论文标题:
Have You been Properly Notified? Automatic Compliance Analysis of Privacy Policy Text with GDPR Article 13
论文作者:
刘爽(天津大学),赵栢杨(天津大学),郭仁杰(天津大学),孟国柱(中科院信工所,中国科学院大学),张帆(天津大学),张梅山(天津大学)
收录会议:
WWW 2021
论文链接:
https://doi.org/10.1145/1122445.1122456(正式链接,to appear)
https://tjusail.github.io/people/liushuang.html (personal version)
内容简介
随着网络和移动应用的快速发展,以及在不同领域的广泛应用,越来越多的个人数据被有意或无意地提供给不同的应用提供商。隐私政策是用户了解个人信息被收集和使用的重要媒介。
随着数据隐私保护成为一个重要的社会问题,不同国家和地区都在制定相关的法律法规,其中最具代表性的是欧盟《通用数据保护条例》(General Data Protection Regulation (GDPR))。
如图1(a)所示为 GPDR 的片段,(b)所示是一项名为 ZAO 的 APP 的隐私政策 [1],其在“数据存储期限”和“数据修改与擦除的权利”等方面违反了 GDPR。
▲ 图1 GDPR及隐私政策片段
因此,如何检测法规(如 GDPR)与隐私政策之间的合规性问题,并为数据主体(即用户)、数据收集方(即服务提供者)和监管部门提供直观的检测结果是非常重要的。
本工作的目标是解决 GDPR(第 13 章 [2])与隐私政策之间的合规性分析问题。我们将该任务建模成基于语句分类和基于规则分析的两个子任务。人工标注了一个包含 304 篇隐私政策(包含 36,610 个标注句子)的语料库,并采用三个标准语句分类器,即 SVM,LSTM 和 BERT,对我们的语料库进行基准测试。
结果显示 weighted BERT 达到了 71.78% 的 F1 值。我们对 304 篇隐私政策进行了基于规则的分析以检测合规性问题,结果显示我们的方法正确检测出 1,271 个合规性问题中的 1,164 个。我们开发了一个隐私政策合规性可视化系统,并进行了用户调研以评估我们方法的可用性。
方法
2.1 数据集构建
我们根据 GDPR 第 13 章规定的内容,以及现有隐私政策中描述的内容制定了 10 个隐私政策主题标签。同时从 Google Play 上的热门应用中收集相应的隐私政策,并对隐私政策进行筛选,剔除非英文隐私政策。并雇佣 22 个标注者严格遵守标准标注流程进行标注,得到包含 304 篇隐私政策的数据集。
收集个人数据(CPI)