ศาลเยอรมนีสั่งห้าม LinkedIn เพิกเฉยต่อสัญญาณ "Do Not Track"

 (stackdiary.com)
1 คะแนน โดย GN⁺ 2023-11-01 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • ศาลแขวงเบอร์ลินตัดสินในคดีที่สหพันธ์องค์กรผู้บริโภคเยอรมนี vzbv ยื่นฟ้องว่า แนวปฏิบัติบางส่วนของ LinkedIn ในการประมวลผลข้อมูลละเมิดสิทธิ์การควบคุมของผู้ใช้
  • ข้อความแจ้งของ LinkedIn ที่ระบุว่ายังคงติดตามเพื่อการวิเคราะห์และการตลาดโดยเพิกเฉยต่อสัญญาณ Do Not Track ของเบราว์เซอร์ อาจทำให้ผู้ใช้เข้าใจผิดได้
  • วิธีตั้งค่าเริ่มต้น Profile Visibility ของบัญชีใหม่ให้เปิดเผยโปรไฟล์โดยอัตโนมัติก็ถูกห้ามเช่นกัน และหากต้องการให้ผู้ที่ไม่ใช่สมาชิกเห็นได้ ต้องได้รับความยินยอมอย่างชัดเจน
  • ในคำตัดสินก่อนหน้านี้บางส่วน ยังมีการพิจารณาปัญหาเรื่องการส่งอีเมลที่ไม่พึงประสงค์ถึงผู้ที่ไม่ใช่สมาชิก และข้อกำหนดการใช้งานที่บังคับให้สละสิทธิทางกฎหมายบางอย่าง
  • คำตัดสินครั้งนี้อาจกลายเป็นบรรทัดฐานได้ แต่เพื่อให้ Do Not Track กลายเป็นกลไกคุ้มครองจริง จำเป็นต้องมีการบังคับใช้ต่อเนื่องทั่วทั้งสหภาพยุโรป

คำตัดสินของศาลเยอรมนีเกี่ยวกับแนวปฏิบัติด้านข้อมูลของ LinkedIn

  • ศาลแขวงเบอร์ลินสั่งห้ามแนวปฏิบัติบางส่วนในการประมวลผลข้อมูลของแพลตฟอร์มเครือข่ายมืออาชีพ LinkedIn
  • คดีนี้ยื่นฟ้องโดยสหพันธ์องค์กรผู้บริโภคเยอรมนี vzbv
  • ศาลเห็นว่า LinkedIn ไม่สามารถเพิกเฉยต่อสัญญาณ Do Not Track ที่ส่งมาจากเบราว์เซอร์ของผู้ใช้ได้
    • สัญญาณ Do Not Track สื่อว่าผู้ใช้อินเทอร์เน็ตปฏิเสธการติดตามกิจกรรมออนไลน์
    • LinkedIn แจ้งว่าแม้จะได้รับสัญญาณดังกล่าว แต่ก็ยังติดตามบนเว็บไซต์เพื่อวัตถุประสงค์ด้านการวิเคราะห์และการตลาด
    • ศาลเห็นว่า เนื่องจาก LinkedIn ต้องเคารพคำขอ Do Not Track ข้อความแจ้งดังกล่าวจึงเป็น การสื่อสารที่ทำให้เข้าใจผิด
  • การตั้งค่าเริ่มต้นที่เปิดเผยโปรไฟล์ของผู้ใช้ใหม่โดยอัตโนมัติก็ถูกห้ามด้วย
    • ค่าเริ่มต้น Profile Visibility ของ LinkedIn ทำให้ข้อมูลผู้ใช้เป็นสถานะสาธารณะทันทีหลังสร้างบัญชี
    • ศาลเห็นว่าวิธีเปิดเผยข้อมูลผู้ใช้โดยไม่ได้รับความยินยอมเป็นการละเมิดกฎคุ้มครองข้อมูล
    • หากต้องการให้โปรไฟล์ของผู้ใช้ปรากฏแก่ผู้ที่ไม่ใช่สมาชิก ผู้ใช้ต้องให้ความยินยอมอย่างชัดเจน
  • ในคำตัดสินก่อนหน้านี้บางส่วน แนวปฏิบัติอื่นของ LinkedIn ก็ถูกห้ามเช่นกัน
    • การส่งอีเมลที่ไม่พึงประสงค์ถึงผู้ที่ไม่ใช่สมาชิก
    • การใช้ข้อกำหนดการใช้งานที่บังคับให้ผู้ใช้สละสิทธิทางกฎหมายบางอย่าง

