Manipulatív minták a cookie-hozzájárulásban

A manipulatív minta (dark pattern) egy olyan felhasználói felület, amely arra befolyásolja a felhasználókat, hogy olyan döntéseket hozzanak, amelyeket egyébként nem hoznának meg. A cookie-hozzájárulás kontextusában a manipulatív minták az összes cookie elfogadása felé terelik a felhasználókat — nem világos tájékoztatással és valódi választási lehetőséggel, hanem vizuális manipulációval, zavaros megfogalmazással és szándékos akadályozással.

A cookie-hozzájárulásban alkalmazott manipulatív minták nem csupán rossz tervezést jelentenek — jogi kockázatot is hordoznak. Az adatvédelmi hatóságok EU-szerte jelentős bírságokat szabtak ki kifejezetten a manipulatív hozzájárulási felületekért, és a szabályozói figyelem egyre intenzívebb.

Miért teszik érvénytelenné a manipulatív minták a hozzájárulást

A GDPR értelmében a hozzájárulásnak a következőnek kell lennie:

• Önkéntes (4. cikk (11) bekezdés) — a felhasználónak valódi választási lehetőséggel kell rendelkeznie, nyomás vagy manipuláció nélkül.
• Konkrét — a hozzájárulást minden egyes elkülönült célra külön kell megadni.
• Tájékozott — a felhasználónak tisztában kell lennie azzal, mihez járul hozzá.
• Egyértelmű — világos, megerősítő cselekedettel kell megadni.

A manipulatív minták már tervezésükből adódóan aláássák az „önkéntes" és a „tájékozott" jelleget. Ha az elutasítás lehetősége el van rejtve, vizuálisan háttérbe van szorítva, vagy több kattintás mögé van eltemetve, akkor a felhasználó hozzájárulása nem önkéntes. Ha a megfogalmazás zavaros vagy félrevezető, akkor a felhasználó nem volt tájékozott. Mindkét esetben a hozzájárulás jogilag érvénytelen — és minden, ennek a hozzájárulásnak az alapján elhelyezett cookie jogsértést jelent.

Az EU cookie-vállalása (Cookie Pledge)

2023 novemberében az Európai Bizottság elindította a Cookie Pledge-et — egy önkéntes kötelezettségvállalást, amellyel a vállalatok tisztességes cookie-gyakorlatokat vezethetnek be. Bár jogilag nem kötelező érvényű, a Cookie Pledge jelzi a Bizottság elvárásait, és előrevetíti a szabályozási irányt.

A Cookie Pledge legfontosabb elvei:

• A cookie-k elutasításának ugyanolyan egyszerűnek kell lennie, mint az elfogadásnak — a kattintások számát, a vizuális megjelenítést és a szükséges gondolkodási erőfeszítést tekintve.
• Nem alkalmazhatók olyan manipulatív tervezési elemek, amelyek az elfogadás felé terelik a felhasználókat.
• Világos, közérthető nyelvezet, amelyet a felhasználók egy pillantással megértenek.
• Nincsenek cookie-falak, amelyek elzárják a hozzáférést a tartalomhoz.
• A hozzájárulás bármikor egyszerűen visszavonható.

A Cookie Pledge-et több jelentős márka is aláírta. Bár a kezdeményezés önkéntes, az adatvédelmi hatóságok kifejezetten hivatkoztak a Pledge elveire a végrehajtási döntéseikben.

Az EDPB manipulatív mintákkal kapcsolatos iránymutatásai

Az Európai Adatvédelmi Testület (EDPB) közzétette a közösségimédia-platformok felületein alkalmazott manipulatív mintákról szóló 03/2022-es iránymutatásait, amelyeket széles körben alkalmaznak a cookie-hozzájárulási felületekre is. Az iránymutatások a manipulatív minták hat kategóriáját azonosítják:

1. Túlterhelés — a felhasználók túlzott mennyiségű információval vagy kéréssel való bombázása, ami döntési fáradtságot okoz.
2. Kihagyás — olyan felületek tervezése, amelyek a felhasználó aktív közreműködése nélkül kihagynak vagy előre kiválasztanak lehetőségeket.
3. Érzelmi befolyásolás — érzelmi nyelvezet vagy vizuális jelzések használata, amelyek egy adott választás felé terelik a felhasználókat.
4. Akadályozás — a jogok gyakorlásának megnehezítése (pl. az elutasítás gomb megtalálása, a beállítások elérése, a hozzájárulás visszavonása).
5. Következetlenség — inkonzisztens tervezés, amely összezavarja a felhasználókat abban, hogy hol tartanak, és mit jelentenek a választásaik.
6. Sötétben hagyás — információk elrejtése, kétértelmű nyelvezet használata vagy hiányos kontextus biztosítása.

