L’application de partage de selfies BeReal, très populaire auprès de la génération Z, est dans le collimateur des régulateurs européens. Une plainte pour violation potentielle du Règlement Général sur la Protection des Données (RGPD) vient d’être déposée contre la jeune pousse française, rachetée cet été par l’éditeur de jeux mobiles Voodoo.

Une bannière de consentement qui passe mal

Au cœur du litige : la façon dont BeReal demande à ses utilisateurs européens de consentir au suivi publicitaire depuis juillet 2024. L’association de défense de la vie privée noyb, à l’origine de la plainte, accuse l’application d’avoir recours à des tactiques manipulatrices, aussi appelées « dark patterns », pour tenter de pousser les utilisateurs à accepter le tracking, en contradiction avec le standard du RGPD selon lequel le consentement doit être « librement donné ».

Si la bannière de consentement affichée par BeReal semble au premier abord offrir un choix pratique entre « accepter » et « refuser » le suivi, c’est en réalité ce qui se passe après l’interaction de l’utilisateur qui pose problème selon noyb, car l’expérience n’est pas équivalente dans les deux cas.

Un « nudging » agressif pour les récalcitrants

BeReal déploierait en effet une tactique de « nudging » agressive pour harceler les utilisateurs qui refusent le tracking. D’après la plainte, la fameuse bannière réapparaît chaque jour lorsqu’ils tentent de publier un post, alors que ceux qui ont accepté ne la revoient plus jamais.

Il s’agit d’un exemple flagrant de « dark pattern », conçu pour manipuler la décision des utilisateurs et les agacer jusqu’à ce qu’ils consentent.

Lisa Steinfeld, avocate spécialiste de la protection des données chez noyb

L’association souligne qu’il est « évident que BeReal essaie de faire pression sur les utilisateurs pour qu’ils consentent au suivi » et pointe du doigt l’absurdité de ces tactiques de nudging :

• Au départ, les utilisateurs ont l’impression que l’application respecte leur choix
• Mais très vite, ils réalisent que BeReal n’accepte en fait pas le « non »

Un consentement qui doit être « librement donné »

Pour étayer son propos, noyb s’appuie sur les lignes directrices publiées en 2022 par le Comité Européen de la Protection des Données (EDPB) concernant les dark patterns sur les interfaces des réseaux sociaux. Ce document met en garde contre les tactiques d’ »incitation continue » qui demandent de façon répétée aux utilisateurs de consentir, estimant que ce dark pattern risque fort de les conduire à « céder par lassitude à force de devoir refuser la demande à chaque utilisation de la plateforme ».

Le RGPD indique très clairement que le consentement n’est valable que s’il est donné librement. Malheureusement, BeReal ne semble pas s’en soucier et préfère faire pression sur les gens pour qu’ils donnent leur consentement même s’ils ne veulent pas être suivis.

Lisa Steinfeld

Que risque BeReal ?

La plainte a été déposée auprès de la CNIL, l’autorité française de protection des données, le siège de Voodoo étant basé en France. Noyb demande au régulateur d’ordonner à BeReal de :

• Modifier son mécanisme de consentement pour qu’il respecte le standard d’un choix librement donné selon le RGPD
• Supprimer toutes les données traitées depuis la mise en place du dark pattern incriminé

L’association exhorte également la CNIL à imposer une amende à BeReal. Selon le RGPD, les infractions avérées peuvent entraîner des sanctions allant jusqu’à 4% du chiffre d’affaires annuel mondial. Un mauvais buzz dont la jeune application, déjà confrontée à une forte concurrence, se serait bien passée en cette période cruciale pour bâtir une base d’utilisateurs solide et rentable.

Reste à voir comment BeReal va réagir face à ces accusations. Contacté, son nouveau propriétaire Voodoo n’a pas encore commenté l’affaire. Une chose est sûre : ces pratiques douteuses ternissent l’image « authentique » que s’efforce de véhiculer l’app. Il y a fort à parier que d’autres acteurs du numérique seront bientôt épinglés sur ces questions de dark patterns, au cœur des préoccupations des régulateurs. Une occasion de plus de souligner l’importance du respect de la vie privée et du consentement éclairé à l’heure où nos données sont une ressource plus convoitée que jamais.