法國對“黑暗模式”重拳出擊，谷歌和Facebook被罰近2.4億美元
David Meyer
2022-01-14
網站往往會誘導用戶同意網站跟蹤cookie，它們的做法是增加用戶拒絕網站要求的難度。1月6日，法國的數據保護監管機構開始打擊科技業內這種所謂的“黑暗模式”，對Facebook、谷歌（Google）和YouTube共處以2.1億歐元（約合2.38億美元）罰款。
法國國家信息與自由委員會（CNIL）表示，這些公司的行為違反了《法國數據保護法》（French Data Protection Act），對Facebook罰款6000萬歐元，對谷歌及其視頻流媒體業務罰款1.5億歐元。除罰款以外，該監管機構還要求這些公司在三個月內修改其cookie接受/拒絕機制，否則將面臨每天10萬歐元的罰款。
歐洲嚴格的在線隱私保護制度于2021年正式啟動，之前頒布的《通用數據保護條例》（General Data Protection Regulation）在2021年的罰款總額超過10億歐元，主要包括盧森堡和愛爾蘭分別對亞馬遜（Amazon）和WhatsApp收取的巨額罰款。《通用數據保護條例》的影響并沒有人們所擔心的那么嚴重。
但法國國家信息與自由委員會最近的罰款卻是依據另外一項歐盟法律：《電子隱私指令》（ePrivacy Directive）。該指令在約20年前被轉變成法國法律。這項“古老的”（在互聯網時代）法律即人們常說的“cookie法律”，本來應該在五年前被取代，但立法程序卻多次停滯不前。
Cookie？沒錯！
用戶同意是cookie法律的關鍵，而法國國家信息與自由委員會認為Facebook和谷歌并沒有恰當獲得用戶同意。
該監管機構批評谷歌和YouTube的網站稱：“用戶拒絕全部cookie需要點擊多次，但接受cookie卻只需要點擊一次。”
Facebook的網站也存在同樣的問題，只是該監管機構在1月6日的聲明中額外增加了一句有趣的評論：“法國國家信息與自由委員會還發現，允許用戶拒絕cookie的按鈕位于第二個窗口底部，但標注的卻是‘接受cookie’。”該機構表示，這些網站的機制均通過“影響互聯網用戶同意自由”的程序，阻止用戶拒絕cookie。
Facebook母公司Meta的發言人說：“我們正在評估該部門的決定，并繼續致力于與相關部門合作。我們的cookie同意控制措施為用戶提供了對其個人數據的較大控制權，包括在Facebook和Instagram上新增一個設置菜單，支持用戶隨時重新查看和管理自己的決定，并且我們將繼續開發和完善這些控制措施。”
谷歌的發言人表示：“人們相信我們會尊重他們的隱私權并保障他們的安全。我們深知我們有責任保護這種信任，并承諾根據《電子隱私指令》的規定，以此次決定為基礎繼續做出調整，同法國國家信息與自由委員會密切合作。”
“黑暗模式”
這并非Facebook和谷歌首次被指控使用黑暗模式這種有欺騙性的設計，誘導用戶放棄他們的隱私。
幾年前，《通用數據保護條例》正式頒布后不久，歐洲各地的消費者團體曾經向國家隱私監管機構請求調查黑暗模式。挪威消費者協會（Norwegian Consumer Council）作為該行動的主要發起者，曾經正式向挪威的數據保護監管機構投訴谷歌。
但根據《通用數據保護條例》下的“一站式”機制，這類投訴應該由公司歐洲總部所在國家的監管機構處理，而大部分大型科技公司的總部都位于愛爾蘭。因此，這項投訴被轉交給愛爾蘭數據保護委員會（Irish Data Protection Commission）。眾所周知，該機構效率低下并且資金不足，因此該案后來就不了了之了。
法國國家信息與自由委員會避免了這個陷阱，依據《電子隱私指令》針對谷歌和Facebook采取行動。該機構在1月6日的聲明中反復提到，其對于在法國境內違反《電子隱私指令》的行為有處以罰款的司法管轄權。
挪威消費者協會的數字政策主管芬恩·米爾斯塔德在1月6日告訴《財富》雜志：“法國國家信息與自由委員會的決定發出了強烈的信號，即網站必須給用戶真正公平的選擇權，不能誘導用戶接受符合公司‘自身利益’的條件。”
美國電子隱私信息中心（Electronic Privacy Information Center）曾經多次向美國聯邦貿易委員會（Federal Trade Commission）投訴黑暗模式。在美國總統喬·拜登政府執政期間，美國聯邦貿易委員會更加支持這類投訴。它在2021年10月曾經表示，將針對“欺騙或引誘消費者選擇訂閱服務”的黑暗模式加大執法力度。（財富中文網）
翻譯：劉進龍
審校：汪皓
網站往往會誘導用戶同意網站跟蹤cookie，它們的做法是增加用戶拒絕網站要求的難度。1月6日，法國的數據保護監管機構開始打擊科技業內這種所謂的“黑暗模式”，對Facebook、谷歌（Google）和YouTube共處以2.1億歐元（約合2.38億美元）罰款。
