← Zpět na blog Dark Patterns

Studie DarkDialogs: 89,5 % webů používá tmavé vzory v bannerech se soubory cookie

· 6 min čtení
Dark Patterns Cookie Consent GDPR Enforcement CMP Audit EDPB Guidelines

Studie, na kterou by se orgány pro ochranu osobních údajů měly odvolávat při každém auditu bannerů o souborech cookie

Studie DarkDialogs od autorů Kirkmana, Mathura, Narayana a Kshirsagara (2023) není jen dalším akademickým průzkumem o nepříjemném uživatelském zážitku. Jedná se o rozsáhlý audit 10 000 webových stránek založený na strojovém učení, který přináší výsledky s právními důsledky: 89,5 % analyzovaných stránek používá ve svých dialogových oknech pro souhlas alespoň jeden dark pattern. S uváděnou přesností klasifikace 99 % je tato metodika dostatečně robustní, aby obstála při důkazním přezkumu. Pro orgány prosazující GDPR funguje tato studie jako vzor pro škálovatelné, automatizované odhalování nesouladu – a pro správce údajů představuje mapu odpovědnosti.

Metodika: Proč je 99% přesnost z právního hlediska důležitá

Výzkumníci vycvičili více třídový klasifikátor na označeném korpusu dialogových oken pro souhlas s cookies, přičemž extrahovali vlastnosti ze struktury DOM, vlastností CSS (včetně poměru barevného kontrastu a velikosti tlačítek) a viditelných textových řetězců. Klasifikátor identifikuje sedm kategorií temných vzorců: vizuální asymetrie, předem vybrané možnosti, zavádějící formulace, skryté možnosti odmítnutí, vynucená akce, záludné otázky a otravování.

99% přesnost klasifikace na testovací sadě je významná z konkrétního právního důvodu: blíží se prahu, kdy automatizované nálezy mohou sloužit jako prima facie důkaz v regulačních řízeních, aniž by bylo nutné ručně přezkoumávat každý jednotlivý případ. Podle čl. 57 odst. 1 písm. a) GDPR mají dozorové orgány povinnost sledovat a prosazovat dodržování předpisů. Automatizované nástroje s tímto profilem přesnosti umožňují přiměřené a škálovatelné monitorování – funkci, kterou EDPB podporuje prostřednictvím svého koordinovaného rámce pro prosazování (CEF, poprvé aktivovaného v roce 2022 u bannerů s informacemi o souborech cookie, dokument č. EDPB 01/2023).

Sedm temných vzorců a jejich konkrétní porušení GDPR

Každá kategorie temných vzorců identifikovaná společností DarkDialogs odpovídá konkrétnímu požadavku GDPR:

  • Předvolené možnosti: Přímo porušují čl. 4 odst. 11 GDPR a čl. 7 odst. 2 GDPR. Souhlas není platný, pokud je předem zaškrtnutý. Soudní dvůr Evropské unie (CJEU) to potvrdil ve věci Planet49 (C-673/17) s tím, že předem zaškrtnuté políčko nepředstavuje platný souhlas.
  • Vizuální asymetrie: Tlačítko „Přijmout vše“ je zobrazeno v kontrastní barvě (např. background-color: #0057b7), zatímco tlačítko „Odmítnout vše“ je zobrazeno v šedé barvě s nízkým kontrastem (color: #9e9e9e) nebo zcela chybí. Pokyny EDPB 05/2020 o souhlasu (přijaté 4. května 2020) výslovně uvádějí, že odvolání souhlasu musí být stejně snadné jako jeho udělení — tento princip je porušen, když cesta k odmítnutí vyžaduje tři další kliknutí.
  • Skrytá možnost odhlášení: Funkce odmítnutí je schovaná pod „Spravovat předvolby“ → „Oprávněné zájmy“ → jednotlivé přepínače pro každého poskytovatele. Tato architektura porušuje požadavky na granularitu a transparentnost podle čl. 13 odst. 1 písm. c) a bodu 42 GDPR.
  • Zavádějící formulace: Fráze jako „Vážíme si vašeho soukromí“ v dialogovém okně, které umožňuje pouze souhlas, nebo „Pokračovat“ jako jediná viditelná akce (což implikuje souhlas prostřednictvím prohlížení). Francouzský úřad pro ochranu osobních údajů (CNIL) uložil pokutu ve výši 150 milionů EUR společnosti Google (SAN-2022-001) a 60 milionů EUR společnosti Facebook (SAN-2022-002), částečně na základě asymetrické snadnosti přijetí versus odmítnutí souborů cookie.
  • Otravné: Opakované zobrazování dialogových oken s žádostí o souhlas po odmítnutí, využívající únavu z opakovaného žádání o souhlas. To souvisí s principem čl. 7 odst. 3 GDPR, že odvolání souhlasu nesmí vést k újmě, a s obecnou povinností jednat v dobré víře, která vyplývá z čl. 5 odst. 1 písm. a).

Závěry studie: Co 89,5 % ve skutečnosti vypovídá o vymáhání

Údaj o prevalenci 89,5 % není důkazem toho, že většina správců údajů úmyslně klamá – je to důkaz toho, že ekosystém platforem pro správu souhlasu (CMP) normalizoval neplnění předpisů jako výchozí konfiguraci. Studie zjistila, že weby používající Cookiebot, OneTrust a TrustArc jako CMP stále vykazovaly temné vzorce, protože tyto vzorce byly zavedeny prostřednictvím šablon platformy a výchozích nastavení, nikoli na základě individuálních rozhodnutí správců údajů.

