Dans son avis indiquant clairement que l’abonnement proposé par Meta est problématique, l’autorité européenne de protection des données remet en question les cookies walls pour tous les éditeurs, et toute l’économie actuelle du web.
C’était un avis très attendu, et il n’a pas déçu les avocats et autres conseillers juridiques, qui vont avoir davantage de pain sur la planche. Le 17 avril, le Comité Européen de Protection des Données a publié son document d’analyse sur le bien-fondé de l’abonnement de Meta et de son adéquation avec le droit européen sur les données personnelles. Depuis novembre, le géant américain propose aux utilisateurs européens de Facebook et d’Instagram de choisir entre continuer à utiliser gratuitement ses services en consentant à livrer leurs données personnelles à des fins de publicités ciblées, ou de payer un abonnement pour ne plus voir de pubs. Selon Meta, ce système permet de se conformer aux règles européennes sur le traitement des données - qui lui ont déjà valu plusieurs condamnations et amendes.
Mais les défenseurs de la vie privée, à commencer par l’association de Max Schrems, None Of Your Business (NOYB), y voient une pratique injuste et une violation des droits des consommateurs, et plusieurs plaintes avaient été déposées, concernant ces « cookies wall ». L’avis du CEPD avait donc été sollicité par les autorités de protection des données des Pays-Bas, de Norvège et de Hambourg (Allemagne). Les associations contestent le choix binaire et le prix de l’abonnement proposé par Meta. Rappelons que fin mars, le géant avait justement baissé le prix de ses abonnements afin de se montrer bonne pâte.
« Bien que cet avis n’ait pas de valeur juridique propre, en ce qu’il n’est pas contraignant, sa portée sera beaucoup plus large et risque de rajouter davantage d’insécurité juridique. Il remet en question le modèle économique d’internet, en heurtant la liberté d’entreprendre des acteurs économiques, à l’encontre de l’objectif initial du RGPD », indiquent Anca Caruntu, directrice des affaires européennes, et Marion Boige, avocate au barreau de Paris toutes les deux pour le cabinet Samman (qui a pour clients Google et Criteo).
Concrètement, les cookies wall ne semblaient pas interdits, selon un arrêt de 2023, de la Cour de Justice de l’Union Européenne sur laquelle se base justement Meta. « les entreprises peuvent proposer une offre de service payante, en définissant des frais « appropriés », en tant qu’alternative équivalente à l’obtention du consentement des utilisateurs pour la publicité personnalisée », détaillent les spécialistes. Mais « la CJUE estime qu’une autorité de concurrence nationale peut constater une violation du Règlement général sur la protection des données (RGPD) dans le cadre de l’examen d’un abus de position dominante », précisent-elles. Afin de juger de la légitimité d’un cookies wall, il faut le prendre en considération dans son contexte de marché, et observer la concurrence. Si le service proposé semble trop unique, sans alternative, le cookie wall est mal venu. C’est également ce qu’affirmait le Conseil d’État français, en 2020, et la Cnil dans ses lignes directrices de 2022 évoquant les « alternatives réelles et sérieuses ».
Changement de modèle
Dans son avis, le CEPD confirme de devoir prendre en compte le prix et le marché. « [il] vise in fine à définir l’offre « raisonnable ». Or, la définition du prix est un exercice complexe qui nécessite plusieurs types d’expertises dont notamment celui des autorités de la concurrence. Aucune évaluation de prix n’est possible, surtout s’il s’agit d’un « prix raisonnable », sans d’abord définir le marché pertinent et réaliser une analyse économique intégrant les caractéristiques du contenu ou du service offert », argue les spécialistes du cabinet Samman. Mais ici se pose une question plus large d’ordre juridique. « Les autorités de protection des données sont-elles compétentes en matière d’économie pour juger de concurrence ? Ont-elles les outils nécessaires ? » s’interroge Laurent Benzoni, fondateur du cabinet de conseil en économie Tera Consultants, qui a réalisé une étude sur l’impact des cookies walls. C’est d’ailleurs pour cette raison que les synergies, en France, entre la Cnil et l’autorité de la concurrence sont de plus en plus fortes et fréquentes, afin que certaines décisions se fassent de concert.
