Egy szótárwebhely 1 741 adatmegosztó partnerrel

Az osztrák noyb adatvédelmi csoport GDPR-panaszt nyújtott be a dict.cc, a népszerű online szótár ellen, az online nyomkövetéshez való hozzájárulás gyűjtésének módja miatt. A probléma nem az, hogy az oldal engedélyt kér. Hanem az, ami akkor történik, amikor a felhasználó megpróbálja ténylegesen megérteni, hogy mihez járul hozzá.

A noyb számításai szerint a dict.cc hozzájárulási bannerje 1 741 különálló „partnert” nevez meg, akik megkaphatják vagy feldolgozhatják a látogatók adatait. Ahhoz, hogy megalapozott döntést hozhasson, a felhasználónak elméletileg el kellene olvasnia minden egyes partner adatvédelmi tájékoztatóját, mielőtt az elfogadásra kattint. A noyb becslése szerint ez a feladat önmagában körülbelül 172 órát venne igénybe, több mint egy teljes heti megállás nélküli olvasást, csupán egyetlen szótárwebhely-látogatás értékeléséhez.

Ez a szakadék aközött, amit a törvény megkövetel, és amit a felület ténylegesen lehetővé tesz, a panasz lényege, és olyan kérdést vet fel, amely messze túlmutat egyetlen webhelyen: vajon a napokig tartó, megfelelő értékelést igénylő hozzájárulás tekinthető-e valaha is tájékozottnak?

Miért tűnik ez sötét mintának, nem tervezési hibának

A GDPR alapelve, amelyet az 5. cikk (1) bekezdés a) pontja rögzít, megköveteli, hogy a személyes adatok kezelése jogszerűen, tisztességesen és átlátható módon történjen. A törvény szerinti hozzájárulás csak akkor érvényes, ha azt szabadon, konkrétan és tájékozottan adják. A noyb panasza azzal érvel, hogy egy több mint ezer partnert felsoroló banner a tájékozott hozzájárulást gyakorlatilag szerkezetileg lehetetlenné teszi. A felhasználók valójában két lehetőség előtt állnak: rákattintanak az elfogadásra anélkül, hogy értenék, mihez járulnak hozzá, vagy teljesen elhagyják az oldalt.

Ez egy ismerős forma az online nyomkövetés ökoszisztémájában. A hozzájárulási falak a partnerek hosszú listáival nem véletlen komplexitás. Súrlódásként működnek, amelyet arra terveztek, hogy az elutasítás vagy a gondos áttekintés olyan időigényes legyen, hogy az elfogadás váljon a legkisebb ellenállás útjává. A mechanizmus visszhangozza azt, amit a kutatók más nyomkövetési vizsgálatokban találtak, beleértve azt a jelentést is, amely arról szól, hogyan követi nyomon a TikTok a felhasználókat akkor is, ha soha nem telepítették az alkalmazást olyan pixeleken keresztül, amelyeket a legtöbb ember soha nem lát, és amelyekhez érdemben soha nem járul hozzá. Mindkét esetben az adatgyűjtés technikai architektúrája meghaladja a reális felhasználói áttekintési képességet.

A dict.cc partnereinek listája egy szélesebb mintát is tükröz a személyes adatok kereskedelmi ökoszisztémákban való áramlásában, amint a gyűjtés megkezdődik. Amint tucatnyi vagy száz külső fél szerződésesen bekapcsolódik egy reklámtechnológiai vagy analitikai láncba, az eredeti webhely üzemeltetője gyakran elveszíti a gyakorlati rálátást arra, hogyan használják az adatokat a továbbiakban, még akkor is, ha jogilag továbbra is felelős a kezdeti hozzájárulás beszerzéséért.

