Vers la consécration d’un service de réseau social non contractuel, non payant et non assorti de publicité comportementale ?

22.05.2024

Lors de l’élaboration de l’alternative à la version du service comportant de la publicité comportementale, les grandes plateformes en ligne devraient envisager de fournir aux personnes concernées une « alternative équivalente » qui n’implique pas le paiement d’une redevance (…) Il s’agit d’un facteur particulièrement important dans l’évaluation de certains critères de consentement valide en vertu du RGPD.

Le Comité européen à la protection des données – CEPD (ou European Data Protection Board – EDPB) a rendu le 17 avril 2024 son avis¹ sur l’impact sur la validité du consentement dans le contexte de l’alternative à deux branches introduite par Meta fin 2023, proposant au destinataire de service de réseau social, pour accéder audit service, soit un paiement monétaire, soit le consentement au traitement de ses données personnelles aux fins de l’envoi de publicités comportementales. L’avis avait été sollicité par trois autorités de protection des données au titre de l’article 64.2 du règlement sur la protection des données (RGPD), a été rendu à propos des « grandes plateformes », définies, par références multiples, en particulier à la notion de « plateforme » au sens de l’article 3.i) du Digital Services Act (DSA) et à la notion de « contrôleur d’accès » au sens de l’article 3.1 du Digital Market Act (DMA), et a vocation à être ultérieurement complété par des lignes directrices, à portée plus générale. L’alternative à deux branches proposée par Meta, et qui est à l’origine de cet avis, a suscité des réactions multiples de la société civile, allant de la proposition de son interdiction de principe² à celle de son évaluation au cas par cas³. Cette alternative à deux branches a également suscité une double réaction de la Commission européenne, tant au titre du DSA⁴, qu’au titre du DMA⁵. Cette dernière a, en effet, en premier lieu requis le 1^er mars 2024 des informations auprès de Meta, afin de vérifier si cette entreprise se conforme à l’obligation imposée par les articles 34 et 38 du DSA, non seulement d’offrir au moins une option de leurs systèmes de recommandation non basée sur le profilage, mais également d’évaluer les risques découlant de la personnalisation des services numériques. En second lieu, la Commission a ouvert une enquête pour infraction au DMA le 25 mars 2024, car elle craint qu’un consentement valide au sens de l’article 5.2 et du considérant 37 de ce second texte ne puisse être atteint au moyen de ladite alternative.

L’EDPB, dans son avis, s’est pour sa part concentré sur le RGPD, tout en n’occultant néanmoins pas les autres instruments et décisions juridiques réglementant les plateformes, et opte pour une évaluation au cas par cas de la validité du consentement, qui apparaît néanmoins, dans sa formulation, très favorable à la consécration d’une alternative gratuite au consentement à la publicité comportementale, en vue de garantir la validité dudit consentement : « L’offre d’une alternative (uniquement) payante au service qui inclut le traitement à des fins de publicité comportementale ne devrait pas être la solution par défaut pour les responsables du traitement. Au contraire, lors de l’élaboration de l’alternative à la version du service comportant de la publicité comportementale, les grandes plateformes en ligne devraient envisager de fournir aux personnes concernées une "alternative équivalente" qui n’implique pas le paiement d’une redevance (par exemple, en incluant une forme différente de publicité qui n’est pas de la publicité comportementale). S’ils décident de proposer aux personnes concernées une "alternative équivalente" qui implique le paiement d’une redevance, afin de garantir un véritable choix et d’éviter de présenter aux utilisateurs un choix binaire entre le paiement d’une redevance et le consentement au traitement à des fins de publicité comportementale, les responsables du traitement devraient également envisager de proposer une autre alternative, gratuite, sans publicité comportementale, par exemple avec une forme de publicité impliquant le traitement de moins (ou pas) de données à caractère personnel. Il s’agit d’un facteur particulièrement important dans l’évaluation de certains critères de consentement valide en vertu du RGPD ».

Dans le prolongement de cette première étape de l’analyse, l’EDPB « conclut que le consentement recueilli par les grandes plateformes en ligne (telles que définies aux fins du présent avis) dans le contexte des modèles "pay or consent" relatifs à la publicité comportementale ne peut être considéré comme valide que dans la mesure où ces plateformes peuvent démontrer, conformément au principe de responsabilité, que toutes les conditions d’un consentement valide sont remplies, c’est-à-dire que : Le consentement est donné librement (…), informé (…), non ambigu (…), spécifique ».

