Le modèle "Pay or Okay" de Meta soulève un vent de contestation parmi les défenseurs de la vie privée

Un groupe de 28 organisations non gouvernementales (ONG) et d'entités de protection des consommateurs a adressé une lettre au European Data Protection Board (EDPB) le 16 février 2024 l'exhortant à "rendre une décision (...) en adéquation avec le droit fondamental à la protection des données" à propos du système d'abonnement de Meta à ses réseaux Facebook et Instagram. Les signataires regroupent des organisations telles que l'association autrichienne Noyb, le Corporate Europe Observatory, Digital Rights Ireland, l'Irish Council for Civil Liberties, Wikimedia Europe, Xnet ou encore Homo Digitalis.

Une décision qui façonnera l'avenir de la protection des données

Dans les prochaines semaines, l'EDPB qui réunit les autorités nationales de protection des données telle que la Commission nationale de l'informatique et des libertés, doit rendre son avis sur la légalité du système d'abonnement de Meta par rapport à la législation sur la protection des données personnelles. Pour Max Schrems, militant et président honoraire de Noyb, il s'agit "probablement de la décision la plus importante en matière de droit à la vie privée dans l'Union européenne depuis une décennie". En effet, elle "façonnera l'avenir de la protection des données et d'Internet pour les années à venir". 

C'est en octobre 2023 que l'entreprise américaine a présenté son abonnement payant – surnommé "Pay or Okay" par ses opposants – à Facebook et Instagram. Il propose des abonnements allant de 9,99 euros jusqu'à 12,99 euros par mois permettant aux abonnés d'utiliser les deux réseaux sociaux sans publicité. Meta a lancé cette offre pour répondre à une décision rendue en juillet 2023 par la Datatilsynet, l'autorité néerlandaise de protection des données, lui interdisant d'effectuer de la publicité ciblée sur une période allant du 4 août 2023 au 3 novembre 2023. 

Les pratiques n'ayant pas été modifiées entre temps, l'autorité a saisi le Comité européen à la protection des données (CEPD) pour qu'il prenne une décision contraignante. Son appel a été entendu : le Comité a sommé la Data Protection Commission (DPC), la Cnil irlandaise, d'interdire "le traitement des données personnelles à des fins de publicité comportementale sur les bases juridique du contrat et de l'intérêt légitime".

Meta a donc dû prendre une décision pour se mettre en conformité et a ainsi choisi de lancer un abonnement. En refusant de payer, les utilisateurs acceptent donc que leurs données personnelles soient collectées à des fins publicitaires. Il faut ici bien préciser que le modèle payant permet toujours à la société de collecter des informations à d'autres fins que des fins publicitaires (promotion de la sûreté, l'intégrité et la sécurité...).

La crainte que la stratégie de Meta n'inspire d'autres entreprises

Face à ce comportement, les autorités néerlandaise, norvégienne et hambourgeoise ont demandé à l'EDPB de prendre position. Si cette dernière valide cette approche, les ONG craignent qu'elle se propage "comme une traînée de poudre". C'est déjà le cas en Allemagne où "30% des 100 principaux sites Internet [l'utilisent] déjà pour augmenter les taux de consentement". "Les Européens pourraient prendre le 'choix réel ou libre' d'accepter ou de refuser le traitement de leurs données personnelles, pierre angulaire du RGPD", écrit Noyb, l'une des organisations signataires de la lettre. 

Sur le plan juridique, la Cour de justice de l'Union européenne a eu l'occasion à plusieurs reprises de juger que la case pré-cochée sur les sites ne répondait pas à la nécessité d'un consentement actif de l'utilisateur au dépôt de cookies sur son terminal. Sur les bannières de cookies, la Commission nationale de l'informatique et des libertés (Cnil) avait estimé de son côté que "les contreparties monétaires" pouvaient "constituer une alternative au consentement" à condition qu'elles soient proposées à "un tarif raisonnable". Or, ce que reprochent les ONG c'est justement que le tarif proposé par Meta n'est pas raisonnable. Dans une plainte déposée devant l'autorité autrichienne de protection des données, Noyb avait estimé que le prix fixé pousse les personnes à choisir l'option gratuite avec collecte de données à des fins publicitaires. 

Le Bureau européen des unions de consommateurs (BEUC), une fédération de 43 associations de consommateurs, a également déposé une plainte auprès du réseau des autorités de protection des consommateurs (CPC). Il juge que Meta se livre à "des pratiques commerciales déloyales" et viole le RGPD. Il dénonce également la création d'un "sentiment d'urgence" pour le consommateur qui se sent obligé de choisir rapidement entre les deux options (payer ou accepter d'être suivi). 

La tentative échouée du modèle "Pay or Okay" dans la presse en ligne

Pour les ONG signataires, la stratégie de Meta est à rapprocher de celle mise en place dans le secteur de la presse en ligne dans lequel "les éditeurs n'obtiennent que le restant des revenus publicitaires seulement si les personnes acceptent le suivi publicitaire". De plus, Noyb affirme jusqu'à 99,9% des personnes optent pour l'option gratuite, "ce qui entraîne des ventes minimes d'abonnements payants". "Les véritables bénéfices des publicités personnalisées restent entre les mains des grandes entreprises comme Meta et Google", ajoute-t-elle. 

La dépendance des grandes entreprises technologies et des médias a notamment été illustrée par l'affaire Google. C'est la transposition d'une directive européenne par la loi du 24 juillet 2019 qui avait provoqué une réaction vive par l'entreprise américaine. Obligée de rémunérer les médias pour la reprise des articles en ligne en vertu du droit voisin, elle avait décidé de modifier l'affichage des actualités au sein de son moteur de recherche en supprimant les extraits d'articles ou les photos miniatures. C'est en étant contraint par l'Autorité de la concurrence que Google avait finalement accepté de signer des contrats avec chaque groupe de médias ou médias. 

Une troisième voie est possible

Il reste donc à voir la position que l'EDPB va prendre. S'il rejette l'approche de Meta, l'entreprise devra trouver une nouvelle option pour recueillir le consentement des utilisateurs à de traiter leurs données personnelles à des fins de publicité ciblée. S'il l'accepte, elle pourra maintenir son système en place mais devrait tout de même faire face à plusieurs procédures en cours. L'EDPB pourrait trouver une troisième voie : valider le système de Meta mais lui demander une baisse des tarifs actuellement proposés estimant qu'ils ne constituent pas une contrepartie raisonnable. Les débats des prochaines semaines seront décisifs quant à l'avenir de la protection des données en Europe.