Você sabe o que são Padrões Obscuros em Proteção de Dados?

05.05.2023 – Em tempos de fake news, o tema padrões obscuros acaba ganhando bastante relevância. O termo padrões obscuros, em inglês dark patterns, era puramente acadêmico, mas ultimamente tem sido cada vez mais visto nas normas a respeito de proteção de dados, por diversas partes do mundo.

Na verdade, esse termo nasceu a partir de 2010, pelo designer inglês de UX Harry Brignull, que criou inclusive um website (www.darkpatterns.org), mas que ao entrar, você verá escrito a expressão deceptive.design na barra de endereço de URLs do navegador de internet, que ele também atribui como sinônimo de dark, passando a chamar de dark pattern ou deceptive pattern.

Os padrões obscuros são designs de interface para usuários que tentam enganar, coagir ou pressionar os usuários a realizar determinadas ações, como, por exemplo, efetuar uma compra ou ser obrigado a fornecer um consentimento. Para tanto, as estratégias utilizadas no design podem conter supostos benefícios desiguais nas escolhas disponíveis, ou, ainda, afirmações falsas, enganosas ou ocultas, induzindo escolhas inadequadas ou comportamentos contrários à lei de proteção de dados pessoais.

E os padrões obscuros são muito mais comuns do que se pensa e muitas das vezes, praticados por empresas de grande porte, nacionais ou multinacionais, que, por exemplo, em seu website, utilizam-se de um pop-up de consentimento com um botão disponibilizado para o usuário clicar, onde se lê: “Aceitar todos os cookies”. Tal prerrogativa se dá sem opção ao usuário de rejeitar ou mesmo poder escolher os cookies aceitáveis.

Outro exemplo frequentemente encontrado em websites de jornais e revistas online, são materiais publicitários pagos em que publicidade enganosa impulsiona vendas de um determinado produto que ao ser recebido, se constata que ele não possui as mirabolantes características informadas no artigo publicitário.

O site de Harry Brignull lista diversos tipos de padrões obscuros, que são transcritos abaixo:

Tipo	Descrição
Prevenção de comparação	O usuário se esforça para comparar produtos porque os recursos e preços são combinados de maneira complexa ou porque as informações essenciais são difíceis de encontrar.
Confirmshaming	O usuário é emocionalmente manipulado ou constrangido a fazer algo que de outra forma não faria.
Anúncios disfarçados	O usuário erroneamente acredita que está clicando em um elemento da interface ou conteúdo nativo, mas na verdade é um anúncio disfarçado.
Escassez falsa	O usuário é pressionado a concluir uma ação porque recebe uma indicação falsa de oferta ou popularidade limitada.
Prova social falsa	O usuário é levado a acreditar que um produto é mais popular ou confiável do que realmente é, porque foram exibidos comentários falsos, depoimentos ou mensagens de atividade.
Urgência falsa	O usuário é pressionado a concluir uma ação porque é apresentado a um falso limite de tempo.
Ação forçada	O usuário quer fazer algo, mas é obrigado a fazer algo indesejável em troca.
Difículdade de cancelamento	O usuário tem facilidade para se cadastrar ou se inscrever, mas quando quer cancelar tem muita dificuldade.
Despesas ocultas	O usuário é seduzido com um baixo preço anunciado. Depois de investir tempo e esforço, ele descobre taxas e cobranças inesperadas quando chega o momento de efetuar o pagamento.
Assinatura oculta	O usuário está inadvertidamente inscrito em uma assinatura recorrente ou plano de pagamento sem divulgação clara ou seu consentimento explícito.
Irritação	O usuário tenta fazer algo, mas é persistentemente interrompido por solicitações para fazer outra coisa que pode não ser do seu interesse.
Obstrução	O usuário se depara com barreiras ou obstáculos, dificultando a conclusão de sua tarefa ou o acesso às informações.
Pré-seleção	O usuário recebe uma opção padrão que já foi selecionada para ele, a fim de influenciar sua tomada de decisão.
Informações ocultadas	O usuário é atraído para uma transação sob falsos pretextos, porque informações pertinentes são ocultadas ou atrasadas para serem apresentadas a eles.
Linguagem enganosa	O usuário é induzido a tomar uma ação, devido à apresentação de linguagem confusa ou enganosa.
Interferência visual	O usuário espera ver as informações apresentadas de forma clara e previsível na página, mas elas estão ocultas, obscurecidas ou disfarçadas.

