[논문 리뷰] The Unwanted Sharing Economy: An Analysis of Cookie Syncing and User Transparency under GDPR

Tobias Urban, Dennis Tatang외 3명|arXiv (Cornell University)|2018. 11. 21.

Privacy, Security, and Data Protection참고 문헌 12인용 수 12

한 줄 요약

이 연구는 온라인 광고 생태계에서 GDPR의 영향을 분석하며 쿠키 동기화와 사용자 데이터 이관성에 중점을 둔다. 400개의 브라우저 프로파일을 대상으로 한 실증적 측정 결과, GDPR 시행 후 제3자 쿠키 동기화 연결 수가 40% 감소한 것으로 나타났지만, 기반이 되는 스타형 구조 네트워크 구조는 변화하지 않았다. 법적 의무에도 불구하고 58%의 기업이 데이터 접근 요청에 대해 GDPR이 정한 30일 이내에 응답하지 못했으며, 많은 기업이 부적절한 확인 장벽을 설정했다.

ABSTRACT

The European General Data Protection Regulation (GDPR), which went into effect in May 2018, leads to important changes in this area: companies are now required to ask for users' consent before collecting and sharing personal data and by law users now have the right to gain access to the personal information collected about them. In this paper, we study and evaluate the effect of the GDPR on the online advertising ecosystem. In a first step, we measure the impact of the legislation on the connections (regarding cookie syncing) between third-parties and show that the general structure how the entities are arranged is not affected by the GDPR. However, we find that the new regulation has a statistically significant impact on the number of connections, which shrinks by around 40%. Furthermore, we analyze the right to data portability by evaluating the subject access right process of popular companies in this ecosystem and observe differences between the processes implemented by the companies and how they interpret the new legislation. We exercised our right of access under GDPR with 36 companies that had tracked us online. Although 32 companies (89%) we inquired replied within the period defined by law, only 21 (58%) finished the process by the deadline set in the GDPR. Our work has implications regarding the implementation of privacy law as well as what online tracking companies should do to be more compliant with the new regulation.

연구 동기 및 목표

• 온라인 광고 생태계에서 제3자 쿠키 동기화에 대한 GDPR의 영향을 평가하기 위해.
• 주요 온라인 서비스들이 GDPR의 데이터 이관성 및 주체 접근 요청(SAR) 권리에 대해 얼마나 준수하고 있는지 평가하기 위해.
• 기업들이 데이터 공유 및 사용자 투명성에 관한 새로운 법적 의무를 어떻게 해석하고 이행하고 있는지 조사하기 위해.
• 제3자 데이터 공유 네트워크의 구조적 패턴을 규명하고 GDPR 하에서 사용자 통제 수준을 평가하기 위해.

제안 방법

• 400개의 브라우저 프로파일이 수백 개의 웹사이트를 방문하면서 관찰된 쿠키 동기화 기반으로 제3자 관계를 모델링하기 위해 무방향 그래프를 구축하였다.
• GDPR 시행 전후 6개월 간 데이터를 수집하여 연결 빈도와 네트워크 구조의 변화를 측정하였다.
• SAR를 행사하기 위해 39개 기업에 접근 요청을 제출하였으며, 응답 시간, 요구된 확인 절차, 제공된 데이터 형식을 기록하였다.
• 개인정보 정책과 SAR 응답을 분석하여 투명성, 데이터 공개 수준, GDPR 해석 기준 준수 여부를 평가하였다.
• 제3자 서비스 간 네트워크 구조(예: 스타 구성)를 식별하여 간접적 데이터 공유 리스크를 이해하기 위해 노력하였다.
• GDPR 하에서 '제공된 데이터'로 간주되는 범위를 분석하며 직접 제출된 데이터와 추적을 통해 유추된 데이터를 구분하였다.

실험 결과

연구 질문

• RQ1 GDPR은 온라인 광고 생태계에서 제3자 쿠키 동기화 연결 수에 얼마나 큰 영향을 미쳤는가?
• RQ2 기업들은 GDPR의 주체 접근 요청(SAR) 절차를 어떻게 해석하고 이행하고 있으며, 사용자에게 어떤 장벽을 설정하고 있는가?
• RQ3 제3자 서비스 간 데이터 공유의 구조적 패턴은 무엇이며, 사용자 데이터의 투명성과 통제에 어떤 영향을 미치는가?
• RQ4 기업들은 제3자 데이터 공유 파artner를 얼마나 일관되게 공개하고 있으며, 개인정보 정책과 SAR 응답에서 제공되는 정보는 어떤가?
• RQ5 기업들은 SAR에 대해 GDPR이 정한 30일 응답 마감일을 얼마나 준수하고 있는가?

주요 결과

• GDPR 시행으로 제3자 쿠키 동기화 연결 수가 통계적으로 유의미하게 40% 감소하였지만, 전체 네트워크 구조(주로 스타형)는 거의 그대로 유지되었다.
• 법적 의무에도 불구하고 58%의 기업이 GDPR이 정한 30일 이내에 주체 접근 요청 절차를 완료하지 못했다.
• 많은 기업이 비례하지 않은 확인 요구 조건을 설정하였으며, 예를 들어 공식 신분증 사본이나 서명된 증언서를 요구하는 등 비례하지 않은 조건을 적용하였다.
• 오직 3개 기업만이 사용자 데이터를 공유한 제3자 기업을 명시적으로 모두 기재하였으며, 나머지 기업들은 수백 개의 파artner를 나열하거나 전혀 공개하지 않았다.
• 개인정보 정책은 종종 데이터 공유 방식에 대해 충분한 세부 정보를 제공하지 않아 사용자 투명성과 정보 기반 동의를 약화시켰다.
• 본 연구는 기업들이 GDPR 조항을 해석하고 이행하는 방식에 있어 상당한 일관성 부족을 드러내었으며, 특히 데이터 이관성과 '제공된 데이터'의 정의에 관해 명확한 기준이 부족함을 확인하였다.