The Impact of User Location on Cookie Notices (Inside and Outside of the European Union)
网络是全球性的，但隐私法因国家而异。网站遵循哪一套隐私规则？我们通过自动检测和分析cookie通知来实证研究这个问题。我们抓取了来自18个国家的1，500个欧洲，美国和加拿大网站。在我们的样本中，我们在40%的网站上检测到Cookie通知。我们将Cookie通知的存在或不存在以及视觉差异视为隐私规则差异的代理。使用一系列的回归模型，我们发现，网站的顶级域解释了Cookie通知指标的差异的很大一部分，但用户的优势点没有。这表明网站对所有用户都遵循一套隐私规则。这一发现有一个例外：从欧盟内部和外部访问. com域名时，cookie通知不同。我们强调了未来研究可以建立在我们初步研究结果基础上的方法。
2021-10-19 cs.CY
User Perception and Actions Through Risk Analysis Concerning Cookies
网站浏览器Cookie是由Web服务器在访问时创建的小文件，它被放置在用户的浏览器目录中，以增强用户的体验。然而，第一方和第三方Cookie由于其数据汇集方法，已成为对用户隐私的重大威胁。为了了解用户对Cookie和定向广告风险的看法，我们通过对照组与实验组调查进行了用户研究。我们的目标是衡量用户知识如何反映他们在互联网上的安全和隐私偏好;因此，对于实验组，我们通过参与式设计在一个有15名参与者的研讨会上创建了一个学习网站和信息视频。在此之后，通过评估68名参与者通过调查的反应，我们分析了用户对Cookie的认识，其隐私影响，以及风险沟通如何影响用户行为。
2022-11-14 cs.CY
Uncovering the Flop of the EU Cookie Law
2002年，欧洲联盟（欧盟）推出了电子隐私指令，以规范在线跟踪技术的使用。其目的是使跟踪机制明确，同时提高用户的隐私意识。它要求网站在使用任何类型的分析方法之前征求明确同意，例如，cookies.从2013年开始，该指令是强制性的，现在大多数欧洲网站都嵌入了“Cookie栏”，以明确征求用户的同意。据我们所知，没有研究集中在检查网站是否遵守指令。为此，我们设计了CookieCheck，这是一个简单的工具，可以自动进行检查。我们使用它在35，000多个网站上运行测量活动。结果描绘了一幅戏剧性的画面：65%的网站不尊重指令，甚至在用户被提供接受按钮之前就安装了跟踪Cookie。简而言之，我们证明了电子隐私指令的失败。在动机中，我们确定了缺乏规则，使系统的审计程序，缺乏工具来验证其执行的代理机构，以及在实施它的网站管理员的技术困难。
2019-05-02 cs.CY
Under the Spotlight: Web Tracking in Indian Partisan News Websites
印度正在经历激烈的政治党派和宗派分歧。据我们所知，本文首次对印度网络新闻媒体的追踪和党派性进行了全面分析。我们建立了一个包含103个在线网站的数据集，其中大多数是主流新闻网站。在两位专家的帮助下，再加上来自无国界记者组织媒体所有权监测的数据，我们根据这些网站的党派（左翼、右翼或中间派）给它们贴上了标签。我们使用不同的指标来研究和比较这些网站上的用户跟踪：Cookie数量、Cookie同步、设备指纹和基于像素的不可见跟踪。我们发现，左翼和中间派网站比右翼网站提供更多的cookie。但是，通过cookie同步，左侧网站中同步的用户ID多于右侧或中心。Canvas fingerprinting在Left和Right中的使用类似，而在Centre中使用较少。基于不可见像素的跟踪在中心倾向的网站中比右倾向的网站强50%，比左倾向的网站强25%。新闻网站的桌面版本比移动版本提供更多的cookie。在这项研究中，少数第三方正在跟踪大多数网站的用户。本文通过展示强烈的网络跟踪，对访问印度党派新闻网站的用户的整体隐私研究产生了影响。
2021-03-08 cs.CY
Me want cookie! Towards automated and transparent data governance on the Web
本文提出Web浏览器内个人数据的社会技术治理愿景，构想用策略语言描述数据条款、由浏览器代用户执行管控，并规划验证现有策略语言表达能力的技术研究，为Web级半自动化数据治理及下一代Web技术应用奠定基础。
2024-08-17 cs.CY cs.HC
Multiple Purposes, Multiple Problems: A User Study of Consent Dialogs after GDPR
欧盟的《通用数据保护条例》（GDPR）要求网站在使用\emph{specific purposes}的Cookie时征求同意。这扩大了同意对话框的相关设计空间。网站可以尝试最大限度地提高点击率和积极的同意决定，即使用户同意的目的比预期的更多。我们通过一个对照组和两个治疗组（两个国家的$N=150$大学生）进行实验，评估在流行网站上观察到的实践。我们假设用户的同意决定受到以下因素的影响：（1）选项的数量，与选择扩散理论有关;（2）突出显示的默认按钮（“选择全部”）的存在，与消费者研究中的社会规范和欺骗理论有关。结果表明，看到默认按钮的参与者比对照组接受cookie的目的更多，而正确回忆他们的选择的能力更低。在被提醒他们的选择后，他们更经常后悔，并且认为同意对话比对照组更具欺骗性。用户是否被呈现一个或三个目的对他们的决定和感知没有显着影响。我们讨论的结果和轮廓的政策含义。
2020-03-02 cs.CR cs.CY cs.HC
Whose Hands Are in the Finnish Cookie Jar?
