In data 14 febbraio 2023, il Comitato europeo per la protezione dei dati (European Data Protection Board, o ‘EDPB’) ha adottato delle linee guida[1] che offrono raccomandazioni pratiche ai progettisti e agli utenti delle piattaforme online sul modo in cui valutare ed evitare modelli di progettazione ingannevoli nelle interfacce dei social media che violano il Regolamento generale sulla protezione dei dati (‘GDPR’[2]).
Questa versione finale, che a seguito della consultazione pubblica modifica e integra le linee guida adottate il 14 marzo 2022, fornisce esempi concreti di modelli di progettazione ingannevoli, presenta le migliori pratiche per diversi casi d’uso e, al contempo, contiene raccomandazioni specifiche per i progettisti di interfacce utente allo scopo di rendere più agevole l’effettivo rispetto del GDPR. A questo proposito, le linee guida richiamano gli obblighi derivanti dal GDPR, con particolare riferimento ai principi di liceità, correttezza, trasparenza, limitazione delle finalità del trattamento e minimizzazione dei dati nella progettazione delle interfacce utente e nella presentazione dei contenuti dei loro servizi web e delle loro app.
I suddetti principi costituiscono dei requisiti per la progettazione di software e servizi, comprese le interfacce utente. Queste linee guida sono anche mirate ad aumentare la consapevolezza degli utenti sui loro diritti e sui rischi che possono derivare dalla condivisione di un numero eccessivo di dati o dalla condivisione dei propri dati in modo incontrollato.
Nell’ambito delle linee guida sono considerati ‘modelli di progettazione ingannevoli’ le interfacce e i percorsi utente attuati sulle piattaforme di social media finalizzate a influenzare gli utenti nella scelta di decisioni involontarie e potenzialmente dannose, spesso contro gli interessi degli utenti e a favore degli interessi delle piattaforme di social media. I modelli di progettazione ingannevoli mirano, dunque, a influenzare il comportamento dei fruitori delle piattaforme social, ostacolando la loro capacità di proteggere in maniera efficace i propri dati personali e di compiere scelte consapevoli, ad esempio rendendoli incapaci di dare un consenso libero e informato.
I modelli di progettazione ingannevoli oggetto delle linee guida possono essere suddivisi in sei differenti categorie.
La prima categoria, denominata Overloading, riguarda il caso in cui gli utenti si trovano di fronte a un grandissimo numero di richieste, informazioni, opzioni o possibilità, con l’effetto di spingerli a una maggiore condivisione di dati ovvero a consentire involontariamente il trattamento di dati personali contro le aspettative dell’interessato. Rientrano in questa prima categoria gli schemi di progettazione ingannevole del Continuous prompting, del Privacy Maze e del Too Many Options.
La seconda categoria, il c.d. Skipping, include modelli ove l’interfaccia dell’utente è progettata in modo che quest’ultimo sia portato a trascurare tutti o alcuni aspetti relativi alla protezione dei dati. Appartengono a questa categoria due modelli di progettazione ingannevole: Deceptive Snugness e Look over there.
La terza categoria è lo Stirring, e consiste nell’indurre gli utenti a compiere scelte facendosi guidare esclusivamente dalle loro emozioni e ricomprende gli schemi di progettazione ingannevole denominati: Emotional Steering e Hidden in plain sight.
Per quanto riguarda poi la quarta categoria, il c.d. Obstructing, essa consiste nel bloccare gli utenti durante il loro processo di acquisizione di informazioni o di gestione dei dati, in modo tale da renderle più difficoltose o addirittura irrealizzabili. Rientrano in questa categoria i seguenti modelli di progettazione ingannevole: Dead end, Longer than necessary e Misleading action.
Con riferimento alla quinta categoria di modelli di progettazione ingannevole, denominata Fickle, ne fanno parte modelli in cui il design dell’interfaccia è incoerente e poco chiaro, e ciò rende difficile per l’utente la navigazione tra i diversi strumenti di controllo della protezione dei dati e la comprensione dello scopo del trattamento. Questa categoria ricomprende i modelli di progettazione ingannevole Lacking hierarchy, Decontextualising, Inconsistent Interface e Language Discontinuity.
La sesta e ultima categoria presa in considerazione dalle linee guida è detta Left in the dark, e fa riferimento a un’interfaccia progettata in modo tale da nascondere informazioni o strumenti di controllo della protezione dei dati o da lasciare gli utenti nell’incertezza su come vengono trattati i loro stessi dati e sulla tipologia di controllo che possono avere su di essi per quanto riguarda l’esercizio dei loro diritti. Questa categoria ricomprende due schemi di progettazione ingannevole: Conflicting information e Ambiguous wording or information.
