Сайт-словник із 1741 партнером з обміну даними

Австрійська правозахисна організація noyb подала скаргу за GDPR проти dict.cc, популярного онлайн-словника, через те, як він збирає згоду на онлайн-відстеження. Проблема не в тому, що сайт просить дозволу. А в тому, що відбувається, коли користувач намагається справді зрозуміти, на що він погоджується.

За підрахунками noyb, банер згоди dict.cc називає 1741 окремого «партнера», які можуть отримувати або обробляти дані відвідувачів. Щоб ухвалити поінформоване рішення, користувач теоретично повинен прочитати політики конфіденційності кожного з цих партнерів перед тим, як натиснути «Прийняти». noyb підрахувала, що лише це завдання зайняло б приблизно 172 години — більше ніж повний тиждень безперервного читання, — лише для того, щоб оцінити один візит на сайт-словник.

Цей розрив між тим, чого вимагає закон, і тим, що насправді дозволяє інтерфейс, становить основу скарги, і він порушує питання, яке виходить далеко за межі одного вебсайту: чи можна вважати поінформованою згоду, для належної оцінки якої потрібні дні?

Чому це виглядає як темний патерн, а не як недолік дизайну

Основний принцип GDPR, викладений у статті 5(1)(a), вимагає, щоб персональні дані оброблялися законно, справедливо та прозоро. Згода за законом є дійсною лише тоді, коли вона надана добровільно, є конкретною та поінформованою. Скарга noyb стверджує, що банер з переліком понад тисячі партнерів фактично робить поінформовану згоду структурно неможливою. Користувачам залишаються два реальні варіанти: натиснути «Прийняти», не розуміючи, на що вони погоджуються, або повністю покинути сайт.

Це знайома форма в екосистемі онлайн-відстеження. Банери згоди з розлогими списками партнерів не є випадковою складністю. Вони функціонують як тертя, покликане зробити відмову або ретельний перегляд настільки часозатратними, що прийняття стає шляхом найменшого опору. Цей механізм перегукується з тим, що дослідники виявили в інших розслідуваннях відстеження, зокрема у звітах про те, як TikTok відстежує користувачів навіть без встановленого додатка через пікселі, які більшість людей ніколи не бачать і на які не дають усвідомленої згоди. В обох випадках технічна архітектура збору даних випереджає будь-яку реалістичну здатність користувача її перевірити.

Масштаб списку партнерів dict.cc також відображає ширшу тенденцію того, як персональні дані перетікають через комерційні екосистеми після початку збору. Коли десятки або сотні третіх сторін залучені контрактами до рекламно-технологічного або аналітичного ланцюжка, початковий оператор вебсайту часто втрачає практичну видимість того, як ці дані використовуються далі за ланцюгом, навіть якщо він залишається юридично відповідальним за початковий збір згоди.

Що тепер має вирішити австрійський регулятор

Скарга ставить австрійський орган із захисту даних у складне становище. Регулятори загалом визнають, що банери згоди можуть перераховувати треті сторони, оскільки GDPR прямо не забороняє складні рекламні екосистеми. Але скарга noyb змушує поставити більш конкретне запитання: в який момент список партнерів стає настільки великим, що згода, зібрана через нього, більше не є юридично дійсною, незалежно від того, як сформульований або оформлений банер?

Якщо регулятор підтримає noyb, це рішення може мати резонанс для всієї рекламно-технологічної індустрії, де великі списки партнерів, прив’язані до таких рамок, як Transparency and Consent Framework від IAB, є звичайною практикою, а не особливістю dict.cc. Багато видавців покладаються на подібні довгі списки партнерів для монетизації трафіку через програмну рекламу. Рішення проти dict.cc може змусити сайти по всій Європі скоротити кількість партнерів, спростити потоки згоди або зіткнутися з аналогічними скаргами.

Це не перший випадок, коли регуляторам доводиться мати справу з практиками роботи з даними, які технічно відповідають правилам розкриття інформації, але функціонально зводять нанівець їхню мету. Справи щодо даних працівників та учнів, як-от перевірка практик відстеження студентів PowerSchool, показують схожу напруженість: згода або повідомлення існують на папері, але практична здатність постраждалої особи зрозуміти або оскаржити збір даних є мінімальною.

Що це означає для вас

Якщо ви коли-небудь натискали «Прийняти все» на банері cookie, не прочитавши жодного слова, ви не самотні, і, згідно з цією скаргою, ви не повністю винні. Дизайн багатьох банерів згоди передбачає і, можливо, навіть покладається саме на таку поведінку.

Кілька практичних кроків, які можуть допомогти:

  • Шукайте опцію «Відхилити все» або «Керувати налаштуваннями», перш ніж натискати на банер. Багато сайтів ховають її, але GDPR вимагає її наявності.
  • Використовуйте браузерні інструменти приватності або розширення, які блокують сторонні трекери за замовчуванням, зменшуючи обсяг даних, що потрапляють до цих партнерських мереж.
  • Звертайте увагу на те, скількох «партнерів» називає банер згоди. Число в тисячах, як у dict.cc, є сигналом того, що угода сайту про обмін даними ближча до рекламно-технологічного маркетплейсу, ніж до простого аналітичного рішення.
  • Підтримуйте або слідкуйте за правозастосовними діями, як-от скарги noyb. Тиск регуляторів часто є єдиною силою, яка змінює те, як будуються ці банери.

Суть

Ця скарга за GDPR проти dict.cc насправді не про вебсайт-словник. Це тестовий випадок для того, чи може «згода» вижити при зіткненні з масштабами сучасної рекламної технології. Коли для того, щоб належним чином погодитися на банер cookie, потрібно більше тижня читання, банер, можна сказати, уже провалив своє єдине завдання: переконатися, що користувачі знають, на що вони погоджуються. Те, як вирішить австрійський регулятор, може визначити, чи залишаться подібні роздуті потоки згоди стандартною практикою, чи почнуть зникати з інтернету.