Jurisdiction as Structural Barrier: How Privacy Policy Organization May Reduce Visibility of Substantive Disclosures
Cet article identifie et analyse la « divulgation cloisonnée par juridiction », un modèle structurel dans les politiques de confidentialité où les détails substantiels des pratiques de données sont dissimulés au sein de sections de conformité régionale plutôt que dans le corps principal, réduisant ainsi la visibilité pour les utilisateurs situés hors des juridictions réglementées, et propose une norme de divulgation universelle afin de garantir que les informations matérielles parviennent à toutes les parties concernées.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
L'idée principale : Le problème du « Menu Caché »
Imaginez que vous entrez dans un restaurant pour commander votre dîner. Vous prenez le menu, qui est censé vous dire exactement ce que la cuisine fait avec votre nourriture.
- Le Menu Général : La partie principale du menu indique « Nous utilisons des ingrédients frais » et « Nous pourrions partager votre commande avec le chef ». C'est vague et sans risque.
- La section « Californie » : Tout au fond, il y a une petite page séparée intitulée « Résidents de Californie uniquement ». Si vous tournez la page, vous voyez un avertissement clair et spécifique : « Nous vendons vos données personnelles à des annonceurs. »
Si vous habitez dans l'Ohio, vous voyez l'en-tête « Résidents de Californie uniquement », vous vous dites : « Ce n'est pas pour moi », et vous passez la page. Vous rentrez chez vous en pensant : « Oh, ils partagent juste mes données avec le chef. » Vous n'apprenez jamais qu'ils sont en réalité en train de vendre vos données.
C'est exactement ce que l'auteur appelle la « Divulgation cloisonnée par juridiction » (Jurisdiction-Siloed Disclosure).
L'auteur, Thomas Brackin, soutient que de nombreuses grandes entreprises (comme Google, Meta, Amazon et d'autres) cachent leurs secrets les plus importants et les plus spécifiques sur ce qu'elles font de vos données à l'intérieur de sections étiquetées pour des lieux spécifiques (comme la « Californie », l'« UE/Royaume-Uni » ou l'« Illinois »). Si vous ne vivez pas dans ces endroits, vous avez tendance à ignorer ces sections, ce qui vous laisse dans l'ignorance concernant des pratiques qui vous affectent réellement aussi.
Comment il a découvert cela (L'audit)
Le chercheur a examiné les politiques de confidentialité de 123 grandes entreprises. Il ne s'est pas contenté de les lire ; il a utilisé un système informatique intelligent (IA) pour agir comme un détective, à la recherche d'un schéma spécifique :
- Le Piège : Est-ce que l'entreprise dit quelque chose de vague dans le texte principal (ex. : « Nous pourrions partager des informations ») ?
- La Révélation : Est-ce que l'entreprise dit quelque chose de très spécifique et concret dans une section régionale (ex. : « Nous vendons vos données biométriques ») ?
Les Résultats :
- Il a trouvé ce schéma de « dissimulation » dans 77 des 123 entreprises (environ 62 %).
- Il a trouvé 282 exemples spécifiques de ce phénomène.
- Même si nous ne comptons que les exemples les plus certains et prouvés, cela se produit toujours dans 44 % des entreprises.
Pourquoi cela importe : L'« odeur » de l'information
L'article utilise une théorie appelée « Foraging d'information » (Information Foraging). Pensez à un chien qui chasse de la nourriture.
- Les chiens suivent une « odeur ». Si l'odeur est forte, ils la suivent. Si l'odeur dit « Ceci est pour un autre chien », ils s'arrêtent.
- Les humains font la même chose avec les sites web. Nous parcourons les titres. Si nous voyons un titre qui dit « Vos droits de confidentialité en Californie », notre cerveau se dit : « Je ne suis pas en Californie. Cette odeur est non pertinente. Je vais passer mon chemin. »
L'article soutient que les entreprises comptent sur ce comportement. Elles placent les vérités les plus effrayantes et spécifiques dans la section « Californie », sachant qu'un utilisateur du Texas passera outre. L'entreprise ne ment pas (la vérité est là), mais elle la cache dans un endroit que vous êtes entraînés à ignorer.
