La Cour des marchés se prononce dans l'affaire IAB Europe

---

Affaire IAB Europe - Contexte

Le 2 février 2022, l’APD publiait une décision concernant le TCF (Transparency and Consent Framework) de IAB Europe, un mécanisme répandu qui facilite la gestion des préférences des utilisateurs pour la publicité personnalisée en ligne, et qui joue un rôle central dans ce qu'on appelle le Real Time Bidding (RTB). Le RTB est un écosystème qui permet l'envoi de publicités personnalisées.

L’APD y infligeait à l’entreprise une amende de 250.000 € et lui donnait deux mois pour présenter un plan d'action visant à mettre ses activités en conformité. La décision avait été avalisée par l’ensemble des autorités de protection des données concernées dans l’UE, via le mécanisme du « guichet unique » ("one-stop-shop").

IAB Europe avait alors fait appel de la décision devant la Cour des marchés (Cour d’appel de Bruxelles). Avant de se prononcer, la Cour des marchés a décidé de poser deux questions préjudicielles à la Cour de justice de l’Union européenne. En mars 2024, la CJUE confirmait, comme l’avait soutenu l’APD, qu’une chaîne de caractères structurée traduisant les préférences des internautes comme la TC String de IAB Europe peut bien être considérée comme une donnée personnelle, et qu’un organisme sectoriel comme IAB Europe peut être qualifié de responsable (conjoint ?) du traitement des préférences des utilisateurs pour la publicité en ligne.

Décision de la Cour des marchés

Sur la base de ces éléments, la Cour des marchés s'est pronconcée aujourd'hui sur le recours introduit contre la décision de l'APD relative au TCF version 2.0, en tenant compte de l'arrêt préjudiciel de la Cour de Justice.

Dans son arrêt, la Cour des marchés confirme les violations constatées et les sanctions imposées par l'APD. Plus précisément, la Cour estime que le TC String est une donnée à caractère personnel au sens du RGPD et que IAB Europe agit en tant que responsable du traitement concernant les préférences des utilisateurs dans le cadre du TCF. La Cour des marchés annule toutefois la décision 21/2022 de l'APD pour des raisons de procédure.

Hielke Hijmans, président de la Chambre contentieuse de l'APD, déclare : « Ce qu'il est important de retenir ici, c'est que cette décision de la Cour des marchés, tout comme celle de la CJUE en 2024, confirme notre position selon laquelle le TC String est une donnée à caractère personnel et que IAB Europe agit en tant que responsable du traitement des préférences des utilisateurs dans le cadre du TCF.  Cette clarification des concepts clés du RGPD a et aura un impact positif durable sur toutes les personnes concernées de l'UE. »

L'APD doit maintenant analyser l'arrêt de manière plus approfondie.

Ligne du temps de l'affaire IAB EUROPE

2022

• Le 2 février 2022, la Chambre Contentieuse de l’APD publie la décision 21/2022 concernant IAB Europe, elle y impose notamment un plan d’action de conformité
• IAB Europe fait appel de la décision
• Le 7 septembre 2022, la Cour des marchés pose des questions préjudicielles à la CJUE

2023

• Le 11 janvier 2023, la Chambre Contentieuse approuve le plan d’action de IAB Europe
• IAB Europe ainsi que les plaignants dans le dossier IAB Europe font appel de la décision de la Chambre Contentieuse d’approuver le plan d’action de IAB Europe
• Le 21 septembre 2023 a lieu l’audition devant la CJUE

7 mars 2024

• La CJUE se prononce dans l’affaire par son arrêt C-604/22

19 mars 2025

• La Cour des marchés se prononce sur le recours déposé en 2022 par IAB Europe contre la décision 21/2022 de la Chambre Contentieuse.