A BERT-based Empirical Study of Privacy Policies' Compliance with GDPR
Warwick Manufacturing Group, University of Warwick（华威大学华威制造集团）
本研究针对5G网络隐私政策的GDPR合规性与可读性问题，收集近70家5G MNO的隐私政策，用基于BERT的模型分类发现51%企业高度合规，同时通过可读性分析证实多数政策可读性不足，为5G提供商优化隐私政策提供实证依据。
2024-07-09 cs.AI cs.CR
Longitudinal Compliance Analysis of Android Applications with Privacy Policies
当代移动应用程序（app）被设计为跟踪、使用和共享用户的数据，通常未经他们的同意，这导致潜在的隐私和透明度问题。为了调查移动应用程序在收集用户信息方面是否一直是（不）透明的，我们对268个Android应用程序的历史版本进行了纵向分析。这些应用程序包括2008年至2016年期间的5，240个应用程序发布或版本。我们检测应用程序的行为与隐私政策中规定的数据汇集使用之间的不一致，以揭示合规性问题。我们利用机器学习技术对隐私政策文本进行分类，以识别收集和/或共享用户个人信息（如电话号码和电子邮件地址）的所谓做法。然后通过静态和动态分析揭示应用程序的数据泄漏。随着时间的推移，我们的结果显示，隐私政策中未披露的应用程序数据汇集做法的数量稳步增加。这种行为尤其令人不安，因为隐私政策是描述应用程序隐私保护做法的主要工具。我们发现，较新版本的应用程序可能比以前的版本更不兼容。据称与实际数据做法之间的差异表明，隐私政策往往与应用程序的行为不一致，从而违背了用户安装应用程序时的“通知和选择”原则。
2021-07-28 cs.CR
Towards Software-Defined Data Protection: GDPR Compliance at the Storage Layer is Within Reach
在大型数据处理应用程序中执行数据保护和隐私规则变得越来越重要，特别是在GDPR和类似监管框架的背景下。大多数现代数据处理都发生在分布式存储层之上，保护这一层免受意外或恶意滥用对于确保全球隐私保障至关重要。然而，性能开销和额外的复杂性通常被认为是显著的-在这项工作中，我们描述了一条解决这两个挑战的前进道路。我们提出了"软件定义的数据保护"（SDP），采用"软件定义的存储"方法来解决非性能方面的问题：可信的控制器将公司和应用程序特定的策略转换为部署在存储节点上的一组规则。这些，反过来，适用于线率的规则，但不采取任何决定自己。这种方法避免了请求级执行经常更改的策略，并允许存储节点更有效地实现后者。尽管存储内处理带来了挑战，主要是因为它可能危及线速处理，但我们认为，由于SDP引入的关注点分离，今天的智能存储解决方案已经可以实现所需的功能。我们强调了仍然存在的挑战，特别是信任存储节点的挑战。在我们能够在云环境中广泛采用之前，这些问题需要得到解决。
2020-08-11 cs.CR cs.CY cs.SY
CBCMS: A Compliance Management System for Cross-Border Data Transfer
Institute of Computing Technology, Chinese Academy of Sciences（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Fuxi Institution（伏羲研究院）；Center for Internet Governance, Tsinghua University（清华大学互联网治理中心）
本文提出CBCMS，用于统一管理多司法管辖区的数据处理政策，支持实时高并发处理，通过Policy Definition Language和Compliance Policy Generation Model实现高精度合规政策生成。
2024-12-12 cs.CR
ML Privacy Meter: Aiding Regulatory Compliance by Quantifying the Privacy Risks of Machine Learning
National University of Singapore（新加坡国立大学）
当使用敏感数据构建机器学习模型时，组织应确保在此类系统中处理的数据得到充分保护。对于涉及个人数据机器学习的项目，GDPR第35条要求其执行数据保护影响评估（DPIA）。除了通过安全漏洞非法访问数据的威胁外，机器学习模型还通过模型预测和参数间接揭示数据，从而对数据构成额外的隐私风险。信息专员办公室（英国）和国家标准与技术研究所（美国）发布的指南强调了模型数据面临的威胁，并建议组织考虑和估计这些风险，以遵守数据保护法规。因此，迫切需要一种可以量化模型数据隐私风险的工具。在本文中，我们专注于这种间接泄漏的训练数据从机器学习模型。我们提出了ML Privacy Meter，这是一个可以通过最先进的成员推断攻击技术量化模型数据隐私风险的工具。我们讨论了该工具如何帮助从业者在部署机器学习模型时遵守数据保护法规。
2020-07-18 cs.CR cs.LG
