Tòa án Đức cấm LinkedIn phớt lờ tín hiệu "Do Not Track"
(stackdiary.com)- Tòa án Khu vực Berlin phán quyết trong vụ kiện của vzbv, liên đoàn các tổ chức bảo vệ người tiêu dùng Đức, rằng một số cách xử lý dữ liệu của LinkedIn đã xâm phạm quyền kiểm soát của người dùng
- Thông báo của LinkedIn rằng họ vẫn tiếp tục theo dõi cho mục đích phân tích và marketing trong khi bỏ qua tín hiệu Do Not Track của trình duyệt có thể gây hiểu nhầm cho người dùng
- Cách tự động công khai hồ sơ bằng mặc định Profile Visibility cho tài khoản mới cũng bị cấm; để hiển thị với người không phải thành viên thì cần có sự đồng ý rõ ràng
- Một số phán quyết trước đó cũng đã xem xét là có vấn đề đối với việc gửi email không mong muốn tới người không phải thành viên và các điều khoản buộc từ bỏ một số quyền pháp lý nhất định
- Phán quyết lần này có thể trở thành tiền lệ, nhưng để Do Not Track thực sự là một cơ chế bảo vệ thì vẫn cần việc thực thi liên tục trên toàn EU
Phán quyết của tòa án Đức về các thực hành dữ liệu của LinkedIn
- Tòa án Khu vực Berlin đã cấm một số thực hành xử lý dữ liệu của nền tảng mạng lưới nghề nghiệp LinkedIn
- Vụ kiện được khởi xướng bởi liên đoàn các tổ chức bảo vệ người tiêu dùng Đức vzbv
- Tòa án cho rằng LinkedIn không thể phớt lờ tín hiệu Do Not Track được gửi từ trình duyệt của người dùng
- Tín hiệu Do Not Track truyền đạt rằng người dùng internet từ chối bị theo dõi hoạt động trực tuyến
- LinkedIn thông báo rằng dù nhận các tín hiệu này, họ vẫn thực hiện theo dõi trên website cho mục đích phân tích và marketing
- Tòa án cho rằng LinkedIn phải tôn trọng yêu cầu Do Not Track, vì vậy thông báo này là một hình thức truyền đạt gây hiểu nhầm
- Cài đặt mặc định tự động công khai hồ sơ của người dùng mới cũng bị cấm
- Giá trị mặc định Profile Visibility của LinkedIn khiến thông tin người dùng ở trạng thái công khai ngay sau khi tạo tài khoản
- Tòa án cho rằng việc công khai thông tin người dùng mà không có sự đồng ý là vi phạm quy định bảo vệ dữ liệu
- Hồ sơ của người dùng chỉ được hiển thị với người không phải thành viên khi người dùng đã đồng ý rõ ràng
- Một số phán quyết trước đây cũng đã cấm các thực hành khác của LinkedIn
- Gửi email không mong muốn tới người không phải thành viên
- Sử dụng các điều khoản buộc người dùng từ bỏ một số quyền pháp lý nhất định
Những thách thức còn lại trong việc thực thi Do Not Track
- vzbv xem quyết định lần này là một ví dụ xác nhận rằng người tiêu dùng có thể thực thi quyền kiểm soát dữ liệu cá nhân
- Khi người dùng bật Do Not Track, đó là một thông điệp rõ ràng rằng họ không muốn hoạt động trực tuyến của mình bị giám sát
- Quan điểm của họ là các nhà vận hành website phải tôn trọng tín hiệu này
- Bản thân phán quyết là một bước tiến, nhưng chỉ một phán quyết tại Đức thì khó có thể làm thay đổi lớn các thực hành quyền riêng tư của người dùng
- Do Not Track đã tồn tại từ nhiều năm trước, nhưng nhiều website vẫn phớt lờ nó mà hầu như không chịu hậu quả nào
- Vụ việc lần này có thể trở thành tiền lệ, nhưng cũng có khả năng chỉ dừng lại như một phán quyết đơn lẻ tại Đức
- Để có thay đổi thực chất, cần thực thi liên tục trên toàn EU
- Các cơ quan quản lý bị chỉ trích là cho đến nay chưa hành động đủ nhanh
- Ngay cả khi mọi website ở châu Âu đều tuân thủ, vẫn còn khả năng các công ty công nghệ chuyển hoạt động theo dõi xâm phạm ra ngoài châu Âu
- Các banner xin đồng ý cookie bị đánh giá là đã trở nên gần như một thủ tục hình thức
- Các biện pháp bảo vệ quyền riêng tư và đồng ý như Do Not Track phần lớn phụ thuộc vào việc doanh nghiệp tự nguyện tuân thủ
- Các doanh nghiệp theo đuổi lợi ích riêng sẽ tìm cách lách các quy tắc tăng cường quyền của người dùng
- Một số website có thể tỏ ra tôn trọng các tín hiệu như DNT, nhưng rất dễ lách bằng các lời nhắc xin đồng ý mang tính bề mặt
- Để có bảo vệ quyền riêng tư có ý nghĩa, cần xem xét lại cách website được xây dựng và cách chúng được kiếm tiền
- Silicon Valley có rất ít động lực để từ bỏ chủ nghĩa tư bản giám sát
- Big Tech nói về quyền riêng tư nhưng vẫn thu thập nhiều dữ liệu nhất có thể
- Nếu mô hình kinh doanh không thay đổi, các biện pháp tự nguyện như Do Not Track có thể chỉ còn là một cử chỉ tượng trưng
1 bình luận
Các ý kiến trên Hacker News
Phán quyết này rất tuyệt, và hy vọng nó sẽ được giữ nguyên trong kháng cáo có lẽ là không thể tránh khỏi. Cách rõ ràng nhất để loại bỏ thông báo cookie theo từng trang là biến DNT thành thứ có thể được thực thi bằng pháp luật.
