[논문 리뷰] Privacy Policies Across the Ages: Content and Readability of Privacy Policies 1996--2021

Isabel Wagner|arXiv (Cornell University)|2022. 01. 21.

Privacy, Security, and Data Protection인용 수 7

한 줄 요약

이 종단적 연구는 1996년에서 2021년 사이 50,000개의 개인정보 처리방침을 자연어 처리와 머신러닝을 사용해 분석하여, 방치된 정책의 길이가 두 배로 늘어나고 읽기 어려움이 증가했으며, 특히 GDPR과 CCPA 이후 더욱 심해졌고, 점점 더 침투적인 데이터 처리 방식을 묘사하고 있음을 밝혀냈다. 연구 결과는 개인정보 처리방침이 사용자의 권리와 데이터 처리 방식을 은폐함으로써 사용자를 기만하고 있으며, 기계로 읽을 수 있는 형식과 규제 개혁을 통해 투명성과 사용자 통제력을 향상시켜야 한다고 제안한다.

ABSTRACT

It is well-known that most users do not read privacy policies, but almost all users tick the box to agree with them. In this paper, we analyze the 25-year history of privacy policies using methods from transparency research, machine learning, and natural language processing. Specifically, we collect a large-scale longitudinal corpus of privacy policies from 1996 to 2021 and analyze the length and readability of privacy policies as well as their content in terms of the data practices they describe, the rights they grant to users, and the rights they reserve for their organizations. We pay particular attention to changes in response to recent privacy regulations such as the GDPR and CCPA. Our results show that policies are getting longer and harder to read, especially after new regulations take effect, and we find a range of concerning data practices. Our results allow us to speculate why privacy policies are rarely read and propose changes that would make privacy policies serve their readers instead of their writers.

연구 동기 및 목표

• 25년에 걸친 개인정보 처리방침의 길이, 읽기 어려움, 내용의 장기적 추세를 조사하기 위해.
• GDPR 및 CCPA와 같은 주요 개인정보 보호 규정이 처리방침의 진화에 미친 영향을 평가하기 위해.
• 개인정보 처리방침 내 용어 변화, 데이터 처리 방식, 사용자 권리 표현의 변화를 특정하기 위해.
• 최근 규정이 사용자 개인정보 보호에 실질적인 개선을 가져왔는지, 단지 정책의 부풀림에 그쳤는지 평가하기 위해.
• 사용자를 중심으로 하는 개인정보 보호를 위해 기술적, 규제적, 측정 기반 개선 조치를 제안하기 위해.

제안 방법

• 인터넷 아카이브의 웨이백 머신을 활용해 1996년에서 2021년 사이 50,000개의 고유한 개인정보 처리방침 텍스트 종단적 코퍼스를 수집하였다.
• BERT 기반 모델을 적용해 처리방침 세그먼트를 콘텐츠 카테고리(예: 데이터 수집, 사용자 권리, 제3자 공유 등)로 분류하였다.
• 비지도 학습 기반의 GraphSeg를 사용해 처리방침 텍스트를 분석을 위한 논리적 단위로 분할하였다.
• 읽기 어려움 공식(예: Flesch Reading Ease)을 활용해 시간에 따른 텍스트 복잡도를 평가하였다.
• NLP 분류기 훈련을 위해 OPP-115 코퍼스를 활용하였으며, 시간적 및 언어적 이격에 대응하기 위해 조정을 가했다.
• GDPR(2018년) 및 CCPA(2020년)와 같은 주요 규제 기준 이전과 이후의 처리방침 내용을 비교 분석하였다.

실험 결과

연구 질문

• RQ1 1996년에서 2021년 사이 개인정보 처리방침의 길이와 읽기 어려움은 어떻게 변화해 왔는가?
• RQ2 GDPR과 CCPA는 개인정보 처리방침의 구조와 내용에 어떤 영향을 미쳤는가?
• RQ3 시간이 지남에 따라 개인정보 관련 핵심 용어의 어휘와 사용 방식은 어떻게 변화해 왔는가?
• RQ4 지난 25년간 개인정보 처리방침에 포함된 데이터 처리 방식과 사용자 권리 표현은 어떻게 진화해 왔는가?
• RQ5 개인정보 처리방침은 실질적인 사용자 통제를 반영하고 있는가, 아니면 단지 규제 체크리스트 이행을 위한 것인가?

주요 결과

• 최근 10년간 평균 개인정보 처리방침 길이가 약 두 배로 늘어났고, 2000년대 이래로 네 배로 증가했으며, GDPR과 CCPA 이후 급격히 증가했다.
• Flesch Reading Ease 점수는 2001년 37에서 2021년 31로 하락하여, 이제는 학술적 법적 텍스트 수준으로 읽기 어려운 수준이 되었다.
• 민감한 데이터, 예를 들어 위치 정보 및 암시적 수집 데이터의 수집 및 공유를 점점 더 자주 묘사하고 있으나, 사용자 선택의 여지가 극히 적다.
• 정책 변경에 대한 효과적인 알림이 부족하고, 보안 및 개인정보 보호 조치에 대한 구체적 정보도 부족하다.
• 제3자 데이터 공유에 대해 구체적인 기관 명을 기재하지 않고 묘사함으로써 투명성이 떨어지고 있다.
• 규제 압력에도 불구하고 개인정보 처리방침은 점점 더 투명성이 낮아지고 사용자 우월성이 떨어져, 조직의 이해관계를 충족시키는 데 더 부합하는 것으로 나타났다.