That Privacy Guy

Alexander Hanff，国际公认的隐私专家，为全球组织提供 GDPR 合规、AI 治理与隐私设计的咨询服务。

Shopify 自己的代码在它托管的每个商店都把沉默当作同意

作者审计了普通 Shopify 商店在欧盟环境下的实际行为：在其 5 分钟无交互会话中，Shopify 的 consent-tracking-api.js 把“无 consent 记录”解释为允许处理（analytics、marketing、sale_of_data 均默认 true）；payload 里 user_can_be_tracked 被写成 false 后仍照常上报；Shopify 还主动向 monorail 端发送 consent 元数据，声称存在分析/营销等同意。文章结合 ePrivacy 5(3)、GDPR 4(11) 与 Planet49、IAB Europe C-604/22，论证 Shopify 是 GDPR 控制者而非“管道”：Appendix E 明确 Shopify 对增强服务数据负控制者义务，但要求商家承担获取同意的合同责任。此外 Shopify 在 DSA 透明度报告里对平均月活接收方数字留白，并暗示其 EU 用户规模低于 45M VLOP 阈值；作者援引 Zalando T-348/23 与 DSA Recital 77 说明 B2B/托管说辞不成立，且 875M 年购买者、EMEA 营收 21% 等口径使 45M 阈值极可能被低估。作者已向爱尔兰 DPC 与马耳他 DSC 提交两份投诉，要求确认控制者身份、调取源码与 DPA、解释为何发送被标记不可跟踪的数据，并请求以 S.I. 336/2011 第 5/17/26 条追究。整体是一手技术取证 + 法律推理，指向平台默认同意、数据合规与监管规避的结构性冲突。

收藏5 天前

隐私专家向Anthropic发出停止侵权通知：Claude Desktop涉嫌违规安装组件

隐私专家Alexander Hanff因Claude Desktop未经同意安装Native Messaging Bridges，向Anthropic发出停止侵权通知。此举源于此前曝光的“间谍软件”争议，目前Anthropic保持沉默。作者要求72小时内更新移除相关组件，否则将提起刑事和民事诉讼。此事在Hacker News及全球媒体引发广泛关注，涉及欧盟ePrivacy指令合规性及用户数据权限，极具争议性。

收藏88 天前

Google Gemini自称对特朗普实施“结构性保护”

作者实测Gemini在回答“世界最大威胁”时，对普京、习主席直言不讳，却对特朗普使用“结构性保护”话术，甚至承认因安全护栏而软化事实。结合慕尼黑法院判定AI生成内容属Google自身言论的判例，文章指出这不仅是算法偏见，更是可能违反欧盟DSA法规的系统性风险。

收藏91 天前

联合国一边要求AI问责，一边在自己的网站上运行Google广告技术

隐私专家通过密码学签名数据证明，联合国官网在无任何同意机制下，加载了Google广告追踪栈，涉及大量设备指纹和存储操作，并估算出每年额外的碳排放。文章指出，作为人权捍卫者的联合国不应享有法律豁免权来逃避道德责任，要求其在180天内移除所有第三方追踪脚本。这种“严以律人、宽以待己”的双重标准极具争议性，直接挑战国际组织的公信力。

收藏96 天前

Managed to get a criminal investigation into adtech

收藏98 天前

Chrome所有隐私漏洞详解及检测指南

作者基于20年隐私保护经验，提供了一份Chrome客户端隐私漏洞的取证级参考指南。文章详细列举了30多种指纹识别技术（如Canvas、WebGL、WebGPU、音频、字体枚举等），指出Chrome几乎没有任何内置防御措施，且Google已放弃Privacy Sandbox的相关缓解方案。同时，文章深入分析了Cookie、存储和追踪机制，包括第三方Cookie的现状、CHIPS以及反弹追踪等。核心亮点在于提供了一套基于Manifest V3扩展和Chrome Debugger API的检测架构，指导开发者如何通过拦截API来发现这些隐蔽的追踪行为。内容极具技术深度和实战价值，适合关注浏览器安全、隐私保护和前端工程的技术读者。

收藏103 天前

我告诉他们强制同意是非法的。五年后，这让Elkjop付出了180万欧元的代价

作者五年前指出某零售商Elkjop强制获取用户同意的方式违法，如今该观点被证实，导致公司被罚180万欧元。这是一篇关于GDPR合规实战和个人坚持法律正确性带来长期回报的一手经验分享，具有很强的警示意义和讨论价值。

收藏104 天前

亚马逊 Ring “熟悉面孔”功能：隐私与环保的双重风暴

深度解析亚马逊 Ring “熟悉面孔”功能的隐私与法律风险。文章指出该功能在云端而非本地处理生物识别数据，导致未经同意的路人生物特征被存储，违反 GDPR。作者从硬件能力、法律豁免权缺失及联合控制者责任角度论证亚马逊的设计选择存在严重合规问题，并引用参议院信函揭示其数据使用策略的模糊性。

收藏118 天前

Google在设备塞入AI模型后悄悄撤回了隐私承诺

作者指出Chrome在静默安装Gemini Nano模型后，悄悄移除了设置界面中关于“数据不上传服务器”的隐私承诺。文章从GDPR、FTC和DMA法规角度分析，认为这可能构成误导性商业行为或违反守门人义务。作者要求Google公开解释移除原因、恢复准确文本或说明失效时间，并将静默推送改为明确的授权同意机制。这是一篇具有强烈法律和技术批判色彩的分析，直接挑战大厂合规性。

收藏145 天前

Chrome静默安装4GB AI模型：未经同意的本地模型推送与法律风险

作者通过macOS内核日志确凿证据，指出Chrome在未获用户同意的情况下，静默下载并安装4GB的Gemini Nano本地AI模型。文章详细拆解了这一行为的隐蔽性、自动重装机制，并对比了Anthropic的类似操作。核心争议在于：用户承担了存储和带宽成本，但Chrome显眼的AI功能实际仍走云端，本地模型仅作为后台资产。作者从法律角度指出这违反了ePrivacy指令和GDPR关于知情同意和数据最小化的原则，认为这是严重的信任滥用和环境负担。

收藏148 天前

Bolt's ChatBot Runs Amok

收藏156 天前

Anthropic 在我的电脑上静默安装了间谍软件后门？

作者发现安装 Anthropic 的 Claude Desktop 后，其静默向本地所有主流 Chromium 浏览器注册了 Native Messaging Host。这相当于在用户未授权、未告知的情况下，为 Claude 扩展程序预留了绕过浏览器沙箱、直接以用户权限执行代码的后门。作者通过日志和系统属性证实该行为由 Claude Desktop 自动完成且重启后恢复，并指出这违反了隐私法规且存在严重安全隐患，属于典型的 Dark Pattern。

收藏163 天前