Analyse von 25 Jahren Datenschutzrichtlinien mit Machine Learning

Eine kürzlich durchgeführte Studie hat Machine-Learning-Analysetechniken verwendet, um die Lesbarkeit, Nützlichkeit, Länge und Komplexität von über 50.000 Datenschutzrichtlinien auf beliebten Websites in einem Zeitraum von 25 Jahren von 1996 bis 2021 zu untersuchen. Die Forschung kommt zu dem Schluss, dass der durchschnittliche Leser 400 Stunden “jährlicher Lesezeit” (mehr als eine Stunde pro Tag) aufwenden müsste, um die wachsende Wortzahl, die verzerrende Sprache und die vagen Sprachverwendungen zu durchdringen, die die modernen Datenschutzrichtlinien einiger der meistbesuchten Websites kennzeichnen.

Der Bericht besagt:

‘Die durchschnittliche Richtlinienlänge hat sich in den letzten zehn Jahren fast verdoppelt, von 2159 Wörtern im März 2011 auf 4191 Wörter im März 2021, und fast vervierfacht seit 2000 (1146 Wörter).’

Die mittlere Wortanzahl und Satzanzahl im untersuchten Korpus über einen Zeitraum von 25 Jahren. Quelle: https://arxiv.org/pdf/2201.08739.pdf

Obwohl die Rate der Zunahme der Länge auffällig anstieg, als die Datenschutz-Grundverordnung (DSGVO) und der California Consumer Privacy Act (CCPA) in Kraft traten, betrachtet die Studie diese Variationen als “kleine Effektgrößen”, die gegenüber dem breiteren langfristigen Trend unbedeutend erscheinen. Allerdings wird die DSGVO als mögliche Ursache für die zunehmende “vage” Sprache in den Richtlinien identifiziert (siehe unten).

Unter der Annahme einer Lesegeschwindigkeit von 250 Wörtern pro Minute behauptet die Studie, dass die durchschnittliche Datenschutzrichtlinie jetzt 17 Minuten zum Lesen benötigt, während beliebtere Richtlinien (d. h. Richtlinien, die mit einer hohen Anzahl von Benutzern verknüpft sind) 23 Minuten zum Abschließen benötigen.

Die längste Richtlinie im Datensatz, von Microsoft, benötigt 152 Minuten zum Verbrauch, laut der Forschung, die eine Reihe von Varianten auf Google’s BERT-Sprachmodell nutzte.

Zunahme der Rate der jährlichen Stunden, die zum Lesen moderner Datenschutzrichtlinien benötigt werden, unter der Annahme, dass der Leser 1462 einzigartige Websites pro Jahr besucht.

Ein Großteil der jüngsten Zunahme an Umfang und Mehrdeutigkeit in den Datenschutzrichtlinien wird von der Studie als Reaktion auf Versuche der letzten zwei Jahrzehnte zur Einführung von Vorschriften zurückgeführt, aber auch auf die unredliche Verwendung von Vorschriften zur Umgehung der Compliance-Anforderungen als Vorwand, um den Umfang und die Undurchsichtigkeit der Datenschutzrichtlinien heimlich zu erhöhen.

‘Insgesamt zeigen unsere Ergebnisse, dass die jüngsten Datenschutzvorschriften die Privatsphäre der Benutzer im Internet nicht wesentlich verbessert haben, sondern zu aufgeblähten Datenschutzrichtlinien geführt haben, die mehr und mehr invasive Datenpraktiken beschreiben.’

Obwohl eine Reihe von NLP-Papieren (Natural Language Processing) in den letzten Jahren die Lesbarkeit und andere Aspekte von Datenschutzrichtlinien behandelt haben, glaubt der Autor, dass dies das erste Projekt dieser Art ist, das einen so umfassenden Überblick über die Entwicklung von Richtlinien in den letzten Jahrzehnten bietet.

Das Papier trägt den Titel Datenschutzrichtlinien im Laufe der Zeit: Inhalt und Lesbarkeit von Datenschutzrichtlinien 1996–2021 und stammt von Isabel Wagner vom Cyber Technology Institute der De Montfort University im Vereinigten Königreich.

