Which EU Countries Take Cookie Compliance Most Seriously?

VDAR ir viens regulējums. Viens teksts. Tieši piemērojams katrā ES dalībvalstī bez nepieciešamības pēc valsts transponēšanas (atšķirībā no ePrivātuma direktīvas, kurai tā ir nepieciešama, pievienojot vēl vienu variāciju slāni). Teorētiski tīmekļa vietne Ungārijā saskaras ar tiem pašiem juridiskajiem pienākumiem kā tīmekļa vietne Vācijā. Praksē plaisa starp teoriju un realitāti ir milzīga.

Kad mēs skenējām 97 304 tīmekļa vietnes 25 ES dalībvalstīs, mēs atklājām, ka augsta riska tīmekļa vietņu īpatsvars svārstās no 20,9% Austrijā līdz 58,8% Ungārijā — gandrīz trīskāršā attiecībā. Viens un tas pats regulējums, viena un tā pati skenēšanas metodoloģija, vieni un tie paši klasifikācijas kritēriji, ievērojami atšķirīgi rezultāti. Dati liecina, ka atbilstība mazāk korelē ar to, ko likums saka, nekā ar to, cik aktīvi tas tiek izpildīts.

Pilnais reitings

Zemāk esošajā tabulā parādīta katra mūsu pētījumā iekļautā valsts, sarindota pēc augsta riska klasificēto tīmekļa vietņu procentuālā daudzuma. Augsts risks nozīmē, ka vietne uzrādīja nozīmīgus piekrišanas pārkāpumus: izsekošanu pirms piekrišanas, noraidīšanas plūsmas kļūmes, trūkstošus piekrišanas mehānismus līdzās aktīvai izsekošanai vai to kombinācijas. Mēs arī parādām vidējo riska rādītāju (nepārtrauktu 0-100 metriku) un joslas noteikšanas rādītāju — skenēto vietņu procentuālo daudzumu, kurās mūsu sistēma identificēja piekrišanas joslu.

(Joslas noteikšanas rādītāji parādīti, kur pieejami mūsu datu kopā. "--" norāda, ka dati šai valstij netika atsevišķi izdalīti.)

Vidējais riska rādītājs sniedz niansētāku skatu nekā binārā augsta riska klasifikācija. Ievērojiet, ka Nīderlandei ir salīdzinoši mērens augsta riska rādītājs (43,5%), bet salīdzinoši augsts vidējais riska rādītājs (53,1), kas liecina, ka mazāk Nīderlandes vietņu pārsniedz augsta riska slieksni, bet tās, kas to dara, parasti ir smagāk neatbilstošas. Zviedrija uzrāda līdzīgu tendenci pretējā virzienā: zemāks augsta riska rādītājs (33,4%), bet salīdzinoši augsts vidējais rādītājs (49,0), kas norāda uz plašu mērenu pārkāpumu izplatību.

1. līmenis: līderi — Vācija un Austrija

Vācija (23,7% augsts risks) un Austrija (20,9% augsts risks) ir skaidri izņēmumi. Viņu tīmekļa vietnēm ir aptuveni uz pusi mazāka iespēja tikt klasificētām kā augsta riska, salīdzinot ar ES vidējo rādītāju 41%. Lai saprastu, kāpēc, jāaplūko izpildes ekosistēma abās valstīs.

Vācija: izpildes dziļums un plašums

Vācijas datu aizsardzības ainava ir unikāla Eiropā. Papildus federālajam BfDI (Bundesbeauftragter fur den Datenschutz und die Informationsfreiheit), katrai no Vācijas sešpadsmit federālajām zemēm ir sava neatkarīga datu aizsardzības iestāde. Tas nozīmē, ka Vācijai kopā ir septiņpadsmit DPA, no kurām vairākas ir bijušas starp aktīvākajām Eiropā piekrišanas izpildes jomā.

Bavārijas DPA (BayLDA) veica nozares mēroga sīkdatņu piekrišanas auditu tīmekļa vietnēs 2020.-2021. gadā, nosūtot formālas anketas simtiem uzņēmumu un sekojot ar izpildes darbībām. Hamburgas DPA izdeva detalizētus norādījumus par Google Analytics un piekrišanas prasībām. Vairākas federālo zemju DPA ir veikušas koordinētas izpildes kampaņas, mērķējot uz konkrētiem pārkāpumiem — izsekošanu pirms piekrišanas, trūkstošām noraidīšanas opcijām un neatbilstošām sīkdatņu joslām.

