I siti di gioco d’azzardo del Regno Unito sotto scrutinio GDPR dopo il fallimento del 86% del test sui cookie

Un nuovo studio dell’Università di Swansea ha rivelato che l’86% dei siti di gioco d’azzardo del Regno Unito ha utilizzato “dark pattern” relativi al consenso dei cookie. Sebbene questi non costituiscano necessariamente una violazione diretta delle pratiche GDPR, mostrano gravi problemi nel modo in cui il software di tracciamento e le informazioni personalmente identificabili vengono conservati, potenzialmente violando la privacy dei visitatori.

La raccolta dei dati ha molti usi benefici, poiché può aiutare nella personalizzazione, fornire dati analitici e persino servire scopi pubblicitari. Tuttavia, per i clienti dei giochi d’azzardo, può anche rivelare informazioni importanti sulle loro preferenze di sito di gioco, sulla frequenza e su eventuali cambiamenti significativi del comportamento nel tempo.

E questo rapporto arriva mentre l’Information Commissioner’s Office (ICO) continua gli sforzi per migliorare la conformità alle regole sui cookie e sul tracciamento su tutta la rete. Tuttavia, l’industria del gioco d’azzardo potrebbe essere rimasta un po’ indietro rispetto all’affermazione dell’ICO secondo cui il 95% dei primi 1.000 siti nel Regno Unito è conforme alle normative sui cookie e sul tracciamento.

Lo studio espone i dark pattern nei cookie dei siti di gioco d’azzardo

Lo studio è stato condotto presso il GREAT Centre dell’Università di Swansea ed è stato inizialmente riportato in un articolo su The Guardian. L’obiettivo era scoprire come gli operatori di gioco d’azzardo online raccolgono e tracciano i dati dei consumatori, e se questi vengono utilizzati per personalizzare eventuali incentivi (bonus). Sono stati effettuati audit su 624 siti di gioco d’azzardo licenziati UKGC, e il rapporto ha rilevato che:

• 86% dei siti presentava almeno 1 dark pattern
• 67% trattava dati personalmente identificabili
• 47% offriva il rifiuto del tracciamento solo dopo un secondo livello di impostazioni dei cookie
• 22% non offriva alcuna opzione per rifiutare il tracciamento
• Solo il 14% era conforme al GDPR

Si tratta di cifre piuttosto elevate, e i giocatori e scommettitori del Regno Unito hanno ragione a sentirsi inquieti per la quota apparentemente schiacciante di siti registrati che ignorano la loro privacy. Non si tratta nemmeno di siti loschi del mercato nero o offshore. Operatori come William Hill e Ladbrokes erano tra quelli che avevano già raccolto i dati degli utenti prima che fossero offerti i moduli di consenso. Hollywood Bets e la popolare società di slot su strada Admiral Casino sono stati scoperti per non aver fornito opzioni ai clienti per disattivare il tracciamento.

Cosa sono i dark pattern

Un sito che rifiuta categoricamente di offrire un’opzione per disattivare i cookie viola direttamente le leggi sulla conformità al GDPR, ma i dark pattern sono più sfumati. Si tratta di pratiche subdole progettate per cogliere i clienti di sorpresa o “spingere” un visitatore del sito ad accettare i cookie, dal fornire caselle già spuntate al nascondere l’opzione di rifiuto del consenso in più sottomenu.

• Enfasi visiva (60%): L’opzione di accettare è evidenziata visivamente tramite colore, dimensione, contrasto o posizionamento
• Opzioni pre-selezionate (29%): Opzioni poco rispettose della privacy sono pre-selezionate per impostazione predefinita
• Opzione di rifiuto nascosta (47%): L’opzione di rifiuto non è disponibile nel primo livello del banner
• Nessuna opzione di rifiuto (22%): Il banner informa gli utenti che i dati vengono raccolti ma non offre alcuna opzione per rifiutarli
• Nessun banner (2%): Nessun banner di consenso è presente sul sito

Tecnicamente, i siti che offrono l’opzione di disattivare il tracciamento ma usano dispositivi visivi per ingannare i clienti sono comunque conformi al GDPR. Moralmente no, ma secondo il quadro normativo lo sono. Anche le opzioni di rifiuto nascoste, che hanno riguardato 293 dei siti esaminati (47%), sono dibattibilmente legali. Tecnicalmente, l’ICO afferma esplicitamente che rifiutare il tracciamento deve essere facile quanto accettarlo.

Come ciò influisce sui clienti

Per la maggior parte dei visitatori, il problema immediato non è che un sito di gioco d’azzardo possa improvvisamente accedere al loro conto bancario o vedere tutto ciò che fanno online. Piuttosto, la preoccupazione è che le informazioni sulla loro attività possano essere raccolte e potenzialmente condivise con terze parti prima che abbiano acconsentito a questo tracciamento. Ad esempio, un visitatore potrebbe arrivare a un casinò online e navigare tra diversi giochi di slot prima di decidere se registrarsi. Le tecnologie di tracciamento potrebbero potenzialmente registrare informazioni su quella visita, a seconda delle tecnologie utilizzate dal sito.

Ciò può includere informazioni come le pagine visitate, il dispositivo utilizzato, il comportamento di navigazione e gli identificatori che consentono di associare l’attività allo stesso visitatore. Se queste informazioni vengono condivise con terze parti che collaborano con altri siti di gioco d’azzardo, esse possono mirare specificamente a quei giocatori con incentivi e offerte di iscrizione allettanti per attrarre questi potenziali futuri clienti.

