European Data Protection Board (EDPB) har publicerat ett utkast till sina riktlinjer 3/2022 om mörka mönster i gränssnitt för plattformar för sociala medier. Med mörka mönster avses oetisk utformning av en webbplats eller en app som lockar användaren att göra något som hen inte vill göra.

EDPB definierar mörka mönster som metoder där plattformar för sociala medier lockar sina användare att fatta oavsiktliga, oönskade och potentiellt skadliga beslut om behandlingen av deras personuppgifter. Ett exempel på ett mörkt mönster är när användaren överbelastas med information eller presenteras med för många alternativ att ta ställning till. Syftet är att påverka användaren att gå med på att dela för mycket personuppgifter om sig själv. Eller så kan syftet vara att få användaren att godkänna att dennes personuppgifter behandlas på ett sätt som hen egentligen inte kan förvänta sig.

EDPB anser att mörka mönster syftar till att påverka användarnas beteende och kan hindra dem från att effektivt skydda sina personuppgifter och göra välgrundade val. Användningen av mörka mönster strider inte bara mot GDPR utan kan också strida mot konsumentskyddslagar. EDPB presenterar en icke uttömmande förteckning över kategorier av mörka mönster. Vägledningen ger också 60 exempel, förslag på bästa praxis och inkluderar en checklista.

Ett av de mörka mönstren kallas emotionell styrning. I detta mönster används övertalande språk eller bilder som framkallar positiva känslor för att få användaren att känna sig nöjd eller trygg, eller som framkallar starka negativa känslor som rädsla eller skuld. EDPB illustrerar att när en användare registrerar sig på plattformen får hen följande uppmaning: ”Berätta för oss om ditt fantastiska jag! Vi kan inte vänta, så kom in nu och berätta för oss!”. Denna form av handlingsdirigerande språkbruk antyder att användaren måste dela fler personuppgifter än vad som är nödvändigt för att tjänsten ska fungera. EDPB anser att detta strider mot principen om dataminimering, och det kan ifrågasättas om användaren verkligen har lämnat dessa uppgifter av egen fri vilja.

Ett annat mörkt mönster är enligt EDPB när användaren blir ”lämnad i mörkret”. Det är när en plattform för sociala medier inte ger tydlig information eller använder ett tekniskt eller juridiskt språk som användaren inte förstår. EDPB ger följande exempel: En personuppgiftsincident leder till att obehöriga användare får tillgång till vissa hälsouppgifter. När den sociala medieplattformen informerar användarna om detta berättar plattformen bara att ”särskilda kategorier av personuppgifter” av misstag blev offentliga. I detta fall bryter den sociala medieplattformen mot artikel 34 och artikel 12.1 i dataskyddsförordningen. EDPB konstaterar att denna information inte varnar användaren för att hens hälsouppgifter har offentliggjorts. Ordet ”särskild” har en helt annan innebörd i vardagligt språk än i det juridiska GDPR-språket. De flesta människor vet inte att ”särskilda” enligt definitionen i artikel 9 i GDPR syftar på det som i dagligt tal ibland kallas känsliga personuppgifter. EDPB anser därför att en sådan formulering är vilseledande eftersom den genomsnittliga användaren underskattar allvaret i personuppgiftsincidenten.  

EDPB betraktar mörka mönster som ett sätt att utforma och presentera innehåll som påtagligt bryter mot dataskyddsprinciperna om laglighet, rättvisa, öppenhet, ändamålsbegränsning och dataminimering, men som ändå låtsas vara formellt förenliga med dem. EDPB hoppas att riktlinjerna sannolikt ska öka användarnas medvetenhet om sina rättigheter och de potentiella riskerna med överdriven eller okontrollerad delning av deras personuppgifter.

Utkastet till riktlinjer är öppet för offentligt samråd. Vem som helst kan skicka sina synpunkter till EDPB fram till den 2 maj 2022.

Läs mer här:

EDPB:s riktlinjer 3/2022 om mörka mönster i användargränssnitt för sociala medieplattformar: Hur man känner igen och undviker dem (Engelska)