Dark Patterns: Cum sa le recunosti si să le eviti

Article Dark Patterns: Cum sa le recunosti si să le eviti?

Comitetul European pentru Protecția Datelor (EDPB) a adoptat recent orientări privind “dark patterns” în interfețele platformei sociale media. Acestea oferă recomandări privind modul de evaluare și evitare a așa-numitelor "modele întunecate" în interfețele media sociale. Acestea sunt interfețe și experiențe de utilizator implementate pe platforme care determină utilizatori să facă decizii neintenționate, nedorite și potențial dăunătoare cu privire la prelucrarea datelor lor personale.

Modelele întunecate influențează comportamentul și capacitatea utilizatorilor de a-și proteja în mod eficient datele personale. Orientările oferă exemple concrete de tipuri de modele întunecate, prezintă cele mai bune practici pentru cazuri diferite de utilizare și conțin recomandări specifice pentru designerii interfețelor de utilizator care facilitează implementarea eficientă a GDPR.

Tipurile de modele întunecate (dark patterns) prezentate sunt:

Modele Întunecate

Tip  de Model Întunecat

Definiție

Overloading

(A suprasolicita)

Îngroparea utilizatorilor sub o masă de solicitări, informații, opțiuni sau posibilități pentru a îi împiedica să continue și să îi facă să păstreze sau să accepte anumite practici de date (care nu sunt în avantajul lor).

Promovarea continuă

Acest tip de model întunecat solicită în mod repetat utilizatorilor să furnizeze date sau să își dea consimțământul pentru un nou scop de prelucrare a datelor. Acest fapt împinge utilizatorul să furnizeze mai multe date cu caracter personal a fost solicitat inițial.

Labirint de confidențialitate

Nu există nicio prezentare generală a modului în care sunt structurate funcționalitățile, iar utilizatorii trebuie să navigheze prin multe pagini pentru a-și exercita drepturile de date.

Prea multe opțiuni

Furnizarea a prea multe opțiuni pentru utilizatori, astfel încât ei vor trece cu vederea anumite setări.

Skipping

(A sări peste)

Proiectarea interfeței sau a experienței utilizatorului în așa fel încât utilizatorii să uite sau să nu se gândească la toate aspectele legate de protecția datelor.

Răsturnarea înșelătoare

Caracteristicile și opțiunile de date cele mai invazive sunt activate în mod implicit.

Uită-te acolo

Când o acțiune sau o informație referitoare la protecția datelor este pusă în competiție cu un alt element, fie legate de protecția datelor, fie nu.

Stirring

(A agita)

Afectarea alegerilor utilizatorilor prin apelarea emoțiilor sale sau folosirea unor ghionturi vizuale.

Dirijare emoțională

Oferirea de informații utilizatorilor fie într-o perspectivă foarte pozitivă, făcându-i pe utilizatori să se simtă bine sau în siguranță, fie într-o perspectivă extrem de negativă, făcându-i pe utilizatori să se simtă speriați sau vinovați.

Ascuns la vedere

Folosirea unui stil vizual care ghiontește utilizatorii către opțiuni mai puțin restrictive pentru controale de protecție a datelor personale.

Hindering

(A împiedica)

Îngreunarea sau blocarea utilizatorilor în procesul lor de obținere a informațiilor sau de gestionare a datelor lor, făcând acțiunea greu sau imposibil de realizat.

Înfundătură

În timp ce utilizatorii caută informații sau un controale referitoare la protecția datelor, găsesc un link de redirecționare care nu funcționează sau nu este disponibil.

Mai mult decât necesar

Există mai mulți pași necesari pentru activarea unui control de protecție a datelor în comparație cu pașii pentru o opțiune invazivă.

Informații înșelătoare

Există o discrepanță între informațiile furnizate și acțiunile disponibile, ceea ce îi determină pe utilizatori să facă ceva ce nu intenționează să facă.

