「Do Not Track」（DNT）は、ユーザーが追跡されたくないことをウェブサイトに伝えるためにブラウザが送信できるシンプルなHTTPヘッダーだ。DNTヘッダーは有望なスタートを切り、10年近く前に主要ブラウザのサポートを得た。現在でもほとんどのウェブブラウザは送信に対応しているが、2020年時点では大多数のウェブサイトがこれを無視するため、ほぼ無意味なものとなっている。特に広告会社は、法的地位が不明確であり、ヘッダーをどう解釈すべきか判断が難しいと主張した。DNTヘッダーの尊重を義務づける法制化の試みも比較的最近あったが、それらはどこにも行き着いていないようだ。これに対し、欧州連合の一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）は、DNTと同じような問題の解決を試みつつ、法的強制力を備えている。

2007年、米連邦取引委員会（FTC）は、広く知られる「Do Not Call」リストにならい、「Do Not Track」リストの作成を求められた［PDF］。これはオンラインで消費者の行動を追跡する広告主のドメイン名のリストで、ユーザーがオプトインすればブラウザがそれらのサイトへのリクエストをブロックできるようにするものだった。しかしこのアプローチは離陸することなく、DNTがヘッダーとして初めて登場したのは2009年、セキュリティ研究者であるChristopher Soghoian、Sid Stamm、Dan Kaminskyの3人が集まってプロトタイプを作成したときだった。SoghoianはDNTの歴史に関する2011年の記事でこう書いている。

2009年7月、私はこの問題を解決しようと決意した。友人にして共同研究者であるSid Stammの協力を得て、外部へ送られるHTTPリクエストに2つのヘッダーを追加するFirefoxアドオンのプロトタイプを組み上げた。

X-Behavioral-Ad-Opt-Out: 1
X-Do-Not-Track: 1

2つのヘッダーを選んだ理由は、多くの広告会社のオプトアウトが、行動データを広告のカスタマイズに利用することだけを停止するものだったからだ。つまり、オプトアウトした後も、彼らは追跡を続けるのである。

ある時点でSoghoianは、Behavioral Advertising Opt Outヘッダーは破棄されたようで、代わりにユーザーが追跡されたくないという意思を伝える単一のヘッダーへと焦点が移ったと述べている。ヘッダーの最終的な形式は文字通りDNT: 1である。

Soghoianがその記事を書いた当時でさえ、広告主にヘッダーを尊重させるのが容易ではないことは明らかだった。

Do Not Trackヘッダーを実装する技術は驚くほど簡単だ――Sid Stammが最初のプロトタイプを作るのに要したのはわずか数分だった。はるかに複雑な問題は、広告ネットワークがヘッダーを受け取ったときに何をすべきかというポリシー上の問いにまつわるものだ。これはいまだに宙に浮いたままである（特に、どの広告ネットワークもヘッダーを探したり尊重したりすることに合意していないのだから）。

問題の一部は、この文脈における「トラッキング」が何を意味するのかを定義することにあった。最初からDNTの取り組みに関わってきた電子フロンティア財団（EFF）は、これを空間、サイバー空間、あるいは時間を超えて、個人の行動や閲覧習慣の記録を結びつけるために利用されうる情報の保持と定義している。EFFの記事では、トラッキングとはみなされない例外もいくつか挙げられており、とりわけ「解析プロバイダー」は許容されている。また同記事は、許容されるファーストパーティ（ブラウザのアドレスバーに表示されるウェブサイト）によるトラッキングと、許容されないサードパーティ（他のドメイン）によるトラッキングを慎重に区別している。

2011年1月のMozilla Firefoxを皮切りに、ブラウザは「驚くほど簡単な」部分の実装を始め、ユーザーが新しいヘッダーの送信をオプトインできるようにした。Microsoftもすぐに追随し、2011年3月にInternet Explorer 9でDNTをサポートした。Appleも2011年4月にSafariで同様に対応した。Googleはやや出遅れたが、Chromeでサポートを追加したのは2012年11月だった。

