[論文レビュー] Privacy Policies Across the Ages: Content and Readability of Privacy Policies 1996--2021

Isabel Wagner|arXiv (Cornell University)|Jan 21, 2022

Privacy, Security, and Data Protection被引用数 7

ひとこと要約

本縦断的研究では、1996年から2021年までの5万件のプライバシーポリシーを自然言語処理と機械学習を用いて分析し、ポリシーの長さが倍増し、可読性が低下したことが明らかになった。特にGDPRおよびCCPA導入後、データ収集の侵入的傾向が強化された。研究結果は、プライバシーポリシーが利用者の権利やデータ利用実態を隠蔽しており、ユーザーに役立たないことを示唆し、機械可読形式と規制改革による透明性向上とユーザーのコントロール強化を提言する。

ABSTRACT

It is well-known that most users do not read privacy policies, but almost all users tick the box to agree with them. In this paper, we analyze the 25-year history of privacy policies using methods from transparency research, machine learning, and natural language processing. Specifically, we collect a large-scale longitudinal corpus of privacy policies from 1996 to 2021 and analyze the length and readability of privacy policies as well as their content in terms of the data practices they describe, the rights they grant to users, and the rights they reserve for their organizations. We pay particular attention to changes in response to recent privacy regulations such as the GDPR and CCPA. Our results show that policies are getting longer and harder to read, especially after new regulations take effect, and we find a range of concerning data practices. Our results allow us to speculate why privacy policies are rarely read and propose changes that would make privacy policies serve their readers instead of their writers.

研究の動機と目的

• 25年間にわたるプライバシーポリシーの長さ、可読性、コンテンツの長期的傾向を調査すること。
• GDPRやCCPAのような主要なプライバシー規制がポリシーの進化に与える影響を評価すること。
• プライバシーポリシーにおける用語の変化、データ利用実態、ユーザー権利の表現の変化を特定すること。
• 最近の規制がユーザーのプライバシーに実質的な改善をもたらしたのか、あるいは単なるポリシーの肥大化にとどまったのかを評価すること。
• 技術的・規制的・測定的改革を提言し、プライバシーポリシーが組織の利益ではなくユーザーの利益を最優先する形に再設計すること。

提案手法

• インターネット・アーカイブのWayback Machineを用いて、1996年から2021年までの5万件の独自プライバシーポリシーテキストの縦断的コーパスを収集した。
• BERTベースのモデルを用いて、ポリシーのセグメントを内容分類（例：データ収集、ユーザー権利、第三者共有）に分類した。
• ポリシーテキストを論理的単位に無教師でセグメント化するため、GraphSegを用いた。
• 可読性評価式（例：Flesch Reading Ease）を用いて、時間経過に伴うテキストの複雑さを評価した。
• NLP分類器のトレーニングにOPP-115コーパスを活用し、時間的・言語的ドリフトに配慮した調整を施した。
• GDPR（2018年）およびCCPA（2020年）という主要な規制導入前後のポリシー内容を比較分析した。

実験結果

リサーチクエスチョン

• RQ1 1996年から2021年までの間、プライバシーポリシーの長さと可読性はどのように変化したか？
• RQ2 GDPRおよびCCPAの導入が、プライバシーポリシーの構造とコンテンツにどのような影響を与えたか？
• RQ3 時間経過に伴い、用語や主要なプライバシー関連用語の使用はどのように変化したか？
• RQ4 過去25年間で、プライバシーポリシーにカバーされるデータ利用実態とユーザー権利の表現はどのように進化したか？
• RQ5 プライバシーポリシーは、実質的なユーザーのコントロールを反映しているのか、それとも単なる規制適合チェックボックスの埋め込みにとどまっているのか？

主な発見

• 平均的なプライバシーポリシーの長さは、過去10年間で約2倍に増加し、2000年以降には4倍にまで拡大した。特にGDPRおよびCCPA導入後、顕著な増加が見られた。
• Flesch Reading Easeスコアは2001年の37から2021年の31に低下し、今や学術的法的文献と同程度に読みにくくなっている。
• ポリシーは、位置情報や暗黙的収集データを含む、敏感なデータの収集・共有をますます詳細に記述しているが、ユーザーの選択肢はほとんどない。
• ポリシー変更の適切な通知が不十分で、セキュリティおよびプライバシー対策に関する詳細情報も不足している。
• 第三者データ共有について、特定の実体を明示せず記述されるケースが増え、透明性が低下している。
• 規制の圧力にもかかわらず、プライバシーポリシーはますます曖昧になり、ユーザーにやさしくない状態に陥っており、組織の利益を優先する形に進化していると考えられる。