Towards privacy-aware Usage of fitness trackers and smart home devices: enhancing user awareness in the GDPR Era

Abstract

Η δημοτικότητα των συσκευών Διαδικτύου των Πραγμάτων, όπως οι έξυπνες οικιακές συσκευές και οι συσκευές παρακολούθησης της φυσικής κατάστασης (fitness trackers), έχει προάγει την απόκτηση, την ανταλλαγή και τη διανομή δεδομένων που δημιουργούνται. Ο τεράστιος όγκος δεδομένων που συλλέγεται και μοιράζεται εγείρει ένα σοβαρό ζήτημα σχετικά με το απόρρητο και την επίγνωση των χρηστών για τον τρόπο συλλογής και κοινής χρήσης των δεδομένων που δημιουργούνται από τις συσκευές τους. Ο Γενικός Κανονισμός για την Προστασία Δεδομένων στοχεύει στο να καταστήσει αποτελεσματική την προστασία των προσωπικών δεδομένων, παρέχοντας ένα γενικό πλαίσιο για την προστασία του απορρήτου του χρήστη και των προσωπικών δεδομένων. Ωστόσο, στην εποχή του έξυπνου σπιτιού και των fitness trackers, τα δεδομένα που διαβιβάζονται σε παρόχους υπηρεσιών ενδέχεται να καταστούν διαθέσιμα σε ενδιαφερόμενα τρίτα μέρη, τα οποία μπορούν να τα επεξεργαστούν με σκοπό να εξάγουν συμπεράσματα για τους χρήστες. Η εξαγωγή συμπερασμάτων αποτελεί μια μεγάλη απειλή για το απόρρητο. Παρά το ερευνητικό ενδιαφέρον που υπάρχει για την ανάπτυξη μεθόδων προστασίας της ιδιωτικότητας για την αντιμετώπιση των προκλήσεων απορρήτου στο Διαδίκτυο των Πραγμάτων, η διερεύνηση της προοπτικής του χρήστη δεν έχει αντιμετωπιστεί στο Διαδίκτυο των Πραγμάτων. Αυτό είναι το ερευνητικό κενό που στοχεύει να αντιμετωπίσει αυτή η διατριβή, ρωτώντας: «Πώς μπορούμε να αυξήσουμε την επίγνωση των χρηστών των έξυπνων οικιακών συσκευών και των fitness trackers σχετικά με τα δεδομένα και την προστασία του απορρήτου τους». Η διατριβή στοχεύει να κατανοήσει την επίγνωση των χρηστών σχετικά με τα δεδομένα και το απόρρητό τους και να αναπτύξει μηχανισμούς αξιολόγησης και αύξησης της επίγνωσής τους, να τους εκπαιδεύσει σχετικά με τους κινδύνους απορρήτου που σχετίζονται με τη χρήση έξυπνων οικιακών συσκευών και fitness trackers και να τους ενδυναμώσει με τον έλεγχο των δεδομένων και του απορρήτου τους στο πλαίσιο αυτό. Παρουσιάζονται τα χαρακτηριστικά που πρέπει να διαθέτει ένα συμβατό με το GDPR πλαίσιο με επίκεντρο τον χρήστη και την διατήρηση της ιδιωτικότητας, και ένα πλαίσιο που βασίζεται σε αυτά τα χαρακτηριστικά που δείχνει πώς μπορούν να παρέχονται στους χρήστες οι λειτουργίες που χρειάζονται, για να έχουν τον έλεγχο των προσωπικών τους δεδομένων. Η διατριβή προσδιορίζει τα πιθανά συμπεράσματα που μπορούν να εξαχθούν από δεδομένα έξυπνων οικιακών συσκευών και fitness trackers μέσω της εφαρμογής τεχνικών μηχανικής μάθησης, χρησιμοποιώντας πραγματικά σύνολα δεδομένων που έχουν δημιουργηθεί μέσω συγκεκριμένων σεναρίων. Τα πειραματικά αποτελέσματα παρέχουν πληροφορίες για τους τύπους συμπερασμάτων που μπορούν να εξαχθούν και υπογραμμίζουν τη σημασία της ενημέρωσης του χρήστη σχετικά με αυτά. Στην διατριβή παρουσιάζεται το εργαλείο ≪PrivacyEnhAction≫ που στοχεύει στην αύξηση της επίγνωσης των χρηστών σχετικά με πιθανές ευπάθειες απορρήτου που προκύπτουν από τη χρήση αυτών των συσκευών. Παράλληλα, έχει διεξαχθεί μια ποιοτική μελέτη χρηστών για να αξιολογηθεί ο αντίκτυπος του PrivacyEnhAction στην επίγνωση των συμμετεχόντων σχετικά με τα πιθανά συμπεράσματα που μπορούν να εξαχθούν από τα δεδομένα από fitness trackers, με θετικά αποτελέσματα. Για να βοηθήσει περαιτέρω στην προσπάθεια αύξησης της επίγνωσης των χρηστών, η διατριβή παρέχει μια μεθοδολογία για την ανάλυση του κειμένου της Πολιτικής Απορρήτου έξυπνων οικιακών συσκευών και fitness trackers, η οποία έχει υλοποιηθεί και στο εργαλείο PrivacyEnhAction.

The popularity of IoT devices has increased the collection, sharing and processing of user data. The enormous amount of data collected and shared among these devices has raised a serious issue regarding the privacy and the awareness of the users about how the data generated by their devices are collected and shared. The EU General Data Protection Regulation aims to make the protection of personal data effective by providing a generic framework for the protection of the user and personal data privacy. However, in the era of smart homes and wearables, data transmitted to service providers may become available to interested third parties, who can process them with the intention to derive further knowledge and generate new insights and inferences about the users. Inferences have become one of the the biggest threats to privacy, compromising a basic privacy law, which is to allow a person to control who knows what about them. These issues put the user privacy at risk due to the inferences threat and the lack of user awareness about these inferences. Despite the research interest in the development of privacy-preserving methods to address the privacy challenges in IoT, the exploration of the users perspective and needs have not been adequately addressed in the effort to provide user-centric privacy-preserving solutions in IoT. This is the gap that this doctoral thesis aims to address, asking: How can we increase the smart home devices and fitness trackers users awareness over their data and privacy protection? The thesis aims to comprehend users awareness over their data and privacy and develop mechanisms to evaluate and increase their awareness, and educate them about the privacy risks associated with the use of smart home devices and fitness trackers. It presents the characteristics that a user centric, privacy-preserving and GDPR-compliant framework in IoT should incorporate and introduces a conceptual framework that demonstrates how the users can be provided with the functionalities needed to be in control of their personal data created by IoT devices. The thesis identifies the inferences that can be extracted from smart home devices and fitness trackers data through the application of machine learning techniques, using real datasets that have been created through specific scenarios. The experimental results provide insights into the types of inferences that can be made from smart home and fitness tracker data, and highlight the importance of making the users aware about them. Consequently, we contribute with a tool, PrivacyEnhAction, that aims to increase the user awareness about potential privacy vulnerabilities that emerge from the use of these devices. A qualitative user study was conducted to evaluate the impact of PrivacyEnhAction to the awareness of the participants regarding possible inferences from fitness tracker data, with positive results. To further assist the effort of increasing the awareness of the users, this doctoral thesis provides a methodology for the analysis of the text of fitness trackers and smart home devices privacy policies, which is also implemented in the PrivacyEnhAction web application.