- ขั้นตอน ยินยอมแบนเนอร์คุกกี้ ที่ต้องทำซ้ำในแต่ละเว็บไซต์ทำให้ผู้ใช้ล้า และถูกมองว่าเป็น ระบบที่ล้มเหลวซึ่งไม่สามารถปกป้องความเป็นส่วนตัวได้จริง
- โครงสร้างปัจจุบันกำหนดให้ แต่ละเว็บไซต์ต้องทำระบบขอความยินยอมแยกกัน จึงสร้าง ภาระที่มากเกินไปให้กับผู้ดูแลเว็บไซต์รายเล็ก
- ผู้เขียนเสนอทางออกด้วยการจัดการการยินยอมคุกกี้ แบบรวมศูนย์ในขั้นตอนการตั้งค่าเบราว์เซอร์
- ผู้ใช้สามารถตั้งค่าเพียงครั้งเดียวเพื่อ ควบคุมขอบเขตการใช้ข้อมูลของตนแบบรวมศูนย์ และให้เบราว์เซอร์นำไปใช้กับทุกเว็บไซต์แทน
- แนวทางนี้ถูกเสนอว่าเป็นทางออกที่สมเหตุสมผลกว่าใน 3 ด้าน ได้แก่ ประสบการณ์ผู้ใช้ที่ดีขึ้น, ประสิทธิภาพด้านกฎระเบียบที่สูงขึ้น และ ภาระของนักพัฒนาที่ลดลง
ความล้มเหลวของแบนเนอร์คุกกี้ในโลกจริง
- กฎหมายคุ้มครองข้อมูลส่วนบุคคล อย่าง GDPR และ CCPA ถูกสร้างขึ้นด้วยเจตนาที่ดี แต่แนวทางการบังคับใช้กลับไม่มีประสิทธิภาพ
- เว็บไซต์จำนวนมหาศาลต้องแสดงป๊อปอัปอย่าง "Accept All" หรือ “Manage Preferences” แยกกัน
- ผู้ใช้ส่วนใหญ่เพราะความล้าจึงกด “ยอมรับทั้งหมด” ไปโดยแทบไม่ได้คิด
- วิธีแบบนี้ ทำให้สิทธิในการเลือกของผู้ใช้หมดความหมายในทางปฏิบัติ และทำให้ประสบการณ์ใช้อินเทอร์เน็ตยุ่งยากยิ่งขึ้น
- ผู้เขียนชี้ว่าหัวใจของปัญหาไม่ใช่ ‘จะปกป้องอะไร’ แต่คือ ‘จะจัดการจากที่ไหน’
ปัญหาของโครงสร้างปัจจุบัน
- 1) ความล้าจากการให้ความยินยอม (Consent Fatigue): คำขอความยินยอมที่เกิดซ้ำทำให้ผู้ใช้ชาชิน และไม่เกิด ‘ความยินยอมโดยสมัครใจ’ อย่างแท้จริง
- 2) ผลเสียต่อผู้ดูแลรายเล็ก: บริษัทใหญ่รับมือได้ด้วยทีมกฎหมายและ CMP (Consent Management Platform) แต่บล็อกเกอร์รายบุคคลหรือธุรกิจขนาดเล็กกลับต้องแบกรับ ภาระทางกฎหมายและเทคนิค
- 3) การขาดอำนาจควบคุม: แม้จะมีตัวเลือกนอกเหนือจาก “Accept All” แต่ถ้อยคำกฎหมายที่ซับซ้อนและโครงสร้างเมนูที่ยาวก็จำกัดการเลือกของผู้ใช้อยู่ดี
ข้อเสนอใหม่: การจัดการความยินยอมที่มีเบราว์เซอร์เป็นศูนย์กลาง
