การวิเคราะห์ 25 ปีของนโยบายความเป็นส่วนตัวด้วย Machine Learning

การศึกษาเร็วๆ นี้ได้ใช้เทคนิคการวิเคราะห์ Machine Learning เพื่อสร้างกราฟความอ่านได้ ความเป็นประโยชน์ ความยาว และความซับซ้อนของนโยบายความเป็นส่วนตัวมากกว่า 50,000 นโยบายบนเว็บไซต์ที่ได้รับความนิยมในช่วง 25 ปี ตั้งแต่ปี 1996 ถึง 2021 การวิจัยสรุปว่าผู้อ่านโดยเฉลี่ยต้องใช้เวลา 400 ชั่วโมงในการอ่านนโยบายความเป็นส่วนตัวที่เพิ่มขึ้นเรื่อยๆ ซึ่งประกอบด้วยคำศัพท์ที่ซับซ้อนและภาษาที่คลุมเครือที่พบในนโยบายความเป็นส่วนตัวของเว็บไซต์ที่มีผู้เข้าชมมากที่สุด

รายงานระบุว่า:

‘ความยาวเฉลี่ยของนโยบายเพิ่มขึ้นเกือบสองเท่าในรอบ 10 ปีที่ผ่านมา โดยมี 2,159 คำในเดือนมีนาคม 2011 และ 4,191 คำในเดือนมีนาคม 2021 และเพิ่มขึ้นเกือบสี่เท่าตั้งแต่ปี 2000 (1,146 คำ)’

จำนวนคำและประโยคเฉลี่ยในนโยบายความเป็นส่วนตัวที่ศึกษาในช่วง 25 ปี Source: https://arxiv.org/pdf/2201.08739.pdf

แม้ว่าอัตราการเพิ่มขึ้นของความยาวจะเพิ่มขึ้นเมื่อ GDPR และ California Consumer Privacy Act (CCPA) มีผลบังคับใช้ แต่รายงานไม่พบผลกระทบที่มีนัยสำคัญต่อแนวโน้มระยะยาว อย่างไรก็ตาม GDPR ถูกมองว่าเป็นสาเหตุหนึ่งที่ทำให้ภาษาในนโยบายความเป็นส่วนตัวไม่ชัดเจน

โดยสมมติว่าความเร็วในการอ่านคือ 250 คำต่อนาที รายงานระบุว่านโยบายความเป็นส่วนตัวโดยเฉลี่ยต้องใช้เวลา 17 นาทีในการอ่าน ในขณะที่นโยบายที่มีผู้ใช้มากที่สุดต้องใช้เวลา 23 นาทีในการอ่าน

นโยบายที่ยาวที่สุดในฐานข้อมูลมาจาก Microsoft และต้องใช้เวลา 152 นาทีในการอ่านตามรายงาน ซึ่งใช้แบบจำลองภาษา BERT ของ Google

การเพิ่มขึ้นของจำนวนชั่วโมงในการอ่านนโยบายความเป็นส่วนตัวต่อปี

การเพิ่มขึ้นของความยาวและความไม่ชัดเจนในนโยบายความเป็นส่วนตัวส่วนใหญ่เกิดจากการที่บริษัทต่างๆ พยายามที่จะปฏิบัติตามกฎระเบียบ แต่ยังใช้การปฏิบัติตามกฎระเบียบเหล่านี้เป็นข้ออ้างในการเพิ่มความยาวและความซับซ้อนของนโยบายความเป็นส่วนตัว

‘โดยรวมแล้ว ผลการวิจัยของเราพบว่ากฎระเบียบความเป็นส่วนตัวล่าสุดไม่ได้ปรับปรุงความเป็นส่วนตัวของผู้ใช้บนอินเทอร์เน็ตอย่างมีนัยสำคัญ แต่ส่งผลให้นโยบายความเป็นส่วนตัวมีความยาวและซับซ้อนมากขึ้น ซึ่งอธิบายถึงการปฏิบัติเกี่ยวกับข้อมูลที่รุกรานมากขึ้น’

แม้ว่าจะมีหลายงานวิจัยที่ใช้เทคนิคการประมวลผลภาษา自然 (NLP) เพื่อวิเคราะห์นโยบายความเป็นส่วนตัว แต่ผู้วิจัยเชื่อว่านี่เป็นโครงการแรกที่ให้ภาพรวมที่กว้างขวางเกี่ยวกับการพัฒนานโยบายความเป็นส่วนตัวในช่วงหลายทศวรรษที่ผ่านมา

รายงานฉบับนี้มีชื่อว่า นโยบายความเป็นส่วนตัวตลอดกาล: เนื้อหาและความอ่านได้ของนโยบายความเป็นส่วนตัว 1996-2021 และเป็นผลงานของ Isabel Wagner จาก Cyber Technology Institute ของ De Montfort University ในสหราชอาณาจักร

