Service numérique contre données : qualifier l'offre

Un service numérique sans prix à payer peut relever des protections du Code de la consommation lorsque son modèle prévoit une autre contrepartie, notamment l’utilisation des données du consommateur. L’éditeur ne peut donc pas répondre « c’est gratuit » pour écarter toute obligation de fourniture, de conformité ou de traitement des réclamations.

Deux analyses restent toutefois distinctes : les règles applicables au contrat et la licéité de chaque traitement de données. Reconnaître une contrepartie contractuelle ne signifie ni que les données deviennent un bien librement cessible, ni que leur exploitation est autorisée par le RGPD. Le présent guide vise les offres destinées aux consommateurs ; il aide à qualifier l’offre et à traiter un recours sans inventer un prix des données.

Deux champs légaux à examiner séparément

L. 224-25-2 vise les contrats de fourniture de contenus ou services numériques dans lesquels le consommateur paie un prix ou procure un autre avantage, à la place du prix ou en complément. Ce texte ne se limite donc pas à la présence d’une facture. Son champ doit être rapproché des exclusions de L. 224-25-3. Sources : L. 224-25-2 et L. 224-25-3.

Pour les contrats à distance et hors établissement, L. 221-1, III ajoute les contrats numériques pour lesquels le consommateur fournit ou s’engage à fournir des données personnelles. Il réserve le cas où elles sont exclusivement traitées pour fournir le contenu ou le service, ou satisfaire les obligations légales du professionnel. Source : L. 221-1, III.

Cette réserve n’est pas une dispense de RGPD. Elle ne doit pas non plus être recopiée comme si elle figurait identiquement dans L. 224-25-2. Pour chaque régime, identifiez son propre texte, son champ et ses exclusions.

Exemple : une adresse utilisée uniquement pour ouvrir un compte et rétablir son accès ne démontre pas, à elle seule, une exploitation commerciale des données. Si le même compte alimente aussi des profils publicitaires individualisés, l’affirmation « usage exclusivement nécessaire au fonctionnement » doit être réexaminée. Le nom du champ dans la base ne change pas ses usages effectifs.

Décrire l’avantage sans employer une formule vide

Une qualification utile précise ce que reçoit l’utilisateur et ce que l’entreprise obtient en contrepartie. « Service contre données » reste trop vague pour choisir les informations contractuelles. Décrivez les catégories de données, les finalités, les destinataires et les opérations utiles au modèle économique.

Les offres mixtes méritent des fiches différentes. Une formule payante ne devient pas licite en matière de données parce que l’utilisateur paie ; une formule sans prix ne devient pas dépourvue de droits parce que l’éditeur la finance autrement.

Les exclusions restent importantes : les soins de santé, certaines communications électroniques et les services financiers suivent des cadres spécifiques. L. 224-25-3 prévoit aussi une exclusion précise pour certains logiciels libres et ouverts, sans prix, lorsque les données fournies servent exclusivement à améliorer leur sécurité, compatibilité ou interopérabilité. Ce n’est pas une exemption générale de tous les logiciels gratuits. Source : L. 224-25-3, II.

Rendre l’offre compréhensible avant l’inscription

L. 224-25-5 impose notamment d’indiquer la nature de l’avantage consenti, la durée et les conditions contractuelles, les niveaux minimaux de qualité proposés ou leur absence, ainsi que les informations prévues sur les données et les mesures de sécurité. Il organise aussi la remise des informations sur support durable ou, lorsque cette remise est impossible, dans le document téléchargeable décrit par le texte. Source : L. 224-25-5.

Une mention « inscription gratuite » ne dispense pas de cette présentation. Indiquez ce que l’accès comprend réellement : stockage, synchronisation, durée, export ou assistance, selon l’offre. Ne promettez pas un export intégral si seules certaines données peuvent être récupérées.

Rapprochez cette description des mentions RGPD dans les conditions de vente. La notice de confidentialité et le contrat répondent à des obligations différentes, mais ils doivent décrire les mêmes opérations. Une condition annonçant « aucune transmission » ne peut coexister avec un fonctionnement prévoyant la communication des profils à des partenaires.

La remise du contrat doit conserver la version acceptée et les informations applicables. Une trace « CGU acceptées » sans contenu rattaché ne permet pas d’expliquer la contrepartie annoncée au moment de l’inscription.

Le contrat ne fournit pas une base légale universelle

L’Art. 6(1)(b) du RGPD exige que le traitement soit nécessaire à l’exécution du contrat. Écrire une exploitation commerciale dans les CGU ne suffit pas à établir cette nécessité. L’Art. 7(4) impose, pour apprécier la liberté du consentement, de tenir particulièrement compte du conditionnement du service à un traitement qui n’est pas nécessaire au contrat. Sources : RGPD, Art. 6(1)(b) et Art. 7(4).

Travaillez finalité par finalité avec le choix de la base légale. Le traitement permettant de conserver un document dans le compte et celui servant à analyser les intérêts publicitaires ne doivent pas recevoir une justification unique par commodité.

Lorsque le consentement est retenu, la demande doit être distincte des autres questions, démontrable et compréhensible. Son retrait doit rester possible à tout moment et aussi simple que son expression. Une clause « consentement irrévocable pendant la durée du service » ne répond pas à ces exigences. Source : RGPD, Art. 7(1) à Art. 7(3).

