[논문 리뷰] (Un)informed Consent: Studying GDPR Consent Notices in the Field

Christine Utz, Martin Degeling외 3명|arXiv (Cornell University)|2019. 09. 05.

Privacy, Security, and Data Protection참고 문헌 30인용 수 64

한 줄 요약

본 논문은 GDPR 쿠키 동의 통지가 실제 환경에서 어떻게 설계되는지 연구하고, 위치, 선택지 수, 유도, 그리고 문구가 독일의 전자상거래 사이트에서 사용자 상호작용 및 동의 결정에 어떤 영향을 미치는지 실험적으로 테스트한다.

ABSTRACT

Since the adoption of the General Data Protection Regulation (GDPR) in May 2018 more than 60 % of popular websites in Europe display cookie consent notices to their visitors. This has quickly led to users becoming fatigued with privacy notifications and contributed to the rise of both browser extensions that block these banners and demands for a solution that bundles consent across multiple websites or in the browser. In this work, we identify common properties of the graphical user interface of consent notices and conduct three experiments with more than 80,000 unique users on a German website to investigate the influence of notice position, type of choice, and content framing on consent. We find that users are more likely to interact with a notice shown in the lower (left) part of the screen. Given a binary choice, more users are willing to accept tracking compared to mechanisms that require them to allow cookie use for each category or company individually. We also show that the wide-spread practice of nudging has a large effect on the choices users make. Our experiments show that seemingly small implementation decisions can substantially impact whether and how people interact with consent notices. Our findings demonstrate the importance for regulation to not just require consent, but also provide clear requirements or guidance for how this consent has to be obtained in order to ensure that users can make free and informed choices.

연구 동기 및 목표

• 실시간으로 운영되는 웹사이트 전반에서 동의 알림의 공통 UI 속성을 체계적으로 식별한다.
• 동의 알림의 위치, 선택지 수, 및 유도가 사용자와의 상호작용에 미치는 영향을 실험적으로 평가한다.
• 문구(기술적 대비 비기술적)와 개인정보 처리방침 링크의 존재 여부가 동의 결정에 어떤 영향을 미치는지 평가한다.
• 정보에 기반한 규제 당국과 디자이너들에게 정보에 기반한 자발적 동의를 촉진하기 위한 지침을 제공한다.

제안 방법

• EU 웹사이트에서 수집된 5,087개의 더 큰 집합 중에서 동의 알림 1,000개의 샘플을 컴파일하여 UI 변수들을 식별한다.
• 세 가지 실험에 걸쳐 독일의 전자상거래 사이트에서 82,890명의 실제 방문자를 대상으로 대규모, 피험자 간(field) 연구를 수행한다.
• 상호작용 비율에 대한 효과를 관찰하기 위해 알림 위치, 선택지 수, 유도, 언어/개인정보 처리방침 링크를 조작한다.
• 사용자 식별자와 GDPR 준수 가명화를 포함하여 상호작용, 페이지 로드 및 설문 초대를 기록하기 위해 수정된 브라우저 플러그인을 사용한다.
• 사용자 동기와 인식을 포착하기 위해 짧은 후속 설문으로 정량적 데이터를 보완한다.

실험 결과

연구 질문

• RQ1 쿠키 동의 알림의 위치가 방문자의 동의 결정에 영향을 미치는가?
• RQ2 선택지 수와 유도(강조/사전선정)가 동의 결정에 영향을 미치는가?
• RQ3 개인정보 처리방침 링크의 존재 여부 또는 기술적 언어와 비기술적 언어의 사용이 동의 결정에 영향을 미치는가?

주요 결과

• 왼쪽 하단에 위치한 알림이 사용자와의 상호작용이 가장 많고, 상단 바는 상호작용 비율이 가장 낮다.
• 두 개를 초과하는 옵션을 제공하는 알림은 상호작용을 줄이거나 거절로 이어지는 경향이 있으며, 옵트아웃 경향의 디자인은 더 많은 수용을 유도한다.
• 강조나 사전 선택을 통한 유도는 수용률을 증가시켜, 기본적으로 프라이버시를 설정하는 패턴이 의미 있는 동의를 저해할 수 있음을 시사한다.
• 기술적 용어(쿠키 중심의 언어)는 상호작용을 증가시키지만 쿠키 수용 가능성을 낮춘다.
• 개인정보 처리방침 링크는 상호작용을 증가시키지 못했고, 사용자는 공지 내에서 더 실행 가능한 정보를 선호했다.
• 설문 응답은 범주 기반 선택에 대한 선호와 간단한 예/아니오 결정을 넘어서는 투명한 메커니즘에 대한 욕구를 시사한다.
• 옵트아웃 동의 배너는 의미 있는 동의를 얻기 어렵고, 범주별 옵트인 알림을 권장한다.