P3P

مشروع منصة تفضيلات الخصوصية ( P3P ) هو بروتوكول قديم يسمح للمواقع الإلكترونية بتحديد استخدامها المُزمع للمعلومات التي تجمعها عن مستخدمي متصفحات الويب . صُمم P3P لمنح المستخدمين مزيدًا من التحكم في معلوماتهم الشخصية أثناء التصفح، وقد طوّره اتحاد شبكة الويب العالمية (W3C) وأوصى به رسميًا في 16 أبريل 2002. توقف تطويره بعد ذلك بفترة وجيزة، ولم يُطبّق إلا في عدد قليل جدًا من المواقع. كان متصفحا إنترنت إكسبلورر ومايكروسوفت إيدج (الإصدار القديم) هما المتصفحان الرئيسيان الوحيدان اللذان يدعمان P3P. أوقفت مايكروسوفت دعمه بدءًا من نظام التشغيل ويندوز 10. لم يعد إنترنت إكسبلورر وإيدج (الإصدار القديم) على ويندوز 10 يدعمان P3P اعتبارًا من عام 2016. ^{[ 3 ]} أعلن اتحاد شبكة الويب العالمية (W3C) رسميًا عن إيقاف P3P في 30 أغسطس 2018. ^{[ 4 ]} صرّح رئيس TRUSTe بأن P3P لم يُطبّق على نطاق واسع لصعوبته وقلة جدواه. ^{[ 5 ]}

مع تحوّل شبكة الإنترنت العالمية إلى وسيلة حقيقية لبيع المنتجات والخدمات، سعت مواقع التجارة الإلكترونية إلى جمع المزيد من المعلومات عن عملائها. لجأت بعض الشركات إلى ممارسات مثيرة للجدل، مثل ملفات تعريف الارتباط للتتبع، لتحديد المعلومات الديموغرافية للمستخدمين وعاداتهم الشرائية، مستخدمةً هذه المعلومات لعرض إعلانات مُستهدفة بدقة. وقد لجأ بعض المستخدمين، الذين اعتبروا ذلك انتهاكًا لخصوصيتهم، إلى تعطيل ملفات تعريف الارتباط HTTP أو استخدام خوادم بروكسي لحماية معلوماتهم الشخصية. صُمم بروتوكول P3P لمنح المستخدمين تحكمًا أدق في نوع المعلومات التي يُفصحون عنها. ووفقًا لاتحاد شبكة الإنترنت العالمية (W3C)، فإن الهدف الرئيسي لبروتوكول P3P هو "تعزيز ثقة المستخدمين في الإنترنت من خلال التمكين التقني". ^{[ 6 ]}

P3P هي لغة قابلة للقراءة آليًا تُساعد في التعبير عن ممارسات إدارة البيانات في المواقع الإلكترونية. تُدير P3P المعلومات من خلال سياسات الخصوصية. عند استخدام موقع إلكتروني لـ P3P، يُحدد مجموعة من السياسات التي تُتيح له توضيح استخداماته المُرادة للمعلومات الشخصية التي قد يتم جمعها من زوار الموقع. وعندما يُقرر المستخدم استخدام P3P، يُحدد مجموعة سياساته الخاصة ويُوضح المعلومات الشخصية التي سيسمح للمواقع التي يزورها بالاطلاع عليها. بعد ذلك، عند زيارة المستخدم لموقع ما، تُقارن P3P المعلومات الشخصية التي يرغب المستخدم في مشاركتها مع المعلومات التي يرغب الخادم في الحصول عليها؛ فإذا لم تتطابق المعلومات، تُبلغ P3P المستخدم وتسأله عما إذا كان يرغب في المتابعة إلى الموقع، مع ما يترتب على ذلك من مخاطرة بتقديم المزيد من المعلومات الشخصية. ^{[ 7 ]} على سبيل المثال، قد يُخزن المستخدم في إعدادات المتصفح عدم جمع معلومات حول عادات تصفحه. إذا نصت سياسة الموقع الإلكتروني على استخدام ملف تعريف ارتباط لهذا الغرض، سيرفض المتصفح ملف تعريف الارتباط تلقائيًا. المحتوى الرئيسي لسياسة الخصوصية هو التالي:

