[论文解读] The Impact of User Location on Cookie Notices (Inside and Outside of the European Union)

Rob van Eijk, Hadi Asghari+2 more|arXiv (Cornell University)|Oct 19, 2021

Privacy, Security, and Data Protection被引用 16

一句话总结

本研究通过在18个国家的1,500个网站上进行自动化检测，调查网站Cookie通知是否因用户地理位置或网站顶级域名（TLD）而异。研究发现，决定Cookie通知存在与否及设计的主要因素是TLD，而非用户所处位置——但.com域名在欧盟境内访问时，其横幅显示显著提高，表明实际中存在基于地理位置的适应行为。

ABSTRACT

The web is global, but privacy laws differ by country. Which set of privacy rules do websites follow? We empirically study this question by detecting and analyzing cookie notices in an automated way. We crawl 1,500 European, American, and Canadian websites from each of 18 countries. We detect cookie notices on 40 percent of websites in our sample. We treat the presence or absence of cookie notices, as well as visual differences, as proxies for differences in privacy rules. Using a series of regression models, we find that the website's Top Level Domain explains a substantial portion of the variance in cookie notice metrics, but the user's vantage point does not. This suggests that websites follow one set of privacy rules for all their users. There is one exception to this finding: cookie notices differ when accessing .com domains from inside versus outside of the EU. We highlight ways in which future research could build on our preliminary findings.

研究动机与目标

• 调查网站是否根据用户的地理位置（特别是不同隐私法规）修改Cookie通知。
• 评估网站的顶级域名（TLD）是否比用户实际访问位置更能预测Cookie通知行为。
• 评估自动化检测在衡量全球隐私合规性方面对Cookie通知的检测效果。
• 探讨这些发现对未来大规模网络隐私测量方法论和监管执行的影响。

提出的方法

• 2019年1月对18个国家（15个欧盟国家，外加加拿大、瑞士和美国）排名前100位的网站进行自动化网络爬取。
• 在OpenWPM框架中扩展出一个Cookie横幅检测模块，使用“我并不关心Cookie”扩展程序提供的横幅元素列表。
• 应用回归模型分析TLD和访问位置对Cookie通知指标（存在性、高度、字数、链接数、语言）的影响。
• 使用TextBlob库检测Cookie通知的主要语言，以支持跨国比较。
• 通过误报率（低于1%）和漏报率（约20%）评估检测准确性，但对Cookie墙的检测存在局限。
• 比较不同TLD和访问位置下Cookie通知特征的差异，以分离出监管与实现层面的影响。

实验结果

研究问题

• RQ1 用户的地理位置是否会影响网站Cookie通知的存在或设计？
• RQ2 与用户访问位置相比，网站的顶级域名（TLD）在多大程度上能预测其Cookie通知行为？
• RQ3 是否存在网站根据用户位置调整Cookie通知的例外情况，特别是.com域名？
• RQ4 Cookie通知特征（如高度、链接数量、语言）在不同TLD和区域之间如何变化？
• RQ5 这些发现对大规模网络隐私测量项目的方法论有何影响？

主要发现

• 网站的顶级域名（TLD）解释了Cookie通知指标中相当大一部分的方差，表明网站无论用户位于何处，均遵循统一的隐私规则。
• 对于大多数TLD，用户访问位置对Cookie通知的存在或设计无显著影响，支持了网站将TLD用作合规性代理的假设。
• 当从欧盟境内访问时，.com域名显示Cookie横幅的可能性比在境外访问时高出102%，表明存在基于地理位置的适应行为。
• .com域名在欧盟国家访问时更可能显示横幅，表明其遵守了针对欧盟用户的GDPR特定要求。
• 比利时和荷兰网站的Cookie横幅普遍更高，这与更严格的国家执法及国家数据保护机构的指导一致。
• 自GDPR实施以来，Cookie横幅上的链接数量有所增加，可能反映了为满足明确同意机制的法律要求所做的努力。