KI-Forscher schätzen, dass 97% der EU-Websites die Datenschutzbestimmungen der DSGVO nicht einhalten – insbesondere die Benutzerprofilerstellung

Forscher in den USA haben maschinelle Lernverfahren verwendet, um die Datenschutzrichtlinien von über tausend repräsentativen Websites in der EU zu untersuchen. Sie fanden heraus, dass 97% der untersuchten Websites nicht mit mindestens einer Anforderung des europäischen Datenschutzrechts von 2018 übereinstimmten und dass sie am wenigsten mit den Vorschriften zur Benutzerprofilerstellung übereinstimmten.

Die Studie besagt:

‘[Da] die Datenschutzrichtlinie der wesentliche Kommunikationskanal für Benutzer ist, um ihre Privatsphäre zu verstehen und zu kontrollieren, haben viele Unternehmen ihre Datenschutzrichtlinien nach Inkrafttreten der DSGVO aktualisiert. Allerdings sind die meisten Datenschutzrichtlinien umfangreich, voller Fachjargon und beschreiben die Datenpraktiken von Unternehmen und die Rechte von Benutzern vage. Daher ist es unklar, ob sie die DSGVO einhalten.’

Es geht weiter:

‘Unsere Ergebnisse zeigen, dass sogar nach Inkrafttreten der DSGVO 97% der Websites nicht mit mindestens einer Anforderung der DSGVO übereinstimmen.’

Die Studie trägt den Titel Automatisierte Erkennung von DSGVO-Offenlegungsanforderungen in Datenschutzrichtlinien unter Verwendung von Deep Active Learning und stammt von drei Forschern der University of Virginia in Charlottesville.

Privatsphäre zuletzt

Der Bereich, in dem die geringste Übereinstimmung bestand, betraf die Vorschriften der DSGVO zur Benutzerprofilerstellung, wobei die Autoren angaben, dass nur 15,3% der untersuchten Websites vollständig mit dieser bestimmten Regel übereinstimmten.

Ein Graph der Übereinstimmung unter den für die Forschung untersuchten Websites. Quelle: https://arxiv.org/pdf/2111.04224.pdf

Die Benutzerprofilerstellung (bei der die Interaktion eines Benutzers mit Websites aufgezeichnet und oft verwendet wird, um sie in anderen Online-Kontexten wie Werbung zu “zielen”) ist einer der umstrittensten Themen in der Technologie seit dem Skandal um Cambridge Analytica.

Am Dienstag verabschiedete ein wichtiger Ausschuss des Europäischen Parlaments den ersten Schritt des neuen Digital Markets Act (DMA) Gesetzes, das das verhaltensbedingte Targeting von Minderjährigen verbieten und Bußgelder von bis zu 20% des globalen Jahresumsatzes für verstoßende Unternehmen vorsehen würde.

Obwohl das Gesetz von den Medien als direkte Reaktion auf den wachsenden Einfluss von Technologie-Giganten wie Facebook und Google wahrgenommen wird, deutet die enorme Nichtübereinstimmung, die durch die neue Forschung dargestellt wird, darauf hin, dass die überwiegende Mehrheit der EU-Unternehmen (einschließlich EU-ansässiger Büros von amerikanischen Unternehmen, die in Europa tätig sind) rechtlich gegenüber DSGVO-Bußgeldern exponiert sind.

Zusätzlich hat Italien in dieser Woche das höchstmögliche Bußgeld von 10 Millionen Euro (11,2 Millionen USD) gegen Apple und Google wegen der Ausbeutung von Benutzerprofilen und anderen Verstößen verhängt.

Daten

Die in der neuen Forschung untersuchten Websites wurden aus den Top 10.000 Websites ausgewählt, die in Quantcast aufgeführt sind, deren englischsprachige Datenschutzrichtlinien durch Yandex-Suchen auf UK-basierten VPNs extrahiert wurden (um sicherzustellen, dass die Richtlinien nicht geo-blockiert waren).

EU-Websites sind verpflichtet, vorgeschriebene Datenschutzrichtlinien bereitzustellen, die 18 zentrale Anforderungen (siehe Graphik oben) seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 abdecken.

