[논문 리뷰] A Fait Accompli? An Empirical Study into the Absence of Consent to Third-Party Tracking in Android Apps

Konrad Kollnig, Reuben Binns외 6명|arXiv (Cornell University)|2021. 06. 17.

Privacy, Security, and Data Protection인용 수 16

한 줄 요약

이 사례 기반 연구는 안드로이드 앱에서 제3자 추적에 대한 동의 메커니즘을 조사하며, 분석한 1,297개 앱 중 3.5% 미만이 추적 전에 유효한 사용자 동의를 제공하는 것으로 밝혀졌다. 유럽연합 및 영국의 개인정보 보호법은 동의를 요구하고 있으나, 추적 라이브러리는 종종 기본 동의 구현을 하지 않으며, 개발자들을 위한 지침은 흐릿하고 잘 유지되지 않아 실질적으로 광범위한 법적 위반 상황이 발생하고 있다.

ABSTRACT

Third-party tracking allows companies to collect users' behavioural data and track their activity across digital devices. This can put deep insights into users' private lives into the hands of strangers, and often happens without users' awareness or explicit consent. EU and UK data protection law, however, requires consent, both 1) to access and store information on users' devices and 2) to legitimate the processing of personal data as part of third-party tracking, as we analyse in this paper. This paper further investigates whether and to what extent consent is implemented in mobile apps. First, we analyse a representative sample of apps from the Google Play Store. We find that most apps engage in third-party tracking, but few obtained consent before doing so, indicating potentially widespread violations of EU and UK privacy law. Second, we examine the most common third-party tracking libraries in detail. While most acknowledge that they rely on app developers to obtain consent on their behalf, they typically fail to put in place robust measures to ensure this: disclosure of consent requirements is limited; default consent implementations are lacking; and compliance guidance is difficult to find, hard to read, and poorly maintained.

연구 동기 및 목표

• 유럽연합 및 영국의 앱 개발자가 제3자 추적 전에 유효한 동의를 확보해야 하는지 여부를 규명하는 것.
• 실제로 앱이 추적 전에 동의 메커니즘을 얼마나 구현하고 있는지 평가하는 것.
• 제3자 추적 기업이 앱 개발자가 동의를 구현하는 데 어떻게 지원하거나 방해하는지 평가하는 것.
• 추적 라이브러리의 부실한 문서화와 기본 동의가 없는 점으로 인한 동의 구현의 체계적 실패를 특정하는 것.

제안 방법

• 구글 플레이 스토어에서 수집한 1,297개 안드로이드 앱의 사례 기반 분석을 통해 추적 및 동의 관행을 평가하는 것.
• 동의를 지원한다고 주장하는 앱들에서 동의 사용자 인터페이스 패턴을 수집하고 분석하며, 구글, 트위터 모바일 퍼블리시팅, 및 커스텀 구현 사례 포함.
• 13개의 일반적으로 사용되는 제3자 추적 라이브러리의 공식 문서를 검토하여 동의 구현 지침을 평가하는 것.
• GDPR 및 영국 데이터 보호법의 법적 요구사항을 앱 및 추적 SDK의 기술적 구현과 연결하는 것.
• 추적 라이브러리 내에서 동의 공개, 기본 동작 방식, 준수 문서의 유지보수성 측면에서 격차를 식별하는 것.
• 플랫폼 게이트키퍼(예: 구글)가 생태계 정책과 기술적 설계 선택을 통해 사용자 동의를 어떻게 촉진하거나 저해하는지 평가하는 것.

실험 결과

연구 질문

• RQ1 유럽연합 및 영국의 앱 개발자는 제3자 추적 전에 유효한 사용자 동의를 확보해야 하는가?
• RQ2 안드로이드 앱이 제3자 추적 전에 실제로 얼마나 많은 유효한 동의를 확보하고 있는가?
• RQ3 제3자 추적 라이브러리는 개발자가 동의를 구현하는 데 어떻게 지원하거나 실패하는가?
• RQ4 추적 라이브러리에서 효과적인 동의 구현을 방해하는 기술적 및 문서화 측면의 결함는 무엇인가?
• RQ5 구글 같은 플랫폼 게이트키퍼가 추적에 대한 사용자 동의를 어떻게 촉진하거나 약화시키는가?

주요 결과

• 분석한 1,297개 안드로이드 앱 중 유일하게 3.5%만이 제3자 추적에 대한 진정한 사용자 선택(수락 또는 거부)을 제공했다.
• 대부분의 앱은 제3자 추적기를 사용하지만, 데이터 수집이 시작되기 전에 어떤 동의 메커니즘도 구현하지 못했다.
• 13개의 일반적으로 사용되는 추적 라이브러리 중 유일하게 3개만이 기본으로 동의를 구현했으며, 6개는 동의가 필요하지만 구현 가이드에 이를 공개하지 않았다.
• 동의 준수 문서는 자주 찾기 어려우며, 작성도 불량하고 유지보수되지 않아 개발자 혼란과 준수 미비를 초래했다.
• 구글의 생태계 정책, 예를 들어 추적 차단 앱 금지 및 안드로이드에서 AdID 접근에 대한 사용자 선택 기능 제공하지 않음으로써 사용자 프라이버시가 침해되고, 준수 미비 상황이 악화되고 있다.
• 본 연구는 이동식 추적 스택 전반에 걸친 동의 구현의 체계적 실패로 인해 광범위한 GDPR 및 영국 개인정보 보호법 위반이 발생하고 있다고 결론 내린다.