Dans un avis rendu mercredi 17 avril [PDF], le Comité européen de la protection des données (CEPD, ou EDPB, de l'anglais European Data Protection Board, qui regroupe les CNIL européennes) explique que les plateformes doivent donner un « véritable choix entre le consentement ou non » à un service comportant de la publicité comportementale.

« Dans la plupart des cas, les grandes plateformes en ligne ne pourront pas se conformer aux exigences en matière de consentement si elles ne proposent aux utilisateurs qu'un choix binaire entre le consentement au traitement des données à caractère personnel à des fins de publicité comportementale et le paiement d'une redevance », affirme le comité.

Meta ciblée mais pas citée

Depuis octobre dernier, Meta est le fer de lance d'un nouveau genre de paywall qui propose une alternative entre « payer ou accepter ». Sur Facebook et Instagram, il faut débourser au moins 119,88 euros par an si on ne veut pas de publicité comportementale dans son fil.

• • Instagram et Facebook sans publicité : la Meta addition, à partir de 119,88 euros par an

Si l'utilisateur ne veut ou ne peut pas payer la somme fixée, il ne peut qu'accepter que ses données soient utilisées pour afficher des publicités en fonction de son comportement sur les réseaux sociaux du groupe.

Lors de l'annonce de la mise en place de ce nouveau système, Meta l'avait présenté comme une mise en conformité avec le RGPD, qui l'oblige à demander le consentement de ses utilisateurs avant de leur présenter ce genre de publicités ciblées.

Mais des voix se sont levées pour dénoncer une alternative qui n'en serait pas vraiment une. Max Schrems et son association noyb ont été les premiers à porter plainte auprès de la CNIL autrichienne, considérant que cette façon de « payer ou accepter » viole le RGPD et la Charte européenne des droits fondamentaux.

Si Meta n'est pas citée dans l'avis du comité, son système est clairement ciblé par l'instance européenne de protection des données personnelles. C'est d'ailleurs suite à la demande des CNIL autrichienne, norvégienne et allemande, qui sont particulièrement actives à propos du système de publicité comportementale de Meta, que le CEPD l'a publié.

Les données personnelles ne sont pas des biens commercialisables

Il y « rappelle que les données à caractère personnel ne peuvent être considérées comme des biens commercialisables et que les responsables du traitement doivent garder à l'esprit la nécessité d'empêcher que le droit fondamental à la protection des données ne soit transformé en une caractéristique dont les personnes concernées doivent payer pour bénéficier ».

Le CEPD affirme que « les responsables du traitement doivent veiller à ce que le prix ne soit pas de nature à empêcher les personnes concernées de faire un véritable choix à la lumière des exigences d'un consentement valable et des principes énoncés à l'article 5 du RGPD, en particulier l'équité ».

Pour le comité, « lors de l'élaboration de l'alternative à la version du service comportant de la publicité comportementale, les grandes plateformes en ligne devraient envisager de fournir aux personnes concernées une "alternative équivalente" qui n'implique pas de paiement », avec, par exemple, une « forme de publicité qui implique le traitement de moins (ou pas du tout) de données à caractère personnel ».

Enfin, pour les régulateurs européens, « les responsables du traitement doivent évaluer, au cas par cas, si un paiement est approprié et de quel montant », toujours en tenant compte des alternatives possibles à la publicité comportementale.

Dans le communiqué annonçant cet avis, la présidente du Comité, Anu Talus, réaffirme que « les responsables du traitement doivent veiller à tout moment à éviter de transformer le droit fondamental à la protection des données en une fonctionnalité dont les particuliers doivent payer pour bénéficier. Les individus devraient être pleinement conscients de la valeur et des conséquences de leurs choix ».

Meta reste sur sa position

Contactée par le Monde, Meta reste sur son interprétation de la loi européenne en déclarant que « l’année dernière, la Cour de justice de l’Union européenne a statué que le modèle des abonnements était un moyen juridiquement valable pour les entreprises de demander le consentement des personnes pour la publicité personnalisée ». Elle estime que « l’avis rendu [mercredi] par le CEPD ne modifie pas ce jugement et l’abonnement sans publicité est conforme à la législation européenne ».

Un point de départ sur les alternatives « payer ou accepter » pour noyb

Pour l'association noyb, « cette décision interdit à Meta d'utiliser une demande de consentement illégale pour le traitement de données à caractère personnel ».

Max Schrems, son président, affirme que « dans l'ensemble, Meta n'a plus le choix dans l'UE. Elle doit maintenant donner aux utilisateurs une véritable option oui/non pour la publicité personnalisée. Elle peut toujours facturer les sites pour le reach, s'engager dans la publicité contextuelle et d'autres activités similaires, mais le suivi des personnes à des fins publicitaires nécessite un "oui" clair de la part des utilisateurs ».

Mais l'association pointe le fait que le CEPD a l'intention de publier d'autres avis dans le courant de l'année sur les alternatives « payer ou accepter » pour des acteurs autres que les grandes plateformes. Celui-ci ne serait donc qu'un point de départ sur le sujet.