Measuring NIST Authentication Standards Compliance by Higher Education Institutions
本文评估美加 135 所高校对 NIST SP 800-63 四项认证标准的合规性，发现多因素认证广泛但未普及，且过时密码与知识认证做法仍常见。
2025-06-09 cs.CR cs.CY
An Empirical Evaluation of GDPR Compliance Violations in Android mHealth Apps
《通用数据保护条例》（GDPR）旨在提供更好的隐私保护。如果应用程序控制用户的个人数据，则需要符合GDPR。然而，GDPR列出了一般规则，而不是关于如何开发满足要求的应用程序的确切分步指南。因此，现有应用程序中可能存在违反GDPR合规的情况，这将对应用程序用户构成严重的隐私威胁。在本文中，我们以移动健康应用程序（mHealth应用程序）为窥视孔，检查Android应用程序中GDPR合规性的现状。我们首先提出了一个名为\mytool的自动化系统，通过识别应用程序隐私政策中声明的数据实践和应用程序代码中的数据相关行为，弥合GDPR的一般规则和应用程序实现之间的语义差距。然后，基于\mytool，检测了隐私策略不完整、数据汇集不一致、数据传输不安全等三类GDPR合规违规行为。我们对796个移动健康应用程序进行了实证评估。结果显示，有189家（23.7%）没有提供完整的隐私政策。此外，59个应用程序通过不同的措施收集敏感数据，但其中46个（77.9%）包含至少一种不一致的收集行为。更糟糕的是，在59个应用程序中，只有8个应用程序试图确保收集数据的传输安全性。但是，它们都包含至少一个加密或SSL误用。我们的工作暴露了严重的隐私问题，以提高应用用户和开发人员的隐私保护意识。
2020-08-14 cs.CR cs.SE
Healthcare Policy Compliance: A Blockchain Smart Contract-Based Approach
针对电子健康记录场景下医疗政策合规难的问题，提出基于区块链智能合约的访问控制模型，整合知情同意到PPA中，通过PoC共识实现审计验证，强化合规性与溯源性，提升流程透明度与问责制。
2023-12-15 cs.CR
AudAgent: Automated Auditing of Privacy Policy Compliance in AI Agents
Rochester Institute of Technology（罗切斯特技术学院）；University of Massachusetts Lowell（马萨诸塞大学洛厄尔分校）
AudAgent通过自动化隐私审计工具，实时监控AI代理的数据实践，确保其符合声明的隐私政策，并可视化检测到的隐私违规行为。
2026-03-04 cs.AI cs.CR
Brokering Policies and Execution Monitors for IoT Middleware
基于事件的系统是许多基于云的物联网（IoT）平台的核心。Broker体系结构风格和发布者-订阅者设计模式的这种组合为智能设备提供了一种相互通信和协调的方式。这些基于云的物联网框架的当前设计缺乏以下措施：（i）保护设备免受恶意云断开的影响，（ii）在通信方之间实施信息流控制，以及（iii）在存在受损设备的情况下实施协调协议。在这项工作中，我们建议扩展模块化的基于事件的系统架构的Fiege等人，纳入经纪政策和执行监测，以应对上述三项保护挑战。我们形式化了我们的保护方案的操作语义，探讨了如何使用该方案来执行BLP风格的信息流控制和RBAC风格的保护域，在开源MQTT代理中实现了该建议，并评估了保护机制的性能影响。
2018-09-27 cs.CR
Modelling Technique for GDPR-compliance: Toward a Comprehensive Solution
本文提出一种GDPR合规建模的全面解决方案，通过将GDPR原则与STRIDE和LINDDUN技术结合，构建新型数据流图与知识库并利用推理引擎识别不合规威胁，在远程医疗系统中验证了其有效性。
2024-04-22 cs.CR
On the conformance of Android applications with children's data protection regulations and safeguarding guidelines
本文检查了Android应用对GDPR及英欧儿童在线保障指南的遵守情况，发现不合规应用数量依然显著，并讨论了自动化合规验证与在线安全风险评估的相关性、挑战及方向。
2023-05-17 cs.CR cs.CY
PrivComp-KG : Leveraging Knowledge Graph and Large Language Models for Privacy Policy Compliance Verification
University of Texas at El Paso（德克萨斯大学埃尔帕索分校）；Texas A&M University Central Texas（德克萨斯农工大学中央德克萨斯分校）；University of Maryland Baltimore County（马里兰大学巴尔的摩县分校）
本文提出PrivComp-KG，一种结合知识图谱与大语言模型的方法，通过检索增强生成将隐私政策与监管规则关联并填充至知识图谱，以查询验证供应商隐私政策的合规性。
