Le CEPD fait la lumière sur les « modèles sombres » (dark patterns) dans les nouvelles lignes directrices 3/2022

Qui ne s’est jamais retrouvé à cliquer sur un immense bouton vert en dessous de paramètres de confidentialité, persuadé que cela validerait ses choix, pour ensuite se rendre compte qu’il venait, contre tout attente, d’accepter tous les paramètres par défaut ? Qui ne s’est jamais retrouvé, à chaque visite du même site web, devant de complexes (sous-)fenêtres de cookies, plus longues encore que la page visitée ? Ou encore, qui n’a jamais abandonné l’idée de supprimer son compte sur un réseau social à la 5^ème étape du fastidieux processus ? C’est probablement déjà arrivé à tout le monde, à tel point que cela a inspiré un mini jeu consistant à refuser des cookies le plus rapidement possible.

Ce 14 mars 2022, le Centre Européen de la Protection des Données (« CEPD ») a publié les lignes directrices 3/2022 sur les dark patterns (littéralement « modèles sombres ») sur les réseaux sociaux, ces pratiques non-transparentes qui consistent à influencer, voire forcer la main, des utilisateurs lorsqu’ils doivent prendre des décisions concernant leur vie privée ou leurs droits.

Dans ces nouvelles lignes directrices, qui sont actuellement sujettes à une consultation publique et seront donc encore amenées à changer, le CEPD classifie et illustre toute une série de types de dark patterns. Bien que le phénomène puisse en principe avoir lieu tant sur les réseaux sociaux que sur d’autres plateformes et sites web, le CEPD adresse ces lignes directrices explicitement aux concepteurs de réseaux sociaux, ainsi qu’à leurs utilisateurs pour leur permettre de « mieux débusquer » de telles pratiques.

Les dark patterns sont susceptibles de violer diverses dispositions du RGPD

Cet assaut contre les dark pattern intervient à la croisée de la plupart, si pas de la totalité, des principes généraux du RGPD. En effet, une interface ou une expérience utilisateur de réseau social incitant l’internaute à prendre une décision plus invasive vis-à-vis de ses données personnelles peut engendrer tant :

• un défaut de transparence (par ex. si le texte d’explication affiché se contredit),
• qu’un consentement vicié (par ex. si le consentement est demandé à répétition) ou pas suffisamment retirable (par ex. si le retrait nécessite de nombreux clics contrairement au consentement lui-même),
• une violation des droits de la personne concernée (par ex. si un lien pour exercer un droit se contente de rediriger vers des informations génériques),
• ou encore une violation du principe deprotection dès la conception et par défaut (p.ex. si les options les plus invasive sont sélectionnées par défaut).

Plus généralement, les dark patterns entraineront, comme aime le rappeler le CEPD, une violation du principe de loyauté du RGPD, qui constitue « un principe général qui exige que les données à caractère personnel ne soient pas traitées d'une manière préjudiciable, discriminatoire, inattendue ou trompeuse pour la personne concernée » (traduction libre). Enfin, tous ces principes sont suppléés par le principe de responsabilité, selon lequel il revient au responsable de traitement d’en démontrer le respect. En définitive, ces nouvelles lignes directrices sont imprégnées du but affiché du RGPD d’assurer la protection des données des personnes concernées en plaçant ces dernières au cœur de la gestion et du contrôle effectif de leurs données personnelles.

En outre, le CEPD va jusqu’à établir un parallèle avec le droit de la consommation, rappelant que la fourniture d’informations incomplètes peut constituer, en sus, une violation du droit de la consommation (l’on pensera, par exemple, à la publicité trompeuse).

Quel impact pour les concepteurs de réseaux sociaux et les autres responsables de traitement ?

Ces lignes directrices ambitieuses ont de toute évidence les « GAFAM » et les principales plateformes en ligne dans le viseur, en accord avec les récentes interventions du législateur européen telles que le Data Act ou le Digital Services Act Package. Elles semblent aller un pas plus loin que les précédentes, en ce sens qu’elles ne se contentent pas d’appliquer les principes du RGPD à des activités de traitement types et ponctuelles (qu’on pourrait qualifier de « cas d’école »), mais bien à un éco-système tout entier. Ceci comprend non seulement le consentement à des activités spécifiques, mais également la manière dont toutes les options de confidentialité sont présentées – en ce compris les paramètres d’audience lorsque l’utilisateur publie du contenu – et, plus généralement, l’ensemble de l’expérience utilisateur sur le réseau social au jour le jour.

De plus, ces nouvelles lignes directrices requièrent un effort de mise en balance accru de la part du responsable de traitement. Ainsi, par exemple, la personne concernée doit être dûment informée à l’avance mais, dans le même temps, une politique de vie privée trop exhaustive qui l’inonde d’informations pourra être qualifiée de Privacy Maze (c’est-à-dire de « Labyrinthe de vie privée ») ou de Look over there (c’est-à-dire de diversion) et être contraire aux exigences de transparence, en particulier quant à la nature concise et intelligible de l’information fournie. De même, un consentement doit être recueilli de manière spécifique et granulaire (et non "groupé" avec d'autres services ou finalités), mais le responsable de traitement doit veiller à ne pas submerger l’utilisateur d’options, sans quoi cela constituera une pratique de Too many options (c’est-à-dire fournissant « Trop d’options »). Il s’agit dès lors d’un examen au cas par cas et parfois délicat.

Les dark patterns peuvent intervenir à tous les stades de l’utilisation du réseau social

Les lignes directrices sont structurées chronologiquement et suivent le « cycle de vie » d’un compte sur un réseau social.

