7 dark patterns w banerach cookie — z oceną prawną

Dark Pattern 1: Wstępnie zaznaczone pola wyboru

Status: To jest niezgodne z RODO.

Opis: Cookies niezbędne są dozwolone i mogą być zaznaczone. Kuszące może być wstępne zaznaczenie także innych kategorii. Prawdopodobnie skutkowałoby to wyrażeniem zgody przez więcej odwiedzających na cookies funkcjonalne, które są niezbędne dla wielu funkcji nowoczesnej strony. W połączeniu z przyciskami „Akceptuj wszystko" i „Zapisz ustawienia" odwiedzający mogliby łatwo wyrazić zgodę. Pamiętaj jednak: ta praktyka jest niedozwolona w UE.

Dark Pattern 2: Błędnie sklasyfikowane cookies

Status: To jest niezgodne z RODO.

Opis:

Jeśli pierwsza sztuczka z wstępnie zaznaczonymi polami nie działa, może spróbować zadeklarować nieistotne funkcje jako niezbędne? Oczywiście, to niedozwolone.

Duży problem z cookies niezbędnymi polega na tym, że dozwolonych jest naprawdę bardzo, bardzo mało.

• Analytics? Nie. Nie są niezbędne. Twój Google Analytics musi poczekać.
• Wideo? Ha ha. Nie, szczególnie jeśli korzystasz z popularnych hostingów wideo z USA. (Także nie z opcją „bez cookies" czy „mniej śledzenia")
• Cokolwiek związanego z reklamą? Meta albo Google Pixel? No nie. Oczywiście, że nie.
• Twój CRM? Jasne, że… nie jest niezbędny.

... i niestety lista ciągnie się dalej.

Dark Pattern 3: Brak opcji odrzucenia na pierwszym ekranie

Status: To jest niezgodne z RODO.

Opis: Często spotykanym widokiem są banery cookie, w których opcja odrzucenia wszystkich cookies nie jest od razu dostępna. Zamiast tego jest ukryta za przyciskiem „ustawienia" lub podobnym. To znacząco zwiększa współczynnik opt-out, ponieważ mniej odwiedzających chce przechodzić przez uciążliwy proces. Co ważne, opcja opt-out musi być tak samo łatwo dostępna jak opcja opt-in, co oznacza, że musi być wyraźnie widoczna na pierwszym ekranie.

Dark Pattern 4: Ukrywanie i maskowanie przycisku odrzucenia

Status: To jest niezgodne z RODO.

Opis: Jeśli opcja opt-out musi być na pierwszym ekranie, niektórzy próbują uczynić ją tak dyskretną, że jest ledwo zauważalna. Odwiedzający zazwyczaj nie chcą poświęcać dużo czasu na oglądanie banerów i często wybierają jeden z bardziej widocznych przycisków. Taki design może zwiększyć współczynnik akceptacji cookies. Jednak jest to niedozwolone — jak wyjaśniono w Dark Pattern 3, opcja odrzucenia musi być tak samo dostępna i widoczna jak opcja akceptacji.

Dark Pattern 5: Mniej wyrazisty przycisk odrzucenia

Status: Dopuszczalne w niektórych krajach UE.

Opis: Czy wchodzimy w szarą strefę, w której pewna manipulacja może być dopuszczalna? Cóż, poniekąd tak. Zgodnie z dotychczasową logiką, następny krok dotyczy designu dwóch przycisków: Akceptuj i Odrzuć. Jest to marginalnie dopuszczalne w niektórych krajach UE. Szczegóły znajdziesz w źródle na końcu artykułu.

Dark Pattern 6: Wielokrotne wyświetlanie banera cookie osobom, które odrzuciły

Status: Dopuszczalne w niektórych krajach UE.

Opis:

Proste niezapisywanie odmowy może być strategią. Jeśli odwiedzający przychodzą regularnie, mogą w końcu się zirytować na tyle, że się zgodzą. Ten proces wielokrotnego pytania jest znany jako „nudging".