Tôi điều hành một agency làm website cho các tổ chức phi lợi nhuận; nếu DNT được bật, chúng tôi không theo dõi và cũng không hiển thị thông báo cookie. Tuy vậy, tôi vẫn đang phân vân liệu có nên hiển thị một thông báo một lần rằng “chúng tôi đã kiểm tra thiết lập DNT và đã tắt theo dõi” hay không, vì sợ người dùng thấy không có thông báo cookie lại nghi ngờ “mặc định là đang theo dõi mình chăng”.
Làm vậy thì có khả năng người dùng sẽ đồng ý chỉ để thoát khỏi banner cookie, và website có thể lập luận rằng sự đồng ý cụ thể mà họ nhận được sẽ được ưu tiên hơn sự không đồng ý mang tính chung của DNT.
Tôi vẫn không hiểu vì sao các website không tìm được giải pháp quảng cáo tự vận hành thay vì bên thứ ba. Các trang lớn trông như một mớ hỗn độn vì quảng cáo được đặt vô tội vạ.
Quảng cáo nên được con người lựa chọn cẩn thận và đặt lên trang như quảng cáo trên tạp chí hay báo giấy; như vậy trải nghiệm sẽ tốt hơn và cũng không cần theo dõi. Kỳ vọng rằng phải theo dõi mới có “quảng cáo tốt” đã không thành hiện thực, và rốt cuộc việc chọn sản phẩm mà mọi người có thể muốn mua vẫn nên do người có gu làm.
Vì vậy họ mua theo gói từ các nhà cung cấp lớn, và các nhà cung cấp đó cung cấp thống kê tập trung. Đây cũng là cơ chế để giữ chủ sở hữu phương tiện truyền thông ở mức trung thực nhất định, vì gian lận nhấp chuột và gian lận hiển thị có thể lan tràn. Luôn có cách rút ngân sách mà không cung cấp thứ nhà quảng cáo muốn, và người dùng cuối bị kẹt trong cuộc chạy đua vũ trang giữa kẻ gian và marketer, giữa marketer và người dùng. Phán quyết này trả lại một chút lẽ thường cho những người đã tự tuyên bố mình là bên không tham chiến.
Kéo theo đó là những việc như tìm nhà quảng cáo, đàm phán đơn giá, chuẩn bị báo cáo về vị trí quảng cáo và phản hồi, phát hiện gian lận nhấp chuột, thuyết phục đối tác quảng cáo xử lý gian lận, và thuyết phục họ rằng tiền theo hợp đồng rồi cũng sẽ được trả vào lúc nào đó. Nhà quảng cáo lại muốn đối chiếu các báo cáo đó với log về mức độ quan tâm chảy vào hệ thống của họ.
Nếu đứng ở góc nhìn người mua quảng cáo, khi một website bất kỳ nói sẽ hiển thị quảng cáo của tôi, làm sao tôi biết mình sẽ nhận được gì?
Cuối cùng cũng xong. Header Do Not Track là sự từ chối đồng ý ở mức tối hậu. Đó là một lời “không” rõ ràng, và là một phần của request header nên máy chủ không thể nói rằng mình không biết.
Việc web biến thành mớ hỗn loạn pop-up xin đồng ý dù đã có Do Not Track cho thấy ác ý của các công ty này. Rõ ràng họ đã cố lách ý chí của người dùng, và tệ hơn là còn biến nó thành một bit bổ sung để theo dõi. Thật tốt khi đã có tiền lệ pháp lý.
Sẽ tốt nếu trình duyệt có cách quy định rõ điều này, nhưng như thế tất yếu cũng mở đường cho danh sách ngoại lệ. Diễn giải một cách cực đoan, tuân thủ DNT thậm chí có thể đồng nghĩa với việc không thể dùng các trang vốn cần đăng nhập.
