Chapitre 11
Farces et attrapes du recueil de consentement sur le Web
p. 228-248
Texte intégral
« Si c’est pas oui, c’est non ! »
1C’est ainsi que Project Consent, une association américaine de lutte contre la culture du viol, définit le consentement. Le consentement est aussi un pilier du droit à la vie privée et à la protection des données à caractère personnel. Le modèle du « Notice and Consent »1 est devenu le modèle dominant pour obtenir le droit de collecter des données à caractère personnel sur le web2. Ainsi, de plus en plus de sites web se sont dotés de « bandeaux cookies » qui prétendent obtenir le consentement des internautes avant de stocker des cookies sur leurs terminaux ou d’utiliser d’autres techniques pour les profiler. Entre janvier 2018 et février 2019, le taux des sites disposant de tels bandeaux parmi ceux figurant dans les 500 sites les plus visités, selon Alexa, dans au moins un pays européen est passé de 46,1 % à 62,1 %3. Christine Utz et ses collègues4 ont toutefois constaté que 86 % des bandeaux de leur corpus ne proposaient en guise de consentement qu’un bouton de confirmation sans possibilité d’exprimer un refus. Puis, une étude publiée en 20205 a montré qu’environ 10 % des sites de leur échantillon enregistrent un consentement positif avant même que l’utilisateur ait interagi avec le bandeau. En outre, le design de ces interfaces influe fortement sur le comportement des utilisateurs, et leur propension à interagir avec elles d’une façon qui leur permet de recueillir un consentement, par exemple en incitant à cliquer sur un bouton « j’accepte » beaucoup plus visible qu’un bouton « je refuse ». Dans une démarche expérimentale, en faisant varier divers paramètres, Christine Utz et ses collègues constatent que les taux de clics sur le bouton de consentement pouvaient évoluer de 0,1 % à 50,8 %6 en fonction des designs utilisés. Ce qui donne à comprendre que le design joue significativement sur la démarche de recueil de consentement. Enfin, de nombreux internautes se sentent sursollicités par ces bandeaux, et tendent à « accepter » les cookies – et autres technologies de pistage – par lassitude7. Dans quelle mesure cette acceptation équivaut-elle à un « consentement », que ce soit au sens commun ou bien au sens du droit ?
2La publicité ciblée comportementale, qui est devenue dès la fin des années 2000 le modèle commercial du web, repose sur une collecte massive de données sur les internautes8. Théoriquement, nous le verrons, une telle collecte supposerait le recueil préalable de leur consentement. Pourtant, nous venons de le voir, les bandeaux cookies, dans leur majorité, sont loin de respecter la règle selon laquelle « si c’est pas oui, c’est non ». Est-ce à dire que le « consentement » n’aurait pas le même sens en relation aux données à caractère personnel que dans d’autres domaines de la vie ?
3Différentes études réalisées sur l’étymologie et la généalogie du consentement révèlent que le sens de ce mot n’a en fait rien d’évident. Il n’a acquis que récemment la place centrale qu’il occupe dans de nombreux domaines de la vie (contrats, sexualité, déontologie médicale, droit à l’autodétermination informationnelle…) tant d’un point de vue moral que juridique. Son sens, loin d’être donc stabilisé, fait encore l’objet de controverses sociales, politiques, juridiques et, nous le verrons, techniques.
4Après une brève présentation de l’histoire du consentement dans notre droit, nous décrirons comment il est devenu un pilier de la protection des données à caractère personnel à partir des années 1970. Nous reviendrons aussi sur les nombreux débats qui ont porté sur la définition du consentement afin qu’il soit inscrit dans le Règlement général de protection des données de l’Union européenne adopté en avril 2016.
5Selon son article 4, le consentement est « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Comme la Cour de justice de l’Union européenne (CJUE) l’a rappelé dans une décision de 2019, cette définition, lue conjointement avec l’article 5 (3) du règlement 2002/58/CE (dit « e-Privacy ») modifié par la directive 2009/136/CE, exige que le consentement à l’installation de cookies sur le terminal de l’utilisateur ait lieu à travers une « “manifestation” de volonté de la personne concernée [qui] évoque clairement un comportement actif et non pas passif »9.
6Malgré cela, nombre de bandeaux cookies n’offrent pas de possibilités d’interactions qui permettent l’expression d’un consentement par acte positif. Leurs boîtes de dialogue sont généralement accompagnées d’un texte prétendant qu’un utilisateur peut valablement consentir aux cookies et/ou au pistage de sa navigation de façon tacite, par exemple en faisant défiler la page web dans son navigateur. Une telle scénarisation du recueil du consentement n’incarne plus l’expression « si c’est pas oui, c’est non », mais devient au contraire un « si c’est pas non, c’est oui ».
7Dans l’échantillon que nous avons étudié en 202010, au moins environ 60 % de ces bandeaux sont générés par des « plateformes de gestion du consentement » (Consent Management Platforms, CMP) identifiées. Les auteurs ou webmasters de sites web ne sont pas nécessairement les auteurs, ou du moins les seuls auteurs, de ces bandeaux, dont les textes se répètent plus ou moins (et parfois parfaitement) à l’identique d’un site à l’autre11. Sur 56 sites disposant de CMP, nous en avons identifié 41 répertoriés par l’Interactive Advertisement Bureau (IAB) comme répondant à la norme du Transparency and Control Framework (TCF) que cette association de défense des intérêts de l’industrie de la publicité comportementale développe. En incitant les sites qui souhaitent vendre de l’espace d’affichage publicitaire à ses membres qu’ils mettent en place un CMP conforme au TCF, l’IAB devient co-auteur de leurs bandeaux cookies. Il en résulte une écriture à trois entre le webmaster du site, les développeurs du CMP, et l’IAB. Le TCF, critiqué pour son manque de conformité aux exigences du RGPD12, a ainsi pris la place qu’aurait dû prendre le Do Not Track, projet soutenu par le World Wide Web Consortium (W3C)13 et par la Commission européenne14.
8C’est avant tout par l’intermédiaire de l’interaction avec ces CMP et les autres bandeaux cookies que le grand public prend connaissance de ses droits au titre du RGPD. Or nous verrons que ceux-ci popularisent, à travers des interactions répétées, l’idée selon laquelle un consentement peut s’avérer tacite. Ce qui participe au renforcement d’un sentiment de résignation des internautes à l’égard de la surveillance dont ils font l’objet sur le web.
Que signifie « consentir » ?
9L’usage du consentement en droit des obligations, c’est-à-dire en matière contractuelle, est assez ancien, il a connu une forte progression au cours du xxe siècle, notamment dans le domaine du droit de la sexualité et du droit médical15. Sa définition n’est pas sans soulever un certain nombre de problèmes conceptuels.
