Mise aux enchères de données personnelles : la CJUE clarifie les règles du RGPD

Lorsqu’un utilisateur consulte un site Internet ou une application qui contient un espace publicitaire, les entreprises, courtiers et plates-formes publicitaires, qui représentent des milliers d’annonceurs, peuvent enchérir en temps réel, en coulisse, pour obtenir cet espace publicitaire, afin d’y afficher des publicités adaptées au profil de l’utilisateur (Real Time Bidding).

Cependant, avant d’afficher de telles publicités ciblées, le consentement préalable de l’utilisateur doit être recueilli en vue de la collecte et du traitement de ses données (concernant notamment sa localisation, son âge, l’historique de ses recherches et de ses achats récents) à des fins telles que, notamment, le marketing ou la publicité, ou en vue du partage de ces données avec certains fournisseurs. L’utilisateur peut aussi s’y opposer.

En 2022, l’autorité de protection des données belge a considéré que la TC String constitue une donnée à caractère personnel au sens du RGPD et que IAB Europe (association sans but lucratif établie en Belgique qui représente les entreprises du secteur de l’industrie de la publicité et du marketing numériques au niveau européen) a agi en tant que responsable du traitement des données sans respecter pleinement les prescriptions du RGPD. Cette autorité lui a imposé plusieurs mesures correctrices ainsi qu’une amende administrative. IAB Europe conteste cette décision et saisit la cour d’appel de Bruxelles, qui soumet des questions préjudicielles à la CJUE.

Dans son arrêt, la Cour de justice confirme que la TC String contient des informations concernant un utilisateur identifiable et constitue donc une donnée à caractère personnel au sens du RGPD.

En outre, IAB Europe doit être considérée comme « responsable conjoint du traitement », au sens du RGPD. Cela étant, et sans préjudice d’une éventuelle responsabilité civile prévue par le droit national, IAB Europe ne saurait être considérée comme responsable, au sens du RGPD, des opérations de traitement de données qui interviennent après l’enregistrement, dans une TC String.

Sources :

• CJUE, 7 mars 2024, n° C‑604/22, IAB Europe c/ Gegevensbeschermingsautoriteit