Αναλύοντας 25 Χρόνια Πολιτικών Ιδιωτικότητας με Μηχανική Μάθηση

Μια πρόσφατη μελέτη έχει χρησιμοποιήσει τεχνικές ανάλυσης με μηχανική μάθηση για να χαρτογραφήσει την αναγνώσιμη, τη χρησιμότητα, το μήκος και τη πολυπλοκότητα περισσότερων από 50.000 πολιτικών ιδιωτικότητας σε δημοφιλείς ιστοτόπους σε μια περίοδο που καλύπτει 25 χρόνια από το 1996 έως το 2021. Η έρευνα καταλήγει στο συμπέρασμα ότι ο μέσος αναγνώστης θα χρειαζόταν να αφιερώσει 400 ώρες “ετήσιου χρόνου ανάγνωσης” (περισσότερο από μια ώρα την ημέρα) για να διεισδύσει στα αυξανόμενα λεκτικά, την ασαφή γλώσσα και τη vagueness που χαρακτηρίζουν τις σύγχρονες πολιτικές ιδιωτικότητας ορισμένων από τους πιο συχνά επισκεπτόμενους ιστοτόπους.

Η αναφορά αναφέρει:

‘Ο μέσος όρος του μήκους της πολιτικής έχει σχεδόν διπλασιαστεί τα τελευταία δέκα χρόνια, με 2159 λέξεις τον Μάρτιο του 2011 και 4191 λέξεις τον Μάρτιο του 2021, και έχει τετραπλασιαστεί από το 2000 (1146 λέξεις).’

Ο μέσος αριθμός λέξεων και προτάσεων ανά πολιτική, κατά τη διάρκεια μιας περιόδου 25 ετών. Πηγή: https://arxiv.org/pdf/2201.08739.pdf

Αν και ο ρυθμός αύξησης του μήκους αυξήθηκε όταν οι προστασίες του GDPR και του California Consumer Privacy Act (CCPA) τέθηκαν σε ισχύ, η μελέτη απορρίπτει αυτές τις διακυμάνσεις ως “μικρές μεγεθύνσεις” που φαίνονται αμελητέες μπροστά στη μεγαλύτερη μακροπρόθεσμη τάση. Ωστόσο, το GDPR αναγνωρίζεται ως πιθανή αιτία της αύξησης της “ασαφούς” γλώσσας στις πολιτικές (βλ. παρακάτω).

Υποθέτοντας einen ρυθμό ανάγνωσης 250 λέξεων ανά λεπτό, η μελέτη υποστηρίζει ότι η μέση πολιτική ιδιωτικότητας τώρα διαρκεί 17 λεπτά για να διαβαστεί, ενώ οι πιο δημοφιλείς πολιτικές (δηλ. οι πολιτικές που συνδέονται με ένα lớn αριθμό χρηστών) διαρκούν 23 λεπτά για να ολοκληρωθούν.

Η μακρύτερη πολιτική στη βάση δεδομένων, από τη Microsoft, απαιτεί 152 λεπτά για να καταναλωθεί, σύμφωνα με την έρευνα, η οποία αξιοποίησε μια σειρά από εκδόσεις του μοντέλου γλώσσας BERT της Google.

Αύξηση του ρυθμού των ετήσιων ωρών που απαιτούνται για την ανάγνωση των σύγχρονων πολιτικών ιδιωτικότητας, υποθέτοντας ότι ο αναγνώστης επισκέπτεται 1462 μοναδικούς ιστοτόπους ανά έτος.

Πολύ από την πρόσφατη αύξηση της μακροσκοπικής και ασαφούς γλώσσας στις πολιτικές ιδιωτικότητας αποδίδεται από την μελέτη ως μια αντίδραση στις προσπάθειες των τελευταίων δύο δεκαετιών για την επιβολή κανονισμών, αλλά και στη δόλια χρήση των απαιτήσεων συμμόρφωσης με τους κανονισμούς ως πρόφαση για να αυξήσουν κρυφά το εύρος και την αδιαφάνεια των πολιτικών ιδιωτικότητας.