10Selon le dictionnaire du Trésor de la langue française16, le « consentement » est à la fois « l’action de consentir » et le « résultat de cette action ». Il s’agit aussi d’un « accord donné à un acte légal », d’une « acceptation totale et réfléchie d’une valeur reconnue comme vraie ou existante » ou encore d’un « acte libre de la pensée par lequel on s’engage entièrement à accepter ou accomplir quelque chose ». Ces définitions n’ont pas tout à fait le même sens. En mettant de côté la définition qui fait du « consentement » le résultat d’un acte, il peut s’agir soit de l’expression d’une soumission à la volonté de l’autre, soit de celle d’une volonté libre de ses choix.
11Marie-Anne Frison-Laroche distingue la « rencontre des volontés » de « l’échange des consentements »17. Elle poursuit en affirmant qu’en « Occident, la liberté est dans le “non”, le consentement est dans le “oui”. Par la volonté, je domine ; par le consentement, je me soumets » (ibid.) et de rappeler l’article 1108 du Code civil qui évoquait alors le « consentement de la partie qui s’oblige »18 comme l’une des conditions à la validité d’un contrat.
12Maxence Christelle, relève aussi, dans sa thèse, une troisième définition possible : le fait de « sentir avec », qui renvoie à l’étymologie latine cum-sentire. Cette idée de partage d’un sentiment de volonté avec autrui se retrouve dans des dictionnaires de langue anglaise19. Aujourd’hui, l’article 1128 du Code civil, qui succède à l’ancien article 1108, parle du « consentement des parties »20, non plus du « consentement de la partie qui s’oblige », ce qui semble indiquer une évolution vers un « consentement » fondé sur l’intention partagée et la rencontre de volontés libres. Pourtant, l’usage antique de ce mot aurait été inspiré plutôt par une philosophie stoïcienne faisant du consentement un assentiment au Destin (ibid., p. 22), ce qui semble assez contraire à l’idéal moderne et libéral de la liberté individuelle. Ce qui semble éloigné du sens contemporain du mot.
13Le sens précis du mot « consentement » a donc évolué au cours du temps, et il en existe plusieurs acceptions, dont certaines se contredisent sur certains points. Le droit des données à caractère personnel tranche toutefois de façon explicite en faveur d’un consentement qui se conçoit comme la manifestation active de la libre volonté de l’individu.
L’exigence du consentement dans le droit de la protection des données à caractère personnel
14L’avènement du consentement dans le droit de la vie privée remonte aussi à la seconde moitié du xxe siècle et s’est fait sous l’influence de certaines théories libérales sur celui-ci21. Il semble s’inscrire dans le même mouvement que les autres domaines du droit que nous venons d’évoquer. Il est lié à l’invention, en réaction à une informatique naissante mais déjà perçue comme une menace pour la vie privée, du droit à la protection des données à caractère personnel dans les années 197022 et à l’affirmation, d’abord en Allemagne de l’Ouest suite à une décision du Tribunal constitutionnel fédéral de 198323 d’un droit à « l’autodétermination informationnelle »24, intégré dans le droit français par la loi pour une République numérique de 201625.
15Selon la définition de la « donnée à caractère personnel » retenue dès les années 1970, toute donnée, peu importe son contenu, est « personnelle » dès lors qu’il existe un lien entre celle-ci et une personne physique identifiée ou identifiable26. Peu importe si l’information contenue dans la donnée relève de la « vie privée » ou non. Depuis l’entrée en vigueur de la directive de 1995 sur la protection des données27, partout dans l’UE, même s’il existe de nombreuses exceptions, en principe, cette donnée ne peut être collectée et utilisée (« traitée ») qu’avec le consentement de la personne concernée. L’objet du droit à la vie privée est progressivement devenu une affaire de droit de l’individu à disposer librement de soi, y compris de son soi informationnel, et l’idée d’une distinction espaces publics et privés collectivement définie et imposée s’est estompée28.
16Cette place accordée au consentement individuel a été fortement critiquée dans la littérature, au titre qu’elle engendrerait une soumission au régime du capitalisme de la surveillance29. Parmi les arguments invoqués contre le consentement individuel comme fait justificateur au traitement de données à caractère personnel, on trouve souvent l’idée que ces données ont en réalité une dimension collective30, que l’individu n’a pas toutes les informations nécessaires lui permettant de faire ses choix ni le temps de lire ces informations lorsqu’elles lui sont présentées31, l’idée que dans certaines situations un individu ne devrait pas pouvoir, dans son propre intérêt ou dans l’intérêt de la collectivité, divulguer certains types de données, ou encore le fait qu’en pratique, les dispositifs de recueil du consentement n’offrent pas de choix véritable à l’utilisateur.
17Or, le consentement en matière de données à caractère personnel, qui, comme l’explique Andrea Jelinek, est une notion juridique autonome32, rejette clairement l’acception qui en ferait une simple acceptation d’une soumission à la volonté d’autrui. Ce rejet a été réaffirmé par l’adoption du Règlement général de protection des données (RGPD) en 2016.
18En 2009, la Commission européenne a annoncé son intention de réformer le cadre juridique établi par la directive de 1995. En 2012, elle a proposé un projet de RGPD adopté en avril 2016. Durant le processus d’adoption, l’un des principaux points de débat entre la coalition des défenseurs de la vie privée33 et celle des groupes d’intérêts industriels était la définition de la notion de « consentement », que chacun a tenté de faire évoluer par rapport à l’état du droit issu de la directive antérieure34.
19Ces derniers souhaitaient notamment restreindre les cas de figure où la recherche du consentement serait nécessaire pour exploiter (« traiter ») des données à caractère personnel. Ils disaient aussi craindre une transformation du consentement en simple « routine »35 dépourvue de sens. Selon Facebook, il y avait un « risque d’inonder les utilisateurs de cases à cocher et d’avertissements qui pourraient altérer et disjoindre de façon disproportionnée son expérience d’utilisation d’Internet »36. L’une des solutions proposées était alors la reconnaissance de la validité d’un consentement implicite (ibid.), ou d’un consentement qui bien qu’étant tacite, puisse être néanmoins « sans ambiguïtés »37. Il s’agissait de ne pas interdire des mécanismes de recueil du consentement opt-out, c’est-à-dire par lesquels l’internaute est réputé avoir consenti tant qu’il n’exprime pas son opposition au traitement, par contraste aux mécanismes de type opt-in qui renvoient à l’idée d’une opposition par défaut. Les défenseurs de la vie privée souhaitaient au contraire réduire les cas de figure où se passer du consentement soit possible, et ils soutinrent la proposition initiale de la Commission de ne plus considérer comme valides que les expressions de consentements « explicites »38. Leur volonté était de s’assurer que l’expression « qui ne dit mot consent », c’est-à-dire le consentement tacite, ne puisse pas s’appliquer au traitement de données à caractère personnel.
