TCF : l’IAB Europe peut être responsable conjoint du traitement des données

La décision de la Cour de justice de l’Union européenne (CJUE) était très attendue par l’ensemble du marché programmatique. Par un arrêt rendu jeudi 7 mars pour se prononcer sur la conformité du Transparency and Consent Framework (TCF) de l’IAB Europe au RGPD et sur la responsabilité conjointe de l’organisation publicitaire dans le traitement les données au sein du TCF, la Cour a confirmé que son dispositif technique utilise “des informations concernant un utilisateur identifiable et constitue donc une donnée à caractère personnel”.

Lorsque les informations contenues dans une TC string sont associées à un identifiant, tel que, notamment, l’adresse IP de l’appareil de l’utilisateur, elles peuvent permettre de créer un profil de cet utilisateur et de l’identifier, a-t-elle souligné dans un communiqué.

L’IAB Europe n’est pas responsable après l’enregistrement dans une TC string

La Cour a confirmé que l’IAB Europe “doit être considéré comme responsable conjoint du traitement” car “elle paraît influer sur les opérations de traitement des données, lors de l’enregistrement des préférences en matière de consentement des utilisateurs dans une TC String”, et elle paraît “déterminer, conjointement avec ses membres, tant les finalités de ces opérations que les moyens à l’origine desdites opérations” (l’arrêt complet et son résumé).  Malgré tout, la CJCE a estimé que IAB Europe “ne saurait être considéré comme responsable, au sens du RGPD, des opérations de traitement de données qui interviennent après l’enregistrement”, dans une TC string.

Autrement dit, lors de l’usage du TCF, l’IAB Europe, parce qu’il fournit un dispositif clé en main, est responsable conjoint de l’enregistrement des préférences liées au consentement des utilisateurs ; mais il ne l’est a priori pas – ou pas de façon automatique – des traitements ultérieurs qui sont réalisés par les acteurs adtechs sur la base de ces préférences, parce qu’il ne maîtrise pas l’usage qui en est fait.

Dans un communiqué, Alliance Digitale, affilié à l’IA Europe, a dit prendre acte de la décision et se félicite de ce dernier point : “La responsabilité conjointe (de l’IAB Europe) n’est pas étendue par défaut aux traitements ultérieurs opérés par des tiers”, observe-t-elle. L’association professionnelle constate également “que la Cour ne remet pas en cause le bien-fondé du TCF”, un risque qui avait été soulevé au début de la procédure.

Alliance Digitale se dit confiant

Des modifications seront apportées au dispositif de l’IAB Europe. “Nous sommes d’autant plus confiants que les changements (…) pourraient permettre l’élaboration d’un standard en tant que Code de conduite transnational. Nous craignons cependant que la responsabilité conjointe imputée à l’IAB Europe dans le cadre du TCF ne vienne dissuader des organisations semblables d’élaborer des standards de vie privée dans le futur et ce, au détriment des entreprises comme des citoyens de l’Union européenne. Nous serons vigilants quant à l’allocation des responsabilités entre les responsables de traitement conjoints qui devra être précisée dans le déroulement ultérieur de la procédure”, affirme l’association de lobbying, qui a mis à jour son guide méthodologique du TCF à destination du marché.

Rappelons que le contentieux avait été initié par l’Autorité de protection des données belge (ADP), le 2 février 2022 : l’organe avait infligé à l’IAB Europe une amende de 250 000 euros, en lui donnant deux mois pour présenter un plan d’action visant à mettre le TCF en conformité au RGPD. Sa décision avait été avalisée par l’ensemble des autorités de protection des données en Europe – sous le format guichet unique. L’IAB Europe avait fait appel devant la Cour des marchés belge ; l’affaire a ensuite été transmise devant la juridiction européenne.

La Cour des marchés belge va maintenant reprendre son examen sur le fond du dossier. Selon Alliance Digitale, elle pourrait renvoyer l’affaire à l’ADP. Dès jeudi 7 mars, celle-ci a annoncé prendre acte de la décision européenne. Elle se félicite que sa première analyse soit confortée et veut maintenant examiner l’avis de la CJUE en détail.