Pengadilan Jerman melarang LinkedIn mengabaikan sinyal "Do Not Track"

• Pengadilan Negeri Berlin memutuskan dalam gugatan yang diajukan oleh federasi organisasi konsumen Jerman vzbv bahwa sebagian praktik pemrosesan data LinkedIn melanggar hak kontrol pengguna
• Penjelasan LinkedIn yang menyatakan tetap melanjutkan pelacakan analitik dan pemasaran sambil mengabaikan sinyal Do Not Track dari browser dapat menyesatkan pengguna
• Cara LinkedIn secara otomatis memublikasikan profil melalui nilai default Profile Visibility untuk akun baru juga dilarang, dan diperlukan persetujuan eksplisit agar profil dapat terlihat oleh nonanggota
• Dalam beberapa putusan sebelumnya, praktik lain juga dipermasalahkan, seperti pengiriman email yang tidak diinginkan kepada nonanggota dan ketentuan yang memaksa pengguna melepaskan hak hukum tertentu
• Putusan ini bisa menjadi preseden, tetapi agar Do Not Track benar-benar menjadi perlindungan yang efektif, harus diikuti dengan penegakan berkelanjutan di seluruh Uni Eropa

---

Putusan pengadilan Jerman atas praktik data LinkedIn

• Pengadilan Negeri Berlin melarang sebagian praktik pemrosesan data oleh platform jejaring profesional LinkedIn
• Gugatan diajukan oleh federasi organisasi konsumen Jerman vzbv
• Pengadilan memutuskan bahwa LinkedIn tidak boleh mengabaikan sinyal Do Not Track yang dikirim dari browser pengguna
  • Sinyal Do Not Track menyampaikan bahwa pengguna internet menolak pelacakan aktivitas online mereka
  • LinkedIn memberi tahu bahwa mereka tetap melakukan pelacakan untuk tujuan analitik dan pemasaran di situs web meskipun menerima sinyal tersebut
  • Pengadilan menilai komunikasi itu sebagai komunikasi yang menyesatkan, karena LinkedIn harus menghormati permintaan Do Not Track
• Pengaturan default yang otomatis membuat profil pengguna baru menjadi publik juga dilarang
  • Nilai default Profile Visibility milik LinkedIn membuat informasi pengguna menjadi terbuka segera setelah pembuatan akun
  • Pengadilan menilai cara memublikasikan informasi pengguna tanpa persetujuan melanggar aturan perlindungan data
  • Agar profil pengguna dapat terlihat oleh nonanggota, pengguna harus memberikan persetujuan eksplisit
• Dalam beberapa putusan sebelumnya, praktik lain LinkedIn juga dilarang
  • Mengirim email yang tidak diinginkan kepada nonanggota
  • Menggunakan ketentuan yang memaksa pengguna melepaskan hak hukum tertentu

Tantangan yang masih tersisa dalam penegakan Do Not Track

• vzbv melihat keputusan ini sebagai contoh yang menegaskan bahwa konsumen dapat menjalankan hak kontrol atas data pribadi
  • Saat pengguna mengaktifkan Do Not Track, itu merupakan pesan yang jelas bahwa mereka tidak ingin aktivitas online mereka dipantau
  • Posisi mereka adalah operator situs web harus menghormati sinyal tersebut
• Putusan ini sendiri merupakan kemajuan, tetapi satu putusan di Jerman saja sulit mengubah praktik privasi pengguna secara besar-besaran
  • Do Not Track sudah ada selama bertahun-tahun, tetapi banyak situs mengabaikannya tanpa konsekuensi berarti
  • Kasus ini bisa menjadi preseden, tetapi juga bisa tetap menjadi putusan yang terisolasi di Jerman
• Perubahan yang nyata memerlukan penegakan berkelanjutan di seluruh Uni Eropa
  • Regulator sejauh ini dikritik karena tidak bergerak cukup cepat
  • Bahkan jika semua situs di Eropa patuh, masih ada kemungkinan perusahaan teknologi memindahkan pelacakan yang invasif ke luar Eropa
  • Banner persetujuan cookie dinilai telah menjadi prosedur yang lebih bersifat formalitas
• Perlindungan privasi dan persetujuan seperti Do Not Track sangat bergantung pada kepatuhan sukarela perusahaan
  • Perusahaan yang mengejar kepentingan sendiri akan mencari cara untuk mengakali aturan yang memperkuat hak pengguna
  • Beberapa situs mungkin tampak menghormati sinyal seperti DNT, tetapi mudah mengakalinya lewat prompt persetujuan yang dangkal
• Perlindungan privasi yang bermakna memerlukan peninjauan ulang terhadap cara situs dibangun dan dimonetisasi
  • Silicon Valley memiliki sedikit insentif untuk meninggalkan kapitalisme pengawasan
  • Big Tech berbicara tentang privasi sambil tetap mengumpulkan data sebanyak mungkin
  • Jika model bisnis tidak berubah, langkah sukarela seperti Do Not Track bisa berakhir sebagai isyarat kosong