ภารกิจที่ยังเหลือในการบังคับใช้ Do Not Track

  • vzbv มองว่าคำตัดสินครั้งนี้เป็นกรณีที่ยืนยันว่าผู้บริโภคสามารถใช้ สิทธิ์ควบคุมข้อมูลส่วนบุคคล ได้
    • เมื่อผู้ใช้เปิดใช้งาน Do Not Track เท่ากับส่งข้อความชัดเจนว่าไม่ต้องการถูกเฝ้าติดตามกิจกรรมออนไลน์
    • จุดยืนคือผู้ให้บริการเว็บไซต์ต้องเคารพสัญญาณดังกล่าว
  • แม้คำตัดสินจะเป็นความคืบหน้า แต่คำตัดสินของเยอรมนีเพียงหนึ่งคดีไม่น่าจะเปลี่ยนแนวปฏิบัติด้านความเป็นส่วนตัวของผู้ใช้ได้มากนัก
    • Do Not Track มีอยู่มาหลายปีแล้ว แต่หลายเว็บไซต์เพิกเฉยต่อสิ่งนี้มาโดยแทบไม่มีผลตามมา
    • คดีนี้อาจเป็นบรรทัดฐานได้ แต่ก็มีความเป็นไปได้ที่จะเหลือเป็นเพียงคำตัดสินโดดเดี่ยวในเยอรมนี
  • การเปลี่ยนแปลงที่เป็นรูปธรรมจำเป็นต้องมี การบังคับใช้อย่างต่อเนื่อง ทั่วทั้งสหภาพยุโรป
    • หน่วยงานกำกับดูแลถูกวิจารณ์ว่าจนถึงตอนนี้ยังไม่ได้ดำเนินการรวดเร็วเพียงพอ
    • แม้เว็บไซต์ทั้งหมดในยุโรปจะปฏิบัติตาม ก็ยังมีความเป็นไปได้ที่บริษัทเทคโนโลยีจะย้ายการติดตามที่ล่วงละเมิดออกไปนอกยุโรป
    • มีการประเมินว่าแบนเนอร์ขอความยินยอมคุกกี้กลายเป็นขั้นตอนเชิงพิธีการไปแล้ว
  • การคุ้มครองความเป็นส่วนตัวและความยินยอมอย่าง Do Not Track พึ่งพาการปฏิบัติตามโดยสมัครใจของบริษัทเป็นอย่างมาก
    • บริษัทที่มุ่งแสวงหาผลประโยชน์ของตนเองจะหาวิธีหลีกเลี่ยงกฎที่เพิ่มอำนาจให้ผู้ใช้
    • บางเว็บไซต์อาจแสดงท่าทีว่าเคารพสัญญาณอย่าง DNT แต่ก็หลีกเลี่ยงได้ง่ายด้วยพรอมป์ขอความยินยอมแบบผิวเผิน
  • การคุ้มครองความเป็นส่วนตัวที่มีความหมายจำเป็นต้องทบทวนวิธีสร้างเว็บไซต์และวิธีสร้างรายได้
    • Silicon Valley มีแรงจูงใจน้อยที่จะละทิ้งทุนนิยมสอดส่อง
    • Big Tech พูดถึงความเป็นส่วนตัว แต่ก็ยังเก็บข้อมูลให้ได้มากที่สุดเท่าที่ทำได้
    • หากโมเดลธุรกิจไม่เปลี่ยน มาตรการสมัครใจอย่าง Do Not Track ก็อาจเป็นเพียงท่าทางว่างเปล่า

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-11-01
ความคิดเห็นบน Hacker News

  • คำตัดสินนี้ยอดเยี่ยม และหวังว่าจะยังคงยืนอยู่แม้ในการอุทธรณ์ที่คงหลีกเลี่ยงไม่ได้ วิธีที่ชัดเจนที่สุดในการกำจัดการแจ้งเตือนคุกกี้แยกตามแต่ละไซต์คือทำให้ DNT บังคับใช้ได้ตามกฎหมาย
    ผมดำเนินเอเจนซีที่ทำเว็บไซต์ให้องค์กรไม่แสวงหากำไร และถ้า DNT เปิดอยู่ เราจะไม่ติดตามและไม่แสดงการแจ้งเตือนคุกกี้ด้วย เพียงแต่กังวลว่าถ้าผู้ใช้ไม่เห็นการแจ้งเตือนคุกกี้ อาจสงสัยว่า “โดยปริยายแล้วกำลังติดตามอยู่หรือเปล่า” เลยกำลังคิดอยู่ว่าควรแสดง ข้อความแจ้งครั้งเดียว ว่า “เราได้ตรวจสอบการตั้งค่า DNT แล้วและปิดการติดตามให้แล้ว” ดีไหม

