DEIM Forum 2023 3b-8-3

プライバシーリスクを考慮したウェブページ閲覧を促す
検索インタフェースの設計
清水 勇祐†

山本 祐輔†† 静岡大学大学院総合科学技術研究科 〒 432–8011 静岡県浜松市中区城北 3–5–1
E-mail: †shimizu@design.inf.shizuoka.ac.jp, ††yamamoto@inf.shizuoka.ac.jp
あらまし

本稿では，ウェブ検索中のユーザに「ウェブページの閲覧履歴が誰にどの程度共有される可能性があるのか」についての情報を提供するための検索結果スニペットを提案する．提案する検索結果スニペットは，（1）行動履歴
データが共有される第 3 者の属性，（2）共有される第 3 者の数，
（3）行動履歴データの利用目的をウェブ検索ユーザに提示する．提案スニペットの狙いは，ウェブページ閲覧によるプライバシリスクと，ウェブページアクセスによる便益との間のトレードオフの検討をウェブ検索ユーザに促すことにある．本稿では，提案スニペットがウェブ検索中のユーザのプライバシ意識やウェブ検索行動に与える影響を分析するために，オンラインユーザ実験を行った．ユーザ
実験の結果，行動履歴データが共有される第 3 者の属性を表示するスニペットおよび，行動履歴データの利用目的を表示するスニペットを使用した実験協力者は，自身が懸念するプライバシリスクに気づくことができたと感じている
ことが明らかになった．加えて，検索行動の分析の結果行動履歴データの利用目的を表示するスニペットを使用した実験協力者は，より深い位置の検索結果をクリックする傾向があることがわかった．
キーワード プライバシ，トラッキング広告
ついて伝えるための主要な手段である．一般に，プライバシポ

1 はじめに深層学習をはじめとするデータ分析技術の発展により，情報
配信の個人最適化がますます盛んに行われるようになっている．
そのような情報配信を効果的に行うため，様々なサービスにおいて個人データを収集する動きが盛んになっている．個人デー
タの収集が盛んになる一方で，収集された個人データの扱われ方に懸念を感じる人が増えている [1]．このような懸念から，諸外国では，GDPR（General Data Protection Regulation：一
般データ保護規則）1 やカリフォルニア州消費者プライバシ法 2といった個人のプライバシを守るための制度が策定・運用されつつある．
今日，多くの人々がウェブ上の情報を得るためにウェブ検索
エンジンを利用している．一方で，ウェブ検索にはプライバシ
リスクと情報閲覧の便益の両立をする上でいくつか問題がある．
第一に，ウェブ検索エンジンが返す検索結果リストには，ウェ
ブ検索ユーザがプライバシリスクを検討するための必要な情報が提供されていない点である．Google に代表される典型的な
ウェブ検索結果には，ウェブページの URL，タイトル，概要
文しか掲載されていない．そのため，ウェブ検索ユーザの多く
は，ウェブ検索中に自身のプライバシについて考える情報や機会に乏しいという問題が生じている [2] [3]．
第二に，ウェブページのプライバシポリシを確認するためにはスキルや時間的コストを要する点である [4]．プライバシー
ポリシはウェブページを閲覧するユーザに，データの扱い方に
1：https://gdpr-info.eu/
2：https://oag.ca.gov/privacy/ccpa

リシを確認すれば，ウェブページを閲覧，利用した際にどのような行動データがどのような理由で収集されるかを知ることができる．しかし，そのようなプライバシポリシの確認にはスキ
ルや時間が必要となる．また，プライバシポリシを確認するためにはウェブページを閲覧する必要があり，プライバシポリシを閲覧する際にも行動データが追跡されてしまう危険性が存在する．ウェブページ訪問のプライバシリスクは，そのウェブページを閲覧する前にウェブ検索結果上で評価できることが好ましい．
第三の問題は，ウェブページ閲覧・利用の便益と閲覧による
プライバシリスクとのトレードオフである．ウェブ検索中のユーザのプライバシを守る単純なアプローチは，ウェブ検索結
果からプライバシリスクのあるページをあらかじめ除外する，
もしくはその種のウェブページを閲覧しないことである．例えば，Tsai らは検索結果画面に単一の指標に定量化されたプラ
イバシーリスクを表示するインタフェースを提案している [3]．
しかし収集されるデータの利用目的や検索しているトピックによっては，ウェブ検索ユーザは個人データを提供することを受け入れる場合もありえる [5]．そのため，プライバシリスクのあるウェブページを除外したり，リスクの種別や要因を明らかにせずにリスクがあることのみを提示するアプローチは，ウェブ
検索ユーザがリスクを受け入れられる場合でもウェブページを閲覧する機会を奪うことになる．
本稿では，ウェブ検索結果リスト上で各ウェブページのプラ
イバシリスクを顕在化することで，ウェブページへのアクセスによってえられる便益とプライバシリスクのトレードオフの検討を支援するウェブ検索結果スニペットを提案する．提案スニhttps://eikaiwa.kakaku.com/online_english/ · URL

27

2022

12

…

...
https://nativecamp.net/ · URL

https://nativecamp.net/ · URL|

https://nativecamp.net/
https://www.berlitz.com/ja-jp/languages/english/online
· URL
· URL

|

…
PC

24

|

|

365

https://eikaiwa.kakaku.com/online_english/ · URL

2022 12

27

…

365
...

(c)PurposeUI

…

1827

2022 12

...

図1

|

24

https://www.miyamanavi.net/ · URL
https://eikaiwa.kakaku.com/online_english/· URL

2022 12...

https://www.berlitz.com/ja-jp/languages/english/online · URL…
PC

TOEIC®L&R...

(b)RatioUI

https://eikaiwa.kakaku.com/online_english/ · URL27

24

TOEIC®L&R...

TOEIC®L&R...

(a)IconUI

…
PC

365

https://www.berlitz.com/ja-jp/languages/english/online · URL…

...

https://www.berlitz.com/ja-jp/languages/english/online · URL|
提案スニペット(a), (b) および (c) の外観図

|

...

...

...

