Brytyjskie serwisy hazardowe poddane kontroli GDPR po 86% niepowodzenia testu plików cookie

Nowe badanie przeprowadzone na Uniwersytecie w Swansea wykazało, że 86 % brytyjskich serwisów hazardowych używa „ciemnych wzorców” związanych ze zgodą na pliki cookie. Choć niekoniecznie naruszają one bezpośrednio przepisy GDPR, wskazują na poważne problemy z tym, jak oprogramowanie śledzące i dane osobowe są przechowywane, co może naruszać prywatność odwiedzających.

Zbieranie danych ma wiele korzystnych zastosowań – może wspierać personalizację, dostarczać dane analityczne oraz służyć celom reklamowym. Jednak dla klientów hazardowych może ujawniać istotne informacje o ich preferencjach dotyczących stron hazardowych, częstotliwości korzystania oraz ważnych zmianach zachowań w czasie.

Raport pojawia się w momencie, gdy Urząd Komisarza ds. Informacji (ICO) kontynuuje działania mające na celu poprawę zgodności z zasadami dotyczącymi plików cookie i śledzenia w całym internecie. Branża hazardowa może jednak nieco odstawać od twierdzenia ICO, że 95 % najważniejszych 1 000 stron w Wielkiej Brytanii spełnia wymogi dotyczące plików cookie i śledzenia.

Badanie ujawnia ciemne wzorce w plikach cookie serwisów hazardowych

Badanie zostało przeprowadzone w GREAT Centre Uniwersytetu w Swansea i po raz pierwszy opisane w artykule w The Guardian. Celem było ustalenie, w jaki sposób operatorzy hazardu online zbierają i śledzą dane konsumentów oraz czy są one wykorzystywane do personalizacji zachęt (bonusów). Audyt przeprowadzono na 624 licencjonowanych przez UKGC serwisach hazardowych, a raport wykazał, że:

• 86 % stron miało przynajmniej jeden ciemny wzorzec
• 67 % przetwarzało dane umożliwiające identyfikację osoby
• 47 % oferowało odrzucenie śledzenia dopiero po przejściu do drugiej warstwy ustawień plików cookie
• 22 % nie oferowało możliwości odrzucenia śledzenia
• Tylko 14 % było zgodnych z GDPR

Są to dość wysokie liczby i brytyjscy gracze oraz obstawiający mają pełne prawo czuć się niepewnie wobec pozornie przytłaczającej części zarejestrowanych stron, które lekceważą ich prywatność. Nie są to również podejrzane serwisy z czarnego rynku czy offshore. Operatorzy tacy jak William Hill i Ladbrokes należeli do tych, którzy już zbierali dane użytkowników przed zaoferowaniem formularzy zgody. Hollywood Bets oraz popularny stacjonarny dostawca automatów Admiral Casino zostali ujawnieni jako nieudostępniający klientom możliwości wyłączenia śledzenia.

Czym są ciemne wzorce

Strona, która wprost odmawia podania opcji wyłączenia plików cookie, narusza bezpośrednio przepisy GDPR, ale ciemne wzorce są bardziej zniuansowane. Są to podstępne praktyki mające na celu zaskoczenie klientów lub „popchnięcie” odwiedzającego stronę do zaakceptowania plików cookie, począwszy od wstępnie zaznaczonych pól wyboru po ukrywanie opcji odrzucenia zgody w wielu podmenu.

Badanie wykazało następujące:

• Wizualne podkreślenie (60 %): Opcja akceptacji jest wizualnie wyróżniona kolorem, rozmiarem, kontrastem lub pozycją)
• Wstępnie wybrane opcje (29 %): Opcje nieprzyjazne prywatności są domyślnie zaznaczone
• Ukryta opcja odrzucenia (47 %): Opcja odrzucenia nie jest dostępna w pierwszej warstwie banera
• Brak opcji odrzucenia (22 %): Baner informuje użytkowników o zbieraniu danych, ale nie oferuje możliwości odrzucenia
• Brak banera (2 %): Na stronie nie ma banera zgody

Technicznie, strony oferujące możliwość wyłączenia śledzenia, ale stosujące wizualne sztuczki wprowadzające w błąd klientów, nadal są zgodne z GDPR. Moralnie nie, ale zgodnie z ramami prawnymi tak jest. Nawet ukryte opcje odrzucenia, które występowały w 293 z badanych stron (47 %), są dyskusyjnie zgodne z prawem. Technicznie ICO wyraźnie stwierdza, że odrzucenie śledzenia musi być tak samo proste, jak jego akceptacja.

Jak to wpływa na klientów

Dla większości odwiedzających natychmiastowy problem nie polega na tym, że serwis hazardowy może nagle uzyskać dostęp do ich konta bankowego lub zobaczyć wszystko, co robią w sieci. Chodzi raczej o obawę, że informacje o ich aktywności mogą być zbierane i potencjalnie udostępniane podmiotom trzecim, zanim wyrażą zgodę na takie śledzenie. Na przykład, odwiedzający może trafić do kasyna online i przeglądać kilka gier slotowych, zanim zdecyduje się zarejestrować. Technologie śledzenia mogą potencjalnie rejestrować informacje o tej wizycie, w zależności od używanych przez stronę technologii.

Może to obejmować informacje takie jak odwiedzane strony, używane urządzenie, zachowania podczas przeglądania oraz identyfikatory pozwalające powiązać aktywność z konkretnym odwiedzającym. Jeśli te dane zostaną udostępnione podmiotom trzecim współpracującym z innymi serwisami hazardowymi, mogą one celowo kierować do tych graczy zachęty i kuszące oferty rejestracji, aby przyciągnąć potencjalnych przyszłych klientów.

