UK:n uhkapelisivustot kohtaavat GDPR-tarkastelua 86% eväste-testin epäonnistumisen jälkeen

Uusi tutkimus Swansea-yliopistossa on paljastanut, että 86 % Yhdistyneen kuningaskunnan uhkapelisivustoista on käyttänyt “dark patterns” -menetelmiä evästeiden suostumukseen liittyen. Vaikka nämä eivät välttämättä suoraan riko GDPR‑käytäntöjä, ne paljastavat vakavia ongelmia siinä, miten seurantasoftaa ja henkilötietoja säilytetään, mikä voi mahdollisesti loukata kävijöiden yksityisyyttä.

Tietojen keräämisellä on monia hyödyllisiä käyttötarkoituksia, sillä se voi auttaa personoinnissa, tarjota analytiikkatietoa ja jopa palvella mainontaa. Uhkapeliasiakkaille se voi kuitenkin paljastaa tärkeää tietoa heidän suosimastaan uhkapelisivustosta, käyttötiheydestä ja merkittävistä käyttäytymisen muutoksista ajan myötä.

Tämä raportti julkaistaan samalla kun Tietosuojaviranomainen (ICO) jatkaa toimiaan parantaakseen eväste- ja seurantasääntöjen noudattamista laajemmin internetissä. Uhkapeliteollisuus on kuitenkin saattanut jäädä hieman jälkeen ICO:n väitteestä, jonka mukaan 95 % Yhdistyneen kuningaskunnan 1 000 suosituimmasta sivustosta noudattaa eväste- ja seurantasäädöksiä.

Tutkimus paljastaa uhkapelisivustojen evästeiden dark pattern -menetelmät

Tutkimus toteutettiin Swansea-yliopiston GREAT-keskuksessa, ja se sai ensimmäisenä julkaisun The Guardian -artikkelissa. Tavoitteena oli selvittää kuinka online-uhkapelitoimijat keräävät ja seuraavat kuluttajatietoja, sekä onko näitä tietoja käytetty personoimaan kannustimia (bonuksia). Auditointeja tehtiin 624 UKGC‑lisensoimalla uhkapelisivustolla, ja raportti havaitsi seuraavaa:

• 86 % sivustoista käytti vähintään yhtä dark pattern -menetelmää
• 67 % käsitteli henkilökohtaisesti tunnistettavia tietoja
• 47 % tarjosi seurannan hylkäämisen vasta toisen evästeasetusten tason jälkeen
• 22 % ei tarjonnut vaihtoehtoa seurannan hylkäämiseen
• Vain 14 % noudatti GDPR:ää

Nuo ovat melko korkeat luvut, ja UK:n pelaajat ja vedonlyöjät voivat oikeutetusti tuntea olonsa epämukavaksi, kun niin suuri osa rekisteröidyistä sivustoista sivuuttaa heidän yksityisyytensä. Kyse ei myöskään ole epäilyttävistä harmaamarkkinoiden tai offshore-sivustoista. William Hillin ja Ladbrokesin kaltaiset operaattorit olivat jo ennen suostumuslomakkeiden tarjoamista keränneet käyttäjätietoja. Hollywood Bets ja suosittu katuautomaatteja tarjoava Admiral Casino paljastuivat antamatta asiakkaille mahdollisuutta poistaa seuranta käytöstä.

Mitä ovat dark pattern -menetelmät

Sivusto, joka suoraan kieltäytyy antamasta mahdollisuutta poistaa evästeet käytöstä, rikkoo suoraan GDPR‑sääntöjä, mutta dark pattern -menetelmät ovat vivahteikkaampia. Ne ovat ovelia käytäntöjä, joilla pyritään yllättämään asiakkaat tai “työntämään” sivuston kävijä hyväksymään evästeet, esimerkiksi tarjoamalla ennalta valittuja valintaruutuja tai piilottamalla suostumuksen hylkäämisen vaihtoehdon useisiin alavalikkoihin.

