We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Praėjus aštuoneriems metams nuo BDAR įsigaliojimo, nusprendėme nustoti spėlioti apie sutikimo laikymąsi ir jį išmatuoti. Nukreipėme savo skenerį į 97 304 svetaines 25 iš 27 ES valstybėse narėse ir užfiksavome tiksliai, kas vyksta tikroje naršyklėje prieš sutikimą, jo metu ir po jo. Ne tai, ką žada privatumo politika. Ne tai, ką rodo CMP valdymo skydas. Tai, kas iš tikrųjų paleidžiama naršyklėje, kai pirmą kartą apsilankęs lankytojas patenka į puslapį.

Mūsų duomenų rinkinyje sekimas prieš sutikimą buvo dažnas: du trečdaliai ES svetainių pradeda sekti lankytojus dar prieš bet kokią sutikimo sąveiką. Daugiau nei pusė visai nerodo sutikimo juostos. O kai svetainės siūlo atmetimo mygtuką, jis nesustabdo sekimo 80 % atvejų. Tai nėra kraštutiniai atvejai ar techniniai niuansai. Tai yra bazinė sutikimo laikymosi būklė visoje Europos Sąjungoje 2026 metais.

Metodologija: kaip tai matavome

Prieš pereinant prie rezultatų, svarbu, kaip rinkome duomenis, nes metodologija nulemia, ar tokie skaičiai yra prasmingi, ar klaidinantys.

Svetainių sąrašas

Mūsų imtis paimta iš Tranco Top 1M sąrašo -- mokslinės kokybės domenų reitingo, sudaryto sujungiant kelis nepriklausomus reitingavimo šaltinius duomenis. Tranco buvo specialiai sukurtas atspariam manipuliavimui ir stabiliam reitingavimui žiniatinklio matavimo tyrimams, todėl tai yra standartinis šaltinis didelio masto interneto tyrimams. Filtravome domenus, susijusius su 25 iš 27 ES valstybėmis narėmis, pagal šalies kodo TLD ir registracijos duomenis, gavę 114 748 kandidatų URL. Iš jų 97 304 sėkmingai užbaigti -- likę nepavyko dėl DNS klaidų, ryšio laiko limitų arba visiškai nepasiekiamų svetainių.

Ką skeneris daro

Kiekvienas skenavimas naudoja mūsų gamybinį skenerio variklį: Go programą, valdančią pilną headless Chromium naršyklę per Chrome DevTools Protocol. Tai nėra statinis HTML nuskaitytuvas ar slapukų duomenų bazės paieška. Kiekvienai svetainei skeneris:

1. Paleidžia švarų Chromium egzempliorių be saugomų slapukų, vietinės atminties ar naršymo istorijos -- imituodamas tikrą pirmą kartą apsilankantį lankytoją.

2. Nukreipia į tikslinį URL ir laukia, kol puslapis bus įkeltas.

3. Daro sutikimo prieš momentinę kopiją: kiekvienas nustatytas slapukas, kiekviena pateikta tinklo užklausa, kiekvienas kontaktuotas trečiosios šalies domenas -- viskas prieš bet kokią sutikimo sąveiką.

4. Bando aptikti sutikimo juostą naudodamas biblioteką, apimančią 45 žinomų CMP ir bendrines euristikas.

5. Sąveikauja su juosta (priimti arba atmesti) ir užfiksuoja būseną po sąveikos.

6. Atmetimo srauto testavimui: iš naujo įkelia puslapį ir tikrina, ar atmetimas buvo gerbiamas, ar slapukai atsirado iš naujo.

Kiekvienas žingsnis sukuria laiko žymomis pažymėtus įrodymus: pilnus slapukų inventorius, tinklo užklausų žurnalus ir ekrano kopijas. Kai sakome, kad svetainė „aktyvuoja sekimą prieš sutikimą", turime omenyje, kad stebėjome tikras HTTP užklausas žinomiems sekimo domenams ir tikrus naršyklėje nustatytus slapukus -- ne tai, kad spėjome iš skripto žymos HTML kode.