ペットは，行動履歴データが共有される第 3 者の属性，共有さ

検索結果の個人最適化についても懸念を示すユーザがおり，特れる第 3 者の数，収集されたウェブページ閲覧・利用データのに政治トピックについて個人の趣向に沿うようウェブ検索結果
https://www.miyamanavi.net/ · URL

利用目的をウェブ検索中のユーザに伝えることを目的としていが個人化されると有害なフィルターバブルが発生する恐れがある．提案スニペットの概観図を図 1 に示す．図 1(a) および (b)る [7]．

https://www.miyamanavi.net/ · URL

https://www.miyamanavi.net/ · URL

18

では対象となるウェブページの閲覧，利用にかかるトラッキン

個人に関するデータの収集に懸念がある一方で，条件付きでグによるプライバシリスクに着目している．図 1(a) 型のスニはあるが個人データを活用したサービス改善に期待する声もペットは，ウェブページの履歴が共有される可能性のあるウェ

ある．Matic らは，高度に個人化された広告に対する人々の反ブサイトのファビコンを表示することで，ウェブ検索ユーザに応を調査した [8]．Mantic らの調査では，参加者をよく知る人

行動履歴データが共有される可能性のある第 3 者を具体的に想物によって作成された広告を一般的な広告として表示すること

起させることを狙っている．図 1(b) 型のスニペットは，ウェ

で，参加者の興味関心を強く反映した広告に対する反応を調査

ブページの履歴が共有される可能性のあるウェブサイトのカテした．調査の結果，個人の興味関心に沿うように高度に個人化

ゴリと数を表示することで，ウェブ検索ユーザに行動履歴デー

された広告は好意的に受け止められ，広告配信を個人最適化す

タが共有される第三者の属性とプライバシリスクの程度を想起るために個人に関するデータを提供することを厭わないと感じさせることを狙っている．図 1(c) 型のスニペットは，ウェブる人が多い傾向が見られた．Leon らは，プライバシポリシが，ページの閲覧，利用によって生じるプライバシリスクを提示す

ウェブ検索ユーザの個人データの共有意欲にどのように影響することで，ウェブ検索ユーザにリスクの種別を意識させることるかを調査した [5]．調査の結果，ウェブ検索ユーザ自身がどのを狙っている．これら提案スニペットを使用することで，ウェようなデータを誰が収集できるのかを細かく制御できるのであブ検索ユーザはどのようなプライバシリスクがどの程度存在す

れば，個人データを共有する意欲を高められることが明らかにるのかという観点から，ウェブ検索結果（に掲載されたウェブなった．Mathur らは，よく使うウェブサイトや欲しい情報をページ）を比較および評価できるようになる．

得るためには一定程度のトラッキングを受け入れる傾向にある

本稿では，オンラインユーザ実験を行い，上記 3 つの提案スことが明らかにした [9]．これらの研究結果は，ウェブ検索ユー

ニペットがウェブ検索中のプライバシ意識およびウェブ検索行

ザは収集される情報の制御が可能であれば，個人データの収集動に与える影響について分析を行った．本研究の貢献は以下のに対する懸念が軽減されることを示唆している．本研究では，通りである：

ウェブ検索ユーザ自身がプライバシリスクを考慮し，閲覧する•

図 1(a) 型のスニペットを使用した実験協力者は，自身のウェブページおよびウェブサービスの選択ができるように支援

行動データが誰と共有される可能性があるのかという観点する検索結果スニペットを提案する．

から，プライバシリスクに気付くことができたと感じていることが明らかになった．

•

図 1(c) 型のスニペットを使用した実験協力者は，自身の行動データがどのような目的で扱われる可能性があるのかという観点から，プライバシリスクに気づくことができたと感じていることが明らかになった．また，より深い位置の検索結果を閲覧する傾向にあった．

2. 2 ウェブ閲覧ユーザのプライバシ意識の強化
一般的に，ウェブ検索ユーザが自身のプライバシを懸念していたとしても，プライバシを守るための具体的な行動を取らせるのは困難である [10]．プライバシーポリシはウェブページを閲覧するユーザに，データの扱い方について伝えるための主要な手段である．しかし，多くのプライバシポリシは十分な機能を提供していないことが指摘されている．Reidenberg らは，技2 関連研究術的な知識のある人とそうでない人の間で，プライバシポリシの解釈に大きな隔たりがあることを実証した [11]．また Obar

2. 1 ウェブ行動履歴の収集への懸念らの調査では，ユーザの 74%はプライバシポリシを読んでおら近年，多くの人がウェブ上での行動がトラッキングされていず，読んでいた人の平均時間はわずか 73 秒であることが明らることに懸念を抱いている．トラッキングによって個人最適化

かになっている [12]．これらの研究から，プライバシポリシはされた広告を有用と感じる一方で，プライバシを侵害されるこ

ユーザのプライバシ意識を高めるのに不十分であると言える．

とに対する危機意識から多くの人が行動ターゲティング広告をHarkous らはプライバシポリシを分析し，収集されるデータや不気味に感じている [6]．また，ウェブ検索履歴を用いたウェブ

その目的を図示するアプリケーションを開発した [13]．自身の

プライバシについて敏感なユーザであればこのようなアプリ

3. 1 検索結果スニペットの設計

ケーションを使用し，プライバシポリシの内容を確認すること

IconUI: 共有先ウェブページの具体例の表示ができる．しかし，ウェブ検索ユーザの多くはこのようなアプ

図 1(a) に示すように，IconUI はウェブ検索結果のそれぞれ

リケーションを用いてプライバシポリシの内容を調べるほどプに対して，トラッキングによって自身の行動履歴データが共有ライバシに敏感ではない．本研究はプライバシに敏感ではないされてしまうウェブページのファビコンを表示する．この UI

ウェブ検索ユーザに対しても，ウェブ検索結果画面でプライバによって，ウェブ検索ユーザはトラッキングが行われているこ

シリスクの評価ができるようにスニペットを設計する．

とを知ることができると同時に，自身の行動履歴を共有していウェブページの利用によるプライバシリスクについて，分かるウェブサイトの具体例を知ることができる．図 1(a) の例でりやすく提示する手法に関する研究も行われている．Kelley らは，「オンライン英会話のネイティブキャンプ—英会話レッスン

はプライバシポリシの表現方法として，食品の栄養管理ラベル

回数無…」というウェブサイトを閲覧することで，「楽天」「ブを模したラベルを提案した [14]．食品の栄養管理ラベルを模しリジストン」といったウェブサイトを閲覧した記録と紐付けらた形式でプライバシポリシを要約することで，直感的なわかりれることを示している．

