Navigation – Plan du site

AccueilNuméros26DossierLes stratégies problématiques des...RGPD, un révélateur des logiques ...

Dossier
Les stratégies problématiques des plateformes numériques identifiées par les professionnels de la donnée

RGPD, un révélateur des logiques subreptices des plateformes envers la jeunesse

Analyse des techniques utilisées par les réseaux socionumériques pour capter les données des mineurs au travers de dispositifs numériques manipulateurs
David Bessot et Alessandro Fiorentino

Résumés

Les stratégies commerciales mises en œuvre par les plateformes de réseaux socionumériques leur ont permis de devenir les leaders de la nouvelle économie de l’attention. Elles sont en situation de monopole sur un marché captif. Quotidiennement, les jeunes prennent l’habitude de communiquer et jouer sur ces plateformes. Par l’utilisation des services proposés, ils échangent volontairement des informations personnelles et laissent involontairement des traces de navigation. La stratégie de ces plateformes, au travers l’ancrage des habitudes, est de créer une dépendance psychologique des utilisateurs et d’utiliser diverses techniques prédatrices de collecte de données personnelles.

Haut de page

Texte intégral

Introduction

1Le taux de pénétration des plateformes numériques atteint 58,4 % de la population mondiale avec 4,62 milliards d’utilisateurs actifs sur les réseaux socionumériques. En France, ce chiffre s’élève à 80,3 % de la population avec 52,60 millions d’utilisateurs actifs en janvier 2022 (We Are Social, Hootsuite, 2022). Il convient néanmoins de noter que les utilisateurs de ces plateformes ne représentent pas nécessairement des individus uniques. Bien qu’il n’ait pas été détaillé en précisant les répartitions par groupe d’âge, nous estimons à 4,11 millions le nombre d’utilisateurs actifs de 12 à 17 ans (Insee, 2022). Avec un temps d’utilisation estimé à 2,9 heures par jour, un jeune de 13 ans en France passera sur l’année plus de temps devant un téléphone que devant un professeur. Instagram, Whatsapp et Tiktok sont respectivement sur le podium des trois plateformes préférées des jeunes avec 25,6 %, 12 % et 8,9 %.

2Les stratégies commerciales mises en œuvre dans ces dispositifs computationnels mis à disposition par ces entreprises leur ont permis de devenir les leaders de la nouvelle économie de l’attention. Elles sont en situation de monopole sur un marché captif (Amaouche, 2021). Quotidiennement, les jeunes prennent l’habitude de communiquer et jouer sur ces plateformes. Par l’utilisation des services proposés, ils échangent volontairement des informations personnelles et laissent involontairement des traces de navigation. Bien que la donnée des personnes soit une marchandise à la valeur variable (Grandmontagne, 2015), récolter cette donnée représente un actif économique valorisable à terme sur lequel spéculent les économistes. La stratégie de ces plateformes, au travers l’ancrage des habitudes, est de créer une forme de dépendance psychologique des utilisateurs dans le but de croître rapidement sur un marché en forte concurrence (de Marcellis-Warin, Marty, Thelisson, Warin, 2020). La performance financière de ces entreprises dépend de la collecte des données personnelles de ses utilisateurs, donc du nombre d’utilisateurs dépendants.

3Longtemps sidéré devant la déferlante de ces plateformes, il aura fallu plus de 20 ans au législateur européen pour asseoir un cadre juridique et réglementaire clair et contraignant afin de protéger les populations du territoire européen de ces pratiques émergentes (Boris Barraud, 2017). C’est dans cette optique que la commission européenne a opté pour un champ d’application territorial reposant notamment sur la localisation des personnes concernées par cette collecte pour le Règlement Général sur la Protection des Données (RGPD) entré en application le 25 mai 2018. Ce règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données a abrogé la directive 95/46/CE qui n’était plus adaptée suite à l’essor des plateformes. Cette directive du 24 octobre 1995 visait à harmoniser les règles en Europe pour offrir un cadre juridique unique aux professionnels. Victime de transpositions disparates dans les lois nationales des pays membres, le cadre juridique resta un obstacle à la libre circulation de ces données impactant l’économie numérique européenne. Avec l’objectif de renforcer le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant, le RGPD permit d’uniformiser le cadre juridique. En effet contrairement à une directive, un règlement européen s’applique directement à tous les États membres sans loi de transposition. Il permet à présent aux entreprises de développer leurs activités numériques au sein de l’UE en se fondant sur la confiance des utilisateurs.

  • 1  Les députés du Parlement européen ont voté et approuvé le Digital Market Act (DMA) et le Digital S (...)

4Ce nouveau cadre juridique est amené à évoluer en fonction des usages qui sont identifiés1. Force est de constater que la puissance financière de ces plateformes leur permet d’expérimenter des techniques et des tactiques pour atteindre leurs objectifs de croissance tout en respectant les droits européens. Les professionnels du droit et de l’informatique ont aujourd’hui une posture de douanier. En effet, ils sont dans l’incapacité d’identifier ou de connaître avec exhaustivité l’ensemble des méthodes ou des approches utilisées par les plateformes numériques qui visent à capter les données des Européens, qu’ils soient majeurs ou mineurs.

