le Comité européen de la protection des données adopte un avis le 22 avril 2024

Le Comité européen de la protection des données (CEPD) a adopté un avis sur la validité du consentement au traitement de données personnelles à des fins de publicité comportementale dans le cadre des modèles « Consent or Pay » déployés par les principales plateformes en ligne.

Le 17 avril 2024, le CEPD s’est réuni en session plénière. Lors de cette session, elle a adopté un avis sur le modèle « consentir ou payer » qui concerne la validité, dans ce contexte, du consentement comme base juridique du traitement des données personnelles à des fins de publicité comportementale par les grandes plateformes en ligne.

Cet avis fait suite à une demande formulée en vertu de l’article 64.2 du règlement général sur la protection des données (RGPD) par les autorités de protection des données néerlandaises, norvégiennes et hambourgeoises.

Le CEPD souligne la nécessité pour ces grandes plateformes de donner aux utilisateurs un véritable choix, ce qui implique que l’alternative payante ne doit pas être considérée comme la voie par défaut. Il précise que, dans la plupart des cas, il ne sera pas possible de satisfaire aux exigences d’un consentement valable si les utilisateurs n’ont qu’un choix binaire entre le consentement au traitement des données personnelles à des fins de publicité comportementale et le paiement d’une redevance. L’avis invite donc fortement les grandes plateformes à proposer une alternative supplémentaire qui devrait être gratuite et exempte de publicité comportementale (par exemple publicité contextuelle).

Dans son avis, le CEPD précise ainsi les critères à prendre en compte pour obtenir le libre consentement et notamment l’absence de déséquilibre des pouvoirs. Par exemple, le CEPD souligne que les frais facturés ne devraient pas nécessiter le consentement des individus. Les responsables du traitement doivent évaluer, au cas par cas, si un paiement est approprié en tenant compte notamment de leur position sur le marché, du degré de dépendance de la personne à l’égard du service et du public principal du service.

Elle souligne également que l’obtention du consentement ne dispense pas les responsables de traitement de démontrer que leur traitement est globalement conforme au RGPD et à ses grands principes (minimisation des données, loyauté, nécessité, etc. – article 5).

Des lignes directrices plus générales sur les modèles « consentement ou paiement » seront bientôt élaborées par le CEPD.

Pour aller plus loin

EDPB : les modèles « Consentement ou Payement » devraient offrir un véritable choix – CEPD

Le Comité européen de la protection des données (CEPD)