[论文解读] A Fait Accompli? An Empirical Study into the Absence of Consent to Third-Party Tracking in Android Apps

Konrad Kollnig, Reuben Binns+6 more|arXiv (Cornell University)|Jun 17, 2021

Privacy, Security, and Data Protection被引用 16

一句话总结

本实证研究调查了安卓应用中第三方追踪的同意机制，发现仅少于3.5%的1,297款被分析的应用在追踪前提供了有效的用户同意。尽管欧盟和英国隐私法要求获得同意，但追踪库通常缺乏默认的同意实现机制，且对开发者的指导信息稀少且维护不善，导致实践中普遍存在法律不合规现象。

ABSTRACT

Third-party tracking allows companies to collect users' behavioural data and track their activity across digital devices. This can put deep insights into users' private lives into the hands of strangers, and often happens without users' awareness or explicit consent. EU and UK data protection law, however, requires consent, both 1) to access and store information on users' devices and 2) to legitimate the processing of personal data as part of third-party tracking, as we analyse in this paper. This paper further investigates whether and to what extent consent is implemented in mobile apps. First, we analyse a representative sample of apps from the Google Play Store. We find that most apps engage in third-party tracking, but few obtained consent before doing so, indicating potentially widespread violations of EU and UK privacy law. Second, we examine the most common third-party tracking libraries in detail. While most acknowledge that they rely on app developers to obtain consent on their behalf, they typically fail to put in place robust measures to ensure this: disclosure of consent requirements is limited; default consent implementations are lacking; and compliance guidance is difficult to find, hard to read, and poorly maintained.

研究动机与目标

• 确定欧盟和英国的应用开发者在进行第三方追踪前是否依法需要获得有效同意。
• 评估应用在实际追踪前实施同意机制的程度。
• 评估第三方追踪公司如何支持或阻碍开发者实施同意机制。
• 识别因追踪库中缺乏文档和默认同意机制而导致的同意实现系统性失败。

提出的方法

• 对来自谷歌应用商店的1,297款安卓应用进行实证分析，以评估其追踪和同意实践。
• 收集并分析声称支持同意的应用中的同意用户界面模式，包括谷歌、Twitter MoPub及自定义实现的示例。
• 审查13种常用第三方追踪库的官方文档，以评估其在同意实现方面的指导。
• 将GDPR和英国数据保护法的法律要求与应用及追踪SDK中的技术实现进行映射。
• 识别追踪库在同意披露、默认行为以及合规文档可维护性方面的缺口。
• 评估谷歌等平台守门人通过生态系统政策和技术设计选择，在促进或阻碍用户同意方面所起的作用。

实验结果

研究问题

• RQ1 欧盟和英国的应用开发者在进行第三方追踪前是否需要获得有效用户同意？
• RQ2 安卓应用在第三方追踪前实际获得有效同意的程度如何？
• RQ3 第三方追踪库在支持或未能支持开发者实现同意方面表现如何？
• RQ4 追踪库在技术与文档方面存在哪些缺陷，导致有效同意实现受阻？
• RQ5 谷歌等平台守门人在促进或破坏追踪的用户同意方面发挥何种作用？

主要发现

• 在所分析的1,297款安卓应用中，仅有3.5%提供了用户真正可选择是否同意第三方追踪的机制。
• 大多数应用使用第三方追踪器，但在数据收集开始前未实施任何同意机制。
• 在13种常用追踪库中，仅有3种默认实现了同意机制，另有6种虽要求同意，但未在其实施指南中披露此要求。
• 同意合规文档往往难以查找，内容质量差且缺乏维护，导致开发者困惑并引发不合规。
• 谷歌的生态系统政策，包括禁止反追踪应用以及未在安卓上启用用户对AdID访问的自主选择，损害了用户隐私，并加剧了不合规现象。
• 本研究结论认为，由于移动追踪技术栈中同意实现存在系统性失败，导致GDPR和英国隐私法存在广泛违法行为。