AI 연구자들, 97%의 EU 웹사이트가 GDPR 개인 정보 보호 요구 사항을 위반하는 것으로 추정 – 특히 사용자 프로파일링

미국 연구자들은 기계 학습 기술을 사용하여 EU에 기반을 둔 1,000개 이상의 대표적인 웹사이트의 GDPR 개인 정보 보호 정책을 연구했습니다. 그들은 조사된 웹사이트 중 97%가 EU의 2018년 규제 프레임워크의 최소한 하나의 요구 사항을 준수하지 않는다는 것을 발견했으며, 특히 ‘사용자 프로파일링’에 대한 규제 요구 사항을 가장 잘 준수하지 않는다는 것을 발견했습니다.

논문은 다음과 같이 말합니다:

‘사용자에게 개인 정보를 이해하고 제어하는 데 필요한 커뮤니케이션 채널인 개인 정보 보호 정책을 많은 회사들이 GDPR가 시행된 후에 업데이트했습니다. 그러나 대부분의 개인 정보 보호 정책은冗長하고, 전문 용어가 많고, 회사들의 데이터 관행과 사용자 권리를 모호하게 설명합니다. 따라서, GDPR를 준수하는지 여부가 불분명합니다.’

그것은 다음과 같이 계속합니다:

‘我们的 결과는 GDPR가 시행된 후에도 97%의 웹사이트가 여전히 GDPR의 최소한 하나의 요구 사항을 준수하지 않는다는 것을 보여줍니다.’

이 연구는 Automated Detection of GDPR Disclosure Requirements in Privacy Policies using Deep Active Learning이라는 제목을 가지고 있으며, 버지니아 대학교 샬럿츠빌의 세 명의 연구자에 의해 수행되었습니다.

개인 정보 보호 마지막

연구에 따르면, 가장 준수率가 낮은 분야는 GDPR의 사용자 프로파일링에 관한 규정입니다. 연구자들은 이 특정 규정에 대해 조사된 웹사이트 중 15.3%만이 완전히 준수하고 있다고 말합니다.

연구를 위해 조사된 웹사이트의 GDPR 개인 정보 보호 정책 준수 그래프. 출처: https://arxiv.org/pdf/2111.04224.pdf

사용자 프로파일링(웹사이트와의 사용자 상호작용을 기록하고 종종 다른 온라인 컨텍스트에서 사용자에게 타겟팅하는 것)은 캠브리지 애널리티카 스캔들 이후 기술 분야에서 가장 뜨거운 논쟁의 대상이 되었습니다.

화요일, 유럽 의회의 중요한 위원회는 새로운 디지털 시장법을 통과시켰습니다. 이 법은 소아의 행동적 타겟팅을 금지하며, 위반 회사에 대해 최대 20%의 글로벌 연간 매출액의 벌금을 부과합니다.

이 법은 페이스북과 구글 같은 기술 거대 기업의 영향력 증가에 대한 직접적인 대응으로 받아들여졌지만, 새로운 연구에 따르면 대부분의 EU 기업(유럽에 영업하는 미국 기업을 포함)은 GDPR 위반에 대한 법적 책임을 지고 있습니다.

또한, 이탈리아는 이번 주에 애플과 구글에 대해 사용자 프로파일링을 포함한 다른 위반으로 인해 최대 1,000만 유로(1,120만 달러)의 벌금을 부과했습니다.

데이터

새로운 연구에서 조사된 웹사이트는 Quantcast의 상위 10,000개 웹사이트에서 샘플링되었으며, 영국에 기반을 둔 VPN을 통해 Yandex 검색을 통해 영어 개인 정보 보호 정책을 추출했습니다.

EU 웹사이트는 2018년 5월에 시행된 GDPR법에 따라 18개의 주요 요구 사항(위 그래프 참조)을 포함하는 개인 정보 보호 정책을 제공해야 합니다.

연구자들은 2018년 8월 이후의 기간 동안 개인 정보 보호 정책을 추출하여 도메인이 필요한 정책을 게시할 수 있는 합리적인 시간을 허용했습니다(최소 1년 동안 GDPR 개발 단계에서 알 수 있었습니다).

필터링 과정은 9,761개의 개인 정보 보호 정책을 생성했으며, 연구자들은 1,080개의 정책을 무작위로 선택했습니다.

전처리

연구 팀은 두 명의 법률 전문가를 고용하여 4명의 인간 어노테이터를 GDPR의 18개 가능한 개인 정보 보호 정책을 레이블링하도록 훈련했습니다.

일부 정책의 전문 용어는 18개의 요구 사항 중 하나 이상을 다루고 있으므로, 각 정책에 대한 언어 특징을 감지하기 위해 합성곱 신경망(CNN)을 사용해야 했습니다.

언어에 기반한 준수 모델을 훈련하는 초기 시도는 80.5%의 성공률을 달성했습니다. 결과를 개선하기 위해 연구자들은 모델의 성능을 향상시키기 위해 적은 레이블된 데이터를 사용하여 액티브 러닝을 적용했습니다. 이를 통해 분류기 CNN을 89.2%의 정확도로 훈련할 수 있었으며, F1 점수는 0.88(완전한 성공은 1)였습니다.

개인 정보 보호 정책에 특화된 단어 임베딩을 보장하기 위해 연구자들은 페이스북의 FastText 파이썬 라이브러리를 사용하여 무감독 단어 임베딩 모델을 훈련했습니다.

표준 관행에 따라, 최종 데이터는 훈련 데이터와 테스트 데이터(즉, 알고리즘의 정확성을 평가하기 위한 무작위로 선택된 데이터)로 80/20으로 분할되었습니다. 결과의 품질을 평가하기 위해 아키텍처에 인간-인-루프 측정 연구가 추가되었습니다.

분류기 시스템의 아키텍처.

워크플로우 과정에서, 11,271개의 인간-어노테이션된 개인 정보 보호 정책 세그먼트가 생성되었으며, 각 세그먼트는 두 명의 법률 전문가에 의해 훈련된 4명의 인간 어노테이터에 의해 검토되었습니다. 데이터가 거부되지 않도록 하기 위해 75%의 동의 비율이 필요했습니다.

인간-인-루프 – 정책 데이터의 레이블링을 완전히 자동화할 수는 없었습니다. 그러나 액티브 러닝은 프로젝트를 가능하게 하는 풀-기반 워크플로를 제공했습니다.

이미 언급된 결과 외에, 사용자들은 GDPR의 이동성 – 회사에 의해 보관되는 데이터를 이전하거나 내보내기 위한 사용자의 권리 – 이 프로파일링만큼 거의 지원되지 않는다는 것을 발견했습니다.

연구자들은 다음과 같이 결론을 내립니다:

‘사용자의 이송권 및 데이터 보호 책임자의 연락처 제공과 같은 요구 사항은 각각 15.5% 및 16.4%의 웹사이트에서 지원됩니다. 다른 주요 요구 사항인 사용자의 불만 제기, 동의 취소, 이의 제기, 적정성 결정과 같은 사항은 17-20%의 웹사이트에서 지원됩니다.’

그리고 다음과 같이 계속합니다:

‘오직 3%의 웹사이트만이 18개의 요구 사항을 모두 준수합니다. 이러한 결과는 많은 웹사이트가 여전히 GDPR의 요구 사항을 준수하지 않는다는 것을 나타냅니다.’

7pm 26/11/2021 – 첫 번째 그래프 캡션을 명확히 했습니다. – MA