« Consentir ou payer » : les paywalls cookies sont-ils légaux au regard du RGPD ?

Un modèle « consentir ou payer » (consent or pay), parfois appelé paywall cookies, offre aux visiteurs deux façons d’accéder au site : accepter le suivi à des fins de publicité personnalisée, ou payer pour y accéder sans ce suivi. Il n’est pas purement et simplement interdit dans l’UE ni au Royaume-Uni, mais il n’est licite que si le refus du consentement n’entraîne aucun préjudice injustifié. En pratique, cela suppose un prix équitable, une option payante réellement équivalente et, pour les plus grandes plateformes, généralement aussi une option gratuite sans publicité comportementale.

Qu’est-ce qu’un modèle « consentir ou payer » ?

Un modèle « consentir ou payer » remplace les boutons habituels « Accepter » et « Refuser » par un choix entre accepter le suivi et payer. Les visiteurs qui acceptent accèdent au site gratuit, financé par la publicité. Ceux qui paient y accèdent sans publicité personnalisée, et généralement sans le suivi qui la rend possible.

Il se distingue d’un simple cookie wall, où refuser le consentement revient à perdre tout accès. Avec le modèle « consentir ou payer », le refus a un prix au lieu de mener à une impasse. Les éditeurs ont adopté ce modèle à mesure que les taux de consentement baissaient et que les revenus publicitaires issus des utilisateurs non consentants diminuaient, et les grandes plateformes ont suivi.

Que dit le droit de l’UE ?

Le point de départ est la définition du consentement dans le RGPD : il doit être libre. Selon l’article 7(4), pour déterminer si le consentement est libre, les autorités examinent si l’accès à un service est subordonné au consentement à un traitement qui n’est pas nécessaire à ce service. Un modèle qui pénalise le refus ne satisfait pas à ce critère. Pour la liste complète des conditions, voir la checklist du consentement valable.

En 2023, la Cour de justice de l’Union européenne (CJUE) a abordé la question de manière indirecte dans l’arrêt Meta Platforms v Bundeskartellamt (C-252/21). Elle a jugé que les utilisateurs qui refusent un traitement de données particulier, non nécessaire à l’exécution du contrat, devraient se voir proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente sans ce traitement. L’expression « contre une rémunération appropriée » est devenue le point d’ancrage juridique du modèle « consentir ou payer ».

Le Comité européen de la protection des données (CEPD) en a ensuite restreint la portée. Son avis 08/2024, adopté en avril 2024, indique que les grandes plateformes en ligne ne pourront pas, dans la plupart des cas, obtenir un consentement valable si elles ne proposent aux utilisateurs qu’un choix binaire entre consentir et payer. Il les encourage à proposer aussi une alternative gratuite sans publicité comportementale, comme une version avec des publicités contextuelles ou moins personnalisées. L’avis vise spécifiquement les grandes plateformes en ligne : il ne tranche donc pas directement le cas des sites plus modestes, mais les autorités nationales le lisent attentivement.

Comment les autorités l’ont-elles appliqué ?

Les autorités ont adopté une approche au cas par cas, avec des critères globalement similaires. Ce tableau résume les principales positions.

Autorité	Position	Critères clés
CJUE (2023)	Une alternative équivalente peut être proposée contre une rémunération appropriée	Équivalence, rémunération appropriée
CEPD (2024)	Un choix binaire entre consentir et payer ne suffit généralement pas pour les grandes plateformes	Déséquilibre des forces, préjudice, alternative gratuite sans publicité comportementale
CNIL, France (2022)	Les cookie walls sont évalués au cas par cas	Une alternative réelle et équitable, et un prix raisonnable
ICO, Royaume-Uni (2025)	Le modèle « consentir ou payer » peut être licite s’il remplit les conditions	Déséquilibre des forces, équivalence, rémunération appropriée, protection de la vie privée dès la conception
Commission européenne (2025)	Le modèle de Meta a enfreint le Digital Markets Act	Une alternative moins personnalisée mais équivalente pour les utilisateurs qui refusent

La décision de la Commission contre Meta a été prise au titre du Digital Markets Act, qui ne s’applique qu’aux contrôleurs d’accès désignés, et non au titre du RGPD. Elle montre néanmoins le raisonnement des autorités : en avril 2025, la Commission a infligé à Meta une amende de 200 millions d’euros pour n’avoir offert aux utilisateurs européens de Facebook et d’Instagram qu’un choix entre consentir à la publicité personnalisée et payer un abonnement.

