80% of Cookie Reject Buttons Don't Actually Work — Here's the Proof

Kull banner tal-cookies tagħmel l-istess wegħda impliċita: ikklikkja "Irrifjuta" u t-traċċar jieqaf. Il-banner jisparixxi, u int tibqa' tibbrawżja fil-paċi. Din hija l-ftehima li l-mudell tal-kunsens huwa mibni fuqha -- l-idea li l-utenti għandhom għażla sinifikattiva u infurzabbli.

Ittestjajna dik il-wegħda fuq 28,891 sit web tal-UE. Fuq 80.4% minnhom, il-wegħda hija miksura. It-traċċar ikompli wara li l-utent espliċitament jikklikkja rifjut. Il-cookies jibqgħu. Il-pixels tar-reklamar ikomplu jisparaw. U fuq 1,642 sit, cookies li l-azzjoni tar-rifjut inizjalment tneħħi jerġgħu jidhru d-darba li jmiss li l-paġna tagħbel -- mudell li nsejħulu consent respawn.

Din mhijiex sejba marġinali dwar ftit siti kkonfigurati ħażin. Tindika problema sistemika fil-mekkaniżmu li mijiet ta' miljuni ta' residenti tal-UE jiddependu fuqu għad-drittijiet tal-privatezza tagħhom.

X'Suppost Tagħmel "Irrifjuta" -- Legalment

Il-qafas legali huwa ċar. Taħt l-Artikolu 5(3) tad-Direttiva ePrivacy, il-ħażna jew l-aċċess għal informazzjoni fuq it-tagħmir terminali ta' utent jeħtieġ kunsens minn qabel, b'eċċezzjoni dejqa għal cookies strettament neċessarji għal servizz li l-utent espliċitament talab. L-Artikolu 7(3) tal-GDPR iżid li l-irtirar tal-kunsens irid ikun faċli daqs kemm tagħtih, u l-kontrollur tad-data jrid jaġixxi fuq dak l-irtirar.

Il-Linji Gwida 05/2020 tal-EDPB dwar il-kunsens taħt il-GDPR jispjegaw x'ifisser dan għall-buttunijet tar-rifjut: jekk sit web joffri għażla "Aċċetta Kollox", irid joffri wkoll għażla daqstant prominenti u daqstant aċċessibbli biex tirrifjuta. U dak ir-rifjut irid ikun effettiv -- irid attwalment jipprevjeni l-ipproċessar li l-kunsens kien jawtorizza.

Il-QĠUE saħħaħ dan f'Planet49 (C-673/17): il-kunsens jeħtieġ att affermattiv ċar, u checkboxes diġà mmerkati ma jikkostitwixxux kunsens validu. Il-korollarju loġiku huwa li rifjut -- att negattiv espliċitu -- irid jiġi rispettat b'mod daqstant definitiv bħal aċċettazzjoni. Jekk tikklikkja "Aċċetta" tixgħel it-traċċar, tikklikkja "Irrifjuta" trid titfih. Mhux parzjalment. Mhux temporanjament. Kompletament u b'mod persistenti.

Dan jgħid il-liġi. Id-data tagħna turi x'attwalment jiġri.

Kif Nittestjaw il-Flussi tar-Rifjut

It-test tal-flussi tar-rifjut tagħna huwa ddisinjat biex ikun kemm jista' jkun qrib l-esperjenza ta' utent uman reali li jikklikkja rifjut, biż-żieda ta' strumentazzjoni komprensiva. Hawn il-proċess pass b'pass:

Pass 1: Sessjoni tal-browser ġdida. L-iskanner iħaddem istanza Chromium nadifa -- l-ebda cookies, l-ebda local storage, l-ebda riżorsi cached, l-ebda storja ta' browsing. Dan huwa viżitatur ġenwin għall-ewwel darba mingħajr l-ebda stat ta' kunsens preċedenti. Pass 2: Navigazzjoni u reġistrazzjoni tal-istat ta' qabel il-kunsens. L-iskanner jagħbel l-URL fil-mira u jistenna li l-paġna tistabbilixxi ruħha. Qabel kwalunkwe interazzjoni, jirreġistra kull cookie preżenti fil-browser, kull talba ta' netwerk magħmula, u kull dominju ta' parti terza kkuntattjat. Din hija l-linja bażi ta' qabel il-kunsens -- x'jagħmel is-sit qabel ma l-utent ikollu kwalunkwe opportunità jagħmel għażla. Pass 3: Detezzjoni tal-banner tal-kunsens. Billi tuża l-librerija ta' detezzjoni tagħna li tkopri 45 CMP magħrufa u ewristika ġenerika, l-iskanner jidentifika l-mekkaniżmu tal-kunsens u jsib il-buttuna tar-rifjut. Dan il-pass juża approċċ b'diversi livelli: l-ewwel jiċċekkja għal firmi ta' scripts CMP magħrufa u l-istrutturi DOM assoċjati tagħhom, imbagħad jaqa' lura għal detezzjoni ġenerika ta' elementi b'pożizzjoni fissa b'test relatat mal-kunsens u tikketti ta' buttunijet bħal "Irrifjuta Kollox," "Irrifjuta," "Irrifjuta," jew traduzzjonijiet ekwivalenti. Pass 4: Ikklikkja rifjut. L-iskanner jikklikkja l-buttuna tar-rifjut u jistenna li l-paġna tistabbilixxi ruħha. "Tistabbilixxi ruħha" jfisser li tistenna li t-talbiet tan-netwerk pendenti jitlestew, il-mutazzjonijiet tad-DOM jieqfu, u kwalunkwe animazzjonijiet jew tranżizzjonijiet jispiċċaw. Nużaw timeouts ġenerużi biex nevitaw pożittivi foloz minn implimentazzjonijiet CMP bil-mod. Pass 5: Snapshot wara r-rifjut. L-iskanner jirreġistra l-istat sħiħ mill-ġdid: il-cookies kollha, l-attività tan-netwerk kollha, id-domini ta' partijiet terzi kollha. Din l-istantanja titqabbel mal-linja bażi ta' qabel il-kunsens biex tiġi ddeterminata x'inbidel. Pass 6: Reload u ċċekkja għal respawn. L-iskanner jerġa' jagħbel il-paġna u jistenna li tistabbilixxi ruħha mill-ġdid. Imbagħad jieħu snapshot finali. Dan il-pass huwa kritiku: jirrivela jekk l-azzjoni tar-rifjut hijiex persistenti (rispettata matul page loads) jew jekk il-cookies u t-traċċar jerġgħux jiġu attivati meta l-paġna tagħbel mill-ġdid. Jekk cookies li tneħħew f'Pass 5 jerġgħu jidhru f'Pass 6, dak huwa consent respawn.

Kull pass jipproduċi evidenza b'timestamp u arkivjali: inventarji sħaħ tal-cookies b'ismijiet, valuri, domini, dati ta' skadenza, u flags; logs kompleti tat-talbiet tan-netwerk b'URLs, metodi, kodiċijiet ta' risposta, u timing; u screenshots tal-paġna sħiħa. Din il-katina ta' evidenza tippermetti li kwalunkwe sejba individwali tiġi vverifikata u kkontestata.

Ir-Riżultati: 80.4% Falliment

Mis-28,891 sit web fejn lessejna b'suċċess it-test sħiħ tal-flussi tar-rifjut:

• 5,650 (19.6%) għaddew. Wara li kklikkjaw rifjut, il-cookies mhux essenzjali tneħħew, it-talbiet ta' traċċar waqfu, u r-rifjut persistew matul page reloads.
• 23,241 (80.4%) fallew. It-traċċar kompla f'xi forma wara li l-utent espliċitament ikklikkja rifjut.

Il-fallimenti mhumiex uniformi. Jaqgħu f'kategoriji distinti li jikkoinċidu -- sit wieħed jista' juri diversi modi ta' falliment simultanjament.

Cookies persistenti: 10,848 sit

Fuq 10,848 sit (37.5% ta' dawk ittestjati), cookies mhux essenzjali baqgħu fil-browser wara li l-flussi tar-rifjut tlesta. Dawn huma cookies klassifikati bħala ta' analitika, marketing, jew relatati mat-traċċar li kellhom jitneħħew jew jiġu impediti milli jiġu ssettjati wara azzjoni ta' rifjut.

L-aktar cookies persistenti komuni jappartjenu lil-Google Analytics (`_ga`, `_gid`, `_gat`), Meta/Facebook (`_fbp`, `fr`), u diversi pjattaformi tar-reklamar. F'ħafna każijiet, is-CMP b'suċċess ineħħi xi cookies iżda tonqos milli taqbad kollha -- li jissuġġerixxi integrazzjoni inkompleta bejn il-pjattaforma ta' ġestjoni tal-kunsens u l-lista sħiħa ta' scripts ta' partijiet terzi tas-sit.

