FTC发出官方报告：警示企业持续审视暗黑模式

FTC在2022年9月15日发布了“将暗黑模式带入阳光下”的官方报告，是在4月的同名研讨会基础上总结并发布的报告，提供常见的暗黑模式，提示用户识别暗黑模式，并警示企业据此设计、优化其交互设计，FTC将持续审视暗黑模式，保护用户权益。笔者将编译FTC的官方报告，期望在EDPB《关于社交媒体平台界面的黑模式的准则3/2022》基础上提供了更多国家监管的视角，帮助企业识别与规避暗黑模式
1、背景
暗黑模式用以描述欺诈、诱导或操纵用户做出违背其意愿以及造成损害的设计实践。实验表明采取暗黑模式可能会增加同意率达到翻倍的效果。而且使用多种暗黑模式，可能会导致更强烈的效果。研讨会与会专家提到在数字世界使用暗黑模式，对用户造成的风险会更高。互联网服务可以大量地收集用户的身份信息、行为数据，进而可以基于用户的兴趣定向推送广告。更进一步说，企业可以很容易地进行大规模的、更频繁的暗黑模式实验。
暗黑模式可以被大量的行业和场景所运用，包括电商、Cookie同意banner，儿童类移动应用、订阅销售等。所采用的媒介对于用户可能面临的暗黑模式有关系，有数据表明移动应用比网页更易普遍采用暗黑模式。同时，某些暗黑模式的设计技巧在小屏幕上更为有效。比如移动应用的屏幕比较小，比较容易隐藏重要信息，因为用户需要下滑好几屏才能看到重要信息。而且研究人员也发现目前在新型技术和设备，如AR和VR技术已经开始运用暗黑模式的设计方式。
暗黑模式给执法也带来了新的挑战，因为很多的暗黑模式是具有隐蔽性和欺骗性的，很多用户并没有意识到自己被操纵或欺骗了。研讨会与会专家进一步提出即使用户认识到他们被欺骗了，但是他们仍然不会报告，因为他们有被愚弄的尴尬。这也就是FTC举办研讨会邀请执法机构、学术研究、消费者权益倡导者来分享他们对暗黑模式的知识，如何识别与避免暗黑模式的原因。在本报告中，FTC将进一步在暗黑模式上打上一束光，明确提示部分暗黑模式以及对用户所造成的伤害，同时给产业界明确的风向标——FTC将持续审视暗黑模式。
2、常见的暗黑模式
在本部分，FTC通过其近期的执法案例以及研讨会与会专家提供的洞察，以阐述常见的暗黑模式，并阐述其对用户所造成的伤害，并给企业提供相应的建议。
1. 导致错误理解的设计元素
某些暗黑模式会导致用户的错误理解，比如运用暗黑模式促成用户购买实质上用户并不愿意购买，比如：
将广告伪装成独立的评论；
看似中立的价格排序，实则是基于付费的排序；
促使用户购买的倒计时，实则没有任何时间限制；
声称即将售罄，实则库存充足；
声称其他用户正在挑选或最近购买了相同的物品，实则并非事实。
案例一：Effen Ads 伪装成新闻的欺骗性广告
在FTC关于欺骗性广告的执行政策声明中所指出的，如果广告或推广信息误导用户相信该信息为独立的、公正的、不是来自于付费推广的，则构成欺骗性广告或推广。
Effen Ads给用户发的邮件，如下图所示，伪装成来自CNN或Fox的新闻，当用户点击后会更多的虚假新闻，最后会被引导到Effen Ads网站上的推广远程工作的机会，如果用户预付费97美元而且每天在家远程工作一天，则可以获得数百元的报酬。事实上，邮件中推送的新闻是伪造的，预付费也不会必然带来真实的工作机会。

案例二：LendEDU虚假排行榜
比价网站会使用暗黑模式来误导用户进行了全网公正的对比。比价网站会采用排行榜、用户评论以及第三方推荐，这些应当被认为是客观公正的，然而那些看似公正的排行榜是运用了暗黑模式欺骗用户，操纵用户的选择。如下图所示，LendEDU设置了公司的排行榜，给了用户印象是LendEDU已经评估过排行榜上的公司并推荐了最佳的给用户。事实上，LendEDU提高公司的排名位置仅仅依据该公司支付了多少费用给LendEDU。而且LendEDU虚假宣传他们的排行榜是客观、城市、准确和中立的。LendEDU的员工深知排行榜对用户的效果，进而引诱公司支付更多费用以获得更好的排行榜位置。

