1 « Vente en ligne dans l’UE : 37 % des sites examinés ont recours aux « interfaces truquées », JCP E(...) 1Sur Internet, l’utilisateur, qu’il soit professionnel ou consommateur, est libre : libre de se rendre sur un site web ou non, libre du choix des produits ou services proposés sur une plateforme, libre d’accepter ou de refuser que ses données à caractère personnel soient collectées. C’est en effet l’impression, le sentiment, ressenti par l’utilisateur qui clique sur une page, un service, un onglet, un choix. Et pourtant cette impression de liberté se révèle souvent n’être qu’une illusion. En effet, s’il n’est effectivement pas physiquement entravé, l’utilisateur reste guidé, orienté dans ses choix jusqu’à devenir souvent totalement manipulé. Cet état de fait, l’utilisateur n’en a pas conscience et encore moins connaissance ; ce qui le place dans un état de totale ignorance lorsqu’il se déplace sur Internet1. Il ignore que les concepteurs de sites internet cherchent à concevoir des interfaces susceptibles de tromper l’utilisateur en utilisant des biais cognitifs.

On les appelle « interfaces déceptives » ou « dark patterns ». Elles ont notamment pour objet d’inciter les consommateurs sur une plateforme de vente en ligne à adopter certains choix tels que l’ajout de services à leur panier, comme des assurances. Aujourd’hui, la conception de ces interfaces est pensée dans un objectif de profilage. Or ce profilage n’est réalisable qu’à partir du traitement d’un certain nombre de données à caractère personnel auquel l’utilisateur doit consentir, selon les exigences du règlement (UE) 2016/679 (RGPD) relatif à la protection des données à caractère personnel. Dès lors, tout l’enjeu des interfaces sera d’adopter une conception permettant d’inciter l’utilisateur à accorder son consentement.

2 Règl. (UE) no 2022/2065 du PE et du Cons., 19 oct. 2022, relatif à un marché unique des services nu (...) 3 Ses obligations sont entrées en application le 17 février 2024. Pour les très grandes plateformes e (...) 3Interpelé depuis plusieurs années sur la croissance exponentielle de ces interfaces déceptives, le droit de l’Union européenne s’est récemment doté d’un texte les prohibant spécifiquement, le règlement européen sur les services numériques2 (Digital Service Act, ci-après DSA)3. Il constitue le premier texte européen à prohiber expressément les interfaces déceptives en disposant, à son article 25, consacré à la « Conception et organisation des interfaces en ligne », que :

> « Les fournisseurs de plateformes en ligne ne conçoivent, n’organisent ni n’exploitent leurs interfaces en ligne de façon à tromper ou à manipuler les destinataires de leur service ou de toute autre façon propre à altérer ou à entraver substantiellement la capacité des destinataires de leur service à prendre des décisions libres et éclairées. »

Si l’exploitation de l’ignorance de l’utilisateur par les interfaces dans le traitement des données à caractère personnel est désormais reconnue (I), reste à déterminer si la réglementation actuelle qui tend à prévenir l’ignorance de l’utilisateur s’avère suffisamment efficace pour lutter contre ces pratiques (II).

# I.L’exploitation de l’ignorance de l’utilisateur par les interfaces

Les données à caractère personnel ont atteint aujourd’hui un degré d’attractivité spectaculaire grâce au développement des techniques de profilage qui permettent d’adapter l’interface à l’utilisateur et d’orienter ainsi son comportement (A). Cet enjeu majeur incite à la conception d’interfaces trompeuses (B).