Un éditeur plus modeste peut-il utiliser le modèle « consentir ou payer » ?

Souvent, oui, si le dispositif est équitable. Les préoccupations liées au déséquilibre des forces qui pèsent sur les grandes plateformes sont moins fortes pour un site d’information ou un éditeur de niche dont les utilisateurs peuvent facilement aller ailleurs. Les autorités examineront tout de même les détails : vérifiez donc les points suivants.

1. Le prix est raisonnable. Fixez-le en fonction des revenus publicitaires générés par un utilisateur type et des prix de services similaires, et non dans un but dissuasif. Consignez la manière dont vous êtes parvenu à ce montant.
2. L’option payante est équivalente. Les abonnés doivent bénéficier du même contenu et des mêmes fonctionnalités essentielles que les utilisateurs qui consentent, sans le suivi.
3. L’option payante est réellement exempte de suivi. Vérifiez que les balises publicitaires et de suivi s’arrêtent vraiment pour les abonnés. Une offre payante qui charge encore des pixels publicitaires est pire que l’absence d’offre payante.
4. Le consentement reste granulaire. Accepter l’option gratuite ne doit pas regrouper toutes les finalités. Les utilisateurs doivent toujours pouvoir choisir parmi les finalités non essentielles lorsque c’est raisonnablement possible.
5. Le choix est loyal. Présentez les deux options de manière neutre, sans les dark patterns que traquent les autorités, comme dissimuler l’option payante ou la faire passer pour la mauvaise réponse.
6. Le retrait fonctionne toujours. Les utilisateurs qui ont accepté doivent pouvoir retirer leur consentement aussi facilement qu’ils l’ont donné. Voir comment permettre aux visiteurs de retirer leur consentement aux cookies.
7. Les enfants font l’objet d’un traitement particulier. Si des enfants sont susceptibles d’utiliser votre service, redoublez de prudence ; les recommandations de l’ICO considèrent ce cas comme un scénario à risque plus élevé.

Consignez votre raisonnement sur chaque point. Si une autorité vous interroge, vous devrez démontrer pourquoi le consentement obtenu via ce dispositif était libre.

Qu’est-ce que cela implique pour le bandeau lui-même ?

Un bandeau « consentir ou payer » doit toujours satisfaire à toutes les autres exigences du consentement : une information claire, un acte positif, aucune case précochée et un moyen de changer d’avis par la suite. Il remplace simplement « Refuser » par « S’abonner » ou « Se connecter » comme alternative à l’acceptation.

Sur le plan technique, trois états comptent : les visiteurs qui consentent, les abonnés et les visiteurs qui n’ont pas encore choisi. Votre couche de consentement doit savoir lequel s’applique à chaque page vue, afin que les balises ne se déclenchent que pour les visiteurs qui consentent et que les abonnés soient reconnus avant le chargement de tout script publicitaire.

En résumé

Le modèle « consentir ou payer » peut être licite dans l’UE et au Royaume-Uni, mais seulement lorsque refuser le suivi est un choix équitable et non une sanction. Fixez un prix raisonnable, faites de l’option payante une alternative réellement équivalente et sans suivi, préservez la granularité du consentement et documentez les raisons pour lesquelles votre modèle tient. Les grandes plateformes sont soumises à une exigence plus élevée et doivent s’attendre à proposer aussi une option gratuite sans publicité comportementale. Des outils comme Cookiesh peuvent prendre en charge le volet technique, en bloquant les balises publicitaires jusqu’au consentement et en conservant une trace du choix de chaque visiteur.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.