    • ทางที่ดีกว่าคืออย่าทำสิ่งที่ทำให้ ต้องมีการแจ้งเตือนคุกกี้ ตั้งแต่แรก อาจไม่ใช่สิ่งที่คุณตัดสินใจได้เองเสมอไป แต่ควรโต้แย้งสมมติฐานที่ว่าการติดตามแบบนี้จำเป็นให้มากที่สุด
    • กฎหมายคุกกี้ควรถูกนำไปใช้แบบนี้มาตั้งแต่แรก และการที่ไม่ได้ทำเช่นนั้นเป็น ความรับผิดชอบของฝ่ายนิติบัญญัติ ล้วน ๆ ต้นทุนเชิงราชการจากเวลาหลายล้านชั่วโมงที่ผู้คนเสียไปกับการคลิกแบนเนอร์ป๊อปอัป เป็นความผิดของคนที่ออกกฎหมาย ไม่ใช่ของผู้ละเมิด
    • เว็บไซต์ส่วนใหญ่อยากติดตามผู้ใช้จริง ๆ ดังนั้นดูแล้วโอกาสที่จะเป็นแบบนั้นคงต่ำ สุดท้ายก็จะยังแสดงแบนเนอร์ต่อไป หรือแสดงรูปแบบดัดแปลงอย่าง “เรารู้ว่าคุณเปิด DNT อยู่ แต่จะอนุญาตให้ยกเว้นเฉพาะไซต์ของเราไหม”
      ถ้าทำแบบนั้น ผู้ใช้ก็อาจยินยอมเพื่อกำจัดแบนเนอร์คุกกี้ และเว็บไซต์ก็อาจอ้างว่า ความยินยอมเฉพาะเจาะจง ที่เว็บไซต์ให้ไว้นั้นมีน้ำหนักเหนือกว่าการไม่ยินยอมทั่วไปของ DNT
    • ครั้งหนึ่งแม่ผมเคยส่งข้อความมาบอกว่าไม่ชอบเว็บไซต์ที่ผมแชร์ เพราะปิดคุกกี้ไม่ได้ ผมลองตรวจดูสักพักแล้วพบว่าเป็นเพราะไซต์นั้น ไม่ได้เก็บข้อมูลอะไรเลย
    • คุกกี้เชิงเทคนิค เดิมทีไม่จำเป็นต้องมีแบนเนอร์คุกกี้ น่าเสียดายที่ผู้ดูแลเว็บไซต์ทุกคนไม่ได้รู้เรื่องนี้

  • ยังไม่เข้าใจอยู่ดีว่าทำไมเว็บไซต์ถึงหา โซลูชันโฆษณาของตัวเอง แทนที่จะพึ่งบุคคลที่สามไม่ได้ เว็บไซต์ใหญ่ ๆ ดูเละเทะเพราะโฆษณาที่วางแบบไม่คิด
    ควรมีคนคัดเลือกอย่างรอบคอบและจัดวางบนหน้าเหมือนโฆษณาในนิตยสารหรือหนังสือพิมพ์ แบบนั้นประสบการณ์ก็จะดีขึ้นและไม่ต้องติดตามผู้ใช้ด้วย ความคาดหวังว่าการติดตามจำเป็นต่อ “โฆษณาที่ดี” ไม่เคยเกิดขึ้นจริง และสุดท้ายการเลือกสินค้าที่ผู้คนอยากซื้อก็ต้องเป็นหน้าที่ของ คนที่มีรสนิยม