[GN⁺]

Opini Hacker News

• Putusan ini bagus, dan semoga tetap bertahan dalam banding yang mungkin tak terhindarkan. Cara paling jelas untuk menghilangkan pemberitahuan cookie per situs adalah membuat DNT dapat ditegakkan secara hukum.
  Saya menjalankan agensi yang membuat situs web untuk organisasi nirlaba; jika DNT aktif, kami tidak melacak dan juga tidak menampilkan pemberitahuan cookie. Namun saya khawatir pengguna mungkin curiga, “kalau tidak ada pemberitahuan cookie, bukankah berarti secara default mereka melacak?”, jadi saya mempertimbangkan apakah perlu menampilkan pemberitahuan satu kali bahwa “kami memeriksa pengaturan DNT dan menonaktifkan pelacakan”.

  • Lebih baik sejak awal tidak melakukan hal-hal yang membutuhkan pemberitahuan cookie. Mungkin tidak selalu bisa diputuskan sendiri, tetapi asumsi bahwa pelacakan seperti ini diperlukan harus dibantah sebisa mungkin.
  • Undang-undang cookie seharusnya sejak awal diimplementasikan seperti ini, dan kegagalan melakukannya sepenuhnya adalah tanggung jawab para pembuat undang-undang. Biaya birokrasi berupa jutaan jam yang dihabiskan orang untuk mengklik banner pop-up adalah kesalahan pihak yang membuat hukum, bukan para pelanggarnya.
  • Sebagian besar situs web memang ingin melacak pengguna, jadi kecil kemungkinan itu terjadi. Pada akhirnya mereka akan terus menampilkan banner, atau menampilkan variasi seperti “kami tahu DNT Anda aktif, tetapi maukah Anda mengizinkan pengecualian hanya untuk situs kami?”
    Dengan begitu ada kemungkinan pengguna menyetujui demi menghilangkan banner cookie, dan situs web dapat berargumen bahwa persetujuan spesifik yang diberikan di situs mengalahkan penolakan umum DNT.
  • Ibu saya pernah mengirim pesan bahwa beliau tidak suka situs yang saya bagikan karena cookie-nya tidak bisa dimatikan. Setelah saya cek sebentar, ternyata itu karena situs tersebut tidak mengumpulkan apa pun.
  • Untuk cookie teknis, pada dasarnya tidak diperlukan banner cookie. Sayangnya, tidak semua operator situs web mengetahui hal ini.

• Saya masih belum paham mengapa situs web tidak bisa menemukan solusi iklan sendiri alih-alih memakai pihak ketiga. Situs-situs besar terlihat berantakan karena iklan yang ditempatkan tanpa pertimbangan.
  Seharusnya iklan dipilih dengan cermat oleh manusia dan ditempatkan di halaman seperti iklan majalah atau koran; pengalaman akan lebih baik dan pelacakan tidak diperlukan. Harapan bahwa pelacakan diperlukan untuk “iklan yang bagus” tidak pernah terwujud, dan memilih produk yang mungkin ingin dibeli orang pada akhirnya harus dilakukan oleh orang yang punya selera.