Die Forscher beschränkten ihre Extraktion von Datenschutzrichtlinien auf einen Zeitraum ab August 2018, um den Domains eine angemessene Zeit zu geben, um die erforderlichen Richtlinien zu veröffentlichen (eine Anforderung, von der sie im Voraus wussten, dass sie mindestens ein Jahr der zweijährigen Entwicklungsphase der DSGVO seit 2016 hatten).

Der Filterprozess produzierte einen Datenschutzkorpus von 9.761 Richtlinien, aus denen die Forscher 1.080 Richtlinien zufällig auswählten.

Vorverarbeitung

Das Team beschäftigte zwei Rechtsexperten, um vier menschliche Annotatoren auszubilden, um jede der 18 möglichen Datenschutzrichtlinien, die von der DSGVO vorgeschrieben sind, zu kennzeichnen.

Einige der Rechtsbegriffe in den Richtlinien deckten mehr als eine der 18 Anforderungen ab, was es notwendig machte, ein Convolutional Neural Network (CNN) zu verwenden, um Sprachmerkmale zu erkennen, die mit jeder Richtlinie verbunden sind.

Ein erster Versuch, ein Modell zu trainieren, um die Übereinstimmung auf der Grundlage von Sprache zu erkennen, erreichte 80,5% Erfolg. Um diese Ergebnisse zu verbessern, wendeten die Forscher Active Learning an, um die Leistung des Modells mit weniger gekennzeichneten Daten zu verbessern. Durch diese Mittel war es möglich, den Klassifizierer-CNN auf eine Genauigkeit von 89,2% zu trainieren, mit einem F1-Score von 0,88 (wobei “1” vollständiger Erfolg ist).

Um sicherzustellen, dass die Wort-Einbettungen spezifisch für Datenschutzrichtlinien waren, trainierten die Forscher ein unüberwachtes Wort-Einbettungsmodell unter Verwendung der FastText-Bibliothek von Facebook.

Wie üblich wurde die endgültige Datenmenge im Verhältnis 80/20 zwischen Trainingsdaten und Testdaten (d. h. zufällig ausgewählten Daten, gegen die die Genauigkeit des Algorithmus beurteilt wird) aufgeteilt. Eine menschliche Messstudie wurde der Architektur hinzugefügt, um die Qualität der Ergebnisse zu bewerten.

Die Architektur für das Klassifizierungssystem.

Im Laufe des Arbeitsablaufs wurden 11.271 menschlich gekennzeichnete Datenschutzrichtlinien-Segmente produziert, von denen jedes von vier menschlichen Annotatoren überprüft wurde, die von den zwei an der Studie beteiligten Rechtsexperten ausgebildet worden waren. Wenn Uneinigkeit bestand, wurde ein Übereinstimmungsverhältnis von 75% benötigt, um die Daten nicht von der Aufnahme auszuschließen.

Menschen im Arbeitsablauf – es war nicht möglich, die Kennzeichnung der Richtliniendaten vollständig zu automatisieren, obwohl Active Learning einen poolbasierten Arbeitsablauf ermöglichte, der das Projekt machbar machte.

Neben den bereits erwähnten Ergebnissen fanden die Benutzer heraus, dass Portabilität – das Recht nach der DSGVO, Daten, die von einem Unternehmen gehalten werden, zu übertragen oder zu exportieren – fast so schlecht bedient wurde wie die Profilerstellung.

Die Forscher kommen zu dem Schluss:

‘[Anforderungen] wie das Recht der Benutzer auf Portabilität und die Bereitstellung der Kontaktinformationen des Datenschutzbeauftragten (DPO-Kontakt) werden von 15,5% bzw. 16,4% der Websites abgedeckt. Andere primäre Anforderungen, wie das Recht der Benutzer, eine Beschwerde einzureichen, die Einwilligung zurückzuziehen, das Recht, Einspruch zu erheben, und die Angemessenheitsentscheidung, werden von 17-20% der Websites abgedeckt.’

…und weiter:

‘Es scheint, dass nur 3% der Websites vollständig mit den 18 Anforderungen übereinstimmen. Diese Ergebnisse deuten darauf hin, dass viele Websites die Anforderungen der DSGVO immer noch nicht einhalten.’

19:00 Uhr, 26.11.2021 – Erste Graphik-Beschriftung geklärt. – MA