Art. 25 Reg. (UE) 2022/2065 – Progettazione e organizzazione delle interfacce online

I dark pattern: definizione e impatto sugli utenti

Il termine «dark pattern» (o «interfaccia ingannevole») designa qualsiasi scelta di design dell'interfaccia utente che guida, spinge o costringe l'utente verso azioni che non avrebbe compiuto spontaneamente, o che gli impedisce di compiere facilmente azioni che vorrebbe fare. Il fenomeno è stato ampiamente documentato dalla ricerca accademica e dalle autorità di tutela dei consumatori negli ultimi anni: abbonamenti che si rinnovano automaticamente con procedure di cancellazione laboriose, consensi «preselezionati» per la condivisione dei dati, pulsanti di rifiuto nascosti o visivamente poco rilevanti, finestre pop-up che ricompaiono ogni volta che l'utente cerca di rifiutare i cookie.

L'articolo 25 del DSA introduce nel diritto europeo un divieto esplicito e orizzontale dei dark pattern nelle interfacce delle piattaforme online. La scelta del termine «piattaforme online» - definite all'art. 3, lett. i) del DSA come servizi di hosting che memorizzano e diffondono al pubblico informazioni fornite dagli utenti - circoscrive il campo di applicazione rispetto agli altri servizi intermediari (mere conduit, caching). In pratica, però, i soggetti più esposti sono esattamente quelli che progettano le interfacce più sofisticate: marketplace, social network, app store, piattaforme di condivisione di contenuti.

Il contenuto del divieto: inganno, manipolazione e distorsione

L'articolo 25, paragrafo 1, utilizza tre verbi distinti: «ingannare», «manipolare» e «materialmente falsare o compromettere altrimenti». Questa formulazione ampia è intenzionale: il legislatore ha voluto evitare che i prestatori potessero sfuggire al divieto sostenendo che le proprie tecniche di design, pur influenzando il comportamento degli utenti, non integrano propriamente un «inganno» nel senso civilistico del termine.

Il criterio fondamentale è la capacità dell'utente di prendere decisioni libere e informate. Non è necessario che il dark pattern causi un danno economico concreto: è sufficiente che comprometta il processo decisionale dell'utente. Questo standard è più ampio di quello della direttiva sulle pratiche commerciali sleali (2005/29/CE), che richiede che la pratica «falsi in misura rilevante il comportamento economico del consumatore medio».

Il rapporto con la direttiva 2005/29/CE e con il GDPR

Il paragrafo 2 dell'articolo 25 chiarisce che il divieto non si applica alle pratiche già contemplate dalla direttiva 2005/29/CE o dal GDPR. Si tratta di una clausola di delimitazione, non di esenzione: significa che il DSA non vuole creare sovrapposizioni regolatorie per le stesse condotte, ma che le pratiche già disciplinate da quelle norme continuano a essere regolate da esse. In concreto, un dark pattern che induce l'utente a sottoscrivere un abbonamento a pagamento senza che ne sia chiaramente informato è già sanzionabile come pratica commerciale sleale ai sensi della direttiva 2005/29/CE; l'art. 25 DSA si occupa di quelle pratiche che incidono sulla libertà decisionale senza necessariamente integrare un illecito commerciale tradizionale.

Con il GDPR il coordinamento è particolarmente rilevante per i meccanismi di consenso: se un banner cookie usa un dark pattern (pulsante «Accetta tutti» grande e colorato, pulsante «Gestisci preferenze» piccolo e grigio), la condotta è già sanzionabile sotto il GDPR come consenso non libero ai sensi dell'art. 7 del regolamento. Il Comitato europeo per la protezione dei dati (EDPB) ha già emanato linee guida sui dark pattern nel contesto del consenso al trattamento dei dati.

Le pratiche esemplificative del paragrafo 3

Il paragrafo 3 elenca tre pratiche su cui la Commissione può emanare orientamenti specifici; si tratta di casi paradigmatici, non di un elenco tassativo:

a) Rilevanza visiva artificiosamente attribuita a certe scelte. Il classico esempio è il pattern «confirmshaming»: quando si chiede all'utente se vuole ricevere newsletter pubblicitarie, il pulsante «Sì, voglio restare aggiornato!» è grande, colorato e prominente, mentre il pulsante «No, non mi interessa» è piccolo, grigio o formulato in modo da indurre senso di colpa. L'utente non viene ingannato nel senso stretto del termine, ma la sua scelta è pilotata dall'asimmetria visiva.

b) Pop-up ripetuti dopo che l'utente ha già espresso la propria scelta. Se un utente ha già cliccato «Non ora» o «Ricordamelo dopo» in risposta a una richiesta della piattaforma (di aggiornare il profilo, di attivare le notifiche, di iscriversi a un piano premium), ricevere lo stesso pop-up ogni volta che si connette integra una forma di «nagging» (molestia digitale) che il DSA vuole sanzionare. L'utente ha già esercitato la propria libertà di scelta; insistere lede quella libertà.

c) Procedure di cancellazione più difficili di quelle di iscrizione. Il cosiddetto «roach motel» pattern: è facilissimo iscriversi a un servizio (pochi click, interfaccia fluida), ma cancellarlo richiede di navigare menu oscuri, inviare email a indirizzi difficilmente reperibili, aspettare periodi di preavviso eccessivi, o superare flussi di «retention» con offerte e domande ripetute. Questo pattern è già vietato in alcuni ordinamenti nazionali (per esempio nel diritto tedesco dei contratti di consumo), ma l'art. 25 DSA lo disciplina a livello europeo per tutte le piattaforme online.

Applicazione pratica e responsabilità

Per i team di product design e UX delle piattaforme, l'art. 25 DSA richiede una revisione sistematica dei flussi utente. I coordinatori dei servizi digitali nazionali hanno il potere di avviare procedimenti di vigilanza e ordinare la rimozione o la modifica delle interfacce non conformi. In caso di violazione, si applicano le sanzioni generali del DSA. Il fatto che la norma sia formulata con standard aperti («inganno», «manipolazione», «distorsione della capacità decisionale») richiede alle piattaforme di adottare un approccio proattivo di compliance by design, documentando le ragioni delle scelte di interface design più sensibili.

Le VLOP e le VLOSE: obblighi aggiuntivi

Le piattaforme di dimensioni molto grandi e i motori di ricerca di dimensioni molto grandi non solo sono soggetti al divieto di dark pattern ex art. 25, ma devono anche valutare e attenuare i rischi sistemici che le loro interfacce possono generare, ai sensi degli articoli 34 e 35 del DSA. Questo significa che una VLOP non può limitarsi a evitare i dark pattern esplicitamente vietati: deve analizzare proattivamente come le proprie scelte di design influenzano il comportamento degli utenti a livello aggregato, in particolare per quanto riguarda la polarizzazione, la dipendenza da piattaforma e i rischi per la salute mentale degli utenti vulnerabili.