L’association fondée par Max Schrems repart à l’attaque. Sa nouvelle cible ? Les sites qui ont fait le choix de monter un mur de consentement sur leur seuil où l’internaute n’a qu’une alternative : payer ou être tracé.

Le 10 août dernier, noyb (none of your business) déposait 422 plaintes devant une dizaine d’autorités de contrôle. Elle s’attaquait à la gestion des cookies chez plusieurs grandes sociétés installées en Europe, dénonçant de nombreuses malfaçons. 

Max Schrems reconnaît avoir constaté des améliorations sur de nombreux sites web préalablement contactés. Ainsi, « certains acteurs majeurs comme Seat, Mastercard ou Nikon ont instantanément changé leurs pratiques ».

Cependant, tempère-t-il, « de nombreux autres sites web n'ont cessé que les pratiques les plus problématiques. Par exemple, ils ont peut-être ajouté une option de "rejet", mais celle-ci reste difficile à lire. L'obligation d'afficher une option de retrait bien visible a clairement rencontré la plus grande résistance de la part des éditeurs de sites web. »

Ce 13 août, noyb a annoncé un nouvel assaut, toujours sur le même front. L’organisation a déposé plainte contre plusieurs médias allemands et autrichiens : Der Spiegel, Zeit, Heise, Faz, der Standard, Krone et T-Online. Tous ont pour point commun d’avoir adopté un « cookie wall », ou plus exactement un « tracking wall », qui consiste à laisser un choix cornélien aux internautes : accepter les cookies ou devoir payer pour ne pas être tracé.

Tracking wall et doctrine de la CNIL

En France, la pratique de ces murs a déjà fait phosphorer les esprits place de Fontenoy à Paris où la CNIL, qui y a son bastion, a dû faire évoluer sa doctrine.

Dans une délibération du 4 juillet 2019, valant lignes directrices, la gardienne des données à caractère personnel soutenait d’abord que « le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et ne subit pas d'inconvénients majeurs en cas d'absence ou de retrait du consentement ».

Elle armait le bâton de son interdiction d’extraits d’une recommandation du Comité Européen de la Protection des Données, pris dans le même sens en mai 2018.

Seulement, cette position exprimée en de vastes termes fut fauchée par un arrêt du Conseil d’État qui, le 19 juin 2020, a jugé qu’une telle interdiction générale et absolue ne pouvait trouver place dans des lignes directrices.

En amont, les conclusions du rapporteur public sont éclairantes. Selon lui, « le fait de ne pas pouvoir bénéficier d’un [site] peut n’affecter que très marginalement la liberté de choix et ne causer qu’un préjudice négligeable, pour ne pas dire inexistant dans certains cas. Or un petit désagrément, ou une opportunité manquée, n’est pas un préjudice ».

Le considérant 42 du sacro-saint RGPD prévient en effet que « le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ».

Le Conseil d’État a donc annulé la délibération de la CNIL. L’autorité a finalement ajusté ses lignes directrices pour plaider en faveur d’une analyse au cas par cas, plutôt qu’une interdiction générale. Position dictée par la juridiction, qui ouvre nécessairement une belle insécurité.

Un consentement non libre, selon noyb

L’initiative noyb ne partage pas vraiment cette approche, en tout cas s’agissant des tracking walls. « Le consentement peut-il être considéré comme "librement donné" si l'alternative est de payer 10, 20 ou 100 fois le prix du marché de vos données afin de les garder par devers vous ? », s’interroge-t-elle.

Une question à laquelle elle répond, quelques lignes plus bas : « Les utilisateurs n'ont pas le libre choix de consentir ou non (…), mais doivent souscrire un abonnement s'ils ne veulent pas donner leur consentement ».

Elle relève utilement qu’une opposition au tracking, et donc l’acceptation du paiement, prend beaucoup plus de temps : « il faut saisir son nom, son adresse et les données de sa carte de crédit », outre que les montants à payer sont parfois très élevés. Ainsi, « Spiegel et FAZ facturent actuellement 59,88 euros par an pour un abonnement sans tracking. Die Zeit demande 62,40 € et derStandard.at même 84 € par an pour son "abonnement PUR" sans aucune forme de publicité ».

Et de considérer que ces montants vont « bien au-delà de la compensation des revenus publicitaires perdus lorsque les utilisateurs s’opposent au suivi ».

Pour Me Alan Dahi, avocat spécialisé dans la protection des données chez noyb.eu, les internautes auraient ainsi à payer « dix, vingt ou cent fois plus pour empêcher le partage de leurs données ». Il fait part de son sentiment : « on a l'impression qu'il ne s'agit pas d'une alternative équitable au consentement, mais de vendre des abonnements coûteux. »

Avec la généralisation des tracking walls, à supposer que les utilisateurs s’abonnent systématiquement pour éviter l’exploitation à des fins publicitaires, l’exercice risque de coûter cher à terme. D’autant que la pratique du « payer ou accepter » est ouverte à n’importe quel site, pas aux seuls médias.

Pour Alan Dahi, pas de doute : « la plupart des gens visitent de nombreux sites web différents chaque mois. Si chaque site est facturé 5 euros, il faudra rapidement disposer d’un revenu élevé pour se permettre de protéger ses données. Cela n'a plus rien à voir avec le consentement librement donné. »

Le même constate que « les anciens fleurons de la presse libre ne sont plus que des piliers publicitaires et des collecteurs de données pour Google, Facebook et autres géants de la tech’ ». Et celui-ci d’insister pour « revenir à un système où le lecteur suit la publicité plutôt que la publicité suive le lecteur ».