We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Osem let po začetku veljavnosti GDPR smo se odločili prenehati ugibati o skladnosti s privolitvijo in jo izmeriti. Usmerili smo naš skener na 97.304 spletnih mest v 25 državah članicah EU ter natančno zabeležili, kaj se zgodi v resničnem brskalniku pred, med in po privolitvi. Ne tistega, kar obljublja politika zasebnosti. Ne tistega, kar poroča nadzorna plošča CMP. Tistega, kar se dejansko sproži v brskalniku, ko prvič obišče obiskovalec pristane na stran.

V našem naboru podatkov je bilo sledenje pred privolitvijo pogosto: dve tretjini spletnih mest EU začneta slediti obiskovalcem, preden pride do kakršne koli interakcije s privolitvijo. Več kot polovica ne prikaže nobenega transparenta za privolitev. In ko spletna mesta ponudijo gumb za zavrnitev, ta v 80 % primerov ne uspe ustaviti sledenja. To niso robni primeri ali tehnični detajli. To je osnovno stanje skladnosti s privolitvijo po celotni Evropski uniji v letu 2026.

Metodologija: Kako smo merili

Preden se poglobimo v ugotovitve, je pomembno, kako smo te podatke zbirali, saj metodologija določa, ali so takšne številke smiselne ali zavajajoče.

Seznam spletnih mest

Naš vzorec smo črpali iz seznama Tranco Top 1M, raziskovalno kakovostne razvrstitve domen, ki je nastala z združevanjem podatkov več neodvisnih virov rangiranja. Tranco je bil posebej zasnovan za odpornost proti manipulaciji in za zagotavljanje stabilnih razvrstitev za študije merjenja spleta, kar ga dela standardni vir za obsežne spletne raziskave. Filtrirali smo domene, povezane s 25 od 27 državami članicami EU, na podlagi nacionalnih TLD-jev in registracijskih podatkov, kar je dalo 114.748 kandidatnih URL-jev. Od teh je bilo 97.304 uspešno dokončanih -- preostali so spodleteli zaradi napak DNS, časovnih omejitev povezave ali povsem nedosegljivih strani.

Kaj skener počne

Vsak pregled uporablja naš produkcijski skener: aplikacijo v Go, ki poganja poln headless brskalnik Chromium prek Chrome DevTools Protocol. To ni statični HTML scraper ali iskanje v bazi podatkov piškotkov. Za vsako spletno mesto skener:

1. Zažene čisto instanco Chromium brez shranjenih piškotkov, brez lokalne shrambe in brez zgodovine brskanja -- simulira pristnega obiskovalca prvič.

2. Navigira na ciljni URL in počaka, da se stran naloži.

3. Posname posnetek pred privolitvijo: vsak nastavljeni piškotek, vsaka opravljena omrežna zahteva, vsaka kontaktirana domena tretje osebe -- vse pred kakršno koli interakcijo s privolitvijo.

4. Poskuša zaznati transparent za privolitev s pomočjo knjižnice, ki pokriva 45 znanih CMP, ter generičnih hevristik.

5. Opravi interakcijo s transparentom (sprejmi ali zavrni) in zabeleži stanje po interakciji.

6. Za testiranje toka zavrnitve: ponovno naloži stran in preveri, ali je bila zavrnitev spoštovana ali so se piškotki vrnili.

Vsak korak proizvede časovno označene dokaze: popolne inventarje piškotkov, zapise omrežnih zahtev in posnetke zaslona. Ko rečemo, da spletno mesto "aktivira sledenje pred privolitvijo", mislimo, da smo opazili dejanske HTTP-zahteve na znane sledilne domene in dejanske piškotke nastavljene v brskalniku -- ne da smo to sklepali iz oznake skripta v HTML.