Šī izpildes blīvums rada atšķirīgu riska aprēķinu Vācijas tīmekļa vietņu operatoriem. Kad jūsu nozares kolēģi ir saņēmuši formālus pieprasījumus no DPA un kad izpildes norādījumi ir pietiekami konkrēti, lai precīzi pateiktu, kas ir un kas nav pieņemams, neatbilstības izmaksas kļūst konkrētas, nevis teorētiskas.

Pastāv arī kultūras dimensija. Vācijas datu aizsardzības apziņa ir dziļāka nekā VDAR. 1983. gada Federālā Konstitucionālā tiesas Volkszahlung (tautas skaitīšanas) spriedums nostiprināja informacionālo pašnoteikšanos kā konstitucionālu tiesību gadu desmitiem pirms VDAR pastāvēšanas. Tas radīja sabiedrības gaidas attiecībā uz datu aizsardzību, kas ietekmē gan korporatīvo uzvedību, gan patērētāju gaidas veidos, ko ir grūtāk kvantitatīvi noteikt, bet kas ir skaidri atspoguļoti datos.

Austrija: agrīnā izpilde pēc Schrems II

Austrijas DSB (Datenschutzbehorde) ieguva starptautisku uzmanību, pieņemot vienu no pirmajiem izpildes lēmumiem pēc Schrems II, konstatējot, ka tīmekļa vietnes Google Analytics lietošana pārkāpj VDAR, jo datu pārsūtīšanai uz ASV trūka atbilstošu aizsardzības pasākumu. Šis lēmums — ko vēlāk atkārtoja Francijas CNIL un Itālijas Garante — nosūtīja skaidru signālu Austrijas tīmekļa vietņu operatoriem, ka piekrišana un izsekošana ir aktīvas izpildes prioritātes.

Austrijas 20,9% augsta riska rādītājs, zemākais mūsu pētījumā, liecina, ka šis signāls tika saņemts. Kad DPA caur konkrētiem, publiski paziņotiem lēmumiem pierāda, ka piekrišanas pārkāpumi tiks vajāti, atbilstības rādītājs reaģē. Austrija ir viens no skaidrākajiem piemēriem mūsu datos par izpildes korelāciju ar izmērāmu uzvedības maiņu, lai gan arī citi faktori -- tirgus struktūra, kultūras attieksme -- visticamāk, arī dod savu ieguldījumu.

2. līmenis: Ziemeļvalstu vidusceļš — Zviedrija, Somija, Dānija

Zviedrija (33,4%), Somija (40,3%) un Dānija (42,1%) ieņem vidējo joslu, kas ir labāka par ES vidējo, bet ievērojami atpaliek no Vācijas-Austrijas līderiem.

Ziemeļvalstīm ir kopīgas spēcīgas kultūras vērtības attiecībā uz privātumu un institucionālo uzticēšanos, bet to DPA parasti ir ieņēmušas mazāk agresīvu izpildes pozīciju konkrēti piekrišanas jomā. Zviedrijas IMY (Integritetsskyddsmyndigheten) ir pieņēmusi ievērojamus lēmumus — tostarp nozīmīgu soda naudu Google par tiesību tikt aizmirstam neievērošanu — bet tās piekrišanai specifiskā izpilde ir bijusi ierobežotāka. Somijas tietosuojavaltuutettu un Dānijas Datatilsynet ir līdzīgi koncentrējušies uz datu aizsardzības pārkāpumu paziņošanu un nozaru norādījumiem, nevis plašām sīkdatņu piekrišanas kampaņām.

Zviedrijas 33,4% augsta riska rādītājs tomēr ir ievērojami labāks par Rietumeiropas vidējo, kas liecina, ka kultūras attieksme pret privātumu var daļēji kompensēt retāku izpildi. Ziemeļvalstu interneta lietotāji kopumā ir vairāk informēti par privātumu, kas var radīt tirgus spiedienu labākām piekrišanas implementācijām pat regulatora spiediena neesamībā.