  • Karena pasar iklan telah menjadi silo. Agensi ingin membelanjakan anggaran besar dengan mudah, bukan bernegosiasi satu per satu dengan ribuan media.
    Karena itu mereka membeli paket dari penyedia besar, dan penyedia itu menyajikan statistik secara terpusat. Ini juga merupakan mekanisme untuk menjaga pemilik media tetap cukup jujur, karena penipuan klik dan penipuan tayangan bisa merajalela. Selalu ada cara untuk menyedot anggaran tanpa memberikan apa yang diinginkan pengiklan, dan pengguna akhir terjepit dalam perlombaan senjata antara penipu dan marketer, serta antara marketer dan pengguna. Putusan ini mengembalikan sedikit akal sehat bagi orang-orang yang menyatakan dirinya sebagai nonkombatan.
  • Berurusan langsung dengan industri iklan atau pengiklan jauh lebih rumit daripada sekadar menempelkan satu slot banner di halaman atau aplikasi. Situs-situs ingin fokus pada bisnis inti alih-alih mempelajari bisnis baru.
    Ada pekerjaan seperti mencari pengiklan, menegosiasikan tarif, menyiapkan laporan posisi iklan dan respons, mendeteksi penipuan klik, meyakinkan mitra iklan dalam menangani penipuan, dan meyakinkan bahwa uang kontraktual pada akhirnya akan dibayarkan. Pengiklan juga ingin mencocokkan laporan itu dengan log minat yang masuk ke sistem mereka sendiri.
  • Pasar penuh dengan penipuan, dan pengawasan ada untuk menanggapi penipuan itu. Pengawasan dilakukan untuk membuktikan bahwa pengguna adalah pengguna nyata, bukan bot yang memalsukan impresi atau klik.
    Coba pikir dari sudut pandang pembeli iklan: ketika suatu situs web acak mengatakan akan menampilkan iklan saya, bagaimana saya tahu apa yang akan saya dapatkan?
  • Orang-orang di departemen marketing datang dan pergi, dan mereka tidak punya waktu atau motivasi untuk mempelajari alat internal. Mereka tahu gtag, dan itu sudah cukup bagi mereka.
  • Pada akhirnya, ini sama saja dengan bertanya mengapa subkontrak itu ada.

• Akhirnya. Header Do Not Track adalah penolakan persetujuan yang paling final. Itu adalah “tidak” yang eksplisit, dan merupakan bagian dari request header sehingga server tidak bisa mengklaim tidak tahu.
  Fakta bahwa web berubah menjadi kekacauan pop-up persetujuan meskipun Do Not Track sudah ada menunjukkan niat buruk perusahaan-perusahaan ini. Jelas mereka berusaha mengakali kehendak pengguna, dan lebih buruk lagi, mengubahnya menjadi bit tambahan untuk pelacakan. Bagus bahwa sekarang ada preseden hukum.

  • Sulit menyebutnya sebagai penolakan paling final. Tidak ada cara untuk mengizinkan situs tertentu, dan apa arti “jangan lacak” juga tidak didefinisikan. Referensi: https://www.eff.org/deeplinks/2011/02/what-does-track-do-not...
    Akan bagus jika browser punya cara untuk meresmikan dan menetapkannya, tetapi itu pasti juga membuka jalan bagi daftar pengecualian. Jika ditafsirkan secara ekstrem, mematuhi DNT bahkan bisa berarti situs yang memerlukan login sama sekali tidak dapat digunakan.

• Sebagian besar omong kosong kontrak semu yang mendefinisikan hubungan konsumen dan perusahaan adalah teori hukum sampah. Seharusnya sejak awal tidak pernah diakui
  Fakta bahwa sistem hukum selama ini mengizinkan dan mendukung hal itu menunjukkan betapa rapuhnya secara intelektual filsafat dan etika profesi hukum. Perusahaan, terutama dalam interaksi digital, memakai hal-hal seperti ketentuan layanan dan perjanjian lisensi pengguna akhir layaknya mantra, tetapi itu bukan persetujuan; hanya ritual konyol untuk merampas hak pengguna dan konsumen. Jika suatu hak bisa dicabut lewat syarat dan ketentuan, berarti hak itu sejak awal tidak benar-benar ada. Konsep “berdasarkan persetujuan” sendiri dalam situasi seperti ini palsu, tetapi kalau memang harus begitu, papan permainannya juga bisa dimiringkan ke arah sebaliknya. Misalnya, “Dengan menyediakan halaman web ke peramban ini, Anda menyetujui hal-hal berikut…”. Begitu mereka menjatuhkan cookie atau mencatat data, bisa dibuat default quasi-legal yang menguntungkan pengguna. Syarat bahwa Anda harus menyetujui X sebelum bisa memakai produk yang sudah dibeli harus dinyatakan batal, dan jika pengungkapan data atau persetujuan atas ketentuan menjadi syarat penggunaan produk, konsumen harus diberi hak pengembalian dana penuh tanpa batas waktu. Jika sebuah perangkat hanya bisa dipakai setelah Anda menyetujui kontrak koersif yang dirancang agar tidak dibaca, maka setidaknya Anda harus berhak menolaknya dan kapan saja mendapat pengembalian dana penuh, atau minimal persetujuan itu harus dibatalkan

