Événement « RGPD : quel impact économique ? » : compte-rendu des débats

Afin d’offrir un espace de discussion sur les impacts économiques du RGPD, la CNIL et la Direction générale du Trésor ont organisé le 20 mai 2025 un événement académique international. Il a permis de rassembler des économistes ainsi que des régulateurs français (CNIL) et européens (autorité britannique de protection des données ICO, Commission européenne), contribuant à l’évaluation ex post de la mise en œuvre du règlement général sur la protection des données (RGPD) en utilisant un angle nouveau, plus économique et concret.

Cet évènement a attiré une large audience de professionnels, d’institutionnels et d’académiques. Avec plus de 350 personnes en ligne et une centaine en présentiel, il démontre un fort intérêt des interlocuteurs de la régulation pour ces sujets (voir le document de travail de l’événement en bas de page).

Les intervenants

Ouvert par Marie-Laure DENIS, présidente de la CNIL, et ponctué par trois interventions sur les effets économiques du RGPD (Dorothée ROUZET, cheffe économiste de la Direction générale du Trésor), l’intelligence artificielle (Philippe AGHION, prix Nobel d’économie 2025 et professeur d’économie au Collège de France et à la London School of Economics) et l’économie de la vie privée (Alessandro ACQUISTI, professeur à l’université Carnegie Mellon, États-Unis), l’évènement s’est décliné en deux tables rondes :

Table ronde n°1 - Études d’impact économique et réglementation RGPD, méthodologie et principales leçons

Modération : Tom REYNOLDS, chef économiste de l’ICO - Information Commissioner's Office

• Olivier MICOL, chef de l’unité Protection des données à la Commission européenne (DG JUST C3)
• Klaus MILLER, professeur assistant en marketing à l’École des Hautes études commerciales (HEC) de Paris
• Sam Ruiqing CAO, docteure en économie, professeure assistante de management à l’École d’économie de Stockholm
• Andrea RENDA, directeur de recherche au CEPS (Center for European Policy Studies - Centre d’études de la politique européenne) à Bruxelles et professeur à l’Institut européen universitaire de Florence.

Table ronde n°2 - Impact du RGPD sur l’innovation, la concurrence, la confiance et aspects d’interrégulation

Modération : Bertrand du Marais, Conseiller d’État, membre du Collège de la CNIL

• Nicholas MARTIN, docteur en sciences politiques, chercheur à l’Institut Fraunhofer, Allemagne
• Christian REIMSBACH-KOUNATZE, économiste de l'information à l’OCDE (Organisation de coopération et de développement économiques)
• Patrick WAELBROECK, professeur d’économie industrielle à Télécom Paris
• Aymeric PONTVIANNE, chef de la mission analyse économique, CNIL.

Grazia CECERE, professeure d’économie à l’Institut Mines Télécom - Business School, a animé l’évènement et a également contribué à sa préparation aux côtés des équipes de la CNIL.

Études d’impact économique et droits fondamentaux

L’allocution d’ouverture de Marie-Laure DENIS a d’abord mis l’accent sur l’intérêt du sujet pour les économistes et les régulateurs, puisque sept ans après l’entrée en vigueur du RGPD, les études d’impact économique de cette réglementation font l’objet d’une littérature désormais nourrie. Il revenait à la CNIL, première autorité de protection des données en Europe continentale à s’être dotée d’une équipe d’économistes, de prendre l’initiative de cet événement.

Marie-Laure DENIS a également rappelé que la Commission européenne a récemment fait une proposition législative de simplification ciblée du RGPD. L’objectif de la journée n’était certes pas de discuter de propositions de révision du RGPD, car les études montrent que la question est complexe, incomplètement éclairée, et qu’une grande prudence s’impose. Toutefois, ce débat académique avait pour vertu de permettre à chacun de commencer à se faire sa propre opinion à ce sujet.

