Netflix is watching you

Il fait froid, il fait nuit tôt, il pleut. La période idéale pour le binge watching, pratique de « visionnage boulimique » de séries et films dont Netflix, leader mondial de la vidéo à la demande sur abonnement se fait le promoteur. Pour cela, Netflix dispose d’un atout marketing imparable, que nous décrivions déjà en 2016 dans notre cahier IP 3 « les données, muses et frontières de la création » : son  trésor cumulé de données sur les habitudes de visionnage de ses 100 millions d’abonnés mondiaux.

Netflix fait feu de tout bois pour valoriser ses données : elles sont évidemment le combustible de ses moteurs de recommandations, servent à prendre des décisions de financement de contenus et de productions, mais aussi… à faire de la pub. Et c’est là que le discours euphémisant sur la magie des algorithmes hoquète quelque peu.

Le 10 décembre, Netflix US diffusait une nouvelle campagne publicitaire aux Etats-Unis sur Twitter : 

"To the 53 people who've watched A Christmas Prince every day for the past 18 days: Who hurt you?"

Netflix nous informe par ce message sur un ton humoristique avoir détecté que 53 abonnés étasuniens ont regardé une comédie romantique de Noël, tous les jours pendant les 18 derniers jours. En soi, une telle analyse n’est pas très étonnante : Netflix ne se cache pas d’analyser les pratiques de visionnage de ses utilisateurs, et publie régulièrement des résultats sur ce sujet, comme le montre leur long article technique sur la personnalisation des images d’illustration des films et séries.

Par ailleurs, ce n’est pas vraiment une première : il y a exactement un an, juste avant noël 2016, la plateforme de musique en streaming Spotify avait créé des affiches publicitaires se basant sur des analyses d’usage similaires : « On souhaite bien du courage aux 3 749 personnes qui ont chargé la musique ‘’It’s the End of the World As We Know It’’ le jour du Brexit » à Londres, “A vous qui avez écouté “Sorry” quarante-deux fois le jour de la Saint Valentin, qu’avez-vous fait ?” à New-York.

Tout cela est donc anodin, commun, habituel, banal dans ce monde de « big data »... Pourtant, cette pratique provoque bien des réactions, et depuis la publicité de Netflix US, de nombreux articles interrogent le caractère inquiétant, voire anxiogène (« creepy ») d’une telle précision.

Comment l’entreprise a-t-elle réagi ?

D’abord, en déclenchant la réponse automatique d’urgence des relations publiques dans ce domaine, l’habituel « la vie privée de nos utilisateurs est une priorité ». Puis en renvoyant à deux arguments là aussi très habituels : 1/ ce ne sont pas des données individuelles de « personnes spécifiquement identifiées » 2/ de toutes façons, « c’est clairement écrit dans les conditions générales que chacun approuve — mais ne lit pas forcément — en s’abonnant », selon le journal Le Monde.

On aurait envie de répondre que c’est un peu court.

En effet, les seules conditions générales d’utilisation ne suffisent pas à soustraire les responsables de traitement de leurs obligations, d’autant plus dans le cadre du RGPD, qui s’appliquera chaque fois qu’un résident européen sera directement visé par un traitement de données (critère du ciblage).

Le RGPD prévoit en effet des principes de protection des données qui comportent notamment la transparence du traitement, sa loyauté, et le respect du droit des personnes...

Au-delà des caractéristiques mêmes du consentement, caractérisées dans le règlement comme devant être libre, spécifique, éclairé et univoque, comme le dit le chercheur Richard Gomer : le consentement, c’est l’absence de surprise. Or, là, de fait, la pratique semble surprendre comme le montre les réactions des internautes, experts et journalistes bien résumées par Luc Vinogradoff dans Le Monde : « si beaucoup ont trouvé la blague marrante, le débat en ligne a vite basculé sur des thèmes que l’opération de promotion de Netflix n’avait pas prévu d’aborder, comme le respect de la vie privée et le ton de la blague : est-ce normal qu’une multinationale utilise les données qu’elle stocke sur ses clients pour moquer leurs goûts ? Et si le community manager de ladite multinationale a accès à ces données, qui d’autre parmi les employés l’a aussi ? »

Ce sont également les premières questions qui viennent à tout expert ou militant concerné par les droits individuels, par exemple Trevor Timm : « Combien d’employés ont accès aux habitudes de visionnage des individus ? Y’a-t-il des contrôles pour savoir qui a accès à ces données et ce pour quoi elles peuvent être utilisées ? Y’a-t-il des sanctions prévues en cas d’abus ? »

Ce sont en effet les bonnes questions. Elles ressemblent d’ailleurs aux questions que les autorités de protection des données comme la CNIL étudieraient si le service était offert en Europe, ou que les acteurs devraient étudier dans le cadre des analyses d’impact sur la vie privée : Comment le cycle de vie des données se déroule-t-il ? Quels sont les supports des données ? Quelle est la durée de conservation des données ? Qui a accès aux données dans l’entreprise ? Comment est garantie la sécurité des données ?

On pourrait rétorquer que tout cela est une déformation professionnelle de régulateur et que ces risques sont théoriques… pourtant, sur la question que l'on se pose régulièrement de savoir qui a accès aux informations individuelles, les exemples de mauvaises pratiques existent. On pense par exemple à Uber qui a été critiqué (notamment sur LINC) pour l’usage ouvert à tous ses employés d’un mode « god view », permettant de suivre en temps réel les trajets de chaque utilisateur, et qui a semble-t-il pu être utilisé par l’entreprise pour surveiller les allées et venues de journalistes un peu trop critiques.

Tout cela renvoie à un enjeu majeur déjà évoqué dans notre cahier IP3 : sous prétexte de fluidité, « d’expérience utilisateur sans couture » les entreprises du numérique se sentent obligées de développer un discours euphémisant sur leur technologie : elles sont magiques, invisibles, disparues, et finalement absentes. »

Le risque est que le rapport entre l’utilisateur et le service ne repose ni sur la confiance ni sur la connaissance, mais sur l’aveuglement et une forme d’infantilisation ; dès lors le rôle de la régulation est essentiel. A cet égard, les CNIL européennes viennent de publier des lignes directrices sur le « consentement » et la « transparence », expliquant par exemple que la transparence est une obligation primordiale dans le cadre du Règlement Général à la Protection des Données : « la transparence est une caractéristique de longue date de la législation de l'UE. Il s'agit de créer de la confiance dans les processus qui affectent le citoyen en lui permettant de comprendre et, si nécessaire, de remettre en question ces processus. C'est également une expression du principe de loyauté dans le traitement des données à caractère personnel, énoncé à l'article 8 de la Charte des droits fondamentaux de l'Union européenne. »

A la question de Netflix  « Qui vous a blessé ? », on a donc envie de dire que sur cette affaire, Netflix s’est blessé tout seul…