Un site de dicționar cu 1.741 de parteneri de partajare a datelor

Grupul austriac pentru confidențialitate noyb a depus o plângere GDPR împotriva dict.cc, cunoscutul dicționar online, pentru modul în care obține consimțământul pentru urmărirea online. Problema nu este că site-ul cere permisiunea, ci ce se întâmplă atunci când un utilizator încearcă să înțeleagă cu adevărat la ce își dă acordul.

Conform calculelor noyb, bannerul de consimțământ al dict.cc enumeră 1.741 de „parteneri” distincți care pot primi sau procesa datele vizitatorilor. Pentru a lua o decizie în cunoștință de cauză, un utilizator ar trebui, teoretic, să citească politicile de confidențialitate ale fiecăruia dintre acești parteneri înainte de a da clic pe acceptare. noyb estimează că doar această sarcină ar dura aproximativ 172 de ore, mai mult de o săptămână întreagă de lectură neîntreruptă, doar pentru a evalua o singură vizită pe un site de dicționar.

Această discrepanță între ceea ce impune legea și ceea ce permite interfața reprezintă esența plângerii și ridică o întrebare care depășește cu mult un singur site: poate fi considerat vreodată informat un consimțământ a cărui evaluare durează zile întregi?

De ce aceasta arată a „dark pattern”, nu a un defect de design

Principiul fundamental al GDPR, prevăzut la articolul 5 alineatul (1) litera (a), impune ca datele cu caracter personal să fie prelucrate în mod legal, echitabil și transparent. Conform legii, consimțământul este valabil doar dacă este dat în mod liber, specific și informat. Plângerea noyb susține că un banner care enumeră peste o mie de parteneri face ca un consimțământ informat să fie structural imposibil. Utilizatorii rămân cu două opțiuni reale: să dea clic pe acceptare fără să înțeleagă la ce își dau acordul sau să abandoneze complet site-ul.

Aceasta este o formă familiară în ecosistemul de urmărire online. Bannerurile de consimțământ cu liste uriașe de parteneri nu reprezintă o complexitate întâmplătoare. Ele funcționează ca o frecare, concepută pentru a face refuzul sau examinarea atentă atât de cronofage încât acceptarea devine calea cu cea mai mică rezistență. Mecanismul reflectă ceea ce cercetătorii au descoperit în alte investigații privind urmărirea, inclusiv relatarea modului în care TikTok urmărește utilizatorii chiar și fără o aplicație instalată prin pixeli pe care majoritatea oamenilor nu îi văd niciodată și pentru care nu își dau consimțământul într-un mod cu adevărat semnificativ. În ambele cazuri, arhitectura tehnică a colectării datelor depășește capacitatea oricărui utilizator realist de a o examina.

Amploarea listei de parteneri a dict.cc reflectă, de asemenea, un tipar mai larg al modului în care datele cu caracter personal circulă prin ecosistemele comerciale odată ce colectarea începe. Odată ce zeci sau sute de terți sunt implicați contractual într-un lanț de tehnologie publicitară sau de analiză, operatorul original al site-ului pierde adesea vizibilitatea practică asupra modului în care acele date sunt utilizate în aval, chiar dacă rămâne responsabil din punct de vedere juridic pentru colectarea inițială a consimțământului.

Ce trebuie să decidă acum autoritatea austriacă de reglementare

Plângerea pune autoritatea austriacă pentru protecția datelor într-o situație dificilă. Autoritățile de reglementare au acceptat, în general, ca bannerurile de consimțământ să enumere terți, deoarece GDPR nu interzice în mod direct ecosistemele publicitare complexe. Dar plângerea noyb forțează o întrebare mai precisă: din ce punct o listă de parteneri devine atât de mare încât consimțământul colectat prin intermediul acesteia nu mai este valabil din punct de vedere juridic, indiferent de modul în care este formulat sau proiectat bannerul?

Dacă autoritatea de reglementare va da dreptate noyb, decizia s-ar putea răsfrânge asupra întregii industrii de tehnologie publicitară, unde listele ample de parteneri legate de cadre precum Transparency and Consent Framework al IAB reprezintă o practică obișnuită, nu o particularitate a dict.cc. Mulți editori se bazează pe liste la fel de lungi de parteneri pentru a-și monetiza traficul prin publicitate programatică. O decizie împotriva dict.cc ar putea obliga site-urile din întreaga Europă să reducă numărul de parteneri, să simplifice fluxurile de consimțământ sau să se confrunte cu plângeri similare.

Nu este prima dată când autoritățile de reglementare sunt nevoite să abordeze practici de date care, din punct de vedere tehnic, respectă normele de divulgare, dar le subminează practic scopul. Cazurile legate de datele angajaților și ale elevilor, cum ar fi analiza asupra practicilor de urmărire a elevilor de către PowerSchool, arată o tensiune similară: consimțământul sau notificarea există pe hârtie, dar capacitatea practică a persoanei vizate de a înțelege sau de a contesta colectarea datelor este minimă.

Ce înseamnă acest lucru pentru tine

Dacă ai dat vreodată clic pe „Acceptă toate” pe un banner de cookie-uri fără să citești un cuvânt, nu ești singurul și, conform acestei plângeri, nu ești în totalitate de vină. Designul multor banneruri de consimțământ se bazează pe exact acest comportament, și, se poate argumenta, mizează pe el.

Câțiva pași practici pot ajuta:

  • Caută o opțiune „Respinge toate” sau „Gestionează preferințele” înainte de a trece peste un banner. Multe site-uri o ascund, dar GDPR impune să existe.
  • Folosește instrumente sau extensii de browser pentru confidențialitate care blochează în mod implicit trackerele terților, reducând cantitatea de date care ajunge chiar și la acele rețele partenere.
  • Fii atent la numărul de „parteneri” menționați într-un banner de consimțământ. O cifră de ordinul miilor, ca în cazul dict.cc, este un semnal că acordul de partajare a datelor al site-ului seamănă mai mult cu o piață de tehnologie publicitară decât cu o simplă configurare de analiză.
  • Sprijină sau urmărește acțiunile de punere în aplicare precum plângerile noyb. Presiunea autorităților de reglementare este adesea singura forță care schimbă modul în care sunt construite aceste banneruri.

Concluzia

Această plângere GDPR împotriva dict.cc nu se referă cu adevărat la un site de dicționar. Este un caz-test pentru a stabili dacă noțiunea de „consimțământ” poate supraviețui contactului cu amploarea tehnologiei publicitare moderne. Atunci când a accepta un banner de cookie-uri ar necesita mai mult de o săptămână de lectură pentru a fi făcut corect, bannerul, se poate spune, a eșuat deja în singura sa misiune: aceea de a se asigura că utilizatorii știu la ce își dau acordul. Modul în care autoritatea austriacă de reglementare va decide ar putea influența dacă aceste fluxuri de consimțământ la fel de umflate rămân o practică standard sau încep să dispară din peisajul web.