2024-04-30 cs.AI cs.CR
Personal Data Protection in AI-Native 6G Systems
本文探讨AI原生6G系统中的个人数据保护挑战，分析主要隐私风险并提出缓解策略，强调在6G标准中嵌入隐私设计原则以确保GDPR合规。
2024-11-05 cs.CR cs.ET cs.NI
PriEval-Protect: A Unified Framework for Privacy Evaluation and Protection in Healthcare Systems
National Institute of Applied Science and Technology INSAT（国立应用科学与技术学院）；Efrei Research Lab, Efrei, Paris-Panthéon-Assas University（巴黎-潘特翁-阿萨斯大学埃弗雷伊研究实验室）；LARIA Research Lab, National School Of Computer Science ENSI（国立计算机科学学院拉里亚研究实验室）
针对医疗系统隐私问题，PriEval-Protect框架分两阶段统一评估与缓解隐私风险。评估阶段结合法规评分与技术分析得出综合风险评分，保护阶段依风险推荐对策，实现法规与数据级风险分析的衔接，结果具合规性与可解释性。
2026-07-16 cs.CR
The Data Protection Officer, an ubiquitous role nobody really knows
在所有网络安全和隐私工作者中，数据保护官（DPO）介于审计公司合规性的人员和担任管理顾问的人员之间。一个必须精通法律，管理和网络安全技术技能的人。我们描述了这个角色如何处理日常场景中的社会技术风险。
2022-12-15 cs.CR cs.CY
Mining Domain-Based Policies
本文提出从访问日志挖掘基于域的策略，构建理论并给出最优构造算法，证明DBPM和DTEPM为NP完全，并设计MaxSAT编码进行实证评估。
2023-12-25 cs.CR
Evaluating Medical IoT (MIoT) Device Security using NISTIR-8228 Expectations
医疗机构（从小型诊所到大型HDO）如何评估临床环境中使用的医疗物联网（MIoT）的网络安全和隐私保护的遵守情况？本文提出了一种使用美国国家标准与技术研究所（NIST）的指导进行这种评估的方法。通过应用NISTIR 8228期望，可以定量评估网络安全和隐私保护，并确定与推荐标准的相对符合性。这种方法允许组织评估MiOT设备对IT系统构成的风险水平，并确定是否允许其在医疗保健/IT环境中使用。本文回顾了物联网/MiOT网络安全和隐私保护的现状，使用历史和当前的行业指南和最佳实践;联邦机构的建议; NIST出版物;和联邦法律。然后，它介绍了物联网/MiOT设备和“传统”（或经典）信息技术（IT）硬件之间的相似性和差异，并列举了物联网/MiOT对网络安全和隐私保护构成的几个挑战。最后，提供了一种评估网络安全和隐私保护的实用方法，以及验证评估结果的增强功能。这样做将证明其总体符合NIST指南和HIPAA/HITECH要求。
2021-05-25 cs.CR
PolicyLR: A Logic Representation For Privacy Policies
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；Langroid（朗格罗伊德）
提出PolicyLR范式，通过两阶段翻译与蕴含过程将隐私策略转换为机器可读的逻辑表示，实现0.91精确率和0.88召回率，支持合规性检查、不一致性检测和隐私比较购物等下游任务。
2024-08-27 cs.CL cs.CR
Data Protection through Governance Frameworks
本文探讨数据治理框架在数据保护中的作用，分析其核心原则、实践及合规要求，结合行业案例研究实施挑战与优势，旨在为组织利用该框架保障数据安全与负责任使用提供全面指导。
2025-01-21 cs.CR cs.CY
PrivSTRUCT: Untangling Data Purpose Compliance of Privacy Policies in Google Play Store
The University of Sydney, Australia（悉尼大学，澳大利亚）；University of New South Wales, Australia（新南威尔士大学，澳大利亚）
本文提出PrivSTRUCT框架，通过解构隐私政策结构化信息，提升数据用途提取的准确性，发现开发者在使用全局定义用途时，第一方数据用途虚报概率更高。
2026-04-24 cs.AI cs.CR
Associating eHealth Policies and National Data Privacy Regulations
随着电子数据成为现代社会的生命线，隐私问题日益增加。欧盟颁布的《通用数据保护条例》（GDPR）反映了这些担忧，该条例是全球最全面、最强大的隐私法规之一。该项目旨在评估和突出电子保健系统政策与个人数据隐私法规之间的关联。使用偏差校正的Cramer's V和Thiel's U测试，我们发现电子医疗系统的规则与数据隐私保护之间的关联很弱，甚至为零。训练了一个简单的决策树模型，验证了所得到的关联得分