Détaillant son propos sur l’appréciation de la liberté effective du consentement, l’EDPB précise que « les grandes plateformes en ligne devraient tenir compte, entre autres, des éléments suivants :

si la personne concernée subit un préjudice du fait qu’elle n’a pas donné son consentement ou qu’elle l’a retiré (…) ;
s’il existe un déséquilibre des pouvoirs entre la personne concernée et lesdites plateformes (…) ;
si le consentement est nécessaire pour accéder à des biens ou à des services, même si le traitement fondé sur le consentement n’est pas nécessaire à l’exécution du contrat applicable à l’offre de ces biens ou services (…) ;
si les frais imposés sont de nature à empêcher les personnes concernées de faire un véritable choix ou à les inciter à donner leur consentement (…) ;
si les personnes concernées sont libres de choisir la finalité du traitement qu’elles acceptent, plutôt que d’être confrontées à une demande de consentement regroupant plusieurs finalités (granularité) ».

Et c’est ainsi que la préconisation, par l’EDPB, d’une évaluation au cas par cas, par les grandes plateformes, de la validité du consentement aux fins d’envoi de publicités comportementales dans le cadre d’une alternative à deux branches « pay or consent », semble tout autant débuter que se clore par un encouragement fait aux plateformes, soit à proposer une alternative à deux branches, dont aucune ne serait payante, mais dont l’une seule reposerait sur la publicité comportementale, soit à proposer une alternative à trois branches, dont la première reposerait sur le consentement à l’envoi de publicité comportementale, dont la troisième reposerait sur le versement d’un prix et dont la deuxième branche intermédiaire de l’alternative, reposerait sur l’absence de l’un et de l’autre.

Cet avis, qui se situe dans le prolongement de décisions préalables et d’initiatives concomitantes prises sur le fondement de l’article 6 du RGPD et qui tend à identifier, dans la majorité des cas, un risque d’invalidité du consentement à l’envoi de publicité comportementale, est riche d’enseignements. Néanmoins, sont plus intéressantes encore les conséquences implicites de cet avis, dès lors que celui-ci semble annoncer la possible consécration future d’un service de réseau social non contractuel, non payant et non assorti de publicité comportementale.

Un avis contribuant, en complément d’autres décisions et initiatives, à l’interprétation stricte de la notion de consentement au sens de l’article 6 du RGPD

L’EDPB s’était déjà penché, à plusieurs reprises, sur la place de la publicité comportementale⁶ dans le modèle économique des plateformes en général et des réseaux sociaux en particulier. Ce modèle, conceptualisé par l’économiste Jean Tirole⁷, est un modèle dans lequel le réseau social est une interface entre les deux faces d’un même marché, (i) la première face, celle des professionnels, liés à la plateforme par un premier type de contrat, un contrat de service de publicité comportementale/ciblée, et qui payent la plateforme pour que celle-ci envoie des publicités comportementales aux acteurs de la seconde face, et (ii) ladite seconde face, la face des consommateurs, liés à la plateforme par un second type de contrat, un contrat de service de réseau social, et qui, jusqu’à la fin de l’année 2023, ne payaient pas de prix pour bénéficier de ce service de réseau social, parce qu’ils transmettaient leurs données personnelles, dans le cadre d’une pluralité de bases légales de traitement, et ce pour une double finalité :

d’une part, permettre à la plateforme de renforcer l’attractivité de son service numérique de réseau social (second type de contrat) à l’égard desdits consommateurs, en leur envoyant des recommandations ciblées au regard de leur profil ;
d’autre part, permettre à la plateforme de renforcer l’attractivité de son service de publicité comportementale/ciblée (premier type de contrat) à l’égard des professionnels, en envoyant, pour le compte des professionnels, à ces mêmes consommateurs des publicités ciblées au regard de leur profil.

