Analizarea a 25 de ani de politici de confidențialitate cu ajutorul învățării automate

O cercetare recentă a utilizat tehnici de analiză cu ajutorul învățării automate pentru a urmări citibilitatea, utilitatea, lungimea și complexitatea a peste 50.000 de politici de confidențialitate de pe site-urile web populare, într-o perioadă de 25 de ani, de la 1996 la 2021. Cercetarea concluzionează că cititorul mediu ar trebui să aloce 400 de ore de “timp de citire anual” (mai mult de o oră pe zi) pentru a pătrunde în numărul tot mai mare de cuvinte, limbajul care ascunde informații și utilizarea vagă a limbajului care caracterizează politicile de confidențialitate moderne ale unor site-uri web frecventate.

Raportul afirmă:

‘Lungimea medie a unei politici a crescut aproape dublu în ultimii zece ani, de la 2159 de cuvinte în martie 2011 la 4191 de cuvinte în martie 2021, și s-a quadruplat de la 1146 de cuvinte în 2000.’

Numărul mediu de cuvinte și propoziții în corpul de studiu, pe o perioadă de 25 de ani. Sursă: https://arxiv.org/pdf/2201.08739.pdf

Deși rata de creștere a lungimii a explodat atunci când GDPR și Legea privind confidențialitatea consumatorilor din California (CCPA) au intrat în vigoare, articolul consideră aceste variații ca “efecte mici” care par a fi nesemnificative în comparație cu tendința generală pe termen lung. Cu toate acestea, GDPR este identificat ca o posibilă cauză a creșterii limbajului “vag” în politici (a se vedea mai jos).

Presupunând o viteză de citire de 250 de cuvinte pe minut, articolul susține că politica de confidențialitate medie necesită acum 17 minute pentru a fi citită, în timp ce politicile mai populare (adică cele asociate cu un număr mare de utilizatori) necesită 23 de minute pentru a fi finalizate.

Cea mai lungă politică din setul de date, de la Microsoft, necesită 152 de minute pentru a fi consumată, conform cercetării, care a utilizat o serie de variante ale modelului de limbaj BERT de la Google.

Creșterea ratei anuale a orelor necesare pentru a citi politicile de confidențialitate moderne, presupunând că cititorul vizitează 1462 de site-uri web unice pe an.

Multă parte a creșterii recente a verbosului și ambiguității în politicile de confidențialitate este atribuită de articol ca o reacție la încercările de a impune reglementări, dar și la utilizarea necinstită a cerințelor de conformitate cu reglementările ca o scuză pentru a crește în mod ascuns sfera și opacitatea politicilor de confidențialitate.

‘În general, rezultatele noastre arată că reglementările recente privind confidențialitatea nu au îmbunătățit în mod semnificativ confidențialitatea utilizatorilor online, ci au condus la politici de confidențialitate mai umflate care descriu practici de date mai invazive.’

Deși o serie de articole de procesare a limbajului natural (NLP) au abordat citibilitatea și alte aspecte ale politicilor de confidențialitate în ultimii ani, autorul consideră că acesta este primul proiect de acest tip care oferă o astfel de imagine de ansamblu a evoluției politicii în ultimele decenii.

Articolul este intitulat Politici de confidențialitate de-a lungul anilor: Conținut și citibilitate a politicilor de confidențialitate 1996–2021, și provine de la Isabel Wagner de la Institutul de Tehnologie Cibernetică al Universității De Montfort din Regatul Unit.

Limbajul eliptic

Raportul sugerează, de asemenea, că numărul mediu de “cuvinte care ascund informații” (adică acceptabil, semnificativ, în principal, și alte cuvinte care nu oferă un sens definitiv) în politicile de confidențialitate a crescut constant până în 2018, dar apoi a sărit de la o medie de 227 în jurul lunii martie 2018 la 304 în iunie 2020.

Autorul consideră că această creștere se datorează efectelor GDPR, iar articolul constată că peste două treimi (72%) din propozițiile din politicile de confidențialitate studiate conțin cel puțin un cuvânt care ascunde informații.

Citibilitate

Pe parcursul a trei măsuri comune de dificultate de citire, studiul a constatat că ‘politicile de confidențialitate au devenit din ce în ce mai greu de citit de-a lungul anilor’. Autorii estimează că 41% din politicile aplicabile în prezent disponibile în 2021 aveau un scor mediu de Flesch Reading Ease (FRE, cu atât mai mare, cu atât mai bine) de doar 31,8, autorul observând ‘Acest scor indică un text foarte dificil care este cel mai bine înțeles de absolvenții de universitate’.

În același timp, doar 6,7% din politicile au obținut un scor FRE peste 45 (care, conform raportului, este standardul de citire necesar pentru politici de asigurare în statul Florida).

Conștientizarea schimbărilor de politică

Lucrarea abordează, de asemenea, măsura în care politicile de confidențialitate includ detalii despre modul în care potențialul consimțitor va fi în cele din urmă notificat în cazul actualizărilor ulterioare, care pot afecta disponibilitatea utilizatorului de a menține acordul.