2022-02-27 cs.CR cs.CY
ATLAS: Automatically Detecting Discrepancies Between Privacy Policies and Privacy Labels
Carnegie Mellon University（卡内基梅隆大学）；Universidad Politécnica de Madrid（马德里理工大学）
本研究提出ATLAS系统，通过NLP集成分类器等组件自动检测iOS应用隐私政策与隐私标签的差异，对35万余款应用分析发现多数存在潜在合规问题，可助力多方开展隐私合规审查。
2023-05-24 cs.AI cs.CR cs.LG
DataProVe: A Data Protection Policy and System Architecture Verification Tool
在本文中，我们提出了一个工具，称为DataProVe，指定高层次的数据保护政策和系统架构，以及验证它们之间的一致性，在一个完全自动化的方式。策略和体系结构的语法基于半形式语言，自动验证引擎依赖于基于逻辑和解析的证明。该工具的功能和操作使用不同的例子。
2020-12-17 cs.CR cs.LO cs.SE
Checking Security Policy Compliance
确保各组织遵守联邦法规是一个日益令人关切的问题。本文提出了一个框架和方法来验证是否实现低级别的安全策略是符合一个高级别的安全策略。我们的合规性检查框架基于组织和安全元数据，以支持将高级概念细化为实现特定实例。我们的工作使用精化演算的结果来表达有效的精化模式和它们的属性。直观地说，如果存在从高级安全策略到低级安全策略的有效细化路径，则低级安全策略符合高级安全策略。我们的模型能够检测违反安全策略，未能履行义务，以及能力和模式冲突。
2008-09-30 cs.CR
The Privacy Policy Landscape After the GDPR
University of Wisconsin（威斯康星大学）；École Polytechnique Fédérale de Lausanne（洛桑联邦理工学院）
欧盟《通用数据保护条例》（GDPR）是有史以来最严格、最全面的隐私法规之一。在它生效一年后，我们研究了它对在线隐私政策的影响。我们在GDPR前后对隐私政策进行了首次纵向、深入和大规模的评估。我们评估这些策略的完整消费周期，从第一次用户印象到合规评估。我们创建了一个多样化的语料库，包含欧盟内外的两套6，278个独特的英语隐私政策，涵盖其GDPR之前和之后的版本。我们的测试和分析结果表明，GDPR已经成为欧盟内外隐私政策重大改革的催化剂。这一政策的彻底改革，体现在广泛的文本变化，特别是对欧盟网站，对用户的好处好坏参半。虽然隐私政策变得相当长，但我们对Amazon MTurk上的470名参与者进行的用户研究表明，从用户的角度来看，欧盟网站的隐私政策的视觉表示有了显着的改进。我们进一步开发了一个新的工作流程，用于自动评估隐私政策中的要求。使用此工作流程，我们表明隐私政策涵盖了更多的数据实践，并且与GDPR后的七项合规要求更加一致。我们还通过执行特异性分析来评估组织在隐私实践方面的透明度。在这项分析中，我们发现了GDPR引发的积极变化的证据，平均特异性水平有所提高。尽管如此，我们发现隐私政策的格局仍处于过渡阶段;许多政策仍然不符合GDPR的几个关键要求，或者其覆盖范围的改善伴随着特定性的降低。
2019-06-24 cs.CL cs.CR cs.CY
Confidential Attestation: Efficient in-Enclave Verification of Privacy Policy Compliance
可信执行环境（TEE）（如英特尔软件防护扩展（SGX））运行远程证明，以向数据所有者证明安全区初始状态的完整性，包括对其数据进行操作的程序。为此，数据处理程序应该对所有者开放，因此在建立信任之前可以评估其功能。然而，越来越多的应用场景需要保护程序本身。因此，应该在不暴露其代码的情况下验证它是否符合数据所有者所期望的隐私策略。为此，本文提出了CAT，一个新的模型，基于TEE的机密证明。我们的模型受到Proof-Carrying Code的启发，其中代码生成器与代码一起生成证明，代码消费者验证代码是否符合安全策略。鉴于传统的解决方案在资源有限和TCB节俭的TEE下不能很好地工作，我们提出了一种新的设计，该设计允许不可信的外部飞地生成器在将程序编译成二进制文件时分析程序的源代码，并且可信的内部飞地消费者在运行二进制文件之前有效地验证仪器的正确性和其他保护的存在。我们的设计策略性地将大部分工作量转移到了代码生成器，它负责生成格式良好且易于检查的代码，同时保持用户的简单性。此外，整个消费者可以公开，并通过传统的证明进行验证。我们在英特尔SGX上实现了该模型，并证明它引入了TCB的一小部分。我们还彻底评估了它在微观和宏观基准测试以及实际应用中的性能，表明新设计在执行几类安全策略时只会产生很小的开销。
2020-07-20 cs.CR
Tracking in apps' privacy policies