• المعلومات التي يخزنها الخادم:
  • ما نوع المعلومات التي يتم جمعها (معلومات تعريفية أم لا)؛
  • ما هي المعلومات المحددة التي يتم جمعها ( عنوان IP ، عنوان البريد الإلكتروني ، الاسم، إلخ)؛
• استخدام المعلومات التي تم جمعها:
  • كيف يتم استخدام هذه المعلومات (للتنقل العادي، والتتبع، والتخصيص، والتسويق عبر الهاتف، وما إلى ذلك)؛
  • من سيتلقى هذه المعلومات (الشركة الحالية فقط، طرف ثالث، إلخ)؛
• الديمومة والوضوح:
  • مدة تخزين المعلومات؛
  • ما إذا كان بإمكان المستخدم الوصول إلى المعلومات المخزنة وكيف (للقراءة فقط، الاشتراك، إلغاء الاشتراك).

يمكن استرجاع سياسة الخصوصية كملف XML أو تضمينها، بصيغة مختصرة، في ترويسة HTTP . ويمكن تحديد موقع ملف سياسة XML الخاص بمستند معين على النحو التالي:

1. المحدد في رأس HTTP للمستند
2. محدد في رأس HTML للمستند
3. إذا لم يتم تحديد أي مما سبق، فسيتم استخدام الموقع المعروف/w3c/p3p.xml (للمقارنة مع موقع مشابه /favicon.ico).

يُتيح بروتوكول P3P تحديد max-ageنوع التخزين المؤقت. يمكن لملف وهمي /w3c/p3p.xmlاستخدام هذه الميزة:

<META xmlns= "http://www.w3.org/2002/01/P3Pv1" > <POLICY-REFERENCES> <EXPIRY max-age= "10000000" /> <!-- حوالي أربعة أشهر --> </POLICY-REFERENCES> </META>

كان متصفحا مايكروسوفت إنترنت إكسبلورر وإيدج (القديم) المتصفحين الرئيسيين الوحيدين اللذين يدعمان بروتوكول P3P. [ ^{8 ] لم} تُفعّل المتصفحات الأخرى هذا البروتوكول نظرًا لقلة جدواه. يوفر إنترنت إكسبلورر إمكانية عرض سياسات خصوصية P3P، ومقارنة هذه السياسات بإعدادات المتصفح لتحديد ما إذا كان سيتم السماح بملفات تعريف الارتباط من موقع معين أم لا. مع ذلك، تقتصر وظيفة P3P في إنترنت إكسبلورر على حظر ملفات تعريف الارتباط فقط، ولا تُنبه المستخدم إلى أي موقع ويب ينتهك تفضيلات الخصوصية المُفعّلة. تعتبر مايكروسوفت هذه الميزة قديمة في متصفحاتها، وقد أزالت دعم P3P تمامًا من نظام التشغيل ويندوز 10. ^{[ 8 ]}

دعمت موزيلا بعض ميزات P3P لبضع سنوات، ولكن تمت إزالة جميع التعليمات البرمجية المصدرية المتعلقة بـ P3P بحلول عام 2007. ^{[ 9 ]}

تم تطوير خدمة "مكتشف الخصوصية " ^{[ 10 ]} أيضًا بواسطة مختبر الخصوصية والأمان سهل الاستخدام التابع لجامعة كارنيجي ميلون . وهي عبارة عن محرك بحث متاح للجميع، مُفعّل بتقنية P3P. يُمكن للمستخدم إدخال مصطلح بحث مع تحديد تفضيلات الخصوصية الخاصة به، ثم تُعرض له قائمة بنتائج البحث مُرتبة حسب مدى توافق المواقع مع هذه التفضيلات. تعمل هذه الخدمة من خلال فهرسة الويب والاحتفاظ بذاكرة تخزين مؤقتة بتقنية P3P لكل موقع يظهر في استعلام البحث. يتم تحديث ذاكرة التخزين المؤقتة كل 24 ساعة لضمان أن تكون جميع سياسات الخصوصية مُحدثة باستمرار. كما تُتيح الخدمة للمستخدمين تحديد سبب عدم توافق موقع ما مع تفضيلاتهم بسرعة، بالإضافة إلى إمكانية عرض سياسة خصوصية مُولّدة ديناميكيًا بلغة طبيعية استنادًا إلى بيانات P3P. يُعد هذا ميزةً مقارنةً بقراءة سياسة الخصوصية الأصلية المكتوبة بلغة طبيعية على موقع الويب، لأن العديد من سياسات الخصوصية مكتوبة بلغة قانونية مُعقدة للغاية. علاوة على ذلك، في هذه الحالة، لا يحتاج المستخدم إلى زيارة موقع الويب لقراءة سياسة الخصوصية الخاصة به.

