριμένα, μέσα από την μελέτη των σύγχρονων τεχνικών οπτικοποίησης κειμένων και του8νομικού πλαισίου για την προστασία των προσωπικών δεδομένων των χρηστών, οδηγηθήκαμε στην ανάπτυξη ενός εννοιολογικού πλαισίου για την δημιουργία τεχνικών οπτικοποίησης πολιτικών ιδιωτικότητας. Η εφαρμογή του εννοιολογικού πλαισίου στην πολιτική ιδιωτικότητας του Instagram και η διεξαγωγή της εμπειρικής έρευνας, ανέδειξε την συμβολή των μεθόδων οπτικοποίησης στην αύξηση της ενημερότητας των χρηστών για την ιδιωτικότητα. Παράλληλα, ανέδειξε την σημασία από την πλευρά των χρηστών, όχι μόνο να γνωρίζουν τις τεχνολογίες για την ενίσχυση της πληροφοριακής ενημερότητας (συμπεριλαμβανομένων των τεχνικών οπτικοποίησης), αλλά και να είναι ικανοί να τις διαβάζουν και να τις κατανοούν. Για τη διερεύνηση του δεύτερου ερευνητικού μας ερωτήματος «Τι σημαίνει για έναν χρήστη να είναι ενήμερος για την προστασία της ιδιωτικότητας και ποιες είναι οι κύριες προκλήσεις που σχετίζονται με την αύξηση της ενημερότητας;», πραγματοποιήθηκε εννοιολογική έρευνα. Η λεπτομερής ανάλυση της βιβλιογραφίας ανέδειξε ότι υπήρχαν συγκλίνουσες και αποκλίνουσες απόψεις σχετικά με την ενημερότητα της ιδιωτικότητας, οι οποίες έπρεπε να προσδιοριστούν. Η σύνθεση και η εισαγωγή του προφίλ του ενήμερου χρήστη για την ιδιωτικότητα προσέφερε όχι μόνο έναν σαφή ορισμό και μία ξεκάθαρη εικόνα για τα χαρακτηριστικά που πρέπει να διαθέτει ένας χρήστης ώστε να είναι ενήμερος για την ιδιωτικότητά του στο διαδίκτυο, αλλά έδωσε κατευθύνσεις στους ειδικούς του πεδίου σχετικά με τις πτυχές στις οποίες πρέπει να εστιάζουν, προσπαθώντας τους να συμβάλουν στην αύξηση της ενημερότητας των χρηστών.Για τη διερεύνηση του τρίτου ερευνητικού ερωτήματος «Ποιες είναι οι ικανότητες που πρέπει να έχει ένας χρήστης για να προστατεύσει την ιδιωτικότητά του στο διαδίκτυο;», πραγματοποιήσαμε εννοιολογική και ποιοτική έρευνα. Συγκεκριμένα, μέσω της λεπτομερούς βιβλιογραφικής ανάλυσης, εισήχθησαν δύο μοντέλα ικανοτήτων για την ιδιωτικότητα των χρηστών (ένα στον τομέα του ηλεκτρονικού εμπορίου και το άλλο στον τομέα της εγκατάστασης και χρήσης κινητών εφαρμογών), τα οποία επικυρώθηκαν από ειδικούς σε θέματα ιδιωτικότητας, ανοίγοντας έτσι τον δρόμο για την εφαρμογή παρόμοιων μοντέλων σε άλλους τομείς. Επιπλέον, η διεξαγωγή της ποιοτικής μας έρευνας οδήγησε στη σύνθεση και την εισαγωγή του προφίλ του χρήστη που είναι ικανός για την προστασία της πληροφοριακής ιδιωτικότητάς του. Τέλος, οδηγηθήκαμε στην εισαγωγή και την σύνθεση του ολιστικού προφίλ του ενήμερου και ικανού χρήστη για την προστασία της πληροφοριακής του ιδιωτικότητας, το οποίο αφενός έδωσε σαφή απάντηση στη διάκριση και τον συγκερασμό των εννοιών ενημερότητας και ικανότητες για την ιδιωτικότητα και αφετέρου προσέφερε μία συνολική προσέγγιση για τη δημιουργία τεχνικών, που οδηγούν στην αποτελεσματική προστασία της ιδιωτικής ζωής των χρηστών. Στα πλαίσια της διατριβής, λοιπόν, αναπτύσσεται εννοιολογικό και μεθοδολογικό πλαίσιο για την κατανόηση των χαρακτηριστικών που πρέπει να διαθέτει ο ενήμερος και ικανός χρήστης για την προστασία της πληροφοριακής ιδιωτικότητάς του. Η συμβολή της έρευνας έχει θεωρητική, μεθοδολογική και πρακτική διάσταση.