20À l’issue des discussions, les groupes d’intérêts industriels sont parvenus à retirer du texte l’exigence que tout consentement doive être « explicite » pour être valable. Le RGPD définit donc aujourd’hui le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque [mais pas explicite] par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement » (article 4 [11] du RGPD).
21La victoire est en demi-teinte pour les groupes d’intérêts industriels, car cette définition exclut bien toute forme de consentement tacite. Le considérant 32 du règlement rappelle d’ailleurs qu’il « ne saurait […] y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité ».
22Ainsi, nous pouvons retenir qu’en matière de vie privée et de données à caractère personnel, le consentement est nécessairement opt-in. Il s’agit d’une manifestation de la volonté de la personne concernée, qui dispose librement de données personnelles constitutives de sa personnalité au sens juridique et moral. C’est en principe cette volonté individuelle, et non des normes collectivement imposées de distinction entre public et privé, qui détermine les limites de ce qu’elle souhaite partager, avec qui elle le partage, et pour quelles finalités. C’est lorsque cette volonté libre rencontre une proposition formulée par la volonté d’une personne physique ou morale proposant de traiter ses données (le « responsable du traitement » en jargon juridique) qu’elle peut alors accepter la proposition par un acte positif clair. L’absence de contrainte venant soumettre la volonté de l’individu et l’idée selon laquelle « si c’est pas oui, c’est non » sont alors des éléments essentiels du consentement au titre du RGPD.
Bandeaux cookies, Consent Management Platforms et Dark Patterns
23L’affichage de publicités en ligne repose désormais en grande partie sur le profilage de l’internaute afin de connaître ses goûts et centres d’intérêts. Plusieurs techniques sont utilisées pour reconnaître un internaute d’un site à l’autre et nourrir ce profil de son historique de navigation, ses recherches sur les moteurs de recherche d’un site, ses clics, ses temps de consultation par page, la redondance de consultation des mêmes pages, etc.. Certaines supposent l’enregistrement d’un identifiant unique dans des cookies, des fichiers stockés dans l’ordinateur de l’utilisateur et rendus accessibles au site web l’ayant généré.
24L’article 5 (3) de la directive 2002/58/CE, dite directive e-Privacy, oblige les sites web à obtenir l’accord de chacun de leurs utilisateurs pour enregistrer des données sur leur équipement, sauf dans les situations où cet enregistrement vise « exclusivement à effectuer la transmission d’une communication par la voie d’un réseau de communications électroniques »39 ou est strictement nécessaire « au fournisseur pour la fourniture d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur ». Or, cet accord est à entendre au sens d’un consentement défini par la directive de 1995 et aujourd’hui par le RGPD. C’est ce qu’a rappelé la Cour de justice de l’Union européenne dans sa décision précitée du 1er octobre 2019. Ainsi, « le recueil du consentement à l’utilisation de cookies, par le biais d’une case pré-cochée »40 ou toute autre forme de mécanisme implicite ne constitue pas un consentement au sens du RGPD. Refuser les cookies sur son terminal et/ou le profilage à des fins de publicité personnalisée doit être aussi simple que les accepter, et rien ne doit venir entraver le caractère univoque et actif du consentement.
25Étant donné l’échec des tentatives du World Wide Web Consortium de standardiser l’expression du consentement à la collecte de données et au suivi des activités sur le web avec les projets Platform for Privacy Preferences et Do Not Track41, ce sont les bandeaux cookies, dont certains sont générés par des Consent Management Platforms (CMP) fournis par des éditeurs comme OneTrust, QuantCast ou encore Didomi, qui se voient confiés la tâche de recueillir le consentement de leurs visiteurs par de nombreux sites web.
26Ces bandeaux peuvent être une simple demande de confirmation disparaissant en un clic avec éventuellement un lien vers une politique de confidentialité, ou bien proposer des interactions plus complexes en plusieurs étapes :
Bandeau permettant plusieurs étapes d’interaction (Étape 1)

Captures d’écran des bandeaux cookies du site du Service public effectuées le 30 juin 2020.
Bandeau permettant plusieurs étapes d’interaction (Étape 2)

Captures d’écran des bandeaux cookies du site du Service public effectuées le 30 juin 2020.
Interface opt-out biaisée ne présentant qu’un bouton « j’accepte » en étape 1

Capture d’écran du bandeau de cookie du site de La Poste réalisée le 9 juillet 2020. Le bandeau ne propose en première interaction, sur la page d’accueil, qu’un bouton « J’accepte ».
27Les études réalisées à leur sujet montrent toutes que la plupart ne permettent pas de recueillir un consentement valide. Midas Nouwens et al.42 affirment que seuls 12,6 % des sites de leur corpus ont un bouton « refuser » accessible aussi facilement que le bouton « accepter ». Les captures d’écran suivantes montrent la différence entre une interface permettant, conformément aux dispositions en vigueur, de refuser aussi facilement qu’accepter, puis une diversité d’interfaces qui rendent l’action de refuser plus difficile que celle d’accepter.
Interface opt-in permettant de refuser dès l’étape 1

Capture d'écran du bandeau cookie du site du Comité européen de protection des données effectuée le 4 octobre 2020. Le bandeau propose un bouton « reject » accessible avec le même nombre de clics et de même taille que le bouton « accept ».
Bandeau ne permettant qu’une simple confirmation

Capture d’écran du bandeau cookie du site de la Caisse d’épargne effectuée le 1er juin 2020.
28De nombreux bandeaux comportent de tels éléments de design, éléments qui sont qualifiés de dark patterns . Ceux-ci peuvent être définis, à l’instar de Harry Brignull, comme des « ruses, utilisées sur des sites web et des applications qui vous font acheter ou vous inscrire à des choses que vous ne vouliez pas »43 et s’avèrent multiples. Nombre de travaux comme ceux de Gregory Conti et Edward Sobiesk44, de Colin M. Gray (et al.)45, ou plus récemment de Arunesh Mathur (et al.)46 en proposent des taxinomies. Si certains visent à utiliser des consignes peu claires, ou à forcer le consentement de l’utilisateur quant à des collectes de données à caractère personnel en échange de l’accès à un service, d’autres sont plus subtils et se jouent des utilisateurs par l’entremise du design d’interfaces. Ainsi, pour Colin M. Gray (et al.), « les interférences d’interface sont des manipulations de l’interface utilisateur qui sont biaisées à l’avantage de certains éléments des interfaces. Cela comprend : les informations cachées (les options pour accepter les conditions sont petites/grisées), la présélection (les options défavorables sont présélectionnées) et la manipulation esthétique (manipulation distrayante de l’interface utilisateur). Cette dernière sous-classe comprend quatre sous-sous-classes : jouer avec les émotions (compte à rebours pour les offres), la fausse hiérarchie (une option est davantage mise en avant), les publicités déguisées (jeux interactifs) et les questions espiègles (doubles négatifs)47 ».
