We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Kaheksa aastat pärast GDPR-i jõustumist otsustasime lõpetada nõusolekujärgimise üle spekuleerimise ja selle asemel mõõta. Suunasime oma skanneri 97 304 veebisaidile 25 EL-i liikmesriigis ja salvestasime täpselt, mis toimub reaalses brauseris enne nõusolekut, selle ajal ja pärast seda. Mitte see, mida privaatsuspoliitika lubab. Mitte see, mida CMP juhtpaneel näitab. See, mis tegelikult brauseris käivitub, kui esmakülastaja lehele saabub.

Meie andmekogumis oli nõusolekueelne jälgimine tavaline: kaks kolmandikku EL-i veebisaitidest alustavad külastajate jälgimist enne mis tahes nõusolekutoimingut. Rohkem kui pooled ei kuva üldse nõusolekubännerit. Ja kui veebisaidid pakuvad keeldumise nuppu, ei suuda see jälgimist peatada 80% juhtudest. Need ei ole äärejuhtumid ega tehnilised nüansid. See on nõusolekujärgimise lähteolukord kogu Euroopa Liidus 2026. aastal.

Metoodika: kuidas me seda mõõtsime

Enne tulemuste juurde asumist on oluline, kuidas me andmeid kogusime, sest metoodika määrab, kas sellised arvud on sisukad või eksitavad.

Veebisaitide nimekiri

Valimi võtsime Tranco Top 1M nimekirjast -- teaduslikust domeeninireastusest, mis on koostatud mitut sõltumatut edetabeliallikat andmete põhjal. Tranco on spetsiaalselt loodud manipuleerimisele vastupanuvõimeliseks ja stabiilsete pingeridade pakkumiseks veebimõõtmisuuringute jaoks, mis teeb sellest suure ulatusega veebiuuringute standardallika. Filtreerisime 25 EL-i liikmesriigiga seotud domeene riigitunnuse TLD-de ja registreerimisandmete alusel, saades 114 748 kandidaat-URL-i. Neist 97 304 viidi edukalt lõpuni -- ülejäänud ebaõnnestusid DNS-vigade, ühenduse aegumiste või täielikult kättesaamatute saitide tõttu.

Mida skanner teeb

Iga skaneerimine kasutab meie tootmisskanneri mootorit: Go rakendust, mis juhib täielikku peata Chromium brauserit Chrome DevTools Protocol'i kaudu. See ei ole staatiline HTML-kraabija ega küpsiste andmebaasi otsing. Iga veebisaidi puhul skanner:

1. Käivitab puhta Chromium eksemplari ilma salvestatud küpsiste, kohaliku mälu ega sirvimisajaloota -- simuleerides tõelist esmakülastajat.

2. Navigeerib siht-URL-ile ja ootab lehe laadimist.

3. Teeb nõusolekueelse hetktõmmise: iga seatud küpsis, iga tehtud võrgupäring, iga kontakteeritud kolmanda osapoole domeen -- kõik enne mis tahes nõusolekutoimingut.

4. Üritab tuvastada nõusolekubännerit, kasutades teeki, mis katab 45 tuntud CMP-d ja üldisi heuristikaid.

5. Suhtleb bänneriga (nõustu või keeldu) ja salvestab interaktsioonijärgse oleku.

6. Keeldumise voo testimiseks: laeb lehe uuesti ja kontrollib, kas keeldumine arvestati või kas küpsised taasilmuvad.

Iga samm tekitab ajatempliga tõendeid: täielikud küpsiste inventuurid, võrgupäringute logid ja ekraanipildid. Kui ütleme, et veebisait "aktiveerib jälgimise enne nõusolekut," tähendab see, et me nägime tegelikke HTTP-päringuid teadaolevatesse jälgimisdomeenidesse ja tegelikke brauserisse seatud küpsiseid -- mitte seda, et me järeldasime seda HTML-i skriptisildist.