Il-preżenza ta' dawn il-cookies wara r-rifjut mhijiex sempliċiment problema estetika. Kull waħda hija identifikatur persistenti li torbot is-sessjoni attwali tal-utent ma' żjarat passati u futuri. Il-cookie `_ga`, per eżempju, hija identifikatur uniku tal-klijent li Google Analytics tuża biex tibni profil lonġitudinali tal-imġiba tal-utent matul sessjonijiet. Jekk tibqa' wara r-rifjut, il-browsing tal-utent ikompli jiġi mtraċċat u aggregat irrispettivament mir-rifjut espress tagħhom.

Trackers persistenti: 14,547 sit

Fuq 14,547 sit (50.3% ta' dawk ittestjati), servizzi ta' traċċar baqgħu attivi wara r-rifjut -- li jfisser li l-browser kompla jagħmel talbiet lejn domini ta' traċċar magħrufa anke wara li l-utent ikklikkja l-buttuna tar-rifjut.

Dan huwa mod ta' falliment distint mill-persistenza tal-cookies. Tracker jista' jkun attiv mingħajr ma jissettja cookie: talbiet ta' pixels, sejħiet beacon, u tagħbiliet ta' scripts kollha jittrażmettu informazzjoni (tal-inqas, l-indirizz IP tal-utent, il-paġna ta' referenza, u data tat-timing) lejn servers ta' partijiet terzi irrispettivament minn jekk cookie hijiex maħżuna. Dan xi kultant jissejjaħ "traċċar mingħajr cookies" u qed isir dejjem aktar komuni hekk kif il-browsers isaħħu r-restrizzjonijiet fuq cookies ta' partijiet terzi.

Id-distakk bejn iċ-ċifra tal-cookies (10,848) u ċ-ċifra tat-trackers (14,547) huwa sinifikanti. Ifisser li fuq madwar 3,700 sit, l-azzjoni tar-rifjut b'suċċess neħħiet il-cookies iżda naqset milli timpedixxi t-talbiet ta' traċċar milli jkomplu. Is-CMP ħadet ħsieb it-tindif tal-cookies iżda ma mblokkitx l-scripts li jiġġeneraw it-traffiku tat-traċċar fl-ewwel post. Dan juri problema arkitetturali komuni: is-CMP hija kkonfigurata biex timmaniġġja l-cookies (tħassarhom wara r-rifjut, tipprevjenihom waqt it-tagħbija) iżda mhux biex timmaniġġja l-eżekuzzjoni tal-scripts.

Consent respawn: 1,642 sit, 4,932 cookie

Consent respawn huwa l-aktar mudell ta' tħassib li identifikajna. Fuq 1,642 sit web, cookies li tneħħew b'suċċess mill-azzjoni tar-rifjut reġgħu lura wara li l-paġna ġiet reloaded. Matul dawk is-siti, 4,932 cookie individwali wrew din l-imġiba ta' respawn.

Consent respawn mhuwiex bug f'CMP waħda jew konfigurazzjoni waħda. Huwa problema strutturali f'kif il-kunsens jiġi implimentat matul web stack.

Kif cookie terġa' lura wara li titħassar. Meta utent jikklikkja rifjut, CMP kkonfigurata kif suppost tagħmel żewġ affarijiet: tħassar cookies mhux essenzjali eżistenti (billi tissettja l-iskadenza tagħhom għal data fil-passat), u taġġorna rekord tal-kunsens (normalment cookie nnifisha, jew entry fil-localStorage) li tgħid lil-loġika tal-imblokk tas-CMP biex tipprevjeni scripts mhux essenzjali milli jitħaddmu fuq page loads futuri. Jekk it-tnejn jaħdmu, l-utent ikun nadif: l-ebda cookies ta' traċċar, l-ebda scripts ta' traċċar.

Consent respawn iseħħ meta t-tħassir jirnexxi iżda l-imblokk jifxel. L-aktar xenarju komuni:

1. Is-CMP tħassar il-cookie `_ga` meta l-utent jikklikkja rifjut.

2. Is-CMP tissettja cookie tal-istat tal-kunsens li tirreġistra li l-utent irrifjuta l-analitika.

3. Fuq il-page load li jmiss, is-CMP tiċċekkja l-istat tal-kunsens tagħha u taf li l-utent irrifjuta.

4. Iżda: it-tag tal-script ta' Google Analytics huwa inkorporat direttament fit-template tal-paġna (barra mit-tag manager) jew huwa mgħobbi minn regola tat-tag manager li ma tiċċekkjax l-istat tal-kunsens.

5. L-script GA jagħbel, jara li m'hemmx cookie `_ga`, u joħloq waħda ġdida.

6. Id-deċiżjoni tar-rifjut tal-utent ġiet overridden.

Varjazzjonijiet fuq dan il-mudell jinkludu: scripts ta' partijiet terzi mgħobbija permezz ta' tags `