5Du fait du modèle économique qu’elles développent, les sociétés qui commercialisent ces plateformes sont dans l’obligation économique de récolter des données tout en augmentant considérablement leur nombre d’utilisateurs. Cette course à la croissance motive des comportements mondiaux qui s’embarrassent mal des contraintes juridiques de chaque pays. Pour autant, face à l’application du RGPD par les autorités de contrôle européennes, les plateformes ont dû modifier leurs pratiques et s’adapter aux règles locales afin de poursuivre la collecte de données des citoyens majeurs et mineurs. Notre article vise à éclairer la réalité des mécanismes juridico-techniques mis en œuvre par les entreprises pour capter des données personnelles à des fins de croissance économique rapide. Au travers de cet article, nous proposons d’aller plus loin dans la pratique par le biais d’une grille de lecture s’appuyant sur notre expérience relative au management et la protection des données dans le cadre des nombreux cas d’usages rencontrés dans notre activité autour de mise en conformité au RGPD.

6La collecte de données personnelles est conditionnée ab initio par une chaîne de principes fondamentaux informatique et libertés qui présentent une interdépendance intrinsèque. En effet, pour assurer le principe de loyauté, il convient de répondre au principe de transparence qui repose lui-même sur la garantie du droit d’information. Les droits des personnes concernées, à l’exception du droit d’information, dépendent quant à eux du fondement sur laquelle repose la finalité ou les sous-finalités d’un traitement de données.

7Cette approche empirique repose sur trois axes : Nous sommes consultants auprès d’organisations publiques et privées dont certaines sont des multinationales. Elles nous consultent afin d’initier ou évaluer leur démarche en termes de management de leurs patrimoines numériques et de leurs conformités vis-à-vis de différents règlements et cadres juridiques en vigueur. Leurs enjeux principaux résident dans l’optimisation des modalités de collecte, de gouvernance et de valorisation de la donnée. Notre activité nous a également conduits à former plus de deux cents délégués à la protection des données en France notamment sur la mise en œuvre de la protection des données dès la conception (Privacy By Design). Nous avons créé un référentiel permettant aujourd’hui à des éditeurs de solutions logicielles ou des plateformes numériques d’être auditées par l’Afnor afin d’obtenir un label garantissant que ces éditeurs respectent un ensemble d’exigences. Enfin, nous animons des ateliers et des conférences dans les écoles, les collèges et les lycées au travers du programme Junior Privacy. Nous sommes à l’origine du programme DPO en herbe à destination des enfants de 14 ans. Depuis 7 ans, environ 400 jeunes ont participé à nos programmes. Ces activités nous permettent aujourd’hui d’avoir un prisme d’analyse reposant sur trois plans (organisations, professionnels, jeunes usagers) et de comprendre de façon détaillée les pratiques des entreprises en matière de collecte et de traitement des données personnelles de leurs utilisateurs. Cet article a vocation à alimenter les domaines de recherche en sciences de l’information et en sciences de gestion. Cette grille d’analyse a quant à elle pour objectif d’illustrer des pratiques d’entreprises pour récolter les données de citoyens européens. Nous nous sommes longtemps interrogés sur les possibilités de distinguer l’usage de certaines pratiques en fonction des publics concernés ou des plateformes. L’état actuel de nos connaissances ne nous permet pas d’affirmer que ces techniques soient différentes si elles sont destinées à des adultes ou des enfants, le cadre juridique européen impose néanmoins des obligations spécifiques pour mieux protéger les mineurs (en particulier le DSA).

8Les cabinets de conseil interviennent en tant que médiateurs de connaissances facilitant la mise en œuvre de nouvelles règles juridiques dans un champ de pratiques sociales professionnelles. À travers leur travail, du fait de leur posture « immergée » en interaction avec des acteurs professionnels, ils occupent un avant-poste d’observation privilégié des pratiques professionnelles. Leurs analyses et classements des pratiques professionnelles constituent des connaissances intermédiaires entre pratiques empiriques et savoirs théoriques, susceptibles de servir de substrat à des modélisations enrichies ou de nourrir l’élaboration de nouveaux cadres théoriques qui pourrait être à la fois explicatif, prédictif et opératoire. (Philippe Carré, 2008)

9C’est le résultat de ce travail intermédiaire de description rigoureuse ou premier niveau de modélisation qui est présenté ci-après avec l’objectif de permettre une approche systématique des pratiques des plateformes permettant de les différencier en termes d’objectifs, de moyens mobilisés et d’impact sur les pratiques numériques des jeunes.

La stratégie d’ancrage

“Vous avez 3 nouveaux messages”

  • 2 Cette stratégie marketing se nomme la stratégie du crochet (Hook), modélisée par Nir Eyal dans son (...)