Fickle

(Instabilitate)

Designul interfeței este instabil și inconsecvent, ceea ce face dificil pentru utilizatori să-și dea seama unde sunt cu adevărat diferitele controale și despre ce este procesarea.

Lipsa ierarhiei

Informațiile legate de protecția datelor sunt lipsite de ierarhie, făcând ca informațiile să apară de mai multe ori și să fie prezentate în mai multe moduri.

Decontextualizare

O informație sau un control privind protecția datelor se află pe o pagină care este în afara contextului.

Left in the dark

(A fi lăsat în întuneric)

Interfața este concepută astfel încât să ascundă informații sau controale legate de protecția datelor sau să lase utilizatorii nesiguri cu privire la modul în care sunt procesate datele și ce fel de controale ar putea avea asupra acestora.

Discontinuitatea limbajului

Informațiile referitoare la protecția datelor nu sunt furnizate în limbile oficiale ale țării în care locuiesc utilizatorii, în timp ce serviciul este limba nativă.

Informații contradictorii

Când se oferă informații utilizatorilor care sunt în contradictorii într-un fel.

Formulare sau informații ambigue

Utilizarea de termeni ambigue și vagi atunci când se oferă informații utilizatorilor.




Categoria de model întunecat #1: Suprasolicitare

 


 

1.Promovarea continuă

Solicitarea continuă este cazul în care unui utilizator i se cere să furnizeze date în plus sau i se cere consimțământul pentru un nou scop de prelucrare a datelor, oferind argumente de ce ar trebui să le furnizeze. În acest caz, este posibil ca utilizatorii să ajungă să cedeze, deoarece de fiecare dată când refuză cererea li se perturbă utilizarea platformei. În acest mod, consimțământul poate fi argumentat că nu este dat în mod liber (articolul 7 GDPR), nici limitările scopului nu sunt conforme (articolul 5.1.b GDPR).

 

Exemplu: În primul pas al procesului de înscriere, utilizatorilor li se cere să aleagă între diferite opțiuni pentru înregistrarea lor. Ei pot oferi fie o adresă de e-mail, fie un număr de telefon. Atunci când utilizatorii aleg adresa de e-mail, furnizorul aplicației de comerț electronic încearcă în continuare să-i convingă să furnizeze numărul de telefon, declarând că acesta va fi folosit pentru securitatea contului, fără a oferi alternative asupra datelor care ar putea fi sau au fost deja furnizate de către utilizatorii. Concret, pe parcursul procesului de înscriere apar mai multe ferestre cu un câmp pentru numărul de telefon, împreună cu explicația „Vom folosi numărul tău [de telefon] pentru securitatea contului”. Deși utilizatorii pot închide fereastra, sunt suprasolicitați și se dau bătuți, furnizând numărul lor de telefon.

 

2.Labirint de confidențialitate

Atunci când utilizatorii doresc să obțină anumite informații, să utilizeze un anumit control sau să exercite un drept al persoanei vizate, le este deosebit de dificil să le găsească, deoarece trebuie să navigheze prin prea multe pagini pentru a obține informațiile sau controalele relevante. Nu le este pusă la dispoziție o prezentare generală cuprinzătoare a paginilor. Din această cauză, este posibil ca utilizatorii să renunțe sau să rateze informațiile relevante. Acest lucru creează probleme atât cu principiile transparenței și echității (articolul 5.1.a GDPR), cât și cu accesul ușor la informații (articolul 12.1 GDPR).

 

Exemplu: Pe platforma sa, aplicația pune la dispoziție un document numit „sfaturi utile” care conține și informații importante despre exercitarea drepturilor persoanelor vizate. Cu toate acestea, politica de confidențialitate nu conține niciun link sau alt indiciu către acest document. În schimb, menționează că mai multe detalii sunt disponibile în secțiunea ‘Întrebări și răspunsuri’ a site-ului. Prin urmare, utilizatorii care doresc informații despre drepturile lor nu vor găsi aceste explicații în politica de confidențialitate și vor trebui să navigheze mai departe și să caute prin secțiunea ‘Întrebări și răspunsuri’.