网络cookie被广泛用于跟踪和分析用户的行为。虽然有一个坚实的经验基础，了解使用cookie在全球万维网，到目前为止，有限的注意力已经投入到特定国家和公司层面的cookie分析。为了修补文献中的这一限制，本文研究了芬兰网络中使用的持久性第三方Cookie。探索性的结果揭示了芬兰和全球网络之间的一些相似之处和有趣的差异-特别是，流行的芬兰网站大多由媒体公司拥有，这些公司与在线广告公司建立了独特的合作伙伴关系。报告的结果也可以反映在欧盟目前和未来的隐私法规。
2018-01-23 cs.CR cs.CY cs.NI
Your Consent Is Worth 75 Euros A Year -- Measurement and Lawfulness of Cookie Paywalls
大多数网站都免费提供内容，尽管这种免费通常伴随着一个对应物：收集个人数据主要通过跟踪和定向广告来资助这些网站。Cookie墙和付费墙，用于检索同意，最近引起了欧盟DPA的兴趣，似乎越来越受欢迎。然而，他们被学者们忽视了。我们在本文中介绍了1）对2800个中欧网站进行的探索性研究的结果，以衡量Cookie付费墙的存在和实践，以及2）在各种法律决定和指导方针中对其合法性的框架。
2022-09-26 cs.CY cs.HC
(Un)informed Consent: Studying GDPR Consent Notices in the Field
自2018年5月通过《通用数据保护条例》（GDPR）以来，欧洲超过60%的热门网站向访问者显示Cookie同意通知。这很快导致用户对隐私通知感到厌倦，并导致阻止这些横幅的浏览器扩展的兴起，以及对跨多个网站或浏览器捆绑同意的解决方案的需求。在这项工作中，我们确定的同意通知的图形用户界面的共同属性，并进行了三个实验，超过80,000个独特的用户在德国网站上的通知位置，选择类型和内容框架的影响同意。我们发现，用户更有可能与屏幕左下角显示的通知进行交互。在二元选择的情况下，与要求用户允许每个类别或公司单独使用Cookie的机制相比，更多的用户愿意接受跟踪。我们还表明，广泛传播的实践轻推有很大的影响用户的选择。我们的实验表明，看似很小的实施决策可以实质性地影响人们是否以及如何与同意通知进行交互。我们的研究结果表明，监管的重要性不仅在于要求同意，还在于为如何获得这种同意提供明确的要求或指导，以确保用户能够做出自由和知情的选择。
2019-10-22 cs.CY cs.HC
Senseful Consense: Towards Simplified Cookie Banners using Plain Language
TU Braunschweig（布伦瑞克工业大学）；Max Planck Institute for Informatics（马克斯·普朗克计算机科学研究所）；University of Twente（特温特大学）
本研究探讨将简明语言应用于Cookie横幅，通过AI映射分析200个网站文本，将理解难度从大学水平降至七年级，并强调需结合标准化指南以兼顾可读性与信息完整性。
2026-09-10 cs.CY cs.HC
Legitimate Interest is the New Consent -- Large-Scale Measurement and Legal Compliance of IAB Europe TCF Paywalls
本研究通过自动爬虫对前一百万个网站进行调查，识别出431个使用TCF的Cookie付费墙，发现其广泛依赖合法利益法律基础并与同意混淆，且与DPAs指南缺乏相关性。
2023-10-13 cs.CY
To Be or Not to Be (in the EU): Measurement of Discrepancies Presented in Cookie Paywalls (LONG)
本研究针对Cookie付费墙，探究客户端浏览器、设备类型及地理位置对其存在、行为和用户数据处理的影响，发现地理位置影响最大，且约11%的网站存在“双重付费墙”。
2025-02-11 cs.CY cs.ET
From social netizens to data citizens: variations of GDPR awareness in 28 European countries
