I dark pattern sono “sistemi oscuri” che vengono impiegati dai siti internet in genere per aggirare le disposizioni in materia di protezione dei dati personali, in particolare quelle legate al consenso.
Non è così raro che l’utente medio – forse per inesperienza ma molto spesso semplicemente per impazienza – incorra in strategie di questo tipo, accettando privacy policy incomprensibili o ciclopiche solo per proseguire velocemente nella navigazione “senza rotture”.
Per comprendere l’impatto che questi subdoli meccanismi hanno sulla privacy online degli utenti, occorre dapprima comprendere come agiscono.
Cosa sono i dark patterns
L’espressione “dark pattern” è stata impiegata per la prima volta dallo user experience designer Harry Brignull per fare riferimento alle interfacce utenti o ai percorsi di interazione con un servizio, appositamente progettati per guidare l’utente finale verso comportamenti da questo non realmente desiderati.
Rappresentano il lato oscuro del design ed il loro fine è quello di manipolare l’utente veicolando le sue scelte; ingannarlo nascondendogli delle informazioni o rendendogli più complicato reperirle; ostacolarlo nel controllo effettivo sui suoi dati personali o persino di estorcergli il consenso per il loro trattamento.
Le tipologie di dark patterns
Ad oggi ve ne sono diverse varianti che prendono un nome differente a seconda di come (o dove) vengono impiegate o dello scopo che perseguono. Harry Brignull ne individua 12 tipologie:
- Trick question: durante la compilazione di un modulo l’utente risponde ad una domanda che lo induce a dare una risposta che non intendeva dare. Quando la si guarda rapidamente, la domanda sembra chiedere una cosa, ma se letta attentamente ne chiede completamente un’altra.
- Sneak into Basket: l’utente tenta di acquistare qualcosa, ma da qualche parte nel percorso di acquisto il sito inserisce un articolo aggiuntivo nel suo carrello, tramite opzioni di opt-out o caselle di controllo non disattivate in pagine precedenti.
- Roach Motel: l’utente accede molto facilmente ad una determinata situazione da cui non riesce ad uscirne con altrettanta facilità (ad es. un abbonamento premium).
- Privacy Zuckering: l’utente è indotto a condividere pubblicamente informazioni su di sé più di quanto ne voleva pubblicare nella realtà. Prende chiaramente il nome dal CEO di Facebook Mark Zuckerberg.
- Price Comparison Prevention: il rivenditore rende difficile confrontare il prezzo di un articolo con un altro, quindi l’utente non può prendere una decisione ponderata.
- Misdirection: il design del sito web focalizza l’attenzione dell’utente su un contenuto per distrarlo da altri.
- Hidden Costs: solo quando arriva all’ultimo passaggio del processo di check-out l’utente scopre che sono stati aggiunti alcuni addebiti imprevisti, ad es. spese di spedizione, tasse, etc.
- Bait and Switch: l’utente ha intenzione di svolgere una certa azione, ma è indotto a compierne una completamente diversa.
- Confirmshaming: l’atto di colpevolizzare l’utente per aver optato per un servizio (in genere meno oneroso) piuttosto che un altro. L’opzione di rifiuto è formulata in modo tale da indurre l’utente a provare vergogna e rinunciare alla sua scelta.
- Disguised Ads: annunci camuffati da altri tipi di contenuto o navigazione, per indurre l’utente a fare clic su di essi.
- Forced Continuity: all’utente vengono chieste le credenziali della carta di credito per l’attivazione di una prova gratuita di un servizio. Al termine del periodo di prova sulla carta iniziano ad essere addebitati, silenziosamente e senza alcun preavviso, i costi del servizio divenuto a pagamento. In alcuni casi la situazione peggiora ulteriormente rendendo difficile la cancellazione dell’abbonamento.
- Friend Spam: il servizio richiede all’utente le e-mail o le autorizzazioni dei social media con la scusa che verranno utilizzate per uno scopo positivo (ad es. trovare amici), ma poi invia spam a tutti i suoi contatti in un messaggio che afferma di essere dallo stesso utente trasmesso.
Strategie di questo tipo possono comportare, nel breve termine, diversi vantaggi in capo al titolare del sito, sia in termini di profitti che di clienti.
In materia di privacy, le aziende ricorrono a tali strumenti per raccogliere dati personali per i quali difficilmente l’utente avrebbe prestato un consenso libero e consapevole.
Molte piattaforme online, inoltre, raccolgono dati non necessari dei propri utenti anche al fine di profilarli o di comunicare (o vendere) tali dati a soggetti terzi.
