Nhóm bảo mật Áo noyb đã đệ đơn khiếu nại GDPR chống lại dict.cc, từ điển trực tuyến phổ biến, về cách thu thập sự đồng ý cho theo dõi trực tuyến. Vấn đề không phải là trang web yêu cầu sự cho phép...

Một trang từ điển với 1.741 đối tác chia sẻ dữ liệu

Nhóm bảo mật Áo noyb đã đệ đơn khiếu nại GDPR chống lại dict.cc, từ điển trực tuyến phổ biến, về cách thu thập sự đồng ý cho theo dõi trực tuyến. Vấn đề không phải là trang web yêu cầu sự cho phép. Mà là điều xảy ra khi người dùng cố gắng thực sự hiểu họ đang đồng ý với điều gì.

Theo tính toán của noyb, biểu ngữ đồng ý của dict.cc nêu tên 1.741 "đối tác" riêng biệt có thể nhận hoặc xử lý dữ liệu khách truy cập. Để đưa ra quyết định sáng suốt, về lý thuyết, người dùng sẽ cần đọc từng chính sách bảo mật của từng đối tác đó trước khi nhấp chấp nhận. noyb ước tính chỉ riêng nhiệm vụ đó sẽ mất khoảng 172 giờ, hơn một tuần đọc liên tục không nghỉ, chỉ để đánh giá một lần truy cập vào một trang web từ điển.

Khoảng cách giữa những gì luật yêu cầu và những gì giao diện thực sự cho phép chính là cốt lõi của khiếu nại, và nó đặt ra một câu hỏi vượt xa một trang web: liệu sự đồng ý cần nhiều ngày để đánh giá đúng đắn có bao giờ được coi là sự đồng ý có hiểu biết hay không?

Tại sao điều này trông giống một mẫu hình tối, không phải lỗi thiết kế

Nguyên tắc nền tảng của GDPR, được nêu tại Điều 5(1)(a), yêu cầu dữ liệu cá nhân phải được xử lý hợp pháp, công bằng và minh bạch. Sự đồng ý theo luật chỉ có hiệu lực nếu được đưa ra một cách tự do, cụ thể và có hiểu biết. Khiếu nại của noyb lập luận rằng một biểu ngữ liệt kê hơn một nghìn đối tác về cơ bản khiến cho sự đồng ý có hiểu biết trở nên bất khả thi về mặt cấu trúc. Người dùng chỉ còn hai lựa chọn thực tế: nhấp chấp nhận mà không hiểu mình đang đồng ý với điều gì, hoặc rời khỏi trang web hoàn toàn.

Đây là một hình ảnh quen thuộc trong hệ sinh thái theo dõi trực tuyến. Các bức tường đồng ý với danh sách đối tác dài dằng dặc không phải là sự phức tạp ngẫu nhiên. Chúng hoạt động như một lực cản, được thiết kế để khiến việc từ chối hoặc xem xét cẩn thận trở nên tốn thời gian đến mức chấp nhận trở thành con đường ít kháng cự nhất. Cơ chế này lặp lại những gì các nhà nghiên cứu đã phát hiện trong các cuộc điều tra theo dõi khác, bao gồm báo cáo về cách TikTok theo dõi bạn ngay cả khi bạn chưa từng cài đặt ứng dụng thông qua các pixel mà hầu hết mọi người không bao giờ nhìn thấy hoặc đồng ý một cách có ý nghĩa. Trong cả hai trường hợp, kiến trúc kỹ thuật của việc thu thập dữ liệu vượt xa khả năng xem xét thực tế của bất kỳ người dùng nào.

Quy mô danh sách đối tác của dict.cc cũng phản ánh một mô hình rộng hơn về cách dữ liệu cá nhân chảy qua các hệ sinh thái thương mại sau khi quá trình thu thập bắt đầu. Một khi hàng chục hoặc hàng trăm bên thứ ba được kết nối theo hợp đồng vào một chuỗi công nghệ quảng cáo hoặc phân tích, nhà điều hành trang web ban đầu thường mất khả năng giám sát thực tế về cách dữ liệu đó được sử dụng ở hạ nguồn, ngay cả khi họ vẫn chịu trách nhiệm pháp lý cho việc thu thập sự đồng ý ban đầu.

Cơ quan quản lý Áo giờ phải quyết định điều gì

Khiếu nại đặt cơ quan bảo vệ dữ liệu của Áo vào thế khó. Các cơ quan quản lý thường chấp nhận rằng các biểu ngữ đồng ý có thể liệt kê bên thứ ba, vì GDPR không cấm hoàn toàn các hệ sinh thái quảng cáo phức tạp. Nhưng khiếu nại của noyb buộc phải đặt ra một câu hỏi cụ thể hơn: đến thời điểm nào thì danh sách đối tác trở nên quá lớn đến mức sự đồng ý được thu thập qua đó không còn hiệu lực pháp lý, bất kể biểu ngữ được diễn đạt hay thiết kế như thế nào?

