Si vous n'avez jamais entendu parler des « dark patterns », il vous suffit de rechercher « Google » sur Google. En janvier, quatre procureurs généraux d'État ont intenté une action en justice contre le géant de la technologie, l'accusant d'avoir utilisé cette pratique pour induire les consommateurs en erreur en suivant leurs déplacements même après qu'ils avaient désactivé cette fonction d' .
Les « dark patterns » sont des choix de conception trompeurs que les entreprises intègrent dans leurs applications et sur leurs sites web afin d’inciter les utilisateurs à choisir des options contraires à leur intention ou préjudiciables à celle-ci.
À mesure que les réglementations en matière de protection des données se multiplient (souvent de manière chaotique et désordonnée, comme le montre l'article ), de nombreuses organisations s'efforcent de suivre, de surveiller et de sécuriser les données sensibles qu'elles collectent et stockent. Malheureusement, comme l'explique Safia Kazi, responsable des pratiques professionnelles en matière de protection de la vie privée chez ISACA, l'association internationale de gouvernance informatique, les organisations échouent souvent.
Kazi s'est récemment entretenu avec l' , responsable des terminaux chez , au sujet des « dark patterns » et de leur pendant, les « dark data », ainsi que des éléments que les entreprises devraient prendre en compte lors de la collecte d'informations. À l'approche de la Journée internationale des femmes, le 8 mars, ils ont également abordé la manière dont la protection des données pourrait bénéficier de l'arrivée d'un plus grand nombre de femmes dans ce secteur.
(L'entretien ci-dessous a été condensé et remanié pour plus de clarté.)
Commençons par les bases. Comment et pourquoi les organisations ont-elles recours aux « dark patterns » et aux « dark data » ?
Les « dark patterns » sont des techniques utilisées par les entreprises pour vous inciter, à votre insu, à donner votre consentement à l'utilisation de vos données. L'une des choses que je constate parfois, c'est que : je me rends sur un site web. Ils verront s'afficher cette notification relative aux cookies, et le bouton « Tout accepter » sera d'un bleu vif, tandis que le bouton « Refuser » sera grisé. Vous pensez que vous ne pouvez pas cliquer dessus. Mais si vous passez la souris dessus, c'est en fait possible. Oui, je leur ai donné mon consentement pour les cookies, mais c'est uniquement parce que je pensais ne pas avoir le choix. C'est sournois, et c'est frustrant aussi.
«J’ai donné mon consentement à l’utilisation des cookies, mais c’est uniquement parce que je pensais ne pas avoir le choix. »
Parfois, un site web vous oblige à fournir votre adresse e-mail simplement pour pouvoir consulter les produits qu'il propose. Eh bien, ils n'ont pas besoin de cette information. Ils veulent simplement cette information pour pouvoir vous envoyer des e-mails promotionnels. Il est inacceptable de recueillir les données personnelles des gens alors qu’ils ne savent pas qu’ils ont le choix et qu’ils ne sont en réalité pas tenus de les fournir. J'espère que l'on assistera à une répression plus sévère à l'encontre de ces « dark patterns ».
La collecte de données à caractère personnel suscite aujourd'hui de vives inquiétudes, car les entreprises en stockent d'énormes quantités. En quoi cela pose-t-il un problème et de quelle manière ces données sensibles pourraient-elles être compromises ?