• Visuaalinen korostus (60 %): Hyväksymisvaihtoehto korostetaan visuaalisesti värin, koon, kontrastin tai sijainnin avulla
• Ennalta valitut vaihtoehdot (29 %): Yksityisyyttä rajoittavat valinnat on oletuksena valittu
• Piilotettu hylkäysvaihtoehto (47 %): Hylkäysvaihtoehto ei ole saatavilla bannerin ensimmäisellä tasolla
• Ei hylkäysvaihtoehtoa (22 %): Banneri kertoo käyttäjille, että tietoja kerätään, mutta ei tarjoa mahdollisuutta hylätä
• Ei banneria (2 %): Sivustolla ei ole suostumusbanneria

Teknisesti sivustot, jotka tarjoavat mahdollisuuden poistaa seuranta käytöstä, mutta käyttävät visuaalisia keinoja harhaan asiakkaita, ovat edelleen GDPR‑yhteensopivia. Moraalisesti eivät, mutta lain kehyksen mukaan ne ovat. Jopa piilotetut hylkäysvaihtoehdot, joita oli 293 tarkastetussa sivustossa (47 %), ovat kiistanalaisesti lain mukaisia. Teknisesti ICO toteaa selvästi, että seurannan hylkäämisen on oltava yhtä helppoa kuin sen hyväksymisen.

Miten tämä vaikuttaa asiakkaisiin

Useimmille kävijöille välitön ongelma ei ole se, että uhkapelisivusto voisi äkillisesti päästä heidän pankkitililleen tai nähdä kaiken, mitä he tekevät verkossa. Sen sijaan huoli on, että heidän toiminnastaan kerätty tieto voidaan kerätä ja mahdollisesti jakaa kolmansille osapuolille ennen kuin he ovat antaneet suostumuksensa seurantaan. Esimerkiksi kävijä saattaa saapua online‑kasinoon ja selata useita kolikkopelejä ennen päätöstä rekisteröityä. Seurantateknologiat voivat mahdollisesti tallentaa tietoa siitä vierailusta, riippuen siitä, mitä teknologioita sivusto käyttää.

Tämä voi sisältää tietoa, kuten vierailtujen sivujen, käytetyn laitteen, selauskäyttäytymisen ja tunnisteiden, jotka mahdollistavat toiminnan yhdistämisen samaan kävijään. Jos nämä tiedot jaetaan kolmansille osapuolille, jotka työskentelevät muiden uhkapelisivustojen kanssa, he voivat kohdistaa kyseisiä pelaajia erityisesti kannustimilla ja houkuttelevilla rekisteröitymistarjouksilla houkutellakseen näitä potentiaalisia tulevia asiakkaita.

Se aiheuttaa vakavan tietosuojaongelman Yhdistyneen kuningaskunnan online‑uhkapelaajille. Tutkimus kuvaa tätä valvontakapitalismiksi – jossa tietosi ovat korvaamattomia operaattoreille, sillä ne voivat räätälöidä tuotteensa tarpeidesi mukaan ja käyttää kerättyä tietoa saadakseen liiketoimintaa. UK:n uhkapeliopeat käyttävät pelkästään uhkapelimainontaan noin 1,1–2 miljardia puntaa vuodessa, joista yli kaksi kolmasosaa tapahtuu verkossa. Tavoitteena on selvittää pelaajan mieltymyksiä, mutta myös seurata hänen toimintaansa pitkän ajan kuluessa. Ja juuri siinä se voi siirtyä vaaralliselle alueelle.

Seurantaohjelmistojen ja tarkistamattomien evästeiden vaarat

Koska tavallinen käyttäjä saattaa nähdä uhkapelimainonnan myrskyn vain ärsyttävinä ilmoituksina, jotka vievät tilaa näytöllä, ja ohittaa ne ajattelematta tarkemmin, se voi ongelmapelaajille aiheuttaa emotionaalisia reaktioita, jotka kehottaa heitä kokeilemaan onneaan tarttumalla uuteen bonukseen tai osallistumalla erilaiseen kampanjaan.

The Observerin vuonna 2025 tekemä tutkimus havaitsi Meta Pixel -seurantaa noin yhdestä kolmasosasta 150 UK‑lisensoidusta uhkapelisivustosta, joista jotkut lähettivät käyttäjien toiminnasta tietoa Metalle ennen kuin markkinointisuostumus oli annettu. Tutkijat saivat myöhemmin uhkapelimainoksia Facebookissa, kun taas Swansea‑tutkimus korosti yhteyttä kannattavan uhkapelikäyttäytymisen ja uhkapelihaittoihin liittyvien mallien välillä.

