Think tank twierdzi, że banery cookies nie działają
Jeśli kiedykolwiek kliknąłeś „Akceptuję wszystko” na banerze cookies tylko po to, aby zniknął, nowy dokument roboczy Bruegel, brukselskiego think tanku ekonomicznego, sugeruje, że nie jesteś w tym odosobniony, a system prawdopodobnie nigdy nie został zaprojektowany tak, aby dawać ci realny wybór.
Dokument argumentuje, że zgoda na dane w RODO, mechanizm prawny mający dać obywatelom Europy kontrolę nad tym, jak ich dane osobowe są zbierane i wykorzystywane, jest w praktyce „fikcją prawną i techniczną”. Podczas gdy Ogólne rozporządzenie o ochronie danych wymaga, aby zgoda była dobrowolna, konkretna, świadoma i jednoznaczna, naukowcy odkryli, że banery cookies rutynowo nie spełniają tych standardów. Zamiast jasno wyjaśniać, jakie dane są zbierane, kto je otrzymuje i dlaczego, większość banerów jest zaprojektowana tak, aby popychać użytkowników do szybkiej akceptacji, a nie do rzeczywistego zrozumienia.
To nie jest głos z marginesu. To bezpośrednie wyzwanie dla jednego z kluczowych założeń leżących u podstaw unijnego prawa ochrony danych: że zwykli ludzie mogą w sposób znaczący wyrazić zgodę na skomplikowane procesy przetwarzania danych, po prostu klikając przycisk na wyskakującym oknie.
Dlaczego „zgoda” rzadko oznacza to, co myślisz
Wymóg zgody w RODO na papierze brzmi prosto. Zanim strona internetowa może cię śledzić, udostępniać twoje dane reklamodawcom lub budować profil twoich nawyków przeglądania, powinna poprosić o pozwolenie w sposób, który faktycznie możesz zrozumieć. W rzeczywistości banery cookies stały się swego rodzaju teatrem. Użytkownicy otrzymują gęsty język prawniczy, zaznaczone wcześniej pola i interfejsy zaprojektowane tak, aby „Akceptuję wszystko” było najłatwiejszą ścieżką, podczas gdy opcja odrzucenia lub dostosowania ustawień jest pogrzebana kilka kliknięć głębiej.
Ten wzorzec nie ogranicza się do mało znanych zakątków internetu. Nawet dobrze znane strony konsumenckie spotkały się z kontrolą dotyczącą sposobu strukturyzowania zgody. Niedawny przykład dotyczy popularnego słownika online, rozległego banera zgody dict.cc, który wymieniał ponad 1700 partnerów reklamowych i śledzących za jednym żądaniem zgody. Skarga złożona na ten baner ilustruje dokładnie ten problem, który opisuje dokument Bruegel: technicznie możliwe jest przestrzeganie litery RODO, jednocześnie czyniąc prawdziwą świadomą zgodę praktycznie niemożliwą. Kiedy użytkownik jest proszony o ocenę praktyk danych ponad tysiąca partnerów w ciągu kilku sekund, „świadoma” zgoda przestaje cokolwiek znaczyć.
Skala tego przykładu jest niezwykła, ale podstawowe mechanizmy — niejasne ujawnienia, opt-outy wymagające wielu kliknięć i domyślne ustawienia sprzyjające zbieraniu danych — są powszechne w dużej części sieci. Głównym argumentem dokumentu Bruegel jest to, że ten wzorzec nie jest przypadkowy. To przewidywalny rezultat ram prawnych, które zakładają, że użytkownicy mają czas, wiedzę i uwagę, aby analizować prośby o zgodę, które są celowo trudne do przeanalizowania.
Co to oznacza dla ciebie
Dla zwykłych użytkowników internetu w Europie te badania nie oznaczają, że ochrona RODO jest bezwartościowa. Rozporządzenie wciąż zmusiło firmy do ujawniania więcej na temat ich praktyk danych, niż zrobiłyby to w innym przypadku, i daje regulatorom narzędzia do badania nadużyć po fakcie. Ale oznacza to, że nie powinieneś traktować banera cookies jako znaczącego punktu kontrolnego, w którym twoja prywatność jest faktycznie chroniona w czasie rzeczywistym. Kliknięcie „Akceptuję” lub „Odrzucam” rzadko jest momentem, w którym twoje dane stają się bezpieczne lub niebezpieczne. Większość infrastruktury śledzącej działa niezależnie od tego, jakie pole zaznaczysz, a egzekwowanie przepisów często nadąża dopiero po miesiącach lub latach.
Ta luka między prawną zgodą a faktyczną ochroną jest dokładnie powodem, dla którego narzędzia prywatności działające niezależnie od porozumień na poziomie strony mają znaczenie. VPN nie powstrzyma skryptów śledzących danej strony, ale ogranicza to, co twój dostawca usług internetowych i obserwatorzy na poziomie sieci mogą zobaczyć, i może zmniejszyć ilość danych identyfikujących powiązanych z twoimi sesjami przeglądania. Rozszerzenia przeglądarki blokujące trackery oraz ustawienia przeglądarki skoncentrowane na prywatności dodają kolejną warstwę, która nie zależy od tego, czy baner cookies danej firmy został zaprojektowany uczciwie, czy nie.
Praktyczne kroki warte podjęcia
Biorąc pod uwagę, że banerom zgody nie można w pełni ufać, jeśli chodzi o odzwierciedlenie twoich rzeczywistych preferencji prywatności, warto przyjąć kilka nawyków. Odrzucaj niezbędne pliki cookie za każdym razem, gdy pojawi się prawdziwa opcja, nawet jeśli wymaga to dodatkowego kliknięcia. Używaj ustawień przeglądarki lub rozszerzeń, które domyślnie blokują trackery stron trzecich, zamiast polegać na wyborach dokonywanych na każdej stronie. Rozważ VPN, aby dodać warstwę prywatności sieciowej, szczególnie w publicznych sieciach Wi-Fi lub podczas uzyskiwania dostępu do wrażliwych kont. A gdy baner zgody wydaje się celowo mylący lub wymienia niewiarygodną liczbę „partnerów”, jak w przypadku dict.cc, to sygnał, który warto potraktować poważnie, a nie zbyć jako standardowy tekst.
Dokument Bruegel dodaje akademicką wagę do czegoś, co wielu użytkowników podejrzewało od dawna: że zgoda na dane w RODO, w takiej formie, w jakiej jest wdrażana w większości sieci, nie działa tak, jak zamierzał ustawodawca. Dopóki egzekwowanie przepisów lub standardy projektowania nie nadążą, najbezpieczniejszym podejściem jest traktowanie banerów cookies jako formalności, a nie zabezpieczenia, i budowanie własnej ochrony prywatności na ich bazie.
