Od šedé k EDPB: Taxonomie tmavých vzorů 2018-2026 mapované na vymáhání práva

Pokyny EDPB č. 3/2022 týkající se „dark patterns“ (přijaté dne 14. března 2023, identifikační číslo dokumentu: EDPB 3/2022) nevznikly v regulačním vakuu. Představují zhmotnění osmi let akademického úsilí o vytvoření taxonomie do podoby právních norem, které lze vymáhat. Pro pracovníky zajišťující dodržování předpisů a pověřence pro ochranu osobních údajů není pochopení toho, které vědecké rámce formovaly které regulační kategorie, pouhou akademickou zvědavostí – přímo předpovídá, kam se příště zaměří tlak na vymáhání práva.

Původ taxonomie: Od výzkumu HCI k závazným pokynům

Základním dílem je katalog Harryho Brignulla z roku 2010 (později formalizovaný v článku z roku 2018 „Dark Patterns: Dirty Tricks Designers Use to Make You Do Things“), který identifikoval 12 typů vzorců, včetně Roach Motel, Misdirection a Trick Questions. Brignullova taxonomie byla popisná a zaměřená na UX, postrádala však právní operacionalizaci. Rozhodující most vytvořili Bösch et al. (2016, sborník CHI), kteří se jako první pokusili přiřadit klamavý design ke kategoriím škodlivosti – krok, který učinil akademickou práci srozumitelnou pro regulátory.

Studie z Princetonu z roku 2019 od Mathura a kol. („Dark Patterns at Scale: Findings from a Crawl of 11K Shopping Websites“) představila první rozsáhlou empirickou metodologii: automatizované procházení pomocí selektorů CSS a analýzy stromu DOM k detekci odpočítávacích časovačů, falešných tvrzení o naléhavosti a skrytých vzorců předplatného. Jejich detekční metodologie – parsování innerText pomocí headless Chromium proti knihovnám regulárních výrazů – je nyní přímo replikována v auditorských nástrojích dozorových orgánů, včetně skeneru bannerů cookies CNIL.

Zpráva Norské rady spotřebitelů z roku 2018 „Deceived by Design“ o Facebooku, Googlu a Windows 10 byla prvním dokumentem, který explicitně mapoval vzorce ve stylu Brignulla na články GDPR: čl. 5 odst. 1 písm. a) (zákonnost, spravedlnost, transparentnost), čl. 7 odst. 3 (odvolání souhlasu) a čl. 25 (ochrana údajů již při návrhu). Toto přiřazení vytvořilo šablonu pro stíhání, kterou národní orgány pro ochranu osobních údajů začaly používat v roce 2019.

Sbližování 14 zdrojů a přijetí EDPB

Pokyny EDPB z roku 2022 výslovně citují nebo strukturálně zahrnují zjištění z následujícího výzkumného proudu (rekonstruovaného z poznámek pod čarou a dokumentace pracovní skupiny):

1. Brignull (2010/2018) — základní slovník vzorců
2. Bösch et al. (2016) — taxonomie orientovaná na škody
3. Norská rada spotřebitelů (2018) — mapování GDPR
4. Mathur et al. (2019, Princeton) — empirická data o prevalenci
5. Gray et al. (2018, CHI) — „The Dark (Patterns) Side of UX Design“ — představili strukturu pěti kategorií (otravování, bránění, plížení, rušení rozhraní, vynucená akce), kterou EDPB převzala téměř doslovně
6. Luguri & Strahilevitz (2021, J. Legal Analysis) — A/B testování prokazující manipulaci s mírou souhlasu
7. Společná zpráva CNIL/ICO (2019) — regulační operacionalizace analýzy cookie wall
8. Nouwens et al. (2020, CHI) — „Dark Patterns after the GDPR“ — kvantifikovali, že pouze 11,8 % z 10 000 nejnavštěvovanějších webů ve Velké Británii nabízelo po zavedení GDPR mechanismy pro získání souhlasu v souladu s nařízením
9. Habib et al. (2022, USENIX) — hodnocení zamlžování zásad ochrany osobních údajů
10. BEUC (2020) — mapování vymáhání ze strany spotřebitelských organizací
11. FTC (2022) zpráva „Bringing Dark Patterns to Light“ — transatlantické sjednocení regulace
12. Santos et al. (2021) — „Cookie Banners, What's the State of the Art?“ — analýza specifická pro CMP
13. Bongard-Blanchy et al. (2021) — stratifikace zranitelnosti uživatelů
14. Stanovisko EDPS 3/2022 — institucionální sjednocení před přijetím konečných pokynů

Zvláštní pozornost si zaslouží pětikategoriální struktura Graye a kol. Jejich kategorie „Interference rozhraní“ — zahrnující vizuální manipulaci prostřednictvím barevného kontrastu, rozlišení velikostí a využívání kognitivní zátěže — přímo odpovídá oddílu 4.3 pokynů EDPB o „vzhledu, který klame“. Konkrétní příklad EDPB týkající se použití šedé barvy na šedém pozadí pro tlačítka odmítnutí oproti jasně zbarveným tlačítkům přijetí je převzat téměř přímo z kódovacího rámce Graye a kol. aplikovaného na kategorii „Misdirection“ (Odvedení pozornosti) Brignulla.