やすさを向上させることを狙っている．Tsai らは，事前に定IconUI は，Wang らの研究を参考に作成した [16] [17]．Wang

義したユーザのリスク基準に合致するかという観点からウェブ

らは，SNS(Social Networking Service) で共有される写真を閲

サイトのプライバシポリシを 5 段階で評価し，その評価結果を覧できる人物を投稿画面に提示し，予期せぬ友人が自分の写真

ウェブ検索結果リストに表示するインタフェースを提案した [3]．

を閲覧できる可能性をユーザに理解させることを提案している．

しかし，何をプライバシリスクとするかは個人の考えや検索中

Wang らの手法は、SNS で写真を共有する際のプライバシーリのトピックにも依存する．そのため，個人の趣向やウェブ情報

スクをユーザーが直感的に理解するのに役立つことを明らかに探索の文脈に応じてプライバシリスクを判断・実感させられる

した．Wang らの研究とは異なり、IconUI はウェブ検索ユー

ような情報の提供が必要となる．Windl らは，ウェブページ閲

ザにパーソナライズされた例ではなく，自身の閲覧履歴を共有

覧中に，ユーザが閲覧している文脈に沿った情報をプライバシできるウェブページを共有先の例としてウェブ検索ユーザに表ポリシから抜き出し表示するインタフェースを提案した [15]．

示する．

このインタフェースによって，プライバシポリシが見つけづら

RatioUI: 共有先ウェブページのカテゴリ別の数の表示

いという問題を解消することができ，ウェブ閲覧ユーザが一度

図 1(b) に示すように，RatioUI は，自身の行動履歴を共有に読む必要のある文章を減らすことができる．一方で，ウェブしているウェブサイトのうち上位 3 つのカテゴリと，そのカテ

検索ユーザがウェブ閲覧履歴を含めたウェブサイトの利用デー

ゴリに含まれるウェブページの数を示している．RatioUI にタの扱われ方を理解した上で，ウェブサイトやウェブサービス

よって，ウェブ検索ユーザはウェブ検索結果をクリックした際を使用するかの意思決定を行うのは，ウェブページの閲覧中でに，そのウェブ検索結果ページの行動履歴がどのようなカテゴ

はなく閲覧前のほうが望ましい．

リのウェブサイトと共有される可能性があるのかを知ることが本研究では Tsai らや Windl らの研究と同様に，プライバシできる．また，RatioUI では，カテゴリごとに何件のウェブサ

ポリシの内容をわかりやすく提示するインタフェースを提案す

イトと行動履歴が共有されてしまうのかという情報も表示する．

る．Windl らの研究とは異なり，提案インタフェースはウェブ

図 1(b) の例では，「オンライン英会話のネイティブキャンプ—

検索ユーザが実際にウェブページを閲覧する前にプライバシリ

英会話レッスン回数無…」というウェブサイトを閲覧したこと

スクを評価できるよう設計されている点に違いがある．

が共有されるウェブサイトが 1251 件検出され，そのうち「乗り物」カテゴリのウェブサイトが最も多く，全体の 5.7%を占め

3 提案手法
本研究では，ウェブ検索ユーザがウェブ検索を行う際に，ウェブページの閲覧前に自身の行動履歴データがどのように扱われるのかに関する情報を提供するためのインタフェースを提案する．具体的には，ウェブページ閲覧から得られる便益との釣り合いを考えさせるために，ウェブ検索結果画面におけるスニ
ペットを 3 種類設計する．提案する検索結果スニペットでは，検索結果ページに表示されたそれぞれの検索結果に対し，ウェ
ブ検索ユーザの行動履歴データがどのような相手に共有される可能性があるのかという情報および，どのような目的で利用される可能性があるかについての情報を提示する．これにより，ウェブ検索ユーザはウェブページを閲覧する前に，自身の行動
履歴データがどのように扱われるのかについて知ることができるようになる．

ていることを示している．

IconUI とは異なり，RatioUI では共有先のウェブサイトの具体例ではなく，共有先の数とカテゴリの割合が表示される．

IconUI のデメリットとして，ファビコンで表現された具体的なウェブページを知らないユーザに対しては効果的ではないことが考えられる．RatioUI は，ウェブ検索ユーザが共有先ウェ
ブサイトの詳細を知らない場合にも，共有先の範囲や種類を理解できることを期待している．

PurposeUI: 行動履歴データの収集目的の表示
図 1(c) に示すように，対象となるウェブページが行動履歴
データの収集を行っている場合，その収集目的を表示する．収集目的が複数ある場合はそのすべてを表示する．この UI によりウェブ検索ユーザは，収集される行動履歴データがどのような目的で利用されるのかを知ることができ，自身が望まないような目的で利用されるウェブページを見つけることができる．

表1

実験協力者のデモグラフィック情報

図 1(c) の例では，「オンライン英会話のネイティブキャンプ—

人数

英会話レッスン回数無…」というウェブサイトは収集した行動

実験協力者の合計

履歴データを，「サービスの提供・改善」「広告宣伝」および「顧

割合

438

性別

客分析」の 3 つの目的で使用していることを示している．

男性

275 62.8%

なお，表示する収集目的の項目名は Kelley らの研究 [14] を女性

162 37.0%

参考に決定した．Kelly らは食品の栄養表示にヒントを得て，無回答

ウェブサイト上のプライバシリスクを分かりやすく表現する

年齢ことを検討している．Kelly らの提案した表現方法では，個人

20 歳未満1

0.2%

データの利用目的を P3P 1.1 Working Group Note 3 の内容を

20–29 歳27

6.2%

参考に， “Provide service and maintain site”, “Marketing”,

30–39 歳

132 30.1%“Telemarketing”, および “Proﬁling” の 4 つに分類した．“Pro-

40–49 歳

184 42.0%

50–59 歳

69 15.8%

60 歳以上25

vide service and maintain site” はサービスの機能提供に必要な情報であり，該当のウェブサービスを利用する際に必要とな

1

0.2%

5.7%

る情報を指す．“Marketing” はサービスおよび製品を売り込むために連絡することであり，“Telemarketing” は電話による連4. 1 実験協力者

絡が別ラベルとして定義されたものである．“Proﬁling” は調クラウドソーシングサービスであるランサーズ 4 で 438 名の査，分析およびウェブサイト上での行動に基づいて広告を表示