Mais le CEPD va plus loin, en évoquant le concept de « grande plateforme », et considérant de fait le marché au sein duquel elles évoluent, sans parler de position dominante. C’est le cas pour Meta. « Le CEPD considère que les « grandes plateformes » qui offrent un choix binaire entre consentir à la collecte de ses données personnelles à des fins de publicité comportementale ou une alternative payante, ne sont pas conformes au RGPD », indiquent-elles.
Ainsi, ces « plateformes » se verront imposer de proposer une alternative n’impliquant pas de paiement ni de collectes de données à des fins de publicité personnalisée. Une alternative qui se doit donc d’être de la publicité contextuelle, ou basée sur le traitement d’un plus petit nombre de données personnelles. Il va de soi que tout leur modèle économique en est affecté. Google, TikTok et consorts sont clairement dans le viseur des autorités. Les utilisateurs accepteront-ils qu’on traite leurs données pour de la publicité ciblée si on leur laisse le choix ?
Tous les éditeurs visés
Mais dans son avis, le CEPD ne définit aucunement les « grandes plateformes » - même s’il fait implicitement référence aux définitions des règlements européens récemment votés : le Digital Services Act et le Digital Market Act. Mais le Comité refuse de se limiter à ces définitions. « il précise que son avis peut concerner d’autres types de plateformes et fait ainsi part de sa volonté d’élargir cette approche au-delà des « grandes plateformes » et donc au reste du marché », précisent Anca Caruntu et Marion Boige.
C’est ainsi que cette décision, selon les spécialistes, met dans « l’insécurité juridique » tous les éditeurs sur le Net. Déjà, des « datactivistes » écrivaient trois jours après la décision concernant Meta à la Cnil, pour dénoncer les éditeurs qui mettaient en place un cookie wall, en se basant juridiquement sur l’avis du CEPD. « Un éditeur de contenus proposant au choix le paiement de 2 euros par mois ou l’acceptation des cookies publicitaires, devra potentiellement proposer une troisième option, sans publicité ciblée afin d’éviter tout risque juridique lié à une potentielle amende de la CNIL », arguent-elles. S’il ne le fait pas, est-il hors des clous du RGPD ?
Notons qu’on parle ici de cookies également « first party », donc des données qui ne sont pas concernées par la disparition des cookies tiers de Chrome d’ici fin 2024, et dont la monétisation est pour les éditeurs, une manne substantielle. Pour le monde juridique, les éditeurs sont dans le flou.
Entre 120 et 450 millions d’euros.
Quel impact cette insécurité peut-elle avoir sur le marché ? Les définitions « d’alternative réelles et sérieuses », les notions de « prix raisonnables », restent encore abstraites, et la jurisprudence se fait maigre. Mais faudra-t-il se baser sur cette dernière, au risque de voir des entreprises risquer des amendes (jusqu’à 4 % du chiffre d’affaires, selon le RGPD) ? « Nous devons clarifier au maximum ces notions pour nos clients », indique Charlotte Gaillard, conseillère juridique au sein de Samman.
L’insécurité juridique affecte l’économie selon divers aspects : le coût de la mise en conformité pour les entreprises, les amendes, mais aussi le coût des décisions et projets qui n’aboutissent pas de crainte de revers juridiques postérieurs.
« Le Conseil d’État se référant à une étude de l’OCDE estimait en 2006 le coût de l’insécurité juridique entre 3 et 4 % du PIB, calcule Tera Consultants. « Le rapport du Conseil économique social et environnemental évalue le poids de l’économie de la donnée en France à 4 milliards d’euros. Le rapport Asterès évalue celui de la publicité digitale à 11,3 milliards d’euros. Ainsi, selon nous, le coût de l’insécurité juridique provoqué par la Cnil, sur le sujet des cookies wall, pourrait se situer entre 120 et 450 millions d’euros », augure Laurent Benzoni, selon que l’on prend en compte l’économie de la donnée ou la publicité digitale dans son ensemble. Et l’étude était antérieure à la décision du CEPD.
Quoi qu'il en soit, la seule certitude, est qu'il va falloir se creuser les méninges, car le modèle publicitaire risque fort de devoir changer de fond en comble.