L'arnaque du consentement imposé

Aujourd’hui, la presque totalité des sites Internet, des applications et des services numériques nous impose ses propres règles. Banques, commerces, administrations, plateformes médicales, réseaux sociaux, assurances ou services de transport : il devient difficile d’accomplir la moindre démarche sans passer par un écran, créer un compte, accepter des conditions et répondre à une multitude de demandes concernant nos données personnelles.

Le problème n’est plus seulement l’utilisation de l’informatique. Il réside dans un renversement complet des responsabilités. Autrefois, lorsqu’un organisme souhaitait utiliser une information personnelle dans un but nouveau, il devait normalement demander clairement l’autorisation de la personne concernée. Désormais, il arrive de plus en plus souvent que l’organisme décide d’abord et informe ensuite l’utilisateur qu’il doit intervenir pour s’y opposer.

Autrement dit, ce n’est plus à celui qui collecte les données de demander une véritable permission : c’est à chacun de découvrir qu’une nouvelle utilisation est prévue, de comprendre un texte parfois interminable, de trouver le réglage correspondant et de cocher à temps la bonne case pour refuser.

Le silence transformé en accord

Cette pratique repose sur une idée particulièrement dangereuse : celui qui ne répond pas serait supposé accepter.

Pourtant, lorsque le traitement de données repose juridiquement sur le consentement, le règlement européen exige une manifestation de volonté libre, spécifique, éclairée et non équivoque. Le consentement doit normalement résulter d’un acte positif clair. L’absence de réaction, l’oubli ou le fait de ne pas avoir repéré une case ne devraient donc pas être assimilés automatiquement à une autorisation.

Dans la réalité, beaucoup de personnes ne lisent pas ces messages jusqu’au bout. Certaines ne les reçoivent pas, les prennent pour de la publicité ou ne comprennent pas exactement ce qui leur est demandé. D’autres ne maîtrisent pas suffisamment l’informatique pour naviguer dans les paramètres de confidentialité. Cela concerne particulièrement les personnes âgées, mais également tous ceux qui utilisent rarement Internet ou qui disposent d’un petit écran.

On leur répondra qu’elles ont été informées. Mais envoyer une information ne signifie pas qu’elle a été réellement vue, comprise et acceptée.

Une opposition volontairement difficile à trouver

Très souvent, l’option favorable à l’entreprise est mise en évidence, tandis que le refus est relégué dans un lien discret, écrit en petits caractères ou noyé au milieu d’un long texte juridique. Il faut parfois ouvrir plusieurs pages, descendre jusqu’en bas, décocher différentes catégories, puis confirmer une seconde fois son choix.

Ces procédés sont appelés des interfaces ou designs trompeurs, parfois désignés sous le terme anglais dark patterns. Leur présentation oriente subtilement l’utilisateur vers le choix le plus avantageux pour le site, même lorsque ce choix est contraire à ses intérêts. La CNIL a elle-même constaté que ces mécanismes étaient largement utilisés et qu’ils pouvaient entraver la capacité des personnes à prendre une décision réellement éclairée concernant leur vie privée.

Le bouton « Tout accepter » est souvent gros, coloré et immédiatement visible. Le bouton « Tout refuser » peut être gris, plus petit ou remplacé par une expression ambiguë comme « Continuer sans personnalisation ». Le refus existe donc théoriquement, mais tout est fait pour qu’il soit moins facile que l’acceptation.

La fatigue organisée du consentement

À force de rencontrer ces fenêtres à chaque connexion, les utilisateurs finissent par cliquer presque mécaniquement. Il ne s’agit plus d’un véritable choix, mais d’une réaction destinée à faire disparaître l’obstacle qui empêche d’accéder au site.

Cette répétition produit une véritable fatigue. Lorsqu’une personne doit répondre dix ou vingt fois par jour à des demandes de consentement, lire des pages de conditions générales et vérifier régulièrement les paramètres de chaque service, sa vigilance diminue nécessairement.

Les entreprises le savent parfaitement. Elles connaissent le comportement des utilisateurs et savent que la majorité d’entre eux choisiront la solution la plus rapide. L’apparence du consentement est alors conservée, mais son esprit disparaît.

La vie privée réservée aux plus vigilants

La protection des données personnelles ne devrait pas dépendre de la capacité de chacun à repérer une petite phrase placée au milieu d’une page. Elle ne devrait pas devenir un privilège réservé aux personnes les plus attentives, les plus compétentes en informatique ou celles qui disposent de suffisamment de temps pour examiner chaque réglage.

Une personne peut parfaitement souhaiter utiliser un service médical, bancaire ou administratif sans accepter que ses informations servent à d’autres usages. Elle ne devrait pas avoir à parcourir un labyrinthe numérique pour le faire savoir.

Cette question devient encore plus grave lorsqu’il s’agit de données de santé, de prescriptions médicales, d’informations financières ou de documents administratifs. Ces données révèlent une partie extrêmement intime de la vie d’une personne. Leur utilisation ne peut pas être traitée comme une simple préférence commerciale.

Une liberté devenue théorique

Les organismes affirment souvent que l’utilisateur reste libre de refuser. Mais une liberté difficile à exercer n’est plus tout à fait une liberté.

Lorsque l’on impose une date limite, que l’on dissimule le refus dans les paramètres, que l’on utilise des formulations obscures ou que l’on considère l’inaction comme un accord, on ne recueille pas réellement une décision : on profite de la distraction, de l’ignorance ou de la lassitude des personnes.

Le principe devrait pourtant être simple : toute utilisation nouvelle, facultative et non indispensable des données devrait être désactivée par défaut. Celui qui souhaite l’accepter pourrait alors le faire volontairement. Ce serait à l’organisme de démontrer que la personne a clairement accepté, et non à l’utilisateur de prouver qu’il avait voulu refuser.

L’informatique ne doit pas devenir une contrainte absolue

L’informatique devait simplifier les démarches. Elle est trop souvent devenue un moyen de transférer le travail et la responsabilité vers l’usager. C’est à lui de créer ses comptes, retenir ses mots de passe, surveiller ses messages, repérer les changements de conditions et protéger ses informations.

Pendant ce temps, l’organisme peut se contenter d’affirmer qu’une notification a été envoyée ou qu’une case pouvait être cochée.

Ce système est profondément déséquilibré. Il permet à des décisions importantes d’être prises presque silencieusement, sans véritable discussion et parfois sans que la majorité des personnes concernées en ait conscience.

La vie privée ne devrait pas se perdre à cause d’une case oubliée, d’un courriel non lu ou d’un texte volontairement illisible. Le consentement doit être demandé clairement, et non déduit du silence. Refuser doit être aussi simple qu’accepter. Sans cela, le consentement numérique risque de n’être qu’une façade derrière laquelle s’organise une collecte toujours plus large de nos vies personnelles.

Bonne journée à tous