Dark patterns w social media – wytyczne EROD 3/2022

EROD, w połowie marcu 2022 r., przyjął pierwszą wersję Wytycznych 3/2022 dotyczących “dark patterns” w internetowych platformach mediów społecznościowych – jak je rozpoznać i unikać.

Trzeba zacząć od samej definicji “dark pattnerns” – EROD wskazuję, że uważa się za nie interfejsy i doświadczenia użytkowników platform mediów społecznościowych, które prowadzą użytkownika do podejmowania niezamierzonych, niechcianych i potencjalnie szkodliwych decyzji dotyczących przetwarzania ich danych osobowych.

Dark patterns mają na na celu wpływ na zachowanie użytkowników i mogą im skuteczną ochronę danych osobowych i dokonywania świadomych wyborów.

W wytycznych można odnaleźć sześć głównych kategorii zachowań jakich dotyczą “ciemne wzorce”:

1. Przeciążenie: użytkownicy są konfrontowani z lawiną/dużą ilością żądań, informacji, opcji
   lub możliwości w celu skłonienia ich do udostępnienia większej ilości danych lub niezamierzonego zezwolenia na przetwarzanie danych osobowych wbrew oczekiwaniom osoby, której dane dotyczą.
2. Pomijanie: projektowanie interfejsu lub doświadczeń użytkownika w taki sposób, że użytkownicy zapominają lub nie myślą o wszystkich lub niektórych aspektach ochrony danych.
3. Wzbudzanie: wpływa na wybór, jakiego dokonają użytkownicy, odwołując się do ich emocji lub wykorzystując bodźce wizualne.
4. Utrudnianie: przeszkadzanie lub blokowanie użytkowników w procesie zdobywania informacji lub zarządzania danymi poprzez utrudnianie lub uniemożliwianie wykonania działania.
5. Fałszywy: projekt interfejsu jest niespójny i mało przejrzysty, co utrudnia użytkownikom poruszanie się po różnych narzędzi kontroli ochrony danych i zrozumienie celu przetwarzania danych.
6. Pozostawiony w niewiedzy: interfejs jest zaprojektowany w taki sposób, aby ukryć informacje lub narzędzia kontroli ochrony danych lub pozostawia użytkowników w niepewności co do tego, jak przetwarzane są ich dane i jaki rodzaj kontroli nad nimi mogą mieć w zakresie korzystania z przysługujących im praw.

EROD odwołuję się do ogólnych zasad przetwarzania danych osobowych, o których mowa w art. 5 ust. 1 RODO w kontekście tego z jakimi elementami przepisów ochrony danych osobowych dark patterns powinny utrzymywać zgodność. Zasada rzetelnego przetwarzania danych określona w art. 5 ust. 1 lit. a) RODO służy jako punkt wyjścia do oceny, czy dany wzór projektowy rzeczywiście stanowi “ciemny wzorzec”. Dalsze zasady odgrywające rolę w tej ocenie są zasady przejrzystości, minimalizacji danych i rozliczalności na mocy art. 5 ust. 1 lit. a), c) i ust. 2 RODO, jak również, w niektórych przypadkach, ograniczenia celu na mocy art. 5 ust. 1 lit. b) RODO.

W innych przypadkach ocena prawna opiera się również na warunkach zgody na mocy art. 4 ust. 11 i art. 7 RODO lub innych innych szczególnych zobowiązaniach, takich jak art. 12 RODO. Oczywiście w kontekście praw osób, których dane dotyczą, rozdział trzeci RODO również wymaga uwzględnienia.

Wytyczne zawierają wiele przykładów takich “ciemnych wzorców” – jeden z nich odnosi się do opisu komunikatu związanego z wyrażeniem zgody na zainstalowanie przez użytkownika plików cookies:

A cookie banner on the social media platform states “For delicious cookies, you only need butter, sugar and flour. Check out our favourite recipe here [link]. We use cookies, too. Read more in our cookie policy [link].”, along with an “okay” button.

EROD wskazuje, że takie użycie humorystycznego opisu działania plików cookies może doprowadzić użytkownika do nieświadomego wyrażenia zgody, bo kliknięcie przycisku “ok” przy takimi opisie może wynikać z potwierdzenia przeczytanej informacji, a nie chęci wyrażenia zgody na zainstalowanie plików cookies np. mediów społecznościowych.

Jakie są dobre praktyki? EROD podaje następujące rozwiązania:

Przyklejona nawigacja: Podczas przeglądania strony związanej z ochroną danych, spis treści może być stale wyświetlany na ekranie, dzięki czemu użytkownicy mogą zawsze znajdować się na stronie i szybkie poruszanie się po treści dzięki linkom z kotwicami.
Powrót na górę: Umieść przycisk powrotu na górę u dołu strony lub jako element przyklejany u dołu okna, aby ułatwić użytkownikom w dolnej części okna, aby ułatwić użytkownikom nawigację na stronie.
Skróty: w polityce prywatności dla każdej informacji o ochronie danych osobowych należy podać linki, które bezpośrednio przekierowują do stron poświęconych ochronie danych osobowych na platformie społecznościowej.