Vers la consécration d’un service de réseau social non contractuel, non payant et non assorti de publicité comportementale ?

Le Comité européen à la protection des données – CEPD (ou European Data Protection Board – EDPB) a rendu le 17 avril 2024 son avis¹ sur l’impact sur la validité du consentement dans le contexte de l’alternative à deux branches introduite par Meta fin 2023, proposant au destinataire de service de réseau social, pour accéder audit service, soit un paiement monétaire, soit le consentement au traitement de ses données personnelles aux fins de l’envoi de publicités comportementales. L’avis avait été sollicité par trois autorités de protection des données au titre de l’article 64.2 du règlement sur la protection des données (RGPD), a été rendu à propos des « grandes plateformes », définies, par références multiples, en particulier à la notion de « plateforme » au sens de l’article 3.i) du Digital Services Act (DSA) et à la notion de « contrôleur d’accès » au sens de l’article 3.1 du Digital Market Act (DMA), et a vocation à être ultérieurement complété par des lignes directrices, à portée plus générale. L’alternative à deux branches proposée par Meta, et qui est à l’origine de cet avis, a suscité des réactions multiples de la société civile, allant de la proposition de son interdiction de principe² à celle de son évaluation au cas par cas³. Cette alternative à deux branches a également suscité une double réaction de la Commission européenne, tant au titre du DSA⁴, qu’au titre du DMA⁵. Cette dernière a, en effet, en premier lieu requis le 1^er mars 2024 des informations auprès de Meta, afin de vérifier si cette entreprise se conforme à l’obligation imposée par les articles 34 et 38 du DSA, non seulement d’offrir au moins une option de leurs systèmes de recommandation non basée sur le profilage, mais également d’évaluer les risques découlant de la personnalisation des services numériques. En second lieu, la Commission a ouvert une enquête pour infraction au DMA le 25 mars 2024, car elle craint qu’un consentement valide au sens de l’article 5.2 et du considérant 37 de ce second texte ne puisse être atteint au moyen de ladite alternative.

L’EDPB, dans son avis, s’est pour sa part concentré sur le RGPD, tout en n’occultant néanmoins pas les autres instruments et décisions juridiques réglementant les plateformes, et opte pour une évaluation au cas par cas de la validité du consentement, qui apparaît néanmoins, dans sa formulation, très favorable à la consécration d’une alternative gratuite au consentement à la publicité comportementale, en vue de garantir la validité dudit consentement : « L’offre d’une alternative (uniquement) payante au service qui inclut le traitement à des fins de publicité comportementale ne devrait pas être la solution par défaut pour les responsables du traitement. Au contraire, lors de l’élaboration de l’alternative à la version du service comportant de la publicité comportementale, les grandes plateformes en ligne devraient envisager de fournir aux personnes concernées une "alternative équivalente" qui n’implique pas le paiement d’une redevance (par exemple, en incluant une forme différente de publicité qui n’est pas de la publicité comportementale). S’ils décident de proposer aux personnes concernées une "alternative équivalente" qui implique le paiement d’une redevance, afin de garantir un véritable choix et d’éviter de présenter aux utilisateurs un choix binaire entre le paiement d’une redevance et le consentement au traitement à des fins de publicité comportementale, les responsables du traitement devraient également envisager de proposer une autre alternative, gratuite, sans publicité comportementale, par exemple avec une forme de publicité impliquant le traitement de moins (ou pas) de données à caractère personnel. Il s’agit d’un facteur particulièrement important dans l’évaluation de certains critères de consentement valide en vertu du RGPD ».

Dans le prolongement de cette première étape de l’analyse, l’EDPB « conclut que le consentement recueilli par les grandes plateformes en ligne (telles que définies aux fins du présent avis) dans le contexte des modèles "pay or consent" relatifs à la publicité comportementale ne peut être considéré comme valide que dans la mesure où ces plateformes peuvent démontrer, conformément au principe de responsabilité, que toutes les conditions d’un consentement valide sont remplies, c’est-à-dire que : Le consentement est donné librement (…), informé (…), non ambigu (…), spécifique ».

Détaillant son propos sur l’appréciation de la liberté effective du consentement, l’EDPB précise que « les grandes plateformes en ligne devraient tenir compte, entre autres, des éléments suivants :

• si la personne concernée subit un préjudice du fait qu’elle n’a pas donné son consentement ou qu’elle l’a retiré (…) ;
• s’il existe un déséquilibre des pouvoirs entre la personne concernée et lesdites plateformes (…) ;
• si le consentement est nécessaire pour accéder à des biens ou à des services, même si le traitement fondé sur le consentement n’est pas nécessaire à l’exécution du contrat applicable à l’offre de ces biens ou services (…) ;
• si les frais imposés sont de nature à empêcher les personnes concernées de faire un véritable choix ou à les inciter à donner leur consentement (…) ;
• si les personnes concernées sont libres de choisir la finalité du traitement qu’elles acceptent, plutôt que d’être confrontées à une demande de consentement regroupant plusieurs finalités (granularité) ».

Et c’est ainsi que la préconisation, par l’EDPB, d’une évaluation au cas par cas, par les grandes plateformes, de la validité du consentement aux fins d’envoi de publicités comportementales dans le cadre d’une alternative à deux branches « pay or consent », semble tout autant débuter que se clore par un encouragement fait aux plateformes, soit à proposer une alternative à deux branches, dont aucune ne serait payante, mais dont l’une seule reposerait sur la publicité comportementale, soit à proposer une alternative à trois branches, dont la première reposerait sur le consentement à l’envoi de publicité comportementale, dont la troisième reposerait sur le versement d’un prix et dont la deuxième branche intermédiaire de l’alternative, reposerait sur l’absence de l’un et de l’autre.

Cet avis, qui se situe dans le prolongement de décisions préalables et d’initiatives concomitantes prises sur le fondement de l’article 6 du RGPD et qui tend à identifier, dans la majorité des cas, un risque d’invalidité...