[論文レビュー] Are cookie banners indeed compliant with the law? Deciphering EU legal requirements on consent and technical means to verify compliance of cookie banners

Cristiana Santos, Nataliia Bielova+1 more|arXiv (Cornell University)|Dec 16, 2019

Privacy, Security, and Data Protection被引用数 25

ひとこと要約

本稿は、EU法下でのcookieバナーの17の法的・技術的妥当性を満たす要件を定義しており、法律的分析と技術的実現可能性の両方を統合している。多くの確認作業は自動化可能であるが、現在のWebアーキテクチャの制限により、取り消し可能な同意の確認など一部の要件は技術的に困難であることが示された。

ABSTRACT

In this work, we analyze the legal requirements on how cookie banners are supposed to be implemented to be fully compliant with the e-Privacy Directive and the General Data Protection Regulation. Our contribution resides in the definition of seventeen operational and fine-grained requirements on cookie banner design that are legally compliant, and moreover, we define whether and when the verification of compliance of each requirement is technically feasible. The definition of requirements emerges from a joint interdisciplinary analysis composed of lawyers and computer scientists in the domain of web tracking technologies. As such, while some requirements are provided by explicitly codified legal sources, others result from the domain-expertise of computer scientists. In our work, we match each requirement against existing cookie banners design of websites. For each requirement, we exemplify with compliant and non-compliant cookie banners. As an outcome of a technical assessment, we verify per requirement if technical (with computer science tools) or manual (with any human operator) verification is needed to assess compliance of consent and we also show which requirements are impossible to verify with certainty in the current architecture of the Web. For example, we explain how the requirement for revocable consent could be implemented in practice: when consent is revoked, the publisher should delete the consent cookie and communicate the withdrawal to all third parties who have previously received consent. With this approach we aim to support practically-minded parties (compliance officers, regulators, researchers, and computer scientists) to assess compliance and detect violations in cookie banner design and implementation, specially under the current revision of the European Union e-Privacy framework.

研究の動機と目的

• EUの電気的プライバシー指令およびGDPRに基づくcookieバナー設計の17の詳細かつ法的準拠の要件を特定・形式化すること。
• これらの要件のうち、コンピュータサイエンスのツールを用いて技術的に検証可能かどうか、手動による点検を要するかどうかを特定すること。
• 特に取り消し可能である同意および第三者機関との通信に関する、同意メカニズムの適合性の検証可能性を評価すること。
• コンプライアンス担当者、規制当局、研究者らが現実世界のcookieバナー実装における違反を検出するのを支援すること。
• 技術的検証が信頼性を持って行えない現在のWebアーキテクチャのギャップを特定すること。

提案手法

• Webトラッキング技術に専門性を持つ法的専門家とコンピュータサイエンティストの間で共同して行われた学際的分析。
• 法的文書およびWebセキュリティとプライバシー分野の専門知識に基づき、17の運用可能な要件を導出すること。
• 実際のWebサイトにおけるcookieバナー設計を対象に、各要件をマッピングし、準拠および非準拠の例を特定すること。
• 自動化ツール（例：Webクローリング、ブラウザ自動化）や手動レビューを用いた、各要件の技術的実現可能性の評価。
• 現在のWebアーキテクチャ下で、技術的に検証可能、手動で検証可能、または確実に検証できない、3つのカテゴリに要件を分類すること。
• 同意cookieの削除や、同意の撤回時に第三者に通知を行うなど、実装上のガイドラインを提供すること。

実験結果

リサーチクエスチョン

• RQ1 EUの電気的プライバシー指令およびGDPRに準拠するcookieバナーの具体的な法的要件は何か？
• RQ2 これらの要件のうち、自動化ツールで技術的に検証可能なものと、人手による点検を要するものはそれぞれ何か？
• RQ3 現在のWebアーキテクチャにおいて、取り消し可能な同意を実際的に実装・検証するにはどうすればよいか？
• RQ4 今日のWebインfraストラクチャに存在する技術的制限は、特定の適合要件の信頼性ある検証を妨げているか？
• RQ5 どのようなcookieバナー設計が、定義された法的・技術的基準に従って明確に準拠または非準拠であると示せるか？

主な発見

• 法的基準と技術的実現可能性を統合した、17の詳細かつ法的準拠の要件が形式的に定義された。
• コンピュータサイエンスのツールを用いた自動化による適合性確認は可能であるが、特に同意の取り消しや第三者との通信に関する要件については、手動による確認を要するか、現在のところ確実に検証できない。
• 取り消し可能な同意は、同意cookieを削除し、同意を受け取ったすべての第三者に通知することで技術的に実装可能であるが、実際には一貫して実施されていない。
• 現在のWebアーキテクチャは、同意の撤回時にすべての第三者が通知されたことを保証する要件の検証能力を制限している。
• 多くの現実世界のcookieバナーは、透明性、ユーザーの制御、同意の取り消し可能性といった基本的な法的基準を満たせておらず、不適合である。
• 本研究は、自動化と手動による検証手法を組み合わせて使用する、規制当局およびコンプライアンス担当者が適用可能な実用的フレームワークを提供した。