[論文レビュー] Jurisdiction as Structural Barrier: How Privacy Policy Organization May Reduce Visibility of Substantive Disclosures

Thomas Brackin|arXiv (Cornell University)|Jan 28, 2026

Privacy, Security, and Data Protection被引用数 0

ひとこと要約

本論文は実質的データ実務の詳細が地域別セクションにのみ現れる法域別 silo化開示を特定し、規制される法域の外部ユーザーには通知が不十分となる可能性を指摘。普遍的な実質的開示を規範的標準として提案する。

ABSTRACT

Privacy policies are supposed to provide notice. But what if substantive information appears only where users skip it? We identify a structural pattern we call jurisdiction-siloed disclosure: information about data practices appearing in specific, actionable form only within regional compliance sections labeled "California Residents" or "EU/UK Users," while general sections use vague or qualified language for the same practices. Our audit of 123 major companies identifies 282 potential instances across 77 companies (62.6% of this purposive sample). A conservative estimate restricted to practice categories validated against OPP-115 human annotations finds 138 instances across 54 companies (44%); post-2018 categories central to our findings await independent validation. If users skip jurisdiction-labeled sections as information foraging theory predicts, users outside regulated jurisdictions would receive less specific information about practices affecting them--a transparency failure operating through document architecture rather than omission. We propose universal substantive disclosure: practices affecting all users should appear in the main policy body, with regional sections containing only procedural rights information. This standard finds support in analogous disclosure regimes (securities, truth-in-lending, nutritional labeling) where material information must reach all affected parties. Regulators could operationalize this through the FTC's "clear and conspicuous" standard and GDPR transparency principles. This work is hypothesis-generating: we establish that the structural pattern exists and ground the transparency concern in behavioral theory, but direct measurement of jurisdiction-specific section skipping remains the critical validation priority. We release our methodology and annotated dataset to enable replication.

研究の動機と目的

• 主要企業のプライバシーポリシーにおける構造的パターンとしての法域別 silo化開示を特定・運用化する。
• 実質的実務がメインポリシー本文に全ユーザーへ開示される普遍的な実質的開示を提案する。
• 法域別 silo化開示を検証するための実質/手続きのフレームワークと注釈方法論を構築する。
• 検証レベルの異なる状況下でパターンがどのように機能するかを示すケーススタディを提供する。
• 再現性と検証を可能にする123社の主要企業プライバシーポリシーの注釈付きデータセットを公開する。

提案手法

• 実質開示の配置について14業界の123社のプライバシーポリシーを監査する。
• 実質的内容と手続き的内容、地域セクションと本文中の配置を区別する。
• 開示を注釈付けし、独立した再現と検証を可能にするデータセットを提供する。
• 観察されたパターンを規制文脈（CCPA、GDPR等）および既存のポリシー分析コーパスと比較する。
• 今後の法域スキップ開示の測定に向けた検証経路と測定フレームワークを概説する。

実験結果

リサーチクエスチョン

• RQ1 実質的データ実務は法域特有のセクションにのみ現れ、非規制ユーザーの可視性を低下させるのか。
• RQ2 普遍的な実質的開示はプライバシーポリシー全体で実行可能な normative standard となり得るのか。
• RQ3 主要企業間で法域 silo化開示の有病率と関与する実務は何か。
• RQ4 他のサンプルに対してこのパターンを検証するために、実質/手続きフレームワークをどう適用できるか。
• RQ5 普遍的な実質的開示を支持または反証する規制的・理論的正当性は何か。

主な発見

Current Pattern	Substantive Content Location	General Language Level	Proposed Standard	Notes
Jurisdiction-siloed disclosure	Substantive disclosures in California/EU/Illinois sections	Vague/hedged language in general sections	Universal substantive disclosure in main body; procedural regional sections	Pushes substantive content outside jurisdiction-specific silos
Universal substantive disclosure (proposed)	Main body contains substantive disclosures; regional sections contain procedural content	N/A	Substantive content universal; procedural content regional	Cross-references allowed from regional sections

• 監査されたポリシーの大半に法域別 silo化開示パターンが見られ、実質開示は主に地域別セクションに現れていた。
• 検証済みカテゴリに限定した保守的推定では138件が54社（44%）に、初期のより大きな推定では（282件・77社、62.6%）という結果が出た。
• 普遍的な実質開示標準を提案し、全ユーザーに影響を及ぼす実質的実務は本文に現れるべきだと主張する。
• 地域セクションには手続的権利情報のみを含め、普遍的開示へのクロスリファレンスを認めるべきだ。
• 本研究は仮説生成型であり、現象と頻度の独立検証を求め、再現のための方法論とデータセットを公開する。