Dark patterns en de AVG: Waar moeten we op letten?

22/4/22 Naast de richtlijnen over het inzageverzoek en de samenwerking tussen de verschillende toezichthoudende autoriteiten, publiceerde het Europees Comité voor gegevensbescherming (hierna: EDPB) recent ook een richtlijn voor het gebruik van zogenaamde dark patterns. De richtlijn focust zich op de ontwerpers en gebruikers van social media platformen en geeft inzicht in het ontwerpen van veilige interfaces (koppelvlak tussen computersystemen en de mens) en het gebruik van de zogenaamde dark patterns.  

Wat zijn dark patterns? 

De richtlijn definieert dark patterns als interfaces en gebruikerservaringen op social media platformen die gebruikers sturen om keuzes te maken die zij mogelijk niet willen maken. Gebruikers maken dan onbedoelde, ongewilde en potentieel schadelijke beslissingen met betrekking tot het verwerken van hun persoonsgegevens. Veelvoorkomende voorbeelden van dark patterns zijn onder andere overladen (overloading), overslaan (skipping) en in het donker laten (left in the dark). Overladen houdt in dat gebruikers overladen worden met grote hoeveelheden informatie of opties. Dit zorgt ervoor dat zij mogelijk meer persoonsgegevens verstrekken dan zij eigenlijk willen. Overslaan betekent dat interfaces zijn gebouwd op een manier die gebruikers niet laat nadenken over de aspecten van gegevensbescherming. In het donker laten houdt in dat bepaalde informatie over gegevensbescherming of bepaalde tools om dit in te regelen moeilijk te bevatten zijn of onbruikbaar zijn gemaakt. Gebruikers weten dan bijvoorbeeld niet hoe ze hun rechten kunnen uitoefenen.   

Daarnaast kunnen dark patterns gebruikers emotioneel manipuleren om bijvoorbeeld een account langer te behouden als gebruikers dit willen verwijderen. Een voorbeeld daarvan kunt u hier onder zien:  

Bron: European Data protection Board – Guidelines 3/2022 

Dit soort berichten voegen naast emotionele manipulatie extra stappen toe en bemoeilijken het uitvoeren van het recht tot verwijdering. Op deze manier kunnen dit soort dark patterns een inbreuk maken op artikel 12 (2) Algemene Verordening Gegevensbescherming (hierna: AVG), dat ziet op het faciliteren van de uitoefening van de rechten van betrokkenen door de verwerkingsverantwoordelijke. Echter, het uitoefenen van de rechten van betrokkenen is niet het enige artikel waar dark patterns en de AVG elkaar raken.  

Hoe raken dark patterns de AVG? 

Dark patterns zorgen ervoor dat personen hun rechten onder de AVG niet kunnen uitoefenen. Bovendien kunnen dark patterns inbreuk maken op verschillende AVG-beginselen uit Artikel 5. Het beginsel van transparantie botst bijvoorbeeld met het gebruik van dark patterns. Dit komt doordat dark patterns het onduidelijk maken hoe gebruikers hun persoonsgegevens adequaat kunnen beschermen of waar zij informatie over gegevensbescherming kunnen lezen. Daarnaast moeten verwerkingsverantwoordelijken aantonen dat zij de AVG naleven. De ervaring van gebruikers maar ook het ontwerp van de interface zijn manieren om deze naleving aan te tonen. Zo kan een juiste interface gebruikers erop sturen om hun gegevensbescherming instellingen bewust in te richten op de manier die zij willen. Als organisaties dark patterns inzetten om deze interfaces in te richten, kunnen zij niet meer aantonen dat ze de AVG naleven. Dit haakt ook in op Artikel 25 uit de AVG, namelijk gegevensbescherming door ontwerp. Omdat dark patterns onduidelijkheid scheppen en er onder andere op gericht zijn om gebruikers meer informatie te verstrekken dan zij willen, wijst het gebruik van dark patterns op het feit dat gegevensbescherming door ontwerp niet geïmplementeerd is door een organisatie.  

Hoe kan ik als organisatie dark patterns vermijden? 

De EDPB heeft in de richtlijn een handig overzicht gegeven van de verschillende dark patterns en hoe deze inbreuk maken op de verschillende artikelen uit de AVG. Er zijn daarnaast verschillende stappen die organisaties kunnen nemen om dark patterns te vermijden. Zo is het bijvoorbeeld van belang dat er aandacht is voor het proces van gegevensbescherming door ontwerp. Door het correct implementeren van gegevensbescherming door ontwerp kunnen dark patterns vermeden worden. Ook privacy informatie makkelijk vindbaar maken op websites is hierbij van belang. Daarbij is het belangrijk dat de informatie duidelijk en goed leesbaar is. Considerati kan u hierbij adviseren en zo de best mogelijke opties voor uw organisatie vinden.