Cookie的隱私保護(hù)欲商業(yè)利用

何懿文

近期，蘋果被FBI要求解鎖iPhone一事引發(fā)了各界的討論。由于蘋果公司拒絕協(xié)助美國(guó)聯(lián)邦調(diào)查局（FBI）進(jìn)行手機(jī)解密，使得雙方的輿論戰(zhàn)不斷升級(jí)，也使個(gè)人隱私問(wèn)題再次成為公眾關(guān)注的焦點(diǎn)。就在今年2月29日，紐約州地方法官在一起有關(guān)iPhone解鎖的案件中判定，F(xiàn)BI不能利用現(xiàn)有的法案強(qiáng)迫蘋果公司解鎖iPhone手機(jī)。對(duì)于科技公司而言，這是一項(xiàng)重要?jiǎng)倮＿@意味著公權(quán)力未必可以大到能侵犯?jìng)€(gè)人權(quán)利的程度。

不過(guò)，與公權(quán)力可能侵犯到個(gè)人隱私相比，在互聯(lián)網(wǎng)大數(shù)據(jù)時(shí)代，科技自身存在的漏洞所導(dǎo)致的隱私泄露、賬號(hào)被盜等威脅，卻實(shí)實(shí)在在影響著每位網(wǎng)民的生活。2016年年初，蘋果修復(fù)了iOS中一個(gè)嚴(yán)重的漏洞Captive Portal。這個(gè)漏洞允許黑客偽裝成終端用戶，獲取網(wǎng)站未加密Cookie的讀寫(xiě)權(quán)限。據(jù)研究人員稱，Captive Portal漏洞可以讓黑客：

（1）進(jìn)行模擬攻擊。黑客可以竊取用戶的未加密（HTTP）的Cookie，然后偽裝成受害者登錄網(wǎng)站；（2）進(jìn)行會(huì)話固定攻擊。黑客會(huì)讓受害者進(jìn)入了黑客控制的賬戶，因?yàn)镃ookie為共享存儲(chǔ)。當(dāng)受害者使用Safari移動(dòng)版瀏覽器瀏覽了受影響的網(wǎng)站時(shí)，他們就登入了黑客的賬戶，而不是自己的；（3）進(jìn)行指定網(wǎng)站的緩存投毒攻擊。黑客會(huì)給受害者返回緩存頭部的HTTP響應(yīng)包。在這種情況下，黑客可以在受害者每次通過(guò)Safari移動(dòng)版瀏覽器連接網(wǎng)站時(shí)，執(zhí)行惡意JS腳本。

蘋果對(duì)可能導(dǎo)致Cookie信息泄露的漏洞所做的修復(fù)，令外界對(duì)如何保護(hù)Cookie個(gè)人信息的問(wèn)題再次高度關(guān)注。實(shí)際上，早在2013年央視的“3·15”晚上會(huì)，央視有關(guān)Cookie的報(bào)道就引發(fā)廣泛爭(zhēng)議。據(jù)央視2013年的“3·15”晚會(huì)報(bào)道，國(guó)內(nèi)多家網(wǎng)絡(luò)廣告公司在用戶不知情的情況下，通過(guò)Cookie采集用戶信息，泄漏用戶個(gè)人隱私。這些公司號(hào)稱擁有少則3億，多則9億的Cookie，這些公司獲取的用戶Cookie，基本都是通過(guò)在別的網(wǎng)站加代碼實(shí)現(xiàn)的。央視引用相關(guān)公司負(fù)責(zé)人的話稱：“這就像一個(gè)蜘蛛網(wǎng)一樣，不管你出現(xiàn)在什么地方，我都可以抓到你。”那么，Cookie到底是什么？它真是一個(gè)極其危險(xiǎn)的東西嗎？又該如何防止Cookie信息泄露？國(guó)外有什么先進(jìn)經(jīng)驗(yàn)可供借鑒？

