UK-goksites krijgen GDPR-toezicht na 86% mislukking bij cookie-test

Een nieuwe studie aan de Swansea University heeft aangetoond dat 86 % van de Britse goksites “dark patterns” heeft gebruikt met betrekking tot cookie‑toestemming. Hoewel dit niet per se een directe schending van de GDPR‑praktijken is, wijzen ze op serieuze problemen in de manier waarop de trackingsoftware en persoonlijk identificeerbare informatie worden bewaard, wat mogelijk de privacy van bezoekers schaadt.

Gegevensverzameling heeft vele nuttige toepassingen, omdat het kan helpen bij personalisatie, analytische data kan leveren en zelfs kan dienen voor reclame. Maar voor gokklanten kan het ook belangrijke informatie blootleggen over hun voorkeuren voor goksites, frequentie en eventuele belangrijke veranderingen in gedrag over tijd.

Dit rapport verschijnt terwijl de Information Commissioner’s Office (ICO) haar inspanningen voortzet om de naleving van cookie‑ en trackingregels op het bredere internet te verbeteren. De gokindustrie lijkt echter iets achter te blijven bij de bewering van de ICO dat 95 % van de top 1.000 sites in het VK voldoet aan de cookie‑ en trackingregelgeving.

Studie onthult dark patterns in cookies van goksites

De studie werd uitgevoerd bij het GREAT‑centrum van de Swansea University en werd voor het eerst behandeld in een artikel in The Guardian. Het doel was om te achterhalen hoe online gokoperators consumentendata verzamelen en volgen, en vervolgens of deze worden gebruikt om incentives (bonussen) te personaliseren. Audits werden uitgevoerd op 624 door de UKGC gelicentieerde goksites, en het rapport stelde vast dat:

• 86 % van de sites had minstens één dark pattern
• 67 % verwerkte persoonlijk identificeerbare gegevens
• 47 % bood afwijzing van tracking alleen aan na een tweede laag cookie‑instellingen
• 22 % bood geen optie om tracking af te wijzen
• Slechts 14 % was GDPR‑conform

Dit zijn nogal hoge cijfers, en Britse gamers en gokkers hebben alle reden om zich ongemakkelijk te voelen door het schijnbaar overweldigende aandeel geregistreerde sites dat hun privacy negeert. Het gaat ook niet om dubieuze zwarte‑markt‑ of offshore‑sites. Operators zoals William Hill en Ladbrokes behoorden tot degenen die al gebruikersdata verzamelden voordat de toestemmingsformulieren werden aangeboden. Hollywood Bets en het populaire high‑street slot‑bedrijf Admiral Casino werden blootgesteld omdat ze klanten geen mogelijkheid boden om tracking uit te schakelen.

Wat zijn dark patterns

Een site die categorisch weigert een optie te bieden om cookies uit te schakelen, schendt rechtstreeks de GDPR‑nalevingswetgeving, maar dark patterns zijn genuanceerder. Het zijn sluwe praktijken die bedoeld zijn om klanten te verrassen of een sitebezoeker te “pushen” om cookies te accepteren, variërend van reeds aangevinkte vakjes tot het verbergen van de afwijzingsoptie in meerdere submenu’s.

• Visuele nadruk (60%): De acceptatie‑optie wordt visueel benadrukt via kleur, grootte, contrast of positionering
• Vooraf geselecteerde opties (29%): Privacy‑onvriendelijke opties zijn standaard vooraf geselecteerd
• Verborgen afwijzingsoptie (47%): De afwijzingsoptie is niet beschikbaar op de eerste laag van de banner
• Geen optie om af te wijzen (22%): De banner informeert gebruikers dat gegevens worden verzameld, maar biedt geen afwijzingsmogelijkheid
• Geen banner (2%): Er is geen toestemmingsbanner aanwezig op de site

Technisch gezien zijn sites die wel een optie bieden om tracking uit te schakelen, maar visuele trucs gebruiken om klanten te misleiden, nog steeds GDPR‑conform. Moreel niet, maar volgens het wettelijke kader wel. Zelfs verborgen afwijzingsopties, die bij 293 van de beoordeelde sites (47 %) voorkwamen, vallen betwistbaar binnen de wet. Technisch stelt de ICO expliciet dat het weigeren van tracking net zo eenvoudig moet zijn als het accepteren ervan.

Hoe dit klanten beïnvloedt

Voor de meeste bezoekers is het directe probleem niet dat een gokwebsite plotseling toegang krijgt tot hun bankrekening of alles wat ze online doen kan inzien. Het gaat er eerder om dat informatie over hun activiteit kan worden verzameld en mogelijk met derden wordt gedeeld voordat zij toestemming hebben gegeven voor deze tracking. Bijvoorbeeld, een bezoeker kan een online casino betreden en verschillende slotgames bekijken voordat hij besluit zich te registreren. Trackingtechnologieën kunnen die bezoekinformatie potentieel registreren, afhankelijk van welke technologieën de website gebruikt.

Dit kan informatie omvatten zoals de bezochte pagina’s, het gebruikte apparaat, browsegedrag en identificatoren die de activiteit aan dezelfde bezoeker kunnen koppelen. Als deze informatie wordt gedeeld met derden die samenwerken met andere goksites, kunnen zij specifiek die spelers targeten met incentives en aantrekkelijke aanmeldingsaanbiedingen om deze potentiële toekomstige klanten aan te trekken.

