Slovníkový web s 1 741 partnery pro sdílení dat

Rakouská organizace na ochranu soukromí noyb podala stížnost podle GDPR proti populárnímu online slovníku dict.cc kvůli způsobu, jakým získává souhlas s online sledováním. Problémem není, že web žádá o svolení. Problém nastává ve chvíli, kdy se uživatel pokusí skutečně porozumět tomu, s čím souhlasí.

Podle výpočtů noyb uvádí souhlasový banner dict.cc 1 741 samostatných „partnerů“, kteří mohou přijímat nebo zpracovávat data návštěvníků. Aby se uživatel mohl rozhodnout informovaně, musel by si teoreticky přečíst zásady ochrany osobních údajů každého z těchto partnerů, než klikne na tlačítko přijmout. noyb odhaduje, že tento úkol by zabral přibližně 172 hodin, tedy více než celý týden nepřetržitého čtení – jen kvůli vyhodnocení jediné návštěvy slovníkového webu.

Právě tato propast mezi tím, co vyžaduje zákon, a tím, co rozhraní ve skutečnosti umožňuje, je jádrem stížnosti a vyvolává otázku, která dalece přesahuje jeden web: lze souhlas, jehož řádné vyhodnocení trvá několik dní, vůbec považovat za informovaný?

Proč to vypadá jako klamavý vzorec, nikoli jako chyba návrhu

Základní zásada GDPR uvedená v čl. 5 odst. 1 písm. a) vyžaduje, aby osobní údaje byly zpracovávány zákonně, korektně a transparentně. Souhlas je podle zákona platný pouze tehdy, je-li udělen svobodně, konkrétně a informovaně. Stížnost noyb tvrdí, že banner uvádějící více než tisíc partnerů fakticky znemožňuje strukturně dosáhnout informovaného souhlasu. Uživatelům zbývají dvě reálné možnosti: kliknout na „Přijmout“ bez pochopení, s čím souhlasí, nebo web zcela opustit.

Toto je v ekosystému online sledování známý obrázek. Souhlasové zdi s rozsáhlými seznamy partnerů nejsou náhodnou složitostí. Fungují jako tření, jehož cílem je učinit odmítnutí nebo pečlivou kontrolu tak časově náročnými, že přijetí se stane cestou nejmenšího odporu. Tento mechanismus odráží to, co výzkumníci zjistili v jiných šetřeních sledování, včetně reportáže o tom, jak TikTok sleduje uživatele i bez nainstalované aplikace prostřednictvím pixelů, které většina lidí nikdy nevidí a k nimž nikdy smysluplně nedají souhlas. V obou případech technická architektura sběru dat předbíhá reálnou schopnost uživatele ji přezkoumat.

Rozsah seznamu partnerů dict.cc rovněž odráží širší vzorec toho, jak osobní údaje proudí obchodními ekosystémy poté, co sběr začne. Jakmile jsou do řetězce reklamních technologií nebo analytiky smluvně zapojeny desítky či stovky třetích stran, původní provozovatel webu často ztrácí praktický přehled o tom, jak jsou data dále využívána, i když zůstává právně odpovědný za prvotní získání souhlasu.

Co musí nyní rozhodnout rakouský regulátor

Stížnost staví rakouský úřad pro ochranu osobních údajů do obtížné situace. Regulátoři obecně akceptovali, že souhlasové bannery mohou uvádět třetí strany, protože GDPR vysloveně nezakazuje složité reklamní ekosystémy. Stížnost noyb však vynucuje konkrétnější otázku: v jakém okamžiku se seznam partnerů stane tak rozsáhlým, že souhlas získaný jeho prostřednictvím již není právně platný, bez ohledu na to, jak je banner formulován nebo navržen?

Pokud se regulátor přikloní na stranu noyb, rozhodnutí by se mohlo přelít napříč odvětvím reklamních technologií, kde jsou rozsáhlé seznamy partnerů navázané na rámce, jako je Transparency and Consent Framework od IAB, běžnou praxí, nikoli specifikem dict.cc. Mnoho vydavatelů spoléhá na podobně dlouhé seznamy partnerů, aby zpeněžili návštěvnost prostřednictvím programatické reklamy. Rozhodnutí proti dict.cc by mohlo přimět weby po celé Evropě ke snižování počtu partnerů, zjednodušení souhlasových procesů, jinak budou čelit podobným stížnostem.

Není to poprvé, co se regulátoři museli potýkat s datovými praktikami, které technicky splňují pravidla zveřejňování, ale funkčně maří jejich účel. Případy týkající se dat zaměstnanců a studentů, jako je prověřování praktik sledování studentů nástrojem Naviance od společnosti PowerSchool, ukazují podobné napětí: souhlas nebo oznámení na papíře existují, ale praktická schopnost dotčené osoby porozumět sběru dat nebo jej zpochybnit je minimální.

Co to znamená pro vás

Pokud jste někdy klikli na „Přijmout vše“ na cookie banneru, aniž byste přečetli jediné slovo, nejste v tom sami a podle této stížnosti to není ani zcela vaše vina. Design mnoha souhlasových bannerů toto chování předpokládá a pravděpodobně na něm i staví.

Několik praktických kroků může pomoci:

  • Než banner odkliknete, hledejte možnost „Odmítnout vše“ nebo „Spravovat nastavení“. Mnoho webů ji ukrývá, ale GDPR vyžaduje, aby existovala.
  • Používejte nástroje nebo rozšíření prohlížeče na ochranu soukromí, které ve výchozím nastavení blokují sledovací prvky třetích stran, a snižte tak množství dat, která se k partnerským sítím vůbec dostanou.
  • Všímejte si, kolik „partnerů“ souhlasový banner uvádí. Počet v řádu tisíců, jako u dict.cc, je signálem, že uspořádání sdílení dat na webu se blíží spíše tržišti reklamních technologií než jednoduchému analytickému nastavení.
  • Podporujte nebo sledujte vynucovací akce, jako jsou stížnosti noyb. Regulační tlak je často jedinou silou, která mění způsob, jakým jsou tyto bannery vytvářeny.

Sečteno a podtrženo

Tato stížnost podle GDPR proti dict.cc není ve skutečnosti o slovníkovém webu. Je to testovací případ, zda „souhlas“ přežije kontakt s rozsahem moderních reklamních technologií. Když by souhlas s cookie bannerem řádně vyžadoval více než týden čtení, banner pravděpodobně již selhal ve svém jediném úkolu: zajistit, aby uživatelé věděli, s čím souhlasí. Rozhodnutí rakouského regulátora v této věci by mohlo ovlivnit, zda podobně nabobtnalé souhlasové procesy zůstanou standardní praxí, nebo začnou z webu mizet.