什么是Cookie

Cookie，有時(shí)也用其復(fù)數(shù)形式Cookies。依據(jù)維基百科，Cookie是某些網(wǎng)站為了能夠辨別用戶的身份，而儲(chǔ)存在用戶本地電腦上的數(shù)據(jù)（一般經(jīng)過(guò)加密）。簡(jiǎn)單地說(shuō)，就是當(dāng)用戶在訪問(wèn)網(wǎng)站時(shí)，該網(wǎng)站會(huì)通過(guò)瀏覽器站建立自己的Cookie，它負(fù)責(zé)儲(chǔ)存用戶在該網(wǎng)站上的一些輸入數(shù)據(jù)與操作記錄，當(dāng)用戶再次瀏覽該網(wǎng)站時(shí)，網(wǎng)站就可以通過(guò)瀏覽器查探針對(duì)該Cookie，并以此識(shí)別用戶身份，從而輸出特定的網(wǎng)頁(yè)內(nèi)容。

Cookie的發(fā)明者名叫LouMontulli，他在1991年發(fā)明的Lynx是最早的網(wǎng)頁(yè)瀏覽器之一。此人在1994年加入馬賽克通訊公司，也就是網(wǎng)景公司的前身。Montulli擁有多項(xiàng)網(wǎng)頁(yè)技術(shù)發(fā)明，包括鏈接標(biāo)簽、服務(wù)器推送/客戶端拉取、HTTP代理和Cookies。根據(jù)Montulli本人介紹，Cookies是以計(jì)算機(jī)科學(xué)名詞“Magic Cookies”所命名的，后者被描述為一種“在程序之間傳遞、讓接收端執(zhí)行某種操作的東西”。在Cookies的幫助下，網(wǎng)景得以率先能夠辨別用戶之前是否訪問(wèn)過(guò)自己的網(wǎng)站，并讓網(wǎng)站有能力去記憶用戶的偏好。

一般來(lái)說(shuō)，每一個(gè)網(wǎng)站都會(huì)有一相對(duì)應(yīng)的Cookie，而且在日常上網(wǎng)行為中，用戶的一舉一動(dòng)幾乎都脫離不了Cookie。例如，當(dāng)用戶在電商網(wǎng)站挑選商品時(shí)，其商品瀏覽記錄、購(gòu)物車狀態(tài)等信息通常都會(huì)先保存在Cookie當(dāng)中，這不僅可以有效緩解服務(wù)器的讀寫(xiě)壓力，而且還能方便用戶下次瀏覽。

但Cookie中存有哪些信息，將視網(wǎng)站而定。業(yè)內(nèi)人士透露，普通網(wǎng)站都不會(huì)存重要的信息，它們僅僅存一個(gè)你的登陸狀態(tài)，也就是你拿用戶名密碼換取的令牌，還有就是網(wǎng)站針對(duì)你的判定（比如你在這個(gè)網(wǎng)站上的唯一標(biāo)識(shí)是什么，你訪問(wèn)的是我們的哪臺(tái)服務(wù)器，你使用的是我們的哪個(gè)版本的產(chǎn)品），這些信息與個(gè)人隱私?jīng)]多大關(guān)系。文藝一點(diǎn)的網(wǎng)站則會(huì)將這些信息進(jìn)行加密，目的是防止別人偽造這些信息欺騙網(wǎng)站。那種在Cookie里存用戶名、密碼的網(wǎng)站并不多見(jiàn)，當(dāng)然，這種網(wǎng)站是極其不安全的，個(gè)人隱私很容易被竊取。

有關(guān)Cookie的爭(zhēng)辯

由于Cookie能對(duì)用戶上網(wǎng)數(shù)據(jù)與行為進(jìn)行記錄和存儲(chǔ)，這使得Cookie成為了網(wǎng)絡(luò)廣告服務(wù)商眼中的“香餑餑”，但隨之而來(lái)的就是可能存在的數(shù)據(jù)被盜和用戶隱私遭泄露的風(fēng)險(xiǎn)。對(duì)Cookie的態(tài)度，業(yè)界分為觀點(diǎn)截然不同的兩個(gè)陣營(yíng)：一個(gè)陣營(yíng)認(rèn)為Cookie已經(jīng)嚴(yán)重威脅到個(gè)人隱私；另一個(gè)陣營(yíng)則認(rèn)為技術(shù)本身無(wú)罪，Cookie只是一種技術(shù)手段，除了它之外還有很多其他手段可以記錄用戶的操作記錄，人們應(yīng)該關(guān)注調(diào)用用戶操作記錄本身，比如說(shuō)有人持刀傷人，我們不該關(guān)心刀的好壞。

