DSA čl. 25 Tmavé vzory: Co musí evropské památky napravit do roku 2026

Lhůta pro splnění povinností již běží

Většina týmů zabývajících se dodržováním předpisů, které považují článek 25 zákona o digitálních službách za problém roku 2026, již má zpoždění. Zákaz „dark patternů“ podle zákona o digitálních službách vstoupil v platnost pro velmi velké online platformy (VLOP) a velmi velké online vyhledávače (VLOSE) dne 17. února 2024. Pro všechny ostatní zprostředkovatelské služby – včetně středně velkých e-commerce platforem, produktů SaaS a vydavatelských sítí – byla lhůta rovněž 17. února 2024, protože článek 25 nestanoví žádné odstupňované prahové hodnoty pro použitelnost. Na rozdíl od povinností týkajících se transparentnosti algoritmů v článku 27, které se odvíjejí od velikosti platformy, se zákaz temných vzorců vztahuje na jakékoli online rozhraní, které spadá do působnosti DSA. V roce 2026 se změní intenzita vymáhání: očekává se, že národní koordinátoři digitálních služeb (DSC) budou mít plně funkční vyšetřovací jednotky do 1. čtvrtletí 2026 a Evropská komise naznačila koordinované rozsáhlé akce zaměřené na procesy souhlasu s cookies a uživatelské prostředí pro zrušení předplatného.

Co přesně zakazuje článek 25 DSA

Článek 25 odst. 1 DSA zakazuje navrhovat, organizovat nebo provozovat online rozhraní způsobem, který klamá nebo manipuluje příjemce nebo narušuje jejich schopnost činit svobodná a informovaná rozhodnutí. Bod 67 odůvodnění toto ustanovení konkretizuje prostřednictvím čtyř explicitních kategorií temných vzorců: (1) vizuální zvýraznění určitých možností, (2) opakované vyžadování již provedených voleb, (3) ztížení zrušení registrace oproti registraci a (4) ztížení odvolání souhlasu oproti udělení souhlasu.

Zásadní je, že pokyny EDPB 3/2022 o dark patterns (přijaté 14. března 2023, ID dokumentu: EDPB-2022-GL-0003) se do značné míry překrývají s čl. 25 DSA, ale vycházejí z čl. 5 odst. 1 písm. a) a čl. 7 GDPR. Tato dvojí regulace znamená, že jediný banner s cookies, který není v souladu s předpisy, může současně vyvolat donucovací opatření podle GDPR ze strany orgánu pro ochranu osobních údajů a donucovací opatření podle DSA ze strany DSC. Nejedná se o duplicitní opatření – mohou vést k paralelním pokutám vypočítaným na základě odlišných právních základů.

Prvky rozhraní pod přímým dohledem

• Bannery pro souhlas s cookies: Asymetrická velikost tlačítek „Přijmout vše“ a „Odmítnout vše“, manipulace s barevným kontrastem (např. šedá na šedém pozadí pro odmítnutí) a předem zaškrtnutá políčka pro souhlas spadají přímo pod čl. 25 odst. 1.
• Procesy přihlášení k odběru: Vzory typu „Roach motel“, kde POST /subscribe stačí jedno kliknutí, ale zrušení vyžaduje procházení 4 a více obrazovkami nebo zavolání na telefonní číslo, přímo porušují čl. 25 odst. 1 písm. c).
• Vymazání účtu: Skrytí možnosti vymazání za /settings/privacy/advanced/account/delete zatímco vytvoření profilu je na /signup představuje strukturální asymetrii, na kterou poukazuje bod 67 odůvodnění.
• Potvrzovací manipulace: Mikrotext u možnosti odmítnutí, jako je „Ne, děkuji, raději zaplatím více“, představuje manipulaci s rozhodovacím prostředím podle čl. 25 odst. 1.
• Nucené informace o pokračování: Přechody z zkušební verze na placenou verzi, kde je spouštěč fakturace zobrazen font-size: 9px; color: #ccc na bílém pozadí, porušují jak čl. 25 DSA, tak čl. 22 UCPD (směrnice o nekalých obchodních praktikách).

Proč manuální audity selhávají ve velkém měřítku

Jedna platforma SaaS s infrastrukturou pro A/B testování může nasadit desítky variant rozhraní současně napříč různými skupinami uživatelů. Ruční audit zachycuje momentální snímek jedné varianty v daném časovém okamžiku. Když Soudní dvůr Evropské unie v případu C-673/17 (Planet49) potvrdil, že souhlas musí být udělen svobodně v konkrétním okamžiku shromažďování údajů, implicitně uznal, že stav rozhraní se v čase mění – ale rámce pro vymáhání práva ještě nedohnaly provozní realitu procesů nepřetržitého nasazování.

Zvažme technickou plochu: typická React SPA vykresluje uživatelské rozhraní pro souhlas prostřednictvím dynamicky vložených <div> prvky, jejichž vypočítané vlastnosti CSS – včetně z-index, opacity, pointer-events, a color kontrastní poměry – se mohou lišit mezi snímky HTML vykreslenými na straně serveru a stavy DOM hydratovanými na straně klienta. Statický HTML crawler tento manipulovaný stav zcela přehlédne. Automatizované skenování shody, které provádí skutečné relace prohlížeče prostřednictvím headless Chromium (Puppeteer/Playwright), zachycuje vypočítané styly pomocí window.getComputedStyle(), programově měří kontrastní poměry WCAG 1.4.3 a zaznamenává toky interakcí, tuto mezeru vyřeší.

