Dark pattern, le interfacce grafiche che "ingannano" gli utenti: il primo intervento del Garante privacy

Dark pattern: modelli di progettazione ingannevoli

Sono definiti "dark pattern" quei "modelli di progettazione ingannevoli" che comprendono interfacce e percorsi di navigazione progettati per influenzare l'utente affinché intraprenda azioni inconsapevoli o non desiderate e potenzialmente dannose dal punto della privacy del singolo, ma favorevoli all'interesse della piattaforma o del gestore del servizio.I dark pattern, infatti, sfruttano modelli comunicativi non chiari con particolare ri

ferimento alla progettazione grafica delle interfacce e alle modalità di svolgimento del processo di iscrizione on line ai servizi.

L'obiettivo è quello di spingere gli utenti a prendere determinate decisioni - che altrimenti, forse, non prenderebbero - incidendo sulla libertà di scelta e sul percorso decisionale degli utilizzatori del servizio e, in definitiva, condizionando il processo di autodeterminazione del singolo.

Di fatto sono strumenti per prioritizzare in modo nascosto alcune scelte per l'utente, individuate a monte dalla società che le struttura.

Tali modelli decisionali, costruiti ad hoc per orientare l'utente verso determinate scelte, mirano dunque a influenzare i comportamenti e, parallelamente, limitano il ragionamento delle persone verso un consapevole "governo" dei propri dati personali. Infatti, tali modelli e tali interfacce grafiche, implicando percorsi e ragionamenti psicologici inconsapevoli, sono format opachi, poco trasparenti. Tale impostazione non trasparente comporta inevitabilmente un impatto negativo sull'ambito della tutela e della protezione dei dati personali delle persone che si trovano ad interagire con tali sistemi.

Digital Service Act: per la prima volta una definizione di "dark pattern"

Con il Digital Service Act (DSA), il Regolamento Ue del 19 ottobre 2022 (entrato in vigore il 16 novembre 2022 e che sarà applicabile a tutti gli Stati membri Ue a partire dal 17 febbraio 2024), concernente l'ambito del mercato unico dei servizi digitali, per la prima volta viene data una definizione di "dark pattern". Sostanzialmente vengono definiti "dark pattern" quei meccanismi idonei ad alterare il processo decisionale dell'utente.

Il Legislatore europeo, con il Considerando n. 67 del Regolamento appena citato, si esprime così: "I percorsi oscuri sulle interfacce online delle piattaforme online sono pratiche che distorcono o compromettono in misura rilevante, intenzionalmente o di fatto, la capacità dei destinatari del servizio di compiere scelte o decisioni autonome e informate. Tali pratiche possono essere utilizzate per convincere i destinatari del servizio ad adottare comportamenti indesiderati o decisioni indesiderate che abbiano conseguenze negative per loro. Ai fornitori di piattaforme online dovrebbe pertanto essere vietato ingannare o esortare i destinatari del servizio e distorcere o limitare l'autonomia, il processo decisionale o la scelta dei destinatari del servizio attraverso la struttura, la progettazione o le funzionalità di un'interfaccia online o di una parte della stessa. C iò dovrebbe comprendere, a titolo non esaustivo, le scelte di progettazione a carattere di sfruttamento volte a indirizzare il destinatario verso azioni che apportano benefici al fornitore di piattaforme online, ma che possono non essere nell'interesse dei destinatari, presentando le scelte in maniera non neutrale, ad esempio attribuendo maggiore rilevanza a talune scelte attraverso componenti visive, auditive o di altro tipo nel chiedere al destinatario del servizio di prendere una decisione.

Dovrebbe inoltre includere la richiesta reiterata a un destinatario del servizio di effettuare una scelta qualora tale scelta sia già stata effettuata, rendendo la procedura di cancellazione di un servizio notevolmente più complessa di quella di aderirvi, o rendendo talune scelte più difficili o dispendiose in termini di tempo rispetto ad altre, rendendo irragionevolmente difficile interrompere gli acquisti o uscire da una determinata piattaforma online consentendo ai consumatori di concludere contratti a distanza con operatori commerciali e ingannando i destinatari del servizio spingendoli a prendere decisioni in merito a transazioni, o tramite impostazioni predefinite che sono molto difficili da modificare, e distorcere così in modo irragionevole il processo decisionale del destinatario del servizio, in modo tale da sovvertirne e comprometterne l'autonomia, il processo decisionale e la scelta.

Tuttavia, le norme per prevenire i percorsi oscuri non dovrebbero essere intese come un impedimento ai prestatori di servizi di interagire direttamente con i destinatari del servizio e di offrire loro servizi nuovi o aggiuntivi. Le pratiche legittime, ad esempio nel campo della pubblicità, conformi al diritto dell'Unione non dovrebbero essere considerate di per sé percorsi oscuri. Tali norme sui percorsi oscuri dovrebbero essere interpretate come atte a disciplinare le pratiche vietate che rientrano nell'ambito di applicazione del presente regolamento nella misura in cui tali pratiche non siano già contemplate dalla direttiva 2005/29/CE o dal regolamento (UE) 2016/679 ".

Ecco, quindi, nell'ultima parte del Considerando in commento, anche il diretto riferimento al GDPR.

Linee Guida EDPB sui modelli di progettazione ingannevoli nei social media

Successivamente, il 24 febbraio 2023, il Comitato europeo per la protezione dati (EDPB) ha pubblicato le Linee guida intitolate "Modelli di progettazione ingannevoli nella piattaforma dei social media interfacce: come riconoscerli ed evitarli".