10La stratégie d’ancrage est la mère des techniques prédatrices2, développées par les experts « marketing produit » de ces plateformes numériques s’appuyant notamment sur les travaux de B. J. Fogg. Cela consiste à mettre l’utilisateur dans une situation de dépendance à l’égard de la plateforme au travers d’un cycle de quatre phases : le déclencheur, l’action, la récompense variable et l’investissement. Le déclencheur est l’activateur du comportement, il peut être externe ou interne. Le plus souvent, le déclencheur est une notification, un message avec un lien qui invite à se rendre sur la plateforme. Il est externe s’il est provoqué par une notification, il est interne si l’usager se crée lui-même sa notification par une habitude de consultation. Ce déclencheur implique une action de l’utilisateur. Il s’agit d’un comportement destiné à recevoir une récompense : accéder à une photo, une actualité surprenante, une nouvelle de ses amis. Cette action à des conséquences variables : gagner, savoir, recevoir, créer, accélérer, qui renforce le cycle d’ancrage. La récompense doit être suffisamment aléatoire dans un panel acceptable de possibilités. Afin d’accroître les chances de les susciter, les entreprises actionnent deux leviers de base du comportement humain : la facilité du passage à l’acte et la motivation psychologique de le faire (B. J. Fogg, 2019). Enfin, l’investissement permet à l’utilisateur de se conforter dans sa position : enrichir son profil ou ouvrir un compte premium, conseiller le service à un ami, poursuivre le cycle pour avoir plus. L’objectif est de provoquer des actions précises chez l’utilisateur par le biais de la conception sur laquelle repose l’expérience utilisateur. À la suite de plusieurs cycles de harponnage successifs, ces déclencheurs provoquent des stimuli internes reposant sur des émotions éprouvées. Lorsque l’utilisateur reproduit ce comportement, la plateforme crée une nouvelle habitude qui produit le même résultat qu’une routine algorithmique planifiée pour s’exécuter quotidiennement par un programme. La différence réside dans le fait qu’avec le temps, l’utilisateur associe cette plateforme à son besoin de relations sociales. Cette stratégie d’ancrage est constitutive du modèle commercial des principales plateformes commerciales et participe à créer les conditions d’une baisse de vigilance de l’utilisateur, voire d’addiction au service (Achab, Zullino, 2017). Cet effet de dépendance permet de rendre les techniques présentées ci-après plus efficaces et percutantes. Au travers d’astuces juridiques, de techniques dissimulées, d’ergonomie trompeuses et de manipulation cognitive, le client de ces plateformes n’est plus en capacité d’agir en conscience. L’utilisation de ces techniques envers un public mineur représente un facteur aggravant.

L’extorsion de consentement

Il ne reste que 3 places disponibles. Réservez-vite !

  • 3 Article 45 de la loi Informatique et Libertés (âge minimum de consentement pour les mineurs)

11Le consentement est l’une des six bases légales de la collecte de données à caractère personnel. Pour être valable, le consentement d’une personne majeure répond à quatre principes inscrits dans la loi. Le consentement doit être libre, le choix de la personne ne doit être ni contraint ni influencé. Le consentement doit être spécifique, il n’est donné que pour une finalité, pour un but unique. Il doit être éclairé. Cela implique que ce dernier doit être réalisé en connaissance de cause. Le consentement doit être univoque, il nécessite une déclaration ou tout autre acte positif clair de la part de la personne concernée. Il peut être retiré à tout moment, par le biais d’une modalité simple et équivalente à celle utilisée pour le recueillir. Demander le consentement implique de mettre en place l’ensemble de ces principes. En France, une personne mineure de moins de 15 ans ne peut pas donner son consentement sans l’autorisation parentale3. Il doit être recueilli conjointement dans le cadre de l‘inscription dudit mineur sur la plateforme. Les habitudes créées par la stratégie d’ancrage mise en œuvre par les plateformes entraînent un biais au libre choix de consentir. Les plateformes numériques installent ainsi la tactique de l’extorsion du consentement de manière très régulière afin de créer une habitude chez l’utilisateur. Au fur et à mesure de sa navigation sur la plateforme, l’utilisateur prend l’habitude d’accepter des microdécisions : valider les cookies, une mise à jour d’un service, une nouvelle fonctionnalité qui va rendre le fonctionnement plus facile. Chaque microdécision est formulée de manière avantageuse, sans toujours assurer une information claire et précise permettant un consentement éclairé, notamment sur les impacts juridiques des décisions, avec une ergonomie favorisant le choix préféré par la plateforme. L’acceptation des cookies est un premier exemple dans la mise en place du consentement systématique. Dans une certaine mesure, l’existence d’un cadre juridique complexe à faire appliquer et incompréhensible pour l’utilisateur est contre-productif. En prenant l’habitude de ne pas comprendre ce qu’il consent, l’utilisateur perd le sens de la finalité de son consentement. Le geste d’acceptation devient une banalité, laissant la porte ouverte à toutes les manipulations possibles des plateformes. Par l’utilisation d’un message incomplet associé au biais cognitif du consentement systématique, l’extorsion du consentement est une technique efficace dans le cadre de la récolte quotidienne des données à caractère personnel. On peut également observer que l’utilisation de cookies implique un consentement positif par défaut, alors que le choix de l’utilisateur devrait être explicite. (Matte, Bielova, Santos, 2020)

L’asservissement du consentement

Si vous prenez la carte de fidélité, vous pourrez bénéficier gratuitement d’offres préférentielles (et nous pourrons vendre vos données).

12L’asservissement du consentement consiste à intégrer dans les conditions générales d’utilisation des finalités qui ne sont pas strictement nécessaires à l’exécution du contrat. La plateforme propose, pour accéder à un service, de solliciter l’acceptation des conditions générales d’utilisation en intégrant dans ces dernières, des finalités qui ne sont pas nécessaires à la réalisation du service initial. Cette technique présente une forme d’interdépendance entre plusieurs finalités spécifiques qui n’ont pour autant aucune dépendance fonctionnelle. Ce type d’imbrication des finalités permet d’autoriser une exploitation d’un nombre plus important de données que celles nécessaires pour accéder au service. : métadonnées de géolocalisation, données de navigation, usages à des fins publicitaires ou de personnalisation. L’illustration la plus courante de ce dispositif est la nécessité de créer un compte pour accéder à un service, comme un achat ou un jeu. Dans le déroulement de l’acte d’achat, le service impose la création d’un espace personnel pour finaliser sa commande. Dans le cadre de cette création, l’utilisateur accepte les conditions générales d’utilisation qui relèvent de la création du compte, pas de l’achat pour lequel il se rend sur la plateforme. Ainsi, il est exposé à un cadre juridique potentiellement plus contraignant, tout du moins différent, que celui d’un simple achat sur internet ou l’accès à un jeu. D’autres exemples de situation d’asservissement sont régulièrement mis en place, comme présenter plusieurs cases à cocher qui paraissent obligatoires pour passer à l’étape suivante, partager des statistiques d’usages pour améliorer le service proposé, ou créer un compte pour acheter sur une plateforme tierce. Afin de réaliser une extorsion « correcte » du consentement, certaines plateformes vont détourner le principe du consentement univoque encapsulé dans une ergonomique trompeuse. Cette technique est également présente dans les processus d’installation de logiciels sur les ordinateurs personnels. L’installation d’un logiciel peut se traduire par l’installation dudit logiciel accompagné d’une multitude de petits logiciels publicitaires devenant payants après une période donnée. Pendant cette période de gratuité, ces logiciels collectent des données d’usages a minima présentes sur le poste de travail de l’utilisateur.

