CNIL Privacy Research Day 2022

Op 28 juni organiseerde de CNIL de eerste editie van de Privacy Research Day in Parijs en DPI was erbij! Dus, als je dit evenement gemist hebt, hier is een samenvatting van een opmerkelijk succesvolle dag!

Via dit evenement, dat de CNIL jaarlijks wil herhalen, heeft de CNIL de wens geuit bruggen te bouwen tussen onderzoekers en regelgevers. Om dit doel te bereiken, was de dag gewijd aan de presentatie van onderzoek door internationale deskundigen op verschillende gebieden van gegevensbescherming.

In de nasleep van dit evenement kunnen we zeggen dat de uitdaging geslaagd is! De dag was vol lering en verrijking en laat ons toe terug te keren naar België met enkele denkpistes om intern aan te werken maar ook met enkele punten om met jou te ontwikkelen tijdens één van onze Stay Tuned sessies of tijdens een toekomstig Privacy Café.

Maar om je een idee te geven van de kwaliteit van het gepresenteerde onderzoek, volgen hier drie onderzoeksprojecten die onze aandacht het meest trokken!

De eerste presentatie van deze dag, rijk aan ontdekkingen, liet ons zien hoe veelbelovend deze dag was. De economische analyse van het begrip “passende maatregelen” in de zin van artikel 32 van de AVG, uitgevoerd door het team van Annika SELZER van het Fraunhofer-Institut in Duitsland, gaf ons namelijk zeer concrete cijfers over het begrip passende maatregelen en de financiële risico’s waarmee bedrijven te maken kunnen krijgen en heeft ons ook veel geleerd. Een directe link naar deze studie vind je hier: https://edpl.lexxion.eu/data/article/17705/pdf/edpl_2021_03-016.pdf

Het tweede deel van de dag over smartphones en hun toepassingen was al even veelbelovend. De presentatie die onze aandacht trok was die van Naif Mehanna van de universiteit van Lille en INRIA in Frankrijk. Zijn onderzoek over “The price to pay for playing: a privacy analysis of free and paid games in the Android ecosystem”. Naif Mehanna ging ervan uit dat er weinig bekend is over de gegevensverzameling die de reclame- en trackingindustrie achter mobiele games voedt, en wilde licht werpen op het tracking-ecosysteem in mobiele games op Android en begrijpen hoe verschillende monetisatiemodellen een impact kunnen hebben op de privacy van de gebruiker. Ben jij net zo benieuwd als wij naar de resultaten van het onderzoek van Naif MEHANNA? Volg deze link voor meer informatie: https://hal.archives-ouvertes.fr/hal-03559973/document

Tot slot is hier onze derde favoriete presentatie, van Sallam ABUALHAIJA van de universiteit van Luxemburg. Zijn onderzoek gaat over “Automating the completeness check of privacy policies using AI”. Sallam ABUALHAIJA en zijn team zijn zich bewust van het belang van een privacybeleid en stellen een op AI gebaseerde automatisering voor om de volledigheid van privacybeleidsmaatregelen te controleren. Met behulp van systematische kwalitatieve methoden heeft het team eerst twee artefacten opgezet om de privacybepalingen van de AVG te karakteriseren, namelijk een conceptueel model en een reeks criteria voor de volledigheid. Vervolgens ontwikkelde het team een geautomatiseerde oplossing op basis van deze artefacten door gebruik te maken van een combinatie van natuurlijke taalverwerking en gesuperviseerd machinaal leren. Meer bepaald identificeerden zij de inhoud van AVG-relevante informatie in privacybeleidsmaatregelen en toetsten deze vervolgens aan de volledigheidscriteria. Om hun aanpak te evalueren, verzamelde het team 234 werkelijke privacybeleidsregels in de fondsensector. Uit een set van 48 ongeziene privacybeleidslijnen heeft hun aanpak 300 schendingen van bepaalde volledigheidscriteria correct gedetecteerd op een totaal van 334, terwijl er 23 fout-positieven werden geproduceerd. Dit geeft hun aanpak een precisie van 92,9% en een recall van 89,8%. Geïnteresseerd? Voel je vrij om meer te leren over hun onderzoek via deze link: https://arxiv.org/pdf/2106.05688v1.pdf

Nogmaals dank aan de CNIL en de onderzoekers voor deze dag, we hopen van harte dat een dergelijke ervaring in de komende jaren herhaald zal worden en waarom niet door een andere gegevensbeschermingsautoriteit!