意大利Ediscom暗黑模式Cookie横幅案（首例暗黑模式独立处罚）

【案件背景】
2023年2月23日，意大利数据保护局（Garante per la protezione dei dati personali）对数字营销公司Ediscom S.p.A.处以30万欧元罚款——这是欧盟范围内首个明确以「暗黑模式」（dark patterns）为由认定违反GDPR的独立处罚案例。Ediscom通过多个在线门户网站（提供新闻、抽奖、问答游戏等服务）收集数据，建立了涵盖2100万人的营销数据库，并通过短信、电子邮件及自动拨话等渠道向客户提供营销活动。Garante的调查揭示了该公司在获取用户同意时大量使用误导性和欺骗性界面设计。

【违法事实】
Garante认定Ediscom存在以下涉及「暗黑模式」的违规行为：
1. 持续性弹窗骚扰（纠缠型暗黑模式）：当用户在注册过程中未勾选同意接收营销信息或同意将数据分享给第三方作营销用途的复选框时，网站会持续弹窗提示未勾选，每次弹窗都包含一个突出的「同意」按钮，但「继续而不接受」选项被放置在弹窗之外——位于网页底部的小字体普通文本中，视觉效果极不突出。
2. 不对称界面设计（视觉干扰类暗黑模式）：「同意」按钮和「继续而不接受」选项在格式、字体大小、颜色和位置上存在刻意的不对称设计——「同意」按钮被设计得极其显眼，而拒绝选项被设计为极难找到，从而诱导用户点击同意按钮。
3. 同意记录不完善：尽管Ediscom声称使用「双重确认」（double opt-in）机制，但证据显示确认请求并未被持续发送给用户，导致部分用户的同意事实上无法被证明。Garante明确指出，虽然双重确认在意大利不是法定义务，但却是证明同意有效性的适当方法。
4. 「邀请朋友」功能的数据合规问题：Ediscom的部分门户网站提供邀请朋友功能，要求用户提供第三人的联系方式。Garante明确指出，介绍人无权代表第三人给出有效的同意，此类数据不能作为后续向第三人发送营销通信的法律依据。

【处罚决定】
1. 行政罚款30万欧元（相当于Ediscom年营业额的2%）；
2. Garante在裁决中援引了EDPB《关于社交媒体平台界面中欺骗性设计模式的03/2022号指南》，指出使用此类界面和图形元素构成以诱导个人作出同意为目的的暗黑模式，违反GDPR第5条（公平透明原则）、第4条和第7条（同意要件）以及第25条（隐私纳入设计原则）。

【典型意义】
本案是欧洲数据保护监管历史上的开创性案例——它首次将「暗黑模式」与GDPR违规建立了直接的因果关系链。关键启示包括：第一，界面设计本身就是同意机制的一部分——不对称的按钮尺寸/颜色/位置可以单独构成违法的暗黑模式，不取决于隐私政策文本的合法性；第二，「拒绝的难度」是衡量同意是否自由给予的核心指标；第三，监管机构正在从审查「法律文本是否合规」转向审查「用户实际体验是否被操控」，这意味着Cookie横幅和同意界面的UX/UI设计将受到越来越严格的审查。该案直接影响了此后法国CNIL、西班牙AEPD和英国ICO在Cookie同意领域的执法实践。