[論文レビュー] The Unwanted Sharing Economy: An Analysis of Cookie Syncing and User Transparency under GDPR

Tobias Urban, Dennis Tatang+3 more|arXiv (Cornell University)|Nov 21, 2018

Privacy, Security, and Data Protection参考文献 12被引用数 12

ひとこと要約

本研究は、オンライン広告におけるGDPRの影響を分析し、クッキー同期とユーザーのデータ移転可能性に焦点を当てる。400のブラウザプロファイルを用いた実証的測定の結果、GDPR施行後、第三者クッキー同期接続は40％減少したが、根本的なスター型トポロジーのネットワーク構造は変化しなかった。法的義務にもかかわらず、58％の企業がGDPRが定める30日以内のデータアクセス要求への対応に失敗し、多くの企業が不釣り合いな確認手続きを課した。

ABSTRACT

The European General Data Protection Regulation (GDPR), which went into effect in May 2018, leads to important changes in this area: companies are now required to ask for users' consent before collecting and sharing personal data and by law users now have the right to gain access to the personal information collected about them. In this paper, we study and evaluate the effect of the GDPR on the online advertising ecosystem. In a first step, we measure the impact of the legislation on the connections (regarding cookie syncing) between third-parties and show that the general structure how the entities are arranged is not affected by the GDPR. However, we find that the new regulation has a statistically significant impact on the number of connections, which shrinks by around 40%. Furthermore, we analyze the right to data portability by evaluating the subject access right process of popular companies in this ecosystem and observe differences between the processes implemented by the companies and how they interpret the new legislation. We exercised our right of access under GDPR with 36 companies that had tracked us online. Although 32 companies (89%) we inquired replied within the period defined by law, only 21 (58%) finished the process by the deadline set in the GDPR. Our work has implications regarding the implementation of privacy law as well as what online tracking companies should do to be more compliant with the new regulation.

研究の動機と目的

• オンライン広告エコシステムにおける第三者クッキー同期に及ぼすGDPRの影響を評価すること。
• 主要なオンラインサービスがGDPRのデータ移転可能性および本人情報照会権（SAR）権をどの程度遵守しているかを評価すること。
• 企業がデータ共有およびユーザーの透明性に関する新たな法的義務をどのように解釈し、実装しているかを調査すること。
• 第三者データ共有ネットワークにおける構造的パターンを特定し、GDPR下でのユーザーのデータコントロールを評価すること。

提案手法

• 400のブラウザプロファイルが数百のウェブサイトを訪問した際のクッキー同期をもとに、第三者関係をモデル化する非有向グラフを構築した。
• GDPR施行の6か月前後を対象にデータ収集を行い、接続頻度およびネットワーク構造の変化を測定した。
• GDPRのアクセス権を行使し、39社の企業にSARを提出。応答時間、必要な確認手順、提供されたデータ形式を記録した。
• プライバシーポリシーおよびSAR応答を分析し、透明性、データ開示レベル、GDPR解釈基準への適合度を評価した。
• 第三者サービス間のネットワークトポロジー（例：スター構成）を特定し、間接的なデータ共有リスクを理解した。
• GDPR下での「提供されたデータ」の定義について、直接入力されたデータとトラッキングによる推定データを区別して比較した。

実験結果

リサーチクエスチョン

• RQ1 GDPRは、オンライン広告エコシステムにおける第三者クッキー同期接続の数をどの程度削減したか？
• RQ2 企業はGDPRの本人情報照会権（SAR）プロセスをどの程度解釈・実装しているのか。ユーザーに対してどのような障壁を課しているのか？
• RQ3 第三者サービス間のデータ共有にどのような構造的パターンが見られるのか。それらはユーザーのデータの透明性およびコントロールにどのように影響するか？
• RQ4 企業は、第三者データ共有パートナーの開示に関してどの程度一貫性を示しているのか。プライバシーポリシーとSAR応答では、提供される情報にどのような差があるのか？
• RQ5 企業はSARに対するGDPRが定める30日間の対応期限をどの程度守っているのか？

主な発見

• GDPRの影響により、第三者クッキー同期接続数は統計的に有意に40％減少したが、全体的なネットワーク構造（主にスター型トポロジー）はほとんど変化しなかった。
• 法的義務にもかかわらず、58％の企業がGDPRが定める30日以内に本人情報照会権プロセスを完了できなかった。
• 多くの企業が不釣り合いな確認要件を課しており、例えば公式身分証明書のコピーまたは署名済み誓約書の提出を求めるなど、著しく過剰な措置を取っていた。
• 3社のみが、ユーザーのデータを共有したすべての第三者を明確に特定していた。残りの企業は数えきれないほどのパートナーをリストアップするか、まったく開示しなかった。
• プライバシーポリシーはしばしばデータ共有実態の詳細を十分に提供しておらず、ユーザーの透明性および意思決定の根拠となる同意の実現を損なっていた。
• 本研究は、企業がGDPR規定を解釈・適用する際の顕著な不一致を明らかにした。特に、データ移転可能性および「提供されたデータ」の定義に関して顕著な差異が見られた。