Brittiska spelwebbplatser möter GDPR‑granskning efter 86% misslyckande i cookie‑test

En ny studie vid Swansea University har avslöjat att 86 % av de brittiska spelwebbplatserna har använt ”dark patterns” i samband med cookie‑samtycke. Även om dessa inte nödvändigtvis utgör ett direkt brott mot GDPR‑praxis visar de allvarliga problem med hur spårningsprogramvaran och personligt identifierbar information lagras, vilket potentiellt inkräktar på besökarnas integritet.

Datainsamling har många fördelaktiga användningsområden, eftersom den kan hjälpa till med personalisering, ge analytisk data och även användas för reklamsyften. Men för spelkunder kan den också avslöja viktig information om deras preferenser för spelwebbplatser, frekvens och eventuella betydande förändringar i beteende över tid.

Denna rapport kommer samtidigt som Information Commissioner’s Office (ICO) fortsätter sina ansträngningar att förbättra efterlevnaden av cookie‑ och spårningsregler på internet i stort. Spelindustrin kan dock ha halkat efter ICO:s påstående att 95 % av de 1 000 främsta webbplatserna i Storbritannien följer cookie‑ och spårningsbestämmelserna.

Studien avslöjar mörka mönster i spelwebbplatsers cookies

Studien genomfördes vid Swansea Universitys GREAT Centre och rapporterades först i en artikel i The Guardian. Målet var att ta reda på hur online‑speloperatörer samlar in och spårar konsumentdata, samt om den används för att skräddarsy incitament (bonusar). Revisioner gjordes på 624 UKGC‑licensierade spelwebbplatser, och rapporten fann att:

• 86 % av webbplatserna hade minst ett mörkt mönster
• 67 % behandlade personligt identifierbar data
• 47 % erbjöd avvisning av spårning först efter ett andra lager av cookie‑inställningar
• 22 % erbjöd ingen möjlighet att avvisa spårning
• Endast 14 % var GDPR‑kompatibla

Dessa siffror är ganska höga, och brittiska spelare och vadslagningsentusiaster har goda skäl att känna sig oroade över den till synes överväldigande andelen registrerade webbplatser som ignorerar deras integritet. Det handlar inte heller om skumma svarta marknads‑ eller offshore‑sajter. Operatörer som William Hill och Ladbrokes var bland dem som redan samlade in användardata innan samtyckesformulären erbjöds. Hollywood Bets och det populära high‑street‑slot‑företaget Admiral Casino avslöjades för att inte erbjuda kunder möjlighet att stänga av spårning.

Vad är mörka mönster

En webbplats som tydligt vägrar ge dig möjlighet att stänga av cookies bryter direkt mot GDPR‑lagarna, men mörka mönster är mer nyanserade. De är listiga metoder som är avsedda att överraska kunder eller ”trycka” en webbplatsbesökare att acceptera cookies, allt från förifyllda kryssrutor till att dölja alternativet att avvisa samtycke i flera undermenyer.

Studien observerade följande:

• Visuell betoning (60%): Godkänn‑alternativet betonas visuellt genom färg, storlek, kontrast eller placering)
• Förvalda alternativ (29%): Integritetsovänliga alternativ är förvalda som standard
• Dolt avvisningsalternativ (47%): Avvisningsalternativet är inte tillgängligt i det första lagret av bannern
• Ingen möjlighet att avvisa (22%): Bannern informerar användarna om att data samlas in men erbjuder ingen möjlighet att avvisa
• Ingen banner (2%): Ingen samtyckesbanner finns på webbplatsen

Tekniskt sett är webbplatser som erbjuder möjlighet att stänga av spårning men använder visuella knep för att lura kunder fortfarande GDPR‑kompatibla. Moraliskt är de det inte, men enligt lagens ramverk är de det. Även dolda avvisningsalternativ, som utgjorde 293 av de granskade webbplatserna (47 %), kan diskuteras som lagliga. Teknisk sett säger ICO uttryckligen att avvisning av spårning måste vara lika enkelt som att acceptera den.

Hur detta påverkar kunder

För de flesta besökare är det omedelbara problemet inte att en spelwebbplats plötsligt kan komma åt deras bankkonto eller se allt de gör online. Istället är oron att information om deras aktivitet kan samlas in och potentiellt delas med tredje part innan de har samtyckt till spårningen. Till exempel kan en besökare hamna på ett online‑casino och bläddra bland flera slot‑spel innan de bestämmer sig för att registrera sig. Spårningstekniker kan potentiellt registrera information om besöket, beroende på vilka tekniker webbplatsen använder.