法國國家信息與自由委員會（CNIL）表示，這些公司的行為違反了《法國數據保護法》（French Data Protection Act），對Facebook罰款6000萬歐元，對谷歌及其視頻流媒體業務罰款1.5億歐元。除罰款以外，該監管機構還要求這些公司在三個月內修改其cookie接受/拒絕機制，否則將面臨每天10萬歐元的罰款。
歐洲嚴格的在線隱私保護制度于2021年正式啟動，之前頒布的《通用數據保護條例》（General Data Protection Regulation）在2021年的罰款總額超過10億歐元，主要包括盧森堡和愛爾蘭分別對亞馬遜（Amazon）和WhatsApp收取的巨額罰款。《通用數據保護條例》的影響并沒有人們所擔心的那么嚴重。
但法國國家信息與自由委員會最近的罰款卻是依據另外一項歐盟法律：《電子隱私指令》（ePrivacy Directive）。該指令在約20年前被轉變成法國法律。這項“古老的”（在互聯網時代）法律即人們常說的“cookie法律”，本來應該在五年前被取代，但立法程序卻多次停滯不前。
Cookie？沒錯！
用戶同意是cookie法律的關鍵，而法國國家信息與自由委員會認為Facebook和谷歌并沒有恰當獲得用戶同意。
該監管機構批評谷歌和YouTube的網站稱：“用戶拒絕全部cookie需要點擊多次，但接受cookie卻只需要點擊一次。”
Facebook的網站也存在同樣的問題，只是該監管機構在1月6日的聲明中額外增加了一句有趣的評論：“法國國家信息與自由委員會還發現，允許用戶拒絕cookie的按鈕位于第二個窗口底部，但標注的卻是‘接受cookie’。”該機構表示，這些網站的機制均通過“影響互聯網用戶同意自由”的程序，阻止用戶拒絕cookie。
Facebook母公司Meta的發言人說：“我們正在評估該部門的決定，并繼續致力于與相關部門合作。我們的cookie同意控制措施為用戶提供了對其個人數據的較大控制權，包括在Facebook和Instagram上新增一個設置菜單，支持用戶隨時重新查看和管理自己的決定，并且我們將繼續開發和完善這些控制措施。”
谷歌的發言人表示：“人們相信我們會尊重他們的隱私權并保障他們的安全。我們深知我們有責任保護這種信任，并承諾根據《電子隱私指令》的規定，以此次決定為基礎繼續做出調整，同法國國家信息與自由委員會密切合作。”
“黑暗模式”
這并非Facebook和谷歌首次被指控使用黑暗模式這種有欺騙性的設計，誘導用戶放棄他們的隱私。
幾年前，《通用數據保護條例》正式頒布后不久，歐洲各地的消費者團體曾經向國家隱私監管機構請求調查黑暗模式。挪威消費者協會（Norwegian Consumer Council）作為該行動的主要發起者，曾經正式向挪威的數據保護監管機構投訴谷歌。
但根據《通用數據保護條例》下的“一站式”機制，這類投訴應該由公司歐洲總部所在國家的監管機構處理，而大部分大型科技公司的總部都位于愛爾蘭。因此，這項投訴被轉交給愛爾蘭數據保護委員會（Irish Data Protection Commission）。眾所周知，該機構效率低下并且資金不足，因此該案后來就不了了之了。
法國國家信息與自由委員會避免了這個陷阱，依據《電子隱私指令》針對谷歌和Facebook采取行動。該機構在1月6日的聲明中反復提到，其對于在法國境內違反《電子隱私指令》的行為有處以罰款的司法管轄權。
挪威消費者協會的數字政策主管芬恩·米爾斯塔德在1月6日告訴《財富》雜志：“法國國家信息與自由委員會的決定發出了強烈的信號，即網站必須給用戶真正公平的選擇權，不能誘導用戶接受符合公司‘自身利益’的條件。”
美國電子隱私信息中心（Electronic Privacy Information Center）曾經多次向美國聯邦貿易委員會（Federal Trade Commission）投訴黑暗模式。在美國總統喬·拜登政府執政期間，美國聯邦貿易委員會更加支持這類投訴。它在2021年10月曾經表示，將針對“欺騙或引誘消費者選擇訂閱服務”的黑暗模式加大執法力度。（財富中文網）
翻譯：劉進龍
審校：汪皓
Websites regularly try to steer users toward accepting their tracking cookies by making it relatively hard to reject them. On January 6, France's data protection watchdog struck back against such tricks—known in the tech industry as "dark patterns"—by fining Facebook, Google, and YouTube a total of €210 million ($238 million).
