2026 STS 年會海報論文全文〈架構即權力：數位身分驗證架構的後設能力分析與規範重建〉
摘要
數位身分系統的治理討論長期以「資料」作為分析單位，聚焦於蒐集了哪些欄位、是否取得同意、是否符合目的特定原則。本文主張此分析方式並不精準。
在 STS 視角下，當代數位身分驗證架構具備了一種可跨脈絡連結個資與足跡、使其匯聚為單一檔案的後設能力，會使得系統中各行為者的足跡追蹤、行為連結、識別本人，在商業與合規趨力下不斷增生。使原本應當被法律保留原則畫為例外的監理、究責活動專屬的能力，被系統中公私立各方擁有。
本文承接 Lessig 的程式碼即法律與 Nissenbaum 的脈絡完整性，指出脈絡完整性的核心原則：資訊流應符合脈絡規範，若不從架構層配置能力邊界，便無法在物質層次實現。
現行「識別本人」作為日常驗證預設，並非技術限制，而是制度誘因下的合規廉價選擇，其在資訊安全與基本權利保障上皆缺乏正當性。為此，本文提出法定架構規格（statutory architectural specifications）作為規範重建路徑，主張日常驗證須基於控制權驗證、預設不可連結，並將跨脈絡解析移出系統，重建具程序摩擦的嚴格例外。
關鍵字
數位身分（digital identity）、能力治理（capacity governance）、後設能力（meta-capability）、不可連結性（unlinkability）、程序摩擦（procedural friction）、法定架構規格（statutory architectural specifications）、無須識別的安全（security without identification）、程式碼即法律（code is law）、脈絡完整性（contextual integrity）
1. 研究問題與分析方式
數位身分系統的治理討論至今主要在兩個框架內進行：一是個資保護框架，聚焦於欄位最小化、目的限制與使用者同意;二是安全框架，聚焦於身分證明強度、防詐能力與可稽核性。兩者均預設「資料」為治理與規範的單位。本文認為，在當代主流的身分驗證環境下，此種分析方式使規範易於繞過，難以充分保障使用者權利。
為此，本文引入「能力」作為治理與規範的單位。所謂「能力」，指系統中的各方在運作中可持續取得的解析、剖繪、推論、追責等。這些能力都預設了一個共同條件：不同脈絡的資料能被歸到同一主體。此類能力並非由法律文本或單一技術元件所決定，而是由發證方（issuer）與驗證方/依賴方（verifier/relying party）的商業誘因，加上風險模型、法定程序共同構成的系統性產物。
數位身分系統中的各方，之所以能夠具備上述能力，乃因既有架構允許不同脈絡、設備、帳號之間被連結。本文將這項連結可能性稱為系統架構的後設能力（meta-capability）——所謂「後設」，意指它並非與解析、剖繪、推論、追責等能力並列的一種能力，而是這些能力得以運作的前提：唯有不同脈絡的資料能被連結到同一主體，上述各項能力方有可能。架構是否保留可連結性（linkability），因此決定了系統內其他所有能力的上限。
只要這種後設能力存在，系統中各方的過度索資、偽冒、乃至當代逐漸明顯的自動化歧視等等，註定無法禁絕。
因此本文主張，數位身分系統的規範與治理標的，是系統架構的可連結性，而非個別資料。守護使用者基本權利的核心條件，在於架構是否允許不同脈絡的資料被連結成單一檔案——正是這項配置，決定了系統內的行為者能否持續製造未來的資料流、連結與推論。
2. 理論定位：程式碼即法律與脈絡完整性
本文最相近的兩條理論路線是 Lessig 的架構規制理論與 Nissenbaum 的脈絡完整性理論。本文承接兩者的核心洞見，並主張能力治理是兩者得以在數位身分場域被實質實現的條件。
2.1 程式碼即法律：架構是事前規制力量