يُتيح بروتوكول P3P للمتصفحات فهم سياسات الخصوصية الخاصة بها بطريقة مُبسطة ومنظمة، بدلاً من البحث في جميع أنحاء الموقع الإلكتروني. ومن خلال ضبط إعدادات الخصوصية على مستوى مُعين، يُمكّن المستخدم بروتوكول P3P من حظر أي ملفات تعريف ارتباط قد لا يرغب المستخدم في وجودها على جهازه تلقائيًا. بالإضافة إلى ذلك، يُوضح اتحاد شبكة الويب العالمية (W3C) أن بروتوكول P3P سيسمح للمتصفحات بنقل بيانات المستخدم إلى الخدمات، مما يُعزز في نهاية المطاف مجتمع المشاركة عبر الإنترنت.

بالإضافة إلى ذلك، توصي مجموعة أدوات P3P ^{[ 11 ]،} التي طورتها مؤسسة تعليم الإنترنت، أي شخص مهتم بتعزيز ثقة مستخدميه وحماية خصوصيتهم، بالنظر في تطبيق بروتوكول P3P. يشرح موقع مجموعة أدوات P3P كيف استغلت الشركات بيانات الأفراد للترويج لمنتجات أو خدمات جديدة. علاوة على ذلك، قامت الشركات في السنوات الأخيرة بجمع معلومات الأفراد وإنشاء ملفات تعريفية لهم، ثم تسويقها دون موافقتهم. كما أن هذه البيانات تُساء استخدامها، وندفع نحن كمستهلكين الثمن، فنشعر بالقلق إزاء مشاكل مثل: الرسائل الإلكترونية غير المرغوب فيها، وسرقة الهوية ، وأشكال التمييز؛ لذا فإن تطبيق بروتوكول P3P يُعدّ خطوة جيدة ومفيدة لمتصفحات الويب.

علاوة على ذلك، مع ازدياد عدد المتصفحات، يزداد عدد المستخدمين المعرضين لمشاكل تتعلق بالخصوصية. لكن مؤسسة تعليم الإنترنت تشير إلى أن "بروتوكول P3P قد طُوّر للمساعدة في توجيه قوة التكنولوجيا خطوةً أخرى نحو التواصل التلقائي لممارسات إدارة البيانات وتفضيلات الخصوصية الفردية". ^{[ 11 ]}

انتقد مركز معلومات الخصوصية الإلكترونية (EPIC) بروتوكول P3P، معتبرًا أنه يُصعّب على المستخدمين حماية خصوصيتهم. [ 12 ^{] في عام} 2002، قيّم المركز بروتوكول P3P ووصفه بأنه "سياسة ضعيفة للغاية". ^{[ 12 ]} ووفقًا لمركز EPIC، فإن بعض برامج P3P معقدة للغاية ويصعب على المستخدم العادي فهمها، كما أن العديد من مستخدمي الإنترنت غير ملمين بكيفية استخدام برنامج P3P الافتراضي على أجهزتهم أو كيفية تثبيت برامج P3P إضافية. ومن المخاوف الأخرى أن المواقع الإلكترونية غير ملزمة باستخدام P3P، وكذلك مستخدمو الإنترنت. علاوة على ذلك، يدّعي موقع EPIC أن بروتوكول P3P سيُصبح عبئًا على المتصفح ولن يكون مفيدًا أو فعالًا كما كان مُخططًا له.

تتمثل إحدى المشكلات الرئيسية لاستخدام بروتوكولات P3P في غياب آليات إنفاذ فعّالة. وبالتالي، قد لا تُوفى الوعود المقدمة لمستخدمي هذه البروتوكولات. فعلى الرغم من أن استخدام هذه البروتوكولات يُتيح للشركات/المواقع الإلكترونية ضمان خصوصية بيانات المستخدمين واستخدامها، إلا أنه لا توجد تبعات قانونية حقيقية في حال قررت الشركة استخدام هذه المعلومات لأغراض أخرى. ولا توجد حاليًا قوانين سارية في الولايات المتحدة الأمريكية بشأن حماية البيانات. ورغم أنه من المفترض أن تكون الشركات شفافة بشأن استخدامها للمعلومات الشخصية لعملائها، إلا أنه لا يوجد ما يُلزمها فعليًا بالالتزام بالقواعد التي تدّعي الامتثال لها. وعلى الرغم من أن استخدام بروتوكولات P3P يُعدّ من الناحية الفنية بمثابة عقد، إلا أن غياب التنظيم الفيدرالي يُقلل من أهمية التزام الشركات بهذه القوانين. ^{[ 13 ]}