我们通过对2019年3月进行的Eurobarometer 91.2调查（N = 27，524）的二次分析，研究了欧盟27国-英国28个欧洲国家与数字体验相关的一般数据保护法规（GDPR）意识的变化。教育，职业和年龄是GDPR意识最强的社会人口预测因素，性别，主观经济幸福感或地区大小的影响很小。在线性模型中，数字体验与GDPR意识显著正相关，但当我们通过类型学分析对其进行检查时，这种关系被证明更为复杂。使用探索性k-means聚类分析，我们确定了四个数字公民群体，涵盖数字体验和GDPR意识的两个维度：离线公民（22%），社交网民（32%），网络公民（17%）和数据公民（29%）。离线公民在互联网使用和GDPR意识方面排名最低;网络公民的排名约为平均值，而数据公民在数字体验和GDPR知识和使用方面排名最高。第四个被确定的集群，社交网民，有一个不和谐的配置文件，具有显着的高社交网络使用，低于平均水平的在线购物体验，和低GDPR意识。人力资本的数字化和互联网的普遍使用是国家层面数据公民类型国家频率的强相关性。我们的研究结果证实了之前的研究，即与激烈的社交媒体消费相关的低隐私意识和技能，但我们发现，年轻一代在相当无忧无虑的社交网民和大力投资的数据公民之间平分秋色。
2021-08-09 cs.CY
GDPR: When the Right to Access Personal Data Becomes a Threat
自GDPR生效一年后，所有网站和数据控制器都更新了存储用户数据的程序。GDPR不仅涵盖了服务提供商应该如何保存数据以及应该保存哪些数据，而且还保证了一种简单的方法来了解收集了哪些数据以及可以自由导出这些数据。在本文中，我们对GDPR第15条提供的数据访问权进行了全面的研究。我们调查了300多名数据控制者，为他们每个人执行访问个人数据的请求。我们发现，几乎每个数据控制器都有一个稍微不同的过程来满足请求，并有几种方法将数据返回给用户，从CSV等结构化文件到监视器的屏幕截图。我们衡量完成访问数据请求所需的时间以及所提供信息的完整性。在这个数据收集阶段之后，我们分析数据控制者建立请求者身份所遵循的身份验证过程。我们发现，50.4%的处理请求的数据控制者，即使他们按照GDPR存储数据，在识别用户的过程中或在发送数据的阶段存在缺陷，使用户面临新的威胁。令人惊讶的是，GDPR在目前的部署中实际上降低了Web服务用户的隐私。
2020-05-04 cs.CY
Cookies Invading Our Privacy for Marketing Advertising and Security Issues
隐私一直是互联网上每个人都关心的主要问题。全球各国政府已经就如何有效管理互联网空间提出了自己的看法，以便对用户和数据的机密信息和隐私的流动进行一些控制。利用缺乏一个统一的机构，可以管理在线空间与其严格和严格的规则，某些网站使用的文本文件，称为Cookie收集用户的数据，并使用它们来营销他们在广告网络和第三方网站的帮助下，JavaScript和Flash技术。甚至在我们中的许多人认为我们周围正在发生的事情在网上使用我们被入侵的cookie和有针对性的与他们的具体信息，可以诱使我们购买的产品或服务，我们渴望在最近的过去。虽然可能有人认为这是一种营销策略，给客户他想要的，但它不可能是像用户只是被瞄准，因为他已经表现出对某事的兴趣，他应该被打扰，直到他得到的东西。这纯粹是一个安全漏洞，因为大多数网站不要求允许使用cookie并将其设置到用户浏览器中，最重要的是没有发布隐私声明，该信息用于有针对性的营销。这篇分析论文有来自不同来源的观点，这种活动的一个例子是一个潜在的安全漏洞，以及这些网站如何使用致命的cookie进行商业伎俩的各种其他信息。
2013-05-10 cs.CR cs.CY
Needle in the Haystack: Analyzing the Right of Access According to GDPR Article 15 Five Years after the Implementation
本研究定量分析GDPR第15条实施五年后各组织的合规响应，发现部分网站手动处理导致延迟，并总结出个人访问数据时面临的十种模式。
2023-08-29 cs.CR cs.CY
Dual-Technique Privacy & Security Analysis for E-Commerce Websites Through Automated and Manual Implementation
本文通过自动化工具与人工评估相结合的双重技术方法分析90个美国电商网站，发现cookie滥用、缺乏多因素认证和输入验证不足等安全缺陷，并提出改进隐私政策、增强cookie透明度和强化认证协议等针对性建议，以促进CCPA和COPPA合规并保护年轻用户。
2024-10-19 cs.CR cs.CY
Privacy Limitations Of Interest-based Advertising On The Web: A Post-mortem Empirical Analysis Of Google's FLoC
