[論文レビュー] Privacy Rarely Considered: Exploring Considerations in the Adoption of Third-Party Services by Websites

Christine Utz, Sabrina Amft+4 more|arXiv (Cornell University)|Mar 21, 2022

Privacy, Security, and Data Protection被引用数 6

ひとこと要約

本研究は、ウェブ開発者がサードパーティサービスを採用する際、プライバシーをどの程度考慮しているかを調査し、統合のしやすさや人気度がプライバシー懸念よりも採用を左右することが明らかになった。法的要件や明確なガイドラインが存在する場合、特にウェブアナリティクス分野においてのみ、開発者は訪問者のプライバシーを優先するが、深刻なトラッキングリスクがあるにもかかわらず、データ保護責任者による関与は限定的である。

ABSTRACT

Modern websites frequently use and embed third-party services to facilitate web development, connect to social media, or for monetization. This often introduces privacy issues as the inclusion of third-party services on a website can allow the third party to collect personal data about the website's visitors. While the prevalence and mechanisms of third-party web tracking have been widely studied, little is known about the decision processes that lead to websites using third-party functionality and whether efforts are being made to protect their visitors' privacy. We report results from an online survey with 395 participants involved in the creation and maintenance of websites. For ten common website functionalities we investigated if privacy has played a role in decisions about how the functionality is integrated, if specific efforts for privacy protection have been made during integration, and to what degree people are aware of data collection through third parties. We find that ease of integration drives third-party adoption but visitor privacy is considered if there are legal requirements or respective guidelines. Awareness of data collection and privacy risks is higher if the collection is directly associated with the purpose for which the third-party service is used.

研究の動機と目的

• ウェブ開発におけるサードパーティサービスの採用意思決定プロセスを理解すること。
• ウェブ開発者がサードパーティ機能を統合する際、訪問者のプライバシーをどの程度考慮しているかを評価すること。
• 法的要件、ガイドライン、およびプライバシー責任者がプライバシーに配慮した開発実践を形作る役割を調査すること。
• 開発者たちがサードパーティサービスによるデータ収集およびトラッキングについてどの程度認識しているかを調査すること。
• ウェブ開発ワークフローにおけるプライバシー・バイ・デザインの実践と倫理的リサーチ実践のギャップを特定すること。

提案手法

• ウェブサイト作成・保守に従事する395名のプロフェッショナルを対象にオンライン調査を実施した。
• アナリティクス、ソーシャルメディア、フォームなど10の一般的なウェブ機能に焦点を当て、サードパーティサービスの使用状況とプライバシー配慮を評価した。
• サービス選定要因、プライバシー保護対策、データ収集の認識に関するデータを収集した。
• プライバシー配慮と法的要件またはガイドラインに基づく要件との相関関係を特定するために回答を分析した。
• GitHubのメールアドレスを用いたデータ収集といった研究上の倫理的課題を評価し、機関によるGDPR適合性の確認を求める措置を取った。
• 研究の責任ある実施を確保するため、提出後におけるコミュニティ倫理審査委員会による倫理的レビューを実施した。

実験結果

リサーチクエスチョン

• RQ1 ウェブ開発者は、サードパーティサービスの選定および統合の際、訪問者のプライバシーをどの程度考慮しているか？
• RQ2 統合のしやすさ、人気度、法的要件といった要因の中で、どれがサードパーティサービスの採用を左右しているか？
• RQ3 データ保護責任者や法務担当者は、サードパーティサービス統合意思決定プロセスにどの程度関与しているか？
• RQ4 開発者たちは、サードパーティサービスによるデータ収集およびトラッキングについてどの程度認識しているか？
• RQ5 法的・規制的フレームワークは、ウェブ開発におけるプライバシー配慮にどのように影響しているか？

主な発見

• 統合のしやすさとサードパーティサービスの人気度が、採用意思決定の主な駆動要因であり、プライバシー懸念を上回ることが多い。
• 法的要件や公式ガイドラインが存在する場合、特にウェブアナリティクスや同意管理分野において、プライバシーが顕著に配慮される。
• 深刻なプライバシーインパクトがあるにもかかわらず、データ保護責任者や法務担当者はサードパーティ統合意思決定にほとんど関与していない。
• アナリティクスやソーシャルメディアウィジェットのように、トラッキングがサービスの目的と直接関連している場合、データ収集の認識は高まる。
• GDPRの施行にもかかわらず、サードパーティトラッキングは依然として広範にわたって存在しており、ウェブ開発におけるプライバシー・バイ・デザインの採用が限定的であることが示唆される。
• GitHubのメールアドレスの使用といった研究上の倫理的課題は、プライバシー研究における前向きな倫理的レビューの必要性を浮き彫りにしている。