Which EU Countries Take Cookie Compliance Most Seriously?

BDAR yra vienas reglamentas. Vienas tekstas. Tiesiogiai taikomas kiekvienoje ES valstybėje narėje be būtinybės jį perkelti į nacionalinę teisę (skirtingai nei ePrivacy direktyva, kurią reikia perkelti, pridedant dar vieną variacijos sluoksnį). Teoriškai svetainė Vengrijoje susiduria su tomis pačiomis teisinėmis prievolėmis kaip svetainė Vokietijoje. Praktikoje atotrūkis tarp teorijos ir tikrovės yra milžiniškas.

Kai nuskenavome 97 304 svetaines 25 ES valstybėse narėse, nustatėme, kad didelės rizikos svetainių dalis svyruoja nuo 20,9 % Austrijoje iki 58,8 % Vengrijoje -- beveik tris kartus. Tas pats reglamentas, ta pati skenavimo metodologija, tie patys klasifikacijos kriterijai, pastebimai skirtingi rezultatai. Duomenys rodo, kad atitiktis mažiau koreliuoja su tuo, ką sako įstatymas, nei su tuo, kaip aktyviai jis vykdomas.

Pilnas reitingas

Žemiau pateiktoje lentelėje rodoma kiekviena mūsų tyrime dalyvavusi šalis, surikiuota pagal procentą skenuotų svetainių, klasifikuotų kaip didelės rizikos. Didelė rizika reiškia, kad svetainė demonstravo reikšmingus sutikimo pažeidimus: sekimą prieš sutikimą, atmetimo srauto nesėkmes, trūkstamus sutikimo mechanizmus kartu su aktyviu sekimu arba jų derinius. Taip pat rodome vidutinį rizikos balą (nuolatinę 0-100 metriką) ir juostos aptikimo rodiklį -- procentą skenuotų svetainių, kuriose mūsų sistema identifikavo sutikimo juostą.

(Juostos aptikimo rodikliai rodomi ten, kur prieinami mūsų duomenų rinkinyje. „--" reiškia, kad duomenys nebuvo atskirai pateikti tai šaliai.)

Vidutinis rizikos balas suteikia niuansuotesnį vaizdą nei dvejetainė didelės rizikos klasifikacija. Atkreipkite dėmesį, kad Nyderlandai turi santykinai nuosaikų didelės rizikos rodiklį (43,5 %), bet palyginti aukštą vidutinį rizikos balą (53,1), o tai rodo, kad nors mažiau olandų svetainių peržengia didelės rizikos ribą, tos, kurios peržengia, linkusios būti rimčiau neatitinkančios. Švedija rodo panašų modelį atvirkščiai: žemesnį didelės rizikos rodiklį (33,4 %), bet santykinai aukštą vidutinį balą (49,0), rodantį platų vidutinių pažeidimų pasiskirstymą.

1 lygis: lyderiai -- Vokietija ir Austrija

Vokietija (23,7 % didelės rizikos) ir Austrija (20,9 % didelės rizikos) yra aiškūs išskirtiniai. Jų svetainės yra maždaug dvigubai mažiau tikėtinos būti klasifikuotos kaip didelės rizikos, palyginti su visos ES vidurkiu 41 %. Norint suprasti kodėl, reikia pažvelgti į abiejų šalių vykdymo ekosistemą.

Vokietija: vykdymo gylis ir platumas

Vokietijos duomenų apsaugos aplinka yra unikali Europoje. Be federalinio BfDI (Bundesbeauftragter fur den Datenschutz und die Informationsfreiheit), kiekviena iš šešiolikos Vokietijos žemių turi savo nepriklausomą duomenų apsaugos instituciją. Tai reiškia, kad Vokietija turi iš viso septyniolika duomenų apsaugos institucijų, iš kurių kelios buvo tarp aktyviausių Europos institucijų sutikimo vykdymo srityje.

Bavarijos duomenų apsaugos institucija (BayLDA) atliko sektorinį slapukų sutikimo auditą svetainėse 2020-2021 m., siųsdama formalius klausimynus šimtams įmonių ir imdamasi tolesnių vykdymo veiksmų. Hamburgo duomenų apsaugos institucija paskelbė detalias gaires dėl Google Analytics ir sutikimo reikalavimų. Kelios žemių duomenų apsaugos institucijos vykdė koordinuotas vykdymo kampanijas, nukreiptas į konkrečius pažeidimus -- sekimą prieš sutikimą, trūkstamas atmetimo parinktis ir neatitinkančias slapukų juostas.

