जर्मन अदालत ने LinkedIn को "Do Not Track" सिग्नल अनदेखा करने से रोका

 (stackdiary.com)
1 पॉइंट द्वारा GN⁺ 2023-11-01 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • बर्लिन रीजनल कोर्ट ने जर्मन उपभोक्ता संगठनों के महासंघ vzbv की ओर से दायर मुकदमे में माना कि LinkedIn की कुछ data processing practices यूज़र के नियंत्रण अधिकारों का उल्लंघन करती हैं
  • ब्राउज़र के Do Not Track सिग्नल को अनदेखा करते हुए analytics और marketing tracking जारी रखने की LinkedIn की सूचना यूज़र्स को भ्रमित कर सकती है
  • नए accounts में Profile Visibility की default setting के तहत profile को अपने-आप public करने का तरीका भी प्रतिबंधित किया गया, और non-members को दिखाने के लिए explicit consent ज़रूरी है
  • पहले के कुछ फैसलों में non-members को अनचाहे emails भेजने और कुछ कानूनी अधिकार छोड़ने को मजबूर करने वाली terms को भी समस्या माना गया था
  • यह फैसला precedent बन सकता है, लेकिन Do Not Track को वास्तविक सुरक्षा उपाय बनने के लिए पूरे EU में लगातार enforcement की जरूरत होगी

LinkedIn की data practices पर जर्मन अदालत का फैसला

  • बर्लिन रीजनल कोर्ट ने professional networking platform LinkedIn की कुछ data processing practices पर रोक लगाई
  • मुकदमा जर्मन उपभोक्ता संगठनों के महासंघ vzbv ने दायर किया था
  • अदालत ने माना कि LinkedIn यूज़र के ब्राउज़र से भेजे जाने वाले Do Not Track सिग्नल को अनदेखा नहीं कर सकता
    • Do Not Track सिग्नल यह बताता है कि internet user अपनी online activity की tracking से इनकार करता है
    • LinkedIn ने बताया था कि ऐसे सिग्नल मिलने के बावजूद वह website पर analytics और marketing उद्देश्यों के लिए tracking करता है
    • अदालत ने माना कि LinkedIn को Do Not Track requests का सम्मान करना चाहिए, इसलिए यह सूचना भ्रामक communication है
  • नए यूज़र्स की profile को अपने-आप public करने वाली default setting पर भी रोक लगाई गई
    • LinkedIn की Profile Visibility default setting account बनने के तुरंत बाद user information को public कर देती है
    • अदालत ने माना कि consent के बिना user information को public करना data protection regulations का उल्लंघन है
    • यूज़र की profile non-members को दिखे, इसके लिए यूज़र का explicit consent जरूरी है
  • पहले के कुछ फैसलों में भी LinkedIn की अन्य practices पर रोक लगाई गई थी
    • non-members को अनचाहे emails भेजना
    • ऐसी terms का उपयोग करना जो user को कुछ legal rights छोड़ने के लिए मजबूर करें

Do Not Track enforcement की बाकी चुनौतियां

  • vzbv इस निर्णय को ऐसा मामला मानता है जो पुष्टि करता है कि consumers personal data पर नियंत्रण का अधिकार इस्तेमाल कर सकते हैं
    • जब user Do Not Track activate करता है, तो वह साफ संदेश भेजता है कि वह अपनी online activity की निगरानी नहीं चाहता
    • रुख यह है कि website operators को ऐसे signals का सम्मान करना चाहिए
  • फैसला अपने-आप में प्रगति है, लेकिन सिर्फ एक जर्मन ruling से user privacy practices में बड़ा बदलाव आना मुश्किल है
    • Do Not Track कई सालों से मौजूद है, लेकिन कई sites ने बिना किसी खास परिणाम के इसे अनदेखा किया है
    • यह मामला precedent बन सकता है, लेकिन यह भी संभव है कि यह जर्मनी का एक अलग-थलग फैसला बनकर रह जाए
  • वास्तविक बदलाव के लिए पूरे EU में लगातार enforcement जरूरी है
    • regulators की आलोचना हुई है कि वे अब तक पर्याप्त तेजी से नहीं चले
    • यूरोप की सभी sites compliance करें तब भी यह संभावना बनी रहती है कि tech companies intrusive tracking को यूरोप के बाहर ले जाएं
    • cookie consent banners को अब एक औपचारिक प्रक्रिया जैसा माना जाने लगा है
  • Do Not Track जैसी privacy और consent protections काफी हद तक कंपनियों की voluntary compliance पर निर्भर करती हैं
    • अपने हित साधने वाली कंपनियां user अधिकारों को मजबूत करने वाले rules से बचने के तरीके खोजती हैं
    • कुछ sites DNT जैसे signals का सम्मान करती दिख सकती हैं, लेकिन superficial consent prompts के जरिए इन्हें bypass करना आसान है
  • meaningful privacy protection के लिए sites बनाने और monetize करने के तरीकों पर फिर से विचार करना जरूरी है
    • Silicon Valley के पास surveillance capitalism छोड़ने के लिए कम incentive है
    • Big Tech privacy की बात करते हुए भी जितना संभव हो उतना data collect करता है
    • business model नहीं बदला तो Do Not Track जैसे voluntary measures खोखले gestures तक सीमित रह सकते हैं

