Arrêt de la CJCE : Cookies et RGPD – Qui doit maintenant donner son consentement ?

Arrêt de la CJCE : Cookies et RGPD – Qui doit maintenant donner son consentement ?

Le 30 mai 2025, l'accent sera mis sur la protection des données et le traitement des données personnelles, notamment dans le cadre de la publicité personnalisée. La Cour de justice de l'Union européenne (CJCE) a récemment rendu un arrêt décisif qui clarifie les exigences relatives à l'obtention du consentement de l'utilisateur lors du traitement de ces données. L'arrêt (réf. C-604/22), basé sur une décision préjudicielle d'un tribunal belge, a précisé que le consentement est obligatoire avant l'affichage de publicités personnalisées.

Le tribunal a statué que la « chaîne TC », une norme mise à jour pour le stockage et la transmission des données des utilisateurs, est considérée comme une donnée personnelle au sens du Règlement général sur la protection des données (RGPD). Cette classification signifie que la chaîne TC peut potentiellement révéler l'identité de l'utilisateur et est donc soumise aux exigences strictes du RGPD. Selon la décision, les sociétés de publicité telles que l'Interactive Advertising Bureau Europe (IAB) doivent s'assurer qu'elles obtiennent le consentement des utilisateurs avant de collecter et de traiter leurs données.

Technologies de stockage de données

L'utilisation de cookies partenaires et d'identifiants en ligne similaires est déjà très répandue. Ces technologies permettent de stocker ou de lire des informations telles que le type de navigateur, la langue, la taille de l'écran et les technologies prises en charge sur les appareils finaux. Ces données sont ensuite utilisées pour diffuser des publicités ciblées. Par exemple, un constructeur automobile pourrait faire spécifiquement de la publicité pour les véhicules électriques auprès des utilisateurs urbains après 18h30.

Ces mesures publicitaires sont souvent basées sur des profils d'utilisateurs créés à partir de comportements préalablement collectés sur la plateforme concernée. Un exemple de ceci est un détaillant en ligne qui diffuse spécifiquement de la publicité pour des chaussures de course aux utilisateurs qui ont déjà recherché ces produits. De plus, les informations sur les interactions avec la publicité sont utilisées pour mesurer les performances publicitaires et améliorer la pertinence du contenu.

Responsabilité des régies publicitaires

L’arrêt de la CJUE précise que les entreprises qui traitent des données personnelles, comme l’IAB, sont classées comme « responsables du traitement » au sens du RGPD. Cela signifie qu'ils doivent décider des finalités et des moyens du traitement des données. Le non-respect peut entraîner des mesures et des amendes, comme récemment imposées par l'Autorité belge de protection des données à l'encontre de l'IAB.

Dans le domaine de la publicité numérique, il est crucial que les utilisateurs soient non seulement informés, mais qu'ils puissent également s'opposer activement à la collecte et au traitement de leurs données. Les données collectées peuvent inclure tout, depuis l'emplacement et l'âge jusqu'à l'historique de recherche et les achats effectués, soulignant la complexité du sujet.

Afin de se conformer aux exigences du RGPD, l’IAB a développé le « Transparency and Consent Framework » (TCF). Cette plateforme facilite l'obtention du consentement nécessaire au traitement des données et garantit le respect des droits des utilisateurs. Cela crée également la base pour, par exemple, réaliser des évaluations anonymes afin d'améliorer les produits et les offres.

Dans l'ensemble, le débat actuel sur la publicité, les exigences en matière de protection des données et le rôle des responsables montre à quel point il est important de traiter les données des utilisateurs de manière transparente tout en respectant les exigences légales. Un lien étroit entre publicité et protection des données est plus que jamais nécessaire pour gagner et maintenir la confiance des utilisateurs sur le long terme.