I. DARK PATTERN

I.I. Cosa sono

Civicrazia ha dichiarato guerra ai modelli oscuri! In informatica, un dark pattern o modello oscuro (inteso come malevole, cattivo), noto anche come modello di progettazione ingannevole (deceptive design in inglese), è un’interfaccia grafica e/o vocale e/o comportamentale implementata sulla piattaforma di social media (o, in generale, in un servizio online), accuratamente studiate e realizzate per indurre gli utenti a compiere azioni indesiderate, involontarie e svantaggiose per loro ovvero potenzialmente dannose riguardo al trattamento delle proprie informazioni personali, come, ad esempio, acquistare un’assicurazione troppo costosa o iscriversi a servizi in abbonamento non voluti.

Civicrazia ha dichiarato guerra perchè questi modelli, sono, quindi, in grado di influenzare il comportamento di un utente, al punto da ostacolare la capacità di proteggere, efficacemente, i dati personali e di fare scelte consapevoli.

I.II. Tipologie

I “dark pattern” possono, dunque, essere suddivisi in una serie di categorie, così composte:

1) OVERLOADING: l’utente è messo dinnanzi ad una grande quantità di richieste/informazioni/opzioni/possibilità, al punto da spingerlo a condividere maggiori informazioni ovvero a consentire, involontariamente, il trattamento dei propri dati personali, contro le proprie (ragionevoli) aspettative.

Tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: CONTINUOS PROMPTING: tecnica consistente nel spingere l’utente a fornire, anche dopo la fase di registrazione alla piattaforma social, più informazioni personali di quelle necessarie per la finalità di trattamento perseguita ovvero nel far acconsentire, spesso per stanchezza o liberazione, l’utente ad un altro utilizzo dei propri dati personali, tramite un ripetuto, e talvolta incessante, invito a fornire dati aggiuntivi; PRIVACY MAZE: tecnica che mira a rendere difficile l’apprendimento di una serie di informazioni, mediante l’obbligo, in capo all’utente, di navigare, attraverso diverse pagine/documenti, per ottenere più informazioni sul trattamento dei propri dati personali; TOO MANY OPTIONS: evento/tecnica consistente nell’inserire (e rendere disponibile) le impostazioni sulla privacy in differenti sezioni, al posto di un unico luogo ben visibile.

2) SKIPPING: significa progettare l’interfaccia o l’esperienza utente in modo che questi dimentichi ovvero non pensi a tutti ovvero ad alcuni aspetti della protezione dei dati personali; tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: DECEPTIVE SNUGNESS: tecnica consistente nell’abilitazione, di default, delle opzioni di trattamento di dati personali maggiormente invasive per l’utente; LOOK OVER THERE: tecnica di combinazione, a tratti offuscante o distraente, di una azione/informazione relativa alla protezione dei dati personali con un altro aspetto collegato, o meno, con tale argomento.

3) STIRRING: influisce sulla scelta dell’utente, grazie alla sollecitazione delle sue emozioni ovvero all’utilizzo di stimoli visivi; tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: EMOTIONAL STEERING: tecnica ove le parole o le immagini vengono utilizzate in modo da trasmettere all’utente informazioni in una prospettiva altamente positiva (facendolo così sentire bene e sicuro) ovvero altamente negativa (facendolo così sentire ansioso o colpevole); HIDDEN IN PLAIN SIGHT: tecnica che utilizza caratteri di piccole dimensioni o colori non sufficientemente contrastanti per offrire una sufficiente leggibilità, onde così aumentare la difficoltà ovvero far trascurare all’utente la lettura delle informazioni riguardanti il trattamento dei propri dati personali.

4) HINDERING: ostacola ovvero blocca l’utente nel suo processo di informazione ovvero di gestione dei propri dati personali, rendendo così l’azione impossibile o (estremamente) difficile da realizzare; tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: DEAD END: tecnica/evento consistente nel rendere, anche colposamente, non funzionante/disponibile un link contenente, al suo interno, maggiori informazioni sul trattamento dei dati personali di un utente; LONGER THAN NECESSARY: tecnica che mira, tramite una moltitudine di passaggi/operazioni/opzioni, a scoraggiare l’utente nell’attività di attivazione di uno o più controlli/diritti sui propri dati personali; MISLEADING INFORMATION: discrepanza, anche colpevole, tra le informazioni e le azioni disponibili in capo all’utente, al punto da spingere quest’ultimo a fare qualcosa inconsapevolmente ovvero contro la propria volontà.