Oczywiście przechowywanie odpowiedzi w banerze cookie jest częścią technologii niezbędnych, więc jest dozwolone i nie ma powodu, by tego nie robić. Jednak irytowanie odwiedzających przy każdej wizycie na Twojej stronie raczej nie jest przyjemne, prawda?

Dark Pattern 7: „Przyklejony" baner cookie z domniemaną zgodą przy korzystaniu

Status: Zgadłeś/aś… niedozwolone.

Opis:

To taktyka, którą obserwowano przez dłuższy czas. Baner przyklejony do dołu strony (tzw. „sticky") czasami zawiera informację, że dalsze korzystanie ze strony oznacza wyrażenie zgody.

Dwie kluczowe kwestie: Automatyczna zgoda jest niedopuszczalna. Sam sticky baner niekoniecznie narusza RODO. Jednak kluczowe jest, aby brak interakcji z banerem był traktowany jako odrzucenie. Musisz zadbać o to, by nic nie było ładowane przed wyrażeniem zgody przez odwiedzającego. Żadnego Google Analytics, żadnego YouTube… Zazwyczaj taki baner skutkuje znacznie wyższym współczynnikiem odrzuceń, ponieważ większość odwiedzających po prostu go ignoruje.

Przykład: Jak powinny wyglądać banery cookie w praktyce

Główna zasada projektowania banerów cookie jest prosta: Jakikolwiek nacisk na odwiedzających, by wyrazili zgodę, jest niedopuszczalny.

Wzorcowe rozwiązanie („Best Practice") dla banerów cookie zostało opracowane przez ConPolicy we współpracy z organizacjami takimi jak CookieFirst, Access Now, Telefonica i BMUV. Szczegóły tej inicjatywy znajdziesz tutaj (po niemiecku).

Czego potrzebujesz:

• Równoważne opcje: Powinna istnieć prosta opcja wyrażenia zgody na wszystkie cookies, jak i odrzucenia wszystkich.
• Konfigurowalna zgoda: Powinna być dostępna opcja indywidualnego dostosowania zgody. Może być na pierwszym ekranie, ale nie jest to obowiązkowe.
• Zamknij = Odrzuć: Jeśli dostępna jest opcja zamknięcia banera, powinna być równoznaczna z wybraniem „odrzuć wszystko".

Dodatkowe informacje i źródła

Często powołujemy się na raport z lata 2024, „noyb's Consent Banner Report: How authorities actually decide", który znajdziesz tutaj. Raport pokazuje, jak organy podejmują decyzje. Zawsze zalecamy jednak skonsultowanie wybranego rozwiązania z ekspertami ds. ochrony danych w celu zapewnienia zgodności.

Najlepszy design banera cookie: żaden baner cookie

Tak, czasem trudno to wdrożyć, ale nikt nie zmusza Cię do posiadania banera cookie. Kluczem jest korzystanie z narzędzi bez cookies i niewymagających zgody.

Dla wielu usług istnieją alternatywy, które nie wymagają zgody RODO. Zostały zaprojektowane tak, aby nie przetwarzać danych osobowych Twoich odwiedzających.

Przykłady:

• Do wideo — no, my! Ignite stawia prywatność na pierwszym miejscu i nie wymaga zgody, co czyni go doskonałą alternatywą dla YouTube, Vimeo, Wistia itp.
• Alternatywą dla Google Analytics może być „Plausible" lub „SimpleAnalytics".
• Alternatywą dla ReCaptcha od Google jest Friendly Captcha. Itd.

Gdy korzystasz z usługi wymagającej zgody, baner cookie będzie znów potrzebny. Ale to nie powinno Cię powstrzymywać od zmiany dostawców — w końcu narzędzia bez cookies działają dla wszystkich odwiedzających, nie tylko tych, którzy wyrażą zgodę.

Szczególnie w przypadku wideo ten efekt jest bardzo zauważalny. Wydajesz dużo pieniędzy na produkcję filmów; ukrywanie ich za rozwiązaniami 2-click nie ma sensu. Im więcej osób faktycznie zobaczy Twoje wideo, tym lepiej.