Šis vykdymo tankumas sukuria kitokį rizikos skaičiavimą Vokietijos svetainių operatoriams. Kai jūsų pramonės kolegos gavo formalius paklausimus iš duomenų apsaugos institucijos ir kai vykdymo gairės yra pakankamai konkrečios, kad tiksliai nurodytų, kas priimtina ir kas ne, neatitikimo kaina tampa konkreti, o ne teorinė.

Taip pat yra kultūrinis matmuo. Vokietijos duomenų apsaugos sąmoningumas siekia giliau nei BDAR. 1983 m. Volkszählung (surašymo) sprendimas, priimtas Federalinio Konstitucinio Teismo, įtvirtino informacinį apsisprendimą kaip konstitucinę teisę dešimtmečius prieš BDAR atsiradimą. Tai sukūrė visuomeninį lūkestį dėl duomenų apsaugos, kuris įtakoja tiek įmonių elgesį, tiek vartotojų lūkesčius tokiais būdais, kuriuos sunkiau kiekybiškai įvertinti, bet kurie aiškiai atsispindi duomenyse.

Austrija: ankstyvas vykdymas po Schrems II

Austrijos DSB (Datenschutzbehörde) sulaukė tarptautinio dėmesio, priimdama vieną pirmųjų vykdymo sprendimų po Schrems II, nustatydama, kad svetainės naudojamas Google Analytics pažeidžia BDAR, nes duomenų perdavimui į JAV trūko tinkamų apsaugos priemonių. Šis sprendimas -- vėliau pakartotas Prancūzijos CNIL ir Italijos Garante -- pasiuntė aiškų signalą Austrijos svetainių operatoriams, kad sutikimas ir sekimas yra aktyvūs vykdymo prioritetai.

Austrijos 20,9 % didelės rizikos rodiklis, žemiausias mūsų tyrime, rodo, kad šis signalas buvo priimtas. Kai duomenų apsaugos institucija per konkrečius, viešai skelbiamus sprendimus demonstruoja, kad sutikimo pažeidimai bus persekiojami, laikymosi rodiklis reaguoja. Austrija yra vienas aiškiausių pavyzdžių mūsų duomenyse vykdymo koreliacijos su išmatuojamu elgesio pokyčiu, nors kiti veiksniai -- rinkos struktūra, kultūrinės nuostatos -- taip pat greičiausiai prisideda.

2 lygis: Šiaurės Europos vidurio pozicija -- Švedija, Suomija, Danija

Švedija (33,4 %), Suomija (40,3 %) ir Danija (42,1 %) užima vidurinę juostą, kuri yra geresnė nei ES vidurkis, bet gerokai atsilieka nuo Vokietijos ir Austrijos lyderių.

Šiaurės šalys dalijasi stipriomis kultūrinėmis vertybėmis dėl privatumo ir institucinio pasitikėjimo, bet jų duomenų apsaugos institucijos paprastai laikėsi mažiau agresyvios vykdymo pozicijos būtent dėl sutikimo. Švedijos IMY (Integritetsskyddsmyndigheten) priėmė svarbių sprendimų -- įskaitant reikšmingą baudą Google už teisės būti pamirštam pažeidimus -- bet jos specifinis sutikimo vykdymas buvo labiau ribotas. Suomijos tietosuojavaltuutettu ir Danijos Datatilsynet panašiai sutelkė dėmesį į duomenų saugumo pažeidimų pranešimus ir sektorinius nurodymus, o ne į plataus masto slapukų sutikimo kampanijas.

Švedijos 33,4 % didelės rizikos rodiklis vis dėlto yra pastebimai geresnis nei Vakarų Europos vidurkis, o tai rodo, kad kultūrinės nuostatos dėl privatumo gali iš dalies kompensuoti retesnį vykdymą. Šiaurės šalių interneto naudotojai apskritai yra labiau privatumą suvokiantys, o tai gali kurti rinkos spaudimą geresniam sutikimo įgyvendinimui net ir be reguliacinio spaudimo.