2020年，谷歌宣布将在Chrome浏览器中禁用第三方Cookie，以改善用户隐私。为了继续支持基于兴趣的广告，同时降低个性化用户跟踪的风险，谷歌提出了FLoC。FLoC算法将用户分配到“队列”，这些队列代表具有相似浏览行为的用户组，以便广告可以基于他们的队列提供给用户。2022年，在真实世界的试验中测试了FLoC后，谷歌取消了这一提议，几乎没有解释。在这项工作中，我们通过将FLoC的实现应用于从超过90，000个美国设备中收集的浏览数据集，对FloC的两个关键隐私风险进行了事后分析。首先，我们展示了与其隐私目标相反的是，FLoC如何通过为跨站点的用户提供唯一标识符来实现跨站点用户跟踪，类似于FLoC旨在改进的第三方Cookie。我们展示了随着时间的推移观察到的FLoC队列ID序列如何为跟踪器提供此标识符，即使禁用了第三方Cookie。我们估计数据集中可以通过FLoC ID唯一识别的用户数量在3周后超过50%，在4周后超过95%。我们还展示了当队列数据与浏览器指纹相结合时，这些风险如何增加，以及我们的结果如何低估了FLoC在现实世界部署中可能带来的真正风险。其次，我们研究了FLoC泄露敏感人口统计信息的风险。虽然我们发现人口统计组之间的浏览行为存在统计学显著差异，但我们并没有发现FLoC有暴露数据集中用户种族或收入信息的显著风险。我们的贡献提供了见解和示例分析，为未来的方法，寻求保…
2022-10-13 cs.CY
From Cookies to Cooks: Insights on Dietary Patterns via Analysis of Web Usage Logs
营养是人们整体健康的关键因素。因此，了解全人群饮食偏好随时间和空间的性质和动态对公共卫生是有价值的。到目前为止，研究已经通过食物摄入日志或治疗数据利用了参与者的小样本。我们提出了一个补充来源的人口数据，通过网络日志获得营养。我们的主要贡献是通过广泛分布的Web浏览器插件收集的日志镜头，使用用户通过搜索作为实际食物消费代理寻求的食谱的访问量，对整个人群的饮食偏好进行时空分析。我们发现，饮食偏好的变化表示通过食谱访问有两个主要的周期性组成部分，一个每年和其他每周，并存在特征性的地区差异，在美国的饮食。在第二项研究中，我们确定了那些有证据表明做出了减肥决定的用户。我们的特点，他们在他们的搜索查询中表达的兴趣的变化，并特别关注他们的食谱查询的变化。最后，我们将从食谱查询中获得的营养时间序列与入院时间对齐的数据相关联，旨在了解如何利用Web日志中捕获的行为数据来识别饮食和急性健康问题之间的潜在关系。在这项初步研究中，我们专注于随着时间的推移在食谱中确定的钠模式和充血性心力衰竭的入院模式，这是一种慢性疾病，可因钠摄入量的增加而加剧。
2013-04-12 cs.CY cs.IR physics.soc-ph
"I will never pay for this" Perception of fairness and factors affecting behaviour on 'pay-or-ok' models
本研究通过焦点小组与法律分析，探究用户对cookie付费墙模式的公平感知及付费决策影响因素，指出其存在经济排斥、同意不符合GDPR要求的问题，并提出以用户为中心的优化建议。
2025-07-31 cs.CY
Credibility of Automatic Appraisal of Domain Names
域名和整个网站越来越多地被视为资产，其价值可以评估。本论文的目的是验证的可信度域名评价获得使用一般可用的Web应用程序中的自动化，算法的方式。在结论部分，有人提到，术语域名评估和网站评估经常等同起来。它还表明，在测试应用程序中使用的算法考虑参数表征网站。因此，它们不能用于验证域名本身的价值。此外，在分析评价网站的运作模式时注意到，提供这些网站时并没有考虑到域名或网站评价。他们的目标是获取和拦截在线流量。这些应用程序还在接收者的设备上留下cookie文件，然后由基于再营销概念的广告系统使用。
2018-10-29 cs.CY
The Privacy Policy Landscape After the GDPR
University of Wisconsin（威斯康星大学）；École Polytechnique Fédérale de Lausanne（洛桑联邦理工学院）
欧盟《通用数据保护条例》（GDPR）是有史以来最严格、最全面的隐私法规之一。在它生效一年后，我们研究了它对在线隐私政策的影响。我们在GDPR前后对隐私政策进行了首次纵向、深入和大规模的评估。我们评估这些策略的完整消费周期，从第一次用户印象到合规评估。我们创建了一个多样化的语料库，包含欧盟内外的两套6，278个独特的英语隐私政策，涵盖其GDPR之前和之后的版本。我们的测试和分析结果表明，GDPR已经成为欧盟内外隐私政策重大改革的催化剂。这一政策的彻底改革，体现在广泛的文本变化，特别是对欧盟网站，对用户的好处好坏参半。虽然隐私政策变得相当长，但我们对Amazon MTurk上的470名参与者进行的用户研究表明，从用户的角度来看，欧盟网站的隐私政策的视觉表示有了显着的改进。我们进一步开发了一个新的工作流程，用于自动评估隐私政策中的要求。使用此工作流程，我们表明隐私政策涵盖了更多的数据实践，并且与GDPR后的七项合规要求更加一致。我们还通过执行特异性分析来评估组织在隐私实践方面的透明度。在这项分析中，我们发现了GDPR引发的积极变化的证据，平均特异性水平有所提高。尽管如此，我们发现隐私政策的格局仍处于过渡阶段;许多政策仍然不符合GDPR的几个关键要求，或者其覆盖范围的改善伴随着特定性的降低。
