En ordbokssajt med 1 741 datadelningspartners

Den österrikiska integritetsgruppen noyb har lämnat in ett GDPR-klagomål mot dict.cc, den populära onlineordboken, angående hur den samlar in samtycke för spårning online. Problemet är inte att webbplatsen ber om tillstånd. Det är vad som händer när en användare försöker att faktiskt förstå vad de samtycker till.

Enligt noybs beräkningar namnger dict.cc:s samtyckesbanner 1 741 separata "partners" som kan ta emot eller behandla besökardata. För att fatta ett informerat beslut skulle en användare teoretiskt sett behöva läsa var och en av dessa partners integritetspolicyer innan de klickar på acceptera. noyb uppskattar att enbart den uppgiften skulle ta ungefär 172 timmar, mer än en hel veckas oavbruten läsning, bara för att utvärdera ett enda besök på en ordbokswebbplats.

Detta glapp mellan vad lagen kräver och vad gränssnittet faktiskt tillåter är kärnan i klagomålet, och det väcker en fråga som sträcker sig långt bortom en enda webbplats: kan ett samtycke som tar dagar att korrekt utvärdera någonsin anses vara informerat?

Varför detta ser ut som ett mörkt mönster, inte en designmiss

GDPR:s grundläggande princip, fastställd i artikel 5(1)(a), kräver att personuppgifter behandlas lagligt, korrekt och öppet. Samtycke enligt lagen är endast giltigt om det ges frivilligt, är specifikt och informerat. noyb:s klagomål hävdar att en banner som listar över tusen partners i praktiken gör informerat samtycke strukturellt omöjligt. Användare lämnas med två reella alternativ: klicka på acceptera utan att förstå vad de samtycker till, eller överge webbplatsen helt.

Detta är en välbekant form i ekosystemet för spårning online. Samtyckesväggar med enorma partnerlistor är inte en oavsiktlig komplexitet. De fungerar som friktion, utformade för att göra avvisande eller noggrann granskning så tidskrävande att accepterande blir minsta motståndets väg. Mekanismen återspeglar vad forskare har funnit i andra spårningsundersökningar, inklusive rapportering om hur TikTok spårar användare även utan en installerad app via pixlar som de flesta aldrig ser eller samtycker till på något meningsfullt sätt. I båda fallen överträffar den tekniska arkitekturen för datainsamling varje realistisk användares förmåga att granska den.

Omfattningen av dict.cc:s partnerlista speglar också ett bredare mönster i hur personuppgifter flödar genom kommersiella ekosystem när insamlingen väl har börjat. När dussintals eller hundratals tredje parter kontraktsmässigt kopplas in i en ad-tech- eller analyskedja, förlorar den ursprungliga webbplatsoperatören ofta praktisk insyn i hur den datan används i senare led, även om den förblir juridiskt ansvarig för den ursprungliga samtyckesinsamlingen.

Vad Österrikes tillsynsmyndighet nu måste besluta

Klagomålet försätter Österrikes dataskyddsmyndighet i en svår sits. Tillsynsmyndigheter har generellt accepterat att samtyckesbanners kan lista tredje parter, eftersom GDPR inte uttryckligen förbjuder komplexa reklamekosystem. Men noyb:s klagomål tvingar fram en mer specifik fråga: vid vilken tidpunkt blir en partnerlista så stor att samtycke som samlas in via den inte längre är juridiskt giltigt, oavsett hur bannern är formulerad eller utformad?

Om tillsynsmyndigheten går på noyb:s linje kan domen få återverkningar genom hela ad-tech-branschen, där stora partnerlistor kopplade till ramverk som IAB:s Transparency and Consent Framework är vanlig praxis, inte en egenhet specifik för dict.cc. Många publicister förlitar sig på liknande långa partnerlistor för att tjäna pengar på trafik genom programmatisk annonsering. Ett avgörande mot dict.cc kan pressa webbplatser över hela Europa att minska antalet partners, förenkla samtyckesflöden eller möta liknande klagomål.

Detta är inte första gången tillsynsmyndigheter har tvingats brottas med datapraxis som tekniskt sett uppfyller informationskrav samtidigt som de funktionellt motverkar sitt syfte. Fall med anställd- och studentdata, som granskningen kring PowerSchools metoder för studentspårning, visar en liknande spänning: samtycke eller information finns på pappret, men den berörda personens praktiska förmåga att förstå eller bestrida datainsamlingen är minimal.

Vad detta betyder för dig

Om du någonsin har klickat på "Acceptera alla" på en cookie-banner utan att läsa ett ord, är du inte ensam, och enligt detta klagomål är du inte heller helt skyldig. Utformningen av många samtyckesbanners förutsätter, och är utan tvekan beroende av, just det beteendet.

Några praktiska steg kan hjälpa:

  • Leta efter ett "Avvisa alla" eller "Hantera inställningar"-alternativ innan du klickar dig igenom en banner. Många webbplatser gömmer det, men GDPR kräver att det finns.
  • Använd webbläsarens integritetsverktyg eller tillägg som blockerar tredjepartsspårare som standard, vilket minskar hur mycket data som ens når dessa partnernätverk.
  • Var uppmärksam på hur många "partners" en samtyckesbanner namnger. Ett antal i tusental, som med dict.cc, är en signal om att webbplatsens datadelningsarrangemang ligger närmare en ad-tech-marknadsplats än en enkel analysuppsättning.
  • Stöd eller följ tillsynsåtgärder som noyb:s klagomål. Regulatoriskt tryck är ofta den enda kraft som förändrar hur dessa banners byggs.

Sammanfattningen

Detta GDPR-klagomål mot dict.cc handlar egentligen inte om en ordbokswebbplats. Det är ett testfall för om "samtycke" kan överleva kontakten med den moderna ad-tech-branschens skala. När det skulle kräva mer än en veckas läsning att korrekt gå med på en cookie-banner, har bannern utan tvekan redan misslyckats med sin enda uppgift: att se till att användare vet vad de samtycker till. Hur Österrikes tillsynsmyndighet beslutar här kan forma om liknande uppblåsta samtyckesflöden förblir standardpraxis eller börjar försvinna från webben.