[论文解读] GDPR Compliance in the Context of Continuous Integration

Ze Shi Li, Colin Werner+2 more|arXiv (Cornell University)|Feb 17, 2020

Privacy, Security, and Data Protection参考文献 29被引用 12

一句话总结

本研究开发并评估了一款集成于小型软件初创企业持续集成（CI）流水线中的自动化GDPR合规工具。通过将数据最小化、完整性和保密性、存储限制等关键GDPR原则转化为可测试的需求，作者证明了自动化、持续的隐私合规性验证是可行的，尽管在知识传播和开发团队间工具集成方面仍存在挑战。

ABSTRACT

The enactment of the General Data Protection Regulation (GDPR) in 2018 forced any organization that collects and/or processes EU-based personal data to comply with stringent privacy regulations. Software organizations have struggled to achieve GDPR compliance both before and after the GDPR deadline. While some studies have relied on surveys or interviews to find general implications of the GDPR, there is a lack of in-depth studies that investigate compliance practices and compliance challenges of software organizations. In particular, there is no information on small and medium enterprises (SMEs), which represent the majority of organizations in the EU, nor on organizations that practice continuous integration. Using design science methodology, we conducted an in-depth study over the span of 20 months regarding GDPR compliance practices and challenges in collaboration with a small, startup organization. We first identified our collaborator's business problems and then iteratively developed two artifacts to address those problems: a set of operationalized GDPR principles, and an automated GDPR tool that tests those GDPR-derived privacy requirements. This design science approach resulted in four implications for research and for practice. For example, our research reveals that GDPR regulations can be partially operationalized and tested through automated means, which improves compliance practices, but more research is needed to create more efficient and effective means to disseminate and manage GDPR knowledge among software developers.

研究动机与目标

• 调查小型、采用CI的组织在GDPR合规方面面临的挑战。
• 识别并将其关键GDPR原则转化为可测试的隐私需求。
• 开发并评估一款可在软件构建过程中持续检查GDPR合规性的自动化工具。
• 探讨自动化合规工具如何在资源受限的初创企业中提升意识并降低风险。

提出的方法

• 采用应用设计科学方法，历时20个月，与一家初创企业（DataCorp）合作。
• 通过参与式观察、访谈以及对代码和问题追踪系统的分析，运用民族志方法识别合规挑战。
• 将GDPR原则（数据最小化、完整性和保密性、存储限制）映射为具体且可测试的软件需求。
• 设计并迭代开发了一款集成于CI流水线的自动化GDPR测试工具。
• 通过访谈、观察、调查和代码分析的三角验证法，验证研究发现与成果。
• 评估该工具对合规意识提升及潜在GDPR违规行为识别的影响。

实验结果

研究问题

• RQ1 小型、采用CI的组织在GDPR合规方面面临哪些挑战？
• RQ2 GDPR原则在多大程度上可被转化为可测试的软件需求？
• RQ3 自动化工具在持续集成过程中检测潜在GDPR违规行为的效率如何？
• RQ4 将自动化GDPR合规集成到CI流水线中的实际与研究意义是什么？

主要发现

• 研究识别出三大主要GDPR合规挑战：依赖人工测试、开发人员缺乏隐私知识，以及在不断演化的代码库中管理合规的困难。
• GDPR原则如数据最小化、完整性和保密性、存储限制可部分转化为具体且可测试的软件需求。
• 集成于CI流水线的自动化GDPR工具成功识别出潜在合规问题，提升了对隐私风险的认知。
• 该工具证明了持续合规性验证的可行性，但开发人员仍需指导才能正确解读和响应警报。
• 人工测试仍是重大负担，凸显了对更优工具和知识传播机制的需求。
• 组织可通过将GDPR原则转化为需求并使用自动化工具进行持续验证获益，但第三方隐私责任的引入带来了新的风险。