## A.La cause du maintien dans l’ignorance : l’attractivité des données à caractère personnel

La technologie de RTB, real-time bidding ou enchères en temps réel, optimise le profilage en réduisant les déperditions sur des cibles non pertinentes. Lorsqu’un utilisateur accède à une page web, les encarts publicitaires présents sur cette page sont mis aux enchères de façon simultanée. Les annonceurs peuvent donc surenchérir pour que leurs publicités soient sélectionnées pour être affichées sur cette page. Pour évaluer l’intérêt de l’enchère, les annonceurs doivent raisonner sur la rentabilité de cette opération en déterminant si la cible, l’utilisateur visitant la page, sera susceptible d’être intéressée par cette publicité. Pour ce faire, les annonceurs bénéficient de diverses données concernant l’utilisateur, telles que son âge, son sexe, et autres informations, lui permettant de dresser aisément le profil de cet utilisateur et, ainsi, d’évaluer l’intérêt de l’enchère. En quelques fractions de seconde, les annonceurs peuvent donc analyser le profil de l’utilisateur, évaluer le montant raisonnable de l’enchère et, le cas échéant, surenchérir. L’annonceur ayant formulé l’offre la plus élevée verra ainsi sa publicité affichée sur la page web de l’utilisateur.

4 A. Guedj, « La personnalisation des prix à l’ère des Big data ou comment protéger le consommateur d (...) 7Le profilage ne se limite pas à un usage publicitaire, il peut également influer sur la fixation des prix4. En effet, le prix peut être déterminé par l’entreprise à partir de données objectives telles que le coût de fabrication du produit. Le prix proposé sur une plateforme de vente en ligne ou de souscription de services sera donc identique quelle que soit la personne qui consultera le site. Pourtant, certaines personnes sont susceptibles d’accepter de payer un prix plus élevé pour acquérir un même produit ou service. Ce choix peut par exemple être dicté par son goût personnel. Ainsi, un produit d’une couleur généralement peu prisée par le public revêtira une valeur inestimable aux yeux du consommateur dont il s’agit de la couleur fétiche. La valeur d’un produit ou service peut également croître au regard des circonstances. Un étudiant sera plus enclin à payer plus cher un manuel de cours lorsque l’achat s’effectue dans l’urgence, la veille d’un examen, plutôt qu’en cours d’année où il dispose du temps nécessaire pour comparer les offres commerciales et identifier la plus attractive. L’accès aux données à caractère personnel permet aujourd’hui cette fixation du prix grâce à ces données subjectives.

Les données à caractère personnel deviennent donc aujourd’hui des éléments incontournables dans l’exercice des activités commerciales. Les plateformes n’ont de cesse d’essayer de s’en emparer massivement et conçoivent ainsi des interfaces volontairement trompeuses à cette fin.

## B.L’objet de cette ignorance : les pratiques prohibées

Le Comité européen de la protection des données (EDPB) a publié en 2022 des lignes directrices identifiant six catégories d’interfaces utilisateurs trompeuses en matière de traitement des données à caractère personnel.

Overloading. Cette pratique consiste à confronter les utilisateurs à une surcharge de demandes, d’informations, d’options ou de possibilités afin de les dissuader de refuser le partage de données. Un fournisseur de médias sociaux peut par exemple demander aux utilisateurs s’ils acceptent que leurs données soient traitées pour obtenir une publicité personnalisée. S’ils n’y consentent pas, cette boîte de dialogue s’affichera à chaque connexion pour soumettre la même requête. Il est probable que les utilisateurs finissent par se lasser et y consentent.

Skipping. L’interface est conçue de manière à détourner l’attention des utilisateurs sur les aspects de la protection des données. Par exemple, la page affichée peut solliciter de l’utilisateur qu’il entre sa date de naissance et partage cette information avec tous les membres du réseau. Cette information n’étant pas nécessaire pour s’inscrire, un bouton « Passez cette étape et s’inscrire » est également présent, ainsi qu’un choix ouvert entre afficher cette information à l’ensemble du réseau ou la maintenir cachée. Toutefois, la page est conçue pour inciter l’utilisateur non seulement à entrer sa date de naissance, mais encore à la partager. Pour ce faire, le bouton « Passez cette étape » apparaît moins distinctement pour donner à l’utilisateur l’impression du caractère obligatoire de cette information. De même, le choix « Visible pour tous » est coché par défaut, l’utilisateur ne percevant donc pas la possibilité de masquer cette information.

