Un think tank spune că banner-ul de cookie-uri nu funcționează

Dacă ați făcut vreodată clic pe „Acceptă tot" pe un banner de cookie-uri doar ca să dispară, o nouă lucrare de lucru de la Bruegel, un think tank economic cu sediul la Bruxelles, sugerează că nu sunteți singuri și că sistemul nu a fost probabil niciodată conceput pentru a vă oferi o alegere reală.

Lucrarea susține că consimțământul pentru date GDPR, mecanismul legal menit să ofere cetățenilor europeni control asupra modului în care datele lor personale sunt colectate și utilizate, este în practică o „ficțiune legală și tehnică". Deși Regulamentul General privind Protecția Datelor impune ca consimțământul să fie dat în mod liber, specific, informat și neambiguu, cercetătorii au descoperit că bannerele de cookie-uri nu reușesc în mod constant să atingă acest standard. În loc să explice clar ce date sunt colectate, cine le primește și de ce, majoritatea bannerelor sunt construite pentru a împinge utilizatorii către acceptarea rapidă, mai degrabă decât către o înțelegere reală.

Aceasta nu este o plângere marginală. Este o provocare directă la adresa uneia dintre presupunerile de bază care stau la baza legislației europene privind protecția datelor: că oamenii obișnuiți pot consimți în mod semnificativ la aranjamente complexe de procesare a datelor doar făcând clic pe un buton dintr-o fereastră pop-up.

De ce „consimțământul" rareori înseamnă ceea ce credeți

Cerința de consimțământ din GDPR sună simplu pe hârtie. Înainte ca un site web să vă poată urmări, să vă împărtășească datele cu agenții de publicitate sau să construiască un profil al obiceiurilor dvs. de navigare, ar trebui să ceară permisiunea într-un mod pe care să îl puteți înțelege efectiv. În realitate, bannerele de cookie-uri au devenit un fel de teatru. Utilizatorii sunt întâmpinați cu limbaj juridic dens, casete pre-bifate și interfețe concepute pentru a face „Acceptă tot" calea cea mai ușoară, îngropând opțiunea de a respinge sau personaliza setările la câteva clicuri distanță.

Acest tipar nu este izolat în colțurile obscure ale internetului. Chiar și site-urile de consum bine cunoscute s-au confruntat cu control asupra modului în care structurază consimțământul. Un exemplu recent a implicat un dicționar online popular, banner-ul extins de consimțământ al dict.cc, care lista peste 1.700 de parteneri de publicitate și urmărire în spatele unei singure cereri de consimțământ. Plângerea depusă pentru acel banner ilustrează exact problema pe care o descrie lucrarea Bruegel: este tehnic posibil să respectați litera GDPR, făcând în același timp consimțământul informat real practic imposibil. Când un utilizator este rugat să evalueze practicile de date ale peste o mie de parteneri în câteva secunde, consimțământul „informat" încetează să mai însemne ceva.

Amploarea acestui exemplu este neobișnuită, dar mecanismele de bază — dezvăluiri vagi, opțiuni de renunțare cu frecare ridicată și opțiuni implicite care favorizează colectarea datelor — sunt comune pe o mare parte a web-ului. Argumentul central al lucrării Bruegel este că acest tipar nu este accidental. Este un rezultat previzibil al unui cadru legal care presupune că utilizatorii au timpul, expertiza și capacitatea de atenție necesare pentru a analiza cereri de consimțământ care sunt, prin design, dificil de analizat.

Ce înseamnă aceasta pentru dumneavoastră

Pentru utilizatorii obișnuiți de internet din Europa, această cercetare nu înseamnă că protecțiile GDPR sunt lipsite de valoare. Regulamentul a forțat totuși companiile să dezvăluie mai mult despre practicile lor de date decât ar fi făcut-o altfel și oferă autorităților de reglementare instrumente pentru a investiga abuzurile ulterior. Dar înseamnă că nu ar trebui să tratați un banner de cookie-uri ca pe un punct de control semnificativ în care confidențialitatea dvs. este protejată efectiv în timp real. Click-ul pe „Acceptă" sau „Respinge" este rareori momentul în care datele dvs. devin sigure sau nesigure. O mare parte din infrastructura de urmărire funcționează indiferent de caseta pe care o bifați, iar aplicarea legii adesea prinde din urmă doar luni sau ani mai târziu.

Acest decalaj dintre consimțământul legal și protecția efectivă este exact motivul pentru care instrumentele de confidențialitate care funcționează independent de acordurile la nivel de site contează. Un VPN nu va opri scripturile de urmărire ale unui site, dar limitează ceea ce pot vedea furnizorul dvs. de servicii de internet și observatorii la nivel de rețea și poate reduce cantitatea de informații de identificare asociate sesiunilor dvs. de navigare. Extensiile de browser care blochează tracker-ele și setările de browser orientate spre confidențialitate adaugă un alt strat care nu depinde de faptul că banner-ul de cookie-uri al unei companii a fost conceput onest sau nu.

Pași practici care merită urmați

Având în vedere că bannerele de consimțământ nu pot fi pe deplin de încredere pentru a reflecta preferințele dvs. reale de confidențialitate, câteva obiceiuri merită adoptate. Respingeți cookie-urile neesențiale ori de câte ori este prezentată o opțiune reală, chiar dacă necesită un clic în plus. Folosiți setările browserului sau extensii care blochează tracker-ele terțe în mod implicit, mai degrabă decât să vă bazați pe alegeri site cu site. Luați în considerare un VPN pentru un strat suplimentar de confidențialitate a rețelei, în special pe Wi-Fi public sau când accesați conturi sensibile. Și când un banner de consimțământ pare deliberat confuz sau listează un număr neverosimil de „parteneri", ca în cazul dict.cc, acesta este un semnal care merită luat în serios, nu respins ca text standard.

Lucrarea Bruegel adaugă greutate academică unui lucru pe care mulți utilizatori l-au suspectat de mult timp: că consimțământul pentru date GDPR, așa cum este implementat pe cea mai mare parte a web-ului, nu funcționează așa cum intenționa legea. Până când aplicarea legii sau standardele de design vor recupera diferența, cea mai sigură abordare este să tratați bannerele de cookie-uri ca pe o formalitate, nu ca pe o garanție, și să construiți propriile protecții de confidențialitate deasupra lor.