Par Laurent Benzoni, Professeur à l’Université Panthéon-Assas, Président de la Tera Consultants et Bruno Deffains, Professeur à l’Université Panthéon-Assas, Directeur de la Chaire Concurrence et Numérique et Avocat of Counsel chez De Gaulle, Fleurance & Associés.

L’article 82 de la loi « Informatique et Libertés » transpose en droit français la directive 2002/58/CE « e-privacy ». L’article prévoit l’obligation de recueillir le consentement des utilisateurs avant toute opération d’écriture ou de lecture des « cookies » ou traceurs qui suivent la navigation des internautes. En 2018, le RGPD a renforcé les exigences en matière de consentement.

En 2019, en se référant au RPPD, la CNIL décide d’interdire les murs de traceurs (cookie wall) voyant dans cette pratique qui conditionne l’accès au site à l’acceptation par les internautes de tous les traceurs, une ateinte à leur libre consentement.

En 2020, le Conseil d’État jugera qu’en décidant cette interdiction la CNIL avait outrepassé ses pouvoirs. En 2021, la CNIL publie des critères de conformité des murs de traceurs suivant la position du Comité européen de protection des données personnelles : « Dans l’attente d’une clarification pérenne sur cette question [des murs de traceurs] par le législateur européen, la CNIL appliquera les textes en vigueur, tels qu’éclairés par la jurisprudence, pour déterminer au cas par cas si le consentement des personnes est libre et si un cookie wall est licite ou non » .

En Juillet 2023, la jurisprudence se précise à l’occasion lorsque la Cour de Justice de l’Union Européenne confirme que l’interdiction totale d’un « cookie wall » n’est pas fondée. Cependant, A défaut l’alternative à leur service, un fournisseur dominant doit proposer une offre payante s’il appose un mur de traceur sur son site.

Si les règles imposées aux murs de traceurs semblent se stabiliser, nombre d’interrogations surgissent quant à leur application effective et quant à leur effet économique.

• Dominance – Quels critères pour qualifier de « dominant ou incontournable » un fournisseur de services internet ?
• Alternative – Cela nécessite d’identifier des services substituables entre eux du point de vue des internautes donc incidemment de délimiter des marchés pertinents, exercice d’autant plus complexe qu’il est mené dans le numérique.
• Prix raisonnable, équilibre entre protection des données et liberté d’entreprendre – Ces règles applicables aux murs de traceurs n’altèrent-elles pas par trop la liberté fondamentale d’entreprendre des fournisseurs de services internet ?

Pour appréhender ces enjeux, il convient de bien repréciser les règles applicables.

Des alternatives à repérer dans des marchés pertinents aux contours incertains

Dans l’affaire jugée par la CJUE le 4 juillet 2023, l’autorité de concurrence allemande sanctionnait Meta pour utiliser les données collectées par l’un de ses services (Facebook, Instagram, WhatsApp) afin de les valoriser sur les autres services, sans que l’internaute ait donné explicitement son consentement à ce transfert de données interne à Meta. L’Autorité allemande a qualifié cette pratique d’abus de position dominante ce que Meta contestait par de nombreux moyens, dont l’absence de compétence d’une autorité de concurrence de se prononcer sur l’utilisation abusive de données personnelles dont la régulation échoit à l’autorité désignée pour l’espèce.

Dans son Arrêt, la CJUE considère que l’interdiction des murs de traceurs ne peut être absolue, confirmant la décision du Conseil d’Etat qui a retoqué la CNIL sur ce point. S’agissant de Meta, acteur dominant sur les réseaux sociaux en ligne, l’Arrêt indique : « Ainsi, ces utilisateurs doivent disposer de la liberté de refuser individuellement […] sans qu’ils soient pour autant tenus de renoncer intégralement à l’utilisation du service offert par l’opérateur du réseau social en ligne, ce qui implique que lesdits utilisateurs se voient proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente non accompagnée de telles opérations de traitement de données. ». L’Arrêt confirme ainsi qu’un acteur dominant apposant un mur de traceurs doit proposer une offre payante basée sur une rémunération « appropriée ». Cette jurisprudence rejoint ex post les critères d’évaluation de la CNIL pour juger de la licité d’un mur de traceurs, à savoir : l’acteur recourant à un mur de traceurs est-il dominant ? Si oui, existe-t-il une offre sans mur de traceurs alternative à son service ? Si non, propose-t-il une offre payante à un prix raisonnable ?

