Privacy as Permissible Operations: An ABAC Framework for Policy-Law Compliance

Probleemstelling

In de afgelopen jaren hebben veel landen, waaronder India, wetten ingevoerd om de privacy van persoonsgegevens te beschermen (zoals de recente Digital Personal Data Protection Act (DPDP Act) van India). Hoewel bedrijven privacybeleid publiceren, is het voor gebruikers vaak moeilijk om de juridische taal te begrijpen en te verifiëren of deze beleidsregels daadwerkelijk voldoen aan de geldende wetgeving. Bestaande frameworks voor privacyredenering vertalen wetten en beleidsregels niet altijd eenduidig naar een machine-verifieerbaar formaat. De kernvraag die dit paper adresseert is: Is een verzochte bewerking op persoonsgegevens toegestaan in de huidige context, gezien de wettelijke eisen?

Methodologie: Het APLiance Framework

De auteurs stellen een nieuw framework voor genaamd APLiance (ABAC framework for Policy–Law Compliance). Dit framework reduceert compliance-checking tot een precisiebeslissingsprobleem door privacywetten en beleidsregels te modelleren binnen een Attribuutgebaseerde Toegangscontrole (ABAC) structuur.

De architectuur bestaat uit de volgende stappen:

1. Formalisatie van de Wet (DPDP Act):
   De wettelijke eisen (specifiek secties 1-7 van de DPDP Act) worden vertaald naar een set ABAC-regels. Deze regels bepalen of een data-toegangsaanvraag wordt toegestaan (permit) of geweigerd (deny) op basis van attributen.

   • Entiteiten: Subjecten (bijv. Data Fiduciary en Data Principal), Objecten (data), Acties (bijv. data_processing) en Omgeving.
   • Attribuuttypes:
     • Basisattributen: Waarden die direct uit de tekst van het privacybeleid worden gehaald (bijv. "Is toestemming vrijgegeven?", "Is het doel specifiek?").
     • Afgeleide attributen: Waarden die logisch worden afgeleid uit basisattributen via regels (bijv. "Is het toestemmingsbericht goed geformatteerd?").
     • Onbekende attributen: Waarden die niet in het beleid staan en als variabel worden behandeld (bijv. "Is er een redelijke tijd verstreken na intrekking van toestemming?").

2. Extractie met Large Language Models (LLM):
   Omdat privacybeleidsregels in natuurlijke taal zijn geschreven, wordt een LLM gebruikt om de tekst van een specifiek website-beleid te analyseren en de waarden van de basisattributen te extraheren. Het LLM werkt volgens een vast schema van attributen afgeleid van de wet.

3. Compliance Evaluatie:
   De geëxtraheerde attributen worden ingevoerd in de regelengine. De engine evalueert of de toegangsverzoeken (die impliciet worden gemaakt door de beleidsregels) voldoen aan de ABAC-regels van de wet.

   • Als een verzoek in alle mogelijke scenario's van onbekende attributen wordt toegestaan, is het beleid compliant.
   • Als er zelfs één scenario is waarin het verzoek wordt geweigerd, wordt het als niet-compliant gemarkeerd.

4. Implementatie:
   De auteurs hebben een browserextensie ontwikkeld die gebruikers in real-time een compliance-rapport toont wanneer ze een privacybeleidspagina bezoeken. De extensie communiceert met een backend die de LLM-extractie en regel-evaluatie uitvoert.

Belangrijkste Bijdragen

1. Eerste werk voor DPDP Act: Dit is het eerste onderzoek dat zich specifiek richt op het controleren van compliance met de nieuwe Indiase DPDP Act.
2. Unificatie via ABAC: Het modelleren van zowel wetten als beleidsregels binnen één ABAC-framework maakt analyse eenvoudiger en de uitlegbaarheid transparanter.
3. Hybride LLM-gebruik: Effectief gebruik van LLMs voor het extraheren van attributen uit ongestructureerde tekst, gekoppeld aan robuuste, regelgebaseerde compliance-checking.
4. Praktische Tooling: De ontwikkeling en publicatie van een browserextensie voor real-time controle.

Resultaten

De auteurs hebben het systeem getest op een dataset van 25 real-world privacybeleidsregels van verschillende sectoren (e-commerce, sociale media, nieuws, etc.).

• Algemene Prestatie: Het systeem bereikte een accuraatheid van 94,5% bij het classificeren van basisattributen, met een precisie en recall van respectievelijk 96,1%.
• Per-Beleid Analyse: De meeste beleidsregels scoorden boven de 93% nauwkeurigheid. Beleid met minder hoge scores had vaak te maken met ambiguïteit of impliciete taal.
• Compliance Status: Geen enkele van de 25 onderzochte beleidsregels was volledig compliant met de DPDP Act.
  • De belangrijkste oorzaken van non-compliance waren:
    1. Gebrek aan meertaligheid (beleid moet in alle talen van de 8e Bijlage van de Indiase Grondwet beschikbaar zijn).
    2. Gebrek aan duidelijke mechanismen voor het indienen van klachten bij de Data Protection Board.
    3. Moeilijkheden bij het bepalen of toestemming "ondubbelzinnig" is en of het intrekken ervan even makkelijk is als het geven ervan.
• Ablatie-studie: Een vergelijking met "direct prompting" (waarbij de LLM direct wordt gevraagd om compliance te checken zonder het ABAC-framework) toonde aan dat de gestructureerde APLiance-aanpak significant beter presteert, vooral bij complexe attributen zoals "ondubbelzinnige toestemming" (64% vs 52% nauwkeurigheid).

Betekenis en Toekomstperspectief

Dit paper demonstreert dat het formaliseren van privacywetten als toegangscontrole-regels een krachtige methode is om compliance te automatiseren. Het benadrukt dat hoewel organisaties structureel al veel vereisten van de DPDP Act vervullen, er nog significante gaten zijn in de uitvoering, vooral op het gebied van meertalige toegankelijkheid en gebruiksvriendelijke intrekking van toestemming.

De auteurs plannen om het framework uit te breiden naar de resterende secties van de DPDP Act en andere privacywetten (zoals GDPR of CCPA). Daarnaast wordt onderzocht hoe dit framework kan worden ingezet bij het oplossen van gerechtelijke zaken en hoe meertalige ondersteuning verder kan worden geoptimaliseerd.