Britiske gambling‑sites står over for GDPR‑kontrol efter 86% fejlslagen cookie‑test

En ny undersøgelse ved Swansea University har afsløret, at 86 % af britiske gambling‑sites har anvendt “dark patterns” i forbindelse med cookie‑samtykke. Selvom dette ikke nødvendigvis udgør et direkte brud på GDPR‑praksis, viser det alvorlige problemer med, hvordan sporingssoftware og personligt identificerbare oplysninger opbevares, hvilket potentielt krænker besøgendes privatliv.

Dataindsamling har mange gavnlige anvendelser, da den kan hjælpe med personalisering, levere analytiske data og endda tjene reklameformål. Men for gambling‑kunder kan den også afsløre vigtige oplysninger om deres præferencer for gambling‑sites, hyppighed og eventuelle væsentlige ændringer i adfærd over tid.

Og denne rapport kommer på et tidspunkt, hvor Information Commissioner’s Office (ICO) fortsætter sine bestræbelser på at forbedre overholdelsen af cookie‑ og sporingsregler på internettet generelt. Gambling‑branchen kan dog være lidt bagud i forhold til ICO’s påstand om, at 95 % af de 1.000 bedste sites i Storbritannien overholder cookie‑ og sporingsreglerne.

Undersøgelse afslører dark patterns i gambling‑sites’ cookies

Undersøgelsen blev udført på Swansea Universitys GREAT‑Center og blev først omtalt i en artikel i The Guardian. Formålet var at finde ud af hvordan online gambling‑operatører indsamler og sporer forbrugerdata, og om disse bruges til at personalisere incitamenter (bonusser). Revisioner blev foretaget på 624 UKGC‑licenserede gambling‑sites, og rapporten fandt, at:

• 86 % af sites havde mindst 1 dark pattern
• 67 % behandlede personligt identificerbare data
• 47 % tilbød afvisning af sporing kun efter et andet lag af cookie‑indstillinger
• 22 % tilbød ingen mulighed for at afvise sporing
• Kun 14 % var GDPR‑overholdende

Dette er ret høje tal, og britiske spillere og væddere har god grund til at føle sig urolige over den tilsyneladende overvældende andel af registrerede sites, der ignorerer deres privatliv. Det drejer sig heller ikke om tvivlsomme sortmarked‑ eller offshore‑sites. Operatører som William Hill og Ladbrokes var blandt dem, der allerede indsamlede brugerdata, før samtykkeblanketterne blev tilbudt. Hollywood Bets og den populære high‑street slot‑virksomhed Admiral Casino blev afsløret som ikke at give kunderne mulighed for at slå sporing fra.

Hvad er dark patterns

Et site, der direkte nægter at give dig en mulighed for at slå cookies fra, overtræder GDPR‑overholdelseslovgivningen direkte, men dark patterns er mere nuancerede. De er snedige praksisser, der er designet til at overraske kunder eller “skubbe” en site‑besøgende til at acceptere cookies, fra forudindstillede felter til at gemme muligheden for at afvise samtykke i flere undermenuer.

Undersøgelsen observerede følgende:

• Visuel fremhævning (60%): Accept‑muligheden fremhæves visuelt gennem farve, størrelse, kontrast eller placering)
• Forudvalgte indstillinger (29%): Privatlivs‑ugunstige indstillinger er forudvalgt som standard
• Skjult afvisningsmulighed (47%): Afvisningsmuligheden er ikke tilgængelig på det første lag af banneret
• Ingen mulighed for at afvise (22%): Banneret informerer brugerne om, at data indsamles, men giver ingen mulighed for at afvise
• Intet banner (2%): Der er intet samtykkebanner på sitet

Teknisk set er sites, der giver mulighed for at slå sporing fra, men bruger visuelle redskaber til at narre kunder, stadig GDPR‑overholdende. Moralsk er de det ikke, men i henhold til lovens rammer er de det. Selv skjulte afvisningsmuligheder, som udgjorde 293 af de gennemgåede sites (47 %), kan diskuteres som lovlige. Teknisk siger ICO eksplicit, at afvisning af sporing skal være lige så nem som at acceptere den.

Hvordan dette påvirker kunder

For de fleste besøgende er det umiddelbare problem ikke, at et gambling‑website pludselig kan få adgang til deres bankkonto eller se alt, hvad de gør online. I stedet er bekymringen, at oplysninger om deres aktivitet kan indsamles og potentielt deles med tredjeparter, før de har givet samtykke til sporing. For eksempel kan en besøgende ankomme til et online casino og gennemse flere slot‑spil, før de beslutter sig for at registrere sig. Sporings‑teknologier kan potentielt registrere oplysninger om besøget, afhængigt af hvilke teknologier websitet anvender.

Dette kan omfatte oplysninger såsom de besøgte sider, den anvendte enhed, browsing‑adfærd og identifikatorer, der gør det muligt at knytte aktiviteten til den samme besøgende. Hvis disse oplysninger deles med tredjeparter, der samarbejder med andre gambling‑sites, kan de specifikt målrette disse spillere med incitamenter og lokkende tilmeldings‑tilbud for at tiltrække potentielle fremtidige kunder.