FTC的建议
企业应当对设计模式所表达的信息负责任，因此公司应该全面的考虑设计模式对用户关于交易实质条件的影响，而不仅仅从销售量、点击率或者其他基于利润的指标。当企业意识到特定的设计模式可能因误导用户而操纵用户的，则应当立即修复该问题。
2. 导致隐藏或延误实质信息展示的设计元素
某些暗黑模式通过隐藏或模糊实质信息，比如在服务条款中隐藏产品或服务的限制条件，使用户不能在购买前看到这些实质信息。类似的，某系暗黑模式欺骗用户支付隐性消费。
案例一：LendingClub隐藏固定费用
LendingClub公司使用突出的视觉设计误导贷款申请人可能会收到固定贷款金额并且没有隐藏费用，但事实上公司在发放的贷款里扣除了几百元甚至上千元的隐藏费用。FTC指出了LendingClub采用的暗黑模式，LendingClub使用了“？”提示符，将隐藏费用写入当用户点了提示符后才能看到的信息里。很多用户举报当贷款发放时发现发放金额低于预期金额时才发现了隐性消费。

在移动设备上，该费用就更加隐蔽了，需要用户下滑四次才可以看到相关费用的描述。

案例二：水滴定价骗局
隐性消费的另一个变种是“水滴定价（drip pricing）”，即公司使用部分价格引诱用户，但是并不提到强制付费价格，直至购买流程中用户才发现了强制费用。水滴定价在比价过程中对用户有很大的影响，要么隐藏强制费用或不展示强制费用直至用户已经花了很多时间和其他投入选择了该产品或服务时。用户表示当他们到了支付阶段，会非常的沮丧，因为在刚开始购买时并不知道最终要支付多少费用。有研究成果显示使用水滴定价相比提前展示强制费用的网站，用户最终将支付超过20%的费用，但是提升了14%的成单概率。
水滴定价也会涉及信用产品。公司必须保证不会因为种族、国家、血统或其他受保护的因素而区分对待。进一步来说公司也应当考虑到其产品的受众，比如儿童、老年人或者其他语种人群，确保设计模式可以被受众人群所理解。比如针对老年人的产品，不可以将重要信息放置于边缘或者使用很浅的颜色。同时也应当考虑弱颜色对比，比如在黄色背景上用白色字体。上述设计模式可能还会违反FTC ACT或者COPPA。
3. 导致未经授权付费的设计元素
某些暗黑模式可能诱导用户购买他们本不想购买的产品或服务，无论该付费是单次的还是多次的。该模式会浪费用户的时间和金钱，同时会损害用户对市场的信任，最终其他诚实经营的企业都会受到伤害。
案例一：亚马逊应用商店上儿童应用扣费
FTC对儿童类应用的应用内购买采取执法行动，针对亚马逊、苹果和谷歌。比如亚马逊的应用商店，通常会推广自己的应用是免费的，然而在详细描述页就提到了应用内购买。当应用一旦被下载安装，儿童开始玩游戏后，就可能通过点击某些按钮，从而可能发生0.99美元到99.99美元不等的费用，但是整个过程账号所有者没有任何的参与。儿童可能会被引导去购买那些虚拟货币，比如一船的甜甜圈、一罐头星星。事实上儿童并不理解这可能发生现实世界的付费。亚马逊在之后对超过20美元的应用内付费增加了密码验证，但是该密码验证未告知不仅仅授权了本次的付费，还包括60分钟内的无限制消费。最终亚马逊因此被强制要求作出了7000万美元的退款。
案例二：免费试用期后的陷阱
另一种会导致未经授权付费的暗黑模式是提供了一段时间的免费使用期，但是用户不知道的是如果没有主动取消将会收取重复的订阅费用。研讨会与会专家提出了一项实验，受控组的用户被告知有一个月的免费使用期，其后如不取消则会被收费。隐藏信息组的用户被告知他们将有一个月的免费使用期，适用相关的规则和条款。隐藏信息组中关于收费的信息以很小的灰色字体显示在页面底部。该暗黑模式有很明显的作用，隐藏信息组的付费订阅数量是受控组的两倍以上。
FTC观察到此类暗黑模式的快速增长后，在2007年举办了研讨会以分析通过消极选项功能的方式推广产品或服务，并在2019年发布了员工报告确立了指导企业提供消极选项的原则。在FTC基于FTC Act和Negative Option Rule调查和处罚了多起类似案件后，议会在2010年发布了恢复在线市场信心法案（Restore Online Shoppers’ Confidence Act）。该法案明确禁止了通过在线消极选项功能去推广商品和服务，除非满足如下条件：（1）在获得用户的账单信息前明确清晰地披露关于交易的实质条款；（2）在用户账户付款前获得用户充分知情下的同意；（3）提供简单的机制给用户取消订阅。至此，FTC使用该法案作为补充工具去制止此类暗黑模式。
首个被该法案处罚的案例是Health Formulas, LLC，如下图所示明显地标注了“免费使用”，但是结束后如果用户不主动取消则自动会收费每月60-120美元，关于该描述则是埋藏在一堆小字的备注中。

