如何保护个人信息安全？天津大学提出隐私政策合规性检测工具

论文标题：

Have You been Properly Notified? Automatic Compliance Analysis of Privacy Policy Text with GDPR Article 13

论文作者：

刘爽（天津大学），赵栢杨（天津大学），郭仁杰（天津大学），孟国柱（中科院信工所，中国科学院大学），张帆（天津大学），张梅山（天津大学）

收录会议：

WWW 2021

论文链接：

https://doi.org/10.1145/1122445.1122456（正式链接，to appear）

https://tjusail.github.io/people/liushuang.html (personal version)

内容简介

随着网络和移动应用的快速发展，以及在不同领域的广泛应用，越来越多的个人数据被有意或无意地提供给不同的应用提供商。隐私政策是用户了解个人信息被收集和使用的重要媒介。

随着数据隐私保护成为一个重要的社会问题，不同国家和地区都在制定相关的法律法规，其中最具代表性的是欧盟《通用数据保护条例》（General Data Protection Regulation (GDPR)）。

如图1（a）所示为 GPDR 的片段，（b）所示是一项名为 ZAO 的 APP 的隐私政策 [1]，其在“数据存储期限”和“数据修改与擦除的权利”等方面违反了 GDPR。

▲ 图1 GDPR及隐私政策片段

因此，如何检测法规（如 GDPR）与隐私政策之间的合规性问题，并为数据主体（即用户）、数据收集方（即服务提供者）和监管部门提供直观的检测结果是非常重要的。

本工作的目标是解决 GDPR（第 13 章 [2]）与隐私政策之间的合规性分析问题。我们将该任务建模成基于语句分类和基于规则分析的两个子任务。人工标注了一个包含 304 篇隐私政策（包含 36,610 个标注句子）的语料库，并采用三个标准语句分类器，即 SVM，LSTM 和 BERT，对我们的语料库进行基准测试。

结果显示 weighted BERT 达到了 71.78% 的 F1 值。我们对 304 篇隐私政策进行了基于规则的分析以检测合规性问题，结果显示我们的方法正确检测出 1,271 个合规性问题中的 1,164 个。我们开发了一个隐私政策合规性可视化系统，并进行了用户调研以评估我们方法的可用性。

 

方法

2.1 数据集构建

我们根据 GDPR 第 13 章规定的内容，以及现有隐私政策中描述的内容制定了 10 个隐私政策主题标签。同时从 Google Play 上的热门应用中收集相应的隐私政策，并对隐私政策进行筛选，剔除非英文隐私政策。并雇佣 22 个标注者严格遵守标准标注流程进行标注，得到包含 304 篇隐私政策的数据集。

• 收集个人数据（CPI）