Mettre en place des modèles d’abonnement purs et des paywalls de cookies sur les sites Web conformément aux réglementations sur la protection des données

De nombreux sites Web, en particulier ceux à contenu journalistique et éditorial, offrent aux utilisateurs le choix d’accéder gratuitement au contenu de la page et de permettre en retour un suivi approfondi du comportement de navigation, ou d’être exemptés d’analyse Web moyennant des frais. L’option d’un consentement de suivi obligatoire d’une part et d’une visite de page payante sans suivi d’autre part est qualifiée de «modèle d’abonnement pur» ou de «cookie paywall» et a été controversée en termes de loi sur la protection des données pour un longue durée. L’article suivant montre comment il doit être évalué selon le RGPD et quelles exigences doivent être respectées pour une mise en œuvre conforme à la protection des données.

I. Modèles d’abonnement Pur : frais d’autodétermination informationnelle

Les modèles de pur-abonnement, également connus sous le nom de “cookie paywalls”, sont un instrument populaire, en particulier sur les sites Web des agences de presse et les sites Web à contenu journalistique, afin de générer des revenus supplémentaires du point de vue de la vie privée et de récompenser le travail journalistique. des auteurs qui publient. Cependant, ils se répandent également sur les blogs et les sites qui servent principalement à transmettre des connaissances.

Les modèles d’abonnement purs donnent à l’utilisateur le choix entre une utilisation gratuite du site avec une analyse Web approfondie et une navigation payante sans analyse du comportement d’utilisation.

A cet effet, une bannière est régulièrement placée avant l’appel de la page, ce qui oblige l’utilisateur à prendre une décision en matière de protection des données : soit utilisation gratuite du site avec consentement simultané obligatoire aux mesures de suivi, soit abonnement payant pour une navigation sans suivi, etc. confidentialité:

(Ceux : Zeit.de)

Le nom “modèle d’abonnement pur” vient du second, c’est-à-dire l’alternative payante sous renonciation au suivi et traite du fait que l’utilisateur doit alternativement utiliser le site Web avec une analyse Web approfondie ou sans suivi, c’est-à-dire “pur”, dans l’abonnement payant à pouvoir utiliser.

II. Conformité à la protection des données des modèles d’abonnement purs

Dans le passé, les modèles d’abonnement purs sur les sites Web ont fait l’objet de discussions controversées quant à leur admissibilité en vertu de la loi sur la protection des données, car en particulier la nature volontaire du consentement au suivi requis pour une utilisation gratuite du site Web était en cause.

Les autorités de protection des données individuelles ont fait valoir que le suivi souhaité du site Web en lisant et en stockant des informations (par exemple des cookies) sur les appareils des utilisateurs en “mode libre” n’est autorisé qu’avec un consentement exprès (conformément à l’article 25 TTDSG). Cependant, la condition préalable décisive à l’efficacité d’un tel consentement de suivi est son caractère volontaire et donc la possibilité pour l’utilisateur de l’accorder ou de le refuser à volonté, article 4 n° 11 en liaison avec les considérants 32, 43 DSGVO.

Or, si l’utilisateur d’une offre internet est désormais contraint de donner son consentement à l’utilisation gratuite du site et que la seule alternative qui s’offre à lui est le paiement d’une redevance, ce caractère volontaire n’est pas suffisamment affirmé. Au contraire, l’exercice du droit à l’autodétermination informationnelle dépend de la volonté subjective de payer et de la capacité objective de payer.

Suis Cependant, le 22 mars 2023, la conférence sur la protection des données des autorités fédérales et étatiques de protection des données (DSK) s’est positionnée et les modèles d’abonnement purs déclarés sont autorisés en vertu de la loi sur la protection des données conformément à certaines exigences en matière de protection des données.

Ces exigences, qui doivent être remplies pour le fonctionnement conforme à la protection des données d’un modèle d’abonnement pur, sont présentées ci-dessous.

III. Conditions préalables pour les modèles d’abonnement pur conformes à la protection des données

De l’avis du DSK, les modèles d’abonnement purs ou les cookies payants utilisés comme synonymes sont généralement autorisés en vertu de la loi sur la protection des données.

Les fournisseurs de sites Web peuvent donc baser le suivi du comportement des utilisateurs sur un consentement obligatoire lors de l’accès à la page s’ils proposent alternativement un modèle sans suivi payant.

Cependant, il faut s’assurer que les conditions suivantes sont remplies :

1.) Équivalence

Le service que les utilisateurs reçoivent dans le modèle pur, c’est-à-dire en payant la redevance sans suivi, doit être une alternative équivalente au service gratuit avec consentement de suivi obligatoire.

Il est décisif à cet égard qu’au moins le même contenu puisse être consulté avec une utilisation payante qu’avec une utilisation gratuite avec autorisation de suivi.

Un modèle d’abonnement pur est donc inadmissible si le contenu des pages proposées dans le modèle payant sans suivi est inférieur à ce qui est proposé dans le modèle avec consentement au suivi obligatoire.