À propos de ce modèle, l’EDPB avait d’ores et déjà précisé que le traitement des données personnelles du consommateur aux fins de l’envoi de publicités comportementales à ceux-ci ne relevait pas de la finalité tendant à exécuter le contrat de service de réseau social (le second type de contrat liant la plateforme au consommateur, titulaire des données personnelles), et que par conséquent, la base légale de traitement des données personnelles aux fins de l’exécution du contrat, au sens de l’article 6.b) du RGPD, n’était pas applicable⁸.

L’EDPB avait ensuite complété son analyse en considérant que ce traitement ne pouvait pas non plus être mis en œuvre au titre de la base légale de l’intérêt légitime, au sens de l’article 6.f) du RGPD⁹. Cette double analyse sur les bases légales des articles 6.1.b) et 6.1.f) du RGPD fut parallèlement confirmée par l’arrêt de la CJUE du 4 juillet 2023, Meta c/ Bundeskartellamt¹⁰, arrêt croisant, dans son analyse, protection des données et droit de la concurrence. Cet arrêt a, à cet égard, mené cette analyse sur les six bases légales de l’article 6 du RGPD, a exclu la mise en jeu des bases légales des articles 6.1.b) et 6.1.f) et a admis, sous conditions, la mise en jeu de la base légale du consentement de l’article 6.1.a), ce qui lui a permis d’énoncer, dans son dispositif : « L’article 6, paragraphe 1, premier alinéa, sous a), et l’article 9, paragraphe 2, sous a), du règlement (UE) 2016/679 doivent être interprétés en ce sens que : la circonstance que l’opérateur d’un réseau social en ligne occupe une position dominante sur le marché des réseaux sociaux en ligne ne fait pas obstacle en tant que telle à ce que les utilisateurs d’un tel réseau puissent valablement consentir, au sens de l’article 4, point 11, de ce règlement, au traitement de leurs données à caractère personnel, effectué par cet opérateur. Cette circonstance constitue néanmoins un élément important pour déterminer si le consentement a effectivement été donné valablement et, notamment, librement, ce qu’il incombe audit opérateur de prouver ».

Cette analyse de la condition de la validité du consentement fut en outre accompagnée d’un obiter dictum au sein du § 150 dudit l’arrêt : « Ainsi, ces utilisateurs doivent disposer de la liberté de refuser individuellement, dans le cadre du processus contractuel, de donner leur consentement à des opérations particulières de traitement de données non nécessaires à l’exécution du contrat sans qu’ils soient pour autant tenus de renoncer intégralement à l’utilisation du service offert par l’opérateur du réseau social en ligne, ce qui implique que lesdits utilisateurs se voient proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente non accompagnée de telles opérations de traitement de données ».

Cette mention d’une « alternative équivalente » au recueil du consentement, « le cas échéant contre une rémunération appropriée », a vraisemblablement induit le nouveau modèle économique de Meta « pay or consent » initié en novembre 2023, ce qui ne manqua pas d’embarrasser les autorités de régulation des données personnelles de trois pays de l’Union qui saisirent l’EDPB pour avis.

L’EDPB semble à cet égard également embarrassé, dans son avis, par cet obiter dictum de la Cour de justice et par le nouveau modèle économique qu’il a induit chez Meta, dès lors que ce Comité semble énoncer, entre les lignes, que le consentement des consommateurs au traitement de leurs données personnelles aux fins de l’envoi de publicité comportementale, dans le cadre du modèle « consentement à l’envoi de publicités comportementales ou paiement d’un prix pour le service de réseau social » a vocation, aux termes d’une évaluation au cas par cas, à être très rarement libre et plus généralement très rarement valide, au sens du RGPD.

