Données personnelles : rejet des CGU comme base juridique du consentement, licéité du cookie wall, lien entre RGPD et cadre concurrentiel… la CJUE se prononce sur 3 sujets clés

En se prononçant mardi 4 juillet dans une affaire ouverte en 2019 par la Bundeskartellamt, l’Autorité de la concurrence allemande, contre Meta, la Cour de justice de l’Union européenne (CJUE) a effectué une série d’interprétations sur la bonne application du RGPD liée aux données personnelles. Son arrêt contient au moins trois éléments majeurs pour le marché.

1 – Le rejet de la base juridique des CGU

La CJUE a d’abord conforté la décision de la Bundeskartellamt prévoyant l’interdiction pour Meta d’exploiter les données des utilisateurs de Facebook qui ont été préalablement collectées sur l’ensemble des plateformes du groupe (Facebook, WhatsApp, Instagram, Messenger) ou de supports tiers à des fins de publicités ciblées, sans avoir préalablement obtenu un consentement explicite.

La CJUE a ici écarté la base juridique du contrat mise en avant par Meta pour son traitement des données lorsque les utilisateurs s’inscrivent sur Facebook et acceptent ses CGU. L’instance a rappelé que le modèle économique de la publicité ciblée ne justifiait pas un traitement des données sans consentement.

2 – L’intégration du RGPD dans le cadre concurrentiel 

La Cour de justice de l’Union européenne a par ailleurs appuyé le raisonnement de l’Autorité de la concurrence allemande disposant que le traitement des données effectué par Facebook constitue un abus de position dominante. La CJUE fait du respect de la protection des données personnelles prévu par le RGPD l’un des critères possibles pour examiner le respect du droit de la concurrence. “L’accès aux données à caractère personnel et leur utilisation revêtent une importance majeure dans l’économie numérique” et “(pour) la concurrence entre les entreprises dans l’économie numérique”, a affirmé la Cour.

Par conséquent, dans le cadre de l’examen d’un abus de position dominante par une entreprise, “il peut être nécessaire que l’autorité de concurrence de l’État membre concerné examine également si le comportement de cette entreprise est conforme à des règles autres que celles relatives au droit de la concurrence, telles que les règles prévues par le RGPD.” 

L’instance européenne souligne également que les autorités de la concurrence doivent mettre en œuvre “une coopération loyale avec les autorités de protection des données”. La décision est importante en ce qu’elle élargit la portée du RGPD pour les grandes plateformes, dont une partie sont dominantes dans l’accès au numérique et sur le marché publicitaire en ligne, et en fait un lien étroit avec le droit de la concurrence. Ce rapprochement était un souhait exprimé ces dernières années par les concurrents publicitaires locaux de Google et Meta.

3 – La licéité du cookie wall avec une rémunération “appropriée”

Au sein de son arrêt, la Cour de justice de l’Union européenne est allé un peu plus loin que l’objet qui lui était soumis en se positionnant sur le dispositif du cookie wall, par lequel de nombreux éditeurs d’informations contraignent les internautes à choisir entre la collecte et l’exploitation de leurs données pour l’accès à leurs contenus ou la souscription d’un abonnement.

L’information a été relevée sur Twitter par Guillaume Champeau, responsable juridique et affaires publiques de Clever Cloud. En quelques mots seulement, la CJUE a en effet souligné que les utilisateurs de services en ligne doivent pouvoir refuser de donner leur consentement au traitement de données non nécessaires à l’exécution du contrat sans être empêchés de renoncer intégralement à l’utilisation du service. “Ce qui implique que les utilisateurs se voient proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente” sans traitement de données, ajoute la CJUE.

Malgré des décisions de tribunaux administratifs l’autorisant sous conditions, notamment en France en 2020, la question de la licéité des cookie walls a été posée par certaines Cnil en Europe, en Allemagne puis en Autriche en avril 2023. En France, la Cnil a posé en mai 2022 une série de conditions, dont un “tarif raisonnable”, avec une “analyse au cas par cas” des dispositifs.

En quelques mots, avec la formulation “rémunération appropriée”, la CJUE confirme cette interprétation et fixe un peu plus la légalité du cookie wall des éditeurs d’informations, pour peu que l’obligation tarifaire demeure proportionnée et raisonnable. Aujourd’hui, le dispositif s’est généralisé chez les éditeurs. Fin 2022, sur 146 sites médias français proposant une offre payante analysés par mind Media, 26 utilisaient déjà un cookie wall avec alternative payante.