実験協力者を募集した．事前にデータ収集の方針を説明し，検することなどと定義されている．本研究では “Provide service

索タスクで収集したデータを使用することに同意してもらったand maintain site” および “Proﬁling” はそれぞれ「サービス上で，ユーザ実験を実施した．なお，72 名の実験協力者はタスの提供・改善」「顧客分析」と読み替えた．“Marketing” およクの実行に異常に時間がかかったため，外れ値として分析からび “Telemarketing” は統合し「広告宣伝」と読み替え，目的項除外した 5 ．その結果，計 366 名の実験協力者の回答を分析し目として使用した．

た．実験協力者の属性を表 1 に示す．タスクを完了した実験協

3. 2 仮力者には，報酬として 150 円を支払った．

説

本研究では，提案する検索結果スニペットがウェブ検索ユー

4. 2 検索タスク

ザのプライバシ意識やウェブ検索時の検索行動に与える影響を

今回のユーザ実験では，「オンライン英会話」および「家具レ分析する．また，3 種類の提案スニペットを比較し，検索ユー

ンタル」というカテゴリで 2 つの検索タスクを用意した．それ

ザがプライバシリスクを考える上でどのような情報提示が有効

ぞれのカテゴリのいずれかについて，利用したいウェブサービ

かを分析する．具体的には，以下の仮説を検証することに焦点

スを検索してもらい，最終的に利用したいものを 1 つを選び，を当てた．

回答してもらった．

H1 ウェブ検索ユーザに自身の行動履歴データが共有される

検索タスクでは，各実験協力者には事前に用意したウェブ検範囲や目的を表示することで，ウェブ検索ユーザは自身

索結果のリストを提示し，利用したいウェブサービスを検討さのデータがどのように扱われるかを考え，プライバシリ

せた．回答が用意できた実験協力者には，検索システムを通しスクを意識するようになる．

H2 自身の行動履歴データが共有される範囲や目的を表示することで，ウェブ検索ユーザは検索結果を注意深く探索するために，検索結果の確認により多くの時間をかけ，より下位の検索結果を閲覧するようになる．

4 実験

提案した検索結果スニペットの有効性を検証するために，オンラインユーザ実験にて評価した．本実験は検索結果スニペッて最終的に選択したウェブサービスの URL とそのウェブサー
ビスを選択した理由を報告させた．

4. 3 実 験 手 順
はじめに，実験協力者をユーザ実験用のウェブサイトに誘導し，実験協力者に対しタスクの流れと検索システムの説明をおこなった．また，ユーザ実験中の行動データ収集の方針についても説明した．なお，検索タスク中に収集したデータを使用しても問題がないと同意した実験協力者のみをユーザ実験の対象とした．

トの種別（IconUI，RatioUI，PurposeUI，ControlUI）を要

次に，実験の開始前に各実験協力者に対し事前のアンケート因とする，1 要因参加者間計画で実験を実施した．以下，実験を行った．事前アンケートでは，タスクとして用意した「オンの詳細について記す．
4：https://www.lancers.jp
5：タスクのセッション時間を対数変換した値の IQR（四分位範囲）を算出した．対数変換したセッション時間が Q3 + 1.5IQR 以上または Q1 − 1.5IQR

3：http://www.w3.org/TR/P3P11/

以下の実験協力者を外れ値として除外した．

ライン英会話」および「家具レンタル」のサービスについて利用経験の有無を回答させた．今回の実験では，特定の目的のために利用するサービスを検索するタスクを設定した．そのため，各実験協力者には事前アンケート調査で利用したことがないと回答したカテゴリから 1 つを無作為に割り当てた．その際，検索 UI 条件も無作為に割り当てた．
タスクカテゴリの割り当て後，各実験協力者は 4. 2 節で述べた検索タスクをおこなった．実験協力者は提示されたウェブ検索結果のリストおよびリンク先のウェブページを閲覧し，好み

https://nativecamp.net/ · URLをコピー

オンライン英会話のネイティブキャンプ | 英会話レッスン回数無…
オンライン英会話ネイティブキャンプでは、スマホアプリ、PCから24時間365日レッスン回数
無制限で英会話レッスンが受講可能。初心者や子供向け、TOEIC®L&R...
https://eikaiwa.kakaku.com/online_english/ · URLをコピー

図 2 比較用の UI（オンライン英会話比較｜人気の27ControlUI
社を徹底比較【）の概観図
2022年12月】 …

オンライン英会話は、スカイプやスクール専用のアプリ等を使って格安に英会話を学べるサービスです。オンライン英会話の体験レポートやランキング、スクールの特徴をチェッ...

4. 2 節で述べたように，実験で行った検索タスクは「オンライhttps://www.berlitz.com/ja-jp/languages/english/online · URLをコピー

オンライン英会話 | ベルリッツ
ン英会話」および「家具レンタル」のカテゴリにおいて利用し高品質なオンライン英会話ならベルリッツ。特別なトレーニングを受けた教師が、教室と同じ
クオリティの英会話レッスンをオンラインでご提供。ベルリッツのオンライン英会話...
たいウェブサービスを検索するものであった．そのため，「オン
https://www.miyamanavi.net/ · URLをコピー
ライン英会話」および「家具レンタル」というクエリを API に教えて！オンライン英会話【18社試して比較】おすすめランキング

述べる事後アンケートに回答した．事後アンケートでは，実験

オンライン英会話の比較ランキングを紹介します。オススメの大手オンライン英会話18社を5つ発行し，オンライン英会話および家具レンタルを提供するウェの点から総合的かつ辛口で評価し、一覧にしました。「教えて！オンライン英会...
ブサービスの情報を 20 件取得した．また，ウェブ検索を行っ
https://online.ecc.co.jp/ · URLをコピーてウェブサービスを比較検討する際には，ウェブサービスにつオンライン英会話はECCオンラインレッスン | 全7ヶ国語対応
オンライン英会話のECCオンラインレッスンは、充実の全7ヶ国語に対応しています。経験豊富
な語学教育のプロフェッショナル講師が教える高品質なレッスンで学べます。...
いての評価や比較を行ったウェブページを合わせて閲覧するこ