Les dark patterns et les principes applicables sont ainsi illustrés au travers de plusieurs cas pratiques, qui partent de l’inscription sur la plateforme jusqu’à la suppression du compte, en passant notamment par la fourniture d’information en début d’utilisation, la communication d’une fuite de données, la mise à disposition de paramètres de vie privée, et finalement l’exercice de droits par la personne concernée.

A chacun de ces stades, l’EDPB propose également une panoplie de meilleures pratiques visant à aider les concepteurs de réseaux sociaux à viser la conformité dès la phase de développement.

La classification des dark patterns par le CEPD et ses exemples

Venons-en à l’essentiel : au travers des 64 pages des lignes directrices, le CEPD distingue une quinzaine de pratiques constituant des dark patterns, réparties en six grandes catégories développées pour l’occasion. Le CEPD différencie également les dark patterns basés sur le contenu et ceux basés sur l'interface.

Le tableau ci-dessous reprend l’ensemble des dark patterns identifiés et définis par le CEPD ainsi que les différents exemples s’y rapportant (les exemples très similaires ont été fusionnés).

Cette classification n'est pas parfaitement étanche et, comme les professionnels de la vie privée en ont l'habitude, constitue plutôt un outil à appliquer au cas par cas pour déceler des pratiques à risque. Une même pratique peut ainsi correspondre à plusieurs dark patterns.

Overloading (« Surcharger »)

 « Submerger les utilisateurs sous une masse de demandes, d'informations, d'options ou de possibilités afin de les dissuader d'aller plus loin et de les obliger à conserver ou accepter certaines pratiques en matière de données. » (CEPD - traduction libre)

Cela comprend :

Skipping (« Faire passer »)

 « Concevoir l'interface ou l'expérience utilisateur de manière à ce que les utilisateurs oublient ou ne pensent pas à tout ou partie des aspects liés à la protection des données. » (CEPD - traduction libre)

Stirring (« Stimuler »)

 « Affecter le choix que feraient les utilisateurs en faisant appel à leurs émotions ou en utilisant des incitations visuelles. » (CEPD - traduction libre)

Hindering (« Faire obstacle »)

 « Entraver ou bloquer les utilisateurs dans leur processus d'obtention d'informations ou de gestion de leurs données en rendant l'action difficile ou impossible à réaliser. » (CEPD - traduction libre)

Fickle (« Versatilité »)

« La conception de l'interface est instable et incohérente, ce qui fait que les utilisateurs ont du mal à comprendre où se trouvent réellement les différentes commandes et à quoi sert le traitement. » (CEPD - traduction libre)

Left in the dark (« Laissé dans le flou »)

« L'interface est conçue de manière à masquer les informations ou les contrôles liés à la protection des données ou à laisser les utilisateurs dans l'incertitude quant à la manière dont les données sont traitées et aux contrôles qu'ils pourraient exercer sur ces données. » (CEPD - traduction libre)

Autres aspects méritant attention

• Le CEPD confirme une fois de plus l'interdiction de refuser l'accès à un service en cas de refus de consentement, et donc sa position quant à l’illégalité des « murs de cookies » ou cookie walls.
• Un point qui fera sans doute l’objet de discussions à l’occasion de la consultation publique est l’envoi, pour des raisons de sécurité, d’un code par message SMS. Les lignes directrices semblent en effet répugner à cette méthode d’authentification à deux facteurs, qui est aujourd’hui considérée par les experts comme moins sûre que d'autres méthodes. Certains feront néanmoins remarquer qu’il vaudra probablement mieux avoir activé cette option plutôt que de ne pas avoir de dispositif de second facteur du tout. Toujours est-il que le CEPD voit dans l’utilisation même de cette technique, et donc dans la collecte et l’utilisation du numéro de téléphone (qui est une donnée « pas si facilement interchangeable »), une potentielle violation du principe de minimisation, puisque des alternatives existent. L’on peut hypothétiser que ceci intervient à la suite du constat que des responsables de traitement prétextent de raisons de sécurité pour collecter les numéros de téléphone et les utiliser ensuite à d’autres fins. Dans pareil cas toutefois, le principe de limitation des finalités trouve à s’appliquer, de sorte qu’une utilisation à d’autres fins serait en tout état de cause proscrite.

  Au demeurant, on peut se demander si cette problématique relève réellement des dark patterns et a sa place dans ces lignes directrices.

• Bien que le CEPD fasse à plusieurs reprises référence, voire encourage, l’utilisation de signes « ? » ou d’icônes fournissant davantage d’informations (ce qui n’est pas surprenant, cette méthode d’information visuelle étant promue par le RGPD), il appuie sur le fait que le texte affiché lors du clic ou du survolage doit effectivement contenir plus de renseignements, et non des informations superflues ou des incitations.
• Plus généralement, bien que les règles du GDPR invoquées dans les lignes directrices s'appliquent aux responsables du traitement de tous les secteurs, l'EDPB a choisi de se concentrer sur les plateformes de médias sociaux et leurs utilisateurs uniquement. S'agit-il d'une première étape opportune dans une stratégie de mise en application - auquel cas tous les autres secteurs et sites web seront à terme visés - ou cela signifie-t-il que les réseaux sociaux ont uneplus grande responsabilité - et dans ce cas, sur quelle base ? Il est sans doute vrai que les réseaux sociaux posent un risque relativement important pour la vie privée, mais certaines plateformes d'autres secteurs posent autant, voire plus, de risques.

Vous voulez en savoir plus ?

Les lignes directrices (version 1.0) ont été adoptées en mars 2022 et la consultation publique restera ouverte jusqu’au 2 mai 2022. 

Vous avez une question spécifique ou souhaitez du soutien en la matière ? Nous serons heureux de vous aider. Réservez un appel gratuit de 15 minutes avec Janvier à janvier.lawyer.brussels (réservé aux organisations).