Le RGPD et le modèle « consentir ou payer »

Par son arrêt du 4 juillet 2023 (C‑252/21), la Cour de justice de l’Union européenne (CJUE) a jugé illicites les pratiques de monétisation des données de Meta.

L’affaire trouve son origine dans une demande de décision préjudicielle portant sur l’interprétation de plusieurs dispositions clés du traité sur l’Union européenne (article 4, paragraphe 3, TUE) et du règlement général sur la protection des données (RGPD), en particulier ses articles 6, paragraphe 1, 9, paragraphes 1 et 2, 51, paragraphe 1, et 56, paragraphe 1.

Le litige oppose Meta Platforms Inc. (anciennement Facebook Inc.), Meta Platforms Ireland Ltd. (anciennement Facebook Ireland Ltd.) et Facebook Deutschland GmbH à l’Office fédéral allemand des ententes (Bundeskartellamt), à l’origine de la procédure.

Les principaux enseignements

• Pour qu’un traitement de données à caractère personnel soit licite au titre de l’article 6, paragraphe 1, sous f), du RGPD, trois conditions cumulatives doivent être réunies :
  1. le traitement doit poursuivre un intérêt légitime du responsable du traitement ou d’un tiers ;
  2. le traitement doit être nécessaire à la réalisation de cet intérêt légitime ; et
  3. les intérêts ou les libertés et droits fondamentaux des personnes concernées ne doivent pas prévaloir sur l’intérêt légitime du responsable du traitement ou du tiers.
• La CJUE a souligné que la position dominante du responsable du traitement sur le marché constitue un élément déterminant pour apprécier si le consentement est réellement valable et, en particulier, librement donné. Cette position dominante est en effet susceptible d’affecter la liberté de choix de l’utilisateur, en le contraignant à consentir ou en l’empêchant de retirer son consentement sans subir de conséquences négatives importantes. Une telle situation peut créer un déséquilibre manifeste entre la personne concernée et le responsable du traitement.
• La CJUE a en outre précisé que, lorsque certaines opérations de traitement ne sont pas nécessaires à l’exécution du contrat, les utilisateurs doivent être libres de refuser d’y consentir sans être contraints de renoncer entièrement à l’utilisation du service. Le cas échéant, il doit leur être proposé une alternative qui, moyennant une rémunération appropriée, n’implique pas les mêmes opérations de traitement intrusives.
• La CJUE a rappelé que le consentement est présumé ne pas avoir été donné librement s’il ne permet pas de consentir séparément à différentes opérations de traitement, alors même que cela serait approprié dans le cas d’espèce.
• La CJUE a mis en avant l’importance de facteurs tels que l’ampleur du traitement des données, son incidence considérable sur les utilisateurs et les attentes raisonnables de ces derniers, autant d’éléments déterminants pour l’appréciation de l’affaire.
• Le modèle « consentir ou payer » de Meta place les utilisateurs devant un choix binaire : soit payer un abonnement pour bénéficier d’un service sans publicité, soit consentir à un suivi et à un profilage étendus. Ce modèle soulève de sérieuses interrogations quant au caractère libre et à la légitimité du consentement des utilisateurs, puisqu’il les contraint en substance à sacrifier soit leur vie privée, soit leurs ressources financières.

L’avis 08/2024 du CEPD

Lors de sa session plénière du 17 avril 2024, le Comité européen de la protection des données (CEPD) a adopté l’avis 08/2024 sur la validité du consentement dans le cadre des modèles « consentir ou payer » mis en œuvre par les grandes plateformes en ligne.

Cet avis a été rendu à la suite d’une demande présentée au titre de l’article 64, paragraphe 2, du RGPD par les autorités de protection des données néerlandaise, norvégienne et de Hambourg. Il porte sur la validité du consentement au traitement des données à caractère personnel à des fins de publicité comportementale dans le cadre des modèles « consentir ou payer » déployés par les grandes plateformes en ligne.

« Les modèles “consentir ou payer” peuvent être définis comme des modèles dans lesquels un responsable du traitement offre aux personnes concernées le choix entre au moins deux options pour accéder à un service en ligne qu’il fournit : la personne concernée peut 1) consentir au traitement de ses données à caractère personnel pour une finalité déterminée, ou 2) décider de payer une redevance et accéder au service en ligne sans que ses données à caractère personnel soient traitées pour cette finalité. Le présent avis porte sur les modèles dans lesquels le consentement peut être donné au traitement de données à caractère personnel à des fins de publicité comportementale. »

Le paragraphe 5 des lignes directrices du CEPD sur le consentement est ainsi rédigé :

« Comme l’a indiqué le G29 dans son avis 15/2011 sur la définition du consentement, inviter des personnes à accepter une opération de traitement de données devrait être soumis à des exigences rigoureuses, puisque cela concerne les droits fondamentaux des personnes concernées et que le responsable du traitement souhaite réaliser une opération de traitement qui serait illicite sans le consentement de la personne concernée. Le rôle essentiel du consentement est souligné par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne. En outre, l’obtention du consentement n’annule ni ne diminue en rien l’obligation du responsable du traitement de respecter les principes relatifs au traitement consacrés par le RGPD, en particulier à l’article 5 du RGPD, en ce qui concerne la loyauté, la nécessité et la proportionnalité, ainsi que la qualité des données. Même si le traitement de données à caractère personnel est fondé sur le consentement de la personne concernée, cela ne légitimerait pas une collecte de données qui n’est pas nécessaire au regard d’une finalité déterminée du traitement et qui serait fondamentalement déloyale. »