Cet embarras est, en outre, partagé par la Commission européenne, cette dernière ayant, entre autres, ouvert une enquête pour infraction au DMA le 25 mars 2024, car elle a des doutes sur le fait qu’un consentement valide au sens cumulatif de l’article 5.2 de ce second texte et de l’article 6.1.a) du RGPD puisse être atteint au moyen de ladite alternative. Le commissaire européen au marché intérieur, Thierry Breton, a, à cet égard, précisément énoncé, lors de l’introduction de cette enquête : « Avec ce nouveau modèle, les utilisateurs doivent payer s’ils veulent utiliser Facebook et Instagram sans publicité ciblée. Cela a contraint des millions d’utilisateurs en Europe à un choix binaire : "payer ou consentir". Et si vous consentez, Meta peut utiliser vos données, générées par exemple sur Messenger, pour cibler des publicités sur Instagram. Mais le DMA est très clair : les "gatekeepers" doivent obtenir le consentement des utilisateurs pour utiliser leurs données personnelles à travers différents services. Et ce consentement doit être libre ! Nous avons de sérieux doutes sur le fait que ce consentement soit réellement libre lorsque vous êtes confronté à un choix binaire. Avec le DMA, les utilisateurs qui ne donnent pas leur consentement devraient se voir proposer une alternative moins personnalisée du service, par exemple financée grâce à la publicité contextuelle. Mais ils ne doivent pas payer. En effet, avec le DMA, nous voulons redonner à nos utilisateurs le pouvoir de décider comment leurs données sont utilisées : ouvrir la voie à des modèles commerciaux où les droits des citoyens sont au centre des opérations »¹¹.

Si l’analyse de l’EDPB tendant à identifier, dans la majorité des cas, un risque de non-validité du consentement à l’envoi de publicité comportementale est riche d’enseignements, plus intéressantes encore sont les conséquences en chaîne de cette analyse.

Vers la consécration d’un service de réseau social non contractuel, non payant et non assorti de publicité comportementale ?

Si le consentement du destinataire de service de réseau social à l’envoi de publicités comportementales peut ne pas être valable, lorsque l’alternative équivalente est la fourniture de ce même service de réseau social contre un prix et si ce consentement peut ne recouvrer son caractère libre et valide que si une alternative équivalente, sans prix et sans traitement des données du consommateur aux fins d’envoi de publicité comportementale, est proposée par la plateforme, la conséquence en sera que cette branche de l’alternative a des chances non négligeables d’être exclusive de la qualification contractuelle, et en particulier exclusive de la qualification de contrat de consommation, lorsque le destinataire du service de réseau social sera un consommateur.

En effet, l’article 3 de la directive (UE) 2019/770 du 20 mai 2019 relative à certains aspects concernant les contrats de fourniture de contenus numériques et de services numériques prévoit, au titre de son champ d’application matériel, que la qualification de contrat de consommation en matière de fourniture de services numériques ne sera retenue que dans les deux hypothèses suivantes, sur lesquelles les États membres conservent néanmoins quelques latitudes, au titre de la transposition :

le versement d’un prix par le consommateur pour recevoir le service numérique ;
le traitement des données personnelles du consommateur pour une finalité autre que la seule finalité exclusive de la fourniture du service numérique¹².

Cette solution de l’article 3, qui est explicitée aux considérants 24 et 25 de ladite directive, a été retenue, pour des raisons de nécessaire préservation, d’un point de vue concurrentiel, d’une égalité de traitement juridique des professionnels fournissant des services numériques, et se rémunérant tantôt directement auprès des consommateurs au moyen d’un prix, tantôt indirectement auprès d’autres professionnels grâce aux données personnelles des consommateurs, l’optique étant « d’assurer une concurrence équitable entre les opérateurs, en évitant les stratégies d’évitement des nouvelles règles »¹³.

Quelle pourrait être alors la nature de ce service de réseau social non contractuel ? La notion de contrepartie à ce service aurait-elle encore un sens, si la qualification contractuelle, en particulier de contrat de consommation, disparaissait ? Cette sortie de la qualification contractuelle pourrait-elle ce faisant induire une sortie corrélative de ce service de réseau social de la logique du droit de la concurrence qui a sous-tendu la rédaction du champ d’application matériel de l’article 3 de la directive (UE) 2019/770 ?

Pour répondre à cette triple question, il sera, en premier lieu, relevé que tant l’avis de l’EDPB du 17 avril 2024, que l’arrêt de la Cour de justice Meta c/ Bundeskartellamt du 4 juillet 2023, mais également le considérant 37 du DMA¹⁴, soulignent la nécessité que ce service soit d’une nature équivalente au service rémunéré directement au moyen d’un prix ou indirectement au moyen du traitement des données personnelles aux fins d’envoi de publicité comportementale.

Cette référence récurrente à l’équivalence semble, au premier abord, tout à fait sous-tendue par la volonté d’une préservation de la logique concurrentielle, l’idée sous-jacente étant qu’au lieu que le service de réseau social soit indirectement rémunéré au moyen de la publicité comportementale, il soit indirectement rémunéré par une publicité non comportementale.

