[논문 리뷰] Privacy Rarely Considered: Exploring Considerations in the Adoption of Third-Party Services by Websites

Christine Utz, Sabrina Amft외 4명|arXiv (Cornell University)|2022. 03. 21.

Privacy, Security, and Data Protection인용 수 6

한 줄 요약

이 연구는 웹 개발자가 제3자 서비스를 채택할 때 개인정보를 고려하는 방식을 조사하며, 통합 용이성과 인기성이 개인정보 우려보다 채택을 더 많이 이끄는 것으로 드러났다. 특히 웹 분석 분야에서 법적 요구사항이나 명확한 지침이 존재할 경우에만 개발자는 방문자 개인정보를 우선시하며, 상당한 추적 위험이 있음에도 불구하고 데이터 보호 책임자들의 참여는 제한적이다.

ABSTRACT

Modern websites frequently use and embed third-party services to facilitate web development, connect to social media, or for monetization. This often introduces privacy issues as the inclusion of third-party services on a website can allow the third party to collect personal data about the website's visitors. While the prevalence and mechanisms of third-party web tracking have been widely studied, little is known about the decision processes that lead to websites using third-party functionality and whether efforts are being made to protect their visitors' privacy. We report results from an online survey with 395 participants involved in the creation and maintenance of websites. For ten common website functionalities we investigated if privacy has played a role in decisions about how the functionality is integrated, if specific efforts for privacy protection have been made during integration, and to what degree people are aware of data collection through third parties. We find that ease of integration drives third-party adoption but visitor privacy is considered if there are legal requirements or respective guidelines. Awareness of data collection and privacy risks is higher if the collection is directly associated with the purpose for which the third-party service is used.

연구 동기 및 목표

• 웹 개발에서 제3자 서비스 채택의 의사결정 과정을 이해한다.
• 웹 개발자가 제3자 기능 통합 시 방문자 개인정보를 얼마나 고려하는지 평가한다.
• 법적 요구사항, 지침 및 개인정보 보호 책임자의 역할이 개인정보 친화적인 개발 관행을 형성하는 데 미치는 영향을 조사한다.
• 개발자들이 제3자 서비스의 데이터 수집 및 추적에 대해 얼마나 인지하고 있는지 평가한다.
• 웹 개발 워크플로우에서 개인정보 설계(Privacy-by-Design) 관행과 윤리적 연구 관행의 격차를 규명한다.

제안 방법

• 웹사이트 제작 및 유지보수에 관여한 395명의 전문가를 대상으로 온라인 설문 조사를 실시했다.
• 예: 분석, 소셜 미디어, 양식 등 10개의 일반적인 웹 기능에 초점을 맞춰 제3자 서비스 사용 및 개인정보 고려 사항을 평가했다.
• 서비스 선택에 영향을 주는 요인, 개인정보 보호 노력, 데이터 수집에 대한 인지 수준을 수집했다.
• 개인정보 고려와 법적 또는 지침 기반 요구사항 간의 상관관계를 분석하여 결과를 도출했다.
• GitHub 이메일 주소를 통한 데이터 수집 등의 윤리적 문제를 평가하고, 기관의 GDPR 평가를 요청했다.
• 책임감 있는 연구 관행을 확보하기 위해 제출 후 공동체 윤리위원회를 통한 윤리 검토를 실시했다.

실험 결과

연구 질문

• RQ1 웹 개발자는 제3자 서비스를 선택하고 통합할 때 방문자 개인정보를 얼마나 고려하는가?
• RQ2 통합 용이성, 인기, 법적 요구사항 등의 요인이 제3자 서비스 채택에 어떻게 영향을 미치는가?
• RQ3 데이터 보호 책임자 또는 법적 자문은 제3자 서비스 통합 의사결정 과정에 얼마나 관여하는가?
• RQ4 개발자들은 제3자 서비스의 데이터 수집 및 추적에 대해 얼마나 인지하고 있는가?
• RQ5 법적 및 규제 프레임워크는 웹 개발에서 개인정보 고려에 어떻게 영향을 미치는가?

주요 결과

• 제3자 서비스 채택 결정에서 통합 용이성과 인기가 주요 동력이며, 이는 개인정보 우려를 뛰어넘는다.
• 법적 요구사항 또는 공식 지침이 존재할 경우에만 개인정보가 뚜렷하게 고려되며, 특히 웹 분석 및 동의 관리 분야에서 그렇다.
• 다른 상당한 개인정보 위험이 있음에도 불구하고, 데이터 보호 책임자와 법적 자문은 제3자 통합 결정 과정에 거의 관여하지 않는다.
• 데이터 수집이 서비스의 목적과 직접 연결될 경우, 예를 들어 분석 또는 소셜 미디어 위젯에서, 인지 수준이 높아진다.
• GDPR 시행에도 불구하고 제3자 추적은 널리 퍼져 있으며, 이는 웹 개발에서 개인정보 설계의 도입이 제한적임을 시사한다.
• GitHub 이메일 주소 사용 등의 연구 윤리적 과제는 개인정보 연구에서 사전 윤리 검토의 필요성을 강조한다.