Il y a loin de la coupe aux lèvres. La CNIL estime que la pratique de mur de traceurs d’un fournisseur dominant doit être régulée car il existerait : « un déséquilibre entre [l’éditeur] et l’internaute, [est] de nature à priver ce dernier d’un véritable choix ». La CNIL se réfère-t-elle à l’article L.212-1 du Code de la consommation qui dispose : « Dans les contrats conclus entre professionnels et consommateurs, sont abusives les clauses qui ont pour objet ou pour effet de créer, au détriment du consommateur, un déséquilibre significatif entre les droits et obligations des parties au contrat. » ?

La référence semble inappropriée. En effet, en refusant les traceurs l’internaute n’est pas entré sur le site. Aussi, aucune relation n’existe entre lui et le fournisseur, il ne saurait donc exister de clause abusive au sens de l’article L.212-1.

La CNIL stipule aussi un déséquilibre avéré « en cas d’exclusivité de l’éditeur sur les contenus ou services proposés ». Mais tout service, en particulier dans les médias, comporte une part d’exclusivité permettant de se différencier. Par exemple, le réseau social BeReal fournit un service différent de tout autre réseau social. Pour la CNIL, le caractère unique de ce service relève-t-il d’une exclusivité de telle sorte que BeReal serait incontournable ? On comprend que cette approche est hautement contestable.

Dès lors, il faut identifier les fournisseurs en concurrence sur un marché pertinent à déterminer. « Un marché de produits en cause comprend tous les produits et/ou services que le consommateur considère comme interchangeables ou substituables en raison de leurs caractéristiques, de leur prix et de l’usage auquel ils sont destinés. ». L’existence d’une d’alternative « réelle et équitable » reconnue par la CNIL pour autoriser sans condition un fournisseur à apposer un mur de traceurs sur son site s’inscrit dans cette approche relevant du droit de la concurrence. Un fournisseur voulant recourir à un mur de traceurs doit donc identifier le(s) marché(s) pertinent(s) sur le(s)quel(s) il intervient selon la jurisprudence concurrentielle.

Un fournisseur de service internet dont les revenus proviennent de la publicité opère une « plateforme » intervenant sur au moins deux marchés : le marché du service où il capte l’audience des internautes, le marché publicitaire où il valorise son audience auprès d’annonceurs. Les deux marchés sont interdépendants en raison d’externalités croisées : plus les internautes visitant son site sont nombreux (face audience), plus grande est la valeur des publicités (face annonceurs). Si l’accès au site est gratuit, le test standard du monopoleur hypothétique (SNIPP) pour délimiter le marché pertinent ne peut être réalisé côté audience car il est impossible de tester l’effet de la variation d’un prix nul. Il est possible de recourir à un test basé non pas sur les prix mais sur la qualité offerte, le test SSNDQ (Small but Significant Non-transitory Decrease of Quality). Prenons l’exemple de la télévision en clair. Si les téléspectateurs sont publiphobes, plus de publicité sur une chaîne constitue une baisse de sa qualité et peut induire une baisse d’audience. Si l’audience perdue se reporte sur une chaîne proposant un programme équivalent, cette chaîne constitue pour les téléspectateurs une alternative à la chaîne ayant dégradé sa qualité par l’augmentation de la publicité diffusée.

Problème, ce test SSNDQ reste à l’état de proposition méthodologique. Il n’a jamais été normalisé par les autorités de concurrence et reste sans application effective en droit. La CNIL va-t-elle le normaliser ? Dans les médias, les autorités de concurrence retenant les variations de prix comme critère essentiel pour délimiter les marchés pertinents considèrent de jurisprudence constante que les services gratuits ne constituent pas une alternative aux services payants. Par exemple, la presse gratuite n’est pas une alternative à la presse payante. De plus, s’appuyant sur le besoin recherché par le consommateur, les autorités de concurrence caractérisent souvent des services comme complémentaires et non comme substituables. Les chaînes TV thématiques ne sont pas une alternative aux chaînes généralistes, les chaînes d’information en continu constituent un marché à part ou les poupées mannequin ne sont pas une alternative aux poupées poupon…

Si la CNIL doit donner quelque consistance à sa notion « d’alternative réelle et équitable », critère premier de l’évaluation de la licité d’un mur de traceurs, quelle méthode retiendra-t-elle pour motiver ses décisions elle qui ne s’est jamais livrée à cet exercice ? Considèrera-t-elle qu’Atlantico est une alternative au journal Le Monde ou que ces deux sites sont complémentaires ?