ภาษาที่ไม่ชัดเจน

รายงานยังพบว่าจำนวนคำที่ไม่ชัดเจน (เช่น “ยอมรับ”, “สำคัญ”, “โดยหลัก”) ในนโยบายความเป็นส่วนตัวเพิ่มขึ้นอย่างต่อเนื่องจนถึงปี 2018 แต่เพิ่มขึ้นอย่างรวดเร็วตั้งแต่เดือนมีนาคม 2018 ถึงเดือนมิถุนายน 2020

ผู้วิจัยเชื่อว่าการเพิ่มขึ้นนี้เกิดจากผลกระทบของ GDPR และพบว่ามากกว่า 72% ของประโยคในนโยบายความเป็นส่วนตัวที่ศึกษามีคำที่ไม่ชัดเจนอย่างน้อยหนึ่งคำ

ความอ่านได้

เมื่อใช้มาตรการความอ่านได้สามมาตรการที่พบบ่อยที่สุด รายงานพบว่า นโยบายความเป็นส่วนตัวมีความอ่านได้น้อยลงเมื่อเวลาผ่านไป ผู้วิจัยประมาณการว่า 41% ของนโยบายที่มีผลบังคับใช้ในปี 2021 มีคะแนนความอ่านได้ Flesch Reading Ease (FRE) เฉลี่ยอยู่ที่ 31.8 ซึ่งผู้วิจัยระบุว่า เป็นข้อความที่ยากมากที่จะเข้าใจได้ดีที่สุดโดยผู้ที่จบมหาวิทยาลัย

ในขณะเดียวกัน มีนโยบายเพียง 6.7% ที่มีคะแนน FRE สูงกว่า 45 (ซึ่งรายงานระบุว่าเป็นมาตรฐานการอ่านสำหรับนโยบายประกันภัยในรัฐฟลอริดา)

การเปลี่ยนแปลงนโยบาย

งานวิจัยนี้ยังตรวจสอบถึงขอบเขตที่นโยบายความเป็นส่วนตัวรวมรายละเอียดเกี่ยวกับวิธีการที่ผู้ให้ความยินยอมจะถูกแจ้งในกรณีที่มีการเปลี่ยนแปลงนโยบาย ซึ่งอาจส่งผลต่อความเต็มใจของผู้ใช้ในการยอมรับนโยบาย

ผู้วิจัยพบว่า:

‘ในปี 2021 73% ของนโยบายรวมคำชี้แจงเกี่ยวกับการเปลี่ยนแปลงนโยบาย ของจำนวนนี้ 34% ระบุว่าการเปลี่ยนแปลงจะถูกประกาศโดยการแจ้งบนหน้านโยบายความเป็นส่วนตัว 37% จะโพสต์แจ้งบนเว็บไซต์ และ 22% จะส่งการแจ้งให้ผู้ใช้โดยตรง (ส่วนที่เหลือไม่ระบุวิธีการแจ้ง)

‘ดังนั้น ผู้ใช้ส่วนใหญ่จึงไม่น่าจะทราบถึงการเปลี่ยนแปลงในนโยบายความเป็นส่วนตัว’

‘นอกจากนี้ ผู้ใช้ได้รับการเลือกที่มีความหมายเพียงเล็กน้อยเมื่อนโยบายเปลี่ยนแปลง ของนโยบายที่แจ้งให้ผู้ใช้ทราบเกี่ยวกับการเปลี่ยนแปลงเพียง 12% ที่ให้ความยินยอมใหม่ ในขณะที่ 34% ไม่ได้ให้ความยินยอม และ 54% ไม่ได้ระบุ’

ผลการวิจัยเกี่ยวกับวิธีการแจ้งผู้ใช้เกี่ยวกับการเปลี่ยนแปลงนโยบาย

การจำกัดทางเลือกในการติดตาม

ตามรายงาน การศึกษาพบว่ามีกลไกที่หลากหลายสำหรับการเข้าถึงข้อมูลบัญชีผู้ใช้มากกว่าการเข้าถึงข้อมูลโปรไฟล์ผู้ใช้ ข้อมูลโปรไฟล์สามารถสร้างและอัปเดตได้โดยอัตโนมัติและไม่ชัดเจน ในขณะที่ข้อมูลบัญชีผู้ใช้ต้องได้รับการอนุญาตอย่างชัดเจนจากผู้ใช้และต้องสามารถแก้ไขได้ตามกฎระเบียบของเขตอำนาจศาลต่างๆ

การให้ความยินยอมในการติดตามคุกกี้ในนโยบายความเป็นส่วนตัวได้รับการกล่าวถึงในนโยบาย แต่ซ่อนเร้นไปเบื้องหลังข้อมูลที่ไม่สามารถเข้าถึงได้:

‘การให้ความยินยอมในการติดตามคุกกี้ไม่เพียงพอสำหรับการปกป้องผู้ใช้จากการติดตามทั้งหมด เนื่องจากกลไกการให้ความยินยอมหรือการควบคุมไม่ได้ถูกนำเสนอสำหรับข้อมูลคอมพิวเตอร์ ตัวระบุอุปกรณ์ และตัวระบุบุคคล ซึ่งอนุญาตให้ติดตามผู้ใช้ด้วยวิธีการระบุลายนิ้วมือ’

ความแตกต่างที่ชัดเจนในระดับการควบคุมที่ให้ไว้โดยนโยบายความเป็นส่วนตัวระหว่างข้อมูลโปรไฟล์ (ซึ่งสามารถได้รับโดยวิธีการที่ไม่ชัดเจน) และข้อมูลบัญชีผู้ใช้ (ซึ่งมีการควบคุมที่กำหนดโดย GDPR, CCPA และกลไกอื่นๆ)

ข้อมูล

ในการรวบรวมข้อมูลสำหรับการศึกษา ผู้วิจัยได้ใช้เครื่องมือในการค้นหาเว็บไซต์เพื่อค้นหาลิงก์ไปยังนโยบายความเป็นส่วนตัว ซึ่งบ่อยครั้งต้องขยายขอบเขตการค้นหาออกไปนอกเหนือจากผลลัพธ์เริ่มต้นเนื่องจากจำนวนของนโยบายที่ไม่สมบูรณ์ที่เชื่อมโยงไปยังนโยบายอื่นๆ

เครื่องมือ Wayback Machine ถูกใช้ในการรับข้อมูลนโยบายความเป็นส่วนตัวในอดีต แต่จำเป็นต้องคำนึงถึงนโยบายที่ถูกปิดการเข้าถึงหรือเก็บถาวรผ่านไฟล์ robots.txt

หนึ่งภาพถ่ายต่อเดือนถูกดึงมาจาก Wayback Machine โดยใช้ API CDX สำหรับนโยบายที่สามารถระบุและใช้ได้โดยใช้ Firefox ผ่าน Selenium การทำการรู้จำตัวอักษรแบบออปติคัลบนเอกสาร PDF ไม่ได้รับการพิจารณาในโครงการนี้ ซึ่งจำกัดตัวเองไว้เพียงนโยบาย HTML ที่มีอยู่

ผลลัพธ์ที่น่าสนใจจากโครงการคือความชัดเจนและความอ่านได้ของเว็บไซต์สำหรับผู้ใหญ่เพิ่มขึ้นในช่วงเวลาที่ศึกษา ซึ่งอาจเป็นเพราะการเตรียมพร้อมสำหรับการกำกับดูแลที่เพิ่มขึ้น

เพื่อรวบรวมเอกสารเหล่านี้ จำเป็นต้องมีการค้นหาที่เพิ่มขึ้นจากที่อยู่ IP ของผู้อยู่อาศัยเนื่องจากโปรโตคอลการปิดกั้นเนื้อหาของมหาวิทยาลัย

ในตอนแรก มีเอกสาร 1,068,683 份 ซึ่งเท่ากับเอกสาร 120,265 份ที่มีนโยบายความเป็นส่วนตัว 39.1 ข้อหรือมาตรา และ 4.4 ข้อความนโยบายที่ไม่ซ้ำกันต่อลิงก์

ภาษาอังกฤษเท่านั้น

เหมือนกับงานวิจัยที่คล้ายกันในระยะหลัง โครงการนี้ไม่สามารถจัดการกับนโยบายความเป็นส่วนตัวที่ไม่ใช่ภาษาอังกฤษได้ ซึ่งถูกตัดออกในช่วงการทำความสะอาดข้อมูลโดยใช้แพ็คเกจ PYCLD2

เพื่อแยกนโยบายความเป็นส่วนตัวออกจากเนื้อหาอื่นๆ โครงการใช้เครื่องจำแนกที่พัฒนาในปี 2019 โดยมหาวิทยาลัยวิสคอนซินและ École Polytechnique Fédérale de Lausanne

สถาปัตยกรรมของเครื่องจำแนก IS-POLICY Source: https://arxiv.org/pdf/1809.08396.pdf

แม้ว่าเครื่องจำแนก IS-POLICY จะถูกฝึกฝนบนเซตข้อมูลเดียวกันกับงานวิจัยดั้งเดิม แต่ผู้วิจัยต้องได้รับเอกสารที่ไม่ใช่นโยบายใหม่สำหรับการฝึกฝน เนื่องจากแหล่งที่มาเดิมไม่มีอยู่

หลังจากการกรองข้อมูล ข้อมูลถูกลดลงเหลือ 56,416 นโยบายความเป็นส่วนตัวที่ไม่ซ้ำกัน

* การอ้างอิงในบรรทัดของรายงานถูกแปลงเป็นลิงก์ไว้ที่นี่ การสลับอิตาลิกมาจากเอกสาร

เผยแพร่ครั้งแรกเมื่อวันที่ 31 มกราคม 2022