Συγκεκριμένα, σε θεωρητικό επίπεδο, η συμβολή της διατριβής συνίσταται στα παρακάτω σημεία: •Επεκτείνεται το υπάρχον σύνολο τεχνικών οπτικοποίησης, προτείνοντας δύο νέες τεχνικές οπτικοποίησης πολιτικών ιδιωτικότητας •Επισημαίνεται η καταλληλόλητα των οπτικοποιημένων πολιτικών ιδιωτικότητας, παρέχοντας εμπειρικές ενδείξεις ότι είναι πιο αποτελεσματικές από τις συμβατικές πολιτικές ιδιωτικότητας για την ενίσχυση της πληροφοριακής ιδιωτικότητας •Εισάγονται και επικυρώνονται δύο μοντέλα ικανοτήτων ιδιωτικότητας των χρηστών •Πραγματοποιείται η σύνθεση και η εισαγωγή του προφίλ του ενήμερου χρήστη για την προστασία της πληροφοριακής ιδιωτικότητάς του •Πραγματοποιείται η σύνθεση και η εισαγωγή του προφίλ του ικανού χρήστη για την προστασία της πληροφοριακής ιδιωτικότητάς του •Πραγματοποιείται η σύνθεση και η εισαγωγή του ολιστικού προφίλ του ενήμερου και ικανού χρήστη για την προστασία της πληροφοριακής ιδιωτικότητάς του •Πραγματοποιείται η διάκριση των εννοιών της ενημερότητας και των ικανοτήτων για την ιδιωτικότηταΣε πρακτικό επίπεδο, η συμβολή της διατριβής συνίσταται στα παρακάτω σημεία: •Το πλαίσιο για την δημιουργία των πολιτικών οπτικοποίησης μπορεί να αξιοποιηθεί από τους ειδικούς της ιδιωτικότητας για την ανάπτυξη πιο ελκυστικών πολιτικών ιδιωτικότητας •Τα προτεινόμενα μοντέλα ικανοτήτων ιδιωτικότητας μπορούν να αξιοποιηθούν από ειδικούς ιδιωτικότητας που σχεδιάζουν να αναπτύξουν πρωτοβουλίες ενίσχυσης της ιδιωτικότητας, σαν οδηγός για την δημιουργία παρόμοιων μοντέλων σε άλλους τομείς •Τα προτεινόμενα μοντέλα ικανοτήτων μπορούν να αξιοποιηθούν από εκπαιδευτές, ως οδηγός για τον σχεδιασμό παρεμβάσεων με στόχο την ενίσχυση της ιδιωτικότητας των χρηστών •Το μοντέλο ικανοτήτων ιδιωτικότητας για την εγκατάσταση και χρήση των εφαρμογών κινητών συσκευών, παρέχει στους σχεδιαστές εφαρμογών την δυνατότητα να δημιουργήσουν τις εφαρμογές τους με γνώμονα τον σεβασμό στην ιδιωτικότητα των χρηστών τους •Το ολιστικό προφίλ του ενήμερου και ικανού χρήστη για την προστασία της πληροφοριακής ιδιωτικότητας προσφέρει στους επαγγελματίες που σχεδιάζουν προϊόντα και υπηρεσίες την δυνατότητα υιοθετήσουν μια προσέγγιση που δίνει προτεραιότητα στην ιδιωτικότητα των χρηστών και σέβεται την αυτονομία τους έναντι στην διαχείριση των προσωπικών δεδομένωνΣε μεθοδολογικό επίπεδο, η συμβολή της διατριβής έγκειται στα παρακάτω σημεία: •Προσφέρεται ένα προσεκτικά σχεδιασμένο πλαίσιο με συγκεκριμένα βήματα για την δημιουργία τεχνικών οπτικοποίησης για τις πολιτικές ιδιωτικότητας, βασιζόμενο στις συστάσεις του Ευρωπαϊκού κανονισμού 2016/679 •Προσφέρεται ένα προσεκτικά δομημένο πλαίσιο με συγκεκριμένα βήματα για την δημιουργία μοντέλα ικανοτήτων για την ιδιωτικότητα, το οποίο μπορεί να αποτελέσει χρήσιμος οδηγός για την δημιουργία αντίστοιχων μοντέλων σε άλλους τομείς10•Τέλος, παρέχεται ένα ερωτηματολόγιο για την μέτρησης της ενημερότητας της ιδιωτικότητας, το οποίο έχει σχεδιαστεί με βάση την διαφορετικές πτυχές της ενημερότητας.