Le RGPD protège les droits fondamentaux, mais a aussi un objectif économique : supporter la libre circulation des données personnelles au sein du marché unique européen et contribuer à l’intégration économique des pays de l’Union européenne. Le RGPD soutient donc bien le développement d’un marché européen par une utilisation des données plus respectueuse de nos libertés. Ces études d’impact économique, de par leur complexité et leurs enjeux, ont un fort intérêt pour les économistes, mais aussi les autorités de protection des données, puisque leurs actions peuvent avoir des effets économiques dont elles doivent être conscientes, sans pour autant être des régulateurs de marché à proprement parler.

L’objectif des autorités est aussi d’apporter de la sécurité juridique, de détecter les conséquences inattendues de leurs actions et ultimement, d’orienter les marchés de sorte que les préférences pour la vie privée des consommateurs puissent s’exprimer.

Si la littérature économique s’est intéressée au sujet, elle reste orientée vers les coûts de la conformité pour les entreprises. Pourtant, il apparaît indispensable de comparer les coûts aux bénéfices (pour l’entreprise, pour le citoyen) pour obtenir une évaluation complète. Il reste un effort de recherche et d’évaluation à mener pour avoir une vue complète de l’ensemble des effets économiques du RGPD, comme l’explique d’ailleurs l’économiste Garrett JOHNSON.

Ces considérations amènent également à considérer une analyse plus complexe et nuancée que le discours parfois entendu. Il ne s’agit pas d’opposer régulation et progrès économique mais de comprendre comment la protection des droits fondamentaux accroît le bien-être économique de l’ensemble de la société et comment ces phénomènes peuvent être modélisés.

Des effets économiques pour le marché

Dans le même esprit, l’intervention de Dorothée ROUZET sur l’évaluation économique du RGPD, un objet important pour l’analyse économique des politiques publiques, montre que ce dernier n’a pas vocation à discriminer les acteurs économiques. Elle identifie trois canaux de transmission des effets économiques du RGPD : le bien-être et la sensibilisation du consommateur, la structuration de marchés de données et l’impact sur l’innovation.

Son intervention fait à son tour valoir que, même si les bénéfices directs du RGPD ne sont pas toujours directement visibles et que les coûts sont eux plus facilement quantifiables, il faut s’intéresser aux deux effets. L’estimation des effets sur le bien-être des personnes est sans doute un exercice ardu, puisqu’il est difficile, mais intéressant, de comparer des services monétaires à des considérations non monétaires. D’ailleurs, l’essentiel des contributions à ce sujet sont théoriques mais la communauté a besoin d’avoir plus d’évaluation empirique.

Dorothée ROUZET rappelle également que la protection des choix des consommateurs donne une autre justification économique au RGPD. En effet, il peut être difficile pour un consommateur de valoriser ses données. Dans le contexte du numérique et des grandes plateformes, il apparaît nécessaire de les protéger afin d’inciter à des comportements respectueux de la vie privée, permettant de contrôler ses données (le droit à la portabilité ou le droit d’opposition par exemple). De plus, les modèles d’affaires des entreprises du numérique peuvent conduire à des effets sur la structure du marché, telle qu’une position dominante. Or, plus des données sont collectées par une entreprise, plus elles peuvent avoir des effets sur les consommateurs. En ce sens, la vie privée est un paramètre de concurrence pour les plateformes numérique.

Le RGPD peut donc jouer un rôle pour augmenter la contestabilité d’un marché. D’ailleurs, le cas Apple ATT montre que la protection des données ne peut servir de justification pour des pratiques anti-concurrentielles, a fortiori en l’état de la coopération entre les autorités de protection des données et de concurrence. Les sanctions existent et peuvent être importantes. Il est donc nécessaire, lors d’une analyse des effets économiques du RGPD, de considérer la proportionnalité de la sanction dans son ensemble.

Le RGPD n’a pas pour autant abouti à la création d’un marché des données en Europe, ce n’était pas son objet, même si la présence d’importantes externalités négatives, un obstacle familier pour l’économiste, pouvait plaider pour cela. Il aura fallu l’intervention d’autres textes comme le règlement sur la gouvernance des données (Data Governance Act – DGA), mais l’impact sur la confiance peut favoriser le partage des données. Toutefois, l’analyse des effets du RGPD et de son apport à l’ouverture du marché de l’Union européenne, un autre objectif économique de ce texte, reste une question ouverte.

