Los sitios de apuestas del Reino Unido enfrentan escrutinio GDPR tras un 86% de fallos en la prueba de cookies

Un nuevo estudio de la Universidad de Swansea ha revelado que el 86 % de los sitios de apuestas del Reino Unido han utilizado “patrones oscuros” relacionados con el consentimiento de cookies. Aunque esto no implica necesariamente una infracción directa de las prácticas GDPR, muestra serios problemas en la forma en que el software de seguimiento y la información de identificación personal se retienen, lo que potencialmente vulnera la privacidad de los visitantes.

La recopilación de datos tiene muchos usos beneficiosos, ya que puede ayudar a la personalización, proporcionar datos analíticos e incluso servir para fines publicitarios. Pero para los clientes de apuestas, también puede revelar información importante sobre sus preferencias de sitios de juego, frecuencia y cualquier cambio significativo en su comportamiento a lo largo del tiempo.

Y este informe llega mientras la Oficina del Comisionado de Información (ICO) continúa sus esfuerzos por mejorar el cumplimiento de las normas de cookies y seguimiento en toda la web. Sin embargo, la industria de las apuestas podría haber quedado un poco rezagada respecto a la afirmación de la ICO de que el 95 % de los 1.000 principales sitios del Reino Unido cumplen con las regulaciones de cookies y seguimiento.

El estudio revela patrones oscuros en las cookies de los sitios de apuestas

El estudio se realizó en el GREAT Centre de la Universidad de Swansea y fue cubierto inicialmente en un artículo de The Guardian. El objetivo era descubrir cómo los operadores de juego en línea recopilan y rastrean los datos de los consumidores, y si estos se utilizan para personalizar incentivos (bonos). Se realizaron auditorías en 624 sitios de apuestas con licencia de la UKGC, y el informe encontró que:

• El 86 % de los sitios tenía al menos 1 patrón oscuro
• El 67 % procesaba datos de identificación personal
• El 47 % ofrecía rechazar el seguimiento solo después de una segunda capa de configuración de cookies
• El 22 % no ofrecía opción para rechazar el seguimiento
• Solo el 14 % cumplía con GDPR

Estas cifras son bastante altas, y los jugadores y apostadores del Reino Unido tendrían razón en sentirse inquietos ante la abrumadora proporción de sitios registrados que ignoran su privacidad. Tampoco se trata de sitios dudosos del mercado negro o offshore. Operadores como William Hill y Ladbrokes estaban entre los que ya recopilaban datos de usuarios antes de que se ofrecieran los formularios de consentimiento. Hollywood Bets y la popular firma de máquinas tragamonedas de la calle principal Admiral Casino fueron expuestos por no ofrecer a los clientes la posibilidad de desactivar el seguimiento.

Qué son los patrones oscuros

Un sitio que se niega rotundamente a ofrecer una opción para desactivar las cookies está infringiendo directamente las leyes de cumplimiento GDPR, pero los patrones oscuros son más sutiles. Son prácticas engañosas diseñadas para sorprender a los clientes o “empujar” al visitante del sitio a aceptar cookies, desde proporcionar casillas ya marcadas hasta ocultar la opción de rechazar el consentimiento en varios submenús.

• Énfasis visual (60 %): La opción de aceptar se destaca visualmente mediante color, tamaño, contraste o posición
• Opciones preseleccionadas (29 %): Las opciones poco amigables con la privacidad se seleccionan por defecto
• Opción de rechazo oculta (47 %): La opción de rechazar no está disponible en la primera capa del banner
• Sin opción de rechazo (22 %): El banner informa a los usuarios que se están recopilando datos pero no ofrece una opción para rechazar
• Sin banner (2 %): No hay banner de consentimiento en el sitio

Técnicamente, los sitios que ofrecen la opción de desactivar el seguimiento pero utilizan recursos visuales para engañar a los clientes siguen cumpliendo con GDPR. Moralmente no, pero según el marco legal, sí lo hacen. Incluso las opciones de rechazo ocultas, que representaron 293 de los sitios revisados (47 %), están debatiblemente dentro de la ley. Técnicamente, la ICO indica explícitamente que rechazar el seguimiento debe ser tan fácil como aceptarlo.

Cómo afecta esto a los clientes

Para la mayoría de los visitantes, el problema inmediato no es que un sitio de apuestas pueda acceder repentinamente a su cuenta bancaria o ver todo lo que hacen en línea. En su lugar, la preocupación es que la información sobre su actividad pueda ser recopilada y potencialmente compartida con terceros antes de que hayan aceptado dicho seguimiento. Por ejemplo, un visitante podría llegar a un casino en línea y explorar varios juegos de tragamonedas antes de decidir si registrarse. Las tecnologías de seguimiento podrían registrar información sobre esa visita, según las tecnologías que utilice el sitio web.

Esto puede incluir información como las páginas visitadas, el dispositivo utilizado, el comportamiento de navegación e identificadores que permitan asociar la actividad con el mismo visitante. Si esta información se comparte con terceros que colaboran con otros sitios de apuestas, pueden dirigirse específicamente a esos jugadores con incentivos y atractivas ofertas de registro para captar a estos potenciales futuros clientes.

