हमने निगरानी को डिफ़ॉल्ट के रूप में क्यों स्वीकार किया

• वेब विज्ञापन फंडिंग और tracking-आधारित targeting एक ही श्रृंखलाबद्ध तर्क में बंध गए, जिससे cross-site tracking अलग विकल्प नहीं बल्कि डिफ़ॉल्ट आधार बन गई
• DoubleClick DART और third-party cookie ने कई वेबसाइटों पर एक ही उपयोगकर्ता को ट्रैक करना संभव बनाया, और यह इंफ्रास्ट्रक्चर बाद में भी बना रहा
• शीर्ष 10,000 साइटें प्रति पेज औसतन 7 third-party tracker लोड करती हैं, ट्रैफ़िक का 41.1% tracker के साथ आता है, और हर अतिरिक्त tracker पर page load time लगभग 2.5% बढ़ता है
• cookie banner industry भी एक अलग बाज़ार बन गई, और जब "Reject all" बटन छिपा दिया जाता है तो अधिकतम 90% उपयोगकर्ता स्वीकार कर लेते हैं, जिससे यह सहमति से अधिक थकान जैसी प्रतिक्रिया बन जाती है
• Apple ATT ने सिर्फ़ operating system स्तर की permission request से opt-in दर को 15~25% तक गिरा दिया और Meta की 2022 की revenue में लगभग 10 अरब डॉलर के नुकसान का अनुमान छोड़ा, जिससे स्पष्ट हुआ कि डिफ़ॉल्ट रूप से चालू tracking कोई तकनीकी अनिवार्यता नहीं बल्कि एक चयन था

---

स्वयंसिद्ध

• विज्ञापन वेब को फंड करता है, और tracking विज्ञापन को संभव बनाती है, इसलिए tracking ज़रूरी है — इस श्रृंखलाबद्ध तर्क से मौजूदा ढांचे को जायज़ ठहराया जाता है
  • cookie banner को आधुनिक रसीद की तरह माना जाता है, और "Accept" पर क्लिक को ही सहमति समझ लिया जाता है
  • यह संरचना साफ़-सुथरे तर्क जैसी दिखती है, लेकिन इसकी बुनियादी पूर्वधारणाएँ खुद अलग समीक्षा का विषय हैं
• इस ढांचे के लिए किसी ने वोट नहीं किया, फिर भी यह स्थापित हो गया
  • FTC और EU जब बाज़ार प्रतिस्पर्धा पर बहस पूरी कर रहे थे, तब तक वेब की संरचना चुपचाप निगरानी प्रणाली में बदल चुकी थी

उत्पत्ति

• DoubleClick की स्थापना 1996 में न्यूयॉर्क में हुई, और उसका उत्पाद DART इस धारणा पर चलता था कि उपयोगकर्ता को वेबसाइटों के बीच फ़ॉलो करते हुए प्रासंगिक विज्ञापन दिए जाएँ
  • DART का मतलब Dynamic Advertising, Reporting, and Targeting है
  • मूल विचार यह था कि विज्ञापनदाता कई वेबसाइटों में एक ही व्यक्ति को ट्रैक कर सकें
• मुख्य तकनीकी नवाचार third-party cookie था, जिसमें ऐसे server द्वारा डाली गई छोटी text file जो उपयोगकर्ता ने सीधे विज़िट नहीं की, pixel लोड करने वाली हर वेबसाइट पर उपयोगकर्ता का पीछा करती थी
  • तकनीकी mechanism अपने-आप में साधारण था, लेकिन उसके संरचनात्मक परिणाम साधारण नहीं थे
  • उस समय banner ad पहले से मौजूद थे, और random exposure से आगे बढ़कर cross-site tracking का आधार बन गया
• 1999 में Abacus Direct के अधिग्रहण के बाद दो database को जोड़ने का प्रस्ताव आया, और अमेरिकी FTC ने जाँच शुरू की
  • DoubleClick पीछे हट गया, लेकिन 2007 में Google ने अंततः उसे 3.1 अरब डॉलर में खरीद लिया
  • जाँच पुरानी बात बन गई, लेकिन बना हुआ इंफ्रास्ट्रक्चर कायम रहा
• संस्थापकों के बाद की राह भी आगे बढ़ती रही
  • Kevin O'Connor ने 2001 में DoubleClick छोड़कर ScOp Venture Capital चलाना शुरू किया और अगली पीढ़ी की टेक कंपनियों में निवेश कर रहे हैं
  • Dwight Merriman ने 10 साल तक DoubleClick के CTO के रूप में काम करने के बाद, एक अन्य DoubleClick पूर्वकर्मी Eliot Horowitz के साथ 2007 में MongoDB की सह-स्थापना की
  • यानी cross-site surveillance pipeline बनाने वाली वही टीम आधुनिक वेब के बड़े हिस्से को चलाने वाला document database भी बना रही थी
  • DoubleClick alumni network को समकालीन टेक इंडस्ट्री में बेहद महत्वपूर्ण talent diaspora के रूप में वर्णित किया जाता है