Enfin, les effets du RGPD sur l’innovation sont multiples et loin d’être dans un seul sens. Les données sont devenues un élément clé pour l’innovation : base de données pour les modèles d’IA, utilisation des données personnelles pour de nouveaux cas d’usage. Toutefois, leurs emplois peuvent parfois poser question, comme dans le cas de grands services numériques dominants. Il est important à cet égard de s’interroger sur l’effectivité de la réglementation, afin de rester aligné avec l’égalité concurrentielle entre tous les acteurs.

Mesurer l’ampleur des différentiels entre des entreprises aux capacités différentes pour se conformer à la réglementation est également un sujet important pour de nombreux secteurs, pour permettre de favoriser une logique d’innovation qui soit conforme au RGPD dès la conception. C’est cette catégorie d’innovations qui permettra d’améliorer la confiance des utilisateurs.

Une méthodologie en construction

Les débats de la première table ronde sur les études d’impact économique et leurs méthodologies ont mis en exergue l’importance du temps pour estimer les effets sur plusieurs groupes hétérogènes. Il faut donc des sources de données pertinentes et nombreuses. Une des solutions pourrait être de faire des études très ciblées, mais cela limite la portée de l’analyse. Il faut aussi pouvoir discerner les effets de court terme et ceux de long terme.

Pour Andrea RENDA, la littérature actuelle nous permet de découvrir à quel point l’économie de la donnée est vraiment complexe. Le cadre néo-classique n’est peut-être pas le mieux adapté pour cet exercice. Il fallait également, comme cela avait déjà été dit, se défier de « l’effet réverbère » qui consiste à ne prendre en compte que ce qu’on a éclairé ou mesuré et à ignorer le reste.

Il existe aussi une réflexion sur l’adaptation du RGPD aux évolutions économiques, comme en était d’accord Olivier MICOL. En la matière, la Commission européenne reste active. La difficulté de ce type d’évaluation réside dans le maintien de la prédictibilité et la cohérence de la réglementation. Il faut aussi tenir compte des autres régulations, afin de déterminer les effets réels du RGPD.

Klaus MILLER a présenté ses travaux académiques sur l’impact du RGPD sur le traçage en ligne et l’utilisation d’Internet. Ils suivent une logique complémentaire, un impact négatif sur le trafic représente un coût pour les entreprises et une réduction du traçage en ligne représente un gain en vie privée pour les individus concernés.

La méthodologie consiste en une observation d’un groupe dit « traitement soumis au RGPD » et un groupe dit « contrôle non traité » qui sert de contrefactuel. Un problème est la détermination du groupe contrôle du fait du champ territorial du RGPD. Un autre problème est que les données de traçage en ligne sont également soumises au consentement, il faut donc s’assurer que la source des données ne soit pas affectée elle-même par le RGPD.

Si les solutions méthodologiques pour réaliser ces évaluations ne sont pas faciles, certaines sont plus efficaces que d’autres, notamment les méthodes qui permettent d’étudier les pertes pour les entreprises, plutôt qu’une mesure plus difficile mais utile des bénéfices.

L’effet dynamique du RGPD est également difficile à aborder. La plupart des études se concentrent sur son effet court terme puisque l’effet à long terme du RGPD est plus difficile à isoler. Pourtant on peut s’attendre à ce que les entreprises s’adaptent à long terme à la réglementation, via des innovations facilitant la mise en conformité ou selon le niveau observé d’application effective du RGPD.

Il y a également un vrai défi dans la différenciation méthodologique des grandes et des plus petites entreprises, puisque les données pertinentes sur les plus petites entreprises sont la plupart du temps indisponibles. Se pose aussi la question de l’observation des données d’entreprises présentes dans différents pays. La qualité des données elle-même peut être très variable en fonction des critères recherchés. On peut aussi noter un effet différencié selon les secteurs, ceux déjà soumis à des régulations fortes (le secteur bancaire par exemple) ont eu moins de difficultés à se mettre en conformité, ce qui limite l’impact du RGPD sur les coûts.