Ogni utente della rete, il più delle volte senza neppure saperlo, si sarà imbattuto almeno una volta nella sua vita in un dark pattern.
Si pensi alle invadenti impostazioni di default per la privacy di alcuni siti internet; all’occultamento di alcune opzioni sulla privacy più favorevoli per l’utente; o ancora alla previsione di percorsi eccessivamente lunghi e complicati per l’utente per poter intervenire sul trattamento dei propri dati.
Il sito web, così strutturato, è destinato a condizionare le intenzioni degli utenti, sfruttando meccanismi spesso inconsapevoli ed irrazionali presi in prestito dallo studio delle scienze cognitive e del comportamento umano.
Talvolta persino un design non troppo accattivante potrà essere il risultato di uno studio finalizzato a sfruttare i c.d. bias cognitivi degli utenti.
Bias cognitivi e Dark pattern
In psicologia, per bias cognitivo si intende la tendenza a creare la propria realtà soggettiva, non necessariamente corrispondente all’evidenza, sviluppata sulla base dell’interpretazione delle informazioni in possesso e dei concetti preesistenti – anche se non connessi tra loro da legami logici e validi – che porta dunque ad un errore di valutazione o a mancanza di oggettività nel giudizio.
Il bias cognitivo è una forma di distorsione della valutazione causata dal pregiudizio e può quindi influenzare un’ideologia, un’opinione e un comportamento.
In genere, tutti gli esseri umani sono soggetti a questo tipo di “errori” del pensiero, indipendentemente dal livello culturale e di istruzione.
Dinnanzi a scelte, decisioni o problemi la mente umana utilizza soluzioni approssimative che di norma sono efficaci, ma sono soggette ad un margine di errore, i bias appunto.
Un design ingannevole innesca questo meccanismo. La user experience di molte piattaforme per l’acquisto di beni e servizi viene modellata per sfruttare i limiti e gli errori cognitivi automatici del cervello umano per fini commerciali.
I dark patterns “giocano” con il nostro cervello.
Dark pattern e GDPR
Sebbene formalmente sembrerebbero strumenti del tutto leciti, di fatto si pongono in contrasto con le norme previste dal GDPR in materia di protezione dei dati personali.
Invero, i dark patterns agevolano comportamenti lesivi del diritto alla riservatezza che violano evidentemente i valori ed i principi a cui il regolamento europeo si ispira.
Dark pattern e principio di minimizzazione
Secondo il principio di minimizzazione, disciplinato all’art. 5 GDPR, devono essere trattati solamente quei dati effettivamente necessari per il raggiungimento delle finalità del trattamento.
Il titolare del trattamento deve quindi raccogliere unicamente i dati di cui realmente ha bisogno nei rispetto dei principi di:
- adeguatezza dei dati ovvero proporzionalità rispetto alle finalità per le quali sono raccolti;
- pertinenza dei dati rispetto alla finalità precedentemente definite; e
- limitazione del trattamento alle sole finalità dichiarate. I dati devono, in ogni caso, essere raccolti per uno scopo chiaro e non devono essere utilizzati per scopi incompatibili o comunque diversi da quelli comunicati.
Un esempio di dark pattern in contrasto con questo principio si ha quando all’utente viene chiesto l’inserimento di informazioni personali di fatto non necessarie per l’utilizzo del servizio, inducendo nell’utente l’errata convinzione che detto inserimento sia in realtà obbligatorio.
Dark pattern e principio di trasparenza
L’art. 5 del GDPR prevede inoltre che i dati personali siano “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»)”.
L’interessato deve essere messo nelle condizioni di conoscere le modalità che verranno impiegate per raccogliere, utilizzare, consultare o altrimenti trattare i dati personali che lo riguardano nonché la misura in cui gli stessi dati sono o saranno trattati.
Ciò detto, l’utente deve poter facilmente accedere a tali informazioni e comprenderle, per tale ragione il titolare deve utilizzare un linguaggio semplice e chiaro (in tal senso i Considerando nn. 38, 58, 60).
Come peraltro specificato anche all’art. 12, secondo il quale
Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.
Un esempio di dark pattern (cd. Roach Motel) che viola il principio di trasparenza si ha quando un sito internet facilita l’iscrizione degli utenti ad un servizio, ma rende estremamente difficile la cancellazione dallo stesso (ad es. nascondendo le indicazioni sulle modalità di cancellazione dell’account o rendendo l’iter lungo e non intuitivo fino al punto di fare desistere l’utente).