A questão é vista com tanta preocupação e seriedade pelas autoridades responsáveis especialmente por direito do consumidor e de proteção de dados pessoais, que até o Comitê Europeu para a Proteção de Dados (European Data Protection Board – EDPB) lançou em março de 2022 as Diretrizes sobre Padrões Obscuros em Interfaces de Plataformas de Mídia Social, em que é ensinado ao titular de dados como reconhecer e evitar padrões obscuros.

Tais diretrizes esclarecem que a Lei Europeia de Proteção de Dados Pessoais (GDPR) conta com o princípio de tratamento leal estabelecido no Artigo 5 (1) (a), que serve como ponto de partida para avaliar se um padrão de design, na verdade, constitui um “padrão de design obscuro”. Outros princípios que desempenham um papel na esta avaliação são os de transparência, minimização de dados e responsabilidade nos termos do Artigo 5 (1) (a), (c) e (2) GDPR, bem como, em alguns casos, limitação de propósito sob o Artigo 5 (1) (b). Ainda, em outro casos, a avaliação legal poderá também ser baseada em condições de consentimento nos Artigos 4 (11) e 7 GDPR ou outras obrigações específicas, como o Artigo 12 GDPR.

Não é a toa que em janeiro de 2022, o Facebook e o Google foram severamente punidos com vultosas multas no âmbito da União Europeia por usar padrões obscuros na criação de processos de consentimento de cookies confusos e de difícil entendimento.

Outros exemplos de definição e regulação de padrões obscuros podem ser encontrados nas leis norte-americanas, mais especialmente na Lei de Privacidade do Colorado (CPA), na Lei de Privacidade do Consumidor da California (CCPA) e na Lei de Direitos de Privacidade da California (CPRA).

Ainda que a CCPA não mencionasse explicitamente os padrões obscuros, o conceito surgiu durante o processo de regulamentação. Na Declaração Final de Motivos (um documento produzido para acompanhar os projetos de regulamentação), o Procurador-Geral da Califórnia afirmou que: “Iria contra a intenção da CCPA se os sites introduzissem escolhas que não fossem claras ou, pior, empregassem padrões obscuros enganosos para minar a direção pretendida do consumidor”. Já a CPRA define padrões obscuros como uma interface de usuário projetada ou manipulada com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário, conforme definido pela regulamentação. Finalmente, a CPA define padrões obscuros como uma interface de usuário projetada ou manipulada com o efeito substancial de subverter ou prejudicar a autonomia, tomada de decisão ou escolha do usuário, definição quase idêntica à da CPRA, sendo que a CPA entra em vigor apenas em 01.07.2023, ao passo que a CPRA entrou em vigor em 01.01.2023.

Dessa forma, são introduzidos 5 (cinco) princípios que devem ser observados pelas empresas:

1. Fácil entendimento – a facilidade de compreensão deve ser aplicada tanto à linguagem utilizada quanto ao próprio design.
2. Simetria na escolha – o exercício de uma opção de ‘mais privacidade’ não deve ser mais demorado ou mais difícil do que uma opção de ‘menos privacidade’.
3. Sem linguagem confusa ou elementos interativos coercitivos – Negações duplas são um exemplo claro de linguagem confusa, ou seja, colocar “Sim” ou “Não” ao lado da declaração “Não venda ou compartilhe minhas informações pessoais”.
4. Sem linguagem manipuladora ou arquitetura de escolha – por exemplo, ao oferecer um desconto ou outro incentivo financeiro em troca de consentimento, é considerado manipulação.
5. Fácil execução – Deve haver um gerenciador de consentimento integrado e totalmente funcional que possa facilitar os fluxos de exclusão sem adicionar atrito. Outros exemplos a serem evitados são links circulares ou inoperantes, e endereços de e-mails não funcionais.