Hầu hết mấy thứ nhảm nhí về hợp đồng ngụ ý dùng để định nghĩa quan hệ giữa người tiêu dùng và doanh nghiệp đều là lý thuyết pháp lý rác rưởi. Đáng lẽ ngay từ đầu không nên được công nhận
Việc hệ thống pháp luật đã cho phép và ủng hộ điều này cho thấy triết lý và đạo đức của giới luật gia mong manh về mặt trí tuệ đến mức nào. Các doanh nghiệp dùng những thứ như điều khoản sử dụng, thỏa thuận cấp phép người dùng cuối như bùa chú, đặc biệt trong các tương tác số, nhưng đó không phải là sự đồng thuận mà chỉ là một nghi thức lố bịch nhằm tước đoạt quyền của người dùng và người tiêu dùng. Nếu một quyền có thể bị tước bằng điều khoản, thì ngay từ đầu quyền đó đã không tồn tại. Chính khái niệm “theo thỏa thuận” trong tình huống này là giả tạo, nhưng nếu nhất thiết phải như vậy thì cũng có thể nghiêng bàn cờ theo hướng ngược lại. Kiểu như “Bằng việc cung cấp trang web cho trình duyệt này, bạn đồng ý với những điều sau…”. Ngay khi đặt cookie hoặc ghi dữ liệu, có thể tạo ra các mặc định giả pháp lý có lợi cho người dùng. Điều kiện rằng bạn phải đồng ý với X trước khi dùng sản phẩm đã mua nên bị vô hiệu, và nếu việc tiết lộ dữ liệu hay đồng ý điều khoản là điều kiện để sử dụng sản phẩm, thì người tiêu dùng phải có quyền hoàn tiền toàn bộ vô thời hạn. Nếu phải đồng ý với một hợp đồng cưỡng ép được thiết kế để không ai đọc mới dùng được thiết bị, thì ít nhất người dùng phải có quyền từ chối và được hoàn tiền đầy đủ bất cứ lúc nào, hoặc tối thiểu thỏa thuận đó phải bị vô hiệu hóa
Thỏa thuận cấp phép người dùng cuối phải được đưa ra trước khi người dùng có được ứng dụng hoặc thiết bị. Vì vậy Steam yêu cầu chấp nhận EULA của bên thứ ba trước khi tải game, và hiển thị để có thể đọc EULA của bên thứ ba trong một thanh màu vàng nổi bật trên trang cửa hàng. Những thứ như “liên kết EULA ở mặt sau hộp” thì không được phép. Và ngay cả trong trường hợp đó, phần lớn nội dung EULA vượt quá các điều khoản liên quan đến trách nhiệm thường cũng bất hợp pháp, vì nó cố cấm những quyền vốn đã có. Theo tôi biết, Mỹ gần như là quốc gia duy nhất nơi loại EULA mở bao bì này có ích hơn giấy vệ sinh hạng sang. Tuy nhiên tôi không phải luật sư
Tin tốt. Giờ tôi muốn xem liệu vấn đề này có được đưa ra tòa án EU nếu bị thách thức hay không. Tuy nhiên ngành quảng cáo có lẽ sẽ muốn chiến đấu theo từng nước hơn là mạo hiểm thua một lần cho toàn EU
Nếu vụ này ở Đức lên tới Tòa án Tư pháp Liên bang (BGH), họ sẽ “hỏi” Tòa án Công lý Liên minh châu Âu về cách diễn giải luật EU áp dụng, trong trường hợp này là GDPR, và tòa án các nước khác cũng sẽ cân nhắc tiền lệ đó. Nếu LinkedIn không kháng cáo, họ phải tuân theo phán quyết này, và ngay cả khi đó, việc tòa án quốc gia tham khảo án lệ bên kia biên giới cũng không hiếm
Có lẽ phải tranh tụng theo từng nước để khiến các nước áp dụng cách diễn giải này, nhưng nó 100% sẽ trở thành tiền lệ cho các nước EU khác
Theo tôi hiểu, LinkedIn không bị buộc phải tôn trọng header DNT trong quá trình xử lý thực tế. Họ chỉ bị cấm tuyên bố rằng họ không tôn trọng DNT vì header DNT không có ràng buộc pháp lý
Tòa án không buộc LinkedIn thực sự tôn trọng hoặc ít nhất cân nhắc header DNT. Là người bản ngữ tiếng Đức, tôi cũng hiểu bài viết này của heise online, vốn thường đáng tin cậy, theo hướng đó: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...