Amit Ausztria szabályozó hatóságának most el kell döntenie

A panasz nehéz helyzetbe hozza Ausztria adatvédelmi hatóságát. A szabályozók általában elfogadták, hogy a hozzájárulási bannerek felsorolhatnak harmadik feleket, mivel a GDPR nem tiltja kifejezetten a komplex reklám ökoszisztémákat. A noyb panasza azonban egy konkrétabb kérdést erőltet: mikor válik egy partnerlista olyan nagy méretűvé, hogy a rajta keresztül gyűjtött hozzájárulás a továbbiakban már nem lehet jogilag érvényes, függetlenül attól, hogy a bannert hogyan fogalmazták vagy tervezték?

Ha a szabályozó hatóság a noyb javára dönt, az ítélet tovaterjedhet a reklámtechnológiai iparágban, ahol a nagy partnerlisták – például az IAB Átláthatósági és Hozzájárulási Keretrendszeréhez kapcsolódók – bevett gyakorlatnak számítanak, nem a dict.cc-re jellemző furcsaságnak. Sok kiadó támaszkodik hasonlóan hosszú partnerlistákra, hogy a forgalmat programozott hirdetéseken keresztül értékesítse. Egy dict.cc elleni megállapítás nyomást gyakorolhat az európai webhelyekre, hogy csökkentsék a partnerek számát, egyszerűsítsék a hozzájárulási folyamatokat, vagy hasonló panaszokkal nézzenek szembe.

Nem ez az első alkalom, hogy a szabályozóknak olyan adatkezelési gyakorlatokkal kell foglalkozniuk, amelyek technikailag megfelelnek a közzétételi szabályoknak, miközben funkcionálisan semmissé teszik azok célját. A munkavállalói és diákinformációs adatokkal kapcsolatos esetek, mint például a PowerSchool Naviance diáknyomkövetési gyakorlatai körüli vizsgálat, hasonló feszültséget mutatnak: a hozzájárulás vagy az értesítés papíron létezik, de az érintett személy gyakorlati képessége az adatgyűjtés megértésére vagy vitatására minimális.

Mit jelent ez Önnek

Ha Ön is kattintott már az „Összes elfogadása” gombra egy süti bannernél anélkül, hogy egy szót is elolvasott volna, nincs egyedül, és e panasz szerint nem is teljes mértékben Ön a hibás. Sok hozzájárulási banner tervezése pontosan erre a viselkedésre számít, és vitathatóan épít is rá.

Néhány gyakorlati lépés segíthet:

  • Keresse a „Összes elutasítása” vagy „Beállítások kezelése” lehetőséget, mielőtt átkattint egy bannert. Sok webhely elrejti, de a GDPR előírja, hogy léteznie kell.
  • Használjon böngészős adatvédelmi eszközöket vagy kiegészítőket, amelyek alapértelmezetten blokkolják a harmadik feles nyomkövetőket, csökkentve, hogy mennyi adat jut el egyáltalán a partnerségi hálózatokhoz.
  • Figyeljen arra, hány „partnert” nevez meg egy hozzájárulási banner. Az ezres nagyságrend, mint a dict.cc esetében, annak a jele, hogy a webhely adatmegosztási megállapodása inkább egy reklámtechnológiai piactérhez hasonlít, mint egy egyszerű analitikai beállításhoz.
  • Támogassa vagy kövesse nyomon az olyan végrehajtási intézkedéseket, mint a noyb panaszai. A szabályozói nyomás gyakran az egyetlen erő, amely megváltoztatja ezeknek a bannereknek a felépítését.

A lényeg

Ez a GDPR-panasz a dict.cc ellen valójában nem egy szótárwebhelyről szól. Ez egy teszteset arra vonatkozóan, hogy vajon a „hozzájárulás” túléli-e a modern reklámtechnológia méretarányosságát. Amikor egy süti banner elfogadásához több mint egy hét olvasás szükséges a megfelelő elvégzéshez, a banner vitathatóan már el is bukott az egyetlen feladatában: biztosítani, hogy a felhasználók tudják, mihez járulnak hozzá. Az, hogy Ausztria szabályozó hatósága hogyan dönt ebben az ügyben, meghatározhatja, hogy a hasonlóan felduzzasztott hozzájárulási folyamatok szabványos gyakorlat maradnak-e, vagy elkezdenek eltűnni a webről.