Lessig 的架構規制理論主張，人類行為不僅受法律規範，也受社會規範、市場與架構（Architecture / Code）的約束。架構與程式碼是一種事前（ex ante）的規制力量，直接決定行動在數位環境中是否可行、是否昂貴、是否可見、是否可被追蹤（Lessig， 1999；Lessig， 2006）。對數位身分而言，這意味著權利並非僅存在於法律文字之中，而是「在技術架構中被賦形」——若架構要求使用者必須留下可連結痕跡才能行使權利，權利的實質內容即被架構所改寫。
此一路線在 Reidenberg 的 Lex Informatica 與 Katyal 的 Lex Reformatica 中持續演化：前者指出技術能力與系統設計會形成資訊流的規則，後者則將問題推進到資訊基礎設施改革，而不僅止於討論技術層面的自律（Reidenberg， 1998；Katyal， 2026）。本文將這項框架應用於數位身分場域，主張足跡追蹤、身分解析、身分剖繪、以至於偽冒等各種侵犯使用者基本權利、破壞系統安全的行為可能性，皆受數位身分系統的架構約束。只要架構保留跨脈絡連結這項後設能力，基本權利與系統安全都無法真正獲得保障。
2.2 脈絡完整性：隱私是符合脈絡規範
Nissenbaum 的脈絡完整性（Context Integrity, CI）理論主張：隱私與否的判斷，並非取決於使用者是否同意，而在於資訊流是否符合脈絡資訊規範（contextual informational norms），其判斷參數包括主體、發送者、接收者、資訊類型與傳輸原則（Nissenbaum， 2004；Nissenbaum， 2010）。
本文承接 CI 的推論方式，主張要落實 CI 所要求的脈絡規範符合性，必須在架構上管理系統能力。以瀏覽器指紋（browser fingerprinting）為例：即便使用者清除 Cookie、即便相關隱私規範已然存在，行為者仍可透過裝置與瀏覽器特徵的組合，在健康、金融、新聞、性別認同、電商、教育等不同脈絡中對同一使用者進行持續識別。原本應彼此隔離的脈絡，因而被連結為同一主體的連續紀錄——個資傳輸無法符合脈絡限定的規範，並非因為規範不存在，而是因為架構在物質層次允許跨脈絡連結（Sivan-Sevilla and Poudel， 2024）。
這正揭示了本文的核心論點：若系統能力未在架構層被約束，脈絡規範即便在法律文字上存在，也無法在物質層次被滿足。規範的失效並非源於文字不周，而是源於架構預設允許持續連結——在這樣的架構下，任何下游的合規努力，最終都難以阻止跨脈絡識別的發生。
3. 核心機制分析
數位身分治理問題可以分析為四個層次：系統在架構上的後設能力，如何導致跨脈絡資訊流動、流動如何擴張系統可被使用的權力、權力如何使既有規範概念失效、以及規範應如何重建。
3.1 第一層：能力配置決定跨脈絡資訊流動（Capacity Configuration Determines Cross-Context Flows）
跨脈絡資訊流動不是行為者的選擇，而是能力配置的必然結果。
首先，架構決定系統是否具備可連結性這項後設能力。以技術物的角度，數位身分的核心問題在於「這個系統能夠產生與行使哪些能力。每個能力由誰持有、何時能用、成本多低、是否留下可救濟的痕跡」。如第 1 節所述，系統最關鍵的後設能力是可連結性（linkability）：將分散在不同服務、不同時間、不同脈絡的足跡與個資彼此連結，使其匯聚成（或持續強化）一份穩定的單一檔案。本文採用 Pfitzmann and Hansen 的術語傳統，將可連結性理解為觀察者能以超越隨機猜測的機率，區分兩項資料是否來自同一來源的能力（Pfitzmann and Hansen， 2010）。
可連結性的有無，由架構配置決定，先於任何人如何使用它。舉例而言，只要驗證仰賴的是系統端的識別符或資料，而非使用者端的資格證據，系統就能將每次登入、驗證、請求服務的事件逐步累積成一份可被反覆調用的檔案。這裡的關鍵不在於某一次收集了什麼欄位，而在於連結的依據握在系統端，而非使用者端。同理，當架構不要求驗證必須是不可連結的控制權驗證，而允許以資料收集模式進行，每一次驗證就成為一次對單一檔案的餵養。