Ką „prieš sutikimą" techniškai reiškia

Tai yra esminis konceptas. Elgesys prieš sutikimą yra viskas, kas vyksta nuo puslapio krovimo pradžios iki momento, kai naudotojas pirmą kartą sąveikauja su sutikimo mechanizmu. Praktikoje šis langas paprastai yra 2-5 sekundės, bet daugelyje svetainių jis pailgėja, kai puslapis kraunasi papildomus išteklius. Per šį langą lankytojas neturėjo galimybės nieko priimti ar atmesti. Pagal ePrivacy direktyvos 5 straipsnio 3 dalį (kaip ESTT interpretavo Planet49 byloje, C-673/17), informacijos saugojimas naudotojo įrenginyje arba prieiga prie jau saugomos informacijos reikalauja išankstinio sutikimo -- išskyrus slapukus, griežtai būtinus naudotojo prašomai paslaugai. Viskas neesminis, kas paleidžiama per šį langą, pagal apibrėžimą veikia be galiojančio sutikimo.

Radinys 1: sekimas prieš sutikimą yra norma, ne išimtis

Svarbiausias šio tyrimo skaičius: 68 % skenuotų svetainių aktyvuoja trečiųjų šalių sekimą prieš naudotojui duodant sutikimą. Glaudžiai susiję: 66,6 % nustato slapukus prieš sutikimą.

Tai nėra ta pati metrika. Svetainė gali kontaktuoti trečiosios šalies sekimo domeną (paleisdama pikselį, kraudama skriptą) be to domeno sėkmingo slapuko nustatymo -- pavyzdžiui, jei naršyklė blokuoja trečiųjų šalių slapukus. Ir atvirkščiai, pirmosios šalies analizės slapukas gali būti nustatytas nekontaktuojant išorinio domeno. Abu elgesiai yra probleminiai, bet jie atspindi skirtingus techninius mechanizmus ir skirtingą teisinę riziką.

Veiklos prieš sutikimą mastas yra didelis:

Mediana 6 yra neabejotinai informatyvesnė nei vidurkis. Pusė visų skenuotų svetainių kontaktuoja bent šešis išorinius domenus prieš naudotojui turint galimybę duoti sutikimą. Tai nėra turinio pristatymo tinklai ar šriftų serveriai (kuriuos mes pašaliname iš sekimo klasifikacijos). Tai yra reklamos platformos ir analizės tarnybos.

Veiklos prieš sutikimą suskirstymas pagal slapukų kategoriją atskleidžia, kam šis sekimas iš tikrųjų skirtas:

Beveik kas trečia ES svetainė nustato analizės slapukus prieš sutikimą. Beveik kas penkta nustato rinkodaros slapukus. Teisinė pozicija dėl šių yra nedviprasmiška: EDPB pakartotinai patvirtino, kad analizės ir rinkodaros slapukai reikalauja sutikimo pagal ePrivacy 5 straipsnio 3 dalį. ESTT Planet49 sprendimas aiškiai nurodė, kad sutikimas turi būti aktyvus, teigiamas veiksmas -- ir jis negali būti teigiamas, jei dar neįvyko.

Praktinė reikšmė yra ta, kad tuo metu, kai lankytojas pamato slapukų juostą ir svarsto, ar priimti, ar atmesti, jo naršyklė jau buvo identifikuota, jo apsilankymas jau buvo užregistruotas analizės platformose ir daugeliu atvejų jo naršymo profilis jau buvo atnaujintas reklamos tinklų. Sutikimo pasirinkimas, kai jis ateina, yra iš dalies retrospektyvus -- o retrospektyvus sutikimas nėra sutikimas iš viso.

Radinys 2: sutikimo juostos spraga

Daugiau nei pusė mūsų skenuotų svetainių -- 53 508 iš 97 304, arba 55 % -- nerodė sutikimo juostos, kurią mūsų aptikimo sistema galėtų identifikuoti.

Šis skaičius reikalauja kruopštaus interpretavimo. Ne kiekviena svetainė be juostos būtinai pažeidžia įstatymą. Svetainė, kuri nenustato neesminių slapukų ir nekontaktuoja trečiųjų šalių sekimo tarnybų, gali teisėtai veikti be sutikimo mechanizmo. ePrivacy išimtis „griežtai būtiniems" slapukams reiškia, kad svetainė, naudojanti tik sesijos slapukus prisijungimui ar pirkinių krepšelio funkcionalumui, neturi sutikimo prievolės dėl tų konkrečių slapukų.

