[논문 리뷰] Fighting the Fog: Evaluating the Clarity of Privacy Disclosures in the Age of CCPA

Rex Chen, Fei Fang외 3명|arXiv (Cornell University)|2021. 09. 28.

Privacy, Security, and Data Protection참고 문헌 36인용 수 6

한 줄 요약

이 연구는 캘리포니아 주의 CCPA 하에 마련된 개인정보 공개의 명확성을 분석하기 위해 95개의 유명 웹사이트 개인정보 정책을 분석하고 캘리포니아 주민 364명을 대상으로 설문조사를 실시하였다. 연구 결과, '판매'(sale)와 '사업 목적'(business purpose) 등의 CCPA 용어에 대한 일관되지 않은 용어 사용, 모호한 언어, 그리고 해석의 차이가 소비자의 이해를 심각하게 저해함을 확인하였으며, 이는 법이 소비자가 정보를 바탕으로 한 개인정보 선택권을 행사할 수 있도록 하는 목표를 뒷받 undermind 하였다.

ABSTRACT

Vagueness and ambiguity in privacy policies threaten the ability of consumers to make informed choices about how businesses collect, use, and share their personal information. The California Consumer Privacy Act (CCPA) of 2018 was intended to provide Californian consumers with more control by mandating that businesses (1) clearly disclose their data practices and (2) provide choices for consumers to opt out of specific data practices. In this work, we explore to what extent CCPA's disclosure requirements, as implemented in actual privacy policies, can help consumers to answer questions about the data practices of businesses. First, we analyzed 95 privacy policies from popular websites; our findings showed that there is considerable variance in how businesses interpret CCPA's definitions. Then, our user survey of 364 Californian consumers showed that this variance affects the ability of users to understand the data practices of businesses. Our results suggest that CCPA's mandates for privacy disclosures, as currently implemented, have not yet yielded the level of clarity they were designed to deliver, due to both vagueness and ambiguity in CCPA itself as well as potential non-compliance by businesses in their privacy policies.

연구 동기 및 목표

• CCPА 의무 개인정보 공개가 소비자에게 데이터 관행에 대해 얼마나 명확하게 전달되는지 평가하기.
• 개인정보 정책의 어휘 변동이 소비자가 CCPA 권리에 대해 이해하는 데 미치는 영향을 조사하기.
• 기업과 소비자가 오해하게 되는 특정 CCPA 용어의 모호성 요소를 특정하기.
• CCPA의 통지-선택 프레임워크가 소비자가 정보에 기반해 결정을 내리는 데 얼마나 효과적인지 평가하기.

제안 방법

• 미국 주요 웹사이트 95개의 개인정보 정책을 체계적으로 분석하여 CCPA 공개의 준수 여부와 명확성 평가.
• 정책 텍스트 전반에서 '판매'(sale), '사업 목적'(business purpose), '서비스 제공자'(service provider) 등의 핵심 용어에서 발생하는 명확하지 않은 해석 요소 식별.
• 364명의 캘리포니아 주민을 대상으로 설문 조사 설계 및 실행하여 다양한 어휘를 가진 정책 개요의 이해도 테스트.
• 소비자 이해도 측정을 위해 설문 응답 결과를 기준 답안과 비교.
• 통제된 정책 요약문을 사용하여 어휘의 영향을 분리하고 브랜드 기반 선입견을 최소화.
• 설문 응답의 정당성 분석을 통해 응답자가 브랜드 인식이 아닌 텍스트에 기반해 공개 내용을 이해했는지 검증.

실험 결과

연구 질문

• RQ1 기업들은 '판매'(sale), '사업 목적'(business purpose), '서비스 제공자'(service provider)의 CCPA 정의를 개인정보 정책에서 일관되게 해석하고 적용하는가?
• RQ2 개인정보 공개의 어휘 변동이 소비자가 데이터 공유 관행과 CCPA 하의 개인정보 권리에 대해 이해하는 데 어떤 영향을 미치는가?
• RQ3 법적 기준이 명확한 상황에서도 어떤 특정한 정책 언어의 모호성이 소비자의 오해를 유발하는가?
• RQ4 다양한 공개 스타일에 따라 소비자의 '기각 기능'(opt-out capabilities) 및 데이터 삭제 후 결과에 대한 인식은 어떻게 다를까?
• RQ5 현재의 CCPA 공개가 법에서 요구하는 명확성 기준을 얼마나 충족하고 있는가?

주요 결과

• 기업들은 CCPA 용어를 일관되게 적용하지 못함: 많은 기업이 데이터를 '판매'하지 않는다고 주장했지만, 다른 기업들은 자신의 데이터 공유 관행이 CCPA의 '판매' 정의에 해당한다고 인정함.
• 공개 품질에 큰 격차 존재: 많은 정책이 공유되는 개인정보 카테고리, 수신자, 삭제 요청 후 기대할 수 있는 결과를 명시하지 못함.
• 설문 응답자들은 법적 해석이 명확한 경우에도 데이터 공유 수신자, 기각 기능의 효과성, 삭제 후 데이터 유지 기간에 대해 상당한 혼동을 보임.
• 정책 요약문의 어휘 차이가 소비자의 인식에 뚜렷한 영향을 미쳐 언어적 변동이 이해도에 직접적인 영향을 준다는 점을 입증함.
• 비준수 및 해석의 일관성 부족에 대한 증거 발견: 이는 CCPA의 명확성 의무가 아직 실질적으로 이행되지 않았음을 시사함.
• CPRA의 의도적 명확화에도 불구하고 '계약자'(contractors)와 같은 신규 용어가 추가적인 모호성을 초래할 수 있으며, 이는 표준화되고 이행 가능한 공개 프레임워크의 필요성을 강조함.