Dark pattern nei banner dei cookie nel mirino delle autorità

I dark pattern nei banner dei cookie sono scelte di design che spingono i visitatori ad accettare i cookie: nascondere l’opzione di rifiuto, preselezionare le caselle, affiancare un pulsante “Accetta” ben visibile a un link “Impostazioni” sbiadito, oppure considerare lo scorrimento della pagina come un’accettazione. Le autorità UE considerano non valido il consenso ottenuto in questo modo, perché il Regolamento generale sulla protezione dei dati (GDPR) richiede che il consenso sia libero, specifico, informato e inequivocabile, e che sia facile revocarlo quanto prestarlo.

Perché alle autorità interessa il design del banner?

Perché la validità del consenso dipende da come lo hai raccolto. L’articolo 4, punto 11, del GDPR definisce il consenso come una manifestazione di volontà libera, specifica, informata e inequivocabile, espressa con un’azione positiva chiara. L’articolo 7 aggiunge che devi essere in grado di dimostrare il consenso e che revocarlo deve essere facile quanto prestarlo.

Un banner che spinge le persone a fare clic su “Accetta” non rispetta queste condizioni. In quel caso, ogni cookie non essenziale installato successivamente è stato installato senza un consenso valido, violando le regole ePrivacy, e il trattamento basato su quei dati è privo di una base giuridica. Le violazioni gravi del GDPR possono comportare sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, se superiore.

L’esempio più noto sono le decisioni della CNIL del dicembre 2021 contro Google (150 milioni di euro) e Facebook (60 milioni di euro). L’autorità francese ha rilevato che sui loro siti rifiutare i cookie era più difficile che accettarli. Per altri casi e per le lezioni che se ne possono trarre, leggi cosa insegnano ai gestori di siti web le sanzioni sui cookie.

Quali dark pattern colpiscono più spesso le autorità?

Gli schemi che attirano più attenzione rendono il rifiuto più difficile, meno visibile o meno chiaro dell’accettazione. Questa tabella riassume i principali e come correggerli.

Dark pattern	Come si presenta	Perché non è conforme	Soluzione
Nessun rifiuto nel primo livello	Solo “Accetta tutto” e “Gestisci impostazioni”	Rifiutare richiede più sforzo che accettare	Metti “Rifiuta tutto” accanto ad “Accetta tutto”
Caselle preselezionate	Interruttori di analisi e marketing già attivi	Non è un’azione positiva chiara	Imposta su disattivato ogni interruttore non essenziale
Asimmetria visiva	Pulsante “accetta” colorato e in evidenza, link testuale grigio per rifiutare	Orienta la scelta tramite il design	Dai a entrambe le opzioni pari dimensioni, peso visivo e contrasto
Consenso implicito	“Continuando la navigazione accetti”	Navigare o scorrere non è un’azione positiva chiara	Non installare nulla di non essenziale finché non viene fatta una scelta reale
Cookie wall	Contenuti bloccati se il visitatore non accetta	In genere il consenso non è libero	Consenti l’accesso senza accettare i cookie non essenziali
Testi vaghi o fuorvianti	“Teniamo alla tua privacy” con un solo pulsante “OK”	Il consenso non è informato	Indica le finalità in un linguaggio semplice
Revoca nascosta	Nessun modo per riaprire le impostazioni dopo la scelta	Revocare deve essere facile quanto prestare il consenso	Aggiungi un link “Impostazioni cookie” sempre disponibile
Insistenza	Il banner ricompare dopo ogni rifiuto	Spinge le persone ad accettare	Ricorda i rifiuti per un periodo ragionevole

La regola sulle caselle preselezionate deriva dalla sentenza Planet49 della CGUE (C-673/17, 2019), secondo cui una casella preselezionata che l’utente deve deselezionare per rifiutare non produce un consenso valido. Le linee guida dell’EDPB sul consenso aggiungono che scorrere o sfogliare una pagina non costituisce consenso e che subordinare l’accesso ai contenuti all’accettazione dei cookie significa, in genere, che il consenso non è libero.

Un pulsante “Rifiuta tutto” è obbligatorio per legge?

