9 juillet 2024
Mécanismes de conception trompeuse : exercice de ratissage international
Au Québec, les lois applicables prévoient des obligations pour les organisations qui collectent des renseignements personnels par des moyens technologiques. C’est dans ce contexte que la Commission a participé à l’exercice de ratissage de sites Web et applications contenant des mécanismes de conception trompeuse initié par le Global Privacy Enforcement Network (GPEN), en partenariat avec l’International Consumer Protection and Enforcement Network (ICPEN). Cet exercice, auquel ont pris part 26 autorités internationales en matière de protection de la vie privée, s’inscrit dans une perspective de sensibilisation du grand public et des organisations.
Cet exercice a permis d’examiner 1009 sites et applications afin d’y déceler la présence de mécanismes de conception incitant les utilisateurs, en les trompant, à prendre des décisions qui peuvent se traduire par la collecte de renseignements personnels additionnels à ceux déjà demandés. Il a été constaté que 97 % des sites et applications analysés par l’ensemble des autorités contiennent au moins un mécanisme de conception trompeuse.
Voici quelques résultats présentés dans le rapport :
- Langage complexe et déroutant : Plus de 89 % des politiques de confidentialité se sont avérées longues ou rédigées dans un langage complexe;
- Interférence de l’interface : Lorsqu’il s’agissait de demander aux utilisateurs de faire des choix en matière de protection de la vie privée, 42 % des sites Web et des applications qui ont fait l’objet du ratissage utilisaient un langage à connotation émotionnelle pour influencer les décisions des utilisateurs, et 57 % mettaient en évidence l’option qui protège le moins la vie privée et qui est la plus facile à sélectionner pour l’utilisateur.
- Harcèlement : Au total, 35 % des sites Web et des applications invitaient à répétition les utilisateurs à reconsidérer leur intention de supprimer leur compte.
- Entrave : Dans près de 40 % des cas, les ratisseurs ont fait face à des obstacles pour faire des choix en matière de protection de la vie privée ou pour accéder à des renseignements en la matière, par exemple pour trouver les paramètres de confidentialité ou pour supprimer leur compte.
- Action forcée : Des sites et des applications, 9 % forçaient les utilisateurs à divulguer plus de renseignements personnels qu’ils n’avaient été tenus de le faire pour créer leur compte lorsqu’ils tentaient de le supprimer.
Le GPEN et l’ICPEN exposent l’ensemble de leurs constats dans des rapports publiés aujourd’hui.
La Commission rappelle que les organisations doivent protéger les renseignements personnels qu’ils recueillent et utilisent. Dès la conception de leurs sites Web ou applications, la Commission invite notamment les organisations à privilégier le meilleur intérêt des utilisateurs.
Les organisations doivent rédiger leurs politiques de confidentialité en utilisant des termes simples et clairs et prévoir la sélection par défaut des paramètres offrant le plus haut niveau de confidentialité. Elles doivent aussi s’assurer de la validité des consentements obtenus. Pour leur part, les citoyens doivent demeurer vigilants quant à la protection de leurs renseignements personnels quand ils visitent des sites Web ou des applications.
En savoir plus sur les obligations des organisations en matière de collecte de renseignements personnels.
En savoir plus sur les droits des citoyens.