 

3.Prea multe opțiuni

Atunci când un utilizator se simte incapabil să facă o alegere din cauza numărului de opțiuni, s-ar putea să-l facă să treacă cu vederea unele setări, mai ales dacă informațiile nu sunt disponibile. Acest lucru poate determina utilizatorii să renunțe sau să rateze setările preferințelor privind drepturile lor de protecție a datelor. Acest lucru nu este în conformitate cu principiile transparenței și echității (articolul 5.1.a GDPR).

 

Exemplu: În cazul unei aplicații este posibil ca utilizatorii să nu știe ce să facă atunci când meniul platformei unei aplicații conține mai multe file care se ocupă de protecția datelor: „protecția datelor”, „siguranță dvs.”, „confidențialitate”, „preferințele dvs. ”.



Categoria de model întunecat #2: A sări peste

 


 

4.Răsturnarea înșelătoare

În unele cazuri, aplicațiile sau platformele se bazează pe opțiunea default (implicită), având caracteristici invazive în vederea prelucrării datelor drept preselectate. Utilizatorii sunt îndemnați să păstreze opțiunea implicită care este invazivă, deoarece este puțin probabil să o schimbe, chiar dacă li se oferă posibilitatea. Acest lucru este împotriva protecției datelor prin design (articolul 25 GDPR).

 

Exemplu: Când utilizatorii intră pe site, sunt invitați să aleagă ce cookie-uri doresc să partajeze. În timp ce sunt disponibile opțiuni mai puțin invazive, toate modulele cookie sunt selectate implicit, ceea ce înseamnă că toate modulele cookie ale acestora, inclusiv informațiile privind comportamentul de marketing, vor fi trimise către site.

 

5.Uită-te acolo

Atunci când o acțiune legată de date este pusă în competiție cu un alt element, utilizatorii pot alege opțiunea de distragere a atenției. Acest lucru îi face să uite de cealaltă opțiune, chiar dacă aceasta reprezenta intenția lor principală. O astfel de acțiune împiedică principiile transparenței și echității (articolul 5.1.a GDPR).

 

Exemplu: Un banner pentru cookie-uri de pe platforma aplicației spune „Pentru cookie-uri delicioase, aveți nevoie doar de unt, zahăr și făină. Vezi aici rețeta noastră preferată [link]. Și noi folosim cookie-uri. Citiți mai multe în politica noastră privind cookie-urile [link]”, împreună cu un buton „ok”.




Categoria de model întunecat #3: A agita

 


 

6.Dirijare emoțională

Atunci când furnizorul de aplicații oferă informații printr-o perspectivă foarte pozitivă sau negativă, acesta influențează starea emoțională a utilizatorilor într-un mod care este susceptibil de a-i determina să facă o acțiune care este împotriva intereselor lor de protecție a datelor. Acest lucru contravine principiilor transparenței și echității (articolul 5.1.a GDPR) și principiului de consimțământ informat (articolul 7 și 8 GDPR).

 

Exemplu: Aplicația de urmărire a somnului le cere utilizatorilor să-și partajeze locația geografică afirmând: „Hei ești un lup singuratic? Împărtășirea și conectarea cu ceilalți ajută la transformarea lumii într-un loc mai bun! Împărtășește-ți locația geografică! Lasă locurile și oamenii din jurul tău să te inspire!”

 

7.Ascuns la vedere

Acest tip de model întunecat se întâmplă atunci când furnizorii de aplicații decid să folosească un stil vizual care ar putea împinge utilizatorul către informații sau controale mai puțin restrictive de protecție a datelor. Acest lucru împinge utilizatorii către opțiuni mai invazive, împiedicând principiul echității (articolul 5.1.a GDPR) și ideea de a fi prezentat informații într-un mod clar (articolul 12.1 GDPR).