Mais le concept de publicité non comportementale n’est cependant pas exempt de nombreuses interrogations. En effet, cette publicité non comportementale pourrait tout d’abord prendre la forme d’une publicité identique pour l’ensemble des destinataires de services. Cette solution est à cet égard bien connue chez les plateformes de première génération que sont les chaînes télévisuelles ou les journaux de la presse écrite, qui diffusent une publicité commune à l’ensemble de leurs auditeurs ou lecteurs. Néanmoins, le commissaire Thierry Breton a également mentionné la possibilité de recourir à de la publicité contextuelle : « Avec le DMA, les utilisateurs qui ne donnent pas leur consentement devraient se voir proposer une alternative moins personnalisée du service, par exemple financée grâce à la publicité contextuelle. Mais ils ne doivent pas payer ». La publicité contextuelle pourrait cependant être davantage sujette à débat, dès lors qu’elle s’appuie sur les goûts du destinataire de service¹⁵, et donc sur ses données personnelles. En effet, par exemple, un mineur qui décide de visionner un dessin animé dédié aux jeunes enfants, pourrait très facilement se voir proposer des publicités en lien avec sa tranche d’âge, sous cette vidéo, ce qui n’est pas sans poser difficulté, tant au regard de l’avis de l’EDPB du 17 avril 2024, qu’au regard de l’article 28 du DSA¹⁶.

Néanmoins, et en second lieu, il pourrait aussi être envisageable que la nature du service de réseau social non contractuel, non directement rémunéré par un prix et non indirectement rémunéré par de la publicité comportementale, ne soit plus sous-tendue par de purs objectifs concurrentiels, mais découle d’impératifs constitutionnels d’une nature hiérarchiquement supérieure au droit de la concurrence.

Cette analyse vient justement d’être récemment proposée par l’éminent philosophe allemand Jünger Habermas, qui, constatant une « régression » du fonctionnement de l’espace public et de la démocratie, énonce la chose suivante : « Les plateformes ne sont pas soumises en premier lieu aux critères de qualité des marchandises, mais aux critères cognitifs des jugements sans lesquels nous ne saurions parler de l’objectivité du monde des faits (…) Dans un "monde", difficilement concevable de fake news qui ne pourraient plus être identifiées comme telles et qui ne pourraient donc être distinguées des informations vraies, aucun enfant ne pourrait grandir sans développer des symptômes cliniques. Maintenir une structure médiatique permettant à l’espace public de rester un espace inclusif et permettant la formation de l’opinion et de la volonté publiques de conserver son caractère délibératif ne relève donc absolument pas du simple choix politique : il s’agit d’un impératif proprement constitutionnel »¹⁷.

Ce point de vue « constitutionnel », plus que « concurrentiel », permettrait d’appréhender l’exigence d’équivalence d’une manière renouvelée, au moment de déterminer quelle pourrait être la nature de ce service numérique tendant à répondre aux objectifs constitutionnels de l’Union européenne et de ses États membres.

