Affaire T-319/24

Meta Platforms Ireland Ltd

contre

Comité européen de la protection des données

Ordonnance du Tribunal (dixième chambre) du 29 avril 2025

« Recours en annulation – Protection des données à caractère personnel – Avis du Comité européen de la protection des données relatif à la validité du consentement dans le cadre des modèles “consentir ou payer” mis en œuvre par les grandes plateformes en ligne – Article 64, paragraphe 2, du règlement (UE) 2016/679 – Acte non susceptible de recours – Irrecevabilité – Responsabilité – Préjudice – Lien de causalité – Recours manifestement dépourvu de tout fondement en droit »

1. Recours en annulation – Actes susceptibles de recours – Notion – Actes produisant des effets juridiques obligatoires – Avis du Comité européen de la protection des données relatif à la validité du consentement des utilisateurs dans le cadre des modèles « consentir ou payer » mis en œuvre par les grandes plateformes en ligne – Exclusion – Irrecevabilité

   (Art. 263 TFUE)

   (voir points 19-42)

2. Responsabilité non contractuelle – Conditions – Illégalité – Préjudice – Lien de causalité – Absence de l’une des conditions – Rejet du recours en indemnité dans son ensemble

   (Art. 268 et 340, 2e al., TFUE)

   (voir points 47-58)

Résumé

Par son ordonnance, le Tribunal rejette en tant qu’irrecevable le recours en annulation ( 1 ) introduit par Meta Platforms Ireland Ltd (ci-après « Meta ») visant l’avis 8/2024 du Comité européen de la protection des données (ci-après le « CEPD ») relatif à la validité du consentement dans le cadre des modèles « consentir ou payer » mis en œuvre par les grandes plateformes en ligne. Il retient ainsi que cet avis, adopté sur le fondement du règlement général sur la protection des données ( 2 ), n’est pas un acte susceptible de faire l’objet d’un tel recours, en l’absence d’effets juridiques obligatoires à l’égard de tiers. Par ailleurs, le Tribunal rejette comme étant manifestement dépourvu de tout fondement en droit le recours en responsabilité non contractuelle de l’Union européenne ( 3 ) introduit par Meta en vue d’obtenir la réparation du préjudice qu’elle aurait subi du fait de ce même avis.

Le 17 avril 2024, à la demande de trois autorités nationales de contrôle en matière de protection des données à caractère personnel, le CEPD a adopté l’avis 8/2024. Ces autorités souhaitaient savoir dans quelles circonstances et conditions les pratiques mises en œuvre par les grandes plateformes en ligne ( 4 ), consistant à offrir aux utilisateurs le choix entre, d’une part, consentir au traitement de données à caractère personnel à des fins de publicité comportementale et, d’autre part, verser une rémunération pour bénéficier du service sans que leurs données à caractère personnel soient traitées à ces fins (ci-après les « modèles “consentir ou payer” »), pouvaient être considérées comme satisfaisant à l’exigence d’un consentement valide, au sens du RGPD.

Dans l’avis 8/2024, le CEPD précise notamment que, pour être valide, le consentement demandé aux utilisateurs en vue du traitement de leurs données personnelles à des fins de publicité comportementale doit être libre, spécifique, éclairé et univoque, et porter sur des traitements de données effectués dans le respect des principes de nécessité, de proportionnalité, de limitation des finalités, de minimisation des données et de loyauté. Selon cet organisme, le fait qu’une option supplémentaire, gratuite et sans publicité comportementale, assortie, par exemple, d’une forme de publicité impliquant le traitement d’un nombre réduit (ou nul) de données à caractère personnel, soit proposée ou non aux utilisateurs par une grande plateforme en ligne pourrait avoir une incidence considérable sur l’appréciation de la validité de ce consentement. S’agissant de la rémunération réclamée pour la version payante du service, le CEPD indique que le montant ne doit pas être de nature à empêcher les personnes concernées de faire un libre choix et de refuser de donner leur consentement.

Dans ce contexte, Meta demande, d’une part, l’annulation de l’avis 8/2024 et, d’autre part, la réparation du préjudice qu’elle aurait subi du fait de cet avis.

Appréciation du Tribunal

En premier lieu, le Tribunal rappelle que le recours en annulation, prévu à l’article 263 TFUE, est ouvert à l’encontre de tous les actes pris par les institutions, organes ou organismes de l’Union, quelles qu’en soient la nature ou la forme, qui visent à produire des effets juridiques obligatoires.