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2023-11-01
Hacker News की राय

  • यह फैसला शानदार है, और उम्मीद है कि शायद अपरिहार्य appeal में भी कायम रहेगा। हर साइट पर cookie notification से छुटकारा पाने का सबसे साफ़ तरीका DNT को कानूनी रूप से enforceable बनाना है
    मैं एक agency चलाता/चलाती हूँ जो non-profit संगठनों की websites बनाती है, और अगर DNT on हो तो हम tracking नहीं करते और cookie notification भी नहीं दिखाते। बस यह सोचता/सोचती हूँ कि अगर users को cookie notification न दिखे तो वे “क्या यह default रूप से track नहीं कर रहा?” ऐसा शक कर सकते हैं, इसलिए क्या “हमने DNT setting check की और tracking बंद कर दी” जैसी एक बार की सूचना दिखानी चाहिए

    • शुरुआत में ही ऐसा काम न करना बेहतर है जिसके लिए cookie notification चाहिए। शायद यह हमेशा आपके सीधे control में न हो, लेकिन इस तरह की tracking ज़रूरी है—इस धारणा का जितना हो सके विरोध करना चाहिए
    • cookie law को मूल रूप से इसी तरह implement किया जाना चाहिए था, और ऐसा न होना पूरी तरह lawmakers की ज़िम्मेदारी है। लोगों ने banner popups click करने में जो लाखों घंटे बर्बाद किए, उस bureaucracy की लागत कानून बनाने वालों की गलती है, उल्लंघन करने वालों की नहीं
    • ज़्यादातर websites असल में users को track करना चाहती हैं, इसलिए ऐसा होने की संभावना कम लगती है। आखिरकार वे banner दिखाती रहेंगी, या “हमें पता है कि DNT on है, लेकिन क्या आप हमारी site को exception के रूप में allow करेंगे?” जैसा कोई variant दिखाएँगी
      ऐसा करने पर users cookie banner हटाने के लिए consent दे सकते हैं, और website यह दावा कर सकती है कि उसने जो specific consent लिया है, वह DNT के general non-consent से ऊपर है
    • मेरी माँ ने एक बार text किया कि उन्हें मेरे द्वारा share की गई site पसंद नहीं आई क्योंकि वे cookies बंद नहीं कर पा रही थीं। ज़रा check किया तो पता चला कि उस site ने कुछ भी collect नहीं किया था, इसलिए ऐसा था
    • technical cookies के लिए वैसे भी cookie banner की ज़रूरत नहीं होती। अफ़सोस, हर website operator यह नहीं जानता

  • मुझे अब भी समझ नहीं आता कि websites तीसरे पक्ष के बजाय अपना ad solution क्यों नहीं ढूँढ पातीं। बड़े sites अक्सर बिना सोचे-समझे लगाए गए ads की वजह से बिखरे हुए लगते हैं
    magazine या newspaper ads की तरह, किसी व्यक्ति को सोच-समझकर उन्हें चुनकर page पर place करना चाहिए; इससे experience भी बेहतर होगा और tracking की ज़रूरत भी नहीं पड़ेगी। “अच्छे ads” के लिए tracking ज़रूरी है—यह उम्मीद पूरी नहीं हुई, और लोग कौन-से products खरीदना चाहेंगे यह चुनने का काम अंततः taste रखने वाले इंसान को ही करना चाहिए