關(guān)于Cookie問(wèn)題的爭(zhēng)辯國(guó)內(nèi)外皆有之。美國(guó)、歐盟、日本等地區(qū)針對(duì)DNT和Cookie采集就有兩種截然不同態(tài)度，他們以行業(yè)為陣營(yíng)，各自搖旗吶喊。其中，以廣告商為主的一方反對(duì)改變現(xiàn)狀，堅(jiān)持認(rèn)為Cookie可以幫助提升營(yíng)銷體驗(yàn)和用戶體驗(yàn)；而以瀏覽器廠商為主的一方，則認(rèn)為應(yīng)服從用戶保護(hù)隱私的需求，并相繼推出DNT功能。在國(guó)內(nèi)，這對(duì)矛盾也一直存在。國(guó)內(nèi)的精準(zhǔn)廣告廠商紛紛站出來(lái)宣揚(yáng)Cookie無(wú)罪，并強(qiáng)調(diào)Cookie對(duì)精準(zhǔn)營(yíng)銷的必要，他們希望“聯(lián)合行業(yè)伙伴”，配合相關(guān)政府組織和行業(yè)協(xié)會(huì)制定行業(yè)標(biāo)準(zhǔn)和規(guī)范。在這方陣營(yíng)看來(lái)，Cookie是否侵犯了用戶的隱私關(guān)鍵在于如何使用Cookie，而不是Cookie這項(xiàng)技術(shù)本身。

一、Cookie威脅論

在1996年，有媒體開(kāi)始報(bào)道Cookie對(duì)于隱私可能存在的威脅，公眾才第一次意識(shí)到它們的存在。當(dāng)時(shí)，人們的擔(dān)憂主要集中在Cookie會(huì)在用戶不知曉或未經(jīng)用戶同意的情況下在他們的計(jì)算機(jī)當(dāng)中存儲(chǔ)信息。到了1998年，Cookie引發(fā)民眾高度關(guān)注，以致美國(guó)能源部下屬的計(jì)算機(jī)事件資訊中心對(duì)其展開(kāi)了調(diào)查評(píng)估，并公布了相關(guān)的信息公告。該機(jī)構(gòu)的評(píng)估結(jié)果是：“使用網(wǎng)頁(yè)瀏覽器Cookie幾乎不存在損壞或窺探系統(tǒng)的風(fēng)險(xiǎn)。Cookie只能告訴服務(wù)器你之前是否瀏覽過(guò)該網(wǎng)站，并能夠在你下一次瀏覽時(shí)將少量信息（比如用戶號(hào)碼）從網(wǎng)頁(yè)服務(wù)器傳回其本身……有關(guān)你所處位置和瀏覽歷史的信息已經(jīng)存在于網(wǎng)頁(yè)服務(wù)器的日志文件當(dāng)中，并可用來(lái)追蹤用戶的網(wǎng)頁(yè)瀏覽習(xí)慣，Cookie只不過(guò)把這變得更加容易了。”

在過(guò)去幾年里，美國(guó)聯(lián)邦委員會(huì)（FTC）和谷歌及其他公司就在線隱私問(wèn)題發(fā)生過(guò)多次交鋒。在2012年，谷歌同意就Safari瀏覽器事件支付2250萬(wàn)美元的罰金，原因是該瀏覽器通常會(huì)屏蔽第三方Cookie，而谷歌卻通過(guò)修改代碼的方式繞過(guò)了Safari的默認(rèn)隱私設(shè)置，從而實(shí)現(xiàn)對(duì)于該瀏覽器用戶的追蹤。英國(guó)法庭最近也裁定，Safari用戶可以就Cookie追蹤問(wèn)題起訴谷歌。

