[論文レビュー] The Impact of User Location on Cookie Notices (Inside and Outside of the European Union)

Rob van Eijk, Hadi Asghari+2 more|arXiv (Cornell University)|Oct 19, 2021

Privacy, Security, and Data Protection被引用数 16

ひとこと要約

本研究では、18か国から1,500のウェブサイトを対象に自動検出を用いて、Cookieお知らせの表示がユーザーの所在地やウェブサイトのトップレベルドメイン（TLD）によって異なるかどうかを調査している。その結果、TLDが、ユーザーの立場よりも主にCookieお知らせの有無やデザインを決定していることが判明したが、.comドメインについては、EU内からアクセスされた場合にバナーの可視性が顕著に高くなることから、実際には地域による適合性の変化が見られることが示された。

ABSTRACT

The web is global, but privacy laws differ by country. Which set of privacy rules do websites follow? We empirically study this question by detecting and analyzing cookie notices in an automated way. We crawl 1,500 European, American, and Canadian websites from each of 18 countries. We detect cookie notices on 40 percent of websites in our sample. We treat the presence or absence of cookie notices, as well as visual differences, as proxies for differences in privacy rules. Using a series of regression models, we find that the website's Top Level Domain explains a substantial portion of the variance in cookie notice metrics, but the user's vantage point does not. This suggests that websites follow one set of privacy rules for all their users. There is one exception to this finding: cookie notices differ when accessing .com domains from inside versus outside of the EU. We highlight ways in which future research could build on our preliminary findings.

研究の動機と目的

• ユーザーの地理的所在地に基づいてウェブサイトがCookieお知らせを変更するかどうか、特に異なるプライバシー規制に応じて変化するかを調査すること。
• ユーザーの実際の立場よりも、ウェブサイトのトップレベルドメイン（TLD）が、Cookieお知らせ行動の予測要因としてより強い要因であるかどうかを評価すること。
• 大規模なグローバルプライバシーコンプライアンスを測定するための自動検出の有効性を評価すること。
• これらの発見が、将来のウェブプライバシーメasurements手法および規制執行に与える影響を検討すること。

提案手法

• 2019年1月に、18か国（15か国がEUに加えカナダ、スイス、米国）の上位100位のウェブサイトを対象とした自動ウェブクローリング。
• 「I don’t care about cookies」拡張機能が提供するバナー要素のリストを用いて、Cookieバナー検出モジュールをOpenWPMフレームワークに拡張。
• TLDおよび立場がCookieお知らせ指標（有無、高さ、語数、リンク数、言語）に与える影響を分析するための回帰モデルの適用。
• TextBlobライブラリを用いて、国別比較を可能にするためにCookieお知らせの主な言語を特定。
• 誤検出率（1％未満）および誤検出率（約20％）を用いて検出精度を評価。ただし、Cookieウォールの検出には限界がある。
• TLDおよび立場ごとのCookieお知らせの特徴を比較することで、規制的要因と実装的要因を分離する。

実験結果

リサーチクエスチョン

• RQ1 ユーザーの地理的所在地が、ウェブサイトのCookieお知らせの有無やデザインに影響を与えるか？
• RQ2 ユーザーの立場と比較して、ウェブサイトのトップレベルドメイン（TLD）が、そのCookieお知らせ行動をどの程度予測できるか？
• RQ3 ユーザーの立場に応じてCookieお知らせを変更するウェブサイトは、特に.comドメインにおいて例外的に存在するか？
• RQ4 高さ、リンク数、言語などのCookieお知らせの特徴は、異なるTLDや地域でどのように変化するか？
• RQ5 これらの発見は、大規模なウェブプライバシーメasurementsプロジェクトの方法論にどのような影響を与えるか？

主な発見

• ウェブサイトのトップレベルドメイン（TLD）が、Cookieお知らせ指標のばらつきの大部分を説明しており、ユーザーの所在地に関係なく、同じプライバシールールに従っていることが示された。
• ユーザーの立場は、大多数のTLDにおいて、Cookieお知らせの有無やデザインに顕著な影響を及ぼさない。これは、ウェブサイトが規制適合性の代理指標としてTLDを利用しているという仮説を支持する。
• .comドメインでは、EU内からアクセスされた場合、EU外からアクセスした場合と比較して、Cookieバナーが表示される確率が102％上昇する。これは、地域による適合性の変化を示している。
• .comドメインのCookieバナーは、EU諸国からアクセスされた場合に顕著に多く表示される傾向があり、EUユーザー向けのGDPR要件への適合を示唆している。
• ベルギーおよびオランダのウェブサイトでは、高さの大きなバナーが一般的であり、国家的な監督機関の厳しい執行や指針に一致している。
• GDPR施行後、Cookieバナーのリンク数が増加しており、明確な同意メカニズムを満たすための努力の兆候である可能性がある。