  • Sejauh yang saya pahami, di banyak negara “harus menyetujui X sebelum memakai produk yang sudah dibeli” pada praktiknya sudah ilegal. Di negara-negara seperti itu, pengguna biasanya bisa saja mengklik layar persetujuan tersebut untuk melewatinya tanpa ada kekuatan hukum
    Perjanjian lisensi pengguna akhir harus disajikan sebelum pengguna memperoleh aplikasi atau perangkat. Karena itu Steam meminta penerimaan EULA pihak ketiga sebelum mengunduh game, dan menampilkan EULA pihak ketiga yang bisa dibaca pada bilah kuning mencolok di halaman toko. Hal seperti “tautan EULA di belakang kotak” tidak diperbolehkan. Dan bahkan dalam kasus itu, sebagian besar isi EULA di luar soal tanggung jawab biasanya ilegal karena berusaha melarang hak yang sudah dimiliki pengguna. Setahu saya, Amerika Serikat hampir satu-satunya negara tempat EULA model buka-kemasan seperti ini punya kegunaan lebih dari tisu toilet mahal. Namun saya bukan pengacara
  • Pernahkah ada kasus gugatan pengembalian dana karena seseorang tidak menyukai perubahan lisensi?
  • Para hakim, filsuf hukum, dan profesor hukum menulis undang-undang dengan MS Word, negosiasi amandemen hukum dilakukan dengan mengirim paragraf lewat email, dan email itu pun paling-paling dicek sekali sehari

• Kabar baik. Sekarang saya ingin melihat apakah perkara ini, jika digugat, juga akan dibahas di Pengadilan Uni Eropa. Namun industri iklan tampaknya akan lebih memilih bertarung per negara daripada mengambil risiko kalah sekaligus di seluruh UE

  • Semoga ini menjadi hukum di seluruh UE. Jika seseorang mengirim header DNT, itu berarti ia sudah tidak menyetujui pelacakan, jadi pop-up persetujuan cookie seharusnya tidak boleh ditampilkan
  • Mengapa selalu jadi “berharap pada Pengadilan UE”? Apakah sistem hukum Amerika begitu tidak berdaya atau korup sampai semua orang sudah benar-benar menyerah?
  • Dalam sistem pengadilan nasional, Anda hanya bisa naik sampai tingkat tertentu, lalu setelah itu Anda kalah atau Pengadilan UE ikut terlibat
    Jika perkara ini di Jerman sampai ke Mahkamah Agung Federal (BGH), pengadilan akan “mengajukan pertanyaan” kepada Mahkamah Eropa tentang penafsiran hukum UE yang berlaku, dalam hal ini GDPR, dan pengadilan nasional lain juga akan mempertimbangkan preseden tersebut. Jika LinkedIn tidak mengajukan banding, mereka harus mengikuti putusan ini, dan bahkan dalam situasi itu, tidak jarang pengadilan nasional merujuk preseden lintas batas
  • Ini sudah merupakan penafsiran GDPR yang memungkinkan penolakan pelacakan melalui “sarana teknis”
    Untuk membuat tiap negara memakai penafsiran ini, tampaknya perlu diperdebatkan per negara, tetapi ini 100% akan menjadi preseden bagi negara-negara UE lainnya

• Sejauh yang saya pahami, LinkedIn tidak benar-benar dipaksa untuk menghormati header DNT dalam proses pemrosesan aktualnya. Yang dilarang hanyalah mengklaim bahwa mereka tidak menghormatinya karena header DNT tidak mengikat secara hukum
  Pengadilan tidak memaksa LinkedIn untuk benar-benar menghormati, atau setidaknya mempertimbangkan, header DNT. Sebagai penutur asli bahasa Jerman, saya juga memahami artikel heise online yang biasanya dapat dipercaya ini demikian: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...