- ผู้ใช้เลือก ค่าความพึงพอใจในการใช้ข้อมูล เพียงครั้งเดียวตอนตั้งค่าเบราว์เซอร์ครั้งแรก
- Essential Only: อนุญาตเฉพาะคุกกี้ที่จำเป็น
- Performance & Analytics: อนุญาตการวิเคราะห์ประสิทธิภาพบนพื้นฐานข้อมูลนิรนาม
- Personalized Experience: อนุญาตคอนเทนต์และโฆษณาที่ปรับให้เหมาะกับแต่ละบุคคล
- Custom: ปรับแต่งเองตามแต่ละรายการ
- เบราว์เซอร์จะ อนุญาตหรือบล็อกคุกกี้ของแต่ละเว็บไซต์โดยอัตโนมัติ ตามตัวเลือกของผู้ใช้
- คุกกี้ที่มีวัตถุประสงค์ไม่ชัดเจน เบราว์เซอร์จะ บล็อกอัตโนมัติ
- เปลี่ยนจุดโฟกัสของการกำกับดูแลจาก เว็บไซต์นับล้านแห่ง → ผู้พัฒนาเบราว์เซอร์รายใหญ่ไม่กี่ราย ทำให้การกำกับดูแลในโลกจริงเป็นไปได้มากขึ้น
การเปลี่ยนแปลงที่คาดหวัง
- สำหรับผู้ใช้: ตั้งค่าเพียงครั้งเดียวก็ได้ ประสบการณ์ใช้อินเทอร์เน็ตที่สะอาดและรวดเร็วขึ้น พร้อมมีอำนาจควบคุมข้อมูลอย่างแท้จริง
- สำหรับผู้ดูแลเว็บไซต์: หมดภาระการจัดการแบนเนอร์คุกกี้และ CMP ช่วยให้ ประสิทธิภาพเว็บดีขึ้น และเพิ่มประสิทธิผลในการพัฒนา
- สำหรับหน่วยงานกำกับดูแล: จากเดิมที่ต้องติดตามเว็บไซต์จำนวนมาก เปลี่ยนเป็น โครงสร้างที่ง่ายขึ้นซึ่งเพียงเฝ้าดูผู้พัฒนาเบราว์เซอร์ ก็เพียงพอ ทำให้การบังคับใช้กฎหมายมีประสิทธิภาพมากขึ้น
จากระบบซับซ้อนสู่มาตรฐานที่เรียบง่าย
- ปัจจุบันอินเทอร์เน็ตติดอยู่ใน ระบบนิเวศที่ซับซ้อน ซึ่งแต่ละเว็บไซต์ต่างนำ CMP ของตัวเองมาติดตั้ง
- เครื่องมือจำนวนมาก เครือข่ายโฆษณา และบริการวิเคราะห์ต่างโต้ตอบกันจนเกิด ความพยายามซ้ำซ้อนและความสับสน
- แนวทางที่อิงเบราว์เซอร์รวมสิ่งเหล่านี้เข้าด้วยกันเป็น มาตรฐานเดียว
- การเลือกของผู้ใช้ → เบราว์เซอร์ → นำไปใช้เหมือนกันกับทุกเว็บไซต์
- ผู้เขียนย้ำว่าแนวคิดนี้ ไม่ใช่การสร้างระบบใหม่ แต่เป็นการ รื้อโครงสร้างปัจจุบันที่ซับซ้อนเกินความจำเป็น
2 ความคิดเห็น
ถ้าจัดการล่วงหน้าทั้งหมดในเบราว์เซอร์ได้ก็น่าจะสะดวกมากเลยนะครับ
ความคิดเห็นจาก Hacker News
อยากบอกว่าแก่นของปัญหานี้ไม่ใช่ตัวกฎหมาย แต่เป็นการที่เว็บไซต์ซึ่งไม่อยากเลิกติดตามผู้ใช้ จงใจปฏิบัติตามกฎหมายแบบถ่วงเวลาและสร้างความลำบาก
