Face au développement du modèle « Consentir ou Payer » mis en place par de plus en plus de grandes plateformes en ligne, consistant à offrir le choix à l’utilisateur entre, d’une part, utiliser le service proposé par la plateforme gratuitement en contrepartie du consentement au traitement de ses données personnelles à des fins de prospection commerciale ciblée ou, d’autre part, payer pour utiliser le service, le Comité européen de la protection des données (CEPD) s’est penché sur la validité du consentement comme base légale de ce traitement. Plus précisément, le CEPD a considéré, dans un avis du 17 avril dernier[1], que le consentement donné par les utilisateurs des plateformes dans de telles situations n’était pas « libre » au sens du Règlement Général sur la Protection des Données (RGPD), car ceux-ci ne disposeraient pas d’un réel choix.
Un choix contraint par l’absence d’alternative équivalente
Le CEPD indique que, dans la plupart des cas, les grandes plateformes en ligne ne sauraient se conformer aux exigences du RGPD en matière de consentement valable si elles ne proposent aux utilisateurs qu’un « choix binaire »[2] entre le consentement au traitement des données à caractère personnel à des fins de publicité comportementale et le paiement d’une redevance.
L’avis indique clairement que la seule offre d’une alternative payante au service qui inclut le traitement à des fins de publicité comportementale « ne devrait pas être la solution par défaut pour les responsables du traitement ». Par ailleurs, si les plateformes en ligne choisissent de proposer une option payante pour l’utilisation de leurs services, elles devraient envisager de fournir aux utilisateurs une « alternative équivalente » n’impliquant ni le paiement d’une redevance, ni le traitement des données personnelles de ces derniers à des fins de ciblage publicitaire. Le Comité indique que « cette alternative […] peut, par exemple, être une version du service avec une forme différente de publicité impliquant le traitement de moins (ou pas) de données à caractère personnel, par exemple une publicité contextuelle ou générale ou une publicité basée sur des sujets que la personne concernée a sélectionnés à partir d’une liste de sujets d’intérêt. »
En d’autres termes, pour que le consentement des utilisateurs remplisse le critère de liberté imposé par le RGPD, le Comité indique que les plateformes devraient proposer une alternative équivalente gratuite, sans publicité comportementale, afin de ne pas inciter les personnes concernées à consentir au traitement de leurs données personnelles.
Un choix contraint par le préjudice subi par l’utilisateur en cas de refus
Le CEPD rappelle que le RGPD exige qu’un consentement soit « librement donné » pour être considéré comme valide. Ainsi, afin d’éviter tout préjudice qui exclurait le caractère libre du consentement de l’utilisateur, le comité indique que « les frais imposés ne peuvent être tels qu’ils empêcheraient effectivement les personnes concernées de faire un choix libre ».
En outre, le CEPD indique qu’une personne concernée peut subir un préjudice dans l’hypothèse où, refusant de payer une redevance, elle risquerait d’être « exclue du service » proposé par la plateforme. Ce préjudice peut être exacerbé lorsque le service « joue un rôle important ou est décisif pour la participation à la vie sociale ou l’accès à des réseaux professionnels », a fortiori en présence d’effets de verrouillage ou de réseau. Les plateformes doivent donc évaluer, au cas par cas, s’il existe un « déséquilibre des pouvoirs » entre la personne concernée et le responsable du traitement. Les facteurs à prendre en compte sont notamment « la position de la grande plateforme en ligne sur le marché », « l’existence d’effets de verrouillage ou de réseau », ou encore « la mesure dans laquelle la personne concernée dépend du service et le public principal du service ».
Cet avis s’inscrit dans la même dynamique que les positions de la CJUE – et de la CNIL – relatives à la monétisation des données personnelles : celle-ci est interdite lorsqu’elle a des conséquences préjudiciables sur un individu (par exemple, exclusion d’un service), mais autorisée si elle lui procure un avantage (par exemple, l’octroi d’un code promotionnel à une personne acceptant de s’inscrire à une newsletter).
[1] EDPB, Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, 17 April 2024
[2] Nota : L’avis ayant été rendu en langue anglaise, les termes et expressions entre guillemets ont été librement traduits.