只要規範允許這項後設能力存在，市場機制就會驅使各方持續跨脈絡索取資訊。過程完全不需要刻意設計，只要資訊能夠連結、或用來建立一份穩定的檔案，就構成各方持續索取的結構誘因。其具體形式包括：以比對使用者真實身分完成驗證，是各方行為者最便宜的合規方案;中介商為降低依賴方的合規成本，而提供跨脈絡的整合身分服務;驗證系統為滿足防詐需求，而持續擴張對使用者行為的觀測。三者的共同形式是：當系統具備可將資訊連結成單一檔案的能力，跨脈絡索取就成為理性選擇——規範對該後設能力的「允許」，因此等同於市場條件下對跨脈絡索取的「促成」。
因此，跨脈絡資訊流動是能力配置的結果，而非行為的偏差。可連結性這項後設能力由架構配置而存在。此能力一旦在規範上被允許，便由市場機制必然轉為各方的持續索取與實際流動。兩者結合，跨脈絡資訊流動的歸責對象就不是某個濫用資料的主體、不是某個有意監控的設計者、也不是未盡注意的使用者，而是允許該後設能力存在的能力配置與規範本身。
這個歸責轉移有直接的理論後果。在 CI 框架中，跨脈絡的資訊流動本應是逐案稽核;但當流動是架構的必然產物，逐案稽核的作法便只會使稽核成本如打地鼠一樣逐漸擴大。這是架構層的問題，不是行為層的問題;而資料治理框架恰好只能在行為層運作：它能要求每一次蒐集符合最小化、每一次處理標記目的，卻無法觸及「系統是否一開始就被允許具備可連結性」這個先於所有蒐集的配置問題。
3.2 第二層：跨脈絡流動擴張系統權力（Power Capacity Expansion）
當跨脈絡資訊流動成為架構的必然產物，其後果不是「多一筆資料」，而是系統本身可被任何組織或主體使用的權力擴張：更容易辨識、更容易推論、更容易預測、更容易進行阻斷或差別對待，且同時讓上述干預更難被使用者察覺、更難尋求救濟。
法治國家以「程序摩擦」（procedural friction）保護自由：調閱資料須是針對特定目的的單次行為、跨機關介接須有獨立授權、查核權限必須留下可稽核紀錄。程序摩擦是保護權利的物質條件。然而當系統具備前述的可連結性，這些原本帶有時間與範圍界限的例外查核，會在市場與合規誘因下變成低摩擦的日常服務——經濟誘因自然摧毀「正常使用/例外監控」的程序摩擦界線。法律文字依然存在（警察仍需令狀、跨機關介接仍須授權），但其所預設的物質性條件（連結的高成本、跨脈絡查詢的可見性、查核權限的可追蹤性）已在架構層被消解。法律的作用條件已被掏空，但法律文字尚未察覺（Citron， 2008；Crawford and Schultz， 2014）。
3.3 第三層：規範概念的操作單位錯置（Operational Unit Displacement）
傳統規範工具的預設操作單位是「相對離散、目的明確、可被告知、可被同意、可被追蹤的獨立事件」。然而，當架構未從上層限制系統能力，治理對象在實作中演化為「持續性、跨脈絡、低摩擦」的底層能力。當規範工具被套用到後者，便發生系統性的概念偏移。以下三例展示既有治理工具如何被系統的持續能力所掏空。
同意（consent）：傳統理解為個資處理的合法基礎之一，其規範效力仰賴特定、知情、自由且明確的授權條件（European Parliament and Council， 2016；European Data Protection Board， 2020）。當系統成為基礎設施依賴（infrastructural dependency）、缺乏等價替代方案、且跨脈絡資訊流動因架構特性而成本極低，單次同意已無法承擔主要的治理功能。它退化為形式化的通行條件——使用者所「同意」的並非具體的資料處理，而是「進入此基礎設施」的條件本身。
身分驗證（identity verification）：日常驗證或認證原可被設計為在特定時點確認某項資格、憑證或控制權是否有效的判斷，而不必每次識別自然人（Temoshok et al.， 2025a；Temoshok et al.， 2025b）。但當驗證被架設在可連結的架構之上，每一次驗證除了當下的判斷以外，何時、何地、用哪個裝置、向哪個服務驗證，也同時成為得以被寫入單一檔案的行為紀錄。
