本文研究了WordPress插件在收集和处理个人身份信息（PII）时是否符合欧盟通用数据保护条例（GDPR）的问题。WordPress作为流行的内容管理系统，其插件可能涉及跨语言的数据流，如PHP、JavaScript、HTML和SQL，这使得GDPR合规性检测变得困难。现有工具主要针对网站或移动应用，无法处理插件中客户端与服务器端混合的数据处理。为此，作者提出了CHKPLUG，第一个自动化的WordPress插件GDPR合规检查器。其核心是构建一种新颖的跨语言代码属性图（CCPG），该图能够表示内联语言集成（如PHP与HTML）以及键值对关联（如HTML与JavaScript），从而捕获跨语言的数据流。CHKPLUG通过在图谱上执行查询来匹配GDPR相关条款（如数据删除、用户同意等）的违规模式。实验使用人工标注的WordPress插件数据集进行评估，结果显示CHKPLUG在检查插件是否合规时达到了98.8%的真阴性率（TNR）和89.3%的真阳性率（TPR）。此外，对市场现状的测量分析发现，有368个插件违反了数据删除规定，即未提供删除用户信息的功能。该研究为WordPress生态系统的隐私合规自动化检查提供了新方法，有助于插件开发者和网站所有者识别并修复GDPR违规问题。

该论文针对Android应用中第三方追踪的同意通知机制及其对欧盟《通用数据保护条例》（GDPR）的合规性进行了系统性研究。作者通过大规模静态和动态分析，检测了付费及免费Android应用中嵌入的第三方追踪库，并评估了这些应用在收集用户数据前是否获得了用户的有效同意。研究发现，大量应用在用户未明确同意的情况下即开始追踪，或同意通知的设计违反了GDPR的明确性和自由给予原则。论文的重点贡献包括：构建了一套自动化的同意通知检测框架，识别了多种常见的违规模式（如预设同意、缺乏撤销选项、通知过于隐蔽等），并对不同类别应用的风险等级进行了量化。该研究为移动应用开发者、隐私合规工程师以及监管机构提供了实证依据和实践指导。

本文针对GDPR实施后Android手机中用户不可重置标识符（如IMEI、IMSI、MAC地址等）的保护机制进行了系统性的威胁狩猎研究。研究背景是GDPR要求设备制造商强化隐私保护，Android系统在多个版本中引入了诸如权限控制（READ_PHONE_STATE限制）、标识符随机化（如随机MAC地址）以及对IMEI等敏感标识符的访问管控。然而，这些措施的实际有效性和残留风险尚未得到充分评估。作者通过大规模实验，在多种主流品牌和Android版本的设备上，采用静态代码分析、动态运行时监控以及基于硬件/模拟器的自动化测试，评估了操作系统层面防护措施的有效性。实验发现，即便在最新版本中，仍存在多种规避保护的方法：例如，通过复合多个半标识符（如广告ID、设备名称、网络信息等）进行用户重识别；利用时间相关性攻击，在不同时间窗口捕获看似随机变化的标识符，通过关联模式追踪用户行为；以及通过系统服务通信中的隐蔽通道间接获取标识符。此外，作者提出了一种名为“Inception Attack”的新型攻击思路，通过篡改系统服务响应或模拟合法请求，诱导系统绕过权限检查并泄露受保护标识符。研究揭示了当前Android保护机制在应对组合攻击和隐蔽通道方面存在的不足，并量化了不同品牌/版本下的风险暴露程度。最后，作者基于发现给出了多项加固建议，包括强化权限审计、增加标识符使用透明度、以及引入基于行为的异常检测。

