Modèle économique « consentir ou payer » des grandes plateformes en ligne : le CEPD adopte un avis et propose une alternative gratuite n’impliquant pas de publicité comportementale !
Le 17 avril dernier, le Comité européen de la protection des données (CEPD) a adopté un avis sur le modèle « consentir ou payer » qui porte sur la validité du consentement comme base légale pour le traitement de données personnelles aux fins de publicité comportementale par les grandes plateformes en ligne. Pour rappel, la « publicité comportementale » implique l’élaboration de profils détaillés des personnes concernées, devenue la clé de certains modèles économiques dans l’environnement en ligne aujourd’hui.
> La publicité comportementale :
- Implique une collecte de données dans le temps : pages visitées, temps passé sur une page, nombre de reconnexions, « j’aime » donnée, localisation…
- S’illustre la plupart du temps par l’utilisation de cookies permettant le suivi de l’utilisateur
- Implique la mise en œuvre de plusieurs activités de traitement de données à caractère personnel, notamment : le suivi des comportements des utilisateurs, l’analyse de leurs données afin de créer et de développer des profils d’utilisateurs, la mise en relation avec des annonceurs, la présentation de publicité personnalisée.
- Présente des risques importants pour les droits et libertés fondamentaux des personnes concernées.
Le CEPD rappelle que le modèle « consentement ou paiement » se définit comme la pratique permettant à un organisme d’offrir aux utilisateurs (personnes concernées) le choix entre au moins deux options afin d’accéder à un service en ligne.
> Option 1 : Consentir au traitement de ses données personnelles
Les personnes concernées obtiennent l’accès au service uniquement si elles consentent à être suivies et ciblées par la publicité comportementale de l’organisme (responsable de traitement) ;
Dans ce cas, le modèle économique de l’entité est généralement financé par la publicité en ligne basée sur les comportements des utilisateurs.
> Option 2 : Payer des frais afin d’accéder au service en ligne
Les personnes concernées paient des frais (ex : abonnement mensuel, paiement unique…) et sont autorisées à accéder à une version du service qui n’inclut pas le traitement des données personnelles de l’utilisateur à des fins de publicité comportementale.
Néanmoins, cela ne signifie pas que l’utilisateur ne puisse pas être suivi à d’autres fins (ex : analyse de l’utilisation du site internet), ce qui implique le respect des principes exigés par le RGPD (ex : détermination de la finalité et de sa base légale notamment)
Toutefois, le CEPD souligne ici qu’une « alternative équivalente », à la fois sans publicité comportementale et gratuite, pourrait être offerte aux personnes concernées :
Les personnes concernées devraient bénéficier d’une liberté de choix réelle et authentique lorsqu’il leur est demandé de consentir au traitement de leurs données personnelles. Dès lors, l’offre d’une alternative payante au service incluant un traitement de données à des fins de publicité comportementale (option 2) ne devrait pas être la voie par défaut pour les responsables de traitement.
Cette alternative ne doit comporter aucun traitement à des fins de publicité comportementale : par exemple, il peut s’agir d’une version du service avec une forme différente de publicité impliquant le traitement de peu (voire pas du tout) de données personnelles telle que la publicité contextuelle ou générale, ou encore une publicité basée sur des sujets que la personne concernée a sélectionnés à partir d’une liste de sujets d’intérêt.
La mise à disposition de cette alternative moins intrusive renforcerait la liberté de choix des personnes concernées et faciliterait la démonstration, par le responsable de traitement, que le consentement est donné librement (condition sine qua non d’obtention d’un consentement valide).
Pour en savoir + sur les critères de validité du consentement, nous vous invitons à lire notre précédent article.
> Que retenir de l’avis du CEPD ?
L’obtention du consentement ne dispense pas le responsable de traitement de démontrer que le traitement de données personnelles est conforme aux principes exigés par le RGPD (ex : principe de minimisation des données, détermination des finalités, détermination des bases légales justifiant la mise en œuvre du traitement, gestion des durées de conservation…)
Le responsable de traitement doit évaluer si un paiement est approprié en tenant compte notamment de sa position sur le marché, c’est-à-dire de la mesure dans laquelle la personne dépend du service et du public principal visé.
