UKs gambling‑nettsteder får GDPR‑granskning etter at 86% av cookie‑testen feilet

En ny studie ved Swansea University har avdekket at 86 % av britiske gambling‑nettsteder har brukt «dark patterns» i forbindelse med cookie‑samtykke. Selv om dette ikke nødvendigvis utgjør et direkte brudd på GDPR‑praksis, viser de alvorlige problemer med hvordan sporingsprogramvaren og personlig identifiserbar informasjon lagres, noe som potensielt krenker besøkendes personvern.

Datainnsamling har mange nyttige bruksområder, da den kan bidra til personalisering, gi analytiske data og til og med brukes til annonsering. Men for gambling‑kunder kan den også avsløre viktig informasjon om deres preferanser for gambling‑nettsteder, hyppighet og eventuelle betydelige endringer i atferd over tid.

Denne rapporten kommer samtidig som Information Commissioner’s Office (ICO) fortsetter arbeidet med å forbedre etterlevelsen av cookie‑ og sporingsregler på nettet generelt. Gambling‑bransjen kan imidlertid ha havnet litt bak ICOs påstand om at 95 % av de 1 000 beste nettstedene i Storbritannia overholder cookie‑ og sporingsreguleringene.

Studie avdekker dark patterns i gambling‑nettsteds‑cookies

Studien ble utført ved Swansea Universitys GREAT‑senter og ble først omtalt i en artikkel i The Guardian. Målet var å finne ut hvordan nettbaserte gambling‑operatører samler inn og sporer forbrukerdata, og om dette brukes til å personalisere insentiver (bonuser). Revisjoner ble gjort på 624 UKGC‑lisensierte gambling‑nettsteder, og rapporten fant at:

• 86 % av nettstedene hadde minst ett dark pattern
• 67 % behandlet personlig identifiserbare data
• 47 % tilbød avvisning av sporing kun etter et andre lag med cookie‑innstillinger
• 22 % tilbød ingen mulighet til å avvise sporing
• Kun 14 % var GDPR‑kompatible

Dette er ganske høye tall, og britiske spillere og spillere har god grunn til å føle seg urolige over den tilsynelatende overveldende andelen registrerte nettsteder som ignorerer deres personvern. Dette er heller ikke tvilsomme svartmarked‑ eller offshore‑nettsteder. Operatører som William Hill og Ladbrokes var blant dem som allerede samlet inn brukerdata før samtykkeskjemaene ble presentert. Hollywood Bets og det populære gate‑slot‑firmaet Admiral Casino ble avslørt for å ikke gi kundene mulighet til å slå av sporing.

Hva er dark patterns

Et nettsted som direkte nekter å gi deg muligheten til å slå av cookies, bryter direkte GDPR‑lovgivningen, men dark patterns er mer nyanserte. De er lurvete praksiser som er utformet for å overraske kunder eller «presse» en nettstedsbesøkende til å godta cookies, fra å tilby forhåndsmerkede bokser til å skjule muligheten til å avvise samtykke i flere undermenyer.

Studien observerte følgende:

• Visuell vekt (60%): Godkjenn‑alternativet er visuelt fremhevet gjennom farge, størrelse, kontrast eller plassering)
• Forhåndsvalgte alternativer (29%): Personvern‑ugunstige alternativer er forhåndsvalgt som standard
• Skjult avvisningsalternativ (47%): Avvisningsalternativet er ikke tilgjengelig på første lag av banneret
• Ingen mulighet til å avvise (22%): Banneret informerer brukerne om at data samles inn, men gir ingen mulighet til å avvise
• Ingen banner (2%): Ingen samtykkebanner er tilstede på nettstedet

Teknisk sett er nettsteder som gir muligheten til å slå av sporing, men bruker visuelle virkemidler for å lure kundene, fortsatt GDPR‑kompatible. Moralsk sett er de det ikke, men i henhold til lovverket er de det. Selv skjulte avvisningsalternativer, som utgjorde 293 av de gjennomgåtte nettstedene (47 %), er omdiskutabelt innenfor loven. Teknisk sett sier ICO eksplisitt at avvisning av sporing må være like enkelt som å godta den.

Hvordan dette påvirker kunder

For de fleste besøkende er det umiddelbare problemet ikke at et gambling‑nettsted plutselig kan få tilgang til bankkontoen deres eller se alt de gjør på nettet. Bekymringen er i stedet at informasjon om deres aktivitet kan samles inn og potensielt deles med tredjeparter før de har gitt samtykke til sporing. For eksempel kan en besøkende komme inn på et nettcasino og bla gjennom flere spilleautomater før de bestemmer seg for om de vil registrere seg. Sporings‑teknologier kan potensielt registrere informasjon om besøket, avhengig av hvilke teknologier nettstedet benytter.

