[论文解读] Data Capsule: A New Paradigm for Automatic Compliance with Data Privacy Regulations

Lun Wang, Joseph P. Near+5 more|arXiv (Cornell University)|Aug 30, 2019

Privacy-Preserving Technologies in Data参考文献 20被引用 8

一句话总结

本文提出了数据保险箱（Data Capsule）范式，这是一种通过在数据生命周期中将正式的隐私政策（PrivPolicy）与每位数据主体的数据绑定，从而实现自动遵守GDPR和CCPA等数据隐私法规的新方法。该方案利用抽象解释的静态分析技术推导出残留策略，确保在不修改现有数据基础设施的前提下实现策略强制执行，并已在PrivGuard参考管理器中实现，适用于现实世界部署。

ABSTRACT

The increasing pace of data collection has led to increasing awareness of privacy risks, resulting in new data privacy regulations like General data Protection Regulation (GDPR). Such regulations are an important step, but automatic compliance checking is challenging. In this work, we present a new paradigm, Data Capsule, for automatic compliance checking of data privacy regulations in heterogeneous data processing infrastructures. Our key insight is to pair up a data subject's data with a policy governing how the data is processed. Specified in our formal policy language: PrivPolicy, the policy is created and provided by the data subject alongside the data, and is associated with the data throughout the life-cycle of data processing (e.g., data transformation by data processing systems, data aggregation of multiple data subjects' data). We introduce a solution for static enforcement of privacy policies based on the concept of residual policies, and present a novel algorithm based on abstract interpretation for deriving residual policies in PrivPolicy. Our solution ensures compliance automatically, and is designed for deployment alongside existing infrastructure. We also design and develop PrivGuard, a reference data capsule manager that implements all the functionalities of Data Capsule paradigm.

研究动机与目标

• 解决自动遵守复杂、自然语言描述的数据隐私法规（如GDPR和CCPA）的挑战。
• 克服现有系统在缺乏数据删除支持、缺乏数据血缘追踪以及无法在异构数据处理平台间强制执行策略方面的局限性。
• 设计一种轻量级、可部署的解决方案，与现有基础设施集成，并通过数据绑定策略实现合规性。
• 将透明性、同意、处理控制、数据可携性以及再识别保护等常见隐私原则形式化为通用策略语言。
• 实现对数据处理程序的静态验证，以确保其在执行前即符合相关隐私策略，防止违规行为。

提出的方法

• 提出数据保险箱范式，将数据主体的个人数据与其处理规则（PrivPolicy）绑定，该规则随数据在所有转换和副本中流转。
• 定义PrivPolicy，一种具有可靠语义的正式策略语言，支持用于静态分析的丰富属性，并可编码GDPR、CCPA、HIPAA和FERPA的要求。
• 开发一种基于抽象解释的新算法，用于计算残留策略（即数据处理后的衍生策略），确保在每个处理步骤中均保持合规性。
• 设计并实现PrivGuard，一个参考数据保险箱管理器，用于维护数据保险箱图、强制执行策略，并在数据处理管道中传播元数据。
• 通过仅需对现有数据处理系统进行最小修改，确保向后兼容性，使其可与遗留基础设施并行部署。
• 利用PrivPolicy的形式化语义，实现静态分析，以验证数据处理程序是否符合关联的隐私策略。

实验结果

研究问题

• RQ1 如何将数据隐私法规形式化，以实现在异构数据处理系统中自动、静态的策略强制执行？
• RQ2 何种机制可确保隐私策略在数据被复制、转换或跨不同平台共享后仍可强制执行？
• RQ3 能否设计一种策略语言，使其在表达能力上足以涵盖关键隐私法规，同时又足够轻量以支持现实世界部署？
• RQ4 如何通过静态分析自动推导出残留策略，以确保运行时无需运行时监控即可实现合规性？
• RQ5 数据保险箱范式在多大程度上可与现有数据处理栈集成，且仅需极少修改？

主要发现

• 数据保险箱范式成功地将隐私策略绑定到数据上，并确保其在所有数据处理操作中传播，从而实现端到端合规。
• PrivPolicy支持对GDPR、CCPA、HIPAA和FERPA的正式编码，证明了其在主要隐私法规上的表达能力和泛化能力。
• 基于抽象解释的残留策略推导算法实现了可靠的静态分析，可在数据处理前验证合规性。
• PrivGuard作为参考实现，展示了其在现实场景中的可行性与可部署性，包括在移动应用中实现HIPAA合规的月经健康数据采集的案例研究。
• 该方案通过消除在系统孤岛中手动发现和删除数据的需求，显著降低了数据泄露和不合规的风险。
• 该解决方案可自动强制执行数据主体权利，如数据可携性和删除权，即使在以往缺乏此类功能的系统中亦可实现。