‘Συνολικά, τα αποτελέσματά μας δείχνουν ότι οι πρόσφατες κανονιστικές ρυθμίσεις δεν έχουν βελτιώσει σημαντικά την ιδιωτικότητα των χρηστών στο διαδίκτυο, αλλά οδήγησαν σε περισσότερο φουσκωμένες πολιτικές ιδιωτικότητας που περιγράφουν πιο εισβατικές πρακτικές δεδομένων.’

Αν και μια σειρά από έρευνες NLP έχουν αντιμετωπίσει την αναγνώσιμη και άλλες πτυχές των πολιτικών ιδιωτικότητας τα τελευταία χρόνια, ο συγγραφέας πιστεύει ότι αυτή είναι η πρώτη μελέτη του είδους της που παρέχει μια τόσο ευρεία επισκόπηση της ανάπτυξης των πολιτικών τις τελευταίες δεκαετίες.

Το έγγραφο έχει τον τίτλο Πολιτικές Ιδιωτικότητας στο Πέρασμα του Χρόνου: Περιεχόμενο και Αναγνώσιμη των Πολιτικών Ιδιωτικότητας 1996–2021, και προέρχεται από την Isabel Wagner στο Ινστιτούτο Κυβερνοτεχνολογίας του Πανεπιστημίου De Montfort στο Ηνωμένο Βασίλειο.

Ελλειπτική Γλώσσα

Η αναφορά προτείνει επίσης ότι ο μέσος αριθμός “ασαφών λέξεων” (δηλ. αποδεκτό, σημαντικό, κυρίως, και άλλες λέξεις που δεν παρέχουν οριστική σημασία) στις πολιτικές ιδιωτικότητας αυξήθηκε σταθερά μέχρι το 2018, αλλά στη συνέχεια αυξήθηκε από 227 περίπου τον Μάρτιο του 2018 σε 304 τον Ιούνιο του 2020.

Ο συγγραφέας υποστηρίζει ότι αυτή η αύξηση οφείλεται στα αποτελέσματα του GDPR, και η μελέτη βρίσκει ότι πάνω από δύο τρίτα (72%) των προτάσεων στις μελετημένες πολιτικές ιδιωτικότητας περιείχαν τουλάχιστον μια ασαφή λέξη.

Αναγνώσιμη

Σε τρεις κοινές μετρήσεις της δυσκολίας ανάγνωσης, η μελέτη βρήκε ότι ‘οι πολιτικές ιδιωτικότητας έχουν γίνει ολοένα και πιο δύσκολο να διαβαστούν με τα χρόνια’. Οι συγγραφείς εκτιμούν ότι το 41% των τρέχουσων πολιτικών που ισχύουν το 2021 είχε einen μέσο Δείκτη Αναγνώσιμης Αναγνώσιμης (FRE, υψηλότερο είναι καλύτερο) μόνο 31,8, με τον συγγραφέα να παρατηρεί ‘Αυτός ο δείκτης υποδηλώνει einen πολύ δύσκολο κείμενο που είναι καλύτερα κατανοητό από απόφοιτους πανεπιστημίου’.

Την ίδια στιγμή, μόνο 6,7% των πολιτικών πέτυχαν einen FRE δείκτη πάνω από 45 (ο οποίος, όπως σημειώνει η αναφορά, είναι ο τυπικός δείκτης ανάγνωσης που απαιτείται για τις ασφαλιστικές πολιτικές στην πολιτεία της Φλόριντα).

Ενημέρωση για Αλλαγές Πολιτικής

Το έργο αντιμετωπίζει επίσης το βαθμό στον οποίο οι πολιτικές ιδιωτικότητας περιλαμβάνουν λεπτομέρειες σχετικά με τον τρόπο με τον οποίο ο πιθανός συναίνων θα ειδοποιηθεί τελικά σε περίπτωση μεταγενέστερων ενημερώσεων, οι οποίες μπορεί να επηρεάσουν τη διάθεση του χρήστη να διατηρήσει τη συμφωνία.