Il documento contiene raccomandazioni pratiche a gestori dei social media, a designer e utenti su come comportarsi di fronte a queste interfacce che si pongono in violazione della normativa in materia di trattamento e protezione dei dati personali (GDPR e Codice privacy).

Nello specifico, l'EDPB distingue sei tipologie di "modelli di progettazione ingannevoli". In particolare, tali modelli si configurano:

• quando gli utenti si trovano di fronte a una enorme numero di richieste, informazioni, opzioni o possibilità finalizzate a spingerli a condividere più dati possibili e consentire involontariamente il trattamento dei dati personali contro le aspettative dell'interessato (overloading);

• quando le interfacce sono realizzate in modo tale che gli utenti dimentichino o non riflettano su aspetti legati alla protezione dei propri dati (skipping);

• quando le scelte degli utenti sono influenzate facendo appello alle loro emozioni o usando sollecitazioni visive (stirring);

• quando gli utenti sono ostacolati o bloccati nel processo di informazione sull'uso dei propri dati o nella gestione dei propri dati (hindering);

• quando gli utenti acconsentono al trattamento dei propri dati senza capire quali siano le finalità a causa di un'interfaccia incoerente o poco chiara (flickle);

• quando l'interfaccia è progettata in modo da nascondere le informazioni e gli strumenti di controllo della privacy agli utenti (leftinthedark).

Il Garante privacy nel link del proprio sito istituzionale dedicato al tema dei dark pattern ricorda che le interfacce e le informazioni sottoposte agli utenti dovrebbero sempre riflettere fedelmente le conseguenze dell'azione intrapresa ed essere coerenti con il percorso di esperienza-utente. L'approccio alla progettazione deve essere, dunque, quello di non mettere in discussione la decisione della persona per indurla a scegliere o mantenere un ambiente meno protettivo nei confronti dei propri dati personali.

Il modello deve invece essere utilizzato per avvisare la persona che una scelta appena compiuta potrebbe comportare rischi per i propri dati e la privacy.

Il Garante privacy sanziona una società per l'uso di dark pattern

Come anticipato, con un provvedimento del febbraio scorso, il Garante privacy ha irrogato una sanzione ad una società che si occupa di effettuare campagne promozionali per clienti medio-grandi via sms, e-mail e tramite chiamate automatizzate.

L'attività della società consiste nel veicolare i messaggi ricevuti dal committente ai soggetti presenti nella banca dati della società stessa che si configurano quindi come potenziali futuri clienti (lato privacy, "interessati"), senza trasmissione dei dati personali di questi ultimi al committente.

In particolare, per svolgere la propria attività, la società si avvale di un database, composto da dati raccolti direttamente dalla società e dati forniti da terzi, contenente dati di 21 milioni di interessati.

La contestazione mossa dall'Autorità di controllo trae origine da alcuni accertamenti ispettivi, svolti in base sia attività accertative pianificate, sia in base ad alcuni reclami pervenuti da alcuni interessati.

Il Garante privacy ha ritenuto che la raccolta dei dati personali non fosse conforme al GDPR e al Codice privacy, con particolare riferimento all'utilizzo da parte della società di "modelli oscuri" (dark pattern) finalizzati ad aggirare la volontà dell'interessato.

Nello specifico, dagli accessi effettuati dall'Ufficio del Garante ai portali gestiti direttamente dalla società in questione è emerso che in molti casi venivano adottati modelli comunicativi non chiari relativamente alla progettazione grafica delle interfacce e alle modalità di svolgimento del processo di iscrizione ai servizi.

In sede di contestazione, il Garante ha richiamato anche i sopra richiamati chiarimenti espressi dall'EDPB nelle linee guida sui dark pattern, che erano ancora in fase di consultazione pubblica al momento della redazione dell'atto di avvio del procedimento.In alcuni dei portali esaminati, durante il processo di iscrizione ad alcuni servizi veniva richiesto all'interessato di esprimere uno specifico consenso in merito al trattamento per finalità di marketing della società in questione e alla comunicazione a terzi per finalità di marketing. Se una delle due caselle non veniva selezionata, veniva presentato un pop up che evidenziava la mancanza del consenso e presentava un tasto ben evidente per accettare il trattamento.

Attraverso una strategia tipica del linguaggio dei "dark pattern", il link per continuare senza accettare l'opzione collegata alla finalità di marketing era posto in basso, fuori dal pop up, in testo semplice (senza il formato grafico del pulsante) scritto con carattere di dimensioni inferiori al resto del testo e, essendo in sovraimpressione, poco visibile.

Nel provvedimento sanzionatorio in commento il Garante privacy ha sottolineato come la proposizione del pop up non aveva alcuna utilità per lo svolgimento del processo di iscrizione ma rappresentava, evidentemente, un ulteriore tentativo di raccogliere il consenso dell'utente nonostante questi avesse già chiaramente espresso la sua volontà nella schermata precedente.

Tale tentativo, oltre ad aggravare inutilmente il percorso di iscrizione, si caratterizzava per una maggiore opacità delle modalità con cui la richiesta di consenso veniva presentata aumentando le probabilità che l'interessato rilasciasse il proprio consenso non per scelta consapevole ma piuttosto perché indotto in errore o per la fretta di concludere il processo.Analoga impostazione poco trasparente veniva utilizzata nella schermata presentata all'utente per invitarlo a fornire i dati di altri soggetti potenzialmente interessati ad iscriversi ai servizi.

* Di Elisa Chizzola

Se questo articolo è stato di tuo interesse ma non sei ancora abbonato a NT+ Diritto approfittane subito,prova 1 mese da € 4,90!Scopri di più