1.741 Veri Paylaşım Ortağına Sahip Bir Sözlük Sitesi

Avusturyalı gizlilik grubu noyb, popüler çevrimiçi sözlük dict.cc hakkında, çevrimiçi izleme için onay toplama yöntemi nedeniyle bir GDPR şikayetinde bulundu. Sorun, sitenin izin istemesi değil. Asıl mesele, bir kullanıcının neyi kabul ettiğini gerçekten anlamaya çalıştığında yaşananlar.

noyb'un hesaplamalarına göre, dict.cc'nin onay banner'ı, ziyaretçi verilerini alabilecek veya işleyebilecek tam 1.741 ayrı "ortağı" listeliyor. Bilinçli bir karar vermek için, bir kullanıcının teorik olarak kabul etmeden önce bu ortakların her birinin gizlilik politikalarını okuması gerekiyor. noyb, yalnızca bu görevin, bir sözlük sitesine yapılan tek bir ziyareti değerlendirmek için bile yaklaşık 172 saat, yani aralıksız bir haftadan fazla okuma süresi alacağını tahmin ediyor.

Yasanın gerektirdiği ile arayüzün gerçekte izin verdiği arasındaki bu uçurum, şikayetin özünü oluşturuyor ve tek bir web sitesinin çok ötesine geçen bir soruyu gündeme getiriyor: Değerlendirilmesi günler süren bir onay, hiçbir zaman bilgilendirilmiş sayılabilir mi?

Bu Neden Karanlık Bir Desen Gibi Görünüyor, Bir Tasarım Kusuru Değil

GDPR'nin 5(1)(a) maddesinde belirtilen temel ilkesi, kişisel verilerin hukuka uygun, adil ve şeffaf bir şekilde işlenmesini gerektirir. Yasaya göre onay, yalnızca özgürce verildiğinde, belirli ve bilgilendirilmiş olduğunda geçerlidir. noyb'un şikayeti, binden fazla ortağı listeleyen bir banner'ın bilgilendirilmiş onayı yapısal olarak imkansız hale getirdiğini savunuyor. Kullanıcılar iki gerçek seçenekle baş başa kalıyor: neyi kabul ettiklerini anlamadan kabul et'e tıklamak veya siteyi tamamen terk etmek.

Bu, çevrimiçi izleme ekosisteminde tanıdık bir şekil. Yayılan ortak listelerine sahip onay duvarları, tesadüfi bir karmaşıklık değil. Reddetmeyi veya dikkatli incelemeyi o kadar zaman alıcı hale getirmek için tasarlanmış bir sürtünme işlevi görürler ki, kabul etmek en az dirençli yol haline gelir. Mekanizma, araştırmacıların diğer izleme araştırmalarında bulduklarını, örneğin TikTok'un uygulama yüklü olmasa bile kullanıcıları izlediğine dair raporlamayı, çoğu insanın asla görmediği veya anlamlı bir şekilde onay vermediği pikseller aracılığıyla yansıtıyor. Her iki durumda da, veri toplamanın teknik mimarisi, gerçekçi bir kullanıcının bunu inceleme yeteneğini aşıyor.

dict.cc'nin ortak listesinin ölçeği, kişisel verilerin toplama başladıktan sonra ticari ekosistemlerde nasıl aktığına dair daha geniş bir örüntüyü de yansıtıyor. Düzinelerce veya yüzlerce üçüncü taraf reklam teknolojisi veya analitik zincirine sözleşmeyle dahil edildiğinde, orijinal web sitesi işletmecisi, ilk onay toplamadan yasal olarak sorumlu kalmaya devam etse bile, verilerin alt akışta nasıl kullanıldığına dair pratik görünürlüğü sık sık kaybeder.