在Cookie威脅論者看來(lái)，儲(chǔ)存大量信息的Cookie可能帶來(lái)以下威脅：

首先是安全方面。由于Cookie中可能包含一些用戶名、電腦名、郵箱地址等敏感信息，因此在受到跨站點(diǎn)腳本（Cross site scripting）攻擊時(shí)，用戶電腦中的Cookie就會(huì)面臨被竊取或投毒（竄改Cookie內(nèi)容），雖然Cookie中的內(nèi)容一般都經(jīng)過(guò)加密處理，但這并不能完全保障Cookie的安全性。

其次是用戶隱私方面。由于每當(dāng)用戶訪問(wèn)一個(gè)網(wǎng)站，都會(huì)產(chǎn)生一個(gè)對(duì)應(yīng)的Cookie，因此在遇到網(wǎng)頁(yè)臭蟲(chóng)圖片時(shí)，用戶的上網(wǎng)習(xí)慣被可能被收集，甚至用戶的上網(wǎng)輸入數(shù)據(jù)也會(huì)遭竊取，而央視“3·15”晚會(huì)上所曝光的，正是第三方網(wǎng)絡(luò)廣告公司，直接將圖片掛在用戶當(dāng)前訪問(wèn)的網(wǎng)站上，并以此建立Cookie，搜集用戶上網(wǎng)數(shù)據(jù)。

二、Cookie無(wú)罪倫

也有不少業(yè)內(nèi)人士認(rèn)為，Cookie存在的安全漏洞被某些利益群體故意夸大；更何況，Cookie只是一種技術(shù)手段，它能為互聯(lián)網(wǎng)時(shí)代人們的出行、購(gòu)物等生活所需提供方便，Cookie本身無(wú)罪，有罪的是某些企業(yè)或個(gè)人，通過(guò)Cookie等手段去竊取他人信息的行為，而國(guó)家法律打擊的對(duì)象也理應(yīng)是這些信息竊賊，而不是Cookie。

前端技術(shù)專家楊永林認(rèn)為，Cookie被竊取是一個(gè)比較小概率的事件。因?yàn)槠胀ňW(wǎng)站的Cookie都不會(huì)存儲(chǔ)用戶的重要信息。至于第三方網(wǎng)站通過(guò)在一些大網(wǎng)站打圖片廣告等方式獲取用戶的Cookie信息，這也幾乎是不可能的。因?yàn)橐话愦缶W(wǎng)站只會(huì)把一些簡(jiǎn)單的頁(yè)面信息給第三方網(wǎng)站，比如看了什么視頻啊、新聞啊等等，其目的也是讓廣告主投放的廣告更精準(zhǔn)。至于用戶名、密碼這類，大網(wǎng)站是不可能販賣自己用戶密碼的，這么做沒(méi)有意義。

DCCI互聯(lián)網(wǎng)數(shù)據(jù)中心的創(chuàng)始人、總經(jīng)理胡延平認(rèn)為：“Cookie本身是一個(gè)用戶離不開(kāi)、互聯(lián)網(wǎng)服務(wù)也需要的一個(gè)最基礎(chǔ)的規(guī)范、服務(wù)和工具。Cookie本身是無(wú)罪的，有問(wèn)題的是利用Cookie做事情的人和企業(yè)。如果以Cookie為基礎(chǔ)，去采集用戶的瀏覽信息、瀏覽行為、興趣偏好、個(gè)人信息，包括甚至一些隱秘的個(gè)人隱私等。采集后，如果只用于自己自身服務(wù)的優(yōu)化，也沒(méi)有問(wèn)題。但是，如果把它未經(jīng)用戶許可去轉(zhuǎn)讓給第三方，或者讓第三方以Cookie為基礎(chǔ)采集用戶信息等那就有問(wèn)題。”DCCI發(fā)布的移動(dòng)安全隱私咨詢報(bào)告顯示，有將近70%的移動(dòng)應(yīng)用程序在獲取用戶的核心信息和隱私，其中有近40%是在不知情的情況下，而且跟自身的功能完全無(wú)關(guān)。即使安裝了安全軟件也無(wú)法阻止這些應(yīng)用程序?qū)τ脩綦[私的竊取，獲取的信息包括短信內(nèi)容、通訊錄等用戶最私密信息。