問責（accountability）：傳統理解為事件發生時「找得到責任人」。但真正需要的，是在特定行為發生問題時，系統有可通知、可制裁、可申訴、必要時依法升級的責任端點。換言之，問責是一種行為者向特定 forum 說明、辯護並可能承擔後果的制度關係，而不是平時持續持有可連結個人的完整資料（Bovens， 2007）。由於規範並未釐清「責任端點」與「尋找方式」應如何構成，服務提供商在既有慣性下，往往為了「確保」問責，而要求那些能夠常態性找到本人的資料，例如電話與地址，也因此自然將足跡與個資碎片彼此連結。問責於是從「事件發生時定位一個責任端點」這個單一要求，蠕變為「平時即持續持有可連結個人的完整資料」這項常態能力。
在這三個例子中，相關規範均存在，卻因為規範層次的設定而只能處理「單一事件」，無法因應「系統整體能力」的傷害，甚至反過來加劇其傷害。
3.4 第四層：規範策略——從行為禁止到法定架構規格
若數位身分帶來的權力擴張是由架構能力（architectural capacity）所產生，則法律的規範手段不能僅停留在「禁止濫用行為」。規範必須直接介入基礎設施的架構，規定系統能力如何被建構、預設狀態如何配置、以及例外權力所需的程序摩擦如何在架構上重建。這些都必須是法定架構規格（statutory architectural specifications），而非最佳實踐或產業自律（Lessig， 1999；Reidenberg， 1998；Katyal， 2026）。
此一規範策略的核心，是在架構層重建程序摩擦。例外性的揭露身分與追究責任能力，不應該被取消——這會使問責失去物質基礎;但這些能力必須被外部化、個案化、法定授權化，在架構上保留程序摩擦，作為例外能力得以被使用的物質條件。
4. 日常識別本人是一種設計選擇
4.1 不識別本人的驗證技術已成熟
不識別本人即可完成的驗證技術，目前已成熟。此技術傳統源自 Chaum 提出的「無須識別的安全」（security without identification）：透過密碼學權杖，讓使用者能在不同組織與脈絡下，以不可互相連結的識別符（unlinkable pseudonyms）證明特定陳述、資格、關係（Chaum， 1985）。
這類技術的關鍵，在於將「資格證明」（「證明你滿足某項條件」）與「身分識別」（「證明你是某個特定的人」）徹底解耦。使用者可以證明自己年滿十八歲、具有某項資格、或屬於某個群體，而不必同時暴露完整身分;不同次驗證之間，也不必留下可被串接的記號。在當代，匿名憑證（anonymous credentials）、基於屬性的隱私憑證（Privacy-ABC）、以及某些保護隱私的身分驗證器（authenticator）等等，皆已具備大規模部署的條件;零知識證明（zero-knowledge proof）等技術也正在成熟當中（Camenisch and Lysyanskaya， 2001；Rannenberg et al.， 2015；Groth， 2016）。
4.2 既有架構繼續識別本人，並非技術問題
既然技術可行，既有的數位身分驗證架構為何仍以識別本人作為日常驗證的預設?答案不在技術層面。
如第 3.1 節所示，當系統的整體能力邊界未被法律規範，行為者就會選擇以系統現有能力，滿足自身的合規與商業需求，而「比對使用者真實身分」是最便宜的合規方案。既有架構選擇「識別本人」作為日常驗證，並非技術的必然，而是欠缺法定架構下，為了追求「最低合規成本」所形成的制度惰性。
4.3 從資訊安全與基本權利保障討論正當性
換言之，當前數位身分驗證架構中的日常識別，是一個原本可以不需要的設計選擇。這種選擇的正當性，可由兩個獨立切入點分別檢驗。
首先是資訊安全。數位身分驗證若讓每個驗證節點持有可連結至自然人的資料，即違反資訊安全中的最小權限原則與最小共用機制原則：節點取得了完成資格驗證所不必要的能力，整個系統也依賴一套共同可連結的機制，使原本局部的妥協具備跨脈絡擴散條件（Saltzer and Schroeder， 1975；Anderson， 2020）。相對地，若日常驗證僅仰賴使用者端的資格證據，並依每次請求配置最小必要權限，驗證仍可完成，但單一節點無法藉由共同識別符或可連結資料，把一次妥協擴張為跨脈絡失效（Rose et al.， 2020；Temoshok et al.， 2025b）。因此，可連結的身分架構不是較安全的設計，而是把完成驗證所不必要的解析能力預先分配給各驗證節點，並使局部失效取得全域化的技術條件。
