← Zpět na blog Dark Patterns

Manipulace s 83% souhlasem: Proč si Planet49 nechala otevřené dveře

· 6 min čtení
consent manipulation dark patterns Planet49 CMP compliance GDPR enforcement

V roce 2020 zveřejnili Nouwens, Liccardi, Veale, Karger a Hartzog dosud nejcitovanější empirickou studii o manipulaci se souhlasem: kontrolovaný experiment provedený na reálných bannerech s informacemi o souborech cookie, který prokázal, že předem zaškrtnutá políčka zvyšují míru „souhlasu“ o 83 procentních bodů ve srovnání s ekvivalenty vyžadujícími výslovný souhlas. Soudní dvůr Evropské unie již prohlásil předem zaškrtnutá políčka za protiprávní ve věci Planet49 GmbH proti Bundesverband der Verbraucherzentralen (věc C-673/17, rozsudek ze dne 1. října 2019). Přesto o čtyři roky později automatické prohledávání 10 000 nejlepších evropských domén podle žebříčku Tranco konzistentně nachází předem zaškrtnuté přepínače nebo zaškrtávací políčka v 35–45 % bannerů pro souhlas s cookies. Rozdíl mezi zákonem a praxí není způsoben nevědomostí – je to architektura.

Co Nouwens a kol. skutečně měřili

Studie z Cambridge oslovila 1 976 účastníků a vystavila je realistickým rozhraním pro souhlas s cookies, která se lišila v šesti dimenzích designu: pozice, barva, stav předvolby, požadovaná interakce, počet možností a formulace textu. Pouze proměnná předvolby – přepnutí zaškrtávacího políčka z nezaškrtnutého na zaškrtnuté jako výchozí – vedla k absolutnímu nárůstu vyjádřeného „souhlasu“ o 83 %. Nejedná se o relativní nárůst; jde o výkyv míry souhlasu o 83 procentních bodů, přičemž přijetí se v nejextrémnější testované situaci posunulo z přibližně 11 % na 94 %.

Důležité je, že studie zohlednila matoucí faktory. Efekt přetrvával i v případě, kdy rozhraní výslovně označovalo předvolený stav. Uživatelé nebyli oklamáni ohledně toho, na co klikají – byli pouze ovlivněni kognitivním efektem výchozího nastavení, který popsal Kahneman ve svém výzkumu Systému 1. Z právního hlediska je to důležité, protože to vyvrací kritéria „informovaného“ a „svobodně daného“ souhlasu podle čl. 4 odst. 11 GDPR a požadavek na aktivní souhlas podle čl. 6 odst. 1 písm. a) GDPR, bez ohledu na to, zda je popisek zaškrtávacího políčka technicky přesný.

Planet49: Co Soudní dvůr Evropské unie skutečně rozhodl – a co ne

Rozsudek ve věci Planet49 se zabýval praxí německého provozovatele loterie, který předem zaškrtával políčko pro marketingové soubory cookie třetích stran. SDEU jednoznačně rozhodl, že předem zaškrtnutá políčka nepředstavují platný souhlas ani podle směrnice o soukromí a elektronických komunikacích (čl. 5 odst. 3 směrnice 2002/58/ES), ani podle GDPR. Souhlas musí zahrnovat aktivní vyjádření subjektu údajů — což je standard neslučitelný s jakýmkoli stavem, kdy je volba předem zaškrtnuta.

Co rozsudek ve věci Planet49 nevyřešil, je otázka implementace. Rozsudek se zabývá statickými zaškrtávacími políčky v HTML. Moderní platformy pro správu souhlasu (CMP) zajišťují souhlas prostřednictvím přepínačů vykreslených pomocí JavaScriptu, posuvníků animovaných pomocí CSS a vícevrstvých modálních toků, kde je stav „předvolby“ vložen dynamicky po načtení DOM – někdy až po spuštění události posouvání. Tyto vzory jsou funkčně identické s předem zaškrtnutým políčkem, ale architektonicky se liší, což komplikuje jak regulační kontrolu, tak automatickou detekci.

EDPB se některými z těchto temných vzorců zabýval ve svých pokynech 03/2022 o temných vzorcích (verze 2.0, přijatých 14. března 2023), přičemž v oddíle 3.2.1 výslovně označil „předzaškrtnutí“ za zakázanou praxi. Pokyny však nedefinují technický standard detekce, takže vymáhání závisí na manuálním přezkumu ze strany orgánů na ochranu osobních údajů – což představuje úzké místo, které se týká stovek stížností ročně, nikoli milionů nasazení bannerů.

Problém architektury CMP

Dominantní CMP – OneTrust, Cookiebot, Usercentrics, TrustArc – všechny nabízejí konfigurační možnosti, které vydavatelům umožňují nastavit výchozí stavy souhlasu pro jednotlivé kategorie. Samotná CMP není nelegální; nelegální je konfigurace vydavatele. To vytváří problém s rozložením odpovědnosti: dodavatel CMP se zříká odpovědnosti za nesprávnou konfiguraci vydavatele, vydavatel viní výchozí šablonu CMP a DPA může stíhat pouze správce – kterým může být malý vydavatel bez právního týmu.

