Dark Patterns w banerach cookies: co jest nielegalne, co ryzykowne i jak zachować zgodność
Europejskie organy regulacyjne nie sprawdzają już tylko, czy masz baner — sprawdzają, jak się zachowuje. Dark patterns — zwodnicze wybory projektowe manipulujące użytkownikami, by wyrażali niezamierzoną zgodę — stały się głównym celem organów ochrony danych w latach 2025–2026. Kary są realne, rosną i dotykają firm każdej wielkości.
Czym są dark patterns w zgodzie na pliki cookie?
Dark pattern to każdy wybór projektowy, który nakłania użytkowników do wyrażenia zgody, podczas gdy neutralny projekt doprowadziłby ich do odmowy lub dokonania naprawdę wolnego wyboru. European Data Protection Board (EDPB) wydał wiążące wytyczne w 2023 roku, definiujące konkretne kategorie dark patterns. To nie są zalecenia — mają one moc prawną we wszystkich państwach członkowskich UE.
7 najczęstszych dark patterns (i dlaczego są nielegalne)
1. Ukryty przycisk odmowy
Uczynienie "Zaakceptuj wszystko" widocznym zielonym przyciskiem, podczas gdy "Odrzuć" to mały szary link tekstowy ukryty w drugiej warstwie. Wiele organów ochrony danych uznało to za nieważne. CNIL nałożył grzywnę w wysokości 60 mln euro na duże przedsiębiorstwo technologiczne częściowo za tę praktykę.
2. Wstępnie zaznaczone pola
Ładowanie banera zgody ze wszystkimi kategoriami plików cookie już zaznaczonymi. CJEU orzekł w sprawie Planet49 (2019), że wstępnie zaznaczone pola nie stanowią ważnej zgody. To jest utrwalone prawo.
3. Mury cookie
Całkowite blokowanie dostępu do witryny do momentu wyrażenia zgody. Wytyczne EDPB stanowią, że zgoda nie jest dobrowolna, jeśli dostęp do usługi jest od niej uzależniony. Większość organów ochrony danych UE potwierdziła to stanowisko.
4. Mylący język
Używanie żargonu prawniczego, podwójnych przeczeleń lub celowo skomplikowanego języka, aby dezorientować użytkowników. "Nie rezygnując z niezbędnych plików cookie, zgadzasz się na..." to dark pattern. Wymagany jest jasny, prosty język.
5. Manipulacja emocjonalna
Wywoływanie poczucia winy u użytkowników za pomocą zwrotów takich jak "Nie dbam o swoje doświadczenie" przy opcji odrzucenia, lub używanie smutnych ikon i ostrzegawczych kolorów na przycisku odmowy. Regulatorzy wyraźnie to piętnują.
6. Asymetryczny wysiłek
Jedno kliknięcie, aby zaakceptować, pięć kliknięć, aby odrzucić. Jeśli odmowa zgody wymaga nawigowania przez wiele ekranów, przełączników i okien dialogowych potwierdzenia, podczas gdy akceptacja to jeden przycisk, to jest dark pattern.
7. Wielokrotne monitowanie
Ponowne wyświetlanie banera zgody użytkownikom, którzy już odmówili, w nadziei, że w końcu klikną akceptuj ze zmęczenia. Gdy użytkownik dokona wyboru, ten wybór musi być respektowany do momentu, gdy go aktywnie zmieni.
Realne kary za dark patterns
- CNIL (Francja): Grzywny 60 mln euro i 40 mln euro wobec dużych firm technologicznych za banery zgody, w których odrzucenie było trudniejsze niż akceptacja
- Włoski organ ochrony danych: Grzywna 20 mln euro za wstępnie zaznaczone pola zgody i mury cookie
- Hiszpański AEPD: Grzywna 2,5 mln euro za manipulacyjny projekt banera cookie
- Belgijski organ ochrony danych: Orzekł, że oryginalna implementacja TCF IAB Europe zawierała dark patterns
- Austriacki DSB: Wiele orzeczeń przeciwko asymetrycznym projektom zgody
Jak sprawdzić swój baner pod kątem dark patterns
Zastosuj tę listę kontrolną do swojego obecnego banera zgody:
- Przyciski Zaakceptuj i Odrzuć mają ten sam rozmiar, widoczność kolorów i liczbę kliknięć
- Żadne pola nie są wstępnie zaznaczone — wszystkie kategorie cookie zaczynają jako odznaczone
- Witryna jest dostępna bez wyrażenia zgody (brak muru cookie)
- Język jest prosty, jasny i w języku odwiedzającego
- Brak tekstu wywołującego poczucie winy ani manipulacji emocjonalnej przy opcji odmowy
- Poprzednie wybory są zapamiętywane — baner nie pojawia się ponownie użytkownikom, którzy odmówili
- Opcja "Zarządzaj preferencjami" istnieje obok Zaakceptuj i Odrzuć
- Wycofanie zgody jest równie łatwe jak jej udzielenie
FlexyConsent: Zaprojektowany bez dark patterns
FlexyConsent został zbudowany z domyślną zgodnością z przepisami. Równe przyciski, brak wstępnie zaznaczonych pól, brak murów cookie, prosty język w ponad 43 językach i automatyczne respektowanie poprzednich wyborów. Jako Google Certified CMP zarejestrowany w IAB Europe, FlexyConsent stosuje najsurowszą interpretację wytycznych EDPB — dzięki czemu nigdy nie musisz martwić się o egzekwowanie przepisów dotyczących dark patterns.