其次是基本權利保障。誠如第 2.2 節所述，脈絡完整性要求個資索取須符合脈絡規範。但只要架構允許不須申請即可使用的跨脈絡連結能力，脈絡規範即便成為書面規定，仍無法在物質層次被滿足。只要系統架構允許市場實作跨越脈絡索取個資與通訊足跡，各主管機關的規範對象，均已逃離該主管機關實際能規制的範圍;甚至若自然人必須先識別本人才能行使權利，基本權利的實質內容已被架構先行重構（Nissenbaum， 2004；Sivan-Sevilla and Poudel， 2024）。
兩個切入點各自獨立。即便完全擱置其中之一，僅就另一個切入點，日常識別本人的設計選擇也已缺乏正當性。
5. 規範重建：法定架構規格
5.1 法定架構規格的三項要件
傷害發生在行為之前的架構層，因此規範手段不能只停在「禁止事後濫用」。規範的標的不是行為，而是架構：哪些能力可以被建構、預設狀態如何配置、例外權力需要多少程序摩擦。而且這些規定必須具備法律強制力，不能只是最佳實踐（best practice）或產業自律——因為自律無法對抗第 3.1 節所揭示的市場誘因（Reidenberg， 1998；Katyal， 2026）。
要件一：日常驗證須僅仰賴使用者端的資格證據，不得識別本人，亦不得仰賴系統端的識別符或資料。
藉此，日常驗證得以在不認出特定自然人的情況下完成，系統不再於每次互動中取得可餵養單一檔案的素材。
要件二：數位身分系統須在架構上具備不可連結性（unlinkable by default）。
藉此，即使各方有索取資訊的誘因，所索取的資訊也無法被歸併至同一主體，後設能力在源頭即不存在。
要件三：連結足跡與資料的能力，須移出數位身分系統，設計為具程序摩擦的嚴格例外。
藉此，問責、救濟、監理等正當的解析需求仍可被滿足，但每一次解析都必須個案啟動、留下紀錄、付出程序成本，而無法成為系統內建的日常服務。
這三項要件共同確立一個新的預設：日常的可連結、可識別不再是中立的技術起點，而是需要被證成的設計選擇。因此，真正需要被證明的，不再是人民「為何可以不識別本人」，而是系統設計者「為何在這個場景，較低侵入的方式不足以達成目的」。規範的起點，因此不是事後禁止濫用，而是事前規定架構;舉證責任，也因此從使用者移轉至系統。
5.2 權利行使流程成為新攻擊面
近年實證研究反向證明了能力治理的必要性。針對 GDPR 第 15 條主體存取請求（SAR）的研究發現，在超過 300 個資料控制者中，約 50.4% 在處理請求者身分確認或資料傳送的階段存在缺陷（Bufalieri et al.， 2020）。針對加州 543 個正式登記資料仲介商的調查則發現，超過 40% 完全無回應;部分有回應者甚至要求請求人提供其原本並未持有的身分驗證資訊，使請求者必須暴露更多身分材料才能行使其資料權利（van Kempen et al.， 2025）。另有針對加州 Delete Act 的合規評估指出，僅約 9% 的仲介商完全符合透明度要求;在 250 個流程審計中，約 43% 的設計使消費者無法行使所有隱私權，約 64% 至少包含一項造成重大摩擦的設計特徵（Gueorguieva et al.， 2026）。
這些資料顯示，只要系統並未在架構層次上設計為不可連結，權利行使流程本身會被迫回到由資料控制者主導的識別流程——使用者必須暴露更多個人資訊或足跡才能行使權利。由於失靈根源是系統內各組織能夠不斷發展出的能力，再多的後續合規要求與流程治理都只會增加成本，而且無法持續維持系統安全與權利保障。
6. 結論
本文的核心主張，是將數位身分傷害的歸責對象，從行為移轉至架構。跨脈絡資訊流動並非某個主體的濫用，而是「架構允許可連結性」加上「市場機制」所共同產生的必然結果。這意味著：以行為為標的的治理工具——同意、濫用裁罰、事後合規稽核——在結構上瞄錯了對象，因為傷害發生在行為之前的架構層。即所謂「架構即權力」。