Mida "nõusolekueelne" tehniliselt tähendab

See on kriitiline mõiste. Nõusolekueelne käitumine on kõik, mis toimub lehe laadimise alguse ja hetke vahel, mil kasutaja esmakordselt nõusolekumehhanismiga suhtleb. Praktikas on see aken tavaliselt 2-5 sekundit, kuid paljudel saitidel venib pikemaks, kui leht laeb lisaressursse. Selle akna jooksul pole külastajal olnud võimalust midagi vastu võtta ega tagasi lükata. ePrivacy direktiivi artikli 5 lõike 3 kohaselt (nagu Euroopa Kohus tõlgendas Planet49 kohtuasjas, C-673/17) nõuab kasutaja seadmesse teabe salvestamine või juba salvestatud teabele juurdepääs eelnevat nõusolekut -- välja arvatud küpsised, mis on rangelt vajalikud kasutaja soovitud teenuse jaoks. Kõik mitteoluline, mis selle akna jooksul käivitub, toimib definitsiooni järgi ilma kehtiva nõusolekuta.

Tulemus 1: nõusolekueelne jälgimine on norm, mitte erand

Selle uuringu kõige olulisem arv: 68% skaneeritud veebisaitidest aktiveerib kolmandate osapoolte jälgimise enne, kui kasutaja on nõusoleku andnud. Tihedalt seotud: 66,6% seab küpsiseid enne nõusolekut.

Need ei ole sama mõõdik. Veebisait võib kontakteeruda kolmanda osapoole jälgimisdomeeniga (käivitades piksli, laadides skripti) ilma et see domeen edukalt küpsise seaks -- näiteks kui brauser blokeerib kolmandate osapoolte küpsised. Vastupidi, esimese osapoole analüütikaküpsis võidakse seada ilma välise domeeniga ühendust võtmata. Mõlemad käitumised on problemaatilised, kuid esindavad erinevaid tehnilisi mehhanisme ja erinevaid õiguslikke riske.

Nõusolekueelse tegevuse ulatus on märkimisväärne:

Mediaan 6 on vaieldavalt informatiivsem kui keskmine. Pool kõigist skaneeritud veebisaitidest kontakteerub vähemalt kuue välise domeeniga enne, kui kasutajal on võimalus nõusolekut anda. Need ei ole sisuedastusvõrgud ega fondiservered (mille me jälgimisklassifikatsioonist välja jätame). Need on reklaamiplatvormid ja analüütikateenused.

Nõusolekueelse tegevuse jaotus küpsiste kategooria järgi paljastab, milleks see jälgimine tegelikult on:

Peaaegu iga kolmas EL-i veebisait seab analüütikaküpsiseid enne nõusolekut. Peaaegu iga viies seab turundusküpsiseid. Õiguslik seisukoht nende osas on ühemõtteline: EDPB on korduvalt kinnitanud, et analüütika- ja turundusküpsised nõuavad nõusolekut ePrivacy artikli 5 lõike 3 alusel. Euroopa Kohtu Planet49 otsus tegi selgeks, et nõusolek peab olema aktiivne, jaatav toiming -- ja see ei saa olla jaatav, kui seda pole veel toimunud.

Praktiline tähendus on see, et selleks ajaks, kui külastaja näeb küpsisebännerit ja kaalub, kas nõustuda või keelduda, on tema brauser juba profiilitud, tema külastus on juba analüütikaplatvormide poolt logitud ja paljudel juhtudel on tema sirvimisprofiili juba reklaamivõrkude poolt uuendatud. Nõusolekuvalik, kui see saabub, on osaliselt tagasiulatuv -- ja tagasiulatuv nõusolek ei ole üldse nõusolek.

Tulemus 2: nõusolekubänneri lünk

Rohkem kui pooled meie skaneeritud veebisaitidest -- 53 508 veebisaidist 97 304-st ehk 55% -- ei kuvanud nõusolekubännerit, mida meie tuvastussüsteem oleks suutnud tuvastada.

See arv vajab hoolikat tõlgendamist. Mitte iga bännerita veebisait ei riku tingimata seadust. Veebisait, mis ei sea mitteolulisi küpsiseid ega kontakteeru kolmandate osapoolte jälgimisteenustega, võib õiguspäraselt toimida ilma nõusolekumehhanismita. ePrivacy erand "rangelt vajalike" küpsiste jaoks tähendab, et sait, mis kasutab ainult sisselogimise või ostukorvi seansiküpsiseid, ei ole nende konkreetsete küpsiste puhul nõusolekukohustusega.

