Váš banner se soubory cookie
uživatelům lže.
Dokazujeme to.
Analýza tmavých vzorů na základě 14 recenzovaných zdrojů a 3 vědeckých taxonomií. Odhaluje 26 klamavých vzorů designu v tocích souhlasu, cenových stránkách a uživatelských rozhraních — s forenzní přesností a důkazy připravenými pro soud Ed25519.
| # | Zdroj: | Místo konání / rok | Klíčové zjištění |
|---|---|---|---|
| 1 | Gray et al. | CHI 2018 | 5 základních strategií: Překážky, Plížení, Rušení rozhraní, Vynucená akce. |
| 2 | Mathur et al. | CSCW 2019 | 11 000 analyzovaných nákupních míst, 15 typů vzorů, 1 818 nalezených případů |
| 3 | EDPB Guidelines 03/2022 | EU 2022 | 6 regulačních kategorií: Přetěžování, Přeskakování, Míchání, Překážení, Váhavost, Ponechání ve tmě. |
| 4 | Nouwens et al. | CHI 2020 | Analyzováno 680 bannerů se souhlasem — pouze 11,8 % je v souladu s GDPR. Předem vybraná zaškrtávací políčka zvyšují souhlas o 83 %. |
| 5 | Matte et al. | arXiv 2020 | 89% míra porušení na webových stránkách vyhovujících TCF |
| 6 | Luguri & Strahilevitz | J. Legal Analysis 2021 | Agresivní tmavé vzory vedou k 4x vyššímu počtu předplatných |
| 7 | Santos et al. | WPES 2021 | 61 % bannerů se soubory cookie porušuje omezení účelu, 30 % používá pozitivní rámování. |
| 8 | Bollinger et al. | USENIX Security 2022 | Automatizovaná detekce souhlasu se soubory cookie a porušení GDPR ve velkém měřítku |
| 9 | Kirkman, Vaniea & Woods | EuroS&P 2023 | DarkDialogs: 10 000 webových stránek, 99% přesnost klasifikace, 89,5 % má ≥1 tmavý vzor |
| 10 | Khandelwal et al. | USENIX Security 2023 | CookieEnforcer: 93,7% úspěšnost automatického odhlášení |
| 11 | Lin et al. | IST 2024 | DPDGPT: , 19 typů, skóre F1 0,88 |
| 12 | Singh, Jin & Kim | arXiv 2026 | UMBRA: 99% přesnost detekce, 19 vzorů, studie 14 000 webových stránek |
| 13 | noyb | 2024 | Cookie Banner Report: 422+ formálních stížností na GDPR s metodikou automatického skenování |
| 14 | EU DSA | Reg. 2022/2065 | Čl. 25 odst. 1, 67. bod odůvodnění: Výslovný zákaz tmavého vzoru v digitálních službách |
Problém
Tmavé vzory jsou pro auditory neviditelné
- 89,5 % webových stránek používá alespoň jeden tmavý vzor (Kirkman a kol. 2023).
- Pouze 11,8 % bannerů se soubory cookie je v souladu s GDPR (Nouwens et al. 2020).
- 89% míra porušení i na webových stránkách s certifikací TCF (Matte et al. 2020).
- Předem vybraná zaškrtávací políčka zvyšují souhlas o 83 % — manipulace s miliony lidí denně
- Manuální analýza jednoho souhlasu trvá 2–4 hodiny.
Automatizovaná forenzní detekce
- AI analyzuje strukturu DOM, velikosti tlačítek, barevný kontrast, cesty kliknutí.
- 26 typů vzorů přiřazených ke 3 taxonomiím (Gray, Mathur, EDPB)
- Behaviorální skórování s falešně pozitivní kalibrací
- Analýza obchodních souvislostí snižuje šum (právní požadavky vs. manipulace)
- Kompletní analýza do 60 sekund
26 klamavých návrhových vzorů
Každý vzor je mapován na taxonomie Gray, Mathur a EDPB s odkazy na články GDPR. Podloženo 14 vědeckými zdroji.
Manipulace se souhlasem
- Button Asymmetry — “Přijmout” je velký a zelený, “Odmítnout” je malý šedý text. Analýza luminance WCAG.
- Confirmshaming — “Ne, děkuji, nezajímají mě mé zkušenosti” — emocionální tlak na vynucení souhlasu
- Preselection — Všechny kategorie sledování jsou předem zkontrolovány (porušení rozsudku Soudního dvora EU C-673/17 Planet49).
- Hidden Reject — Odmítnout pohřben 3 kliknutí hluboko — CNIL pokuta Google €150M za to
- Cookie Wall — Zákaz přístupu bez souhlasu — nezákonné podle pokynů EDPB 05/2020
- Positive Framing — Nadpis banneru zdůrazňuje výhody sledování (“nejlepší zážitek”) k navedení souhlasu (Santos 2021, čl. 12 GDPR)
Klamání rozhraní
- Maze Navigation — Záměrně složité nastavení, které brání odhlášení (čl. 12 GDPR)
- Bait & Switch — Prvek uživatelského rozhraní dělá opak toho, co uživatel očekává (§5 UWG)
- Trick Questions — Dvojí zápor a matoucí formulace, které manipulují s rozhodnutími.
- Nagging — Opakované výzvy k vyjádření souhlasu, dokud uživatel nesouhlasí (EDPB Rn. 54)
- Forced Registration — Účet vyžadovaný pro základní funkce nebo práva GDPR (čl. 15/20)
Manipulace s informacemi
- Information Overload — Textové stěny, které brání informovaným rozhodnutím (EDPB Rn. 52)
- Hidden Costs — Poplatky se zjistí až při závěrečném placení (§5a UWG)
- Deliberate Downgrading — Zhoršená zkušenost po odmítnutí souhlasu
- Decontextualising — Informace o ochraně soukromí vytržené z kontextu (EDPB Rn. 58)
- Contradictory Information — Zásady ochrany osobních údajů jsou v rozporu s nastavením bannerů a skutečným chováním
Vyvinuté vzory (výzkum 2023–2026)
- Revocation Friction — Odvolání souhlasu vyžaduje podstatně více kroků než jeho udělení (čl. 7 odst. 3 GDPR).