5) FICKLE: significa che il design dell’interfaccia utente è incoerente e non chiaro, rendendo così difficile a quest’ultimo navigare tra i diversi strumenti di controllo della protezione dei dati personali e capire lo scopo del trattamento perseguito; tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: LACKING HIERARCHY: tecnica consistente nell’assenza, anche parziale, di gerarchia delle informazioni sulla protezione dei dati personali, in modo che le stesse appaiono all’utente più volte e siano presentate in varie e differenti modalità; DECONTEXTUALISING: tecnica che mira ad inserire un informazione/controllo sull’attività di trattamento di dati personali in una sezione/pagina fuori contesto.

6) LEFT IN THE DARK: significa che un’interfaccia utente è progettata in modo da nascondere le informazioni o gli strumenti di controllo della protezione dei dati personali, ovvero da lasciare l’utente in uno stato di incertezza su come i propri dati personali vengono trattati; tale macro categoria è composta, al suo interno, da una serie di micro tipologie di “dark pattern”, quali: LANGUAGE DISCONTINUITY: tecnica di mancato switch linguistico, al punto da rendere incapace l’utente di comprendere le informazioni relative al trattamento dei propri dati personali; CONFLICTING INFORMATIO: tecnica volta a fornire all’utente una serie di informazioni contradittorie, al punto da lasciare incerto quest’ultimo su cosa dovrebbe fare e sulle conseguenze delle sue azioni; AMBIGUOUS WORDING OR INFORMATION: tecnica consistente nell’utilizzo di termini vaghi ed ambigui per fornire informazioni all’utente.

II. European Data Protection Board e le ultime linee guida

Con le Linee Guida n. 3/2022, adottate il 23 febbraio 2023, l’EDPB si è occupata del fenomeno del “dark pattern”.

In particolare, l’European Data Protection Board (EDPB) offre una serie di raccomandazioni pratiche (per certi versi, anche educative), su come valutare, riconoscere, affrontare e, anche, evitare i cd. “dark pattern”, presenti nelle interfacce utente dei social media, in violazione della normativa comunitaria e nazionale sulla protezione dei dati personali, oltre che, potenzialmente, in violazione della normativa consumeristica.

In concreto, l’EDPB chiede, da una parte, che la piattaforma di social media fornisca le informazioni all’utente al momento dell’iscrizione in modo efficiente e succinto, oltre che in modo chiaramente differenziato da altre informazioni non riguardanti la protezione dei dati personali; dall’altra, l’EDPB ha ricordato che, per il raggiungimento della soglia di un consenso cd. informato e libero (da intendersi, sempre, come un chiaro atto affermativo, da parte dell’utente), risulta necessario fornire all’utente una serie di minime (ma non eccessive) informazioni, oltre che permettere, poi, una revoca dello stesso agevole al pari del preliminare rilascio, ai sensi dell’art. 7, paragrafo 3), del GDPR.

Il principio di privacy by design e di privacy default (che impone alle aziende l’obbligo di avviare un progetto prevedendo, fin da subito i rischi che possono incontrare per la tutela dei dati personali e di conseguenza scegliere di quali strumenti dotarsi) previsto dall’art. 25 del GDPR deve essere, sempre, posto alla base, al fine così di fornire all’utente informazioni (ed opzioni) di trattamento in modo obiettivo e naturale, evitando qualsiasi linguaggio o design non veritiero, ingannevole o manipolativo: nello specifico, tale principio richiede, senz’altro, che il soggetto interessato abbia il più alto grado di autonomia possibile nel determinare l’utilizzo dei propri dati personali, nell’esercitare i propri dati personali e, non da ultimo, che il trattamento dei dati personali corrisponda alle ragionevoli aspettative del relativo soggetto interessato.

Queste le best practices user friendly consigliate dall’EDPB:

(i) presenza costante di link ad informazioni/azioni/impostazioni volte ad aiutare, in modo pratico, l’utente nella gestione dei propri dati;

(ii) indicazione specifica dell’autorità di controllo competente, ivi incluso il link al relativo sito internet;

(iii) inserimento, alla fine ovvero all’inizio dell’informativa privacy, di un indice del relativo contenuto;

(iv) in caso di revisione/integrazione/aggiornamento dell’informativa ex artt. 13/14 del GDPR, messa a disposizione anche della relativa versione precedente, ove evidenziare, peraltro, i cambiamenti intervenuti;

(v) in caso di utilizzo di un linguaggio fortemente tecnico/giuridico, messa a disposizione, parallelamente, di una relativa spiegazione semplice e comprensibile;

(vi) a fianco delle informazioni obbligatorie, inserimento di esempi volti ad agevolare la comprensione del contenuto informativo;

(vii) in caso di un servizio rivolto anche ad utenti appartenenti ad altri paesi, traduzione dell’informativa anche nelle relative lingue o, comunque, in una lingua universamente riconosciuta (es. inglese).

Avv. Valentina Paglia