En ordbogsside med 1.741 datadelingspartnere

Den østrigske privatlivsgruppe noyb har indgivet en GDPR-klage mod dict.cc, den populære online ordbog, over hvordan den indhenter samtykke til onlinesporing. Problemet er ikke, at siden beder om tilladelse. Det er, hvad der sker, når en bruger rent faktisk forsøger at forstå, hvad de accepterer.

Ifølge noybs beregninger nævner dict.cc's samtykkebanner 1.741 separate "partnere", der kan modtage eller behandle besøgendes data. For at træffe en informeret beslutning skulle en bruger teoretisk set læse hver enkelt af disse partneres privatlivspolitikker, før de klikker "accepter". noyb anslår, at denne opgave alene ville tage cirka 172 timer – mere end en hel uges uafbrudt læsning – blot for at evaluere et enkelt besøg på en ordbogswebsite.

Den kløft mellem hvad loven kræver, og hvad grænsefladen rent faktisk tillader, er kernen i klagen, og den rejser et spørgsmål, der rækker langt ud over en enkelt hjemmeside: Kan samtykke, der tager dagevis at vurdere korrekt, nogensinde betragtes som informeret?

Hvorfor dette ligner et dark pattern, ikke en designfejl

GDPR's grundlæggende princip, fastlagt i artikel 5, stk. 1, litra a, kræver, at personoplysninger behandles lovligt, rimeligt og gennemsigtigt. Samtykke i henhold til loven er kun gyldigt, hvis det gives frivilligt, er specifikt og informeret. noybs klage hævder, at et banner, der oplister over tusind partnere, i praksis gør informeret samtykke strukturelt umuligt. Brugerne står tilbage med to reelle muligheder: Klik "accepter" uden at forstå, hvad de accepterer, eller forlad siden helt.

Dette er en velkendt form i onlinesporing-økosystemet. Samtykkevægge med vidtstrakte partnerlister er ikke tilfældig kompleksitet. De fungerer som friktion, designet til at gøre afvisning eller grundig gennemgang så tidskrævende, at accept bliver den vej med mindst modstand. Mekanismen afspejler, hvad forskere har fundet i andre sporingsundersøgelser, herunder rapportering om, hvordan TikTok sporer brugere selv uden en installeret app gennem pixels, som de fleste aldrig ser eller giver meningsfuldt samtykke til. I begge tilfælde overhaler den tekniske dataindsamlingsarkitektur enhver realistisk brugers evne til at gennemgå den.

Omfanget af dict.cc's partnerliste afspejler også et bredere mønster i, hvordan personoplysninger strømmer gennem kommercielle økosystemer, når indsamlingen først begynder. Når snesevis eller hundredvis af tredjeparter er kontraktuelt inddraget i en annonceteknologi- eller analysekæde, mister den oprindelige websiteoperatør ofte praktisk indsigt i, hvordan disse data bruges længere nede i strømmen, selvom de forbliver juridisk ansvarlige for den indledende samtykkeindhentning.

Hvad Østrigs tilsynsmyndighed nu skal afgøre

Klagen sætter Østrigs databeskyttelsesmyndighed i en vanskelig situation. Tilsynsmyndigheder har generelt accepteret, at samtykkebannere kan opliste tredjeparter, da GDPR ikke direkte forbyder komplekse annonceringsøkosystemer. Men noybs klage tvinger et mere specifikt spørgsmål frem: På hvilket tidspunkt bliver en partnerliste så stor, at samtykke indhentet gennem den ikke længere er juridisk gyldigt, uanset hvordan banneret er formuleret eller designet?

Hvis tilsynsmyndigheden giver noyb medhold, kan afgørelsen få ringvirkninger i hele annonceteknologibranchen, hvor store partnerlister knyttet til rammer som IAB's Transparency and Consent Framework er almindelig praksis, ikke en særhed for dict.cc. Mange udgivere er afhængige af tilsvarende lange partnerlister for at monetarisere trafik gennem programmatisk annoncering. En afgørelse mod dict.cc kan presse websites i hele Europa til at reducere antallet af partnere, forenkle samtykkeprocesser eller risikere lignende klager.

Dette er ikke første gang, tilsynsmyndigheder har måttet håndtere datapraksis, der teknisk set overholder oplysningsreglerne, men i praksis undergraver deres formål. Sager om medarbejder- og studerendedata, som f.eks. granskningen af PowerSchools sporing af studerende, viser en lignende spænding: Samtykke eller advisering eksisterer på papiret, men den berørte persons praktiske mulighed for at forstå eller modsætte sig dataindsamling er minimal.

Hvad dette betyder for dig

Hvis du nogensinde har klikket på "Accepter alle" på et cookie-banner uden at læse et ord, er du ikke alene, og ifølge denne klage er du heller ikke helt skyld i det. Designet af mange samtykkebannere antager – og er nok afhængig af – præcis den adfærd.

Et par praktiske skridt kan hjælpe:

  • Kig efter en "Afvis alle" eller "Administrer præferencer"-mulighed, før du klikker dig gennem et banner. Mange sider gemmer den, men GDPR kræver, at den findes.
  • Brug browserbaserede privatlivsværktøjer eller udvidelser, der som standard blokerer tredjepartssporing, hvilket reducerer mængden af data, der overhovedet når disse partnernetværk.
  • Vær opmærksom på, hvor mange "partnere" et samtykkebanner nævner. Et tal i tusindvis, som hos dict.cc, er et signal om, at sidens datadelingsordning snarere ligner en annonceteknologi-markedsplads end en simpel analyseopsætning.
  • Støt eller følg med i håndhævelsestiltag som noybs klager. Reguleringspres er ofte den eneste kraft, der ændrer, hvordan disse bannere bygges.

Det væsentlige

Denne GDPR-klage mod dict.cc handler egentlig ikke om en ordbogswebsite. Det er en prøvesag for, om "samtykke" kan overleve mødet med den moderne annonceteknologis skala. Når accept af et cookie-banner ville kræve mere end en uges læsning for at blive gjort ordentligt, har banneret formentlig allerede fejlet i sin eneste opgave: at sikre, at brugerne ved, hvad de accepterer. Hvordan Østrigs tilsynsmyndighed afgør her, kan forme, om tilsvarende oppustede samtykkeforløb forbliver standardpraksis eller begynder at forsvinde fra nettet.