Users' perceptions of privacy in cookie consent requests with deceptive design

Abstract

Tämä pro gradu -tutkielma vastasi kasvavaan tarpeeseen ymmärtää ja suojella käyttäjien yksityisyyttä harhaanjohtavien muotoilukeinojen (tunnetaan myös nimillä pimeät käytännöt ja synkät suunnittelumallit) käytön lisääntyessä etenkin evästepyynnöissä, joilla on merkittävä rooli käyttäjien mahdollisuuksiin kontrolloida yksityisyyttään. Tutkimuksessa selvitettiin, millaiseksi käyttäjät havaitsevat yksityisyytensä sellaisissa evästepyynnöissä, joissa on käytetty harhaanjohtavaa muotoilua. Lisäksi tutkittiin, millainen vaikutus harhaanjohtavalla muotoilulla on näihin havaintoihin. Aiempien tutkimusmallien pohjalta tutkimusta varten luotiin teoreettinen viitekehys ymmärtämään käyttäjien yksityisyyden havaintoja. Viitekehys koostui neljästä vaikuttavasta tekijästä, jotka toimivat ohjaavina teemoina läpi tutkimuksen: yksityisyyden huolet, kontrolli omasta yksityisyydestä, luottamus (eväste)tietojen kerääjää kohtaan ja havaitut riskit yksityisyydelle. Tutkimus toteutettiin menetelmätriangulaationa yhdistelmällä käyttäjätestausta, ääneenajattelua ja puolistrukturoitua teemahaastattelua, jotta saataisiin mahdollisimman kokonaisvaltainen ymmärrys käyttäjien havainnoista. Tulokset osoittivat, että harhaanjohtava muotoilu heikensi käyttäjien havaitsemaa kontrollia yksityisyydestään sekä luottamusta evästetietojen kerääjää kohtaan. Vaikutus havaittuihin yksityisyyden huoliin ja riskeihin oli vähäisempi ja vaihtelevampi. Vaikka käyttäjät ovat saattaneet tottua sietämään ja sivuuttamaan harhaanjohtavaa muotoilua, niin pääasiallisesti tulokset kuitenkin osoittivat harhaanjohtavan muotoilun negatiivisen vaikutuksen käyttäjien havaintoihin yksityisyydestään. Tulokset käyttäjien yksityisyyden kokonaishavainnoista harhaanjohtavissa evästepyynnöissä vaihtelivat riippuen muotoilukeinosta ja kontekstista sekä käyttäjien tottumuksista ja kiinnostuksesta omaa yksityisyydensuojaa kohtaan. Siitä huolimatta tulokset kuitenkin viittasivat eniten siihen, että yksityisyys koettiin vaarantuneeksi, aliarvostetuksi ja suojattomaksi. Tulokset yhdessä aiemman tutkimuksen ja lainsäädännön kanssa korostavat tarvetta lopettaa harhaanjohtavan muotoilun käyttö ja sitoutua sisäänrakennetun yksityisyydensuojan muotoiluperiaatteisiin.

This master’s thesis contributed to the growing need to understand and protect users’ privacy as deceptive design practices (also known as dark patterns) have become more prevalent and are now commonly found in cookie consent requests, which have an important role in users’ ability to control their privacy. To address this issue, and fill a gap in literature, the study looked at how users perceive their privacy in cookie consent requests that include deceptive patterns, and what the role of deceptive design is in this perception. A theoretical framework for understanding users’ perceptions of privacy, as inspired by previous models of perceived privacy, was proposed, consisting of four influencing factors that were used as guiding themes throughout the study: privacy concerns, control over privacy, trust in the cookie data collector, and perceived privacy risks. The study was conducted with method triangulation, combining user testing, a think-aloud method, and thematic interviews to comprehensively capture users’ perceptions. The study uniquely took a qualitative, user experience-oriented perspective on the topic, addressing deceptive design’s role in the perception. The findings revealed that deceptive design diminishes users’ perceived control over their privacy and their trust in the cookie data collector, while its influence on users’ privacy concerns and perceived privacy risks is more subtle and varied. Although users may have learned to withstand or bypass deceptive design due to its ubiquity, the overarching theme was its negative influence on privacy perceptions. Users’ overall perceptions of privacy in cookie consent requests were fluid, influenced by design, context, and users’ habits and interest in privacy protection. Even though the findings cannot be concluded into one general perception, the findings lean toward users perceiving their privacy as compromised, undervalued, and unprotected. The findings of this study, combined with findings from previous research and legislative measures, all ultimately emphasize the need to discontinue using deceptive design and commit to privacy-protective design guidelines.