S’agissant, en l’occurrence, de l’avis 8/2024, le Tribunal estime que son contenu ne permet pas de considérer qu’il est destiné à produire en lui-même des effets juridiques obligatoires. En effet, cet acte fournit une grille d’analyse des modèles « consentir ou payer » des grandes plateformes en ligne au regard des règles énoncées dans le RGPD relatives à la validité du consentement. Dans l’avis 8/2024, le CEPD cible la situation dans laquelle une telle plateforme ne proposerait pas à l’utilisateur une autre option non payante que celle consistant en l’octroi du consentement au traitement de données à caractère personnel à des fins de publicité comportementale. Dans la plupart des cas, cette situation risque d’entraîner l’invalidité d’un tel consentement. Cette appréciation dépend de plusieurs facteurs, dont le caractère important, ou non, du service en question dans la vie sociale ou professionnelle des utilisateurs et le coût de l’option payante. Par ailleurs, les passages de l’avis 8/2024 contenant des formules telles que « devrait » ou « ne devrait pas » apparaissent davantage appeler à une réflexion approfondie sur les autres solutions que chaque grande plateforme en ligne pourrait proposer aux utilisateurs que condamner de façon généralisée le modèle « consentir ou payer » proposé par ces plateformes.

Le Tribunal souligne également que le RGPD ne contient pas de disposition obligeant les autorités de contrôle à « tenir le plus grand compte » d’un avis du CEPD portant sur des questions générales, tel que l’avis 8/2024 ( 5 ). En revanche, une telle obligation ( 6 ) s’applique au profit des avis qui concernent certains types de projets de décisions spécifiques des autorités de contrôle ( 7 ), que ces autorités doivent communiquer au CEPD au cours de la procédure d’adoption de ces décisions. Si elle n’a pas l’intention de suivre, en tout ou partie, de tels avis, l’autorité de contrôle concernée doit en avertir le président du CEPD, ce qui déclenche le processus d’adoption d’une décision contraignante du CEPD ( 8 ). Ce régime n’est pas prévu en ce qui concerne les avis du CEPD sur des questions générales, comme l’avis 8/2024, ceux-ci étant donc des avis auxquels aucune autorité particulière n’est attachée. En effet, ces avis n’ont pas la nature d’un acte en lui-même contraignant, les orientations qu’ils contiennent ne pouvant, eu égard aux pouvoirs du CEPD, le cas échéant, se traduire ultérieurement en tant qu’instructions obligatoires pour des autorités de contrôle que dans une décision contraignante subséquente de celui-ci. Au vu de ce qui précède, le Tribunal conclut que l’avis 8/2024 ne produit pas d’effets juridiques obligatoires à l’égard de tiers, ni, plus particulièrement, à l’égard de Meta.

En effet, d’une part, même si Meta se trouve dans la situation qui fait l’objet de l’avis 8/2024, à défaut d’une analyse complète de son cas effectuée par les autorités de contrôle compétentes, cet avis ne saurait emporter des effets juridiques obligatoires à son égard. D’autre part, l’éventualité d’une décision contraignante ultérieure du CEPD adressée aux autorités de contrôle compétentes qui examineraient le modèle « consentir ou payer » retenu par Meta, reprenant en tout ou en partie la grille d’analyse exposée dans l’avis 8/2024, ne suffit pas pour considérer que ce dernier est d’emblée contraignant. Partant, le Tribunal conclut que cet avis ne constitue pas un acte attaquable par Meta.

Cette conclusion ne constitue pas une atteinte au droit de Meta à une protection juridictionnelle effective ( 9 ), dès lors que l’avis 8/2024 n’emporte pas d’effets juridiques contraignants à son égard. Les considérations qu’il contient ne pourraient directement affecter Meta qui si elles étaient reprises dans une décision d’une autorité de contrôle ou d’une juridiction d’un État membre ou d’un autre État partie à l’accord sur l’Espace économique européen (EEE). Si tel est le cas, ces décisions pourront faire, ou auront fait, l’objet d’une appréciation par une juridiction répondant aux exigences d’une protection juridictionnelle effective.