Ο συγγραφέας παρατηρεί:

‘Το 2021, το 73% των πολιτικών περιλαμβάνει μια δήλωση σχετικά με την αλλαγή της πολιτικής. Από αυτά, το 34% δηλώνει ότι οι αλλαγές θα ανακοινωθούν με μια ειδοποίηση στην πολιτική ιδιωτικότητας, το 37% θα δημοσιεύσει μια ειδοποίηση στην ιστοσελίδα, και το 22% θα στείλει μια προσωπική ειδοποίηση (οι υπόλοιπες πολιτικές αφήνουν τον τύπο της ειδοποίησης ακαθόριστο).’

‘Ως αποτέλεσμα, οι περισσότεροι χρήστες είναι απίθανο να γίνουν ενήμεροι για αλλαγές στις πολιτικές ιδιωτικότητας.

‘Επιπλέον, οι χρήστες προσφέρονται σχεδόν keine σημαντική επιλογή όταν οι πολιτικές αλλάζουν. Από τις πολιτικές που ειδοποιούν τον χρήστη για αλλαγές, μόνο το 12% προσφέρει eine νέα συναίνωση, ενώ το 34% δεν προσφέρει keine επιλογή και το 54% αφήνει это ακαθόριστο.’

Τα αποτελέσματα της μελέτης σχετικά με τους περιγραφόμενους τρόπους για την ενημέρωση των χρηστών σχετικά με αλλαγές πολιτικής.

Περιορισμένη Επιλογή σχετικά με την Παρακολούθηση

Σύμφωνα με τη μελέτη, ένας πολύ μεγαλύτερος αριθμός μηχανισμών προσφέρεται στις πολιτικές ιδιωτικότητας για την πρόσβαση σε πληροφορίες λογαριασμού χρήστη από ότι για την πρόσβαση σε δεδομένα προφίλ χρήστη. Τα δεδομένα προφίλ μπορούν να δημιουργηθούν και να ενημερωθούν μέσω αυτόματων και μη φανερών μηχανισμών, ενώ τα δεδομένα λογαριασμού χρήστη δεν μόνο χορηγούνται ρητά από τον χρήστη, αλλά και υποχρεούνται να είναι επεξεργάσιμα σύμφωνα με τους κανονισμούς των verschiedenen δικαιοδοσιών.

Η επιλογή του καταναλωτή σχετικά με τη συναίνωση cookie στις πολιτικές ιδιωτικότητας (ένα θέμα που έχει προκαλέσει ζέστη συζήτηση από την έναρξη του GDPR) είναι γενικά αντιμετωπίζεται στις πολιτικές, αλλά κρύβει ένα πιο σημαντικό στρώμα λιγότερο προσβάσιμων δεδομένων*:

‘[Οι] επιλογές σχετικά με τα cookies είναι ανεπαρκείς για την προστασία των χρηστών από όλους τους τύπους παρακολούθησης, επειδή οι μηχανισμοί επιλογής ή ελέγχου σπάνια προσφέρονται για πληροφορίες υπολογιστή, ταυτοποιητές συσκευών, και προσωπικές ταυτοποιήσεις, οι οποίες επιτρέπουν την παρακολούθηση των χρηστών μέσω fingerprinting.’

Μια σαφής αντίθεση στο επίπεδο ελέγχου που παρέχεται από τις πολιτικές ιδιωτικότητας μεταξύ δεδομένων προφίλ (τα οποία μπορούν να ληφθούν με ρητές ή κρυφές μεθόδους) και δεδομένων λογαριασμού χρήστη (τα οποία απαιτούν κάποιο βαθμό ελέγχου που απαιτείται από το GDPR, τον California Consumer Privacy Act (CCPA) και παρόμοιους εθνικούς και περιφερειακούς μηχανισμούς).

Δεδομένα

Για να ληφθούν τα δεδομένα για τη μελέτη, ο συγγραφέας crawled ιστοσελίδες για συνδέσμους προς τις πολιτικές ιδιωτικότητας, συχνά βρήκε αναγκαίο να διευρύνει το πεδίο πέρα από το αρχικό αποτέλεσμα, λόγω του αριθμού των μη ολοκληρωμένων πολιτικών που συνδέονται με περαιτέρω πολιτικές (καθεμία από τις οποίες έχει την πιθανότητα να αλλάξει είτε σε συνδυασμό με είτε ανεξάρτητα από την γονική ή συναφής πολιτική).