Dark pattern ed i principi di privacy by design e privacy by default
In questo contesto non si possono non considerare anche i principi di privacy by design e by default, introdotti all’art. 25 GDPR in merito alla protezione dei dati sin dalla progettazione nonché per impostazione predefinita (in tal senso il Considerando n. 78).
Il regolamento europeo prevede infatti che il titolare del trattamento metta in atto misure tecniche ed organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati ed a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti che lo stesso regolamento impone e tutelare i diritti degli interessati.
Nella stessa previsione normativa, si aggiunge poi che il titolare del trattamento deve porre in essere le stesse misure anche per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento.
Per una totale compliance alla normativa privacy è infatti importante che già in fase di progettazione si considerino elementi che consentono all’utente di avere una effettiva consapevolezza nonché un pieno controllo delle modalità del trattamento e della qualità dei dati oggetto del trattamento stesso, fornendo all’utente la possibilità reale di intervenire attraverso l’esercizio dei diritti ad esso riconosciuti dalla normativa vigente.
I dark pattern si collocano nella fase di progettazione del sito, il quale pertanto potrà rivelarsi, sin dalla sua origine, non in linea con il GDPR.
Si pensi alla scelta di determinati aspetti grafici (es. colore interfaccia, pulsanti di scelta, caratteristiche tipografiche di alcune parole, posizionamento di un banner, etc.) uniti all’uso di particolari frasi o parole a seconda del contesto, ponendo enfasi su alcuni aspetti a discapito di altri meno favorevoli per l’utente. Questo tipologia di dark pattern è anche conosciuto come “misdirection“.
Dark pattern e consenso dell’interessato
Si ricorre all’uso di dark pattern anche per manipolare la manifestazione del consenso al trattamento dei dati personali dell’internauta.
Come noto, il GDPR, all’art. 4, prevede che il consenso debba essere una manifestazione di volontà libera, specifica, informata ed inequivocabile dell’interessato espressa mediante dichiarazione o azione positiva (in tal senso il Considerando n. 32).
Tutti siti web per essere compliant con il GDPR devono disporre di una informativa privacy e l’utente, dopo averne preso visione, ne deve accettare i termini.
Sulle condizioni del consenso, l’art. 7, impone inoltre che “Se il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.”
Infine, come anche precisato nelle recenti Linee Guida in materia di consenso, adottate dall’EDPB il 4 maggio 2020, se al soggetto interessato non è offerta una reale possibilità di scelta nel decidere se fornire o meno il proprio consenso al trattamento o se di fatto lo si obbliga a prestare il proprio consenso, allora tale consenso non sarà considerato come valido, poiché non realmente libero.
E’ di tutta evidenza che, sebbene il GDPR non prescriva espressamente una forma particolare per fornire le informazioni necessarie a soddisfare il requisito del consenso libero ed informato, occorre attenersi in ogni caso ad una serie di principi (inclusi quelli poc’anzi trattati) su cui lo stesso regolamento si fonda al fine di garantire un elevato standard di chiarezza e di accessibilità delle informazioni ed in quest’ottica, pare lapalissiano, che i dark pattern mal vi si conciliano.
Per citare alcune prassi molte utilizzate sul web ed in evidente disaccordo con la normativa, la preselezione della condivisione dei dati personali o comunque l’associazione di tale scelta a tasti predefiniti ed evidenziati, accompagnati spesso anche dalla configurazione di percorsi macchinosi e contorti per modificare le impostazioni ed esercitare l’opt-out. O ancora informative complicate e prolisse, composte di tante pagine e non sempre comprensibili dall’utente medio.
Conclusione
I dark patterns sono quindi interfacce manipolate con un design persuasivo, tese sostanzialmente ad ingannare l’utente.
Chi ne beneficia è solo l’azienda che sceglie di adottarli, la parte debole è ancora una volta l’ignaro internauta che in alcuni casi perde del tempo, in altri la privacy ed in quelli più gravi persino del denaro.
Sotto il profilo prettamente formale tali “trucchetti” impiegati nelle piattaforme digitali (siti web e app) parrebbero rispettare la legge, ma di fatto la eludono.
A tal proposito – per quanto possa sembrare superfluo ribadirlo – si rammenta che chi ricorre a queste “soluzioni di design” per carpire informazioni o per aggirare le norme sulla privacy si sottopone al rischio di salate sanzioni pecuniarie.
VP