Elliptische Sprache

Der Bericht legt auch nahe, dass die durchschnittliche Anzahl von “verzerrenden Wörtern” (d. h. akzeptabel, bedeutend, hauptsächlich und anderen Wörtern, die keine definitive Bedeutung haben) in den Datenschutzrichtlinien stetig bis 2018 anstieg, aber dann von einem Median von 227 um März 2018 auf 304 im Juni 2020 sprunghaft anstieg.

Der Autor behauptet, dass dieser Anstieg auf die Auswirkungen der DSGVO zurückzuführen ist, und die Studie findet heraus, dass über zwei Drittel (72%) der Sätze in den untersuchten Datenschutzrichtlinien mindestens ein verzerrendes Wort enthalten.

Lesbarkeit

Über drei gängige Maße für die Leseschwierigkeit hinweg fand die Studie heraus, dass ‘Datenschutzrichtlinien im Laufe der Jahre immer schwerer zu lesen geworden sind’. Die Autoren schätzen, dass 41% der aktuellen, anwendbaren Richtlinien, die 2021 verfügbar waren, einen mittleren Flesch-Lesbarkeitsindex (FRE, höher ist besser) von nur 31,8 hatten, wobei der Autor bemerkt ‘Dieser Wert weist auf einen sehr schwierigen Text hin, der am besten von Universitätsabsolventen verstanden wird’.

Zugleich erreichten nur 6,7% der Richtlinien einen FRE-Wert über 45 (was, wie der Bericht feststellt, der Lesestandard für Versicherungspolicen im Bundesstaat Florida ist).

Änderungsbewusstsein für Richtlinien

Die Arbeit behandelt auch das Ausmaß, in dem Datenschutzrichtlinien Details über die Benachrichtigung des potenziellen Zustimmers im Falle nachfolgender Änderungen enthalten, die die Bereitschaft des Benutzers beeinflussen können, die Vereinbarung aufrechtzuerhalten.

Der Autor bemerkt:

‘Im Jahr 2021 enthielten 73% der Richtlinien eine Aussage über Änderungen der Richtlinie. Von diesen gaben 34% an, dass Änderungen durch eine Mitteilung in der Datenschutzrichtlinie angekündigt werden, 37% werden eine Mitteilung auf der Website veröffentlichen und 22% werden eine persönliche Mitteilung senden (die verbleibenden Richtlinien lassen die Art der Benachrichtigung unbestimmt).

‘Infolgedessen ist es unwahrscheinlich, dass die meisten Benutzer von Änderungen an den Datenschutzrichtlinien erfahren.

‘Darüber hinaus haben die Benutzer fast keine bedeutungsvolle Wahl, wenn sich die Richtlinien ändern. Von den Richtlinien, die den Benutzer über Änderungen informieren, bieten nur 12% eine neue Zustimmung an, während 34% keine Wahl anbieten und 54% sie unbestimmt lassen.’

Die Ergebnisse der Studie zu den beschriebenen Methoden für die Benachrichtigung von Benutzern über Änderungen an den Richtlinien.

Begrenzte Wahlmöglichkeiten hinsichtlich der Verfolgung

Laut der Studie werden in den Datenschutzrichtlinien eine Vielzahl von Mechanismen für den Zugriff auf Benutzerkonto-Informationen angeboten, während für den Zugriff auf Benutzerprofil-Daten weniger Mechanismen verfügbar sind. Benutzerprofil-Daten können durch automatisierte und nicht offensichtliche Mechanismen erstellt und aktualisiert werden, während Benutzerkonto-Daten nicht nur ausdrücklich vom Benutzer gewährt, sondern auch gemäß den Vorschriften verschiedener Rechtsordnungen bearbeitbar sein müssen.

Die Wahlmöglichkeit des Verbrauchers hinsichtlich der Zustimmung zu Cookies in den Datenschutzrichtlinien (ein Thema, das seit der Einführung der DSGVO heftig diskutiert wurde, als Hunderttausende von Cookie-Zustimmungspopups für EU-Instanzen internationaler und europäischer Websites entstanden) wird allgemein in den Richtlinien behandelt, versteckt jedoch eine wichtigere, weniger zugängliche Ebene von Daten*:

‘[Die] Wahlmöglichkeiten hinsichtlich der Cookies sind unzureichend, um die Benutzer vor allen Verfolgungen zu schützen, da Wahl- oder Kontrollmechanismen selten für Computer-Informationen, Geräte-Identifikatoren und personenbezogene Identifikatoren angeboten werden, die die Verfolgung von Benutzern durch Fingerabdrücke ermöglichen.’