Η Wayback Machine χρησιμοποιήθηκε για την απόκτηση ιστορικών πολιτικών, αν και ήταν απαραίτητο, όταν θεωρήθηκαν τα αποτελέσματα, να ληφθούν υπόψη οι πολιτικές που είχαν αποκλειστεί από την κράτηση ή την αρχειοθέτηση μέσω ενός αρχείου ρομπότ.txt (ένα μικρό αρχείο κειμένου που περιέχει οδηγίες για τους πράκτορες κράτησης ιστοσελίδων σχετικά με σελίδες και άλλα στοιχεία που δεν πρέπει να περιλαμβάνονται σε einen δημόσιο δείκτη).

Μια λήψη ανά μήνα λήφθηκε από την Wayback Machine από το CDX API για κάθε αναγνωρίσιμο και συνεχές εφαρμόσιμο πολιτική, χρησιμοποιώντας Firefox under Selenium. Η εκτέλεση αναγνώρισης χαρακτήρων σε πολιτικές που ήταν διαθέσιμες μόνο σε μορφή PDF δεν θεωρήθηκε για το έργο, το οποίο περιορίστηκε στον (πολύ μεγαλύτερο) αριθμό διαθέσιμων HTML πολιτικών.

Ένα ενδιαφέρον αποτέλεσμα από το έργο είναι ότι η σαφήνεια και η αναγνώσιμη των ιστότοπων πορνογραφίας έχουν στην πραγματικότητα βελτιωθεί κατά τη διάρκεια της μελετημένης περιόδου – πιθανώς σε αναμονή της αύξησης των απαιτήσεων για μεγαλύτερη ρύθμιση και σαφήνεια. Για να συλλέξουν αυτά τα έγγραφα, ήταν απαραίτητο να ληφθούν με πρόσθετες crawls από ιδιωτικές διευθύνσεις IP, λόγω των πρωτοκόλλων αποκλεισμού περιεχομένου του πανεπιστημίου.

Αρχικά 1.068.683 έγγραφα λήφθηκαν, που ισοδυναμούν με 120.265 μοναδικά έγγραφα που περιέχουν einen μέσο όρο 39,1 άρθρα πολιτικής ή ρήτρας και 4,4 μοναδικά κείμενα πολιτικής για κάθε σύνδεσμο.

Αγγλικά Μόνο

Όπως είναι σύνηθες σε παρόμοιες πρόσφατες μελέτες, το έργο δεν ήταν σε θέση να αντιμετωπίσει τις μη αγγλικές πολιτικές ιδιωτικότητας, οι οποίες απορρίφθηκαν κατά τη διάρκεια της φάσης καθαρισμού δεδομένων χρησιμοποιώντας το πακέτο PYCLD2.

Για να διακρίνουν τις πολιτικές ιδιωτικότητας από άλλα είδη υλικού, το έργο χρησιμοποιούσε einen ταξινομητή αναπτυγμένο το 2019 ως μια κοινή πρωτοβουλία από το Πανεπιστήμιο του Wisconsin και το École Polytechnique Fédérale de Lausanne.

Αρχιτεκτονική του ταξινομητή IS-POLICY. Πηγή: https://arxiv.org/pdf/1809.08396.pdf

Αν και ο ταξινομητής IS-POLICY εκπαιδεύτηκε στο ίδιο 1.000-εγγράφων σώμα με την αρχική μελέτη, ο συγγραφέας должен να λάβει νέα μη-πολιτικά έγγραφα για εκπαίδευση,既然 τα αρχικά πηγαία δεν ήταν διαθέσιμα.

Μετά τη φιλτράρισή τους, τα δεδομένα μειώθηκαν σε 56.416 μοναδικές πολιτικές ιδιωτικότητας.

* Η εσωτερική αναφορά του εγγράφου μετατρέπεται σε υπερσύνδεσμο εδώ, η αλλαγή πλάγιας γραμμής προέρχεται από το έγγραφο.

Πρώτη δημοσίευση 31ης Ιανουαρίου 2022.