Stwarza to poważny problem prywatności dla internetowych graczy w Wielkiej Brytanii. Badanie opisuje to jako kapitalizm nadzoru – w którym twoje dane są bezcenne dla operatorów, ponieważ mogą dostosować swoje produkty do twoich potrzeb i wykorzystać zebrane informacje, aby pozyskać twoje pieniądze. Brytyjscy operatorzy hazardowi wydają rocznie od £1.1 do £2 miliardów funtów wyłącznie na reklamę hazardową, przy czym ponad dwie trzecie tej kwoty trafia do internetu. Celem jest poznanie preferencji gracza, ale także śledzenie jego aktywności w czasie. To właśnie tam może to przejść w niebezpieczne terytorium.

Zagrożenia związane z oprogramowaniem śledzącym i niekontrolowanymi plikami cookie

Średni użytkownik może postrzegać natłok reklam hazardowych jedynie jako irytujące promocje zajmujące miejsce na ekranie i po prostu je ignorować. Jednak dla osób z problemem hazardowym mogą one wywołać emocjonalne reakcje, skłaniając je do spróbowania szczęścia poprzez chwycenie nowego bonusu lub przyjęcie jakiejś oferty promocyjnej.

Śledztwo przeprowadzone w 2025 roku przez The Observer wykazało, że Meta Pixel był stosowany na około jednej trzeciej z 150 licencjonowanych w Wielkiej Brytanii serwisów hazardowych, przy czym niektóre przekazywały informacje o aktywności użytkowników do Meta przed uzyskaniem zgody marketingowej. Badacze później otrzymywali reklamy hazardowe na Facebooku, a badanie w Swansea podkreśliło nakładanie się dochodowego zachowania hazardowego z wzorcami związanymi ze szkodliwym hazardem.

Budzi to obawy, że te same dane wykorzystywane do zrozumienia zachowań klientów mogą potencjalnie służyć do celowania w osoby już podatne na problematyczny hazard. Dla gracza, który wykazuje oznaki problematycznych zachowań, spersonalizowana reklama hazardowa może więc wzmocnić te zachowania, zamiast pomóc mu się od nich odciągnąć.

Brytyjskie przepisy dotyczące zgody na pliki cookie

Zasady dotyczące plików cookie są głównie regulowane przez Rozporządzenie o Prywatności i Komunikacji Elektronicznej (PECR) oraz, w przypadku danych osobowych, przez brytyjską wersję GDPR. ICO podkreśla, że strony internetowe muszą informować użytkowników o używaniu plików cookie lub podobnych technologii, wyjaśniać ich działanie oraz, gdy wymagana jest zgoda, uzyskać pozwolenie przed przechowywaniem lub dostępem do informacji na urządzeniu użytkownika.

Istnieją wyjątki dla technologii niezbędnych do funkcjonowania usługi. Jednak technologie reklamowe i śledzące, które nie są niezbędne, zazwyczaj wymagają zgody. Co kluczowe, ICO stwierdza, że odrzucenie tych technologii musi być tak samo proste, jak ich akceptacja. Zgoda musi również obejmować wyraźne działanie pozytywne, co oznacza, że samo kontynuowanie przeglądania strony nie stanowi zgody. Użytkownicy mogą również wycofać zgodę później. Jeśli to zrobią, organizacja musi przestać polegać na tej zgodzie w związanym przetwarzaniu i powinna usunąć powiązane technologie przechowywania i dostępu, jeśli jest to wymagane.

Działania mające na celu zwalczanie niezamówionych reklam hazardowych

Wielka Brytania wprowadziła już coraz surowsze przepisy dotyczące reklamy hazardowej i ochrony graczy, a Komisja Hazardowa UK rozszerzyła zakres informacji behawioralnych i finansowych, które operatorzy powinni monitorować. Obejmuje to wprowadzenie oceny ryzyka finansowego dla klientów o wyższych wydatkach, surowsze przepisy dotyczące reklam hazardowych skierowane przeciwko nielegalnym stronom streamingowym oraz dystrybucji reklam hazardowych w mediach społecznościowych. ICO również w ostatnich latach zwiększyło wysiłki w zwalczaniu niedociągnięć prywatności online.

W 2024 roku ICO podjęło działania przeciwko Sky Betting & Gaming po stwierdzeniu, że operator używał plików cookie do przetwarzania danych osobowych klientów w celu ukierunkowanej reklamy bez wymaganego zgody. Sky Betting & Gaming wprowadziło później zmiany, aby zapewnić klientom możliwość odrzucenia plików cookie reklamowych przed udostępnieniem ich danych w tych celach.

Operatorzy są coraz częściej zobowiązani do monitorowania zachowań klientów, aby móc identyfikować potencjalne szkody związane z hazardem, ale klienci mają również uzasadnione oczekiwania, że ich dane osobowe nie będą zbierane ani wykorzystywane bez właściwej zgody. Dlatego konieczne jest znalezienie równowagi między odpowiedzialnym monitorowaniem hazardu a prywatnością konsumentów. Pliki cookie i oprogramowanie śledzące mają swoje zastosowania, ale wykorzystywanie ich do celowania w graczy – lub sprzedawanie ich podmiotom trzecim – podważa korzyści płynące z tych narzędzi. Jedną z rzeczy, które wykazał ten raport, jest fakt, że operatorzy hazardowi w Wielkiej Brytanii wciąż mają przed sobą wiele pracy, aby zapewnić przejrzystość i dać graczom większą kontrolę nad ich prywatnymi danymi.