Des seuils de dominance indéterminés

Une fois délimité le marché, encore faut-il établir la dominance, c’est-à-dire l’existence d’un pouvoir de marché reconnu comme la capacité à se comporter indépendamment des concurrents et des clients. Dans la logique de la CNIL, c’est bien le pouvoir de marché qui créé le déséquilibre entre un site et les internautes pour forcer l’acceptation des traceurs. 

En droit de la concurrence, le pouvoir de marché s’apprécie, en première approximation, par la part de marché. La jurisprudence considère une dominance avérée pour une part de marché supérieure à 50% et très probable pour une part de marché supérieure à 40%. L’indice Hirshmann-Herfindahl (IHH) est utilisé dans l’instruction des opérations de concentration pourrait aussi être mobilisé.

Les méthodes du droit de la concurrence identifiant un pouvoir de marché permettent ensuite de qualifier d’éventuels abus dans l’exercice de ce pouvoir. Mobiliser ces méthodes pour statuer si un mur de traceurs force le consentement impliquerait de déterminer la part de marché ou les valeurs de l’IHH permettant de postuler qu’un site dispose d’un « déséquilibre » en sa faveur ? Retenir les seuils de détermination de la dominance élaborés par le droit de la concurrence serait infondé car ce n’est pas leur objet.

Sur ce sujet, les lignes directrices de la CNIL de nouveau sont muettes, elles renvoient à une appréciation produite « au cas par cas ».  Comment un site peut-il vérifier dans ces conditions vérifier ex ante la conformité de sa pratique de mur de traceurs ? Quelle finalité de lignes directrices ne pouvant être appliquées par les acteurs autre que celle de s’accorder un pouvoir discrétionnaire ?

Un prix raisonnable non raisonné

Un acteur dominant doit proposer un accès payant à son site s’il créé un mur de traceurs. « Le fait, pour un éditeur, de conditionner l’accès à son contenu, soit à l’acceptation de traceurs contribuant à rémunérer son service, soit au paiement d’une somme d’argent, n’est pas interdit par principe puisque cela constitue une alternative au consentement aux traceurs. » La CNIL précise : « Cette contrepartie monétaire ne doit toutefois pas être de nature à priver les internautes d’un véritable choix : on peut ainsi parler de tarif raisonnable. ». La CNIL s’octroie le pouvoir de vérifier que :

• les traceurs génèrent des recettes qui leur sont attribuables, et la formulation laisse penser que ses recettes doivent juste couvrir les coûts de production du service associé ;
• si le prix de l’offre payante est « raisonnable ».

Prudente, elle précise néanmoins : « Il n’appartient pas à la CNIL de fixer un seuil en dessous duquel un tarif peut être considéré comme raisonnable, qui relève d’une analyse au cas par cas. L’éditeur qui souhaite mettre en œuvre un paywall devra être en mesure de justifier du caractère raisonnable de la contrepartie monétaire proposée ». Mais, au fond, c’est bien la CNIL qui déterminera le caractère raisonnable u prix.

Contrôler le prix d’accès à un service n’est nullement prévu par le RGPD, ni dans les pouvoirs que la loi attribue à la CNIL. Nonobstant, la CNIL positionne son intervention comme une autorité de régulation sectorielle à qui est confié le pouvoir de réguler des tarifs.

Dans les secteurs régulés, comme les services postaux, les télécommunications, l’électricité, le transport ferroviaire, etc., les activités dont les tarifs sont régulés relèvent de la qualification de facilités essentielles.