Juostos aptikimo rodikliai čia yra pamokantys. Danija rodo 57,0 % juostos aptikimo rodiklį -- aukščiausią tarp visų šalių, kuriose turime šį duomenų tašką -- o Suomija rodo 54,6 %. Tai reiškia, kad Šiaurės šalių svetainės labiau linkusios įdiegti sutikimo juostą, net jei įgyvendinimas už tos juostos ne visada yra visiškai atitinkantis. Tai rodo pareigos suvokimą net ten, kur vykdymas atsilieka.

3 lygis: Vakarų Europa -- Prancūzija, Nyderlandai, Belgija, Ispanija, Italija

Penkios Vakarų Europos šalys glaudžiai telkiasi tarp 42,1 % ir 44,6 % didelės rizikos: Belgija (42,1 %), Nyderlandai (43,5 %), Prancūzija (44,1 %), Ispanija (44,1 %) ir Italija (44,6 %). Šis klasteris yra arti visos ES vidurkio 41 % ir gali reikšti laikymosi bazinį lygį -- lygį, kurį gaunate, kai vykdymas egzistuoja, bet nėra pakankamai dažnas ar tikslingas, kad reikšmingai pasistūmėtų rodikliai.

Prancūzija: aukšto profilio vykdymo paradoksas

Prancūzija yra verta dėmesio, nes CNIL yra neabejotinai tarptautiniu mastu matomiausia duomenų apsaugos institucija Europoje. Ji skyrė rekordines baudas Google (150 milijonų eurų už sutikimo pažeidimus 2022 m.), Amazon (35 milijonus eurų) ir Microsoft (60 milijonų eurų). Ji paskelbė detalias gaires dėl slapukų ir sutikimo 2020 m. ir suteikė Prancūzijos svetainėms šešių mėnesių pereinamąjį laikotarpį laikytis reikalavimų. Ji vykdė koordinuotas vykdymo bangas, nukreiptas į svetaines, kurios neįgyvendino atmetimo parinkčių.

Vis dėlto Prancūzija yra ties 44,1 % didelės rizikos -- tiksliai Vakarų Europos vidurkis. Kaip aktyviausias vykdytojas gali pasiekti tik vidutinį laikymąsi?

Atsakymas greičiausiai slypi Prancūzijos interneto struktūroje. Prancūzija turi didelę, įvairią skaitmeninę ekonomiką su šimtais tūkstančių svetainių, valdomų mažų ir vidutinių įmonių, vietos valdžios institucijų ir organizacijų, kurios gali nelabai sekti CNIL vykdymo naujienas. CNIL aukšto profilio veiksmai prieš technologijų gigantus kuria tarptautines antraštes, bet gali nekeisti tūkstančių mažų verslo svetainių, naudojančių numatytuosius WordPress diegimus su nesukonfigūruotais sutikimo papildiniais, elgesio. Vykdymas, nukreiptas į pasiskirstymo viršūnę, nebūtinai pajudina uodegą.

Tai svarbi įžvalga visoms duomenų apsaugos institucijoms: antraščių baudos atgraso dideles įmones, bet gali nepajudinti bendro laikymosi rodiklio, kurį dominuoja ilga mažų ir vidutinių svetainių uodega. Plačiam elgesio pokyčiui reikia arba masinio vykdymo (nepraktiško su dabartiniais duomenų apsaugos institucijų ištekliais), arba įrankių, kurie laikymąsi paverčia numatytuoju, o ne išimtimi.

Nyderlandai: žemas juostos rodiklis, vidutinė rizika

Nyderlandai rodo įdomų modelį: 43,5 % didelės rizikos rodiklį (vidutinį), bet tik 40,3 % juostos aptikimo rodiklį -- žemiausią tarp šalių, kuriose turime šiuos duomenis. Tai reiškia, kad olandų svetainės mažiau linkusios įdiegti sutikimo juostą, bet tarp tų, kurios ją įdiegė, įgyvendinimo kokybė gali būti šiek tiek geresnė. Tai taip pat gali atspindėti olandų interneto ekosistemą, apimančią daug svetainių su minimaliu sekimu (juosta nereikalinga) šalia svetainių, kurios intensyviai seka nesivargindamos su juosta.