2011年9月、W3CにTracking Protection Working Group（追跡保護ワーキンググループ）が発足し、ウェブ追跡に関するユーザーの好みを表明するメカニズムや、ウェブ追跡要素のブロックまたは許可のためのメカニズムを定義することで、ユーザーのプライバシーとユーザーコントロールを向上させることを目指した。8年間の活動期間中に、同グループはDNTヘッダーの仕様と、DNTへの準拠が何を意味するかについての実践集を公開した。残念ながら2019年1月、同ワーキンググループは次のような告知とともに閉鎖された。

勧告候補としての最終公開以降、これらの拡張（定義されたもの）の十分な展開がなく、さらなる前進を正当化するに至らず、ユーザーエージェント、サードパーティ、そしてエコシステム全体においても、サポートが計画されている兆候は見られなかった。したがってワーキンググループは作業を終了し、最終成果物を本Noteとして再公開することに決定した。今後の追補は別途公開される。

早くも2012年の時点で、LWNはDNTの見通しが暗いことを報じていた。広告団体が（当然のことながら）反発し、ヘッダーをどう解釈すべきか法的定義も存在しなかったのだ。さらに、Microsoftが2012年5月にInternet Explorer 10でヘッダーをデフォルトで有効にした決定は裏目に出た。DNTは常に消費者の慎重な選択を示すものと意図されていたからだ。Roy Fieldingは、リクエストがInternet Explorer 10からのものであればApacheウェブサーバーでDNTヘッダーを無効化するという変更をコミットしてしまうほどで――GitHubのコミットに対するコメント数で記録を作った可能性さえある。Microsoftは最終的に2015年4月にこのデフォルトを撤回したが、この善意の動きがDNTをめぐる状況を濁らせた可能性は高い。

Reddit、Twitter、Medium、Pinterestなど、いくつかの著名なウェブサイトはDo Not Trackを尊重した。しかし示唆的なことに、今日ではそのうち2サイトがヘッダーを無視している。Redditのプライバシーポリシーでは現在、ウェブサイトがこのシグナルにどう対応すべきかについて合意された標準はなく、我々はこのシグナルに対していかなる対応も取らないとされ、TwitterもDo Not Trackに対する業界標準のアプローチが実現しなかったことを理由に（2017年5月時点で）サポートを打ち切ったと記している。現時点では、MediumとPinterestは依然としてヘッダーに対応している。

AppleのSafariは、期限切れのDo Not Track標準のサポートを失った最初の主要ブラウザとなった――2019年3月にSafariから削除されたのだ。皮肉なことに、Appleが削除の理由として挙げたのはフィンガープリント変数としての潜在的な利用を防ぐためだった。追跡システムは、異なるウェブサイト間でユーザーを追跡するのを助けるために、ユーザーのHTTPヘッダーのフィンガープリントをよく利用するが、利用率の低いDNT: 1ヘッダーはユーザーのヘッダーに独自性を加え、かえって追跡されやすくしてしまう可能性がある。

それ以来、AppleはIntelligent Tracking Prevention（インテリジェント・トラッキング・プリベンション）と呼ぶ仕組みを着実に展開してきた。これは一定期間が経過したサードパーティCookieの利用を防ぎ、クエリ文字列パラメータ（link decoration（リンクデコレーション））を介した追跡の回避にも役立つアプローチだ。Mozillaも2019年9月にFirefoxでサードパーティCookieに対する同様の保護を追加した。Microsoftも2020年1月にリリースされたChromiumベースの新しいEdgeブラウザにトラッキング防止機能を盛り込んだ。収益の多くを広告（そして間接的にはトラッキング）に依存するGoogleでさえ、今後2年間でChromeにおけるサードパーティCookieのサポートを段階的に廃止する計画を発表した。

