Аналітичний центр каже, що банер із файлами cookie не працює
Якщо ви коли-небудь натискали «Прийняти все» на банері з файлами cookie просто для того, щоб він зник, нова робота Bruegel, брюссельського економічного аналітичного центру, свідчить, що ви не самотні, і що система, ймовірно, ніколи не була створена, щоб дати вам реальний вибір із самого початку.
У роботі стверджується, що згода на обробку даних згідно з GDPR, правовий механізм, призначений для надання європейським громадянам контролю над тим, як збираються та використовуються їхні персональні дані, на практиці є «правовою та технічною фікцією». Хоча Загальний регламент про захист даних вимагає, щоб згода була вільно наданою, конкретною, поінформованою та однозначною, дослідники виявили, що банери з файлами cookie регулярно не відповідають цим вимогам. Замість того, щоб чітко пояснювати, які дані збираються, хто їх отримує та чому, більшість банерів створені, щоб підштовхувати користувачів до швидкого прийняття, а не до справжнього розуміння.
Це не маргінальна скарга. Це прямий виклик одній із ключових передумов, що лежать в основі законодавства ЄС про захист даних: що звичайні люди можуть усвідомлено погоджуватися на складні механізми обробки даних, просто натискаючи кнопку у спливаючому вікні.
Чому «згода» рідко означає те, що ви думаєте
Вимога згоди згідно з GDPR на папері звучить просто. Перш ніж веб-сайт зможе відстежувати вас, ділитися вашими даними з рекламодавцями або створювати профіль ваших звичок перегляду, він повинен запитати дозвіл у формі, яку ви можете зрозуміти. Насправді банери з файлами cookie стали своєрідним театром. Користувачам показують щільний юридичний текст, заздалегідь позначені прапорці та інтерфейси, розроблені так, щоб «Прийняти все» було найлегшим шляхом, а варіант відмовитися або налаштувати параметри ховався на кілька кліків углиб.
Ця модель не обмежується темними куточками інтернету. Навіть відомі споживчі сайти стикалися з перевірками щодо того, як вони структурують згоду. Один нещодавній приклад стосувався популярного онлайн-словника, розлогого банера згоди dict.cc, у якому було перелічено понад 1700 рекламних і трекінгових партнерів під одним запитом на згоду. Скарга, подана щодо цього банера, ілюструє саме ту проблему, яку описує робота Bruegel: технічно можливо відповідати букві GDPR, роблячи справжню поінформовану згоду практично неможливою. Коли користувача просять оцінити практику обробки даних понад тисячі партнерів за кілька секунд, «поінформована» згода перестає щось означати.
Масштаб цього прикладу незвичний, але основні механізми — розмиті розкриття, опції відмови з високим тертям і налаштування за замовчуванням, що сприяють збору даних, — поширені на значній частині вебу. Ключовий аргумент роботи Bruegel полягає в тому, що ця модель не є випадковою. Це передбачуваний результат правової системи, яка передбачає, що користувачі мають час, експертизу та здатність утримувати увагу, щоб аналізувати запити на згоду, які за задумом важко аналізувати.
Що це означає для вас
Для звичайних користувачів інтернету в Європі це дослідження не означає, що захист GDPR нічого не вартий. Регламент все одно змусив компанії розкривати більше про свою практику обробки даних, ніж вони робили б інакше, і він дає регуляторам інструменти для розслідування зловживань постфактум. Але це означає, що вам не варто ставитися до банера з файлами cookie як до значущого контрольно-пропускного пункту, де ваша конфіденційність насправді захищається в реальному часі. Натискання «Прийняти» або «Відхилити» рідко є моментом, коли ваші дані стають безпечними чи небезпечними. Значна частина інфраструктури відстеження працює незалежно від того, який прапорець ви позначили, а правозастосування часто наздоганяє лише через місяці або роки.
Цей розрив між юридичною згодою та фактичним захистом є саме тією причиною, чому інструменти конфіденційності, які працюють незалежно від угод на рівні веб-сайтів, мають значення. VPN не зупинить власні скрипти відстеження сайту, але він обмежує те, що може бачити ваш інтернет-провайдер і спостерігачі на мережевому рівні, а також може зменшити кількість ідентифікаційної інформації, прив’язаної до ваших сеансів перегляду. Розширення браузера, які блокують трекери, а також налаштування браузера, орієнтовані на конфіденційність, додають ще один рівень, який не залежить від того, чи був банер з файлами cookie компанії розроблений чесно чи ні.
Практичні кроки, які варто зробити
Враховуючи, що банери згоди не можна повністю довіряти у відображенні ваших фактичних уподобань щодо конфіденційності, варто прийняти кілька звичок. Відхиляйте необхідні файли cookie щоразу, коли представлена справжня опція, навіть якщо це потребує додаткового кліку. Використовуйте налаштування браузера або розширення, які блокують сторонні трекери за замовчуванням, замість того, щоб покладатися на вибір для кожного сайту окремо. Розгляньте VPN для додаткового рівня мережевої конфіденційності, особливо в публічних мережах Wi-Fi або під час доступу до конфіденційних облікових записів. І коли банер згоди здається навмисно заплутаним або перелічує неймовірну кількість «партнерів», як у випадку з dict.cc, це сигнал, який варто сприймати серйозно, а не відмахуватися як від шаблонного тексту.
Робота Bruegel додає академічної ваги тому, що багато користувачів давно підозрювали: згода на обробку даних згідно з GDPR, як вона реалізована на більшій частині вебу, не функціонує так, як задумував закон. Поки правозастосування або стандарти дизайну не наздоженуть, найбезпечніший підхід — ставитися до банерів з файлами cookie як до формальності, а не як до запобіжника, і будувати власні механізми захисту конфіденційності поверх них.
