Motif sombre

Un dark pattern (également connu sous le nom de « modèle de conception trompeur ») est « une interface utilisateur qui a été soigneusement conçue pour inciter les utilisateurs à faire certaines choses, comme souscrire une assurance hors de prix lors de leur achat ou souscrire à des factures récurrentes ». Le concepteur d'expérience utilisateur Harry Brignull a inventé le néologisme le 28 juillet 2010 avec l'enregistrement de darkpatterns.org, une « bibliothèque de modèles ayant pour objectif spécifique de nommer et de faire honte aux interfaces utilisateur trompeuses ». En 2023, il a publié le livre Deceptive Patterns .

En 2021, l' Electronic Frontier Foundation et Consumer Reports ont créé une ligne d'assistance téléphonique pour recueillir des informations sur les dark patterns auprès du public.

Le « Privacy Zuckering » – du nom du cofondateur de Facebook et PDG de Meta Platforms, Mark Zuckerberg – est une pratique qui incite les utilisateurs à partager plus d’informations qu’ils ne le souhaitaient. Les utilisateurs peuvent divulguer ces informations sans le savoir ou par le biais de pratiques qui obscurcissent ou retardent la possibilité de refuser le partage de leurs informations privées.

La Californie a approuvé des réglementations qui limitent cette pratique par les entreprises dans le California Consumer Privacy Act .

À la mi-2024, Meta Platforms a annoncé son intention d'utiliser les données des utilisateurs de Facebook et d'Instagram pour former ses technologies d'IA, notamment ses systèmes d'IA générative. Cette initiative comprenait le traitement des données provenant de publications publiques et non publiques, d'interactions et même de comptes abandonnés. Les utilisateurs avaient jusqu'au 26 juin 2024 pour refuser le traitement des données. Cependant, les critiques ont noté que le processus était semé d'obstacles, notamment des notifications par courrier électronique trompeuses, des redirections vers des pages de connexion et des formulaires de désinscription cachés difficiles à localiser. Même lorsque les utilisateurs trouvaient les formulaires, ils étaient tenus de fournir une raison pour laquelle ils se retiraient, malgré la politique de Meta indiquant que n'importe quelle raison serait acceptée, ce qui soulève des questions sur la nécessité de cette étape supplémentaire.

Le Centre européen pour les droits numériques ( Noyb ) a réagi aux pratiques controversées de Meta en déposant des plaintes dans 11 pays de l'UE. Noyb a allégué que l'utilisation par Meta de « dark patterns » portait atteinte au consentement des utilisateurs, enfreignant ainsi le règlement général sur la protection des données ( RGPD ). Ces plaintes ont souligné que le processus de désinscription obstructif de Meta comprenait des formulaires cachés, des mécanismes de redirection et des exigences inutiles telles que la fourniture de motifs de désinscription, des tactiques illustrant les « dark patterns », délibérément conçues pour dissuader les utilisateurs de se désinscrire. De plus, Meta a admis qu'elle ne pouvait pas garantir que les données désinscrites seraient entièrement exclues de ses ensembles de données de formation, ce qui soulève d'autres inquiétudes quant à la confidentialité des utilisateurs et au respect de la protection des données.

Face à la pression croissante des autorités réglementaires et de l'opinion publique, la Commission irlandaise de protection des données (DPC) est intervenue, obligeant Meta à suspendre ses projets de traitement des données des utilisateurs de l'UE/EEE pour la formation de l'IA. Cette décision, bien qu'importante, n'a pas donné lieu à une modification juridiquement contraignante de la politique de confidentialité de Meta, ce qui laisse planer des questions sur son engagement à long terme en faveur du respect des droits des données de l'UE. En dehors de l'UE, cependant, Meta a procédé à la mise à jour de sa politique de confidentialité comme prévu le 26 juin 2024, ce qui a incité les critiques à mettre en garde contre les implications plus larges de telles pratiques à l'échelle mondiale.

Cet incident a mis en évidence le problème omniprésent des « dark patterns » dans les environnements de confidentialité et les défis que pose la responsabilisation des grandes entreprises technologiques en matière de pratiques en matière de données. Les groupes de défense des droits ont appelé à des cadres réglementaires plus stricts pour empêcher les tactiques trompeuses et garantir que les utilisateurs puissent exercer un contrôle significatif sur leurs informations personnelles.

Les modèles de type « appât et échange » font la promotion d'un produit ou d'un service gratuit (ou à un prix très réduit ) qui est totalement indisponible ou stocké en petites quantités. Après avoir annoncé l'indisponibilité du produit, la page présente des produits similaires à des prix plus élevés ou de moindre qualité.

