[논문 리뷰] Circumvention by design -- dark patterns in cookie consents for online news outlets

Than Htut Soe, Oda Elise Nordberg외 2명|arXiv (Cornell University)|2020. 06. 24.

Privacy, Security, and Data Protection인용 수 4

한 줄 요약

이 연구는 스칸디나비아 및 영어권 온라인 뉴스 매체에서 수집한 300개의 쿠키 동의 알림을 수작업으로 분석하여, GDPR의 목적을 침해하는 사용자 선택을 조작하는 위장성 UI 설계를 사용한 것이 297개(99%)로 나타났다. 논문은 동의 인터페이스에서 관찰된 8종의 다양한 어둠의 패턴을 특정하고, 사용자 자율성 보호를 위해 UI 설계에 대한 규제가 필요하다고 강조한다.

ABSTRACT

To ensure that users of online services understand what data are collected and how they are used in algorithmic decision-making, the European Union's General Data Protection Regulation (GDPR) specifies informed consent as a minimal requirement. For online news outlets consent is commonly elicited through interface design elements in the form of a pop-up. We have manually analyzed 300 data collection consent notices from news outlets that are built to ensure compliance with GDPR. The analysis uncovered a variety of strategies or dark patterns that circumvent the intent of GDPR by design. We further study the presence and variety of these dark patterns in these "cookie consents" and use our observations to specify the concept of dark pattern in the context of consent elicitation.

연구 동기 및 목표

• 온라인 뉴스 매체가 GDPR을 준수하면서 쿠키 동의 알림을 어떻게 구현하고 있는지 조사하기 위해.
• 이러한 동의 인터페이스에서 사용된 어둠의 패턴을 식별하고 분류하기 위해.
• 특히 뉴스 매체가 진실과 신뢰를 증진하는 사회적 역할을 맡고 있음을 감안할 때, 윤리적 설계 원칙이 동의 메커니즘에서 지켜지고 있는지 검토하기 위해.
• 사용자 통제를 보장하기 위해 데이터 처리와 함께 UI 설계도 규제되어야 한다고 주장하기 위해.
• 뉴스 웹사이트에서의 동의 유도에 특화된 수작업으로 구성된 데이터셋과 개선된 어둠의 패턴 분류 체계를 기여하기 위해.

제안 방법

• 스칸디나비아 및 영어권 뉴스 매체의 300개 쿠키 동의 알림에 대해 수작업 기반의 질적 분석을 수행하였다.
• Gray 등(2018)의 어둠의 패턴 프레임워크를 이론적 기준으로 삼아 속임수 설계 전략을 식별하였다.
• 강제 연속성, 프라이버시 쿡커스, 위장广고 등의 행동 조작 기법을 기반으로 관찰된 패턴을 분류하였다.
• 동의 거부에 소요되는 노력, 텍스트의 명확성, 선택 취소 기능의 접근성 등을 포함한 설계 복잡도를 평가하였다.
• 노트북에서 브라우저 기반 점검을 통해 첫 번째 사용자 상호작용를 시뮬레이션하여 데이터를 수집하였다.
• 향후 자동 탐지에 적합한 명확한 식별 기능을 갖춘, 동의 맥락에서의 어둠의 패턴에 대한 개선된 정의를 제안하였다.

실험 결과

연구 질문

• RQ1 GDPR 요구사항에도 불구하고 온라인 뉴스 매체가 쿠키 동의 인터페이스에서 얼마나 광범위하게 어둠의 패턴을 사용하고 있는가?
• RQ2 뉴스 웹사이트의 동의 알림에서 가장 흔한 특정 유형의 어둠의 패턴은 무엇인가?
• RQ3 동의 인터페이스의 설계 선택이 사용자가 데이터 수집을 의미 있게 거부할 수 있는 능력에 어떤 영향을 미치는가?
• RQ4 동의 알림의 설계 요소가 GDPR에서 요구하는 투명하고 자유로운 동의 원칙을 어떻게 침해하는가?
• RQ5 수작업으로 식별된 사례들로부터 표준화되고 기계로 읽을 수 있는 어둠의 패턴 분류 체계를 마련할 수 있는가?

주요 결과

• 분석한 300개 쿠키 동의 알림 중 297개(99%)가 적어도 하나의 어둠의 패턴을 사용하여, 이는 유의미한 수준의 조작성 UI 설계의 보편적 사용을 시사한다.
• 가장 흔한 어둠의 패턴으로는 강제 연속성(예: 계속 진행하려면 '수락'을 클릭하도록 요구), 프라이버시 쿡커스(예: '이해했습니다'와 같은 오해의 소지가 있는 레이블을 '거부' 또는 '기각' 대신 사용), 위장 광고(예: '수락' 버튼을 '기각'보다 더 두드러지게 표시) 등이 있다.
• 300개의 동의 알림 중에서 사용자가 상당한 상호작용 노력 없이 쉽게 동의를 거부할 수 있었던 것은 단 3개에 불과하여, 동의 거부에 대한 체계적인 설계 장벽이 존재함을 보여준다.
• 쿠키 목적 및 범주에 대한 텍스트 설명이 자주 모호하거나 누락되어 있어 투명성과 토론 기반 결정보다 낮은 수준의 정보 제공이 이루어지고 있다.
• 사용자가 나중에 자신의 동의 설정을 변경할 수 있는 일관되고 접근 가능한 메커니즘이 전혀 발견되지 않아 장기적인 사용자 통제가 약화되고 있음을 확인하였다.
• 저자들은 향후 연구에서 자동 탐지에 적합한 명확한 식별 기능을 갖춘, 동의 맥락에서의 어둠의 패턴에 대한 개선된 실용적 정의를 제안한다.