Joslas noteikšanas rādītāji šeit ir pamācoši. Dānija uzrāda 57,0% joslas noteikšanas rādītāju — augstāko jebkurai valstij, kurai mums ir šis datu punkts — un Somija uzrāda 54,6%. Tas nozīmē, ka Ziemeļvalstu vietnes biežāk izvieto piekrišanas joslu, pat ja implementācija aiz šīs joslas ne vienmēr ir pilnībā atbilstoša. Tas liecina par pienākuma apzināšanos pat tad, kad izpilde atpaliek.

3. līmenis: Rietumeiropa — Francija, Nīderlande, Beļģija, Spānija, Itālija

Piecas Rietumeiropas valstis sagrupējas cieši starp 42,1% un 44,6% augsta riska: Beļģija (42,1%), Nīderlande (43,5%), Francija (44,1%), Spānija (44,1%) un Itālija (44,6%). Šis kopums atrodas tuvu ES vidējam rādītājam 41% un var pārstāvēt atbilstības bāzes līniju — līmeni, ko iegūst, kad izpilde pastāv, bet nav pietiekami bieža vai mērķēta, lai būtiski mainītu situāciju.

Francija: augsta profila izpildes paradokss

Francija ir ievērības cienīga, jo CNIL, iespējams, ir starptautiski redzamākā DPA Eiropā. Tā ir piemērojusi rekordlielas soda naudas Google (150 miljoni eiro par piekrišanas pārkāpumiem 2022. gadā), Amazon (35 miljoni eiro) un Microsoft (60 miljoni eiro). Tā publicēja detalizētus norādījumus par sīkdatnēm un piekrišanu 2020. gadā un deva Francijas tīmekļa vietnēm sešu mēnešu labvēlības periodu, lai panāktu atbilstību. Tā veica koordinētas izpildes viļņus, mērķējot uz vietnēm, kas neīstenoja noraidīšanas opcijas.

Tomēr Francija atrodas pie 44,1% augsta riska — tieši Rietumeiropas vidējā. Kā var visaktīvākais izpildītājs sasniegt tikai vidēju atbilstību?

Atbilde, iespējams, slēpjas Francijas tīmekļa struktūrā. Francijai ir liela, daudzveidīga digitālā ekonomika ar simtiem tūkstošu tīmekļa vietņu, ko pārvalda mazie un vidējie uzņēmumi, pašvaldību iestādes un organizācijas, kas var nesekot CNIL izpildes jaunumiem. CNIL augsta profila darbības pret tehnoloģiju gigantiem rada starptautiskus virsrakstus, bet var nemainīt uzvedību starp tūkstošiem mazu uzņēmumu vietņu, kas izmanto noklusējuma WordPress instalācijas ar nekonfigurētiem piekrišanas spraudņiem. Izpilde, kas mērķē uz izplatīšanas galvu, ne vienmēr pārvieto asti.

Tas ir svarīgs ieskats visām DPA: virsrakstu soda naudas attur lielus uzņēmumus, bet var nepārvietot kopējo atbilstības rādītāju, ko nosaka mazu un vidēju vietņu garā aste. Plašai uzvedības maiņai nepieciešama vai nu masveida izpilde (nepraktiska ar pašreizējiem DPA resursiem) vai rīki, kas padara atbilstību par noklusējumu, nevis izņēmumu.

Nīderlande: zems joslas rādītājs, mērens risks

Nīderlande uzrāda interesantu modeli: 43,5% augsta riska rādītājs (mērens), bet tikai 40,3% joslas noteikšanas rādītājs — zemākais starp valstīm, kurām mums ir šie dati. Tas nozīmē, ka Nīderlandes vietnes retāk izvieto piekrišanas joslu, bet starp tām, kas to dara, implementācijas kvalitāte var būt nedaudz labāka. Tas var arī atspoguļot Nīderlandes tīmekļa ekosistēmu, kas ietver daudzas vietnes ar minimālu izsekošanu (josla nav nepieciešama) līdzās vietnēm, kas intensīvi izseko bez joslas uzlikšanas.