A nemzeti adatvédelmi hatóságok ezeket a kategóriákat keretrendszerként használták a cookie-bannerek értékelésekor a végrehajtási eljárások során.

Gyakori manipulatív minták példákkal

Előre bejelölt jelölőnégyzetek

Olyan cookie-kategória jelölőnégyzetek megjelenítése, amelyek már be vannak jelölve, és amelyeket a felhasználónak aktívan ki kell vennie a hozzájárulás megtagadásához. Ezt az Európai Unió Bírósága kifejezetten érvénytelennek nyilvánította a Planet49 ügyben (C-673/17, 2019. október). A Bíróság megállapította, hogy az előre bejelölt jelölőnégyzetek nem minősülnek a hozzájárulás „aktív jelzésének".

Az egyértelmű döntés ellenére számos weboldal továbbra is előre bejelölt beállítási panelt használ, különösen az „analitikai" vagy „funkcionális" kategóriák esetében. Ezek a megvalósítások mindegyike érvénytelen hozzájárulást eredményez.

Nincs elutasítás gomb

Csak az „Összes elfogadása" és a „Beállítások kezelése" gombok megjelenítése az első rétegen, elutasítási lehetőség nélkül. A felhasználónak a „Beállítások kezelése" gombra kell kattintania, végig kell mennie egy másodlagos panelen, ki kell kapcsolnia az összes kategóriát, majd a „Mentés" gombra kell kattintania — az elutasítás jellemzően három–öt kattintást igényel, míg az elfogadás egyetlen kattintást.

A CNIL (Franciaország adatvédelmi hatósága) különösen határozottan lépett fel e minta ellen. A Google (150 millió EUR) és a Facebook (60 millió EUR) elleni 2022. januári végrehajtási intézkedéseiben a CNIL kifejezetten jogsértésként jelölte meg az egyszerű elutasítási mechanizmus hiányát az első rétegen.

Vizuális manipuláció

Az „Elfogadás" gomb vizuális dominanciájának megteremtése, miközben az „Elutasítás" lehetőség háttérbe szorul. Gyakori technikák:

• Egy nagy, élénk színű „Összes elfogadása" gomb egy kicsi, szürke vagy átlátszó „Elutasítás" lehetőség mellett.
• Az „Elfogadás" tömör, nagy kontrasztú gombként jelenik meg, míg az „Elutasítás" csak egy szöveges hivatkozás vagy körvonalas gomb.
• Az „Elfogadás" a felhasználó vizuális fókuszútjában (középen, jobbra igazítva vagy elsődleges pozícióban), míg az „Elutasítás" kevésbé feltűnő helyen van elhelyezve.
• Zöld szín használata az „Elfogadás" gombhoz (a biztonság/haladás jelzésére) és piros vagy szürke az „Elutasítás" gombhoz (a veszély/megállás/inaktivitás jelzésére).

Az elv egyszerű: ha egy átlagos felhasználó pusztán a vizuális tervezés alapján az elfogadási lehetőséget tekintené az „alapértelmezett" vagy „ajánlott" műveletnek, akkor a banner manipulatív mintát alkalmaz.

Zavaros megfogalmazás és a „jogos érdek"

Egyes hozzájárulási felületek bizonyos nyomon követési célokat nem hozzájáruláson, hanem „jogos érdeken" alapulóként mutatnak be, ahol ezek a célok előre engedélyezve vannak, és leiratkozást (opt-out) igényelnek a feliratkozás (opt-in) helyett. Ez technikailag megengedett a GDPR értelmében valódi jogos érdekek esetén, de széles körben visszaélnek vele.

Amikor egy cookie-banner több tucat hirdetési szolgáltatót sorol fel „jogos érdek" alatt apró kapcsolókkal, a gyakorlati hatás az, hogy a felhasználók többsége nem érti, mit lát, és nem tesz semmit — ami alapértelmezett nyomon követést eredményez. Több adatvédelmi hatóság, köztük a belga APD, megkérdőjelezte ezt a gyakorlatot, azzal érvelve, hogy a jogos érdek nem lehet a hirdetési nyomon követés jogalapja.