Dette kan inkludere informasjon som hvilke sider som er besøkt, hvilken enhet som brukes, nettleseratferd og identifikatorer som gjør det mulig å knytte aktiviteten til den samme besøkende. Hvis denne informasjonen deles med tredjeparter som samarbeider med andre gambling‑nettsteder, kan de spesifikt målrette disse spillerne med insentiver og fristende registreringstilbud for å tiltrekke potensielle fremtidige kunder.

Dette skaper et alvorlig personvernproblem for nettgamblere i Storbritannia. Studien beskriver dette som overvåkningskapitalisme – hvor dataene dine er uvurderlige for operatørene, ettersom de kan skreddersy produktene sine etter dine behov og bruke den innsamlede informasjonen for å sikre seg din virksomhet. De britiske gambling‑operatørene bruker omtrent £1,1 til £2 milliarder per år kun på gambling‑annonsering, hvor over to tredjedeler skjer på nettet. Formålet er å finne ut en spillers preferanser, men også å spore deres aktivitet over tid. Det er her det kan gå over i farlig territorium.

Farlighetene ved sporingsprogramvare og ukontrollerte cookies

Fordi den gjennomsnittlige brukeren kanskje bare ser den mengden gambling‑annonser som irriterende promosjoner som tar opp plass på skjermen, og bare blar forbi dem uten videre ettertanke. Men for problemspillere kan det utløse emosjonelle reaksjoner, som får dem til å prøve lykken ved å gripe en ny bonus eller melde seg på en slags kampanjetilbud.

En undersøkelse fra 2025 utført av The Observer fant Meta Pixel‑sporing på omtrent en tredjedel av 150 UK‑lisensierte gambling‑nettsteder, hvor noen sendte informasjon om brukernes aktivitet til Meta før markedsføringssamtykke var gitt. Forskerne mottok deretter gambling‑annonser på Facebook, mens Swansea‑studien fremhevet overlappen mellom lønnsom gambling‑atferd og mønstre knyttet til gambling‑skade.

Dette reiser bekymringer om at de samme dataene som brukes til å forstå kundeadferd, potensielt kan brukes til å målrette personer som allerede er sårbare for problemgambling. For en spiller som allerede viser tegn på problematisk atferd, kan personlig gambling‑annonsering dermed forsterke atferden i stedet for å hjelpe dem med å trekke seg tilbake.

De britiske lovene om cookie‑samtykke

Reglene rundt cookies styres hovedsakelig av Privacy and Electronic Communications Regulations (PECR), i tillegg til UK‑GDPR når personopplysninger er involvert. ICO sier at nettsteder må informere brukerne om at cookies eller lignende teknologier brukes, forklare hva de gjør, og der samtykke er påkrevd, innhente tillatelse før lagring eller tilgang til informasjon på brukerens enhet.

Det finnes unntak for teknologier som er strengt nødvendige for at en tjeneste skal fungere. Men ikke‑essensielle annonserings‑ og sporings‑teknologier krever vanligvis samtykke. Viktig er at ICO sier at avvisning av disse teknologiene må være like enkelt som å godta dem. Samtykke må også innebære en klar positiv handling, noe som betyr at det å bare fortsette å surfe på et nettsted ikke utgjør samtykke. Brukere kan også trekke tilbake samtykket senere. Dersom de gjør det, må en organisasjon slutte å basere seg på dette samtykket for den aktuelle behandlingen og bør fjerne de tilknyttede lagrings‑ og tilgangsteknologiene der det er påkrevd.

Tiltak for å bekjempe uønsket gambling‑annonsering

Storbritannia har allerede innført stadig strengere regler for gambling‑annonsering og spillerbeskyttelse, mens UK Gambling Commission også har utvidet mengden atferds‑ og finansiell informasjon som operatører forventes å overvåke. Dette inkluderer innføringen av økonomiske risikovurderinger for kunder med høyt forbruk, strengere gambling‑annonseringslover som retter seg mot ulovlige strømmesider og også deling av gambling‑annonser på sosiale medier. ICO har i tillegg, de siste årene, intensifisert innsatsen for å bekjempe mangler i nettpersonvern.

I 2024 tok ICO tiltak mot Sky Betting & Gaming etter å ha funnet at operatøren hadde brukt cookies til å behandle kunders personlige informasjon for målrettet annonsering uten nødvendig samtykke. Sky Betting & Gaming foretok deretter endringer for å sikre at kunder kunne avvise annonserings‑cookies før deres informasjon ble delt for disse formålene.

Operatører forventes i økende grad å overvåke kundeadferd for å kunne identifisere potensiell gambling‑skade, men kundene har også legitime forventninger om at deres personlige informasjon ikke skal samles inn eller brukes uten korrekt samtykke. Det må derfor finnes en balanse mellom ansvarlig gambling‑overvåking og forbrukerpersonvern. Cookies og sporingsprogramvare har sine bruksområder, men å bruke disse til å målrette spillere – eller selge dem til tredjeparter – undergraver fordelene med programvaren. En ting denne rapporten har vist, er at gambling‑operatører i Storbritannia fortsatt har en vei å gå for å skape åpenhet og gi spillere mer kontroll over sine private data.