Dans le cadre de la procédure d’appel opérée par la division européenne de l’Interactive Advertising Bureau (IAB Europe) suite à sa condamnation par l’Autorité de Protection des Données belge (ADP), la Cour des Marchés a décidé de soumettre des questions préjudicielles à la Cour de Justice de l’Union européenne (CJUE) relatives à l’interprétation de la notion de « donnée personnelle » et sur le statut de responsable du traitement (conjoint) d’IAB Europe.
L’affaire IAB Europe
La Chambre Contentieuse de l'APD a estimé que le Transparency and Consent Framework (TCF) élaboré par IAB Europe, mécanisme où sont stockées les données relatives aux préférences d'un utilisateur individuel identifiable, contient des données personnelles.
De ce fait, IAB Europe agissait en tant que responsable du traitement conjoint avec les organisations participantes au TCF, et devait se soumettre aux obligations prévues par le Règlement Général sur la Protection des Données (RGPD).
L'APD a alors identifié une série de violations du RGPD par l’IAB Europe, notamment l’absence de mise en place d’une base légale pour le traitement, et des mesures techniques et organisationnelles conformément au principe de protection des données.
Quelles sont mes obligations en tant que responsable de traitement ?
Elle avait en conséquence prononcé une sanction de 250 000 euros et une injonction de mise en conformité à IAB Europe.
Questions préjudicielles
L’IAB Europe considère que l’ADP interprète de façon trop large, voire erronée, la notion de « donnée personnelle » et de responsable conjoint.
La question posée à l’Europe est donc de savoir si une chaîne TC peut être considérée comme une « donnée personnelle » au sens du RGPD, soumettant ainsi l’IAB Europe aux obligations incombant en tant que responsable du traitement.
La CJUE ne devrait pas rendre sa décision avant plusieurs mois et la décision définitive de l’APD ne sera pas rendue probablement avant 2023 voire 2024.
