Een woordenboeksite met 1.741 partners voor gegevensdeling

De Oostenrijkse privacyorganisatie noyb heeft een GDPR-klacht ingediend tegen dict.cc, het populaire onlinewoordenboek, over de manier waarop het toestemming verzamelt voor online tracking. Het probleem is niet dat de site toestemming vraagt. Het gaat om wat er gebeurt wanneer een gebruiker probeert te begrijpen waarmee hij akkoord gaat.

Volgens de berekeningen van noyb vermeldt de consentbanner van dict.cc 1.741 afzonderlijke 'partners' die bezoekersgegevens kunnen ontvangen of verwerken. Om een weloverwogen beslissing te nemen, zou een gebruiker in theorie het privacybeleid van al die partners moeten lezen voordat hij op accepteren klikt. noyb schat dat deze taak alleen al ongeveer 172 uur zou kosten, meer dan een volledige week onafgebroken lezen, alleen om een enkel bezoek aan een woordenboekwebsite te beoordelen.

Die kloof tussen wat de wet vereist en wat de interface daadwerkelijk toestaat, vormt de kern van de klacht, en roept een vraag op die veel verder reikt dan één website: kan toestemming waarvoor dagen nodig zijn om ze goed te evalueren, ooit als geïnformeerd worden beschouwd?

Waarom dit op een dark pattern lijkt en niet op een ontwerpfout

Het fundamentele beginsel van de GDPR, vastgelegd in artikel 5, lid 1, onder a), vereist dat persoonsgegevens rechtmatig, behoorlijk en transparant worden verwerkt. Toestemming is volgens de wet alleen geldig als ze vrijelijk, specifiek en geïnformeerd wordt gegeven. De klacht van noyb stelt dat een banner die meer dan duizend partners opsomt, geïnformeerde toestemming structureel onmogelijk maakt. Gebruikers houden twee reële opties over: op accepteren klikken zonder te begrijpen waarmee ze akkoord gaan, of de site helemaal verlaten.

Dit is een bekend patroon in het ecosysteem van online tracking. Consentmuren met uitdijende partnerlijsten zijn geen toevallige complexiteit. Ze functioneren als frictie, bedoeld om weigeren of zorgvuldig beoordelen zo tijdrovend te maken dat accepteren de weg van de minste weerstand wordt. Het mechanisme weerspiegelt wat onderzoekers in andere trackingonderzoeken hebben gevonden, waaronder berichtgeving over hoe TikTok gebruikers volgt zelfs zonder geïnstalleerde app via pixels die de meeste mensen nooit zien of waarvoor ze nooit betekenisvolle toestemming geven. In beide gevallen overtreft de technische architectuur van gegevensverzameling het realistische vermogen van een gebruiker om die te beoordelen.

De omvang van de partnerlijst van dict.cc weerspiegelt ook een breder patroon in hoe persoonsgegevens door commerciële ecosystemen stromen zodra de verzameling begint. Zodra tientallen of honderden derde partijen contractueel in een adtech- of analyseketen zijn opgenomen, verliest de oorspronkelijke websitebeheerder vaak het praktische zicht op hoe die gegevens stroomafwaarts worden gebruikt, ook al blijft hij wettelijk verantwoordelijk voor de initiële toestemmingsverzameling.

Wat de Oostenrijkse toezichthouder nu moet beslissen

De klacht plaatst de Oostenrijkse gegevensbeschermingsautoriteit in een lastig parket. Toezichthouders hebben over het algemeen aanvaard dat consentbanners derde partijen mogen vermelden, aangezien de GDPR complexe advertentie-ecosystemen niet onmiddellijk verbiedt. Maar de klacht van noyb dwingt tot een specifiekere vraag: op welk punt wordt een partnerlijst zo groot dat de via die lijst verzamelde toestemming niet langer wettelijk geldig is, ongeacht hoe de banner is geformuleerd of ontworpen?

Als de toezichthouder noyb gelijk geeft, kan de uitspraak gevolgen hebben voor de hele adtech-branche, waar grote partnerlijsten die gekoppeld zijn aan kaders zoals het Transparency and Consent Framework van de IAB eerder regel dan uitzondering zijn, en niet een eigenaardigheid van dict.cc. Veel uitgevers vertrouwen op vergelijkbaar lange partneroverzichten om verkeer via programmatic advertising te gelde te maken. Een uitspraak tegen dict.cc zou sites in heel Europa onder druk kunnen zetten om het aantal partners te verminderen, toestemmingsstromen te vereenvoudigen of soortgelijke klachten tegemoet te zien.

Het is niet de eerste keer dat toezichthouders moeten worstelen met gegevenspraktijken die technisch aan de openbaarmakingsregels voldoen, maar het doel ervan functioneel tenietdoen. Zaken rond werknemers- en studentgegevens, zoals het onderzoek naar de studentenvolgpraktijken van PowerSchool, laten een vergelijkbare spanning zien: toestemming of kennisgeving bestaat op papier, maar het praktische vermogen van de betrokkene om de gegevensverzameling te begrijpen of aan te vechten is minimaal.

Wat dit voor jou betekent

Als je ooit op 'Alles accepteren' in een cookiebanner hebt geklikt zonder een woord te lezen, ben je niet de enige en, volgens deze klacht, treft jou ook niet alle schuld. Het ontwerp van veel consentbanners gaat uit van, en wellicht vertrouwt op, precies dat gedrag.

Een paar praktische stappen kunnen helpen:

  • Zoek naar een optie 'Alles weigeren' of 'Voorkeuren beheren' voordat je door een banner klikt. Veel sites verstoppen die, maar de GDPR vereist dat ze bestaat.
  • Gebruik browsertools of extensies die privacy beschermen en standaard trackers van derden blokkeren, waardoor er minder gegevens überhaupt bij die partnernetwerken terechtkomen.
  • Let op hoeveel 'partners' een consentbanner noemt. Een aantal in de duizenden, zoals bij dict.cc, is een signaal dat de gegevensdelingsregeling van de site meer op een adtech-marktplaats lijkt dan op een eenvoudige analytics-opstelling.
  • Steun of volg handhavingsacties zoals de klachten van noyb. Regelgevende druk is vaak de enige kracht die verandert hoe deze banners worden gebouwd.

De conclusie

Deze GDPR-klacht tegen dict.cc gaat niet echt over een woordenboekwebsite. Het is een testcase voor de vraag of 'toestemming' het contact met de schaal van moderne adtech kan overleven. Wanneer akkoord gaan met een cookiebanner meer dan een week lezen zou vergen om het goed te doen, heeft de banner wellicht al gefaald in zijn enige taak: ervoor zorgen dat gebruikers weten waarmee ze akkoord gaan. Hoe de Oostenrijkse toezichthouder hier oordeelt, kan bepalen of even opgeblazen toestemmingsstromen de standaardpraktijk blijven of van het web beginnen te verdwijnen.