案例三：ABCMmouse取消订阅之苦
相关的暗黑模式使用户很难取消订阅，从而导致持续的订阅费。ABCMouse案提供了一个暗黑模式如何导致用户难以取消订阅的典型案例。ABCMouse提供给用户30天的免费试用期或6个月、12个月的会员期，它承诺“易于取消”，但是很多用户在重复使用过电话、邮件、通过客服支持表格联系该公司均无法取消订阅。用户投诉道，该公司通过暗黑模式来阻止用户取消，包括将取消设置放在页面很难找到的位置，设置冗长的、让人迷惑的取消流程。如下图所示，这是取消页的第一屏，丝毫没有让用户理解到已经是取消订阅的正确页面。

如下图所示，这是另一个取消过程中的页面，提供给用户另一个特殊的升级方案，只有点击“继续”才能进入到取消流程。即使历经迷惑的选项，进入了下一个页面，将看到另一个推广其他产品的页面。

FTC诉称仅当通过6-9个页面才能取消用户的会员订阅，而且没有任何的跳过页面的可能性。更可恶的是，每个页面都提供了各种各样的链接和选项，一旦选错，就跳出了取消流程。研讨会与会专家形容这个是“陷入泥潭”，让用户感到疲惫和最终放弃。
FTC的建议
关于如何在收费前获得用户充分知情的同意，应当基于场景，但是最低限度上企业应当按照法律规定获得的同意应当是用户作出肯定的、不含糊的行动。企业不能隐藏购买的关键条款到通用的条款文件或者隐藏到链接、弹窗或下拉选项中。一揽子接受通用条款，而通用条款中包含了不相关的条款，将不会构成肯定的、不含糊的同意。同样的，运用暗黑模式操纵用户，损害用户的自主权或决策权，也不能构成充分知情的同意。而且该同意应当是账号所有者的同意，该要求是针对提供给儿童的应用，因为儿童使用的应用的账号所有者可能是家长或其他人，也可适用于多人共享应用或设备的场景。
关于取消，正如FTC在消极选项推广的执法政策声明和《恢复在线市场信心法案》中所要求的，应当提供给用户简单的退出机制。意味着取消机制至少应当和购买或注册服务时一样容易，即可以通过注册或购买时同样的机制进行取消。这也同样要求企业不能提供给用户新的方案或类似的行为去不合理地阻碍用户取消流程。如果提供电话取消，那么在工作时间内应当快速响应。取消电话不能过长或造成其他负担超过注册服务或购买商品时所付出的。
4. 混淆或颠覆隐私选择的设计元素
某些暗黑模式让用户无法理解所作出的隐私选择，从而使用户偏离了本来的隐私倾向。研讨会与会专家提到这类暗黑模式通常会提供所谓的选择，实则这些选择是虚幻的或者持续“唠叨”用户增加数据分享。具体来说，包括如下形式：
不允许用户明确地拒绝数据收集和使用；
重复骚扰用户选择他们想避免的选项；
使用令人困惑的按钮使用户选择不想选择的选项；
故意模糊用户的隐私选项并使他们很难再次找到该选项；
高亮导致更多数据收集的选项，淡化限制收集的选项；
默认设置反而是最大化数据收集和使用的。
与会专家提供了一些例子，比如关于Cookie同意banner的设置，通常会将同意企业设置Cookie的选项前置并且高亮，淡化禁止或修改Cookie设置的选项。比如现在企业默认收集手机号码，手机号码已经成为了新的身份证号，因为用户不经常修改手机号码。其实手机号码对于在线服务来说不是必要的，但是企业会促使用户提供手机号码，因为提供了另一种方法去识别用户。另一个例子是谷歌Android手机会默认打开地理位置收集选项。地理位置是极其有价值的，而且会揭示很多敏感信息，包括用户住在哪里、在哪里工作，甚至是性取向、政治倾向等。
案例一：Kochava销售地理位置数据
FTC起诉数据供应商Kochava销售用户的地理位置数据。Kochava销售了来自数百万移动设备的地理位置数据，这些数据可以追踪用户的行踪轨迹，甚至揭露了部分敏感的场所，包括生殖健康诊所、宗教场所、家庭暴力庇护所等。
案例二：FTC关于网络服务商隐私实践报告
FTC关于网络服务商隐私实践的官方报告指出了暗黑模式的样式：
（1）部分网络服务商将他们希望的选项改为高亮并淡化网络服务商不希望用户选择的其他选项。比如“同意”选项是加粗的蓝色背景，而“拒绝”选项是低调的灰色，近似于不激活的选项。员工报告解释道这种设计模式让用户感觉他们没有选择只能选择同意，或者导致用户因为没有意识到他们可以选择拒绝，因为灰色感觉是不可选的，从而选择了同意。
（2）报告指出设计交互并不允许用户拒绝数据收集，即使在用户选择了企业所不希望的选项也会持续诱导用户。比如用户看到的交互是两个选项：第一个是同意收集地理位置；第二个是以后提醒我，意味着企业会持续不断的促使用户去选择同意收集，显然就没有给用户拒绝的选项。
（3）用户的隐私选择是被隐藏的，需要用户通过多个页面或子页面的切换去寻找和修改他们的隐私选项。
（4）令人困惑的隐私设置会导致用户违背意愿作出选择。比如“禁止销售我的个人信息（Do Not Sell My Information）”的选项为“off”，就构成了双重否定，在用户希望禁止销售个人信息时无法确定时选择“on”还是“off”。
案例三：Vizio模糊化隐私设置
FTC起诉智能电视制造商Vizio，Vizio默认开启“智能交互”功能，即主动推荐节目，事实上是允许企业可以大范围地收集和分享用户的观看行为给第三方。Vizio提供了下图所示的通知，在一分钟后就会关闭，而且没有在通知内提供任何可直接到达设置或隐私政策的链接。FTC指出Vizio通过模糊化设置的名称，有效地组织了用户可以对数据分享作出充分知情的同意。