DoubleClick से पहले से मौजूद पैटर्न

• Prodigy 1984 से 2001 तक चलने वाली एक online service थी, जिसने इसी तर्क का शुरुआती रूप पहले ही लागू कर दिया था
  • network और server cost कम करने के लिए उपयोगकर्ता के निजी computer पर या उसके पास data cache करने का तरीका अपनाया गया
  • इसका औचित्य infrastructure cost reduction था, और उसका सह-प्रभाव behavioral data का बड़े पैमाने पर संचय था
• यह पैटर्न वेब से भी पुराना है, और third-party cookie से भी पुराना
  • मुख्य अवलोकन यह है कि संचालन के लिए इकट्ठा किया गया user data अंततः व्यावसायिक रूप से दिलचस्प संपत्ति बन जाता है
• cost optimization के लिए बनाए गए data path अंततः value extraction के लिए दोबारा इस्तेमाल होने लगते हैं
  • बचा हुआ सवाल यह नहीं कि यह कब शुरू हुआ, बल्कि यह कि protocol stack की किसी परत ने इसे रोका क्यों नहीं

लागत

• आज औसत वेबसाइट प्रति पेज 7 third-party tracker लोड करती है; यह आँकड़ा शीर्ष 10,000 साइटों पर आधारित है
  • इंटरनेट पर इन शीर्ष 10,000 साइटों को अपेक्षाकृत अधिक सभ्य पक्ष माना जाता है
  • उन साइटों के ट्रैफ़िक का 41.1% tracker के साथ आता है
• सहमति प्रक्रिया खुद एक अलग उद्योग बन चुकी है
  • cookie banner का 67% हिस्सा Consent Management Platform उपलब्ध कराते हैं
  • उस बाज़ार का 37% सिर्फ़ तीन कंपनियों के पास है
  • वेबसाइटों में केवल 15% ही न्यूनतम स्तर की GDPR अनुपालन शर्तें पूरी करती हैं
• जब "Reject all" बटन को कई क्लिक के पीछे छिपा दिया जाता है, तो अधिकतम 90% उपयोगकर्ता स्वीकार कर लेते हैं
  • इसे सहमति नहीं बल्कि थकान कहा गया है
• भौतिक लागत भी स्पष्ट है
  • हर अतिरिक्त tracker के साथ page load time लगभग 2.5% बढ़ जाता है
  • tracker-भरी साइटें उसी पेज को tracking block के साथ देखने की तुलना में लगभग 10 गुना धीमी चलती हैं
• Real-time bidding प्रतिदिन लगभग 600 अरब request संभालता है, यानी लगभग 69 लाख प्रति सेकंड
  • हर banner, dialog, और shadow request bandwidth, battery, electricity खर्च करती है
  • बिल सब चुकाते हैं, लेकिन किसी को भी मदवार नहीं दिखता

साक्ष्य

• समस्या का केंद्र दो संस्थापकों पर व्यक्तिगत रूप से नहीं, बल्कि व्यावसायिक दबावों के प्रति तार्किक प्रतिक्रिया पर है
  • ad network को reach चाहिए थी, publisher को revenue चाहिए था, और third-party cookie ने दोनों ज़रूरतें पूरी कर दीं
  • इससे व्यक्तिगत दोषारोपण के बजाय यह सवाल उठता है कि browser ने इसे सहारा क्यों दिया
• और गहरा सवाल संरचनात्मक चयन में है
  • browser को content लोड करने के लिए डिज़ाइन किया गया था, लेकिन उसे उपयोगकर्ता को stalk किए जाने से बचाने के लिए भी डिज़ाइन किया जा सकता था
  • उसी रास्ते में बढ़ी gray-market fraud economy से रक्षा भी संभव थी
• Apple ATT को उस चयन-क्षमता का वास्तविक प्रमाण माना गया है
  • इसे अप्रैल 2021 में iOS 14.5 में पेश किया गया
  • app को यह पूछने के लिए सिर्फ़ एक OS-level prompt मिलता है कि क्या वह दूसरे app और वेबसाइटों के पार उपयोगकर्ता को track कर सकता है
  • जब वास्तव में पूछा गया, तो opt-in दर 15~25% पर ही रुकी
  • Meta के CFO David Wehner ने 2022 की revenue हानि का अनुमान लगभग 10 अरब डॉलर लगाया
• इस बात पर ज़ोर दिया गया है कि ज़रूरी तकनीक शुरू से मौजूद थी, और डिफ़ॉल्ट रूप से चालू tracking browser vendor का किया हुआ चयन था

प्रश्न

• सवाल उठता है कि अगर browser व्यक्तिगत data को उसी तरह संभालता जैसे operating system unsigned binary को संभालता है — यानी स्पष्ट अनुमति से पहले उसे रोक देता — तो क्या नतीजा अलग हो सकता था
  • यह भी पूछा गया है कि अगर protocol खुद विज्ञापनदाताओं के बजाय उपयोगकर्ता की रक्षा करता, तो क्या होता
  • अगर cross-site request को वैसे संदेहपूर्ण नज़र से देखा जाता जैसे ट्रेन में कोई अजनबी किसी से अपना पार्सल पकड़ने को कहे, तो क्या होता
• 30 साल बाद भी यह सवाल अनुत्तरित है
  • इंफ्रास्ट्रक्चर एक बार बन जाने के कारण बना रहता है, और उसे बनाने वाले संगठनों के लिए उसे पलटना असुविधाजनक होने के कारण भी बना रहता है
• यह तथ्य कि Apple के एक prompt ने सिर्फ़ एक साल में 10 अरब डॉलर हिला दिए, एक संदर्भ-बिंदु के रूप में रखा गया है
  • अगर ऐसे prompt बारह होते, तो क्या बदलता
  • अगर 1996 में third-party cookie को शुरू ही न किया गया होता, तो क्या अलग होता
• किसी निश्चित निष्कर्ष के बजाय अंत में सिर्फ़ यह बचता है कि किसी से पूछा ही नहीं गया था