摘要

  • FTC 的 1998 年投诉称，GeoCities 对会员资料用途的隐私说明，与资料后来被披露给广告商和其他第三方的做法不一致。
  • 1999 年最终同意令把这场争议变成一组可执行的操作：说明谁收集和接收资料、取得儿童家长同意、让用户访问或删除资料，并向第三方追索副本。

删除按钮后面，是孩子做过的页面

命令对旧资料设定期限：在规定情形下，如果家长没有明确同意继续保留和披露儿童资料，GeoCities 必须停止使用并在十天内删除；其中包括儿童的个人主页和邮箱账号。这个结果很具体。它把隐私争议从一张入会表格，带到了孩子在网站上建立的东西。

事情起于一个看上去简单的儿童俱乐部。GeoKidz Club 位于 GeoCities 的 Enchanted Forest 儿童社区。申请人需要先成为 GeoCities 会员，再填写姓名、年龄、电邮、GeoCities 主页地址和性别。FTC 投诉称，网页呈现的是 GeoCities 自己的俱乐部和比赛，但负责组织活动的 Community Leaders 实际收集并保管儿童资料。

这让“网站是谁”成了操作问题。用户把资料交给一个熟悉的社区；背后的活动负责人可能是另一方。平台借出页面、受众和品牌时，也把一个问题留给用户：到底是哪一方拿到了提交后的记录？

FTC 在 1998 年 8 月的草拟投诉，把 GeoCities 描述为拥有超过 180 万会员、分布在 40 个主题社区的网站。投诉统计，截至 1998 年 5 月 18 日，约有 5 万名会员未满 13 岁。入会申请要求若干个人资料，也把教育程度、收入、婚姻状况、职业和兴趣列为“可选”。“特别优惠”默认勾选接收，会员需要主动改掉。

广告并非秘密：投诉说 GeoCities 出售广告，也用会员兴趣和所在社区来支持定向推广。争议在于网站对资料使用范围作了什么说明。FTC 指控其隐私声明表示，申请资料只用于会员主动索取的特定广告或产品服务；“可选”资料未经许可不会给第三方。投诉又称，GeoCities 把个人信息出售、出租或以其他方式披露给第三方，供超出会员许可的用途使用，包括依据会员选择的社区向其投放未请求的广告。

儿童活动带出了第二条边界。FTC 认为，GeoCities 页面让家长和儿童看到的是站内的儿童俱乐部与比赛，实际填表后却由 Community Leaders 收集并保管信息。页面上的主办者、表格的接收者和记录的持有人，可能不是同一个人；投诉称，网站的呈现没有把这条链说清楚。

先有公开评论，再有最终命令

1998 年 8 月 13 日，FTC 宣布 GeoCities 接受一项拟议和解，之后开放 60 天公众评论。公司承认的是委员会管辖权等程序事实，并同意接受和解程序；协议明说，这不等于承认违法或承认投诉里其他事实为真。这是一项协商形成的命令，不是经过庭审作出的事实判决。

委员会在 1999 年 2 月 5 日签发决定和命令。FTC 于 2 月 12 日宣布命令经评论期后正式生效，表决为 4 比 0。最终文本还加入一项调整：只要符合 1998 年《儿童在线隐私保护法》的规定，GeoCities 可以收集或使用儿童个人资料。

命令把隐私通知放回资料被收集的位置。GeoCities 必须在首页和各个信息收集处提供清楚醒目的说明：收集什么、打算如何使用、会给哪些第三方、用户如何访问、如何要求移除，以及删除有哪些限制。隐私政策要能从首页找到，也要从填写资料的页面直接到达。

对 12 岁及以下儿童，GeoCities 必须设置明确的家长同意流程。网站可以先收集范围有限的筛查信息，以识别儿童并联系家长；若 20 天内没有获得同意，就必须删除儿童资料，只能留下阻止其再次未经批准注册所需的少量信息。

旧资料则有不同的收件人与步骤。针对已披露给 CMG Information Services 的 12 岁以上用户，命令要求 GeoCities 通知并提供删除途径；对 1998 年 5 月 20 日以前收集的儿童资料，则通知家长。若家长在 20 天内没有明确同意继续保留和披露，GeoCities 要在十天内停止使用并删除，儿童主页和邮箱也在其中。网站还必须联系资料曾经去过的第三方，请对方停止继续披露并删除副本。

从这里开始，平台不能只修自己的网站。命令要求 GeoCities 取得第三方和 Community Leaders 的书面承诺；在规定的不配合情形下，它要终止与第三方的业务往来，或取消相关人员的 Community Leader 身份。承担责任的主体被放在有能力识别收件人、传递指令和结束关系的一方。

FTC 案卷写明 GeoCities 必须向第三方提出什么请求，却没有追踪每个收件人后来是否真的删除；收件方的履行记录会补上这一事实。

删除也有界线。网站可以为系统维护、备份、阻止儿童未经同意再次注册或回应法律程序，在异地备份中保留部分信息。GeoCities 必须说明这种保留；除执法机关或法院要求外，不得对外披露这些备份资料。命令要求的是一条可说明、可操作的删除路径，连同路径碰不到的备份边界。

“社区”不能替代收件人名单

FTC 称这是它首宗互联网隐私案件。它留下的历史意义不在“隐私”两个字，而在清单：用户填了什么、为何收集、谁拿到资料、怎样查阅、如何删除，以及网站如何处理外部副本。一个抽象声明因此被拆成表单、收件人和截止日期。

委员 Orson Swindle 对命令的范围也说得很明确。他支持这件个案中的最终命令，但表示这不代表他支持用法律或规章把同样要求施加给所有商业网站。委员会在这里约束的是 GeoCities；更大范围的政策争论仍在继续。

GeoCities 必须为用户在它的名字下体验到的服务负责。浏览器里的社区是入口；命令沿着表格和资料副本向后追踪。平台若提供活动场地、聚集受众并借出品牌，就得说清谁碰过资料，并让这些人回应它的要求。

来源