29S’intéresser à ces interfaces « malicieuses »48 nous invite à rompre quelque peu avec les adeptes du privacy paradox49. Ces derniers opposent d’un côté la déclaration d’une préoccupation des utilisateurs concernant leur vie privée à un comportement qui participe d’un dévoilement de soi en ligne, par l’usage de réseaux sociaux ou l’acceptation de conditions d’utilisation peu protectrices. Bien entendu, cela présumerait :
- tout d’abord que l’on souscrive à l’idée d’un acteur totalement rationnel en matière de prise de décision50,
- puis que les utilisateurs soient réellement informés de la nature et de la quantité des données produites sur eux et leurs pratiques tout comme des traitements qui y sont appliqués,
- enfin – et c’est l’objet de ce chapitre – cela supposerait notamment que le design des CMP conditionnant l’accès aux sites internet ne puisse pas être considéré comme « malicieux ».
30Nous relevons, en 2020, au moment de la réalisation de notre étude et de la rédaction de ce chapitre, que dans une grande majorité des sites étudiés, le choix de consentir ou non est orienté par des formes sémiotiques (des signes passeurs51) qui tendent à introduire des biais de comportement. On note, premièrement, des différences de tailles et de formes (voir le bandeau laposte.fr). Puis, bien souvent, la forme sémiotique visant à obtenir le consentement prend la forme d’un bouton qui épouse la couleur principale de la charte graphique du site là où le bouton de configuration ou d’opposition se noie dans un gris neutre ou dans la couleur du fond du site. Cela procède d’une forme d’invisibilisation de certaines options au profit d’un choix alors rendu hypervisible. Ces éléments créent un jeu incitatif de contraste à la faveur du consentement (voir formes incitatives 1 et 2).
Forme incitative 1

Capture d’écran du bandeau cookie du site de France bleue réalisée le 30 juin 2020.
Forme incitative 2

Capture d’écran du bandeau cookie du site de Doctissimo réalisée le 9 juillet 2020.
31Même dans les situations dans lesquelles les utilisateurs auraient conscience de leurs préférences en matière de protection, ils peuvent finalement céder face à la répétition de la tâche ou à l’asymétrie de l’effort qu’il leur est demandé entre d’un côté le consentement à la collecte et de l’autre son opposition ou paramétrage. En effet, bien souvent ce que ces signes passeurs proposent tient d’un passage rapide au site en cas d’acceptation de la collecte de données, et d’un passage beaucoup plus tortueux si l’utilisateur souhaite ne pas y consentir.
Asymétrie accepter/refuser

Capture d’écran du bandeau cookie du site liberation.fr réalisée le 30 juin 2020.
32Selon l’étude réalisée par Midas Nouwens et al.52, 93,1 % des interactions étaient limitées à la première étape d’un bandeau cookie. Or, même si une majorité importante de sites permettait un paramétrage plus ou moins fastidieux des préférences de l’utilisateur en étape 2, accessible par un bouton ou un lien disponible en étape 1, seuls 3 sites sur 90 proposent de refuser tous les cookies (et autres technologies de traçage) dès la première étape, au même niveau que le bouton permettant d’exprimer un consentement.
33Ainsi, nous rejoignons Arunesh Mathur et al. lorsqu’ils qualifient ce qu’ils nomment « d’interférence visuelle » de « dark pattern » qui « […] utilise le style et la présentation visuelle pour inciter les utilisateurs à faire certains choix au détriment d’autres »53. Ils prolongent en précisant « […] nous classons l’interférence visuelle comme parfois asymétrique (dans certains cas, elle crée des choix inégaux, orientant les utilisateurs vers un choix plutôt que vers l’autre), secrète (les utilisateurs peuvent ne pas se rendre compte de l’effet que la présentation visuelle a eu sur leur choix) » (ibid.).
34Non seulement l’écrasante majorité des sites les plus populaires en France comportent en 2020 des éléments de design qui biaisent le comportement des internautes au profit d’un consentement rendu de la sorte ambigu (et donc non conforme), mais ils comportent aussi dans environ 66 % des cas un texte dont la lecture suggère à l’internaute qu’il consent à l’utilisation de ses données et/ou au stockage de cookies sur son ordinateur même en l’absence d’action positive de sa part. Par exemple, le bandeau du site facebook.com prétend que : « en cliquant sur le site ou en le parcourant, vous nous autorisez à collecter des informations sur et en dehors de Facebook via des cookies ». Selon Amazon.fr, « en utilisant ce site, vous acceptez notre utilisation de cookies pour offrir et améliorer nos services ».
35À force d’interagir avec des bandeaux proposant des interactions et des textes proposant une vision du consentement selon lequel « qui ne dit mot consent », alors que le RGPD impose clairement le respect du principe selon lequel « si c’est pas oui c’est non », il existe ainsi selon nous un risque que ces interactions répétées jouent sur la construction du sens du mot « consentement » dans la société en général, ou en tout cas qu’ils fassent croire au public visé par le RGPD que celui-ci n’exige pas de consentement opt-in. De plus, interagir de manière répétée avec des bandeaux qui, sous couvert de demande de consentement, ne permettent pas vraiment l’expression de la volonté de l’internaute, peut conduire ce dernier à se replier sur une attitude de consentement résigné.
La fabrique d’un consentement résigné
36Au-delà des dispositifs de recueil de consentement étudiés ici, comprendre les ressorts du consentement suppose d’appréhender ce que cela implique pour les utilisateurs. Ainsi, cette étude vient en écho à d’autres travaux qui visaient à comprendre nos rapports aux données personnelles et s’intéressaient avant toute chose aux dispositifs techniques et à leurs utilisateurs. Il s’agissait de mieux saisir la nature et l’ampleur des données générées à partir de ces dispositifs, ainsi que les connaissances des utilisateurs, leurs pratiques et positionnements par rapport à ces collectes de données. Différents projets ont contribué au levé de voile. Le projet Mobilitics54 visait à analyser ce que les smartphones produisaient comme données. Cette équipe mettait notamment en avant un recueil très insistant de la géolocalisation ; ce que confirmeront d’autres chercheurs à travers leur publication au titre évocateur : « Votre localisation a été partagée 5 398 fois !… »55. En prolongement de ce travail principalement centré sur ce que produisent les dispositifs techniques, l’équipe du projet PPA (Personalized Privacy Assistant, Université Carnegie-Mellon) entendait développer un système de personnalisation de nos préférences de protection face à la collecte de données et ainsi offrir aux utilisateurs une meilleure compréhension de ce qui est collecté à partir de leur téléphone (notamment à partir de Nudge56 ) tout en lui donnant la possibilité de mieux se protéger. L’intuition derrière ce projet étant que les utilisateurs ont une faible connaissance de ce qui est capté sur eux, et par ailleurs qu’il n’est pas aisé de mettre en place une configuration des réglages des permissions sur son smartphone en cohérence avec son profil (plus ou moins en accord avec tel ou tel type de collecte). L’ensemble de ces travaux tendent à montrer que les utilisateurs ont peu de connaissance quant à la collecte de données effective alors que cette dernière s’avère massive.