Ein auffälliger Kontrast im verfügbaren Kontrollniveau, das durch die Datenschutzrichtlinien zwischen Profil-Daten (die durch implizite oder heimliche Mittel erlangt werden können) und Benutzerkonto-Daten (bei denen einige Maßnahmen zur Kontrolle häufig durch die DSGVO, den CCPA und ähnliche nationale und regionale Mechanismen vorgeschrieben sind) gewährt wird.

Daten

Um die Daten für die Studie zu erhalten, durchsuchte der Autor Websites nach Links zu ihren Datenschutzrichtlinien, wobei er häufig den Umfang über das anfängliche Ergebnis hinaus erweitern musste, aufgrund der Anzahl nicht integrierter Richtlinien, die auf weitere Richtlinien verweisen (von denen jede das Potenzial hat, sich entweder im Einklang mit oder unabhängig von der Eltern- oder verwandten Richtlinie zu ändern).

Der Wayback Machine wurde verwendet, um historische Richtlinien zu erhalten, obwohl es notwendig war, bei der Berücksichtigung der Ergebnisse Richtlinien zu berücksichtigen, die durch eine robots.txt-Konfigurationsdatei (eine kleine Textdatei, die Anweisungen an Web-Crawling-Indexierungsagenten enthält, über Seiten und andere Entitäten, die sie nicht in einem öffentlichen Index enthalten sollten) vom Crawling oder Archivieren ausgeschlossen wurden.

Ein Snapshot pro Monat wurde vom Wayback Machine über dessen CDX-API für jede identifizierbare und kontinuierlich anwendbare Richtlinie unter Verwendung von Firefox unter Selenium erhalten. Die Durchführung einer optischen Zeichenerkennung auf Richtlinien, die nur im PDF-Format verfügbar waren, wurde für das Projekt nicht in Betracht gezogen, das sich auf die (viel größere) Anzahl der verfügbaren HTML-Richtlinien beschränkte.

Ein interessantes Ergebnis des Projekts ist, dass die Klarheit und Lesbarkeit von pornografischen Websites tatsächlich über den untersuchten Zeitraum verbessert wurde – möglicherweise in Erwartung einer zunehmenden Forderung nach mehr Regulierung und Klarheit. Um diese Dokumente zu sammeln, war es notwendig, sie mit zusätzlichen Crawls von Wohnungs-IP-Adressen zu erhalten, aufgrund der Content-Blockierungsprotokolle der Universität.

Anfangs wurden 1.068.683 Dokumente erhalten, was 120.265 einzigartigen Dokumenten entspricht, die im Durchschnitt 39,1 Richtlinienartikel oder -klauseln und 4,4 einzigartige Richtlinientexte pro Link enthielten.

Nur Englisch

Wie in ähnlichen jüngsten Studien üblich, konnte das Projekt nicht auf nicht-englische Datenschutzrichtlinien eingehen, die während der Datenreinigungsphase unter Verwendung des PYCLD2-Pakets ausgeschlossen wurden.

Um Datenschutzrichtlinien von anderen Arten von Materialien zu unterscheiden, verwendete das Projekt einen Klassifizierer, der 2019 als gemeinsame Initiative der University of Wisconsin und der École Polytechnique Fédérale de Lausanne entwickelt wurde.

Architektur des IS-POLICY-Klassifizierers. Quelle: https://arxiv.org/pdf/1809.08396.pdf

Obwohl der IS-POLICY-Klassifizierer auf demselben 1.000-Dokumente-Korpus wie im ursprünglichen Papier trainiert wurde, musste der Autor neue Nicht-Richtlinien-Dokumente für die Ausbildung erhalten, da die ursprünglichen Quellen nicht verfügbar waren.

Nach der Filterung wurden die Daten auf 56.416 einzigartige Datenschutzrichtlinien reduziert.

* Die Fußnote des Papiers wird hier in einen Hyperlink umgewandelt, die kursivische Umstellung stammt aus dem Papier.

Erstveröffentlichung: 31. Januar 2022.