Il GDPR non parla di pulsanti, ma le autorità richiedono che rifiutare sia facile quanto accettare, e il modo più semplice per rispettare questo standard è un’opzione di rifiuto nel primo livello. Un banner con accettazione in un clic e rifiuto in più passaggi è lo schema che con più probabilità attira provvedimenti.

Il pulsante non deve dire “Rifiuta tutto” parola per parola. “Rifiuta”, “Rifiuta i non essenziali” o “Continua senza accettare” possono funzionare se l’opzione è ben visibile, si trova allo stesso livello del pulsante per accettare e porta effettivamente a non installare alcun cookie non essenziale. Un minuscolo link “continua senza accettare” a basso contrasto in un angolo difficilmente supererà l’esame.

E il pulsante di chiusura e il livello delle impostazioni?

Un pulsante di chiusura, spesso una “X”, non deve mai essere considerato un’accettazione. Se lo offri, tratta la chiusura del banner come un rifiuto, o almeno come assenza di decisione, e non installare nulla di non essenziale.

Il secondo livello merita la stessa attenzione. Fai attenzione a questi schemi più sottili:

• Interruttori etichettati “legittimo interesse” attivi per impostazione predefinita e che richiedono un’opposizione separata.
• Un pulsante “Accetta tutto” in evidenza nel pannello delle impostazioni, mentre “Salva le scelte” si trova sotto un lungo elenco di fornitori.
• Descrizioni delle categorie che minimizzano il tracciamento, per esempio chiamando “cookie di prestazione” i cookie pubblicitari.
• Finestre di conferma che chiedono “Sei sicuro?” solo quando qualcuno rifiuta.

Come verifico se il mio banner contiene dark pattern?

Testa il banner come farebbe un visitatore scettico, sia da desktop sia da mobile, poi segui questa checklist:

1. “Accetta” e “rifiuta” si trovano entrambi nel primo livello e richiedono lo stesso numero di clic.
2. Entrambe le opzioni hanno dimensioni, peso cromatico e contrasto equivalenti.
3. Nessun interruttore non essenziale è attivo per impostazione predefinita.
4. Nessun cookie o tag non essenziale parte prima di una scelta, come verificato in una sessione pulita del browser.
5. Chiudere o ignorare il banner non vale come accettazione.
6. Le finalità sono descritte in un linguaggio specifico e semplice.
7. Un link sempre disponibile permette ai visitatori di modificare o revocare il consenso in qualsiasi momento.
8. I rifiuti vengono ricordati e la richiesta non viene riproposta subito.

Per le condizioni giuridiche complete alla base di questi controlli, leggi le condizioni per un consenso ai cookie valido secondo il GDPR. Per indicazioni di design in positivo, anziché un elenco di cose da evitare, leggi come progettare un banner dei cookie conforme e facile da usare.

Le regole sui dark pattern valgono anche fuori dall’UE?

Sì, in forme diverse. Nel Regno Unito l’ICO fa rispettare lo UK GDPR e le PECR con standard sul consenso strettamente allineati a quelli dell’UE, e ha esortato pubblicamente i siti web a rendere il rifiuto dei cookie facile quanto l’accettazione. Anche la LGPD brasiliana richiede che il consenso sia libero, informato e inequivocabile.

La California adotta un approccio opt-out, ma il CPRA stabilisce che l’accordo ottenuto tramite dark pattern non costituisce consenso, e i regolamenti della California Privacy Protection Agency richiedono simmetria nelle scelte. Un flusso di opt-out più difficile da completare rispetto all’alternativa solleva gli stessi problemi di un banner UE senza pulsante di rifiuto. Per i dettagli, leggi CCPA e CPRA: cosa comporta per i cookie la normativa statunitense sulla privacy.

In sintesi

Le autorità giudicano un banner dai suoi effetti: un visitatore può rifiutare con la stessa facilità con cui accetta, e il rifiuto blocca davvero il tracciamento? Elimina qualsiasi elemento di design che alteri questo equilibrio, verifica che il comportamento tecnico corrisponda ai pulsanti e documenta cosa hai cambiato e perché. Strumenti come Cookiesh possono automatizzare la scansione dei cookie e conservare registri del consenso immutabili, che ti aiutano a dimostrare cosa hanno effettivamente scelto i visitatori.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.