Manipulatiiviset suunnittelumallit evästesuostumuksessa

Manipulatiivinen suunnittelumalli (dark pattern) on käyttöliittymäsuunnittelua, joka ohjaa käyttäjiä tekemään valintoja, joita he eivät muutoin tekisi. Evästesuostumuksen yhteydessä tällaiset mallit ohjaavat käyttäjiä hyväksymään kaikki evästeet — ei selkeän tiedon ja aidon valinnanvapauden kautta, vaan visuaalisen manipuloinnin, hämmentävän kielen ja tarkoituksellisen hankaloittamisen avulla.

Manipulatiiviset suunnittelumallit evästesuostumuksessa eivät ole vain huonoa suunnittelua — ne muodostavat oikeudellisen riskin. Tietosuojaviranomaiset eri puolilla EU:ta ovat määränneet merkittäviä sakkoja nimenomaan manipulatiivisista suostumuskäyttöliittymistä, ja sääntelyvalvonta tiivistyy jatkuvasti.

Miksi manipulatiiviset suunnittelumallit mitätöivät suostumuksen

GDPR:n mukaan suostumuksen on oltava:

• Vapaaehtoisesti annettu (4 artiklan 11 kohta) — käyttäjällä on oltava aito valinnanvapaus ilman painostusta tai manipulointia.
• Yksilöity — suostumus on annettava jokaiselle erilliselle käyttötarkoitukselle.
• Tietoinen — käyttäjän on ymmärrettävä, mihin hän antaa suostumuksensa.
• Yksiselitteinen — annettu selkeällä myöntävällä toimenpiteellä.

Manipulatiiviset suunnittelumallit heikentävät jo lähtökohtaisesti suostumuksen vapaaehtoisuutta ja tietoisuutta. Jos hylkäysvaihtoehto on piilotettu, visuaalisesti pienennetty tai haudattu useiden klikkausten taakse, käyttäjän suostumus ei ole vapaaehtoisesti annettu. Jos kieli on hämmentävää tai harhaanjohtavaa, käyttäjä ei ole tehnyt tietoista valintaa. Kummassakin tapauksessa suostumus on oikeudellisesti pätemätön — ja jokainen kyseisen suostumuksen perusteella asetettu eväste on rikkomus.

EU:n evästesitoumus (Cookie Pledge)

Marraskuussa 2023 Euroopan komissio käynnisti evästesitoumuksen (Cookie Pledge) — vapaaehtoisen sitoumuksen, jossa yritykset omaksuvat reilut evästekäytännöt. Vaikka evästesitoumus ei ole oikeudellisesti sitova, se ilmaisee komission odotukset ja ennakoi sääntelyn suuntaa.

Evästesitoumuksen keskeiset periaatteet:

• Evästeiden hylkäämisen on oltava yhtä helppoa kuin niiden hyväksymisen — klikkausten määrän, visuaalisen esitystavan ja kognitiivisen vaivan osalta.
• Ei manipulatiivisia suunnitteluelementtejä, jotka ohjaavat käyttäjiä hyväksymiseen.
• Selkeä, yksinkertainen kieli, jonka käyttäjät ymmärtävät yhdellä silmäyksellä.
• Ei evästeseiniä, jotka estävät sisällön käytön.
• Suostumuksen helppo peruuttaminen milloin tahansa.

Evästesitoumuksen allekirjoittaneiden joukossa on useita merkittäviä brändejä. Vaikka aloite on vapaaehtoinen, tietosuojaviranomaiset ovat nimenomaisesti viitanneet sitoumuksen periaatteisiin valvontapäätöksissään.

EDPB:n ohjeistus manipulatiivisista suunnittelumalleista

Euroopan tietosuojaneuvosto (EDPB) julkaisi ohjeet 03/2022 sosiaalisen median alustojen käyttöliittymien manipulatiivisista suunnittelumalleista, joita on laajasti sovellettu myös evästesuostumuksen käyttöliittymiin. Ohjeissa tunnistetaan kuusi manipulatiivisten suunnittelumallien luokkaa:

1. Ylikuormittaminen — käyttäjän pommittaminen liiallisella tiedolla tai pyynnöillä, mikä aiheuttaa päätöksentekoväsymystä.
2. Ohittaminen — sellaisten käyttöliittymien suunnittelu, jotka ohittavat tai esivalitsevat vaihtoehtoja ilman käyttäjän aktiivista osallistumista.
3. Ohjailu — tunteita herättävän kielen tai visuaalisten vihjeiden käyttö käyttäjän ohjaamiseksi tiettyyn valintaan.
4. Vaikeuttaminen — oikeuksien käyttämisen hankaloittaminen (esim. hylkäyspainikkeen löytäminen, asetusten käyttö, suostumuksen peruuttaminen).
5. Epäjohdonmukaisuus — epäjohdonmukainen suunnittelu, joka hämmentää käyttäjää siitä, missä hän on ja mitä hänen valintansa tarkoittavat.
6. Pimennossa pitäminen — tiedon piilottaminen, epäselvän kielen käyttö tai puutteellisen taustatiedon antaminen.