Esto genera un serio problema de privacidad para los jugadores en línea del Reino Unido. El estudio lo describe como capitalismo de vigilancia, en el que sus datos son invaluables para los operadores, ya que pueden adaptar sus productos a sus necesidades y usar esa información recopilada para obtener su negocio. Los operadores de apuestas del Reino Unido gastan entre £1.1 y £2 mil millones al año solo en publicidad de juegos, y más de dos tercios de esa inversión se realiza en línea. El objetivo es descubrir las preferencias del jugador, pero también rastrear su actividad durante un período de tiempo. Y es ahí donde puede convertirse en un territorio peligroso.

Peligros del software de seguimiento y cookies sin control

Porque el usuario medio puede ver la avalancha de anuncios de apuestas como promociones irritantes que ocupan espacio en su pantalla y simplemente pasar de largo sin pensarlo más. Pero para los jugadores con problemas de adicción, puede desencadenar respuestas emocionales, incitándolos a probar su suerte al aprovechar un nuevo bono o al suscribirse a algún tipo de oferta promocional.

Una investigación de 2025 del The Observer encontró seguimiento de Meta Pixel en aproximadamente un tercio de los 150 sitios de apuestas con licencia en el Reino Unido, y algunos enviaban información sobre la actividad de los usuarios a Meta antes de que se hubiera otorgado el consentimiento de marketing. Posteriormente, los investigadores recibieron anuncios de apuestas en Facebook, mientras que el estudio de Swansea destacó la superposición entre el comportamiento de apuestas rentable y los patrones asociados al daño por juego.

Esto genera preocupaciones de que los mismos datos utilizados para comprender el comportamiento del cliente puedan emplearse para dirigirse a personas que ya son vulnerables a la adicción al juego. Para un jugador que ya muestra signos de comportamiento problemático, la publicidad de apuestas personalizada podría reforzar ese comportamiento en lugar de ayudarle a alejarse de él.

Las leyes del Reino Unido sobre el consentimiento de cookies

Las normas relativas a las cookies están reguladas principalmente por el Reglamento de Privacidad y Comunicaciones Electrónicas (PECR), junto con el GDPR del Reino Unido cuando se trata de datos personales. La ICO indica que los sitios web deben informar a los usuarios que se están utilizando cookies o tecnologías similares, explicar qué hacen y, cuando se requiera consentimiento, obtener permiso antes de almacenar o acceder a información en el dispositivo del usuario.

Existen excepciones para tecnologías que son estrictamente necesarias para que un servicio funcione. Pero las tecnologías de publicidad y seguimiento no esenciales generalmente requieren consentimiento. Es fundamental que la ICO afirme que rechazar estas tecnologías debe ser tan fácil como aceptarlas. El consentimiento también debe implicar una acción positiva clara, lo que significa que simplemente seguir navegando en un sitio web no constituye consentimiento. Los usuarios también pueden retirar el consentimiento más adelante. Si lo hacen, la organización debe dejar de basarse en ese consentimiento para el procesamiento correspondiente y, cuando sea necesario, eliminar las tecnologías de almacenamiento y acceso asociadas.

Esfuerzos para combatir los anuncios de apuestas no solicitados

El Reino Unido ya ha introducido normas cada vez más estrictas sobre la publicidad de apuestas y la protección de los jugadores, mientras que la Comisión de Apuestas del Reino Unido también ha ampliado la cantidad de información conductual y financiera que se espera que los operadores supervisen. Esto incluye la introducción de evaluaciones de riesgo financiero para clientes con mayor gasto, leyes publicitarias de apuestas más estrictas que apuntan a sitios de streaming ilegales y también a la distribución de anuncios de apuestas en redes sociales. Además, la ICO ha intensificado en los últimos años sus esfuerzos para combatir las deficiencias de privacidad en línea.

En 2024, la ICO tomó medidas contra Sky Betting & Gaming después de descubrir que el operador había utilizado cookies para procesar la información personal de los clientes con fines de publicidad dirigida sin el consentimiento requerido. Sky Betting & Gaming realizó posteriormente cambios para garantizar que los clientes pudieran rechazar las cookies publicitarias antes de que su información se compartiera para esos fines.

Se espera cada vez más que los operadores supervisen el comportamiento de los clientes para identificar posibles daños por juego, pero los clientes también tienen expectativas legítimas de que su información personal no sea recopilada ni utilizada sin el consentimiento adecuado. Por lo tanto, debe encontrarse un equilibrio entre la monitorización responsable del juego y la privacidad del consumidor. Las cookies y el software de seguimiento tienen sus usos, pero utilizarlos para dirigirse a los jugadores —o venderlos a terceros— socava los beneficios del software. Una cosa que este informe ha demostrado es que los operadores de apuestas en el Reino Unido aún tienen un camino por recorrer para crear transparencia y ofrecer a los jugadores un mayor control sobre sus datos privados.