ย้ำว่าการต้องเสียเวลา 5 นาทีไล่หาปุ่ม “ยอมรับอย่างถูกกฎหมาย” ไม่ใช่ทางเลือกที่พึงประสงค์ แต่ตัวเลือก “ปฏิเสธทั้งหมด” ต่างหากคือเจตนาเดิม
ช่วงหลังศาลเริ่มบังคับใช้อย่างจริงจัง เลยทำให้ปุ่ม “ปฏิเสธทั้งหมด” ค่อย ๆ หายไป
ในที่สุดแล้ว ผลลัพธ์ที่ดีที่สุดคือเว็บไซต์ต้องปฏิบัติตามเฮดเดอร์ Do-Not-Track และทำให้สภาพแวดล้อมเว็บไม่มีทั้งการติดตามและไม่มีแบนเนอร์เลย
ลิงก์ที่เกี่ยวข้อง
คิดว่าปัญหาคือกฎหมายเขียนมาแย่ 100% จึงเปิดช่องให้มีการปฏิบัติตามแบบไม่สุจริตเช่นนี้ได้
ถ้าต้องการผลลัพธ์ที่ดี ก็ควรเขียนกฎหมายให้ดีจนไม่สามารถถูกนำไปใช้ในทางที่ผิดได้
เว็บไซต์ก็จะเดินหน้าหากำไรสูงสุดตามคาดอยู่แล้ว ดังนั้นควรเขียนกฎหมายให้ดีกว่านี้
คิดว่าทั้งกฎหมาย แนวทางปฏิบัติ และเจตนารมณ์ต่างก็ชัดเจนอยู่แล้ว
ปัญหาใหญ่ที่เหลือจริง ๆ คือโครงสร้างที่ “บริษัทขนาดยักษ์” เพียงไม่กี่รายควบคุมเบราว์เซอร์อยู่
แม้แต่ Apple หรือ Google ก็ไม่มีความตั้งใจจะเปลี่ยนการติดตามให้เป็นแบบ opt-in
มองว่าถ้าจะให้สถานการณ์ดีขึ้นในอนาคต ต้องลดอิทธิพลของผู้เล่นรายใหญ่ในระบบนิเวศเบราว์เซอร์ และขยายนโยบายอย่าง DMA เพื่อกันการใช้อำนาจผูกขาดตอบโต้
ยังมองว่าความต่างระหว่างวัฒนธรรมการฟ้องร้องแบบอเมริกันกับวัฒนธรรมยุโรปก็มีส่วนในปัญหานี้ด้วย
ถ้าแค่เรียกใช้ Google Fonts หนึ่งตัวไม่ได้ทำให้ข้อมูลรั่วไปถึง “พาร์ตเนอร์” หลายร้อยราย ป๊อปอัปขอความยินยอมส่วนใหญ่ก็คงไม่จำเป็น
มีข้อโต้แย้งว่า การถามยินยอมเรื่องคุกกี้ทุกเว็บไซต์ก็เป็นภาระหนักเหมือนกัน
การปฏิบัติตามกฎหมายเองกลับทำลายประสบการณ์ผู้ใช้ และทำให้การใช้อินเทอร์เน็ตเหนื่อยขึ้น
สุดท้ายคนที่ออกกฎหมายก็ดูเหมือนจะใกล้ชิดฝั่งองค์กรธุรกิจมากกว่าจะสนใจประสบการณ์ผู้ใช้หรือความเป็นส่วนตัวจริง ๆ
โครงสร้างที่ติดตามเป็นค่าเริ่มต้นนั้นยอมรับไม่ได้
คิดว่าควรบังคับตามกฎหมายให้ต้องเคารพคำขอ Do-Not-Track และกำหนดค่าปรับเป็นสัดส่วนจากรายได้ทั่วโลก