数据保护法，包括《通用数据保护条例》（GDPR），通常要求在收集个人数据之前制定隐私政策。我们在2019年5月（GDPR生效约一年后）分析了26，910个移动应用程序的15，145项隐私政策，发现仅打开政策网页就与第三方共享了48.5%的政策数据，这可能违反了GDPR。我们比较了不同国家、不同支付模式（免费、应用内购买、付费）和不同平台（Google Play Store、Apple App Store）之间的数据共享情况。我们进一步联系了52个没有提供隐私政策的应用程序开发人员，并询问了他们的数据实践。尽管法律要求开发人员回答此类问题，但仍有12名开发人员（23%）没有做出回应。
2021-11-26 cs.CR cs.CY
Privacy as Permissible Operations: An ABAC Framework for Policy-Law Compliance
Indian Institute of Technology Kharagpur（印度理工学院卡拉格普尔分校）；Rutgers University（罗格斯大学）
本文提出ABAC框架用于检查隐私政策与法律的合规性，通过将法律条款转化为ABAC规则和政策条款转化为访问请求，实现高效合规检查。
2026-04-12 cs.CR
Assessing Privacy Compliance of Android Third-Party SDKs
本研究针对Android第三方SDK隐私保护空白，利用污点分析与大语言模型检测158款常用SDK的数据外泄与隐私合规情况，发现隐私问题普遍且长期未改善，并提出可行建议以保护用户隐私、为监管提供参考。
2025-06-18 cs.CR cs.SE
PFirewall: Semantics-Aware Customizable Data Flow Control for Smart Home Privacy Protection
物联网（IoT）平台使用户能够部署家庭自动化应用程序。与此同时，随着大量敏感设备数据流流向物联网平台，隐私问题也随之出现。大多数流向平台的数据实际上不会触发自动化操作，而一旦设备绑定到平台，房主目前就无法控制。我们提出了PFirewall，一个可定制的数据流控制系统，以增强物联网平台用户的隐私。PFirewall自动生成数据最小化策略，仅公开最小量的数据以实现自动化。此外，PFirewall还为房主提供接口，通过定义用户指定的策略来定制个人隐私偏好。为了实施这些策略，PFirewall透明地干预和调解IoT设备与平台之间的通信，而无需修改平台、IoT设备或集线器。四个真实测试平台的评估结果表明，PFirewall将发送到平台的物联网数据减少了97%，而不会影响家庭自动化，并有效地减轻了用户活动推断/跟踪攻击和其他隐私风险。
2021-04-07 cs.CR
Balancing Patient Privacy and Health Data Security: The Role of Compliance in Protected Health Information (PHI) Sharing
本文提出一种集成智能合约的区块链技术，用于部分自动化患者同意管理流程，在确保PHI真实性和完整性的同时，使PHI访问与共享符合患者偏好及HIPAA等法律合规要求。
2024-07-03 cs.CR
TracE2E: Easily Deployable Middleware for Decentralized Data Traceability
本文提出TracE2E，一个用Rust编写的中间件，通过包装Rust标准库IO模块记录溯源并执行数据保护策略，实现多节点数据可解释性与合规性，且易于集成。
2025-10-09 cs.CR
Enterprise API Security and GDPR Compliance: Design and Implementation Perspective
随着企业级业务发展的不断进步，对新应用和服务的需求是压倒性的。为了开发和交付这些应用程序和服务，企业业务依赖于应用程序编程接口（API）。从本质上讲，API是一把双刃剑。一方面，API通过共享价值和实用性提供了扩展业务的便利，但另一方面，它带来了安全和隐私问题。由于应用程序通常使用API来检索重要数据，因此确保有效的访问控制和安全机制到位，并且数据不会落入坏人之手是非常重要的。在本文中，我们讨论了企业API安全的现状以及机器学习（ML）在API安全中的作用。我们还讨论了通用数据保护条例（GDPR）合规性及其对API安全性的影响。
2019-09-17 cs.CR cs.NI
CVPL: A Geometric Framework for Post-Hoc Linkage Risk Assessment in Protected Tabular Data
CVPL提出了一种几何框架，用于后验评估受保护表格数据的链接风险，通过连续风险估计和可解释诊断支持隐私保护与效用分析。
2026-02-11 cs.AI cs.CR
Co-designing for Compliance: Multi-party Computation Protocols for Post-Market Fairness Monitoring in Algorithmic Hiring
