Nghiên cứu của Bruegel gọi việc đồng ý cookie theo GDPR là 'hư cấu'

Một Tổ Chức Tư Vấn Nói Rằng Biểu Ngữ Cookie Không Hoạt Động

Nếu bạn từng nhấp vào "Chấp nhận tất cả" trên biểu ngữ cookie chỉ để nó biến mất, một bài nghiên cứu mới từ Bruegel, một tổ chức tư vấn kinh tế có trụ sở tại Brussels, cho thấy bạn không đơn độc, và rằng hệ thống này có thể chưa bao giờ được thiết kế để mang lại cho bạn một sự lựa chọn thực sự ngay từ đầu.

Bài nghiên cứu lập luận rằng việc đồng ý dữ liệu theo GDPR, cơ chế pháp lý nhằm trao cho công dân châu Âu quyền kiểm soát cách dữ liệu cá nhân của họ được thu thập và sử dụng, trên thực tế là một "hư cấu pháp lý và kỹ thuật." Mặc dù Quy định chung về Bảo vệ Dữ liệu yêu cầu sự đồng ý phải được đưa ra một cách tự nguyện, cụ thể, có thông tin và rõ ràng, các nhà nghiên cứu phát hiện ra rằng các biểu ngữ cookie thường xuyên không đáp ứng được tiêu chuẩn đó. Thay vì giải thích rõ ràng dữ liệu nào được thu thập, ai nhận được dữ liệu đó và tại sao, hầu hết các biểu ngữ được thiết kế để thúc đẩy người dùng chấp nhận nhanh chóng thay vì hiểu biết thực sự.

Đây không phải là một lời phàn nàn nhỏ nhặt. Đây là một thách thức trực tiếp đối với một trong những giả định cốt lõi làm nền tảng cho luật bảo vệ dữ liệu của EU: rằng người dân bình thường có thể đồng ý một cách có ý nghĩa với các thỏa thuận xử lý dữ liệu phức tạp chỉ bằng cách nhấp vào một nút trên cửa sổ bật lên.

Tại Sao 'Sự Đồng Ý' Hiếm Khi Có Nghĩa Như Bạn Nghĩ

Yêu cầu đồng ý theo GDPR nghe có vẻ đơn giản trên giấy tờ. Trước khi một trang web có thể theo dõi bạn, chia sẻ dữ liệu của bạn với nhà quảng cáo, hoặc xây dựng hồ sơ về thói quen duyệt web của bạn, trang web đó được yêu cầu phải xin phép theo cách bạn thực sự có thể hiểu được. Trên thực tế, các biểu ngữ cookie đã trở thành một loại kịch bản sân khấu. Người dùng bị đưa ra những ngôn ngữ pháp lý dày đặc, các ô được đánh dấu sẵn, và các giao diện được thiết kế để làm cho "Chấp nhận tất cả" trở thành con đường dễ nhất trong khi chôn vùi tùy chọn từ chối hoặc tùy chỉnh cài đặt sâu nhiều cấp nhấp chuột.

Mô hình này không chỉ giới hạn ở những góc khuất của internet. Ngay cả các trang web tiêu dùng nổi tiếng cũng phải đối mặt với sự giám sát về cách họ cấu trúc sự đồng ý. Một ví dụ gần đây liên quan đến một từ điển trực tuyến phổ biến, biểu ngữ đồng ý khổng lồ của dict.cc, liệt kê hơn 1.700 đối tác quảng cáo và theo dõi đằng sau một yêu cầu đồng ý duy nhất. Khiếu nại được nộp về biểu ngữ đó minh họa chính xác vấn đề mà bài nghiên cứu của Bruegel mô tả: về mặt kỹ thuật, có thể tuân thủ từng chữ của GDPR trong khi khiến cho việc đồng ý thực sự có thông tin trở nên gần như không thể. Khi một người dùng được yêu cầu đánh giá hoạt động dữ liệu của hơn một nghìn đối tác trong vài giây, sự đồng ý "có thông tin" không còn ý nghĩa gì nữa.