Kaj tehnično pomeni "pred privolitvijo"

To je ključni koncept. Vedenje pred privolitvijo je vse, kar se zgodi med trenutkom, ko se stran začne nalagati, in trenutkom, ko uporabnik prvič opravi interakcijo z mehanizmom privolitve. V praksi to okno običajno traja 2-5 sekund, na mnogih straneh pa se raztegne, ko stran nalaga dodatne vire. Med tem oknom obiskovalec ni imel nobene priložnosti česar koli sprejeti ali zavrniti. Po členu 5(3) Direktive ePrivacy (kot ga je razložilo Sodišče EU v zadevi Planet49, C-673/17) shranjevanje informacij na uporabnikovi napravi ali dostop do že shranjenih informacij zahteva predhodno privolitev -- razen piškotkov, ki so nujno potrebni za storitev, ki jo je uporabnik zahteval. Kar koli nebistveno, kar se sproži med tem oknom, po definiciji deluje brez veljavne privolitve.

Ugotovitev 1: Sledenje pred privolitvijo je norma, ne izjema

Najpomembnejša številka v tej študiji: 68 % pregledanih spletnih mest aktivira sledenje tretjih oseb, preden uporabnik poda privolitev. Tesno povezano: 66,6 % nastavi piškotke pred privolitvijo.

To nista isti metriki. Spletno mesto lahko kontaktira sledilno domeno tretje osebe (sproži piksel, naloži skript) brez tega, da bi ta domena uspešno nastavila piškotek -- na primer, če brskalnik blokira piškotke tretjih oseb. Obratno, analitični piškotek prve osebe je mogoče nastaviti brez kontaktiranja zunanje domene. Obe vedenji sta problematični, a predstavljata različne tehnične mehanizme in različne pravne izpostavljenosti.

Obseg dejavnosti pred privolitvijo je znaten:

Mediana 6 je verjetno bolj informativna kot povprečje. Polovica vseh pregledanih spletnih mest kontaktira vsaj šest zunanjih domen, preden ima uporabnik kakršno koli priložnost za privolitev. To niso omrežja za dostavo vsebin ali strežniki pisav (ki jih izključujemo iz klasifikacije sledenja). To so oglaševalske platforme in analitične storitve.

Razčlenitev dejavnosti pred privolitvijo po kategoriji piškotkov razkriva, čemu to sledenje dejansko služi:

Skoraj vsako tretje spletno mesto EU nastavi analitične piškotke pred privolitvijo. Skoraj vsako peto nastavi marketinške piškotke. Pravni položaj je v tem nedvoumen: EDPB je večkrat potrdil, da analitični in marketinški piškotki zahtevajo privolitev po členu 5(3) ePrivacy. Sodba Sodišča EU Planet49 je jasno določila, da mora biti privolitev aktivno, potrditveno dejanje -- in ne more biti potrditveno, če se še ni zgodilo.

Praktična posledica je, da ko obiskovalec vidi transparent za piškotke in razmišlja, ali bo sprejel ali zavrnil, je bil njegov brskalnik že identificiran, njegov obisk je bil že zabeležen s strani analitičnih platform, v mnogih primerih pa je bil njegov profil brskanja že posodobljen s strani oglaševalskih omrežij. Izbira privolitve, ko pride, je delno retroaktivna -- in retroaktivna privolitev sploh ni privolitev.

Ugotovitev 2: Vrzel v transparentih za privolitev

Več kot polovica pregledanih spletnih mest -- 53.508 od 97.304, ali 55 % -- ni prikazala nobenega transparenta za privolitev, ki bi ga naš sistem zaznave lahko identificiral.

Ta številka zahteva previdno interpretacijo. Vsako spletno mesto brez transparenta ne krši nujno zakona. Spletno mesto, ki ne nastavi nobenih nebistvenih piškotkov in ne kontaktira nobenih sledilnih storitev tretjih oseb, lahko zakonito deluje brez mehanizma privolitve. Izjema ePrivacy za "nujno potrebne" piškotke pomeni, da spletno mesto, ki uporablja samo sejne piškotke za prijavo ali funkcionalnost nakupovalne košarice, za te specifične piškotke nima obveznosti privolitve.

