{"id":37847,"date":"2025-05-16T13:25:51","date_gmt":"2025-05-16T13:25:51","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37847"},"modified":"2025-06-02T07:45:07","modified_gmt":"2025-06-02T07:45:07","slug":"transparency-consent-framework-tcf-non-conforme-a-la-dsgvo-real-time-bidding-avant-arret","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2025\/05\/16\/transparency-consent-framework-tcf-nicht-dsgvo-konform-real-time-bidding-vor-aus\/","title":{"rendered":"Transparency & Consent Framework (TCF) non conforme au RGPD : le Real-Time Bidding sur le point de dispara\u00eetre ?"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La cour d'appel belge Marktenhof a d\u00e9clar\u00e9 ill\u00e9gal le syst\u00e8me de gestion de la transparence et du consentement (Transparency & Consent Framework, TCF) de l'association professionnelle de la publicit\u00e9 en ligne IAB Europe. Elle suit ainsi une d\u00e9cision de l'autorit\u00e9 belge de protection des donn\u00e9es GBA (Gegevensbeschermingsautoriteit). Le jugement devrait avoir un impact sur la publicit\u00e9 bas\u00e9e sur le tracking dans l'UE.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

\"TC String\" enfreint le RGPD<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans sa d\u00e9cision n\u00b0 21\/2022 du 2 f\u00e9vrier 2022, l'autorit\u00e9 belge de protection des donn\u00e9es (GBA) a d\u00e9clar\u00e9 qu'IAB Europe avait enfreint des dispositions essentielles du RGPD avec le TCF (version 2.0) qu'elle avait d\u00e9velopp\u00e9. Le point central \u00e9tait ce que l'on appelle la \"TC String\". Il s'agit d'une cha\u00eene de caract\u00e8res structur\u00e9e qui permet d'enregistrer les pr\u00e9f\u00e9rences des utilisateurs en mati\u00e8re de publicit\u00e9 personnalis\u00e9e. L'ACC a consid\u00e9r\u00e9 que la cha\u00eene TC \u00e9tait une donn\u00e9e \u00e0 caract\u00e8re personnel et que l'IAB Europe \u00e9tait (conjointement) responsable. Elle a inflig\u00e9 une amende de 250.000 euros et a fix\u00e9 un d\u00e9lai de deux mois pour un plan d'action conforme au RGPD.<\/p>

La d\u00e9cision a \u00e9t\u00e9 prise dans le cadre de la proc\u00e9dure de guichet unique, avec l'aide d'autres autorit\u00e9s de surveillance europ\u00e9ennes, et a eu une port\u00e9e paneurop\u00e9enne.<\/p>

L'IAB Europe a fait appel de la d\u00e9cision de l'ACC.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

D\u00e9cision du TCF devant la cour d'appel<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans une d\u00e9cision interm\u00e9diaire (\"tussenarrest\"), la cour d'appel comp\u00e9tente \"Marktenhof\" \u00e0 Bruxelles a d'abord confirm\u00e9 la recevabilit\u00e9 formelle de l'appel d'IAB Europe. Une d\u00e9cision sur le fond n'a cependant pas encore \u00e9t\u00e9 prise \u00e0 ce moment-l\u00e0.<\/p>

La Cour de march\u00e9 a tout d'abord suspendu la proc\u00e9dure et a pos\u00e9 deux questions pr\u00e9judicielles \u00e0 la Cour de justice des Communaut\u00e9s europ\u00e9ennes (CJCE) en vertu de l'article 267 du TFUE. D'une part, la cour d'appel s'est demand\u00e9 si ce qu'on appelle la \"cha\u00eene TC\" - c'est-\u00e0-dire une cha\u00eene de caract\u00e8res structur\u00e9e destin\u00e9e \u00e0 enregistrer les consentements et les refus des utilisateurs - devait \u00eatre consid\u00e9r\u00e9e comme des donn\u00e9es \u00e0 caract\u00e8re personnel au sens de l'article 4, point 1, du RGPD. D'autre part, la Cour de March\u00e9 a voulu clarifier si une organisation comme IAB Europe, qui standardise et prescrit un cadre technique pour la gestion des consentements, doit \u00eatre consid\u00e9r\u00e9e comme responsable (conjoint) au sens de l'article 4, point 7, du RGPD, bien qu'elle n'ait pas elle-m\u00eame de contr\u00f4le direct sur les processus de traitement concrets.<\/p>

L'objectif de ce projet \u00e9tait de cr\u00e9er une s\u00e9curit\u00e9 juridique pour les autorit\u00e9s nationales de contr\u00f4le de la protection des donn\u00e9es et les acteurs du march\u00e9. Jusqu'\u00e0 pr\u00e9sent, la classification de tels cadres sectoriels en mati\u00e8re de protection des donn\u00e9es n'a \u00e9t\u00e9 clarifi\u00e9e de mani\u00e8re d\u00e9finitive ni au niveau europ\u00e9en ni par la jurisprudence.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

