הגולשים יצטרכו לאכול את העוגיות

מאת יובל דרור

שופטת בית משפט פדרלי בארה"ב קבעה שהשימוש שנעשה על ידי סוכנויות הפרסום המקוונות בעוגיות (Cookies) , במטרה לעקוב אחר פעולות הגולשים באתרי האינטרנט, אינו מפר חוקים פדרליים. פסיקה זו נחשבת לתקדימית, לאור הדרך שבה בחנה השופטת אם ניתן ליישם את החוקים הפדרליים הקיימים על האינטרנט. זו גם הפעם הראשונה ששיטת מעקב אחר הגולשים קיבלה לגיטימציה של בית המשפט.



העוגיות הן קבצים קטנטנים הנשלחים על ידי אתרי האינטרנט לכונן הקשיח של המשתמש. קבצים אלה מזהים את הגולש - בדרך כלל באמצעות מספר סידורי - ובכך מאפשרים לאתר להתאים את שירותיו למשתמש באופן אישי.

פרופיל של המשתמש

באמצעות קבצים אלה יכולים מפעילי האתר לעקוב אחר פעולותיהם של הגולשים, ולספק למנהלי האתר מידע על השירותים הפופולריים בתוכו. ואולם מה שנראה כמו שירות לגולש, נהפך לבעייתי כאשר גוף אחד מרכז מידע שהגיע ממאות אתרים, מנתח אותו, ומייצר פרופיל אישי על המשתמשים.



מסיבה זו הגישו כמה קבוצות מ-13 מדינות בארה"ב, תביעות משפטיות נגד חברת הפרסום המקוונת דאבל-קליק (DoubleClick) , שמפיצה פרסומות לכ-1,100 אתרים ברחבי האינטרנט, ועוקבת אחרי תנועות המשתמשים ופעולותיהם ברשת - באמצעות קובצי העוגיות שהיא שולחת אליהם.



מפסיקת שופטת בית המשפט הפדרלי במדינת ניו יורק, נעמי ריס בוצ'וולד, עולה כי דאבל-קליק נוהגת לעקוב אחר הגולשים באמצעות הצלבה של כמה מקורות מידע: החברה אוספת את בקשותיהם של הגולשים מהאתרים (פעולה המכונה GET) ; בהמשך היא מנתחת את המידע שמנדבים הגולשים על עצמם בשעה שהם נרשמים לקבוצת דיון או לעלון אלקטרוני (פעולה המכונה POST) ; ולבסוף היא מנתחת את פעולותיהם של הגולשים באתרי האינטרנט שאליהם היא מפיצה את הפרסומות שלה.



מהפסיקה עולה כי המידע שאוספת החברה מנותח באופן שיטתי - במטרה ליצור פרופיל דמוגרפי של הגולש. באמצעות העוגייה שנשלחת אל הגולש, יודעת החברה לזהותו, ולהציג בפניו - על סמך הפרופיל שברשותה - פרסומות המתאימות לתחומי העניין שלו ולפעילותו באתרי האינטרנט של לקוחותיה.



לטענת התובעים, שאיחדו ביולי 2000 את תביעותיהם לבקשה לתביעה ייצוגית נגד דאבל-קליק, החברה עברה על שלושה חוקים פדרליים שונים: חוק הפרטיות האלקטרוני - שחוקק במקור נגד האקרים; חוק האזנת סתר - היוצא נגד ציתות למטרות בלתי חוקיות, וחוק הונאות מחשב - האוסר גישה ללא רשות למחשב זר.



בפסק הדין, המשתרע על פני 71 עמודים, קבעה בוצ'וולד כי התובעים לא הצליחו להוכיח שבפעולותיה עברה דאבל-קליק על אחד מהחוקים הפדרליים, וכי לכן היא דוחה את הבקשה לאישור התביעה הייצוגית. ב"ניו יורק טיימס", שדיווח על הפרשה, צוין כי בוצ'וולד בחרה שלא להסתפק בכך, וקבעה כי המחוקק האמריקאי כלל לא התכוון למנוע את השיטות שבהן משתמשת דאבל-קליק כדי לאסוף מידע על הגולשים.



"שיטותיה של דאבל-קליק, ודאגות הציבור בגינן", כתבה השופטת, "אינן מוכרות כלל לקונגרס, וזאת אף שהוא נמצא בשלבי חקיקת חוקים שיעסקו בסוגיה". לדבריה, כל עוד הקונגרס בחר שלא לומר את דברו באמצעות חוקים מתאימים, יימנע בית המשפט מפסילת שיטותיה של דאבל-קליק.

מי מאשר את החדירה למחשב המשתמש

אחת הטענות המשפטיות שהעלו התובעים, היתה כי שיטות איסוף המידע של דאבל-קליק באמצעות זיהוי המשתמשים על ידי עוגייה, מפירות את החוקים המחייבים גוף שלישי לבקש את אישור המשתמש לחדור למחשב שלו. התובעים טענו שהגולשים אינם מודעים לחדירה - ולכן גם לא אישרו אותה.



ואולם השופטת בחרה לפרש את המונח "משתמש" באופן רחב, וקבעה שבמקרה זה המשתמש יכול להיות גם אתר האינטרנט שבו ביקר הגולש, וזה כידוע, אישר לדאבל-קליק לעקוב אחר הגולשים בו. סטיוארט בייקר, מומחה לתחום הריגול באינטרנט, אמר ל"ניו יורק טיימס" כי פסיקתה של השופטת מזכירה מקרה שבו שני אנשים מדברים בטלפון, ואחד המשוחחים נתן את רשותו לגוף שלישי להאזין לשיחה.



ואולם פרשנים משפטיים טוענים כי התייחסותה של השופטת למונח משתמש היא בעייתית. פול שוורץ, מומחה למשפט מאוניברסיטת ברוקלין, אמר כי פסיקתה של השופטת חסרת כל היגיון: "בוצ'וולד קבעה כי אתר האינטרנט הוא המשתמש, וכי מסיבה זו הוא יכול לתת אישור לדאבל-קליק. אם זה המצב, מהו גולש האינטרנט?"



למרות פסיקתה של בוצ'וולד, הדיון בסוגיה רחוק מלהגיע לסוף דרכו. נגד דאבל-קליק תלויות תביעות במדינות כמו קליפורניה וטקסס, והתובעים בניו יורק כבר הודיעו שיערערו על החלטת השופטת בפני בית המשפט לערעורים במנהטן.