FTC的建议
企业应当首先期望成为用户的个人信息的管家。数据最小化应当被纳入到商业规划中，因为这不仅仅是保护用户的个人信息，而且是保护企业不会承受更多的数据泄露风险。企业应当仅收集提供服务所必需的和用户所要求的个人信息。
除此之外，企业应当避免颠覆用户的隐私选择。首先，企业应当避免使默认设置导致超出用户期望的数据收集、使用或分享给第三方。其次，企业应当使用户易于访问和理解隐私选择。用户不应该在浏览了很多页面后才能找到隐私设置或从冗长的隐私政策、用户协议中检索设置方式，隐私设置应当在用户每次作出关于其个人信息的决策时提供符合当时场景的展示。任何选项不应该是有歧义的或令人困惑的，而且一个选项不应该比别的选项突出。再次，若涉及敏感个人信息，则应当明确告知用户后而获得同意，而非一揽子同意。总而言之，企业应该在评估其交互时从用户的角度考虑以及是否有其他方式使用户的选择会被更尊重和更好地实施。
案例四：Sunkey虚假销售推广
FTC起诉Sunkey Publishing使用域名为army.com或armyenlist.com的网站，且设计成官方募兵的样式诱导用户提供其个人信息。Sunkey错误地承诺其使用个人信息仅仅为了军队招募目的，不会分享给第三方，事实上，该公司将个人信息作为销售线索卖给了大专院校，每条线索15美元至40美元。用户随后会接到电话营销，让用户错误地认为这些学校真的有官方背书。
销售线索生产者（Lead Generator）应当对他们是谁和为什么要收集用户个人信息保持诚实。如果该企业代表了一个广告主或一个目的而收集个人信息，则不能未经用户同意将个人信息分享给其他的买方或其他的目的。欺骗性的销售线索生产者可能会操纵用户分享更多的个人信息，构成了违反FTC Act。如果分享的个人信息是敏感个人信息，企业更应当采取措施理解这些个人信息是怎么被使用的。对于使用其他方的信息生产销售线索的也应当观察这些第三方是怎么代表他们收集个人信息的且不会构成欺诈。
3、结语

FTC的报告正如报告名所述，期望通过研讨会和官方报告，揭示具有隐蔽性的暗黑模式，将暗黑模式曝光在阳光下，让用户可以拿起法律武器保护自己。也同时给企业敲响警钟，FTC将持续审视暗黑模式。
笔者持续关注暗黑模式的技术发展与监管趋势，期冀将此概念引入国内，提供更完善的数据保护设计（data protection by design）理论。