Thứ nhất, họ không xác định đủ cụ thể DNT chính xác có nghĩa là gì. Đặc biệt, vụ kiện không giới hạn ở header DNT mà đề cập đến mọi loại tín hiệu cấu hình do trình duyệt gửi. Thứ hai, họ mô tả quá rộng những hành vi LinkedIn phải dừng khi gặp các tín hiệu như vậy. Nếu phán quyết được giữ nguyên, rõ ràng nó dường như mở cửa cho các vụ kiện trong tương lai, và cũng có thể hy vọng các công ty bị nhắm tới sẽ dự liệu điều này mà điều chỉnh hành vi, nhưng tôi không kỳ vọng nhiều
[1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
Tuy nhiên bản thân phán quyết nói về tuyên bố đó chứ không phải việc có tôn trọng DNT hay không, nên điểm đó là đúng
Vấn đề luôn thấy khi bàn về theo dõi là phạm vi của từ này quá rộng. Ví dụ có ba trường hợp: chủ cửa hàng quan sát khách để ngăn trộm cắp và theo dõi lộ trình di chuyển để bố trí hàng hóa; cửa hàng trực tuyến theo dõi mọi người xem sản phẩm nào và giỏ hàng nào bị bỏ nhiều nhất; mạng quảng cáo toàn cầu nhận phần lớn hoạt động duyệt web trên khắp Internet để tạo hồ sơ quảng cáo
Ở đâu đó trên trục này, chẳng phải khác biệt về quy mô sẽ tạo ra khác biệt về bản chất sao? Cá nhân tôi thấy việc quan sát những gì người dùng làm trên website của mình là ổn, nhưng khi dữ liệu được chia sẻ cho bên thứ ba thì cần có sự đồng ý rõ ràng
Hồ sơ quảng cáo mà Google nắm giữ có thể được xem và chỉnh sửa trực tiếp [1] [2]. Tôi bật nó lên vì hơi tò mò muốn biết họ sẽ tìm ra gì, nhưng cho đến nay các chủ đề quảng cáo rất chung chung và không có gì đáng lo
[1] https://myadcenter.google.com/
[2] chrome://settings/adPrivacy/interests (khi dùng Chrome trên máy tính để bàn)
Nếu đối tượng bị theo dõi là con người, cần có sự đồng ý của người đó. Nếu đối tượng bị theo dõi là vật vô tri, nhìn chung có khả năng là ổn. Tuy nhiên, nếu thông qua việc theo dõi vật vô tri mà lại theo dõi con người, thì phải có sự đồng ý của người đó
“Do Not Track đang được bật trong trình duyệt của bạn, nên chúng tôi không thể cung cấp nội dung này”
Liệu có bao gồm cả những trình duyệt bật header DNT mặc định không? Tôi nhớ Edge đời đầu hoặc Internet Explorer về sau gửi header này theo mặc định, và quảng cáo cũng từng tuyên bố như vậy
Hình như đặc tả khi đó nói rằng có thể bỏ qua header nếu nó luôn được gửi hoặc không phải do người dùng bật
Giả sử dì Agatha đọc về thiết lập DNT trên tạp chí, vào phần cài đặt trình duyệt và thấy nó đã được bật sẵn nên không làm gì cả. Điều đó không khác gì chú Ulysses dùng một trình duyệt khác có mặc định tắt, rồi vào phần cài đặt để bật lên. Nếu trên hộp thư của tôi có dán nhãn không muốn nhận quảng cáo không mong muốn, thì không cần phải cố suy đoán ai đã dán nhãn đó
Cũng có thể lập luận rằng bản thân việc dùng một trình duyệt có header DNT được đặt mặc định đã là một quyết định về quyền riêng tư thông qua việc chọn trình duyệt đó. Các công ty quảng cáo không muốn lập luận như vậy; họ muốn người dùng phải opt-out trên mọi trình duyệt. Lý tưởng nhất là họ muốn cứ bỏ qua hẳn chính header đó, đúng như những gì đã xảy ra sau khi Microsoft bật mặc định trong Explorer
Tình huống Internet Explorer ban đầu thì khác, vì nó được cài sẵn trong hệ điều hành. Ngay cả ngày nay việc người tiêu dùng có quyền chọn hệ điều hành trên một số phần cứng nhất định hay không vẫn thường đáng nghi, và thời đó có lẽ trong nhiều trường hợp còn gần với “không có” hơn
Có vẻ như chưa ai nhắc đến Global Privacy Control. Về bản chất, đây là một HTTP header được thiết kế để có hiệu lực ràng buộc pháp lý theo CCPA, và khác với DNT
Firefox có thiết lập để bật nó, ít nhất là trong bản Beta. Tham khảo:
https://globalprivacycontrol.org/
https://global-privacy-control.glitch.me/
https://privacycg.github.io/gpc-spec/
https://www.huntonprivacyblog.com/2021/07/15/california-atto...