基于NLP的数据处理协议对GDPR的自动化合规检查
软件工程
2023-06-21 v2
摘要
在欧洲，个人数据的处理由《通用数据保护条例》(GDPR)通过数据处理协议(DPA)进行规范。检查DPA的合规性有助于软件系统的合规验证，因为DPA是涉及个人数据处理软件开发需求的重要来源。然而，手动检查给定DPA是否符合GDPR具有挑战性，因为这需要大量时间和精力来理解并识别GDPR中与DPA相关的合规要求，随后在DPA中验证这些要求。本文中，我们提出了一种自动化解决方案，用于检查给定DPA对GDPR的合规性。在与法律专家密切互动中，我们首先构建了两件产物：(i)从与DPA合规相关的GDPR条款中提取的“应(shall)”要求，以及(ii)定义要求中法律概念的术语表。随后，我们开发了一种利用自然语言处理(NLP)技术来检查给定DPA对这些“应”要求合规性的自动化解决方案。具体而言，我们的方法自动生成DPA文本内容的短语级表示，并将其与预定义的“应”要求表示进行比较。在包含30份真实DPA的数据集上，该方法正确发现了750项真实违规中的618项，同时产生76项误报，并进一步正确识别出524项已满足的要求。因此，该方法的平均精确率为89.1%，召回率为82.4%，准确率为84.6%。相较于依赖现成NLP工具的基线，我们的方法平均准确率提升了约20个百分点。通过有限的人工验证工作，我们方法的准确率可提升至约94%。
引用
@article{arxiv.2209.09722,
title = {NLP-based Automated Compliance Checking of Data Processing Agreements against GDPR},
author = {Orlando Amaral and Muhammad Ilyas Azeem and Sallam Abualhaija and Lionel C Briand},
journal= {arXiv preprint arXiv:2209.09722},
year = {2023}
}
备注
26 pages, 5 figures, 10 tables, 1 Algorithm, Accepted for publication in TSE