2019-06-24 cs.CL cs.CR cs.CY
Tracking Walls, Take-It-Or-Leave-It Choices, the GDPR, and the ePrivacy Regulation
针对在线隐私场景中的跟踪墙问题，该研究通过调查发现公众普遍认为其不公不可接受，分析了欧盟隐私法规下跟踪墙的合法条件与同意无效情形，并建议立法考虑禁止该机制。
2025-10-29 cs.CY
Agents of Choice: Tools that Facilitate Notice and Choice about Web Site Data Practices
最近推出了各种工具，旨在帮助人们保护他们在互联网上的隐私。这些工具执行许多不同的功能，包括加密和/或匿名通信，防止使用持久标识符（如Cookie），自动获取和分析网站隐私策略，以及向用户显示与隐私相关的信息。本文讨论了一套隐私工具，专门针对促进通知和选择有关网站的数据做法。虽然这些工具也可能具有执行其他功能（如加密）的组件，或者它们可能能够与其他隐私工具结合使用，但这些工具的主要目的是帮助用户了解网站隐私惯例，并使用户更容易就何时向网站提供数据做出明智的选择。这类工具的例子包括隐私偏好平台（P3 P）和各种信息中介服务。
2000-01-14 cs.CY
Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence
新的同意管理平台（CMP）已引入网络，以符合欧盟的一般数据保护条例，特别是公司收集和处理用户个人数据时的同意要求。这项工作分析了最流行的CMP设计如何影响人们的同意选择。我们在英国排名前10，000的网站（n=680）上抓取了五个最受欢迎的CMP的设计。我们发现，暗模式和暗示同意无处不在;只有11.8%符合我们根据欧洲法律设定的最低要求。其次，我们进行了一个现场实验，40名参与者，调查如何八个最常见的设计影响同意的选择。我们发现通知样式（横幅或屏障）没有影响;从第一页删除选择退出按钮会增加22- 23个百分点的同意;在第一页提供更细粒度的控制会减少8- 20个百分点的同意。这项研究为执行GDPR所需的监管行动提供了经验基础，特别是关注集中的第三方CMP服务作为提高合规性的有效方法的可能性。
2020-01-08 cs.CY cs.HC
Global Web, Local Privacy? An International Review of Web Tracking
Carnegie Mellon University（卡内基梅隆大学）；Brown University（布朗大学）；Wesleyan University（卫斯理安大学）
研究分析了十国网站的跟踪连接，发现澳大利亚和美国（加州）的跟踪水平最高，欧盟国家访问常见顶级网站时跟踪连接较少，表明GDPR和ePrivacy指令有效减少跟踪。
2026-04-18 cs.CR cs.CY
Consent Management Platforms under the GDPR: processors and/or controllers?
同意管理提供商（CMP）提供的同意弹出窗口会随着时间的推移嵌入到越来越多的网站中，以简化对电子隐私指令和通用数据保护条例（GDPR）规定的同意法律要求的遵守。它们实施了互动广告局欧洲分部（IAB Europe）提出的透明度和同意框架（TCF）（当前版本v2.0）中的同意收集标准。虽然IAB的TCF规范将CMP描述为数据处理器，但CMP的实际活动通常将其视为数据控制器。辨别其明确的作用至关重要，因为遵约义务和中医药责任取决于其准确的定性。我们在欧盟的两个主要CMP供应商：Quantcast和OneTrust进行实证实验，并与法律分析配对。我们的结论是，中医处理个人数据，我们确定了多种情况下，中医是控制器。
2021-04-14 cs.CY cs.HC
"Nobody should control the end user": Exploring Privacy Perspectives of Indian Internet Users in Light of DPDPA
本研究结合印度新通过的DPDPA，首次调查428名印度互联网用户对Cookie横幅、在线隐私及法规的认知，发现隐私意识用户认知不足且担忧难转化为行动，用户对政府的怀疑影响其对DPDPA的看法，需更清晰沟通与政策完善。
2025-08-25 cs.CY cs.HC