มองว่าความรับผิดชอบอยู่ที่ผู้ให้บริการโฆษณามากกว่าผู้ดูแลเว็บไซต์รายบุคคล
บริษัทโฆษณาบังคับให้ต้องใช้ตัวจัดการความยินยอมสำหรับการติดตามโฆษณาหากต้องการรับโฆษณา
เคยพยายามทำฟอร์มขอความยินยอมเอง แต่ TCF ซับซ้อนเกินไป และโซลูชันที่ไม่ใช่แบนเนอร์ยินยอมจากผู้ให้บริการโฆษณาแทบไม่ได้รับการรองรับเลย
สุดท้ายเมื่อรายได้โฆษณาเป็นตัวจ่ายค่าเซิร์ฟเวอร์ ก็ยากที่คนทำเว็บเป็นงานอดิเรกจะรับภาระระบบซับซ้อนแบบนี้ไหว
ถ้ามีตัวเลือกที่ง่ายและเคารพความเป็นส่วนตัวผู้ใช้มากกว่านี้ก็คงดี และคิดว่าโครงสร้างที่ควบคุมได้ง่ายจากฝั่งเบราว์เซอร์คืออุดมคติ
คิดว่าการเก็บข้อมูลลักษณะนี้ควรถูกห้ามไปเลย
สงสัยว่าจะมีใครกดตกลงกับข้อความว่า “คุณยินยอมให้แชร์ข้อมูลของคุณกับเว็บไซต์พาร์ตเนอร์ 500 แห่งหรือไม่?” จริงหรือ
มองว่าควรห้ามบริษัทใช้คำว่า “แชร์กับพาร์ตเนอร์” เพื่อเรียกการส่งข้อมูลต่อให้พวกสแปมเมอร์
คำว่า “พาร์ตเนอร์” มีนัยของความไว้ใจและความเท่าเทียม แต่ความจริงไม่ได้เป็นแบบนั้นเลย
ถ้าเป็นการขายข้อมูล ก็ควรมีกฎหมายบังคับให้ระบุข้อความนั้นอย่างชัดเจน และควรแจ้งความเสี่ยงเรื่องข้อมูลรั่วไปสู่สแปมอย่างเป็นรูปธรรมด้วย
ควรถามกันตรง ๆ แบบ “คุณยินยอมให้ขายข้อมูลของคุณให้บริษัทใดก็ได้หรือไม่? คุณยินยอมรับความเสี่ยงที่ข้อมูลจะถูกใช้เพื่อสแปมหรืออาชญากรรมในอนาคตหรือไม่? ใช่/ไม่ใช่”
เคยได้ยินว่าโฆษณาแบบเจาะกลุ่มสร้างรายได้มากกว่าโฆษณาทั่วไป 3 เท่า
ส่วนตัวคิดว่าต่อให้ข้อมูลของตนถูกติดตาม ถ้าแลกกับการเห็นโฆษณาน้อยลงเหลือ 1 ใน 3 ก็ยังดีกว่า
ได้เห็นแต่โฆษณาที่น่าสนใจอย่างคีย์บอร์ดหรือเสื้อผ้าผู้ชาย และหลีกเลี่ยงโฆษณาไร้สาระ ก็ดูโอเค
ปัญหาโฆษณากับการสอดส่องมักใช้ตรรกะแบบเดียวกันเสมอ
ไม่มีใครอยากรับโฆษณา แต่กลุ่มล็อบบี้ทรงอิทธิพลจะอ้างผลกระทบทางเศรษฐกิจและ GDP ที่ลดลงเพื่อต่อต้านการยกเลิกโฆษณา
เรื่องการสอดส่องก็เหมือนกัน ตรรกะว่า “เพิ่มความปลอดภัย” ใช้ได้ผลในทางการเมือง
คิดว่าแค่อาศัยบริบทของเว็บไซต์หรือหัวข้อก็เพียงพอแล้วที่จะทำโฆษณาให้เกี่ยวข้องได้