 

Exemplu: Paragraful de sub titlul „dreptul de acces” din politica de confidențialitate explică faptul că utilizatorii au dreptul de a obține informații în temeiul articolului 15(1) GDPR. Cu toate acestea, menționează doar posibilitatea utilizatorilor de a primi o copie a datelor lor personale. Nu există un link direct vizibil pentru exercitarea componentei de copiere a dreptului de acces conform articolului 15(3) GDPR. Mai degrabă, primele trei cuvinte „Puteți avea o copie a datelor dumneavoastră personale” sunt ușor subliniate. Când utilizatorii trec cursorul peste aceste cuvinte cu mouse-ul, este afișată o casetă mică cu un link către setări.




Categoria de model întunecat #4: A împiedica

 


 

 

8.Înfundătură

Când utilizatorii nu pot îndeplini o sarcină din cauza unei verigi sau control lipsă. Acest lucru poate fi din cauza unei verigi lipsă sau să fie complet inexistent. Tipul de model întunecat afectează cel mai mult accesul ușor la informații (articolul 12.1 GDPR) și protecția datelor prin design (articolul 25.1 GDPR).

 

Exemplu: La înregistrarea unui cont pe o platformă de comerț electronic, utilizatorilor nu li se furnizează niciun link către informații despre protecția datelor. Aceste informații nu sunt furnizate nicăieri, nici măcar în subsolul paginii.

 

9.Mai mult decât necesar

Când experiența utilizatorului necesită mai mulți pași pentru a activa un control al protecției datelor decât numărul de pași necesari pentru activarea opțiunilor invazive de date. Acest lucru poate descuraja utilizatorii să urmeze pașii procedurii, ceea ce le împiedică dreptul la informații ușor accesibile (articolul 12.1 GDPR), precum și dreptul lor de a obiecta și de a-și exercita drepturile persoanelor vizate (articolul 12.1 și 12.1 GDPR).

 

Exemplu: În cazul unei aplicații de consimțământ pentru cookie-uri (cookie consent manager), furnizorul nu oferă o renunțare directă pentru procesarea reclamelor vizate, chiar dacă consimțământul (opt-in) necesită doar un click.

 

10.Informații înșelătoare

Atunci când există o discrepanță între informațiile și acțiunile disponibile, se creează o diferență între ceea ce se așteaptă utilizatorii și ceea ce primesc. Acest lucru este probabil să-i descurajeze să meargă mai departe cu anumite procese referitoare la protecția datelor. Tipul acesta de model întunecat contrazice corectitudinea prelucrării (articolul 5.1.a GDPR), noțiunea de informații transparente (articolul 12.1 GDPR), precum și dreptul la un consimțământ informat (articolul 7.2 GDPR).

 

Exemplu: Când utilizatorilor li se afișează reclame într-o platformă de comerț electronic. Intrigați de un anunț și curioși de motivele pentru care li se arată, aceștia dau clic pe un „?” semn disponibil în colțul din dreapta jos al anunțului. Se deschide o fereastră pop-in care explică de ce utilizatorii văd acest anunț anume și listează criteriile de direcționare. De asemenea, informează utilizatorii că își pot retrage consimțământul pentru reclamele vizate și oferă un link pentru a face acest lucru. Când utilizatorii fac click pe acest link, ei sunt redirecționați către un site complet diferit, oferind explicații generale despre ce este consimțământul și cum să-l gestioneze.




Categoria de model întunecat #5: Instabilitate

 


 

 

11.Lipsa ierarhiei

Acest lucru se întâmplă atunci când este posibil ca utilizatorii să fie confuzi de redundanța informațiilor privind protecția datelor. Aceștia nu pot înțelege pe deplin modul în care sunt prelucrate datele lor și cum să exercite controlul asupra lor, deoarece nu există o ierarhie în modul în care sunt prezentate informațiile. Acest lucru împiedică ca informațiile să fie ușor accesibile (articolul 12.1 GDPR), precum și posibilitatea de a-și exercita drepturile (articolul 12.2 GDPR).

