En ordbokside med 1 741 datadelingspartnere

Den østerrikske personverngruppen noyb har levert en GDPR-klage mot dict.cc, den populære nettordboken, for måten den innhenter samtykke til sporing på nettet. Problemet er ikke at nettstedet ber om tillatelse. Det er hva som skjer når en bruker faktisk prøver å forstå hva de samtykker til.

Ifølge noybs beregninger navngir dict.ccs samtykkebanner 1 741 separate «partnere» som kan motta eller behandle besøksdata. For å kunne ta en informert beslutning, måtte en bruker i teorien lese personvernerklæringen til hver eneste av disse partnerne før de klikket «godta». noyb anslår at oppgaven alene ville ta rundt 172 timer – mer enn en hel uke med uavbrutt lesing – bare for å vurdere ett enkelt besøk på en ordbokside.

Kløften mellom det loven krever og det grensesnittet faktisk tillater, er kjernen i klagen, og den reiser et spørsmål som går langt utover ett enkelt nettsted: Kan et samtykke som tar dager å vurdere ordentlig, noensinne regnes som informert?

Hvorfor dette ser ut som et manipulerende mønster, ikke en designfeil

GDPRs grunnleggende prinsipp, fastsatt i artikkel 5(1)(a), krever at personopplysninger behandles lovlig, rettferdig og gjennomsiktig. Samtykke etter loven er bare gyldig dersom det er avgitt frivillig, spesifikt og informert. noybs klage hevder at et banner med over tusen partnere i praksis gjør informert samtykke strukturelt umulig. Brukerne sitter igjen med to reelle valg: klikk «godta» uten å forstå hva de samtykker til, eller forlat nettstedet helt.

Dette er et velkjent trekk ved økosystemet for nettsporing. Samtykkevegger med uoversiktlige partnerlister er ikke tilfeldig kompleksitet. De fungerer som friksjon, utformet for å gjøre avvisning eller grundig gjennomgang så tidkrevende at aksept blir den minste motstands vei. Mekanismen minner om det forskere har funnet i andre sporingsundersøkelser, blant annet rapporteringen om hvordan TikTok sporer deg selv uten installert app gjennom sporingspiksler de fleste aldri ser eller samtykker til på noen meningsfylt måte. I begge tilfeller overgår den tekniske arkitekturen for datainnsamling enhver reell brukers mulighet til å gjennomgå den.

Omfanget av dict.ccs partnerliste speiler også et bredere mønster i hvordan personopplysninger flyter gjennom kommersielle økosystemer når innsamlingen først har startet. Når dusinvis eller hundrevis av tredjeparter er kontraktsmessig involvert i en annonseteknologi- eller analysekjede, mister den opprinnelige nettstedsoperatøren ofte praktisk innsyn i hvordan dataene brukes lenger nedstrøms, selv om operatøren fortsatt er juridisk ansvarlig for den opprinnelige innhentingen av samtykke.

Hva Østerrikes tilsynsmyndighet nå må avgjøre

Klagen setter det østerrikske datatilsynet i en vanskelig situasjon. Tilsynsmyndigheter har generelt akseptert at samtykkebannere kan oppgi tredjeparter, ettersom GDPR ikke forbyr komplekse annonseøkosystemer direkte. Men noybs klage tvinger frem et mer presist spørsmål: Når blir en partnerliste så stor at samtykke innhentet gjennom den ikke lenger er juridisk gyldig, uavhengig av hvordan banneret er formulert eller utformet?

Dersom tilsynsmyndigheten gir noyb medhold, kan avgjørelsen slå inn over hele annonseteknologi-bransjen, der store partnerlister knyttet til rammeverk som IABs Transparency and Consent Framework er vanlig praksis, ikke en særhet hos dict.cc. Mange publisister baserer seg på tilsvarende lange partnerlister for å tjene penger på trafikk gjennom programmatisk annonsering. En avgjørelse mot dict.cc kan presse nettsteder over hele Europa til å redusere antall partnere, forenkle samtykkeflyter eller risikere lignende klager.

Dette er ikke første gang tilsynsmyndigheter må hanskes med datapraksiser som teknisk sett oppfyller opplysningskrav, men samtidig undergraver formålet. Saker om ansatt- og studentdata, som granskningen av PowerSchools praksis for sporing av elever, viser en lignende spenning: Samtykke eller informasjon finnes på papiret, men den berørtes reelle mulighet til å forstå eller bestride datainnsamlingen er minimal.

Hva dette betyr for deg

Om du noen gang har klikket «Godta alle» på et informasjonskapselbanner uten å lese et ord, er du ikke alene, og ifølge denne klagen er du heller ikke helt å klandre. Utformingen av mange samtykkebannere forutsetter – og er nærmest avhengig av – nettopp den oppførselen.

Noen praktiske grep kan hjelpe:

  • Se etter et alternativ som «Avvis alle» eller «Administrer preferanser» før du klikker deg gjennom et banner. Mange nettsteder gjemmer det, men GDPR krever at det finnes.
  • Bruk personvernverktøy eller utvidelser i nettleseren som blokkerer tredjepartssporing som standard, slik at mindre data i det hele tatt når disse partnernettverkene.
  • Følg med på hvor mange «partnere» et samtykkebanner navngir. Et antall i tusener, som hos dict.cc, er et signal om at nettstedets datadelingsordning ligner mer på en annonseteknologisk markedsplass enn et enkelt analyseoppsett.
  • Støtt eller følg med på håndhevingstiltak som noybs klager. Regulatorisk press er ofte den eneste kraften som endrer hvordan disse bannerne er bygget opp.

Konklusjonen

Denne GDPR-klagen mot dict.cc handler egentlig ikke om en ordbokside. Den er en prøvesak for om «samtykke» kan overleve møtet med moderne annonseteknologis omfang. Når det å akseptere et informasjonskapselbanner krever mer enn en ukes lesing for å gjøres riktig, har banneret antakelig allerede mislyktes i sin eneste oppgave: å sørge for at brukerne vet hva de samtykker til. Tilsynsmyndigheten i Østerrike sin avgjørelse her kan avgjøre om lignende oppblåste samtykkeflyter forblir standard praksis eller begynner å forsvinne fra nettet.