Le Comité européen de la protection des données (EDPB) a publié de nouvelles orientations qui ont des implications majeures pour les géants de la technologie publicitaire comme Meta et d’autres grandes plateformes.
Depuis novembre 2023, le propriétaire de Facebook et d’Instagram oblige les utilisateurs de l’Union européenne à accepter d’être suivis et profilés pour son activité de ciblage publicitaire, ou bien à lui payer un abonnement mensuel pour accéder aux versions sans publicité des services. Cependant, un leader du marché imposant ce type de choix binaire « consentir ou payer » ne semble pas viable selon l’EDPB, un organisme d’experts composé de représentants des autorités de protection des données de toute l’UE.
Les orientations, qui ont été confirmées mercredi comme nous l’avons signalé plus tôt, détermineront la manière dont les régulateurs de la vie privée interpréteront le règlement général sur la protection des données (RGPD) du bloc dans un domaine critique. L’avis complet de l’EDPB sur « consentir ou payer » compte 42 pages.
D’autres grandes plateformes financées par la publicité devraient également prendre note des orientations granulaires. Mais Meta semble être le premier à ressentir le froid réglementaire qui en résulterait pour son modèle commercial basé sur la surveillance.
« L’EDPB note que des conséquences négatives sont susceptibles de se produire lorsque de grandes plateformes en ligne utilisent un modèle de « consentement ou paiement » pour obtenir le consentement au traitement », estime le Conseil, soulignant le risque d’un « déséquilibre de pouvoir » entre l’individu et l’utilisateur. responsable du traitement des données, par exemple dans les cas où « un individu s’appuie sur le service et sur le public principal du service ».
Dans un communiqué de presse accompagnant la publication de l’avis, la présidente du Conseil, Anu Talu, a également souligné la nécessité pour les plateformes d’offrir aux utilisateurs un « véritable choix » concernant leur vie privée.
« Les plateformes en ligne devraient donner aux utilisateurs un véritable choix lorsqu’ils utilisent des modèles « consentement ou paiement » », a écrit Talu. « Les modèles dont nous disposons aujourd’hui exigent généralement que les individus donnent toutes leurs données ou paient. En conséquence, la plupart des utilisateurs consentent au traitement afin d’utiliser un service et ne comprennent pas toutes les implications de leurs choix.
« Les responsables du traitement doivent veiller à tout moment à éviter de transformer le droit fondamental à la protection des données en une fonctionnalité dont les individus doivent payer pour bénéficier. Les individus doivent être pleinement conscients de la valeur et des conséquences de leurs choix », a-t-elle ajouté.
Dans une synthèse de son avis, l’EDPB écrit dans le communiqué de presse que « dans la plupart des cas », il ne sera « pas possible » pour les « grandes plateformes en ligne » qui mettent en œuvre des modèles de consentement ou de paiement de se conformer à l’exigence de « consentement valide » du RGPD. — s’ils « ne confrontent les utilisateurs qu’à un choix entre consentir au traitement des données personnelles à des fins de publicité comportementale et payer des frais » (c’est-à-dire, comme c’est actuellement le cas de Meta).
L’avis définit les grandes plateformes, de manière non exhaustive, comme des entités désignées comme de très grandes plateformes en ligne en vertu de la loi sur les services numériques de l’UE ou comme des contrôleurs d’accès en vertu de la loi sur les marchés numériques (DMA) – encore une fois, comme Meta (Facebook et Instagram sont réglementés par les deux lois). .
« L’EDPB considère que proposer uniquement une alternative payante aux services impliquant le traitement de données personnelles à des fins de publicité comportementale ne devrait pas être la voie par défaut pour les responsables du traitement », poursuit le comité. « Lorsqu’elles développent des alternatives, les grandes plateformes en ligne devraient envisager de proposer aux individus une « alternative équivalente » qui n’implique pas le paiement de frais.
« Si les responsables du traitement choisissent de facturer des frais pour l’accès à « l’alternative équivalente », ils devraient envisager sérieusement de proposer une alternative supplémentaire. Cette alternative gratuite devrait être dépourvue de publicité comportementale, par exemple avec une forme de publicité impliquant le traitement de moins ou pas de données personnelles. Il s’agit d’un facteur particulièrement important dans l’évaluation du consentement valide au sens du RGPD.
L’EDPB prend soin de souligner que d’autres principes fondamentaux du RGPD – tels que la limitation des finalités, la minimisation des données et l’équité – continuent de s’appliquer aux mécanismes de consentement, ajoutant : « En outre, les grandes plateformes en ligne devraient également envisager le respect des principes de nécessité et d’équité. proportionnalité, et il leur incombe de démontrer que leur traitement est généralement conforme au RGPD.
Compte tenu du détail de l’avis de l’EDPB sur ce sujet controversé et épineux – et de la suggestion selon laquelle de nombreuses analyses au cas par cas seront nécessaires pour procéder à des évaluations de conformité – Meta peut être convaincu que rien ne changera à court terme. De toute évidence, il faudra du temps aux régulateurs européens pour analyser, intégrer et suivre les conseils du Conseil.