  • 4 Délibération de la formation restreinte SAN-2017-006 du 27 Avril 2017 prononçant une sanction pécun (...)
  • 5 Délibération no 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’ (...)
  • 6 Délibération no 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des m (...)

13Les premières expérimentations de cette technique valurent à Facebook une sanction4 de 150 000 € avant l’entrée en application du RGPD, lui rappelant l’un des quatre critères de validité du consentement : le consentement doit être spécifique, il n’est donné que pour une finalité, pour un but unique. Le consentement est un enjeu suivi de près par communauté scientifique qui avait notamment participé à la consultation publique organisée par la CNIL relative aux lignes directrices modificatives5 ainsi qu’une recommandation6 portant sur l’usage de cookies et autres traceurs du 17 septembre 2020. (Toth, Bielova, Santos, Roca, Matte, 2020)

L’atomisation du risque juridique

Nous avons tout prévu

14La technique d’atomisation du risque juridique consiste à réaliser un montage juridique afin d’anticiper des tactiques de défense face à de futures de mises en demeure. Dans certains cas, nous constatons un enchevêtrement de textes qui permettent des interprétations différentes selon les objectifs recherchés. Lorsque l’autorité de contrôle intervient pour s’assurer de la bonne application du règlement, les audits portent dans un premier temps sur le choix de la base légale pour chaque traitement déclaré. L’utilisation de la technique d’atomisation du risque permet ainsi à ces responsables de traitement audacieux de trouver le meilleur angle possible pour répondre aux demandes d’un potentiel contrôleur. La logique de responsabilisation prévaut alors sur l’excuse de finalité, et le flou juridique du montage permet de plaider la bonne foi. Prenons l’exemple d’un marchand en ligne. Dans le cadre de son activité marketing, cet organisme procède à des opérations de profilage fondées sur des données personnelles des membres du programme de fidélité qu’elle propose à des clients du site e-commerce à des fins d’analyse et de diffusion de publicités ciblées. Selon le cadre juridique « Informatique et Libertés » actuel et compte tenu de l’ampleur des traitements mis en œuvre par ce type d’enseigne et de leur caractère intrusif, les données collectées sont très variées : données d’achat et de navigation permettant de disposer d’informations très importantes sur un individu, tenant à la fois à sa situation personnelle, professionnelle et financière et à son comportement, ces traitements devraient reposer sur l’obtention d’un consentement préalable, libre, éclairé, spécifique et univoque des personnes concernées. En effet, la CNIL souligne que le Comité Européen de la Protection des Données (CEPD) considère la plupart du temps le consentement comme la base légale la plus adaptée, notamment dans le cadre de traitements mis en œuvre à des fins de profilage publicitaire. Néanmoins, pour ce type de plateforme, les conséquences de l’utilisation du consentement comme base légale pourrait avoir un impact considérable sur le développement de ses activités marketing, lié à une baisse très significative du volume de données exploitables. Cette réalité économique conduit ce type d’enseigne à considérer le recours à l’utilisation d’une base légale alternative, dont la mise en œuvre est moins contraignante. La seule base légale alternative susceptible d’être considérée comme crédible est l’intérêt légitime du responsable de traitement, dans la mesure où sa mise en œuvre dépend d’une appréciation casuiste de l’équilibre entre les intérêts légitimes de ce dernier et les droits et intérêts des personnes dont les données sont traitées. Cette appréciation reste subjective et peut donner lieu à un espace de discussion quant à son bien-fondé. La mise en œuvre de cette base légale demeure cependant délicate. La préservation des droits et libertés des personnes concernées doit en effet constituer le référentiel guidant le processus de diffusion de publicité ciblée suivi par le responsable de traitement, impliquant la mise en œuvre et le respect de règles éthiques d’exploitation de la donnée à des fins publicitaires. De plus, l’utilisation des données des clients semble très difficile à justifier sur le seul fondement de l’intérêt légitime, et la diffusion de messages publicitaires fondée sur les traitements de données personnelles exige en tout état de cause le consentement des personnes concernées, quelle que soit la base légale retenue. Dès lors, le montage consistera à la mise en œuvre de deux traitements distincts. Un premier traitement ayant pour finalité la connaissance client. Ce premier traitement repose alors sur l’intérêt légitime présent dans l’article 6 du RGPD, il permet à la plateforme de collecter l’ensemble des informations qu’elle estime nécessaires, lui donnant une faculté de profilage insoupçonnée. Le second traitement quant à lui a pour finalité la diffusion d’une publicité ciblée. Ce second traitement repose sur le consentement, le dépôt et la lecture des traceurs sur le terminal de l’utilisateur. L’application des dispositions de l’article 82 de la loi Informatique et Libertés à ces opérations de traitement impose le recueil préalable du consentement de l’utilisateur, sous réserve des exceptions applicables transposant les attendus de la directive ePrivacy. Ce montage permet au responsable de traitement d’argumenter un réel intérêt légitime à connaître ses clients ce qui est effectivement défendable, tout en collectant un ensemble de données à caractère personnel, et de diffuser des publicités ciblées en profilant des données préalablement collectées uniquement aux personnes qui ont consenti, diminuant ainsi le risque de plaintes potentielles.