Le pouvoir conféré par la loi aux autorités pour réguler les tarifs est fortement encadré car il s’agît d’une entrave à la liberté d’entreprendre. Supposons alors que la CNIL instruise le caractère raisonnable du prix de l’offre payante d’un site dominant recourant à un mur de traceurs en se référant aux méthodes de fixation des tarifs régulés. Un prix raisonnable correspond alors au coût moyen incrémental de long terme de production et doit assurer la rémunération normale du capital du fournisseur du service. Ce coût incrémental s’évalue à partir d’une comptabilité réglementaire normalisée par l’autorité de régulation. Cette comptabilité est distincte de la comptabilité générale obligatoire, en particulier parce que l’activité soumise au contrôle ne représente pas la totalité des activités ou des revenus des entreprises. Il importe alors d’allouer les coûts entre les activités régulées et celles qui ne le sont pas obligeant l’autorité de contrôle à fixer de clés d’allocation spécifiques.

Comment la CNIL pourrait-elle requérir des sites de fournir les informations justifiant le caractère raisonnable des prix sans fixer au préalable des normes comptables appropriées ? De quels moyens disposera-t-elle ensuite pour contrôler que les prix sont conformes au dispositif comptable qu’elle aura éventuellement élaboré ?

La CNIL pourrait aussi évaluer le caractère raisonnable du prix en se référant de nouveau au droit de la concurrence, soit une évaluation à l’aune de la jurisprudence relevant de l’application de l’article L. 420-2 du code de commerce. Cette jurisprudence implique que le fournisseur dominant apposant un mur de traceurs doit s’assurer que le prix de son offre payante soit en rapport avec la valeur du service rendu, à défaut le prix serait excessif.

Pour un fournisseur, le prix raisonnable est la valeur monétaire que l’internaute attribue à ses données. Plus la réticence à l’acceptation des cookies d’un internaute est forte, plus grande est la valeur de la confidentialité pour cet internaute, et plus grande est la valeur du service garantissant cette confidentialité. La valeur de la confidentialité permet de déterminer le prix raisonnable du service rendu qui n’est donc pas en relation avec le coût du service mais en relation avec la valeur de la confidentialité. Economiquement, un internaute ne peut être exigeant sur la confidentialité de ses données sans accepter de payer le prix qu’il attribue au respect de cette confidentialité. C’est d’ailleurs ainsi que l’offre payante sans traceurs est pleinement substituable à l’offre gratuite avec traceurs. Par exemple,  pour un internaute valorisant la confidentialité de ses données 1 euro par consultation d’un site, le prix raisonnable de la consultation se situe à 1 euro, c’est-à-dire la valeur du service sans cookie.

Toutefois, les internautes sont très hétérogènes quant à la valeur qu’ils accordent à la confidentialité. Quel est le prix raisonnable retenir ? Celui déterminé par le segment de demande très exigeant en confidentialité, donc un prix très élevé, ou par le prix des moins exigeant, donc un prix très bas ? Il importe ici de relever que les décisions d’autorités de concurrence sanctionnant un prix excessif sont rares. En France, une seule décision existe d’une affaire concernant le tarif d’accès à des câbles sous-marins sur l’Île de la Réunion. Dans ce cas, comme dans ceux sanctionnés par la Commission européenne (médicaments, redevance de brevet), les entreprises sanctionnées étaient en situation de monopole de facto : ce qui ne sera pas, voire jamais, une circonstance des cas que devra apprécier la CNIL

Les conséquences économiques de la régulation

Au total, il est de facto impossible pour un fournisseur de savoir s’il existe ou non une alternative équitable à son service, s’il est ou non dominant, s’il est donc dans l’obligation de proposer une offre payante et si le prix de cette offre est raisonnable. En empruntant des notions à des branches de l’économie et du droit de la concurrence auxquelles elle est étrangère, en les utilisant sans le support doctrinal nécessaire, la CNIL provoque une grande insécurité juridique.

L’insécurité juridique coute 3-4 points de PIB selon l’OCDE. Appliqué au secteur de la publicité numérique en France, ces lignes directrices pourraient couter 450 millions d’euros par an.

