Обманные практики с данными

Опыт США

В июле 2024 г. в 3-х_ штатах США вступили в силу поправки в законы о данных – в Техасе , Флориде и Колорадо . Указанные штаты закрепили понятие «темных практик» (dark pattern) – практик манипулирования пользовательским интерфейсом для нарушения автономии пользователя, т.е. способности свободно принимать решения или делать выбор в отношении использования данных. Например, согласие на операции с ПД, полученное обманным путем; практики, направленные на сбор информации от детей сверх того, что требуется для получения услуги, или предложение отказаться от защиты данных в игре или социальной сети.

Кроме того, установлено право Федеральной торговой комиссии определять перечни запрещенных практик, применение которых рассматривается как нарушение законодательства о ПД.

Опыт международных

организаций и ЕС

В июле 2024 г. опубликовано исследование FTC США совместно с ICPEN , GPEN , где изложены результаты проверки более 1000 сайтов и приложений на¹ предмет использования «темных практик» . Ранее похожие исследования проводились в²³ 2022 г. ОЭСР и ЕС. «Темные практики» используются в дизайне сайта для манипулирования мнением потребителей, например:

1. Заставляют предоставлять больше личной информации, чем необходимо для получения продуктов или услуг;

2. Заставляют соглашаться на использование менее защищенных методов обработки данных;

3. Препятствуют пользователю получить информацию о защите его данных.

Оценивались следующие практики:

1) сложный и запутанный язык – технические или чрезмерно длинные правила конфиденциальности, которые трудно понять. 89% изученных ресурсов содержали либо чрезмерно длинные политики конфиденциальности (более 3000 слов), либо технические и запутанные формулировки, затрудняющие чтение;

2) вмешательство в интерфейс – элементы дизайна, влияющие на восприятие и понимание пользователями их действий, связанных с ПД. Выявлено на 43% изученных ресурсах. Примеры практик:

− ложная иерархия визуальное выделение одних элементов интерфейса и сокрытие других, направляя пользователей к менее защищенным операциям по защите

ПД. Например, предлагается способ, который обеспечивает меньшую защиту данных, выделяется цветовым контрастом;

− выбор вариантов обработки данных «по умолчанию», обеспечивающих меньшую защиту данных;

− использование фраз, которые могут вызвать чувство вины у потребителя.

29% сайтов отговаривали пользователей удалять аккаунты через предупреждение, например, фразой «если Вы нажмете «Удалить учетную запись пользователя», Вы потеряете свои VIP-привилегии».

ЕС также выделила практику манипулирования эмоциями потребителей. Например, просьба назвать свое местоположение, чтобы якобы его смогли найти другие пользователи, и он не был одиноким, хотя на самом деле платформа собирает такие данные для собственных целей;

3) назойливость – неоднократные просьбы к пользователям предпринять определенные действия, которые могут снизить защиту данных, например, просьбы включить уведомления или предоставить возможность отслеживать геолокацию. Практика использовалась на 41% сайтов.

ЕС также выделяет практику «перегрузки» – пользователю направляется большое количество запросов, пользователь устает и соглашается на все предлагаемые опции с ПД и дает непреднамеренное согласие на действия, на которые не хотел бы ранее давать. Например, постоянное направление просьбы указать номер телефона или предоставить доступ к контактам, в результате чего пользователю проще согласиться предоставить информацию, чем постоянно отказываться;

4) создание препятствий, например, предоставление возможности регистрации учетной записи, но отсутствие инструментов удаления аккаунта или необходимость выполнения неудобных действий (заполнение длинной формы или отправка письменного запроса в организацию), чтобы удалить аккаунт; принуждение делать множество кликов, чтобы получить информацию об использовании их ПД. Практика использовалась на 39% ресурсов;

5) принудительное использование – требование предоставить больше данных для доступа к услуге, чем необходимо для ее получения. Например, создание учетной записи через использование сторонних социальных сетей, чтобы получить доступ к данным пользователя об использовании этой соцсети. Такие практики использовались на 26% ресурсов. ОЭСР выделяет практику требования информации, например, о контактах пользователей для дальнейшей рассылки спама контактам потребителя, в том числе якобы от имени потребителя.

Опыт России

В России не закреплено понятия «темных практик» или иных аналогов для обозначения практик злоупотреблениями при сборе данных. Однако введение пользователей в заблуждение относительно условий конфиденциальности их данных может быть основанием для принятия санкций. Например, по решению Московского города суда платформа LinkedIn была заблокирована в России в 2016 г. за нарушение требования локализации персональных данных. Суд установил, что LinkedIn собирала поведенческие данные с помощью cookie-файлов, но не соблюдала в отношении собранных данных требования локализации, а в пользовательском соглашении устанавливало условие о праве платформы передавать все собранные⁴ данные третьим лицам . В России предусмотрены нормы, предупреждающие введение пользователей в заблуждение в рамках законодательства о защите прав потребителей и в рамках законодательства о персональных данных.

Роскомнадзору целесообразно на основе общих нормативных положений и с учетом судебной практики разработать чеклист признаков «темных практик» на цифровых платформах и сформировать открытый банк примеров, выявляемых на русскоязычных платформах. Открытый банк примеров может пополняться из материалов, присылаемых пользователями, в целях информирования их о рисках и мотивации платформ корректировать свою политику сбора данных пользователей до разбирательств Роскомнадзором.

Материал из выпуска мониторинга №7, июль 2024. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара