Benjamin de Vanssay (avocat) "L'avis du CEPD aura des conséquences sur toute l'économie d'internet"
Pour Benjamin de Vanssay (Cabinet Samman), avocat au barreau de Bruxelles, l'avis défavorable du CEPD au modèle "pay or consent" appliqué par Meta pourrait avoir des conséquences pour tous les éditeurs en ligne.
JDN. Le Comité européen de la protection des données (CEPD, ou EDPB en anglais) considère qu'offrir le choix entre consentir à la collecte de ses données personnelles ou payer un abonnement n'est pas conforme au RGPD. Que pensez-vous de cet avis rendu public ce mercredi 17 avril ?
Benjamin de Vanssay. Cet avis soulève plusieurs problèmes majeurs. Il heurte la liberté d'entreprendre et le droit fondamental pour chaque acteur économique de définir son propre business modèle. De plus, il génère du flou et donc de l'incertitude juridique en créant une nouvelle catégorie parmi les grandes plateformes en ligne qui ne correspond pas à celles définies par le DSA et le DMA. Dans cet avis, le CEPD distingue en effet, d'un côté, les grands acteurs, de l'autre les plus petits acteurs. Or, il n'y a rien dans le RGPD qui permet de faire cette distinction.
Le CEPD indique qu'une alternative n'impliquant pas de paiement ni de collectes de données à des fins de publicité personnalisée doit être proposée. Pourquoi cette "troisième voie" pose problème à la liberté d'entreprendre ?
Chaque entreprise doit disposer de la liberté de déterminer son propre modèle. Celles qui souhaitent offrir une troisième voie peuvent le faire, mais ce choix doit leur appartenir. A travers cet avis, le CEPD entre dans des considérations économiques, un domaine qui ne concerne pas le RGPD. Si la publicité non ciblée était aussi efficace et rentable que la publicité ciblée, elle serait devenue depuis longtemps le standard du marché. On touche là au modèle économique d'internet qui est un débat de société et qui doit être traité par le législateur.
La publicité ciblée n'est interdite par aucun texte. Par ailleurs, le CEPD s'aventure sur le terrain du droit de la concurrence, ce qui n'est pas son rôle. Enfin, le droit des utilisateurs à accéder au contenu sans contrepartie devient un droit fondamental, c'est une tendance de fond qui veut que le droit à la vie privée soit au-dessus de tous les autres droits. Or, telle n'est pas la logique du RGPD qui pose le principe fondamental de l'équilibre entre le droit à la vie privée et la liberté d'entreprendre, entre autres.
Le CEPD a émis cet avis en réponse à la consultation de trois Cnil européennes dans différentes affaires qui opposent des associations de défense de la vie privée à Meta. Peut-il avoir un impact sur les éditeurs et notamment ceux qui imposent des pay walls et des "cookies walls" ?
Cet avis aura des conséquences sur toute l'économie de l'Internet. Même s'il n'a pas de valeur juridique propre en ce qu'il n'est pas contraignant, sa portée est beaucoup plus large que le seul cas Meta. Le CEPD lui-même indique que cet avis s'adresse aux grandes plateformes mais également qu'il a pour vocation de guider la réflexion des autorités de protection de donnés nationales dans l'évaluation d'autres affaires concernant d'autres types d'acteurs. Cela peut potentiellement concerner tous les éditeurs en ligne, car dans son avis le CEPD évoque lui aussi, à l'instar de ce qu'avait déjà fait la Cnil française, une alternative payante "raisonnable" à la non collecte des données personnelles. Mais est-ce aux Cnil de définir ce qu'est un prix raisonnable ? Une étude que nous venons de publier démontre que les Cnil ne disposent pas des outils ni de l'expérience requise pour calculer la valeur des services, contrairement aux Autorités de la concurrence. En pratique, vu la grande diversité de cookies walls mis en place par les éditeurs en ligne, la question se posera au cas par cas.
Meta déclare que la "Cour de justice de l'Union européenne a déjà statué que le modèle des abonnements était un moyen juridiquement valable pour les entreprises demandant le consentement à la collecte des données personnelles". Ont-ils raison de se baser sur cette décision ?
Meta se base sur un arrêt de la CJUE de juillet 2023 qui a été donnée en réponse à une affaire qui à l'origine était traitée par l'Autorité de la concurrence allemande. La CJUE a confirmé la nécessité du consentement pour la collecte des données personnelles tout en indiquant accessoirement qu'une alternative payante "raisonnable" pouvait être formulée.
Que va-t-il se passer maintenant ?
Cet avis du CEPD n'étant pas une décision juridique, il n'est pas contestable en soi devant les juridictions européennes ou nationales. Il nourrira les décisions des Cnil dans le traitement des différentes plaintes au niveau national, dont celle opposant les différentes associations à Meta, et potentiellement amener à des sanctions. Ces décisions pourront ensuite être contestées devant les différents tribunaux nationaux qui finiront probablement par les faire remonter à la CJUE. Il faudra à terme que la CJUE se prononce très précisément sur cette question du "pay or consent".