2014年5月、LWNはPrivacy Badgerについて報じた。これは広告主や他のサードパーティのトラッカーが、あなたがウェブ上のどこへ行き、どのページを見たかを密かに追跡するのを止めるブラウザーアドオンだ。Privacy BadgerはDNTヘッダーを有効化し、ユーザーを追跡している可能性が高いと判断したサードパーティサイトへのリクエストをブロックする（当然のことながら、結果的にほとんどの広告がブロックされる）。Privacy Badgerの目標のひとつは、広告会社にヘッダーを実際に尊重させるよう促すことだ。あるドメインがcompany-domain.com/.well-known/dnt-policy.txtにDNT準拠ポリシーを公開することでDNTを尊重しているとPrivacy Badgerが確認すれば、そのドメインのブロックを解除する。ユーザーにとっては素晴らしいアイデアに聞こえるが、広告主の間ではどうも普及していないようだ。

DNTヘッダーを復活させようとする最近の試みのひとつが、プライバシー重視のインターネットツール（あなたを追跡しない検索エンジンを含む）を開発するDuckDuckGoによるものだ。同社は（2018年11月に）、ウェブサイトの大多数がヘッダーを無視しているにもかかわらず、米国の成人の約23％がDNTを有効にしていることを発見した。2019年5月、DuckDuckGoはThe Do-Not-Track Act of 2019（Do Not Track法案）［PDF］と題する法律の草案を公開し、これが現在の消費者の期待に沿い、人々がオンラインのプライバシーに対するコントロールをより容易に取り戻せるようにする法律を作ることで、この広く使われているブラウザ設定に実効性を持たせることを期待しているとした。同社の提案では、ウェブサイトはサードパーティによるトラッキングを防ぎ、ファーストパーティによるトラッキングについてもユーザーが期待する方法でのみ利用することで、DNTヘッダーを尊重することが求められる。たとえば、サイトはユーザーに地域の天気予報を表示することはできても、ユーザーの位置データを第三者に販売したり共有したりすることはできない。

残念ながら、DuckDuckGoが提案を公開してからの1年間、それについてそれ以上の進展はなかったようだ。ただ、ほぼ同時期に米上院議員のJosh Hawleyが、Dianne Feinstein上院議員とMark Warner上院議員の支持を得て、同様のDo Not Track Actを提出し、商務・科学・運輸委員会に付託された。この法案については過去1年間なんの動きもなく、先へ進む可能性は低いように見える。

2018年6月、W3CワーキンググループはDNTとGDPRを比較する記事を公開した。GDPRでは、ウェブサイトはユーザーを追跡する前にユーザーの同意を得ることが義務づけられており、DNTとは異なり、それは法律によって強制される。同様に、近年のCCPAも法的強制力を持つが、カリフォルニア州で事業を行う企業にのみ適用され、しかも個人情報の「販売」にのみ関わる。法律事務所Davis Wright Tremaine LLPが指摘するように、CCPAをめぐる状況もDNTと同様にほぼ曖昧だ。しかしながら、CCPAの下でどのような追跡活動（例えば、解析のための追跡、ターゲティング広告配信のための追跡など）が「販売」とみなされるのかについては、まだ明確になっていない。前進するためのひとつの可能な道は、DNTに新たな命を吹き込もうとするのではなく、GDPRやCCPAのような取り組みを一般化することかもしれない。

紆余曲折の10年を経て、Do Not Trackヘッダーは、目的地に到達するのに十分な支持を肝心な人々から得られなかったようだ。政治的な取り組みのいずれかがどこかに行き着く可能性はまだ残っているが、可能性はますます低くなっているように見える。私たちの多くがメールのスパムに対処しているのと同様に、Privacy BadgerやDuckDuckGoのブラウザ拡張機能、あるいは各ブラウザの「インテリジェント・トラッキング・プリベンション」といった仕組みなど、トラッキングリクエストをフィルタリングする技術的解決策に頼らざるを得ないのかもしれない。