換而言之，Cookie是否侵犯了用戶的隱私關(guān)鍵在于如何使用Cookie，而不是Cookie本身這項(xiàng)技術(shù)。實(shí)際上，關(guān)于Cookie采集和使用用戶信息的邊界很清楚，就是必須讓用戶享有知情權(quán)、選擇權(quán)、許可權(quán)。

美國(guó)科技界就網(wǎng)絡(luò)隱私權(quán)展開(kāi)過(guò)很多爭(zhēng)論?！哆B線》創(chuàng)始人之一凱文·凱利（KK）是一位技術(shù)樂(lè)觀派，他在《技術(shù)元素》一書(shū)中的建議比較大膽：“就我自己而言，我不在意我的動(dòng)向被跟蹤、我的習(xí)慣被保存在聚合數(shù)據(jù)庫(kù)里”。但他有幾點(diǎn)要求（1）我知道什么信息、在哪里、為什么、被誰(shuí)收集。（2）不管他是明著還是暗著收集，我都同意，我也知曉。（3）我有機(jī)會(huì)來(lái)糾正它，并使這些數(shù)據(jù)為自己所用。（4）我這樣做得到一些好處（建議、協(xié)同過(guò)濾、經(jīng)濟(jì)支付）。如果能滿足這以上四個(gè)中間的三個(gè)，KK就贊同這樣的技術(shù)?！叭绻@四個(gè)條件都滿足，我很高興有人監(jiān)視我的一切。只要給我一些報(bào)償或贈(zèng)品，我枯燥的生活就隨你怎么監(jiān)視?！?/p>

KK將這種情況稱為技術(shù)的對(duì)稱性，而《透明的社會(huì)》（The TransparentSociety）的作者大衛(wèi)·布林（DavidBrin）則將之稱為相互問(wèn)責(zé)。比如在鄰里之間，監(jiān)視和安全是硬幣的兩面。隔壁的老太太愛(ài)管閑事，她既有可能干涉你的隱私，比如斥責(zé)你們家開(kāi)派對(duì)的噪音，跟別人說(shuō)你家的飛短流長(zhǎng)；但也可以幫你收郵件包裹，幫著看門，以免竊賊入室。這種關(guān)系比較可以接受，因?yàn)槟阒浪膬?yōu)點(diǎn)和缺點(diǎn)。一流管家也一樣，既了解主人的所需所求，當(dāng)然也在監(jiān)視主人的一切。

COOkie的隱私保護(hù)與商業(yè)利用

發(fā)明Cookie的最初目的其實(shí)是為了簡(jiǎn)化用戶的操作。網(wǎng)站可以利用Cookie跟蹤統(tǒng)計(jì)用戶訪問(wèn)該網(wǎng)站的習(xí)慣，比如訪問(wèn)時(shí)間、時(shí)長(zhǎng)及訪問(wèn)內(nèi)容，一方面為用戶提供個(gè)性化的服務(wù)，另一方面為網(wǎng)站提供用戶信息，以便改進(jìn)經(jīng)營(yíng)策略和提供精準(zhǔn)的廣告投放。例如，如果你在百度搜索某關(guān)鍵字，比如考研成績(jī)后，你就會(huì)在掛有百度聯(lián)盟廣告代碼的網(wǎng)站上看到百度推薦的與考研有關(guān)的廣告信息。類似地，如果你在淘寶搜索了某個(gè)產(chǎn)品，在掛有淘寶聯(lián)盟廣告代碼的網(wǎng)站上你會(huì)看到淘寶推送給你的“精準(zhǔn)營(yíng)銷廣告”。如果沒(méi)有Cookie，用戶每次查看商品都需要重新登錄，每買一件商品就要結(jié)一次賬，這將會(huì)令原本便利的互聯(lián)網(wǎng)體驗(yàn)徒增煩惱。