The agency, known as CNIL, said the companies' actions violated the French Data Protection Act. Apart from these fines—€60 million for Facebook and €150 million for Google and its video-streaming business—it gave them three months to change how their cookie acceptance/rejection mechanisms work, or face further penalties of €100,000 a day.
Europe's tough online privacy regime really kicked into gear in 2021, when fines under the previously less-than-feared General Data Protection Regulation (GDPR) totaled more than €1 billion, mostly thanks to blockbuster fines for Amazon and WhatsApp, levied in Luxembourg and Ireland respectively.
CNIL's latest fines, however, were underpinned by a different piece of EU legislation: the ePrivacy Directive, which was transposed into French law some two decades ago. Popularly known as the "cookie law," this ancient (in internet time) rulebook was supposed to be replaced five years ago, though the legislative process has repeatedly stalled.
Cookies? Doh!
Users' consent is central to the cookie law and, according to CNIL, Facebook and Google haven't been getting it fairly.
"Several clicks are required to refuse all cookies, against a single one to accept them," the regulator complained regarding Google and YouTube's websites.
The same applies to Facebook's website, with one particularly entertaining added wrinkle—per January 6's statement: “The CNIL also noted that the button allowing the user to refuse cookies is located at the bottom of the second window and is entitled ‘Accept cookies.’” In all these cases, CNIL said, the mechanisms discourage users from refusing cookies, in a process that "affects the freedom of consent of Internet users."
"We are reviewing the authority's decision and remain committed to working with relevant authorities," said a spokesperson for Facebook owner Meta. "Our cookie consent controls provide people with greater control over their data, including a new settings menu on Facebook and Instagram where people can revisit and manage their decisions at any time, and we continue to develop and improve these controls.”
A Google spokesperson said, "People trust us to respect their right to privacy and keep them safe. We understand our responsibility to protect that trust and are committing to further changes and active work with the CNIL in light of this decision under the ePrivacy Directive."
“Dark patterns”
This is not the first time Facebook and Google have been accused of employing dark patterns—essentially deceptive designs—to manipulate people into weakening their privacy.
A few years ago, shortly after the GDPR came into force, consumer groups from across Europe asked national privacy regulators to investigate dark patterns. The Norwegian Consumer Council (NCC), which spearheaded the push, made a formal complaint against Google to Norway's data protection watchdog.
However, under the GDPR's "one stop shop" mechanism, complaints are supposed to be handled by the regulator in the country where the company has its European headquarters—meaning Ireland, for most of Big Tech. So the NCC's complaint got passed to the notoriously slow and underfunded Irish Data Protection Commission, where it has been languishing ever since.
France's CNIL avoided this trap by targeting Google and Facebook under the ePrivacy law. As it repeatedly noted in January 6's statements, it has the jurisdiction to issue fines for ePrivacy violations on French soil.
"The CNIL decision sends a strong signal that users must be given real and fair choices online, and not manipulated into 'accepting' whatever is in the companies' own interest," NCC digital policy chief Finn Myrstad told Fortune on January 6.
Over in the U.S., the Electronic Privacy Information Center (EPIC) has repeatedly complained to the Federal Trade Commission (FTC) about dark patterns. The agency has become more sympathetic to these complaints under the Biden administration. It said last October that it would step up enforcement against dark patterns that "trick or trap consumers into subscription services."
財富中文網所刊載內容之知識產權為財富媒體知識產權有限公司及/或相關權利人專屬所有或持有。未經許可，禁止進行轉載、摘編、復制及建立鏡像等任何使用。