Kuid see ei ole see, mida me täheldame. 53 508 tuvastamata bänneriga saidist 18 026 seab aktiivselt mitteolulisi küpsiseid ja kontakteerub kolmandate osapoolte jälgimisdomeenidega. Neil saitidel puudub nõusolekumehhanism ja nad jälgivad külastajaid alates esimesest lehekülastusest. Meile pole teada ühtegi kehtivat õiguslikku alust selleks ei GDPR-i ega ePrivacy direktiivi alusel.

Ülejäänud bännerita saidid jagunevad mitmesse kategooriasse: saidid, mis tõesti ei sea mitteolulisi küpsiseid (ja ei pruugi seetõttu bännerit vajada), saidid, mis kasutavad nõusolekumehhanisme, mida meie tuvastussüsteem ei suutnud tuvastada, ja saidid, mis on lihtsalt mittefunktsionaalsed või minimaalse sisuga domeenid. Meie 45 CMP tuvastamisteek koos üldiste heuristikatega katab valdava enamuse tuntud nõusolekulahendustest, kuid kohandatud teostused haruldastes raamistikes või keeltes võivad jääda märkamata.

Siiski on 18 026 arv alampiir, mitte ülempiir, jälgivate bännerita saitide jaoks. Need on saidid, kus meil on positiivne tõend nii jälgimistegevuse kui ka bänneri puudumise kohta.

Tulemus 3: keeldumise nupud ebaõnnestuvad 80% ajast

Pühendame sellele leiule eraldi postituse, kuid see väärib siinkohal põhjalikku käsitlemist, sest see puudutab nõusolekumudeli tuuma.

28 891 veebisaidist, kus me tuvastasime keeldumise nupu ja suhtlesime sellega edukalt, 80,4% jätkas jälgimist pärast kasutaja keeldumisklõpsu. Ainult 5 650 saiti (19,6%) läbisid keeldumise voo testi -- mis tähendab, et jälgimine tegelikult peatus ja jäi peatuma.

Ebaõnnestumised jagunevad kattuvatesse kategooriatesse:

Consent respawn on muster, mille me selle uuringu käigus tuvastasime. Kasutaja klõpsab keeldu, CMP eemaldab küpsised ja siis järgmisel lehekülastamisel ilmuvad need küpsised uuesti. 1 642 saidil täheldasime 4 932 üksiku küpsise sellist käitumist. Mehhanism varieerub -- kolmandate osapoolte skriptid, mis käivituvad olenemata nõusoleku olekust, sildihaldureid, mis ei propageeri keeldumist kõigile integreeritud teenustele, serveripoolsed Set-Cookie päised, mis ignoreerivad kliendipoolseid nõusolekuotsuseid -- kuid mõju on sama. Keeldumise nupp muutub ajutiseks pausiks, mitte püsivaks valikuks.

GDPR-i artikli 7 lõike 3 kohaselt peab nõusoleku tagasivõtmine olema sama lihtne kui selle andmine ja vastutav töötleja peab tagasivõtmisele reageerima. Keeldumise nupp, mis tegelikult jälgimist ei peata, ei vasta sellele nõudele olenemata tehnilisest põhjusest.

Tulemus 4: riikide võrdlus

GDPR on üks määrus, kuid vastavus ei ole ühtlane. Kõrge riskiga veebisaitide osakaal erineb EL-i liikmesriikides peaaegu kolm korda.

Muster on kooskõlas jõustamistegevuse erinevustega. Saksamaa ja Austria -- BfDI, kuusteist osariigi tasemel andmekaitseasutust ja DSB kodu -- on olnud Euroopa kõige aktiivsemad asutused, kes on spetsiifiliselt küpsiste ja nõusolekurikkumisi sihikule võtnud. DSB andis välja ühe esimestest Schrems II järgsetest jõustamisotsustest. Saksa osariikide andmekaitseasutused on läbi viinud sektoriüleseid küpsiseauditeid ja väljastanud üksikasjalikke juhiseid selle kohta, mis kujutab kehtivat nõusolekut.