Kansalliset tietosuojaviranomaiset ovat käyttäneet näitä luokkia viitekehyksenä arvioidessaan evästebannereita valvontamenettelyissä.

Yleisiä manipulatiivisia suunnittelumalleja esimerkkien kera

Esivalitut valintaruudut

Evästekategorioiden valintaruutujen esittäminen valmiiksi valittuina, jolloin käyttäjän on aktiivisesti poistettava valinta kieltäytyäkseen suostumuksesta. Euroopan unionin tuomioistuin totesi tämän nimenomaisesti pätemättömäksi Planet49-tapauksessa (C-673/17, lokakuu 2019). Tuomioistuin katsoi, että esivalitut valintaruudut eivät muodosta suostumuksen "aktiivista ilmaisua".

Tästä yksiselitteisestä ratkaisusta huolimatta monet verkkosivustot käyttävät edelleen esivalittuja asetuspaneeleita, erityisesti "analytiikka"- tai "toiminnallisuus"-kategorioissa. Jokainen näistä toteutuksista tuottaa pätemättömän suostumuksen.

Ei hylkäyspainiketta

Ensimmäisellä tasolla näytetään vain "Hyväksy kaikki" ja "Hallitse asetuksia", eikä hylkäysvaihtoehtoa ole lainkaan. Käyttäjän on klikattava "Hallitse asetuksia", navigoitava toissijaisessa paneelissa, poistettava kaikki kategoriat ja klikattava sitten "Tallenna" — tyypillisesti kolmesta viiteen klikkausta kieltäytymiseen, kun taas hyväksymiseen riittää yksi klikkaus.

CNIL (Ranskan tietosuojaviranomainen) on ollut erityisen aktiivinen tämän mallin torjunnassa. Tammikuun 2022 valvontatoimissaan Googlea (150 miljoonaa euroa) ja Facebookia (60 miljoonaa euroa) vastaan CNIL viittasi nimenomaisesti selkeän hylkäysmekanismin puuttumiseen ensimmäisellä tasolla rikkomuksena.

Visuaalinen manipulointi

"Hyväksy"-painikkeen tekeminen visuaalisesti hallitsevaksi samalla, kun "Hylkää"-vaihtoehtoa pienennetään. Yleisiä tekniikoita ovat:

• Suuri, kirkkaanvärinen "Hyväksy kaikki" -painike pienen, harmaan tai läpinäkyvän "Hylkää"-vaihtoehdon vieressä.
• "Hyväksy" täytettynä, korkeakontrastisena painikkeena, kun taas "Hylkää" on tekstilinkki tai ääriviivapainike.
• "Hyväksy" käyttäjän visuaalisella katsepolulla (keskellä, oikealle tasattuna tai ensisijaisessa asemassa), kun taas "Hylkää" on sijoitettu vähemmän näkyvään paikkaan.
• Vihreän käyttäminen "Hyväksy"-painikkeessa (viestii turvallisuutta/eteenpäin) ja punaisen tai harmaan "Hylkää"-painikkeessa (viestii vaaraa/pysähdystä/käytöstä poistoa).

Periaate on yksinkertainen: jos tavallinen käyttäjä havaitsisi hyväksymisvaihtoehdon "oletukseksi" tai "suositelluksi" toiminnoksi pelkän visuaalisen suunnittelun perusteella, banneri käyttää manipulatiivista suunnittelumallia.

Hämmentävä kieli ja "oikeutettu etu"

Jotkut suostumuskäyttöliittymät esittävät tietyt seurantatarkoitukset suostumuksen sijaan "oikeutettuun etuun" perustuvina, jolloin nämä tarkoitukset ovat valmiiksi käytössä ja edellyttävät kieltäytymistä (opt-out) suostumisen (opt-in) sijaan. Tämä on teknisesti sallittua GDPR:n mukaan aitojen oikeutettujen etujen osalta, mutta sitä käytetään laajalti väärin.

Kun evästebanneri luettelee kymmeniä mainostajia "oikeutetun edun" alla pienten kytkinten kera, käytännön vaikutus on se, että useimmat käyttäjät eivät ymmärrä, mitä he näkevät, eivätkä ryhdy toimenpiteisiin — mikä johtaa seurantaan oletusarvoisesti. Useat tietosuojaviranomaiset, mukaan lukien Belgian APD, ovat kyseenalaistaneet tämän käytännön väittäen, ettei oikeutettu etu voi olla mainonnan seurannan oikeusperuste.