Bet tai nėra tai, ką mes stebime. Iš 53 508 svetainių be aptinkamos juostos, 18 026 aktyviai nustato neesminius slapukus ir kontaktuoja trečiųjų šalių sekimo domenus. Šios svetainės neturi sutikimo mechanizmo ir seka lankytojus nuo pirmo puslapio įkėlimo. Mums nežinomas galiojantis teisinis pagrindas tam nei pagal BDAR, nei pagal ePrivacy direktyvą.

Likusios svetainės be juostų patenka į kelias kategorijas: svetainės, kurios tikrai nenustato neesminių slapukų (ir todėl gali nereikėti juostos), svetainės, naudojančios sutikimo mechanizmus, kurių mūsų aptikimo sistema negalėjo identifikuoti, ir svetainės, kurios yra tiesiog nefunkcionuojančios arba minimalaus turinio domenai. Mūsų 45 CMP aptikimo biblioteka kartu su bendrinėmis euristikomis apima didžiąją daugumą žinomų sutikimo sprendimų, bet pritaikyti sprendimai neįprastuose karkasose ar kalbose gali būti praleisti.

Vis dėlto 18 026 skaičius yra minimumas, ne maksimumas, svetainių be juostų su sekimu. Tai svetainės, kuriose turime teigiamų įrodymų ir dėl sekimo veiklos, ir dėl juostos nebuvimo.

Radinys 3: atmetimo mygtukai neveikia 80 % atvejų

Šiam radiniui skiriame atskirą įrašą, bet jis nusipelno reikšmingo aptarimo čia, nes liečia sutikimo modelio esmę.

Iš 28 891 svetainių, kuriose aptikome atmetimo mygtuką ir sėkmingai su juo sąveikavome, 80,4 % tęsė sekimą po to, kai naudotojas spustelėjo atmesti. Tik 5 650 svetainių (19,6 %) praėjo atmetimo srauto testą -- tai reiškia, kad sekimas iš tikrųjų sustojo ir liko sustojęs.

Nesėkmės skirstomos į besidubliuojančias kategorijas:

Consent respawn yra modelis, kurį identifikavome per šį tyrimą. Naudotojas spusteli atmesti, CMP pašalina slapukus, o tada kitame puslapio įkėlime tie slapukai vėl pasirodo. 1 642 svetainėse stebėjome 4 932 individualius slapukus, rodančius šį elgesį. Mechanizmas varijuoja -- trečiųjų šalių skriptai, kurie vėl paleidžiami nepaisant sutikimo būsenos, žymų valdikliai, kurie nepropaguoja atmetimo visiems integruotoms paslaugoms, serverio pusės Set-Cookie antraštės, kurios ignoruoja kliento pusės sutikimo sprendimus -- bet efektas yra tas pats. Atmetimo mygtukas tampa laikina pauze, o ne nuolatiniu pasirinkimu.

Pagal BDAR 7 straipsnio 3 dalį sutikimo atšaukimas turi būti toks pat lengvas kaip jo davimas, o duomenų valdytojas turi veikti pagal tą atšaukimą. Atmetimo mygtukas, kuris iš tikrųjų nesustabdo sekimo, neatitinka šio reikalavimo nepaisant techninės priežasties.

Radinys 4: šalių palyginimas

BDAR yra vienas reglamentas, bet laikymasis nėra vienodas. Didelės rizikos svetainių procentas skiriasi beveik tris kartus tarp ES valstybių narių.

Modelis atitinka vykdymo veiklos skirtumus. Vokietija ir Austrija -- BfDI, šešiolika žemių lygio duomenų apsaugos institucijų ir DSB namai -- buvo vieni aktyviausių Europos institucijų, specifiškai taikančių slapukų ir sutikimo pažeidimus. DSB priėmė vieną pirmųjų sprendimų po Schrems II. Vokietijos žemių duomenų apsaugos institucijos atliko sektorinius slapukų auditus ir išleido detalias gaires dėl galiojančio sutikimo.