    • เพราะตลาดโฆษณาถูกทำให้เป็น ไซโล เอเจนซีต้องการใช้งบก้อนใหญ่ได้ง่าย ๆ ไม่ใช่ไปเจรจาแยกกับสื่อหลายพันราย
      ดังนั้นพวกเขาจึงซื้อแบบรวมแพ็กจากผู้ให้บริการรายใหญ่ และผู้ให้บริการนั้นก็จัดสถิติให้แบบรวมศูนย์ นี่ก็เป็นกลไกหนึ่งในการทำให้เจ้าของสื่อซื่อสัตย์ในระดับหนึ่ง เพราะการโกงคลิกและการโกงการแสดงผลอาจแพร่ระบาดได้ มีวิธีดูดงบออกมาโดยไม่ส่งมอบสิ่งที่ผู้ลงโฆษณาต้องการอยู่เสมอ และผู้ใช้ปลายทางก็ติดอยู่กลางการแข่งขันสะสมอาวุธระหว่างนักต้มตุ๋นกับนักการตลาด และระหว่างนักการตลาดกับผู้ใช้ คำตัดสินนี้คืนสามัญสำนึกเล็กน้อยให้กับคนที่ประกาศว่าตนเองเป็นพลเรือนที่ไม่เข้าร่วมรบ
    • การติดต่อกับอุตสาหกรรมโฆษณาหรือผู้ลงโฆษณาโดยตรงซับซ้อนกว่าการแปะพื้นที่แบนเนอร์หนึ่งจุดบนหน้าเว็บหรือแอปมาก เว็บไซต์อยาก โฟกัสกับธุรกิจหลัก มากกว่าไปเรียนรู้ธุรกิจใหม่
      งานที่ตามมามีทั้งหาผู้ลงโฆษณา เจรจาราคา เตรียมรายงานตำแหน่งโฆษณาและการตอบสนอง ตรวจจับการโกงคลิก โน้มน้าวพาร์ตเนอร์โฆษณาให้ยอมรับการรับมือการโกง และโน้มน้าวว่าตามสัญญาแล้วจะได้เงินในสักวันหนึ่ง ผู้ลงโฆษณาก็จะพยายามจับคู่รายงานนั้นกับบันทึกความสนใจที่ไหลเข้าไปในระบบของตนเอง
    • ตลาดเต็มไปด้วย การฉ้อโกง และการเฝ้าระวังก็มีอยู่เพื่อตอบโต้การฉ้อโกงนั้น เป็นการเฝ้าระวังเพื่อพิสูจน์ว่าผู้ใช้เป็นผู้ใช้จริง ไม่ใช่บอตที่ปลอมการแสดงผลหรือคลิก
      ลองคิดจากมุมของผู้ซื้อโฆษณา ถ้าเว็บไซต์ใดเว็บไซต์หนึ่งมาบอกว่าจะโชว์โฆษณาของฉัน ฉันจะรู้ได้อย่างไรว่าฉันจะได้อะไร
    • คนในฝ่ายการตลาดเข้า ๆ ออก ๆ และไม่มีเวลาหรือแรงจูงใจจะเรียนรู้เครื่องมือภายในองค์กร พวกเขารู้จัก gtag และพอใจกับมันแล้ว
    • ท้ายที่สุดนี่ก็เหมือนกับถามว่า ทำไม การจ้างช่วง ถึงมีอยู่

  • ในที่สุดก็สำเร็จ Do Not Track header คือการปฏิเสธความยินยอมขั้นสุดท้าย เป็นคำว่า “ไม่” อย่างชัดเจน และเป็นส่วนหนึ่งของ request header ที่เซิร์ฟเวอร์ไม่สามารถอ้างว่าไม่รู้ได้
    การที่เว็บกลายเป็นความโกลาหลของป๊อปอัปขอความยินยอมทั้งที่มี Do Not Track อยู่แล้ว แสดงให้เห็นเจตนาร้ายของบริษัทเหล่านี้อย่างชัดเจน พวกเขาพยายามเลี่ยงเจตจำนงของผู้ใช้ และแย่กว่านั้นคือเปลี่ยนมันให้กลายเป็นบิตเพิ่มเติมสำหรับการติดตาม ดีใจที่มีบรรทัดฐานทางกฎหมายเกิดขึ้น

    • จะมองว่าเป็นการปฏิเสธขั้นสุดท้ายก็คงยาก ไม่มีวิธีอนุญาตเฉพาะบางไซต์ และยังไม่ได้กำหนดด้วยว่าหมายถึงไม่ให้ติดตามอะไร อ้างอิง: https://www.eff.org/deeplinks/2011/02/what-does-track-do-not...
      ถ้ามีวิธีให้เบราว์เซอร์ระบุสิ่งนี้อย่างเป็นทางการก็คงดี แต่ก็จะเปิดทางไปสู่รายการข้อยกเว้นอย่างหลีกเลี่ยงไม่ได้ หากตีความแบบสุดโต่ง การปฏิบัติตาม DNT อาจหมายถึงการใช้ไซต์ที่ต้องล็อกอินเลยไม่ได้ด้วยซ้ำ

