Analyse · Publié le 20 août 2026

Confidentialité invérifiable : votre publicité est devenue le cahier des charges

Bob Boole

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

Une promesse de confidentialité que le client ne peut pas vérifier n'est pas un simple argument commercial. Outre-Manche, elle devient une clause du contrat, et depuis avril 2025 le régulateur britannique peut sanctionner sa violation sans passer par un tribunal. La leçon vaut pour toute entreprise qui vend de la confiance en Europe.

À retenir

L'article 50 du Consumer Rights Act 2015 transforme les déclarations précontractuelles sur un service en clauses du contrat, ce qui fait d'une promesse de confidentialité invérifiable le cahier des charges de facto.
Depuis avril 2025, le Digital Markets, Competition and Consumers Act permet à la CMA de qualifier elle-même une pratique trompeuse et d'infliger des amendes pouvant atteindre 10 % du chiffre d'affaires mondial, sans procès, un plafond plus haut que les 4 % prévus par le RGPD.
Vérifier une promesse de confidentialité est un problème d'ingénierie aux réponses connues : statut attestable, sondes canari indépendantes, journaux de transparence signés, chacun avec un coût réel qui est le juste prix de la promesse.
Chaque promesse de confiance figurant dans votre communication doit être classée observable par le client, vérifiable par un auditeur, ou invérifiable, et les promesses invérifiables reconstruites, reformulées, ou sciemment assumées comme un risque.

Un VPN qui promet « aucun journal de connexion » et un service de sauvegarde qui promet un chiffrement de bout en bout vendent le même produit singulier : une promesse que l'acheteur ne pourra jamais vérifier. Que les journaux soient discrètement conservés, ou que les clés soient discrètement séquestrées, le service a l'air identique de l'extérieur. Cette asymétrie relevait autrefois de la curiosité philosophique. Au Royaume-Uni, elle a désormais un prix, car les promesses de confidentialité trompeuses relèvent du Digital Markets, Competition and Consumers Act 2024, et depuis avril 2025 la Competition and Markets Authority (CMA) peut décider elle-même qu'un professionnel a trompé les consommateurs et infliger des amendes pouvant atteindre 10 % du chiffre d'affaires mondial, sans procédure judiciaire. En comparaison, le RGPD plafonne les sanctions de la CNIL et de ses homologues européens à 4 % du chiffre d'affaires mondial : l'écart donne la mesure de ce que Bruxelles pourrait un jour envisager.

L'exposition la plus aiguë provient toutefois d'un texte plus ancien, que les équipes techniques lisent rarement. En vertu de l'article 50 du Consumer Rights Act 2015, tout ce qui est dit ou écrit à propos d'un service, et que le consommateur prend en compte au moment de l'achat, devient une clause du contrat. Votre communication marketing n'est pas annexe au produit : contractuellement, elle est le produit. Pour une fonctionnalité ordinaire, cela importe peu, car l'échec est immédiatement visible : l'application plante, l'itinéraire est faux, et le recours suit naturellement. Une fonctionnalité de confidentialité inverse ce mécanisme. Le client n'a aucun accès sensoriel à la défaillance, si bien que le seul artefact qu'il détient jamais est la promesse elle-même. Cette promesse finit par jouer le rôle d'un cahier des charges, sauf qu'elle a été rédigée par le service marketing et que, contrairement à votre spécification interne, elle est opposable.

Private Relay, le proxy vendu par Apple avec iCloud+, en offre une démonstration grandeur nature. Les chercheurs Talal Haj Bakry et Tommy Mysk rapportent qu'une adresse IP réelle peut fuiter via le trafic d'authentification par clé d'accès (passkey) : lorsqu'un site web utilise les requêtes WebAuthn liées à l'origine, le système d'exploitation va chercher le fichier de validation directement sur l'appareil plutôt que de passer par le proxy, alors même que le curseur affiche la protection comme active. Quel que soit le correctif déployé, le fait structurel demeure : une protection de confidentialité payante a échoué de façon invisible, sans que rien ne change dans la surface du produit, ce qui est précisément la condition dans laquelle c'est la publicité, et non l'architecture, qui définit ce qui a été vendu.

Pourquoi une promesse de confidentialité invérifiable expose-t-elle plus qu'un autre argument commercial ?

Parce que le critère légal porte sur l'attente du consommateur, non sur l'intention du professionnel. Le régime des pratiques commerciales déloyales de la loi britannique demande si une pratique est susceptible d'induire en erreur le consommateur moyen et de l'amener à prendre une décision commerciale qu'il n'aurait pas prise autrement. Une fonctionnalité de confidentialité qui échoue invisiblement conduit ce consommateur à continuer de payer pour une protection qu'il ne reçoit pas, et il est difficile d'imaginer un cas qui corresponde plus nettement à ce critère. Le code de la consommation français retient une logique comparable pour les pratiques commerciales trompeuses, et le principe de responsabilité posé par l'article 5 du RGPD exige déjà des responsables de traitement qu'ils soient en mesure de démontrer la conformité de ce qu'ils avancent, pas seulement de l'affirmer. Le précédent sur la manière dont de tels dossiers se dénouent existe déjà : le contentieux sur le mode Incognito de Google s'est soldé par un règlement qui a contraint l'entreprise à supprimer des milliards d'enregistrements et à réécrire ses mentions d'information, sans que la classe d'utilisateurs concernée reçoive de dommages et intérêts. Le remède a été la mise en conformité. Tribunaux et régulateurs traitent la communication sur la confidentialité comme une déclaration à confronter à la réalité, ce qui revient à la traiter comme un cahier des charges.

