Blog Données personnelles
Validité du modèle « Consentir ou Payer » des très grandes plateformes en ligne : avis 08/2024 du Comité européen de la protection des données
Le 17 avril 2024, le Comité européen de la protection des données (ci-après le « CEPD ») a adopté un avis portant sur la validité du modèle « Consentir ou payer », lequel avait été mis en place dès décembre 2023 notamment par la société Meta.
Ce modèle consiste à proposer aux utilisateurs d’un site internet, soit d’accepter que leurs données à caractère personnel soient collectées et traitées à des fins de publicité comportementale par la société éditrice du site, soit de payer une redevance ou un frais à la société afin que ses données personnelles ne soient pas traitées en ce sens.
Dans le cadre de ce modèle, lorsque les utilisateurs acceptent que leurs données personnelles soient traitées à des fins de publicité comportementale, la société éditrice considère alors qu’elle a rempli ses obligations au titre de l’article 6 du Règlement général sur la protection des données (ci-après le « RGPD ») et que le consentement ainsi recueilli constitue une base légale, fondant la licéité du traitement.
Mais la question de la validité d’un tel modèle s’est posée, et plus précisément la question de la validité du consentement recueilli. Très vite, de nombreux acteurs ont exprimé leur indignation, affirmant que le consentement recueilli des utilisateurs ne pouvait en aucun cas être considéré comme valable, car n’étant pas donné librement puisque la seule alternative qui leur était offerte consistait à payer une redevance ou un frais à la société.
Un avis du CEPD a très vite été demandé par plusieurs autorités européennes de protection des données, conformément à la procédure inscrite au sein de l’article 64.2 du RGPD.
L’avis 08/2024 rendu par le CEPD porte sur la validité de ce modèle mis en œuvre par les sociétés qualifiées de très grandes plateformes en ligne.
Dans cet avis, le CEPD insiste d’abord sur le fait que la mise en place d’un tel modèle ne permet de proposer aux utilisateurs qu’un choix binaire avec pour seule alternative au traitement de leurs données personnelles à des fins de publicité comportementale, le paiement d’un frais ou d’une redevance. Ce choix binaire ne permet pas, selon le CEPD de recueillir valablement le consentement des utilisateurs, ne pouvant alors pas considérer que ces derniers ont librement consenti au traitement de leurs données. Le CEPD invite les plateformes à proposer, en sus de ces deux options, une troisième alternative, laquelle ne doit pas avoir pour finalité le traitement des données personnelles à des fins de publicité comportementale, ni le paiement d’une redevance ou d’un frais.
En outre, le CEPD insiste également sur la nécessité de prendre en compte, lors de l’appréciation de la validité du consentement, l’absence de déséquilibre des pouvoirs. En effet, si déséquilibre il y a entre les utilisateurs et la très grande plateforme en ligne, il n’est pas possible de considérer que le consentement donné par les utilisateurs découle de leur liberté de choix. En l’espèce, le paiement d’une redevance ou la facturation d’un frais comme seule alternative obligent les utilisateurs à donner leur consentement. Ce consentement n’est donc pas donné librement et n’est donc pas valable au sens de l’article 6 du RGPD.
Cependant, ce modèle pourrait permettre le recueil d’un consentement valable, dans un cas ne présentant pas de déséquilibre de pouvoirs entre l’utilisateur et la plateforme et sous certaines conditions. Par exemple, lorsque l’utilisateur ne dépend pas du service proposé ou du public principal du service, et que la position de marché de la société ne lui permet pas d’imposer son service, ou d’engendrer un déséquilibre des pouvoirs.
Le CEPD ouvre ainsi la porte à une appréciation au cas par cas de la validité du consentement utilisateurs.
Enfin, le CEPD rappelle que l’obtention d’un consentement valable retenu comme base légale permettant de fonder la licéité d’un traitement de données à caractère personnel, ne dispense pas les responsables du traitement d’appliquer l’ensemble des dispositions du RGPD et en particulier les principes de la protection des données personnelles inscrits au sein de l’article 5 du RGPD.
Jeanne BOSSI MALAFOSSE, associée, et Florian BUSSINET, stagiaire