Ladite conclusion ne saurait non plus être remise en cause par une possible différence entre l’appréciation de cet acte par des juridictions d’États parties à l’accord EEE non membres de l’Union et par des juridictions d’États membres de cette dernière. En effet, une telle éventualité est inhérente au système retenu dans l’accord EEE qui repose sur deux piliers de surveillance et de contrôle juridictionnel, le premier étant applicable aux États membres de l’Union et le second aux autres États parties à cet accord. En ce qui concerne ces derniers, il est notamment stipulé, dans l’accord EEE et dans l’accord entre les États de l’Association européenne de libre-échange (AELE) relatif à l’institution d’une Autorité de surveillance et d’une Cour de justice ( 10 ), que la Cour AELE peut être saisie par une juridiction de ces États pour obtenir un avis pour l’interprétation de ces règles, donc notamment pour l’interprétation du RGPD. La Cour AELE pourrait ainsi indiquer dans quelle mesure elle estime que les considérations figurant dans l’avis 8/2024 sont conformes audit règlement. S’agissant des États membres de l’Union, la Cour pourrait être saisie par une juridiction de ces États pour apprécier la validité de cet avis.

En second lieu, le Tribunal rejette la demande de Meta d’être indemnisée pour le dommage qu’elle aurait subi du fait de l’avis 8/2024, au titre de la responsabilité non contractuelle de l’Union.

Après avoir rappelé les trois conditions cumulatives d’engagement de cette responsabilité, le Tribunal relève que la condition relative à l’existence d’un dommage réel et certain n’est pas satisfaite. S’agissant du préjudice allégué par Meta, qui consiste en la baisse de revenus publicitaires et de revenus d’abonnement résultant de l’« exigence », prétendument prévue par l’avis 8/2024, d’offrir aux utilisateurs une option supplémentaire non payante au choix entre, d’une part, consentir à recevoir de la publicité comportementale et, d’autre part, payer pour pouvoir bénéficier du service concerné sans recevoir ce type de publicité, le Tribunal constate qu’il repose sur une compréhension erronée de cet avis. En effet, l’avis en question ne vise, en substance, qu’à fournir une grille d’analyse des modèles « consentir ou payer » des grandes plateformes en ligne au regard des règles énoncées dans le RGPD relatives à la validité du consentement et n’est pas destiné à produire en lui-même des effets juridiques obligatoires. En outre, le préjudice allégué par Meta repose sur des événements futurs et incertains, l’application par l’autorité de protection des données irlandaise de sa propre initiative de cette grille d’analyse ou l’adoption par le CEPD d’une décision contraignante en la matière n’étant que de simples éventualités.

En ce qui concerne, à titre surabondant, la condition relative au lien de causalité, le Tribunal note qu’aucun lien suffisamment direct de cause à effet ne peut être établi entre l’avis 8/2024 et le préjudice allégué par Meta. En effet, en l’absence d’effets contraignants, cet avis ne saurait être la cause suffisamment directe de l’éventuelle baisse de revenus à laquelle Meta prétend s’attendre. Un tel préjudice pourrait résulter directement d’un comportement volontaire de celle-ci ou d’éventuelles décisions s’imposant à elle, l’amenant à proposer aux utilisateurs une option non payante en plus du choix entre, d’une part, consentir à recevoir de la publicité comportementale et, d’autre part, payer pour pouvoir bénéficier du service concerné sans recevoir ce type de publicité.

( 1 ) Article 263 TFUE.

( 2 ) Article 64, paragraphe 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 3 ) Fondé sur les articles 268 et 340, deuxième alinéa, TFUE.

( 4 ) Règlement (UE) 2022/2065 du Parlement européen et du Conseil, du 19 octobre 2022, relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) (JO 2022, L 277, p. 1). L’article 3, sous i), de ce règlement définit la notion de « plateforme en ligne », tandis que l’article 33, paragraphe 1, de ce même règlement définit la notion de « très grande plateforme en ligne ».

( 5 ) Avis fondé sur l’article 64, paragraphe 2, du RGPD.

( 6 ) Prévue à l’article 64, paragraphe 7, du RGPD.

( 7 ) Avis fondés sur l’article 64, paragraphe 1, du RGPD.

( 8 ) Article 64, paragraphe 8, du RGPD.

( 9 ) Article 47, charte des droits fondamentaux de l’Union européenne.

( 10 ) Article 108, paragraphe 2, de l’accord EEE et article 34 de l’accord entre les États de l’AELE relatif à l’institution d’une Autorité de surveillance et d’une Cour de justice (JO 1994, L 344, p. 1).