Comment prouver qu'une fonctionnalité de confidentialité fonctionne réellement ?

C'est un problème d'observabilité, et il a des réponses techniques que presque personne, parmi ceux qui formulent ces promesses, n'a construites. Une surface de vérification pour une promesse de confidentialité comporte trois composantes reconnaissables. Le statut attestable donne au client une déclaration signée et vérifiable par un tiers du chemin réellement emprunté par son trafic, plutôt qu'un simple curseur qui affiche une intention. Les sondes canari sont des points d'observation indépendants qui interrogent en continu ce que le service expose réellement (l'adresse IP de sortie vue par un site web, la possibilité de récupérer des données en clair) et déclenchent une alerte au moindre écart avec la promesse. Les journaux de transparence signés, sur le modèle du Certificate Transparency, donnent à des auditeurs externes un registre append-only qu'ils peuvent rejouer pour confirmer que le comportement annoncé a bien tenu dans la durée. Rien de tout cela n'est gratuit. Cela coûte en conception, en infrastructure permanente et en engagement opérationnel, avec cette propriété inconfortable qu'une surface de vérification honnête publiera vos propres défaillances. Cet inconfort est précisément le point : le coût de rendre une promesse vérifiable est son juste prix, et si la vérification coûte trop cher à construire, c'est un signal fort que la formulation était trop forte pour être publiée telle quelle.

Auditer ses promesses avant que le régulateur ne s'en charge

L'exercice pratique est un audit des promesses, en quatre temps. D'abord, extraire chaque promesse de confiance présente sur les pages marketing, les grilles tarifaires et les textes du produit : privé, sécurisé, chiffré, anonymisé, jamais utilisé pour l'entraînement. Ensuite, classer chacune d'elles en observable par le client, vérifiable par un auditeur, ou invérifiable de l'extérieur. Troisièmement, soumettre chaque promesse invérifiable aux deux tests juridiques exposés plus haut : un consommateur la prendrait-il en compte au moment de l'achat, ce qui en ferait une clause au sens de l'article 50 ; et le silence sur un mode de défaillance connu serait-il de nature à induire en erreur. Enfin, décider promesse par promesse s'il faut construire la surface de vérification, affaiblir la formulation jusqu'à ce qu'elle corresponde à ce qui est démontrable, ou acter que l'entreprise assume sciemment le risque. Passer les promesses marketing au crible de l'architecture, comme s'il s'agissait d'exigences système, est exactement l'exercice pour lequel un audit de stratégie technique est conçu.

La prochaine vague de promesses invérifiables est déjà en cours de rédaction, souvent à quelques stations de métro de Station F. Les abonnements IA affirment désormais couramment que les données des clients ne servent jamais à l'entraînement, que l'inférence est privée, que les environnements des locataires sont isolés. Ce sont des promesses de la même famille que celle de Private Relay : invisibles en fonctionnement, impossibles à tester pour l'acheteur, et pourtant clairement du genre de déclaration qu'un acheteur prend en compte. L'AI Act européen pousse d'ailleurs dans la même direction en matière de transparence pour certains systèmes d'IA. Nous avons déjà défendu l'idée que les propriétés de sécurité devraient être observables par construction, à propos de la sécurisation des systèmes agentiques et du maintien d'un contrôle humain sur les déploiements d'IA, et la position juridique renforce désormais la position technique. De nouveaux canaux annexes continueront d'apparaître, parce que les plateformes complexes en produisent ; on ne peut pas promettre de les faire disparaître. Ce qu'on peut faire, en revanche, c'est rédiger sa publicité comme un cahier des charges, parce qu'en droit britannique, c'est déjà ce qu'elle est, et parce que l'Europe regarde.

Questions fréquentes

Les promesses marketing ont-elles une valeur contractuelle en droit britannique ?

Pour les services, oui. L'article 50 du Consumer Rights Act 2015 prévoit que tout ce qui est dit ou écrit au consommateur, par le professionnel ou en son nom, à propos du professionnel ou du service, devient une clause du contrat si le consommateur en tient compte pour décider d'acheter. Une promesse de confidentialité ou de sécurité affichée sur une page tarifaire n'est donc pas un simple effet d'annonce : si le service ne la respecte pas, le professionnel est en rupture de contrat, en plus d'être exposé au titre du droit de la consommation.

Quelles sanctions le DMCCA prévoit-il pour les pratiques trompeuses ?

Le Digital Markets, Competition and Consumers Act 2024 a donné à la Competition and Markets Authority des pouvoirs d'exécution directs depuis avril 2025. La CMA peut désormais constater elle-même qu'une entreprise a enfreint le droit de la consommation, sans passer par un tribunal, et infliger des amendes pouvant atteindre 10 % du chiffre d'affaires annuel mondial. Ce mécanisme fait passer les promesses trompeuses d'un risque contentieux hypothétique à une exposition réglementaire avec un plafond clairement défini, un cran au-dessus du plafond de 4 % que connaît le RGPD.

Les utilisateurs ont-ils été indemnisés dans l'affaire du mode Incognito de Google ?

Non. Selon l'agence Associated Press, le règlement a contraint Google à supprimer des milliards d'enregistrements, à renforcer ses mentions d'information sur le mode Incognito et à limiter certaines collectes de données, mais la classe d'utilisateurs représentée n'a reçu aucun dommage et intérêt. Le remède a consisté en une mise en conformité et davantage de transparence plutôt qu'en un versement financier, ce qui illustre la façon dont les tribunaux traitent la communication sur la confidentialité : comme une déclaration à aligner sur la réalité.