La synchro-acquisition

M’autorisez-vous à accéder à vos contacts ?

15La synchro-acquisition consiste à demander une autorisation explicite pour l’installation d’une fonctionnalité qui embarque des usages implicites. Dans un téléphone, chaque application et le système d’exploitation possèdent leurs propres finalités et leurs propres conditions d’utilisation. L’utilisateur apporte son consentement pour utiliser le téléphone puis dans un second temps pour utiliser l’application. Ces deux dispositifs cohabitent entre eux, communiquent au travers de principes techniques complexes basés sur l’interopérabilité des données. Ces communications intra-téléphone créent des liens entre ces services : le gyroscope du téléphone communique avec l’application de géolocalisation, le réseau social accède aux contacts du propriétaire du téléphone pour qu’il puisse se connecter avec ses amis. En autorisant cette interopérabilité, l’utilisateur accepte une forme de synchronisation des consentements et la récolte de données dans la durée sans réelle visibilité sur les contenus échangés. Les contacts du profil de l’utilisateur stockés dans les réseaux sociaux possèdent eux-mêmes un ensemble de données personnelles réutilisables à des fins de monétisation : ces données ou métadonnées peuvent alimenter la connaissance de leurs profils stockés par ailleurs. Le volume de données ainsi récolté est difficile à estimer. Le développement des objets connectés, notamment des assistants personnels, ouvre la voie à des pratiques de récolte massive de données. Cette technique peut être le résultat de partenariats entre différents types acteurs comme l’éditeur du système d’exploitation et les éditeurs d’applications. Elle peut encore être mise en œuvre par différents éditeurs proposant différents types de services. Par exemple, le réseau numérique Linkedin (comme de nombreuses autres applications) propose à ses membres de fournir le mot de passe de leur boîte mail pour synchroniser l’ensemble des contacts avec lesquels ils échangent afin d’augmenter leur cercle professionnel. Cela permet d’augmenter la collecte de données en s’appuyant uniquement sur le consentement de chaque utilisateur sans étudier la pertinence du recueil de consentement de leurs contacts, qui eux, n’ont pas été informés et n’ont pas consenti à ce type d’enrôlement implicite. La synchro-acquisition peut également être mise en œuvre par un seul et unique responsable de traitement, propriétaire de plusieurs plateformes utilisées notamment par des jeunes. Facebook propose régulièrement la synchronisation avec Instagram et Whatsapp. Il s’agit là de trois entités juridiques distinctes contrôlées par la même entreprise, dont chacune peut capitaliser sur les données collectées par les autres à partir du moment où la personne concernée consent sans forcément prendre conscience de tout ce que cela peut engendrer.

La mise à jour du système d’exploitation

Cette nouveauté va vous changer la vie.

16La mise à jour du système d’exploitation ou d’une application permet au fournisseur de faire évoluer son service pour proposer de nouvelles fonctionnalités. Dans le monde numérique, un nouveau service implique le plus souvent une mise à jour technologique. Celui-ci implique un usage différent, qui peut entraîner une modification ou une évolution du traitement des données à caractère personnel manipulées. Si l’utilisateur a déjà donné son consentement lors de l’installation de l’application, il n’est pas sollicité pour exprimer à nouveau son accord. Cela s’explique par le nombre de mises à jour et leur fréquence, ce qui rendrait particulièrement fastidieux le fait de devoir valider chacune des mises à jour de chacune des applications du téléphone. Dans le cas de la mise à jour du système d’exploitation, le fournisseur embarque de nouvelles fonctionnalités qui sont, par défaut, activées. On peut identifier la mise en œuvre de l’asservissement du consentement précédemment évoquée avec pour seule optique de simplifier l’expérience utilisateur proposée. Il s’agit du cœur du problème technique et juridique. L’ensemble des traitements croisés de données sont soumis à des consentements différents, mais naturellement imbriqués. Seuls un cadre juridique offensif et une plus grande transparence sur le code permettront de rendre lisibles ces flux de données.

17Encore une fois, cette technique induit souvent un consentement « implicite » qui devrait pourtant être explicite afin d’être qualifié d’univoque. Pour rappel, ce type de technique met le responsable de traitement en situation de manquement face à l’article 25, alinéa 2 du RGPD. En effet la protection des données par défaut, sous-entend qu’un niveau de protection optimum doit être fourni aux personnes concernées sans aucune intervention de leur part. Il s’agit d’une forme de savoir-vivre ou de bienséance numérique (Fiorentino, 2013). Pour l’instant peu sanctionné, ce manquement permet de pré-activer plusieurs nouvelles fonctions paramétrables dans des tunnels de sous-menus dont un utilisateur lambda n’a même pas forcément connaissance.

La propriété partagée

M’autorisez-vous à charger vos photos ?

