[论文解读] Why are Developers Struggling to Put GDPR into Practice when Developing Privacy-Preserving Software Systems?

Abdulrahman Alhazmi, Nalin Asanka Gamagedara Arachchilage|arXiv (Cornell University)|Aug 7, 2020

Privacy, Security, and Data Protection参考文献 16被引用 4

一句话总结

本研究探讨了软件开发人员在实现符合GDPR的隐私保护系统时面临困难的原因，揭示了对GDPR原则不熟悉以及缺乏隐私增强技术知识是主要障碍。研究识别出开发人员教育和工具链中的系统性缺口，强调需要更好地将GDPR准则整合到软件开发实践中，以防止隐私泄露。

ABSTRACT

The use of software applications is inevitable as they provide different services to users. The software applications collect, store users' data, and sometimes share with the third party, even without the user consent. One can argue that software developers do not implement privacy into the software applications they develop or take GDPR (General Data Protection Law) law into account. Failing to do this, may lead to software applications that open up privacy breaches (e.g. data breach). The GDPR law provides a set of guidelines for developers and organizations on how to protect user data when they are interacting with software applications. Previous research has attempted to investigate what hinders developers from embedding privacy into software systems. However, there has been no detailed investigation on why they cannot develop privacy-preserving systems taking GDPR into consideration, which is imperative to develop software applications that preserve privacy. Therefore, this paper investigates the issues that hinder software developers from implementing software applications taking GDPR law on-board. Our study findings revealed that developers are not familiar with GDPR principles. Even some of them are, they lack knowledge of the GDPR principles and their techniques to use when developing privacy-preserving software systems

研究动机与目标

• 调查开发人员在其软件系统中未能实现符合GDPR的隐私控制措施的根本原因。
• 识别开发人员对GDPR原则及其在软件开发中应用的理解中的具体缺口。
• 考察开发人员对隐私保护技术的意识不足和实际知识缺乏的情况。
• 突出GDPR法规与实际软件开发实践之间的脱节。
• 为在软件工程工作流中整合隐私优先设计提供更好的教育和工具支持。

提出的方法

• 对开发人员在GDPR实施方面的经验与挑战进行了定性调查。
• 通过访谈或调查分析开发人员对GDPR原则的熟悉程度（由知识缺口发现所暗示）。
• 探讨在实践中应用隐私保护技术时缺乏明确指导和工具支持的问题。
• 聚焦于识别在隐私合规方面开发人员教育和软件开发流程中的系统性问题。
• 利用SOUPS 2020会议的研究成果，将结果置于可用隐私与安全研究的语境中。
• 评估监管要求（GDPR）与实际软件开发实践之间存在的差距。

实验结果

研究问题

• RQ1 为何软件开发人员在其软件系统中未能实现符合GDPR的隐私控制？
• RQ2 开发人员在GDPR原则知识方面存在哪些具体缺口？
• RQ3 开发人员在隐私保护技术的实际知识方面缺乏到何种程度？
• RQ4 缺乏工具和指导如何影响软件开发中的GDPR实施？
• RQ5 哪些系统性因素阻碍了隐私优先设计在软件工程工作流中的整合？

主要发现

• 即使是一些声称熟悉法律的开发人员，也经常对核心GDPR原则缺乏了解。
• 许多了解GDPR原则的开发人员并不清楚如何在软件开发环境中应用这些原则。
• 在实现GDPR合规所必需的隐私增强技术方面，知识存在显著缺口。
• 缺乏实际指导和工具支持加剧了隐私保护系统实施失败的问题。
• 开发人员在软件设计阶段常常忽视隐私，导致数据泄露风险增加。
• 本研究强调了迫切需要改进教育和工具支持，以弥合GDPR法规与软件开发实践之间的差距。