لا يقتصر الاتفاق على استخدام بروتوكول P3P على فرض وعود غير قابلة للتنفيذ، بل يُطيل أيضًا فترة تطبيق القوانين الفيدرالية التي من شأنها أن تُعيق الوصول إلى المعلومات الخاصة واستخدامها. فلو تدخلت الحكومة لحماية مستخدمي الإنترنت بقوانين فيدرالية تُحدد المعلومات التي يُمكن الوصول إليها، ولوائح مُحددة حول كيفية استخدامها، لما احتفظت الشركات بحرية التصرف التي تتمتع بها الآن في استخدام المعلومات كيفما تشاء، بغض النظر عما قد تُصرّح به للمستخدمين. في عام ٢٠٠٢، جادل كريس هوفناغل، الموظف آنذاك في مركز معلومات الخصوصية الإلكترونية (EPIC)، بأن بروتوكول P3P يُقلل من فرص تنظيم الحكومة للخصوصية. ^{[ ١٤ ]}

يُجادل منتقدو بروتوكول P3P أيضًا بأن المواقع غير المتوافقة معه تُستبعد. ووفقًا لدراسة أجرتها مجموعة CyLab المعنية بحماية الخصوصية في جامعة كارنيجي ميلون ^{[ 15 ]،} فإن 15% فقط من أفضل 5000 موقع إلكتروني تُطبّق بروتوكول P3P. وبالتالي، فإن العديد من المواقع التي لا تتضمن هذا البروتوكول، ولكنها تُطبّق معايير خصوصية عالية، لن تكون متاحة للمستخدمين الذين يعتمدون على بروتوكول P3P كمرجعهم الوحيد لحماية خصوصيتهم على الإنترنت.

يتناول مركز معلومات الخصوصية الإلكترونية (EPIC) أيضًا كيف يمكن لتطوير وتطبيق بروتوكول P3P أن يؤدي إلى احتكار المعلومات الشخصية. فنظرًا لأن الشركات الكبرى هي التي تُطبّق هذا البروتوكول على مواقعها الإلكترونية، فإنها وحدها التي تجمع هذه المعلومات، إذ إن سياسات الخصوصية الخاصة بها هي التي تُراعي تفضيلات المستخدمين فيما يتعلق بالخصوصية. ويذكر موقع EPIC الإلكتروني: "إن التعقيد الهائل لبروتوكول P3P، بالإضافة إلى الطريقة التي من المرجح أن تُطبّق بها المتصفحات الشائعة هذا البروتوكول، يُستبعد استخدامه كتقنية لحماية الخصوصية". ويضيف المركز: "بل قد يُعزز بروتوكول P3P في الواقع احتكار مسوّقي البيانات في الولايات المتحدة للمعلومات الشخصية". ^{[ 12 ]}

قد يُعزى عدم اعتماد هذا النهج فورًا إلى فكرة أنه يعتمد على الإشعار والاختيار، وهو ما لا يتوافق مع مبادئ ممارسات المعلومات العادلة. ووفقًا لرئيس لجنة التجارة الفيدرالية ^{[ 16 ]} ، تُعدّ قوانين الخصوصية أساسية في مجتمعنا اليوم لحماية المستهلك من تقديم معلومات شخصية كثيرة لمصلحة الآخرين. ويرى البعض ضرورة وضع حدٍّ لجمع واستخدام البيانات الشخصية للمستهلك عبر الإنترنت. حاليًا، لا تُلزم القوانين الأمريكية المواقع الإلكترونية بالامتثال لسياسات الخصوصية التي تنشرها، ولذلك يُثير نظام P3P جدلًا بين المستهلكين القلقين بشأن نشر معلوماتهم الشخصية، والذين لا يملكون سوى الاعتماد على بروتوكول P3P لحماية خصوصيتهم.

ونُقل عن مايكل كابلي من شركة IBM قوله ما يلي عندما كانت مؤسسة موزيلا تفكر في إزالة دعم P3P من خط متصفحاتها في عام 2004: ^{[ 17 ]}

آه، يا لها من ذكريات!

