Le comité européen de la protection des données (CEPD) a statué dans son opinion rendu le 17 avril 2024, sur la validité du consentement au traitement des données personnelles à des fins de publicité comportementale dans le contexte du modèle « Consentir ou Payer » mis en place par les grandes plateformes en lignes.  

• Contexte de l’avis :  

À la suite de la demande introduite par les autorités de protection des données néerlandaise, norvégienne et hambourgeoise, le CEPD a considéré que le modèle « Consentir ou Payer » qui consiste à offrir aux utilisateurs le choix binaire de payer une redevance ou bien consentir à un traitement de leur données personnelles à des fins de publicités comportementale, ne satisfait pas aux conditions de validité du consentement imposées par le RGPD.  

• Constats du CEPD :  

A. Un rappel sur la nécessité de respecter les principes généraux du RGPD   

Dans son avis, le CEPD rappelle la nécessité pour le responsable de traitement de respecter les principes d’accountability, de minimisation des données, de loyauté, de transparence du traitement et de limitation de la finalité.  

Le CEPD précise aussi qu’offrir seulement le modèle payant pour accéder au service ne doit pas être la voie à suivre par défaut. Il invite les grandes plateformes à proposer une alternative supplémentaire qui devrait être gratuite et dépourvue de publicité comportementale (par ex. la publicité contextuelle).   

B. Conditions de validité d’un consentement  

Le CEPD rappelle les critères de validité du consentement en cas de modèle « Consentir ou payer » :   

Consentement libre : La personne concernée doit pouvoir donner librement son consentement sans craindre de subir un dommage tel que son exclusion de la plateforme en cas d’un non-paiement.  

L’avis recommande d’évaluer au cas par cas l’équilibre des pouvoirs entre la personne concernée et le responsable du traitement et si un paiement est approprié.  

Consentement spécifique : Dans le modèle « Consentir ou payer », il est important que le consentement soit donné pour une ou plusieurs finalités spécifiques pour que les personnes concernées ne soient pas victimes des pratiques déloyales ou des « deceptive design patterns ». Telles finalités peuvent comprendre la création des profils des utilisateurs, la revente des données à des tiers pour créer et développer les profils, la mise en relation des annonceurs et des éditeurs, l’offert aux personnes concernées des publicités ciblées ou l’analyse de l’interaction des utilisateurs avec les publicités. Le responsable de traitement doit alors informer la personne concernée des traitements qui ont pour finalité la publicité comportementale et recueillir séparément son consentement.  

Consentement éclairé : La personne concernée doit être informée des potentiels conséquences de son choix.