摘要

  • 美国联邦贸易委员会在2000 年 2 月宣布调查 DoubleClick。2001 年 1 月 22 日结案信写明：调查人员没有发现 DoubleClick 已把 Abacus Direct 的实名资料与客户网站的非实名浏览记录合并的迹象，遂结束调查。
  • 同一封信指出，DoubleClick 用一枚 cookie 保存用户的退出选择。某些浏览器的全面拒收 cookie 设置也会删掉这枚标记。公司承诺说明：用户日后重新允许 cookie，必须再退出一次。
  • DoubleClick 还承诺披露透明图片追踪，并修正邮件名单相关声明。公司在2002 年提交 SEC 的年报中，把浏览器拦截 cookie 列为影响广告定向和效果统计的商业风险。

一句“不跟踪”也需要住址

浏览器里可能同时有两枚来自广告公司的 cookie：一枚帮助识别浏览器，另一枚告诉公司这台浏览器已经退出。用户进入设置，选择更强的办法——一概拒收 cookie。在 FTC 描述的某些浏览器上，两枚都被清掉。全面拦截仍在生效时，依赖 cookie 的常规追踪途径也被拦住。真正的麻烦发生在下一步：为了使用某个网站，用户重新允许 cookie；原来的退出标记却不会自行回来。公司需要用户再次发出拒绝，才能从 cookie 中读到它。

这条状态转换写在美国联邦贸易委员会致 DoubleClick 的结案信里。公司允许用户通过申请“退出 cookie”停止信息收集；部分浏览器在用户选择“不接受或发送 cookie”的总体设置时，也删掉退出 cookie。DoubleClick 同意在下一版隐私政策中解释，若用户日后再接受 cookie，就得重新退出。一个听上去只需做一次的决定，被浏览器设置变成需要维护的状态。

结案信没有计算受影响人数，也没有列出某位用户重新开启 cookie 后收到定向广告的记录。它给出的条件却足够具体：浏览器删除退出标记，用户随后恢复接收 cookie，而没有再次申请退出。全面拦截期间，广告 cookie 无法照常工作；问题在恢复接收时出现。把这两个时点混为一谈，就看不清真正的漏洞。

大数据库没有被合并，细小的承诺仍要修

FTC 在2000 年 2 月的公开声明中说，工作人员正调查 DoubleClick 的做法是否违反禁止不公平或欺骗性行为的规定，并确认公司配合。调查的显眼部分与 Abacus Direct 有关。DoubleClick 收购了这家持有线下个人身份资料的直销公司；自己的广告网络则在客户网站记录非实名点击与浏览。监管机构关心两套资料有没有接在一起，以及敏感资料是否按公开承诺使用。

2001 年结案信说，工作人员看来没有发现 Abacus 的实名资料与客户网站点击流被合并，也没有发现个人资料被用于隐私政策之外的目的，或敏感资料被违背承诺用于偏好营销。调查因此关闭；FTC 保留之后采取行动的权利。标题里最响的数据库问题未获证实，信里仍留下好几处产品运行方式与告知内容之间的缝。

DoubleClick 使用透明 GIF 图片，也就是所谓 web bug，记录用户在网站内的移动并收集信息。公司答应在下一版政策中说明用途。它的 Internet Address Finder 服务宣称不出售姓名、地址或电子邮件名单，但由营销伙伴管理的一份自愿登记促销邮件名单构成例外；公司同意把例外写清楚。退出 cookie 是第三处：公告一项选择，同时也要交代选择在哪种浏览器操作之后消失。

FTC 还描述了 Boomerang 产品：它把一个网站上的用户数据用于在其他网站向同一用户投放广告。信中说，该产品所用画像只含非个人身份资料。对新客户，DoubleClick 合同要求网站先在隐私政策中披露使用该服务，才实施产品。公司还同意在商业发布未来受 Network Advertising Initiative 原则约束的产品之前通知 FTC。广告公司、客户网站和浏览器分别掌握一段流程，用户的选择却要穿过这三段。

卖广告的工具，也装着退出按钮

DoubleClick 在2002 年 10-K中把浏览器拦截 cookie 写成业务风险：广告定向、报告与客户需求可能受到影响。cookie 是它售卖服务的组成部分。用户全面拒绝 cookie，会切断广告网络的一项工作能力。与此同时，记录“不参与这项能力”的例外也以 cookie 存放。商业工具和退出通道共用一个可以被清空的容器。

服务器能读取一枚表示拒绝的 cookie，却不能从已经删除的 cookie 里复原拒绝。用户重新开启接收后，常规广告处理可以继续；特殊退出标记不会自动再现。更清楚的隐私政策能告诉用户要重做选择，却不能让已经丢失的状态在服务器一侧复活。FTC 信中记录的是披露承诺，原有的状态机器仍靠用户自己看守。

责任也容易被分散。浏览器决定何时清理本地数据；DoubleClick 决定以 cookie 保存退出以及服务器如何识别；客户网站提供广告运行的页面和自身的告知；FTC 检查说法与做法是否吻合。用户按下全面拦截按钮，只控制本地一段，无法命令广告公司记住一枚已被删除的标记。这个小小的“忘记”，跨越了整个网络广告供应链。

案子结了，“不”还要重说

2001 年的信结束调查，留下若干披露承诺和对未来行动的保留。它没有给 DoubleClick 开罚单，也没有替用户设计一个不依赖 cookie 的永久退出登记。互联网隐私史常用巨大数据库和抽象同意来讲故事；这里更有力的问题是“拒绝放在哪里，清空那里会发生什么”。

若要证明某个用户在重新开启 cookie 后实际收到定向广告，需要那台浏览器的设置与 cookie 变动记录，以及广告服务日志。结案信没有这些个案材料。它已经把需要再次退出的路径写清楚：某些浏览器删除了退出 cookie，之后再允许 cookie，拒绝就需要重新登记。

DoubleClick 可以说自己提供了选择，浏览器可以说自己提供了更强的屏蔽。用户有理由以为后者会加固前者。在 FTC 记下的配置中，后者恰好擦掉了前者的记忆。公司的修补是告诉用户记得再说一遍“不”。机器失去记忆的代价，被交给了那个想离开广告网络的人。