评估阿拉伯王国个人数据保护法在电子商务网站中的合规性：来自人类和大语言模型分析的见解与经验教训

2024年，沙特阿拉伯个人数据保护法（PDPL）正式实施。然而，针对其实施情况的工作仍寡言少语。本文我们针对100家在沙特阿拉伯运营的电子商务网站，对其进行PDPL合规性分析，考察是否存在隐私政策，以及如果存在，政策是否声明了涉及个人数据权利和实践的四项内容：1）个人数据保留期限，2）请求销毁个人数据的权利，3）请求获取个人数据副本的权利，以及4）投诉机制。我们的结果显示，尽管在国家层面上有意识提升和支持努力，但我们数据集中大量电子商务网站并未完全遵守规定：我们数据集中的仅有31%的网站在其隐私政策中声明了所有四项考察内容。即使隐私政策包含此类声明，仍有相当比例的政策未覆盖所需的细致细节。其次，基于搜索结果排序，本数据集中大多数高排名电子商务网站以及托管在本地电子商务托管平台的网站，其不合规率显著高于中低排名网站以及不托管在本地电子商务平台的网站。第三，我们评估了大语言模型（LLM）作为隐私政策分析自动化工具，以衡量其对PDPL的合规性。我们强调了大语言模型的潜力，并建议改进LLM基于自动分析隐私政策的考虑因素。我们的结果为理解数据保护法律在非西方语境中的实施障碍提供了新的一步。我们为政策制定者、监管机构、网站所有者和开发者提供了建议，以改进数据保护实践并自动化合规监控。