Ciò crea un serio problema di privacy per i giocatori online nel Regno Unito. Lo studio lo descrive come capitalismo della sorveglianza – in cui i tuoi dati sono inestimabili per gli operatori, poiché possono personalizzare i loro prodotti alle tue esigenze e utilizzare queste informazioni raccolte per ottenere il tuo business. Gli operatori di gioco d’azzardo del Regno Unito spendono circa £1,1‑2 miliardi all’anno solo in pubblicità per il gioco d’azzardo, con oltre due terzi di questa spesa che avviene online. L’obiettivo è scoprire le preferenze del giocatore, ma anche tracciare la sua attività nel tempo. Ed è qui che può trasformarsi in un territorio pericoloso.

Pericoli del software di tracciamento e dei cookie non controllati

Poiché l’utente medio può semplicemente vedere la pioggia di annunci di gioco d’azzardo come promozioni irritanti che occupano spazio sullo schermo, e passarle oltre senza ulteriori riflessioni. Ma per i giocatori problematici, può innescare risposte emotive, spingendoli a tentare la fortuna cogliendo un nuovo bonus o aderendo a qualche tipo di offerta promozionale.

Un’indagine del 2025 da parte di The Observer ha rilevato il tracciamento Meta Pixel su circa un terzo di 150 siti di gioco d’azzardo con licenza UK, con alcuni che inviavano informazioni sull’attività degli utenti a Meta prima che fosse stato fornito il consenso al marketing. I ricercatori hanno successivamente ricevuto pubblicità di gioco d’azzardo su Facebook, mentre lo studio di Swansea ha evidenziato la sovrapposizione tra comportamenti di gioco redditizi e schemi associati al danno da gioco d’azzardo.

Ciò solleva preoccupazioni sul fatto che gli stessi dati utilizzati per comprendere il comportamento dei clienti possano potenzialmente essere usati per mirare a persone già vulnerabili al gioco d’azzardo problematico. Per un giocatore che mostra già segnali di comportamento problematico, la pubblicità di gioco d’azzardo personalizzata potrebbe quindi rafforzare tale comportamento anziché aiutarlo a allontanarsene.

Le leggi del Regno Unito sul consenso dei cookie

Le norme relative ai cookie sono principalmente regolate dal Privacy and Electronic Communications Regulations (PECR), insieme al GDPR del Regno Unito quando sono coinvolti dati personali. L’ICO afferma che i siti web devono informare gli utenti che cookie o tecnologie simili sono in uso, spiegare cosa fanno e, dove è richiesto il consenso, ottenere l’autorizzazione prima di memorizzare o accedere a informazioni sul dispositivo dell’utente.

Esistono eccezioni per le tecnologie strettamente necessarie al funzionamento di un servizio. Tuttavia, le tecnologie di pubblicità e tracciamento non essenziali richiedono generalmente il consenso. Fondamentale è che l’ICO afferma che rifiutare queste tecnologie deve essere facile quanto accettarle. Il consenso deve inoltre comportare un’azione positiva chiara, il che significa che il semplice proseguimento della navigazione su un sito web non costituisce consenso. Gli utenti possono anche revocare il consenso in un secondo momento. Se lo fanno, l’organizzazione deve cessare di fare affidamento su quel consenso per il trattamento pertinente e dovrebbe rimuovere le tecnologie di memorizzazione e accesso associate, ove necessario.

Sforzi per combattere gli annunci di gioco d’azzardo non richiesti

Il Regno Unito ha già introdotto regole sempre più rigorose sulla pubblicità del gioco d’azzardo e sulla protezione dei giocatori, mentre la UK Gambling Commission ha ampliato la quantità di informazioni comportamentali e finanziarie che gli operatori devono monitorare. Queste includono l’introduzione di valutazioni del rischio finanziario per i clienti con spese elevate, leggi più severe sulla pubblicità del gioco d’azzardo che mirano a siti di streaming illegali e anche alla distribuzione di annunci di gioco d’azzardo sui social media. Inoltre, l’ICO ha, negli ultimi anni, intensificato gli sforzi per combattere le carenze della privacy online.

Nel 2024, l’ICO ha intrapreso un’azione contro Sky Betting & Gaming dopo aver scoperto che l’operatore aveva usato i cookie per elaborare le informazioni personali dei clienti per pubblicità mirata senza il consenso richiesto. Sky Betting & Gaming ha successivamente apportato modifiche per garantire che i clienti potessero rifiutare i cookie pubblicitari prima che le loro informazioni fossero condivise per tali scopi.

Gli operatori sono sempre più tenuti a monitorare il comportamento dei clienti per identificare potenziali danni legati al gioco d’azzardo, ma i clienti hanno anche legittime aspettative che le loro informazioni personali non vengano raccolte o utilizzate senza un consenso adeguato. È quindi necessario trovare un equilibrio tra il monitoraggio responsabile del gioco d’azzardo e la privacy dei consumatori. I cookie e il software di tracciamento hanno i loro usi, ma usarli per mirare ai giocatori – o venderli a terze parti – ne compromette i benefici. Una cosa che questo rapporto ha mostrato è che gli operatori di gioco d’azzardo nel Regno Unito hanno ancora molta strada da fare per creare trasparenza e dare ai giocatori più controllo sui propri dati privati.