لقد قمنا (شركة IBM) بكتابة النسخة الأصلية من بروتوكول P3P، ثم شرعت شركة Netscape في كتابة نسختها الخاصة. وهكذا أهدرت شركتانا وقتاً طويلاً في اقتراح اعتبره الجميع رديئاً منذ البداية.

قم بإزالته.

أوضح لايف لير، مدير العلاقات العامة لشركة أوبرا سوفتوير ، في عام 2001، النقص المتعمد في دعم بروتوكول P3P في متصفحهم: ^{[ 18 ]}

في الوقت الحالي، لسنا متأكدين مما إذا كان بروتوكول P3P هو الحل الأمثل. يُعدّ P3P من بين المواصفات التي ندرس دعمها مستقبلاً. وقد ظهرت بعض المشكلات المتعلقة بمدى فعالية P3P في حماية الخصوصية، ولذلك قررنا الانتظار حتى يتم حلّها.

لا تُعدّ برامج P3P الخيار الوحيد المتاح لمستخدمي الإنترنت الراغبين في ضمان خصوصيتهم . تشمل البدائل الرئيسية لـ P3P استخدام وضع الخصوصية في متصفحات الويب ، وبرامج البريد الإلكتروني المجهولة ، وخوادم البروكسي المجهولة .

قد لا يكون البديل الرئيسي لتقنية P3P هو هذه التقنيات، بل قوانين أكثر صرامة لتنظيم أنواع المعلومات التي يمكن للمواقع الإلكترونية جمعها والاحتفاظ بها من مستخدمي الإنترنت. فعلى سبيل المثال، في أوروبا، يوفر النظام الأوروبي العام لحماية البيانات (GDPR) للأفراد مجموعة من المبادئ حول كيفية جمع المعلومات الشخصية وحقوقهم في حماية بياناتهم الشخصية. ^{[ 19 ]} يسمح هذا النظام للأفراد بالتحكم في نوع المعلومات التي تُجمع عنهم. ويتضمن النظام مبادئ مختلفة، منها حق الفرد في استرجاع البيانات التي جُمعت عنه في أي وقت وفق شروط معينة. علاوة على ذلك، لا يجوز الاحتفاظ بالمعلومات الشخصية للفرد لفترة أطول من اللازم، ولا يجوز استخدامها لأغراض أخرى غير تلك المتفق عليها مسبقًا.

لا يوجد حاليًا في الولايات المتحدة قانون اتحادي يحمي خصوصية المعلومات الشخصية المُشاركة عبر الإنترنت. مع ذلك، توجد بعض القوانين القطاعية على المستويين الاتحادي والولائي التي توفر حماية لأنواع معينة من المعلومات التي تُجمع عن الأفراد. ^{[ 20 ]} على سبيل المثال، يُجيز قانون الإبلاغ الائتماني العادل (FCRA) لعام 1970 لوكالات تقارير المستهلك الكشف عن المعلومات الشخصية فقط في ثلاث حالات محددة: التقييم الائتماني أو الوظيفي أو التأميني؛ أو منحة أو ترخيص حكومي؛ أو "حاجة تجارية مشروعة" تتعلق بالمستهلك. يمكن الاطلاع على قائمة بقوانين الخصوصية القطاعية الأخرى في الولايات المتحدة على موقع دليل خصوصية المستهلك. ^{[ 20 ]}

• خصوصية الإنترنت
• إدارة الهوية
• سياسة الخصوصية
• "عدم التتبع" ، وهو عنوان HTTP رسمي سابقًا يسمح للمستخدمين بإلغاء الاشتراك في التتبع
• التحكم العالمي في الخصوصية

• موقع W3C P3P
  • مواصفات W3C P3P 1.0 ، التي نُشرت كتوصية في عام 2002
  • مواصفات W3C P3P 1.1 ، نُشرت كملاحظة في عام 2006
• بروتوكول P3P في متصفح إنترنت إكسبلورر 6 ( نسخة مؤرشفة من مارس 2014 )
• مركز الديمقراطية والتكنولوجيا: خصوصية P3P
• بيان فيسبوك بشأن بروتوكول P3P (مؤرشف بتاريخ 8 يونيو 2022 في أرشيف الإنترنت )
• بيان جوجل بشأن بروتوكول P3P