To má přímý dopad na vztahy se zpracovateli podle čl. 28 GDPR. Pokud je CMP nakonfigurována jako zpracovatel údajů a její výchozí šablony systematicky vytvářejí nesouladné toky souhlasů, zůstává správce podle čl. 24 GDPR odpovědný za neprovedení vhodných technických opatření. Výchozí konfigurace zpracovatele nemůže správce zbavit odpovědnosti. Pověřenci pro ochranu osobních údajů, kteří se spoléhají na marketingové slogany dodavatele CMP o „připravenosti na GDPR“, aniž by prověřili vykreslený HTML výstup, jsou vystaveni riziku.

Technické kontrolní ukazatele, které je třeba zkontrolovat hned teď

Sada funkcí DarkDialogs poskytuje praktický kontrolní seznam. Zkontrolujte ve svém dialogovém okně pro souhlas následující položky:

  1. Kontrastní poměr tlačítek: Změřte kontrast mezi tlačítky pro přijetí a odmítnutí pomocí algoritmu WCAG 2.1. Kontrastní rozdíl větší než 2:1 mezi těmito dvěma tlačítky je zároveň signálem dark patternu a porušením přístupnosti.
  2. Počet kliknutí k odmítnutí: Spočítejte počet uživatelských interakcí potřebných k odmítnutí všech nepodstatných souborů cookie. Více než jedno kliknutí porušuje standard EDPB „stejně snadné“ z pokynů 05/2020.
  3. Stav předvolby DOM: Zjistěte document.querySelectorAll('input[type="checkbox"][checked]') při načtení stránky před jakoukoli interakcí uživatele. Jakékoli zaškrtnuté políčko souhlasu představuje porušení pravidel Planet49.
  4. Síťové požadavky před udělením souhlasu: Zachyťte protokoly HAR při prvním načtení stránky. Jakýkoli požadavek třetí strany na domény spojené s reklamou nebo analytikou (identifikovatelné prostřednictvím záznamů DNS TXT, konkrétně ads.txt záznamy) před odesláním signálu o souhlasu je porušením čl. 6 odst. 1 GDPR.
  5. Interval opakovaného zobrazení: Pokud váš CMP znovu zobrazí banner s žádostí o souhlas uživatelům, kteří jej dříve odmítli, zdokumentujte tento interval. Neexistuje žádný legitimní důvod pro opakované zobrazování žádosti uživateli, který jasně vyjádřil svou preferenci.

Průběh vymáhání: Od studie k sankci

Koordinovaná vynucovací akce EDPB týkající se bannerů s informacemi o souborech cookie (CEF 2022) vedla k tomu, že vnitrostátní orgány pro ochranu osobních údajů zahájily 270 řízení v rámci EHP. Metodika DarkDialogs – automatizovaná analýza DOM, detekce vzorců na základě klasifikátorů – je přesně tím druhem nástroje, který orgány pro ochranu osobních údajů potřebují, aby mohly překročit rámec manuálních namátkových kontrol. Irský DPC, CNIL a německé orgány pro ochranu osobních údajů (jednající prostřednictvím DSK) vydaly pokyny, které považují temné vzorce za porušení požadavků na platnost souhlasu.

Správci by měli počítat s tím, že vymáhání v letech 2024–2025 se bude stále více opírat o automatizované skenování. Web, který neprojde klasifikátorem DarkDialogs, pravděpodobně neprojde ani skenerem úřadu pro ochranu osobních údajů. Sedmikategoriální taxonomie studie je již zmiňována v regulačních pokynech jako neúplná typologie nekompatibilního designu.

Úkoly pro pověřence pro ochranu osobních údajů a poradce pro ochranu soukromí

  • Nechte provést technický audit výstupů vašeho CMP – nikoli dokumentace dodavatele – pomocí inspekce DOM a analýzy HAR před vaším příštím přezkumem konfigurace souhlasu.
  • Upravte svou smlouvu o zpracování údajů (DPA) podle čl. 28 s dodavatelem CMP tak, aby obsahovala výslovnou záruku, že výchozí šablony jsou v souladu s pokyny EDPB 05/2020 a taxonomií zakázaných vzorů DarkDialogs.
  • Zaznamenejte odůvodnění svého návrhu. Podle zásady odpovědnosti podle čl. 5 odst. 2 GDPR musíte být schopni prokázat soulad s předpisy. Písemný záznam o tom, proč má vaše tlačítko pro odmítnutí stejnou vizuální váhu jako tlačítko pro přijetí, je druh důkazu, který zmírňuje pokuty.
  • Používejte kontrolní seznam funkcí DarkDialogs jako stálou položku ve vaší čtvrtletní revizi ochrany osobních údajů, zejména po jakékoli aktualizaci CMP nebo A/B testu, který se týká rozložení dialogového okna pro souhlas.
  • Považujte výchozí nastavení CMP za riziko z hlediska odpovědnosti, nikoli za zkratku k dodržování předpisů. Studie ukazuje, že výchozí konfigurace jsou primárním vektorem, kterým se temné vzory dostávají do produkčních prostředí.

Studie DarkDialogs nezavádí nové právní povinnosti. Kvantifikuje, jak systematicky jsou stávající povinnosti ignorovány – a poskytuje regulačním orgánům technickou infrastrukturu k jednání v širokém měřítku. Správci, kteří považují souhlas s cookies za pouhé zaškrtnutí políčka, nyní působí v prostředí, kde lze toto zaškrtnutí políčka automaticky, přesně a v průmyslovém měřítku kontrolovat.

Související články