但是其中的弊端也顯露無(wú)疑。通過(guò)對(duì)Cookie的分析，可以得知用戶的年齡、性別、興趣喜好、收入水平等，如果這些信息被濫用，這就有可能侵犯用戶的隱私。為避免過(guò)度收集此類數(shù)據(jù)而侵犯用戶隱私，W3C（國(guó)際互聯(lián)網(wǎng)聯(lián)盟）發(fā)布“禁止追蹤”標(biāo)準(zhǔn)草案，明確只有在用戶同意下才能存儲(chǔ)及使用用戶信息。目前，國(guó)外多款主流瀏覽器產(chǎn)品都已經(jīng)在新版本加入“禁止追蹤”功能選項(xiàng)。不過(guò)“禁止跟蹤”功能只是告訴網(wǎng)站，用戶不想被跟蹤，但它并不能從技術(shù)上阻止網(wǎng)站放置Cookie、植入Cookie。而最靠譜的莫過(guò)于用戶定期手動(dòng)清除Cookie——雖然聽(tīng)起來(lái)有些難為人，但這卻是用戶獲得互聯(lián)網(wǎng)信息，并兼顧個(gè)人隱私的最穩(wěn)妥的辦法之一。

然而，諸如W3C這種要求網(wǎng)站必須在征得用戶同意之后才能使用Cookies的法令，目前依然存在很大爭(zhēng)議。業(yè)內(nèi)人士認(rèn)為，首先，互聯(lián)網(wǎng)的本質(zhì)之一就是讓信息更加快速的流動(dòng)。這一本質(zhì)是雙向性的，即當(dāng)你隨時(shí)隨地借助互聯(lián)網(wǎng)獲取信息的時(shí)候，你也在無(wú)時(shí)不刻地“出賣”著自己——通過(guò)對(duì)你上網(wǎng)習(xí)慣、興趣與行為的分析和挖掘，互聯(lián)網(wǎng)可能比你自己更懂你。而W3C這種限制Cookie使用的法令，有悖于互聯(lián)網(wǎng)精神。其次，在互聯(lián)網(wǎng)時(shí)代，對(duì)于何為個(gè)人隱私，法律界也有著不同的看法。隱私在法律上并沒(méi)有非常明確的定義，但按照通常說(shuō)法，自己不為人知的信息、不希望他人獲得的信息，對(duì)外也沒(méi)有披露的信息就屬于個(gè)人隱私，它是一種人格權(quán)。北京郵電大學(xué)信息安全中心的副教授和災(zāi)備技術(shù)國(guó)家工程實(shí)驗(yàn)室總工辛陽(yáng)認(rèn)為，傳統(tǒng)隱私指的是一種恥辱感，它跟群體利益、公共利益對(duì)應(yīng)，是個(gè)人的、不想讓別人知道的信息，并且跟羞辱感有關(guān)。到了互聯(lián)網(wǎng)領(lǐng)域，隱私的概念比傳統(tǒng)意義擴(kuò)展了許多，關(guān)鍵在于想不想讓別人知道，所以說(shuō)互聯(lián)網(wǎng)行業(yè)沒(méi)有絕對(duì)的隱私。Cookie跟隱私?jīng)]有必然的聯(lián)系，由于使用方法和程度的不規(guī)范，而絞殺一種技術(shù)，是社會(huì)的倒退。

在業(yè)內(nèi)人士看來(lái)，保護(hù)個(gè)人隱私的開(kāi)關(guān)，仍然掌握在網(wǎng)民及政府的手中。其中的關(guān)鍵，便是依賴于構(gòu)建法律體系。歐洲和美國(guó)，基本已有相關(guān)的立法和案例可以遵循。比如從2012年5月開(kāi)始，歐盟的法律明確規(guī)定，如果用Cookie來(lái)追蹤用戶的使用習(xí)慣，網(wǎng)站必須取得使用者的“明確同意”。而在美國(guó)，更多的制約指向政府行為。在隱私權(quán)活動(dòng)家丹尼爾-布蘭特（Daniel Brandt）的曝光下，中央情報(bào)局（CIA）和國(guó)家安全局（NSA）先后表示，不再在其網(wǎng)站訪問(wèn)者的電腦里存儲(chǔ)Tracking Cookie。