37Suivant cette veine, l’étude de Florian Hémont et Marine Gout57 (menée entre 2015 et 2018) au sein du projet Profile58 complète ces travaux en proposant une méthodologie d’autoconfrontation des utilisateurs avec une partie des données collectées sur eux. Ils se retrouvaient face à un écran à devoir naviguer au cœur des données collectées par Google et/ou Facebook. Nous nous intéressions alors 1) à la distance entre ce qu’ils pensaient être collecté sur eux et ce qui l’était réellement, 2) à ce qui s’avérait sensible pour eux, et 3) aux risques qu’ils pouvaient associer à une telle captation de données personnelles. Cette étude rendit compte des constats étonnés des utilisateurs quant à l’ampleur (« tout ce qu’ils prennent », « je le savais, mais à ce point-là ») et la précision de la collecte (« On sent vraiment que presqu’on est regardé, que tout ce qu’on fait est enregistré »59, « Dans le fond, je savais très bien, mais pas à ce point-là, c’est l’endroit précis, une date précise »). Dans les faits, ces constats mettent à mal l’idée d’un consentement éclairé pour lui préférer un « consentement résigné »60 :
J’accepte, j’ai abandonné en fait.61
Je pense qu’on est à un point de non-retour, aujourd’hui c’est quelque chose qui ne changera pas, peut-être que je peux les empêcher d’avoir une partie de mes informations, mais en même temps c’est un service bien souvent nécessaire, et de plus, rien ne me garantit qu’ils n’y ont pas accès quand même, […] et c’est un truc auquel il faut malgré soi s’habituer je pense, car ça va continuer à évoluer dans ce sens […] donc oui c’est participer à ce système, mais je pense plus qu’on ait le choix. (Ibid.)
38À la fin de l’étude, les utilisateurs avouaient vouloir prendre des mesures de protection, mais nous expliquaient quelques semaines plus tard qu’ils n’en trouvaient pas les moyens. En fait, ce n’est pas tant que les utilisateurs ne souhaitent pas se protéger ou s’opposer à la collecte de données à caractère personnel, mais que d’une certaine façon, ils en sont dissuadés62 de par le manque d’alternatives visibles ou par leur abandon aux incitations des dispositifs de collecte de consentement. Nous avons qualifié cette posture de « consentement résigné » comme relevant de « la formulation d’un accord explicite ou tacite dans un contexte d’absence de choix véritable »63. Il nous semble qu’il est davantage ici question de céder que d’un réel consentement (pour reprendre l’expression de Nicole-Claude Mathieu en 198564).
39Par la répétition, les dialogues de recueil de consentement qui n’offrent pas de réelle possibilité de refus, ou qui poussent l’utilisateur vers un comportement d’acceptation passive, contribuent à fabriquer un consentement résigné à une culture de la surveillance par les données65.
40Si l’analyse de ces dispositifs permet de mettre l’accent sur le rôle des designers d’expérience utilisateur en ce qui concerne les processus de recueil de consentement, il ne faut pour autant pas sous-estimer la veine historique qui donne une force importante à cette fabrique du consentement. Si la société de discipline telle que décrite par Foucault66 a donné place à celles du contrôle de Deleuze67, celles qui se mettent en place relèvent de ce que Philippe Huneman qualifie de « sociétés du profilage »68. À ce sujet les travaux d’André Vitalis69, Armand Mattelard70 et François Pellegrini71 rendent particulièrement compte de cette lente constitution d’un profilage systématique des populations. D’ailleurs, divers travaux, dont ceux de David Lyon, constatent l’instauration d’une culture de la surveillance propre aux formes contemporaines de modernité72.
Conclusion
41Lors des négociations sur le RGPD, la coalition de défense des intérêts industriels n’a pas réussi à empêcher l’adoption de dispositions juridiques définissant le consentement comme la manifestation d’une volonté libre et active, et rejetant toute forme de consentement tacite.
42Pourtant, au lieu de promouvoir un consentement opt-in incarnant l’expression « si c’est pas oui, c’est non », notre étude de dispositifs de recueil de consentement à la collecte de données montre que la grande majorité des sites web dérogent à ce principe au moment où nous avons mené l’étude. Ainsi, la quasi-totalité des bandeaux cookies de notre corpus s’appuient sur une définition du consentement qui fait une acceptation à se soumettre à la volonté de l’autre. Ils font la promotion, tant dans les modalités d’interaction proposées que dans les textes qui les accompagnent, de l’idée selon laquelle l’absence d’action de l’internaute pour s’opposer à la collecte de ses données ou à l’écriture de cookies identifiants sur son ordinateur vaudrait consentement.
43Une majorité de ces bandeaux est générée par des plateformes, les Consent Management Platforms (CMP), qui se conforment à une norme édictée par l’Interactive Advertisement Bureau (IAB) : le Transparency and Consent Framework (TCF). Ce faisant, l’IAB devient co-auteur des bandeaux cookies des sites qui utilisent leurs CMP. Or, le TCF, dans sa version en vigueur en mai 2020, au moment de notre étude, n’était pas conforme au RGPD. Le TCF version 2, nouvellement en vigueur, a fait évoluer les interfaces et il est prévu d’en faire l’objet d’une future étude qui questionnerait par exemple la multiplication de références à la notion d’« intérêt légitime » dans le design des CMP.
44Ainsi, notre étude tend à montrer que les dispositifs techniques qui autorisent la collecte de données à caractère personnel sur le web, ceux-là même qui devraient permettre la protection des utilisateurs, sont souvent élaborés autour de biais qui visent à favoriser l’abandon d’un éclairement du consentement (redondance, jeux d’interface, asymétrie entre l’acceptation et le refus, etc.).
45En popularisant des bandeaux de recueil du consentement qui contredisent le RGPD sur la définition du consentement, l’industrie de la publicité comportementale semble en quelque sorte avoir tenté de rejouer le match. Ayant échoué à faire accepter par le législateur l’idée qu’un consentement pouvait vouloir dire que « si c’est pas non c’est oui », c’est auprès du public interagissant avec les sites utilisant les CMP que cette association diffuse son message, avec le risque que cela participe au développement d’un consentement résigné généralisé à la culture du capitalisme de la surveillance.