協力者のウェブ検索中のプライバシリスクに対する認識およびとが一般的に考えられる．そのため，「オンライン英会話」およ

検索 UI に対する主観的な評価を尋ねた．

び「家具レンタル」というクエリを API に発行し，ウェブサーのウェブサービスの探索を行った．その後，最終的に選択した
ウェブサービスと選択理由をユーザ実験用のウェブサイト上で報告した．検索タスクが完了したあと，実験協力者は 4. 6 節で

4. 4 実験システム
ユーザ実験において，検索タスクの実行と実験協力者の行動を監視するために，実験用のシステムを開発した．実験システ
ムの検索結果ページは，一般的なウェブ検索エンジンの検索結果ページを模して作成した．実験システムでは、事前に用意したウェブページのリストを検索結果として提示した．実験シス
テムは検索結果 1 ページにつき 10 件のウェブページを表示し，各カテゴリで 4 ページの検索結果を表示した．このため，実験協力者は 1 つのカテゴリに対して最大 40 件のウェブページを閲覧することになる．なお，検索結果ページでは実験協力者が検索クエリを変更できないように検索システムを構成した．これにより，すべての実験協力者は固定された順序の検索結果リストを閲覧した．また，各検索結果をクリックすると，それに対応するウェブページが表示されるようにした．検索システム
は検索結果画面上の各ウェブ検索結果に対して，以下の手順で提案スニペットを生成する．
（ 1 ） 従来の検索エンジン（Google や Bing など）の API を用いて検索結果リストを取得する．
（ 2 ） 得られた検索結果のそれぞれについて，スニペットに必要な情報を取得する．

ビスについての評価や比較を行ったウェブページの情報についても同様に 20 件取得した．今回の検索タスクでは，奇数順位のウェブ検索結果には回答の候補となるウェブサービスを表示
し，偶数順位のウェブ検索結果にはウェブサービスについての評価や比較を行ったウェブページを表示するように調整を行った．その上ですべての検索 UI において，奇数順位のウェブ検索結果にのみ提案スニペットを表示するようにした．
手順 2(a) では，オープンソースツールの webXray [18] を用いて，ウェブページのトラフィックやコンテンツを分析し，ウェ
ブページ内のサードパーティクッキーを検出・分析する．また
今回の実験では，提案スニペットにおいて共有先として表示するウェブページの候補について，ウェブサイトのトラフィックを網羅的に分析するウェブサービスである SimilarWeb.com 7 を使用して決定した．24 の主要なカテゴリについて，日本のウェブサイトで最もアクセス数の多い 100 のウェブページを候補となるウェブページとして取得した．候補となるウェブページについても，同様にウェブページ内のサードパーティクッキーを検出・分析する．提案スニペットを生成する対象の検索結果にサードパーティクッキーが含まれている場合，そのクッキーの発行ドメインが候補となるウェブサイトに対して検出されたドメインのリストに含まれているかどうかを確認する．検索結果（ a ） トラッキングによるプライバシリスクに着目したス

X が候補ウェブページ Y と同じサードパーティドメインのクッ

ニペット表現（IconUI および RatioUI）では，ウェキーを含んでいる場合，X の閲覧履歴が Y と共有される可能

ブページに含まれるサードパーティクッキーの発行性があると判断する．

元ドメインを分析する．

手順 2(b) では検索結果として表示するウェブページのそれ（ b ） ウェブページの閲覧および利用によって生じるプライ

ぞれに対して，プライバシポリシの同定および行動履歴データ

バシリスクに着目したスニペット表現（PurposeUI）の利用目的の抽出を実験開始前に手動で行った．提案スニペッ

では，ウェブページのプライバシポリシを同定し，

トでは，3. 1 節で述べた 3 つの項目のうちプライバシポリシに

行動履歴データの利用目的を抽出する．

記載されていたもののみを表示した．プライバシポリシから行（ 3 ） 提案スニペットを生成し，検索結果と同時に表示する．

動履歴データの利用目的が確認ができない検索結果については

手順 1 では，Bing Web Search API 6 を用いて，検索結果に表示されるタイトル，URL およびページ概要文を取得した．

「記載なし」と表示した．
なお，検索結果リストの表示を高速化するために，手順 1 お
よび 2 の検索結果リストと検索結果スニペットは実験開始前に6：https://docs.microsoft.com/en-us/azure/cognitive-services/bing-web-search/
overview

7：https://www.similarweb.com

あらかじめ取得，生成しておいた．また，実験では比較用の UI

表2

事後アンケートの質問に対する回答の平均値，標準偏差として一般的なウェブ検索エンジンが提供する検索結果を参考（SD），および統計的有意差（有意水準は*：0.05，**：に，ベースラインの UI（以下 ControlUI）を用意した．図 2

0.01，***：0.001）．Q1〜Q10 は，5 段階のリッカートに示すように，提案 UI と異なり，ControlUI ではプライバシ尺度（1：強く否定的，3：中立，5：強く肯定的）で回答．

リスクを伝えるための情報を生成しない．

UI

質問項目

Control

4. 5 行 動 指 標
実験協力者の行動を分析するため，ウェブ検索タスク中に以下の行動指標を測定した．
検索結果画面閲覧時間（SERP 閲覧時間）

Q1. どの程度のウェブページがトラッキングを行っていると思うか

Icon

p-value
Ratio

Purpose3.87 (0.59) 4.10 (0.67) 4.10 (0.76) 3.89 (0.80)*

Q2. 自身の行動履歴データがどのような目的で利用されるかを考えたか 2.69 (0.98) 2.94 (1.10) 2.82 (1.07) 3.32 (1.10)***

Q3. 自身の行動履歴データが誰に利用されるかを考えたか

2.57 (1.02) 3.06 (1.18) 2.83 (1.07) 2.81 (1.16)**

Q4. プライバシリスクのある検索結果を避けようとしたか

2.62 (1.03) 2.96 (1.16) 2.76 (1.10) 2.87 (1.21)

0.22

Q5. 安心して検索できるかどうか

2.95 (0.86) 3.16 (0.89) 3.07 (0.75) 3.14 (0.86)

