Onay Kutusunun Etiği: Opt-in, Opt-out ve Karanlık Desenler
Onay kutusu arayüzün en küçük bileşeni, ama en çok oynanan yeri. Bir sayfada kutuyu işaretlemek bültene abone olmak anlamına gelirken, iki satır aşağıda başka bir kutuyu işaretlemek "beni rahatsız etmeyin" demeye geliyorsa ortada tercih değil, tuzak vardır. Karanlık desenlerin çoğu bu belirsizlikten besleniyor: kullanıcı ne onayladığını okumadan geçiyor, site de bunu rıza sayıyor.
Opt-in ve opt-out, aynı sorunun iki ucu
Opt-in'de kullanıcı istediğini söylemeden hiçbir şey olmaz. Opt-out'ta kutu zaten onun adına işaretlenmiştir, çıkmak isteyen uğraşır. Aradaki fark bir arayüz detayı değil, varsayılanın kimin lehine kurulduğudur. Karanlık desen dediğimiz şey de, terimi 2010'da ortaya atan Harry Brignull'un tarif ettiği haliyle, çoğu zaman bu varsayılanı görünmez kılma çabasıdır.
Varsayılanın etkisi ölçülmüş bir şey
Eric Johnson ve Daniel Goldstein'ın 2003'te Science'ta yayımlanan "Do Defaults Save Lives?" çalışması, organ bağışı formlarında varsayılanın ne yaptığını gösteriyor. Bağışçı olmak için kutuyu işaretlemek gereken ülkelerde katılım yüzde otuzun altında kalıyor; çıkmak için işaretlemek gerekenlerde yüzde doksanın üzerine çıkıyor. Aynı insanlar, aynı soru, aynı kutu. Değişen tek şey, formun boş halde ne anlama geldiği.
Bu yüzden "isteyen değiştirir" savunması ciddiye alınmaz. İstatistik olarak değiştirmiyor. Varsayılanı seçen taraf, kararı da büyük ölçüde vermiştir.
İşaretlemek her zaman "evet" demeli
Onay kutularında en çok çiğnenen kural bu. "Kampanyalardan haberdar olmak istemiyorum" yazan bir kutu işaretlendiğinde reddi ifade eder, hemen altındaki "Sözleşmeyi okudum" kutusu ise kabulü. Aynı formda aynı hareketin zıt iki anlama gelmesi, kötü niyet olmasa bile sonucu değiştirmez: kullanıcı yanlış kutuyu yanlış yönde işaretler.
Denetlemesi kolay. Kutunun etiketini oku, başına "Evet," ekle. "Evet, kampanyalardan haberdar olmak istemiyorum" cümlesi tutmuyorsa etiket yanlış yazılmıştır. Olumsuz kurulmuş her onay metni, kullanıcıya çift olumsuz çözdürmeye çalışır.
Rızanın gerçekliği tık sayısıyla anlaşılır
Vermesi bir tık, geri alması destek formu doldurup üç gün beklemek olan bir izin, izin değildir. GDPR bunu açıkça yazıyor: rızayı geri çekmek, vermek kadar kolay olmalı. Ölçmek de zor değil. Onay akışındaki tıkları sayın, sonra iptal akışındakileri sayın. İki sayı birbirinden uzaklaştıkça arayüz rıza değil sürtünme tasarlıyor demektir.
Hukuk tartışmanın bir kısmını çoktan kapattı
Avrupa Birliği Adalet Divanı'nın 2019 tarihli Planet49 kararı, önceden işaretlenmiş kutunun geçerli rıza sayılmayacağını söylüyor. Kullanıcının hareketsizliği onay üretmez. Türkiye'de KVKK'nın aradığı açık rıza da aynı yere bakar: belirli bir konuya ilişkin, bilgilendirmeye dayanan, özgür iradeyle açıklanan. Ticari e-posta ve SMS için üstüne önceden onay ve İYS kaydı gerekiyor, yani "sepete ürün ekleyen herkes müşterimiz sayılır" mantığı burada çalışmıyor.
Uygulamadaki sorun kuralın belirsizliği değil, denetimin seyrekliği. Kural gayet net.
Opt-out nerede savunulabilir
"Her şey opt-in olsun" demek kulağa temiz gelir, pratikte tıkanır. Sipariş veren kullanıcıya kargo bildirimi göndermek için ayrıca kutu işaretletmek, hizmetin kendisini rızaya bağlamak olur. Ayrım şurada: kullanıcının satın aldığı şeyle doğrudan ilgili işlemsel bildirimler varsayılan olarak açık kalabilir, pazarlama iletişimi kalamaz. İkisini tek kutuda birleştiren site, aslında işlemsel bildirimi rehin alıp pazarlama izni koparıyordur.
Bir kutunun dürüst olup olmadığını anlamanın en kısa yolu şu soruyu sormak: kullanıcı bu kutuyu hiç fark etmeseydi ne olurdu? Cevap "hiçbir şey" ise tasarım temiz. Cevap "biz kazanırdık" ise, arayüzde ne kadar zarif dururlarsa dursunlar, o kutu karanlık desendir.