本文提出了一个名为 PriEval-Protect 的统一框架，用于医疗保健系统中的隐私风险评估与保护。当前，在 GDPR 和 HIPAA 等法规下，保护患者隐私并同时允许有意义的医疗数据使用至关重要，但现有合规方法通常依赖人工，容易出错，且将政策审计与数据级评估割裂。PriEval-Protect 采用两阶段设计：评估阶段结合了基于微调法律大语言模型（LLM）与检索增强生成（RAG）的监管合规评分，以及通过加密类型、数据架构和多种度量指标（包括相似度、不确定性、攻击者成功率、信息增益/损失）进行的技术分析。利用层次分析法（AHP）对各类指标进行加权聚合，得出综合风险评分。保护阶段则根据评估的风险推荐相应的防护措施，例如联邦学习和差分隐私。作者在真实医院文档和数据集上进行了实验，结果表明该框架能提供与法规对齐且可解释的评估，有效弥合了法律合规与数据级风险分析之间的鸿沟。该工作对于需要自动化隐私合规评估的安全团队、合规官以及医疗行业的数据保护从业者具有参考价值。

本文研究了Android应用中第三方追踪（Third-party tracking）的同意机制实施情况。第三方追踪使公司能跨设备收集用户行为数据，深入洞察用户私生活，但通常未经用户知晓或明确同意。欧盟和英国数据保护法要求：在用户设备上访问和存储信息，以及将个人数据处理作为第三方追踪的一部分，都必须获得用户同意。论文首先分析了Google Play商店中具有代表性的应用样本，发现大多数应用存在第三方追踪行为，但很少有应用在追踪前获取用户同意，表明可能存在广泛的隐私法律违规。其次，论文详细检查了最常见的第三方追踪库，发现虽然这些库承认依赖应用开发者代表其获取同意，但通常缺乏稳健措施来确保这一点：同意要求的披露有限；缺乏默认同意实现；合规指导难以找到、难以阅读且维护不善。研究贡献在于揭示了Android生态系统中用户同意缺失的系统性问题，并为政策制定者和应用开发者提供了改进方向。

论文提出 GDPRuler，一种用于不可信云环境中的键值存储（KVS）的可验证 GDPR 合规中间件系统。背景：GDPR等隐私法规对个人数据的存储、处理和审计提出严格要求，而KVS简单数据模型和不可信云部署使合规极具挑战。现有方案需侵入式代码修改、性能开销高或忽略合规机制本身的完整性。核心方法：GDPRuler 在机密虚拟机（CVM）内运行可信 GDPR 监视器，无需修改KVS代码。监视器强制执行GDPR策略、管理合规元数据、维护防篡改审计日志。声明式策略语言将核心GDPR义务转化为可执行的运行时规则。为提升效率，GDPRuler 将元数据紧凑编码到KV记录中，为GDPR特定查询建立专用元数据索引，仅以空间高效格式记录合规相关事件。实现：作为透明代理支持未修改的Redis和RocksDB。评估：使用YCSB和GDPR启发的工作负载，GDPRuler 开销低：吞吐量约为原生KVS的61%，其中CVM环境贡献28%-32%；元数据存储开销低于20%；GDPR查询通过元数据索引获得13-182倍加速。贡献：通过将可验证策略嵌入可信中间件层，为不可信云基础设施上的KVS提供了实现GDPR合规的实用路径。

该论文针对现有隐私测量工具（如CFIP、IUIPC、PAQ）早于GDPR超十年、仅关注隐私关切而忽略用户对具体监管权利（如数据可携带权、删除权、自动化决策权）偏好的问题，提出了一种基于GDPR的隐私偏好测量项目库（GPPI）。研究方法包括：从全部99个GDPR条款中提取669条陈述，经过两轮专家审查达成完全共识；通过语义聚类形成10个父主题和87个子主题；再经50名隐私专家（每主题5人）以≥4/5投票保留阈值进行共识审查，最终得到包含9个父主题、73个子主题、共527个项目的测量库。每个父主题包含18-112个项目，每个子主题1-29个项目，专家平均配对一致性约85%。该工作引入了与监管机制对齐的用户偏好互补测量维度，使从业者能够评估用户对GDPR合规政策中各项权利的重视程度。适合隐私研究人员、政策制定者及合规设计从业者阅读。