2.) Connaissance du consentement au suivi

Afin de pouvoir être obtenu efficacement et ainsi pouvoir servir de justification pour le suivi dans le modèle de page gratuite, le consentement doit être transparent et compréhensible et doit expliquer tous les traitements de données qui doivent être justifiés par le consentement.

Les références à la déclaration de protection des données, dans laquelle les mesures de suivi individuelles sont ensuite expliquées plus en détail en termes de portée, de finalités et de personnes impliquées dans le traitement, sont suffisantes.

3.) Granularité du consentement/interdiction du consentement général

La « granularité » du consentement exigée par le DSK est probablement la condition de recevabilité la plus importante, qui établit en même temps une restriction importante quant à la portée du consentement obligatoire au suivi dans le modèle libre.

Selon cela, dans le cas d’offres d’abonnement pures, il est inadmissible de concevoir le consentement obligatoire comme un consentement général à toutes les fins de traitement.

Au contraire, si plusieurs finalités de traitement sensiblement différentes se rejoignent, l’utilisateur doit avoir la possibilité de sélectionner activement et volontairement les finalités pour lesquelles il souhaite donner son consentement via l’opt-in.

Le consentement ne peut être obligatoire que pour une seule finalité de traitement.

Il serait donc inadmissible d’exiger un consentement général pour l’analyse du comportement des utilisateurs basée sur les cookies d’une part et l’envoi de newsletters d’autre part comme condition obligatoire pour une utilisation gratuite du site.

De même, le consentement au suivi basé sur les cookies ne doit pas être combiné avec le consentement aux notifications push.

Le DSK n’a pas suffisamment décidé dans quelle mesure la granularité doit également être garantie pour l’analyse Web, c’est-à-dire le suivi des visiteurs lui-même.

On peut donc se demander si le domaine du “suivi du comportement de navigation” peut être couvert par un consentement obligatoire, ou si à cet égard il doit également être décomposé en différentes finalités de traitement, dont une seule peut être précisée et les autres doit pouvoir être sélectionné volontairement.

Il est au moins concevable et évident que

• la mesure basée sur les cookies du succès des publicités à des fins statistiques,
• suivi des conversions pour suivre les actions des utilisateurs après avoir cliqué sur une publicité et
• la création de profils d’utilisation pseudonymisés sur les intérêts, les activités, la localisation et les caractéristiques démographiques pour une meilleure mesure statistique du succès

servent la même finalité de traitement.

D’autre part, une autre finalité de traitement, qui ne devrait pas être incluse dans le consentement général et réglementée séparément via un opt-in volontaire, devrait être d’afficher des profils d’utilisateurs pseudonymisés pour afficher des publicités basées sur les centres d’intérêt sur vous-même ou sur des sites Web tiers. (ce que l’on appelle le “remarketing/retargeting”). Le but ici est le traitement des données pour monétiser les intérêts de promotion des ventes des annonceurs tiers et non le traitement pour optimiser la (propre) publicité

4.) Uniquement les opérations de stockage et de lecture requises en mode pur

Enfin, pour qu’un modèle d’abonnement pur soit exploité dans le respect des règles de protection des données, il est impératif de s’assurer que dans le modèle payant sans accord de suivi, les informations ne sont lues et stockées sur l’appareil final utilisé que si cela est nécessaire pour le fonctionnement du site Web et la fourniture des fonctions essentielles de la page est absolument nécessaire.

Aucune mesure de suivi (caché) ne peut donc avoir lieu sans consentement (alors volontaire obligatoire), car d’autre part la relation alternative entre une offre gratuite avec suivi et une offre payante avec protection contre le suivi serait en fait dévaluée.

IV.Conclusion

Les modèles d’abonnement purs ou les cookies payants sont des conceptions sur des sites Web où l’utilisateur peut choisir entre un modèle d’utilisation gratuit et un modèle d’utilisation payant. Un consentement de suivi obligatoire est lié à l’utilisation gratuite, tandis que la version payante se passe de processus de stockage et de lecture à des fins d’analyse.

Auparavant controversé en termes de loi sur la protection des données, le DSK a maintenant publié des exigences qui doivent être remplies pour que les modèles d’abonnement pur soient exploités conformément à la loi sur la protection des données.

La nécessaire granularité du consentement est ici particulièrement remarquable. Dans le modèle gratuit, aucun consentement général ne peut être obtenu pour toutes les finalités de traitement liées à la publicité, mais une seule finalité doit être définie comme nécessitant un consentement obligatoire. Le traitement à d’autres fins (en plus du suivi pour l’analyse Web, comme l’envoi de newsletters, de notifications push ou de reciblage) doit rester volontaire.

Astuce: Avez-vous des questions sur la contribution ? N’hésitez pas à en discuter avec nous dans le
Groupe d’entrepreneurs du cabinet d’avocats IT sur Facebook.