Olandų AP (Autoriteit Persoonsgegevens) buvo aktyvi BDAR vykdyme apskritai, bet paskelbė mažiau specifinių sprendimų dėl sutikimo, palyginti su Vokietijos duomenų apsaugos institucijomis ar CNIL. AP vykdymo prioritetai buvo sutelkti į valdžios duomenų tvarkymą, sveikatos duomenis ir didelio masto stebėjimą, o sutikimo pažeidimai gavo santykinai mažiau dėmesio.

4 lygis: Rytų ir Pietų Europa -- Graikija, Lenkija, Rumunija, Čekija, Vengrija

Reitingo apačioje dominuoja Vidurio ir Rytų Europos šalys, kurių didelės rizikos rodikliai svyruoja nuo 52,5 % (Graikija) iki 58,8 % (Vengrija). Šiose šalyse daugiau nei pusė skenuotų svetainių turi didelės rizikos laikymosi profilį.

Bendras bruožas yra ne teisinės prievolės trūkumas -- BDAR taikomas identiškai -- bet nepakankamai aprūpintų duomenų apsaugos institucijų modelis, kuriose mažiau vykdymo veiksmų konkrečiai nukreiptų į sutikimą. Vengrijos NAIH, Lenkijos UODO, Rumunijos ANSPDCP ir Čekijos UOOU sutelkė savo ribotus vykdymo biudžetus į tokias sritis kaip duomenų saugumo pažeidimų pranešimai, duomenų subjektų prieigos užklausos ir aukšto profilio skundai, o ne į proaktyvius slapukų sutikimo auditus.

Tai yra racionalus elgesys nepakankamai aprūpintiems reguliuotojams. Kai turite mažą komandą ir didelę ekonomiką, kurią prižiūrite, pirmenybę teikiate skundams, o ne proaktyviam vykdymui, ir skundai dėl slapukų sutikimo yra santykinai reti palyginti su skundais dėl duomenų saugumo pažeidimų ar duomenų subjektų prieigos atsisakymų. Rezultatas -- sutikimo pažeidimai lieka iš esmės nepolicijuojami, o svetainių operatoriai nesusiduria su prasmininga vykdymo rizika.

Šie duomenys neatspindi šių duomenų apsaugos institucijų kompetencijos ar atsidavimo. Kelios Vidurio ir Rytų Europos duomenų apsaugos institucijos veikia su darbuotojų ir gyventojų santykiais, kurie sudaro tik dalį to, kuo naudojasi Vokietijos žemių duomenų apsaugos institucijos. Vengrijos NAIH, pavyzdžiui, prižiūri 10 milijonų gyventojų šalį. Bavarijos BayLDA, prižiūrinti panašaus dydžio populiaciją vienoje Vokietijos žemėje, istoriškai turėjo daugiau išteklių ir labiau sutelktą mandatą.

Išvada yra struktūrinė: vienodas reguliavimas be vienodo vykdymo duoda nevienodą laikymąsi. Tai svarbus šalių lygio duomenų radinys.

Vykdymo koreliacija

Jei atvaizduotumėte duomenų apsaugos institucijų vykdymo intensyvumą pagal laikymosi rodiklius (naratyvu, nes čia neskelbame grafiko), ryšys yra matomas. Šalys su daugiausia vykdymo veiksmų, konkrečiai nukreiptų į sutikimą -- Vokietija, Austrija -- turi žemiausius didelės rizikos rodiklius. Šalys su antraščių pelnančiu, bet koncentruotu vykdymu (Prancūzija) rodo vidutinį laikymąsi. Šalys su minimaliu sutikimui specifišku vykdymu rodo aukščiausius pažeidimų rodiklius.

Ši koreliacija neįrodo priežastingumo -- kultūriniai veiksniai, rinkos struktūra ir vietos technologijų sektoriaus brandumas visi vaidina vaidmenį. Bet modelio stiprumas 25 šalyse yra sunkiai paaiškinamas be vykdymo kaip pagrindinio variklio.

