[논문 리뷰] The Impact of User Location on Cookie Notices (Inside and Outside of the European Union)

Rob van Eijk, Hadi Asghari외 2명|arXiv (Cornell University)|2021. 10. 19.

Privacy, Security, and Data Protection인용 수 16

한 줄 요약

이 연구는 18개 국가에서 온 1,500개 웹사이트를 대상으로 자동 탐지 기법을 사용해 사용자 위치 또는 웹사이트의 최상위 도메인(TLD)에 따라 쿠키 알림이 달라지는지 조사한다. 연구 결과, 사용자 위치보다는 TLD가 쿠키 알림의 유무와 디자인을 주로 결정함을 확인했으며, 특히 .com 도메인은 유럽 내에서 접근할 경우 알림의 노출 빈도가 유의미하게 높아지며 실질적인 위치 기반 적응이 이루어지고 있음을 보여준다.

ABSTRACT

The web is global, but privacy laws differ by country. Which set of privacy rules do websites follow? We empirically study this question by detecting and analyzing cookie notices in an automated way. We crawl 1,500 European, American, and Canadian websites from each of 18 countries. We detect cookie notices on 40 percent of websites in our sample. We treat the presence or absence of cookie notices, as well as visual differences, as proxies for differences in privacy rules. Using a series of regression models, we find that the website's Top Level Domain explains a substantial portion of the variance in cookie notice metrics, but the user's vantage point does not. This suggests that websites follow one set of privacy rules for all their users. There is one exception to this finding: cookie notices differ when accessing .com domains from inside versus outside of the EU. We highlight ways in which future research could build on our preliminary findings.

연구 동기 및 목표

• 사용자의 지리적 위치에 따라 웹사이트가 쿠키 알림을 수정하는지, 특히 다양한 개인정보 보호 규정에 대응하여 그러한 변화가 이루어지는지 조사하기.
• 사용자의 실제 위치보다 웹사이트의 최상위 도메인(TLD)이 쿠키 알림 행동을 더 강력하게 예측하는지 평가하기.
• 글로벌 개인정보 보호 준수를 측정하기 위해 쿠키 알림을 자동 탐지하는 기법의 효과성을 평가하기.
• 이러한 발견이 향후 대규모 웹 개인정보 보호 측정 방법론과 규제 집행에 미치는 영향을 탐색하기.

제안 방법

• 2019년 1월, 18개 국가(15개 EU, 캐나다, 스위스, 미국 포함)의 상위 100개 웹사이트를 대상으로 자동 웹 크롤링.
• 쿠키 배너 탐지 모듈을 포함한 OpenWPM 프레임워크 확장 — 'I don’t care about cookies' 확장 프로그램의 배너 요소 목록 기반.
• TLD와 사용자 위치가 쿠키 알림 지표(유무, 높이, 단어 수, 링크 수, 언어)에 미치는 영향을 분석하기 위해 회귀 모델 적용.
• TextBlob 라이브러리를 사용해 쿠키 알림의 주된 언어를 탐지하고, 국가 간 비교 분석 수행.
• 거짓 긍정률(1% 미만)과 거짓 부정률(~20%)을 통해 탐지 정확도 평가 — 쿠키 월(wall) 탐지에는 한계 있음.
• TLD와 사용자 위치 간의 쿠키 알림 특성 비교를 통해 규제 영향과 구현 방식의 영향을 분리 분석.

실험 결과

연구 질문

• RQ1 사용자의 지리적 위치가 웹사이트의 쿠키 알림 유무나 디자인에 영향을 미치는가?
• RQ2 사용자의 위치보다 웹사이트의 최상위 도메인(TLD)이 쿠키 알림 행동을 얼마나 잘 예측하는가?
• RQ3 사용자 위치에 따라 쿠키 알림을 조정하는 예외가 존재하는가, 특히 .com 도메인의 경우?
• RQ4 쿠키 알림 특성(예: 높이, 링크 수, 언어)은 다양한 TLD와 지역 간에 어떻게 달라지는가?
• RQ5 이러한 발견은 대규모 웹 개인정보 보호 측정 프로젝트의 방법론에 어떤 영향을 미치는가?

주요 결과

• 웹사이트의 최상위 도메인(TLD)이 쿠키 알림 지표의 변동성의 상당 부분을 설명하며, 이는 사용자 위치와 관계없이 웹사이트가 하나의 개인정보 보호 규칙 세트를 따르고 있음을 시사한다.
• 대부분의 TLD에서 사용자 위치는 쿠키 알림의 유무나 디자인에 유의미한 영향을 미치지 않으며, 이는 웹사이트가 TLD를 규제 준수의 대체 지표로 사용한다는 가설을 지지한다.
• .com 도메인의 경우, EU 내에서 접근할 경우 쿠키 배너를 볼 확률이 외부에서 접근할 때보다 102% 높아지며, 이는 실질적인 위치 기반 적응이 이루어지고 있음을 의미한다.
• .com 도메인의 쿠키 배너는 EU 국가에서 접근할 경우 더 자주 나타나며, 이는 EU 사용자에 대한 GDPR 특화 요구사항 준수를 반영한다.
• 벨기에와 네덜란드 웹사이트의 쿠키 배너는 더 높은 편이며, 이는 국가 차원에서의 엄격한 시행과 개인정보 보호 당국의 지침과 일치한다.
• GDPR 시행 이후 쿠키 배너의 링크 수가 증가했으며, 이는 명확한 동의 메커니즘을 충족시키기 위한 법적 요구사항 대응의 일환으로 보인다.