Harbin Institute of Technology, Shenzhen（哈尔滨工业大学（深圳））；Max Planck Institute for Security and Privacy（马克斯·普朗克安全与隐私研究所）；Leiden University（莱顿大学）；Universitat Pompeu Fabra（庞培法布拉大学）；InfoJobs；Ruhr University Bochum（波鸿鲁尔大学）；Radboud University（拉德堡德大学）
本文提出一种集成技术、法律和工业专家的协同设计方法，开发了一个符合法律的多方计算协议，用于算法招聘中的事后公平性监控，并在大规模工业环境中验证其有效性。
2026-05-07 cs.CR cs.CY
A Secure Blockchain-Assisted Framework for Real-Time Maritime Environmental Compliance Monitoring
本文提出一种基于Polygon区块链的海事环境合规监测框架，融合物联网与智能合约实现实时、不可篡改的合规验证，并通过硫排放案例验证其可扩展性与成本效益。
2025-03-10 cs.CR cs.ET
Data Minimization for GDPR Compliance in Machine Learning Models
IBM Research - Haifa（IBM研究部 - 海法）；Haifa University Campus（海法大学校园）
欧盟《通用数据保护条例》（GDPR）规定了数据最小化原则，即只收集满足特定目的所需的数据。然而，通常难以确定所需的最小数据量，特别是在诸如神经网络的复杂机器学习模型中。我们提出了一种前所未有的方法，通过删除或概括一些输入特征，减少使用机器学习模型进行预测所需的个人数据量。我们的方法利用模型中编码的知识来产生一个泛化，对其准确性几乎没有影响。这使得机器学习模型的创建者和用户能够以可证明的方式实现数据最小化。
2020-08-06 cs.CR cs.LG
The SPECIAL-K Personal Data Processing Transparency and Compliance Platform
Vienna University of Economics and Business（维也纳经济大学）；Universita di Napoli Federico II（那不勒斯费德里科二世大学）；Tenforce（Tenforce公司）；W3C（万维网联盟）
《欧洲通用数据保护条例》（GDPR）为企业带来了新的挑战，企业必须确保拥有适当的法律依据来处理个人数据，并且必须在组织内部和组织之间提供个人数据处理和共享的透明度。此外，当涉及到同意作为法律依据时，公司需要确保他们遵守数据主体指定的使用限制。本文介绍了政策的语言和支持本体和词汇表，特别欧盟H2020项目，可用于表示数据使用策略和数据处理和共享事件内开发。我们引入了一个具体的透明度和合规性架构，称为SPECIAL-K，可用于自动验证数据处理和共享是否符合数据主体的同意。我们的评估，基于一个新的合规性基准，显示了系统的效率和可扩展性，随着事件和用户数量的增加。
2021-07-15 cs.AI cs.CR
Auditing the Compliance and Enforcement of Twitter's Advertising Policy
本研究通过Perspective API与人工标注审计Twitter约3.5万条成人广告，发现近38%违规且仅63%被移除，多语言审核存在不一致，揭示政策执行盲区并强调外部审计的重要性。
2025-02-20 cs.CR cs.CY cs.HC
You Still See Me: How Data Protection Supports the Architecture of AI Surveillance
本文揭示隐私保护技术在合规论调掩护下可被用于支撑AI监控架构，提出基于实际保护效果评估这类技术的技策方案，并指出技术人员在反监控AI政策制定中的作用。
2024-10-06 cs.CR cs.CY
Privacy Issues and Data Protection in Big Data: A Case Study Analysis under GDPR
大数据已成为许多组织的重要资产，有望改善运营并带来新的商业机会。然而，大数据增加了对敏感信息的访问，这些信息在处理时可能直接危及个人隐私并违反数据保护法。因此，数据控制者和数据处理者可能会因不遵守规定而受到严厉处罚，甚至可能导致破产。在本文中，我们讨论了法律法规的现状，并分析了大数据分析背景下的不同数据保护和隐私保护技术。此外，我们提出并分析了两个现实生活中的研究项目，作为处理敏感数据和遵守数据监管法律的行动的案例研究。我们展示了哪些类型的信息可能成为隐私风险，根据法律要求采用的隐私保护技术，以及这些技术对数据处理阶段和研究结果的影响。
2018-11-20 cs.CR
On the (Un)Reliability of Privacy Policies in Android Apps