Quy mô của ví dụ đó là bất thường, nhưng các cơ chế cơ bản—tiết lộ mơ hồ, tùy chọn từ chối nhiều bước gây khó khăn, và các mặc định ưu tiên thu thập dữ liệu—lại phổ biến trên phần lớn web. Lập luận cốt lõi của bài nghiên cứu Bruegel là mô hình này không phải là ngẫu nhiên. Đó là một kết quả có thể dự đoán được của một khuôn khổ pháp lý giả định rằng người dùng có thời gian, chuyên môn và khả năng tập trung để phân tích các yêu cầu đồng ý mà, theo thiết kế, rất khó phân tích.

Điều Này Có Nghĩa Gì Cho Bạn

Đối với người dùng internet hàng ngày ở châu Âu, nghiên cứu này không có nghĩa là các biện pháp bảo vệ GDPR là vô giá trị. Quy định này vẫn buộc các công ty tiết lộ nhiều hơn về hoạt động dữ liệu của họ so với những gì họ sẽ làm, và nó cung cấp cho các cơ quan quản lý công cụ để điều tra các vi phạm sau khi xảy ra. Nhưng nó có nghĩa là bạn không nên coi biểu ngữ cookie như một điểm kiểm tra có ý nghĩa nơi quyền riêng tư của bạn thực sự được bảo vệ theo thời gian thực. Nhấp vào "Chấp nhận" hoặc "Từ chối" hiếm khi là thời điểm dữ liệu của bạn trở nên an toàn hoặc không an toàn. Phần lớn cơ sở hạ tầng theo dõi hoạt động bất kể bạn chọn ô nào, và việc thực thi thường chỉ bắt kịp nhiều tháng hoặc nhiều năm sau đó.

Khoảng cách giữa sự đồng ý pháp lý và bảo vệ thực tế đó chính là lý do tại sao các công cụ quyền riêng tư hoạt động độc lập với các thỏa thuận cấp trang web lại quan trọng. VPN sẽ không ngăn được các tập lệnh theo dõi của chính trang web, nhưng nó hạn chế những gì nhà cung cấp dịch vụ internet và những người quan sát ở cấp mạng có thể thấy, và nó có thể giảm lượng thông tin nhận dạng gắn với phiên duyệt web của bạn. Các tiện ích mở rộng trình duyệt chặn trình theo dõi và các cài đặt trình duyệt tập trung vào quyền riêng tư thêm một lớp bảo vệ không phụ thuộc vào việc biểu ngữ cookie của công ty có được thiết kế trung thực hay không.

Các Bước Thực Tế Đáng Thực Hiện

Vì các biểu ngữ đồng ý không thể được tin tưởng hoàn toàn để phản ánh sở thích quyền riêng tư thực sự của bạn, một vài thói quen đáng để áp dụng. Từ chối cookie không thiết yếu bất cứ khi nào có tùy chọn thực sự, ngay cả khi cần thêm một cú nhấp chuột. Sử dụng cài đặt trình duyệt hoặc tiện ích mở rộng chặn trình theo dõi của bên thứ ba theo mặc định thay vì dựa vào các lựa chọn theo từng trang. Cân nhắc sử dụng VPN để có thêm một lớp bảo mật mạng, đặc biệt trên Wi-Fi công cộng hoặc khi truy cập các tài khoản nhạy cảm. Và khi một biểu ngữ đồng ý có vẻ cố tình gây khó hiểu hoặc liệt kê một số lượng "đối tác" phi lý, như trong trường hợp dict.cc, đó là một tín hiệu đáng để xem xét nghiêm túc thay vì bỏ qua như văn bản chuẩn.

Bài nghiên cứu của Bruegel thêm sức nặng học thuật cho điều mà nhiều người dùng đã nghi ngờ từ lâu: rằng việc đồng ý dữ liệu theo GDPR, khi được triển khai trên hầu hết web, không hoạt động theo cách luật định hình. Cho đến khi việc thực thi hoặc các tiêu chuẩn thiết kế bắt kịp, cách tiếp cận an toàn nhất là coi biểu ngữ cookie như một thủ tục hình thức thay vì một biện pháp bảo vệ, và tự xây dựng các biện pháp bảo vệ quyền riêng tư của bạn trên nền tảng đó.