Mise à jour : Meta a décidé de publier son abonnement en le vendant comme un choix « acceptez la publicité ciblée ou payez ». Nous devrions donc avoir une décision sur la légalité de ce procédé dans un avenir proche (mais temporalité juridique, comptez entre quelques mois et plusieurs années de procédure).
Il y a quelques jours, le 1er novembre 2023, l’European Data Protection Board a demandé à l’Irish Data Protection Authority d’interdire à Meta toute récupération de données personnelles dans le but de proposer des publicités ciblées, et ce dans toute l’Union Européenne[1][2]. L’Irish DPA a deux semaines pour mettre en place cette interdiction.
Mais, pourquoi une telle interdiction ?
Cela fait déjà plusieurs années que Meta a engagé un bras de fer avec les différentes DPA (Data Protection Authority, le nom générique pour les équivalents de la CNIL en Europe). En effet, l’entreprise considère que la publicité ciblée est nécessaire pour remplir son contrat avec les utilisateurs.
Pour rappel, il est possible, sous le RGPD, de collecter et traiter données uniquement dans 6 cas[3] :
- le traitement des données est rendu obligatoire par la loi
- le traitement des données est nécessaire pour remplir une mission de service public
- le traitement des données est nécessaire à la poursuite d’intérêts légitimes de l’organisme qui traite les données ou d’un tiers
- le traitement des données est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou d’un tiers
- le traitement des données est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée
- le traitement des données est autorisé par l’utilisateur, via un consentement explicite (pas de oui = non) et éclairé
C’est ces deux dernières bases légales qui nous intéressent. Meta ne veux pas demander le consentement des utilisateurs, par peur que certains refusent (ce qui ferait perdre des bénéfices, la publicité ciblée est toujours vendue plus cher que la publicité générique) donc elle considère que la publicité fait partie du contrat d’utilisation de ses produits (notamment Facebook et Instagram). Ainsi, soit on choisis de signer le contrat (les conditions d’utilisation) soit on supprime son compte et n’utilise pas le service.
Or, à plusieurs reprises, Meta s’est pris des amendes ou a été mis en cause pour non-respect du RGPD. Il lui est reproché que l’acceptation des publicités ciblées n’est pas strictement nécessaire pour que Instagram ou Facebook fonctionne correctement, donc que ça n’est pas possible d’utiliser la base légale du contrat pour bypass le consentement. L’EDPB (sorte d’« autorité supérieure » de toutes les DPA) a déjà, en décembre 2022, mis en demeure Meta d’arrêter ce traitement illégal[4].
Meta devrait donc demander le consentement, mais ne le fait (toujours) pas, préférant payer les amendes que respecter la loi.
Nous arrivons maintenant tout près de notre interdiction : la DPA Norvégienne décide fin août 2023 de mettre une amende de 90 000€ par jour à Meta tant qu’elle ne demande pas le consentement de ses utilisateurs avant de traiter leurs données pour afficher des publicités ciblées. Après presque 2 mois, Meta n’a pas bougé le petit doigt, donc la DPA Norvégienne a décidé d’aller plus loin, et a demandé à l’EDPB d’interdire purement et simplement le traitement des données personnelles pour les publicités ciblées au géant, dans toute l’Europe.
L’EDPB a accepté, et a mis en demeure la DPA Irlandaise (où le GAFAM a son siège européen) d’interdire sous 2 semaines à Meta d’exploiter les données de ses utilisateurs pour de la publicité personnalisée. Autrement dit interdire à Meta la publicité ciblée tant qu’elle ne demande pas un vrai consentement à ses utilisateurs.
Et ensuite ?
Meta a déclaré, la veille de l’annonce de l’interdiction, qu’elle mettrait en place un abonnement payant permettant d’utiliser ses services sans publicités[5]. Étant donné qu’il lui sera interdit d’utiliser de la publicité ciblée sous deux semaines, il se pourrait que cet abonnement devienne obligatoire pour utiliser Facebook et Instagram. Sinon Meta pourrait juste mettre de la publicité générique (non ciblée) en Europe. Enfin, elle peut également décider de ne rien faire, au risque de se prendre de multiples amendes au prix fort (4% du chiffre d’affaire mondial, 8% en récidive).
Il se pourrait également que Meta trouve un arrangement pour lever l’interdiction si elle se met en conformité, autrement dit l’entreprise devra demander le consentement, possiblement en obligeant le paiement de l’abonnement si on refuse.
Ce système de « paie ou accepte les cookies » est encore en zone grise, il est appliqué sur certains sites mineurs (comme certains journaux web en France, ou encore AlloCiné) mais c’est encore assez flou sur la légalité. Cependant, si Meta met son poids dans la balance, on pourrait avoir une vraie décision de justice sur la légalité ou non du procédé.
Ouverture
Meta qui perds la possibilité de faire de la publicité ciblée et vas proposer un abonnement payant pour ses applications. Twitter qui navigue sur le fil et risque se faire bannir d’Europe en raison de l’absence de modération, et qui vas probablement devenir payant. Le DMA et le DSA qui vont forcer Apple a lâcher sa mainmise absolue sur son écosystème. L’AI Act qui se profile pour taper violemment sur Google et Microsoft…
Il se pourrait qu’on arrive à un moment où l’Europe souhaite enfin appliquer réellement ses lois aux géants américains, et potentiellement à la fin de leur toute puissance sur Internet.
Meta n’est pas éternel, l’entreprise a perdu des milliards en investissant sur le metaverse, et va perdre au moins temporairement la publicité ciblée sur leur plus gros marché, se pourrait-il que la fin approche, du moins en Europe, pour le géant de Zuckerberg ?
https://edpb.europa.eu/news/news/2023/edpb-urgent-binding-decision-processing-personal-data-behavioural-advertising-meta_en ↩︎
https://www.cnil.fr/fr/les-bases-legales/liceite-essentiel-sur-les-bases-legales ↩︎
https://edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-42022-dispute-submitted_en ↩︎