Adtech and Real-Time Bidding under European Data Protection Law
本文分析实时竞价（RTB）与欧洲数据保护法（GDPR）的冲突，指出其需用户事先同意、难以满足透明度要求且激励不安全数据处理，结论是RTB在结构上难以合法化，需监管干预。
2025-09-01 cs.CR cs.CY
Exposing the Hidden Web: An Analysis of Third-Party HTTP Requests on 1 Million Websites
本文对100万个流行网站的隐私泄露机制进行了定量分析。调查结果表明，近十分之九的网站将用户数据泄露给用户可能不知道的各方;超过十分之六的网站产生第三方cookie;超过十分之八的网站将外部方的JavaScript代码加载到用户的计算机上。泄露用户数据的网站平均联系9个外部域，这表明用户可能被多个实体串联跟踪。通过追踪网络上个人浏览历史的意外泄露，可以发现少数美国公司收到了大量的用户数据。最后，在分析时，大约五分之一的网站可能容易受到已知的国家安全局间谍技术的攻击。
2015-11-02 cs.CR cs.CY
Web Privacy based on Contextual Integrity: Measuring the Collapse of Online Contexts
本研究将情境完整性理论操作化，通过爬取七个情境下700个热门网站并构建网络图，系统测量了第三方Cookie和JS指纹识别导致的持久用户识别在在线情境内外的扩散，揭示了网络追踪造成的情境崩溃，为浏览器存储容器构建提供依据，开创了情境化网络隐私研究新途径。
2025-02-27 cs.CR cs.CY cs.HC
Does Facebook Use Sensitive Data for Advertising Purposes? Worldwide Analysis and GDPR Impact
最近的《欧洲通用数据保护条例》（GDPR）和其他数据保护条例限制了某些类别的个人数据（健康、政治取向、性偏好、宗教信仰、种族血统等）的处理。由于与这些信息相关的隐私风险。GDPR将这些类别称为敏感个人数据。本文量化了197个国家的Facebook用户的比例，这些用户被贴上了与潜在敏感个人数据相关的广告兴趣的标签。我们的研究表明，Facebook将67%的用户标记为潜在的敏感兴趣。这相当于上述197个国家人口的22%。此外，我们的工作表明，GDPR的实施在这方面的影响可以忽略不计，因为欧盟标记为敏感利益的FB用户的比例在GDPR颁布前5个月和颁布后9个月几乎保持不变。该文件还说明了与使用敏感利益相关的潜在风险。例如，我们量化了在同性恋可能被判处死刑的国家中，被标记为“同性恋”的FB用户的比例。最后一个贡献是实现了一个Web浏览器扩展，允许FB用户以简单的方式删除FB分配给他们的潜在敏感利益。
2019-07-23 cs.CY cs.SI
Proposals for Resolving Consenting Issues with Signals and User-side Dialogues
同意对话是烦恼、恶意意图、黑暗模式、非法行为和大量其他问题的根源。这项工作提出了基于GDPR要求的已知问题，分为两类：（i）用于同意的UI/UX;以及（ii）表达同意时的权力不平衡。为了解决这个问题，它提出了两个建议：第一，通过隐私信号使用自动化，以更好地管理同意过程，并减少“同意疲劳”。第二，在用户端生成同意对话，以及它对网站以及用户和代理（例如Web浏览器）的实用性。这两项建议都是从执行的可能性和对利益攸关方的适用性方面进行讨论的。文章最后讨论了由于“网络使能者”和“网络消费者”之间的利益冲突，以及欧盟在未来的法律中解决这些问题时采取直接立场的必要性，从而难以实现这种解决方案。
2022-08-09 cs.CY
Tracking in apps' privacy policies
数据保护法，包括《通用数据保护条例》（GDPR），通常要求在收集个人数据之前制定隐私政策。我们在2019年5月（GDPR生效约一年后）分析了26，910个移动应用程序的15，145项隐私政策，发现仅打开政策网页就与第三方共享了48.5%的政策数据，这可能违反了GDPR。我们比较了不同国家、不同支付模式（免费、应用内购买、付费）和不同平台（Google Play Store、Apple App Store）之间的数据共享情况。我们进一步联系了52个没有提供隐私政策的应用程序开发人员，并询问了他们的数据实践。尽管法律要求开发人员回答此类问题，但仍有12名开发人员（23%）没有做出回应。
2021-11-26 cs.CR cs.CY
How to Manage My Data? With Machine--Interpretable GDPR Rights!
