La Cour de justice belge a confirmé que le mécanisme de base qui sous-tend la publicité en ligne basée sur le suivi en Europe – le Transparency and Consent Framework (TCF) développé par IAB Europe – viole le règlement général sur la protection des données ( RGPD ).
Bien que le tribunal ait annulé la décision initiale de 2022 de l’Autorité belge de protection des données (APD) pour des raisons de procédure, il a confirmé les conclusions de fond et l’amende de 250 000 € infligée à IAB Europe.
Le TCF est un cadre standardisé largement utilisé sur les sites web pour enregistrer les préférences des utilisateurs en matière de publicité personnalisée, principalement via des systèmes d’enchères en temps réel (RTB).
Le RTB facilite la mise aux enchères instantanée d’espaces publicitaires en fonction des données collectées sur le comportement en ligne des utilisateurs. Le TCF visait à démontrer la conformité au RGPD en permettant aux sites web et aux annonceurs d’obtenir le consentement des utilisateurs pour ce suivi. Cependant, les autorités européennes et belges ont constaté que ce système ne répondait pas aux exigences du règlement.
En mars 2024, la Cour de justice de l’Union européenne (CJUE) a jugé que la « TC String » – l’enregistrement des préférences de consentement d’un utilisateur généré par le TCF – constituait une donnée personnelle au sens du RGPD. La CJUE a également estimé qu’IAB Europe pouvait être considéré comme responsable conjoint du traitement de ces données.
S’appuyant sur cette interprétation, la Cour des marchés a statué le 14 mai 2025 qu’IAB Europe est responsable conjoint du traitement des préférences des utilisateurs dans le cadre du TCF. Elle a confirmé les conclusions de l’APD belge concernant les violations du RGPD et la sanction pécuniaire initiale. En revanche, elle a rejeté la position de l’APD selon laquelle IAB Europe est responsable du traitement des opérations se déroulant entièrement dans le cadre du protocole OpenRTB, un aspect distinct de l’infrastructure RTB.
La décision initiale de l’APD belge, rendue le 2 février 2022 (Décision 21/2022), concluait que le TCF ne garantissait pas un consentement éclairé, libre et spécifique, et qu’IAB Europe avait manqué à ses obligations en matière de sécurité des données, de transparence et de responsabilité. L’APD a ordonné à l’organisation de soumettre un plan de conformité dans un délai de deux mois. Cette décision a été soutenue par toutes les autorités de contrôle compétentes de l’UE via le guichet unique.
IAB Europe a fait appel de la décision, ce qui a incité la Cour de justice à saisir la CJUE. L’arrêt préjudiciel de la CJUE de mars 2024 a confirmé que les chaînes de consentement constituent des données personnelles et qu’IAB Europe joue un rôle direct dans la détermination des finalités et des moyens de traitement de ces données.
En réponse au dernier arrêt du Tribunal de commerce, Hielke Hijmans, présidente de la Chambre contentieuse de l’APD belge, a déclaré : « Il est important de rappeler que cet arrêt du Tribunal de commerce, comme celui de la CJUE en 2024, confirme notre position selon laquelle la chaîne TC est une donnée personnelle et qu’IAB Europe agit en tant que responsable conjoint du traitement des préférences des utilisateurs dans le cadre du TCF. Cette clarification des concepts clés du RGPD a eu et continuera d’avoir un impact positif durable sur tous les acteurs concernés au sein de l’UE. »
L’IAB Europe a salué le rejet par le tribunal de la désignation de responsable conjoint du traitement des données RTB dans le cadre d’OpenRTB, mais a reconnu qu’elle restait responsable du fonctionnement du TCF. L’organisation a déclaré avoir soumis une version révisée du cadre à l’examen de l’APD belge et d’autres autorités.
Parallèlement à la procédure judiciaire, IAB Europe avait soumis un plan d’action pour remédier aux infractions identifiées. Bien que ce plan ait été approuvé par l’APD belge en janvier 2023, il a lui aussi fait l’objet de nouveaux recours de la part d’IAB Europe et des plaignants.
Le processus juridique entourant le TCF a mis en lumière des inquiétudes plus larges quant à la légalité de l’écosystème du RTB dans son ensemble. Le RTB implique généralement le partage de données personnelles – incluant parfois des adresses IP, des données de localisation et l’historique de navigation – avec des centaines de tiers, souvent sans transparence ni contrôle adéquats. Les critiques affirment qu’il s’agit d’une violation systémique du RGPD.
La décision de la Cour de justice devrait accélérer le contrôle de la publicité basée sur le suivi dans l’Union européenne. De nombreux éditeurs, plateformes et annonceurs s’appuyant sur des mécanismes de consentement conformes aux normes RTB et TCF, des changements opérationnels importants pourraient désormais être nécessaires pour se conformer aux normes juridiques.
Ce résultat marque une avancée significative dans la réglementation de la publicité numérique en Europe, renforçant le principe selon lequel la collecte de données à des fins publicitaires doit respecter strictement les exigences légales. Il établit également un précédent clair concernant l’interprétation des concepts clés du RGPD, notamment la définition des données personnelles et les responsabilités des organismes de normalisation sectoriels tels que l’IAB Europe.
