Platform Data is Social: How Publicity and Privacy are Vital to Data Governance
Wendy Hui Kyong Chun and Prem Sylvester
le français suit
Canada, like many other nations, is proposing a new suite of legislation that acknowledges privacy as a fundamental and individual human right, most notably the Digital Charter Implementation Act, 2022 or Bill C-27. Although important, these proposals do not adequately consider how platforms’ social nature challenges the neat distinction between private and public spheres. These challenges occur at the levels of user actions, algorithmic data processing, and technical communications. For example, users frequently post pictures and birthdates of their children on social media; recommender systems and digital advertising regularly target users based on data that serve as proxies for political affiliation or sexual orientation; wireless network cards constantly read-in all available data—including their neighbours’ passwords—in order to determine what information to forward to a computer’s Central Processing Unit.
To address these challenges, researchers and advisors have called for group-based privacy rights and the introduction of the category of inferred data, both of which underscore the limitations of an individual-based rights framework. Recommendations from the Office of the Privacy Commissioner of Canada (OPC) for Bill C-11 also underscore an individual’s “right to reputation,” including the right to be forgotten that may take the form of data deletion.
To complement and further these interventions, this brief describes the unique challenges posed by social data and how to revise policy around data collection, use, and governance to account for public rights.
Being in Public on Platforms: How We are Recognized by Data
To be on platforms is to be social. As Hannah Arendt had argued long before the advent of social media, the social is neither public nor private—it deliberately blurs the distinction between the two, enabling seemingly private concerns to have a wider audience and bringing a (sometimes unwanted) audience into seemingly private matters.
On platforms, this blurring takes three interrelated forms. First, the technical architecture of networking technologies operates through blurring boundaries between private and public. We connect to platforms through wireless devices that constantly ‘leak’ data such as IP addresses and (geo)location.
Second, algorithms designed to ‘personalize’ platforms use correlated data to predict and shape our social habits. Such social data makes our private desires appear in/as public. With Amazon’s acquisition of One Medical, for example, the cost of medical insurance policies may be correlated not just to our own purchase history and financial data, but to the (private) data of other people.
Third, platforms encourage people to publicly interact with each other as if we were in a private space with trusted, or seemingly trustworthy, others. At the same time, through platforms, people choose to (or have to) be in public — and garner publicity — to participate in social life. The rise of influencers and other forms of microcelebrity, collective action organized on social media platforms, and platforms tracking gig workers driving on public roads, all point to how platforms make possible and change publicity. Such publicity may expose prominent members of vulnerable groups, such as female influencers and Black activists, to harassment. Even while having everyday conversations or discussions tangential to their political activity, social data connects such individuals to those who might mock or threaten them.
The interactions and relations that emerge from such publicity both rely on, and generate, data that are collected and used by privately owned and operated platforms. Platforms make possible the collection of social data for their private benefit. The privacy of platform companies, as currently codified, protects their rights to the generation of social data for commercial use. The privacy of individuals, however, is subject to violation through the very information that can be inferred from such data.
We therefore need to develop two forms of rights. First, we need privacy rights that protect boundaries between ourselves and platforms to protect us from corporate data extraction. Second, we need to develop public rights that allow us to engage in collective and public actions without being exposed to collective harms.
Privacy and publicity rights that do not recognize how we might want to, or are compelled to be, in public are inadequate. To govern platforms and their data operation, we need to recognize the particular (and peculiar) way platforms use our data to engender publicity and, consequently, shape people’s reputations. We need a framework for public rights that acknowledges the social grounds of publicity's relationship to privacy.
From Publicity Rights to Public Rights
The publicity rights established through decades of case law offer precedent for our framework. Such rights are intended to protect against the “wrongful appropriation of personality,” or what may be termed one’s identity as defined by their image, name, or likeness, especially for commercial exploitation or profit. More recent case law asserts that a person does not need to be a ‘public figure’ (such as an influencer or a celebrity) to expect that their privacy will not be infringed upon while being in public. The link between reputation and privacy, meanwhile, has some legal precedent in the Civil Code of Québec: Article 35 stipulates that “Every person has a right to the respect of his reputation and privacy.” In general, however, an individual’s reputation is protected against defamation through provincial regulation such as Libel and Slander Acts (e.g., in Ontario and BC) and sections of the federal Criminal Code pursuant to Offences Against the Person and Reputation. In such cases, the publisher of the defamatory statements or claims pays monetary damages to the affected person(s).
There are, however, two significant ways in which existing regulation is limited. First, publicity rights primarily protect individual rights to the extent that one’s identity is ‘proprietary.’ Second, individual rights are insufficient to protect one from the reputational harms that might emerge from socially derived data. Private information becomes public because of the social dimensions of platforms—one's identity and reputation, built in part via correlations, is not solely individual. That is, one’s actions on social media may affect one’s own, or another person’s, public identity. That data, in turn, holds commercial value for platforms due to their correlations to people’s identities.
Protecting privacy would therefore require public rights premised on our privacy in public: it would require the ability to refuse publicity in the first place. These rights in the context of data governance would delineate what data about groups and individuals should never be collected, stored, or used. They would also establish how data about our platform use should be collected, stored, or used so that collective or individual harms do not accrue to vulnerable people. Public rights would allow us to be social without our privacy being violated or our publicity being exploited.