本文提出一种基于语义网络标准和 Data Privacy Vocabulary 的机器可解释 GDPR 权利管理规范，通过统一工作流程弥合组织与个人间的技术差距，推动数据重用与权利管理。
2024-12-19 cs.CR cs.CY
TILT: A GDPR-Aligned Transparency Information Language and Toolkit for Practical Privacy Engineering
在本文中，我们介绍了TILT，一种透明信息语言和工具包，其明确设计用于表示和处理符合GDPR要求的透明信息，并允许比已建立的法律数据保护政策更自动化和自适应地使用此类信息。我们对GDPR中的透明度义务进行了详细分析，以确定旨在满足相应法律要求的正式透明度语言所需的表达能力。此外，我们确定了一组进一步的，非功能性的需求，需要满足，以促进实际采用在现实世界（Web）的信息系统工程。在此基础上，我们指定了我们的形式语言，并围绕它提供了一个相应的、完全实现的工具包。然后，我们评估了我们的语言和工具包的实用性，并通过两个不同的用例展示了它所带来的额外前景：a）对个人数据相关做法进行组织间分析，例如，基于明确宣布的透明性信息来揭示数据共享网络，以及b）通过新颖的、更易于理解的和潜在自适应的用户界面向用户呈现形式上表示的透明性信息，提高数据主体对数据相关做法的实际知情程度，从而提高其主权。总而言之，我们的透明度信息语言和工具包允许-不同于以往的工作-表示符合现代（网络）信息系统工程的实际法律要求和做法的透明度信息，从而铺平了道路，在实践中提高透明度和用户主权的多种新颖的可能性。
2020-12-18 cs.CR cs.CY cs.FL
The use of personal data in French public services: e-mails, websites, apps
我们进行的研究使我们能够得出一些结论，并与所获得的结果进行对比。首先，在移动应用程序领域，权限和跟踪程序几乎总是存在的。Android，就PlayStore权限而言，是涉及此域的主要实体。在保证应用程序的最佳功能的借口下，这些权限有时会为用户隐藏一些非常危险的跟踪手段。谷歌是追踪的主要参与者，也是网络用户信息存储的主要力量，它是大多数追踪器的幕后黑手。跟踪器有两个主要任务。一方面，它们允许应用程序工作，就像Facebook的跟踪器用于登录应用程序或谷歌的跟踪器，允许跟踪崩溃或分析应用程序的使用方式。另一方面，它们允许您管理应用程序中出现的广告，这些广告可以是有针对性的，也可以不是。关于电子邮件跟踪，我们发现利益相关者相当存在：谷歌，Xiti和易洛魁人。即使它们最常用于听力测量，它们也存在于公共服务电子邮件中。最后，在网站方面，谷歌在政府网站中非常活跃。我们找到了应用程序和电子邮件的常见参与者，如GAFAM或Xiti。大多数Cookie都是用于受众测量和广告显示，通常是有针对性的。
2020-07-05 cs.CY
Privacy Policies and Consent Management Platforms: Growth and Users' Interactions over Time
本文基于HTTP Archive和数百万真实交互，纵向分析CMP九年发展，揭示其增长格局及隐私横幅设计对用户同意率的显著影响。
2024-02-29 cs.CY
FP-Fed: Privacy-Preserving Federated Detection of Browser Fingerprinting
本文提出首个基于差分隐私联邦学习的分布式浏览器指纹检测系统 FP-Fed，使用户无需共享数据即可协作训练端侧模型，在 18.3k 网站上的实验证明其仅凭运行时信号即可实现高效且高精度的检测。
2023-11-28 cs.CR cs.CY
Differential Tracking Across Topical Webpages of Indian News Media
近年来，在线用户隐私和跟踪得到了广泛的研究，特别是由于欧盟和美国的隐私和个人数据相关立法，如《一般数据保护条例》、《电子隐私条例》和《加州消费者隐私法》。研究揭示了第一方和第三方在世界各地的网站上使用的新颖的跟踪和个人身份信息泄漏方法，以及在这些网站上进行跟踪的强度。然而，为了扩展到覆盖大部分的Web，大多数过去的研究集中在网站的主页，并没有深入研究其主题子页面的跟踪实践。大多数研究集中在全球北方市场，如欧盟和美国。像印度这样的大市场，覆盖了世界人口的20%，没有明确的隐私法，在这方面还没有研究过。我们的目标是解决这些差距，并专注于以下研究问题：跟踪印度新闻网站的主题子页面不同于他们的主页？第三方跟踪器是否更喜欢跟踪特定主题？这种偏好与这些主题子页面上显示的内容相似性相比如何？为了回答这些问题，我们提出了一种新的方法，自动提取和分类的印度新闻专题子页面的基础上，在其URL的细节。我们研究了确定的主题子页面，并将它们与其主页进行比较，以确定cookie注入和第三方嵌入和类型的强度。我们发现子页面之间的差异用户跟踪，以及子页面和主页之间。我们还发现第三方跟踪器对特定主题的偏好。此外，嵌入式第三方往往会同时跟踪特定的子页面，从而揭示可能的用户分析。
2021-03-07 cs.CY
Can the GPC standard eliminate consent banners in the EU?