Překlad z hlediska vymáhání práva: Kde se taxonomie stává pokutou

Pokuta CNIL ve výši 150 milionů EUR uložená společnosti Google (leden 2022, rozhodnutí SAN-2022-001) a pokuta ve výši 60 milionů EUR uložená společnosti Facebook uplatnily prototaxonomii ještě před finalizací pokynů EDPB, ale jejich právní odůvodnění vychází ze zjištění Nouwens et al.: asymetrie mezi mechanismem souhlasu jedním kliknutím a vícestupňovým procesem odmítnutí porušila čl. 7(3) GDPR a čl. 82 francouzského zákona o ochraně osobních údajů. Nouwens et al. přesně kvantifikovali tuto asymetrii – zjistili, že v rámci zkoumaných CMP vyžadovalo odhlášení v průměru o 1,7 kliknutí více než přihlášení.

Vymáhání irského DPC vůči společnosti Meta (Instagram, prosinec 2022, DPC-IN-5-2019) poprvé začlenilo analýzu interference rozhraní do závazného rozhodnutí s odůvodněním, že výchozí nastavení ochrany soukromí představuje temný vzor podle čl. 25 GDPR, protože volbu chránící soukromí činí architektonicky nevýraznou. To přímo uvádí do praxe kategorii „vynucené akce“ Graye a kol.

Zákaz dark patternů pro velmi velké online platformy (VLOP) podle čl. 25 DSA, který vstoupí v platnost v srpnu 2023, rozšiřuje taxonomii EDPB nad rámec souhlasu na širší manipulaci s uživatelským zážitkem (UX) – čímž vytváří dvojí povinnost dodržování předpisů, kdy stejný prvek rozhraní může současně porušovat jak čl. 5 odst. 1 písm. a) GDPR, tak čl. 25 DSA.

Praktické důsledky: Auditní protokol zohledňující taxonomii

Pro týmy zabývající se technickým dodržováním předpisů má taxonomická linie konkrétní dopady na audit:

• Kontrastní poměry tlačítek CMP: Změřte kontrastní poměry WCAG pro tlačítka přijetí/odmítnutí pomocí automatizovaných nástrojů (axe-core, Lighthouse accessibility API). Asymetrie kontrastu – tlačítko přijetí splňující AAA (7:1), zatímco tlačítko odmítnutí splňuje pouze AA (4,5:1) nebo méně – je dokumentovatelným narušením rozhraní podle oddílu 4.3 EDPB.
• Asymetrie hloubky kliknutí: Zaznamenejte hloubku interakce DOM potřebnou k dosažení ekvivalentních stavů souhlasu pomocí automatizace prohlížeče (Playwright nebo Puppeteer). Metodiku Nouwens et al. lze přímo replikovat pro interní audity. Jakákoli asymetrie přesahující jednu další vrstvu interakce je signálem rizika pro vymáhání.
• Odpočítávací časovače v bannerech pro soubory cookie: Zkontrolujte, zda setTimeout() nebo setInterval() volání v balíčcích JavaScriptu CMP, která spouštějí vizuální prvky naléhavosti. Tyto prvky představují falešnou naléhavost podle oddílu 4.1 EDPB a pravděpodobně činí souhlas neplatným podle čl. 7 GDPR (souhlas nebyl udělen svobodně pod časovým tlakem).
• Předem zaškrtnutá políčka ve vnořených seznamech dodavatelů IAB TCF: Vzor výchozího nastavení na základě oprávněného zájmu v TCF v2.2 v uživatelském rozhraní seznamu dodavatelů byl výslovně označen v rozhodnutí belgického úřadu APD týkajícího se IAB (APD/GBA 21/2022). Audit isConsent vs. isLegitimateInterest signální příznaky ve výstupu řetězce TC.

Hranice v letech 2024–2026: Na co se zaměří příští vlna prosazování

Mezi nové výzkumy, které již vstupují do dalšího regulačního cyklu, patří studie Mavroudis & Livieratos (2023) o algoritmických temných vzorcích – kde personalizační motory dynamicky upravují prezentaci uživatelského rozhraní na základě odvozených skóre zranitelnosti uživatelů odvozených ze sledování chování. To přesahuje statickou manipulaci s rozhraním a směřuje k využívání architektury souhlasu v reálném čase. Pracovní program EDPB na rok 2025 (oznámený v listopadu 2024) zahrnuje specializovanou pracovní skupinu pro rozhraní souhlasu zprostředkovaná umělou inteligencí, která přímo čerpá z této linie výzkumu.

Úředníci pro ochranu osobních údajů by měli mapu taxonomie ze 14 zdrojů považovat nikoli za historický kontext, ale za prediktor budoucího vymáhání: dozorové orgány důsledně prokazují 24–36měsíční zpoždění mezi zveřejněním akademické taxonomie a vymáhacími opatřeními. Výzkum publikovaný v letech 2023–2024 o temných vzorcích hlasových rozhraní (Abdelnabi et al., 2023) a manipulaci s dialogovými okny oprávnění v mobilních operačních systémech (Kollnig et al., 2022) je již v regulačním procesu.

Praktická nutnost: provádět audity temných vzorců podle kompletní taxonomie pěti kategorií od Graye et al., nikoli pouze podle mechanismů bannerů pro soubory cookie. Vzory typu „Interference s rozhraním“, „Nucená akce“ a „Plížení se“ v procesech správy účtů, cestách ke zrušení předplatného a uživatelských rozhraních pro žádosti o vymazání dat představují další hranici vymáhání práva – a akademické základy ospravedlňující tato vyšetřování již byly položeny.