Sebuah Lembaga Pemikir Mengatakan Banner Cookie Tidak Berfungsi
Jika Anda pernah mengklik "Terima Semua" pada banner cookie hanya agar banner itu hilang, sebuah makalah kerja baru dari Bruegel, sebuah lembaga pemikir ekonomi yang berbasis di Brussel, menunjukkan bahwa Anda tidak sendirian, dan bahwa sistem tersebut bisa dibilang tidak pernah dirancang untuk memberi Anda pilihan yang nyata sejak awal.
Makalah tersebut berpendapat bahwa persetujuan data GDPR, mekanisme hukum yang dimaksudkan untuk memberi warga Eropa kendali atas bagaimana data pribadi mereka dikumpulkan dan digunakan, dalam praktiknya adalah "fiksi hukum dan teknis." Meskipun Peraturan Perlindungan Data Umum mensyaratkan bahwa persetujuan diberikan secara bebas, spesifik, berdasarkan informasi, dan tidak ambigu, para peneliti menemukan bahwa banner cookie secara rutin gagal memenuhi standar tersebut. Alih-alih menjelaskan dengan jelas data apa yang dikumpulkan, siapa yang menerimanya, dan mengapa, sebagian besar banner dirancang untuk mendorong pengguna agar cepat menerima daripada benar-benar memahami.
Ini bukan keluhan pinggiran. Ini adalah tantangan langsung terhadap salah satu asumsi inti yang mendasari hukum perlindungan data Uni Eropa: bahwa orang biasa dapat memberikan persetujuan yang bermakna terhadap pengaturan pemrosesan data yang kompleks hanya dengan mengklik tombol pada pop-up.
Mengapa 'Persetujuan' Jarang Berarti Seperti yang Anda Pikirkan
Persyaratan persetujuan GDPR terdengar sederhana di atas kertas. Sebelum sebuah situs web dapat melacak Anda, membagikan data Anda kepada pengiklan, atau membangun profil kebiasaan menjelajah Anda, situs tersebut seharusnya meminta izin dengan cara yang benar-benar dapat Anda pahami. Pada kenyataannya, banner cookie telah menjadi semacam teater. Pengguna disajikan dengan bahasa hukum yang padat, kotak centang yang sudah dicentang sebelumnya, dan antarmuka yang dirancang untuk membuat "Terima Semua" menjadi jalur termudah sambil mengubur opsi untuk menolak atau menyesuaikan pengaturan beberapa klik lebih dalam.
Pola ini tidak terbatas pada sudut-sudut internet yang tidak jelas. Bahkan situs konsumen yang terkenal pun telah menghadapi pengawasan atas cara mereka menyusun persetujuan. Salah satu contoh terbaru melibatkan kamus daring populer, banner persetujuan yang sangat luas milik dict.cc, yang mencantumkan lebih dari 1.700 mitra periklanan dan pelacakan di balik satu permintaan persetujuan. Keluhan yang diajukan atas banner tersebut menggambarkan masalah persis yang dijelaskan dalam makalah Bruegel: secara teknis mungkin untuk mematuhi huruf GDPR sambil membuat persetujuan berdasarkan informasi yang tulus menjadi praktis mustahil. Ketika seorang pengguna diminta untuk mengevaluasi praktik data lebih dari seribu mitra dalam beberapa detik, persetujuan "berdasarkan informasi" berhenti memiliki arti apa pun.
Skala contoh itu tidak biasa, tetapi mekanisme yang mendasarinya—pengungkapan yang samar, opsi keluar yang penuh hambatan, dan default yang mendukung pengumpulan data—umum di sebagian besar web. Argumen inti makalah Bruegel adalah bahwa pola ini bukanlah kebetulan. Ini adalah hasil yang dapat diprediksi dari kerangka hukum yang mengasumsikan pengguna memiliki waktu, keahlian, dan rentang perhatian untuk memahami permintaan persetujuan yang, secara desain, sulit untuk dipahami.
Apa Artinya Ini Bagi Anda
Bagi pengguna internet sehari-hari di Eropa, penelitian ini tidak berarti perlindungan GDPR tidak berharga. Peraturan tersebut tetap memaksa perusahaan untuk mengungkapkan lebih banyak tentang praktik data mereka daripada yang seharusnya mereka lakukan, dan memberi regulator alat untuk menyelidiki penyalahgunaan setelah terjadi. Tetapi ini berarti Anda tidak boleh memperlakukan banner cookie sebagai titik pemeriksaan yang bermakna di mana privasi Anda benar-benar dilindungi secara real-time. Mengklik "Terima" atau "Tolak" jarang menjadi momen ketika data Anda menjadi aman atau tidak aman. Banyak infrastruktur pelacakan beroperasi terlepas dari kotak mana yang Anda centang, dan penegakan hukum sering kali hanya menyusul berbulan-bulan atau bertahun-tahun kemudian.
Kesenjangan antara persetujuan hukum dan perlindungan aktual itulah yang menjadi alasan mengapa alat privasi yang beroperasi secara independen dari perjanjian tingkat situs web itu penting. VPN tidak akan menghentikan skrip pelacakan situs itu sendiri, tetapi VPN membatasi apa yang dapat dilihat oleh penyedia layanan internet dan pengamat tingkat jaringan, dan dapat mengurangi jumlah informasi identitas yang terkait dengan sesi penjelajahan Anda. Ekstensi browser yang memblokir pelacak, dan pengaturan browser yang berfokus pada privasi, menambahkan lapisan lain yang tidak bergantung pada apakah banner cookie perusahaan dirancang dengan jujur atau tidak.
Langkah Praktis yang Layak Diambil
Mengingat bahwa banner persetujuan tidak dapat sepenuhnya dipercaya untuk mencerminkan preferensi privasi Anda yang sebenarnya, ada beberapa kebiasaan yang layak diadopsi. Tolak cookie yang tidak penting setiap kali opsi yang tulus disajikan, bahkan jika itu membutuhkan klik ekstra. Gunakan pengaturan browser atau ekstensi yang memblokir pelacak pihak ketiga secara default daripada mengandalkan pilihan per situs. Pertimbangkan VPN untuk lapisan tambahan privasi jaringan, terutama di Wi-Fi publik atau saat mengakses akun sensitif. Dan ketika banner persetujuan terasa sengaja membingungkan atau mencantumkan jumlah "mitra" yang tidak masuk akal, seperti dalam kasus dict.cc, itu adalah sinyal yang layak ditanggapi dengan serius daripada diabaikan sebagai teks standar.
Makalah Bruegel menambahkan bobot akademis pada sesuatu yang telah lama dicurigai banyak pengguna: bahwa persetujuan data GDPR, sebagaimana diterapkan di sebagian besar web, tidak berfungsi seperti yang dimaksudkan oleh hukum. Sampai penegakan hukum atau standar desain menyusul, pendekatan paling aman adalah memperlakukan banner cookie sebagai formalitas daripada pengaman, dan membangun perlindungan privasi Anda sendiri di atasnya.
