Личные данные избирателя: правительства каких штатов предлагают лучшую защиту конфиденциальности данных?

В Соединенных Штатах правительство каждого штата ведет учет своих избирателей. Тип информации, которая считается «неконфиденциальной» и у кого есть доступ к этим данным, зависит от штата. Некоторые распространяют имена и адреса политическим партиям только на строго некоммерческой основе. Другие публикуют списки избирателей в Интернете, чтобы любой желающий (даже за пределами США) мог получить доступ к данным.

Тем не менее, когда «хакеры» получают эти данные, возникает шум. Недавние примеры включают в себя продажу информации об избирателях из Мичигана в Dark Web (власти настаивали на том, что эти данные не были взломаны, поскольку данные доступны любому желающему через запрос о свободе информации), а также печально известный российский взлом баз данных о выборах в 2016 г.

Следует ли нам внимательнее присмотреться к штатам, которые не делают достаточно для защиты конфиденциальности личных данных своих избирателей, а не к хакерам, которые получают доступ к тому, что в основном уже доступно?

Наша команда исследователей изучила законодательство каждого штата о регистрации избирателей, процессы запроса списков избирателей и стандарты кибербезопасности, чтобы выяснить, в каких штатах лучше всего защищают конфиденциальность своих избирателей.

Основные выводы:

• 31 штат предоставляет широкой общественности доступ к данным о избирателях, а многие другие разрешают доступ под наблюдением (например, в местных избирательных комиссиях)
• 11 штатов не указывают, как следует использовать списки избирателей (например, в некоммерческих целях) в своих Кодексах о выборах, и не имеют штрафных санкций для тех, кто использует списки в целях запроса предложений.
• Ни один штат не предоставляет избирателям подробных предупреждений о сторонних данных при регистрации для голосования. Но некоторые предлагают уведомления о конфиденциальности о данных, которые становятся общедоступными при регистрации.
• Большинство штатов предлагают некоторые дополнительные соглашения о конфиденциальности для определенных групп, например участников Программы конфиденциальности адресов (ACP).
• В каждом штате, где избирателям разрешена онлайн-регистрация, есть веб-сайт, защищенный протоколом HTTPS. Менее половины из них имеют дополнительную меру безопасности в виде блоков CAPTCHA.
• В большинстве штатов приняты строгие меры кибербезопасности, но в некоторых из них отсутствуют официальные тренинги по кибербезопасности для сотрудников избирательных комиссий.
• Стоимость приобретения файлов избирателей по всему штату варьируется в широких пределах. Некоторые штаты предлагают их бесплатно, а другие взимают сборы в размере более 30 000 долларов.
• 22 штата либо не требуют никакой информации перед доступом к списку избирателей, не предоставляют возможности выбора меньших списков (например, по округам), либо не имеют деклараций относительно того, для чего можно / нельзя использовать список
• 21 штат имеет (или собирается ввести) автоматическую регистрацию избирателей

Обратите внимание: мы оценивали состояния только с точки зрения защиты конфиденциальности. Например, хотя высокая плата за доступ к записям избирателей может рассматриваться как препятствие прозрачности, с точки зрения конфиденциальности, такая плата сокращает широко распространенный доступ к данным. Точно так же автоматическая регистрация избирателей улучшает участие избирателей, но может негативно повлиять на конфиденциальность избирателей.

Какая информация обычно включается в файл избирателя?

Большинство файлов избирателей, доступных для общественности или определенных групп, будут включать имя и адрес избирателя (если у них нет дополнительных мер защиты конфиденциальности, и в этом случае их адрес может быть скрыт). Другая информация включает:

• Дата рождения (часто просто год)
• Телефонный номер
• Адрес электронной почты
• Подпись (часто просто для просмотра, а не для копирования)
• ID избирателя
• Место голосования
• Дата регистрации голосования
• Дата последнего голосования
• Статус голосования
• Предпочтение партии / принадлежности
• История голосований
• Раса и пол

Некоторые штаты сохранят конфиденциальность части вышеупомянутых данных, а также:

• Номера социального страхования
• Номера водительских прав
• Месяц и день рождения
• Идентификационные данные агентства по регистрации избирателей / место регистрации

В нескольких штатах указано, что отказ человека от голосования, осуждение за уголовное преступление, дата последнего присяжных, военный билет, индейская перепись (идентификационный номер племени), имя отца или девичья фамилия матери должны оставаться конфиденциальными.

Некоторые государства не устанавливают никаких требований относительно того, какая информация должна оставаться конфиденциальной. Как уже упоминалось, у многих также нет конкретных правил относительно того, для чего могут использоваться данные. Другие ограничивают использование данных только политическими / избирательными целями, в то время как ряд других указывает некоммерческое использование.

