La cour d'appel belge de Marktenhof a Transparence- et le système de gestion des consentements (Transparency & Consent Framework, TCF) de l'association professionnelle de la publicité en ligne IAB Europe a été déclaré illégal. Cette décision fait suite à une décision de l'autorité belge de protection des données, la GBA (Gegevensbeschermingsautoriteit). Ce jugement devrait avoir des répercussions au sein de l'UE sur la trackingbasé sur Publicité ont.
" TC String " enfreint le RGPD
Dans sa décision n° 21/2022 du 2 février 2022, l'autorité belge de protection des données (GBA) a déclaré que le TCF (version 2.0) développé par IAB Europe enfreignait des règles essentielles de la RGPD de l'UE. La "chaîne TC" était au centre de l'affaire. Il s'agit d'une chaîne de caractères structurée qui permet de définir les préférences des utilisateurs pour des services personnalisés. Publicité sont stockées. L'ACC a considéré que TC String était une donnée à caractère personnel et que IAB Europe était (conjointement) Responsable . Elle a infligé une amende de 250 000 euros et a fixé un délai de deux mois pour un RGPDplan d'action conforme à [...].
Cette décision a été prise dans le cadre du Guichet unique- Cette décision a été prise dans le cadre d'une procédure menée avec le soutien d'autres autorités de surveillance européennes et revêtait une importance à l'échelle européenne.
L'IAB Europe a fait appel de la décision de l'ACC.
Décision du TCF devant la cour d'appel
Dans une décision provisoire (“ tussenarrest ”), la cour d'appel compétente “ Marktenhof ” de Bruxelles a dans un premier temps confirmé la recevabilité formelle de l'appel interjeté par IAB Europe. Aucune décision sur le fond n'avait toutefois encore été rendue à ce stade.
Le tribunal de Marktenhof a dans un premier temps suspendu la procédure et a posé deux questions préjudicielles à la Cour de justice de l’Union européenne (CJUE) conformément à l’article 267 du TFUE. D'une part, la cour d'appel a demandé si ce que l'on appelle le „ TC String “ – c'est-à-dire une chaîne de caractères structurée permettant d'enregistrer les consentements et les refus des utilisateurs – pouvait être considéré comme données à caractère personnel au sens de l'article 4, point 1 RGPD doit être classée comme telle. D'autre part, la Cour de Marché a voulu clarifier si une organisation comme IAB Europe, qui standardise et prescrit un cadre technique pour la gestion du consentement, peut être considérée comme un responsable (commun) au sens de l'article 4, point 7, de la directive. RGPD bien qu'elle n'ait aucun contrôle direct sur les processus de traitement concrets.
Ce projet vise à garantir la sécurité juridique pour les autorités nationales de contrôle de la protection des données et les acteurs du marché. Le régime juridique applicable à ces cadres sectoriels n'a jusqu'à présent pas été clarifié de manière définitive, ni au niveau européen, ni par la jurisprudence.
La CJUE se prononce sur TC String et la responsabilité de l'IAB Europe
Dans un arrêt rendu en mars 2024, la CJUE s'est prononcée sur les deux questions qui lui avaient été soumises par le Marktenhof concernant la qualification, au regard de la protection des données, de la chaîne « TC » ainsi que la responsabilité éventuelle de l'IAB Europe.
Chaînes TC en tant que données à caractère personnel
Dans un premier temps, la CJUE a précisé que TC Strings données à caractère personnel au sens de l'article 4, point 1 RGPD de l'information. Ce qui est déterminant à cet égard, c'est que cette chaîne de caractères, qui n'est techniquement qu'une information de préférence codée, peut être modifiée en la combinant avec d'autres données telles que la Adresse IPL'utilisateur peut être mis en relation avec un utilisateur déterminé ou au moins identifiable grâce à l'identifiant du cookie ou aux informations relatives à l'appareil. Elle remplit donc les critères d'identifiabilité. Cette interprétation correspond à une définition large des données à caractère personnel, qui englobe également les informations pseudonymes et les informations transmises par des moyens techniques.
IAB Europe en tant que responsable (commun)
En outre, la CJUE a décidé qu'une organisation sectorielle comme IAB Europe pouvait être considérée comme responsable (conjoint) au sens de l'article 4, point 7, de la directive. RGPD peut être considérée comme une organisation. La Cour a souligné qu'il n'était pas nécessaire que l'organisation elle-même soit directement responsable pour être considérée comme telle. données à caractère personnel ne sont pas traités. Ce qui est déterminant, c'est de savoir s'ils ont été définis par des moyens et des fins de Traitement exerce une influence déterminante sur les opérations de traitement des données.
