En tankesmie sier at informasjonskapselbanneret ikke fungerer
Hvis du noen gang har klikket på «Godta alle» på et informasjonskapselbanner bare for å få det til å forsvinne, tyder en ny arbeidsartikkel fra Bruegel, en Brussel-basert økonomisk tankesmie, på at du ikke er alene, og at systemet etter alt å dømme aldri var designet for å gi deg et reelt valg i utgangspunktet.
Artikkelen argumenterer for at GDPR-datasamtykke, den juridiske mekanismen som er ment å gi europeiske borgere kontroll over hvordan deres personopplysninger samles inn og brukes, i praksis er en «juridisk og teknisk fiksjon.» Selv om personvernforordningen (GDPR) krever at samtykke er frivillig, spesifikt, informert og utvetydig, fant forskerne at informasjonskapselbannere rutinemessig ikke oppfyller dette kravet. I stedet for å tydelig forklare hvilke data som samles inn, hvem som mottar dem, og hvorfor, er de fleste bannere bygget for å dytte brukere mot rask godkjenning heller enn genuin forståelse.
Dette er ikke en marginal klage. Det er en direkte utfordring til en av kjernepremissene som ligger til grunn for EUs databeskyttelseslovgivning: at vanlige mennesker meningsfullt kan samtykke til komplekse databehandlingsordninger bare ved å klikke på en knapp i en pop-up.
Hvorfor «samtykke» sjelden betyr det du tror
GDPR-kravet om samtykke høres enkelt ut på papiret. Før en nettside kan spore deg, dele dataene dine med annonsører, eller bygge en profil av nettleservanene dine, skal den be om tillatelse på en måte du faktisk kan forstå. I virkeligheten har informasjonskapselbannere blitt en slags teater. Brukere presenteres for tett juridisk språk, forhåndsavkryssede bokser, og grensesnitt designet for å gjøre «Godta alle» til den enkleste veien, mens alternativet for å avvise eller tilpasse innstillinger er begravd flere klikk ned.
Dette mønsteret er ikke begrenset til obskure hjørner av internett. Selv kjente forbrukersider har blitt gransket for hvordan de strukturerer samtykke. Et nylig eksempel involverte en populær online ordbok, dict.ccs omfattende samtykkebanner, som listet mer enn 1 700 reklame- og sporingspartnere bak en enkelt samtykkeforespørsel. Klagen som ble sendt over det banneret illustrerer nøyaktig det problemet Bruegel-artikkelen beskriver: det er teknisk mulig å overholde bokstaven i GDPR samtidig som genuint informert samtykke blir praktisk talt umulig. Når en bruker blir bedt om å vurdere over tusen partneres datapraksis i løpet av noen sekunder, slutter «informert» samtykke å bety noe.
Omfanget av det eksemplet er uvanlig, men de underliggende mekanismene – vage avsløringer, friksjonsfylte avmeldingsmuligheter, og standardinnstillinger som favoriserer datainnsamling – er vanlige over store deler av nettet. Bruegel-artikkelens kjerneargument er at dette mønsteret ikke er tilfeldig. Det er et forutsigbart utfall av et juridisk rammeverk som antar at brukere har tid, ekspertise og oppmerksomhet til å tolke samtykkeforespørsler som designmessig er vanskelige å tolke.
Hva dette betyr for deg
For vanlige internettbrukere i Europa betyr ikke denne forskningen at GDPR-beskyttelsen er verdiløs. Forordningen har fortsatt tvunget selskaper til å avsløre mer om sin datapraksis enn de ellers ville ha gjort, og den gir tilsynsmyndigheter verktøy til å undersøke overgrep i etterkant. Men det betyr at du ikke bør behandle et informasjonskapselbanner som et meningsfullt sjekkpunkt der personvernet ditt faktisk beskyttes i sanntid. Å klikke «Godta» eller «Avvis» er sjelden øyeblikket dataene dine blir trygge eller utrygge. Mye av sporingsinfrastrukturen opererer uansett hvilken boks du krysser av, og håndheving fanges ofte bare opp måneder eller år senere.
Det gapet mellom juridisk samtykke og faktisk beskyttelse er nøyaktig grunnen til at personvernverktøy som opererer uavhengig av avtaler på nettsidenivå betyr noe. En VPN vil ikke stoppe en nettsides egne sporingsskript, men den begrenser hva internettleverandøren din og observatører på nettverksnivå kan se, og den kan redusere mengden identifiserende informasjon knyttet til nettlesingsøktene dine. Nettleserutvidelser som blokkerer sporere, og personvernfokuserte nettleserinnstillinger, legger til et nytt lag som ikke avhenger av om et selskaps informasjonskapselbanner er designet ærlig eller ikke.
Praktiske skritt verdt å ta
Gitt at samtykkebannere ikke fullt ut kan stoles på for å gjenspeile dine faktiske personvernpreferanser, er det noen vaner verdt å ta opp. Avvis ikke-essensielle informasjonskapsler når et ekte alternativ presenteres, selv om det krever et ekstra klikk. Bruk nettleserinnstillinger eller utvidelser som blokkerer tredjepartssporere som standard i stedet for å stole på valg fra side til side. Vurder en VPN for et ekstra lag med nettverkspersonvern, spesielt på offentlig Wi-Fi eller når du får tilgang til sensitive kontoer. Og når et samtykkebanner føles bevisst forvirrende eller lister opp et usannsynlig antall «partnere», som i dict.cc-saken, er det et signal verdt å ta på alvor heller enn å avfeie som standardtekst.
Bruegel-artikkelen legger akademisk vekt til noe mange brukere lenge har mistenkt: at GDPR-datasamtykke, slik det er implementert over store deler av nettet, ikke fungerer slik loven hadde til hensikt. Inntil håndheving eller designstandarder tar igjen, er den sikreste tilnærmingen å behandle informasjonskapselbannere som en formalitet heller enn en beskyttelse, og å bygge dine egne personvernbeskyttelser oppå dem.
