La CJUE tranche le cas de l’IAB Europe, élargissant la notion de responsabilité

« `html

Le 7 mars 2024, la CJUE a rendu son jugement dans l’affaire IAB Europe (C-604/22), mettant en lumière le rôle de l’organisation sectorielle IAB Europe dans son Cadre de Transparence et de Consentement (TCF) utilisé par les entreprises pour enregistrer le consentement au RGPD accordé (ou non) par un utilisateur et pour documenter la conformité avec leurs obligations de transparence au titre du RGPD. Ce cadre est largement utilisé dans la publicité numérique, y compris dans les scénarios d’enchères en temps réel. Les trois principales conclusions du tribunal sont exposées ci-dessous.

Une nouvelle ère pour la protection des données personnelles

La décision de la Cour de justice de l’Union européenne (CJUE) dans l’affaire IAB Europe marque un tournant significatif dans la manière dont les organisations sectorielles et les organismes de normalisation doivent envisager leur rôle et leur responsabilité dans le traitement des données personnelles. Cette affaire soulève des questions cruciales sur la définition des données personnelles, le rôle des contrôleurs conjoints et l’impact sur le développement des normes techniques dans l’espace numérique.

La TC String comme donnée personnelle

La première conclusion majeure de la CJUE est que le code généré pour enregistrer le choix de consentement de l’utilisateur final, connu sous le nom de TC String, constitue une donnée personnelle car il peut être lié à l’utilisateur final. Cette interprétation élargit la portée de ce qui est considéré comme des données personnelles au sein de l’Union européenne, soulignant l’importance de la protection de la vie privée dans le secteur numérique.

IAB Europe désigné comme co-contrôleur

Ensuite, la cour a décidé que IAB Europe, en tant qu’organisation sectorielle ayant créé les normes TCF, est co-contrôleur avec les utilisateurs du TCF concernant la création et l’utilisation de la TC String. Cette décision élargit considérablement la notion de co-contrôleur, affectant potentiellement de nombreuses organisations sectorielles et organismes de normalisation dans leur capacité à développer des standards.

L’implication limitée d’IAB Europe dans le traitement basé sur la TC String

Enfin, la CJUE a clarifié que IAB Europe n’est pas un co-contrôleur pour le traitement qui se base sur la TC String, c’est-à-dire le traitement pour lequel la TC String documente le consentement. Cette distinction importante souligne la complexité de déterminer la responsabilité dans les processus de traitement des données complexes et interconnectés typiques de l’écosystème numérique.

Implications pratiques et conseils

Cette décision a des implications profondes pour les organisations sectorielles et les organismes de normalisation. Il est essentiel qu’ils évaluent soigneusement leur rôle et leur implication dans le traitement des données personnelles pour s’assurer de leur conformité avec le RGPD. Les organisations doivent également envisager de mettre en place des mesures de gouvernance des données plus strictes et de revoir leurs cadres de coopération avec d’autres parties pour clarifier les responsabilités en matière de protection des données.

De plus, cette affaire souligne l’importance pour les entreprises de comprendre pleinement les cadres et les normes qu’elles adoptent, en particulier dans le contexte de la publicité numérique et du respect de la vie privée. La transparence, le consentement éclairé et la documentation adéquate deviennent encore plus critiques dans ce paysage réglementaire en évolution.

Ressources supplémentaires

Pour ceux qui cherchent à approfondir leur compréhension de cette affaire et de ses implications, des ressources supplémentaires peuvent être trouvées sur le site de la CJUE et sur Inside Privacy, offrant des analyses détaillées et des perspectives sur la décision et son impact sur le secteur de la publicité numérique.

Crédits

Sources utilisées dans cet article :

• Cour de justice de l’Union européenne
• Inside Privacy

« `