Baner zgody dict.cc z 1741 partnerami wywołuje skargę RODO

Strona słownikowa z 1741 partnerami udostępniającymi dane

Austriacka grupa ochrony prywatności noyb złożyła skargę RODO przeciwko dict.cc, popularnemu słownikowi internetowemu, w związku ze sposobem zbierania zgody na śledzenie online. Problemem nie jest to, że witryna prosi o pozwolenie. Chodzi o to, co się dzieje, gdy użytkownik próbuje faktycznie zrozumieć, na co wyraża zgodę.

Według wyliczeń noyb baner zgody dict.cc wymienia 1741 odrębnych „partnerów”, którzy mogą otrzymywać lub przetwarzać dane odwiedzających. Aby podjąć świadomą decyzję, użytkownik teoretycznie musiałby przeczytać polityki prywatności każdego z tych partnerów przed kliknięciem „akceptuję”. noyb szacuje, że samo to zadanie zajęłoby około 172 godziny — ponad tydzień nieprzerwanej lektury — tylko po to, by ocenić pojedynczą wizytę na stronie słownikowej.

Ta przepaść między tym, czego wymaga prawo, a tym, na co faktycznie pozwala interfejs, stanowi sedno skargi i rodzi pytanie wykraczające daleko poza jedną witrynę: czy zgoda, której ocena zajmuje kilka dni, może kiedykolwiek zostać uznana za świadomą?

Dlaczego wygląda to na ciemny wzorzec, a nie wadę projektu

Podstawowa zasada RODO, zapisana w art. 5 ust. 1 lit. a), wymaga, aby dane osobowe były przetwarzane zgodnie z prawem, rzetelnie i przejrzyście. Zgoda w rozumieniu tego prawa jest ważna tylko wtedy, gdy jest dobrowolna, konkretna i świadoma. Skarga noyb argumentuje, że baner wymieniający ponad tysiąc partnerów praktycznie uniemożliwia wyrażenie świadomej zgody. Użytkownikom pozostają dwie realne opcje: kliknąć „akceptuję”, nie rozumiejąc, na co się godzą, lub całkowicie opuścić witrynę.

To znajomy kształt w ekosystemie śledzenia online. Banery zgody z rozbudowanymi listami partnerów nie są przypadkową złożonością. Działają jak tarcie, zaprojektowane tak, by odmowa lub uważny przegląd były na tyle czasochłonne, że akceptacja staje się ścieżką najmniejszego oporu. Mechanizm ten przypomina to, co badacze odkryli w innych analizach śledzenia, w tym w doniesieniach o tym, jak TikTok śledzi użytkowników nawet bez zainstalowanej aplikacji za pomocą pikseli, których większość ludzi nigdy nie widzi i na które nie wyraża sensownej zgody. W obu przypadkach techniczna architektura zbierania danych wyprzedza rzeczywistą zdolność użytkownika do jej przejrzenia.

Skala listy partnerów dict.cc odzwierciedla także szerszy schemat przepływu danych osobowych w ekosystemach komercyjnych po rozpoczęciu zbierania. Gdy dziesiątki lub setki podmiotów trzecich zostaną włączone umownie do łańcucha reklamowego lub analitycznego, pierwotny operator witryny często traci praktyczną widoczność tego, jak dane są wykorzystywane w dalszych ogniwach, nawet jeśli pozostaje prawnie odpowiedzialny za początkowe zebranie zgody.

Co teraz musi rozstrzygnąć austriacki organ regulacyjny

Skarga stawia austriacki organ ochrony danych w trudnej sytuacji. Organy regulacyjne generalnie uznawały, że banery zgody mogą wymieniać podmioty trzecie, ponieważ RODO nie zakazuje wprost złożonych ekosystemów reklamowych. Skarga noyb wymusza jednak bardziej szczegółowe pytanie: w którym momencie lista partnerów staje się tak obszerna, że zgoda zebrana za jej pośrednictwem przestaje być prawnie ważna, niezależnie od tego, jak sformułowano lub zaprojektowano baner?

Jeśli organ regulacyjny przyzna rację noyb, rozstrzygnięcie może odbić się szerokim echem w branży reklamy cyfrowej, gdzie długie listy partnerów związane z ramami takimi jak IAB Transparency and Consent Framework są powszechną praktyką, a nie wybrykiem specyficznym dla dict.cc. Wielu wydawców polega na podobnie rozbudowanych spisach partnerów, aby monetyzować ruch za pomocą reklamy programatycznej. Orzeczenie przeciwko dict.cc mogłoby zmusić witryny w całej Europie do ograniczenia liczby partnerów, uproszczenia procesów zgody lub zmierzenia się z podobnymi skargami.

To nie pierwszy raz, gdy organy regulacyjne muszą zmierzyć się z praktykami dotyczącymi danych, które formalnie spełniają wymogi informacyjne, ale w praktyce udaremniają ich cel. Sprawy dotyczące danych pracowników i uczniów, jak choćby kontrola praktyk śledzenia uczniów przez PowerSchool, pokazują podobne napięcie: zgoda lub powiadomienie istnieją na papierze, ale faktyczna zdolność osoby, której dotyczą, do zrozumienia lub zakwestionowania zbierania danych jest minimalna.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek kliknąłeś „Akceptuj wszystko” na banerze ciasteczek, nie czytając ani słowa, nie jesteś sam — a według tej skargi nie ponosisz za to pełnej winy. Projekt wielu banerów zgody zakłada i, można argumentować, opiera się właśnie na takim zachowaniu.

Kilka praktycznych kroków może pomóc:

• Poszukaj opcji „Odrzuć wszystko” lub „Zarządzaj preferencjami” zanim klikniesz baner. Wiele witryn ją ukrywa, ale RODO wymaga jej obecności.
• Korzystaj z narzędzi lub rozszerzeń przeglądarki do ochrony prywatności, które domyślnie blokują zewnętrzne skrypty śledzące, zmniejszając ilość danych docierających do sieci partnerskich.
• Zwróć uwagę, ilu „partnerów” wymienia baner zgody. Liczba idąca w tysiące, jak w przypadku dict.cc, jest sygnałem, że struktura udostępniania danych przez witrynę bliższa jest rynkowi reklamowemu niż prostemu zestawowi narzędzi analitycznych.
• Wspieraj lub śledź działania egzekucyjne, takie jak skargi noyb. Presja regulacyjna jest często jedyną siłą, która zmienia sposób budowania tych banerów.

Konkluzja

Ta skarga RODO przeciwko dict.cc tak naprawdę nie dotyczy strony słownikowej. To sprawdzian, czy „zgoda” może przetrwać zderzenie z rozmachem współczesnej branży reklamy cyfrowej. Gdy wyrażenie zgody na baner ciasteczek wymagałoby ponad tygodnia lektury, by zrobić to poprawnie, baner ten prawdopodobnie już zawiódł w swoim jedynym zadaniu: upewnieniu się, że użytkownicy wiedzą, na co się godzą. To, jak austriacki organ regulacyjny rozstrzygnie tę sprawę, może zadecydować, czy podobnie rozdęte mechanizmy zgody pozostaną standardową praktyką, czy zaczną znikać z sieci.