  • เรื่องไร้สาระแบบ สัญญาโดยปริยาย ส่วนใหญ่ที่ใช้กำหนดความสัมพันธ์ระหว่างผู้บริโภคกับบริษัทนั้นเป็นทฤษฎีกฎหมายห่วย ๆ ตั้งแต่แรกก็ไม่ควรถูกยอมรับแล้ว
    ความจริงที่ว่าระบบกฎหมายยอมให้และสนับสนุนเรื่องนี้มาตลอด แสดงให้เห็นว่าปรัชญาและจริยธรรมของวงการกฎหมายเปราะบางทางปัญญาแค่ไหน บริษัทต่าง ๆ โดยเฉพาะในการโต้ตอบดิจิทัล ใช้สิ่งอย่างข้อกำหนดการใช้งานหรือข้อตกลงสิทธิ์การใช้งานสำหรับผู้ใช้ปลายทางราวกับคาถา แต่นั่นไม่ใช่ความยินยอม เป็นแค่พิธีกรรมตลก ๆ ที่พรากสิทธิของผู้ใช้และผู้บริโภคไป ถ้าสิทธิใดถูกพรากไปได้ด้วยข้อกำหนด แปลว่าสิทธินั้นไม่เคยมีอยู่ตั้งแต่แรก แนวคิดว่า “โดยความยินยอม” เองก็เป็นของปลอมในสถานการณ์แบบนี้ แต่ถ้าจำเป็นต้องทำแบบนั้นจริง ๆ ก็เอียงกระดานกลับอีกด้านได้เช่นกัน เช่น “การส่งหน้าเว็บมายังเบราว์เซอร์นี้ ถือว่าคุณตกลงดังต่อไปนี้…” ทันทีที่วางคุกกี้หรือบันทึกข้อมูล ก็สามารถสร้างค่าเริ่มต้นกึ่งกฎหมายที่เข้าข้างผู้ใช้ได้ เงื่อนไขที่ว่าต้องยอมรับ X ก่อนใช้ผลิตภัณฑ์ที่ซื้อควรถือเป็นโมฆะ และถ้าการเปิดเผยข้อมูลหรือการยอมรับข้อกำหนดเป็นเงื่อนไขในการใช้ผลิตภัณฑ์ ผู้บริโภคควรมี สิทธิขอคืนเงินเต็มจำนวนได้ไม่มีกำหนดเวลา ถ้าต้องยอมรับสัญญาบังคับที่ออกแบบมาไม่ให้อ่านเพื่อให้ใช้อุปกรณ์ได้ ก็ควรมีสิทธิปฏิเสธและขอคืนเงินเต็มจำนวนได้ทุกเมื่อ หรืออย่างน้อยก็ต้องทำให้ความยินยอมนั้นเป็นโมฆะ

    • เท่าที่ผมเข้าใจ ในหลายประเทศ “ต้องยอมรับ X ก่อนใช้ผลิตภัณฑ์ที่ซื้อ” แทบจะผิดกฎหมายอยู่แล้ว ผู้ใช้ในประเทศเหล่านั้นโดยทั่วไปแม้จะคลิกผ่านหน้าจอข้อตกลงแบบนั้นไป ก็ไม่มีผลผูกพันทางกฎหมาย
      ข้อตกลงสิทธิ์การใช้งานสำหรับผู้ใช้ปลายทางต้องถูกนำเสนอให้ผู้ใช้ก่อนที่ผู้ใช้จะได้รับแอปหรืออุปกรณ์ ดังนั้น Steam จึงบังคับให้ยอมรับ EULA ของบุคคลที่สามก่อนดาวน์โหลดเกม และแสดงไว้ในแถบสีเหลืองที่เห็นชัดบนหน้าร้านเพื่อให้สามารถอ่าน EULA ของบุคคลที่สามได้ สิ่งอย่าง “ลิงก์ EULA ที่ด้านหลังกล่อง” ไม่ได้รับอนุญาต และแม้ในกรณีนั้น ส่วนใหญ่ของ EULA ที่เกินไปกว่าประเด็นความรับผิดก็มักผิดกฎหมาย เพราะพยายามห้ามสิทธิที่มีอยู่เดิม เท่าที่ผมรู้ สหรัฐฯ แทบจะเป็นประเทศเดียวที่ EULA แบบเปิดกล่องแล้วค่อยเจอมีประโยชน์มากกว่ากระดาษชำระเกรดดีอยู่บ้าง อย่างไรก็ตาม ผมไม่ใช่ทนาย
    • เคยมีกรณีที่ยื่น ฟ้องขอเงินคืน เพราะไม่พอใจกับการเปลี่ยนแปลงไลเซนส์ไหม?
    • ผู้พิพากษา นักปรัชญากฎหมาย และศาสตราจารย์นิติศาสตร์คงเขียนกฎหมายด้วย MS Word การเจรจาแก้ไขกฎหมายก็คงส่งย่อหน้ากันทางอีเมล และเช็กอีเมลนั้นอย่างมากก็วันละครั้ง

  • เป็นข่าวดี ตอนนี้อยากดูว่าหากประเด็นนี้ถูกท้าทาย จะถูกพิจารณาใน ศาลสหภาพยุโรป ด้วยหรือไม่ แต่ผมคิดว่าอุตสาหกรรมโฆษณาน่าจะเลือกสู้เป็นรายประเทศมากกว่ายอมเสี่ยงแพ้ทีเดียวทั้งสหภาพยุโรป