Contacté pour commentaires, le porte-parole de Meta, Matthew Pollard, a envoyé par courrier électronique une brève déclaration minimisant les orientations : « L’année dernière, la Cour de justice de l’Union européenne [CJEU] a statué que le modèle des abonnements est un moyen juridiquement valable permettant aux entreprises d’obtenir le consentement des gens pour une publicité personnalisée. L’avis de l’EDPB d’aujourd’hui ne modifie pas ce jugement et l’abonnement sans publicité est conforme aux lois de l’UE.
La Commission irlandaise de protection des données, qui supervise la conformité de Meta au RGPD et examine son modèle de consentement depuis l’année dernière, a refusé de dire si elle prendrait des mesures à la lumière des orientations de l’EDPB, car elle a déclaré que l’affaire était en cours.
Depuis que Meta a lancé l’année dernière l’offre « d’abonnement sans publicité », elle a continué à affirmer qu’elle était conforme à toutes les réglementations européennes pertinentes – s’appuyant sur une ligne de la décision de juillet 2023 de la plus haute juridiction de l’UE dans laquelle les juges n’ont pas explicitement exclu la possibilité de facturer une alternative sans suivi, mais stipulait à la place que tout paiement de ce type devait être « nécessaire » et « approprié ».
Commentant cet aspect de la décision de la CJUE dans son avis, le Conseil note – contrairement aux affirmations répétées de Meta, que la CJUE avait essentiellement sanctionné son modèle d’abonnement à l’avance – que cela n’était « pas au cœur de la décision de la Cour ».
Dans le même temps, l’avis du Conseil ne refuse pas entièrement aux grandes plateformes le droit possibilité de facturer une alternative sans suivi – afin que Meta et ses semblables financés par la publicité de suivi puissent être sûrs de pouvoir trouver du secours dans 42 pages de discussion granulaire sur les exigences croisées de la loi sur la protection des données. (Ou, du moins, que cette intervention occupera les régulateurs à essayer de comprendre les complexités au cas par cas.)
Cependant, les directives encouragent notamment les plateformes à proposer des alternatives gratuites au suivi des publicités, y compris des offres financées par la publicité et respectueuses de la vie privée.
L’EDPB donne des exemples de publicité contextuelle, de « publicité générale » ou de « publicité basée sur des sujets que la personne concernée a sélectionnés parmi une liste de sujets d’intérêt ». (Et il convient de noter que la Commission européenne a également suggéré que Meta pourrait utiliser des publicités contextuelles au lieu de forcer les utilisateurs à consentir au suivi des publicités dans le cadre de sa surveillance de la conformité du géant de la technologie avec le DMA.)
« Bien qu’il n’y ait aucune obligation pour les grandes plateformes en ligne de toujours offrir des services gratuits, le fait de mettre cette alternative supplémentaire à la disposition des personnes concernées renforce leur liberté de choix », poursuit la Commission, ajoutant : « Cela permet aux responsables du traitement de démontrer plus facilement ce consentement est librement donné.
Bien qu’il y ait plus de nuances discursives dans ce que le Conseil a publié aujourd’hui que de clarté instantanée sur un sujet crucial, l’intervention est importante et semble prête à rendre plus difficile pour les géants traditionnels de la technologie publicitaire comme Meta d’encadrer et d’opérer dans le cadre d’une fausse confidentialité binaire. des choix hostiles à long terme.
Forts de ces orientations, les régulateurs européens de la protection des données devrait Il faut se demander pourquoi de telles plateformes n’offrent pas d’alternatives beaucoup moins hostiles à la vie privée – et poser cette question, si ce n’est littéralement aujourd’hui, du moins très, très bientôt.
Pour un géant de la technologie aussi dominant et bien doté en ressources que Meta, il est difficile de voir comment il peut éviter de répondre longtemps à cette demande. Même s’il s’en tiendra sûrement à sa stratégie habituelle du RGPD, à savoir faire tourner les choses aussi longtemps que possible et faire appel de chaque décision finale possible.
L’association à but non lucratif de défense de la vie privée noyb, qui a été à l’avant-garde de la lutte contre la tactique du consentement ou du paiement dans la région ces dernières années, affirme que l’avis de l’EDPB indique clairement que Meta ne peut plus s’appuyer sur l’astuce « payer ou accepter ». Cependant, son fondateur et président, Max Schrems, a déclaré à TechCrunch qu’il craignait que le Conseil ne soit pas allé assez loin pour embrouiller ce mécanisme de consentement forcé qui divise.
« L’EDPB rappelle tous les éléments pertinents, mais n’énonce pas sans équivoque la conséquence évidente, à savoir que « payer ou accepter » n’est pas légal », nous a-t-il expliqué. « Il cite tous les éléments pour lesquels c’est illégal pour Meta, mais là [are] des milliers d’autres pages où il n’y a pas encore de réponse.
Comme si 42 pages de lignes directrices sur ce sujet épineux ne suffisaient pas déjà, le Conseil d’administration a également d’autres projets en préparation : la présidente de l’EDPB, Anu Talus, a déclaré qu’elle avait l’intention d’élaborer des lignes directrices sur les modèles de consentement ou de paiement « avec une portée plus large ». ajoutant qu’il « s’engagera avec les parties prenantes sur ces prochaines lignes directrices ».
Les éditeurs de presse européens ont été les premiers à adopter la tactique controversée du consentement, de sorte que l’opinion « plus large » à venir de l’EDPB sera probablement suivie de près par les acteurs de l’industrie des médias.