18La propriété partagée a pour objectif de permettre à une plateforme d’exploiter les données publiées par un utilisateur (Mathias Avocats, 2013). Cette exploitation peut prendre plusieurs formes : diffusion sur d’autres réseaux sociaux de la marque, analyse des médias dans le but de mieux connaître ses clients, utilisation d’information pour identifier le cercle des connaissances. Les conditions générales d’utilisation vont notamment permettre la circulation des médias postés à des fins de suggestion, d’information auprès d’un autre profil. Il reste que cette pratique de la propriété partagée est alimentée par des phantasmes collectifs, qui font l’objet de messages d’information postés sur les réseaux par des utilisateurs crédules. De manière générale, nous ne constatons pas de réutilisation explicite des contenus publiés à d’autres fins que de connaître mieux les utilisateurs de la plateforme, de suggérer de l’information à d’autres utilisateurs ou encore d’optimiser des dispositifs de reconnaissance faciale sans clairement demander le consentement des personnes dont le portrait sert parfois de jeu de données (Le Progrès, 2021). Cette pratique de la propriété partagée reste cependant soumise à quelques interprétations qui ont donné lieu des jurisprudences, notamment dans le mélange des droits en fonction des pays des utilisateurs. En France, le droit d’auteur, le droit à l’image ou de droit au respect de la vie privée peuvent potentiellement mettre à mal le principe de la propriété partagée. Il existe d’autres situations qui seront à interpréter : lorsque la plateforme permet une création artistique ex nihilo, qui peut se prévaloir de la propriété d’une story sur Instagram ? Dans la mesure où le réseau permet la conception et la diffusion de manière exclusive, le travail d’auteur et sa propriété interroge. La question de la propriété partagée dans les conditions générales d’utilisation est l’illustration de la complexité des montages juridiques présents au sein des CGU des plateformes, des dispositifs technologiques souterrains, et de l’incapacité de l’utilisateur à savoir réellement comment seront exploitées les données qu’il publie.

Les profils fantômes

Vous n’êtes pas encore utilisateur, mais nous en savons déjà beaucoup.

19Sur internet, l’essentiel des données émises sont des données de navigation. Ces traces a priori anodines en révèlent beaucoup. Avec une cinquantaine de traces de navigation, il est possible de profiler une personne sans trop de difficulté (Goel, Narayanan, Shukla, Su, 2017). Sur le web, il existe principalement deux types de cookies. Les « cookies internes » sont stockés sur les sites web que l’internaute consulte et les « cookies tiers » sont transmis vers d’autres sites. Pour bien comprendre, il convient d’illustrer cette technique. La présence d’un bouton « like » sur les sites suffit à Facebook pour être en mesure de savoir qui a consulté ledit site sans pour autant qu’il soit nécessaire d’appuyer sur le bouton. Même sans inscription, Facebook peut créer un profil fantôme sur lequel il agrège l’ensemble des données de navigation, lui permettant de déduire nos centres d’intérêt et un grand nombre d’autres informations. Sans être en mesure d’identifier directement un internaute, ces « cookies tiers » lui donneront la possibilité de collecter des données relatives à la vie personnelle, aux habitudes de vie, d’achat, à la situation familiale, à des données révélant l’origine raciale ou ethnique, à des données révélant les opinions politiques, à des données révélant les convictions religieuses ou philosophiques ou encore concernant la vie sexuelle ou l’orientation sexuelle. Ce profil fantôme s’enrichit jusqu’à ce que la plateforme arrive à ses fins. Lorsque l’internaute crée un compte et devient utilisateur. En l’espace d’une micro seconde, l’ensemble des données collectées par le biais du profil fantôme sera rattaché au nouveau profil utilisateur. Facebook pourra donc dès les premiers instants de la navigation sur la plateforme proposer une expérience utilisateur personnalisée, en effet la plateforme connaît déjà l’utilisateur et est déjà en mesure de lui proposer des publicités ciblées en fonction des données en sa possession. Ces profils fantômes lui permettent également d’optimiser ses facultés de look a like. En agrégeant l’ensemble de ces profils fantômes, Facebook est en mesure de réaliser des études de cohorte et donc de proposer des publicités qui ciblent la catégorie de personnes à laquelle appartient l’utilisateur.

Conclusion

Une posture de douaniers

  • 7 Les dark patterns représentent un ensemble de techniques de manipulation ergonomiques et graphiques (...)

20Ces dernières années, nous avons constaté de nombreuses pratiques prédatrices qui utilisent des artifices techniques, des montages juridiques, des ergonomies manipulatrices ou des pièges cognitifs pour poursuivre un travail de collecte de données à très grande échelle. Il nous a paru pertinent de compléter les analyses sur la prospection du niveau de confiance des utilisateurs confronté à l’utilisation quotidienne de ces techniques manipulatoires (Colin M. Gray, Jingle Chen, Shruthi Sai Chivukula, Liyang Qu, 2021). Si l’existence des Dark Pattern7 est bien documentée, ils ne couvrent qu’un aspect des moyens utilisés par les plateformes pour se jouer des lois et règlements. Les pistes de travail que nous explorons s’inscrivent dans la volonté de la communauté scientifique de compléter la lecture des techniques de manipulation par les interfaces. (Runge, Wentzel, Huh et Chaney, 2022) En effet, ces derniers s’appuient pour la plupart sur des designs trompeurs. L’usage du terme « prédatrices » pourrait faire l’objet de discussions contradictoires, néanmoins, il ne s’agit ni plus ni moins qu’une forme de prédation, une interaction, entre deux organismes antagonistes, par laquelle une entreprise consomme entièrement ou partiellement les données personnelles d’un à plusieurs utilisateurs de sa plateforme pour nourrir ou pour alimenter son modèle économique. Ce qui est certain, c’est que les enfants sont plus vulnérables face à ces pratiques.

