Ajatuspajan mukaan evästebanneri ei toimi
Jos olet koskaan napsauttanut "Hyväksy kaikki" evästebannerissa vain päästäksesi siitä eroon, Brysselissä toimivan talousajatuspajan Bruegelin uusi työpaperi viittaa siihen, että et ole yksin, ja että järjestelmä ei todennäköisesti ole koskaan suunniteltu antamaan sinulle todellista valintaa.
Paperissa väitetään, että GDPR:n mukainen datasuostumus, oikeudellinen mekanismi, jonka on tarkoitus antaa eurooppalaisille kansalaisille hallinta siitä, miten heidän henkilötietojaan kerätään ja käytetään, on käytännössä "oikeudellinen ja tekninen fiktio". Vaikka yleinen tietosuoja-asetus edellyttää, että suostumus on annettava vapaaehtoisesti, yksilöitynä, tietoisena ja yksiselitteisenä, tutkijat havaitsivat, että evästebannerit eivät rutiininomaisesti täytä tätä vaatimusta. Sen sijaan, että ne selittäisivät selvästi, mitä tietoja kerätään, kuka ne saa ja miksi, useimmat bannerit on rakennettu ohjaamaan käyttäjiä nopeaan hyväksyntään pikemminkin kuin aitoon ymmärrykseen.
Tämä ei ole marginaalinen valitus. Se on suora haaste yhdelle EU:n tietosuojalainsäädännön keskeiselle oletukselle: että tavalliset ihmiset voivat merkityksellisesti suostua monimutkaisiin tietojenkäsittelyjärjestelyihin yksinkertaisesti napsauttamalla painiketta ponnahdusikkunassa.
Miksi "suostumus" tarkoittaa harvoin sitä, mitä luulet
GDPR:n suostumusvaatimus kuulostaa paperilla yksinkertaiselta. Ennen kuin verkkosivusto voi seurata sinua, jakaa tietojasi mainostajille tai rakentaa profiilin selailutottumuksistasi, sen on pyydettävä lupa tavalla, jonka voit oikeasti ymmärtää. Todellisuudessa evästebännereistä on tullut eräänlaista teatteria. Käyttäjille esitetään tiheää juridista kieltä, valmiiksi rastitettuja ruutuja ja käyttöliittymiä, jotka on suunniteltu tekemään "Hyväksy kaikki" helpoimmaksi poluksi samalla kun vaihtoehto hylätä tai mukauttaa asetuksia haudataan useiden napsautusten taakse.
Tämä kaava ei rajoitu internetin syrjäisiin kulmiin. Jopa tunnetut kuluttajasivustot ovat joutuneet tarkastelun kohteeksi siitä, miten ne rakentavat suostumuksen. Yksi tuore esimerkki liittyi suosittuun online-sanakirjaan, dict.cc:n laajaan suostumusbanneriin, joka listasi yli 1 700 mainos- ja seurantakumppania yhden suostumuspyynnön taakse. Tästä bannerista tehty valitus havainnollistaa täsmälleen sen ongelman, jonka Bruegelin paperi kuvaa: on teknisesti mahdollista noudattaa GDPR:n kirjainta samalla kun aidosti tietoinen suostumus tehdään käytännössä mahdottomaksi. Kun käyttäjää pyydetään arvioimaan yli tuhannen kumppanin tietokäytäntöjä muutamassa sekunnissa, "tietoinen" suostumus lakkaa tarkoittamasta mitään.
Tämä esimerkin mittakaava on epätavallinen, mutta taustalla olevat mekanismit—epämääräiset ilmoitukset, kitkaa aiheuttavat kieltäytymisvaihtoehdot ja oletusasetukset, jotka suosivat tiedonkeruuta—ovat yleisiä suuressa osassa verkkoa. Bruegelin paperin ydinargumentti on, että tämä kaava ei ole sattumaa. Se on ennustettava seuraus oikeudellisesta kehyksestä, joka olettaa, että käyttäjillä on aikaa, asiantuntemusta ja keskittymiskykyä tulkita suostumuspyyntöjä, jotka ovat tarkoituksella vaikeita tulkita.
Mitä tämä tarkoittaa sinulle
Tavallisille eurooppalaisille internetin käyttäjille tämä tutkimus ei tarkoita, että GDPR:n suojaukset olisivat arvottomia. Asetus on silti pakottanut yritykset paljastamaan tietokäytännöistään enemmän kuin ne muuten tekisivät, ja se antaa sääntelijöille työkaluja tutkia väärinkäytöksiä jälkikäteen. Mutta se tarkoittaa, että sinun ei pitäisi kohdella evästebanneria merkityksellisenä tarkistuspisteenä, jossa yksityisyytesi todella suojataan reaaliajassa. "Hyväksy"- tai "Hylkää"-painikkeen napsauttaminen on harvoin hetki, jolloin tietosi tulevat turvallisiksi tai turvattomiksi. Suuri osa seurantainfrastruktuurista toimii riippumatta siitä, minkä ruudun rastitat, ja lainvalvonta tavoittaa asiat usein vasta kuukausia tai vuosia myöhemmin.
Tämä kuilu oikeudellisen suostumuksen ja todellisen suojan välillä on juuri se syy, miksi verkkosivustokohtaisista sopimuksista riippumattomat yksityisyystyökalut ovat tärkeitä. VPN ei estä sivuston omia seurantaskriptejä, mutta se rajoittaa sitä, mitä internetpalveluntarjoajasi ja verkkotason tarkkailijat voivat nähdä, ja se voi vähentää selaustunnistoihisi liitettyä tunnistetietojen määrää. Selainlaajennukset, jotka estävät seurannan, ja yksityisyyteen keskittyvät selainasetukset lisäävät toisen kerroksen, joka ei riipu siitä, onko yrityksen evästebanneri suunniteltu rehellisesti vai ei.
Käytännön toimia, joita kannattaa harkita
Koska suostumusbannereihin ei voi täysin luottaa heijastavan todellisia yksityisyysasetuksiasi, muutama tapa on omaksumisen arvoinen. Hylkää ei-välttämättömät evästeet aina kun aito vaihtoehto esitetään, vaikka se vaatisi ylimääräisen napsautuksen. Käytä selainasetuksia tai laajennuksia, jotka estävät kolmannen osapuolen seurannan oletuksena sen sijaan, että luottaisit sivustokohtaisiin valintoihin. Harkitse VPN:ää lisäkerroksena verkkoyksityisyydelle, erityisesti julkisissa Wi-Fi-verkoissa tai käyttäessäsi arkaluonteisia tilejä. Ja kun suostumusbanneri tuntuu tahallisen hämmentävältä tai listaa epäuskottavan määrän "kumppaneita", kuten dict.cc:n tapauksessa, se on signaali, joka kannattaa ottaa vakavasti eikä ohittaa vakiotekstinä.
Bruegelin paperi tuo akateemista painoarvoa sille, mitä monet käyttäjät ovat jo pitkään epäilleet: että GDPR:n datasuostumus, sellaisena kuin se on toteutettu suuressa osassa verkkoa, ei toimi niin kuin laki on tarkoittanut. Kunnes lainvalvonta tai suunnittelustandardit saavuttavat kehityksen, turvallisin lähestymistapa on kohdella evästebannereita muodollisuutena pikemminkin kuin suojana, ja rakentaa omat yksityisyydensuojasi niiden päälle.