เช่น เว็บไซต์ hackerspace ก็แสดงโฆษณา Raspberry Pi, เว็บไซต์เพลงร็อกก็แสดงโฆษณาแผ่นไวนิลหรือแท็บกีตาร์แทนได้
มีเหตุผลง่าย ๆ มากที่ผู้ใช้จำนวนมากยินยอม นั่นคือพวกเขาต้องการเข้าถึงคอนเทนต์ที่อยู่บนโมเดลโฆษณา-สอดส่อง
ประเด็นการยืนยันอายุก็เหมือนกัน
เฮดเดอร์ DNT เคยถูกเสนอ แต่เรียบง่ายเกินไปและสุดท้ายก็ไม่เคยถูกใช้งานจริง เอกสารที่เกี่ยวข้อง
อุตสาหกรรมต้องการรักษาโครงสร้างที่ซับซ้อนแบบนี้ไว้เพื่อเพิ่มอัตราการยินยอมของผู้ใช้ให้สูงสุด
แนวทางที่ยึดเบราว์เซอร์เป็นศูนย์กลางน่าจะดีที่สุดทั้งในเชิงเทคนิคและประสบการณ์ผู้ใช้ แต่ธุรกิจโฆษณาและธุรกิจเก็บข้อมูลมีแรงจูงใจเต็มที่ที่จะขัดขวางการควบคุมจากฝั่งเบราว์เซอร์โดยตรง
สุดท้ายในเมื่อพวกนี้ครอบงำเว็บส่วนใหญ่ การแก้แบบฝั่งเบราว์เซอร์จึงเกิดขึ้นจริงได้ยาก
ที่จริงฟังก์ชัน DNT มีอยู่ในเบราว์เซอร์ แต่เว็บไซต์เลือกจะไม่สนใจ
ตามหน้าช่วยเหลือของ Chrome แม้จะส่งคำขอ DNT ได้ แต่เว็บไซต์ส่วนใหญ่ก็ยังเก็บข้อมูลอยู่โดยอ้างว่า “เพิ่มความปลอดภัย”, “ให้บริการคอนเทนต์ บริการ และโฆษณา”, หรือ “รายงานสถิติ”
แทบทุกเว็บเซอร์วิสรวมถึง Google ไม่ตอบสนองต่อคำขอ DNT และในทางปฏิบัติสิ่งที่ทำได้จากฝั่งเบราว์เซอร์จริง ๆ ก็มีแค่ลบคุกกี้ทั้งหมดเมื่อปิดเบราว์เซอร์
เอกสารที่เกี่ยวข้อง
การยืนยันอายุและการยินยอมด้านความเป็นส่วนตัวทำงานได้ดีที่สุดเมื่อจัดการจากฝั่งเบราว์เซอร์
เช่นกรณีของ P3P การควบคุมจากระดับเบราว์เซอร์/OS สามารถกระแทกโครงสร้างการติดตามของอุตสาหกรรมได้อย่างรุนแรง จึงคิดว่าบริษัทใหญ่ ๆ กลับจงใจเมินหรือขัดขวางเพราะกลัวโซลูชันแบบนี้จะเติบโต
ผลคือผู้ดูแลเว็บไซต์รายบุคคลต้องมารับภาระกฎระเบียบที่ซับซ้อนเกินควรซ้ำแล้วซ้ำเล่า
มีมุกอยู่เรื่องหนึ่งว่า ถ้าจัดการเฮดเดอร์ DNT ให้ถูกต้องได้จริง ก็ไม่จำเป็นต้องมีหน้าขอความยินยอมเลย
แค่ไม่ใช้ฟังก์ชันที่ต้องขอความยินยอมก็พอ
คิดว่าถึงเวลาที่เบราว์เซอร์ควรถูกมองเป็นสาธารณูปโภคสาธารณะ
เมื่อแทบไม่มีข้อดีจากการเป็นทรัพย์สินของเอกชน ก็สมควรยอมรับให้เป็นของสาธารณะ