Kitame gale Vengrija, Čekija, Rumunija ir Lenkija turi duomenų apsaugos institucijas, kurios paprastai yra nepakankamai finansuojamos palyginti su jų skaitmeninės ekonomikos dydžiu ir istoriškai sutelkė vykdymą į duomenų pažeidimus ir duomenų subjektų prieigos užklausas, o ne į slapukų sutikimą. Tai nėra kritika tų institucijų -- jos veikia su joms skirtais biudžetais -- bet tai aiškiai rodo, kad vykdymas skatina laikymąsi. Tas pats teisinis tekstas, taikomas su skirtingu vykdymo intensyvumu, duoda pastebimai skirtingus rezultatus.

Prancūzija yra pamokanti. CNIL buvo viena ryškiausių Europos vykdymo institucijų, skirdama rekordines baudas didelėms technologijų kompanijoms. Vis dėlto prancūziškos svetainės yra ties 44,1 % didelės rizikos lygiu, artimame ES vidurkiui. Paaiškinimas greičiausiai slypi CNIL vykdymo strategijoje: aukšto profilio veiksmai prieš dideles platformas kuria antraštes, bet tiesiogiai nekeičia tūkstančių mažų ir vidutinių įmonių elgesio, kurios sudaro ilgąją interneto uodegą. Platus elgesio pokytis reikalauja arba sektorinių vykdymo kampanijų (kaip Vokietija vykdė) arba bendro suvokiamo vykdymo rizikos padidėjimo.

Plačiau šalių duomenis aptariame mūsų šalių palyginimo įraše.

Radinys 5: CMP rinkos dalis ir ką ji mums pasako

Tarp 43 796 svetainių (45 %), kurios pateikė aptinkamą sutikimo juostą, identifikavome 45 skirtingas sutikimo valdymo platformas. Rinka yra sutelkta viršuje, bet fragmentuota ilgojoje uodegoje.

Didžiausia atskira kategorija yra „Bendrinė / neatpažinta" su 34,7 %. Tai svetainės, naudojančios sutikimo sprendimus, kurie neatitiko nė vienos iš 45 CMP parašų mūsų aptikimo bibliotekoje. Jos apima savadarbius slapukų pranešimus, plačiai nežinomus WordPress papildinius, regioninius CMP tiekėjus ir tokius minimalius sprendimus, kad jie susideda iš vieno uždarymo div su mygtuku „Supratau". Šios kategorijos laikymosi kokybė yra vidutiniškai žymiai žemesnė nei nusistovėjusių CMP, nors mes dar nepublikavome CMP lygio laikymosi rodiklių.

Juostos sąveikos duomenys atskleidžia dar vieną susirūpinimą. Iš 43 796 aptiktų juostų:

Beveik kas penkta sutikimo juosta nesiūlo matomos galimybės atmesti neesminius slapukus nenaršant antrojo nustatymų sluoksnio. EDPB gairės 05/2020 dėl sutikimo teigia, kad sutikimo atmetimas neturėtų reikalauti daugiau pastangų nei jo davimas. Dizainas, reikalaujantis papildomų paspaudimų atmetimui, bet siūlantis vienu paspaudimu priėmimą, pagal šias gaires yra tamsusis modelis, pakertantis sutikimo galiojimą.

Taip pat aptikome konkrečius tamsaus modelio įgyvendinimus: 3 454 svetainės (7,9 % turinčių juostas) patalpino atmetimo parinktį tik antrame sluoksnyje, 84 svetainės naudojo slapukų sienas (blokuojančias turinį iki sutikimo gavimo), o 137 svetainės demonstravo robotų sutikimo vengimą -- tyčia slepdamos juostą nuo automatizuotų skenerių ir rodydamos ją žmonių lankytojams.

Radinys 6: slapukų gyvavimo trukmės piktnaudžiavimas

CNIL rekomenduoja maksimalią slapuko gyvavimo trukmę 13 mėnesių — standartą, kurį priėmė arba į jį nurodė kelios kitos nacionalinės duomenų apsaugos institucijos. Tai nėra griežta teisinė riba BDAR tekste, bet atspindi saugojimo ribojimo principo (5 straipsnio 1 dalies e punktas), taikomo sekimo identifikatoriams, interpretaciją.

Mūsų skenavimas rado 26 250 svetainių (27 %) bent su vienu slapuku, viršijančiu 13 mėnesių ribą, iš viso 58 127 individualius slapukus.

