Studie: Bara var sjunde spelsajt följde GDPR-reglerna

Forskarna fann manipulerande design på 86 procent av sajterna. Två av tre behandlade personidentifierande data innan besökaren hade lämnat sitt samtycke.

Två av tre sajter samlade in data före samtycke

Forskarna granskade cookiehanteringen på alla 624 webbplatser som hade licens från UK Gambling Commission när undersökningen genomfördes.

Resultatet visar att 67 procent av sajterna behandlade personidentifierande uppgifter innan användaren hade godkänt spårningen. I vissa fall skickades informationen vidare till externa analysplattformar som kan användas för marknadsföring.

Viss behandling före samtycke kan vara tillåten, exempelvis när en spelsajt behöver kontrollera besökarens geografiska plats. Forskarna bedömde dock att flera sajter samlade in uppgifter som inte var nödvändiga för att tjänsten skulle fungera.

Resultat från granskningen	Andel sajter
Bedömdes följa GDPR fullt ut	14%
Hade minst ett manipulerande designmönster	86%
Behandlade personidentifierande data före samtycke	67%
Saknade ett direkt alternativ för att avvisa spårning	24%
Erbjöd inget val om cookies	2%

Besökare styrdes mot att godkänna cookies

Så kallade dark patterns förekom på 86 procent av sajterna. Begreppet beskriver design som påverkar eller försvårar användarens val.

På 60 procent av webbplatserna framhävdes det alternativ som gav det svagaste integritetsskyddet. Hos 29 procent var inställningar som tillät mer spårning redan förvalda.

Nästan hälften, 47 procent, placerade knappen för att avvisa cookies bakom ytterligare ett lager. Det krävdes därmed fler klick för att neka spårning än för att godkänna den.

Att använda denna typ av design innebär inte automatiskt ett lagbrott. Forskarna bedömde däremot att 86 procent av sajterna uppvisade minst en separat möjlig överträdelse av GDPR.

Vanlig cookie-banner ökade acceptansen

Studien innehöll även ett nätbaserat experiment med 615 deltagare. De fick besöka en simulerad spelsajt med olika typer av cookie-banners.

Den vanligaste utformningen ökade sannolikheten för att deltagarna skulle acceptera spårning. Valen stämde samtidigt sämre överens med deras egna uppgivna preferenser om integritet.

Forskarna hittade inget samband mellan deltagarnas val i cookie-bannern och deras självrapporterade nivå av spelproblem.

Den vetenskapliga studien har publicerats i tidskriften Computers in Human Behavior Reports och genomgått sakkunniggranskning.

Flera stora spelbolag omfattades

Hollywood Bets och Admiral Casino fanns enligt The Guardians rapportering bland sajterna som saknade ett direkt alternativ för att avvisa spårning. Dafabet erbjöd enligt studien inget val om cookies.

Ladbrokes och William Hill var två av de sajter som började behandla uppgifter före besökarens samtycke.

Ladbrokes ägare Entain uppgav att information som samlades in före godkännandet inte användes till reklam eller marknadsföring. William Hills ägare Evoke avböjde att kommentera uppgifterna.

ICO följer utvecklingen

Storbritanniens dataskyddsmyndighet Information Commissioner’s Office, ICO, uppger att den övervakar cookiehanteringen på landets mest besökta webbplatser. Myndigheten kan ingripa om företag inte följer reglerna.

Studien är däremot inte ett tillsynsbeslut. Resultaten bygger på forskarnas juridiska och tekniska bedömning och innebär inte att samtliga berörda operatörer har konstaterats bryta mot lagen av en myndighet eller domstol.

Granskningen omfattade endast brittiska licenshavare. GDPR gäller även på den svenska spelmarknaden, men resultaten visar inte hur svenska casinosajter och bettingsidor hanterar cookies eller personuppgifter. Det skulle kräva en separat granskning.