Privacy policy assessment of smart home appliance products using empirical traffic analysis

Abstract

This thesis examines whether the observable network behaviour of smart home appliances aligns with the privacy and data handling practices described in their privacy policies. The increasing amounts of smart devices in household environments has raised concerns regarding transparency, continuous background communication, and the extent to which users understand how their data is processed and shared. While previous studies have focused either on traffic analysis or privacy policy assessment, comparatively few studies have systematically combined these perspectives.

The research combines empirical network traffic analysis with structured privacy policy evaluation. Three consumer-grade smart home appliances were selected to represent different behavioural categories: a robot vacuum, a smart bulb, and an indoor security camera. A controlled household testbed was constructed using a Raspberry Pi 5 configured as a wireless access point to capture network traffic. Traffic data was collected during both idle-phase and intensive-phase measurements, where predefined user interactions were performed and timestamped. In parallel, privacy policies associated with the devices were decomposed into atomic statements describing data collection, sharing, and communication practices. The comparison between observed traffic behaviour and privacy policy statements revealed varying levels of transparency. Some documented practices were supported by empirical observations, while other observed network behaviours were only partially explained or remained unverifiable due to limited observability or the lack of privacy policy completeness.

Tässä tutkimuksessa tarkastellaan, vastaako älykotilaitteiden havaittava tietoliikennekäyttäytyminen niiden tietosuojaselosteissa kuvattuja tietosuoja- ja tiedonkäsittelykäytäntöjä. Älylaitteiden lisääntynyt käyttö kotitalousympäristöissä on herättänyt huolta läpinäkyvyydestä, jatkuvasta taustaviestinnästä sekä siitä, missä määrin käyttäjät ymmärtävät, miten heidän tietojaan käsitellään ja jaetaan. Aiemmat tutkimukset ovat keskittyneet joko tietoliikenteen analysointiin tai tietosuojakäytäntöjen arviointiin, mutta vain harvat tutkimukset ovat systemaattisesti yhdistäneet nämä näkökulmat.

Tutkimus yhdistää empiirisen tietoliikenteen analyysin ja rakenteellisen tietosuojakäytäntöjen arvioinnin. Tutkimukseen valittiin kolme kuluttajakäyttöön tarkoitettua älykotilaitetta edustamaan erilaisia käyttäytymiskategorioita: robotti-imuri, älylamppu ja sisäkäyttöön tarkoitettu valvontakamera. Tietoliikenteen tallentamista varten rakennettiin hallittu kotitalousympäristöön sijoitettu testiympäristö, jossa Raspberry Pi 5 toimi langattomana tukiasemana. Tietoliikennettä kerättiin sekä passiivisissa että toiminnallisissa mittauksissa, joissa ennalta määritellyt käyttäjätoiminnot suoritettiin ja aikaleimattiin. Samanaikaisesti laitteisiin liittyvät tietosuojakäytännöt pilkottiin rakenteellisiksi väittämiksi, jotka kuvasivat tiedonkeruu-, tiedonjako- ja viestintäkäytäntöjä. Havaitun tietoliikennekäyttäytymisen ja tietosuojakäytäntöjen vertailu osoitti vaihtelevia läpinäkyvyyden tasoja. Osa dokumentoiduista käytännöistä sai tukea empiirisistä havainnoista, kun taas osa havaituista tietoliikennekäyttäytymismalleista jäi vain osittain selitetyiksi tai mahdottomiksi varmentaa rajallisen havaittavuuden tai tietosuojakäytäntöjen epäselvyyksien vuoksi.