0.33

Q6. 役に立つ検索結果の見つけやすさ

3.05 (0.94) 3.32 (0.97) 3.12 (0.85) 3.30 (0.91)

0.07

Q7. 自身が懸念するプライバシーリスクに気づいたかどうか

2.53 (0.98) 3.08 (1.10) 2.84 (1.11) 3.14 (1.10)***Q8. 検索のしやすさ–

3.38 (1.16) 3.31 (1.06) 3.40 (1.11)

0.74

Q9. 表現のわかりやすさ–

3.22 (1.00) 3.03 (1.03) 3.59 (1.00)***

Q10. 積極的に使用したいかどうか–

3.34 (0.91) 3.03 (0.90) 3.18 (0.88)*

本稿では，自身の行動履歴データが誰にどのような目的で利用されるかに関する情報を表示することで，ウェブ検索ユーザ

表3

事後アンケート項目に関して多重比較を行った際の統計

は検索結果を注意深く探索するためにより多くの時間をかける

的有意差の有無（有意水準は，*: 0.05; **: 0.01; ***;

ようになるとの仮説を設定した（H2）．本仮説を検証するた

0.001）．分散分析において統計的有意差が見られなかっ

め，実験協力者が検索タスク中に，検索結果画面（SERP）をた項目には NA と記載．

閲覧している時間の合計（SERP 閲覧時間）を測定した．
最大クリック深度

組み合わせ

質問項目

Control-Icon Control-Ratio Control-Purpose Icon-Ratio Icon-Purpose Ratio-Purpose
Q1

0.05

0.05

0.77

0.88

0.14

自身の行動履歴データが誰にどのような目的で利用されるか

Q2

0.18

0.47

***

0.47

*

**

Q3

**

0.22

0.22

0.22

0.22

0.85

に関する情報を表示することで，ウェブ検索ユーザは検索結果

Q4

NA

NA

NA

NA

NA

NA

Q5

NA

NA

NA

NA

NA

NA

を注意深く探索するために，より多くの検索結果を探索しよう

Q6

NA

NA

NA

NA

NA

NA

Q7

**

0.10

***

0.17

0.73

0.10

Q8

–

–

–

NA

NA

NA

Q9

–

–

–

0.20

*

***

Q10

–

–

–

*

0.21

0.21

とすると考えられる（H2）．これを検証するため，実験協力者
が検索タスク中に閲覧した検索結果が上位から何番目に位置し0.14ていたかを計測した．

4. 6 アンケート項目
ユーザ実験では，検索タスクの終了後にアンケートに回答してもらった．アンケートでは提案 UI および検索タスク自体に関する 10 件の質問および人口統計学的質問を用意した．実験
協力者は以下の質問に 5 段階のリッカート尺度で回答した．

Q1 どの程度のウェブページがトラッキングを行っていると思うか

5. 1 主観評価アンケート
4. 6 節で述べた 10 のアンケートに対する回答の平均値と統計的検定の結果を表 2 に示す．また，事後解析における 3 つのUI の多重比較の結果を表 3 に示す．表 2 中の数値は，高いほど実験協力者が UI に対して肯定的な評価を示したことを意味する．

Q2（自身の行動履歴データがどのような目的で利用されるかを考えたか），Q3（自身の行動履歴データが誰に利用され

Q2 自身の行動履歴データがどのような目的で利用されるかを考えたかるかを考えたか），および Q7（自身が懸念するプライバシー
リスクに気づいたかどうか）については，分散分析の結果 4 つ

Q3 自身の行動履歴データが誰に利用されるかを考えたかの UI 間に有意な差があることがわかった．多重比較の結果，

Q4 プライバシリスクのある検索結果を避けようとしたか

Q3, Q7 において IconUI は ControlUI と比較して，有意にQ5 プライバシリスクを考慮した上で安心して検索できたか

高く評価されていた（Q3：ControlUI= 2.57，IconUI= 3.06;

Q6 役に立つ検索結果の見つけやすさ

Q7：ControlUI= 2.53，IconUI= 3.08）．IconUI を使用した

Q7 自身が懸念するプライバシーリスクに気づいたかどうか

実験協力者は，ControlUI を使用した実験協力者と比較して，

Q8 検索のしやすさ

自身の行動履歴データが誰に利用されるかを意識する傾向に

Q9 表現のわかりやすさ

あることがわかった．また，IconUI を使用した実験協力者は，

Q10 提案インタフェースを日常的に使用したいと思うか

ControlUI を使用した実験協力者と比較して，自身がどのようなプライバシリスクを懸念に思うかについて気づかせる傾向が5 結果あることがわかった．

366 人の実験協力者の回答を分析し，3 つの提案 UI がウェ

PurposeUI を使用した実験協力者は，ControlUI を使用しブ検索ユーザの検索行動に与える影響を調べた．収集したデー

た実験協力者と比較して，自身の行動履歴データがどのよう

タが正規分布に従わなかったため，ノンパラメトリック一元配

な目的で利用されるかを意識する傾向にあることがわかった

置分散分析 (Kruskal–Wallis 検定) を採用した．事後解析では， （ControlUI= 2.69，PurposeUI= 3.32）．また，PurposeUI を使用した実験協力者は，ControlUI を使用した実験協力者と比FDR(Benjamini–Hochaberg 法) [19] を用いて多重比較を行った．なお，本分析では有意水準を α = 0.05 とした．

較して，自身がどのようなプライバシリスクを懸念に思うかについて気づかせる傾向があることがわかった（ControlUI= 2.53，

表4

実験協力者の検索行動指標の平均値と標準偏差，およびられたかという観点で，実験協力者は PurposeUI を ControlUI

統計的有意差（有意水準は*：0.05，**：0.01）．

より高く評価した（表 2 の Q2 を参照）．また，自身の行動履

UI condition

行動指標

ControlIcon

p-value

Ratio

SERP 閲覧時間 (秒) 533.2 (531.6) 558.3 (415.7) 649.5 (594.8) 696.3 (910.3)

0.16

最大クリック深度**

8.47 (8.06)

8.16 (8.24)

9.63 (8.26)

12.05 (10.98)

歴データが誰に使用されるかを考えられたかという観点で，実験協力者は IconUI を ControlUI より高く評価した．加えて，Purpose自身が懸念するプライバシリスクに気づいたかどうかという観点で，PurposeUI および IconUI は ControlUI より高く評価