1. EDPB, Opinion 08/2024 on valid consent in the context of consent or pay models implemented by large online platforms, 17 avr. 2024.
2. https://noyb.eu/sites/default/files/2024-02/Pay-or-okay_edpb-letter_v2.pdf ; https://iabeurope.eu/iab-europe-sends-letter-to-the-edpb-on-the-consent-....
3. https://www.epceurope.eu/post/epc-writes-to-the-edpb-with-regard-to-consent-or-pay-model.
4. https://ec.europa.eu/commission/presscorner/detail/fr/mex_24_1289.
5. https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_24_1702.
6. Groupe de travail de l’« Article 29 », Avis 2/2010 sur la publicité comportementale en ligne, WP 171, 22 juin 2010 ; Avis de l’EDPB du 17 avr 2024, § 19, « Dans l’avis 2/2010 du groupe de travail "Article 29" (WP29) sur la publicité comportementale en ligne, la "publicité comportementale" est définie comme « la publicité basée sur l’observation du comportement des individus dans le temps ». Le groupe de travail « Article 29 » a également souligné que la publicité comportementale « cherche à étudier les caractéristiques de ce comportement à travers leurs actions (visites répétées de sites, interactions, mots-clés, production de contenu en ligne, etc.) afin de développer un profil spécifique et de fournir ainsi aux personnes concernées des publicités adaptées à leurs intérêts déduits ».
7. J. Tirole et J.-C. Rochet, Platform, Competition in Two-Sided Markets, Journal of the European Economic Association, 2003, 1(4), p. 990 ; Two-Sided Markets : a Progress Report, Rand Journal of Economics, 2006, 37(3), p. 645 ; Competition Policy in Two-Sided Markets, with a Special Emphasis on Payment Cards, in P. Buccirossi éd., Handbook of Antitrust Economics, MIT Press, 2008, p. 543.
8. Décis. contraignante « Facebook » du CEPD du 5 déc. 2022 ; Décis. contraignante « Instagram » du CEPD du 5 déc. 2022 ; J. Sénéchal, Protection des données : exclusion du contrat comme base de traitement licite aux fins de diffusion de publicités comportementales par les services numériques de réseaux sociaux, Dalloz actualité, 18 janv. 2023.
9. Décis. contraignante urgente du CEPD, 01/2023, pour la prise de mesures finales relativement Meta Platforms Ireland Ltd (art. 66[2] RGPD), 27 oct. 2023, l’EDPB a considéré qu’il est nécessaire de prendre des mesures urgentes et demande à l’autorité irlandaise, en tant qu’autorité chef de file, d’interdire à Meta de traiter des données personnelles à des fins de publicité comportementale sur la base juridique du contrat et de l’intérêt légitime dans l’ensemble de l’EEE.
10. CJUE 4 juill. 2023, Meta c/ Bundeskartellamtaff, aff. C-252/21, Dalloz actualité, 14 sept. 2023, obs. V. Giovannini ; AJDA 2023. 1542, chron. P. Bonneville, C. Gänser et A. Iljic ; D. 2023. 1313 ; Dalloz IP/IT 2024. 45, obs. A. Lecourt ; RTD eur. 2023. 754, obs. L. Idot ; N. Martial-Braz, Quand Meta se voit contraint d’abandonner la publicité ciblée sans consentement, CCE 2023. Comm. 94 ; N. Bekhat, G. Goldberg, A. Richet, M. Cazettes de Saint Léger, Meta Plateforms : les enseignements de la CJUE sur l’intersection du droit de la concurrence et de la protection des données, AJDA 2023. 1700 .
11. https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_24_1702.
12. Art. 3 de la dir. (UE) 2019/770, « La présente directive s’applique à tout contrat par lequel le professionnel fournit ou s’engage à fournir un contenu numérique ou un service numérique au consommateur et le consommateur s’acquitte ou s’engage à s’acquitter d’un prix. La présente directive s’applique également lorsque le professionnel fournit ou s’engage à fournir un contenu numérique ou un service numérique au consommateur, et le consommateur fournit ou s’engage à fournir des données à caractère personnel au professionnel, sauf lorsque les données à caractère personnel fournies par le consommateur sont exclusivement traitées par le professionnel pour fournir le contenu numérique ou le service numérique conformément à la présente directive ou encore pour permettre au professionnel de remplir les obligations légales qui lui incombent, pour autant que le professionnel ne traite pas ces données à une autre fin ».
13. M. Béhar-Touchais, La recherche d’une concurrence équitable en matière de vente de contenus numériques en ligne, Dalloz IP/IT 2017. 26 .
14. DMA, consid. 37, « L’autre possibilité moins personnalisée ne devrait pas être différente ou de qualité moindre par rapport au service offert aux utilisateurs finaux qui donnent leur consentement, sauf si une baisse de la qualité résulte directement du fait que le contrôleur d’accès n’est pas en mesure de traiter ces données à caractère personnel ou de connecter les utilisateurs finaux à un service ».
15. https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_24_1702.
16. T. Medjkoune, O. Goga, J. Sénéchal, Marketing to Children Through Online Targeted Advertising : Targeting Mechanisms and Legal Aspects, The 2023 ACM SIGSAC Conference on Computer and Communications Security, nov. 2023.
17. J. Habermas, Espace public et démocratie délibérative : un tournant, Gallimard, 2023, p. 119.