Un dark pattern sur un site web est une interface conçue pour pousser le visiteur vers une décision qu’il n’aurait pas prise librement : un faux compte à rebours, une case précochée, un bouton Refuser grisé, des frais qui n’apparaissent qu’au dernier écran.
Sur le site d’une TPE ou d’une PME, ce piège n’est pas forcément voulu. Il peut arriver avec un thème acheté, une extension de « preuve sociale », un bandeau cookies laissé en réglage d’usine ou un minuteur ajouté pour doper une promo. Le Code de la consommation, lui, ne prévoit aucune exception de taille. Ce guide sert à auditer votre site : ce que disent les textes, ce qui vous concerne, quoi mettre à la place. C’est un relevé des textes, pas un avis juridique : pour un cas limite, consultez un juriste.
Qu’est-ce qu’un dark pattern sur un site web ?
Un dark pattern, que le droit européen appelle « interface en ligne trompeuse », est une conception qui vous fait décider contre votre intérêt. Le règlement européen sur les services numériques (DSA) le décrit, pour les plateformes, à son considérant 67 : une pratique qui a pour objectif ou pour effet « d’altérer ou d’entraver sensiblement la capacité des destinataires du service de prendre une décision ou de faire un choix, de manière autonome et éclairée ».
Le même considérant donne des exemples courants : présenter des choix « de manière biaisée », redemander un choix déjà fait, rendre la procédure d’annulation « nettement plus compliquée que celle de s’y inscrire ».
La CNIL, qui relaie l’audit international du GPEN (le réseau des autorités de protection de la vie privée des pays de l’OCDE), présente ses résultats selon cinq indicateurs. Traduits pour un site de TPE :
- Langage complexe : une politique de confidentialité longue, écrite pour un juriste.
- Influence de l’interface : Accepter en couleur vive, l’option la plus protectrice en petit lien gris.
- Répétition : la fenêtre qui revient demander ce que le visiteur a déjà refusé.
- Entrave : le réglage ou la suppression de compte introuvable.
- Action forcée : exiger plus de données pour supprimer un compte qu’il n’en a fallu pour le créer.
Quels dark patterns trouve-t-on sur les sites marchands européens ?
Des informations cachées, des choix orientés et de faux comptes à rebours. Ce sont les trois pièges que les autorités européennes ont cherchés. Le 30 janvier 2023, la Commission européenne et les autorités de consommation de 23 États membres, de la Norvège et de l’Islande (réseau CPC) ont publié leur opération « coup de balai » sur 399 boutiques en ligne, du textile à l’électronique : 148 contenaient au moins une de ces trois interfaces truquées, soit 37 % (notre calcul).
Le détail, tiré du communiqué de la Commission européenne :
- 70 sites dissimulaient des informations importantes ou les rendaient moins visibles : frais de livraison, composition des produits, existence d’une option moins chère. Dont 23 pour pousser à prendre un abonnement.
- 54 sites orientaient vers certains choix, d’un abonnement à un produit plus cher ou à une option de livraison, par la présentation visuelle ou la formulation.
- 42 sites affichaient de faux compteurs à rebours pour l’achat de produits précis.
- Côté applications, 27 des 102 applis examinées contenaient au moins une de ces trois interfaces.
Didier Reynders, commissaire européen à la justice, déclarait alors : « Notre examen révèle que près de 40 % des sites d’achats en ligne reposent sur des pratiques manipulatrices visant à exploiter les vulnérabilités des consommateurs ou les duper. »
Côté données personnelles, un autre audit mesure autre chose : les choix de vie privée, à l’échelle internationale. Du 29 janvier au 2 février 2024, 26 autorités du GPEN ont examiné 1 010 sites web et applications : 56 % mettaient en évidence l’option qui protège le moins la vie privée, et dans près de 40 % des cas, les contrôleurs se sont heurtés à des obstacles pour faire un choix ou trouver l’information (résultats publiés par la CNIL le 10 juillet 2024).
Une limite à garder en tête : aucune des deux opérations ne ventile ses résultats par taille d’entreprise. Elles décrivent des sites de tous profils, pas spécialement ceux des TPE.
Quels pièges de design le Code de la consommation répute-t-il trompeurs ?
L’article L121-4 du Code de la consommation liste 28 pratiques « réputées trompeuses ». Quatre touchent directement le design d’un site : la fausse urgence (7°), le faux gratuit (19°), les avis présentés comme vérifiés sans vérification (27°) et les faux avis (28°). Le texte, dans sa version en vigueur depuis le 28 mai 2022, ne prévoit aucune exception liée à la taille de l’entreprise.
Ce que disent ces quatre points de l’article L121-4, et leur traduction à l’écran :
- 7°, la fausse urgence. Le texte vise le fait de « déclarer faussement qu’un produit ou un service ne sera disponible que pendant une période très limitée » pour obtenir une décision immédiate. À l’écran : le minuteur qui repart à zéro à chaque visite, le bandeau « dernier jour » affiché toute l’année.
