[논문 리뷰] GDPR Compliance in the Context of Continuous Integration

Ze Shi Li, Colin Werner외 2명|arXiv (Cornell University)|2020. 02. 17.

Privacy, Security, and Data Protection참고 문헌 29인용 수 12

한 줄 요약

이 연구는 소규모 소프트웨어 스타트업을 대상으로 연속 통합(CI) 파이프라인에 통합된 자동화된 GDPR 준수 도구를 개발하고 평가한다. 데이터 최소화, 무결성/기밀성, 보관 기간 제한과 같은 핵심 GDPR 원칙을 검증 가능한 요구사항으로 구체화함으로써, 저자들은 자동화되고 지속적인 개인정보 보호 준수 검증이 가능하다는 것을 입증한다. 다만, 지식 공유 및 개발 팀 전반의 도구 통합 측면에선 여전히 도전 과제가 존재한다.

ABSTRACT

The enactment of the General Data Protection Regulation (GDPR) in 2018 forced any organization that collects and/or processes EU-based personal data to comply with stringent privacy regulations. Software organizations have struggled to achieve GDPR compliance both before and after the GDPR deadline. While some studies have relied on surveys or interviews to find general implications of the GDPR, there is a lack of in-depth studies that investigate compliance practices and compliance challenges of software organizations. In particular, there is no information on small and medium enterprises (SMEs), which represent the majority of organizations in the EU, nor on organizations that practice continuous integration. Using design science methodology, we conducted an in-depth study over the span of 20 months regarding GDPR compliance practices and challenges in collaboration with a small, startup organization. We first identified our collaborator's business problems and then iteratively developed two artifacts to address those problems: a set of operationalized GDPR principles, and an automated GDPR tool that tests those GDPR-derived privacy requirements. This design science approach resulted in four implications for research and for practice. For example, our research reveals that GDPR regulations can be partially operationalized and tested through automated means, which improves compliance practices, but more research is needed to create more efficient and effective means to disseminate and manage GDPR knowledge among software developers.

연구 동기 및 목표

• 소규모 CI 적용 조직에서의 GDPR 준수 과제를 조사하기 위해.
• 핵심 GDPR 원칙을 검증 가능한 개인정보 보장 요구사항으로 식별하고 구체화하기 위해.
• 소프트웨어 빌드 중 GDPR 준수 여부를 지속적으로 점검하는 자동화된 도구를 개발하고 평가하기 위해.
• 자동화된 준수 도구가 자원이 제한된 스타트업에서 인식 제고와 위험 감소에 어떻게 기여할 수 있는지 탐색하기 위해.

제안 방법

• 단일 스타트업(DataCorp)을 협력자로 삼아 20개월 간 적용 설계 과학 방법론을 적용한 연구.
• 참여 관찰, 인터뷰, 코드 및 이슈 트래커 분석을 포함한 민족학적 방법을 통해 준수 과제를 규명했다.
• GDPR 원칙(데이터 최소화, 무결성/기밀성, 보관 기간 제한)을 구체적이고 검증 가능한 소프트웨어 요구사항으로 매핑했다.
• CI 파이프라인에 통합된 자동화된 GDPR 테스팅 도구를 설계하고 반복적으로 개발했다.
• 인터뷰, 관찰, 설문조사, 코드 분석 간의 삼중 검증을 통해 발견 및 결과물의 타당성을 검증했다.
• 도구가 준수 인식 및 잠재적 GDPR 위반 사항 탐지에 미친 영향을 평가했다.

실험 결과

연구 질문

• RQ1 소규모 CI 적용 조직은 GDPR 준수 과제를 어떻게 경험하는가?
• RQ2 GDPR 원칙이 검증 가능한 소프트웨어 요구사항으로 얼마나 잘 구체화될 수 있는가?
• RQ3 연속 통합 과정에서 잠재적 GDPR 위반 사항을 탐지하는 데 자동화된 도구는 얼마나 효과적인가?
• RQ4 CI 파이프라인에 자동화된 GDPR 준수를 통합하는 데 실무적·연구적 함의는 무엇인가?

주요 결과

• 연구는 세 가지 주요 GDPR 준수 과제를 규명했다: 수동 테스팅에 대한 의존, 개발자들 사이의 개인정보 보호 지식 부족, 변화하는 코드베이스에서의 준수 관리 어려움.
• 데이터 최소화, 무결성/기밀성, 보관 기간 제한과 같은 GDPR 원칙은 부분적으로 구체적이고 검증 가능한 소프트웨어 요구사항으로 구체화될 수 있다.
• CI 파이프라인에 통합된 자동화된 GDPR 도구는 잠재적 준수 문제를 성공적으로 탐지하여 개인정보 위험에 대한 인식을 향상시켰다.
• 도구는 지속적인 준수 검증의 가능성을 입증했지만, 개발자들이 경고를 해석하고 대응하기 위해 여전히 지침이 필요했다.
• 수동 테스팅은 여전히 큰 부담이었으며, 이는 더 나은 도구와 지식 공유 메커니즘의 필요성을 시사한다.
• 조직은 GDPR 원칙을 요구사항으로 구체화하고 자동화된 도구를 통해 지속적인 검증을 실시함으로써 혜택을 볼 수 있으나, 제3자 개인정보 책임이 새로운 위험을 야기한다.