La CJCE se prononce sur TC String et la responsabilit\u00e9 de l'IAB Europe<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans son arr\u00eat de mars 2024, la CJCE a statu\u00e9 sur les deux questions qui lui avaient \u00e9t\u00e9 soumises par la Cour de march\u00e9 concernant la qualification de TC String au regard de la protection des donn\u00e9es et la responsabilit\u00e9 \u00e9ventuelle de l'IAB Europe.<\/p>\n

Cha\u00eenes TC en tant que donn\u00e9es \u00e0 caract\u00e8re personnel<\/h4>\n

Tout d'abord, la CJUE a pr\u00e9cis\u00e9 que les cha\u00eenes de caract\u00e8res TC constituent des donn\u00e9es \u00e0 caract\u00e8re personnel au sens de l'article 4, point 1, du RGPD. Le crit\u00e8re d\u00e9terminant est que cette cha\u00eene de caract\u00e8res, qui n'est techniquement qu'une information de pr\u00e9f\u00e9rence cod\u00e9e, peut \u00eatre associ\u00e9e \u00e0 un utilisateur d\u00e9termin\u00e9 ou au moins identifiable en la combinant avec d'autres donn\u00e9es telles que l'adresse IP, l'identifiant du cookie ou les informations relatives \u00e0 l'appareil. Elle remplit donc les crit\u00e8res d'identifiabilit\u00e9. Cette interpr\u00e9tation correspond \u00e0 une d\u00e9finition large des donn\u00e9es \u00e0 caract\u00e8re personnel, qui inclut \u00e9galement les informations pseudonymes et les informations transmises par des moyens techniques.<\/p>\n

IAB Europe en tant que responsable (commun)<\/h4>\n

En outre, la CJUE a d\u00e9cid\u00e9 qu'une organisation sectorielle comme IAB Europe pouvait \u00eatre qualifi\u00e9e de responsable (conjoint) au sens de l'article 4, point 7, du RGPD. La Cour a soulign\u00e9 qu'il n'\u00e9tait pas n\u00e9cessaire que l'organisation traite elle-m\u00eame directement des donn\u00e9es \u00e0 caract\u00e8re personnel pour \u00eatre consid\u00e9r\u00e9e comme responsable. Ce qui est d\u00e9terminant, c'est de savoir si elle exerce une influence d\u00e9terminante sur les op\u00e9rations de traitement des donn\u00e9es en d\u00e9finissant les moyens et les finalit\u00e9s du traitement.<\/p>\n

C'est le cas puisque l'IAB Europe fournit les param\u00e8tres de base pour le traitement des cha\u00eenes de TC en concevant, standardisant et imposant le Consent Framework. De plus, elle coordonne l'interaction entre de nombreux acteurs du march\u00e9 et joue ainsi un r\u00f4le de direction et de structuration dans l'ensemble de l'\u00e9cosyst\u00e8me. Le fait que l'IAB Europe ne fournisse pas elle-m\u00eame de contenus publicitaires ou ne cr\u00e9e pas de profils d'utilisateurs individuels n'est pas d\u00e9terminant pour la responsabilit\u00e9 en mati\u00e8re de protection des donn\u00e9es.<\/p>\n

Importance de l'arr\u00eat de la CJCE<\/h4>\n

Cette d\u00e9cision de principe a un impact direct sur tous les acteurs du march\u00e9 de la publicit\u00e9 num\u00e9rique, ainsi que sur d'autres secteurs dans lesquels des normes techniques sectorielles de traitement des donn\u00e9es, telles que le TCF, sont appliqu\u00e9es. En particulier, l'arr\u00eat souligne que la responsabilit\u00e9 juridique ne peut pas \u00eatre d\u00e9l\u00e9gu\u00e9e ou r\u00e9duite \u00e0 la neutralit\u00e9 technique lorsqu'une institution intervient de mani\u00e8re centralis\u00e9e dans un syst\u00e8me li\u00e9 \u00e0 la protection des donn\u00e9es.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

IAB Europe en tant que co-responsable du TCF<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Confirmation du point de vue du droit mat\u00e9riel<\/strong><\/h4>

Sur la base de l'arr\u00eat de la CJCE, la Cour de justice des Communaut\u00e9s europ\u00e9ennes a statu\u00e9 que d\u00e9finitivement sur l'appel<\/strong> de l'IAB Europe. Bien que la d\u00e9cision n\u00b0 21\/2022 de l'ACS ait \u00e9t\u00e9 formellement annul\u00e9 pour vice de proc\u00e9dure<\/strong>, cependant :<\/p>