Мозъчен тръст казва, че банерът за бисквитки не работи

Ако някога сте кликнали върху „Приемам всички“ на банер за бисквитки, просто за да изчезне, нов работен документ от Bruegel, базиран в Брюксел икономически мозъчен тръст, предполага, че не сте сами и че системата по всяка вероятност никога не е била проектирана да ви даде реален избор на първо място.

Документът твърди, че съгласието за данни по GDPR, правният механизъм, предназначен да даде на европейските граждани контрол върху това как техните лични данни се събират и използват, на практика е „правна и техническа фикция“. Въпреки че Общият регламент за защита на данните изисква съгласието да бъде свободно дадено, конкретно, информирано и недвусмислено, изследователите установяват, че банерите за бисквитки рутинно не успяват да постигнат този стандарт. Вместо ясно да обясняват какви данни се събират, кой ги получава и защо, повечето банери са проектирани да тласкат потребителите към бързо приемане, а не към истинско разбиране.

Това не е периферно оплакване. Това е пряко предизвикателство към една от основните допускания, залегнали в европейското законодателство за защита на данните: че обикновените хора могат смислено да се съгласяват със сложни договорености за обработка на данни, просто като кликнат върху бутон в изскачащ прозорец.

Защо „съгласието“ рядко означава това, което мислите

Изискването за съгласие по GDPR звучи ясно на хартия. Преди уебсайт да може да ви проследява, да споделя данните ви с рекламодатели или да изгради профил на навиците ви за сърфиране, той трябва да поиска разрешение по начин, който действително можете да разберете. В действителност банерите за бисквитки са се превърнали в своеобразен театър. На потребителите се представя плътен правен език, предварително маркирани квадратчета и интерфейси, проектирани така, че „Приемам всички“ да бъде най-лесният път, докато опцията за отказ или персонализиране на настройките е заровена на няколко клика надълбоко.

Този модел не е ограничен до незнайни кътчета на интернет. Дори добре познати потребителски сайтове са се сблъсквали с проверки относно това как структурират съгласието. Един скорошен пример включва популярен онлайн речник, обширният банер за съгласие на dict.cc, който изброява повече от 1700 рекламни и проследяващи партньори зад едно-единствено искане за съгласие. Оплакването, подадено относно този банер, илюстрира точно проблема, който документът на Bruegel описва: технически е възможно да се спази буквата на GDPR, докато истинското информирано съгласие става практически невъзможно. Когато от потребителя се изисква да оцени практиките за обработка на данни на над хиляда партньори за няколко секунди, „информираното“ съгласие престава да означава каквото и да било.

Мащабът на този пример е необичаен, но основните механизми — неясни разкрития, трудни за преодоляване опции за отказ и настройки по подразбиране, които благоприятстват събирането на данни — са често срещани в голяма част от мрежата. Основният аргумент на документа на Bruegel е, че този модел не е случаен. Той е предвидим резултат от правна рамка, която предполага, че потребителите имат времето, експертните знания и обхвата на вниманието, за да разчитат искания за съгласие, които по своя замисъл са трудни за разчитане.

Какво означава това за вас

За ежедневните интернет потребители в Европа това изследване не означава, че защитите по GDPR са безполезни. Регламентът все пак е принудил компаниите да разкриват повече за своите практики за обработка на данни, отколкото биха го направили иначе, и дава на регулаторите инструменти да разследват злоупотреби след факта. Но това означава, че не трябва да третирате банера за бисквитки като смислена контролна точка, където поверителността ви действително се защитава в реално време. Кликването върху „Приемам“ или „Отказвам“ рядко е моментът, в който данните ви стават безопасни или небезопасни. Голяма част от инфраструктурата за проследяване работи независимо от това какво квадратче сте маркирали, а правоприлагането често застига нещата месеци или години по-късно.

Тази разлика между правното съгласие и действителната защита е точно причината инструментите за поверителност, които работят независимо от споразуменията на ниво уебсайт, да имат значение. VPN няма да спре собствените скриптове за проследяване на даден сайт, но ограничава това, което вашият интернет доставчик и наблюдателите на мрежово ниво могат да видят, и може да намали количеството идентифицираща информация, свързана с вашите сесии за сърфиране. Разширенията за браузър, които блокират проследяващи елементи, и настройките за поверителност в браузъра добавят още един слой, който не зависи от това дали банерът за бисквитки на дадена компания е проектиран честно или не.

Практически стъпки, които си заслужава да предприемете

Като се има предвид, че банерите за съгласие не могат напълно да бъдат доверени да отразяват действителните ви предпочитания за поверителност, няколко навика си заслужава да възприемете. Отказвайте неесенциалните бисквитки, когато е представена истинска опция, дори ако изисква допълнителен клик. Използвайте настройки на браузъра или разширения, които блокират проследяващи елементи на трети страни по подразбиране, вместо да разчитате на избори за всеки отделен сайт. Помислете за VPN за допълнителен слой мрежова поверителност, особено на обществени Wi-Fi мрежи или при достъп до чувствителни акаунти. И когато банер за съгласие изглежда умишлено объркващ или изброява неправдоподобен брой „партньори“, както в случая с dict.cc, това е сигнал, който си заслужава да бъде взет на сериозно, а не да бъде отхвърлен като стандартен текст.

Документът на Bruegel добавя академична тежест към нещо, което много потребители отдавна подозират: че съгласието за данни по GDPR, както е приложено в голяма част от мрежата, не функционира по начина, по който законът е предвиждал. Докато правоприлагането или стандартите за проектиране не настигнат нещата, най-безопасният подход е да третирате банерите за бисквитки като формалност, а не като защита, и да изградите собствени защити за поверителност върху тях.