 

Exemplu: Politica de confidențialitate nu este organizată în diferite secțiuni cu titluri și conținut. Sunt oferite peste 70 de pagini. Cu toate acestea, nu există un meniu de navigare în lateral sau în partea de sus pentru a permite utilizatorilor să acceseze cu ușurință secțiunea pe care o caută. Explicația termenului auto-creat „date de creare” este conținut într-o notă de subsol de la pagina 67.

 

12.Decontextualizare

Atunci când o informație sau un control privind protecția datelor se află pe o pagină care este în afara contextului, este foarte puțin probabil ca utilizatorii să găsească acele informații, deoarece este contra-intuitiv să le caute pe aceas pagină specifică. Decontextualizarea afectează posibilitatea de a accesa cu ușurință informațiile (articolul 12.1 GDPR), precum și principiul transparenței informațiilor (articolul 12.1 GDPR)

 

Exemplu: Pagina reală pentru ștergerea unui cont dintr-o aplicație se găsește în secțiunea „Ștergeți o funcție a contului dvs.”.




Categoria de model întunecat #6: A fi lăsat în întuneric

 


 

 

13.Discontinuitatea limbajului

Atunci când informațiile privind protecția datelor sunt furnizate într-o altă limbă, este posibil ca utilizatorii să nu le poată citi cu ușurință. Acest lucru îi poate face să nu știe cum sunt procesate datele. Acest lucru afectează utilizarea unui limbaj clar și simplu pentru informațiile privind protecția datelor (articolul 12.1 GDPR).

 

Exemplu: Aplicația de urmărire a somnului este disponibilă în croată ca limbă aleasă de utilizatori (sau în spaniolă ca limbă a țării în care se află), în timp ce toate informațiile despre protecția datelor sunt disponibile numai în limba engleză.

 

14.Informații contradictorii

Atunci când utilizatorilor li se oferă informații care sunt în conflict una cu cealaltă, este posibil ca utilizatorii să rămână nesiguri despre ce ar trebui să facă și despre consecințele acțiunilor lor. Acest lucru îi poate determina să păstreze setările implicite, mai degrabă decât să schimbe ceva. Informațiile contradictorii afectează principiul informării transparente (articolul 12.1 GDPR) și corectitudinea prelucrării (articolul 5.1.a GDPR).

 

Exemplu: Furnizorul de aplicație se referă doar la acțiunile unei terțe părți. Acesta spune că încălcarea datelor a fost provocată de o terță parte (de exemplu, un procesator) și, prin urmare, nu a avut loc nicio încălcare a securității. Controlorul evidențiază, de asemenea, anumite bune practici care nu au nimic de-a face cu încălcarea securității din prezent.

 

15.Formulare sau informații ambigue

Atunci când furnizorii furnizează informații prin termeni ambigui și vagi, este posibil ca utilizatorii să rămână nesiguri cu privire la modul în care vor fi prelucrate datele sau cum își exercită controlul asupra datelor lor personale. Acest lucru împiedică utilizarea unui limbaj clar și simplu pentru informațiile privind protecția datelor (articolul 12.1 GDPR), precum și corectitudinea prelucrării (articolul 5.1.a GDPR).

 

Exemplu: Atunci când are loc o încălcare a datelor într-o aplicație de sănătate, mai multe seturi de date de sănătate au fost accesibile accidental utilizatorilor neautorizați. Furnizorul aplicației informează utilizatorii doar că „categorii speciale de date cu caracter personal” au fost făcute publice accidental.

 

Pentru consultanta in "dark patterns" si intrebari legate de subiect, ne puteti contacta la office@decalex.ro si vom raspude cu drag tututror intrebarilor voastre!

Share:
Diana Cojocaru
Autor: Diana Cojocaru

Privacy & Data Protection, Information Systems Auditor

PUNE O INTREBARE