Dažniausias pažeidėjas yra Google Analytics `_ga` slapukas, kuris nustatomas su numatytąja dvejų metų gyvavimo trukme. Tai reiškia, kad net svetainės su kitais veikiančiais sutikimo mechanizmais dažnai pažeidžia paprasčiausiai todėl, kad nepakeitė numatytosios GA slapuko galiojimo. Tai yra konfigūracijos problema, ne techninis apribojimas -- Google Analytics leidžia pasirinktines slapukų gyvavimo trukmes -- bet numatytoji vertė neatitinka EDPB gairių, ir dauguma svetainių operatorių jos niekada nekeičia.

Ilgalaikiai slapukai sukuria kaupiamą privatumo riziką. Dvejų metų slapukas nėra tiesiog „truputį ilgesnis nei 13 mėnesių." Tai reiškia, kad naudotojas, apsilankęs svetainėje kartą, sutikęs ir niekada negrįžęs, vis dar gali būti identifikuotas ir sekamas tos svetainės analizės dvejus metus. Jei naudotojas vėliau atšaukia sutikimą arba teisinis pagrindas pasikeičia, slapukas išlieka kaip vaiduoklis identifikatorius iki jo galiojimo pabaigos.

Papildomi radiniai

Keli kiti tyrimo radiniai nusipelno trumpo paminėjimo:

Pirštų atspaudai. Naršyklės pirštų atspaudų signalus (canvas pirštų atspaudai, WebGL pirštų atspaudai, garso konteksto pirštų atspaudai) aptikome 4 114 svetainių (4,2 %). Pirštų atspaudų ėmimas yra ypač nerimą keliantis, nes jo negalima panaikinti ištrinant slapukus -- jis naudoja naršyklės ir įrenginio savybes kaip identifikatorius. ePrivacy direktyva traktuoja pirštų atspaudų ėmimą kaip lygiavertį slapukais pagrįstam sekimui sutikimo tikslais. Google Consent Mode neatitikimai. Tarp svetainių, įgyvendinančių Google Consent Mode, 28,4 % buvo aptiktos jį naudojančios, o 13,7 % svetainių, naudojančių Google paslaugas, nerodė Consent Mode įgyvendinimo. Labiau nerimą kelia tai, kad 11,9 % rodė neatitikimus -- sutikimo būsena, pranešta Google API, neatitiko tikro sekimo elgesio, stebėto naršyklėje. Tai reiškia, kad CMP pasako Google, jog sutikimas atmestas, bet sekimo užklausos tęsiasi. Prieinamumas. Sutikimo juostos yra teisiškai privalomi vartotojo sąsajos elementai, ir jei jos yra neprieinamos, dalis naudotojų negali įgyvendinti savo teisių. Tarp aptiktų juostų: 25 % turėjo lietimo taikinius mažesnius nei rekomenduojamas minimalus dydis, 15,2 % turėjo žemo kontrasto tekstą, o 3,4 % nebuvo prieinamos klaviatūra. Juosta, kurios negalima valdyti klaviatūra, iš esmės atsisako sutikimo pasirinkimo naudotojams, kurie pasikliauja pagalbinėmis technologijomis -- pažeidimas, persidengiantis tiek su BDAR, tiek su prieinamumo reguliavimais.

Bendras rizikos pasiskirstymas

Apibendrinus, 97 304 skenuotų svetainių bendra rizikos klasifikacija:

14,9 % neapibrėžtas rodiklis atspindi svetaines, kuriose skeneris negalėjo pasiekti patikimo nustatymo -- paprastai dėl robotų aptikimo, sudėtingų vieno puslapio programų architektūrų arba nuo laiko priklausomo elgesio. Apie tai pranešame sąžiningai, užuot vertę jas į teigiamą/neigiamą klasifikaciją, nes klaidinga pasitikėjimo jausmas laikymosi duomenyse yra blogesnis nei pripažintas neapibrėžtumas.

