En tænketank siger, at cookie-banneret ikke virker
Hvis du nogensinde har klikket på "Accepter alle" i et cookie-banner bare for at få det til at forsvinde, tyder et nyt arbejdspapir fra Bruegel, en økonomisk tænketank i Bruxelles, på, at du ikke er alene, og at systemet efter al sandsynlighed aldrig blev designet til at give dig et reelt valg i første omgang.
Papiret argumenterer for, at GDPR-datasamtykke, den juridiske mekanisme, der skal give europæiske borgere kontrol over, hvordan deres personlige data indsamles og bruges, i praksis er en "juridisk og teknisk fiktion." Selvom den generelle databeskyttelsesforordning kræver, at samtykke er frivilligt, specifikt, informeret og utvetydigt, fandt forskerne, at cookie-bannere rutinemæssigt ikke lever op til den standard. I stedet for klart at forklare, hvilke data der indsamles, hvem der modtager dem, og hvorfor, er de fleste bannere bygget til at skubbe brugerne mod hurtig accept snarere end ægte forståelse.
Dette er ikke en marginal klage. Det er en direkte udfordring til en af kerneantagelserne bag EU's databeskyttelseslovgivning: at almindelige mennesker meningsfuldt kan samtykke til komplekse databehandlingsordninger blot ved at klikke på en knap i et pop-up-vindue.
Hvorfor 'samtykke' sjældent betyder, hvad du tror
GDPR's samtykkekrav lyder enkelt på papiret. Før en hjemmeside kan spore dig, dele dine data med annoncører eller opbygge en profil af dine browsevaner, skal den bede om tilladelse på en måde, du faktisk kan forstå. I virkeligheden er cookie-bannere blevet en slags teater. Brugere præsenteres for tæt juridisk sprog, forudafkrydsede felter og grænseflader designet til at gøre "Accepter alle" til den nemmeste vej, mens muligheden for at afvise eller tilpasse indstillinger begraves flere klik nede.
Dette mønster er ikke begrænset til obskure hjørner af internettet. Selv velkendte forbrugersider er blevet mødt med granskning over, hvordan de strukturerer samtykke. Et nyligt eksempel involverede en populær onlineordbog, dict.cc's omfattende cookie-banner, som listede mere end 1.700 annoncerings- og sporingspartnere bag en enkelt samtykkeforespørgsel. Klagen indgivet over det banner illustrerer præcis det problem, Bruegel-papiret beskriver: det er teknisk muligt at overholde GDPR'ens bogstav, mens ægte informeret samtykke gøres praktisk talt umuligt. Når en bruger bliver bedt om at vurdere over tusind partneres datapraksis på få sekunder, holder "informeret" samtykke op med at betyde noget som helst.
Skalaen i det eksempel er usædvanlig, men de underliggende mekanikker – vage oplysninger, friktionsfyldte fravalg og standardindstillinger, der favoriserer dataindsamling – er almindelige på store dele af internettet. Bruegel-papirets kerneargument er, at dette mønster ikke er tilfældigt. Det er et forudsigeligt resultat af en juridisk ramme, der antager, at brugere har tid, ekspertise og opmærksomhedsspændvidde til at fortolke samtykkeforespørgsler, der med vilje er svære at fortolke.
Hvad dette betyder for dig
For almindelige internetbrugere i Europa betyder denne forskning ikke, at GDPR-beskyttelsen er værdiløs. Forordningen har stadig tvunget virksomheder til at oplyse mere om deres datapraksis, end de ellers ville have gjort, og den giver tilsynsmyndigheder værktøjer til at undersøge misbrug i bagefter. Men det betyder, at du ikke bør behandle et cookie-banner som et meningsfuldt kontrolpunkt, hvor dit privatliv faktisk beskyttes i realtid. At klikke på "Accepter" eller "Afvis" er sjældent det øjeblik, hvor dine data bliver sikre eller usikre. Meget af sporingsinfrastrukturen fungerer uanset hvilket felt, du markerer, og håndhævelse indhenter ofte kun op måneder eller år senere.
Det hul mellem juridisk samtykke og faktisk beskyttelse er præcis derfor, at privatlivsværktøjer, der fungerer uafhængigt af aftaler på hjemmesideniveau, betyder noget. En VPN stopper ikke en sides egne sporingsscripts, men den begrænser, hvad din internetudbyder og observatører på netværksniveau kan se, og den kan reducere mængden af identificerende oplysninger knyttet til dine browsersessioner. Browserudvidelser, der blokerer trackere, og privatlivsorienterede browserindstillinger tilføjer endnu et lag, der ikke afhænger af, om en virksomheds cookie-banner er designet ærligt eller ej.
Praktiske skridt, der er værd at tage
Da samtykkebannere ikke fuldt ud kan stole på til at afspejle dine faktiske privatlivspræferencer, er et par vaner værd at vedtage. Afvis ikke-nødvendige cookies, når en ægte mulighed præsenteres, selvom det kræver et ekstra klik. Brug browserindstillinger eller -udvidelser, der blokerer tredjepartssporere som standard i stedet for at stole på valg fra side til side. Overvej en VPN for et ekstra lag af netværksprivatliv, især på offentlig Wi-Fi eller når du får adgang til følsomme konti. Og når et samtykkebanner føles bevidst forvirrende eller lister et usandsynligt antal "partnere", som i dict.cc-sagen, er det et signal, der er værd at tage alvorligt i stedet for at afvise som standardtekst.
Bruegel-papiret tilføjer akademisk vægt til noget, mange brugere længe har haft mistanke om: at GDPR-datasamtykke, som implementeret på størstedelen af internettet, ikke fungerer, som loven havde til hensigt. Indtil håndhævelse eller designstandarder indhenter det, er den sikreste tilgang at behandle cookie-bannere som en formalitet snarere end en beskyttelse og at opbygge dine egne privatlivsbeskyttelser oven på dem.
