[논문 리뷰] Compliance Generation for Privacy Documents under GDPR: A Roadmap for Implementing Automation and Machine Learning

David Restrepo Amariles, Aurore Troussel외 1명|arXiv (Cornell University)|2020. 12. 23.

Privacy, Security, and Data Protection참고 문헌 21인용 수 6

한 줄 요약

이 논문은 기업과 법률 사무소 내부에서 직접 GDPR 준수 개인정보 문서를 생성하기 위한 머신러닝 및 자동화 로드맵을 제안한다. 소비자 중심 도구에서 벗어나 원천 준수(소스 수준 준수)로 초점을 이동시킨다. GDPR 준수를 12개의 실행 가능한 작업으로 분해함으로써, 불법 조항 탐지, 다국적 법적 일致성 확보, 독해도 향상 등의 목표를 달성함으로써, 구조적 NLP와 법적 분석을 통해 확장 가능하고 정확하며 법적으로 타당한 개인정보 정책 생성이 가능해진다.

ABSTRACT

Most prominent research today addresses compliance with data protection laws through consumer-centric and public-regulatory approaches. We shift this perspective with the Privatech project to focus on corporations and law firms as agents of compliance. To comply with data protection laws, data processors must implement accountability measures to assess and document compliance in relation to both privacy documents and privacy practices. In this paper, we survey, on the one hand, current research on GDPR automation, and on the other hand, the operational challenges corporations face to comply with GDPR, and that may benefit from new forms of automation. We attempt to bridge the gap. We provide a roadmap for compliance assessment and generation by identifying compliance issues, breaking them down into tasks that can be addressed through machine learning and automation, and providing notes about related developments in the Privatech project.

연구 동기 및 목표

• 소비자 중심 도구에 의존하기보다 기업과 법률 사무소와 같은 원천에서 준수를 가능하게 하여 데이터 주체와 데이터 처리자 간의 지속적인 정보 비대칭을 해소한다.
• 특히 개인정보 문서 초안 작성 및 유지 관리 과정에서 기업이 겪는 운영적 과제를 식별하고 체계화한다.
• 실제 법적 및 기술적 복잡성에 대응하기 위해 머신러닝을 활용한 실용적이고 작업 기반의 프레임워크를 개발하여 준수 평가 및 생성을 자동화한다.
• 기존의 GDPR 자동화 연구와 기업 및 법률 전문가의 실제 데이터 관행 사이의 격차를 메우며, 실행 가능하고 구현 가능한 솔루션에 초점을 맞춘다.
• 번역 위험, 관할권 차이, 법적 조항의 의미 모호성 문제를 해결함으로써 개인정보 정책 생성의 법적 확실성과 일관성을 향상시킨다.

제안 방법

• GDPR 준수를 불법 조항 탐지, 관할권 일致성, 독해도 향상 등의 특정 준수 문제를 대상으로 하는 12개의 독립적이고 자동화 가능한 작업으로 분해한다.
• 문장 수준의 의미 구조와 문장 간 관계 분석을 통해 문제 있는, 모호하거나 불완전한 조항을 식별하기 위해 자연어 처리(NLP) 기법을 적용한다.
• 유럽연합 회원국 간 GDPR 이행 방식의 차이를 식별하기 위해 비교 법적 분석을 수행하며, 특히 동의 연령 기준 등의 영역에서의 유연성 행사 권한(마진 오브 찬스)을 중심으로 분석한다.
• 독해도 평가 모델의 단어 난이도와 의미 정확도를 향상시키기 위해 법적 어휘사전, 데이터 보호 당국 지침 및 개인정보 전용 어휘집을 통합한다.
• 준수 수준에 따라 개인정보 정책을 순위 매기고, 문제 있는 조항, 누락된 정보, 경쟁사와의 비교를 강조하기 위해 시각화 도구를 개발한다.
• 다중 계층 감지 시스템을 구현하여, 불법성, 모호성, 불완전성 등의 다양한 법적 근거에 기반해 조항을 경고하고, 규범적 계층 구조에 따라 가중치를 적용한다.

실험 결과

연구 질문

• RQ1 어떻게 머신러닝과 자동화를 체계적으로 활용하여 기업과 법률 사무소 내부에서 직접 GDPR 준수 개인정보 문서를 생성할 수 있는가?
• RQ2 특히 의미 모호성과 다국적 관할권 불일치 문제로 인해 개인정보 정책 준수 평가 자동화 과정에서 발생하는 주요 기술적 및 법적 과제는 무엇인가?
• RQ3 문장 길이와 단어 난이도를 초월해 GDPR 준수 법적 언어의 이해 가능성에 정확히 반영할 수 있도록 독해도 지표를 어떻게 개선할 수 있는가?
• RQ4 법적 체계 간 불법 조항 번역 시 법적 일致성을 확보하기 위한 방법은 무엇이며, 번역이 법적 자격 요건에 어떤 영향을 미칠 수 있는가?
• RQ5 NLP 모델이 문단 간 관련 조항을 효과적으로 연결함으로써, 비준수로 잘못 분류되는 오류를 방지하기 위해 어떻게 작동할 수 있는가?

주요 결과

• 유럽연합 내에서 가장 많이 방문된 500개 웹사이트 중 84.5%가 개인정보 정책을 보유하고 있으며, 그 중 50%는 GDPR 시행 이후 업데이트된 바가 있어, 개인정보 문서가 준수에 핵심적인 역할을 한다는 점을 시사한다.
• 이 연구는 불법 조항 탐지, 관할권 일치성 확보, 도메인 전용 어휘집을 통한 독해도 향상 등 12개의 核심 작업을 식별하여 GDPR 준수 자동화를 위한 기반을 마련한다.
• 고립된 문장 분석은 준수 감지 과정에서 잘못된 경고를 유발한다. 비준수로 잘못 분류되는 것을 방지하기 위해 문단 간 맥락 분석이 필수적이다.
• 표준 독해도 공식을 초월해 문법적 및 의미적 복잡성을 반영하기 위해, 법적 어휘사전과 데이터 보호 당국 지침을 통합하여 독해도 평가 점수를 향상시켜야 한다.
• 시각화 도구를 통해 개인정보 정책을 준수 수준에 따라 순위 매길 수 있으며, 경쟁사와의 비교 및 누락된 권리 또는 불법 조항의 강조를 통해 벤치마킹이 가능하다.
• 불법성, 모호성, 불완전성 등의 다양한 법적 근거로 인한 비준수 문제는 가중치가 부여된 계층적 감지 모델을 통해 체계적으로 기술할 수 있다.