    • क्योंकि ad market siloed हो चुका है। agencies बड़े budgets आसानी से spend करना चाहती हैं, हजारों publishers से अलग-अलग negotiation नहीं करना चाहतीं
      इसलिए वे बड़े suppliers से bundled buying करती हैं, और वह supplier statistics centrally देता है। यह publishers को कुछ हद तक ईमानदार बनाए रखने का mechanism भी है, क्योंकि click fraud और impression fraud खूब फैल सकते हैं। advertisers जो चाहते हैं वह दिए बिना budget निकाल लेने के तरीके हमेशा मौजूद रहते हैं, और fraudsters और marketers, marketers और users के बीच arms race में end users फँसे रहते हैं। यह फैसला उन लोगों को थोड़ा common sense वापस देता है जिन्होंने खुद को non-combatant घोषित किया है
    • ad industry या advertisers से सीधे deal करना किसी page या app में एक banner slot जोड़ने से कहीं ज़्यादा complex है। sites नया business सीखने के बजाय अपने core business पर focus करना चाहती हैं
      advertisers ढूँढना, rates negotiate करना, ad placements और response reports तैयार करना, click fraud detect करना, fraud response के बारे में ad partner को convince करना, और contract के मुताबिक कभी न कभी पैसा मिलेगा—यह भरोसा दिलाना जैसे काम साथ आते हैं। advertiser उस report को अपने systems में आए interest logs से match करने की कोशिश करेगा
    • market में fraud भरा है, और surveillance उसी fraud से निपटने के लिए मौजूद है। surveillance इसलिए की जाती है ताकि साबित हो सके कि user कोई bot नहीं है जो impressions या clicks fake कर रहा है, बल्कि असली user है
      ad buyer के नज़रिए से सोचें: कोई arbitrary website कहती है कि वह मेरा ad दिखाएगी, तो मुझे कैसे पता चलेगा कि मुझे क्या मिल रहा है
    • marketing department के लोग आते-जाते रहते हैं, और उनके पास custom tools सीखने का समय या motivation नहीं होता। वे gtag जानते हैं और उसी से संतुष्ट हैं
    • आखिरकार आप पूछ ही रहे हैं कि subcontracting क्यों मौजूद है

  • आखिरकार। Do Not Track header consent का अंतिम refusal है। यह साफ़ “नहीं” है, और request header का हिस्सा है जिसके बारे में server यह दावा नहीं कर सकता कि उसे पता नहीं था
    Do Not Track मौजूद होने के बावजूद web का consent popup chaos बन जाना इन कंपनियों की bad faith दिखाता है। साफ़ है कि वे user की इच्छा को bypass करना चाहती थीं, और उससे भी बुरा, उन्होंने इसे tracking के लिए एक extra bit में बदल दिया। अच्छा है कि legal precedent बन गया

    • इसे अंतिम refusal कहना मुश्किल है। किसी specific site को allow करने का कोई तरीका नहीं है, और “track न करें” का मतलब क्या है, यह भी define नहीं है। संदर्भ: https://www.eff.org/deeplinks/2011/02/what-does-track-do-not...
      browser में इसे formalize करके specify करने का तरीका होना अच्छा होगा, लेकिन इससे अनिवार्य रूप से exception list का रास्ता भी खुल जाएगा। बहुत extreme interpretation में, DNT compliance का मतलब यह भी हो सकता है कि login की ज़रूरत वाली sites का इस्तेमाल ही नहीं किया जा सकता

  • उपभोक्ता और कंपनी के रिश्ते को परिभाषित करने वाली ज़्यादातर implied contract वाली बकवास घटिया legal theory है। इसे शुरू से ही मान्यता नहीं मिलनी चाहिए थी
    यह तथ्य कि legal system ने इसे मंज़ूरी और समर्थन दिया है, दिखाता है कि legal profession की philosophy और ethics बौद्धिक रूप से कितनी कमज़ोर हैं। कंपनियां खासकर digital interactions में Terms of Service, End User License Agreement जैसी चीज़ों को मंत्र की तरह इस्तेमाल करती हैं, लेकिन वह consent नहीं, बल्कि users और consumers के अधिकार छीनने की हास्यास्पद रस्म भर है। अगर कोई अधिकार terms से छीना जा सकता है, तो वह शुरू से मौजूद ही नहीं था। ऐसी स्थिति में “by agreement” की अवधारणा ही नकली है, लेकिन अगर ऐसा करना ही है तो खेल को उलटा भी झुकाया जा सकता है। जैसे, “इस browser को web page उपलब्ध कराकर आप निम्न बातों से सहमत होते हैं…”। cookie डालते या data record करते ही user के पक्ष में implied legal defaults बनाए जा सकते हैं। खरीदे गए product का इस्तेमाल करने से पहले X से सहमत होना पड़े—ऐसी शर्तों को अमान्य किया जाना चाहिए, और अगर data disclosure या terms से सहमति product use की शर्त है तो consumer को अनिश्चितकालीन full refund का अधिकार मिलना चाहिए। अगर किसी device का इस्तेमाल करने के लिए ऐसे coercive contract से सहमत होना पड़ता है जिसे न पढ़े जाने के लिए design किया गया है, तो कम से कम इनकार कर कभी भी पूरा refund पाने का अधिकार दिया जाए या कम-से-कम उस agreement को अमान्य किया जाए