在Android上访问隐私敏感信息是移动社区日益关注的问题。尽管Google Play最近推出了一些隐私准则，但要彻底验证应用程序是否真正遵守这些规则仍然是一个悬而未决的问题。为此，在本文中，我们讨论了一种新的方法的基础上，一个富有成效的组合静态分析，动态分析，和机器学习技术，它允许评估这样的遵守。更详细地说，我们的方法检查每个应用程序是否i）包含符合Google Play隐私准则的隐私政策，以及ii）仅在用户接受该政策时才访问隐私敏感信息。此外，该方法还允许检查嵌入在应用w.r.t.同样的隐私政策。我们在一个工具3PDroid中实现了我们的方法，并对Google Play商店中最近下载量最大的一组Android应用进行了评估。实验结果表明，超过95%的应用程序会访问用户的隐私敏感信息，但其中只有一小部分（约1%）完全符合Google Play隐私准则。
2020-04-18 cs.CR
Zero-Knowledge Proof-of-Location Protocols for Vehicle Subsidies and Taxation Compliance
本文提出基于零知识证明（ZKPs）的零知识位置证明（ZK-PoL）系统，在不披露车辆具体位置数据的前提下验证其是否符合区域行驶要求，为车辆税收与补贴合规性提供隐私保护方案，可应用于大规模政府项目。
2025-06-20 cs.CR
SeDe: Balancing Blockchain Privacy and Regulatory Compliance by Selective De-Anonymization
本文提出SeDe框架，利用门限加密与ZKPs，以多方问责方式递归追踪关联交易子图，在保护区块链隐私的同时实现非法交易的选择性去匿名化和监管合规。
2025-06-09 cs.CR
RADS-Checker: Measuring Compliance with Right of Access by the Data Subject in Android Markets
本研究提出RADS-Checker框架，通过隐私政策分析、访问请求测试和数据完整性比对，系统衡量安卓应用的数据主体访问权合规性，发现中美两大市场应用的RADS落实率普遍偏低。
2024-12-10 cs.CR
An Audit Logic for Accountability
我们描述并实现了一种策略语言。在我们的系统中，代理可以在分散的架构中分发数据和使用策略。我们的语言支持条件和义务的具体化，也支持完善政策的可能性。在我们的框架中，遵守使用策略并没有被积极地执行。然而，代理人对其行为负责，并可由要求提供理由的机构进行审计。
2005-04-28 cs.CR cs.LO
Covid Notions: Towards Formal Definitions -- and Documented Understanding -- of Privacy Goals and Claimed Protection in Proximity-Tracing Services
最近的SARS-CoV-2大流行引发了使用移动应用程序进行接触者追踪的管理方法。相应的应用程序跟踪个人及其互动，以便于在潜在感染发生之前提醒用户。天真的实现显然会危及其用户的健康状况，位置，活动和社交互动的隐私。已经开发了许多用于托管跟踪的协议设计，其中大多数声称以隐私保护的方式起作用。然而，尽管声称“GDPR合规性”，“匿名性”，“匿名性”或其他形式的“隐私”，这些设计的作者通常忽略了精确定义他们（旨在）保护什么。我们向正式定义接近跟踪服务的隐私概念迈出了第一步，特别是关于用户的健康，（共）位置和社交互动。我们还提供了一个高层次的直觉，最突出的建议可以和不能实现的保护。这一初步概述表明，所有的建议都包括一些集中式服务，没有一个能完全保护受感染用户的身份和（协同）位置不受其他用户和服务提供商的影响。
2020-04-16 cs.CR
Are cookie banners indeed compliant with the law? Deciphering EU legal requirements on consent and technical means to verify compliance of cookie banners
在这项工作中，我们分析了如何实现cookie横幅的法律要求，以完全符合电子隐私指令和一般数据保护条例。我们的贡献在于定义了17个合法合规的cookie横幅设计的操作和细粒度要求，此外，我们定义了每个要求的合规性验证是否以及何时在技术上可行。需求的定义来自于由网络跟踪技术领域的律师和计算机科学家组成的联合跨学科分析。因此，虽然一些需求是由明确编纂的法律来源提供的，但其他需求则来自计算机科学家的领域专业知识。在我们的工作中，我们将每个要求与网站现有的cookie横幅设计相匹配。对于每一项要求，我们都会使用合规和不合规的Cookie横幅进行验证。作为技术评估的结果，我们根据要求进行验证，如果需要技术（使用计算机科学工具）或手动（使用任何人工操作员）验证来评估同意的合规性，我们还展示了在当前Web架构中无法确定验证的要求。例如，我们解释了如何在实践中实施可撤销同意的要求：当同意被撤销时，发布者应该删除同意cookie，并将撤销通知给之前收到同意的所有第三方。通过这种方法，我们的目标是支持务实的各方（合规官员，监管机构，研究人员和计算机科学家）评估合规性并检测Cookie横幅设计和实施中的违规行为，特别是在欧盟电子隐私框架的当前修订版下。
2020-09-24 cs.CR
A position paper on GDPR compliance in sharded blockchains: rehash of old ideas or new interesting challenges?