Vytvoření architektury automatizovaného skenování DSA podle článku 25

Účinný automatizovaný proces detekce dark patternů vyžaduje čtyři vrstvy:

1. Zachycení stavu DOM: Snímky celé stránky a snímky DOM jak v počátečním stavu vykreslení, tak ve stavech po interakci (po kliknutí, po posunutí). Použijte Playwrightův page.evaluate() k extrakci vypočítaných stylů pro všechny interaktivní prvky označené jako ovládací prvky pro souhlas nebo předplatné.
2. Detekce vizuální asymetrie: Programově porovnejte rozměry ohraničujícího rámečku (getBoundingClientRect()) a vypočítané hodnoty barev pozadí/popředí spárovaných akčních tlačítek. Rozdíl v kontrastním poměru přesahující 30 % mezi primární a sekundární akční cestou je vysoce spolehlivým signálem dark patternu.
3. Analýza hloubky toku: Zmapujte hloubku cesty URL a počet kliknutí potřebných k dokončení zrušení, smazání a odvolání souhlasu ve srovnání s registrací, zahájením předplatného a udělením souhlasu. Asymetrie o více než 2 kroky představují předpokládané porušení čl. 25.
4. Časové monitorování: Naplánujte skenování minimálně jednou týdně s detekcí variant A/B — porovnejte Set-Cookie hlavičky odpovědí a __cfduid/_ab_test hodnoty souborů cookie napříč skenovacími relacemi, abyste zjistili, kdy jsou poskytovány různé varianty rozhraní.

Výsledky skenování by měly být uloženy s kompletními balíčky důkazů: soubory HAR zachycující všechny síťové požadavky včetně Content-Security-Policy hlaviček, snímků DOM, výpisů vypočítaných stylů a snímků obrazovky s časovým razítkem. Tento řetězec důkazů je přímo použitelný v odpovědích na vyšetřování DSC a odráží standard dokumentace očekávaný podle čl. 24 odst. 1 DSA (povinnosti vedení záznamů).

Rizika vymáhání: Jak budou DSC ve skutečnosti vyšetřovat

Národní DSC přebírají vyšetřovací pravomoci podle vzoru rámců dozorových orgánů GDPR (čl. 51 DSA). Nizozemský ACM, který dal najevo, že bude jedním z nejaktivnějších DSC, již zveřejnil technické pokyny naznačující, že důkazy o dark patterns budou shromažďovány prostřednictvím automatizovaných testovacích prostředí napodobujících skutečné cesty uživatelů. Německá Bundesnetzagentur, určená jako německý DSC, sestavuje specializovaný tým pro monitorování digitálních rozhraní.

Maximální pokuta podle čl. 74 odst. 1 DSA činí 6 % celosvětového ročního obratu – stejně jako u GDPR a na rozdíl od čl. 83 GDPR, který rozlišuje mezi úrovněmi podle čl. 83 odst. 4 a 83 odst. 5, DSA uplatňuje 6% strop jednotně na porušení čl. 25. Pro společnost SaaS s ročním opakovaným obratem (ARR) ve výši 50 milionů EUR představuje jediný zjištěný případ dark patternu teoretické riziko ve výši 3 milionů EUR před zohledněním polehčujících okolností.

Okamžitá opatření pro týmy zajišťující dodržování předpisů

• Okamžitě proveďte audit všech konfigurací platformy pro správu souhlasů (CMP): exportujte přepsání CSS vaší CMP a ověřte, zda poměry kontrastu tlačítek splňují WCAG AA (minimálně 4,5:1) pro cesty přijetí i odmítnutí.
• Porovnejte hloubku klikání v procesu zrušení s hloubkou procesu registrace pro každý produkt s předplatným. Zaznamenejte toto srovnání. Jakákoli asymetrie větší než 2 kroky vyžaduje okamžitou nápravu UX.
• Vybavte svůj CI/CD pipeline automatizovanými kontrolami dark patternů pomocí testovacích sad založených na Playwrightu, které způsobí selhání sestavení, pokud jsou překročeny prahové hodnoty vizuální asymetrie – zacházejte s regresemi dark patternů stejně jako s funkčními regresemi.
• Porovnejte s pokyny EDPB 3/2022 (EDPB-2022-GL-0003) pro vzory specifické pro souhlas a s nařízením Komise o DSA o povinnostech specifických pro VLOP pro platformy, které se blíží prahu 45 milionů uživatelů v EU.
• Vytvořte nyní protokol pro reakci na dotazy DSC: určete, který tým je odpovědný za shromažďování důkazů podle čl. 25, definujte zásady uchovávání snímků HAR a DOM (doporučuje se minimálně 24 měsíců) a připravte si předběžný návrh šablony zprávy o transparentnosti podle čl. 24.

Zintenzivnění vymáhání v roce 2026 není žádnou propastí – je to vyvrcholení povinnosti dodržování předpisů, která již plně platí. Organizace, které dosud nepovažovaly článek 25 DSA za stejně naléhavý jako článek 7 GDPR, si vytvářejí technický dluh v oblasti, kde automatizovaný sběr důkazů ze strany regulačních orgánů systematicky předčí ruční sebehodnocení.