Sky Betting and Gaming用户登陆前即向广告商分享数据案

【案件背景】
2024年9月，英国信息专员办公室（ICO）对Bonne Terre Limited（以Sky Betting and Gaming名义运营，以下简称SkyBet）作出正式谴责（Reprimand），认定其在2023年1月10日至3月3日期间，通过广告Cookie非法处理用户个人数据，违反英国GDPR多项条款。调查源于2022年1月英国公益倡导组织Clean Up Gambling发布的报告，指控SkyBet在未获用户同意的情况下向第三方广告商传输大量个人数据。ICO随后于2022年10月启动正式调查。SkyBet承认该问题是由「意外技术错误」导致，在接到通知后24小时内修正了问题。

【违法事实】
ICO调查认定SkyBet存在以下违规行为：
1. Cookie预置于用户同意前生效：用户在首次访问SkyBet网站时即遇到cookie同意管理平台（CMP）弹窗，告知用户「如接受全部cookie，则同意存储cookie以用于网站导航优化、营销和分析」。但调查发现，在用户接触CMP弹窗并作出任何选择之前，第三方追踪和广告Cookie已被植入用户设备。
2. 具体技术路径：SkyBet签约的需求方平台MediaMath，使用嵌入式像素（pixel）在访问者到达网站的第一时间即投放约40个第三方营销Cookie。这意味着用户的个人数据在CMP弹窗显示之前已被收集并传输给广告技术公司。
3. 用户无法行使选择权：由于Cookie在用户表达任何同意/拒绝意愿之前已被部署，用户在SkyBet网站上的行为数据（包括其访问赌博网站这一敏感事实）被广告技术公司收集并用于定向广告投放，用户对此毫不知情且无从拒绝。

【处罚决定】
ICO在综合考虑案件各项因素后决定发出正式谴责（Reprimand）而非罚款，考虑的因素包括：剥夺用户自主性和控制感（用户被剥夺了拒绝数据收集和披露的机会）；对用户生活的侵入性（即使选择拒绝追踪的用户，其浏览器上仍被部署了Cookie）；SkyBet及时纠正（24小时内修复）；合同中有限制广告商数据用途的控制条款；共享的数据未明确揭示用户与赌博网站互动的事实；以及SkyBet已建立了保护弱势用户（问题赌徒）的机制。
ICO同时要求SkyBet继续审查和监控其流程，确保所有非必要Cookie和标签仅在获得有效同意后才部署。

【典型意义】
ICO副局长Stephen Bonner的声明代表了监管机构对此类违规的态度：「我们对Sky Betting and Gaming的执法行动是一个警告——如果组织违反法律，剥夺人们对定向广告的选择权，将面临后果。我们正在准备审查接下来访问量最高的100个网站，因此我敦促所有组织现在就评估其Cookie横幅，确保在收到监管机构的信函之前，同意可以被自由地作出。」ICO在本案中采取了「谴责+行业威慑」的策略，代表英国在Cookie执法上从罚款威慑向系统性行业整改方向的转变。