Per quanto riguarda la conformità alla protezione dei dati delle interfacce utente delle applicazioni online nel settore dei social media, i principi fondamentali sono stabiliti dall’articolo 5 del GDPR. Il paragrafo 1, lettera a) del suddetto articolo introduce il principio del trattamento equo, il quale rappresenta il punto di partenza per valutare se un determinato modello di progettazione costituisca effettivamente un modello di progettazione ingannevole. Come già affermato dall’EDPB, il principio di correttezza è un principio generale, il quale richiede che i dati personali non siano trattati in modo pregiudizievole, discriminatorio, inaspettato o fuorviante. Se l’interfaccia presenta informazioni insufficienti o fuorvianti per gli utenti, rientrando in una delle categorie dei modelli di progettazione ingannevoli, il suo utilizzo può integrare una fattispecie trattamento sleale. Il principio di correttezza svolge una funzione di ombrello e tutti i modelli di progettazione ingannevole non sarebbero conformi ad esso, indipendentemente dalla conformità con altri principi del GDPR.
Oltre al principio di correttezza, acquisiscono rilevanza per la valutazione sulla legittimità dei modelli di progettazione anche i principi di trasparenza, minimizzazione dei dati e responsabilità di cui all’articolo 5, paragrafo 1, lettera a), c) e paragrafo 2 del GDPR, nonché, in alcuni casi, la limitazione delle finalità ai sensi dell’articolo 5, paragrafo 1, lettera b) dello stesso regolamento. La valutazione, talvolta, può anche basarsi sulle condizioni del consenso in base a quanto stabilito dall’articolo 4, paragrafo 11, e dell’articolo 7 del GDPR, o su altri obblighi specifici, come ad esempio l’articolo 12. Ciò che appare evidente, in ogni caso, nel contesto dei diritti delle persone interessate, è la necessità di prendere in considerazione il terzo capitolo del GDPR. Infine, ai sensi dell’articolo 25 del GDPR, i requisiti necessari per la tutela dei dati personali e per la progettazione e impostazione predefinita svolgono un ruolo fondamentale poiché la loro applicazione nella progettazione di un’interfaccia aiuterebbe, in primo luogo, i fornitori di social media a evitare modelli ingannevoli.
Le disposizioni contenute nel GDPR si applicano all’intero processo di trattamento dei dati personali nell’ambito del funzionamento delle piattaforme di social media, ossia all’intero ciclo di vita di un account utente. L’EDPB fornisce altresì vari esempi concreti di modelli di progettazione ingannevoli per diversi casi d’uso all’interno del ciclo di vita di un account di social media. Vi sono casi d’uso come l’iscrizione, ossia il processo di registrazione, i casi d’uso dell’informazione attinenti all’informativa sulla privacy, la contitolarità e le comunicazioni sulle violazioni dei dati, la gestione della protezione dei dati e il consenso, l’esercizio dei diritti degli interessati durante l’uso dei social media e, infine, la chiusura di un account sui social media. Ogni specifico caso d’uso si ricollega alle disposizioni del GDPR, in quanto fornisce una spiegazione più precisa e dettagliata di quali disposizioni del GDPR siano rilevanti per esso.
Oltre agli esempi di schemi di progettazione ingannevole, nell’Allegato II delle linee guida, nonché alla fine di ogni caso d’uso, viene altresì offerta una panoramica delle migliori pratiche. Queste contengono raccomandazioni specifiche che possono essere utilizzate per progettare interfacce utente che facilitino l’effettivo rispetto del GDPR. Tali buone pratiche possono rappresentare un primo passo verso un modo standardizzato, per gli utenti, di controllare in maniera efficace i propri dati ed esercitare i propri diritti.
L’Allegato I delle linee guida, invece, contiene un elenco delle categorie di modelli di progettazione ingannevole e delle tipologie di modelli di progettazione ingannevole all’interno di ciascuna categoria, indicando, in aggiunta, le disposizioni del GDPR maggiormente interessate da questi modelli. Per ogni modello, l’elenco contiene anche il numero di esempi e il corrispondente caso d’uso, in modo da aiutare i lettori a trovarli rapidamente e agevolmente. È importante ricordare, tuttavia, che questa lista non è esaustiva e, dunque, che i modelli di progettazione ingannevoli possono essere presenti anche in casi non contemplati dalle linee guida.
[1] Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to recognise and avoid them.
[2] Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), GUUE L 119 del 04.05.2016.