Legal issues of user tracking technologies : An analysis of web and mobile tracking methods utilised by Austrian enterprises for business purposes

Abstract

Ziel dieser Arbeit ist es, ein klareres Bild der bestehenden Forschung zur Nutzung und zu rechtlichen Aspekten von User-Tracking-Methoden zu gewinnen. Informationen zum Stand der Technik im Bereich Web- und Mobile-Tracking werden aus einer Reihe fragmentierter Forschungsbereiche zusammengefasst. Diese Arbeit zeigt deutlich, dass österreichische Unternehmen eine Vielzahl an User-Tracking-Methoden für geschäftliche Zwecke einsetzen. Die durchgeführte Umfrage ebenso wie die Ergebnisse des Web-Scraping-Prozesses zeigen, unter anderem, den Einsatz von Erst- und Drittanbieter-Cookies, anderen DOM-Speichermethoden, Tracking über JS-Dateien und Fingerprinting-Verfahren. Die Arbeit weist auch nach, dass ein erheblicher Teil des User-Trackings durch Tools von Drittanbietern erfolgt, insbesondere von großen U.S.-Online-Plattformen wie Google und Facebook. Die durchgeführte rechtliche Analyse offenbart, dass viele der fraglichen Tracking-Methoden bereits durch österreichisches bzw. EU-Recht geregelt sind. Allerdings stellt diese Arbeit auch fest, dass viele Unternehmen noch nicht alle Regelungen vollumfänglich anwenden.Diese Arbeit liefert ebenso einen klaren Beweis dafür, dass die österreichische Umsetzung von Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation die Anwendbarkeit derselben auf bestimmte Arten des User-Trackings schmälert. Außerdem zeigt sie, dass österreichische Unternehmen folglich an ein laxeres Regelwerk gebunden sind als andere europäische Unternehmen. Darüber hinaus enthält sie Beispiele, anhand derer gezeigt werden kann, dass Drittanbieter den jeweiligen Erstanbietern teilweise falsche Angaben machen und eine sachgerechte Risikobewertung verunmöglichen. Dies erschwert die legale Nutzung der entsprechenden Tools erheblich.

The aim of this thesis is to provide a clearer picture on existing research on utilisation and legal aspects of user tracking methods. Information is gathered from a number of fragmented research areas on the state-of-the-art in web and mobile tracking. This thesis clearly shows that Austrian enterprises employ a wide range of user tracking methods for business purposes. The conducted survey as well as the employed web scraping reveals, among others, the utilisation of first- and third-party cookies, other DOM storage methods, tracking via JS files and fingerprinting methods. It also shows that a significant number of user tracking is done through tools provided by third parties, especially major U.S. online platforms, like Google and Facebook. The performed legal analysis reveals that many of the tracking methods in question are already regulated by Austrian or EU law. However, this thesis also finds that many companies do not yet apply all of the regulations to their full extent.This thesis also provides clear evidence that the Austrian transposition of Article 5(3) of the Directive on privacy and electronic communications reduces its applicability to several user tracking methods and that therefore Austrian enterprises are held to a laxer set of rules than other European companies. In addition, it shows that third parties in some cases give false information to the respective first parties and do not allow for a proper risk assessment. This hinders the lawful utilisation of such tools significantly.