Même si les échantillons peuvent parfois être petits, il est possible de montrer qu’après le RGPD des impacts économiques variés ont eu lieu, mais qu’aucun n’a eu d’effets substantiels négatifs durables sur le marché. Ces impacts sont très hétérogènes selon les sites concernés, ce qui suggère un changement d'attitude des usagers qui concentrent leur activité en ligne et le partage de leurs données sur un nombre plus réduit de sites web auxquels ils font confiance.

Sam Ruiqing CAO a trouvé dans ses recherches que les entreprises davantage exposées au RGPD, aux États-Unis, ont constaté une plus grande hausse de leurs résultats d’exploitation. Une explication potentielle est la rationalisation du traitement de données et une meilleure valorisation des données détenues par les entreprises. Les difficultés méthodologiques concernent la disponibilité des données et les questions d’échantillonnage. Une solution pourrait être la standardisation des mesures utilisées.

Impact du RGPD et régulation de l’IA : regards croisés

Phillipe AGHION est intervenu sur le thème de l’IA et de sa régulation. Il y a des débats sur l’impact économique que pourrait avoir l’IA. Certains économistes comme Daron ACEMOGLU sont plutôt sceptiques sur la croissance économique que pourrait engendrer l’IA. Mais ces estimations sont plutôt à considérer comme des minorants. Ainsi, en extrapolant l’impact qu’ont eu d’autres innovations à l’origine de révolutions industrielles comme l’électricité, on trouve un impact fortement positif de l’IA sur la croissance. Également, l’IA pourrait permettre une accélération du rythme d’innovation en automatisant la création d’idées nouvelles.

D’autres papiers montrent que l’IA aura des effets positifs sur la productivité et sur l’emploi également. Il n’y a pas de crainte à avoir pour les emplois, même si les conditions de concurrence entre travailleurs et certains types d’emploi pourraient être touchés. C’est notamment le cas dans les secteurs de l’informatique et des technologies du numérique, puisque cette révolution est poussée par les géants du numérique. Les principaux obstacles au développement de l’IA sont d’ailleurs le manque de concurrence et l’accès à la puissance de calcul : la régulation a donc un rôle positif à jouer.

S’agissant des données, Philippe AGHION citait Jean TIROLE qui faisait valoir qu’une réglementation contraignant le stockage et l’utilisation des données favorisait les grands acteurs et la collecte interne en raison des rendements croissants en la matière. Pour autant, en exempter les PME ne serait pas optimal et il valait mieux uniformiser la mise en œuvre, en aidant les PME à s’adapter. Un autre enjeu était l’inégale répartition des données le long de la chaîne de valeur, un enjeu concurrentiel également. Les grands acteurs n’étaient pas enclins à partager leurs données, si bien que ces comportements d’accumulation des données posaient problème pour l’IA, d’où l’importance de la portabilité pour réduire ces avantages.

Le RGPD permet une régulation plutôt ex-post. Pourtant, certains pays comme la France ont fait le choix d’une régulation ex-ante en matière de données de santé. Philippe AGHION, en faveur de plus d’harmonisation du marché intérieur, renvoie à ce sujet à son rapport de 2024 sur l’IA générative. Dans cette perspective, les données et la façon dont on pourra les utiliser sont cruciales pour l’IA, ce qui créé des enjeux en matière de données personnelles en lien à la fois avec le RGPD et le Règlement IA.

Quels impacts du RGPD sur l’innovation, la concurrence, la confiance ?

La deuxième table ronde a mis en évidence l’importance du RGPD pour la confiance. Celle-ci est nécessaire à l’adoption des innovations, notamment lorsqu’elles concernent des transactions monétaires. Pour Patrick WAELBROECK, les consommateurs ne sont pas capables de connaître tous les risques qu’ils peuvent encourir. Il y a une asymétrie d’information entre les entreprises et les consommateurs vis-à-vis de l’utilisation de leurs données. La présence d’institutions fortes, notamment du point de vue, des sanctions est donc primordiale. D’ailleurs, des sanctions élevées, plus dissuasives, devraient être privilégiées.