Stirring. Il consiste à influencer le choix des utilisateurs en faisant appel à leurs émotions ou en utilisant des stimuli visuels (tels que le style, les couleurs, les images ou autres) d’une manière qui présente l’information aux utilisateurs de façon positive (permettant aux utilisateurs de se sentir bien, en sécurité ou récompensés) ou au contraire de manière très négative (conduisant les utilisateurs à se sentir inquiets, effrayés ou même à développer un sentiment de culpabilité). L’interface pourrait utiliser des formulations négatives afin de décourager les utilisateurs de supprimer leurs comptes, telles que « Attention, vous perdrez tout ». L’accord au partage des données peut aussi être associé à l’image d’un petit chat joueur.

Obstructing. Cette pratique contraint les utilisateurs dans leur processus d’obtention d’informations ou de gestion de leurs données en rendant l’action difficile, voire impossible à réaliser. Lorsque l’utilisateur clique sur le bouton « Supprimer mon compte », il est requis d’indiquer la raison pour laquelle il souhaite quitter le compte. Tant qu’il ne s’est pas exécuté, la case reste grisée et le bouton de suppression du compte reste inactif. Cette étape rend la suppression d’un compte plus longue et fastidieuse que nécessaire et décourage ainsi les utilisateurs.

Fickle. La conception de l’interface peut être opaque et incohérente, rendant malaisé pour les utilisateurs de comprendre les finalités du traitement. La politique de confidentialité peut, par exemple, être proposée sous un format rebutant : près d’une centaine de pages de contenu, sans section ni titre et aucun menu de navigation pour permettre aux utilisateurs d’accéder facilement à la section qu’ils recherchent.

Left in the dark. L’interface est conçue de manière à masquer les informations ou les actions de contrôle liées à la protection des données, laissant les utilisateurs dans l’ignorance quant au traitement de leurs données ou des droits dont ils disposent pour les protéger. L’interface peut notamment utiliser un interrupteur pour permettre aux utilisateurs de donner ou de retirer leur consentement. Cependant, la bascule peut être conçue de façon à ne pas indiquer clairement dans quelle position elle se trouve et si les utilisateurs ont donné leur consentement ou non, la position de l’interrupteur ne correspondant pas à la couleur qui y est généralement associée. Lorsque l’interrupteur est placé sur le côté droit, ce qui est généralement associé à l’activation de la fonctionnalité « allumer », la couleur de l’interrupteur est rouge, ce qui signifie généralement qu’une fonctionnalité est éteinte. À l’inverse, lorsque le commutateur est placé sur le côté gauche, cela signifie généralement que la fonctionnalité est désactivée, la couleur d’arrière-plan de la bascule est verte, ce qui est normalement associé à une option activée.

Quelle que soit l’interface déceptive, toutes ont pour finalité d’affecter le consentement de l’utilisateur. Ce que le droit européen actuel cherche à prévenir.

# II.La prévention de l’ignorance de l’utilisateur

5 Dir. 2005/29/CE, relative à la protection du consommateur contre les pratiques commerciales déloyal (...) 6 Règlement relatif à la protection des données à caractère personnel (RGPD). 17Le DSA, qui interdit expressément la conception d’interfaces déceptives, circonscrit lui-même son champ d’application en prévoyant, à son alinéa 2 qu’échappent à son application les pratiques couvertes par la directive 2005/29/CE5 et le règlement (UE) 2016/6796. En effet, le droit de l’Union européenne, à travers ses textes, prévoit déjà des dispositions susceptibles de sanctionner les interfaces déceptives, incitant ainsi à s’interroger sur l’articulation de ces textes (A). Toutefois, l’efficacité de ces dispositions protectrices reste subordonnée à l’appréhension de l’état d’ignorance de l’utilisateur (B).

## A.L’articulation de la réglementation européenne en matière de dark patterns

7 Enquête « Dark patterns », Fédération romande des consommateurs (FRC) et Public Eye (2022). 18L’article 25 du DSA désigne les fournisseurs de plateforme en ligne. Ce choix semble pertinent dès lors que les dark patterns sont principalement identifiés sur des plateformes importantes. Une étude a en effet mis en évidence que l’on pouvait distinguer pas moins de 18 catégories de dark patterns sur la plateforme chinoise de vente en ligne Shein7.