Кто и на каком уровне имеет доступ к данным, также зависит от штата. Большое количество разрешает доступ любому (хотя вам может потребоваться проживать в штате, в котором вы запрашиваете данные), некоторые ограничивают публичный доступ, разрешая только проверку списка в местных избирательных бюро, а некоторые будут делиться информацией только с политические партии / лица. Последний имеет доступ практически ко всем спискам штатов.

Подсчет очков

Чтобы выяснить, какие штаты лучше всего защищают конфиденциальность своих избирателей, мы оценили каждый штат по:

• У кого есть доступ к спискам (от 0 до 5 баллов)
• Насколько конфиденциальна информация (от 0 до 3 баллов)
• Для чего можно использовать файл (от 0 до 2 баллов)
• Уведомлены ли избиратели о том, что их данные будут опубликованы (от 0 до 3 баллов)
• Наказания за незаконное использование данных избирателя (от 0 до 5 баллов)
• Кто может потребовать сохранения конфиденциальности своих данных (от 0 до 5 баллов)
• Безопасность государственных систем онлайн-регистрации избирателей (от 0 до 2 баллов)
• Стандарты кибербезопасности базы данных избирателей (от 0 до 6 баллов)
• Стоимость записи для списков избирателей штата (от 0 до 5 баллов)
• Какую информацию должны предоставить лица, запрашивающие списки избирателей, насколько они могут быть конкретными в отношении своего запроса (например, по району / округу), и должны ли они подписаться, чтобы заявить, что данные будут использоваться только для целей X (от 0 до 5 баллов)
• Публикуется ли список избирателей в Интернете (от 0 до 3 баллов)
• Происходит ли автоматическая регистрация избирателей в штате (от 0 до 3 баллов)

Низкие баллы указывают на отсутствие защиты конфиденциальности данных, а высокие баллы указывают на передовые методы.

5 штатов, в которых отсутствует конфиденциальность данных избирателей

По нашим данным, пять штатов, в которых отсутствует защита конфиденциальности данных избирателей:

1. Северная Каролина (12,5 из 47): Северная Каролина получает самый низкий балл из-за того, что любой может получить доступ к базе данных избирателей онлайн без какой-либо аутентификации. Это дает любому пользователю в Интернете доступ к данным избирателя, таким как имя, адрес, возраст (год рождения), раса, пол, партийная принадлежность и история избирателей. Тем не менее, он набирает баллы за сохранение конфиденциальности определенной информации по закону (включая SSN и адреса электронной почты), предоставление участникам ACP дополнительной защиты, наличие HTTPS на своем веб-сайте регистрации избирателей и отсутствие автоматической регистрации избирателей. Он также имеет хорошие показатели по кибербезопасности, проигрывая лишь полбалла из-за того, что его система регистрации избирателей не заменялась за последние 10 лет (но она регулярно поддерживается и обновляется).
2. Огайо (15,5 из 47): Как и в Северной Каролине, плохой результат в Огайо объясняется тем, что его список избирателей публикуется в Интернете без аутентификации, необходимой для доступа к нему. При этом Огайо оговаривает, что записи избирателей могут использоваться только в некоммерческих целях, и налагает общие санкции на тех, кто не подчиняется Кодексу о выборах (тюремное заключение сроком до 180 дней и / или штраф до 1000 долларов). Огайо также выделило бюджет на замену своей системы регистрации избирателей, предлагает все другие меры кибербезопасности, которые мы проанализировали, и имеет коды CAPTCHA на своем сайте регистрации избирателей.
3. Арканзас, Массачусетс, Оклахома (17 из 47): Арканзас и Оклахома разрешают публичный доступ к спискам регистрации избирателей, но Массачусетс ограничивает свой список политическими комитетами / кандидатами / партиями. Ни в одном из этих штатов нет юридических ограничений или штрафов за использование файлов избирателей, и ни в одном из них не требуется ничего, кроме основных деталей, при запросе файла — только в Арканзасе взимается плата (50 долларов за электронный список). В Арканзасе также приняты все меры кибербезопасности, но Массачусетсу и Оклахоме не хватает помощи со стороны DHS или Национальной гвардии и адекватной подготовки для сотрудников избирательных комиссий (хотя в бюджете штата Массачусетс есть обучение), и оба находятся в процессе обновления своих систем регистрации избирателей. .
4. Коннектикут (17,5 из 47): Подобно вышеупомянутым штатам, Коннектикут предлагает открытый доступ к списку избирателей, не имеет ограничений или штрафов на его использование и требует только письменного запроса на доступ к данным. Стоимость получения данных составляет 300 долларов США. Действуют все меры кибербезопасности, кроме обновленной системы регистрации избирателей (но это запланировано на 2022 год), а на его веб-сайте регистрации есть как HTTPS, так и CAPTCHA.
5. Мичиган (18 из 47): Мичиган разрешает полный доступ к базе данных избирателей, не имеет никаких спецификаций относительно того, для чего можно использовать файл (и, следовательно, никаких штрафов), и не обеспечивает дополнительной защиты для данных избирателей определенных групп. Тем не менее, в нем предусмотрены все меры кибербезопасности, есть некоторая стоимость (около 50 долларов США) за доступ к списку и требуется некоторая информация от запрашивающих (они также могут указать требуемый участок / район).