Nīderlandes AP (Autoriteit Persoonsgegevens) ir bijusi aktīva VDAR izpildē kopumā, bet ir pieņēmusi mazāk piekrišanai specifisku lēmumu salīdzinājumā ar Vācijas DPA vai CNIL. AP izpildes prioritātes ir koncentrējušās uz valdības datu apstrādi, veselības aprūpes datiem un liela mēroga uzraudzību, piekrišanas pārkāpumiem saņemot salīdzinoši mazāku uzmanību.

4. līmenis: Austrumeiropa un Dienvideiropa — Grieķija, Polija, Rumānija, Čehija, Ungārija

Reitinga apakšā dominē Centrāleiropas un Austrumeiropas valstis ar augsta riska rādītājiem no 52,5% (Grieķija) līdz 58,8% (Ungārija). Šajās valstīs vairāk nekā puse skenēto tīmekļa vietņu uzrāda augsta riska atbilstības profilu.

Kopīgais elements nav juridisko pienākumu trūkums — VDAR piemērojams identiski — bet modelis ar nepietiekami finansētām DPA, kurām ir mazāk izpildes darbību, kas īpaši vērstas pret piekrišanu. Ungārijas NAIH, Polijas UODO, Rumānijas ANSPDCP un Čehijas UOOU visas ir koncentrējušas savus ierobežotos izpildes budžetus uz jomām kā datu aizsardzības pārkāpumu paziņošana, piekļuves pieprasījumi un augsta profila sūdzības, nevis proaktīvi sīkdatņu piekrišanas auditi.

Tā ir racionāla uzvedība nepietiekami finansētiem regulatoriem. Kad jums ir neliela komanda un liela ekonomika, ko uzraudzīt, jūs prioritizējat sūdzības pār proaktīvu izpildi, un sūdzības par sīkdatņu piekrišanu ir salīdzinoši retas, salīdzinot ar sūdzībām par datu aizsardzības pārkāpumiem vai piekļuves atteikumiem. Rezultāts ir tāds, ka piekrišanas pārkāpumi lielākoties paliek bez uzraudzības, un tīmekļa vietņu operatori nesaskaras ar jēgpilnu izpildes risku.

Šie dati neatspoguļo šo DPA kompetenci vai centību. Vairākas Centrāleiropas un Austrumeiropas DPA darbojas ar personāla-iedzīvotāju attiecību, kas ir daļa no tā, kas pieejama Vācijas federālo zemju DPA. Ungārijas NAIH, piemēram, uzrauga 10 miljonu iedzīvotāju valsti. Bavārijas BayLDA, uzraugot līdzīga lieluma populāciju vienā Vācijas federālajā zemē, vēsturiski ir bijuši vairāk resursu un fokusētāks mandāts.

Secinājums ir strukturāls: vienveidīgs regulējums bez vienveidīgas izpildes rada nevienveidīgu atbilstību. Tas ir svarīgs secinājums valstu līmeņa datos.

Izpildes korelācija

Ja attēlotu DPA izpildes intensitāti pret atbilstības rādītājiem (stāstījuma formā, jo mēs šeit nepublicējam grafiku), sakarība ir pamanāma. Valstīm ar visvairāk izpildes darbībām, kas īpaši vērstas pret piekrišanu — Vācija, Austrija — ir zemākie augsta riska rādītāji. Valstīm ar virsrakstus radošu, bet koncentrētu izpildi (Francija) ir vidēja atbilstība. Valstīm ar minimālu piekrišanai specifisku izpildi ir augstākie pārkāpumu rādītāji.

Šī korelācija nepierāda cēlonību — kultūras faktori, tirgus struktūra un vietējā tehnoloģiju nozares briedums arī spēlē lomu. Bet modeļa stiprums 25 valstīs ir grūti izskaidrojams bez izpildes kā primārā virzītāja.