Tämä herättää huolta siitä, että samaa dataa, jota käytetään asiakaskäyttäytymisen ymmärtämiseen, voitaisiin mahdollisesti käyttää kohdistamaan henkilöitä, jotka ovat jo alttiita ongelmapelaamiselle. Jo merkkejä ongelmallisesta käyttäytymisestä osoittavalle pelaajalle personoitu uhkapelimainonta voi näin ollen vahvistaa käyttäytymistä sen sijaan, että se auttaisi häntä kääntymään siitä pois.

UK:n evästeiden suostumuslait

Evästeitä koskevat säännöt perustuvat pääasiassa tietosuojalainsäädäntöön (Privacy and Electronic Communications Regulations, PECR) sekä Yhdistyneen kuningaskunnan GDPR:ään, kun käsitellään henkilötietoja. ICO:n mukaan verkkosivustojen on kerrottava käyttäjille, että evästeitä tai vastaavia teknologioita käytetään, selvitettävä, mitä ne tekevät, ja siellä, missä suostumus vaaditaan, hankittava lupa ennen tietojen tallentamista tai käyttöä käyttäjän laitteella.

Teknologioille, jotka ovat välttämättömiä palvelun toiminnalle, on poikkeuksia. Mutta ei‑välttämättömät mainonta‑ ja seurantateknologiat vaativat yleensä suostumuksen. Olennaista on, että ICO:n mukaan näiden teknologioiden hylkäämisen on oltava yhtä helppoa kuin niiden hyväksymisen. Suostumuksen on myös sisällettävä selkeä positiivinen toimenpide, mikä tarkoittaa, että pelkkä sivuston selaaminen ei muodosta suostumusta. Käyttäjät voivat myös peruuttaa suostumuksensa myöhemmin. Jos he tekevät niin, organisaation on lopetettava suostumukseen perustuva käsittely ja poistettava tarvittaessa siihen liittyvät tallennus‑ ja pääsäteknologiat.

Pyrkimykset torjua ei-toivottuja uhkapelimainoksia

UK on jo ottanut käyttöön yhä tiukempia sääntöjä uhkapelimainonnasta ja pelaajansuojasta, ja UK Gambling Commission on laajentanut myös käyttäytymis- ja taloustietojen määrää, joita operaattoreiden odotetaan valvomaan. Näihin sisältyy taloudellisten riskien arviointien käyttöönotto suuria rahoja käyttäville asiakkaille, tiukemmat uhkapelimainontasäännökset, jotka kohdistuvat laittomiin suoratoistopalveluihin sekä sosiaalisen median uhkapelimainonnan jakeluun. ICO on myös viime vuosina tehostanut toimiaan torjuakseen verkko‑tietosuojapuutteita.

Vuonna 2024 ICO ryhtyi toimiin Sky Betting & Gaming -yritystä vastaan, kun havaittiin, että operaattori oli käyttänyt evästeitä asiakkaiden henkilökohtaisten tietojen käsittelyyn kohdennetussa mainonnassa ilman vaadittua suostumusta. Sky Betting & Gaming teki myöhemmin muutoksia varmistaakseen, että asiakkaat voivat hylätä mainosevästeet ennen kuin heidän tietonsa jaetaan näihin tarkoituksiin.

Operaattoreiden odotetaan yhä enemmän valvomaan asiakaskäyttäytymistä, jotta he voivat tunnistaa mahdollisen uhkapelihaitan, mutta asiakkailta odotetaan myös, että heidän henkilökohtaisia tietojaan ei kerätä tai käytetä ilman asianmukaista suostumusta. Näin ollen on löydettävä tasapaino vastuullisen uhkapelivalvonnan ja kuluttajien yksityisyyden välillä. Evästeillä ja seurantasoftalla on omat käyttötarkoituksensa, mutta niiden käyttäminen pelaajien kohdistamiseen – tai niiden myyminen kolmansille osapuolille – heikentää ohjelmiston hyödyt. Yksi asia, jonka tämä raportti on osoittanut, on se, että UK:n uhkapeliopeilla on yhä edettävä matkaa läpinäkyvyyden luomisessa ja pelaajille enemmän hallintaa heidän yksityisistä tiedoistaan.