ต่อข้อเสนอว่า “ให้เบราว์เซอร์ทำหน้าที่เป็นผู้บังคับใช้ความเป็นส่วนตัว และให้ผู้ใช้เลือกแค่ครั้งเดียวในเบราว์เซอร์ จากนั้นทุกเว็บไซต์ต้องปฏิบัติตามตัวเลือกนั้นโดยอัตโนมัติ”
มีการเตือนว่าเบราว์เซอร์ก็เป็นเพียงซอฟต์แวร์ที่ผู้ใช้ติดตั้ง จึงตั้งคำถามว่าการให้รัฐเข้ามาแทรกแซงเหมาะสมจริงหรือไม่
ถ้าใช้ตรรกะนี้ ก็จำเป็นต้องมีข้อบังคับเพิ่มให้เว็บไซต์ต้องเปิดเผยเมทาดาทาของวัตถุประสงค์การใช้คุกกี้แต่ละประเภท และสุดท้ายก็กลายเป็นกฎเพิ่มสำหรับผู้ดูแลเว็บไซต์อีกอยู่ดี
มีการกล่าวถึงว่าปัจจุบันก็มีฟีเจอร์ของเบราว์เซอร์อย่างโหมดไม่ระบุตัวตนและ multi-account containers อยู่แล้ว
ลิงก์ที่เกี่ยวข้อง
ถามกลับว่าทำไมการแทรกแซงจากรัฐบาลถึงทำไม่ได้
ตั้งคำถามว่าระหว่างการกำกับโค้ดของเว็บไซต์กับการกำกับโค้ดของเบราว์เซอร์นั้น มีความแตกต่างอย่างมีนัยจริงหรือไม่
มองว่าผู้ให้บริการเบราว์เซอร์ที่มีผู้ใช้มากที่สุดก็เป็นบริษัทโฆษณาไปพร้อมกัน จึงมีผลประโยชน์ทับซ้อนอย่างชัดเจน
คิดว่าไม่ควรให้เบราว์เซอร์เป็นคนแก้ปัญหานี้
แบนเนอร์คุกกี้โด่งดังในฐานะปัญหาเรื่องการยินยอมให้ใช้คุกกี้ติดตาม แต่จริง ๆ แล้วเป็นโครงสร้างที่ต้องขอความยินยอมต่อการมีส่วนร่วมของบุคคลที่สามทุกแบบ เช่น โฆษณา แม้สิ่งนั้นจะไม่ได้จำเป็นทางเทคนิคก็ตาม
เบราว์เซอร์ไม่สามารถแยกได้ว่า 3rd party รายใดจำเป็นจริงในทางเทคนิค สุดท้ายก็เป็นเรื่องที่แต่ละเว็บไซต์ต้องเป็นผู้บอกเอง
ปัญหาซับซ้อนขึ้นอีกเพราะความรับผิดชอบของผู้ให้บริการเว็บไซต์กับบุคคลที่สามปะปนกันอยู่
คิดว่าถ้าแค่บังคับตามกฎหมายให้เว็บไซต์ปฏิบัติตามเฮดเดอร์ DNT ปัญหาก็จบได้ทันที
ปัญหาเรียบง่ายก็ควรใช้ทางออกที่เรียบง่าย
เว็บเบราว์เซอร์ไม่มีทางรู้เลยว่าองค์ประกอบแต่ละอย่างในเว็บไซต์ถูกใส่มาด้วยเจตนาอะไร ว่าจำเป็นทางเทคนิคหรือเป็นการติดตาม
ข้อมูลแบบนี้มีแต่ผู้ดูแลเว็บไซต์เท่านั้นที่รู้
กฎหมายคุกกี้ไม่ได้ครอบคลุมแค่คุกกี้ แต่ยังรวมถึงวิธีติดตามระบุตัวตนแบบอื่น ๆ ทั้งหมด เช่น pixel gif และ JS fingerprinting