La tarification au compte-gouttes est un modèle dans lequel un prix affiché au début du processus d'achat est suivi de la divulgation progressive de frais, taxes ou charges supplémentaires. L'objectif de la tarification au compte-gouttes est d'attirer l'attention du consommateur sur un prix affiché bas et trompeur sans que le véritable prix final ne soit divulgué jusqu'à ce que le consommateur ait investi du temps et des efforts dans le processus d'achat et pris la décision d'acheter.

Le Confirmshaming utilise la honte pour inciter les utilisateurs à agir, par exemple lorsque les sites Web formulent une option permettant de refuser une newsletter par e-mail d'une manière qui fait honte aux visiteurs et les incite à l'accepter.

Courant dans les installateurs de logiciels, le détournement présente à l'utilisateur un bouton ressemblant à un bouton de continuation classique. Un motif sombre afficherait un bouton bien visible « J'accepte ces conditions » demandant à l'utilisateur d'accepter les conditions d'un programme sans rapport avec celui qu'il essaie d'installer. Étant donné que l'utilisateur accepte généralement les conditions par habitude, le programme sans rapport peut ensuite être installé. Les auteurs de l'installateur le font parce que les auteurs du programme sans rapport paient pour chaque installation qu'ils se procurent. L'itinéraire alternatif dans l'installateur, permettant à l'utilisateur d'ignorer l'installation du programme sans rapport, est affiché beaucoup moins en évidence, ou semble contre-intuitif (comme le fait de refuser les conditions de service).

Certains sites Web qui demandent des informations qui ne sont pas obligatoires utilisent également des techniques de redirection. Par exemple, on peut saisir un nom d'utilisateur et un mot de passe sur une page, puis après avoir cliqué sur le bouton « Suivant », la page demande à l'utilisateur son adresse électronique avec un autre bouton « Suivant » comme seule option. Cela masque l'option permettant d'appuyer sur « Suivant » sans saisir les informations. Dans certains cas, la page affiche la méthode permettant de sauter l'étape sous la forme d'un petit lien grisé au lieu d'un bouton, de sorte qu'elle ne se remarque pas pour l'utilisateur. D'autres exemples incluent des sites proposant un moyen d'inviter des amis en saisissant leur adresse électronique, de télécharger une photo de profil ou d'identifier leurs centres d'intérêt.

Une formulation confuse peut également être utilisée pour inciter les utilisateurs à accepter formellement une option qui, selon eux, a une signification opposée. Par exemple, un bouton de consentement au traitement des données personnelles utilisant une double négation telle que « ne pas vendre mes informations personnelles ».

Un motel anti-cafards ou un filet à trémail offrent un chemin facile ou direct pour entrer, mais un chemin difficile pour sortir. Les exemples incluent les entreprises qui demandent aux abonnés d'imprimer et de poster leur demande de désinscription ou d'annulation.

Par exemple, lors de l' élection présidentielle américaine de 2020 , la campagne WinRed de Donald Trump a utilisé un modèle sombre similaire, poussant les utilisateurs à s'engager à un don mensuel récurrent.

Une autre version courante de ce modèle est tout service qui permet de s'inscrire et de démarrer le service en ligne, mais qui nécessite un appel téléphonique (souvent avec de longs délais d'attente) pour mettre fin au service. Les exemples incluent des services comme la télévision par câble et les services Internet, ainsi que la surveillance du crédit.

En 2021, aux États-Unis, la Federal Trade Commission (FTC) a annoncé qu'elle renforcerait la lutte contre les pratiques frauduleuses telles que les motels aux cafards qui incitent les consommateurs à souscrire à des abonnements ou rendent difficile l'annulation. La FTC a énoncé des exigences clés liées à la transparence et à la clarté des informations, au consentement éclairé exprès et à l'annulation simple et facile.

En 2016 et 2017, des recherches ont documenté les pratiques anti-vie privée des médias sociaux utilisant des dark patterns. En 2018, le Conseil norvégien des consommateurs (Forbrukerrådet) a publié « Deceived by Design », un rapport sur les conceptions d'interface utilisateur trompeuses de Facebook , Google et Microsoft . Une étude de 2019 a examiné les pratiques sur 11 000 sites Web commerciaux. Elle a identifié 1 818 dark patterns au total et les a regroupés en 15 catégories.

Une étude réalisée en avril 2022 a révélé que les dark patterns sont encore couramment utilisés sur le marché, soulignant la nécessité d'un examen plus approfondi de ces pratiques par le public, les chercheurs et les régulateurs.