46Au moment de réviser les épreuves de ce livre, en 2022, l’introduction d’une nouvelle version du TCF a coïncidé avec une augmentation significative du nombre de bandeaux qui proposent l’option d’un refus des cookies dès la première étape d’interaction. Ce faisant, ils se rapprochent de l’incarnation de la conception du consentement qui est consacrée par le RGPD. Reste à déterminer la façon dont cette évolution des interfaces agit sur les pratiques et les perceptions des internautes.
47Enfin, cette étude – autour des formes qui accompagnent la récolte de consentement à ce que des données à caractère personnel soient produites et consignées sur ce que nous sommes et sur nos pratiques – tend à montrer que si on envisage le consentement positif tel un pilier de nos libertés, ce qui a prévalu ces dernières années en matière de politique et technique numérique est loin de le respecter. Helen Nissenbaum explique qu’ : « il y a une forte impression selon laquelle le consentement est encore fondamental dans le respect de la vie privée des gens. Dans certains cas, oui, le consentement est essentiel. Mais ce que nous avons aujourd’hui n’est pas vraiment du consentement »73. En cela, les questions de consentement s’articulent à des enjeux de société importants, voire nous interrogent sur le type même de société dans laquelle nous espérons évoluer.
Notes de bas de page
1 Information et consentement (notre traduction).
2 Lorrie Cranor, « Necessary but not sufficient: standardized mechanisms for privacy notice and choice », Journal on Telecommunications and High Technology Law, vol. 10, no 2, 2012, p. 273-308.
3 Martin Degeling, Christine Utz, Christopher Lentzsch, Henry Hosseini, Florian Schaub et Thorsten Holz, « We value your privacy… Now take some cookies: measuring the GDPR’s impact on web privacy », Proceedings 2019 Network and Distributed System Security Symposium, 2019. En ligne : [http://arxiv.org/abs/1808.05096].
4 Christine Utz, Martin Degeling, Sascha Fahl, Florian Schaub et Thorsten Holz, « (Un)informed consent: studying GDPR consent notices in the field », 2019 ACM SIGSAC Conference on Computer and Communications Security (CCS’19), 2019. En ligne : [https://doi.org/10.1145/3319535.3354212].
5 Célestin Matte, Nataliia Bielova et Cristiana Santos, « Do cookie banners respect my choice? Measuring legal compliance of banners from IAB Europe’s transparency and consent framework », 2020. En ligne : [http://arxiv.org/abs/1911.09964].
6 Ces chiffres ne tiennent pas compte des personnes qui ignorent le bandeau cookie.
7 Midas Nouwens, Ilaria Liccardi, Michael Veale, David Karger et Lalana Kagal, « Dark patterns after the GDPR: scraping consent pop-ups and demonstrating their influence », Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems, p. 1-13, 2020. En ligne : [https://doi.org/10.1145/3313831.3376321].
8 Patrice Flichy, « Genèse du discours sur la nouvelle économie aux États-Unis », Revue économique, vol. 52, no 7, 2001, p. 379-399 ; Grazia Cecere, Fabrice Le Guel et Fabrice Rochelandet, « Les modèles d’affaires numériques sont-ils trop indiscrets ? », Réseaux, no 189, 2015, p. 77-101.
9 CJUE 1er octobre 2019 « Planet49 », Aff. C-673/17, p. 52.
10 Dans le cadre d’un projet de recherche en cours sur les Consent Management, nous étudions les 94 sites web vers lesquels renvoient les 99 noms de domaine les plus populaires en France à la date du 19 mai 2020 selon le classement effectué par SimilarWeb. Ainsi, google.com et google.fr, ou encore youtube.com et youtu.be sont considérés comme un seul site web bien qu’il existe deux noms de domaine pour y accéder. Un site, capital.fr, présentait deux bandeaux cookies différents selon la visite, et est donc comptabilisé deux fois. Il s’agit d’une recherche en cours sur la scénarisation du consentement par ces interfaces, dont nous présentons certains résultats intermédiaires dans le présent chapitre.
11 Nous ne prenons en compte que les cas où nous avons réussi à détecter avec précision le CMP utilisé. Cela signifie que ce chiffre est peut-être sous-évalué.
12 C. Matte, N. Bielova et F. Santos, « Do cookie banners respect my choice? Measuring legal compliance of banners from IAB Europe’s Transparency and consent framework », art. cité.
13 Irene Kamara et Eleni Kosta, « Do not track initiatives: regaining the lost user control », International Data Privacy Law, vol. 6, no 4, 2016, p. 276-290; Julien Rossi, « Protection des données personnelles et droit à la vie privée : enquête sur la notion controversée de “donnée à caractère personnel“ », Thèse de doctorat soutenue à l’université de technologie de Compiègne, 2020.
14 Voir la proposition de Règlement concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement « vie privée et communications électroniques ») de la Commission européenne, et son exposé des motifs, publiée le 10 janvier 2017. En ligne : [https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:52017PC0010&from=FR].
15 Maxence Christelle, « Consentement et subjectivité juridique : contribution à une théorie émotivo-rationnelle du droit », Thèse de doctorat soutenue à l’université Paris 1, 2014 ; Clément Cousin, « Vers une redéfinition de l’acte médical », Thèse de doctorat soutenue à l’université Rennes 1, 2016.
16 En ligne : [https://www.atilf.fr/ressources/tlfi/].
17 Marie-Anne Frison-Roche, « Remarques sur la distinction de la volonté et du consentement en droit des contrats », Revue trimestrielle de droit civil, no 3, 1995, p. 573.
18 Accentué par les auteurs.
19 M. Christelle, « Consentement et subjectivité juridique », thèse citée, p. 20.
20 Accentué par les auteurs.
21 Colin J. Bennett, Regulating Privacy: Data Protection and Public Policy in Europe and the United States, Ithaca/New York, Cornell University Press, 1992.
22 Frits Willem Hondius, Emerging data protection in Europe, Amsterdam, Elsevier, 1975 ; Gloria González Fuster, The Emergence of Personal Data Protection as a Fundamental Right of the EU, Dordrecht, Springer, 2014.
23 Décision du Tribunal constitutionnel fédéral allemand BVerfG Urteil vom 15. Décembre 1983 Az. 1 BvR 209/83, 1 BvR 484/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83, 1 BvR 440/83 (Volkszählungsurteil).
24 Wolfgang Kilian, « Germany », Global Privacy Protection: the First Generation, J.B. Rule et G. Greenleaf éd., Cheltenham, Edward Elgar, 2010, p. 80-106 ; Victorine Kossi Affoua, La protection des données à caractère personnel à l’ère de l’Internet. Impact sur l’évolution du cadre normatif et nouveaux enjeux. État des lieux en France, Francfort-sur-le-Main, Peter Lang, 2014.
