Blog Données personnelles
Affaire IAB Europe : la CJUE rend un arrêt très attendu relatif au traitement des préférences des utilisateurs en matière de publicité en ligne
La CJUE a rendu le 7 mars 2024 un arrêt C-604/22 très attendu dans l’affaire opposant l’Autorité belge de protection des données (ci-après désignée « APD ») à l’association européenne de l’industrie publicitaire en ligne IAB Europe.
Le 2 février 2022, l’APD publiait la décision 21/2022 concernant le Transparency and Consent Framework (ci-après désigné « TCF ») de IAB Europe, un mécanisme développé par cet organisme et largement utilisé par les entreprises de publicité en ligne, visant à standardiser le recueil du consentement des internautes à la publicité en ligne et à faciliter le partage des informations sur ce consentement. Par cette décision, l’APD sanctionnait la non-conformité du TCF de IAB Europe d’une amende de 250.000 euros et l’enjoignait à présenter sous deux mois un plan d’action visant à mettre ses activités en conformité. IAB Europe avait alors fait appel de cette décision devant la Cour des marchés (la Cour d’Appel de Bruxelles) qui, avant de se prononcer, a décidé de poser deux questions préjudicielles à la Cour de justice de l’Union européenne (ci-après désignée « CJUE »).
La première question visait à déterminer si la combinaison de lettres et de caractères utilisée par le mécanisme TCF sous le nom de Transparency and Consent String (ci-après désignée « TC String »), qui permet aux courtiers en données à caractère personnel et aux plates-formes publicitaires de savoir ce à quoi l’utilisateur a consenti ou s’est opposé, est en elle-même une donnée à caractère personnel. La seconde question visait à déterminer si IAB Europe peut être qualifiée de responsable des opérations de traitement impliquant la TC String et, si oui, lesquelles.
Réitérant sa position exprimée dans sa décision de 2022, l’APD a plaidé devant la CJUE que la TC String constitue une donnée personnelle, notamment car elle vise par nature à relier des préférences en matière de publicité à un individu spécifique. Dans sa plaidoirie, l’APD a également considéré que IAB EUROPE était responsable conjoint du traitement dans le cadre du TCF, étant donné que cette organisation sectorielle détermine les finalités et les moyens du traitement et joue, par conséquent, un rôle clé dans l’écosystème de la publicité personnalisée en ligne.
Dans son arrêt, la CJUE apporte les réponses suivantes à ces deux questions.
La CJUE juge que la TC String constitue une donnée à caractère personnel
La CJUE indique en effet que cette chaîne de caractères structurée captant les préférences d’un utilisateur constitue une donnée à caractère personnel, conformément à la définition de l’article 4.1 du Règlement général sur la protection des données, (ci-après désigné « RGPD »). Au soutien de cette réponse, la Cour relève notamment que la TC String contient les préférences individuelles d’un utilisateur spécifique et se rapporte donc à lui et qu’elle peut être combinée avec d’autres identifiants tels que l’adresse IP pour identifier l’utilisateur.
Par ailleurs, même si IAB Europe ne peut pas, à première vue, accéder aux données traitées par ses membres, ni procéder à cette combinaison, elle dispose cependant des moyens techniques raisonnables pour le faire dès lors qu’elle s’est réservée le droit d’obtenir de ses membres la communication de toutes les informations lui permettant d’identifier les utilisateurs dont les données font l’objet de TC String.
Dans cette première réponse, la Cour confirme donc l’analyse de l’APD et fait une application a priori classique de la notion de donnée à caractère personnel.
La CJUE juge que IAB Europe est responsable conjoint de traitement de l’enregistrement des préférences en matière de consentement des utilisateurs, mais a priori pas des traitements ultérieurs réalisés sur la base de ses préférences
Concernant ses activités de standardisation et de prescription des modalités de captation et de transmission des préférences des utilisateurs, la CJUE estime dans son arrêt que l’organisation IAB Europe peut être qualifiée de responsable pour le traitement des préférences, étant donné qu’elle paraît influer sur les opérations de traitement des données lors de l’enregistrement des préférences en matière de consentement des utilisateurs dans une TC String, et déterminer, conjointement avec ses membres, tant les finalités de ces opérations que les moyens à l’origine desdites opérations.
La Cour souligne notamment que l’utilisation de la TC String se fait dans le cadre d’un corps de règles définies par IAB Europe (le TCF) que ses membres sont tenus de respecter et qui décrivent notamment précisément les modalités techniques de recueil et de traitement des données employées pour générer une TC String, ainsi que les modalités de stockage et de partage de la TC String. L’organisation IAB Europe est donc qualifiée par la CJUE de responsable conjointe du traitement pour l’enregistrement des choix de dépôt de cookies dans les bannières utilisant son TCF.
En revanche, la Cour exclut dans son arrêt la responsabilité automatique de IAB Europe sur le traitement ultérieur de ces données par ses membres et des tiers sur la base de ces préférences (et donc notamment l’offre de publicité personnalisée faite aux utilisateurs) qui ne paraît pas impliquer sa participation. Par cette décision, elle réduit par conséquent le périmètre de la responsabilité de IAB Europe en la matière.
Il reste maintenant à la Cour des marchés à analyser en détail la décision de la CJUE afin de rendre sa décision dans le litige opposant IAB Europe à l’APD.
Jeanne BOSSI MALAFOSSE, associée, et Grégoire PETYT, stagiaire