    • ถ้าเรื่องนี้กลายเป็น กฎหมายทั่วสหภาพยุโรป ก็คงดี เมื่อส่งเฮดเดอร์ DNT ไปแล้ว ก็เท่ากับไม่ยินยอมให้ติดตามอยู่แล้ว ดังนั้นไม่ควรแสดงแจ้งเตือนขอความยินยอมคุกกี้ได้
    • ทำไมถึงต้อง “ฝากความหวังไว้กับศาลสหภาพยุโรป” อยู่เสมอ? ระบบกฎหมายสหรัฐฯ ไร้อำนาจหรือทุจริตถึงขั้นที่ทุกคนยอมแพ้กันหมดแล้วหรือ?
    • ในระบบศาลของแต่ละประเทศ คุณอุทธรณ์ขึ้นไปได้ถึงระดับหนึ่งเท่านั้น หลังจากนั้นก็แพ้คดี หรือไม่ก็ศาลสหภาพยุโรปเข้ามาเกี่ยวข้อง
      ถ้าในเยอรมนีคดีนี้ไปถึงศาลยุติธรรมแห่งสหพันธ์ (BGH) ศาลจะ “ส่งคำถาม” ไปยังศาลยุติธรรมแห่งสหภาพยุโรปเกี่ยวกับการตีความกฎหมายสหภาพยุโรปที่ใช้บังคับ ซึ่งในกรณีนี้คือ GDPR และศาลของประเทศอื่นก็จะพิจารณาบรรทัดฐานนั้นด้วย หาก LinkedIn ไม่อุทธรณ์ ก็ต้องปฏิบัติตามคำพิพากษานี้ และแม้ในกรณีนั้น การที่ศาลในประเทศหนึ่งอ้างอิงแนวคำพิพากษาข้ามพรมแดนก็ไม่ใช่เรื่องแปลก
    • นี่เป็น การตีความ GDPR ที่ให้สามารถปฏิเสธการติดตามด้วย “วิธีการทางเทคนิค” ได้อยู่แล้ว
      ถ้าจะทำให้แต่ละประเทศใช้การตีความนี้ ก็คงต้องต่อสู้กันเป็นรายประเทศ แต่สำหรับประเทศสหภาพยุโรปอื่น ๆ นี่จะเป็นบรรทัดฐาน 100%

  • เท่าที่ผมเข้าใจ LinkedIn ไม่ได้ถูกบังคับให้เคารพเฮดเดอร์ DNT ในกระบวนการประมวลผลจริง สิ่งที่ถูกห้ามคือแค่การ อ้างว่า ไม่เคารพเพราะเฮดเดอร์ DNT ไม่มีผลผูกพันทางกฎหมาย
    ศาลไม่ได้บังคับให้ LinkedIn เคารพ หรืออย่างน้อยพิจารณาเฮดเดอร์ DNT จริง ๆ ในฐานะเจ้าของภาษาเยอรมัน ผมก็เข้าใจบทความนี้ของ heise online ซึ่งโดยทั่วไปน่าเชื่อถือ ในแบบนั้น: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...

    • อ่านคำพิพากษาฉบับเต็มได้ที่นี่ [1] องค์กรคุ้มครองผู้บริโภคได้ยื่นขอให้บังคับ LinkedIn เคารพ DNT ด้วย แต่ศาลเห็นว่ากว้างเกินไปด้วยเหตุผลสองข้อจึงไม่รับ
      ข้อแรก ไม่ได้ระบุชัดพอว่า DNT หมายถึงอะไรกันแน่ โดยเฉพาะอย่างยิ่ง คำฟ้องไม่ได้จำกัดเฉพาะเฮดเดอร์ DNT แต่กล่าวถึงสัญญาณที่ตั้งค่าไว้ทุกชนิดที่เบราว์เซอร์ส่งมา ข้อสอง อธิบายการกระทำที่ LinkedIn ต้องหยุดเมื่อพบสัญญาณดังกล่าวกว้างเกินไป หากคำพิพากษานี้คงอยู่ ดูเหมือนว่าจะเปิดประตูให้คดีในอนาคตอย่างชัดเจน และอาจคาดหวังได้ว่าบริษัทที่เป็นเป้าจะปรับพฤติกรรมโดยคาดการณ์เรื่องนี้ไว้ แต่ผมไม่คาดหวังมากนัก
      [1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
    • ถ้าจะอ่านบทความนั้น ต้องจ่ายเงิน หรือไม่ก็ต้อง “ยินยอมโดยสมัครใจ” ต่อการติดตามแบบปรับแต่งเฉพาะบุคคล บางครั้งก็สงสัยว่าคนที่เขียนบนเว็บนั้นคงอยู่ในรายการอนุญาต IP หรือไม่ก็ล็อกอินอยู่ตลอด แล้วตอนนี้พวกเขาตระหนักถึง ความย้อนแย้ง นี้บ้างไหม
    • ใช่ แต่ศาลก็ยังบอกด้วยว่า DNT มี ผลผูกพันทางกฎหมาย ย่อหน้ารองสุดท้ายของบทความ heise ที่ลิงก์ไว้ก็กล่าวถึงเรื่องนี้
      อย่างไรก็ตาม ตัวคำพิพากษาเองเกี่ยวกับคำกล่าวอ้าง ไม่ใช่ว่าเคารพ DNT หรือไม่ ดังนั้นตรงนั้นถูกต้องแล้ว

