En tankesmedja säger att cookie-bannern inte fungerar

Om du någonsin har klickat på "Acceptera alla" i en cookie-banner bara för att få den att försvinna, tyder en ny arbetsrapport från Bruegel, en Brysselbaserad ekonomisk tankesmedja, på att du inte är ensam, och att systemet förmodligen aldrig var utformat för att ge dig ett verkligt val från första början.

Rapporten hävdar att GDPR-datasamtycke, den juridiska mekanism som är tänkt att ge européer kontroll över hur deras personuppgifter samlas in och används, i praktiken är en "juridisk och teknisk fiktion." Även om den allmänna dataskyddsförordningen kräver att samtycke ska vara frivilligt, specifikt, informerat och otvetydigt, fann forskarna att cookie-banners rutinmässigt misslyckas med att leva upp till den standarden. I stället för att tydligt förklara vilka data som samlas in, vem som får dem och varför, är de flesta banners byggda för att knuffa användare mot snabb acceptans snarare än genuin förståelse.

Detta är inte en marginell invändning. Det är en direkt utmaning mot en av de grundläggande antagandena som ligger till grund för EU:s dataskyddslagstiftning: att vanliga människor på ett meningsfullt sätt kan samtycka till komplexa datahanteringsarrangemang genom att helt enkelt klicka på en knapp i ett popup-fönster.

Varför "samtycke" sällan betyder vad du tror

GDPR:s krav på samtycke låter okomplicerat på papperet. Innan en webbplats kan spåra dig, dela dina data med annonsörer eller bygga en profil av dina surfvanor, ska den be om tillåtelse på ett sätt som du faktiskt kan förstå. I verkligheten har cookie-banners blivit en form av teater. Användare möts av tät juridisk text, förifyllda kryssrutor och gränssnitt som är utformade för att göra "Acceptera alla" till den enklaste vägen, medan alternativet att avvisa eller anpassa inställningar begravs flera klick djupare.

Detta mönster är inte begränsat till internetets obskyra hörn. Även välkända konsumentsajter har granskats för hur de strukturerar samtycke. Ett färskt exempel involverade en populär online-ordbok, dict.cc:s omfattande samtyckesbanner, som listade mer än 1 700 annons- och spårningspartner bakom en enda samtyckesförfrågan. Klagomålet som lämnades in angående den bannern illustrerar exakt det problem som Bruegel-rapporten beskriver: det är tekniskt möjligt att följa GDPR:s bokstav samtidigt som man gör genuint informerat samtycke praktiskt taget omöjligt. När en användare uppmanas att utvärdera över tusen parters datapraxis på några sekunder, slutar "informerat" samtycke att betyda någonting.

Skalan i det exemplet är ovanlig, men de underliggande mekanismerna – vaga upplysningar, friktionsfyllda avanmälningar och standardinställningar som gynnar datainsamling – är vanliga över stora delar av webben. Bruegel-rapportens kärnargument är att detta mönster inte är oavsiktligt. Det är ett förutsägbart resultat av ett juridiskt ramverk som förutsätter att användare har tid, expertis och uppmärksamhetsspann för att tolka samtyckesförfrågningar som, avsiktligt, är svåra att tolka.

Vad detta betyder för dig

För vanliga internetanvändare i Europa innebär denna forskning inte att GDPR-skydden är värdelösa. Förordningen har fortfarande tvingat företag att avslöja mer om sina datapraxis än de annars skulle ha gjort, och den ger tillsynsmyndigheter verktyg för att utreda överträdelser i efterhand. Men det betyder att du inte bör behandla en cookie-banner som en meningsfull kontrollpunkt där din integritet faktiskt skyddas i realtid. Att klicka på "Acceptera" eller "Avvisa" är sällan det ögonblick då dina data blir säkra eller osäkra. Mycket av spårningsinfrastrukturen fungerar oavsett vilken ruta du kryssar i, och tillsynen hinner ofta bara ifatt månader eller år senare.

Den klyftan mellan juridiskt samtycke och faktiskt skydd är exakt varför integritetsverktyg som fungerar oberoende av webbplatsnivåavtal spelar roll. En VPN stoppar inte en webbplats egna spårningsskript, men den begränsar vad din internetleverantör och nätverksnivåobservatörer kan se, och den kan minska mängden identifierande information som kopplas till dina surfessioner. Webbläsartillägg som blockerar spårare, samt integritetsfokuserade webbläsarinställningar, lägger till ytterligare ett lager som inte beror på om ett företags cookie-banner var designad ärligt eller inte.

Praktiska steg värda att ta

Eftersom samtyckesbanners inte fullt ut kan litas på för att återspegla dina faktiska integritetspreferenser, är några vanor värda att anta. Avvisa icke-nödvändiga cookies närhelst ett genuint alternativ presenteras, även om det tar ett extra klick. Använd webbläsarinställningar eller tillägg som blockerar tredjepartsspårare som standard i stället för att förlita dig på sajt-för-sajt-val. Överväg en VPN för ett extra lager av nätverksintegritet, särskilt på offentligt Wi-Fi eller när du kommer åt känsliga konton. Och när en samtyckesbanner känns avsiktligt förvirrande eller listar ett orimligt antal "partner", som i dict.cc-fallet, är det en signal värd att ta på allvar i stället för att avfärda som standardtext.

Bruegel-rapporten lägger akademisk tyngd åt något som många användare länge har misstänkt: att GDPR-datasamtycke, såsom det implementerats över större delen av webben, inte fungerar som lagen avsåg. Tills tillsyn eller designstandarder hinner ikapp, är det säkraste tillvägagångssättet att behandla cookie-banners som en formalitet snarare än ett skydd, och att bygga dina egna integritetsskydd ovanpå dem.