  • Putusan lengkapnya bisa dilihat di sini [1]. Organisasi perlindungan konsumen juga meminta agar LinkedIn dipaksa menghormati DNT, tetapi pengadilan menolaknya karena menganggap permintaan itu terlalu luas karena dua alasan
    Pertama, tidak cukup spesifik mengenai apa sebenarnya arti DNT. Secara khusus, gugatan itu tidak dibatasi pada header DNT, melainkan menyebut semua jenis sinyal pengaturan yang dikirim browser. Kedua, tindakan yang harus dihentikan LinkedIn ketika menemui sinyal semacam itu dijelaskan terlalu luas. Jika putusan ini dipertahankan, tampaknya pintu untuk gugatan di masa depan jelas terbuka, dan mungkin bisa diharapkan perusahaan-perusahaan yang menjadi sasaran akan mengantisipasinya dengan menyesuaikan perilaku mereka, tetapi saya tidak berharap terlalu banyak
    [1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
  • Untuk membaca artikel itu, Anda harus membayar atau “secara bebas menyetujui” pelacakan yang dipersonalisasi. Orang-orang yang menulis di situs itu mungkin masuk daftar izin IP atau selalu dalam keadaan login, tetapi kadang saya bertanya-tanya apakah mereka sekarang menyadari ironi itu
  • Benar, tetapi pengadilan juga mengatakan bahwa DNT memiliki kekuatan hukum mengikat. Itu juga muncul di paragraf kedua dari akhir artikel heise yang ditautkan
    Namun putusan itu sendiri memang berkaitan dengan klaim tersebut, bukan apakah DNT dihormati atau tidak, jadi poin itu benar

• Masalah yang selalu muncul saat membahas pelacakan adalah cakupan katanya terlalu luas. Misalnya ada tiga hal: pemilik toko mengamati pelanggan untuk mencegah pencurian dan melihat alur pergerakan demi penempatan barang, toko online melacak produk apa yang dilihat orang dan keranjang belanja mana yang paling sering ditinggalkan, serta jaringan iklan global menerima sebagian besar aktivitas browsing di seluruh internet untuk membuat profil iklan
  Di suatu titik pada spektrum ini, bukankah perbedaan skala menciptakan perbedaan jenis? Secara pribadi, menurut saya mengamati apa yang dilakukan pengguna di situs web saya tidak masalah, tetapi ketika data dibagikan kepada pihak ketiga, perlu ada persetujuan eksplisit

  • Istilah profil iklan itu sendiri juga merupakan ungkapan yang sangat luas dan banyak menyisakan ruang untuk imajinasi. Semuanya tidak sama
    Profil iklan yang dimiliki Google bisa dilihat dan diedit langsung [1] [2]. Saya membiarkannya aktif karena agak penasaran apa yang akan ditemukan, tetapi sejauh ini topik iklannya sangat umum dan bukan sesuatu yang mengkhawatirkan
    [1] https://myadcenter.google.com/
    [2] chrome://settings/adPrivacy/interests (saat menggunakan Chrome desktop)
  • Nomor 1 dan 2 kemungkinan besar bisa diimplementasikan tanpa persetujuan
  • Intinya adalah perbedaan objek
    Jika objek pelacakan adalah seseorang, persetujuan orang tersebut diperlukan. Jika objek pelacakan adalah benda mati, umumnya kemungkinan besar tidak masalah. Namun, jika pelacakan benda mati itu pada akhirnya melacak seseorang, maka persetujuan orang tersebut harus diperoleh
  • GDPR mendefinisikan istilah-istilah yang diperlukan secara eksplisit

• “Karena Do Not Track aktif di browser Anda, kami tidak dapat menyediakan konten ini”