Det kan inkludera information såsom vilka sidor som besökts, vilken enhet som används, surfbeteende och identifierare som möjliggör att aktiviteten kopplas till samma besökare. Om denna information delas med tredje parter som samarbetar med andra spelwebbplatser, kan de specifikt rikta sig mot dessa spelare med incitament och lockande registreringserbjudanden för att attrahera potentiella framtida kunder.

Det skapar ett allvarligt integritetsproblem för online‑spelare i Storbritannien. Studien beskriver detta som övervakningskapitalism – där din data är ovärderlig för operatörerna eftersom de kan skräddarsy sina produkter efter dina behov och använda den insamlade informationen för att vinna din affär. De brittiska speloperatörerna spenderar omkring £1,1–£2 miljarder per år enbart på spelreklam, varav mer än två tredjedelar sker online. Syftet är att ta reda på en spelares preferenser, men också att spåra deras aktivitet över tid. Det är här det kan glida in i farligt territorium.

Riskerna med spårningsprogramvara och okontrollerade cookies

Eftersom den genomsnittliga användaren kanske bara ser den ström av spelannonser som irriterande promotioner som tar upp plats på skärmen och bara ignorerar dem utan vidare eftertanke. Men för problemspelare kan det utlösa emotionella reaktioner, som lockar dem att pröva lyckan genom att ta ett nytt bonus eller gå med på någon form av kampanjerbjudande.

En undersökning från 2025 av The Observer fann Meta‑Pixel‑spårning på omkring en tredjedel av 150 UK‑licensierade spelwebbplatser, där vissa skickade information om användarnas aktivitet till Meta innan marknadssamtycke hade getts. Forskare fick därefter spelannonser på Facebook, medan Swansea‑studien belyste överlappningen mellan lönsam spelbeteende och mönster som är förknippade med spelskador.

Det väcker oro för att samma data som används för att förstå kundbeteende potentiellt kan användas för att rikta in sig på personer som redan är sårbara för spelproblem. För en spelare som redan visar tecken på problematiskt beteende kan personlig spelreklam därför förstärka beteendet snarare än hjälpa dem att ta ett steg bort från det.

De brittiska lagarna om cookie‑samtycke

Reglerna kring cookies styrs främst av Privacy and Electronic Communications Regulations (PECR), tillsammans med UK‑GDPR när personuppgifter är inblandade. ICO säger att webbplatser måste informera användarna om att cookies eller liknande teknologier används, förklara vad de gör och, där samtycke krävs, inhämta tillåtelse innan de lagrar eller får åtkomst till information på en användares enhet.

Det finns undantag för teknologier som är strikt nödvändiga för att en tjänst ska fungera. Men icke‑nödvändig reklam‑ och spårningsteknik kräver i allmänhet samtycke. Avgörande är att ICO säger att avvisning av dessa teknologier måste vara lika enkelt som att acceptera dem. Samtycke måste också innebära en tydlig positiv handling, vilket betyder att bara fortsätta surfa på en webbplats inte utgör samtycke. Användare kan även återkalla samtycket senare. Om de gör det måste en organisation sluta förlita sig på det samtycket för den aktuella behandlingen och bör ta bort den associerade lagrings‑ och åtkomsttekniken där så krävs.

Insatser för att bekämpa oönskade spelannonser

Storbritannien har redan infört allt striktare regler kring spelreklam och spelar‑skydd, samtidigt som UK Gambling Commission har utökat mängden beteende‑ och finansiell information som operatörer förväntas övervaka. Detta inkluderar införandet av finansiella riskbedömningar för högspenderande kunder, striktare lagar för spelannonser som riktar sig mot olagliga streaming‑sajter och även spridning av spelannonser på sociala medier. ICO har dessutom under de senaste åren intensifierat sina insatser för att motverka brister i online‑integritet.

År 2024 tog ICO åtgärder mot Sky Betting & Gaming efter att ha upptäckt att operatören använde cookies för att behandla kunders personliga information för riktad reklam utan erforderligt samtycke. Sky Betting & Gaming gjorde därefter förändringar för att säkerställa att kunder kunde avvisa reklamacookies innan deras information delades för dessa ändamål.

Operatörer förväntas i allt högre grad övervaka kundbeteende för att kunna identifiera potentiell spelskada, men kunder har också legitima förväntningar på att deras personliga information inte samlas in eller används utan korrekt samtycke. Det krävs därför en balans mellan ansvarsfull spelövervakning och konsumentintegritet. Cookies och spårningsprogramvara har sina användningsområden, men att använda dem för att rikta sig mot spelare – eller sälja dem till tredje part – undergräver mjukvarans fördelar. En sak som denna rapport har visat är att speloperatörer i Storbritannien fortfarande har en bit kvar att gå för att skapa transparens och ge spelare mer kontroll över sin privata data.