หากกฎหมายบังคับให้คุกกี้ต้องมีแท็กว่า “third-party” และ “strictly necessary” ถ้าติดแท็กผิดก็สามารถลงโทษแบบละเมิด GDPR ได้เหมือนตอนนี้
เบราว์เซอร์ก็อาจใช้แท็กเหล่านี้เพื่อตั้งค่าว่าจะอนุญาตหรือปฏิเสธการติดตามรายเว็บไซต์ตามความต้องการของผู้ใช้
อาจมีตัวแสดงสถานะในแถบ URL คล้ายรูปกุญแจของ HTTP/HTTPS เพื่อให้เปลี่ยนการยินยอมเป็นรายเว็บไซต์ได้ในแบบเฉพาะบุคคล
แม้แต่ผู้ดูแลเว็บไซต์ขนาดเล็กเอง ก็สำคัญที่จะต้องเข้าใจพฤติกรรมของคุกกี้ที่มาจากเครือข่ายโฆษณาหรือเครื่องมือวิเคราะห์ที่ตนใช้อยู่ และติดแท็กให้ถูกต้อง
เวลาป๊อปอัปขอความยินยอมคุกกี้ทำงานน่ารำคาญ ฉันใช้วิธีปิดแท็บแล้วผ่านไปเลย
พบว่าการแจ้งเตือนคุกกี้กับคอนเทนต์คุณภาพต่ำแทบจะแปรผันตรงกัน เลยกลายเป็นช่วยประหยัดเวลาแทน
ทุกวันนี้แม้แต่เว็บไซต์แพทย์ยังมีแบนเนอร์คุกกี้
ถามว่าหมายถึงจะยอมทิ้งเว็บพวกนี้ไปด้วยหรือ
มองว่า Global Privacy Control (GPC) กำลังช่วยแก้ปัญหานี้อยู่แล้ว และ Firefox ก็ใช้งานเป็นตัวแทนของ Do Not Track แล้ว
ตอนนี้เหลือแค่ทำให้เว็บไซต์มีหน้าที่ตามกฎหมายที่จะต้องปฏิบัติตามมัน
ลิงก์เกี่ยวกับ GPC
คำแนะนำอย่างเป็นทางการของ Firefox
DNT ก็มีผลทางกฎหมายในสหภาพยุโรปอยู่แล้ว และ GPC ที่แค่เปลี่ยนชื่อก็ดูไม่ได้ต่างกันในเชิงพื้นฐาน
กฎหมายของบางรัฐในสหรัฐเขียนไว้ว่า ถ้าเบราว์เซอร์ส่งสัญญาณจากการตั้งค่าเริ่มต้นจะไม่นับเป็น "สัญญาณที่ถูกต้องตามกฎหมาย" และถ้าข้อผูกพันทางกฎหมายเข้มขึ้น GPC ก็อาจถูกทำให้ไร้ผลด้วยวิธีเดียวกันได้
สุดท้ายจึงชี้ว่ากฎหมายถูกเขียนมาให้เอื้อกับตัวติดตามอยู่ดี
เห็นด้วยว่า Firefox กำลังนำ GPC มาใช้ในเชิงเทคนิคก่อนที่จะมีการบังคับตามกฎหมาย
คิดว่าถ้าบริษัทเลิกติดตามไปเลย ก็ไม่จำเป็นต้องมีหน้าต่างขอความยินยอมแบบนี้
คิดว่าสหภาพยุโรปควรเป็นฝ่ายนำลงมือก่อน
แม้แต่เว็บไซต์อย่างเป็นทางการของคณะกรรมาธิการยุโรปก็ยังมีแบนเนอร์คุกกี้ จึงอาจต้องยอมรับว่าสหภาพยุโรปต้องเอาตัวติดตามออกจากเว็บไซต์ของตัวเองก่อน หรือไม่ก็กฎหมายนี้ซับซ้อนเกินกว่าจะใช้ได้จริง
