Privacy as Permissible Operations: An ABAC Framework for Policy-Law Compliance

1. 문제 정의 (Problem Statement)

최근 전 세계적으로 개인정보 보호를 위한 법률 (GDPR, CCPA, HIPAA 등) 이 강화되고 있으며, 특히 인도의 **디지털 개인정보 보호법 (DPDP Act, 2023)**이 제정되었습니다. 그러나 기업들이 제공하는 **개인정보 처리방침 (Privacy Policy)**은 자연어로 작성되어 있어 사용자가 이해하기 어렵고, 해당 방침이 실제 법률 조항을 준수하는지 검증하는 것은 매우 복잡합니다.

기존의 접근 방식은 논리적 규칙이나 정보 흐름 모델에 의존했으나, 자연어로 된 법률과 정책 문서를 기계가 검증 가능한 통일된 형식으로 변환하는 데 한계가 있었습니다. 특히 DPDP Act 에 대한 자동화된 준수성 검증 프레임워크는 존재하지 않았습니다.

2. 방법론 (Methodology)

저자들은 APLiance라는 새로운 프레임워크를 제안합니다. 이는 **속성 기반 접근 제어 (ABAC, Attribute-based Access Control)**를 활용하여 법률 요구사항과 정책 내용을 형식화하고, 이를 통해 준수 여부를 자동으로 판단하는 구조입니다.

가. 핵심 개념: ABAC 기반 모델링

• 법률의 형식화: 법률 조항을 ABAC 규칙 (Decision Rules) 으로 변환합니다.
  • 주체 (Subject): 데이터 관리자 (Data Fiduciary), 데이터 주체 (Data Principal)
  • 객체 (Object): 개인정보
  • 행위 (Action): 데이터 처리 (Data Processing)
  • 환경 (Environment): 법적 목적, 동의 상태 등
• 정책의 형식화: 기업의 개인정보 처리방침을 일련의 암시적 접근 요청 (Implied Access Requests) 시퀀스로 변환합니다.
• 준수성 판단: 정책에서 추출된 접근 요청이 법률에서 유도된 ABAC 규칙에 의해 허용 (Permit) 되는지 확인합니다. 모든 경우의 수에서 허용되어야 '준수 (Compliant)'로 간주됩니다.

나. 속성 (Attributes) 분류

시스템은 세 가지 유형의 속성을 정의하여 유연성을 확보합니다:

1. Base Attributes (기본 속성): 정책 텍스트에서 직접 추출 가능한 사실적 정보 (예: "동의가 명시적으로 주어졌는가?", "고충 처리 연락처가 있는가?").
2. Derived Attributes (파생 속성): 기본 속성과 규칙을 통해 논리적으로 유도되는 값 (예: "동의 전제 조건 충족 여부", "법적 적용 범위").
3. Unknown Attributes (알 수 없는 속성): 정책 텍스트에 명시되지 않아 런타임에 결정되거나 다양한 값을 가질 수 있는 값 (예: "합리적인 시간 경과 여부").

다. LLM 활용 및 아키텍처

• LLM 기반 추출: 자연어로 된 정책 텍스트에서 정의된 Base Attributes의 값을 추출하기 위해 **Large Language Model (LLM, gpt-4o-mini)**을 활용합니다.
• 엔지니어링 파이프라인:
  1. 수동 모델링: DPDP Act 의 주요 조항 (1~7 조) 을 분석하여 ABAC 규칙과 속성 스키마를 정의합니다.
  2. 자동 추출: 브라우저 확장 프로그램이 웹페이지의 정책 텍스트를 가져와 LLM 에게 속성 값을 추론하도록 프롬프트를 전송합니다.
  3. 규칙 평가: 추출된 속성 값을 기반으로 ABAC 규칙 엔진이 준수 여부를 판단하고 위반 사항을 보고합니다.