A travers l’insécurité juridique produit, la CNIL veut-elle dissuader la pratique des murs de traceurs afin que les internautes férus de confidentialité accèdent gratuitement aux services sans fournir leurs données ? En économie, ces internautes sont des « passagers clandestins » : ils veulent bénéficier d’un avantage, l’accès gratuit au service, sans en supporter le coût, l’accès à leurs données. Les internautes moins exigeants sur la confidentialité se sentant lésés deviendront à leur tour des « passagers clandestins ». Victime d’une sorte de « tragédie des communs » les sites n’assureront plus leur équilibre économique. Cela est validé par des études montrant que si refuser les cookies donne accès au même service que les accepter, 80% des internautes refusent leur consentement. Une enquête de Deloitte évalue alors une perte des 2/3 des revenus pour le secteur du numérique. Elle est supérieure à 60% selon une étude menée en 2019 sur les 500 plus grands sites mondiaux d’édition. Cependant, les sites majeurs les plus visités supportent mieux la perte de qualité des données par la quantité de l’audience. Petits acteurs et nouveaux entrants étant plus affectés, cela provoque une concentration de l’offre avec un effet d’éviction et de blocage à l’entrée. Ce n’est pas sans arrière-pensée que les majors du numérique ne s’opposent pas, voire promeuvent, la publicité contextuelle moins gourmande en données individuelles au détriment de la publicité ciblée : la puissance compense la perte de ciblage.

L’abandon de la gratuité sur Internet serait-elle l’issue souhaitable ? Au regard de la propension à payer des internautes à payer, les internautes français devraient débourser près de 5 milliards par an pour accéder aux seuls services les plus populaires de Google et de Facebook et plus d’un quart renonceront à l’usage de ces services.  Que révèlent ces chiffres ? Le modèle gratuit dégage un surplus plus important pour les consommateurs que le modèle payant, ce dont atteste la migration de nombre de sites du gratuit vers le payant. Une politique dans le seul but de satisfaire ce que d’aucuns appellent les quelques « inconditionnels de la privauté » détruit une part substantielle du bien-être commun. La CNIL ne devrait pas l’éluder.

Conclusion

La régulation à la fois stricte et floue des murs de traceurs implique donc que tout fournisseur optant pour un modèle d’affaires avec mur de traceurs se trouve sous la menace de sanction de la CNIL. Cette menace obère le droit des firmes à choisir librement leur modèle économique. Droit au libre consentement versus droit à la libre entreprise : l’équilibre entre les libertés est-il respecté ?

Le RGPD précise : « Le droit à là la protection des données à caractère personnel n’est pas un droit absolu ; il doit […] être mis en balance avec d’autres droits fondamentaux…». La liberté d’entreprendre est un droit fondamental reconnu par l’article 16 de la charte des droits fondamentaux de l’Union européenne. Pour le Conseil constitutionnel la liberté d’entreprendre n’occupe pas un rang subalterne au sein des libertés.

La protection des données constitue une exigence pour la démocratie et l’accès aux données une nécessité pour l’économie numérique, la seconde ne doit pas être le parent pauvre de la régulation.

Consciente de son tropisme porté sur la protection des données, la CNIL tente désormais, avec son plan stratégique 2022-2024, d’endosser un « rôle de régulateur ayant un impact économique ». Pour ce faire a été créée en juin 2023 une équipe d’analyse économique pour réaliser des études d’impact, des analyses sectorielles, des travaux quantitatifs pour éclairer les prises de décision de la CNIL. Un aveu que l’économique n’était pas une grande préoccupation pour la CNIL jusqu’à présent. Va-t-on alors assister à l’appropriation par la CNIL de la régulation économique de tout le numérique justifié par son seul pouvoir de contrôle de la protection des données ? Ne risque-t-on pas d’assister à un phénomène de « competence creep » (ou « grignotage de compétences ») comparable à ce qui a déjà observé dans d’autres contextes ? 

A l’heure où se pose la question de la régulation de l’Intelligence Artificielle et la mise en œuvre prochaine de lA Act européen, il est plus que jamais nécessaire de trouver un équilibre entre protection des données et liberté d’entreprendre. La CNIL n’est pas un régulateur économique. Elle doit veiller à ne pas outrepasser son mandat et se concentrer sur l’édiction d’un cadre clair et équilibré quant à l’utilisation des données par les entreprises. « A chacun selon ses capacités, à chaque capacité selon ses œuvres. » (Saint-Simon).