Linee guida di Noyb sui dark pattern nei banner dei cookie 2024

noyb (European Centre for Digital Rights, un'organizzazione austriaca senza scopo di lucro che opera nel campo del diritto della privacy e della protezione dei dati) ha recentemente pubblicato un rapporto sui banner di consenso. Il rapporto sottolinea la diffusione di pratiche ingannevoli nei banner di consenso ai cookie e la necessità di un'applicazione più rigorosa delle leggi sulla protezione dei dati. noyb ha evidenziato specifici problemi di non conformità e ha fornito raccomandazioni per migliorare le pratiche di raccolta del consenso, con l'obiettivo di garantire che il consenso degli utenti sia informato e volontario.

Linee guida di Noyb sui dark pattern nei banner dei cookie 2024

Contesto

Negli ultimi anni le autorità per la protezione dei dati (DPA) di tutta Europa hanno ricevuto numerosi reclami riguardanti i banner dei cookie. In risposta, nel settembre 2021 il Comitato europeo per la protezione dei dati (EDPB) ha istituito una task force per coordinare le risposte a questi reclami. Nel gennaio 2023 questa task force ha pubblicato un rapporto intitolato “Report of the Work Undertaken by the Cookie Banner Taskforce”, esprimendo pareri e raccomandazioni sulle violazioni riscontrate nei banner di consenso sul web. Il rapporto del 2023 sottolinea che le conclusioni della task force rappresentano solo le soglie minime per i banner di consenso e che le autorità nazionali hanno il potere di adottare standard più elevati.

Punti di rischio di non conformità dei banner dei cookie

Nel rapporto più recente, noyb ci offre alcuni spunti: ad esempio, quasi tutte le autorità concordano sul fatto che, se esiste un'opzione "Accetta i cookie", deve esserci anche un'opzione "Rifiuta" nello stesso livello del banner di consenso. Le caselle preselezionate non sono ammesse. Il consenso è obbligatorio per i cookie che non sono strettamente necessari.

Ecco l'elenco completo dei punti:

Nessun pulsante di rifiuto nel primo livello

Molti banner di consenso non offrono la possibilità di rifiutare i cookie nel primo livello, inducendo gli utenti a credere di dover accettare i cookie per continuare a utilizzare il sito.

Ad esempio, un banner con il solo pulsante "Accetta" e nessuna opzione "Rifiuta" visibile nella prima schermata.

Questa pratica genera frustrazione negli utenti e aumenta la probabilità di un consenso involontario a causa dello sforzo aggiuntivo richiesto per rifiutare i cookie.

Caselle preselezionate

Alcuni banner utilizzano caselle di consenso preselezionate, obbligando gli utenti a deselezionarle per rifiutare i cookie: una modalità che non è considerata un consenso valido.

Ad esempio, le opzioni di consenso sono preselezionate e gli utenti devono deselezionarle manualmente per esercitare l'opt-out.

Questa pratica non costituisce un consenso valido, in quanto non è libero, specifico, informato né inequivocabile.

Design ingannevole dei link

L'opzione "Rifiuta" viene spesso presentata come un link meno evidente rispetto al pulsante "Accetta", inducendo gli utenti a pensare che l'accettazione sia l'unica opzione.

Ad esempio, il pulsante "Accetta" è ben visibile, mentre l'opzione "Rifiuta" è un piccolo link inserito nel testo.

Gli utenti potrebbero non notare l'opzione di rifiuto, con conseguente consenso involontario.

Colori ingannevoli dei pulsanti

Evidenziare il pulsante "Accetta" rispetto alle altre opzioni con colori diversi, rendendolo più attraente e fuorviante per gli utenti.

Ad esempio, il pulsante "Accetta" è brillante e accattivante, mentre il pulsante "Rifiuta" è spento e si confonde con lo sfondo.

Questo design induce gli utenti a pensare che accettare i cookie sia l'opzione predefinita o l'unica possibile.

Contrasto ingannevole dei pulsanti

Utilizzare rapporti di contrasto diversi per i pulsanti "Accetta" e "Rifiuta", rendendo il pulsante "Rifiuta" meno visibile e più difficile da notare.