Wesleyan University（卫斯理安大学）；AI Accountability Lab, Trinity College Dublin（都柏林三一学院 AI 问责实验室）；Radboud University（拉德堡德大学）；Utrecht University（乌得勒支大学）；Maastricht University（马斯特里赫特大学）；IPFS Foundation & Supramundane Agency（IPFS 基金会与超验机构）
本文评估GPC能否适应欧盟法律框架以减少同意横幅，缓解同意疲劳并提升欧盟用户的数据保护。
2026-04-17 cs.CR cs.CY
Personal Data Transfers to Non-EEA Domains: A Tool for Citizens and An Analysis on Italian Public Administration Websites
本研究分析了意大利2万多个公共管理网站的个人数据传输，发现约14%存在向非EEA国家传输，开发了Minos工具并公开，旨在提升公民意识并改善政策。
2024-07-18 cs.CY
Streamlining personal data access requests: From obstructive procedures to automated web workflows
针对当前数据主体访问请求（DSARs）需手动执行、难以充分发挥数据访问权价值的问题，研究提出含通用工作流模型、形式化语言、可扩展存储库及浏览器执行引擎的自动化方案，实现一键DSARs并验证了其可行性。
2023-05-05 cs.CY
Assessing Web Fingerprinting Risk
本研究基于数千万真实Chrome浏览器的数据，首次考虑Web API间的相关性并开发新实验设计，准确估计浏览器指纹熵，揭示其分布规律并评估缓解方法。
2024-03-22 cs.CR cs.CY
How Unique is Whose Web Browser? The role of demographics in browser fingerprinting among US users
本研究利用8,400名美国参与者的知情同意数据集，揭示了浏览器指纹识别风险在不同人口群体间的差异，发现可从浏览器属性推断用户人口统计特征，并探讨了影响用户共享浏览器数据意愿的因素。
2024-11-18 cs.CY
Data Exfiltration by Hotjar Revisited
本文重新审视 Hotjar 会话回放脚本的数据收集行为，发现其输入收集策略虽有改进但仍会记录输入元素之外的用户行为，并分析了 TLS 与 Do Not Track 方面的进展及漏洞，最后主张将 GDPR 第 25 条义务扩展至数据处理者。
2023-09-20 cs.CY
Privacy Policies over Time: Curation and Analysis of a Million-Document Dataset
隐私策略的自动分析已经被证明是一个富有成效的研究方向，其发展包括自动策略总结、问答系统和合规性检测。此前的研究仅限于从单个时间点或短时间内分析隐私政策，因为研究人员无法访问大规模的纵向策划数据集。为了解决这个问题，我们开发了一个爬虫程序，它可以从Internet Archive的Wayback Machine中发现、下载和提取存档的隐私策略。使用爬虫程序并遵循一系列验证和质量控制步骤，我们策划了一个包含1，071，488条英语隐私政策的数据集，跨越了二十多年的时间和超过130，000个不同的网站。我们对数据的分析描绘了隐私政策透明度和可访问性的令人不安的画面。通过将我们数据集中与跟踪相关的术语的出现与之前的网络隐私测量进行比较，我们发现隐私政策始终未能披露常见跟踪技术和第三方的存在。我们还发现，在过去的20年里，隐私政策变得更加难以阅读，长度翻了一番，阅读水平中位数提高了一个完整的等级。我们的数据表明，第一方网站的自我监管停滞不前，而第三方网站的自我监管有所增加，但主要是在线广告行业协会。最后，我们通过展示GDPR对隐私政策的历史影响，为隐私监管文献做出贡献。
2021-07-20 cs.CY
Priorities for more effective tech regulation
大量研究表明，网络和移动设备对数据保护原则的遵守仍然有限。例如，Google Play商店中几乎没有应用程序符合欧盟和英国法律关于同意的最低要求，而其中大多数应用程序与Google/Alphabet和Facebook/Meta等公司共享跟踪数据，并且可能需要征求用户的同意。事实上，苹果最近的隐私保护努力和执法在某些方面对应用程序的数据实践产生了比欧盟雄心勃勃的《通用数据保护条例》（GDPR）更明显的影响。鉴于目前法律与现实中的数据实践之间的不匹配，对当前法律实践的迭代改变将不足以有意义地驯服令人震惊的数据实践。因此，本技术报告为学术界、监管机构和感兴趣的公众提出了一系列优先事项，以超越现状。
2023-02-27 cs.CR cs.CY
Privacy Preference Signals: Past, Present and Future
隐私偏好信号是用户希望如何处理其个人数据的数字表示。这种信号必须由发送者（用户）和预期接收者（数据处理者）采用。收养是一个协调问题，尽管早在1990年代就作出了努力，但仍未得到解决。浏览器实施了隐私偏好平台（P3P）和不跟踪（DNT）等标准，但从个人数据中获利的供应商几乎没有动机接受和尊重数据主体表达的意愿。在最近的隐私法之后，AdTech公司联盟发布了透明度和同意框架（TCF），该框架定义了选择同意信号。本文将GDPR后的发展整合到隐私偏好信号的更广泛历史中。我们的主要贡献是一项高频纵向研究，描述了截至2021年2月TCF信号如何占据主导地位。我们探讨哪些因素与网站层面的采用相关。网站上第三方的数量和Google Ads的存在都与TCF的采用率较高有关。此外，我们表明，供应商作为TCF 2.0的早期采用者，并提供了两个案例研究，描述了同意管理提供商如何将现有客户转移到TCF 2.0。我们勾勒出了一个支持隐私的信号的前进方向。
2021-07-14 cs.CY cs.HC