由此可導出一個規範條件：脈絡完整性、法律保留、基本權利保障等規範理論所要求的保護，無法僅在法律文字的層次被滿足，它們有一個位於架構層的物質前提。而不識別本人的驗證技術已然成熟，證明這個前提在技術上可以達成。因此，繼續建造可連結的系統，並不是中立的技術預設，而是一個讓上述規範理論的目標無法被實現的設計選擇。
規範重建的方向，因此不是新增更多行為規則，而是轉移治理單位：從「系統蒐集了哪些資料」，轉移到「系統被允許具備哪些能力」。能力治理的具體要求，即本文提出的三項法定架構規格——日常驗證僅仰賴使用者端的資格證據、系統預設不可連結、跨脈絡解析作為具程序摩擦的嚴格例外。
本文的主張有其界限。所針對者，是具備不須申請即可使用之跨脈絡連結能力的特定架構，而非所有數位身分系統皆導向監控。
同時，控制權驗證與不可連結預設雖能消解日常識別的需求，卻不會自動解決註冊、撤銷、高風險例外處理、裝置遺失與代理使用等環節;這些仍需嚴密的制度設計與系統外的治理機制加以承接。
參考文獻
Anderson， Ross (2020). Security Engineering： A Guide to Building Dependable Distributed Systems， 3rd ed. Indianapolis： Wiley. https：//www.cl.cam.ac.uk/arc... (Retrieved： June 23， 2026).
Bovens， Mark (2007). Analysing and Assessing Accountability： A Conceptual Framework. European Law Journal 13(4)： 447-468.
Bufalieri， Luca， Massimo La Morgia， Alessandro Mei and Julinda Stefa (2020). GDPR： When the Right to Access Personal Data Becomes a Threat. In 2020 IEEE International Conference on Web Services (ICWS)， pp. 75-83. https：//doi.org/10.1109/ICWS...
Camenisch， Jan and Anna Lysyanskaya (2001). An Efficient System for Non-transferable Anonymous Credentials with Optional Anonymity Revocation. In Advances in Cryptology — EUROCRYPT 2001， edited by Birgit Pfitzmann. Berlin： Springer， pp. 93-118.
Chaum， David (1985). Security without Identification： Transaction Systems to Make Big Brother Obsolete. Communications of the ACM 28(10)： 1030-1044.
Citron， Danielle Keats (2008). Technological Due Process. Washington University Law Review 85(6)： 1249-1314.
Crawford， Kate and Jason Schultz (2014). Big Data and Due Process： Toward a Framework to Redress Predictive Privacy Harms. Boston College Law Review 55(1)： 93-128.
