[논문 리뷰] Uncovering the Flop of the EU Cookie Law

Martino Trevisan, Stefano Traverso외 2명|arXiv (Cornell University)|2017. 05. 24.

Privacy, Security, and Data Protection참고 문헌 19인용 수 15

한 줄 요약

이 논문은 유럽연합 전자상거래지침에 대한 준수 여부를 감시하기 위해 사용자 동의를 받기 전에 프로파일링 쿠키를 설치하는지 감지함으로써 EU 전자상거래지침 위반 여부를 자동으로 감시하는 도구인 CookieCheck를 소개한다. 연구에서는 35,000개 이상의 웹사이트를 분석하여 지침을 위반한 비율이 65%에 달함을 발견하였으며, 이는 수년간의 이행에도 불구하고 시행 측면에서 체계적인 실패가 존재하고 있음을 드러낸다.

ABSTRACT

In 2002, the European Union (EU) introduced the ePrivacy Directive to regulate the usage of online tracking technologies. Its aim is to make tracking mechanisms explicit while increasing privacy awareness in users. It mandates websites to ask for explicit consent before using any kind of profiling methodology, e.g., cookies. Starting from 2013 the Directive is mandatory, and now most of European websites embed a "Cookie Bar" to explicitly ask user's consent. To the best of our knowledge, no study focused in checking whether a website respects the Directive. For this, we engineer CookieCheck, a simple tool that makes this check automatic. We use it to run a measurement campaign on more than 35,000 websites. Results depict a dramatic picture: 65% of websites do not respect the Directive and install tracking cookies before the user is even offered the accept button. In few words, we testify the failure of the ePrivacy Directive. Among motivations, we identify the absence of rules enabling systematic auditing procedures, the lack of tools to verify its implementation by the deputed agencies, and the technical difficulties of webmasters in implementing it.

연구 동기 및 목표

• 웹사이트에서 EU 전자상거래지침의 실질적 이행 및 준수 상태를 조사하기 위해.
• 사용자 동의를 확보하기 전에 프로파일링 쿠키를 설치하는지 감지할 수 있는 자동화된 도구를 개발하기 위해.
• 유럽 웹사이트 전반에서의 준수 미비 정도를 측정하고, 국가, 분야, 기기 유형 간 패턴을 규명하기 위해.
• 준수 미비의 근본 원인을 분석하기 위해, 표준화된 감사 절차 부족과 웹마스터의 기술적 과제를 포함하여.
• 현재 시행 메커니즘의 실패와 더 나은 규제 도구의 필요성을 정책 입안자와 연구자에게 알리기 위해.

제안 방법

• CookieCheck는 웹사이트에 신규 사용자 방문을 시뮬레이션하여 프로파일링 쿠키 감지를 자동화한다.
• 초기 페이지 로드 후 브라우저에 설치된 쿠키를 분석하여 프로파일링으로 분류된 쿠키를 식별한다.
• 사용자가 쿠키 바와 같은 동의 메커니즘과 상호작용하기 이전에 프로파일링 쿠키가 설정된 경우, 해당 웹사이트는 준수 미비로 간주된다.
• 통제된 크롤링을 통해 25개 국가 및 25개 카테고리에 걸쳐 35,000개의 웹사이트를 포함한 측정 캠페인을 수행한다.
• 국가 간 규제 강도의 다양성과 모바일 및 데스크톱 기기 간의 비교를 통해 준수 여부를 평가한다.
• 엄격한 국가 법률이 있는지 여부에 따라 준수 수준의 차이가 있는지 평가하기 위해 상자 그림 분석을 통해 쿠키 수를 비교한다.

실험 결과

연구 질문

• RQ1 유럽의 웹사이트들이 프로파일링 쿠키를 설치하기 전에 사전 동의를 확보해야 한다는 EU 전자상거래지침의 요구사항을 어느 정도 이행하고 있는가?
• RQ2 뉴스, 정부, 성인 콘텐츠 사이트와 같은 다양한 웹사이트 카테고리 간 준수 수준은 어떻게 다를까?
• RQ3 지침의 국가별 이행 강도가 준수 비율에 영향을 미치는가?
• RQ4 사용자의 지리적 위치 또는 기기 유형에 따라 쿠키 배포에 유의미한 차이가 존재하는가?
• RQ5 지침의 효과적 시행을 저해하는 주요 기술적 및 제도적 장애 요인은 무엇인가?

주요 결과

• 분석된 35,000개의 웹사이트 중 65%가 동의 메커니즘을 제공하기 이전에 프로파일링 쿠키를 설치하여 전자상거래지침을 위반한다.
• 뉴스 및 미디어 카테고리에서는 준수 미비 비율이 92%에 달하여 모든 분야 중 가장 높은 수준의 위반을 보인다.
• 성인 웹사이트는 상대적으로 높은 준수 비율을 보이며, 법과 정부 사이트에 이어 두 번째로 높은 준수 수준을 기록하여 분야별 시행 패턴이 존재할 수 있음을 시사한다.
• 엄격한(예: 이탈리아) 또는 덜 엄격한(예: 독일) 국가적 이행을 하는 국가에서 크롤링을 수행했을 때 프로파일링 쿠키 수에 유의미한 차이가 없었다.
• 브라우저나 기기 유형(모바일 대비 데스크톱)을 변경해도 설치된 쿠키 수에 큰 영향을 주지 않아, 다양한 환경 간 일관된 준수 미비 행동이 존재함을 시사한다.
• 준수 미비의 주요 원인 다섯 가지를 규명하였다: 표준화된 감사 절차 부족, 자동 검증 도구 부재, 쿠키 바 사양의 불명확성, 웹마스터의 기술적 복잡성, 사용자 개인정보 보호 인식 부족.