使用隐私流图评估软件隐私

我们日益依赖数字服务及其提供的便利。个人数据处理是此类服务不可或缺的一部分，因此隐私与数据保护日益受到关注，各国政府已通过诸如欧盟GDPR等法规予以回应。此后，开发软件的组织负有记录其软件隐私与数据保护情况的法律义务。此项工作必须同时涉及理解代码的软件开发者和理解隐私及数据保护影响评估（DPIA）要求的组织数据保护官或法律部门。为帮助开发者与律师等非技术人员记录软件的隐私与数据保护行为，我们开发了一种自动化的软件分析技术。该技术基于静态程序分析来刻画隐私相关数据的流。分析结果可呈现为隐私流与操作的图——非技术人员亦可理解。我们认为，该技术促进了技术人员与非技术人员在记录软件隐私行为方面的协作。我们阐释了如何利用该技术产生的结果来回答DPIA所需的一系列隐私相关问题。为说明我们的工作，我们展示了将分析技术应用于安全消息服务Signal与云服务NextCloud客户端所得的详细与抽象分析结果，并展示了其隐私流图如何为撰写DPIA提供信息。