C'est le cas puisque l'IAB Europe, en concevant, normalisant et imposant le Consent Framework, a établi les paramètres de base pour la Traitement des chaînes de TC. En outre, elle coordonne l'interaction entre de nombreux acteurs du marché et joue ainsi un rôle de direction et de structuration dans l'ensemble de l'écosystème. Le fait que l'IAB Europe ne fournisse pas elle-même de contenus publicitaires ou ne crée pas de profils d'utilisateurs individuels n'est pas déterminant pour la responsabilité en matière de protection des données.
Importance de l'arrêt de la CJCE
Cette décision de principe a des répercussions directes sur tous les acteurs du marché de la publicité numérique ainsi que sur d'autres secteurs dans lesquels s'appliquent des normes techniques communes à l'ensemble de la branche en matière de traitement des données, telles que le TCF. L'arrêt souligne notamment que la responsabilité juridique ne peut être déléguée ni réduite à la neutralité technique lorsqu'une institution intervient de manière centrale dans un système relevant de la protection des données.
IAB Europe, en tant que responsable conjoint du TCF
Confirmation de l'interprétation du droit matériel
Sur la base de l'arrêt de la CJCE, la Cour de justice des Communautés européennes a statué que décision définitive sur l'appel de l'IAB Europe. Bien que la décision n° 21/2022 de l'ACS ait été formellement annulé pour vice de procédure, cependant :
- Toutes les appréciations de droit matériel de la GBA ont-elles été confirmées ?.
- Le site Amende de 250 000 euros reste en vigueur.
- La Cour a réaffirmé que la Chaînes TC données à caractère personnel sont représentés.
- IAB Europe continuera à agir en tant que responsable commun pour les Traitement des préférences des utilisateurs dans le cadre du TCF.
Clarification sur le composant OpenRTB
Cependant, la Cour des marchés a également précisé que IAB Europe n'est pas considérée comme (co)responsable des traitements qui s'effectuent exclusivement dans le cadre du protocole OpenRTB. Cela permet de créer une Délimitation entre le cadre de normalisation du TCF et la mise en œuvre pratique des différentes actions publicitaires en temps réel a été effectuée.
Conseil de lecture : La CJUE renforce la transparence : les agences de renseignements doivent divulguer leurs processus décisionnels
Décision de la GDA concernant le TCF ayant des répercussions sur les enchères en temps réel
La décision a plusieurs implications fondamentales pour le secteur de l'AdTech et pour les organismes de normalisation sectoriels :
- TC Strings comme données à caractère personnel: Les acteurs du marché doivent à l'avenir faire entrer ces données dans le champ de protection des RGPD et de mettre en place des Bases juridiques et prévoir des mesures de protection.
- Responsabilité des organisations sectorielles : Les organisations telles que l'IAB Europe, qui établissent des normes et des règles techniques, peuvent être considérées comme responsables au sens de la législation sur la protection des données, même si elles n'ont pas directement accès aux données à caractère personnel ni ne les utilisent.
- Clarté sur la répartition des rôles : Le fait qu'IAB Europe décline toute responsabilité concernant les processus OpenRTB indique que l'accent est mis sur les domaines d'influence organisationnels, et non sur la transmission technique en soi.
Même si la procédure initiale du GBA a été annulée en raison de vices de forme, la Cour de justice confirme en fin de compte, partage entièrement l'avis juridique de la GBA et de la CJUE. Si d'autres autorités européennes de protection des données suivent cet arrêt, cela pourrait avoir des conséquences sur la diffusion de messages personnalisés. Publicité et le système inter-appareils Suivi En effet, c'est surtout le "Real-Time Bidding" (RTB), dans lequel les annonces publicitaires sont mises aux enchères en temps réel, qui est concerné.
Le fait que les TC Strings données à caractère personnel et dont la collecte et la transmission dans le cadre du TCF sont assurées par un organisme de contrôle. responsabilité partagée suggère que de nombreux acteurs de la RTB doivent réévaluer leurs rôles en matière de protection des données et leurs processus techniques. Les questions relatives à l'efficacité du consentement sont particulièrement importantes, Affectation des fonds, Transparence et de minimisation lors de la mise aux enchères automatisée d'espaces publicitaires. L'arrêt devrait donc indirectement conduire à une réforme ou du moins à une adaptation profonde des processus RTB, tant sur le plan technique qu'organisationnel.
La GBA a déjà annoncé qu'elle analyserait en détail les motifs du jugement.
German 
English 
Italian 
French