    • मेरी समझ में कई देशों में “खरीदे गए product का इस्तेमाल करने से पहले X से सहमत होना पड़े” व्यावहारिक रूप से पहले से ही गैरकानूनी है। ऐसे देशों के users आम तौर पर ऐसी consent screen पर बस click करके आगे बढ़ जाएं तो भी उसका कोई legal effect नहीं होता
      End User License Agreement user को app या device मिलने से पहले दिखाया जाना चाहिए। इसलिए Steam game download करने से पहले third-party EULA accept करने को कहता है, और store page पर दिखने वाली पीली पट्टी में third-party EULA पढ़ने के लिए दिखाता है। “box के पीछे EULA link” जैसी चीज़ें मान्य नहीं हैं। और उस स्थिति में भी liability से जुड़े हिस्सों से आगे EULA का बड़ा हिस्सा आम तौर पर गैरकानूनी है, क्योंकि वह आपके पहले से मौजूद अधिकारों पर रोक लगाने की कोशिश करता है। मेरी जानकारी में अमेरिका लगभग अकेला देश है जहां ऐसे shrink-wrap EULA की उपयोगिता premium toilet paper से ज़्यादा मानी जाती है। हालांकि मैं वकील नहीं हूं
    • क्या ऐसा कोई मामला था जहां license change पसंद न आने की वजह से refund lawsuit दायर किया गया हो?
    • judges, judicial philosophers और law professors कानून MS Word में लिखते हैं, कानून संशोधन की बातचीत paragraphs email से भेजकर करते हैं, और वे email भी ज़्यादा से ज़्यादा दिन में एक बार check करते होंगे

  • अच्छी खबर है। अब देखना चाहता हूं कि अगर इस मामले को challenge किया गया तो क्या यह EU courts में भी जाता है। हालांकि ad industry शायद पूरे EU में एक साथ हारने का risk लेने के बजाय country-by-country लड़ना चाहेगी

    • अच्छा होगा अगर यह पूरे EU का law बन जाए। DNT header भेजना पहले से ही tracking के लिए सहमति न देना है, इसलिए cookie consent notice दिखाने की अनुमति नहीं होनी चाहिए
    • हमेशा “EU courts से उम्मीद” ही क्यों रहती है? क्या US legal system इतना बेबस या भ्रष्ट है कि सबने पूरी तरह हार मान ली है?
    • national court system में आप एक हद तक ही ऊपर जा सकते हैं, उसके बाद या तो आप हार जाते हैं या EU court शामिल हो जाता है
      Germany में यह मामला Federal Court of Justice (BGH) तक गया तो वह लागू EU law, इस मामले में GDPR, की व्याख्या पर European Court of Justice से “question” पूछेगा और दूसरे देशों की courts भी उस precedent को ध्यान में रखेंगी। अगर LinkedIn appeal नहीं करता तो उसे इस judgment का पालन करना होगा, और उस स्थिति में भी national courts का सीमा-पार case law को refer करना असामान्य नहीं है
    • यह पहले से ही GDPR interpretation है, जिसके तहत “technical means” से tracking से opt out किया जा सकता है
      लगता है कि हर देश को यह interpretation अपनाने के लिए country-by-country लड़ना पड़ेगा, लेकिन यह दूसरे EU देशों के लिए भी 100% precedent बनेगा

  • मेरी समझ में LinkedIn को actual processing में DNT header का सम्मान करने के लिए मजबूर नहीं किया गया है। सिर्फ़ यह दावा करना मना किया गया है कि DNT header legally binding नहीं है इसलिए उसे सम्मान नहीं देते
    court ने LinkedIn को DNT header का वास्तव में सम्मान करने या कम-से-कम उस पर विचार करने के लिए मजबूर नहीं किया। German native speaker के तौर पर, आम तौर पर भरोसेमंद heise online का यह article भी मैंने ऐसे ही समझा: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...