Keletas svarbių vykdymo veiksmų, kurie, atrodo, pajudino rodiklius:

• Vokietija (2020-2022): Kelios žemių duomenų apsaugos institucijos vykdė koordinuotus slapukų sutikimo auditus, siųsdamos formalius laiškus šimtams svetainių. BayLDA paskelbė DUK apie sutikimą, kuris tapo de facto laikymosi standartu.
• Austrija (2022): DSB sprendimas dėl Google Analytics buvo plačiai nušviestas Austrijos technologijų ir verslo žiniasklaidoje, paskatinęs matomą GA į Matomo migracijos bangą.
• Prancūzija (2021-2022): CNIL slapukų vykdymo banga nukreipta į 100+ svetainių dėl neatitinkančių sutikimo įgyvendinimų, nors poveikis atrodo sutelktas tarp didesnių operatorių.
• Italija (2022): Garante paskelbė atnaujintas slapukų gaires, kurios paskatino laikymosi veiklą tarp didesnių Italijos svetainių, nors 44,6 % didelės rizikos rodiklis rodo, kad efektas neišplito plačiai.

Juostos aptikimo rodikliai pagal šalį

Juostos aptikimo rodiklis -- procentas svetainių, kuriose mūsų skeneris identifikavo sutikimo mechanizmą -- reikšmingai skiriasi tarp šalių:

Danija pirmauja su 57,0 %, o tai rodo, kad Danijos svetainės labiausiai linkusios įdiegti tam tikrą sutikimo mechanizmo formą, net jei bendra laikymosi kokybė (42,1 % didelės rizikos) yra vidutiniška. Vokietijos 46,1 % yra žemesnis, nei būtų galima tikėtis atsižvelgiant į žemą pažeidimų rodiklį, bet tai atitinka modelį: Vokietijos svetainės, kurios seka, labiau linkusios tai daryti su tinkamu sutikimu, o Vokietijos svetainės, kurios neseka, gali pagrįstai veikti be juostos.

Nyderlandų 40,3 % yra žemiausias turimas rodiklis, kuris atitinka aukščiau pažymėtą olandų modelį: mažiau juostų apskritai, bet nebūtinai blogesnis laikymasis tarp tų, kurios jas įdiegia.

Šie rodikliai taip pat atspindi metodologinę realybę. Svetainė, kuri nenustato neesminių slapukų ir nekontaktuoja trečiųjų šalių sekimo domenų, iš tikrųjų neprivalo turėti sutikimo juostos pagal ePrivacy išimtį griežtai būtiniems slapukams. Tam tikras juostos rodiklių svyravimas todėl yra tikėtinas ir teisėtas.

Ką tai reiškia tarpvalstybinėms įmonėms

Jei valdote svetainę ar skaitmeninę paslaugą, aptarnaujančią naudotojus keliose ES šalyse, šie duomenys turi tiesioginių praktinių pasekmių.

Jūsų laikymosi riziką nulemia jūsų aukščiausio vykdymo rinka. Jei jūsų svetainė aptarnauja Vokietijos naudotojus, kartelė faktiškai nustatoma pagal Vokietijos duomenų apsaugos institucijų lūkesčius, nepriklausomai nuo to, kur yra jūsų įmonės būstinė. Pagal BDAR vieno langelio mechanizmą jūsų vadovaujanti priežiūros institucija gali būti jūsų gimtojoje šalyje, bet bet kuri duomenų apsaugos institucija gali imtis veiksmų dėl savo gyventojų skundų. Vengrijos svetainė, aptarnaujanti Vokietijos lankytojus, gali susidurti su Vokietijos duomenų apsaugos institucijų dėmesiu. Lyginimasis su savo šalies vidurkiu yra nepakankamas. Jei esate Lenkijos svetainės operatorius ir 53,3 % jūsų kolegų yra didelės rizikos, būti „vidutiniu" vis tiek reiškia, kad neatitinkate BDAR raidės. Reglamentas nekoreguoja savo reikalavimų pagal šalį. Svyruoja tik vykdymo tikimybė -- o vykdymo tendencijos juda viena kryptimi. Duomenų apsaugos institucijos, kurios dar nesuteikė prioriteto sutikimui, greičiausiai tai padarys, nes didėja Europos lygio koordinacija. EDPB siekia konvergencijos. Europos duomenų apsaugos valdybos slapukams specifinės gairės, darbo grupių veikla ir nuoseklumo nuomonės skirtos mažinti vykdymo atotrūkį tarp valstybių narių. EDPB sutikimo juostų darbo grupės ataskaita 2023 m. identifikavo dažnus pažeidimus ir paragino koordinuotą vykdymą, o kelios anksčiau mažiau aktyvios duomenų apsaugos institucijos signalizavo padidintą dėmesį sutikimui reaguodamos. Žemas vykdymas bet kurioje rinkoje greičiausiai neliks status quo neribotą laiką.