Liialliset klikkaukset hylkäämiseen

Vaivan epäsymmetria on ehkä laajimmalle levinnyt manipulatiivinen suunnittelumalli:

Toimenpide	Vaadittavat klikkaukset
Kaikkien evästeiden hyväksyminen	1 klikkaus
Kaikkien evästeiden hylkääminen (manipulatiivinen malli)	3–7 klikkausta (avaa asetukset, poista kunkin kategorian valinta, tallenna, mahdollisesti vahvista)
Kaikkien evästeiden hylkääminen (säännösten mukainen)	1 klikkaus ("Hylkää kaikki" -painike ensimmäisellä tasolla)

EDPB:n suostumusohjeet ovat yksiselitteiset: "Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen." Vastaavasti suostumuksesta kieltäytymisen ei tulisi vaatia enempää vaivaa kuin sen antamisen.

Evästeseinät

Evästeseinä estää verkkosivuston käytön kokonaan, ellei käyttäjä hyväksy evästeitä. Sivun sisältö on piilotettu peittokerroksen taakse, ja ainoa tapa jatkaa on klikata "Hyväksy".

EDPB on todennut ohjeissaan 05/2020, että evästeseinät eivät yleensä tuota vapaaehtoisesti annettua suostumusta, koska käyttäjälle ei anneta aitoa valinnanvapautta — kyse on "suostu tai poistu" -asetelmasta. Jotkut lainkäyttöalueet sallivat vivahteikkaamman version (Alankomaiden tietosuojaviranomainen on esimerkiksi todennut, että evästeseinät voivat olla hyväksyttäviä, jos käyttäjällä on aito vastaava vaihtoehto), mutta turvallisempi kanta on välttää niitä kokonaan.

Ylikuormittaminen tiedolla

Jotkut bannerit esittävät sivukaupalla tiivistä juridista tekstiä, kymmeniä mainostajakytkimiä ja monimutkaisia kategoriahierarkioita — ei tiedottaakseen, vaan hukuttaakseen. Kohdatessaan tekstiseinän ja 150 yksittäistä mainostajakytkintä useimmat käyttäjät klikkaavat yksinkertaisesti "Hyväksy kaikki" väsymyksestä. Tämä on EDPB:n tunnistama "ylikuormittamisen" manipulatiivinen suunnittelumalli: perusteellisen tiedon käyttö merkityksellisen osallistumisen estämiseksi.

Ratkaisu on kerroksellinen lähestymistapa: lyhyt, selkeä tieto ensimmäisellä tasolla, ja yksityiskohtainen tieto saatavilla mutta ei pakollisena navigoida.

Tunneperäinen manipulointi

Syyllistävän tai tunteita herättävän kielen käyttö suostumusvalintojen ohjaamiseksi:

• "Ei kiitos, en välitä personoidusta kokemuksesta"
• "Näen mieluummin epäolennaisia mainoksia"
• "Jatka heikennetyllä käyttökokemuksella"
• Surullisten emojien tai paheksuvien kuvien käyttö, kun käyttäjä on siirtymässä hylkäämiseen

Nämä "häpeällä painostamisen" (confirmshaming) tekniikat saavat käyttäjän tuntemaan, että evästeiden hylkääminen on huono tai epäsosiaalinen valinta. Kielen tulisi olla neutraalia ja informatiivista, ei tunteisiin vetoavaa.

Todellisia valvontaesimerkkejä

Tietosuojaviranomaiset ovat siirtyneet ohjeistuksesta valvontaan. Tässä merkittäviä tapauksia, joissa evästesuostumuksen manipulatiiviset suunnittelumallit johtivat huomattaviin sakkoihin:

CNIL vs. Google (150 miljoonaa euroa) — tammikuu 2022

CNIL totesi, ettei google.fr tarjonnut mekanismia evästeiden hylkäämiseen yhtä helposti kuin niiden hyväksymiseen. Evästeiden hyväksyminen vaati yhden klikkauksen; hylkääminen edellytti navigointia useiden näyttöjen läpi. Sakon ohella annettiin määräys lisätä "Hylkää kaikki" -painike ensimmäiselle tasolle kolmen kuukauden kuluessa.

CNIL vs. Facebook (60 miljoonaa euroa) — tammikuu 2022

Sama valvontatoimi. Facebookin evästebannerissa sivustolla facebook.com ei ollut ensimmäisen tason hylkäysvaihtoehtoa. Käyttäjien oli navigoitava asetusten läpi kieltäytyäkseen evästeistä. CNIL määräsi sakon ja edellytti korjaustoimia.

