Нарушения конфиденциальности на игорных сайтах

Сотни работающих в Великобритании игорных сайтов, по-видимому, собирают информацию о посетителях еще до того, как те дают согласие на отслеживание, что выявляет значительный разрыв между правилами конфиденциальности и практикой в отрасли, основанной на удержании клиентов в азартных играх.

Исследователи, проверившие 624 лицензированных сайта букмекерских контор и казино, обнаружили явные нарушения требований по защите данных в Великобритании у 86% из них. Примерно в двух третях случаев поток информации от пользователей начинался до получения согласия. Часть этих данных передавалась сторонним аналитическим сервисам, связанным с маркетингом.

Результаты, полученные исследователями центра GREAT Университета Суонси, сосредоточены на обычном элементе интернет-инфраструктуры: баннерах с файлами cookie. То, что выглядит как обычный выбор в пользу принятия отслеживания, может определять, сколько информации компания и ее рекламные партнеры собирают о посетителе и как эта информация может быть использована в дальнейшем.

На игорных сайтах это различие имеет необычайно большой вес. Букмекерские компании ведут бизнес, в котором детальное знание поведения клиентов может помочь поддерживать вовлеченность, в то время как некоторые из тех же моделей поведения могут идентифицировать людей, сталкивающихся с вредом от азартных игр.

Согласие, которое приходит слишком поздно

Проблемы начинались с того, предлагался ли пользователям вообще какой-либо осмысленный выбор.

Около 24% проверенных сайтов не предлагали никакого способа отключить программное обеспечение для отслеживания. «Hollywood Bets», спонсирующий «Brentford FC», и «Admiral Casino» оказались среди операторов, попавших в эту категорию.

Меньшая группа, представляющая около 2% проверенных сайтов, не предоставляла никакого выбора согласия. «Dafabet», спонсирующий «Celtic FC», был среди них.

Другие сайты технически предлагали посетителям выбор, но структурировали его таким образом, что побуждали их отказаться от большей части конфиденциальности.

Исследователи обнаружили, что 60% сайтов визуально продвигали опцию, обеспечивающую меньшую конфиденциальность. Почти на трех из 10 сайтов настройки, не уважающие конфиденциальность, были выбраны по умолчанию, в то время как в 47% случаев возможность отказа была спрятана за дополнительным слоем, а не сделана доступной сразу.

Эти методы дизайна, обычно называемые темными паттернами (dark patterns), не являются автоматически незаконными. Их распространенность становится более значимой на фоне вывода исследователей о том, что 86% игорных сайтов, по-видимому, допустили как минимум одно нарушение GDPR.

Этот показатель был существенно выше, чем в предыдущих исследованиях более широкого интернета, где явное несоответствие было выявлено в 54% случаев.

Поток данных до клика

Среди наиболее известных операторов, которых исследователи поймали на тестах до получения согласия, были «Ladbrokes» и «William Hill».

Не каждая единица информации, собранная до согласия, означает нарушение конфиденциальности. У игорных операторов могут быть законные причины для обработки ограниченных данных, в том числе для определения того, находится ли лицо, получающее доступ к услуге, в Великобритании.

Исследователи из Суонси обнаружили нечто более серьезное. Информация также передавалась сторонним аналитическим системам, которые используются в маркетинговых целях.

«Entain», которому принадлежит «Ladbrokes», оспорил предположение о том, что сбор данных до согласия подпитывал рекламную деятельность. Компания заявила, что информация, собранная на этой стадии, не использовалась для рекламы или маркетинга.

«Evoke», владелец «William Hill», отказался от комментариев. «Hollywood Bets» и «Admiral Casino» не ответили на запросы о комментариях.

Проблема соблюдения требований регулятора

Масштаб открытий также заставляет обратить внимание на британского регулятора конфиденциальности.

Офис комиссара по информации (ICO) потратил годы, призывая крупнейшие сайты соблюдать правила в отношении файлов cookie и онлайн-отслеживания. Регулятор утверждает, что в результате этих усилий 95% из 1000 самых посещаемых британских сайтов соответствуют соответствующим требованиям.

Игорная индустрия, задокументированная в исследовании Суонси, выглядит значительно иначе.

Рави Наик, юридический директор специализирующейся на защите данных компании AWO, охарактеризовал результаты как доказательство широкой и укоренившейся проблемы с соблюдением требований. Его критика коснулась не только отдельных игорных компаний, но и ICO, который, по его мнению, не смог принять достаточно значимых мер принудительного характера против этой отрасли.

Для регуляторного вмешательства уже есть прецедент.

В 2024 году ICO вынес предупреждение «Sky Bet», установив, что компания незаконно делилась личной информацией клиентов с компаниями, занимающимися рекламными технологиями. Дело последовало за опасениями, высказанными организацией «Clean Up Gambling» при поддержке AWO.

Этот эпизод выявил особо чувствительный перекресток между мониторингом вреда от азартных игр и персонализированным маркетингом. Поведение, которое может помочь идентифицировать потенциально уязвимого игрока, может также предоставить коммерчески ценную информацию о том, когда и как этот клиент играет.

«Sky Bet» не была среди компаний, обвиненных в нарушениях GDPR в новом исследовании Суонси.

Когда поведение становится анализом коммерческих данных

То, что делает более широкие выводы трудноотрицаемыми как обычный спор о файлах cookie, - это экономическая структура отслеживания.

У онлайн-игорных компаний есть сильные стимулы понимать, когда клиенты играют, как они себя ведут и что поддерживает их активность. Исследователи пришли к выводу, что сбор данных может быть направлен на поддержание вовлеченности и, в конечном итоге, убытков, из которых игорный бизнес генерирует доход.

Это создает особо чувствительный случай для наблюдения за поведением.

Модели, которые ценны для оператора, поскольку они предсказывают дальнейшую игру в азартные игры, могут пересекаться с моделями, связанными с вредным поведением в азартных играх. Интерфейс согласия, ориентированный на больший сбор данных, таким образом, несет в себе последствия, выходящие за рамки рекламной механики, знакомой по обычным порталам покупок или СМИ.

Исполнение еще не устранило пробелы

ICO придерживается мнения, что продолжает следить за часто посещаемыми британскими сайтами и стремится к долгосрочному соблюдению законной практики отслеживания. Он также отмечает, что меры принудительного характера остаются доступными, когда это необходимо для защиты прав людей на информацию.

Исследование Суонси показывает, что в большей части сферы онлайн-азартных игр разрыв между этими регуляторными усилиями и тем, с чем на самом деле сталкиваются посетители, остается значительным.

На многих проверенных сайтах выбор, предлагаемый баннером файлов cookie, уже был скомпрометирован: самая легкая кнопка поддерживала отслеживание, альтернативу было труднее найти, или сбор данных начинался еще до того, как клиент вообще сделал выбор.