L’information indique notamment les finalités, bases légales, destinataires, durées ou critères de conservation et droits. La simple connaissance de l’existence d’une contrepartie ne remplace pas les informations de l’Art. 13. Source : RGPD, Art. 13(1) et Art. 13(2).

Un recours concret alors que le prix payé est nul

Dossier fictif. Plume Locale propose à des particuliers un espace continu de rédaction de fiches de lecture, sans prix monétaire. Son contrat prévoit l’exploitation commerciale d’un profil de centres d’intérêt établi à partir des usages. Cette hypothèse permet d’examiner le recours contractuel ; elle ne vaut pas validation de la licéité de ce modèle publicitaire, qui exige l’analyse distincte exposée ci-dessus.

L’offre promet l’enregistrement et la récupération des fiches créées par l’utilisateur. Le 4 octobre, Ana constate que huit de ses douze fiches restent consultables, mais que quatre sont inaccessibles. Le 5 octobre, elle demande la mise en conformité. Le professionnel confirme le défaut et refuse toute correction en invoquant l’absence de paiement. Le 6 octobre, elle demande la résolution du contrat.

Le refus ne devient pas justifié par l’absence de facture. L. 224-25-18 prévoit une mise en conformité sans frais, sans retard injustifié et sans inconvénient majeur. L. 224-25-20 ouvre notamment la résolution lorsque le professionnel refuse toute mise en conformité. Sources : L. 224-25-18 et L. 224-25-20.

Le dernier alinéa de L. 224-25-20 exclut la résolution pour un défaut mineur, à démontrer par le professionnel, mais précise que cette restriction ne s’applique pas aux contrats sans paiement d’un prix. Il ne faut donc pas opposer automatiquement « seulement quatre fiches » à Ana. Cela ne signifie pas qu’un simple mécontentement non qualifié permettrait toujours une résolution : il faut établir le défaut et la situation légale ouvrant le recours.

Résoudre ne signifie pas seulement fermer le compte

Dans ce dossier, le support enregistre la résolution et coordonne la suite. Il ne verse pas une prétendue valeur marchande des données calculée sans fondement, et ne facture pas rétroactivement les mois gratuits. Les restitutions réellement dues doivent être identifiées selon L. 224-25-22 ; les sommes ou avantages concernés suivent les conditions de remboursement de L. 224-25-23. Sources : L. 224-25-22 et L. 224-25-23.

Le texte distingue les contenus autres que les données personnelles et ces dernières. Il prévoit la récupération de certains contenus fournis ou créés par le consommateur, sans frais, dans un délai raisonnable et dans un format courant lisible par machine, sous les exceptions qu’il énonce. Les obligations RGPD demeurent applicables aux données personnelles.

Pour Ana, le professionnel prépare la récupération des fiches encore disponibles et poursuit la recherche des quatre autres. Il indique leur état réel au lieu de présenter un export de huit fiches comme complet. Une impossibilité de récupération doit être expliquée ; elle ne transforme pas rétroactivement le service défaillant en service conforme et n’écarte pas, par elle-même, les autres recours.

La fermeture du compte ne doit pas rendre impossible une récupération légalement due. Les usages du profil et les demandes éventuelles d’effacement sont examinés selon leurs finalités et fondements. « Restituer les données » ne consiste pas à envoyer une copie puis à continuer tous les usages commerciaux sans autre examen.

Ne pas confondre défaut RGPD et défaut contractuel

L. 224-25-15 assimile un manquement aux obligations de protection des données à un défaut de conformité lorsqu’il entraîne le non-respect d’un ou plusieurs critères de conformité de la section. Ce lien doit être caractérisé. Toute irrégularité RGPD n’est pas automatiquement une non-conformité contractuelle au sens de ce texte. Source : L. 224-25-15.

Dans Plume Locale, le recours décrit repose déjà sur les fiches indisponibles et le refus de correction. Il n’est pas nécessaire d’inventer en plus une violation du RGPD pour reconnaître cette difficulté. Si une promesse de confidentialité est aussi violée, documentez les faits et leur incidence distinctement.

De même, la modification ultérieure du service numérique ne se règle pas seulement en changeant les CGU. Et l’accès immédiat à un contenu numérique demande de distinguer les contrats payants et non payants : leurs conditions de perte du droit de rétractation ne se recopient pas sans examen.

Ce qu’il faut retenir

• L’absence de prix ne supprime pas les protections contractuelles.
• Examinez séparément L. 224-25-2 et L. 221-1, III.
• Une contrepartie décrite n’autorise pas tous les traitements.
• Organisez conformité, récupération et sortie même sans facture.

FAQ

Une adresse de connexion est-elle forcément une contrepartie commerciale ?

Non. Regardez les usages réels, l’offre et l’avantage procuré. Le traitement exclusivement nécessaire à la fourniture appelle une analyse différente de l’exploitation publicitaire.

Peut-on refuser une réclamation parce que le client n’a rien payé ?

Pas lorsque le contrat relève des protections examinées. Le défaut, la mise en conformité et les conditions du recours doivent être analysés ; le montant nul n’éteint pas ces obligations.

Le retrait du consentement et la résolution sont-ils la même démarche ?

Non. Le premier relève du traitement fondé sur ce consentement ; la seconde concerne le contrat. Il faut traiter chaque demande selon son objet, sans exiger une renonciation aux droits RGPD pour examiner le recours contractuel.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.