Toda to ni tisto, kar opazujemo. Od 53.508 mest brez zaznavnega transparenta 18.026 aktivno nastavi nebistvene piškotke in kontaktira sledilne domene tretjih oseb. Ta spletna mesta nimajo nobenega mehanizma privolitve in sledijo obiskovalcem od prvega nalaganja strani. Ne poznamo veljavne pravne podlage za to niti po GDPR niti po Direktivi ePrivacy.

Preostala mesta brez transparentov spadajo v več kategorij: mesta, ki resnično ne nastavljajo nebistvenih piškotkov (in zato morda ne potrebujejo transparenta), mesta, ki uporabljajo mehanizme privolitve, ki jih naš sistem zaznave ni mogel identificirati, in mesta, ki so preprosto nefunkcionalna ali imajo minimalno vsebino. Naša knjižnica za zaznavo 45 CMP ter generične hevristike pokrivajo veliko večino znanih rešitev privolitve, vendar lahko implementacije po meri v neobičajnih ogrodjih ali jezikih ostanejo neopažene.

Kljub temu je številka 18.026 spodnja meja, ne zgornja, za mesta brez transparenta s sledenjem. To so mesta, kjer imamo pozitivne dokaze tako o sledilni dejavnosti kot o odsotnosti transparenta.

Ugotovitev 3: Gumbi za zavrnitev odpovejo v 80 % primerov

Tej ugotovitvi smo posvetili ločeno objavo, vendar si zasluži obsežno obravnavo tukaj, ker zadene jedro modela privolitve.

Od 28.891 spletnih mest, kjer smo zaznali gumb za zavrnitev in z njim uspešno opravili interakcijo, je 80,4 % nadaljevalo s sledenjem po tem, ko je uporabnik kliknil zavrni. Le 5.650 mest (19,6 %) je prestalo test toka zavrnitve -- kar pomeni, da se je sledenje dejansko ustavilo in ostalo ustavljeno.

Neuspehi se razporedijo v prekrivajoče se kategorije:

Consent respawn je vzorec, ki smo ga identificirali med to raziskavo. Uporabnik klikne zavrni, CMP odstrani piškotke, nato pa se ob naslednjem nalaganju strani ti piškotki znova pojavijo. Na 1.642 mestih smo opazili 4.932 posameznih piškotkov, ki so kazali to vedenje. Mehanizem se razlikuje -- skripti tretjih oseb, ki se izvajajo ne glede na stanje privolitve, upravljalci oznak, ki ne širijo zavrnitve na vse integrirane storitve, strežniške glave Set-Cookie, ki ignorirajo odločitve o privolitvi na strani odjemalca -- vendar je učinek enak. Gumb za zavrnitev postane začasna prekinitev, ne trajna izbira.

Po členu 7(3) GDPR mora biti preklic privolitve enako enostaven kot njeno dajanje, upravljavec pa mora ukrepati na podlagi tega preklica. Gumb za zavrnitev, ki dejansko ne ustavi sledenja, ne izpolnjuje te zahteve ne glede na tehnični vzrok.

Ugotovitev 4: Primerjava po državah

GDPR je ena uredba, toda skladnost ni enotna. Delež visoko tveganih spletnih mest se razlikuje skoraj trikratno med državami članicami EU.

Ta vzorec je skladen z razlikami v dejavnosti izvrševanja. Nemčija in Avstrija -- domovina BfDI, šestnajstih deželnih DPA in DSB -- sta med najaktivnejšima evropskima organoma pri ciljanju kršitev privolitve in piškotkov konkretno. DSB je izdal eno prvih odločitev o izvrševanju po Schrems II. Nemške deželne DPA so izvedle sektorske revizije piškotkov in izdale normativne smernice o tem, kaj predstavlja veljavno privolitev.