Ką tai reiškia svetainių savininkams

Jei valdote svetainę, aptarnaujančią ES lankytojus, keturi veiksmai adresuoja dažniausius ir didžiausios rizikos radinius:

1. Audituokite, kas kraunama prieš sutikimą. Atidarykite savo svetainę privačiame naršyklės lange, atidarykite kūrėjo įrankius ir stebėkite Network ir Application skirtukus prieš bet kokią sąveiką su juosta. Jei matote užklausas analizės ar reklamos domenams arba tų tarnybų slapukus, jūsų elgesys prieš sutikimą yra neatitinkantis. Pataisymas paprastai yra žymų valdiklio konfigūracija: užtikrinkite, kad neesminiai skriptai būtų blokuojami iki teigiamo sutikimo užfiksavimo. 2. Testuokite savo atmetimo srautą nuo pradžios iki galo. Spustelėkite atmesti savo juostoje, tada patikrinkite, ar neesminiai slapukai dingo. Tada perkraukite puslapį ir patikrinkite dar kartą. Jei slapukai grįžta, turite consent respawn problemą, reikalaujančią ištirti, kurie skriptai apeina jūsų sutikimo mechanizmą. Mūsų duomenys rodo, kad tai paveikia stebėtinai daug svetainių, net naudojančių gerbiamus CMP. 3. Patikrinkite savo slapukų gyvavimo trukmes. Jei naudojate Google Analytics su numatytaisiais nustatymais, jūsų `_ga` slapukas turi dvejų metų gyvavimo trukmę. Pakeiskite ją į 13 mėnesių ar mažiau. Peržiūrėkite visus slapukus, kuriuos jūsų svetainė nustato, ir įsitikinkite, kad nė vienas neviršija rekomenduojamą 13 mėnesių maksimumą. Tai greitas konfigūracijos pataisymas, pašalinantis dažną laikymosi radinį. 4. Užtikrinkite, kad jūsų juosta būtų prieinama ir siūlytų pirmojo sluoksnio atmetimą. Jei jūsų atmetimo parinktis reikalauja naršymo į antrą nustatymų puslapį, o „Priimti viską" yra vienu paspaudimu, jūsų sutikimo mechanizmas gali neatitikti EDPB gairių. Peržiūrėkite juostą dėl klaviatūros prieinamumo, lietimo taikinių dydžio ir kontrasto santykių.

Metodologijos pastabos ir sąžiningi apribojimai

Norime būti skaidrūs dėl to, ką šis tyrimas gali ir negali jums pasakyti.

Ką jis gerai matuoja: Elgesį prieš sutikimą, slapukų inventorius, tinklo užklausas žinomiems sekimo domenams, juostos buvimą ir struktūrą, atmetimo srauto rezultatus ir slapukų gyvavimo trukmes. Tai yra objektyvūs, įrodymais pagrįsti matavimai, užfiksuoti iš tikro naršyklės elgesio. Ką jis matuoja netobulai: CMP aptikimas nėra 100 % visaapimantis. Svetainės, naudojančios sutikimo sprendimus ne iš mūsų 45 CMP bibliotekos, gali būti neteisingai klasifikuotos kaip neturinčios juostos. Nuo GeoIP priklausančios juostos gali rodyti skirtingai pagal skenerio tinklo vietą. Vieno puslapio programos, valdančios sutikimą kliento pusės būsenoje be DOM pakeitimų, yra sunkiau vertinamos. Kai kurios svetainės aptinka automatizuotas naršykles ir atitinkamai keičia savo elgesį (radome 137, kurios tai daro tyčia). Ko jis nematuoja: Teisėto intereso teiginių (kuriems reikia teisinio, o ne techninio vertinimo), privatumo politikų kokybės, ar sutikimo įrašai yra tinkamai saugomi, ar duomenų tvarkymo veiklos yra proporcingos. Tai svarbūs laikymosi aspektai, kurių negalima stebėti vien iš naršyklės elgesio.

14,9 % neapibrėžtas rodiklis yra mūsų saugiklė svetainėms, kuriose negalėjome pasiekti patikimo techninio nustatymo. Mes teikiame pirmenybę sąžiningam neapibrėžtumui, o ne melagingam tikslumui.

---

Patikrinkite savo svetainę. Paleiskite nemokamą skenavimą adresu gdprprivacymonitor.eu ir tiksliai sužinokite, kas vyksta prieš sutikimą, jo metu ir po jo jūsų svetainėje. Skeneris sukuria tuos pačius įrodymus, parodytus šiame tyrime -- momentines kopijas prieš sutikimą, slapukų inventorius, atmetimo srauto rezultatus ir rizikos klasifikaciją -- bet kuriam pateiktam URL.