對(duì)于網(wǎng)絡(luò)個(gè)人信息保護(hù)的國(guó)際趨勢(shì)，學(xué)者白正巖總結(jié)出兩條規(guī)律：

（1）增加個(gè)人信息使用的透明度

在搜索領(lǐng)域，Cookie是搜索引擎向用戶提供個(gè)性化服務(wù)及改進(jìn)、完善搜索技術(shù)、搜索算法和經(jīng)營(yíng)策略的重要依據(jù)。由此，全球各大搜索引擎均在增加個(gè)人信息使用透明度的前提下，收集Cookie信息并進(jìn)行機(jī)器學(xué)習(xí)、智能分析，這已成為搜索引擎行業(yè)的慣例及通行做法。

增加個(gè)人信息使用的透明度，告知消費(fèi)者個(gè)人信息數(shù)據(jù)采集行為是目前世界各國(guó)在處理網(wǎng)絡(luò)個(gè)人信息保護(hù)與商業(yè)使用的問(wèn)題上所體現(xiàn)的重要趨勢(shì)。例如，谷歌和百度均在隱私權(quán)策略聲明或者隱私保護(hù)聲明中作出明確提示。

（2）opt-out機(jī)制的廣泛運(yùn)用

保障用戶的選擇權(quán)，是關(guān)于Cookie和個(gè)人信息保護(hù)問(wèn)題的關(guān)鍵之一。從國(guó)際立法制度看，目前互聯(lián)網(wǎng)用戶行使同意權(quán)主要有兩種方式，一種是事前的明示同意，是指在收集、使用個(gè)人信息之前，應(yīng)得到信息主體的明示同意，也稱“opt-in”模式；另一種是默示同意原則，是指可以在未征得信息主體明示同意情況下收集、使用個(gè)人信息，但應(yīng)保障信息主體的知情權(quán)，并提供可拒絕收集和使用的方式，也稱“opt-out”模式。

從國(guó)際立法的趨勢(shì)來(lái)看，采納“opt-out”模式日益普遍。以Cookie為例，“opt-out”模式會(huì)默認(rèn)用戶同意網(wǎng)站搜集Cookie，以此鼓勵(lì)網(wǎng)絡(luò)服務(wù)商根據(jù)用戶信息的分析從而提供更加創(chuàng)新和優(yōu)良的互聯(lián)網(wǎng)產(chǎn)品及服務(wù)，當(dāng)用戶不同意時(shí)再選擇拒絕。我國(guó)《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》也引入了這項(xiàng)基本制度，符合國(guó)際立法趨勢(shì)。

而在中國(guó)這片土地，關(guān)于Cookie，到底哪些操作需要告知用戶，哪些操作是合法的，哪些又是非法的，相關(guān)信息仍是一片真空。在中國(guó)，除了拷貝和照搬歐美的技術(shù)和商業(yè)模式，或許也得參考先進(jìn)的網(wǎng)絡(luò)公民社會(huì)機(jī)制。用戶需要更多地了解技術(shù)的運(yùn)作原理，并發(fā)出自己的聲音；而商業(yè)機(jī)構(gòu)則需要更加透明和自律。除了法律對(duì)互聯(lián)網(wǎng)行為的約束以外，整個(gè)社會(huì)的自律也至關(guān)重要。隨著互聯(lián)網(wǎng)的發(fā)展，開(kāi)放的步伐抵擋不住，隱私會(huì)越來(lái)越少，在整個(gè)社會(huì)道德體制沒(méi)有建立健全的時(shí)候，很多事情都是渾水，目前相關(guān)部門需要做的是盡量讓這潭水變得清澈。