[论文解读] Fighting the Fog: Evaluating the Clarity of Privacy Disclosures in the Age of CCPA

Rex Chen, Fei Fang+3 more|arXiv (Cornell University)|Sep 28, 2021

Privacy, Security, and Data Protection参考文献 36被引用 6

一句话总结

本研究通过分析95个美国热门网站的隐私政策并调查364名加州消费者，评估了加州《消费者隐私法》（CCPA）下隐私披露的清晰度。研究发现，术语不一致、语言模糊以及对‘销售’和‘业务目的’等CCPA术语的解释差异，严重损害了消费者对自身数据实践的理解，削弱了该法律赋予消费者知情隐私选择权的初衷。

ABSTRACT

Vagueness and ambiguity in privacy policies threaten the ability of consumers to make informed choices about how businesses collect, use, and share their personal information. The California Consumer Privacy Act (CCPA) of 2018 was intended to provide Californian consumers with more control by mandating that businesses (1) clearly disclose their data practices and (2) provide choices for consumers to opt out of specific data practices. In this work, we explore to what extent CCPA's disclosure requirements, as implemented in actual privacy policies, can help consumers to answer questions about the data practices of businesses. First, we analyzed 95 privacy policies from popular websites; our findings showed that there is considerable variance in how businesses interpret CCPA's definitions. Then, our user survey of 364 Californian consumers showed that this variance affects the ability of users to understand the data practices of businesses. Our results suggest that CCPA's mandates for privacy disclosures, as currently implemented, have not yet yielded the level of clarity they were designed to deliver, due to both vagueness and ambiguity in CCPA itself as well as potential non-compliance by businesses in their privacy policies.

研究动机与目标

• 评估CCPA规定的隐私披露是否能清晰地向消费者传达其数据实践情况。
• 调查隐私政策中措辞差异对消费者理解CCPA权利的影响。
• 识别导致企业和消费者误解的CCPA术语具体模糊之处。
• 评估CCPA的告知-选择框架在帮助消费者做出知情决策方面的有效性。

提出的方法

• 系统分析95个美国顶级网站的隐私政策，评估其CCPA披露的合规性与清晰度。
• 识别政策文本中‘销售’、‘业务目的’和‘服务提供商’等术语的关键模糊之处。
• 设计并实施一项包含364名加州参与者的用户调查，测试不同措辞的政策摘录对理解的影响。
• 将调查结果与真实答案进行对比，衡量消费者对数据实践理解的准确性。
• 使用受控的政策摘录，隔离措辞对感知的影响，最小化品牌效应的干扰。
• 对调查中的理由进行定性分析，验证受访者是基于文本内容理解披露内容，而非品牌联想。

实验结果

研究问题

• RQ1 企业在其隐私政策中对CCPA中‘销售’、‘业务目的’和‘服务提供商’的定义，其解释与应用在多大程度上保持一致？
• RQ2 隐私披露措辞的差异在多大程度上影响了消费者对其数据共享实践和CCPA隐私权利的理解？
• RQ3 政策语言中的哪些具体模糊之处会导致消费者误解，即使法律解释本身是明确的？
• RQ4 不同披露风格下，消费者对退出功能能力和数据删除结果的感知有何差异？
• RQ5 当前的CCPA披露在多大程度上达到了法律所要求的清晰度标准？

主要发现

• 企业在应用CCPA术语方面存在显著不一致：许多企业声称未‘销售’数据，而另一些企业则承认其数据共享行为符合CCPA对‘销售’的定义。
• 披露质量差异显著，许多政策未能明确说明共享的个人信息类别、共享对象以及消费者删除请求后可能产生的结果。
• 调查受访者即使在法律解释明确的情况下，仍对数据共享接收方、退出功能有效性以及删除后的数据保留存在严重困惑。
• 不同措辞的政策摘录导致消费者产生显著不同的理解，表明语言差异会直接影响理解程度。
• 研究发现存在非合规行为和解释不一致的证据，表明CCPA的清晰度要求尚未在实践中完全实现。
• 尽管CPRA本意是澄清问题，但‘承包商’等新术语可能引入额外模糊性，凸显了制定标准化、可执行披露框架的迫切需求。