Pourtant, l’utilisateur victime d’une interface déceptive ne serait pas démuni, car il pourrait se tourner vers la réglementation contre les pratiques commerciales déloyales ou le RGPD. Cependant, leur domaine reste réduit pour le premier aux relations entre consommateurs et professionnels, les professionnels ne pouvant donc pas s’en prévaloir, et, pour le second, aux atteintes portant sur le traitement des données à caractère personnel, ce qui exclut par exemple les interfaces rendant longues et complexes les procédures de désabonnement.

8 Cf. art. 6-1-b du Règlement Rome I qui désigne applicable au contrat de consommation la loi du pays (...) 20Par ailleurs, la réglementation relative aux pratiques déloyales résulte d’une directive et ne bénéficie pas de ce fait d’une application directe. Dès lors, en cas d’action contre un site étranger, cette réglementation ne sera susceptible de s’appliquer qu’après résolution du conflit de loi. Si les règles de droit de l’Union européenne permettent aujourd’hui largement de retenir l’application de ces règles protectrices transposées en droit interne8, cette procédure complexifie toutefois leur mise en œuvre. Sur ce point, le DSA échappe à cet écueil. D’autant que son champ d’application permet de couvrir toutes les atteintes subies par le consommateur européen même lorsque la plateforme en ligne est étrangère.

9 Il existe bien entendu d’autres sources dans lesquelles il est possible de puiser. De même, comme i (...) 10 V. aussi art. 82 de la LIL (L. no 78-17, 6 janv. 1978, relative à l’informatique, aux fichiers et a (...) 11 V. aussi article 6, 1o de la loi informatique et libertés, « un traitement ne peut porter que sur d (...) 12 Art 7-2 RGPD : « Si le consentement de la personne concernée est donné dans le cadre d’une déclarat (...) 13 Cf. art. 12 et s. RGPD, not. art. 12-1 RGPD : « Le responsable du traitement prend des mesures appr (...) 14 L’article 5(3) de la directive 2002/58/CE modifiée en 2009, transposé à l’article 82 de la loi info (...) 15 Délibération no 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’ (...) 21Ces textes présentent donc une complémentarité qui en fait un arsenal protecteur européen9 : alors que les textes précédents avaient pour objet d’imposer une obligation positive d’information pour assurer un consentement intègre de l’utilisateur, le DSA, lui, vient prohiber les pratiques qui y porteraient atteinte. En effet, en matière de traitement des données à caractère personnel, le RGPD non seulement impose la transmission d’informations à l’utilisateur concerné, mais en précise également les conditions. L’intéressé doit donc être informé notamment quant à la collecte de ses données, leur nature et la finalité de leur traitement10. Le RGPD prévoit de plus que l’information doit être transmise d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples11. Cette exigence répond à un double objectif : assurer l’intégrité du consentement de la personne concernée12 et lui permettre de pouvoir exercer les droits qui lui sont reconnus par le RGPD (droit d’accès, à la rectification, à l’oubli,…)13. De même, le dépôt de certains traceurs (cookies) qui permettent notamment de collecter des données à caractère personnel doit être consenti au préalable par l’utilisateur14. Or la CNIL a rappelé que ce consentement renvoie à la définition et aux conditions prévues par le RGPD15.

16 V. par ex. récemment la sanction infligée à la société Doctissimo pour avoir manqué à des obligatio (...) 17 V. par ex. CNIL, délib. no SAN-2022-027, 29 déc. 2022, Tiktok : « La rapporteure a observé qu’au jo (...) 22L’exhaustivité de l’obligation relative au consentement retenue par le droit de l’Union européenne démontre toute son importance dans le cadre des dark patterns. La CNIL sanctionne régulièrement les sites qui omettent de recueillir le consentement des utilisateurs16. Toutefois, les interfaces déceptives ont justement pour objet de recueillir le consentement de l’utilisateur en influençant sa décision. La CNIL peut donc étendre son contrôle aux conditions entourant ce consentement. L’exigence de concision, transparence et d’utilisation de termes clairs permet de sanctionner les tournures de phrases ambiguës ou culpabilisantes. La nécessité d’une accessibilité aisée devrait décourager l’usage de procédures longues et complexes de refus ou de désinscription17.