Na drugem koncu imajo Madžarska, Češka, Romunija in Poljska DPA, ki so tipično podfinancirane glede na velikost njihovih digitalnih gospodarstev in so zgodovinsko usmerjale izvrševanje na kršitve podatkov in zahteve za dostop posameznikov namesto na privolitev za piškotke. To ni kritika teh organov -- delujejo s proračuni, ki so jim dodeljeni -- vendar je jasna demonstracija, da izvrševanje poganja skladnost. Isti pravni tekst, uporabljen z različno intenzivnostjo izvrševanja, proizvede izrazito različne rezultate.

Francija je poučna. CNIL je eden najbolj vidnih evropskih organov za izvrševanje, ki izreka rekordne globe velikim tehnološkim podjetjem. Kljub temu francoska spletna mesta sedijo na 44,1 % visokega tveganja, blizu povprečja EU. Razlaga verjetno leži v strategiji izvrševanja CNIL: odmevni ukrepi proti velikim platformam ustvarjajo naslove, toda neposredno ne spreminjajo vedenja tisočev malih in srednjih podjetij, ki sestavljajo dolgi rep spleta. Široka sprememba vedenja zahteva bodisi sektorske akcije izvrševanja (kot jih izvaja Nemčija) bodisi splošno povečanje zaznanega tveganja izvrševanja.

Podatke po državah podrobneje obravnavamo v naši objavi o primerjavi držav.

Ugotovitev 5: Tržni delež CMP in kaj nam pove

Med 43.796 spletnimi mesti (45 %), ki so prikazala zaznavni transparent privolitve, smo identificirali 45 različnih platform za upravljanje privolitve. Trg je koncentriran na vrhu, toda razdrobljen v dolgem repu.

Največja posamezna kategorija je "Generično / neidentificirano" s 34,7 %. To so mesta, ki uporabljajo rešitve privolitve, ki niso ustrezale nobenemu od 45 podpisov CMP v naši knjižnici za zaznavo. Vključujejo piškotkovne vrstice po meri, vtičnike WordPress, ki niso široko prepoznani, regionalne ponudnike CMP in implementacije tako minimalne, da sestojijo iz enega samega zapirljivega div-a z gumbom "Razumem". Kakovost skladnosti te kategorije je v povprečju bistveno nižja kot pri uveljavljenih CMP, čeprav še nismo objavili stopenj skladnosti po posameznih CMP.

Podatki o interakciji s transparenti razkrivajo še en pomislek. Od 43.796 zaznanih transparentov:

Skoraj vsak peti transparent privolitve ne ponuja vidnega načina za zavrnitev nebistvenih piškotkov brez navigacije v drugo plast nastavitev. Smernice EDPB 05/2020 o privolitvi navajajo, da zavrnitev privolitve ne bi smela zahtevati več truda kot njeno dajanje. Zasnova, ki zahteva dodatne klike za zavrnitev, a ponuja sprejem z enim klikom, je po teh smernicah temen vzorec, ki spodkopava veljavnost privolitve.

Zaznali smo tudi specifične implementacije temnih vzorcev: 3.454 mest (7,9 % tistih s transparenti) je postavilo možnost zavrnitve samo v drugo plast, 84 mest je uporabilo cookie wall (blokiranje vsebine do privolitve) in 137 mest je izkazovalo izogibanje privolitvi botov -- namensko skrivanje transparenta pred avtomatiziranimi skenerji, medtem ko se prikazuje človeškim obiskovalcem.

Ugotovitev 6: Zloraba življenjske dobe piškotkov

CNIL priporoča najdaljšo življenjsko dobo piškotkov 13 mesecev — standard, ki ga je sprejelo ali se nanj sklicevalo več drugih nacionalnih organov za varstvo podatkov. To ni trda pravna omejitev v besedilu GDPR, vendar odraža razlago načela omejitve shranjevanja (člen 5(1)(e)) v zvezi s sledilnimi identifikatorji.

Naš pregled je odkril 26.250 spletnih mest (27 %) z vsaj enim piškotkom, ki presega prag 13 mesecev, skupno 58.127 posameznih piškotkov.