  • Tidak apa-apa. Itu membantu orang memahami bahwa mereka harus memilih antara nilai-nilai Eropa dan perbudakan oleh teknologi
  • Sebagai orang yang tinggal di UE, saya sangat sering melihat hal seperti ini di situs web berbasis AS. Situs-situs itu benar-benar membutuhkan cookie pelacak dan penyedotan data
  • Untungnya, itu sama ilegalnya dengan pelacakan tanpa persetujuan, atau dalam kasus ini pelacakan yang mengabaikan penolakan eksplisit
  • Tidak apa-apa. Kalau situs web AS memblokir saya melihat konten karena alamat IP UE saya, saya malah senang
  • Pesan serupa bahwa saya tidak bisa mengunjungi situs AS karena berada di UE sudah ada

• Apakah ini juga mencakup browser yang secara default mengaktifkan header DNT? Seingat saya Edge awal atau Internet Explorer versi akhir mengirim header ini secara default, dan iklannya juga mengklaim demikian
  Saat itu spesifikasinya sepertinya mengatakan header boleh diabaikan jika selalu dikirim atau bukan diaktifkan oleh pengguna

  • Saya bukan pengacara, tetapi situs web tidak bisa membedakan apakah pengaturan DNT aktif secara default atau sengaja diaktifkan oleh pengguna, jadi dalam praktiknya itu tidak penting. Mereka harus berasumsi bahwa pengguna mengaktifkan pengaturan DNT
    Misalkan Bibi Agatha membaca tentang pengaturan DNT di majalah, lalu masuk ke pengaturan browser dan melihatnya sudah aktif sehingga tidak melakukan apa-apa. Itu tidak berbeda dari Paman Ulysses yang memakai browser lain dengan default nonaktif lalu masuk ke pengaturan dan mengaktifkannya. Jika kotak surat saya ditempeli stiker bahwa saya tidak ingin menerima iklan yang tidak diinginkan, tidak perlu mencoba menebak siapa yang menempelkan stiker itu
  • Spesifikasi umumnya tidak terlalu penting dalam bagaimana pengadilan memutuskan. Menurut putusan tersebut, dari sudut pandang pengadilan DNT dianggap sebagai sinyal sah bahwa pengguna tidak ingin dilacak. Saya bukan pengacara
    Bisa juga dikatakan bahwa memakai browser yang mengaktifkan header DNT secara default itu sendiri merupakan keputusan privasi dengan memilih browser tersebut. Perusahaan iklan tidak menginginkan argumen seperti itu, dan ingin pengguna melakukan opt-out di semua browser. Idealnya, mereka ingin sekadar mengabaikan header itu sendiri, seperti yang memang terjadi setelah Microsoft mengaktifkannya secara default di Explorer
  • Di UE, default-nya condong ke penggunaan data pribadi memerlukan persetujuan. Di beberapa yurisdiksi, IP juga termasuk data pribadi, jadi default-nya seharusnya tidak ikut serta
  • Jika pengguna memasang browser yang berfokus pada perlindungan privasi, meskipun browser itu mengaktifkan DNT secara default, tetap bisa dianggap ada pilihan dari pengguna
    Situasi Internet Explorer semula berbeda karena sudah terpasang sebelumnya di sistem operasi. Apakah ada pilihan sistem operasi pada perangkat keras konsumen tertentu bahkan hari ini pun sering masih diragukan, dan pada masa itu mungkin lebih sering mendekati “tidak ada”
  • Mengapa spesifikasi mengatakan header boleh diabaikan jika selalu dikirim atau bukan diaktifkan oleh pengguna?

• Sepertinya tidak ada yang menyebut Global Privacy Control. Pada dasarnya ini adalah header HTTP yang dimaksudkan memiliki kekuatan hukum berdasarkan CCPA, dan berbeda dari DNT
  Firefox, setidaknya di Beta, memiliki pengaturan untuk mengaktifkannya. Referensi:
  https://globalprivacycontrol.org/
  https://global-privacy-control.glitch.me/
  https://privacycg.github.io/gpc-spec/

  • GPC sudah menjadi hukum di California. UE tampaknya belum menyusul, mungkin karena menyerahkan penegakan kepada otoritas perlindungan data masing-masing negara lalu gagal. Jelas ada juga yang telah dikuasai kompleks industri pengawasan, seperti otoritas Irlandia
    https://www.huntonprivacyblog.com/2021/07/15/california-atto...