Ainsi, cette obligation d’information contribue à lutter contre l’état d’ignorance de l’utilisateur. Reste alors à déterminer comment appréhender cet état d’ignorance pour reconnaître la déceptivité d’une interface.

## B.La considération de l’état d’ignorance de l’utilisateur

L’évaluation de la faculté de l’utilisateur à détecter ces pratiques s’avère primordiale à double titre : d’une part, pour déterminer si ces pratiques peuvent avoir un impact sur les utilisateurs, ainsi que la manière dont ils sont affectés ; et, d’autre part, pour s’assurer que l’utilisateur soit effectivement en mesure de dénoncer ces pratiques, par un signalement à la CNIL notamment.

18 18e considérant de la directive 2005/29/CE. 25La directive européenne relative aux pratiques commerciales déloyales s’intéresse effectivement à l’évaluation du consommateur. Si elle n’utilise pas le terme « ignorance », elle adopte un raisonnement proche de ce concept lorsqu’elle prévoit d’adopter comme critère d’évaluation « le consommateur moyen qui est normalement informé et raisonnablement attentif et avisé, compte tenu des facteurs sociaux, culturels et linguistiques18 ». Dès lors, comment apprécier l’état d’ignorance de l’utilisateur qui consulte l’interface ? Et quelles sont les conséquences juridiques de ce constat ?

19 European Commission, Directorate-General for Justice and Consumers, F. Lupiáñez-Villanueva, A. Bolu (...) 26Un rapport de la Commission européenne a mis en lumière que la principale catégorie de consommateurs qui signalait de façon régulière ces pratiques déceptives était sensibilisée à l’existence des dark patterns et prêtait donc davantage attention au contenu des interfaces19. Il s’agit, pour les plus avertis, d’utilisateurs informés, voire formés aux dark patterns, par leur secteur professionnel (milieu industriel, universitaire…) ou par les associations de consommateurs. Or l’étude démontre également, que lorsqu’un utilisateur est informé de l’existence des dark patterns, celui-ci prend alors conscience qu’il y a été confronté et regrette souvent les choix qu’il a acceptés. Ce qui démontre non seulement que la part d’utilisateurs ignorants face à ces pratiques reste considérable, mais qu’en plus celles-ci impactent effectivement leur consentement.

Plus inquiétant encore, le caractère déceptif d’une interface peut s’avérer encore plus malaisé à identifier, voire invisible pour l’utilisateur, lorsqu’il repose sur le profilage. En effet, alors que certaines pratiques, que l’on pourrait qualifier d’objectives, conduisent à l’apparition d’une même interface pour tous les utilisateurs (c’est le cas par exemple de l’apparition d’une fenêtre surgissante qui solliciterait le consentement de l’utilisateur quant au traitement de ses données personnelles), d’autres pratiques consistent à personnaliser l’interface apparente en fonction du profil de l’utilisateur (la formulation de la demande de consentement peut ainsi différer selon l’âge ou le sexe de la personne notamment). Ces pratiques subjectives seront d’autant plus imperceptibles qu’elles dépendent d’un algorithme souvent opaque.

Il faut donc en conclure que le consommateur confronté à ces pratiques ne peut être considéré comme raisonnablement attentif et avisé. Ce qui implique donc que l’impact des dark patterns sur le consentement du consommateur soit largement reconnu. La mise en place d’une campagne de sensibilisation des utilisateurs au risque d’interfaces déceptives présenterait toutefois une efficacité réduite puisqu’il n’est pas certain que l’utilisateur prenne la peine d’un signalement du site. D’autant que l’accès à certains sites est désormais conditionné à l’acceptation du traitement de données à caractère personnel. Ce qui réduit d’autant la liberté de choix dans les faits de l’utilisateur. Pourtant, l’utilisateur bénéficie de l’offre de plateformes concurrentes. Aussi, confronté à ces pratiques, il pourrait choisir de se détourner de ces plateformes pour se diriger vers une autre offre plus respectueuse de ses droits.