Najpogostejši kršitelj je piškotek `_ga`, ki ga uporablja Google Analytics in je privzeto nastavljen na dveletno življenjsko dobo. To pomeni, da tudi spletna mesta z drugače delujočimi mehanizmi privolitve pogosto kršijo preprosto zato, ker niso prepisala privzete izteka GA piškotkov. Gre za konfiguracijski problem, ne za tehnično omejitev -- Google Analytics omogoča prilagojene življenjske dobe piškotkov -- toda privzeta vrednost ni v skladu s smernicami EDPB in večina upravljavcev mest je nikoli ne spremeni.

Dolgoživi piškotki ustvarjajo kopičeno tveganje za zasebnost. Dveletni piškotek ni le "malo daljši od 13 mesecev". Pomeni, da uporabnik, ki obišče mesto enkrat, poda privolitev in se nikoli ne vrne, je še vedno mogoče identificirati in slediti z analitiko tega mesta dve leti. Če uporabnik pozneje prekliče privolitev ali se pravna podlaga spremeni, piškotek vztraja kot prikazni identifikator do izteka.

Dodatne ugotovitve

Več drugih ugotovitev iz študije si zasluži kratko omembo:

Prstni odtis brskalnika (fingerprinting). Zaznali smo signale prstnega odtisa brskalnika (canvas fingerprinting, WebGL fingerprinting, audio context fingerprinting) na 4.114 spletnih mestih (4,2 %). Fingerprinting je posebej zaskrbljujoč, ker ga ni mogoče odstraniti z brisanjem piškotkov -- uporablja lastne značilnosti brskalnika in naprave kot identifikatorje. Direktiva ePrivacy obravnava fingerprinting kot enakovrednega sledenju na osnovi piškotkov za namene privolitve. Neskladja Google Consent Mode. Med mesti, ki implementirajo Google Consent Mode, je bilo 28,4 % zaznanih kot njegovih uporabnikov, medtem ko 13,7 % mest, ki uporabljajo Googlove storitve, ni pokazalo nobene implementacije Consent Mode. Bolj zaskrbljujoče je, da je 11,9 % kazalo neskladja -- stanje privolitve, poročano Googlovemu API-ju, ni ustrezalo dejanskemu sledilnemu vedenju, opazovanemu v brskalniku. To pomeni, da CMP sporoča Googlu, da je bila privolitev zavrnjena, toda sledilne zahteve se nadaljujejo. Dostopnost. Transparenti privolitve so pravno zahtevani elementi uporabniškega vmesnika, in če niso dostopni, del uporabnikov ne more uveljavljati svojih pravic. Med zaznanimi transparenti: 25 % je imelo dotikalne cilje pod priporočenimi minimalnimi velikostmi, 15,2 % je imelo besedilo z nizkim kontrastom in 3,4 % ni bilo dostopnih s tipkovnico. Transparent, ki ga ni mogoče upravljati s tipkovnico, dejansko zanika izbiro privolitve uporabnikom, ki se zanašajo na podporno tehnologijo -- kršitev, ki sega tako v GDPR kot v predpise o dostopnosti.

Celotna porazdelitev tveganja

Povzetek, celotna razvrstitev tveganja 97.304 pregledanih mest:

14,9 % nedoločenih odraža mesta, kjer skener ni mogel doseči zanesljive ugotovitve -- običajno zaradi zaznave botov, kompleksnih arhitektur enostranskih aplikacij ali vedenja, odvisnega od časovnega poteka. Te rezultate poročamo pošteno, namesto da bi jih silili v klasifikacijo uspeh/neuspeh, ker je lažno zaupanje v podatke o skladnosti slabše od priznane negotovosti.