- 19°, le faux gratuit. Décrire un produit comme « gratuit » ou « sans frais » si le client doit payer autre chose que les coûts inévitables pour répondre à l’offre et prendre livraison. À l’écran : le bilan « offert » qui n’est accessible qu’après un premier paiement.
- 27°, l’avis présenté comme vérifié. Affirmer que des avis viennent de clients ayant réellement utilisé ou acheté le produit « sans avoir pris les mesures nécessaires pour le vérifier ». À l’écran : la mention « avis vérifiés » affichée par un widget qui ne vérifie rien.
- 28°, le faux avis. Diffuser ou faire diffuser de faux avis, ou modifier des avis pour promouvoir un produit. À l’écran : les avis écrits « pour lancer la page », les critiques réécrites en compliments.
Sur les pages produit, surveillez aussi le 17°, qui vise les « informations matériellement inexactes » sur « les possibilités de trouver un produit ou un service ». Un « plus que 2 en stock » qui ne bouge jamais s’en approche : cas à soumettre à un juriste.
Le DSA s’applique-t-il au site d’une TPE ou d’une PME ?
Pour sa règle sur les dark patterns, non, sauf si votre site est une plateforme en ligne et que votre entreprise dépasse la taille d’une petite entreprise. L’article 25 du DSA ne vise que les « fournisseurs de plateformes en ligne ». Son paragraphe 2 écarte les pratiques couvertes par la directive 2005/29/CE sur les pratiques commerciales déloyales ou par le RGPD. Et l’article 19 exclut les micro et petites entreprises de la section 3, hors article 24, paragraphe 3 ; c’est la section qui contient l’article 25.
Le DSA définit la plateforme en ligne comme un service d’hébergement qui, à la demande de ses utilisateurs, « stocke et diffuse au public des informations », sauf si cette activité n’est qu’une fonction mineure et accessoire. Une place de marché ouverte à des vendeurs tiers y correspond ; un site vitrine ou une boutique qui vend vos propres produits, non. C’est notre lecture du texte. L’exemption de l’article 19 tombe pour les entreprises désignées très grandes plateformes, et elle ne couvre pas une PME de taille moyenne qui exploiterait une vraie place de marché.
La Commission le résumait dès 2023 : le DSA « interdira les interfaces truquées sur les plateformes en ligne ». Pour une TPE en France, les textes à regarder en premier sont donc le Code de la consommation, les règles de la CNIL sur les cookies et, si vous vendez un abonnement en ligne, la résiliation en 3 clics. Quant au Digital Fairness Act, le futur texte européen qui doit s’attaquer aux dark patterns, il n’est qu’annoncé selon la fiche du Parlement européen : la Commission l’a inscrit à son programme de travail 2026 pour le quatrième trimestre, et sa proposition n’est pas encore publiée.
Bandeau cookies : pourquoi le bouton Refuser doit-il être aussi simple que le bouton Accepter ?
Parce que la loi exige un consentement libre, et que la CNIL en tire cette règle, résumée dans le titre de sa communication du 29 juin 2021 : « Refuser les cookies doit être aussi simple qu’accepter ». Elle s’appuie sur ses lignes directrices et sa recommandation adoptées le 1er octobre 2020, que les sites avaient six mois pour appliquer, soit fin mars 2021 au plus tard. Un bandeau où refuser demande plus d’efforts qu’accepter est, pour la CNIL, contraire à la législation sur les cookies.
Le 18 mai 2021, la CNIL a mis en demeure une vingtaine d’organismes éditant des sites à forte fréquentation ; un mois plus tard, tous s’étaient mis en conformité. Elle rappelait alors que les manquements aux règles sur les cookies exposent à des sanctions pouvant aller jusqu’à 2 % du chiffre d’affaires. Les gros sites sont passés en premier, mais l’objectif affiché est « une conformité globale des acteurs s’adressant aux internautes français ». Le site d’une TPE qui vise des clients en France en fait partie.
Sur un petit site, le défaut peut venir du réglage d’usine de l’extension : Accepter dans un bouton plein, Paramétrer dans un lien gris, aucun Refuser au premier niveau. C’est l’influence de l’interface que le GPEN a relevée sur 56 % des sites et applis examinés dans le monde. La version honnête suit ses principes, présentation neutre et réglages par défaut protecteurs : Accepter et Refuser côte à côte, en boutons de même taille et de même style, et aucune case cochée d’avance dans le paramétrage. Pour votre designer, le laboratoire d’innovation de la CNIL tient un site de ressources, Données & Design (design.cnil.fr).
Vous vendez un abonnement en ligne : que doit prévoir votre site pour la résiliation ?
Une fonctionnalité « résilier votre contrat », gratuite, lisible et accessible en permanence, qui permet de résilier en 3 clics. La loi n° 2022-1158 du 16 août 2022 (articles 15 à 19) et le décret n° 2023-417 du 31 mai 2023 l’imposent pour les contrats de consommation qui peuvent être conclus en ligne. Un manquement expose à une amende administrative de 15 000 € au plus pour une personne physique et de 75 000 € pour une personne morale, selon Service-Public.fr et la DGCCRF.