    • पूरा judgment यहां देखा जा सकता है [1]। consumer protection organization ने यह भी मांग की थी कि LinkedIn को DNT का सम्मान करने के लिए मजबूर किया जाए, लेकिन court ने दो कारणों से इसे बहुत व्यापक मानकर स्वीकार नहीं किया
      पहला, DNT का ठीक-ठीक मतलब पर्याप्त रूप से specific नहीं किया गया था। खासकर lawsuit DNT header तक सीमित नहीं था, बल्कि browser द्वारा भेजे जाने वाले हर तरह के configured signals का उल्लेख करता था। दूसरा, ऐसे signals मिलने पर LinkedIn को किन activities को रोकना चाहिए, इसका description बहुत व्यापक था। अगर judgment कायम रहता है तो यह future lawsuits के लिए दरवाज़ा स्पष्ट रूप से खोलता दिखता है, और उम्मीद की जा सकती है कि target companies इसे ध्यान में रखकर अपना व्यवहार बदलेंगी, लेकिन मैं बहुत उम्मीद नहीं रखता
      [1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
    • उस article को पढ़ने के लिए पैसे देने पड़ते हैं या personalized tracking के लिए “freely consent” करना पड़ता है। उस site पर लिखने वाले लोग शायद IP allowlist में हैं या हमेशा logged in रहते हैं, और मैं कभी-कभी सोचता हूं कि क्या उन्हें अब वह irony समझ आती भी है
    • सही, लेकिन court ने यह भी कहा कि DNT legally binding है। linked heise article के आखिरी से पिछले paragraph में भी यह आता है
      हालांकि judgment खुद DNT का सम्मान करने या न करने पर नहीं, बल्कि उस claim पर है, इसलिए उस बात में आप सही हैं

  • ट्रैकिंग पर बात करते समय जो समस्या हमेशा दिखती है, वह यह है कि शब्द का दायरा बहुत व्यापक है। उदाहरण के लिए तीन चीज़ें हैं: दुकान का मालिक चोरी रोकने के लिए ग्राहकों को देखता है और सामान की placement के लिए उनके चलने-फिरने के रास्ते को observe करता है; एक online store यह track करता है कि लोग कौन-से products देखते हैं और कौन-से carts सबसे ज़्यादा abandon करते हैं; और दुनिया भर का ad network पूरे Internet पर browsing activity का बड़ा हिस्सा लेकर ad profile बनाता है
    इस axis में कहीं न कहीं क्या पैमाने का अंतर किस्म का अंतर नहीं बना देता? व्यक्तिगत रूप से, मेरे हिसाब से user मेरी website पर क्या करता है उसे observe करना ठीक है, लेकिन जब data किसी third party के साथ share किया जाता है, तब explicit consent ज़रूरी होना चाहिए

    • ad profile शब्द अपने-आप में बहुत व्यापक expression है, जो बहुत कुछ कल्पना पर छोड़ देता है। सभी एक जैसे भी नहीं हैं
      Google के पास जो ad profile है, उसे आप सीधे देख और edit कर सकते हैं [1] [2]. मैं इसे चालू रखता हूँ क्योंकि मोटे तौर पर curious हूँ कि यह क्या निकालेगा, लेकिन अब तक ad topics बहुत सामान्य रहे हैं और चिंता लायक नहीं थे
      [1] https://myadcenter.google.com/
      [2] chrome://settings/adPrivacy/interests (desktop Chrome इस्तेमाल करते समय)
    • 1 और 2 को शायद बिना consent के भी implement किया जा सकता है
    • मुख्य बात target का अंतर है
      अगर tracking target कोई व्यक्ति है, तो उस व्यक्ति की consent चाहिए। अगर tracking target कोई निर्जीव वस्तु है, तो आम तौर पर यह ठीक होने की संभावना है। लेकिन अगर निर्जीव वस्तु की tracking के ज़रिए किसी व्यक्ति को track किया जाता है, तो उस व्यक्ति की consent लेनी होगी
    • GDPR ज़रूरी terms को explicitly define करता है

  • “Browser में Do Not Track on है, इसलिए हम यह content provide नहीं कर सकते”