Malgré tout, la mesure de ces impacts demeure difficile pour les chercheurs comme pour les entreprises. Pour mener cet exercice, ces dernières doivent être capables de comprendre comment les données sont utilisées. Cela engendre des coûts, mais cela leur donne l’opportunité de construire une gouvernance des données plus complète. Si elles y arrivent, l’impact à long terme peut être positif. En effet, les coûts de mise en conformité existent, notamment en tant que coût fixe ponctuel.

Nicholas MARTIN rappelle que le RGPD réduit l’accès aux données des usagers, si bien qu’empiriquement, on discerne un léger impact négatif à court terme sur l’innovation qui est compensé ensuite par le développement majeur du secteur des technologies émergentes de protection de la vie privé (Privacy Enhancing Technologies - PETs). Elles peuvent permettre à terme de faciliter la mise en conformité au RGPD.

Le RGPD permet donc un déplacement de l’innovation au profit de ses formes les moins risquées pour la société et peut avoir un effet bénéfique pour les individus, en favorisant les innovations les plus respectueuses de la vie privée.

Un point d’inquiétude à l’échelle de l’UE est cependant que ce secteur des PETs s’est principalement développé aux États-Unis, ce qui est un indicateur d’un problème plus global d’innovation dans l’UE qui dépasse le simple cadre du RGPD. Les PETs sont encore en plein développement mais leur adoption s’est faite à un rythme relativement lent ce qui est potentiellement indicateur d’une défaillance de marché, car ces solutions permettraient pourtant des gains de bien-être aux consommateurs. La demande est encore assez limitée, ce qui plaide pour des incitations réglementaires fortes.

Pour Christian REIMSBACH-KOUNATZE, les données peuvent agir comme une barrière à l’entrée permettant corrélativement de maximiser la confiance des usagers. Il faut donc que la littérature prenne en compte l’importance de l’utilité. Elle doit également s’interroger sur le succès relatif de la portabilité, un outil stimulant la concurrence. D’ailleurs, le lien entre la concurrence et la vie privée est un sujet important, comme l’est la coopération entre ces différentes autorités.

Aymeric PONTVIANNE présente les travaux communs entre l’Autorité de la concurrence française et la CNIL. Les deux autorités font dialoguer leurs concepts respectifs et coopèrent sur des sujets communs pour bénéficier de leurs expertises mutuelles et aboutir à une régulation de meilleure qualité, qui maximise à la fois la protection de la vie privée et la concurrence. L’enjeu n’est pas tant de réduire les tensions que de maximiser les synergies, en apportant de la sécurité juridique au marché.

C’est notamment parce qu’il s’agit de l’économie du numérique avec les mêmes acteurs dominants dans la plupart des secteurs concernés, qu’il faut s’interroger sur la provenance et l’utilisation des données. Certains modèles d’affaires peuvent inciter à l’obtention illégale de données personnelles. Si un acteur obtient illégalement des données, cela lui permet d’obtenir une position concurrentielle avantageuse qui facilite l'obtention d’une plus grande quantité de données, et ainsi de suite. Il est important pour les deux autorités de coopérer pour briser cette logique.

Patrick WAELBROECK rappelle que ce problème se retrouve aujourd’hui dans le domaine de l’IA. La façon dont les entreprises collectent et utilisent les données risque de leur procurer un avantage compétitif important, en renchérissant le coût pour les concurrents. Cela pose aussi la question de la réutilisation des données pour l’entraînement de l’IA, qui peut être plus avantageuse pour des acteurs disposant déjà d’importantes quantités de données.