  • ปัญหาที่เห็นเสมอเวลาพูดถึงการติดตามคือขอบเขตของคำนี้กว้างเกินไป ตัวอย่างเช่นมีสามแบบ: เจ้าของร้านมองลูกค้าเพื่อป้องกันการขโมยและสังเกตเส้นทางการเดินเพื่อจัดวางสินค้า, ร้านค้าออนไลน์ติดตามว่าผู้คนดูสินค้าอะไรและรถเข็นแบบไหนถูกทิ้งมากที่สุด, เครือข่ายโฆษณาทั่วโลกได้รับกิจกรรมการท่องเว็บส่วนใหญ่ทั่วอินเทอร์เน็ตเพื่อสร้างโปรไฟล์โฆษณา
    ในแกนนี้ ณ จุดใดจุดหนึ่ง ความแตกต่างด้านขนาด ก็กลายเป็นความแตกต่างด้านประเภทไม่ใช่หรือ? ส่วนตัวคิดว่าการสังเกตสิ่งที่ผู้ใช้ทำบนเว็บไซต์ของฉันนั้นไม่เป็นไร แต่เมื่อข้อมูลถูกแชร์ให้บุคคลที่สามควรต้องมีความยินยอมอย่างชัดเจน

    • คำว่า โปรไฟล์โฆษณา เองก็เป็นถ้อยคำที่กว้างมากและปล่อยให้จินตนาการไปเองได้มาก ไม่ใช่ทุกอย่างจะเหมือนกัน
      โปรไฟล์โฆษณาที่ Google มีสามารถเข้าไปดูและแก้ไขได้โดยตรง [1] [2] ผมเปิดไว้เพราะอยากรู้คร่าว ๆ ว่ามันจะค้นพบอะไรบ้าง แต่จนถึงตอนนี้หัวข้อโฆษณาเป็นเรื่องทั่วไปมากและไม่มีอะไรน่ากังวล
      [1] https://myadcenter.google.com/
      [2] chrome://settings/adPrivacy/interests (เมื่อใช้ Chrome บนเดสก์ท็อป)
    • ข้อ 1 และ 2 มีความเป็นไปได้สูงว่าสามารถทำได้โดยไม่ต้องขอความยินยอม
    • ประเด็นสำคัญคือความแตกต่างของ เป้าหมาย
      หากเป้าหมายการติดตามคือคน ก็ต้องได้รับความยินยอมจากคนนั้น หากเป้าหมายการติดตามเป็นวัตถุไม่มีชีวิต โดยทั่วไปน่าจะไม่เป็นไร แต่ถ้าการติดตามวัตถุไม่มีชีวิตนำไปสู่การติดตามคน ก็ต้องได้รับความยินยอมจากคนนั้น
    • GDPR นิยามคำศัพท์ที่จำเป็นไว้อย่างชัดเจน

  • “เปิด Do Not Track ในเบราว์เซอร์อยู่ จึงไม่สามารถให้บริการเนื้อหานี้ได้”

    • ไม่เป็นไร ช่วยให้ผู้คนเข้าใจว่าต้องเลือกระหว่าง คุณค่าแบบยุโรป กับการถูกเทคโนโลยีทำให้เป็นทาส
    • ในฐานะคนที่อยู่ใน EU ผมเห็นสิ่งแบบนี้บ่อยมากบนเว็บไซต์ที่มีฐานในสหรัฐฯ เป็นเว็บไซต์ที่จำเป็นต้องมีคุกกี้ติดตามและการดูดข้อมูลอย่างยิ่ง
    • โชคดีที่สิ่งนั้นก็ผิดกฎหมายพอ ๆ กับการติดตามโดยไม่ยินยอม หรือในกรณีนี้คือการติดตามที่เพิกเฉยต่อ การปฏิเสธอย่างชัดเจน
    • ไม่เป็นไร ถ้าเว็บไซต์สหรัฐฯ บล็อกไม่ให้ผมดูเนื้อหาเพราะ IP address ใน EU ของผม ผมกลับดีใจเสียอีก
    • ข้อความทำนองว่าผมอยู่ใน EU จึงเข้าชมเว็บไซต์สหรัฐฯ ไม่ได้ ก็มีอยู่แล้ว

  • จะรวมถึงเบราว์เซอร์ที่เปิด DNT header เป็นค่าเริ่มต้นด้วยไหม? จำได้ว่า Edge รุ่นแรก ๆ หรือ Internet Explorer รุ่นหลัง ๆ ส่ง header นี้เป็นค่าเริ่มต้น และในโฆษณาก็เคยอ้างแบบนั้น
    ตอนนั้นสเปกน่าจะบอกว่าสามารถเพิกเฉยได้ถ้า header ถูกส่งเสมอหรือไม่ได้ถูกเปิดโดยผู้ใช้