Imaginons que j'envoie un CV pour postuler à un emploi. L'entreprise déclare : « Nous conserverons votre CV dans nos dossiers. » Eh bien, ce CV contient mon nom, mon adresse, mon numéro de téléphone, mon adresse e-mail, mon parcours professionnel et peut-être des références professionnelles. Par ailleurs, comme les coûts du stockage dans le cloud sont si bas, ce qui permet aux entreprises de conserver et de stocker des informations qu’elles n’utiliseront jamais, ces « données cachées » s’accumulent. Or, toutes ces données sensibles me concernant pourraient se retrouver entre de mauvaises mains, ce qui pourrait me causer beaucoup de tort. Quelqu'un pourrait vendre ces données, voire dire à mon patron actuel : « Tiens, elle a postulé à [un autre] poste. » « Vous ne devriez probablement pas lui accorder une promotion. »
C'est pourquoi il est si important que les organisations identifient les données sensibles dont elles disposent et les protègent. Ou se demander : « Pourquoi gardons-nous cela ? » Devrions-nous l'être ? Disposons-nous de contrôles efficaces pour garantir la sécurité et la confidentialité de ces données ? Si vous ne savez pas ce que vous possédez, vous ne pouvez pas le protéger. Vous ne comprenez pas à quel point c'est un sujet sensible.
Comment les organisations peuvent-elles recenser, surveiller et sécuriser leurs données sensibles ?
Tout d'abord, ils doivent savoir quelles données ils collectent. Quelles sont les données collectées par le service des ressources humaines ? Qu'est-ce que le « marketing collecting » ? Qu'est-ce que le recouvrement comptable ? Ils doivent se demander : « De quoi disposons-nous ? » Pourquoi l'avons-nous ? Où est-il stocké ? À quelle fréquence nos professionnels de l' , de la protection des données et des ressources humaines prennent-ils réellement le temps de discuter ensemble des données qu'ils collectent ? Ou demandez-vous : « Avons-nous encore besoin de ces données ? »
«Les organisations [devraient] comprendre comment les informations qu’elles collectent pourraient potentiellement être utilisées à des fins préjudiciables. »
Je recommande également aux organisations de prendre conscience de la manière dont les informations qu’elles collectent pourraient potentiellement être utilisées à des fins malveillantes. Pour certaines données, il se peut que vous deviez les conserver pendant un certain temps. Vous élaborez des politiques concernant la durée de conservation de certaines informations. Si vous dites : « Tous les deux ans, nous supprimerons les candidatures que nous n'avons pas retenues », la mise en place d'une telle politique facilitera grandement la gestion à l'avenir.
De cette manière, vous avez une bonne connaissance des données dont vous disposez et vous avez mis en place une politique en la matière, ce qui peut s'avérer très utile pour lutter contre les données cachées. Mais c'est une tâche difficile. Je pense que la plupart des organisations ne disposent pas vraiment de politiques efficaces. Cela dit, je pense qu’avec l’évolution très et rapide du contexte en matière de confidentialité, de droit et de réglementation, la situation pourrait bien changer.
Faut-il une législation pour inciter les entreprises à mettre en place des politiques rigoureuses en matière de protection des données, ou est-ce que la mauvaise publicité liée aux fuites de données les poussera à agir ?
Cela dépend de l'organisation. Vous savez, une entreprise comme Facebook pourrait facilement faire face à une amende importante, voire à une mauvaise presse, alors que pour une organisation plus petite, cela pourrait s'avérer bien plus préjudiciable. La mise en place d'un cadre juridique peut s'avérer utile, car elle incite les organisations à adopter la bonne attitude.
À l'heure actuelle, certains États prennent des initiatives en matière de protection des données, car il n'existe aucune réglementation au niveau fédéral. La Californie affirme donc vouloir protéger les données de ses résidents, et elle le fait grâce à la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act). D'autres États ont emboîté le pas. Cela dit, je ne peux qu’imaginer à quel point le métier de spécialiste de la protection de la vie privée va être difficile s’il doit se conformer à 50 réglementations différentes au niveau des États. En réalité, il serait bien préférable que nous disposions d'une mesure au niveau fédéral. Cela dit, je ne sais pas quand cela se produirait.
En quoi la pandémie a-t-elle eu un impact sur la protection des données et sur la manière dont les entreprises gèrent la sécurité des données ?