CNIL vs. Microsoft (60 miljoonaa euroa) — joulukuu 2022

CNIL totesi, että bing.com asetti mainosevästeitä ilman asianmukaista suostumusta ja ettei evästebanneri tarjonnut yhtä helppoa tapaa hylätä evästeitä.

CNIL vs. TikTok (5 miljoonaa euroa) — joulukuu 2022

TikTokin evästebanneri edellytti useita toimenpiteitä evästeiden hylkäämiseen. CNIL totesi tämän rikkovan vaatimusta yhtä helposti saavutettavista suostumus- ja hylkäysmekanismeista.

Italian Garante vs. useat yritykset — 2023

Italian tietosuojaviranomainen toteutti kartoituksia, jotka kohdistuivat evästebannerien manipulatiivisiin suunnittelumalleihin, ja antoi varoituksia ja sakkoja useille yrityksille manipulatiivisten hyväksy/hylkää-painikkeiden suunnittelusta.

Kuinka suunnitella eettisiä suostumuskäyttöliittymiä

Eettisen evästesuostumuskäyttöliittymän suunnittelu ei ole vain sakkojen välttämistä — kyse on käyttäjien kunnioittamisesta ja luottamuksen rakentamisesta. Tässä periaatteet:

1. Yhtäläinen näkyvyys. Hyväksy- ja hylkäysvaihtoehtojen on oltava visuaalisesti identtiset koon, väripainotuksen ja sijoittelun osalta. Jos "Hyväksy" on täytetty sininen painike, myös "Hylkää" on oltava saman kokoinen täytetty painike.
2. Yhtäläinen vaiva. Evästeiden hylkäämisen on vaadittava sama määrä klikkauksia kuin niiden hyväksymisen. Yksi klikkaus hyväksymiseen tarkoittaa yhtä klikkausta hylkäämiseen.
3. Selkeä kieli. Käytä yksinkertaista, neutraalia kieltä. "Hyväksy kaikki" ja "Hylkää kaikki" — ei "Hyväksy" ja "Lue lisää".
4. Ei oletusvalintoja. Kaikkien ei-välttämättömien evästekategorioiden on oltava oletusarvoisesti pois päältä. Ei esivalittuja valintaruutuja, ei valmiiksi käytössä olevia oikeutettuja etuja.
5. Rehellinen tieto. Kuvaa evästeiden toiminta asiallisesti. Ei kiertoilmauksia, ei pelottelua, ei tunneperäistä manipulointia.
6. Saavutettavat asetukset. Asetuspaneelissa navigoinnin tulisi olla yksinkertaista, selkeiden kategorioiden ja ytimekkäiden kuvausten kera.
7. Helppo peruuttaminen. Pysyvän asetuskuvakkeen tai -linkin on oltava saatavilla jokaisella sivulla, jotta käyttäjät voivat muuttaa asetuksiaan milloin tahansa.

Tarkistuslista: Onko banneriini manipulatiivisia suunnittelumalleja?

Käytä tätä tarkistuslistaa nykyisen evästebannerisi auditointiin:

1. Onko bannerin ensimmäisellä tasolla "Hylkää kaikki" -painike?
2. Onko hylkäyspainike samankokoinen kuin hyväksymispainike?
3. Onko hylkäyspainikkeella sama visuaalinen tyyli kuin hyväksymispainikkeella (molemmat täytettyjä, molemmat ääriviivoin, jne.)?
4. Vaatiiko evästeiden hylkääminen saman määrän klikkauksia kuin niiden hyväksyminen?
5. Ovatko kaikki ei-välttämättömät evästekategoriat oletusarvoisesti pois päältä asetuspaneelissa?
6. Onko kieli neutraalia ja asiallista (ei syyllistämistä, ei tunneperäistä manipulointia)?
7. Voiko käyttäjä käyttää sivuston sisältöä hyväksymättä evästeitä (ei evästeseinää)?
8. Voiko käyttäjä muuttaa asetuksiaan milloin tahansa näkyvän linkin tai kuvakkeen kautta?
9. Onko käyttötarkoituksen kuvaus yksilöity (ei vain "parantaa käyttökokemustasi")?
10. Varmistetaanko, ettei evästeitä aseteta ennen kuin käyttäjä on tehnyt valintansa?

Jos vastasit "ei" johonkin näistä kysymyksistä, bannerisi saattaa sisältää manipulatiivisia suunnittelumalleja, jotka altistavat sinut sääntelyriskille.

Passiron suostumusbanneri on suunniteltu perusteista lähtien vapaaksi manipulatiivisista suunnittelumalleista, ja se täyttää jokaisen tämän tarkistuslistan kriteerin oletusarvoisesti. Tutustu siihen, kuinka Passiro auttaa sinua toteuttamaan eettisen ja säännösten mukaisen evästesuostumuksen.