Túl sok kattintás az elutasításhoz

Az erőfeszítés aszimmetriája talán a legelterjedtebb manipulatív minta:

Művelet	Szükséges kattintások
Összes cookie elfogadása	1 kattintás
Összes cookie elutasítása (manipulatív minta)	3–7 kattintás (beállítások megnyitása, minden kategória kikapcsolása, mentés, esetleg megerősítés)
Összes cookie elutasítása (megfelelő)	1 kattintás („Összes elutasítása" gomb az első rétegen)

Az EDPB hozzájárulási iránymutatásai egyértelműek: „A hozzájárulás visszavonásának ugyanolyan egyszerűnek kell lennie, mint a megadásának." Ebből következően a hozzájárulás megtagadása sem igényelhet nagyobb erőfeszítést, mint annak megadása.

Cookie-falak

A cookie-fal teljesen elzárja a weboldalhoz való hozzáférést, hacsak a felhasználó nem fogadja el a cookie-kat. Az oldal tartalma egy fedőréteg mögé van rejtve, és a továbblépés egyetlen módja az „Elfogadás" gombra kattintás.

Az EDPB az 05/2020-as iránymutatásaiban kimondta, hogy a cookie-falak általában nem biztosítanak önkéntes hozzájárulást, mivel a felhasználó nem kap valódi választási lehetőséget — a helyzet „elfogadás vagy távozás". Egyes joghatóságok engedélyeznek egy árnyaltabb változatot (a holland adatvédelmi hatóság például jelezte, hogy a cookie-falak elfogadhatók lehetnek, ha a felhasználónak valódi, egyenértékű alternatívája van), de a biztonságosabb álláspont az, ha teljesen elkerüljük őket.

Túlterhelés információval

Egyes bannerek oldalnyi sűrű jogi szöveget, több tucat szolgáltatói kapcsolót és bonyolult kategóriahierarchiát mutatnak be — nem azért, hogy tájékoztassanak, hanem hogy elárasszanak. Egy szövegfallal és 150 egyedi szolgáltatói kapcsolóval szembesülve a legtöbb felhasználó egyszerűen az „Összes elfogadása" gombra kattint a fáradtságtól. Ez az EDPB által azonosított „túlterhelés" manipulatív minta: kimerítő információk használata a tényleges figyelmi bevonódás megakadályozására.

A megoldás egy réteges megközelítés: rövid, világos információ az első rétegen, míg a részletes információk elérhetők, de nem kötelező végignézni őket.

Érzelmi manipuláció

Bűntudatot keltő vagy érzelmileg túlfűtött nyelvezet használata a hozzájárulási döntések befolyásolására:

• „Nem, köszönöm, nem érdekel a személyre szabott élmény"
• „Inkább nem releváns hirdetéseket szeretnék látni"
• „Folytatás korlátozott élménnyel"
• Szomorú emojik vagy rosszalló képi elemek használata, amikor a felhasználó az elutasítás felé mozdul

Ezek a „megerősítés-megszégyenítő" (confirmshaming) technikák azt az érzést keltik a felhasználóban, hogy a cookie-k elutasítása rossz vagy antiszociális döntés. A nyelvezetnek semlegesnek és tájékoztató jellegűnek kell lennie, nem érzelminek.

Valós végrehajtási példák

Az adatvédelmi hatóságok az iránymutatástól a végrehajtás felé mozdultak el. Íme néhány nevezetes eset, ahol a cookie-hozzájárulásban alkalmazott manipulatív minták jelentős bírságokat vontak maguk után:

CNIL vs. Google (150 millió EUR) — 2022. január

A CNIL megállapította, hogy a google.fr nem kínált olyan mechanizmust, amellyel a cookie-kat ugyanolyan egyszerűen lehetett volna elutasítani, mint elfogadni. A cookie-k elfogadása egy kattintást igényelt; az elutasításhoz több képernyőn kellett navigálni. A bírságot egy olyan határozat kísérte, amely előírta egy „Összes elutasítása" gomb elhelyezését az első rétegen három hónapon belül.

CNIL vs. Facebook (60 millió EUR) — 2022. január

Ugyanaz a végrehajtási intézkedés. A Facebook cookie-bannerén a facebook.com oldalon nem volt első rétegű elutasítási lehetőség. A felhasználóknak a beállításokon keresztül kellett navigálniuk a cookie-k elutasításához. A CNIL kiszabta a bírságot, és elrendelte a helyreállítást.