En vertu du règlement général sur la protection des données (RGPD) de l'Union européenne , toutes les entreprises doivent obtenir le consentement libre et sans ambiguïté des clients avant de collecter et d'utiliser (« traiter ») leurs informations personnelles identifiables. Une étude de 2020 a révélé que les « grandes entreprises technologiques » utilisaient souvent des interfaces utilisateur trompeuses afin de décourager leurs utilisateurs de se désinscrire. En 2022, un rapport de la Commission européenne a révélé que « 97 % des sites Web et des applications les plus populaires utilisés par les consommateurs de l'UE déployaient au moins un dark pattern. »

Les recherches sur la documentation des réseaux publicitaires montrent que les informations présentées aux développeurs d'applications mobiles sur ces plateformes sont axées sur le respect des réglementations légales et font peser la responsabilité de ces décisions sur le développeur. En outre, les exemples de code et les paramètres comportent souvent des valeurs par défaut non respectueuses de la vie privée, associées à des dark patterns, pour inciter les développeurs à prendre des décisions qui ne respectent pas la vie privée, comme le partage de données sensibles pour augmenter les revenus.

L'appât et l'échange sont une forme de fraude qui viole la loi américaine.

Le 9 avril 2019, les sénateurs américains Deb Fischer et Mark Warner ont présenté le Deceptive Experiences To Online Users Reduction (DETOUR) Act, qui rendrait illégal pour les entreprises comptant plus de 100 millions d'utilisateurs actifs par mois d'utiliser des modèles sombres lorsqu'elles demandent le consentement à l'utilisation de leurs informations personnelles.

En mars 2021, la Californie a adopté des amendements à la California Consumer Privacy Act , qui interdit l'utilisation d'interfaces utilisateur trompeuses qui ont « pour effet substantiel de subvertir ou de compromettre le choix d'un consommateur de se retirer ».

En octobre 2021, la Federal Trade Commission a publié une déclaration de politique d'application, annonçant une répression contre les entreprises utilisant des modèles sombres qui « trompent ou piègent les consommateurs vers des services d'abonnement ». En raison du nombre croissant de plaintes, l'agence réagit en appliquant ces lois de protection des consommateurs .

En 2022, la procureure générale de New York, Letitia James, a infligé une amende de 2,6 millions de dollars à Fareportal pour avoir utilisé des tactiques de marketing trompeuses pour vendre des billets d'avion et des chambres d'hôtel et la Cour fédérale d'Australie a infligé une amende de 44,7 millions de dollars australiens à Trivago , filiale d'Expedia Group, pour avoir induit les consommateurs en erreur en les faisant payer des prix plus élevés pour les réservations de chambres d'hôtel.

En mars 2023, la Federal Trade Commission des États-Unis a infligé une amende de 245 millions de dollars au développeur de Fortnite, Epic Games, pour avoir utilisé des « modèles sombres pour inciter les utilisateurs à effectuer des achats ». Les 245 millions de dollars serviront à rembourser les clients concernés et constituent le montant de remboursement le plus important jamais émis par la FTC dans une affaire de jeu.

Dans l'Union européenne, le RGPD exige que le consentement éclairé d'un utilisateur au traitement de ses informations personnelles soit sans ambiguïté, donné librement et spécifique à chaque utilisation des informations personnelles. Cela vise à empêcher les tentatives visant à amener les utilisateurs à accepter par défaut, sans le savoir, tous les traitements de données (ce qui viole le règlement).

Selon le Comité européen de la protection des données , le « principe de traitement équitable énoncé à l'article 5 (1) (a) du RGPD sert de point de départ pour évaluer si un modèle de conception constitue réellement un « dark pattern » ».

Fin 2023, la version finale de la loi sur les données a été adoptée. Il s'agit de l'une des trois législations de l'UE qui traitent expressément des dark patterns. Une autre étant la loi sur les services numériques . La troisième législation de l'UE en vigueur sur les dark patterns est la directive sur les contrats de services financiers conclus à distance. L'organisation publique allemande de protection des consommateurs affirme que les grandes entreprises technologiques utilisent des dark patterns pour violer la loi sur les services numériques .

En avril 2019, le Bureau du Commissaire à l'information du Royaume-Uni (ICO) a publié un projet de « code de conception adapté à l'âge » pour les opérations des services de réseaux sociaux utilisés par des mineurs, qui interdit l'utilisation de « nudges » pour attirer les utilisateurs vers des options dont les paramètres de confidentialité sont faibles. Ce code serait applicable en vertu de la loi sur la protection des données de 2018. [ Il est entré en vigueur le 2 septembre 2020.