[논문 리뷰] The Challenges and Impact of Privacy Policy Comprehension

Jana Korunovska, Bernadette Kamleitner외 1명|arXiv (Cornell University)|2020. 05. 18.

Privacy, Security, and Data Protection인용 수 9

한 줄 요약

이 연구는 간소화된 설계에도 불구하고 사용자가 개인정보 정책을 이해하지 못하는 이유를 조사하며, 심지어 투명하고 간결한 정책이라도 광범위한 오해를 초래함을 드러낸다. 214명의 페이스북 사용자를 대상으로 한 가짜 소셜 네트워크에서의 실험 결과, 단순한 개인정보 정책을 잘못 이해한 사용자가 50%에 달했으며, 보조적 데이터 사용 위협에 노출된 사용자는 정책을 더 개인정보 친화적으로 기억했고, 이로 인해 데이터 공유가 증가했다—이것은 명확성이 정보 제공된 동의를 보장한다는 가정을 뒤엎는 결과였다.

ABSTRACT

The new information and communication technology providers collect increasing amounts of personal data, a lot of which is user generated. Unless use policies are privacy-friendly, this leaves users vulnerable to privacy risks such as exposure through public data visibility or intrusive commercialisation of their data through secondary data use. Due to complex privacy policies, many users of online services unwillingly agree to privacy-intruding practices. To give users more control over their privacy, scholars and regulators have pushed for short, simple, and prominent privacy policies. The premise has been that users will see and comprehend such policies, and then rationally adjust their disclosure behaviour. In this paper, on a use case of social network service site, we show that this premise does not hold. We invited 214 regular Facebook users to join a new fictitious social network. We experimentally manipulated the privacy-friendliness of an unavoidable and simple privacy policy. Half of our participants miscomprehended even this transparent privacy policy. When privacy threats of secondary data use were present, users remembered the policies as more privacy-friendly than they actually were and unwittingly uploaded more data. To mitigate such behavioural pitfalls we present design recommendations to improve the quality of informed consent.

연구 동기 및 목표

• 간소화되고 투명한 개인정보 정책이 사용자의 정확한 이해와 정보 제공된 동의로 이어지는지 조사하기 위해.
• 보조적 데이터 사용 위협에 노출되었을 때 사용자가 개인정보 위험을 어떻게 인식하는지 조사하기 위해.
• 개인정보 정책을 잘못 이해함으로써 발생하는 데이터 공개 행동의 오류를 규명하기 위해.
• 온라인 서비스에서 정보 제공된 동의의 질을 향상시키기 위한 설계 권고안을 마련하기 위해.

제안 방법

• 214명의 정기적인 페이스북 사용자를 모집하여 가짜 소셜 네트워크에 가입시키는 실험적 연구를 수행하였다.
• 피할 수 없는 간소화된 개인정보 정책의 개인정보 우호성 수준을 조작하여 두 조건(개인정보 우호적 vs. 개인정보 침해적)을 설정하였다.
• 다양한 위협 조건 하에서 사후 기억과 데이터 공개 행동을 측정하여 사용자의 이해도를 평가하였다.
• 보조적 데이터 사용에 대한 통제된 노출을 통해 그 영향이 정책의 개인정보 우호성 인식과 데이터 공유에 미치는 영향을 평가하였다.
• 정책 기억, 개인정보 우호성 인식, 실제 데이터 업로드 행동에 대한 데이터를 수집하였다.
• 개인정보 정책 명확성에 대한 이해 오류와 행동 일관성의 결여를 규명하기 위해 결과를 분석하였다.

실험 결과

연구 질문

• RQ1 사용자가 온라인 서비스에서 단순하고 투명한 개인정보 정책을 얼마나 정확히 이해하는가?
• RQ2 보조적 데이터 사용 위협은 사용자의 개인정보 정책 친화성 인식에 어떤 영향을 미치는가?
• RQ3 정책의 명확성에도 불구하고 개인정보 정책의 친화성 인식이 실제 데이터 공개 행동에 영향을 미치는가?
• RQ4 개인정보 정책이 단순화되었지만 오해되었을 때 사용자 동의 과정에서 나타나는 행동적 일관성의 결여는 무엇인가?

주요 결과

• 참가자 중 50%가 투명하고 단순한 개인정보 정책을 잘못 이해했으며, 이는 명확성만으로 이해가 보장되지 않음을 시사한다.
• 보조적 데이터 사용 위협에 노출된 사용자는 실제로보다 더 개인정보 친화적인 정책으로 기억했으며, 이는 심각한 오해 편향을 보여준다.
• 정책을 더 개인정보 친화적으로 인식한 참가자들이 실제 정책이 개인정보 친화적이지 않음에도 불구하고 더 많은 개인 정보를 업로드했다.
• 이 연구는 이해 오류와 행동의 일관성 결여가 지속되므로, 단순화된 개인정보 정책가 정보 제공된 동의를 지원하지 못함을 입증한다.
• 매우 눈에 띄고 짧은 정책이라도 사용자는 합리적으로 자신의 데이터 공개 행동을 조정하지 않아, 개인정보 설계 기반 접근의 기본 전제를 약화시킨다.
• 연구 결과는 정책 설계 의도와 실제 사용자 이해 사이에 심각한 격차가 있음을 드러내며, 개선된 동의 메커니즘의 필요성을 시사한다.