表5

行動指標に関して多重比較を行った際の統計的有意差のされた（表 2 の Q7 を参照）．このことから，PurposeUI は行

有無（有意水準は，*: 0.05; **: 0.01; ***; 0.001）．分

動履歴データの使用目的という観点から，IconUI は行動履歴

散分析において統計的有意差が見られなかった項目には

データの共有範囲という観点からプライバシリスクを意識する

NA と記載．

よう促すことができたと言える．したがって H1 は支持される
組み合わせ

行動指標

と結論づけた．

Control-Icon Control-Ratio Control-Purpose Icon-Ratio Icon-Purpose Ratio-Purpose
SERP 閲覧時間 (秒)

NA

NA

NA

NA

NA

NA

最大クリック深度

0.64

0.29

*

0.25

**

0.26

提案した 3 つの UI（IconUI，RatioUI および PurposeUI）
は ControlUI と比較して，実験協力者に対してより慎重にウェ
ブ検索結果のリストを探索すること促すと予想した．その結

PurposeUI= 3.14）．一方で，RatioUI にはそのような傾向は見られなかった．
ユーザビリティについて訪ねた項目のうち，Q9（表現のわかりやすさ）および Q10（積極的に使用したいかどうか）については，分散分析の結果，3 つの提案 UI 間に統計的な有意差があることがわかった．多重比較の結果，PurposeUI は IconUI
および RatioUI と比較して，表現がわかりやすいと評価された（IconUI= 3.22，RatioUI= 3.03，PurposeUI= 3.59）．ま果，提案した 3 つの UI を使用した実験協力者は ControlUI を使用した実験協力者と比較してより深い位置の検索結果を閲覧
し，より多くの時間をかけると予想した．しかし，SERP 閲覧
時間において有意な差は見られなかった（表 4 の SERP 閲覧
時間 (秒) を参照）．一方で，PurposeUI を使用した実験協力者
は ControlUI を使用した実験協力者と比較してより深い位置まで検索結果を閲覧する傾向にあった（表 4 の最大クリック深度を参照）．また，主観アンケートの結果から，PurposeUI をた，IconUI のほうが RatioUI よりも利用したいと評価された

使用した実験協力者は，行動履歴データがどのような目的で利（RatioUI= 3.03，IconUI= 3.34）．

用されるかを考え，自身が懸念するプライバシリスクに気づく

Q4（プライバシリスクのある検索結果を避けようとしたか），Q5（安心して検索できるかどうか），Q6（役に立つ検索結果の見つけやすさ）および Q8（検索のしやすさ）については UI間に統計的な有意差は見られなかった．

5. 2 行 動 指 標
5. 2. 1 SERP 閲覧時間
提案した検索結果スニペットを使用することで，実験協力者
が検索結果を注意深く探索するようになるかを確認するために，検索タスク中に SERP を閲覧している時間の合計を測定した．表 4 に示すように，4 つの UI の間に有意な差は見られなかった．

PurposeUI を使用した実験協力者は自身の行動履歴データがどのような目的で扱われるのかという観点からプライバシリスク
を意識し，より深い位置の検索結果まで閲覧したと考えられる．
したがって H2 は部分的に支持されると結論づけた．

6. 2 研究の限界点
本研究の限界として，行動履歴データの共有先および収集目
的の検出方法が挙げられる．ユーザ実験で使用したシステムでは，検索結果のそれぞれに対して提案スニペットの生成に際し事前の分析を必要とした．そのため，ウェブ検索中にリアルタ
イムで行動履歴データの収集目的を抽出できない．本研究では

5. 2. 2 最大クリック深度
提案した検索結果スニペットを使用することで，実験協力
者が検索結果を注意深く探索するようになるかを確認するた
めに，検索タスク中にクリックして閲覧した検索結果のうち最も深い位置の検索結果の順位を測定した．分散分析の結果，
表 4 に示すように，4 つの UI の間に有意な差があることがわかった．多重比較の結果，PurposeUI を使用した実験協力者はControlUI を使用した実験協力者と比較して，より深い位置の検索結果（ウェブページ）をクリックする傾向にあることがわ
かった（ControlUI= 8.47，PurposeUI= 12.05）．

6 考傾向にあった（表 2Q2 および Q7 を参照）．以上のことから，

察

6. 1 仮説の検証
自身の行動履歴データがどのような目的で利用されるかを考え

プライバシリスクの表現に焦点を当てており，提案した UI は
トラッキングの検知方法や行動履歴データの収集目的の抽出方法に依存しない．しかし，今後はトラッキングの検知および行
動履歴データの収集目的の抽出をリアルタイムで実現できる効果的な方法を検討する必要がある．
第 2 の限界に，実験環境に関するものである．本研究ではクラウドソーシングサービスを利用し，提案スニペット表現がウェブ検索ユーザのプライバシ意識や行動にどのような影響を与えるかを調査した．しかし，提案したシステムを使用している間，実験協力者が何を考えていたかについては詳細に調査していない．オンラインでのアンケート調査および行動指標の分析のみでは，プライバシリスクの理解度を検証することは困難であるため，今後はインタビュー調査を行い，ウェブ検索ユー
ザのプライバシ意識の変化をより詳細に分析する必要がある．

7 おわりに
本稿では，ウェブ検索中のユーザに「ウェブページの閲覧履[7]

歴が誰にどの程度共有される可能性があるのか」についての情報を提供するための検索結果スニペットを提案した．提案スニ
ペットの狙いは，ウェブページ閲覧中によるプライバシリスク[8]と，ウェブページアクセスによる便益との間のトレードオフの検討をウェブ検索ユーザに促すことにある．提案スニペットがウェブ検索中のユーザのプライバシ意識やウェブ検索行動に与える影響を，オンラインユーザ実験を行い検証した．ユーザ実[9]験の結果，実験協力者は行動履歴データが共有される第 3 者の属性を表示するスニペットおよび，行動履歴データの利用目的を表示するスニペットによって，自身が懸念するプライバシリ
スクに気づくことができたと感じていることが明らかになった．

[10]

また，検索行動の分析の結果，行動履歴データの利用目的を表示するスニペットを使用した実験協力者は，より深い位置の検索結果をクリックする傾向があることがわかった．今後はプラ[11]

