Bruxelles, le 17 avril — Lors de sa dernière session plénière, le CEPD a adopté un avis à la suite d’une demande formulée par les autorités néerlandaises, norvégiennes et de Hambourg chargées de la protection des données (DPA) au titre de l’article 64, paragraphe 2, du RGPD. L’avis traite de la validité du consentement au traitement des données à caractère personnel à des fins de publicité comportementale dans le cadre de modèles de «consentement ou de paiement» mis en place par les grandes plateformes en ligne.
Le président de l’EDPB, Anu Talus, a déclaré: «Les plateformes en ligne devraient donner aux utilisateurs un véritable choix lorsqu’ils utilisent des modèles de consentement ou de paiement. Les modèles que nous avons aujourd’hui exigent généralement que les individus donnent toutes leurs données ou qu’ils paient. Par conséquent, la plupart des utilisateurs consentent au traitement afin d’utiliser un service, et ils ne comprennent pas toutes les implications de leurs choix.»
En ce qui concerne les modèles de «consentement ou de paiement» mis en œuvre par les grandes plateformes en ligne, l’EDPB estime que, dans la plupart des cas, il ne leur sera pas possible de se conformer aux exigences relatives au consentement valide, s’ils ne confrontent les utilisateurs qu’à un choix entre le consentement au traitement de données à caractère personnel à des fins de publicité comportementale et le paiement d’une redevance.
L’EDPB considère que le fait d’offrir uniquement une alternative payante aux services qui impliquent le traitement de données à caractère personnel à des fins de publicité comportementale ne devrait pas être la voie à suivre par défaut pour les responsables du traitement. Lors de l’élaboration de solutions de remplacement, les grandes plateformes en ligne devraient envisager de fournir aux particuliers une «alternative équivalente» qui n’entraîne pas le paiement d’une redevance. Si les responsables du traitement choisissent de facturer une redevance pour l’accès à la «alternative équivalente», ils devraient envisager de proposer une solution de remplacement supplémentaire. Cette alternative gratuite devrait être sans publicité comportementale, par exemple avec une forme de publicité impliquant le traitement de données à caractère personnel réduites ou nulles. Il s’agit d’un facteur particulièrement important dans l’évaluation du consentement valide en vertu du RGPD.
L’EDPB souligne que l’obtention du consentement ne dispense pas le responsable du traitement d’adhérer à tous les principes énoncés à l’article 5 du RGPD, tels que la limitation des finalités, la minimisation des données et l’équité. En outre, les grandes plateformes en ligne devraient également tenir compte du respect des principes de nécessité et de proportionnalité, et elles sont chargées de démontrer que leur traitement est généralement conforme au RGPD.
En ce qui concerne la nécessité d’un consentement libre, il convient de tenir compte des critères suivants: conditionnalité, préjudice, déséquilibre du pouvoir et granularité. Par exemple, l’EDPB souligne que les frais facturés ne peuvent pas amener les individus à se sentir obligés de consentir. Les responsables du traitement devraient évaluer, au cas par cas, à la fois si une redevance est appropriée et quel montant est approprié dans les circonstances. Les grandes plateformes en ligne devraient également examiner si la décision de ne pas consentir peut conduire l’individu à subir des conséquences négatives, telles que l’exclusion d’un service de premier plan, le manque d’accès aux réseaux professionnels ou le risque de perdre du contenu ou des connexions. L’EDPB note que des conséquences négatives sont susceptibles de se produire lorsque les grandes plateformes en ligne utilisent un modèle de «consentement ou de paiement» pour obtenir le consentement pour le traitement.
Les responsables du traitement doivent également évaluer, au cas par cas, s’il existe un déséquilibre de pouvoir entre l’individu et le responsable du traitement. Parmi les facteurs à évaluer figurent la position des grandes plateformes en ligne sur le marché, la mesure dans laquelle la personne dépend du service et le public principal du service.
En outre, le CEPD fournit des éléments permettant d’évaluer les critères de consentement éclairé, spécifique et sans ambiguïté que les grandes plateformes en ligne devraient prendre en compte lors de la mise en œuvre des modèles de «consentement ou de paiement».
Le président de l’EDPB, Anu Talus, a ajouté: «Les responsables du traitement doivent veiller à tout moment à éviter de transformer le droit fondamental à la protection des données en une fonctionnalité dont les particuliers doivent payer pour bénéficier. Les individus devraient être pleinement conscients de la valeur et des conséquences de leurs choix.»
Outre cet avis au titre de l’article 64, paragraphe 2, le CEPD élaborera également des lignes directrices sur les modèles de «consentement ou rémunération» ayant un champ d’application plus large et collaborera avec les parties prenantes sur ces lignes directrices à venir.
Note de l’éditeur:
Il a été demandé au CEPD d’émettre cet avis au titre de l’article 64, paragraphe 2, du RGPD afin d’examiner la validité du consentement dans le cadre des modèles de «consentement ou de paiement» déployés par les grandes plateformes en ligne, lorsque le consentement est sollicité pour traiter des données à caractère personnel à des fins de publicité comportementale, également en vue de l’arrêt Bundeskartellamt de la Cour de justice de l’Union européenne (C-252/21).
Le communiqué de presse publié ici a été automatiquement traduit de l’anglais. L’EDPB ne garantit pas l’exactitude de la traduction. Veuillez vous référer au texte officiel dans sa version anglaise en cas de doute.