La Cour administrative fédérale autrichienne (BVwG) a confirmé une décision antérieure de l'Autorité autrichienne de protection des données (DSB) selon laquelle le journal autrichien DerStandard avait violé le GDPR en introduisant le système "Pay or Okay". L'ORD et la Cour ont tous deux estimé que les utilisateurs doivent être en mesure de consentir ou de s'opposer de manière sélective à chaque finalité de traitement. Cette affaire sera probablement portée devant la Cour administrative suprême autrichienne, voire devant la Cour de justice.
- Contexte des plaintes
- rapport "Pay or Okay" de noyb sur l'économie de la publicité en ligne
- fAQ de noyb sur "Pay or Okay" (payer ou accepter)
Contexte. DerStandard est le principal journal libéral d'Autriche et a été le premier site web à introduire une approche dite "payez ou acceptez" lors de l'entrée en vigueur du GDPR. Au lieu de donner aux utilisateurs un "véritable" choix entre l'acceptation et le refus du suivi en ligne par des centaines de tiers, il leur a demandé de consentir ou de payer un abonnement mensuel, dont le prix est actuellement de 9,90 euros.
Des taux de consentement extrêmes. Dans le même temps, seuls 1 à 7 % des utilisateurs acceptent d'être suivis à des fins de publicité en ligne si on le leur demande ouvertement. En revanche, l'option "pay or okay" permet à 99,9 % des utilisateurs d'accepter le suivi en ligne. Si plus de 90 % des utilisateurs n'obtiennent pas ce qu'ils veulent vraiment, nous avons tout sauf un choix "authentique".
Max Schrems : "Nous ne sauverons pas le journalisme en ligne avec quelques centimes par mois et des utilisateurs par le biais de Google Ads. En même temps, le "pay or okay" sape un pilier essentiel du GDPR - le consentement librement donné. Au lieu d'un véritable choix des utilisateurs, nous obtenons avec ce système un taux de consentement nord-coréen de 99,9 %. Ni DerStandard, ni les autorités ne peuvent expliquer comment ils veulent contenir cette faveur purement politique aux médias d'information - nous voyons déjà qu'Instagram et Facebook adoptent la même approche et font maintenant payer les droits fondamentaux."
La décision de l'ORD. Dans une décision plus politique que juridiquel'autorité autrichienne de protection des données (DSB) a estimé qu'il n'y avait pas de problème général avec le "pay or okay" - ignorant le fait qu'il y a un taux de consentement de 99,9%. Dans le même temps, l'ORD a estimé que l'approche de DerStandard en matière de "pay or okay" était illégale car elle ne permettait qu'un consentement ou un rejet global, alors que la loi exige la possibilité de consentir à des types de traitement spécifiques. DerStandard a fait appel et a fait valoir qu'un tel consentement "granulaire" n'était pas possible dans un système "pay or okay", puisqu'il exigeait par exemple un suivi et des statistiques pour vendre sa publicité dans la version non payante.
Max Schrems : "La décision de l'ORD de 2023 était purement politique : ils ne veulent pas toucher aux médias d'information, alors que sur d'autres pages, même un simple bouton gris dans une bannière de cookies a été jugé illégal. Au lieu de critiquer l'approche globale et de dire que des taux de consentement de 99,9 % montrent que le consentement n'a pas été "donné librement", ils ont fini par toucher à des questions mineures. Ce que nous avons ici, c'est un pur "faux choix" que personne ne veut ou n'utilise, juste pour prétendre que les utilisateurs ont une option."
La décision de la Cour. La Cour administrative fédérale autrichienne (BVwG) a confirmé la décision de l'ORD selon laquelle DerStandard n'avait pas obtenu de consentement valable, rejetant ainsi l'appel interjeté par le journal. Dans le même temps, elle a autorisé un recours devant la Cour administrative suprême (VwGH), étant donné que la question est nouvelle et n'a pas encore été tranchée par les cours suprêmes. Il est très probable que la Cour administrative suprême renvoie cette affaire devant la Cour de justice de l'Union européenne (CJUE).
Max Schrems : "La décision de l'Autorité de protection des données a simplement été confirmée, sachant que l'affaire sera très probablement portée devant la Cour administrative suprême. Je suppose que toutes les personnes concernées savent que l'affaire "Pay or Okay" devra être portée devant la CJUE"
Pas d'abus de droit. DerStandard a également tenté de s'appuyer sur une décision belge affirmant qu'un "cas modèle" présenté par une ONG constituerait un "abus de droit" et serait donc irrecevable. Cette décision aberrante de la Belgique a été rejetée par le tribunal autrichien, qui a jugé, conformément à toutes les autres jurisprudences en Autriche et en Allemagne, que les "cas types" sont admissibles et légaux.
Max Schrems : "Nous avons été surpris qu'un journal tente de discréditer soudainement le travail des ONG devant les tribunaux. Nous sommes heureux de voir que la Cour a rejeté de telles idées. La décision belge reste une opinion aberrante en Europe."