European Data Protection Board (2020). Guidelines 05/2020 on Consent under Regulation 2016/679， Version 1.1. https：//www.edpb.europa.eu/o... (Retrieved： June 23， 2026).
European Parliament and Council (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016. Official Journal of the European Union L119： 1-88.
Groth， Jens (2016). On the Size of Pairing-based Non-interactive Arguments. In Advances in Cryptology — EUROCRYPT 2016， Part II， edited by Marc Fischlin and Jean-Sébastien Coron. Berlin： Springer， pp. 305-326.
Gueorguieva， Anna-Maria， Jennifer King， Apoorva Panidapu and Daniel E. Ho (2026). Privacy Without Remedy： An Assessment of Data Broker Compliance with California Privacy Law. In The 2026 ACM Conference on Fairness， Accountability， and Transparency (FAccT ’26)， June 25-28， 2026， Montreal， QC， Canada. New York： ACM， 35 pp. https：//doi.org/10.1145/3805...
Katyal， Sonia K. (2026). Lex Reformatica： Five Principles of Policy Reform for the Technological Age. Berkeley Technology Law Journal. Forthcoming. https：//arxiv.org/abs/2601.1... (Retrieved： June 23， 2026).
Lessig， Lawrence (1999). Code and Other Laws of Cyberspace. New York： Basic Books.
—— (2006). Code： Version 2.0. New York： Basic Books.
Nissenbaum， Helen (2004). Privacy as Contextual Integrity. Washington Law Review 79(1)： 119-158.
—— (2010). Privacy in Context： Technology， Policy， and the Integrity of Social Life. Stanford： Stanford University Press.
Pfitzmann， Andreas and Marit Hansen (2010). A Terminology for Talking about Privacy by Data Minimization： Anonymity， Unlinkability， Undetectability， Unobservability， Pseudonymity， and Identity Management， Version 0.34. http：//dud.inf.tu-dresden.d... (Retrieved： June 23， 2026).
Rannenberg， Kai， Jan Camenisch and Ahmad Sabouri， eds. (2015). Attribute-based Credentials for Trust： Identity in the Information Society. Cham： Springer.
Reidenberg， Joel R. (1998). Lex Informatica： The Formulation of Information Policy Rules Through Technology. Texas Law Review 76(3)： 553-593.
Rose， Scott， Oliver Borchert， Stu Mitchell and Sean Connelly (2020). Zero Trust Architecture. NIST Special Publication 800-207. Gaithersburg， MD： National Institute of Standards and Technology. https：//doi.org/10.6028/NIST...
Saltzer， Jerome H. and Michael D. Schroeder (1975). The Protection of Information in Computer Systems. Proceedings of the IEEE 63(9)： 1278-1308.
Sivan-Sevilla， Ido and Parthav Poudel (2024). Web Privacy based on Contextual Integrity： Measuring the Collapse of Online Contexts. arXiv：2412.16246. https：//arxiv.org/abs/2412.1... (Retrieved： June 23， 2026).
Temoshok， David， James L. Fenton， Yee-Yin Choong， Naomi Lefkovitz， Andrew Regenscheid， Ryan Galluzzo and Justin P. Richer (2025a). Digital Identity Guidelines： Authentication and Authenticator Management. NIST Special Publication 800-63B-4. Gaithersburg， MD： National Institute of Standards and Technology. https：//doi.org/10.6028/NIST...
Temoshok， David， Justin P. Richer， Yee-Yin Choong， James L. Fenton， Naomi Lefkovitz， Andrew Regenscheid and Ryan Galluzzo (2025b). Digital Identity Guidelines： Federation and Assertions. NIST Special Publication 800-63C-4. Gaithersburg， MD： National Institute of Standards and Technology. https：//doi.org/10.6028/NIST...
van Kempen， Elina， Isita Bagayatkar， Pavel Frolikov， Chloe Georgiou and Gene Tsudik (2025). Consumer Beware! Exploring Data Brokers’ CCPA Compliance. arXiv：2506.21914. https：//arxiv.org/abs/2506.2... (Retrieved： June 23， 2026).