Kaj to pomeni za lastnike spletnih mest

Če upravljate spletno mesto, ki služi obiskovalcem iz EU, štirje koraki obravnavajo najpogostejše in najbolj tvegane ugotovitve:

1. Preverite, kaj se naloži pred privolitvijo. Odprite svoje mesto v zasebnem oknu brskalnika, odprite razvijalska orodja in opazujte zavihke Omrežje in Aplikacija, preden opravite interakcijo s kakršnim koli transparentom. Če vidite zahteve na analitične ali oglaševalske domene ali piškotke teh storitev, vaše vedenje pred privolitvijo ni skladno. Popravek je običajno v konfiguraciji upravljalca oznak: zagotovite, da so nebistveni skripti blokirani, dokler ni zabeležena potrditvena privolitev. 2. Testirajte svoj tok zavrnitve od začetka do konca. Kliknite zavrni na svojem transparentu, nato preverite, ali so nebistveni piškotki izginili. Nato stran ponovno naložite in preverite znova. Če se piškotki znova pojavijo, imate problem s consent respawn, ki zahteva preiskavo, kateri skripti obidejo vaš mehanizem privolitve. Naši podatki kažejo, da to prizadene presenetljivo veliko število mest, tudi tistih, ki uporabljajo ugledne CMP. 3. Preverite življenjske dobe svojih piškotkov. Če uporabljate Google Analytics s privzetimi nastavitvami, ima vaš piškotek `_ga` dveletno življenjsko dobo. Spremenite jo na 13 mesecev ali manj. Preglejte vse piškotke, ki jih vaše mesto nastavi, in zagotovite, da noben ne presega priporočenega 13-mesečnega maksimuma. To je hiter konfiguracijski popravek, ki odpravi pogost naalaz neskladnosti. 4. Zagotovite, da je vaš transparent dostopen in ponuja zavrnitev v prvi plasti. Če vaša možnost zavrnitve zahteva navigacijo na drugo stran nastavitev, medtem ko je "Sprejmi vse" en klik, vaš mehanizem privolitve morda ne izpolnjuje smernic EDPB. Preverite transparent glede dostopnosti s tipkovnico, velikosti dotikalnih ciljev in kontrastnih razmerij.

Metodološke opombe in poštene omejitve

Želimo biti transparentni glede tega, kaj ta študija lahko in česa ne more povedati.

Kaj dobro meri: Vedenje pred privolitvijo, inventarje piškotkov, omrežne zahteve na znane sledilne domene, prisotnost in strukturo transparenta, rezultate toka zavrnitve in življenjske dobe piškotkov. To so objektivne meritve, osnovane na dokazih, zabeleženih iz dejanskega vedenja brskalnika. Kaj meri nepopolno: Zaznava CMP ni 100 % celovita. Mesta, ki uporabljajo rešitve privolitve zunaj naše knjižnice 45 CMP, so lahko napačno kategorizirana kot brez transparenta. Transparenti, odvisni od GeoIP, se lahko prikazujejo drugače glede na omrežno lokacijo skenerja. Enostranske aplikacije, ki upravljajo privolitev v stanju na strani odjemalca brez sprememb DOM, so težje ocenljive. Nekatera mesta zaznajo avtomatizirane brskalnike in temu ustrezno spremenijo svoje vedenje (odkrili smo, da 137 to počne namenoma). Česar ne meri: Zahtevkov o zakonitem interesu (ki zahtevajo pravno, ne tehnično oceno), kakovosti politik zasebnosti, ali se zapisi privolitve ustrezno shranjujejo, ali so dejavnosti obdelave podatkov sorazmerne. To so pomembne dimenzije skladnosti, ki jih ni mogoče opazovati zgolj iz vedenja brskalnika.

14,9 % nedoločenih je naš varnostni ventil za mesta, kjer nismo mogli doseči zanesljive tehnične ugotovitve. Raje imamo pošteno negotovost kot lažno natančnost.

---

Preverite svoje spletno mesto. Zaženite brezplačen pregled na gdprprivacymonitor.eu in si oglejte natančno, kaj se zgodi pred, med in po privolitvi na vašem mestu. Skener proizvede enake dokaze kot v tej študiji -- posnetke pred privolitvijo, inventarje piškotkov, rezultate toka zavrnitve in razvrstitev tveganja -- za kateri koli URL, ki ga pošljete.