Dažas ievērojamas izpildes darbības, kas, šķiet, ir mainījušas situāciju:

• Vācija (2020-2022): Vairākas federālo zemju DPA veica koordinētus sīkdatņu piekrišanas auditus, nosūtot formālas vēstules simtiem tīmekļa vietņu. BayLDA publicēja bieži uzdoto jautājumu sadaļu par piekrišanu, kas kļuva par de facto atbilstības standartu.
• Austrija (2022): DSB Google Analytics lēmums tika plaši atspoguļots Austrijas tehnoloģiju un biznesa medijos, mudinot redzamu GA-uz-Matomo migrācijas vilni.
• Francija (2021-2022): CNIL sīkdatņu izpildes vilnis mērķēja uz 100+ tīmekļa vietnēm par neatbilstošām piekrišanas implementācijām, lai gan ietekme, šķiet, koncentrējās starp lielākiem operatoriem.
• Itālija (2022): Garante izdeva atjauninātus sīkdatņu norādījumus, kas mudināja atbilstības aktivitāti starp lielākām Itālijas tīmekļa vietnēm, lai gan 44,6% augsta riska rādītājs liecina, ka efekts neizplatījās plaši.

Joslas noteikšanas rādītāji pa valstīm

Joslas noteikšanas rādītājs — skenēto vietņu procentuālais daudzums, kurās mūsu skeneris identificēja piekrišanas mehānismu — ievērojami atšķiras starp valstīm:

Dānija ir līdere ar 57,0%, kas liecina, ka Dānijas tīmekļa vietnes visbiežāk izvieto kādu piekrišanas mehānisma formu, pat ja to kopējā atbilstības kvalitāte (42,1% augsts risks) ir viduvēja. Vācijas 46,1% ir zemāks, nekā varētu gaidīt, ņemot vērā tās zemo pārkāpumu rādītāju, bet tas ir konsekventi: Vācijas vietnes, kas izseko, biežāk to dara ar pienācīgu piekrišanu, kamēr Vācijas vietnes, kas neizseko, var pamatoti darboties bez joslas.

Nīderlandes 40,3% ir zemākais skaitlis, kas mums ir, kas saskan ar iepriekš minēto Nīderlandes modeli: kopumā mazāk joslu, bet ne obligāti sliktāka atbilstība starp tām, kas tās izvieto.

Šie rādītāji arī atspoguļo metodoloģisko realitāti. Vietne, kas neiestata nebūtiskas sīkdatnes un nesazinās ar trešo pušu izsekošanas domēniem, patiešām nav nepieciešama piekrišanas josla saskaņā ar ePrivātuma izņēmumu stingri nepieciešamām sīkdatnēm. Zināma joslas rādītāju variācija tāpēc ir sagaidāma un likumīga.

Ko tas nozīmē pārrobežu uzņēmumiem

Ja jūs pārvaldāt tīmekļa vietni vai digitālo pakalpojumu, kas apkalpo lietotājus vairākās ES valstīs, šiem datiem ir tiešas praktiskas sekas.

Jūsu atbilstības risku nosaka jūsu augstākās izpildes tirgus. Ja jūsu vietne apkalpo Vācijas lietotājus, latiņu faktiski nosaka Vācijas DPA gaidas neatkarīgi no tā, kur jūsu uzņēmums ir reģistrēts. Saskaņā ar VDAR vienas pieturas mehānismu jūsu vadošā uzraudzības iestāde var būt jūsu mītnes valstī, bet jebkura DPA var rīkoties pēc savu iedzīvotāju sūdzībām. Ungārijas tīmekļa vietne, kas apkalpo Vācijas apmeklētājus, var saskarties ar Vācijas DPA uzraudzību. Salīdzinājums ar savas valsts vidējo nav pietiekams. Ja jūs esat Polijas tīmekļa vietnes operators un 53,3% jūsu kolēģu ir augsta riska, būt "vidējam" joprojām nozīmē neatbilstību pēc VDAR burta. Regulējums nepielāgo savas prasības pa valstīm. Mainās tikai izpildes iespējamība — un izpildes tendences virzās vienā virzienā. DPA, kas vēl nav prioritizējušas piekrišanu, to, iespējams, darīs, pieaugot Eiropas līmeņa koordinācijai. EDAK virza konverģenci. Eiropas Datu aizsardzības kolēģijas sīkdatnēm specifiskie norādījumi, darba grupu aktivitātes un konsekvences atzinumi ir izstrādāti, lai samazinātu izpildes plaisu starp dalībvalstīm. EDAK piekrišanas joslu darba grupas ziņojums 2023. gadā identificēja bieži sastopamus pārkāpumus un aicināja koordinētu izpildi, un vairākas iepriekš mazāk aktīvas DPA ir signalizējušas pastiprinātu uzmanību piekrišanai atbildē. Zema izpilde jebkurā tirgū, visticamāk, nesaglabāsies kā status quo uz nenoteiktu laiku.

