[論文レビュー] Bolder is Better: Raising User Awareness through Salient and Concise Privacy Notices

Nico Ebert, Kurt A. Ackermann+1 more|arXiv (Cornell University)|Jan 20, 2021

Privacy, Security, and Data Protection参考文献 43被引用数 38

ひとこと要約

本研究では、簡潔で目立つプライバシーポリシーが、アプリにおけるデータ取り扱いの実態についてのユーザーの認識を向上させるかどうかを検証している。2,274名の参加者を対象にした被験者間要因実験の結果、特に危険なデータ取り扱いを強調した目立つ簡潔な通知は、情報の想起を顕著に向上させた。これは、従来の隠されたポリシーとは対照的に、目立つ簡潔なプライバシー開示がより効果的であることを示唆している。

ABSTRACT

This paper addresses the question whether the recently proposed approach of concise privacy notices in apps and on websites is effective in raising user awareness. To assess the effectiveness in a realistic setting, we included concise notices in a fictitious but realistic fitness tracking app and asked participants recruited from an online panel to provide their feedback on the usability of the app as a cover story. Importantly, after giving feedback, users were also asked to recall the data practices described in the notices. The experimental setup included the variation of different levels of saliency and riskiness of the privacy notices. Based on a total sample of 2,274 participants, our findings indicate that concise privacy notices are indeed a promising approach to raise user awareness for privacy information when displayed in a salient way, especially in case the notices describe risky data practices. Our results may be helpful for regulators, user advocates and transparency-oriented companies in creating or enforcing better privacy transparency towards average users that do not read traditional privacy policies.

研究の動機と目的

• 実世界のアプリ環境におけるデータ取り扱いの実態について、簡潔なプライバシーポリシーがユーザーの認識を高められるかどうかを評価すること。
• 目立たせ方（可視性および配置）とリスク水準（プライバシーに配慮した対応 vs. 侵入的な対応）の違いが、ユーザーのプライバシー情報の想起に与える影響を調査すること。
• 特に長時間のポリシーを読まないユーザーに対して、従来のクリックで開くプライバシーポリシーと比較して、簡潔な通知がどれほど効果的であるかを評価すること。
• 文脈的関連性と目立たせ方の両方が、予期しないまたは危険なデータ取り扱いに対してユーザーの注意を散逸させることを是正できるかどうかを検討すること。

提案手法

• オンラインパネルから参加者を募集し、2,274名の被験者を対象に被験者間要因実験を実施した。
• 実際のアプリ利用を模倣できるように、架空のフィットネストラッキングアプリを用いた、現実的なシナリオを設定した。
• 2つの独立変数を操作した：目立たせ方（クリックのみの通知、スタンドアロン画面の通知、埋め込み通知）とリスク水準（プライバシーに配慮した vs. プライバシーを侵害するデータ取り扱い）。
• 通知の内容を想起させるという形で、後続フィードバックを通じてユーザーの認識を測定したが、通知を読むように明示的な指示は与えなかった。
• 行動的および態度的結果を評価するため、アプリ利用意図、信頼感、リスク認識に関するデータを収集した。
• 分散分析（ANOVA）および事後多重比較検定を用いて、目立たせ方とリスク水準の交互作用に注目し、各条件間での想起性能を比較した。

実験結果

リサーチクエスチョン

• RQ1 簡潔なプライバシーポリシーの目立たせ方が、ユーザーがデータ取り扱いを想起する能力に顕著な影響を及えるか？
• RQ2 データ取り扱いのリスク水準（プライバシーに配慮した vs. 侵入的）が、通知の目立たせ方のユーザー想起への影響をどのように緩和・強化するか？
• RQ3 通知が目立たせて表示されている（例：スタンドアロン画面）場合と、クリックによってのみ表示される場合とでは、ユーザーがプライバシー情報をよりよく想起するか？
• RQ4 危険なデータ取り扱いについて、目立つ簡潔な通知が、目立たないか、簡潔さに欠ける通知よりも、ユーザーの認識を高めるか？

主な発見

• 目立たせ方が想起に顕著に影響：ユーザーは、スタンドアロン画面に表示された通知の内容を、クリックのみまたは埋め込み通知よりも顕著に想起していた。
• プライバシーを侵害する取り扱いについては、目立つ通知が顕著に高い想起率を示した（p < 0.001）。これは、ユーザーが予期しないまたは危険なデータ取り扱いに対して、明確に可視化された通知に注意を向けることを示している。
• 高い目立たせ方と高いリスクの組み合わせが、最も高い想起性能を示した。これは、ユーザーが危険なデータ管理に関する警告に特に注意を向ける傾向があることを示唆している。
• クリックのみの通知と埋め込み通知の条件間には、想起に有意な差が認められなかった。これは、目立たない配置ではユーザーの認識向上が達成されないことを示している。
• 目立つ高リスク通知にさらされた参加者からは、リスク認識が高まり、アプリ利用意図が低下した。これは、危険な取り扱いの可視化がユーザーの意思決定に影響を与えることを示している。
• クリックのみの条件では、信頼感や利用意図に有意な影響が認められなかった。これは、隠された通知でさえも、ユーザーの認識に影響を与えないことを示している。