Конфиденциальность данных избирателя — все состояния и баллы

5 штатов, в которых конфиденциальность данных избирателей защищена лучше

Хотя ни один штат не получил полных оценок, пять штатов выделялись своей защитой конфиденциальности:

1. Вирджиния (37,5 из 47): Вирджиния выходит на первое место благодаря своей всесторонней защите. Доступ к списку ограничен политическими партиями, комитетами, кандидатами и исследователями, но другие (например, общественность) могут получить доступ, если они могут доказать, что это способствует регистрации и участию избирателей. Любой, кто получает список, должен заплатить за него около 5500 долларов, предоставить полную информацию и заявить, что он не будет использовать его в незаконных целях. Вирджиния ограничивает использование списка только политической деятельностью, а тем, кто использует список для любых других целей, могут грозить тюремные сроки и / или штрафы до 2500 долларов. Внедрены все стандарты кибербезопасности и установлена ​​автоматическая регистрация избирателей.
2. Индиана, Калифорния, Юта (34,5 из 47): Несмотря на то, что общественность имеет доступ к базе данных в штате Юта, существуют серьезные санкции для тех, кто использует список незаконно (уголовные штрафы до 2500 долларов и гражданские штрафы, которые могут превышать 48000 долларов). Те, кто запрашивает доступ к файлу, должны предоставить свою информацию, могут указать, какой тип списка им нужен (например, по району), и должны заявить, что они знают, для чего можно использовать файл. В Калифорнии и Индиане оба штата ограничивают доступ политическим партиям, исследователям и / или журналистам и ограничивают использование файлов только в некоммерческих или политических целях. Те, кто запрашивает список в Калифорнии, должны указать свои полные данные, предоставить удостоверение личности и заплатить более 10 000 долларов за доступ, а любому, кто злоупотребляет списком, грозит штраф в размере 0,50 доллара за имя, которое используется незаконно. Запросы в Индиане аналогичны. Стоимость доступа к данным составляет 5 долларов США, 000, а тем, кто незаконно использует данные, грозит штраф до 1000 долларов. На уровне кибербезопасности в Калифорнии действуют все стандарты, но системе регистрации избирателей Индианы уже более 10 лет, а Юта все еще находится в процессе обновления своей системы регистрации избирателей.
3. Миннесота (33,5 из 47): только зарегистрированные избиратели имеют доступ к базе данных избирателей в Миннесоте (общественность может просматривать их в местных избирательных комиссиях), и список может использоваться только для политических / избирательных целей. Те, кто нарушает кодекс, признаются виновными в совершении уголовного преступления, что приводит к более чем годичному тюремному заключению и штрафам, которые могут превышать 10 000 долларов. Стоимость получения списка невысока (46 долларов США), но запросы должны быть детализированы, а декларация о законном использовании данных должна быть подписана. В Миннесоте также приняты все меры кибербезопасности, за исключением новой системы регистрации избирателей (но был предложен бюджет).
4. Южная Дакота (32 из 47): Доступ к спискам избирателей ограничен политическими образованиями / кандидатами, а общественность может проверять их в местных избирательных комиссиях. Стоимость электронного списка — 2500 долларов. Его можно использовать только в политических целях, а тем, кто использует его незаконно, грозит штраф до 2000 долларов и / или год лишения свободы. Также могут быть добавлены гражданские штрафы в размере до 2000 долларов. Южная Дакота не предлагает дополнительной защиты уязвимым группам.
5. Северная Дакота, Нью-Гэмпшир, Луизиана (31 из 47): все три штата сокращают доступ к списку избирателей — Северная Дакота и Нью-Гэмпшир ограничивают доступ к политическим группам / лицам, в то время как Луизиана разрешает доступ только под наблюдением в местных избирательных бюро (общественность может также смотреть в местных избирательных комиссиях в NH). Во всех штатах налагают штрафы за ненадлежащее использование и большие расходы за доступ к спискам. Ни у кого нет автоматической регистрации избирателей.

Методология

• Доступ к списку регистрации избирателей: штаты получают оценку из 3 баллов в зависимости от того, сколько людей / организаций могут получить доступ к спискам регистрации избирателей — в соответствии с законодательством штата. «Публичный» доступ может быть ограничен для жителей штата.