    • ठीक है। इससे लोगों को समझने में मदद मिलती है कि उन्हें European values और तकनीकी गुलामी के बीच चुनाव करना है
    • EU में रहने वाले के तौर पर, US-based websites पर मैं यह बहुत बार देखता हूँ। ये वे sites हैं जिनके लिए tracking cookies और data sucking बेहद ज़रूरी हैं
    • सौभाग्य से, वह भी उतना ही illegal है जितना consent के बिना tracking, या इस case में explicit refusal को ignore करके tracking करना
    • ठीक है। अगर कोई US website मेरे EU IP address की वजह से मुझे content देखने से रोकती है, तो मुझे बल्कि खुशी होती है
    • ऐसे similar messages पहले से मौजूद हैं कि मैं EU में हूँ इसलिए US site visit नहीं कर सकता

  • क्या इसमें वे browsers भी शामिल होंगे जिनमें DNT header default रूप से on होता है? मुझे याद है कि शुरुआती Edge या बाद के Internet Explorer यह header default रूप से भेजते थे, और ads में भी ऐसा claim किया गया था
    उस समय spec में शायद कहा गया था कि अगर header हमेशा भेजा जा रहा हो या user ने उसे on न किया हो, तो उसे ignore किया जा सकता है

    • मैं वकील नहीं हूँ, लेकिन website यह distinguish नहीं कर सकती कि DNT setting default से on है या user ने जानबूझकर on की है, इसलिए practically यह important नहीं है। उसे assume करना चाहिए कि user ने DNT setting on की है
      मान लीजिए Agatha आंटी ने किसी magazine में DNT setting के बारे में पढ़ा, browser settings में जाकर देखा कि यह पहले से on है, और कुछ नहीं किया। यह Ulysses अंकल से अलग नहीं है, जो ऐसा browser इस्तेमाल करते हैं जिसका default off है और settings में जाकर इसे on करते हैं। अगर मेरे mailbox पर unwanted ads न लेने का sticker लगा है, तो यह guess करने की ज़रूरत नहीं कि sticker किसने लगाया
    • Court कैसे फैसला करता है, उसमें spec आम तौर पर important नहीं होता। फैसले के मुताबिक, court के नज़रिए से DNT को tracking नहीं चाहने का valid signal माना गया है। वकील नहीं हूँ
      यह भी argue किया जा सकता है कि DNT header default करने वाला browser इस्तेमाल करना अपने-आप में ऐसा browser चुनकर privacy के बारे में निर्णय लेना है। Ad companies ऐसा argument नहीं चाहतीं, और चाहती हैं कि हर browser में user opt out करे। Ideally, वे चाहती हैं कि header को ही बस ignore कर दिया जाए, जैसा Microsoft ने Explorer में इसे default on करने के बाद वास्तव में हुआ था
    • EU में default यह है कि personal data के इस्तेमाल के लिए consent चाहिए। कुछ jurisdictions में IP भी personal data में शामिल है, इसलिए default opt-out वाला होना चाहिए
    • अगर user ने privacy-focused browser install किया है, तो browser DNT को default रूप से on करे तब भी इसे user choice माना जा सकता है
      मूल Internet Explorer situation अलग थी, क्योंकि वह operating system में preinstalled था। आज भी specific consumer hardware पर operating system की choice है या नहीं, यह कई बार doubtful होता है, और उस समय शायद ज़्यादातर मामलों में “नहीं” के करीब रहा होगा
    • spec में यह क्यों कहा गया होगा कि अगर header हमेशा भेजा जा रहा हो या user ने on न किया हो, तो उसे ignore किया जा सकता है?

  • लगता है किसी ने Global Privacy Control का ज़िक्र नहीं किया। मूल रूप से यह एक HTTP header है जिसे CCPA के तहत legally binding बनाने के इरादे से बनाया गया है, और DNT से अलग है
    Firefox में, कम से कम Beta के आधार पर, इसे on करने की setting है। संदर्भ:
    https://globalprivacycontrol.org/
    https://global-privacy-control.glitch.me/
    https://privacycg.github.io/gpc-spec/

    • GPC California में पहले से law है। EU अब तक catch up नहीं कर पाया लगता है, शायद इसलिए कि enforcement को अलग-अलग देशों की data protection authorities को delegate किया गया और वह fail हुआ। Ireland की authority जैसी कुछ जगहें साफ़ तौर पर surveillance industry complex के कब्ज़े में हैं
      https://www.huntonprivacyblog.com/2021/07/15/california-atto...