Operationalizing Public Rights in (Social) Data Governance
A public rights framework would thus regulate data that could be used to make harmful inferences about people: inferences that could impact people’s reputations, their ability to be safe online, and their ability to keep some information private. It would prevent private platforms from making problematic inferences about individuals as well as groups of people through what people are — technically, algorithmically, and for commercial benefit — encouraged to share publicly. Such a framework would set the terms for anonymity — not simply anonymization or de-identification — so that platforms do not impinge on our fundamental right to privacy (beyond our data privacy). Public rights would take fully into account the reality that the data which platforms collect, store, use, and sell are inherently, and unavoidably, social data.
La dimension sociale des données des plateformes : pourquoi la publicité et la confidentialité sont essentielles pour la gouvernance des données
Comme beaucoup d’autres pays, le Canada propose une nouvelle série de lois qui reconnaissent la protection de la vie privée comme un droit humain fondamental et individuel, en particulier la Loi de mise en œuvre de la Charte du numérique de 2022 ou le projet de loi C-27. Bien qu’importantes, ces propositions ne tiennent pas suffisamment compte de la façon dont la nature sociale des plateformes remet en question la distinction nette entre les sphères privée et publique. Ces défis concernent les actions des utilisateur·rice·s, le traitement algorithmique des données et les communications techniques. Par exemple, les utilisateur·rice·s publient fréquemment des photos et les dates de naissance de leurs enfants sur les médias sociaux ; les systèmes de recommandation et la publicité numérique ciblent régulièrement les utilisateur·rice·s sur la base de données qui servent d’indicateurs de l’affiliation politique ou de l’orientation sexuelle ; les cartes de réseau sans fil lisent constamment toutes les données disponibles (y compris les mots de passe de leurs voisins) afin de déterminer quelles informations transmettre au processeur central d’un ordinateur.
Pour relever ces défis, les chercheur·euse·s et les conseiller·ère·s préconisent de définir des droits de protection de la vie privée basés sur des groupes et l’introduction de la catégorie des données dites « déduites », soit deux mesures qui soulignent les limites d’un cadre de droits basés sur l’individu. Les recommandationsdu Commissaire à la protection de la vie privée du Canada (CPVP) concernant le projet de loi C-11 soulignent également le « droit à l’image » de l’individu, y compris le droit à l’oubli, qui peut prendre la forme d’une suppression des données.
Dans le but de compléter et d’approfondir ces interventions, ce mémoire décrit les défis uniques posés par les données sociales et la manière de réviser les politiques relatives à la collecte, à l’utilisation et à la gouvernance des données pour tenir compte des droits publics.
La vie publique sur les plateformes : comment les données nous reconnaissent
Utiliser une plateforme, c’est être social·e. Comme Hannah Arendt l’avait affirmé bien avant l’avènement des médias sociaux, le social n’est ni public ni privé. Il brouille délibérément la distinction entre les deux sphères, permettant à des préoccupations apparemment privées d’avoir une audience plus large et amenant un public (parfois non désiré) à s’intéresser à des questions apparemment privées.
Sur les plateformes, ce flou prend trois formes interdépendantes. Premièrement, l’architecture technique des technologies de réseau opère en brouillant les frontières entre le privé et le public. Nous nous connectons aux plateformes par l’intermédiaire d’appareils sans fil qui « laissent filtrer » en permanence des données telles que les adresses IP et la (géo)localisation.
Deuxièmement, les algorithmes conçus pour « personnaliser » les plateformes utilisent des données corrélées pour prédire et façonner nos habitudes sociales. Ces données sociales font apparaître nos désirs privés comme étant publics. Avec l’acquisition de One Medical par Amazon, par exemple, le coût des polices d’assurance médicale peut être corrélé non seulement à notre propre historique d’achat et à nos données financières, mais aussi aux données (privées) d’autres personnes.
Troisièmement, les plateformes encouragent les utilisateur·rice·s à interagir publiquement les un·e·s avec les autres comme s’iels se trouvaient dans un espace privé avec des personnes de confiance, ou apparemment dignes de confiance. En même temps, les utilisateur·rice·s créent des profils publics (par choix ou non), et consomment de la publicité, pour participer à la vie sociale. La montée en puissance des influenceur·euse·s et d’autres formes de micro-célébrité, l’action collective organisée sur les plateformes de médias sociaux et les plateformes de suivi des travailleur·euse·s indépendant·e·s conduisant sur la voie publique sont autant d’exemples de la manière dont les plateformes génèrent et modifient la publicité. Cette publicité peut exposer des membres éminent·e·s de groupes vulnérables au harcèlement, tels que les influenceuses et les militant·e·s noir·e·s. Alors même qu’iels ont des conversations quotidiennes ou des discussions tangentes à leur activité politique, leurs données sociales les mettent en contact avec les personnes qui pourraient les harceler ou les menacer.
