Even if it were disabled by default, the feature would still be dangerous:
“opt in, once and for all” for a risky practice, where the risk
varies depending on details, invites carelessness. To protect users'
privacy, systems should make prudence easy: when a local search program has
a network search feature, it should be up to the user to choose network
search explicitly<em>each time</em>. This is easy: all it takes is to have
separate buttons for network searches and local searches, as earlier
versions of Ubuntu did. A network search feature should also inform the
user clearly and concretely about who will get what personal information of
hers, if and when she uses the feature.
Incluso si estuviese desactivada por omisión, la funcionalidad podría
seguir siendo peligrosa: «actívela una vez y para siempre» es una práctica
peligrosa donde los riesgos varían dependiendo de los detalles, invitando
al descuido. Para proteger la privacidad de los usuarios, los sistemas
deben facilitar la prudencia: cuando en una búsqueda local un programa
realiza una búsuqeda en la red, debe ser decisión del usuario escoger la
búsqueda ampliada explícitamente<em>cada vez</em>. Esto es fácil: sólo es
necesario tener botones separados para búsquedas locales y búsquedas en la
red, como hacían las versiones anteriores de Ubuntu. Una funcionalidad de
búsqueda en la red debe también informar al usuario clara y explícitamente
sobre quién puede obtener esa información personal y cuándo se está usando
esa característica.