21Le modèle économique des plateformes numériques repose sur trois principes : un volume d’utilisateurs gigantesque et multiculturel, un fonctionnement technologique opaque, et le développement de dispositifs computationnels de nature à créer une forme d’addiction à l’usage. En effet, pour certains sociologues, les algorithmes nous privent d’une forme d’autonomie dans nos désirs ou nos jugements (Zuboff, 2020). Pour atteindre cet équilibre, ces entreprises opèrent des choix mondiaux et uniformes relatifs au fonctionnement de leurs outils. Nous pouvons regrouper les techniques que nous avons décrites en quatre modalités – patterns – qui reposent sur des logiques contrastées et complémentaires :

  • Les techniques dissimulées sont l’ensemble des algorithmes en tâches de fond utilisés par les plateformes pour capter les données des utilisateurs.

  • Les astuces juridiques via des conditions générales d’utilisation mêlant finalités, fondements juridiques et réglementations afin de permettre toutes les interprétations possibles.

  • Les ergonomies trompeuses avec des interfaces utilisateur conçues pour tromper ou manipuler une décision, proposant des choix orientés comme des éléments mis en place pour solliciter davantage l’utilisateur et faire en sorte que celui-ci reste plus longtemps sur un service à l’aide de biais cognitifs.

  • La manipulation cognitive consiste quant à elle, à placer l’utilisateur dans une situation de dépendance, au travers d’une stratégie d’ancrage.

22Elles sont utilisées par toutes les plateformes de réseaux socionumériques, pour les utilisateurs majeurs ou mineurs. Le travail d’identification de ces « patterns » est comparable à celui d’un douanier. Il est difficile d’anticiper les techniques prédatrices qui seront déployées dans l’avenir par les plateformes. En effet, notre travail de consultant nous permet de les cartographier une fois que nous les avons identifiées ou constatées. Pour mieux en protéger les mineurs, nous n’avons pas d’autre choix que d’être dans une démarche réactive et non proactive. La seule solution de prévention possible pour le moment repose sur la transmission des connaissances intermédiaires que notre travail de consultants produit afin de donner la faculté aux adolescents et aux jeunes, ainsi qu’à leurs parents et éducateurs, de les identifier pour s’en prémunir. Le Défenseur des droits et l’Éducation nationale opèrent une sensibilisation à grande échelle sur ces sujets, de nombreuses associations militent également dans ce sens. Néanmoins, nous savons aujourd’hui que le cadre juridique constituera le principal levier pour modifier durablement les pratiques des plateformes. Parce que la technologie évolue plus vite que le droit, nous devons nous attacher à défendre des principes fondamentaux de respect de la vie privée sur le territoire européen car les futurs usages du numérique en dépendent. Depuis 2008, plusieurs révélations accablent également ces plateformes dans leur rôle dans les élections américaines. Les jeunes ont-ils vraiment conscience de ce dont elles seront capables dans les vingt prochaines années en capitalisant sur la myriade de données qu’ils mettent à leur disposition depuis qu’ils les utilisent ? Dans quelle mesure les plateformes ne pourraient-elles pas profiter de l’addiction qu’elles induisent chez les jeunes pour manipuler, orienter ou encore normaliser leurs pensées et leurs comportements ?

Haut de page

Bibliographie

We Are Social et Hootsuite, Étude annuelle Digital Report 2022 [En ligne] https://wearesocial.com/fr/blog/2022/01/digital-2022/, dernière consultation le 29 avril 2023.

Insee, Bilan démographique 2021, Pyramides des âges publiée le 18/01/22 [En ligne] https://www.insee.fr/fr/statistiques/fichier/6038698/Pyra2022.xlsx, dernière consultation le 29 avril 2023.

Achab Sophia et Daniele Zullino, « L’ère numérique, une époque de mutations pour la médecine des addictions », Psychotropes, 2017/3-4 (vol. 23), p. 9-20.

Amaouche Kaïna, Plateforme et abus de position dominante : la détermination du pouvoir des plateformes au service de leur régulation publiée le 03/12/21 [En ligne] https://dumas.ccsd.cnrs.fr/dumas-03464494/document, dernière consultation le 29 avril 2023.

Avocats Mathias, « Réseaux sociaux : le contenu posté vous appartient-il ? », publié le 19 février 2013 [En ligne] https://www.avocats-mathias.com/technologies-avancees/photos-twitter-propriete, dernière consultation le 29 avril 2023.

Barraud Boris, Nouvelle réglementation européenne des données personnelles : une simplification limitée mais une protection augmentée publiée été 2017 [En ligne] https://la-rem.eu/2017/10/nouvelle-reglementation-europeenne-donnees-personnelles-simplification-limitee-protection-augmentee/, dernière consultation le 29 avril 2023.

De Marcellis-Warin Nathalie, Marty Frédéric, Thelisson Eva et al., « Intelligence artificielle et manipulations des comportements de marché : l’évaluation ex ante dans l’arsenal du régulateur », Revue internationale de droit économique, 2020/2 (t. XXXIV), p. 203-245. DOI : 10.3917/ride.342.0203. URL : https://www.cairn.info/revue-internationale-de-droit-economique-2020-2-page-203.htm, dernière consultation le 29 avril 2023.