La solution proposée : « Divulgation substantielle universelle »
L'auteur suggère une nouvelle règle sur la manière dont les politiques de confidentialité devraient être rédigées. Il appelle cela la « Divulgação substantielle universelle » (Universal Substantive Disclosure).
Pensez à une étiquette nutritionnelle sur une boîte de céréales.
- Système actuel : L'étiquette indique « Contient du sucre » sur la boîte principale, mais la quantité exacte de sucre n'est listée que sur un petit autocollant à l'arrière qui dit « Pour les résidents de Californie ».
- Système proposé : La boîte principale doit dire « Contient 15g de Sucre » pour tout le monde. L'autocollant à l'arrière peut ensuite simplement dire : « Les résidents de Californie peuvent demander un remboursement s'ils n'aiment pas le sucre. »
La Règle :
- Ce qu'ils FONT (Les Faits) : Si une entreprise vend vos données, collecte le scan de votre visage ou utilise l'IA pour prendre des décisions, elle doit l'indiquer clairement dans la partie principale de la politique pour que tout le monde puisse le voir.
- Comment vous le RÉGLEZ (Les Droits) : Les sections régionales ne devraient contenir que les instructions de « comment faire » pour les personnes de ce lieu spécifique (ex. : « Voici le lien pour s'opposer si vous vivez en Californie »).
Exemples concrets tirés de l'article
L'article donne cinq histoires spécifiques (études de cas) pour montrer comment cela fonctionne :
- Clearview AI (Reconnaissance faciale) : La politique principale utilise des mots compliqués et confus comme « données de vecteur facial ». Mais la section « Illinois » dit explicitement : « Nous collectons des données biométriques ». Si vous n'êtes pas en Illinois, vous manquez le mot « biométrique » et ne réalisez pas qu'ils scannent votre visage.
- Grindr (Application de rencontre) : Le texte principal dit : « Nous pourrions collecter des données sensibles dans certains endroits. » La section Californie dit : « Oui, nous collectons votre orientation sexuelle et votre localisation. » Un utilisateur de l'Ohio manque la confirmation que ses données sont collectées.
- Roblox (Jeu vidéo) : Le texte principal dit : « Nous personnalisons les publicités. » La section « UE » dit : « Nous utilisons des données partenaires pour décider quelles publicités vous montrer et pour suivre leur efficacité. » Un enfant aux États-Unis manque le détail selon lequel ses données sont partagées avec des partenaires.
- Thomson Reuters (Société de données) : Le texte principal dit : « Nous pourrions vendre des données en vertu de certaines lois. » La section Californie dit : « Nous vendons effectivement des données dans 10 catégories. »
- Northrop Grumman (Défense) : La section américaine dit : « Nous n'utilisons pas l'IA pour prendre des décisions d'embauche. » La section européenne dit : « Nous utilisons l'IA pour classer les candidats. »
Ce que l'auteur ne dit PAS
Il est important de s'en tenir à ce que l'article affirme réellement :
- Il ne dit pas que les entreprises font cela exprès pour vous tromper. L'auteur suggère que les entreprises suivent simplement des modèles juridiques qui disent de mettre les lois de la Californie dans une boîte pour la Californie. C'est une erreur structurelle, pas nécessairement malveillante.
- Il ne dit pas que cela se produit sur chaque site web d'Internet. Ils n'ont vérifié que 123 grandes entreprises célèbres.
- Il ne dit pas qu'ils ont mesuré exactement combien de personnes sautent ces sections. Ils utilisent des recherches existantes (qui indiquent que les gens ignorent ce qui leur semble non pertinent) pour prédire que les gens ignoreraient ces sections. Ils demandent davantage d'études pour prouver ce comportement.
L'essentiel
L'article soutient que la transparence ne consiste pas seulement à avoir l'information ; il s'agit de savoir où vous la placez.
Si une entreprise place la vérité dans une boîte étiquetée « Pas pour vous », et que vous passez cette boîte, l'entreprise a techniquement dit la vérité, mais elle a échoué à vous donner une notification. L'auteur veut une règle qui stipule : « Si une pratique affecte tout le monde, la vérité sur cette pratique doit être dite à tout le monde, dès l'entrée de la porte. »
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.