• Информация хранится конфиденциально: штаты получили 3 балла из 3 на основании того, какой объем данных считается «конфиденциальным» — в соответствии с законодательством штата. Оценивается на основе любого доступа к личным данным — то есть, если политическая партия имеет доступ к некоторым данным, а широкая общественность — нет, состояние оценивается только по той информации, которая остается конфиденциальной от всех.

• Использование регистрационного файла — штаты получили оценку из 3 баллов в зависимости от того, как можно использовать списки регистрации избирателей (т. Е. Только для политических / избирательных целей) — в соответствии с законодательством штата.

• Предупреждение об общедоступных данных — государства получают 3 балла, если уведомление о конфиденциальности предоставляется в онлайн-форме и / или по электронной почте. 0, если ничего не упоминается.

• Штрафы за незаконное использование данных — государства получают оценку из 5 баллов в зависимости от того, насколько суровы наказания за незаконное использование данных избирателей. Штат должен иметь конкретное наказание, указанное в его Кодексе выборов, чтобы он был засчитан здесь, или общий штраф, который применяется к четким правилам в рамках кодекса, которые не имеют конкретного наказания.

• Дальнейшие запросы конфиденциальности — штаты оцениваются на основе количества групп, которые могут получить дополнительную конфиденциальность из публичных записей, в соответствии с законодательством штата. То есть те, которые находятся под Программой конфиденциальности адресов (ACP).

• Онлайн-система — государства оцениваются в зависимости от того, защищены ли их сайты онлайн-регистрации HTTPS (1 балл) и включают ли они защиту Captcha на начальных этапах регистрации (1 балл).

• Стандарты кибербезопасности при регистрации избирателей — государства получили баллы по шести категориям с одним баллом за каждую или половиной балла за планы / обновления, которые предусмотрены в бюджете:

  • Контроль доступа, так что только авторизованный персонал может получить доступ к базе данных избирателей
  • Система обнаружения вторжений, которая следит за сетью на предмет нарушений.
  • Регулярный анализ уязвимостей в системе регистрации избирателей
  • Штат обратился к DHS или Национальной гвардии для выявления и оценки любых потенциальных угроз для базы данных / системы.
  • Сотрудники избирательных комиссий проходят обучение кибербезопасности
  • Государственная система регистрации избирателей обновлена ​​за последние 10 лет

• Стоимость для всех записей ($) — Штаты получили баллы из пяти в зависимости от того, насколько дорого обходится получение полного списка регистрации избирателей в масштабе штата. Меньшие списки не включены, равно как и распечатанные расходы (включены только электронные расходы).

• Тип формы запроса информации об избирателе — штаты получили пять баллов в зависимости от того, насколько легко получить доступ к информации об избирателях в масштабе штата и насколько конкретным может быть запрос (требуется указать конкретный округ, а не просто получить доступ к список в масштабе штата лучше с точки зрения конфиденциальности).

• Список избирателей, опубликованный в Интернете — если полный список избирателей публикуется в Интернете в течение любого периода времени (по закону), штат получает ноль. Принимая во внимание, что те, у кого нет юридического обязательства публиковать данные, получают три.

• Автоматическая регистрация избирателей — штаты получают баллы из трех в зависимости от наличия у них автоматической регистрации избирателей.

Массачусетс: Мы связались с отделом выборов по поводу формы, которую необходимо заполнить политическим партиям и т.д., Чтобы получить список. Из-за отсутствия ответа состояние было оценено на основании того факта, что доступ имеют только политические партии (поэтому необходимо предоставить подробные сведения), и что нет никаких конкретных законов, касающихся использования.

Нью-Гэмпшир: Мы связались с отделом выборов по поводу формы, которую необходимо заполнить политическим партиям и т.д., Чтобы получить список, и стоимости его получения. Из-за отсутствия ответа штат был оценен на основе недавней цитаты одной политической партии — 8327 долларов — и того факта, что доступ имеют только политические партии (поэтому необходимо предоставить подробности), и что нет никаких конкретных законов, касающихся использования.

Округ Колумбия: несмотря на то, что в календаре выборов указано, что список избирателей будет опубликован в Интернете за 14 дней до всеобщих выборов в ноябре 2020 года, регулирующий это раздел закона (Официальный кодекс округа Колумбия § 1-1001.07 (h) (2A)) гласит: был отменен. Следовательно, округ Колумбия оценивается так, как будто список избирателей не опубликован в Интернете.

Источники

Полный список источников и всю информацию по каждой категории см. Здесь: https://docs.google.com/spreadsheets/d/1QFidvrRNy3o3jOwLGxFtEyQBkF8PPslUClf0L6Om8xo/edit?usp=sharing