[論文レビュー] Opted Out, Yet Tracked: Are Regulations Enough to Protect Your Privacy?

Zengrui Liu, Umar Iqbal+1 more|arXiv (Cornell University)|Feb 2, 2022

Privacy, Security, and Data Protection被引用数 6

ひとこと要約

本論文は、広告主の入札行動をサイドチャネルとして用いる自動監査フレームワークを提案する。GDPRおよびCCPAの同意オプトアウトに従っても、一部の広告主は依然としてユーザーのデータを処理・共有しており、一部のCMP（Consent Management Platform）は他のものよりも著しく優れている一方、NAIの自己提供型オプトアウトも同様に効果が薄いことが判明した。

ABSTRACT

Data protection regulations, such as GDPR and CCPA, require websites and embedded third-parties, especially advertisers, to seek user consent before they can collect and process user data. Only when the users opt in, can these entities collect, process, and share user data. Websites typically incorporate Consent Management Platforms (CMPs), such as OneTrust and CookieBot, to solicit and convey user consent to the embedded advertisers, with the expectation that the consent will be respected. However, neither the websites nor the regulators currently have any mechanism to audit advertisers' compliance with the user consent, i.e., to determine if advertisers indeed do not collect, process, and share user data when the user opts out. In this paper, we propose an auditing framework that leverages advertisers' bidding behavior to empirically assess the violations of data protection regulations. Using our framework, we conduct a measurement study to evaluate four of the most widely deployed CMPs, i.e., Didomi, Quantcast, OneTrust, and CookieBot, as well as advertiser-offered opt-out controls, i.e., National Advertising Initiative's opt-out, under GDPR and CCPA. Our results indicate that in many cases user data is unfortunately still being collected, processed, and shared even when users opt-out. We also find that some CMPs are better than the others at conveying user consent and that several ad platforms ignore user consent. Our results also indicate that advertiser-offered opt-out are equally ineffective at protecting user privacy.

研究の動機と目的

• GDPRおよびCCPAにおけるユーザーのオプトアウト選択が広告主に準拠されているかどうかをスケーラブルに監査するメカニズムの欠如に応えること。
• 主要なConsent Management Platforms（CMPs）が、第三者広告主にユーザーの同意を適切に伝える効果を評価すること。
• 広告主が提供するオプトアウトメカニズム（例：NAIの中央オプトアウト）が、データ処理および共有を実際に防止できるかを調査すること。
• 制御されたA/B実験と入札行動を活用した自動フレームワークを構築・検証し、規制違反を検出すること。
• ユーザーがオプトアウトしても、技術的に同意が伝達されたとしても、トラッキングが確実に防止されないことを示すこと。

提案手法

• OpenWPMを拡張し、CMPを通じたプログラム的入会および退会を含む、ユーザーに似た行動を自動化すること。
• ユーザーの関心データをウェブサイトに漏洩させ、広告主の入札行動の変化を測定することで、制御されたA/B実験を実施すること。
• 高い入札額が、広告主がユーザーのデータを事前に把握している（処理または共有している）ことを示すという仮定を用いること。
• 実世界の状況を再現するために、Amazon EC2を用いてドイツおよびカリフォルニアの地理的に多様な場所からのユーザー訪問をシミュレートすること。
• 広告交換所から収集した入札データを分析し、オプトアウトにもかかわらず広告主がユーザーのデータを処理または共有しているかどうかを推定すること。
• サンプルバイアスを低減し、信頼性を向上させるために、352のウェブサイトで8回にわたって測定を繰り返すこと。

実験結果

リサーチクエスチョン

• RQ1 ユーザーがGDPRおよびCCPAの下でCMPを通じてオプトアウトした後も、広告主はどの程度、引き続きユーザーのデータを処理・共有しているか？
• RQ2 Didomi、Quantcast、OneTrust、CookieBotといった主要なCMPは、広告主がユーザーのオプトアウト選択を尊重するのにどの程度効果的か？
• RQ3 NAIの中央オプトアウトのような自己提供型オプトアウトメカニズムは、広告主によるデータ処理および共有を実際に防止できるか？
• RQ4 広告主の入札行動は、データ保護規制違反を検出するための信頼できるサイドチャネル信号として機能するか？
• RQ5 異なるCMPの実装方法が、実世界の広告エコシステムにおけるユーザー同意の実際の実行にどのような影響を及えるか？

主な発見

• CMPを通じてオプトアウトしたにもかかわらず、広告主はユーザーの関心が漏洩した場合に変化しない、あるいは増加する入札行動を示しており、ユーザーのデータ処理・共有が継続していることが裏付けられた。
• Didomiを通じて同意が伝達された場合、CCPA下で広告主の入札行動が顕著に変化した。他のCMPと比較して、より良い準拠を示している。
• OneTrustおよびCookieBotは、オプトアウト後も広告主がユーザーのデータに基づいて入札を続けるなど、オプトアウト選択の実行が弱かった。
• Quantcastは中程度の効果を示したが、すべてのオプトアウト信号が広告主によって尊重されたわけではない。
• 広告主が提供するオプトアウトメカニズム（例：NAIの中央オプトアウト）も、データ処理および共有を防止するのに同様に効果が薄いことが判明した。
• 本研究は、現在の規制メカニズムがユーザーのプライバシーを保護するのに不十分であることを確認した。なぜなら、積極的な監査がなければ準拠状況を検証できないからである。