3. 주요 기여 (Key Contributions)

1. DPDP Act 준수성 검증의 최초 시도: 인도의 DPDP Act 에 대한 자동화된 준수성 검증 프레임워크를 최초로 제안했습니다.
2. ABAC 기반의 통일된 모델링: 법률과 정책을 모두 ABAC 프레임워크로 모델링하여 분석의 용이성과 설명 가능성 (Explainability) 을 높였습니다.
3. LLM 과 규칙 기반 시스템의 결합: 구조화되지 않은 정책 텍스트를 처리하는 LLM 의 유연성과 규칙 기반 시스템의 엄격함을 결합하여 정확한 준수성 검사를 가능하게 했습니다.
4. 실시간 브라우저 확장 프로그램 개발: 사용자가 웹사이트를 방문할 때 실시간으로 정책의 준수 여부를 확인하고 위반 사항을 시각화하는 브라우저 플러그인을 개발하여 공개했습니다.

4. 실험 결과 (Experimental Results)

• 데이터셋: 다양한 분야 (이커머스, 소셜 미디어 등) 의 25 개 실제 개인정보 처리방침을 수집하여 400 개의 (정책, 속성) 쌍에 대한 라벨링 데이터를 구축했습니다.
• 성능 지표:
  • 전체 정확도 (Accuracy): 94.5%
  • 정밀도 (Precision) 및 재현율 (Recall): 각각 96.1%
  • 오류 유형: 위양성 (False Positive) 과 위음성 (False Negative) 이 균형 있게 발생하여 전체 오분류율은 5.5% 수준입니다.
• 정책별 분석: 대부분의 정책에서 93% 이상의 정확도를 보였으나, 일부 정책은 모호한 표현으로 인해 정확도가 낮았습니다.
• 속성별 분석:
  • 명시적으로 기술된 항목 (예: 처리 목적, 합법적 목적) 은 100% 정확도를 보였습니다.
  • 어려운 항목: "동의의 모호성 (Unambiguous consent)" 및 "동의 철회의 용이성 (Easy withdrawal)"과 같이 문맥을 해석해야 하는 속성에서는 성능이 저하되었습니다.
• 실제 준수 현황: 분석된 25 개 정책 중 단 하나의 정책도 DPDP Act 의 모든 요구사항을 완전히 준수하지 못했습니다.
  • 주요 위반 원인: 인도 헌법 제 8 부에 명시된 모든 언어로 동의 요청을 제공하지 않음, 데이터 보호 위원회 (Board) 에 대한 고소 절차 미기재, 동의 철회 절차가 동의 부여보다 복잡함 등.
• ABLation Study (비교 실험): APLiance 의 구조화된 속성 추출 방식이 LLM 에게 직접 "준수 여부"를 묻는 방식 (Direct Prompting) 보다 훨씬 높은 정확도 (특히 모호한 속성에서) 를 보임을 입증했습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 사회적 영향: 인도는 세계 인구의 상당 부분을 차지하며, 새로운 DPDP Act 에 대한 준수성 격차를 해소하는 도구를 제공함으로써 큰 사회적 영향을 미칠 수 있습니다.
• 기술적 혁신: 법률 텍스트를 ABAC 규칙으로 변환하고 LLM 을 통해 정책 텍스트를 매핑하는 하이브리드 접근법은 다른 개인정보 보호법 (GDPR, CCPA 등) 으로도 확장 가능합니다.
• 실용성: 개발된 브라우저 확장 프로그램을 통해 일반 사용자와 규제 기관이 실시간으로 기업의 정책 준수 상태를 모니터링할 수 있는 인프라를 마련했습니다.
• 향후 과제: DPDP Act 의 나머지 조항 확장, 다른 법률로의 적용, 법원 판례 분석에의 활용, 그리고 다국어 지원 기능 강화 등을 계획하고 있습니다.

이 논문은 자연어 처리와 형식적 검증 (Formal Verification) 을 결합하여 복잡한 법률 준수 문제를 해결하는 새로운 패러다임을 제시했다는 점에서 의의가 큽니다.