Patrones oscuros en la privacidad: Engañando a los usuarios

Patrones oscuros en la privacidad: Engañando a los usuarios

¿Alguna vez has recibido un correo electrónico de una newsletter a la que no recuerdas haberte suscrito, comprobado que en el carrito de la compra el precio final del producto es muy superior al anunciado, o has acabado pagando una suscripción a un servicio tras olvidarte de cancelarlo después de un periodo de prueba gratuito? Si la respuesta es afirmativa, has sido testigo de lo que se llama un «Patrón Oscuro»

Los patrones oscuros, también conocidos como «patrones de diseño engañosos», constituyen interfaces, métodos o implementaciones de la experiencia de usuario que hacen que los usuarios tomen decisiones no intencionadas, involuntarias y potencialmente perjudiciales que no tomarían en otras circunstancias en relación con el sitio web, la aplicación o el servicio en cuestión.

Estos métodos, en algunas ocasiones, llevan a los sujetos a consecuencias inofensivas, pero en la mayoría de los casos pueden implicar la revelación de datos personales, la contratación de productos/servicios no deseados, el establecimiento de marcas o el suministro de información financiera. 

 

¿Pero cómo funciona?

La aplicación de patrones oscuros muestra el comportamiento poco ético de la empresa y la actitud irrespetuosa entre sus usuarios potenciales o reales, y que a largo plazo va en contra de los propios propósitos de la empresa o sitio web.

Utilizando técnicas psicológicas y de marketing, estos diseños engañosos pueden presentarse en varios pasos de las operaciones, como el proceso de registro, en la presentación de las condiciones precontractuales, a través de un anuncio publicitario, en los procesos de check-out, en la configuración de las opciones de privacidad y cookies, dentro de los pasos para eliminar la suscripción o en medio de la aceptación de políticas.

Tipos de patrones oscuros:

Será más fácil para el lector identificar estos trucos si se le presentan las categorías de los diferentes usos de los diseños engañosos. Basándonos en las Directrices de la EDPB sobre este tema específico y en otras fuentes como las clasificaciones de la organización de diseños engañosos, podríamos distinguir entre:

• Sobrecarga: los usuarios se enfrentan a una avalancha/gran cantidad de solicitudes, información, opciones o posibilidades con el fin de incitarles a compartir más datos o permitir involuntariamente el tratamiento de datos personales en contra de las expectativas del interesado. Dentro de esta categoría también podemos encontrar las denominadas «Incitación continua», «Laberinto de privacidad» y «Demasiadas opciones».
• Omisión: el diseño de la interfaz o la experiencia del usuario se alinea de manera que los usuarios olvidan o no piensan en todos o algunos de los aspectos de la protección de datos
• Agitar: afecta a la elección que harían los usuarios apelando a sus emociones o utilizando empujones visuales.
• Entorpecer: significa obstruir o bloquear a los usuarios en su proceso de informarse o gestionar sus datos haciendo que la acción sea difícil o imposible de realizar.
• Inconstante: el diseño de la interfaz es incoherente y poco claro, lo que dificulta al usuario la navegación por las diferentes herramientas de control de la protección de datos y la comprensión de la finalidad del tratamiento.
• En la oscuridad: el diseño de la interfaz oculta la información o las herramientas de control de la protección de datos, o deja a los usuarios sin saber cómo se tratan sus datos y qué tipo de control pueden tener sobre ellos en relación con el ejercicio de sus derechos.
• Confirmar la vergüenza: El acto de culpar al usuario para que opte por algo. La opción de rechazar está redactada de tal manera que avergüenza al usuario para que cumpla.
• Continuidad forzada: Cuando la prueba gratuita de un servicio llega a su fin y se empieza a cargar en la tarjeta de crédito de forma silenciosa y sin previo aviso. En algunos casos, esto se agrava al dificultar la cancelación de la suscripción.
• Costes ocultos: Llegas al último paso del proceso de compra y descubres que han aparecido cargos inesperados, por ejemplo, gastos de envío, impuestos, etc.

 

¿Qué podemos hacer contra los patrones oscuros?

Aunque, hasta cierto punto, estas técnicas son comúnmente conocidas, debemos fijar algunas líneas rojas, especialmente cuando se trata de explotar los datos de los usuarios y los asuntos monetarios. Algo que debemos tener en cuenta sobre los patrones oscuros es que no es lo mismo un mal diseño que un diseño para el mal, y este tipo de comportamientos deben ser rechazados por los consumidores -reflejados en las malas críticas- y castigados por las autoridades cuando se cruzan las líneas rojas. 

La Agencia Española de Protección de Datos (AEPD) se ocupa de los patrones oscuros en su Guía de Protección de Datos por defecto , concretamente en los apartados VI y VIII. En aplicación del principio de equidad establecido en el artículo 5.1.a), los responsables del tratamiento deben garantizar que no se utilicen patrones oscuros, al menos en relación con las decisiones relativas al tratamiento de sus datos personales. 

Asimismo, tomando como punto de partida el mismo artículo 5.1.a), el Consejo Europeo de Protección de Datos (CEPD) adoptó para consulta pública sus «Directrices sobre patrones oscuros en las interfaces de plataformas de medios sociales: Cómo reconocerlos y evitarlos», en las que se ofrecen una serie de ejemplos, así como recomendaciones de buenas prácticas para evitar los patrones oscuros.

En cualquier caso, el principio de protección de datos por diseño y por defecto debe aplicarse desde el momento de la concepción de las interfaces y experiencias de usuario, antes de su lanzamiento, para garantizar los derechos y libertades fundamentales de las personas, así como el cumplimiento de la normativa.

Las directrices contienen una lista de comprobación en el anexo. Esta lista de comprobación incluye ejemplos de cada una de las categorías, así como los artículos del RGPD que son relevantes y pueden ser violados en cada categoría. Cuando se produzcan estas infracciones, las autoridades de protección de datos podrán sancionar el uso de patrones oscuros.