Récemment, Meta a proposé aux utilisateurs de Facebook et d’Instagram le choix : payer en argent ou avec leurs données personnelles. Mais cela peut-il se faire n'importe comment ?
Le message qui est apparu sur les écrans des utilisateurs européens était clair : "Vous devez faire le choix de continuer à utiliser Facebook". Le choix doit se faire entre :
- S'abonner pour utiliser les plateformes sans publicité au tarif de 12,99 euros par mois ; ou
- Utiliser gratuitement les plateformes avec des publicités.
Alors que META a déjà essayé dans le passé de s'appuyer sur diverses justifications pour utiliser les données personnelles à des fins commerciales, elle réessaye cette fois en justifiant le consentement[1].
Même si le nouveau choix proposé soit moins "radical", le problème est le même : même dans le cas du choix entre s'abonner ou accepter des publicités personnalisées, il ne peut y avoir de consentement libre, spécifique, éclairé et univoque[2].
Meta fonde cette "nouvelle approche" sur une phrase de ‘l'obiter dictum’ [3]de l'arrêt C-252/21 de la CJUE qui stipule qu'une alternative à la publicité doit être fournie, si nécessaire moyennant une compensation appropriée[4].
Dans quelles conditions les données à caractère personnel peuvent-elles être traitées ?
Le traitement de données à caractère personnel n'est licite que si au moins l'une des conditions suivantes est remplie :
(a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
(b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie, ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
(c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
(d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
(e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
(f) le traitement est nécessaire aux fins des intérêts légitimes du responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Dans le cas du traitement de données à caractère personnel par META, seul le motif de légalité fondé sur le consentement de la personne concernée est admissible.
Cela a déjà été confirmé dans l'arrêt C-252/21 du 4 juillet 2023[5].
Ce qui suit explique plus en détail ce que signifie exactement “donner son consentement”[6]:
Le RGDP définit le consentement de la personne concernée comme suit : "toute manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair que des données à caractère personnel la concernant fassent l’objet d’un traitement ;
Librement donné
Tout d'abord, le consentement doit être donné librement. Cela signifie que la personne concernée doit avoir le choix et le contrôle de son choix.
Cela signifie que si la personne concernée n'a pas réellement le choix, par exemple parce que l'alternative aurait des conséquences négatives pour elle, le choix ne peut pas être donné librement.
Même si le consentement se présente sous la forme de conditions générales non négociables, le consentement n'est pas donné librement.
En outre, lors de l'évaluation du consentement libre, la (mauvaise) relation entre la personne concernée et le sous-traitant est prise en compte[7].
Spécifique
En outre, le consentement donné doit également être spécifique. Cela signifie que la personne concernée doit donner son consentement pour chaque élément du traitement de ses données à caractère personnel. Ainsi, si vos données à caractère personnel sont utilisées pour X, Y et Z, vous devrez donner votre consentement pour X, Y et Z séparément et X, Y et Z devront être explicitement décris.
Eclairé
Ensuite, le consentement doit également être donné de manière éclairée. Cela signifie que la personne concernée doit disposer d'informations suffisantes concernant le traitement de ses données à caractère personnel afin qu’il puisse faire un choix éclairé quant à l’octroi ou non de son consentement.
Univoque
Le consentement doit également être donné de manière univoque. Cela signifie que le consentement nécessite un acte ou une déclaration active et non équivoque de la part de la personne concernée.
Ainsi, un consentement implicite dû à l’inaction ou l’inactivité ne constituera jamais un consentement valide au sens de la législation RGDP.
Conditions supplémentaires
Enfin, un consentement valablement donné n'est pas éternel. D'une part, il doit être possible de retirer facilement le consentement donné[8]. En revanche, le consentement donné ne s’appliquera plus si l’activité de traitement change de manière significative.
Conclusion
Dans ce cas particulier où Meta laisse à la personne concernée le "choix" entre autoriser l'utilisation de vos données personnelles à des fins de publicité personnalisée ou payer 12,99 euros par mois, cela ne peut, à notre avis, constituer un consentement donné librement. Non seulement le rapport entre Meta et la personne concernée, étant donné le monopole de META, mais aussi le fait que le paiement est la seule alternative, font que ce consentement n'est en aucun cas un consentement librement donné. De nombreuses personnes trouveront le prix de 12,99 euros trop cher et, en l'absence d'un autre canal de médias sociaux, seront donc contraintes de payer en données.
Ce consentement ne serait spécifique si META utilisait les données personnelles de la personne concernée uniquement à des fins de publicité personnalisée. Si, par exemple, des nouvelles spécifiques pouvaient également être poussées (comme c'était le cas dans la version avant que ce choix ne nous soit donné), ce consentement ne serait pas spécifique.
Il ne fait aucun doute que les spécialistes et les militants de la protection de la vie privée et du RGPD suivront de près l'évolution de la situation. Par exemple NOYB qui avec leurs plaintes ; ont été à l'origine du jugement contre META.
En outre, la question peut être soulevée de savoir comment et si ce paiement de données ne devrait pas être soumis à l’impôt.
Une autre question est de savoir si ce "choix" ne viole pas le droit d'accès (à un Internet neutre et ouvert), notamment en raison du monopole de META. D'autant plus que même la liste des biens insaisissables a été adaptée dans le sens où l’accès à Internet doit rester assuré et où les médias sociaux constituent un élément essentiel de l’utilisation d’Internet[9].
Il sera donc très intéressant de voir si et combien de temps cette nouvelle "solution" de META durera.
Pour plus d'informations sur le RGDP, veuillez contacter l'équipe de STUDIO|LEGALE.
0 commentaires