Fiorentino Alessandro, « Privacy by Design à la lumière du règlement européen », publié le 2 déc. 2013, 11 pages [En ligne] http://www.fiorentino-consulting.com/fiorentino-privacy-by-design-isep2013.pdf, dernière consultation le 29 avril 2023.

Fogg B. J., Tiny Habits: The Small Changes That Change Everything, Virgin Books, 31 décembre 2019.

Grandmontagne Yves, « Combien valent vos données personnelles ? », ITSocial, 10/06/2015 [En ligne] https://www.insee.fr/fr/statistiques/fichier/6038698/Pyra2022.xlsx dernière consultation le 29 avril 2023.

Gray Colin M., Chen Jingle, Sai Chivukula Shruthi et Liyang Qu, « End User Accounts of Dark Patterns as Felt Manipulation », Proceedings of the ACM on Human-Computer Interaction, vol. 5, Issue CSCW2, No 372, p. 1-25, https://doi.org/10.1145/3479516, publiée en octobre 2021.

Matte Célestin, Bielova Nataliia et Cristiana Santos, « Do Cookie Banners Respect my Choice? Measuring Legal Compliance of Banners from IAB Europe’s Transparency and Consent Framework », publiée en février 2020.

Le Progrès, « Facebook va arrêter la reconnaissance faciale sur les photos et supprimer les données », ITSocial, 02/11/2021 [En ligne] https://www.leprogres.fr/science-et-technologie/2021/11/02/facebook-va-arreter-la-reconnaissance-faciale-sur-les-photos-et-supprimer-les-donnees, dernière consultation le 29 avril 2023.

Runge Julian, Wentzel Daniel, Young Huh Ji et Allison Chaney, « “Dark patterns” in online services : a motivating study and agenda for future research », publiée le 14 avril 2017 [En ligne] https://link.springer.com/article/10.1007/s11002-022-09629-4, dernière consultation le 29 avril 2023.

Sharad Goel, Arvind Narayanan, ansh Shukla, et Jessica Su, « De-anonymizing Web Browsing Data with Social Networks », 2017, [En ligne] https://www.cs.princeton.edu/~arvindn/publications/browsing-history-deanonymization.pdf, dernière consultation le 29 avril 2023.

Toth Michael, Bielova Nataliia, Santos Cristiana, Roca Vincent et Célestin Matte. Contribution to the public consultation on the CNIL’s draft recommendation on “cookies and other trackers”, publiée en 2020.

Zuboff Shoshana, L’âge du capitalisme de surveillance, Paris, Zulma Éditions, 2020, 864 p.

Haut de page

Notes

1  Les députés du Parlement européen ont voté et approuvé le Digital Market Act (DMA) et le Digital Services Act (DSA) le 5 juillet 2022. En tant que « règlements », ils n’auront pas besoin d’être transposés dans le droit des États membres, ce qui devrait accélérer leur entrée en vigueur. Le DSA a été adopté définitivement le 19 octobre 2022.

2 Cette stratégie marketing se nomme la stratégie du crochet (Hook), modélisée par Nir Eyal dans son livre Hooked. L’auteur présente les quatre phases de l’hameçonnage moderne, ou l’art d’asservir les utilisateurs dans un environnement numérique dont ils ne pourront plus s’échapper.

3 Article 45 de la loi Informatique et Libertés (âge minimum de consentement pour les mineurs)

4 Délibération de la formation restreinte SAN-2017-006 du 27 Avril 2017 prononçant une sanction pécuniaire à l’encontre des sociétés FACEBOOK INC. et FACEBOOK IRELAND.

5 Délibération no 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération no 2019-093 du 4 juillet 2019.

6 Délibération no 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ».

7 Les dark patterns représentent un ensemble de techniques de manipulation ergonomiques et graphiques. Le principe de Privacy By Design propose un ensemble de solutions applicables, pour le moment conceptuelles et éloignées des volontés des industriels. https://linc.cnil.fr/fr/dark-patterns-quelle-grille-de-lecture-pour-les-reguler.

Haut de page

Pour citer cet article

Référence électronique

David Bessot et Alessandro Fiorentino, « RGPD, un révélateur des logiques subreptices des plateformes envers la jeunesse »Revue française des sciences de l’information et de la communication [En ligne], 26 | 2023, mis en ligne le 01 mai 2023, consulté le 10 novembre 2024. URL : http://journals.openedition.org/rfsic/14124 ; DOI : https://doi.org/10.4000/rfsic.14124

Haut de page

Auteurs

David Bessot

David Bessot est directeur général d’Infhotep, cofondateur et membre du bureau de l’association PRIVACY TECH. Il dirige l’activité conseil d’Infhotep et accompagne les dirigeants sur la gestion de leur patrimoine de données. Investi sur les sujets d’éducation et de numérique, il porte l’ensemble des projets liés à l’initiative Junior Privacy. Il est administrateur de l’université de Paris 8 Vincennes Saint Denis.

Alessandro Fiorentino

Alessandro Fiorentino est responsable de la practice protection des données personnelles d’Infhotep et Vice-Président de l’association PRIVACY TECH. Il intervient au sein du Mastère spécialisé en Management et Protection des données à caractère personnel de l’Institut Supérieur d’Électronique de Paris et assurer l’unité d’enseignement Méthodologies du DPO au sein du Mastère spécialisé en Management et Protection des données à caractère personnel de l’Institut Mines Telecom Business School.

fr

01 mai 2023

Haut de page

Droits d’auteur

CC-BY-NC-SA-4.0

Le texte seul est utilisable sous licence CC BY-NC-SA 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search