Na technické úrovni jsou výchozí stavy souhlasu v těchto CMP obvykle uloženy v konfiguračním objektu JavaScriptu načteném před vykreslením uživatelského rozhraní pro souhlas. Například v nesprávně nakonfigurovaném nasazení OneTrust může být soubor OptanonConsent může být cookie zapsán s kategoriemi, které jsou již označeny jako 1 (aktivní) ještě před jakoukoli interakcí uživatele, protože vydavatel nastavil defaultStatus: "always active" pro analytické kategorie v pravidle geolokace. Řetězec souhlasu IAB TCF 2.2 zakódovaný v euconsent-v2 cookie může současně obsahovat bity účelu 1–10 přednastavené na 1 — což je přímé porušení sekce 5.1 zásad TCF, která zakazuje přednastavené bity souhlasu.

Automatická detekce: Co dnes funguje

Mezeru v prosazování lze vyřešit automatizací pomocí bezhlavého prohlížeče. Metodika detekce vyžaduje dvě nezávislé relace prohlížeče na stejné URL:

  1. Studená relace (bez interakce): Spusťte instanci Playwright nebo Puppeteer s čistým profilem, bez souborů cookie a bez localStorage. Přejděte na cílovou URL. Po spuštění DOM-interactive zachyťte: (a) všechny zapsané soubory cookie, (b) všechny localStorage a sessionStorage záznamy, (c) odchozí síťové požadavky přes CDP Network.requestWillBeSenta (d) vykreslený stav DOM banneru se souhlasem včetně zaškrtnutých stavů ARIA a shod :checked pseudo-třídy na vstupních prvcích.
  2. Relace s explicitním odmítnutím: Opakujte navigaci, poté programově klikněte na tlačítko „Odmítnout vše“ nebo ekvivalentní tlačítko, pokud je k dispozici, a zachyťte stejné signály.

Detekce předvolby se zaměřuje na inspekci DOM před jakoukoli událostí kliknutí: dotaz document.querySelectorAll('input[type="checkbox"]') a document.querySelectorAll('[role="switch"]'), poté vyhodnoťte .checked a getAttribute('aria-checked') pro každý prvek v kontejneru souhlasu. Přepínač hlášení true nebo "true" před jakoukoli interakcí uživatele je předem vybraným ovládacím prvkem. Proveďte křížovou kontrolu s řetězcem souhlasu IAB TCF, pokud je k dispozici: dekódujte užitečné zatížení base64url podle specifikace TCF a zkontrolujte bitové pole PurposesConsent. Přednastavené bity bez odpovídajícího uživatelského gesta představují porušení zásad TCF nezávisle na GDPR.

Mezi nástroje implementující tuto logiku patří skener DarkPatterns.io, open-source CookieAudit (GitHub: cavi-au/Consent-O-Matic) rozšířený o detekční skripty a akademické crawlery, jako je ten použitý v následné studii z roku 2023 od Bouhoula et al., která zjistila předvolené přepínače na 54,4 % vzorku CMP registrovaných v IAB TCF. Pro použití podnikovým DPO poskytuje integrace těchto kontrol do CI/CD pipeline prostřednictvím naplánované testovací sady Playwright proti produkčním URL adresám nepřetržité monitorování shody namísto jednorázových auditů.

Pákové body pro vymáhání

Pro právníky specializující se na ochranu osobních údajů, kteří poskytují poradenství správcům: dokumentujte exporty konfigurace CMP jako důkazní materiál. Většina CMP poskytuje výpis konfigurace ve formátu JSON nebo XML – uchovávejte kopie s verzemi, které ukazují výchozí stavy souhlasu při každé změně konfigurace. Podle zásady odpovědnosti podle čl. 5 odst. 2 GDPR není tato dokumentace volitelná.

Pro pověřence pro ochranu osobních údajů: požadujte od svého dodavatele CMP smluvní záruku (v DPA podle čl. 28 GDPR), že pro nepodstatné kategorie nebudou povoleny žádné výchozí stavy souhlasu bez explicitní konfigurace vydavatele a auditního protokolu. Dodavatelé, kteří tuto klauzuli odmítají, dávají najevo, že jejich výchozí nastavení není v souladu s předpisy.

Pro donucovací orgány: nejúčinnějším zásahem není zpracování stížností případ od případu, ale audity na úrovni CMP. Jediná nesprávná konfigurace šablony OneTrust nasazená na 50 000 webových stránkách vydavatelů představuje 50 000 současných porušení čl. 7 GDPR. Vymáhací opatření CNIL z roku 2022 proti společnostem Google a Facebook (SAN-2022-001, SAN-2022-002) dokazují, že vymáhání na úrovni nadřazených platforem má dopad – stejná logika platí i pro dodavatele CMP, jejichž výchozí šablony umožňují předvolbu.

Číslo 83 % jako právní prahová hodnota

Zjištění Nouwense a kol. o 83 % není pouze akademické. Poskytuje empirický základ pro tvrzení, že předvolená rozhraní nejsou ze své podstaty schopna vyvolat platný souhlas – ne proto, že by byla klamavá v tradičním smyslu, ale proto, že strukturálně využívají kognitivní výchozí nastavení k dosažení míry souhlasu, která by u skutečně neutrálního rozhraní neexistovala. Tento argument přímo koresponduje s požadavkem bodu 42 GDPR, že souhlas by neměl být považován za svobodně udělený, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu. Rozhraní, které mechanicky dosahuje 83% míry přijetí pouze díky výchozímu nastavení, nenabízí volbu – vytváří ji.

Související články