Les « Dark Patterns » dans les bannières de consentement cookies

Publié le 05/05/2024

Qu’est-ce qu’un Dark Pattern ?

Les dark patterns sont des tactiques de design qui sont intentionnellement créées pour inciter les utilisateurs à prendre des décisions qui ne sont pas nécessairement dans leur meilleur intérêt ou qui sont contraires à leurs intentions initiales.

Ces pratiques peuvent varier de la simple gêne à des manipulations plus sérieuses qui peuvent avoir des conséquences légales significatives, surtout dans le contexte du RGPD.

Dans le cadre des bannières de consentement cookies, les dark patterns peuvent se manifester de plusieurs manières. Par exemple, rendre difficile pour les utilisateurs de refuser les cookies aussi facilement qu’ils les acceptent, ou utiliser des couleurs et des formulations qui induisent subtilement l’utilisateur à consentir sans une véritable compréhension des enjeux.

Exemples de Dark Patterns dans les bannières de consentement

1. Disguised ads : Utilisation de couleurs ternes pour le bouton de refus et vives pour celui d’acceptation, induisant l’utilisateur à accepter les cookies sans explorer d’autres options.
2. Bait and switch : Bouton « En savoir plus » qui active l’acceptation des cookies plutôt que de fournir des informations.
3. Hidden costs : Descriptions trompeuses affirmant que les cookies sont nécessaires pour les fonctionnalités de base du site.
4. Only positive outcomes : Présentation uniquement des avantages des cookies, sans mention des utilisations en suivi ou publicité.
5. Forced action : Conception de la bannière où fermer la bannière ou manquer de visibilité des options de refus équivaut à consentir.

L’impact des Dark Pattern sur le consentement

Les analyses sont issues de sources académiques et institutionnelles diverses, incluant des conférences sur la sécurité informatique et l’interaction homme-machine (comme les conférences ACM CHI), ainsi que des recherches menées par des entités régulatrices comme la CNIL. Ces études visent à comprendre comment les pratiques de design, notamment l’utilisation de « dark patterns » (pratiques de conception trompeuses), influencent les décisions des internautes.

Bannières neutres et conformes au RGPD

Dans une configuration où les boutons « accepter » et « refuser » sont présentés de manière identique, les taux d’acceptation varient significativement :

• 53% en Espagne lors d’une expérience en laboratoire en 2016​​.
• 72% en Allemagne sur un site de commerce en ligne​​ avec un échantillon de 2000 participants (1700 sur mobile et 300 sur ordinateur), démontrant également que les utilisateurs de smartphone ont plus souvent tendance à cliquer sur accepter.
• 55% aux États-Unis, reflétant une non-habitude des utilisateurs américains à cliquer sur « accepter » en 2019​​.

En outre, une étude portant sur des motifs sombres et clairs [6] révèle un résultat intéressant : lorsque les utilisateurs sont continuellement exposés à des motifs sombres (l’option de rejet est absente sur la première couche ou l’option d’acceptation est présélectionnée ou mise en évidence), ils ont tendance à accepter le consentement plus facilement (taux d’acceptation de 93,8 %).

Lorsque les utilisateurs sont exposés à des motifs lumineux inversés (l’option d’acceptation est absente de la première couche ou l’option de rejet est présélectionnée ou mise en surbrillance), alors les utilisateurs ont tendance à être plus réservés quant à l’acceptation du consentement (taux d’acceptation de 53,2 %).

Le fait que les utilisateurs tendent à accepter le consentement plus souvent sur des sites web réels que dans des expériences contrôlées démontre un effet similaire : sur les sites web réels, les utilisateurs ont été exposés à des schémas sombres très souvent au cours des dernières années, ils ont tendance à ne pas accepter le consentement et ont donc subi un « effet d’apprentissage » ou d’« accoutumance » à sélectionner le motif le plus mis en évidence.

Absence de bouton de refus sur la première couche de la bannière

L’omission du bouton de refus sur la première couche de la bannière augmente les taux de consentement de 22 à 23 points de pourcentage​​. Par exemple, lors d’une étude américaine de 2020, 77% des utilisateurs américains ont donné leur consentement dans cette configuration, contre 55% avec une bannière neutre (dans de mêmes conditions expérimentales)​​.

Les études les plus récentes indiquent qu’entre 90 % et 95,8 % des utilisateurs acceptent les cookies dans les bannières où aucune option de rejet n’est présentée sur la première couche.

Bouton d’acceptation mis en avant

Mettre en avant le bouton d’acceptation augmente également les taux d’acceptation, mais les données précises varient selon les études. Une étude allemande montre une augmentation à 79% par rapport à 72% dans les configurations neutres​​. De manière globale, ce dark pattern la moins extrême, n’a pas d’effet significatif sur le choix, comparée à une bannière neutre.

Granularité des contrôles sur la première page

Fournir des contrôles plus granulaires sur la première page réduit le consentement de 8 à 20 points de pourcentage, ce qui montre que plus les utilisateurs sont informés et ont de contrôle, moins ils sont susceptibles d’accepter aveuglément​​ :

• 50,2 % des participants qui ont cliqué sur « accepter » l’ont fait pour rejeter la bannière [9].
• 56,7 % des 627 participants à cette étude ont cliqué sur le bouton le plus visible d’une bannière de cookies pour la fermer le plus rapidement possible.
• 48 % des participants cliqueraient sur « accepter » parce qu’ils craignent que le site web ou certaines de ses parties ne fonctionnent pas.
• Selon une étude de 2016, expliquer aux utilisateurs qu’ils peuvent continuer à naviguer sur le site web sans accepter les cookies n’a pas d’impact sur les taux de consentement, ce qui suggère que l’inclusion d’un texte sur la possibilité de continuer à naviguer n’est pas efficace.

Les implications légales des Dark Patterns

Les dark patterns dans les bannières de consentement cookies ne sont pas seulement une question d’éthique; ils soulèvent également d’importantes préoccupations légales en vertu du Règlement Général sur la Protection des Données. Le RGPD indique clairement que le consentement doit être donné de manière libre, spécifique, éclairée et univoque, comme le soulignent les articles suivants :

• Article 4(11) du RGPD : Définit le consentement comme «toute manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant soient traitées.»
• Article 7 du RGPD : Détaille les conditions pour le consentement, incluant la nécessité que le consentement soit aussi facile à retirer qu’à donner, ce qui est souvent violé par les dark patterns.
• Article 25 du RGPD : Introduit le concept de «protection des données dès la conception et par défaut», qui impose aux concepteurs de systèmes de prendre en compte la protection de la vie privée dès les premières étapes de conception.

Les enfreintes à ces dispositions peuvent entraîner des sanctions sévères, y compris des amendes qui peuvent atteindre jusqu’à 4% du chiffre d’affaires annuel mondial de l’entreprise ou 20 millions d’euros, selon le montant le plus élevé. La manière dont les dark patterns manipulent les utilisateurs pour obtenir des consentements peut être considérée comme une violation de ces principes fondamentaux.

Comment éviter les Dark Patterns

Pour éviter les dark patterns dans les bannières de consentement aux cookies, les options de consentement doivent être distinctes et équilibrées, sans favoriser l’acceptation par des moyens visuels trompeurs. Fournir un lien direct à la politique de cookies et permettre un retrait facile du consentement sont également essentiels pour respecter le RGPD.

Pour renforcer la conformité au RGPD sans compromettre l’expérience utilisateur, envisagez d’utiliser des outils de collecte de données qui respectent la vie privée et d’éliminer les cookies non essentiels. Cela évite la nécessité d’une bannière de consentement et soutient la protection des données des utilisateurs.

---