Autorul observă:

‘În 2021, 73% din politicile includ o declarație despre schimbarea politicii. Din acestea, 34% afirmă că modificările vor fi anunțate printr-o notificare în politica de confidențialitate, 37% vor posta o notificare pe site-ul web, și 22% vor trimite o notificare personală (celelalte politici lasă tipul de notificare nespecificat).’

‘Ca rezultat, majoritatea utilizatorilor sunt puțin probabil să devină conștienți de modificările în politicile de confidențialitate. ‘

‘În plus, utilizatorilor li se oferă aproape nicio alegere semnificativă atunci când politicile se schimbă. Din politicile care notifică utilizatorul despre modificări, doar 12% oferă un nou consimțământ, în timp ce 34% nu oferă nicio alegere și 54% lasă aceasta nespecificată.’

Constatarile articolului cu privire la metodele descrise pentru notificarea utilizatorilor despre modificările de politică.

Alegere limitată cu privire la urmărire

Conform studiului, o gamă mult mai largă de mecanisme sunt oferite în politicile de confidențialitate pentru accesarea informațiilor despre contul de utilizator decât pentru accesarea datelor de profil. Datele de profil pot fi create și actualizate prin mecanisme automate și neevidente, în timp ce datele contului de utilizator nu numai că sunt acordate în mod explicit de către utilizator, dar sunt și obligate să fie editabile conform reglementărilor din diverse jurisdicții.

Alegerea consumatorului cu privire la consimțământul cookie-urilor în politicile de confidențialitate (un subiect care a atras dezbateri aprinse de la apariția GDPR, care a generat sute de mii de popup-uri de consimțământ pentru cookie-uri pentru instanțele UE ale site-urilor web internaționale și europene) este abordat în general în politicile de confidențialitate, dar ascunde un strat mai puțin accesibil de date:

‘[Alegerile] cu privire la cookie-uri sunt insuficiente pentru a proteja utilizatorii de la toate urmăririle, deoarece mecanismele de alegere sau control sunt rareori oferite pentru informații despre calculator, identificatori de dispozitiv, și identificatori personali, care permit urmărirea utilizatorilor prin amprentare.’

Un contrast puternic în nivelul de control oferit de politicile de confidențialitate între datele de profil (care pot fi obținute prin mijloace implicite sau ascunse) și datele contului de utilizator (unde o anumită măsură de control este frecvent impusă de GDPR, Legea privind confidențialitatea consumatorilor din California (CCPA) și mecanisme naționale și regionale similare).

Date

Pentru a obține datele pentru studiu, autorul a crawlat site-urile web pentru legături către politicile de confidențialitate, găsind adesea necesar să extindă sfera dincolo de rezultatul inițial, din cauza numărului de politici neintegrale care fac legătura cu politici suplimentare (fiecare dintre acestea având potențialul de a se schimba fie în tandem cu, fie independent de politica părinte sau legată).

Mașina de timp Wayback Machine a fost utilizată pentru a obține politicile istorice, deși a fost necesar să se țină cont de politici care au fost blocate de la crawlat sau arhivat prin intermediul unui fișier de configurare robots.txt (un fișier text mic care conține instrucțiuni pentru agenții de indexare a web-crawling cu privire la pagini și alte entități care nu ar trebui să fie incluse într-un index public).

O imagine pe lună a fost obținută de la Mașina de timp prin intermediul CDX API pentru fiecare politică identificabilă și continuă aplicabilă, utilizând Firefox sub Selenium. Realizarea recunoașterii optice a caracterelor pentru politicile disponibile doar în format PDF nu a fost luată în considerare pentru proiect, care s-a limitat la (mult mai marele) număr de politici HTML disponibile.

Un rezultat interesant al proiectului este că claritatea și citibilitatea site-urilor web pornografice au de fapt îmbunătățit-o pe parcursul intervalului studiat – posibil în anticiparea apelurilor crescânde pentru reglementare și claritate. Pentru a aduna aceste documente, a fost necesar să se obțină cu crawls suplimentare de la adrese IP rezidențiale, din cauza protocoalelor de blocare a conținutului universității.

Inițial, au fost obținute 1.068.683 de documente, echivalând cu 120.265 de documente unice care conțin în medie 39,1 de articole sau clauze de politică și 4,4 de texte de politică unice pentru fiecare legătură.

Doar în limba engleză

Așa cum este obișnuit în studii recente similare, proiectul nu a putut aborda politicile de confidențialitate non-engleză, care au fost eliminate în timpul etapei de curățare a datelor utilizând pachetul PYCLD2.

Pentru a distinge politicile de confidențialitate de alte tipuri de material, proiectul a utilizat un clasificator dezvoltat în 2019 ca o inițiativă comună a Universității din Wisconsin și a École Polytechnique Fédérale de Lausanne.

Arhitectura clasificatorului IS-POLICY. Sursă: https://arxiv.org/pdf/1809.08396.pdf

Deși clasificatorul IS-POLICY a fost instruit pe același corpus de 1.000 de documente ca și în lucrarea originală, autorul a trebuit să obțină documente non-politici noi pentru antrenament, deoarece sursele originale nu au fost disponibile.

După filtrare, datele au fost reduse la 56.416 politici de confidențialitate unice.

* Trimiterea internă a articolului a fost convertită într-o legătură aici, comutarea italicului este din articol.

Publicat pentru prima dată pe 31 ianuarie 2022.