25 Thomas Bizet, « L’ambition individualiste de l’auto-détermination informationnelle », Revue internationale de droit des données et du numérique, vol. 3, 2017, p. 49-60.
26 J. Rossi, Protection des données personnelles et droit à la vie privée, ouvr. cité.
27 Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
28 Julien Rossi, « L’hypothèse de la vie privée des Anciens et des Modernes », Numérisation de la société et enjeux sociopolitiques, t.1 : Numérique, communication et culture, É. George éd., Londres, ISTE Éditions, vol. 1, 2019, p. 77-88.
29 Anita Allen, « Coercing privacy », Faculty Scholarship, 1999. En ligne : [http://scholarship.law.upenn.edu/faculty_scholarship/803] ; Scott Berinato et Helen Nissenbaum, « Why data privacy based on consent is impossible », Harvard Business Review, 2018. En ligne : [https://hbr.org/2018/09/stop-thinking-about-consent-it-isnt-possible-and-it-isnt-right] ; Daniel Susser, « Notice after notice-and-consent: why privacy disclosures are valuable even if consent frameworks aren’t », Journal of Information Policy, vol. 9, 2019, p. 37-62 ; Laura Aufrère et Lionel Maurel, « Pour une protection sociale des données personnelles », 2018. En ligne : [https://scinfolex.com/2018/02/05/pour-une-protection-sociale-des-donnees-personnelles/] ; Shoshana Zuboff, The Age of Surveillance Capitalism: The Fight for a Human Future at the New Frontier of Power, New York, Public Affairs, 2019.
30 T. Bizet, « L’ambition individualiste de l’auto-détermination informationnelle », art. cité ; L. Aufrère et L. Maurel, « Pour une protection sociale des données personnelles », art. cité.
31 Aleecia M. McDonald et Lorrie Faith Cranor, « The cost of reading privacy policies », I/S: A Journal of Law and Policy for the Information Society, vol. 4, 2009, p. 543.
32 Jelinek Andrea, Courrier du 5 juillet 2018. En ligne : [https://edpb.europa.eu/sites/edpb/files/files/news/psd2_letter_en.pdf].
33 L’expression « défenseur de la vie privée », de l’anglais « privacy advocate », est empruntée à Colin Bennett.
34 J. Rossi, Protection des données personnelles et droit à la vie privée, ouvr. cité p. 332-337.
35 Industry Coalition for Data Protection, « Industry coalition for data protection paper on proposals for a “new EU legal framework on data protection” », 2011. En ligne : [https://github.com/lobbyplag/lobbyplag-data/blob/master/raw/lobby-documents/eudataprotect.pdf].
36 Facebook, « Facebook recommendations on the Internal Market and Consumer Affairs draft opinion on the European Commission’s proposal for a General Data Protection Regulation “on the protection of individuals with regard to the processing of personal data and on the free movement of such data” », 2013. En ligne : [https://github.com/lobbyplag/lobbyplag-data/blob/master/raw/lobby-documents/facebook_imco.pdf].
37 Digitaleurope, « Draft DIGITALEUROPE amendments », 2012. En ligne : [https://github.com/lobbyplag/lobbyplag-data/blob/master/raw/lobby-documents/DIGITALEUROPE_Amendments-to-Data-Protection-Regulation_final.pdf].
38 La proposition initiale de la Commission européenne proposait de définir le consentement comme « toute manifestation de volonté, libre, spécifique, informée et explicite par laquelle la personne concernée accepte, par une déclaration ou par un acte positif univoque, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Voir : European Digital Rights, « Comments on IMCO draft opinion on the general data protection regulation », 2012. En ligne : [https://github.com/lobbyplag/lobbyplag-data/blob/master/raw/lobby-documents/EDRis-comments-on-draft-imco--opinion-on-general-data-protection-regulation.pdf].
39 Accentué par les auteurs.
40 François Coupez et Géraldine Péronne, « Consentement aux cookies : quelle est la bonne recette ? », Droit de la propriété intellectuelle et du numérique, no 3, 2020, p. 189.
41 Nick Doty et Deirdre K. Mulligan, « Internet multistakeholder processes and techno-policy standards », Journal on Telecommunications and High Technology Law, vol. 11, 2013, p. 135-184.
42 M. Nouwens, I. Liccardi, M. Veale, D. Karger et L. Kagal, « Dark patterns after the GDPR: scraping consent pop-ups and demonstrating their influence », art. cité.
43 Harry Brignull, « Tricks used in websites and apps that make you buy or sign up for things that you didn’t mean to », Dark Patterns. En ligne : [https://darkpatterns.org/].
44 Gregory Conti et Edward Sobiesk, « Malicious interface design: exploiting the user », Proceedings of the 19th International Conference on World Wide Web, ACM Press, 2010, p. 271. En ligne : [http://portal.acm.org/citation.cfm?doid=1772690.1772719].
45 Colin M. Gray, Yubo Kou, Bryan Battles, Joseph Hoggatt et Austin L. Toombs, « The dark (patterns) side of UX design », Proceedings of the 2018 CHI Conference on Human Factors in Computing Systems, ACM Press, 2018, p. 1-14. En ligne : [http://dl.acm.org/citation.cfm?doid=3173574.3174108].
46 Arunesh Mathur, Gunes Acar, Michael J. Friedman, Elena Lucherini, Jonathan Mayer, Marshini Chetty et Arvind Narayanan, « Dark patterns at scale: findings from a crawl of 11K shopping websites », Proceedings of the ACM on Human-Computer Interaction, vol. 3, CSCW, 2019, p. 1-32.
47 C. M. Gray et al., « The Dark (Patterns) Side of UX Design », art. cité, p. 5. Notre traduction.
48 G. Conti et E. Sobiesk, « Malicious interface design: exploiting the user », art. cité.
49 Patricia A. Norberg, Daniel R. Horne et David A. Horne, « The privacy paradox: personal information disclosure intentions versus behaviors », Journal of Consumer Affairs, vol. 41, no 1, 2007, p. 100-126.
50 Sur ce débat, le lecteur pourra consulter les textes suivants : Alessandro Acquisti, « The Economics and Behavioral Economics of Privacy », Privacy, Big Data, and the Public Good: Frameworks for Engagement, J. Lane, V. Stodden, S. Bender et H. Nissenbaum, Cambridge, Cambridge University Press, 2014, p. 76-95 ; Spyros Kokolakis, « Privacy attitudes and privacy behaviour: a review of current research on the privacy paradox phenomenon », Computers & Security, vol. 64, 2017, p. 122-134.
51 Au sens de Yves Jeanneret et Emmanuel Souchier, « Pour une poétique de “l’écrit d’écran” », Xoana. Images et sciences sociales, no 6, 1999, p. 97-107.