ยังมีงานให้ทำอีกมาก
ดูเว็บไซต์คณะกรรมาธิการยุโรป
แต่บริษัทก็เป็นสิ่งมีชีวิตที่ขับเคลื่อนด้วยกำไรเสมอ
ตรงข้ามกับที่ผู้ใช้อาจคาดหวัง เรื่องการติดตามก็เช่นกัน ไม่มีข้อยกเว้นจากการเอากำไรก่อน
ในความเป็นจริง บริษัทคงไม่หยุดด้วยความสมัครใจ และถ้า “คุกกี้” ถูกห้าม ก็จะหันไปใช้วิธีติดตามแบบอื่น เช่น การทำ browser fingerprinting แล้วตามกลับมาอีก
คิดว่าการทำให้การติดตามทั้งหมดนี้ผิดกฎหมายไปเลยอาจเป็นมาตรการที่แก้ที่ต้นตอมากกว่า
เพราะแทบไม่มีผู้ใช้คนไหนยินยอมด้วยความสมัครใจจริง ๆ
ปัญหาของการออกกฎหมายคือคำว่า “การติดตาม” นิยามไม่ชัด ทำให้จากมุมมองผู้ดูแลเว็บไซต์ หลายครั้งต้องติดหน้าขอความยินยอมไว้เพื่อกันตัวเองไม่ให้ผิดกฎหมาย
แคลิฟอร์เนียออกกฎหมายให้เบราว์เซอร์ต้องมีการตั้งค่า opt-out ตั้งแต่ปี 2027 และปัจจุบันแคลิฟอร์เนีย คอนเนตทิคัต และโคโลราโดก็กำหนดให้ต้องเคารพคำขอ opt-out ที่ส่งผ่านเบราว์เซอร์หรือส่วนขยาย
นิวเจอร์ซีย์ก็เช่นกัน
กฎหมายของแคลิฟอร์เนีย
ประกาศทางการของคอนเนตทิคัตและโคโลราโด
FAQ กฎหมายความเป็นส่วนตัวของนิวเจอร์ซีย์
สงสัยว่ากฎหมายเหล่านี้สร้างผลลัพธ์ตามที่ตั้งใจไว้จริงหรือไม่
ถ้าไม่จริง ก็อยากถามว่าทำไมยังคงอยู่ และทำไมกฎหมายทุกฉบับไม่ถูกยกเลิกอัตโนมัติหากไม่พิสูจน์ความชอบธรรมของตัวเองอย่างต่อเนื่อง
ฉันก็เคยสงสัยคล้ายกัน และโดยส่วนตัวรู้สึกว่ากฎหมายเหล่านี้ทำให้ชีวิตกับการใช้อินเทอร์เน็ตของฉันไม่สะดวกขึ้นเล็กน้อย มากกว่าจะเห็นผลดีเชิงรูปธรรมชัดเจน
มีคนถามกลับว่าเกณฑ์ของคำว่า “บรรลุเป้าหมาย” คืออะไร
“ถ้าปฏิเสธคุกกี้แล้ว เว็บไซต์หยุดติดตามจริงไหม?” → บางแห่งก็หยุด บางแห่งก็ไม่หยุด
ถึงอย่างนั้นก็ยังมองว่าเป้าหมายของกฎหมายยังมีความชอบธรรมอยู่
ถ้าถามว่า GDPR มีประสิทธิผลไหม ก็สามารถตอบได้ว่ามี
ที่ที่เพิกเฉยอย่างสิ้นเชิงมีแต่บริษัทที่ไม่น่าเชื่อถือ และแม้แต่บริษัทที่ปฏิบัติตามแบบมีเจตนาไม่ดีก็เริ่มเสียชื่อเสียงมากขึ้นจนค่อย ๆ เปลี่ยนไป
เชื่อว่ายุคที่ข้อมูลผู้ใช้ไม่ได้รับการคุ้มครองได้จบลงแล้ว