CNIL vs. Microsoft (60 millió EUR) — 2022. december

A CNIL megállapította, hogy a bing.com megfelelő hozzájárulás nélkül helyezett el hirdetési cookie-kat, és hogy a cookie-banner nem biztosított egyformán egyszerű módot a cookie-k elutasítására.

CNIL vs. TikTok (5 millió EUR) — 2022. december

A TikTok cookie-bannerén több műveletre volt szükség a cookie-k elutasításához. A CNIL megállapította, hogy ez sértette az egyformán hozzáférhető hozzájárulási és elutasítási mechanizmusokra vonatkozó követelményt.

Az olasz Garante vs. különböző vállalatok — 2023

Az olasz adatvédelmi hatóság ellenőrzéseket végzett a cookie-banneres manipulatív minták ellen, több vállalatnak adva ki figyelmeztetéseket és bírságokat manipulatív elfogadás/elutasítás gombtervezés használatáért.

Hogyan tervezzünk etikus hozzájárulási felületeket

Egy etikus cookie-hozzájárulási felület tervezése nem csupán a bírságok elkerüléséről szól — arról szól, hogy tiszteljük felhasználóinkat, és bizalmat építünk. Íme az alapelvek:

1. Egyforma kiemeltség. Az elfogadás és elutasítás lehetőségeinek vizuálisan azonosnak kell lenniük méret, színsúly és elhelyezés tekintetében. Ha az „Elfogadás" egy tömör kék gomb, akkor az „Elutasítás" is legyen egy azonos méretű tömör gomb.
2. Egyforma erőfeszítés. A cookie-k elutasításának ugyanannyi kattintást kell igényelnie, mint az elfogadásnak. Ha egy kattintás az elfogadás, akkor egy kattintás legyen az elutasítás is.
3. Világos nyelvezet. Használjon egyszerű, semleges nyelvezetet. „Összes elfogadása" és „Összes elutasítása" — nem „Elfogadás" és „További információ".
4. Nincsenek alapértelmezések. Minden nem alapvető cookie-kategóriának alapértelmezés szerint kikapcsolt állapotban kell lennie. Nincsenek előre bejelölt jelölőnégyzetek, nincsenek előre engedélyezett jogos érdekek.
5. Őszinte tájékoztatás. Írja le tényszerűen, mit tesznek a cookie-k. Nincsenek eufemizmusok, ijesztgetés vagy érzelmi manipuláció.
6. Hozzáférhető beállítások. A beállítási panelnek egyszerűen áttekinthetőnek kell lennie, világos kategóriákkal és tömör leírásokkal.
7. Egyszerű visszavonás. Minden oldalon elérhetőnek kell lennie egy állandó beállítási ikonnak vagy hivatkozásnak, hogy a felhasználók bármikor módosíthassák beállításaikat.

Ellenőrzőlista: Mentes a bannerem a manipulatív mintáktól?

Használja ezt az ellenőrzőlistát jelenlegi cookie-bannere auditálásához:

1. Van „Összes elutasítása" gomb a banner első rétegén?
2. Az elutasítás gomb ugyanakkora, mint az elfogadás gomb?
3. Az elutasítás gomb vizuális stílusa megegyezik az elfogadás gombéval (mindkettő tömör, mindkettő körvonalas stb.)?
4. A cookie-k elutasítása ugyanannyi kattintást igényel, mint az elfogadásuk?
5. Minden nem alapvető cookie-kategória alapértelmezés szerint ki van kapcsolva a beállítási panelen?
6. A nyelvezet semleges és tényszerű (nincs bűntudatkeltés, nincs érzelmi manipuláció)?
7. A felhasználó hozzáférhet az oldal tartalmához a cookie-k elfogadása nélkül (nincs cookie-fal)?
8. A felhasználó bármikor módosíthatja beállításait egy látható hivatkozáson vagy ikonon keresztül?
9. A cél leírása konkrét (nem csak „az élmény javítása")?
10. Nem helyeznek el cookie-kat, mielőtt a felhasználó döntést hozna?

Ha bármelyik kérdésre „nem"-mel válaszolt, bannere olyan manipulatív mintákat tartalmazhat, amelyek szabályozói kockázatnak teszik ki.

A Passiro hozzájárulási bannere alapjaitól úgy lett megtervezve, hogy mentes legyen a manipulatív mintáktól, és alapértelmezés szerint teljesíti az ellenőrzőlista minden kritériumát. Tudja meg, hogyan segíthet a Passiro az etikus, megfelelő cookie-hozzájárulás megvalósításában.