Avusturya Düzenleyicisinin Şimdi Karar Vermesi Gerekenler

Şikayet, Avusturya veri koruma otoritesini zor bir duruma sokuyor. Düzenleyiciler, GDPR'nin karmaşık reklamcılık ekosistemlerini doğrudan yasaklamadığı için onay banner'larının üçüncü tarafları listeleyebileceğini genellikle kabul etti. Ancak noyb'un şikayeti daha spesifik bir soruyu zorluyor: Bir ortak listesi ne zaman o kadar büyük hale gelir ki, banner'ın ifadesi veya tasarımı ne olursa olsun, bu liste aracılığıyla toplanan onay artık yasal olarak geçerli olmaz?

Düzenleyici noyb'dan yana karar verirse, bu karar, IAB'nin Şeffaflık ve Onay Çerçevesi gibi yapılarla bağlantılı büyük ortak listelerinin dict.cc'ye özgü bir tuhaflık değil, yaygın bir uygulama olduğu reklam teknolojisi endüstrisinde dalgalanmalara yol açabilir. Birçok yayıncı, programatik reklamcılık yoluyla trafiği paraya dönüştürmek için benzer şekilde uzun ortak listelerine güveniyor. dict.cc aleyhine bir bulgu, Avrupa'daki siteleri ortak sayılarını azaltmaya, onay akışlarını basitleştirmeye veya benzer şikayetlerle karşı karşıya kalmaya zorlayabilir.

Düzenleyicilerin, ifşa kurallarına teknik olarak uyan ancak işlevsel olarak amacını boşa çıkaran veri uygulamalarıyla boğuşmak zorunda kaldığı ilk sefer değil. PowerSchool'un Naviance öğrenci izleme uygulamaları etrafındaki inceleme gibi çalışan ve öğrenci verisi vakaları da benzer bir gerilimi gösteriyor: Kağıt üzerinde onay veya bildirim var, ancak etkilenen kişinin veri toplamayı anlama veya itiraz etme konusundaki pratik yeteneği asgari düzeyde.

Bu Sizin İçin Ne Anlama Geliyor?

Bir çerez banner'ında tek kelime okumadan "Tümünü Kabul Et"e tıkladıysanız, yalnız değilsiniz ve bu şikayete göre, tamamen suçlanacak da değilsiniz. Birçok onay banner'ının tasarımı, tam da bu davranışı varsayar ve tartışmasız şekilde buna dayanır.

Birkaç pratik adım yardımcı olabilir:

  • Bir banner'ı tıklamadan önce "Tümünü Reddet" veya "Tercihleri Yönet" seçeneğini arayın. Birçok site bunu gizler, ancak GDPR bunun var olmasını gerektirir.
  • Üçüncü taraf izleyicileri varsayılan olarak engelleyen tarayıcı gizlilik araçlarını veya uzantılarını kullanarak, verilerin bu ortak ağlarına ulaşmasını daha baştan azaltın.
  • Bir onay banner'ının kaç "ortak" listelediğine dikkat edin. dict.cc örneğindeki gibi binlerle ifade edilen bir sayı, sitenin veri paylaşım düzenlemesinin basit bir analitik kurulumundan çok bir reklam teknolojisi pazar yerine daha yakın olduğunun sinyalidir.
  • noyb'un şikayetleri gibi uygulama eylemlerini destekleyin veya takip edin. Düzenleyici baskı, genellikle bu banner'ların nasıl inşa edildiğini değiştiren tek güçtür.

Sonuç

dict.cc'ye karşı yapılan bu GDPR şikayeti aslında bir sözlük web sitesiyle ilgili değil. Bu, "onay"ın modern reklam teknolojisinin ölçeğiyle temas halinde hayatta kalıp kalamayacağına dair bir test davasıdır. Bir çerez banner'ını kabul etmek, düzgün bir şekilde yapmak için bir haftadan fazla okuma gerektirdiğinde, banner tartışmasız şekilde tek işinde başarısız olmuştur: kullanıcıların neyi kabul ettiklerini bilmelerini sağlamak. Avusturya düzenleyicisinin burada nasıl karar vereceği, benzer şekilde şişirilmiş onay akışlarının standart uygulama olarak kalıp kalmayacağını ya da web'den kaybolmaya başlayıp başlamayacağını şekillendirebilir.