[论文解读] The Overview of Privacy Labels and their Compatibility with Privacy Policies

Rishabh Khandelwal, Asmit Nayak+2 more|arXiv (Cornell University)|Mar 14, 2023

Privacy, Security, and Data Protection被引用 5

一句话总结

本文对 Google Play 商店和 Apple App Store 上的隐私标签进行了大规模分析，将其与隐私政策及跨平台披露信息进行对比。研究发现存在显著不一致：Google Play 上 40% 的应用以及 51.5% 的跨平台发布应用存在差异，凸显了提升隐私标签准确性、一致性以及平台级验证的必要性，以确保用户信任和知情决策。

ABSTRACT

Privacy nutrition labels provide a way to understand an app's key data practices without reading the long and hard-to-read privacy policies. Recently, the app distribution platforms for iOS(Apple) and Android(Google) have implemented mandates requiring app developers to fill privacy nutrition labels highlighting their privacy practices such as data collection, data sharing, and security practices. These privacy labels contain very fine-grained information about the apps' data practices such as the data types and purposes associated with each data type. This provides us with a unique vantage point from which we can understand apps' data practices at scale.

研究动机与目标

• 评估主要应用平台中隐私标签的准确性和一致性，尤其与实际隐私政策进行对比。
• 调查开发者在不同平台中报告数据实践的方式，特别是针对跨平台发布应用的情况。
• 识别隐私标签披露中的系统性问题，包括开发者理解偏差、缺乏验证机制以及平台层面的监督缺失。
• 提供大规模、公开的数据集，包含隐私标签和隐私政策标注，以支持未来在隐私透明度方面的研究。

提出的方法

• 开发网络爬虫，从 250 万个 Google Play 商店应用和 138 万个 Apple App Store 应用中收集元数据、隐私政策和隐私标签。
• 通过扩展现有隐私政策分类法，构建以隐私标签为核心的分类体系，补充缺失元素并添加一致性标注。
• 利用基于 NLP 的分类器自动从隐私政策中提取数据实践，分类器基于新分类体系进行训练。
• 通过对比两个平台中隐私标签列出的实践与从隐私政策中提取的实践，开展一致性分析。
• 对 Google Play 商店的“数据安全”部分进行纵向分析，追踪谷歌强制执行截止日期前后的变化情况。
• 整理出包含 16.5 万个跨平台发布应用的数据集，用于比较 Apple 和 Google 平台间隐私标签披露的一致性。

Figure 1: Illustrative Example of nutrition labels

实验结果

研究问题

• RQ1 开发者在隐私标签中报告了哪些数据实践？这些实践随时间如何演变？
• RQ2 隐私标签中的数据实践与对应隐私政策中记录的内容相比如何？
• RQ3 对于跨平台发布应用，其隐私实践在不同平台间是否一致披露？
• RQ4 开发者在准确披露隐私实践方面面临哪些主要挑战？

主要发现

• 仅 50.2% 的 Google Play 商店应用（过滤后为 114 万个）提供隐私标签，而 Apple App Store 中该比例为 69.2%。
• 至少 40% 的 Google Play 商店应用在其隐私政策与“数据安全”部分之间存在不一致。
• 在 51.5% 的跨平台发布应用中，Apple App Store 和 Google Play 商店的隐私标签存在显著差异。
• 纵向分析显示，Google Play 的“数据安全”部分在强制执行截止日期前后频繁变更。
• 开发者调研表明，许多开发者对其自身数据实践理解不充分，导致披露不准确。
• 本研究发布了目前最大规模的公开隐私标签数据集（Android 114 万个，iOS 138 万个），并推出一个带有隐私政策标注的新分类体系。

Figure 2: The hierarchy of Apple Privacy Labels