Le règlement européen sur les marchés numériques, ou Digital Markets Act (DMA), entré en vigueur le 6 mars 2024, vise à encadrer le pouvoir de marché des grandes entreprises du numérique et à corriger les déséquilibres liés à leur position sur le marché européen. Le règlement est applicable aux entreprises désignées comme des contrôleurs d'accès par la Commission européenne. Ont notamment été désignées à ce titre Alphabet, Apple, Meta ou encore ByteDance.
Le cadre juridique applicable
Parmi les dispositions du DMA, un article 5(2) interdit en particulier aux contrôleurs d’accès de « combiner les données à caractère personnel provenant du service de plateforme essentiel concerné avec les données à caractère personnel provenant de tout autre service de plateforme essentiel ou de tout autre service fourni par le contrôleur d’accès, ni avec des données à caractère personnel provenant de services tiers ».
C’est sur ce fondement que la Commission européenne a prononcé à l’encontre de Meta en avril 2025 une amende de 200 000 000 d’euros. Cette amende concerne la mise en place par le groupe du dispositif « Consent or pay » entre mars et novembre 2024 pour répondre aux exigences des régulateurs en matière de données personnelles. Ceux-ci avaient en effet écarté tour à tour la possibilité pour le groupe de se fonder sur la base légale du contrat, sur celle de l’intérêt légitime et écarté la liberté du consentement obtenu au traitement des données personnelles à des fins de publicité personnalisée en l’absence d’alternative pour accéder à ses services en cas de refus par un utilisateur.
Pour justifier sa décision, la Commission européenne considère que la mise en œuvre par Meta, entre mars et novembre 2024, d’un système de « consent or pay », offrant seulement aux utilisateurs l'option de consentir à une combinaison complète de leurs données personnelles à des fins de publicité personnalisée ou de payer un abonnement mensuel pour ne pas voir de publicité du tout, ne permet pas de remplir les conditions posées par le règlement pour s’affranchir de l’interdiction figurant à l’article 5(2) du DMA.
Son interprétation de l’article repose notamment sur les considérants 36 et 37 du DMA, qui précisent que la mise en place par le contrôleur d’accès d’une solution alternative mais équivalente ne doit pas conduire à subordonner « l'utilisation du service de la plateforme centrale ou de certaines de ses fonctionnalités au consentement de l'utilisateur final » et que cette « alternative moins personnalisée ne doit pas être différente ou de qualité moindre par rapport au service fourni aux utilisateurs finaux qui ont donné leur consentement, à moins qu'une dégradation de la qualité ne soit une conséquence directe de l'incapacité du contrôleur d'accès à traiter ces données à caractère personnel ou à inscrire les utilisateurs finaux à un service ».
Absence de choix spécifique d'une alternative moins personnalisée
La Commission relève dans un premier temps que le système de « consent or pay » ne permet pas d’offrir à l’utilisateur un choix spécifique d’une alternative moins personnalisée mais équivalente en l’absence de consentement à la combinaison de ses données personnelles.
Elle considère que l’option payante et l’option avec publicité personnalisée présentent des conditions d’accès différentes aux réseaux sociaux de Meta dans la mesure où les utilisateurs se voient proposer des moyens différents de rémunérer Meta pour cet accès.
Le fait de devoir accéder à un service de paiement en ligne et de devoir réaliser des transactions périodiques pour le paiement de l’abonnement fait, selon la Commission, que l’option payante ne peut être regardée comme équivalente à l’option avec publicité personnalisée.
Elle estime ainsi que la seule possibilité pour Meta de remplir la première condition permettant de lever l’interdiction de combiner les données figurant à l’article 5(2) du DMA est d’offrir aux utilisateurs une alternative moins personnalisée qui est également gratuite.
On peut s’interroger sur cette analyse : il semble que le DMA n’aborde pas tant la question du volume de données traitées ou du niveau de personnalisation que la question de leurs sources.
On peut regretter que les discussions se concentrent sur le niveau de personnalisation là où c’est la question du consentement à la combinaison de données entre différents services qui devrait être centrale, c’est ce volume de données et leur combinaison qui confèrent le pouvoir de marché aux grandes plateformes à la fois vis-à-vis des annonceurs mais également vis-à-vis des utilisateurs.
Pas de consentement libre des utilisateurs
Ensuite, la Commission considère que le système « consent or pay » ne permet pas à Meta de recueillir un consentement libre des utilisateurs à la combinaison de leurs données, en raison « du déséquilibre évident des pouvoirs entre Meta et ses utilisateurs finaux et parce que les utilisateurs finaux qui refusent de consentir au traitement de leurs données à caractère personnel ne peuvent le faire sans subir un préjudice ».
Elle reprend ainsi l’analyse de l’arrêt Meta Platforms (C-252/21) de la Cour de Justice de l’Union européenne du 4 juillet 2023 et l’avis 08/2024 du CEPD du 17 avril 2024 sur la validité du consentement dans le cadre des modèles « consentir ou payer » mis en place par les grandes plateformes en ligne.
Et demain ?
Depuis novembre dernier, une nouvelle alternative a été développée par le groupe Meta avec trois options pour l’utilisateur : un consentement plein et entier à la publicité personnalisée, un consentement à une publicité moins personnalisée (moins de données traitées), la souscription d’un abonnement. Elle n’est pas concernée par cette décision. Elle fait actuellement l’objet d’une évaluation par la Commission européenne.
Ces débats ne sont pas sans effets de bord sur le modèle de financement par la publicité personnalisée de nombreux sites internet dont les médias en ligne en concentrant la discussion sur la publicité personnalisée et le degré de personnalisation des publicités et non sur les conditions d’une combinaison de données entre les différents services proposés aux utilisateurs.
A noter, a été lancée par ailleurs une consultation publique par la Commission européenne jusqu’au 25 septembre prochain afin d’examiner l’impact et l’efficacité du règlement sur les marchés numériques. L’Union des marques participe à ces réflexions.