BDAR harmonizavimo problema

Šalių lygio duomenys šiame tyrime tam tikrais atžvilgiais yra BDAR harmonizavimo tikslo iššūkis. Reglamentas turėjo sukurti vieningą standartą visoje ES, pakeisdamas nacionalinių duomenų apsaugos įstatymų mozaiką. Kalbant apie teisinį tekstą, jis pavyko. Kalbant apie laikymosi tikrovę, jis dar nepavyko.

Svetainė Austrijoje yra tris kartus mažiau tikėtina būti didelės rizikos nei svetainė Vengrijoje. Prancūzijos naudotojas, spustelėjęs „Atmesti", susiduria su tuo pačiu 80,4 % nesėkmės rodikliu kaip ir Lenkijos naudotojas. Sutikimo juosta labiau tikėtina pasirodyti Danijoje nei Nyderlanduose. Nė vienas iš šių skirtumų neturi teisinio pagrindo -- jie visi yra diferencijuoto vykdymo pasekmės.

Tai kelia sunkų klausimą: ar reguliacinė sistema, priklausanti nuo nacionalinių vykdymo institucijų su labai skirtingais ištekliais ir prioritetais, gali užtikrinti vienodą apsaugą? Duomenys rodo, kad šiuo metu atsakymas yra ne. Atotrūkis tarp Vokietijos/Austrijos ir Vengrijos/Čekijos nesimažina -- ir nesumažės be reikšmingo duomenų apsaugos institucijų išteklių perskirstymo arba perėjimo prie ES lygio vykdymo dažniems, techniškai išmatuojamiems pažeidimams, tokiems kaip sekimas prieš sutikimą.

Slapukų sutikimas ironiškai yra viena lengviausiai dideliu mastu patikrinamų BDAR prievolių. Skirtingai nuo duomenų tvarkymo veiklos teisėtumo vertinimo ar poveikio privatumui vertinimo pakankamumo, patikrinti, ar svetainė nustato sekimo slapukus prieš sutikimą, yra objektyvus, automatizuojamas matavimas. Jei ES negali pasiekti vykdymo konvergencijos dėl šio labiausiai išmatuojamo pažeidimo, perspektyvos konvergencijai sunkesniais klausimais yra niūrios.

Metodologijos pastaba

Svetainių atranka buvo paimta iš Tranco Top 1M sąrašo, filtruota pagal šalies priskyrimą. Šalių priskyrimas naudojo šalies kodo TLD kaip pirminį signalą, papildytą registracijos ir hostingo duomenimis, kai TLD buvo dviprasmiški (pvz., `.com` domenai). Svetainės su neaiškiu šalies priskyrimu buvo pašalintos iš šalių lygio analizės, bet įtrauktos į visos ES agreguotus skaičius.

Kiekviena svetainė buvo skenuota naudojant identiškus kriterijus: elgesys prieš sutikimą, juostos aptikimas, atmetimo srauto testavimas (kai atmetimo mygtukas buvo identifikuotas), slapukų gyvavimo trukmės analizė ir prieinamumo vertinimas. Skeneris nedarė jokių koreguočių pagal kilmės šalį -- Vengrijos svetainė buvo vertinama ta pačia metodologija ir ribomis kaip ir Vokietijos.

Imčių dydžiai skiriasi pagal šalį, atspindėdami ES svetainių pasiskirstymą Tranco sąraše. Šalys su didesnėmis skaitmeninėmis ekonomikomis (Vokietija, Prancūzija, Nyderlandai) prisideda daugiau svetainių. Visi procentai skaičiuojami pagal kiekvienos šalies imtį, o ne visos ES bendrą sumą.

---

Sužinokite, kokia jūsų svetainės padėtis. Paleiskite nemokamą skenavimą adresu gdprprivacymonitor.eu, kad gautumėte tą patį laikymosi vertinimą, kurį taikėme kiekvienai šio tyrimo svetainei -- su pilnais įrodymais, rizikos vertinimu ir veiksmingais radiniais.