Dark patterns i cookiebannere: 7 designvalg, der bør rettes

Dark patterns er valg i brugerfladen, der skubber folk mod en beslutning, de måske ellers ikke ville træffe. I et cookiebanner kan det betyde, at afvisning skjules, at valgfrie formål er forudvalgt, eller at teksten er svær at forstå. En høj acceptrate fortæller ikke, om de besøgende forstod valget.

For teams med europæiske besøgende er rapporten fra EDPB's taskforce om cookiebannere en nyttig reference. Den beskriver de minimumspositioner, som de europæiske databeskyttelsesmyndigheder blev enige om, da de behandlede en række klager over cookiebannere. Nationale regler og vejledninger gælder oven i, så det samme layout vurderes ikke ens i alle lande.

Hvert mønster nedenfor har en kort beskrivelse af problemet og en konkret løsning. Løsningerne er vores praktiske anbefalinger; når et punkt stammer fra loven eller fra myndighedernes vejledning, skriver vi det.

1. Muligheden for at afvise findes, men er svær at se

En stor “Accepter alle”-knap sidder i midten. Alternativet er et svagt link inde i et afsnit. De besøgende kan teknisk set afvise, men først skal de få øje på muligheden.

Problem: Afvisningen ligner ikke et valg. Den er formateret som brødtekst, placeret væk fra knapperne eller gemt i forklaringen, og på en telefon kan den forsvinde helt.

Løsning: Gør afvisning til en knap ved siden af “Accepter alle”, med samme størrelse og form. På mobil stables begge knapper i fuld bredde. En kollega skal kunne finde afvisningen på en telefon uden et hint.

EDPB's taskforce nævnte dette som et eksempel på et design, der ikke fører til gyldigt samtykke: det eneste alternativ til samtykke er et “afvis”-link indlejret i teksten uden tilstrækkelig visuel støtte til at fange en gennemsnitlig brugers opmærksomhed.

I Frankrig påbød CNIL flere udgivere af hjemmesider i december 2024 at ændre bannere, hvor muligheden for at afvise var et link indlejret i informationen eller fik langt mindre vægt end accept, fordi det ikke var lige så let at afvise som at acceptere.

Dette mønster handler om synlighed. Mønster 3 handler om antallet af trin: en mulighed for at afvise kan være let at se og alligevel føre ind i et langt forløb gennem indstillingerne.

2. Valgfrie kategorier er slået til fra start

En besøgende åbner præferencerne og finder marketing allerede slået til. Gemmer vedkommende skærmbilledet, kan der blive registreret et valg, vedkommende aldrig har truffet.

Problem: Kontakterne for statistik eller marketing er slået til, før den besøgende rører dem, så det at gøre ingenting ligner accept.

Løsning: Sæt alle valgfrie kategorier til fra som standard, hvor der kræves forudgående samtykke (opt-in). Kun strengt nødvendig lagring forbliver slået til, markeret som altid aktiv, med en forklaring på én linje ved siden af hver kontakt.

Her er EU's holdning klar. Betragtning 32 i GDPR siger, at forudafkrydsede felter ikke bør udgøre samtykke, og EDPB's taskforce bekræftede, at forudafkrydsede opt-in-felter ikke fører til gyldigt samtykke.

3. Det kræver flere trin at afvise end at acceptere

Tæl klikkene. Hvis accept kræver ét, mens afvisning kræver et indstillingspanel, flere kontakter og en gem-knap, gør de to veje vidt forskellige ting.

Problem: Det første lag tilbyder “Accepter alle” og “Indstillinger”, men ingen mulighed for at afvise. For at afvise skal man åbne et andet lag, slå kategorier fra og bekræfte.

Løsning: Placér “Afvis alle” på samme lag som “Accepter alle”, så afvisning kræver ét klik, præcis som accept. Behold “Administrer præferencer” som en tredje knap til besøgende, der ønsker et bestemt valg.

I EDPB-rapporten anså et stort flertal af de deltagende myndigheder det for en overtrædelse, når et lag med en samtykkeknap ikke tilbyder en mulighed for at afvise. Nogle få myndigheder havde en anden opfattelse, fordi ePrivacy-direktivet ikke udtrykkeligt nævner en mulighed for at afvise. Tjek vejledningen fra den myndighed, der gælder for din hjemmeside.