Aspects internationaux

Marie-Laure DENIS a rappelé dans son intervention que les effets internationaux du RGPD (l’« effet Bruxelles ») étaient une illustration de l’exportation d’un standard européen vers le reste du monde, plutôt qu’un désavantage concurrentiel pour les acteurs européens. En ce sens, le RGPD allait dans le sens de l’égalité concurrentielle tout en concourant à créer un standard mondial pour la protection des droits fondamentaux.

Il était également erroné de considérer le RGPD comme une barrière non-tarifaire aux échanges internationaux, comme l’a également évoqué Dorothée ROUZET dans son intervention. Le RGPD favorise le transfert international de données, via de nombreux outils, et son impact favorable sur la confiance du consommateur bénéficie également au commerce des services, et donc aux pays fortement spécialisés dans ces secteurs. C’est ce que soulignent les travaux récents des organisations internationales comme l’OCDE (organisation de coopération et de développement économiques) et l’OMC (organisation mondiale du commerce).

Quelle évolution pour la recherche en économie de la vie privée ?

La dernière intervention d’Alessandro ACQUISTI a permis de remettre en perspective historique le conflit supposé entre la valorisation économique de la donnée et le respect de la vie privée. Alessandro ACQUISTI y voit l’ombre de l’école de Chicago (Posner), qui a des profondes conséquences sur les études d’impact du RGPD. Cet héritage s’exprime par un certain scepticisme vis-à-vis de l’intervention du gouvernement dans la régulation du marché et une vision assez monétaire de la vie privée (préférences révélées) qui tend à sous-estimer son importance pour les individus. La vie privée est notamment perçue par Posner comme un frein à la circulation de l’information sur le marché, par exemple sur le marché du travail, ce qui serait un vecteur d’inefficacité. Il y a pour le moment peu de recherche sur les bénéfices de l’utilisation de la donnée, bien que la redistribution puisse se faire au détriment du consommateur, via des prix personnalisés par exemple.

Finalement, Alessandro ACQUISTI, pour conclure l’après-midi, remet en cause la vision fréquente qu’il faudrait mettre en balance l’efficacité économique et le respect de la vie privée. Les coûts liés au non-respect de la vie privée peuvent être catastrophiques dans certaines circonstances. Par exemple le génocide du peuple Rohingya au Myanmar a été en partie causé par la promotion de contenus incitant à la haine par les algorithmes d’un réseau social, algorithmes entraînés avec des données personnelles indiquant que ce type de contenus suscite de l’engagement. Par ailleurs, les gains liés à la circulation de la donnée sont finalement assez peu étudiés, l’impact du RGPD a été assez limité sur le contenu des médias, les applications mobiles, et l’effet sur la concentration des marchés semble être un phénomène court terme comme l’illustrent des publications en cours avec V. Lefrère et C. Cheyre.

Ces gains économiques au partage de la donnée semblent donc limités, outre qu’ils profiteraient principalement aux entreprises plus qu’aux consommateurs. Enfin, l’existence même d’une incompatibilité entre partage de la donnée et vie privée est remise en question par le développement des PETs comme la confidentialité différentielle, qui garantit la vie privée des personnes concernées en dégradant de façon marginale la valeur des données.

La prise en compte et la bonne articulation avec les autres régulations est fondamentale, notamment la protection de la concurrence et des consommateurs.

Il faut donc adopter une perspective sur l’économie de la vie privée dépassant les cadres théoriques trop étroits pour un cadre microéconomique plus étendu à la Jack Hirshleifer. Ceci une fois posé, il reste encore de nombreuses inconnues vis-à-vis de l’impact du RGPD. La façon dont nous comprenons les arbitrages entre différents objectifs est à parfaire. Les coûts à court terme du RGPD sont connus mais son impact long terme est inconnu, comme le sont les conséquences économiques réelles du partage de donnée ainsi que les bénéfices pour les individus. Ce partage n’aboutit-il pas à des préjudices pour eux (extraction de surplus via des prix personnalisés, par exemple) ?

La recherche est encore embryonnaire sur ces domaines mais ce sont les prochains sujets d’intérêt pour obtenir une vision globale de l’impact économique du RGPD.