    • ไม่ใช่ทนายความ แต่เว็บไซต์แยกไม่ได้ว่า DNT setting ถูกเปิดเป็นค่าเริ่มต้นหรือผู้ใช้ตั้งใจเปิดเอง ดังนั้นในทางปฏิบัติจึงไม่สำคัญ ต้องถือว่าผู้ใช้ เปิด DNT setting แล้ว
      สมมติว่าป้า Agatha อ่านเรื่อง DNT setting ในนิตยสาร แล้วเข้าไปดูการตั้งค่าเบราว์เซอร์พบว่าเปิดไว้อยู่แล้วจึงไม่ได้ทำอะไร นั่นไม่ต่างจากลุง Ulysses ที่ใช้เบราว์เซอร์อีกตัวซึ่งค่าเริ่มต้นปิดอยู่ แล้วเข้าไปตั้งค่าเพื่อเปิด หากตู้จดหมายของผมมีสติกเกอร์บอกว่าไม่ต้องการรับโฆษณาที่ไม่พึงประสงค์ ก็ไม่จำเป็นต้องพยายามเดาว่าใครเป็นคนติดสติกเกอร์นั้น
    • โดยทั่วไปสเปกไม่ค่อยสำคัญต่อการตัดสินของศาล ตามคำพิพากษา DNT ถูกมองจากมุมมองของศาลว่าเป็น สัญญาณที่มีผลว่าผู้ใช้ไม่ต้องการถูกติดตาม ไม่ใช่ทนายความนะ
      อาจโต้แย้งได้ว่าการใช้เบราว์เซอร์ที่ตั้งค่า DNT header เป็นค่าเริ่มต้นนั้นเองเป็นการตัดสินใจด้านความเป็นส่วนตัวผ่านการเลือกเบราว์เซอร์นั้น บริษัทโฆษณาไม่ต้องการข้อโต้แย้งแบบนั้น และต้องการให้ผู้ใช้ opt-out ในทุกเบราว์เซอร์ ในอุดมคติของพวกเขา คงอยากเพิกเฉยต่อ header นั้นไปเลย เหมือนที่เกิดขึ้นจริงหลังจาก Microsoft เปิดเป็นค่าเริ่มต้นใน Explorer
    • ใน EU ค่าเริ่มต้นอยู่ฝั่งที่ว่า การใช้ข้อมูลส่วนบุคคลต้องได้รับความยินยอม ในบางเขตอำนาจศาล IP ก็ถือเป็นข้อมูลส่วนบุคคล ดังนั้นค่าเริ่มต้นควรเป็นการไม่เข้าร่วม
    • หากผู้ใช้ติดตั้งเบราว์เซอร์ที่เน้นการคุ้มครองความเป็นส่วนตัว แม้เบราว์เซอร์จะเปิด DNT เป็นค่าเริ่มต้น ก็ยังถือได้ว่ามีการเลือกของผู้ใช้อยู่
      สถานการณ์ของ Internet Explorer เดิมนั้นต่างออกไป เพราะมันถูกติดตั้งมาพร้อมกับระบบปฏิบัติการอยู่แล้ว แม้ในปัจจุบัน การมีทางเลือกระบบปฏิบัติการบนฮาร์ดแวร์ผู้บริโภคบางประเภทก็ยังน่าสงสัยอยู่บ่อยครั้ง และในตอนนั้นหลายกรณีน่าจะใกล้เคียงกับคำว่า “ไม่มี” มากกว่า
    • เหตุผลที่สเปกระบุว่าสามารถเพิกเฉยได้ถ้า header ถูกส่งเสมอหรือไม่ได้ถูกเปิดโดยผู้ใช้คืออะไร?

  • ดูเหมือนยังไม่มีใครพูดถึง Global Privacy Control โดยแก่นแล้วมันเป็น HTTP header ที่ตั้งใจให้มีผลผูกพันทางกฎหมายภายใต้ CCPA และแตกต่างจาก DNT
    Firefox มีการตั้งค่าสำหรับเปิดใช้งานสิ่งนี้ อย่างน้อยใน Beta ดูเพิ่มเติม:
    https://globalprivacycontrol.org/
    https://global-privacy-control.glitch.me/
    https://privacycg.github.io/gpc-spec/

    • GPC เป็นกฎหมายในแคลิฟอร์เนียแล้ว EU ดูเหมือนยังตามไม่ทัน ซึ่งอาจเป็นเพราะมอบหมายการบังคับใช้ให้หน่วยงานกำกับดูแลคุ้มครองข้อมูลส่วนบุคคลของแต่ละประเทศแล้วล้มเหลว บางแห่งอย่างหน่วยงานไอร์แลนด์ก็เห็นได้ชัดว่าถูกกลุ่มอุตสาหกรรมเฝ้าระวังครอบงำ
      https://www.huntonprivacyblog.com/2021/07/15/california-atto...