英国赌博网站在86% Cookie 测试失败后面临 GDPR 监管审查

斯旺西大学的一项新研究显示，86% 的英国赌博网站在 Cookie 同意方面使用了“暗模式”。虽然这些做法不一定直接违反 GDPR，但它们暴露出追踪软件和个人可识别信息的保存方式存在严重问题，可能侵犯访客的隐私。

数据收集有诸多有益用途，可用于个性化服务、提供分析数据，甚至用于广告投放。但对于赌博用户而言，它也可能泄露其对赌博网站的偏好、使用频率以及随时间变化的行为轨迹等重要信息。

与此同时，信息专员办公室（ICO）正持续推动全网 Cookie 与追踪规则的合规工作。而赌博行业似乎在 ICO 声称英国前 1,000 大网站中有 95% 符合 Cookie 与追踪法规的背景下，仍稍显落后。

研究揭示赌博网站 Cookie 中的暗模式

该研究在斯旺西大学的 GREAT 中心进行，并首次在《卫报》的一篇报道中呈现。研究旨在了解在线赌博运营商如何收集和追踪消费者数据，以及这些数据是否用于个性化诱因（奖金）。研究审计了 624 家UKGC 许可的赌博网站，报告发现：:

• 86% 的网站至少存在一种暗模式
• 67% 处理了个人可识别数据
• 47% 仅在第二层 Cookie 设置后才提供拒绝追踪的选项
• 22% 未提供拒绝追踪的选项
• 仅有 14% 符合 GDPR 要求

这些数据相当高，英国的玩家和赌客完全有理由对如此大比例的注册网站忽视其隐私感到不安。这些网站并非黑市或离岸站点。像 William Hill 和 Ladbrokes 等运营商已经在提供同意表单之前就收集了用户数据。Hollywood Bets 以及受欢迎的高街老虎机公司Admiral Casino 也被发现未为客户提供关闭追踪的选项。

什么是暗模式

如果网站直接拒绝提供关闭 Cookie 的选项，则明显违反 GDPR 合规法规；而暗模式则更为微妙。它们是通过隐蔽手段让用户措手不及或“诱导”访客接受 Cookie 的做法，包括预先勾选框、将拒绝同意的选项隐藏在多个子菜单中等。

研究观察到以下情况:

• 视觉突出（60%）: 接受选项通过颜色、大小、对比度或位置等方式进行视觉强化
• 预先选中选项（29%）: 不利于隐私的选项默认被预先勾选
• 隐藏的拒绝选项（47%）: 在横幅的第一层未提供拒绝选项
• 无拒绝选项（22%）: 横幅告知用户正在收集数据，但未提供拒绝的选项
• 无横幅（2%）: 网站上未出现同意横幅

从技术上看，提供关闭追踪选项但通过视觉手段欺骗用户的网站仍然符合 GDPR 的合规要求。虽然在道德上并不如此，但法律框架如此规定。即使是隐藏的拒绝选项（在审查的 293 家网站中占 47%）也存在争议性地属于合法范围。ICO 明确指出，拒绝追踪的难度必须与接受追踪同等简便。

这对客户有什么影响

对于大多数访客而言，最直接的问题并非赌博网站会突然访问他们的银行账户或监视其所有线上行为，而是其活动信息可能在未获得同意的情况下被收集并共享给第三方。例如，访客可能进入在线赌场并浏览多个老虎机游戏后才决定是否注册。追踪技术可能记录该访问的相关信息，具体取决于网站使用的技术。

这可能包括访问的页面、使用的设备、浏览行为以及能够将活动关联到同一访客的标识符。如果这些信息被与为其他赌博站点合作的第三方共享，则这些第三方可以针对这些玩家推出诱人的注册优惠，以吸引潜在的未来客户。

这为英国的在线赌客带来了严重的隐私问题。研究将其描述为监视资本主义——运营商将用户数据视为无价之宝，可据此定制产品并利用收集的信息获取业务。英国赌博运营商仅在赌博广告上每年就投入约 11 亿至 20 亿英镑，其中超过三分之二的支出来自线上。其目的是了解玩家偏好，同时在一段时间内追踪其活动。这就可能演变成危险的领域。

追踪软件和未受监管的 Cookie 的风险

普通用户可能只会把大量赌博广告视为占据屏幕空间的恼人促销，并且不加思索地跳过它们。但对于问题赌客而言，这些广告可能触发情绪反应，促使他们通过抢夺新奖金或参与促销优惠来尝试运气。

2025 年《观察家》的一项调查发现，大约三分之一的 150 家英国持牌赌博网站使用了 Meta Pixel 追踪，其中一些在获得营销同意之前就向 Meta 发送了用户活动信息。研究人员随后在 Facebook 上收到了赌博广告，而斯旺西的研究则指出了盈利赌博行为与赌博危害相关模式之间的重叠。

这引发了担忧：用于了解客户行为的数据可能被用于针对已经存在赌博问题风险的用户。对于已经表现出问题行为的玩家，个性化的赌博广告可能会强化其行为，而非帮助其远离赌博。

英国关于 Cookie 同意的法律

关于 Cookie 的规则主要受《隐私与电子通信条例》（PECR）以及涉及个人数据的英国 GDPR 约束。ICO 表示，网站必须告知用户正在使用 Cookie 或类似技术，说明其用途，并在需要同意的情况下，在存储或访问用户设备上的信息之前获取许可。

对于服务运行绝对必需的技术可予以例外。但非必要的广告和追踪技术通常需要获得同意。关键在于，ICO 强调，拒绝这些技术的难度必须与接受同等简便。同意还必须体现为明确的积极行为，这意味着仅仅继续浏览网站并不构成同意。用户也可以随后撤回同意。如若撤回，组织必须停止基于该同意的处理，并在必要时移除相关的存储和访问技术。

打击未经请求的赌博广告的努力

英国已出台日益严格的赌博广告和玩家保护法规，同时英国赌博委员会也扩大了对运营商需监测的行为和财务信息的要求。这包括对高消费客户进行财务风险评估、针对非法流媒体站点以及社交媒体赌博广告分发的更严厉广告法规。近年来，ICO 也加大了打击线上隐私缺陷的力度。

2024 年，ICO 对Sky Betting & Gaming采取了行动，因该运营商在未获必要同意的情况下使用 Cookie 处理客户个人信息以进行定向广告。随后，Sky Betting & Gaming 对其系统进行了修改，确保客户能够在其信息被用于广告前拒绝广告 Cookie。

运营商正被越来越多地要求监测客户行为，以识别潜在的赌博危害，但客户也合理期待其个人信息不会在未获适当同意的情况下被收集或使用。因此，需要在负责任的赌博监测与消费者隐私之间取得平衡。Cookie 和追踪软件固然有其用途，但将其用于针对玩家或向第三方出售，则削弱了这些软件的价值。本报告显示，英国的赌博运营商在实现透明度并让玩家更好地掌控其私人数据方面仍有相当的提升空间。