Les trois clics, tels que Service-Public.fr les décrit :
- Premier clic : le client clique sur « résilier votre contrat », puis donne ou confirme son nom, son adresse électronique, sa référence client ou de contrat et la date de résiliation souhaitée. L’accès ne doit pas exiger la création d’un espace personnel.
- Deuxième clic : une page récapitulative lui permet de vérifier et de corriger ces informations.
- Troisième clic : il notifie la résiliation par un bouton « notification de la résiliation », accessible depuis ce récapitulatif. Vous confirmez ensuite la réception et indiquez la date de fin du contrat et ses effets.
Sont concernés tous les contrats de consommation qui peuvent être conclus en ligne, des salles de sport aux médias en ligne, l’assurance ayant ses règles propres. La DGCCRF souligne « un point important de la loi » : dès que vous permettez de conclure en ligne tout ou partie de vos contrats, vous devez proposer la résiliation en ligne pour tous. Un studio de yoga qui vend ses abonnements mensuels en ligne et ses abonnements annuels au comptoir doit donc l’offrir pour les deux.
La fiche de Service-Public.fr, mise à jour le 14 septembre 2023, est signalée comme ancienne par le site lui-même : vérifiez les textes en vigueur avant de refaire votre parcours.
Comment remplacer un dark pattern par un design honnête qui garde la conversion ?
En inversant chaque piège : une vraie date de fin au lieu d’un minuteur, le prix total dès la fiche produit, des choix présentés à égalité, des cases vides par défaut, moins de clics pour partir. C’est la ligne des recommandations du GPEN reprises par la CNIL : des réglages par défaut qui protègent, un langage et une conception neutres, moins de clics pour trouver l’information, se déconnecter ou supprimer un compte.
Sur la conversion, soyons nets : aucune des sources retenues ici ne mesure l’effet d’un dark pattern sur le taux de conversion d’une TPE. Ce qui suit est un raisonnement, pas une mesure. Un petit site vit de la confiance. Le visiteur qui voit un minuteur repartir à zéro ne doute pas seulement de la promo ; il doute de vos prix, de vos avis, de vos délais. Celui qui a dû chercher le bouton Refuser arrive sur votre formulaire déjà sur ses gardes. La CNIL relaie la même idée : « En offrant aux utilisateurs une expérience en ligne exempte d’influence, de manipulation et de coercition, les organismes peuvent renforcer la confiance des utilisateurs et faire de la protection de la vie privée un avantage concurrentiel. »
La grille d’autodiagnostic en 7 points
Faites le test vous-même, sur ordinateur puis sur mobile, en navigation privée.
| Le piège | Le test | Le repère | À mettre à la place |
|---|---|---|---|
| Compte à rebours | Rechargez la page : le minuteur repart-il à zéro ? | L121-4, 7° | La vraie date de fin de l’offre, écrite en clair |
| Stock limité | Le chiffre suit-il votre stock réel ? | L121-4, 17° (à faire trancher) | Le stock réel, ou aucune mention |
| Cases précochées | Newsletter, option ou garantie cochées d’avance ? | GPEN : réglages par défaut protecteurs | Des cases vides par défaut |
| Bouton Refuser grisé | Refuser demande-t-il plus d’efforts qu’accepter ? | CNIL, cookies | Deux boutons identiques, au même niveau |
| Frais au dernier écran | Le prix de la fiche est-il celui du paiement ? | 70 sites sur 399 cachaient des informations (CPC) | Le prix total, livraison comprise, dès la fiche |
| Avis sans vérification | Savez-vous dire comment chaque avis a été vérifié ? | L121-4, 27° et 28° | La méthode de collecte, écrite près des avis |
| Résiliation introuvable | Combien de clics depuis l’accueil pour résilier ? | Résiliation en 3 clics | Un bouton « résilier votre contrat », sans compte à créer |
Un exemple concret : sur un site internet d’agence immobilière, le piège à chercher est le badge « dernier bien disponible » ou le minuteur « visites jusqu’à dimanche » posé sur toutes les annonces. Un minuteur fictif correspond au 7° ; un faux « dernier bien » s’approche du 17°, cas à faire trancher par un juriste. À la place : la date de mise en ligne de l’annonce et son statut réel, disponible, sous offre ou vendu. L’acheteur qui revient la semaine suivante lit la même chose, et vous gardez votre crédit.
Une refonte est le bon moment pour faire le ménage : on repart de pages dessinées sur mesure, pas d’un thème qui embarque ses minuteurs. Le jour 1 de notre méthode, le cadrage fixe sections, hiérarchie de l’information et ton avant tout dessin : passez-y cette grille sur votre site actuel. Notre page création de site web détaille la démarche. Chez Inleven, un site de 5 pages dessinées sur mesure, reprise de votre ancien site comprise, coûte 990 € la première année, réglés en une fois ; le détail est sur notre offre.
