EDPB – Les cookie-walls jugés illégaux en l’absence d’une alternative réelle gratuite

L’EDPB, l’organisme public qui regroupe les autorités européennes de protection des données, a publié, le 17 avril 2024, son analyse détaillée sur l’utilisation de cookie-walls (appelés également « Payer ou consentir »), c’est-à-dire l’obligation de payer ou de consentir à l’utilisation de ses données personnelles pour accéder à un service en ligne.

Cette analyse, sollicitée par les autorités néerlandaise, norvégienne et allemande, permet d’établir « les conditions dans lesquelles les cookie-walls couplés à l’utilisation de publicité comportementale peuvent être implémentés par les grandes plateformes en ligne », en tenant compte des exigences du consentement^[1] du RGPD et de la récente jurisprudence^[2] de la CJUE.

De manière générale, l’EDPB a rappelé qu’un consentement était valide lorsqu’il représentait une volonté « spécifique », « libre » et « informée » de l’internaute, et que « les données à caractère personnel ne peuvent pas être considérées comme une marchandise négociable ». Les plateformes en ligne souhaitant utiliser un cookie-wall devraient donc être en mesure de démontrer que toutes ces exigences soient respectées pour éviter que « le droit fondamental à la protection des données ne soit transformé en une option dont les personnes concernées doivent payer pour en bénéficier ».

Plus spécifiquement, les plateformes devraient être en mesure de démontrer que le consentement est « librement donné », en prenant en compte des éléments suivants :

• l’existence d’un éventuel « préjudice », qui naît notamment lorsque la personne s’opposant à l’utilisation de ses données à des fins de publicité comportementale est exclue d’une plateforme en ligne, particulièrement si cette plateforme est un réseau social permettant de participer aux activités sociales ou professionnelles du quotidien – Facebook ou LinkedIn par exemple.
• l’existence d’un coût, particulièrement si ce coût « encourage les utilisateurs à consentir ».
• l’existence d’un « déséquilibre des pouvoirs » entre la plateforme et la personne, déterminé notamment en fonction du positionnement de la plateforme sur le marché.

« en cas de déséquilibre manifeste entre l’éditeur et l’internaute, le consentement ne peut être utilisé que dans des "circonstances exceptionnelles" »

Enfin, concernant la jurisprudence de la CJUE, particulièrement l’arrêt du 4 juillet 2023 concernant Meta (ex-Facebook) qui stipule de manière accessoire que les utilisateurs devraient « se voir proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente non accompagnée de telles opérations de traitement de données », l’EDPB comprend que « les cookie-walls ne sont pas interdits en principe ». Elle note toutefois que la Cour n’a pas explicité la notion d’« alternative équivalente », ni la notion de « rémunération appropriée ».

Concernant l’« alternative équivalente », l’EDPB explique qu’une alternative équivalente devrait être comprise comme une solution « réellement équivalente », en termes de fonctionnalités, et proposée par le même responsable de traitement. Elle ne devrait toutefois pas contenir de publicité comportementale, dans la mesure où les traitements de données associés ne sont pas « nécessaires »^[3].

Concernant l’éventuelle « rémunération appropriée », l’EDPB estime que « certaines circonstances devraient être présentes pour qu’une rémunération soit imposée », et que les responsables de traitement devraient évaluer, au cas par cas, si la situation justifie qu’une rémunération soit demandée et si le montant demandé est approprié, tout en gardant à l’esprit la finalité de protection des données introduite par le RGPD et la nécessité de ne pas transformer le droit fondamental à la protection des données en une option payante. Dans tous les cas, le choix de ne proposer une alternative payante « ne devrait pas être envisagée comme une solution par défaut ».

« Dans la plupart des cas, les grandes plateformes en ligne ne pourront pas se conformer aux exigences en matière de consentement si elles proposent aux utilisateurs qu’un choix binaire entre le consentement au traitement des données à caractère personnel à des fins de publicité comportementale et le paiement d’une redevance. »

Pour conclure, l’EDPB estime que les plateformes pourront difficilement respecter les exigences du RGPD, particulièrement celles du consentement, si deux choix sont proposés, payer ou consentir à l’utilisation de ses données, sauf si une alternative réelle et gratuite est proposée.

Cette analyse de l’EDPB devra être prise en compte par les autorités européennes de protection des données pour « assurer une interprétation cohérente du RGPD » au sein de l’Union européenne.