Ad esempio, il pulsante "Accetta" ha un contrasto elevato, mentre il pulsante "Rifiuta" ha un contrasto basso che lo rende difficile da leggere.

Gli utenti potrebbero prestare involontariamente il consenso a causa della maggiore evidenza visiva dell'opzione "Accetta".

Ricorso al legittimo interesse

Alcuni banner invocano il legittimo interesse come base per il trattamento dei dati personali senza offrire chiare opzioni di opt-out.

Ad esempio, un banner che dichiara che il trattamento dei dati si basa sul legittimo interesse senza offrire un modo semplice per opporsi.

Ciò può confondere gli utenti e potenzialmente violare i loro diritti ai sensi del GDPR.

Cookie classificati in modo errato

Classificare come essenziali cookie che non lo sono, impedendo agli utenti di rifiutarli.

Ad esempio, classificare i cookie analitici come essenziali per evitare di chiedere il consenso.

Gli utenti non possono esercitare l'opt-out dai cookie non essenziali, che dovrebbero invece richiedere il consenso.

Revocare il consenso non è facile quanto prestarlo

Revocare il consenso è spesso reso più difficile che prestarlo.

Ad esempio, il pulsante o il link "Revoca il consenso" non è facile da trovare, a differenza delle opzioni di consenso ben visibili.

Gli utenti potrebbero continuare a condividere involontariamente i propri dati a causa della difficoltà di revocare il consenso.

Panoramica dei punti principali:

Autorità/Questione relativa al banner dei cookie	Rapporto EDPB	Austria	Belgio	Repubblica Ceca	Danimarca	Finlandia	Francia	DSK tedesca (DPA)	Grecia	Irlanda	Italia	Lussemburgo	Paesi Bassi	Spagna
Richiede l'opzione di rifiuto dei cookie nel primo livello	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓
Considera illegali le caselle preselezionate	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓
Considera fuorviante un'opzione presentata come link	A volte	?	✓	✓	✓	?	✓	✓	✓	✓	✓	?	✓	✓
Ritiene che non si debba influenzare l'utente con colori diversi dei pulsanti	A volte	?	✓	✗	✓	?	✗	✓	✓	✓	✓	✓	?	A volte
Ritiene che non si debba influenzare l'utente con il contrasto dei pulsanti (rispetto allo sfondo)	A volte	?	✓	✗	✓	?	✗	✓	✓	✓	✓	✓	?	A volte
Basarsi sul legittimo interesse per installare cookie non essenziali è illegale	✓	?	✓	✓	?	✓	✓	✓	✓	?	✓	✓	?	✓
La classificazione errata dei cookie, e quindi la loro installazione senza consenso, è un problema	✓	?	✓	✓	✓	✓	✓	✓	✓	?	✓	✓	?	✓
La revoca è ammessa solo tramite un'icona fluttuante sempre visibile	✗	✗	✗	✗	✗	✗	✗	✗	✗	✗	✗	✗	✗	✗

Le soluzioni di conformità di UniConsent

UniConsent garantisce la conformità dei banner dei cookie affrontando questi problemi attraverso:

• Pulsante di rifiuto visibile: garantisce che i pulsanti "Rifiuta" e "Gestisci opzioni" siano evidenti quanto il pulsante "Accetta" nel primo livello.
• Meccanismo di opt-in: tutte le opzioni di consenso sono deselezionate per impostazione predefinita e richiedono un opt-in attivo.
• Design chiaro: design ugualmente evidente e chiaro per le opzioni "Accetta" e "Rifiuta".
• Colori e contrasto dei pulsanti uniformi: utilizzo di colori e livelli di contrasto simili per tutte le opzioni, per non fuorviare gli utenti.
• Revoca semplice: "Impostazioni del consenso" che consentono agli utenti di revocare il consenso in qualsiasi momento.

Informazioni su UniConsent

UniConsent fa parte della User Experience Platform orientata alla privacy di Transfon, che serve decine di milioni di utenti al giorno per offrire un'esperienza di privacy semplice sia agli utenti sia agli editori nell'era post-GDPR. Contattaci per saperne di più: hello@uniconsent.com