4. Farve og kontrast skjuler ét af valgene

Brandfarver er fint. Knapper, der forsvinder, er ikke. En lysegrå tekst til afvisning på hvid baggrund kan være svær at læse, selv når man leder efter den.

Problem: “Accepter alle” er en udfyldt knap i en kraftig brandfarve, mens afvisningen er tekst med lav kontrast på en lys baggrund. Den ene handling er åbenlys; den anden er let at overse.

Løsning: Giv hovedvalgene samme knapstil eller i det mindste sammenlignelig visuel vægt og læsbare tekster. Tjek hver tekst mod W3C's vejledning om kontrast (4,5:1 for normal tekst), og gør tastaturfokus synligt.

Myndighederne vurderer dette fra sag til sag. EDPB's taskforce var enig om, at der ikke kan fastsættes en generel standard for farver eller kontrast, men nævnte ét åbenlyst vildledende eksempel: en afvisningsknap, hvis tekstkontrast er så lav, at teksten er ulæselig for stort set alle brugere. CNIL's praktiske anbefalinger om cookies omtaler også vildledende visuel fremhævning.

5. Vag formulering skjuler formålet

“Forbedr din oplevelse” kan betyde, at et sprogvalg bliver husket, at besøg bliver målt, eller at der bliver bygget en målgruppe til annoncering. Det er forskellige aktiviteter.

Problem: Bannerteksten bruger brede vendinger i stedet for at sige, hvad de valgfrie cookies gør, så de besøgende ikke kan se, hvad de siger ja til.

Løsning: Nævn hvert formål med almindelige ord, fx: “Vi bruger valgfrie statistikcookies til at forstå, hvilke sider folk besøger.” Beskriv annoncering i en sætning for sig, og nævn kun værktøjer og formål, som din hjemmeside faktisk bruger.

EDPB's taskforce var enig om, at et banner skal gøre det klart, hvad det handler om, hvad formålet med samtykket er, og hvordan man giver det. En velformuleret sætning, der beskriver de forkerte værktøjer, lever ikke op til det mål.

6. Afvisning kommer med dårlig samvittighed

“Nej tak, jeg vil ikke have en bedre hjemmeside” er ikke en brugbar samtykketekst. Den knytter et argument til et valg, der burde kunne forstås i sig selv.

Problem: Accept-knappen lyder positiv, mens teksten til afvisning bruger skyld eller sarkasme. Formuleringen lægger pres på de besøgende i stedet for at beskrive valget.

Løsning: Brug neutrale, parallelle knaptekster som “Accepter alle”, “Afvis alle” og “Administrer præferencer”. Gem den overbevisende tekst til de dele af din hjemmeside, hvor de besøgende forventer at blive overbevist.

7. Det er sværere at ændre et valg end at træffe det

Banneret forsvinder efter accept. Nu skal den besøgende søge i din politik eller kontakte support for at trække sit samtykke tilbage.

Problem: Efter det første valg er der ingen synlig vej tilbage til indstillingerne, så det kræver langt mere at trække samtykket tilbage, end det krævede at acceptere.

Løsning: Tilføj en knap til cookieindstillinger, der er tilgængelig på alle sider, eller et tydeligt mærket link et fast sted, fx i sidefoden, som åbner de samme valg igen. Test derefter resultatet: efter tilbagetrækning skal valgfrie tags stoppe.

Artikel 7, stk. 3, i GDPR kræver, at det er lige så let at trække sit samtykke tilbage som at give det. EDPB's taskforce nævner et lille, permanent synligt ikon eller et link et synligt standardsted som eksempler, men intet bestemt design for tilbagetrækning er obligatorisk; myndighederne vurderer løsningen fra sag til sag.

En bedre gennemgang end “steg accepten?”

Bed en person uden for projektet om at løse tre opgaver: afvise valgfrie cookies, kun tillade statistik og senere trække den tilladelse tilbage. Læg mærke til, hvor personen tøver. Kør derefter den tekniske test af “Afvis alle” for at tjekke, at sitet følger valgene.

Se seks eksempler på design af cookiebannere for layouts, der holder valgene tydelige, mens den visuelle udformning ændres.