イバシ指標のリアルタイムでの生成に向けた効果的な方法を検討するとともに，インタビュー調査などを行うことによって，ユーザのプライバシ意識の変化についてより詳細な分析を行う
ことが考えられる．
謝

[12]

辞

本研究は JSPS 科研費 JP18H03244，21H03554，21H03775，[13]

22H03905 の助成を受けたものです．ここに記して謝意を表し
ます．

文

献

[1] Farah Chanchary and Sonia Chiasson. User perceptions ofsharing, advertising, and tracking. In Proceedings of the
11th USENIX Symposium On Usable Privacy and Security(SOUPS 2015), pp. 53–67, 2015.
[2] Yusuke Shimizu, Tetsushi Ohki, and Yusuke Yamamoto.
Privacy-aware snippets: Enhancing assessment of balance
between privacy risks and beneﬁts in web search. In Proceedings of the 2022 ACM Conference on Information Technology for Social Good, GoodIT ’22, p. 24–31, New York,NY, USA, 2022. Association for Computing Machinery.
[3] Janice Tsai, Serge Egelman, Lorrie Cranor, and Alessandro Acquisti. The eﬀect of online privacy information onpurchasing behavior: An experimental study. Information
Systems Research, Vol. 22, pp. 254–268, 01 2011.
[4] Joshua Gluck, Florian Schaub, Amy Friedman, Hana Habib,
Norman Sadeh, Lorrie Faith Cranor, and Yuvraj Agarwal.
How short is too short? implications of length and framingon the eﬀectiveness of privacy notices. In Proceedings of the
12th USENIX Symposium on Usable Privacy and Security(SOUPS 2016), pp. 321–340, 2016.
[5] Pedro Giovanni Leon, Blase Ur, Yang Wang, Manya
Sleeper, Rebecca Balebako, Richard Shay, Lujo Bauer, Mihai Christodorescu, and Lorrie Faith Cranor. /what matters to users? factors that aﬀect users’ willingness to share
information with online advertisers. In Proceedings of the
9th USENIX Symposium on Usable Privacy and Security(SOUP 2013), pp. 1–13, 2013.
[6] Blase Ur, Pedro Giovanni Leon, Lorrie Faith Cranor,
Richard Shay, and Yang Wang. Smart, useful, scary, creepy:

[14]

[15]

[16]

[17]

[18]

[19]

Perceptions of online behavioral advertising. In Proceedingsof the 8th USENIX Symposium on Usable Privacy and Security (SOUPS 2012), pp. 1–15, 2012.
Yusuke Yamamoto and Takehiro Yamamoto. Personalization ﬁnder: A search interface for identifying and selfcontrolling web search personalization. In Proceedings of
the ACM/IEEE Joint Conference on Digital Libraries in2020 (JCDL 2020), pp. 37–46, 2020.
Aleksandar Matic, Martin Pielot, and Nuria Oliver. Omg!
how did it know that?: Reactions to highly-personalized
ads. In Proceedings of the 25th ACM Conference on User
Modeling, Adaptation and Personalization (UMAP 2017),
pp. 41–46, 2017.
Arunesh Mathur, Jessica Vitak, Arvind Narayanan, andMarshini Chetty. Characterizing the use of browser-based
blocking extensions to prevent online tracking. In Proceedings of the 14th USENIX Symposium on Usable Privacy
and Security (SOUPS 2018), pp. 103–116, 2018.
Joseph Phelps, Glen Nowak, and Elizabeth Ferrell. Privacy
concerns and consumer willingness to provide personal information. Journal of public policy & marketing, Vol. 19,
No. 1, pp. 27–41, 2000.
Joel Reidenberg, Travis Breaux, Lorrie Cranor, Brian
French, Amanda Grannis, James Graves, Fei Liu, Aleecia
McDonald, Thomas Norton, Rohan Ramanath, N. Russell,
Norman Sadeh, and Florian Schaub. Disagreeable privacy
policies: Mismatches between meaning and users’ understanding. SSRN Electronic Journal, 01 2014.
Jonathan Obar and Anne Oeldorf-Hirsch. The biggest lie
on the internet: ignoring the privacy policies and terms ofservice policies of social networking services. Information,
Communication & Society, Vol. 23, pp. 1–20, 07 2018.
Hamza Harkous, Kassem Fawaz, Rémi Lebret, FlorianSchaub, Kang G. Shin, and Karl Aberer. Polisis: Automated analysis and presentation of privacy policies using
deep learning. In Proceeedings of 27th USENIX Security
Symposium (USENIX Security 2018), pp. 531–548, 2018.
Patrick Gage Kelley, Lucian Cesca, Joanna Bresee, and Lorrie Faith Cranor. Standardizing Privacy Notices: An Online Study of the Nutrition Label Approach, pp. 1573–1582.
2010.
Maximiliane Windl, Niels Henze, Albrecht Schmidt, and Sebastian S. Feger. Automating contextual privacy policies:
Design and evaluation of a production tool for digital consumer privacy awareness. In Proceedings of the 2022 CHI
Conference on Human Factors in Computing Systems, CHI’22, New York, NY, USA, 2022. Association for Computing
Machinery.
Yang Wang, Pedro Giovanni Leon, Kevin Scott, Xiaoxuan Chen, Alessandro Acquisti, and Lorrie Faith Cranor.
Privacy nudges for social media: An exploratory facebook
study. In Proceedings of the 22nd International Conferenceon World Wide Web (WWW 2013), pp. 763–770, 2013.
Yang Wang, Pedro Giovanni Leon, Alessandro Acquisti,
Lorrie Faith Cranor, Alain Forget, and Norman Sadeh. A
ﬁeld trial of privacy nudges for facebook. In Proceedings ofthe 2014 ACM Conference on Human Factors in Computing Systems (CHI 2014), pp. 2367–2376, 2014.
Timothy Libert. Exposing the hidden web: An analysis of
third-party HTTP requests on 1 million websites. International Journal of Communication, pp. 1–10, 2015.
David Thissen, Lynne Steinberg, and Daniel Kuang. Quickand easy implementation of the benjamini-hochberg procedure for controlling the false positive rate in multiple comparisons. Journal of educational and behavioral statistics,
Vol. 27, No. 1, pp. 77–83, 2002.