Teises otsas on Ungari, Tšehhi, Rumeenia ja Poola, mille andmekaitseasutused on tavaliselt alarahastatud võrreldes nende digitaalmajanduse suurusega ja on ajalooliselt keskendunud andmelekete ja andmesubjektide juurdepääsupäringute jõustamisele, mitte küpsiste nõusolekule. See ei ole kriitika nende asutuste pihta -- nad tegutsevad neile eraldatud eelarvete piires -- kuid see on selge tõend, et jõustamine juhib vastavust. Sama õigustekst, mida kohaldatakse erineva jõustamise intensiivsusega, annab märgatavalt erinevaid tulemusi.

Prantsusmaa on õpetlik. CNIL on olnud Euroopa üks nähtavamaid jõustamisasutusi, määrates rekordilisi trahve suurtele tehnoloogiaettevõtetele. Siiski asuvad Prantsuse veebisaidid 44,1% kõrge riskiga taseme juures, mis on EL-i keskmise lähedal. Seletus peitub tõenäoliselt CNIL-i jõustamisstrateegias: kõrge profiiliga meetmed suurte platvormide vastu tekitavad pealkirju, kuid ei muuda otseselt tuhandete väikeste ja keskmiste ettevõtete käitumist, mis moodustavad veebis pika saba. Lai käitumismuutus nõuab kas sektoriüleseid jõustamiskampaaniaid (nagu Saksamaa on läbi viinud) või üldist tajutava jõustamisriski suurenemist.

Me käsitleme riikide andmeid põhjalikumalt oma riikide võrdluse postituses.

Tulemus 5: CMP turuosa ja mida see meile ütleb

43 796 veebisaidist (45%), mis kuvavad tuvastatavat nõusolekubännerit, tuvastasime 45 erinevat nõusolekuhaldusplatvormi. Turg on ülaosas kontsentreeritud, kuid pikas sabas killustunud.

Suurim üksik kategooria on "Üldine / tuvastamata" 34,7%-ga. Need on saidid, mis kasutavad nõusolekualahendusi, mis ei vastanud ühelegi meie tuvastamisteegi 45 CMP signatuurist. Need hõlmavad ise ehitatud küpsisetibasid, laialdaselt tundmatuid WordPress pluginaid, piirkondlikke CMP pakkujaid ja nii minimalistlikke lahendusi, et need koosnevad ühest sulgetavast div-ist nupuga "Selge". Selle kategooria vastavuse kvaliteet on keskmiselt märkimisväärselt madalam kui väljakujunenud CMP-de oma, kuigi me pole veel CMP-põhiseid vastavusmäärasid avaldanud.

Bänneriga suhtlemise andmed paljastavad veel ühe murettekitava asjaolu. 43 796 tuvastatud bännerist:

Peaaegu iga viies nõusolekubänner ei paku nähtavat võimalust mitteolulistest küpsistest keeldumiseks ilma teise seadete tasandile liikumata. EDPB juhised 05/2020 nõusoleku kohta ütlevad, et nõusolekust keeldumine ei tohiks nõuda rohkem vaeva kui nõusoleku andmine. Disain, mis nõuab keeldumiseks lisaklõpse, kuid pakub üheklõpsuga nõustumist, on nende juhiste kohaselt tumemustriline lahendus, mis kahjustab nõusoleku kehtivust.

Tuvastasime ka konkreetseid tumemustreid: 3 454 saiti (7,9% bänneriga saitidest) asetasid keeldumise valiku ainult teisele tasandile, 84 saiti kasutasid küpsisemüüre (blokeerivad sisu, kuni nõusolek on antud) ja 137 saiti kasutasid botide nõusoleku vältimist -- peidavad bännerit tahtlikult automatiseeritud skanneritest, kuid näitavad seda inimkülastajatele.

Tulemus 6: küpsise eluea kuritarvitamine

CNIL soovitab küpsise maksimaalseks elueaks 13 kuud — standard, mille on omaks võtnud või sellele viidanud mitmed teised riiklikud andmekaitseasutused. See ei ole GDPR-i tekstis jäik seaduslik piir, kuid see kajastab salvestuse piiramise põhimõtte (artikli 5 lõike 1 punkt e) tõlgendust jälgimisidentifikaatoritele rakendatuna.