Les interactions et les relations qui émergent de cette publicité génèrent et s’appuient sur les données collectées et utilisées par des plateformes détenues et exploitées par des particuliers. Ces plateformes rendent possible la collecte de données sociales pour leur bénéfice privé. La confidentialité des sociétés de plateformes, telle qu’elle est actuellement codifiée, protège leurs droits à la génération de données sociales à des fins commerciales. Cependant, la protection de la vie privée des individus est susceptible d’être violée par les informations mêmes qui peuvent être déduites de ces données.
Il est donc nécessaire de développer deux formes de droits. Premièrement, des droits de protection de la vie privée sont nécessaires pour maintenir une distinction entre notre personne et les plateformes, afin de nous protéger de l’extraction de données par les entreprises. Deuxièmement, des droits publics sont nécessaires pour nous permettre de nous engager dans des actions collectives et publiques sans nous exposer à des préjudices collectifs.
Les droits relatifs à la protection de la vie privée et à la publicité sont inadéquats lorsqu’ils ne tiennent pas compte de la manière dont nous souhaitons être perçu·e·s publiquement (ou dont nous sommes perçu·e·s malgré nous). Pour gouverner les plateformes et l’exploitation de leurs données, nous devons reconnaître la manière particulière (et singulière) dont elles utilisent nos données pour générer de la publicité et, par conséquent, façonner la réputation de leurs utilisateur·rice·s. Il est nécessaire d’établir un cadre pour les droits publics qui reconnaisse les fondements sociaux de la relation entre la publicité et la vie privée.
Des droits de publicité aux droits publics
Les droits de publicité établis par des décennies de jurisprudence constituent un précédent pour notre cadre. Ces droits visent à protéger contre « l’appropriation illicite de la personnalité », ou ce que l’on peut appeler l’identité d’une personne définie par son image, son nom ou son apparence, en particulier à des fins d’exploitation commerciale ou de profit. Une jurisprudence plus récente affirme qu’une personne n’a pas besoin d’être une « figure publique » (comme un·e influenceur·euse ou une célébrité) pour s’attendre à ce que sa vie privée ne soit pas violée lorsqu’elle est en public. Le lien entre la réputation et la vie privée, quant à lui, a un précédent juridique dans le Code civil du Québec : L’article 35 stipule que « Toute personne a droit au respect de sa réputation et de sa vie privée. » En général, cependant, la réputation d’une personne est protégée contre la diffamation par des réglementations provinciales telles que les lois sur la diffamation (comme les « Libel and Slander Acts » en Ontario et en Colombie-Britannique) et des articles du Code criminel du Canada relatifs aux infractions contre la personne et la réputation. Dans de tels cas, la personne qui diffuse des déclarations ou affirmations diffamatoires verse des dommages-intérêts à la ou aux personnes concernées.
La réglementation existante est toutefois limitée sur deux points importants. Premièrement, les droits de protection de la personnalité protègent principalement les droits individuels dans la mesure où l’identité d’une personne lui appartient. Deuxièmement, les droits individuels ne suffisent pas à protéger les personnes contre les atteintes à la réputation qui pourraient émerger de données obtenues via des plateformes sociales. Les informations privées deviennent publiques en raison des dimensions sociales des plateformes. L’identité et la réputation d’une personne, construites en partie par des corrélations, ne sont pas uniquement individuelles. En d’autres termes, les actions d’une personne sur les médias sociaux peuvent affecter sa propre identité publique ou celle d’une autre personne. Ces données, à leur tour, ont une valeur commerciale pour les plateformes en raison de leurs corrélations avec les identités des personnes.
La protection de la vie privée nécessiterait donc des droits publics fondés sur notre vie privée en public : elle nécessiterait la capacité de refuser la publicité en premier lieu. Dans le contexte de la gouvernance des données, ces droits définiraient les données concernant des groupes et des individus qui ne devraient jamais être collectées, stockées ou utilisées. Ils établiraient également comment les données relatives à l’utilisation de notre plateforme devraient être collectées, stockées ou utilisées de manière à ce que les personnes vulnérables ne subissent pas de préjudices collectifs ou individuels. Les droits publics nous permettraient d’avoir une vie sociale sans que notre vie privée soit violée ou que notre publicité soit exploitée.
Opérationnaliser les droits publics dans la gouvernance des données (sociales)
Un cadre de droits publics permettrait donc de réglementer les données susceptibles d’être utilisées pour émettre des déductions préjudiciables sur les personnes : des déductions qui pourraient avoir un impact sur leur réputation, leur sécurité en ligne et leur capacité à garder certaines informations privées. Il empêcherait les plateformes privées de faire des déductions problématiques sur les individus et les groupes de personnes à travers ce que les utilisateur·rice·s sont encouragé·e·s à partager publiquement et ce, techniquement, algorithmiquement et pour un bénéfice commercial. Un tel cadre fixerait les conditions de l’anonymat, et pas seulement de l’anonymisation ou de la dépersonnalisation, afin que les plateformes n’empiètent pas sur notre droit fondamental à la vie privée (au-delà de la confidentialité de nos données). Les droits publics tiendraient pleinement compte du fait que les données que les plateformes collectent, stockent, utilisent et vendent sont intrinsèquement et inévitablement des données sociales.
