[論文レビュー] Fighting the Fog: Evaluating the Clarity of Privacy Disclosures in the Age of CCPA

Rex Chen, Fei Fang+3 more|arXiv (Cornell University)|Sep 28, 2021

Privacy, Security, and Data Protection参考文献 36被引用数 6

ひとこと要約

本研究は、カリフォルニア州のCCPAに基づくプライバシー開示の明確さを、95の世界的に人気のあるウェブサイトのプライバシーポリシーを分析し、364名のカリフォルニア住民を対象にしたアンケート調査を通じて評価した。その結果、'sale' や 'business purpose' といったCCPA用語の解釈が一貫せず、曖昧な表現や解釈の違いが生じ、消費者の理解を著しく損なうことが判明した。これは、法の目的である情報に基づいたプライバシー意思決定を可能にするという点で、法の趣旨を損なうものであった。

ABSTRACT

Vagueness and ambiguity in privacy policies threaten the ability of consumers to make informed choices about how businesses collect, use, and share their personal information. The California Consumer Privacy Act (CCPA) of 2018 was intended to provide Californian consumers with more control by mandating that businesses (1) clearly disclose their data practices and (2) provide choices for consumers to opt out of specific data practices. In this work, we explore to what extent CCPA's disclosure requirements, as implemented in actual privacy policies, can help consumers to answer questions about the data practices of businesses. First, we analyzed 95 privacy policies from popular websites; our findings showed that there is considerable variance in how businesses interpret CCPA's definitions. Then, our user survey of 364 Californian consumers showed that this variance affects the ability of users to understand the data practices of businesses. Our results suggest that CCPA's mandates for privacy disclosures, as currently implemented, have not yet yielded the level of clarity they were designed to deliver, due to both vagueness and ambiguity in CCPA itself as well as potential non-compliance by businesses in their privacy policies.

研究の動機と目的

• CCPAで義務付けられたプライバシー開示が、消費者がデータ取扱いについてどれほど明確に理解できるかを評価すること。
• プライバシーポリシーにおける表現の違いが、CCPAの権利についての消費者の理解に与える影響を調査すること。
• 企業および消費者の両方が誤解を生じる原因となる、CCPA用語における具体的な曖昧さを同定すること。
• CCPAの「通知と選択」フレームワークが、消費者が情報に基づいた意思決定をとるのをどの程度効果的に支援しているかを評価すること。

提案手法

• 米国上位のウェブサイト95件のプライバシーポリシーを体系的に分析し、CCPA開示の適合性と明確さを評価した。
• ポリシー文書全体にわたる、'sale'、'business purpose'、'service provider' といった用語における主要な曖昧さを特定した。
• カリフォルニア住民364名を対象に、表現の異なるポリシー抜粋を用いたアンケート調査を設計・実施し、理解度をテストした。
• 消費者の回答を基準事実（ground truth）と比較することで、データ取扱いに関する理解の正確さを測定した。
• 制御されたポリシー抜粋を用いて、表現の違いが認識に与える影響を分離し、ブランドによるバイアスの影響を最小限に抑えた。
• アンケートの根拠（rationales）を定性的に分析し、回答者がテキストに基づいて解釈していたことを検証した。

実験結果

リサーチクエスチョン

• RQ1 企業は、'sale'、'business purpose'、'service provider' というCCPA用語の定義を、どれほど一貫して解釈・適用しているか。
• RQ2 プライバシー開示の表現の違いが、消費者がデータ共有の実態やCCPAにおけるプライバシー権について理解するのに、どのように影響を与えるか。
• RQ3 法的根拠が一貫しているにもかかわらず、消費者が誤解を生じる原因となる、ポリシー文言における具体的な曖昧さは何か。
• RQ4 異なる開示スタイルにおいて、消費者がオプトアウト機能の有効性やデータ削除後の結果についてどのように認識しているか。
• RQ5 現在のCCPA開示は、法で求められる明確さの基準をどれほど満たしているか。

主な発見

• 企業はCCPA用語の適用を一貫していなかった。多くの企業がデータを'売却'していないと主張していた一方で、他の企業は、CCPAにおける'売却'の定義に該当するデータ共有を実施していることを認めている。
• 開示の質に顕著な差が認められ、多くのポリシーが、どの個人情報のカテゴリーが共有されたか、誰と共有されたか、削除依頼に対する結果の予測がどうなるかを明記していなかった。
• アンケート回答者たちは、データ共有の受取人、オプトアウトの有効性、削除後のデータ保持状況について、法的解釈が明確であっても、顕著な混乱を示した。
• ポリシー抜粋における表現の違いが、消費者の認識に顕著な違いをもたらしており、言語的表現の違いが理解に直接影響していることが示された。
• 本研究では、非適合や解釈の不一致の証拠が得られ、CCPAの明確さの要件が実務上はまだ完全に達成されていないことが示された。
• CPRAによる意図的な明確化にもかかわらず、'contractors' といった新規用語が追加の曖昧さをもたらす可能性があり、標準的かつ強制力のある開示フレームワークの必要性が浮き彫りになった。