Meie skaneerimine leidis 26 250 veebisaiti (27%), millel on vähemalt üks küpsis, mis ületab 13 kuu piiri, kokku 58 127 üksikut küpsist.

Kõige levinum rikkuja on Google Analytics'i `_ga` küpsis, mis on vaikimisi seatud kaheaastase elueaga. See tähendab, et isegi muidu toimiva nõusolekumehhanismiga veebisaidid rikuvad sageli lihtsalt sellepärast, et nad pole Google Analytics'i vaikeküpsise aegumist muutnud. See on konfiguratsiooniprobleem, mitte tehniline piirang -- Google Analytics võimaldab kohandatud küpsise eluiga -- kuid vaikeseade ei ole EDPB juhiste kohane ja enamik saidioperaatoritest ei muuda seda kunagi.

Pika elueaga küpsised loovad kumuleeruva privaatsusriski. Kaheaastane küpsis ei ole lihtsalt "natuke pikem kui 13 kuud." See tähendab, et kasutaja, kes külastab saiti korra, nõustub ja ei naase kunagi, on selle saidi analüütika poolt endiselt tuvastatav ja jälgitav kaks aastat. Kui kasutaja hiljem nõusoleku tagasi võtab või õiguslik alus muutub, püsib küpsis kummitusidentifikaatorina kuni aegumiseni.

Lisaleiud

Mitmeid teisi uuringu leide tasub lühidalt mainida:

Sõrmejälgistamine. Tuvastasime brauseri sõrmejälje signaalid (canvas-sõrmejälg, WebGL-sõrmejälg, helikonteksti sõrmejälg) 4 114 veebisaidil (4,2%). Sõrmejälgistamine on eriti murettekitav, sest seda ei saa küpsiste kustutamisega eemaldada -- see kasutab identifikaatoritena brauseri ja seadme sisemisi omadusi. ePrivacy direktiiv kohtleb sõrmejälgistamist nõusoleku osas küpsistepõhise jälgimisega samaväärsena. Google Consent Mode mittevastavused. Google Consent Mode'i rakendavatest saitidest tuvastati 28,4% selle kasutajana, samas kui 13,7% Google'i teenuseid kasutavatest saitidest ei näidanud Consent Mode'i rakendamist. Murettekitavam on see, et 11,9% näitas mittevastavusi -- Google'i API-le edastatud nõusoleku olek ei ühtinud brauseris täheldatud tegeliku jälgimiskäitumisega. See tähendab, et CMP ütleb Google'ile, et nõusolek keelati, kuid jälgimispäringud jätkavad tulistamist. Ligipääsetavus. Nõusolekubännerid on seadusega nõutavad kasutajaliidese elemendid ja kui need on ligipääsmatud, ei saa osa kasutajatest oma õigusi teostada. Tuvastatud bänneritest: 25% olid puutetargetid alla soovitatud miinimumsuuruse, 15,2%-l oli madala kontrastiga tekst ja 3,4% ei olnud klaviatuuriga ligipääsetavad. Bänner, mida ei saa klaviatuuriga kasutada, keeldub tegelikult abistavale tehnoloogiale tuginevate kasutajate nõusolekuvalikust -- rikkumine, mis ristub nii GDPR-i kui ka ligipääsetavuse regulatsioonidega.

Üldine riskijaotus

Kokkuvõttes on 97 304 skaneeritud saidi koguriskiklassifikatsioon:

14,9% ebaselge määr kajastab saite, kus skanner ei suutnud usaldusväärsele järeldusele jõuda -- tavaliselt botituvastuse, keerukate üheleheliste rakenduste arhitektuuride või ajastusest sõltuva käitumise tõttu. Me raporteerime neid ausalt, selle asemel et suruda neid läbi/ebaõnnestumine klassifikatsiooni, sest valevastne kindlustunne vastavusandmetes on hullem kui tunnistatud ebakindlus.