- Pay-for-Privacy — Uživatelé musí platit za odmítnutí sledování — “Souhlas nebo platba” stěny (EuGH C-252/21 Meta)
- Multi-Layer Misdirection — Přijímání ve vrstvě 1, odmítání ve vrstvě 3+ prostřednictvím vnořených karet a harmonik.
- Legal Ambiguity — Záměrně vágní formulace souhlasu: “může”, “za účelem zlepšení služeb” (čl. 12 odst. 1 GDPR).
- Dark Pattern Masquerading — Marketingové soubory cookie maskované jako “funkce přístupnosti” (DSA čl. 25(1))
Technický podvod
- Implied Consent — Není přítomen žádný banner, sledování je ve výchozím nastavení aktivní (§25 TDDDG, Planet49)
- Consent Theatre — Formální souhlasný banner existuje, ale technická implementace ignoruje volbu uživatele — 89% míra porušení TCF (Matte 2020)
- Category Manipulation — Marketingové trackery skryté pod kategorií “Nezbytné”, aby se obešel souhlas (§25(2) TDDDG)
- Language Discontinuity — Kritické texty o ochraně osobních údajů v jiném jazyce než obsah webových stránek (čl. 12 odst. 1 GDPR, EDPB Fickle)
- Geo/Device Variation — Rozdílné toky souhlasu podle země nebo zařízení — přísné v EU, agresivní jinde (DSA čl. 25(2))
Jak funguje detekce
DOM-Forensik
Chromium bez hlavy zachycuje celý tok souhlasu. Velikost tlačítek, barvy, kontrastní poměry, cíle kliknutí a vrstvení z-indexu jsou měřeny s přesností na pixel. Procházení více stránek s klasifikací stránek podle priority.
Klasifikace AI
Claude AI klasifikuje každý nález podle všech tří taxonomií (Gray, Mathur, EDPB) současně. Obchodní kontext (odvětví, právní požadavky, pověst Trustpilot) kalibruje závažnost. Práh spolehlivosti ≥70 %.
Hodnocení chování
Každému vzoru je přiřazeno skóre závažnosti (0–100). Falešně pozitivní kalibrace odděluje standardní konvence UX od záměrné manipulace. Vážení typu stránky upřednostňuje vysoce rizikové stránky (ceny, zrušení, práva).
Právní mapování
Každé zjištění je přiřazeno ke konkrétním článkům GDPR (čl.4 odst.11, čl. 7, čl. 12), TDDDG §25, ePrivacy čl. 5 odst. 3, DSA čl. 25 a příslušných rozsudků Soudního dvora EU (Planet49, Meta). Umožňuje akademické i právní odkazy.
Klíčová zjištění z výzkumu
webových stránek má alespoň jeden tmavý vzor
Kirkman et al. 2023
bannerů se soubory cookie je v souladu s nařízením GDPR.
Nouwens et al. 2020
vyšší míra předplatného s agresivními vzory
Luguri & Strahilevitz 2021
zvýšení souhlasu z předem vybraných zaškrtávacích políček
Nouwens et al. 2020
Webové stránky TCF porušují vlastní rámec souhlasu
Matte et al. 2020
formální stížnosti na GDPR podané noybem jen v roce 2024
noyb Cookie Banner Report
Kdo používá detekci tmavých vzorů
Pověřenci pro ochranu osobních údajů
Provádějte audit implementací souhlasů svých klientů. Dodávejte zprávy založené na důkazech, které se opírají o 14 vědeckých zdrojů, a ne o názory. Automatizujte to, co dříve zabralo 3 hodiny na jednu webovou stránku.
Dozorové orgány
Dávkové skenování stovek webových stránek na systematické porušování tmavých vzorů. Stanovte priority vynucovacích akcí pomocí objektivního hodnocení závažnosti. Reprodukovatelné důkazy pro správní řízení.
Ochrana spotřebitele
Dokumentovat manipulační toky souhlasů pro stížnosti a soudní řízení. Kryptograficky podepsané důkazy (Ed25519), které obstojí před soudem.
Týmy pro dodržování předpisů
Sledujte své vlastní vlastnosti, zda po aktualizacích CMP nedochází k posunu tmavého vzoru. Integrace CI/CD webhook zachytí regrese souhlasu dříve, než se dostanou do ostrého provozu.
Příklad: Co zpráva ukazuje
{
"pattern": "consent_theatre",
"taxonomy": {
"gray": "Sneaking",
"mathur": "Bait and Switch",
"edpb": "Left in the Dark"
},
"severity": 95,
"confidence": 0.92,
"evidence": {
"trackers_after_reject": ["Google Analytics", "Meta Pixel", "Hotjar"],
"trackers_after_accept": ["Google Analytics", "Meta Pixel", "Hotjar"],
"overlap_pct": 100.0,
"source": "Matte et al. 2020 — 89% TCF violation methodology"
},
"gdpr_articles": ["Art. 7(1)", "§ 25 TDDDG"],
"scientific_refs": ["Matte 2020", "Bollinger 2022"],
"edpb_reference": "Guidelines 03/2022, Rn. 73"
}Detekce tmavých vzorů
Samostatný tmavý vzor Check €39. Forenzní balíček od €119. Ed25519 podepsaný, připravený pro soud. Opřeno o 14 recenzovaných zdrojů.