Think-tank tvrdí, že banner o cookies nefunguje
Pokud jste někdy klikli na „Přijmout vše" v banneru o cookies jen proto, aby zmizel, nový pracovní dokument z Bruegel, bruselského ekonomického think-tanku, naznačuje, že v tom nejste sami, a že systém pravděpodobně nikdy nebyl navržen tak, aby vám skutečně dával na výběr.
Dokument tvrdí, že souhlas s daty podle GDPR, právní mechanismus, který má evropským občanům dát kontrolu nad tím, jak jsou jejich osobní údaje shromažďovány a používány, je v praxi „právní a technickou fikcí". Přestože obecné nařízení o ochraně osobních údajů vyžaduje, aby byl souhlas svobodný, konkrétní, informovaný a jednoznačný, výzkumníci zjistili, že bannery o cookies tuto laťku běžně nesplňují. Místo jasného vysvětlení, jaká data se shromažďují, kdo je dostává a proč, je většina bannerů navržena tak, aby uživatele tlačila k rychlému přijetí spíše než ke skutečnému porozumění.
Toto není okrajová stížnost. Je to přímá výzva jednomu ze základních předpokladů, na nichž stojí unijní právo ochrany údajů: že běžní lidé mohou smysluplně souhlasit se složitými operacemi zpracování dat pouhým kliknutím na tlačítko ve vyskakovacím okně.
Proč „souhlas" málokdy znamená to, co si myslíte
Požadavek souhlasu podle GDPR zní na papíře přímočaře. Než vás webová stránka může sledovat, sdílet vaše data s inzerenty nebo vytvářet profil vašich prohlížecích návyků, má požádat o povolení způsobem, kterému skutečně rozumíte. Ve skutečnosti se z bannerů o cookies stalo jakési divadlo. Uživatelům je předkládán hustý právnický jazyk, předem zaškrtnutá políčka a rozhraní navržená tak, aby „Přijmout vše" bylo nejsnazší cestou, zatímco možnost odmítnout nebo upravit nastavení je pohřbena o několik kliknutí hlouběji.
Tento vzorec není omezen na zapadlé kouty internetu. I známé spotřebitelské weby čelí zkoumání toho, jak strukturují souhlas. Jedním nedávným příkladem byl populární online slovník, rozsáhlý banner se souhlasem na dict.cc, který uváděl více než 1 700 reklamních a sledovacích partnerů za jedinou žádostí o souhlas. Stížnost podaná na tento banner ilustruje přesně ten problém, který dokument Bruegel popisuje: je technicky možné vyhovět literě GDPR a zároveň učinit skutečný informovaný souhlas prakticky nemožným. Když je uživatel požádán, aby během několika sekund vyhodnotil postupy zpracování dat více než tisíce partnerů, „informovaný" souhlas přestává dávat smysl.
Rozsah tohoto příkladu je neobvyklý, ale základní mechanismy – vágní zveřejňování informací, odhlášení náročná na klikání a výchozí nastavení zvýhodňující shromažďování dat – jsou běžné na velké části webu. Hlavní argument dokumentu Bruegel je, že tento vzorec není náhodný. Je to předvídatelný výsledek právního rámce, který předpokládá, že uživatelé mají čas, odbornost a pozornost k rozebírání žádostí o souhlas, které jsou úmyslně navrženy tak, aby se rozebíraly obtížně.
Co to znamená pro vás
Pro běžné uživatele internetu v Evropě tento výzkum neznamená, že jsou ochrany podle GDPR bezcenné. Nařízení stále donutilo společnosti zveřejňovat více o svých postupech s daty, než by jinak dělaly, a dává regulátorům nástroje k vyšetřování zneužití zpětně. Ale znamená to, že byste neměli zacházet s bannerem o cookies jako se smysluplným kontrolním bodem, kde je vaše soukromí skutečně chráněno v reálném čase. Kliknutí na „Přijmout" nebo „Odmítnout" je málokdy okamžikem, kdy se vaše data stávají bezpečnými nebo nebezpečnými. Velká část sledovací infrastruktury funguje bez ohledu na to, které políčko zaškrtnete, a vymáhání práva často dorazí až o měsíce či roky později.
Tato mezera mezi právním souhlasem a skutečnou ochranou je přesně důvod, proč záleží na nástrojích pro ochranu soukromí, které fungují nezávisle na dohodách na úrovni webových stránek. VPN nezastaví sledovací skripty daného webu, ale omezí, co může vidět váš poskytovatel internetových služeb a pozorovatelé na úrovni sítě, a může snížit množství identifikačních informací spojených s vašimi prohlížecími relacemi. Rozšíření prohlížeče, která blokují sledování, a nastavení prohlížeče zaměřená na soukromí přidávají další vrstvu, která nezávisí na tom, zda byl banner o cookies dané společnosti navržen čestně či nikoli.
Praktické kroky, které stojí za to podniknout
Vzhledem k tomu, že bannerům se souhlasem nelze plně důvěřovat, že odrážejí vaše skutečné preference v oblasti soukromí, stojí za to osvojit si pár návyků. Odmítněte nepodstatné cookies vždy, když je předložena skutečná možnost, i když to vyžaduje jedno kliknutí navíc. Používejte nastavení prohlížeče nebo rozšíření, která blokují sledování třetích stran ve výchozím nastavení, místo abyste se spoléhali na volby na jednotlivých webech. Zvažte VPN pro další vrstvu síťového soukromí, zejména na veřejné Wi-Fi nebo při přístupu k citlivým účtům. A když se banner se souhlasem zdá úmyslně matoucí nebo uvádí nepravděpodobný počet „partnerů", jako v případě dict.cc, je to signál, který stojí za to brát vážně, nikoli odmítat jako šablonovitý text.
Dokument Bruegel dodává akademickou váhu něčemu, co mnozí uživatelé dlouho tušili: že souhlas s daty podle GDPR, jak je implementován na většině webu, nefunguje tak, jak zákon zamýšlel. Dokud vymáhání práva nebo standardy návrhu nedohoní tuto situaci, nejbezpečnějším přístupem je zacházet s bannery o cookies jako s formalitou, nikoli jako s pojistkou, a budovat si vlastní ochranu soukromí na jejich základech.
