2024
Affaire IAB EUROPE : La CJUE répond aux questions préjudicielles
La Cour de justice de l’Union européenne s’est prononcée aujourd’hui dans l’affaire qui oppose l’Autorité de protection des données à IAB EUROPE.
Dans sa décision, elle juge, comme l’a soutenu l’APD dans sa décision 21/2022, qu’une chaîne de caractères structurée traduisant les préférences des internautes comme la TC string de IAB EUROPE peut bien être considérée comme une donnée personnelle, et que IAB EUROPE peut être qualifiée de responsable (conjointe) du traitement des préférences des utilisateurs pour la publicité en ligne.
Affaire IAB EUROPE - Contexte
Le 2 février 2022, l’APD publiait une décision concernant le TCF (Transparency and Consent Framework) de IAB EUROPE, un mécanisme répandu qui facilite la gestion des préférences des utilisateurs pour la publicité personnalisée en ligne, et qui joue un rôle central dans ce qu'on appelle le Real Time Bidding (RTB). Le RTB est un écosystème qui permet l'envoi de publicités personnalisées.
L’APD y infligeait à l’entreprise une amende de 250.000 € et lui donnait deux mois pour présenter un plan d'action visant à mettre ses activités en conformité. La décision avait été avalisée par l’ensemble des autorités de protection des données concernées dans l’UE, via le mécanisme du « guichet unique » ("one-stop-shop").
IAB EUROPE avait alors fait appel de la décision devant la Cour des marchés (Cour d’appel de Bruxelles). Avant de se prononcer, la Cour des marchés a décidé de poser deux questions préjudicielles à la Cour de justice de l’Union européenne.
Les questions portaient sur le statut de responsable du traitement (conjoint) d’une « organisation sectorielle de standardisation » comme IAB EUROPE, et si une chaîne de caractères numériques traduisant les préférences des utilisateurs (telle que la « TC String ») pouvait être considérée comme une donnée personnelle. Les questions exactes peuvent être lues plus en détails sur le site de la CJUE.
Réitérant sa position, l’APD a plaidé devant la CJUE que la TC String constitue une donnée personnelle, notamment car sa raison d’être vise à relier des préférences en matière de publicité à un individu spécifique. Dans sa plaidoirie, l’APD a également considéré qu’IAB EUROPE était responsable (conjoint) du traitement dans le cadre du TCF, étant donné que cette organisation sectorielle détermine les finalités et les moyens du traitement. IAB EUROPE joue un rôle clé dans l'écosystème de la publicité personnalisée en ligne.
La CJUE a fourni des réponses à ces questions aujourd’hui.
Décision de la CJUE
Concernant la question visant à déterminer si la TC String doit être considérée comme une donnée personnelle, la CJUE indique dans son arrêt qu’une chaîne de caractères structurée captant les préférences d’un utilisateur constitue une donnée à caractère personnel — c’est-à-dire une donnée qui porte sur un utilisateur identifié ou identifiable — à l’égard d’une organisation sectorielle standardisant et prescrivant les modalités pour générer cette chaîne de caractères, même si cette organisation sectorielle n’a pas accès à cette chaîne de caractères.
Concernant la question visant à déterminer si un organisme sectoriel standardisant et prescrivant les modalités de captation et de transmission des préférences d’utilisateurs peut être considéré comme un responsable à l’égard des traitements opérés conformément à ces modalités, la CJUE estime dans son arrêt qu’une telle organisation sectorielle peut être qualifiée de responsable pour le traitement de préférences, vu que cette organisation paraît influer sur les opérations de traitement des données lors de l’enregistrement des préférences en matière de consentement des utilisateurs dans une TC String, et déterminer, conjointement avec ses membres, tant les finalités de ces opérations que les moyens à l’origine desdites opérations.
L'APD doit maintenant analyser l'arrêt plus en détail afin de mieux en cerner les éventuelles conséquences sur l’affaire IAB EUROPE.
Hielke Hijmans, Président de la Chambre Contentieuse de l’APD : « Nous accueillons positivement l’interprétation de la CJUE, qui confirme notre point de vue qu’une chaine de caractères structurée captant les préférences des utilisateurs est une donnée personnelle, et qu’une organisation sectorielle de standardisation comme IAB EUROPE revêt la qualité de responsable (conjoint) pour le traitement de cette donnée personnelle. En clarifiant ainsi des concepts-clés du RGPD, cet arrêt aura un impact positif sur toutes les personnes concernées dans l’Union européenne. La procédure devant la Cour des marchés belge peut se poursuivre. »
L‘arrêt de la CJUE est disponible ici.
Un communiqué de la CJUE sur cet arrêt est disponible ici.
Prochaine étape
Sur la base des réponses fournies à ses questions par la CJUE, la Cour des marchés devra maintenant statuer sur l’appel introduit par l’entreprise IAB EUROPE, ainsi que par les plaignants dans l’affaire.
Ligne du temps de l'affaire IAB EUROPE
2022
- Le 2 février 2022, la Chambre Contentieuse de l’APD publie la décision 21/2022 concernant IAB EUROPE, elle y impose notamment un plan d’action de conformité
- IAB EUROPE fait appel de la décision
- Le 7 septembre 2022, la Cour des marchés pose des questions préjudicielles à la CJUE
2023
- Le 11 janvier 2023, la Chambre Contentieuse approuve le plan d’action de IAB EUROPE
- IAB EUROPE ainsi que les plaignants dans le dossier IAB EUROPE font appel de la décision de la Chambre Contentieuse d’approuver le plan d’action de IAB EUROPE
- Le 21 septembre 2023 a lieu l’audition devant la CJUE
7 mars 2024
- La CJUE se prononce dans l’affaire via son arrêt C-604/22