[논문 리뷰] The Overview of Privacy Labels and their Compatibility with Privacy Policies

Rishabh Khandelwal, Asmit Nayak외 2명|arXiv (Cornell University)|2023. 03. 14.

Privacy, Security, and Data Protection인용 수 5

한 줄 요약

이 논문은 구글 플레이 스토어와 애플 앱 스토어의 개인정보 라벨에 대한 대규모 분석을 수행하며, 개인정보 정책 및 다중 플랫폼 공개 정보와 비교한다. 분석 결과, 상당한 일관성 부족이 드러났는데, 구글 플레이 스토어 앱의 40%와 크로스리스팅된 앱의 51.5%에서 일치하지 않는 사례가 확인되었다. 이는 사용자 신뢰와 정보 기반 의사결정을 보장하기 위해 개인정보 라벨의 정확성과 일관성, 플랫폼 수준의 검증을 향상시킬 필요가 있음을 시사한다.

ABSTRACT

Privacy nutrition labels provide a way to understand an app's key data practices without reading the long and hard-to-read privacy policies. Recently, the app distribution platforms for iOS(Apple) and Android(Google) have implemented mandates requiring app developers to fill privacy nutrition labels highlighting their privacy practices such as data collection, data sharing, and security practices. These privacy labels contain very fine-grained information about the apps' data practices such as the data types and purposes associated with each data type. This provides us with a unique vantage point from which we can understand apps' data practices at scale.

연구 동기 및 목표

• 주요 앱 플랫폼에서 개인정보 정책과 비교해 개인정보 라벨의 정확성과 일관성을 평가하는 것.
• 특히 크로스리스팅된 앱의 경우 개발자가 데이터 관행을 어떻게 보고하는지 조사하는 것.
• 개발자 이해 부족, 검증 부족, 플랫폼 수준의 감독 부족 등 개인정보 라벨 공개의 체계적 문제를 규명하는 것.
• 향후 개인정보 투명성 연구를 지원하기 위해 개인정보 라벨 및 정책 주석을 포함한 대규모 개방형 데이터셋을 제공하는 것.

제안 방법

• 250만 개의 구글 플레이 스토어 앱과 138만 개의 애플 앱 스토어 앱에서 메타데이터, 개인정보 정책, 개인정보 라벨를 수집하기 위해 웹 스크래퍼를 구축함.
• 기존 개인정보 정책 분류 체계를 확장하여 개인정보 라벨 중심의 분류 체계를 개발하며, 누락된 요소와 일관성을 확보하기 위한 주석을 추가함.
• 새로운 분류 체계를 기반으로 훈련된 NLP 기반 분류기들을 사용해 개인정보 정책에서 개인정보 관행을 자동으로 추출함.
• 양 플랫폼의 개인정보 라벨에 기재된 관행과 개인정보 정책에서 추출된 관행을 비교함으로써 일관성 분석을 수행함.
• 구글 플레이 스토어의 데이터 안전 섹션에 대한 종단 분석을 수행하여, 구글의 강제 이행 기한 이전과 이후의 변화를 추적함.
• 애플 및 구글 플랫폼 간 개인정보 라벨 공개를 비교하기 위해 165,000개의 크로스리스팅 앱 데이터셋을 정제함.

Figure 1: Illustrative Example of nutrition labels

실험 결과

연구 질문

• RQ1 개발자는 개인정보 라벨에서 어떤 데이터 관행을 보고하며, 이러한 보고 방식은 시간이 지남에 따라 어떻게 변화해 왔는가?
• RQ2 개인정보 라벨에 기재된 개인정보 관행은 해당 개인정보 정책에 기록된 바와 어떻게 비교되는가?
• RQ3 크로스리스팅된 앱의 경우, 개인정보 관행이 플랫폼 간 일관되게 공개되고 있는가?
• RQ4 개발자가 개인정보 라벨에 정확한 개인정보 관행을 공개하는 데 있어 겪는 주요 과제는 무엇인가?

주요 결과

• 구글 플레이 스토어 앱 중 50.2% (필터링 후 114만 개)와 애플 앱 스토어 앱 중 69.2%가 개인정보 라벨을 제공함.
• 최소 40%의 구글 플레이 스토어 앱에서 개인정보 정책과 데이터 안전 섹션 간 일관성 부족이 확인됨.
• 크로스리스팅된 앱의 51.5%에서 애플 앱 스토어와 구글 플레이 스토어 간 개인정보 라벨에 중대한 차이가 존재함.
• 종단 분석 결과, 구글 플레이 스토어의 데이터 안전 섹션은 강제 이행 기한 주변에 빈번한 변경이 이루어짐.
• 개발자 설문 조사 결과, 많은 개발자가 자신의 데이터 관행을 완전히 이해하지 못해 정확하지 않은 공개를 초래하고 있음.
• 본 연구는 공개 가능한 가장 대규모 개인정보 라벨 데이터셋(안드로이드 114만 개, 아이 OS 138만 개)과 정책 주석이 포함된 새로운 개인정보 중심 분류 체계를 공개함.

Figure 2: The hierarchy of Apple Privacy Labels