Nếu cơ quan quản lý đứng về phía noyb, phán quyết có thể tạo hiệu ứng lan tỏa khắp ngành công nghệ quảng cáo, nơi danh sách đối tác lớn gắn với các khuôn khổ như Khung minh bạch và đồng ý của IAB là thông lệ phổ biến, chứ không phải đặc thù riêng của dict.cc. Nhiều nhà xuất bản dựa vào danh sách đối tác dài tương tự để kiếm tiền từ lưu lượng truy cập thông qua quảng cáo lập trình. Một phán quyết chống lại dict.cc có thể gây áp lực buộc các trang web trên khắp châu Âu phải giảm số lượng đối tác, đơn giản hóa luồng đồng ý hoặc đối mặt với các khiếu nại tương tự.

Đây không phải là lần đầu tiên các cơ quan quản lý phải vật lộn với các hoạt động dữ liệu về mặt kỹ thuật tuân thủ các quy tắc công khai nhưng về mặt chức năng lại đánh bại mục đích của chúng. Các vụ việc về dữ liệu nhân viên và học sinh, như sự giám sát xung quanh các hoạt động theo dõi học sinh của PowerSchool, cho thấy một sự căng thẳng tương tự: sự đồng ý hoặc thông báo tồn tại trên giấy tờ, nhưng khả năng thực tế của người bị ảnh hưởng để hiểu hoặc phản đối việc thu thập dữ liệu là rất ít.

Điều này có ý nghĩa gì với bạn

Nếu bạn đã từng nhấp "Chấp nhận tất cả" trên một biểu ngữ cookie mà không đọc một chữ nào, bạn không đơn độc, và theo khiếu nại này, bạn cũng không hoàn toàn đáng trách. Thiết kế của nhiều biểu ngữ đồng ý giả định, và có thể nói là dựa vào, chính xác hành vi đó.

Một vài bước thực tế có thể giúp ích:

• Tìm tùy chọn "Từ chối tất cả" hoặc "Quản lý tùy chọn" trước khi nhấp qua một biểu ngữ. Nhiều trang web ẩn nó đi, nhưng GDPR yêu cầu nó phải tồn tại.
• Sử dụng các công cụ hoặc tiện ích mở rộng bảo mật trình duyệt chặn trình theo dõi bên thứ ba theo mặc định, giảm lượng dữ liệu thậm chí đến được các mạng đối tác đó.
• Chú ý đến số lượng "đối tác" mà một biểu ngữ đồng ý nêu tên. Một con số hàng nghìn, như với dict.cc, là tín hiệu cho thấy thỏa thuận chia sẻ dữ liệu của trang web gần giống một thị trường công nghệ quảng cáo hơn là một thiết lập phân tích đơn giản.
• Ủng hộ hoặc theo dõi các hành động thực thi như khiếu nại của noyb. Áp lực pháp lý thường là lực lượng duy nhất thay đổi cách các biểu ngữ này được xây dựng.

Điểm mấu chốt

Khiếu nại GDPR chống lại dict.cc này không thực sự là về một trang web từ điển. Đó là một vụ kiện thử nghiệm xem liệu "sự đồng ý" có thể tồn tại khi tiếp xúc với quy mô của công nghệ quảng cáo hiện đại hay không. Khi việc đồng ý với một biểu ngữ cookie đòi hỏi hơn một tuần đọc để thực hiện đúng cách, thì biểu ngữ đó có thể nói là đã thất bại trong nhiệm vụ duy nhất của nó: đảm bảo người dùng biết họ đang đồng ý với điều gì. Cách cơ quan quản lý Áo ra phán quyết ở đây có thể định hình liệu các luồng đồng ý cồng kềnh tương tự có tiếp tục là thông lệ tiêu chuẩn hay bắt đầu biến mất khỏi web.

FAQ (dịch mỗi câu hỏi và câu trả lời): Q1: Vấn đề cốt lõi trong khiếu nại GDPR của noyb chống lại dict.cc là gì? A1: Khiếu nại nhắm vào biểu ngữ đồng ý của dict.cc, liệt kê 1.741 đối tác chia sẻ dữ liệu, khiến người dùng thực tế không thể đưa ra sự đồng ý thực sự có hiểu biết trước khi chấp nhận. Q2: Biểu ngữ đồng ý của dict.cc bao gồm bao nhiêu đối tác? A2: Theo noyb, biểu ngữ nêu tên 1.741 đối tác riêng biệt có thể nhận hoặc xử lý dữ liệu khách truy cập. Q3: Người dùng sẽ mất bao nhiêu thời gian để xem xét tất cả các chính sách bảo mật của đối tác? A3: noyb ước tính rằng việc đọc mọi chính sách sẽ mất khoảng 172 giờ, hơn một tuần đọc liên tục không nghỉ. Q4: Tại sao thiết kế biểu ngữ vi phạm các nguyên tắc GDPR? A4: Nó làm suy yếu yêu cầu của GDPR về sự đồng ý có hiểu biết bằng cách khiến người dùng choáng ngợp với danh sách đối tác không thể quản lý nổi, buộc họ phải chấp nhận hoặc rời khỏi trang web. Q5: Cơ quan bảo vệ dữ liệu của Áo phải quyết định điều gì trong vụ việc này? A5: Cơ quan này phải xác định liệu một cơ chế đồng ý liệt kê hơn một nghìn đối tác có bao giờ cho phép sự đồng ý có hiểu biết hợp lệ về mặt pháp lý theo GDPR hay không, vì luật không cấm rõ ràng các hệ sinh thái quảng cáo phức tạp. ---END---