Les collaborateurs travaillent désormais à distance , c'est pourquoi nous leur fournissons des ordinateurs portables. Ou bien ils utilisent leurs propres ordinateurs portables. S'ils utilisent leurs propres ordinateurs portables, de quel type de protection disposons-nous pour protéger les données de l'entreprise ? Et si j'avais un colocataire qui travaillait pour un concurrent de l'ISACA et que j'avais simplement laissé traîner des dossiers ? Et si j'avais laissé mon ordinateur portable déverrouillé pendant que je déjeunais ?
[À lire également : 3 façons d'aider les salariés à lutter contre le stress lié à la pandémie]
D'un autre côté, je me montre désormais beaucoup plus vulnérable dans mon espace. Si nous avions cette conversation dans la salle 2019, je serais au bureau et je ne prêterais aucune attention à ce qui m'entoure. Alors qu'à présent, toute personne avec laquelle je discute par visioconférence se trouvera chez moi.
Parlons des femmes dans le secteur des technologies. Vous avez déclaré qu'il fallait attirer davantage de femmes dans les domaines de la protection des données et de la sécurité, ce qui pourrait avoir un impact considérable sur le secteur. Pourriez-vous m'expliquer cela un peu plus en détail ?
Le vol ou l'utilisation abusive des données à caractère personnel touche de manière disproportionnée les femmes. Sachez que près d'une femme sur six a été victime de harcèlement, contre un homme sur 17 . De plus, le harcèlement commence ou se déroule de plus en plus souvent en ligne et par le biais de données numériques.
«Les femmes ont la possibilité de contribuer à la mise au point de technologies bien plus respectueuses de toute personne susceptible d’être victime de discrimination ou de préjudice. »
Les femmes ont la possibilité de contribuer à la mise au point de technologies bien plus adaptées à leurs besoins, ainsi qu’à ceux de toute personne susceptible d’être victime de discrimination ou de préjudice.
Quels sont les défis auxquels sont confrontées les femmes qui s'intéressent aux domaines de la protection des données et de la cybersécurité ?
La culture du secteur technologique est un enjeu majeur. On voit parfois cela sur les forums Reddit : une femme fait une remarque, puis tout un tas de gens s'empressent de divulguer ses informations personnelles, ce qui constitue clairement une atteinte à la vie privée.
On a toujours cette idée reçue selon laquelle les personnes qui travaillent dans le domaine de la cybersécurité portent, vous savez, des sweats à capuche et boivent du Gatorade. Et ce n'est pas vraiment la réalité. Vous savez, l'informatique s'adresse à tout le monde. Le respect de la vie privée est un droit pour tous.
[Read also: International Women’s Day 2022—breaking the bias in tech]
Nous devons changer cette image stéréotypée du « sweat à capuche et du Gatorade » afin de rendre ce milieu plus inclusif et plus accueillant pour les femmes. Nous devons également nous attaquer à l'écart salarial, ce qui constitue un moyen de contribuer à ce que les femmes restent dans ces
s de carrière. Dans notre culture, on ne parle pas d'argent, mais c'est justement ce qui permet aux inégalités salariales de perdurer. Avec la pandémie de COVID, nous
avons constaté que de nombreuses femmes quittaient le marché du travail parce que leur conjoint
gagnait davantage.
Quelles sont vos préoccupations concernant l'avenir des données sensibles, de la vie privée et de la sécurité ?
Je suis très curieux de savoir quelles en sont les conséquences pour les enfants qui grandissent au milieu des réseaux sociaux et partagent chaque aspect de leur vie en ligne. Quelles en sont les implications en matière de protection de la vie privée ? À quoi cela va-
ressembler lorsque vous chercherez un emploi en 20s ou en 30s,
, alors que les souvenirs embarrassants de quatrième sont immortalisés sur
?
Les gens ont tendance à en dire trop sur Internet et via les applications, sans pour autant en percevoir nécessairement les implications éthiques. J'ai beaucoup d'amis qui ont des enfants en ce moment et qui en disent vraiment trop sur leurs enfants. Je veux dire, Facebook existait déjà quand j'étais au lycée, mais c'était très différent de ce que c'est aujourd'hui.