Mida see tähendab veebisaidi omanikele

Kui te haldute veebisaiti, mis teenindab EL-i külastajaid, adresseerivad neli tegevust kõige levinumaid ja kõrgeima riskiga leide:

1. Auditeerige, mis laeb enne nõusolekut. Avage oma sait privaatses brauseriaknas, avage arendustööriistad ja jälgige Network ja Application vahekaarte enne mis tahes bänneriga suhtlemist. Kui näete päringuid analüütika- või reklaamidomeenidesse või nende teenuste küpsiseid, on teie nõusolekueelne käitumine nõuetele mittevastav. Parandus on tavaliselt sildihalduri konfiguratsioon: tagage, et mitteolulised skriptid oleksid blokeeritud, kuni jaatav nõusolek on salvestatud. 2. Testige oma keeldumise voogu otsast lõpuni. Klõpsake oma bänneril keeldu, seejärel kontrollige, kas mitteolulised küpsised on kadunud. Seejärel laadige leht uuesti ja kontrollige uuesti. Kui küpsised ilmuvad uuesti, on teil consent respawn probleem, mis nõuab uurimist, millised skriptid teie nõusolekumehhanismist mööda lähevad. Meie andmed näitavad, et see mõjutab üllatavalt paljusid saite, isegi neid, mis kasutavad mainekaid CMP-sid. 3. Kontrollige oma küpsiste eluiga. Kui kasutate Google Analytics'it vaikeseadetega, on teie `_ga` küpsisel kaheaastane eluiga. Muutke see 13 kuuks või väiksemaks. Vaadake üle kõik küpsised, mida teie sait seab, ja veenduge, et ükski ei ületa soovitatud 13-kuulist maksimumi. See on kiire konfiguratsiooniparandus, mis kõrvaldab levinud vastavusleiu. 4. Tagage, et teie bänner on ligipääsetav ja pakub esimese tasandi keeldumist. Kui teie keeldumise valik nõuab teisele seadete lehele navigeerimist, samas kui "Nõustu kõigiga" on ühe klõpsuga, ei pruugi teie nõusolekumehhanism EDPB juhistele vastata. Vaadake bänner üle klaviatuuri ligipääsetavuse, puutetargetite suuruse ja kontrastsussuhete osas.

Metoodika märkused ja ausad piirangud

Soovime olla läbipaistvad selle osas, mida see uuring saab ja ei saa teile öelda.

Mida see hästi mõõdab: Nõusolekueelne käitumine, küpsiste inventuurid, võrgupäringud teadaolevatesse jälgimisdomeenidesse, bänneri olemasolu ja struktuur, keeldumise voo tulemused ja küpsiste eluead. Need on objektiivsed, tõenditepõhised mõõtmised, mis on salvestatud reaalse brauseri käitumisest. Mida see ebatäiuslikult mõõdab: CMP tuvastamine ei ole 100% kattev. Saidid, mis kasutavad meie 45 CMP teegis mitte sisalduvaid nõusolekualahendusi, võivad olla valesti kategoriseeritud kui bännerita. GeoIP-sõltuvad bännerid võivad kuvada skanneri võrguasukoha alusel erinevalt. Ühelehelised rakendused, mis haldavad nõusolekut kliendipoolses olekus ilma DOM-i muutusteta, on raskemini hinnatavad. Mõned saidid tuvastavad automatiseeritud brauserid ja muudavad vastavalt oma käitumist (leidsime 137, mis teevad seda tahtlikult). Mida see ei mõõda: Õigustatud huvi taotlused (mis nõuavad õiguslikku, mitte tehnilist hinnangut), privaatsuspoliitikate kvaliteet, nõusolekuandmete nõuetekohane salvestamine või andmetöötlustoimingute proportsionaalsus. Need on olulised vastavusdimensioonid, mis ei ole ainuüksi brauserikäitumisest jälgitavad.

14,9% ebaselge määr on meie turvaklapiks saitidele, kus me ei suutnud usaldusväärsele tehnilisele järeldusele jõuda. Me eelistame ausat ebakindlust valetäpsusele.

---

Kontrollige oma veebisaiti. Tehke tasuta skaneerimine aadressil gdprprivacymonitor.eu ja vaadake täpselt, mis toimub enne nõusolekut, selle ajal ja pärast seda teie saidil. Skanner koostab sama tõendusmaterjali, mida selles uuringus näidati -- nõusolekueelsed hetktõmmised, küpsiste inventuurid, keeldumise voo tulemused ja riskiklassifikatsioon -- iga esitatud URL-i jaoks.