[论文解读] (Un)informed Consent: Studying GDPR Consent Notices in the Field

Christine Utz, Martin Degeling+3 more|arXiv (Cornell University)|Sep 5, 2019

Privacy, Security, and Data Protection参考文献 30被引用 64

一句话总结

本文研究 GDPR cookie 同意通知在实际情况中的设计，并通过实验证明位置、选项数量、推动 nudging、以及措辞如何影响德国电商网站上用户互动和同意决策。

ABSTRACT

Since the adoption of the General Data Protection Regulation (GDPR) in May 2018 more than 60 % of popular websites in Europe display cookie consent notices to their visitors. This has quickly led to users becoming fatigued with privacy notifications and contributed to the rise of both browser extensions that block these banners and demands for a solution that bundles consent across multiple websites or in the browser. In this work, we identify common properties of the graphical user interface of consent notices and conduct three experiments with more than 80,000 unique users on a German website to investigate the influence of notice position, type of choice, and content framing on consent. We find that users are more likely to interact with a notice shown in the lower (left) part of the screen. Given a binary choice, more users are willing to accept tracking compared to mechanisms that require them to allow cookie use for each category or company individually. We also show that the wide-spread practice of nudging has a large effect on the choices users make. Our experiments show that seemingly small implementation decisions can substantially impact whether and how people interact with consent notices. Our findings demonstrate the importance for regulation to not just require consent, but also provide clear requirements or guidance for how this consent has to be obtained in order to ensure that users can make free and informed choices.

研究动机与目标

• 系统地识别跨活跃网站的同意通知的常见 UI 属性。
• 通过实验评估通知位置、选项数量和 nudging 如何影响用户与同意通知的互动。
• 评估措辞（技术性 vs 非技术性）以及隐私政策链接的存在性对同意决策的影响。
• 向监管者和设计者提供基于证据的指导，以实现知情、自愿的同意。

提出的方法

• 从从 EU 网站收集的 5,087 个样本中，编制 1,000 个同意通知样本以识别 UI 变量。
• 在德国一家电商网站进行大规模、跨被试间的现场研究，覆盖 82,890 名真实访客，分三项实验。
• 操控通知位置、选项数量、nudging，以及语言/隐私政策链接，以观察对互动率的影响。
• 使用修改过的浏览器插件记录互动、页面加载和调查邀请，具备用户标识符和符合 GDPR 的伪匿名化。
• 以简短的后续调查补充定量数据，以捕捉用户动机与感知。

实验结果

研究问题

• RQ1 cookie 同意通知的位置是否会影响访客的同意决策？
• RQ2 选项数量和 nudging（强调/预先选择）是否会影响同意决策？
• RQ3 隐私政策链接的存在或技术性语言与非技术性语言的使用是否会影响同意决策？

主要发现

• 左下角位置的通知与用户互动最多，而顶部横幅的互动率最低。
• 提供超过两个选项的通知会降低互动或导致更多拒绝，而倾向于自愿退出的设计则更多地促使接受。
• 通过高亮显示或预选进行 nudging 可提高接受率，表明默认隐私设置的模式可能削弱有意义的同意。
• 技术性语言（以 cookie 为中心）增加互动，但降低同意使用 cookies 的可能性。
• 隐私政策链接并未增加互动；用户更倾向于在通知本身获得更具可执行性的信息。
• 调查结果显示偏好分类别的选项，以及希望获得超越简单是/否决策的透明机制。
• 倾向退出的同意横幅不太可能获得有意义的同意；建议按类别的选择进入的通知。