Det skaber et alvorligt privatlivsproblem for online‑gamblere i Storbritannien. Undersøgelsen beskriver dette som overvågningskapitalisme – hvor dine data er uvurderlige for operatørerne, da de kan skræddersy deres produkter til dine behov og bruge de indsamlede oplysninger til at sikre din forretning. De britiske gambling‑operatører bruger alene omkring £1,1–£2 milliarder om året på gambling‑reklamer, hvorover to tredjedele foregår online. Formålet er at afdække en spillers præferencer, men også at spore deres aktivitet over tid. Det er her, det kan glide ind i farligt territorium.

Farer ved sporingssoftware og ukontrollerede cookies

Fordi den gennemsnitlige bruger blot kan se den strøm af gambling‑annoncer som irriterende reklamer, der optager plads på skærmen, og blot rulle forbi dem uden videre overvejelse. Men for problemgamblere kan det udløse følelsesmæssige reaktioner, som får dem til at prøve lykken ved at gribe en ny bonus eller tilmelde sig en form for kampagnetilbud.

En undersøgelse fra 2025 foretaget af The Observer fandt Meta‑Pixel‑sporing på omkring en tredjedel af 150 UK‑licenserede gambling‑sites, hvor nogle sendte oplysninger om brugernes aktivitet til Meta, før markedsførings‑samtykke var givet. Forskerne modtog derefter gambling‑annoncer på Facebook, mens Swansea‑undersøgelsen fremhævede sammenfaldet mellem profitabel gambling‑adfærd og mønstre forbundet med gambling‑skade.

Dette rejser bekymringer om, at de samme data, der bruges til at forstå kundeadfærd, potentielt kan anvendes til at målrette personer, som allerede er sårbare over for problemgambling. For en spiller, der allerede viser tegn på problematisk adfærd, kan personaliseret gambling‑reklame derfor forstærke adfærden i stedet for at hjælpe dem med at træde væk fra den.

De britiske love om cookie‑samtykke

Reglerne omkring cookies er primært reguleret af Privacy and Electronic Communications Regulations (PECR) samt UK GDPR, når personlige data er involveret. ICO fastslår, at websites skal informere brugerne om, at cookies eller lignende teknologier anvendes, forklare hvad de gør, og hvor samtykke er påkrævet, indhente tilladelse, før de gemmer eller får adgang til oplysninger på en brugers enhed.

Der er undtagelser for teknologier, der er strengt nødvendige for at en tjeneste kan fungere. Ikke‑essentielle reklame‑ og sporings‑teknologier kræver generelt samtykke. Væsentligt er, at ICO siger, at afvisning af disse teknologier skal være lige så nem som at acceptere dem. Samtykke skal også indebære en klar positiv handling, hvilket betyder, at blot at fortsætte med at browse på et website ikke udgør samtykke. Brugere kan også trække samtykke tilbage senere. Hvis de gør det, skal en organisation stoppe med at basere sig på dette samtykke for den pågældende behandling og bør fjerne de tilknyttede lagrings‑ og adgangsteknologier, hvor det er påkrævet.

Indsats for at bekæmpe uønskede gambling‑annoncer

Storbritannien har allerede indført stadig strengere regler omkring gambling‑reklamer og spillerbeskyttelse, mens UK Gambling Commission også har udvidet mængden af adfærdsmæssige og finansielle oplysninger, som operatører forventes at overvåge. Dette inkluderer indførelsen af finansielle risikovurderinger for højtforbrugende kunder, strengere gambling‑reklamelove, der målretter ulovlige streaming‑sites og også distribution af gambling‑annoncer på sociale medier. ICO har desuden i de senere år intensiveret indsatsen for at bekæmpe mangler i online‑privatliv.

I 2024 tog ICO handling mod Sky Betting & Gaming efter at have konstateret, at operatøren havde brugt cookies til at behandle kundernes personlige oplysninger til målrettet reklame uden det krævede samtykke. Sky Betting & Gaming foretog derefter ændringer for at sikre, at kunder kunne afvise reklame‑cookies, før deres oplysninger blev delt til disse formål.

Operatører forventes i stigende grad at overvåge kundeadfærd for at kunne identificere potentiel gambling‑skade, men kunder har også legitime forventninger om, at deres personlige oplysninger ikke indsamles eller bruges uden korrekt samtykke. Der skal derfor findes en balance mellem ansvarlig gambling‑overvågning og forbruger‑privatliv. Cookies og sporingssoftware har sine anvendelser, men at bruge dem til at målrette spillere – eller sælge dem til tredjeparter – underminerer softwarens fordele. En ting, som denne rapport har vist, er, at gambling‑operatører i Storbritannien stadig har en del vej at gå for at skabe gennemsigtighed og give spillerne mere kontrol over deres private data.