分片已经成为解决区块链系统可扩展性问题的常用技术之一。为此，在文献中已经提出了用于区块链系统的各种分片技术。当分片区块链处理个人数据时，与分片区块链相关的数据控制者和数据处理者需要遵守通用数据保护条例（GDPR）。为此，本文首次尝试解决以下关键问题：由诸如分布式计算团体，分布式系统团体，数据库团体，身份和访问控制社区以及可靠性社区可以由数据控制者和数据处理者用于遵守GDPR对数据主体权利的要求，分片区块链？作为回答这个问题的一部分，本文认为有必要进行跨学科研究，以找到在分片区块链中实现数据主体权利的最佳解决方案。
2020-11-02 cs.CR cs.DC
Balancing Compliance and Privacy in Offline CBDC Transactions Using a Secure Element-based System
针对离线 CBDC 支付中隐私保护与 AML/CFT 合规的冲突，提出基于安全元件和数字凭证的支付原型，可灵活适配监管环境并达到商用级延迟。
2025-09-29 cs.CR
Consumer Beware! Exploring Data Brokers' CCPA Compliance
本文首次对加州官方登记的543家数据经纪人进行大规模系统性CCPA合规性研究，发现超40%未响应数据访问请求，响应者存在额外信息索取问题，揭示合规缺失与流程不规范，强调需加强执法与标准化检查。
2025-11-14 cs.CR cs.CY
AI-enabled Automation for Completeness Checking of Privacy Policies
SnT Centre for Security, Reliability, and Trust, University of Luxembourg（卢森堡大学SnT安全、可靠性与信任中心）；University of Ottawa（渥太华大学）；Texas A&M University – Central Texas（得克萨斯农工大学中央得克萨斯分校）
信息共享方面的技术进步引起了人们对数据保护的关注。隐私政策包含有关组织或软件系统如何处理个人个人数据的隐私相关要求（例如，Web服务或应用程序）。在欧洲，隐私政策须遵守一般数据保护条例（GDPR）。GDPR合规检查的前提是根据GDPR的规定验证隐私政策的内容是否完整。不完整的隐私政策可能会导致违反组织的巨额罚款以及不完整的隐私相关软件规范。手动的完整性检查既耗时又容易出错。在本文中，我们提出了基于AI的隐私策略完整性检查自动化。通过系统的定性方法，我们首先构建了两个工件来表征GDPR的隐私相关条款，即概念模型和一组完整性标准。然后，我们通过利用自然语言处理和监督机器学习的组合，在这些工件之上开发自动化解决方案。具体而言，我们在隐私政策中识别GDPR相关信息内容，并随后根据完整性标准对其进行检查。为了评估我们的方法，我们从基金行业收集了234条真实的隐私政策。在一组48个看不见的隐私政策中，我们的方法正确地检测到了334个违反完整性标准的行为中的300个，同时产生了23个误报。因此，该方法具有92.9%的准确率和89.8%的召回率。与仅应用关键字搜索的基线相比，我们的方法在准确率和召回率方面分别提高了24.5%和38%。
2021-10-05 cs.AI cs.CR cs.SE
Automating the GDPR Compliance Assessment for Cross-border Personal Data Transfers in Android Applications
Universidad Politécnica de Madrid（马德里理工大学）
《通用数据保护条例》（GDPR）旨在确保所有个人数据处理活动对欧盟（EU）公民来说都是公平和透明的，无论这些活动是在欧盟内部还是其他任何地方进行。为此，它严格要求将个人数据转移到欧盟以外。然而，检查这些要求对于监管机构来说是一项艰巨的任务，特别是在移动应用程序领域，因为可用的应用程序数量庞大且具有动态性。在本文中，我们提出了一种完全自动化的方法来评估移动应用程序是否符合跨境个人数据传输的GDPR要求。我们已经将该方法应用于Google Play商店中的10，080个顶级免费应用程序。结果显示，应用程序提供商和第三方接收者在实践中所做的与GDPR的意图之间仍然存在非常大的差距。56%的应用程序可能不符合GDPR跨境传输要求。
2021-03-12 cs.AI cs.CR cs.LG