VDAR harmonizācijas problēma

Valstu līmeņa dati šajā pētījumā zināmā mērā ir VDAR harmonizācijas mērķa izaicinājums. Regulējumam bija paredzēts radīt vienotu standartu visā ES, aizstājot valstu datu aizsardzības likumu mozaīku. Juridiskā teksta ziņā tas izdevās. Atbilstības realitātes ziņā tas vēl nav izdevies.

Tīmekļa vietnei Austrijā ir trīs reizes mazāka iespēja būt augsta riska nekā tīmekļa vietnei Ungārijā. Francijas lietotājs, noklikšķinot uz "Noraidīt", saskaras ar to pašu 80,4% neveiksmes rādītāju kā Polijas lietotājs. Piekrišanas josla biežāk parādās Dānijā nekā Nīderlandē. Nevienai no šīm atšķirībām nav juridiska pamata — tās visas ir diferenciālās izpildes sekas.

Tas rada sarežģītu jautājumu: vai regulatīvais ietvars, kas ir atkarīgs no valstu izpildes iestādēm ar krasi atšķirīgiem resursiem un prioritātēm, var nodrošināt vienveidīgu aizsardzību? Dati liecina, ka pašreizējā atbilde ir nē. Plaisa starp Vāciju/Austriju un Ungāriju/Čehiju nemazinās — un tā nesamazināsies bez nozīmīgas DPA resursu pārbalansēšanas vai pārejas uz ES līmeņa izpildi bieži sastopamiem, tehniski izmērāmiem pārkāpumiem kā izsekošana pirms piekrišanas.

Sīkdatņu piekrišana ir ironiski viens no visvieglāk pārbaudāmajiem VDAR pienākumiem liela mērogā. Atšķirībā no datu apstrādes darbības likumības novērtēšanas vai privātuma ietekmes novērtējuma pietiekamības, pārbaudīt, vai tīmekļa vietne iestata izsekošanas sīkdatnes pirms piekrišanas, ir objektīvs, automatizējams mērījums. Ja ES nevar panākt izpildes konverģenci šim visvieglāk izmērāmajam pārkāpumam, izredzes konverģencei sarežģītākos jautājumos ir drūmas.

Metodoloģijas piezīme

Tīmekļa vietņu atlase tika veikta no Tranco Top 1M saraksta, filtrējot pēc valsts piederības. Valsts piederības noteikšanā kā primārais signāls tika izmantoti valsts koda TLD, papildinot ar reģistrācijas un hostinga datiem, kur TLD bija neskaidri (piemēram, `.com` domēni). Vietnes ar neskaidru valsts piederību tika izslēgtas no valstu līmeņa analīzes, bet iekļautas ES kopējos agregētajos skaitļos.

Katra vietne tika skenēta, izmantojot identiskus kritērijus: uzvedība pirms piekrišanas, joslas noteikšana, noraidīšanas plūsmas testēšana (kur tika identificēta noraidīšanas poga), sīkdatņu dzīves ilguma analīze un pieejamības novērtēšana. Skeneris neveica nekādas korekcijas pēc izcelsmes valsts — Ungārijas vietne tika novērtēta ar to pašu metodoloģiju un sliekšņiem kā Vācijas vietne.

Izlases apjomi atšķiras pa valstīm, atspoguļojot ES tīmekļa vietņu sadalījumu Tranco sarakstā. Valstis ar lielākām digitālajām ekonomikām (Vācija, Francija, Nīderlande) ienes vairāk vietņu. Visi procenti ir aprēķināti pret katras valsts izlasi, nevis ES kopējo kopsummu.

---

Skatiet, kur atrodas jūsu tīmekļa vietne. Veiciet bezmaksas skenēšanu gdprprivacymonitor.eu, lai saņemtu to pašu atbilstības novērtējumu, ko mēs piemērojām katrai vietnei šajā pētījumā — ar pilniem pierādījumiem, riska vērtējumu un praktiski izmantojamiem secinājumiem.