暗黑模式（Dark Pattern）是刻意用误导性界面诱导用户做出本不愿做的选择，在隐私场景里，它常被用来让用户“同意”被追踪、或让退出变得复杂到放弃。2022年9月14日，美国联邦贸易委员会（FTC）发布《暗黑模式报告》，系统列举了这类设计并表示会加强打击。个人信息已有直接经济价值，暗黑模式因造价低、获益高被广泛用于数据收集，这也是它正成为执法风口的原因。
TL;DR
FTC 在《暗黑模式报告》中总结的常见类型包括：
这些并非绝对禁忌。例如“库存仅剩1件”如属实是善意提示；但若某商品永远“仅剩1件”，就会引来用户不满和执法怀疑。
个人信息在数字经济中价值持续上升：数据经纪行业规模约2500亿美元，全球有4000多家以买卖数据为营生的公司，对多数美国企业而言获取一个邮箱地址的平均成本约89美元。误导性界面因此被大量用于收集个人信息。
图片顶部的 TransUnion Cookie 管理页就是典型：用户把分析、功能、广告 Cookie 都设为“No”后，会很自然地点击上方显著的黄色按钮保存，但按钮文字其实是“接受所有 Cookie”。它没有在技术上撒谎，却利用了用户的习惯和直觉。另一种常见套路是隐私政策链接指向与隐私无关的页面，让用户误以为产品在保护隐私。
GDPR 并未专门针对暗黑模式，但其多项规定有治理效果。收集处理用户数据的主要合法依据之一是取得同意，而 GDPR 要求同意必须“知情且自愿”，用误导手段套取的同意难以成立。2020年一项名为《GDPR 之后的暗黑模式》的研究发现许多公司仍公然使用暗黑模式；2022年3月，欧洲数据保护委员会（EDPB）发布《社交媒体平台界面暗黑模式指南 3/2022》草案，帮助平台履行 GDPR 并限制违规设计。
执法层面，法国数据保护委员会 CNIL 于2021年对 Google 与 Facebook 处以共计2.1亿欧元罚款，原因正是把拒绝 Cookie 的选择设计得过于复杂，致使用户“被迫”接受追踪。Cookie 同意的合规尺度可对照 CNIL 就 Google Cookie 同意的处理 与 比利时 DPA 的 Cookie 检查清单。
CCPA 与 CPRA 对暗黑模式给出更直接的规定。其一，企业提交退出请求的方法应易于执行、所需步骤最少，不得使用旨在破坏或损害退出选择的设计。其二，向消费者提供退出选择时不得使用混淆性语言，例如双重否定（如“拒绝不出售我的个人信息”）。
美国的相关判例还有：2015年 LinkedIn 因未经充分授权以用户名义向其通讯录联系人发送邀请、并多次提醒，最终以1300万美元和解。隐私政策虚假陈述同样在被追责，参见 FTC 起诉 Match 的隐私政策虚假陈述案。
复合定价（drip pricing）是另一类被盯上的暗黑模式。Airbnb 在许多国家的网站只先显示每晚房价，用户点击预订时才追加清洁费与服务费，抬高总价；而在澳大利亚，Airbnb 预先显示含税总价——并非它主动纠错，而是复合定价违反澳洲竞争与消费者委员会（ACCC）的规定。
对出海企业而言，使用暗黑模式有时并非刻意收集数据，而是国内高度竞争下形成的习惯性动作。但它能带来的短期收益，往往抵不过对长期用户信任的损耗，何况各国监管正快速收紧，退出流程、同意界面已是执法重点。相关趋势可参考 FTC 敲定的“一键取消”规则。避免暗黑模式其实不难：坦率地问“你愿意使用个性化广告来增强体验吗”，比用迷惑设计套取同意更可持续。