Dit schept een ernstig privacy‑probleem voor online gokkers in het VK. De studie beschrijft dit als surveillance‑kapitalisme – waarbij jouw data onschatbaar is voor operators omdat zij hun producten op jouw behoeften kunnen afstemmen en deze verzamelde informatie gebruiken om jouw zaken te winnen. De Britse gokoperators besteden alleen al tussen £1,1 en £2 billion per jaar aan gokreclame, waarbij meer dan tweederde hiervan online plaatsvindt. Het is gericht op het achterhalen van de voorkeuren van een speler, maar ook op het volgen van hun activiteit over een langere periode. En dat is waar het kan omslaan naar gevaarlijk terrein.

Gevaar van trackingsoftware en ongecontroleerde cookies

Omdat de gemiddelde gebruiker de stortvloed aan gokadvertenties wellicht alleen ziet als irritante promoties die ruimte innemen op hun scherm, en er zonder verder nadenken langs scrollt. Maar voor de problematische gokkers kan dit emotionele reacties oproepen, waardoor ze worden aangemoedigd om hun geluk te beproeven door een nieuwe bonus te grijpen of in te gaan op een soort promotieaanbod.

Een onderzoek uit 2025 door The Observer vond Meta‑Pixel‑tracking op ongeveer een derde van 150 in het VK gelicentieerde goksites, waarbij sommige informatie over de activiteit van gebruikers naar Meta stuurden voordat marketingtoestemming was gegeven. Onderzoekers ontvingen vervolgens gokadvertenties op Facebook, terwijl de Swansea‑studie de overlap benadrukte tussen winstgevend gokgedrag en patronen die geassocieerd worden met gokschade.

Dit wekt bezorgdheid dat dezelfde data die wordt gebruikt om klantgedrag te begrijpen, potentieel kan worden ingezet om mensen te targeten die al kwetsbaar zijn voor problematisch gokken. Voor een speler die al tekenen van problematisch gedrag vertoont, kan gepersonaliseerde gokreclame derhalve het gedrag versterken in plaats van te helpen afstand te nemen.

De Britse wetgeving over cookie‑toestemming

De regels rond cookies worden voornamelijk beheerst door de Privacy and Electronic Communications Regulations (PECR), naast de UK‑GDPR wanneer persoonlijke gegevens betrokken zijn. De ICO stelt dat websites gebruikers moeten informeren dat cookies of vergelijkbare technologieën worden gebruikt, moeten uitleggen wat ze doen en, waar toestemming vereist is, toestemming moeten verkrijgen voordat ze informatie op het apparaat van een gebruiker opslaan of benaderen.

Er zijn uitzonderingen voor technologieën die strikt noodzakelijk zijn voor het functioneren van een dienst. Niet‑essentiële reclame‑ en trackingtechnologieën vereisen doorgaans toestemming. Cruciaal is dat de ICO aangeeft dat het weigeren van deze technologieën net zo eenvoudig moet zijn als het accepteren ervan. Toestemming moet bovendien een duidelijke positieve handeling omvatten, wat betekent dat simpelweg blijven browsen op een website geen toestemming vormt. Gebruikers kunnen hun toestemming later ook intrekken. Als ze dat doen, moet een organisatie stoppen met het baseren op die toestemming voor de betreffende verwerking en, waar nodig, de gekoppelde opslag‑ en toegangstechnologieën verwijderen.

Inspanningen om ongewenste gokadvertenties te bestrijden

Het VK heeft al steeds strengere regels ingevoerd rond gokreclame en spelersbescherming, terwijl de UK Gambling Commission ook de hoeveelheid gedrags‑ en financiële informatie die operators moeten monitoren heeft uitgebreid. Dit omvat de introductie van financiële risico‑assessments voor klanten met hoge uitgaven, strengere gokadvertentiewetten die zich richten op illegale stream‑sites en ook op distributie van gokadvertenties op sociale media. Bovendien heeft de ICO de afgelopen jaren haar inspanningen opgevoerd om tekortkomingen in online privacy aan te pakken.

In 2024 nam de ICO acties tegen Sky Betting & Gaming nadat bleek dat de operator cookies had gebruikt om persoonlijke informatie van klanten te verwerken voor gerichte reclame zonder de vereiste toestemming. Sky Betting & Gaming heeft vervolgens wijzigingen doorgevoerd om ervoor te zorgen dat klanten reclame‑cookies konden afwijzen voordat hun gegevens voor die doeleinden werden gedeeld.

Operators worden steeds meer verwacht klantgedrag te monitoren om potentiële gokschade te identificeren, maar klanten hebben ook legitieme verwachtingen dat hun persoonlijke informatie niet wordt verzameld of gebruikt zonder juiste toestemming. Er moet dus een evenwicht worden gevonden tussen verantwoord gokmonitoring en consumentenprivacy. Cookies en trackingsoftware hebben hun nut, maar het inzetten hiervan om spelers te targeten – of ze aan derden te verkopen – ondermijnt de voordelen van de software. Eén ding dat dit rapport heeft aangetoond, is dat gokoperators in het VK nog een weg te gaan hebben om transparantie te creëren en spelers meer controle over hun privé‑data te geven.