Arrêt de la Cour de justice de l’Union européenne sur le Transparency & Consent Framework (TCF) de l’IAB Europe

L’Alliance Digitale se félicite des clarifications apportées par la Cour lesquelles devraient permettre une conclusion favorable de la procédure

L’Alliance Digitale a pris connaissance de l’arrêt rendu aujourd’hui par la Cour de justice de l’Union européenne (CJUE). Il fait suite à l’appel interjeté par l’IAB Europe contre la décision prise en février 2022 par l’Autorité de protection des données belge (APD) à l’encontre du TCF et de l’IAB Europe et aux questions préjudicielles posées par la Cour des marchés en septembre 2022 à la CJUE.

L’arrêt de la Cour établit que :

• L’enregistrement et la transmission du choix des utilisateurs -en l'espèce la TC String- constitue, lorsqu’il est associé à des informations qui permettent de relier ces choix à un individu telles que l’adresse IP, un traitement de donnée personnelle au sens du RGPD ;

• Une organisation qui met à disposition une spécification technique et en définit les règles associées -en l’espèce l’IAB Europe- doit être considérée comme responsable de traitement conjointement avec des tiers qui utilisent ladite spécification dès lors qu’elle a accès aux données personnelles traitées, même par voie indirecte ;

• La responsabilité conjointe de ladite l’organisation n’est cependant pas étendue par défaut aux traitements ultérieurs opérés par des tiers.

L’Alliance Digitale se félicite de constater que la Cour ne remet pas en cause le bien-fondé du TCF, norme commune qui a permis, depuis l’introduction du RGPD, d'aider les entreprises dans leurs efforts de conformité avec la réglementation sur la protection des données personnelles. A l’aune de cet arrêt, nous sommes d’autant plus confiants que les changements qui devront être apportés au TCF pourraient permettre l’élaboration du standard en tant que Code de conduite transnational.

Nous craignons cependant que la responsabilité conjointe imputée à l’IAB Europe dans le cadre du TCF ne viennent dissuader des organisations semblables d’élaborer des standards de vie privée dans le futur et ce, au détriment des entreprises comme des citoyens de l’Union européenne. Nous serons vigilants quant à l’allocation des responsabilités entre les responsables de traitement conjoints qui devra être précisée dans le déroulement ultérieur de la procédure.

La Cour des marchés belge va maintenant reprendre son examen au fond fonction des réponses apportées aujourd’hui par la CJUE. Il est tout à fait envisageable que la Cour des marchés renvoie à son tour l’examen à l’APD et annule tout ou partie de sa première décision, qui pour rappel, avait été considérée comme insuffisamment motivée. Dans l’attente de la conclusion de la procédure, la suspension de l’exécution du plan d’action continue de s’appliquer.

Vous pouvez retrouver le document de FAQ de l’IAB Europe mis à jour sur le site d’Alliance Digitale.