[論文レビュー] Uncovering the Flop of the EU Cookie Law

Martino Trevisan, Stefano Traverso+2 more|arXiv (Cornell University)|May 24, 2017

Privacy, Security, and Data Protection参考文献 19被引用数 15

ひとこと要約

本論文は、EU電気的通信指令に準拠するためのユーザーの同意を得る前にプロファイリングCookieを設置しているかどうかを検出することで、EU電気的通信指令の準拠状況を監査する自動化ツールであるCookieCheckを紹介する。35,000件以上のウェブサイトを分析した結果、65％が事前の同意を得ずにトラッキングCookieを設置しており、実装から数年が経過しても、監査の面で体系的な失敗が生じていることが明らかになった。

ABSTRACT

In 2002, the European Union (EU) introduced the ePrivacy Directive to regulate the usage of online tracking technologies. Its aim is to make tracking mechanisms explicit while increasing privacy awareness in users. It mandates websites to ask for explicit consent before using any kind of profiling methodology, e.g., cookies. Starting from 2013 the Directive is mandatory, and now most of European websites embed a "Cookie Bar" to explicitly ask user's consent. To the best of our knowledge, no study focused in checking whether a website respects the Directive. For this, we engineer CookieCheck, a simple tool that makes this check automatic. We use it to run a measurement campaign on more than 35,000 websites. Results depict a dramatic picture: 65% of websites do not respect the Directive and install tracking cookies before the user is even offered the accept button. In few words, we testify the failure of the ePrivacy Directive. Among motivations, we identify the absence of rules enabling systematic auditing procedures, the lack of tools to verify its implementation by the deputed agencies, and the technical difficulties of webmasters in implementing it.

研究の動機と目的

• ウェブサイトにおけるEU電気的通信指令の現実世界での実装および準拠状況を調査すること。
• ユーザーの同意を得る前にプロファイリングCookieを設置しているかどうかを検出できる自動化ツールの開発。
• ヨーロッパのウェブサイト全体における非準拠の程度を測定し、国、分野、デバイスタイプごとのパターンを特定すること。
• 非準拠の根本的原因を分析すること、特に標準化された監査手順の欠如やウェブマスターが直面する技術的課題を含む。
• 現在の監査メカニズムの失敗と、より優れた規制ツールの必要性について、政策立案者や研究者に情報を提供すること。

提案手法

• CookieCheckは、新しいユーザーの訪問をエミュレートすることで、プロファイリングCookieの検出を自動化する。
• 初期のページロード後にブラウザに設置されたCookieを分析し、プロファイリングと分類されるものを特定する。
• ユーザーが同意メカニズム（例：Cookieバー）にアクセスする前にもプロファイリングCookieが設置されている場合、ウェブサイトは非準拠とマークされる。
• 測定キャンペーンでは、25カ国および25の分野にまたがる35,000件のウェブサイトを、異なる地理的場所から制御されたクローリングを用いて調査した。
• 規制の厳しさに差がある国々における準拠状況を比較し、モバイルおよびデスクトップデバイスの両方で評価した。
• ボックスプロット分析を用いて、より厳しい国家的実施措置を取っている国とそうでない国との間で、Cookie数の差が存在するかを評価した。

実験結果

リサーチクエスチョン

• RQ1 ヨーロッパのウェブサイトは、EU電気的通信指令が要求するように、プロファイリングCookieを設置する前に事前の同意を得ているか。
• RQ2 ニュース、政府、アダルトコンテンツなど、さまざまなウェブサイトの分野において、準拠状況はどのように異なるか。
• RQ3 国家的実施の厳しさが、準拠率に影響を与えるか。
• RQ4 ユーザーの地理的場所やデバイスタイプによって、Cookieの設置に顕著な差が生じるか。
• RQ5 効果的な指令の監査を妨げる主な技術的および制度的障壁は何か。

主な発見

• 分析対象の35,000件のウェブサイトのうち65％が、同意メカニズムを提示する前にプロファイリングCookieを設置しており、電気的通信指令に違反している。
• ニュースおよびメディア分野では非準拠率が92％に達し、全分野の中で最も高い違反レベルを示している。
• アダルトサイトは比較的高い準拠率を示しており、法律および政府サイトに次いで2番目に高い水準にあり、分野ごとの監査パターンが存在する可能性を示唆している。
• 厳しい（例：イタリア）または緩い（例：ドイツ）国家的実施措置を取っている国からのクローリングにおいて、プロファイリングCookieの数に顕著な差は認められなかった。
• ブラウザやデバイスタイプ（モバイル対デスクトップ）を変更しても、インストールされるCookie数に顕著な差はなく、環境を問わず一貫した非準拠行動が確認された。
• 非準拠の主な要因として、5つの要因を同定した：標準化された監査手順の欠如、自動検証ツールの不在、Cookieバーの仕様が不明瞭であること、ウェブマスターが直面する技術的複雑性、ユーザーのプライバシー意識の低さ。