52 M. Nouwens, I. Liccardi, M. Veale, D. Karger et L. Kagal, « Dark patterns after the GDPR », art. cité.
53 A. Mathur, G. Acar, M. J. Friedman, E. Lucherini, J. Mayer, M. Chetty et A. Narayanan, « Dark patterns at scale: findings from a crawl of 11K shopping websites », art. cité, p. 17. Notre traduction.
54 CNIL/INRIA, « Mobilitics, découvrir la partie immergée de l’iceberg des apps pour smartphone », 2012-2014. En-ligne : [https://linc.cnil.fr/fr/mobilitics-decouvrir-la-partie-immergee-de-liceberg-des-apps-pour-smartphone].
55 Hazim Almuhimedi, Florian Schaub, Norman Sadeh, Idris Adjerid, Alessandro Acquisti, Joshua Gluck, Lorrie Faith Cranor et Yuvraj Agarwal, « Your location has been shared 5,398 times!: a field study on mobile app privacy nudging », ACM Press, 2015, p. 787-796. En ligne : [http://dl.acm.org/citation.cfm?doid=2702123.2702210].
56 Système d’alertes adressées à l’utilisateurs afin d’accroître sa prise de conscience des pratiques de collecte de données et ainsi le pousser à modifier ses réglages de confidentialité en fonction de ses préférences.
57 Florian Hémont et Marine Gout, « Consentement résigné : en finir avec le Privacy Paradox », Le profilage en ligne : entre libéralisme et régulation, S. Turgis, M. Boizard et A. Bensamoun éd., Paris, Éditions Mare et Martin, 2020.
58 INRIA, « Profile – A Modern Website ». En ligne : [https://project.inria.fr/profile/].
59 F. Hémont et M. Gout, « Consentement résigné… », art. cité, p. 34.
60 INRIA, « Profile – A Modern Website », art. cité.
61 F. Hémont et M. Gout, « Consentement résigné… », art. cité, p. 37.
62 Ari Ezra Waldman, « Cognitive biases, dark patterns, and the “privacy paradox” », Current Opinion in Psychology, vol. 31, 2020, p. 105-109.
63 F. Hémont et M. Gout, « Consentement résigné… », art. cité, p. 37.
64 Nicole-Claude Mathieu, Quand céder n’est pas consentir. Des déterminants matériels et psychiques de la conscience dominée des femmes, et de quelques-unes de leurs interprétations en ethnologie, Éditions de l’EHESS, 1985.
65 Au sujet de la répétition d’interactions de recueil de consentement contraint ou biaisé, voir : Rainer Böhme et Stefan Köpsell, « Trained to accept? A field experiment on consent dialogs », Proceedings of the SIGCHI Conference on Human Factors in Computing Systems, Atlanta (GA), Association for Computing Machinery, 2010, p. 2403-2406. En ligne : [https://doi.org/10.1145/1753326.1753689].
66 Michel Foucault, Surveiller et punir : naissance de la prison, Paris, Gallimard, 1975.
67 Gilles Deleuze, « Post-scriptum sur les sociétés de contrôle », Pourparlers, Paris, Minuit, 1990, p. 240-247.
68 Philippe Huneman, « Notes sur les sociétés du profilage (1/2) », AOC media / Analyse Opinion Critique, 2019. En ligne : [https://aoc.media/analyse/2019/09/18/notes-sur-les-societes-du-profilage-1-2/].
69 André Vitalis, « “Informatique et libertés” : une histoire de trente ans », Hermès, no 53, 2013, p. 137-143.
70 André Vitalis et Armand Mattelart, Le profilage des populations. Du livret ouvrier au cybercontrôle, Paris, La Découverte, 2014.
71 François Pellegrini et André Vitalis, « La création du fichier biométrique TES : la convergence de logiques au service du contrôle », Sociologie, no 4, vol. 8, 2017.
72 David Lyon, Surveillance After Snowden, Cambridge (MA), Polity Press, 2015 ; Zygmunt Bauman et David Lyon, Liquid surveillance : a Conversation, Cambridge (MA), Polity Press (Polity conversations series), 2015.
73 B. Scott et H. Nissenbaum, « Why data privacy based on consent is impossible », art. cité.
Auteurs
-
Julien Rossi
Maître de conférences en Sciences de l’information et de la communication à l’université Paris 8 au CEMTI et chercheur associé aux laboratoires PREFIC, ses travaux portent sur le droit à la vie privée et son évolution dans un contexte de transformation de notre milieu technique et des moyens de communication par l’informatisation. Il s’intéresse également à la gouvernance d’Internet dans le cadre d’un groupe de travail dont il est coresponsable au sein du groupement de recherche « Internet, IA et société ».
-
Florian Hémont
Maître de conférences en Sciences de l’information et de la communication au laboratoire PREFICS et à l’université Rennes 2. Il s’intéresse particulièrement aux pratiques qui se développent ou qui se reconfigurent en contexte de mise en place de technologies numériques d’information-communication, ainsi qu’aux visions de l’activité qu’elles équipent et dont elles sont les dépositrices. Ce qui le conduit à travailler sur un ensemble de projets qui vont des transformations numériques du monde du bâtiment, au développement d’outils de communication équipant les échanges entre pilotes et contrôleurs aériens, en passant par les dispositifs de collectes de données personnelles.
Le texte seul est utilisable sous licence Licence OpenEdition Books. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Libertés et libéralismes
Formation et circulation des concepts
Jean-Pierre Potier, Jean-Louis Fournel et Jacques Guilhaumou
2012
Pétrole et corruption
Le dossier Mi.Fo.Biali dans les relations italo-libyennes (1969-1979)
Marion Morellato
2014
Montchrestien et Cantillon
Le commerce et l'émergence d'une pensée économique
Alain Guery (dir.)
2011
Faire participer les habitants ?
Citoyenneté et pouvoir d'agir dans les quartiers populaires
Marion Carrel
2013
Entre conflit et concertation
Gérer les déchets en France, en Italie et au Mexique
Luigi Bobbio, Patrice Melé et Vicente Ugalde (dir.)
2016
La politique au quotidien
L’agenda et l’emploi du temps d’une femme politique
Laurent Godmer et Guillaume Marrel
2016
La République et ses autres
Politiques de l’altérité dans la France des années 2000
Sarah Mazouz
2017
Le territoire de l’expulsion
La rétention administrative des étrangers et l’État de droit en France
Nicolas Fischer
2017
Le savant, le langage et le pouvoir
Lecture du Livre du plaisir partagé en amitié (Kitāb al-imtāʿ wa-l-muʾānasa) d’Abū Ḥayyān al-Tawḥīdī
Pierre-Louis Reymond
2018
Gouverner la vie privée
L’encadrement inégalitaire des séparations conjugales en France et au Québec
Émilie Biland
2019