[論文レビュー] (Un)informed Consent: Studying GDPR Consent Notices in the Field

Christine Utz, Martin Degeling+3 more|arXiv (Cornell University)|Sep 5, 2019

Privacy, Security, and Data Protection参考文献 30被引用数 64

ひとこと要約

本論文は実世界での GDPR クッキー同意通知の設計を研究し、位置、選択肢の数、ニュージング、表現がドイツのECサイトにおけるユーザーのインタラクションと同意決定に与える影響を実験的に検証する。

ABSTRACT

Since the adoption of the General Data Protection Regulation (GDPR) in May 2018 more than 60 % of popular websites in Europe display cookie consent notices to their visitors. This has quickly led to users becoming fatigued with privacy notifications and contributed to the rise of both browser extensions that block these banners and demands for a solution that bundles consent across multiple websites or in the browser. In this work, we identify common properties of the graphical user interface of consent notices and conduct three experiments with more than 80,000 unique users on a German website to investigate the influence of notice position, type of choice, and content framing on consent. We find that users are more likely to interact with a notice shown in the lower (left) part of the screen. Given a binary choice, more users are willing to accept tracking compared to mechanisms that require them to allow cookie use for each category or company individually. We also show that the wide-spread practice of nudging has a large effect on the choices users make. Our experiments show that seemingly small implementation decisions can substantially impact whether and how people interact with consent notices. Our findings demonstrate the importance for regulation to not just require consent, but also provide clear requirements or guidance for how this consent has to be obtained in order to ensure that users can make free and informed choices.

研究の動機と目的

• 実サイト全体で同意通知の共通UI特性を体系的に特定する。
• 通知の位置、選択肢の数、ニュージングが同意通知へのユーザーのインタラクションに与える影響を実証的に評価する。
• 表現の言語（技術的 vs 非技術的）とプライバシーポリシーリンクの有無が同意決定に与える影響を評価する。
• 情報に基づく、本人の自由意思による同意を可能にするための規制当局およびデザイナーへのエビデンスに基づく指針を提供する。

提案手法

• EU のウェブサイトから収集した 5,087 件のうち、UI変数を特定するために 1,000 件の同意通知のサンプルを作成する。
• 3 つの実験にまたがり、ドイツのECサイトで82,890人の実訪問者を対象とする大規模な被験者間実地研究を実施する。
• 通知の位置、選択肢の数、ニュージング、および言語（言語/プライバシーポリシーリンク）を操作して、相互作用率への影響を観察する。
• ユーザー識別子とGDPR準拠の疑似匿名化を用い、相互作用・ページ読み込み・調査招待を記録するよう改変したブラウザプラグインを使用する。
• 定量データを補完するため、ユーザーの動機や認識を捉える短い追跡調査を追加する。

実験結果

リサーチクエスチョン

• RQ1 クッキー同意通知の位置は訪問者の同意決定に影響を与えるか。
• RQ2 選択肢の数とニュージング（強調/事前選択）は同意決定に影響を与えるか。
• RQ3 プライバシーポリシーリンクの有無や技術的言語と非技術的言語の使用は同意決定に影響を与えるか。

主な発見

• 左下に配置された通知が最もユーザーと相互作用し、上部のバーは相互作用率が最も低い。
• 2つを超える選択肢を提供する通知は相互作用を減少させるか、より多くの拒否につながり、オプトアウト寄りの設計は承認をより促進する。
• 強調表示や事前選択によるニュージングは承諾率を高め、デフォルトでのプライバシーが意味的な同意を損なう可能性を示唆している。
• 技術的な言語（クッキー中心）は相互作用を増やすが、クッキー受諾の可能性を低下させる。
• プライバシーポリシーリンクは相互作用を高めず、ユーザーは通知自体により実践的な情報を求める。
• 調査回答はカテゴリベースの選択を好み、単純なはい/いいえ以上の透明な仕組みを求めている。
• オプトアウト同意バナーは意味のある同意を生み出す可能性が低く、カテゴリ別のオプトイン通知を推奨する。