.svg)
Dans notre série The Privacy Soapbox, nous donnons la parole aux professionnels de la privacy et aux membres de notre industrie qui souhaitent partager leurs points de vue, leurs histoires et leurs perspectives sur la protection des données. Les auteurs contribuent à ces articles à titre personnel. Les opinions exprimées sont les leurs et ne représentent pas nécessairement celles de Didomi.
Vous avez quelque chose à partager et souhaitez prendre la parole ? Contactez-nous à blog@didomi.io
Certaines décisions font avancer le droit. D’autres le promènent. Kafka a écrit un truc pas mal sur le sujet. L’arrêt rendu ce 14 mai 2025 par la Cour des marchés dans l’affaire IAB Europe contre l’APD relève de cette noble tradition : ça annule, mais pas tout ; ça confirme, mais en vacillant ; ça éclaire, mais dans un brouillard administratif épais. Bref, un épisode supplémentaire dans cette saga judiciaire à rallonge. Consentements RTB et TC String, saison 3, épisode 14 : « La boucle est bouclée, à peu près ».
Précédemment dans “Consentements RTB et TC String”
Nous sommes en 2022. L’APD belge prononce une décision sévère que je qualifierais de sans appel si j’avais des notions en humour : le Transparency & Consent Framework (TCF) mis en place par IAB Europe est alors jugé non conforme, une amende de 250 000 € est infligée, et un plan d’action est exigé. Le tout validé par les pairs européens de l’APD dans une grande chorégraphie du guichet unique.
L’objet du scandale ? Une petite chose fragile et algorithmique : la TC String, c’est-à-dire une chaîne de caractères codant les préférences d’un internaute, autrement dit l’ADN sentimental du clic publicitaire. De cette suite sans charme et sans chair, l’APD a fait un totem juridique, un sujet d’obsession quasi liturgique, s’enferrant dans la rédaction d’une décision si alambiquée qu’on aurait cru qu’elle refusait de s’arrêter de penser. Parfois, le plus souvent même, le droit est une matière sèche, c’est un fait établi. Ici, pourtant, il était humide tant il transpirait. Cette décision suait à grosses gouttes les concepts qu’elle essayait de dégager pour se sortir du guêpier dans lequel elle semblait s’être fourrée toute seule. La décision s’essoufflait à chaque virage, et c’est au terme de douleurs cérébrales intolérables qu’un jus de crâne essoré jusqu’à la corde permit la condamnation du TCF. L’IAB Europe, peu disposée à jouer les Ionesco pénitents de la pub programmatique, choisit à l’époque de faire appel et de porter l’affaire devant la Cour des marchés, c’est-à-dire la Cour d’appel belge.
Pour les esprits intrépides, férus de procès en spirale et d’arguties à forte densité conceptuelle, notre article retrace tous les épisodes précédents de cette série .
Saison 3, épisode 14 : L’arrêt du 14 mai ou l’art de l’annulation performative
C’est donc aujourd’hui, en ce 14 mai 2025, que la Cour des marchés prononce l’arrêt tant attendu. Et là, surprise : elle annule la décision de l’APD.
Sans attendre que la décision soit publiée, on s’étonne d’assister à une bifurcation spectaculaire des récits. À droite du paysage linkedien, des activistes qui confondent analyse juridique et apéro au pastis sur une terrasse dans le sud de la France, entonnent un Te Deum de foire à la saucisse : « Le TCF est mort ! » disent-ils ; car le système aurait été jugé illégal, et l’industrie AdTech sommée de repartir à zéro.
A gauche, en revanche, d’autres voix parties prenantes de l’écosystème publicitaire se frottent les mains et versent dans le debunking : la Cour n’a jamais déclaré le TCF illégal, elle a annulé une décision entachée de vices procéduraux, elle a rejeté la responsabilité de l’IAB Europe pour les traitements ultérieurs, et le plan d’action soumis à l’APD demeure validé, même si de plus amples discussions auront lieu sur le sujet. Bref, tout va pour le mieux dans le meilleur des frameworks du monde.
Deux récits, deux climats donc. On croirait que les parties n’ont pas lu la même décision (de toutes façons qui lit encore quoi que ce soit de nos jours ? L’auteur assume ici l’humilité qui le conduit à penser que personne ne le lira). La décision n’a d’ailleurs pas encore été officiellement publiée. Ceci explique peut-être en partie ces divergences d’opinions.
Alors, qu’en est-il vraiment ? Loin des slogans triomphalistes ou des communiqués d’autosatisfaction, votre serviteur a eu accès au texte complet de l’arrêt de la Cour des marchés. Et à ce titre il peut vous dire que celui-ci trace en réalité une ligne sinueuse, compliquée, à la limite du gauchie (pour paraphraser Dante, car une référence littéraire classique fait toujours un très bel effet). La Cour des marchés a en fait entériné certaines positions de l’APD, mais dans le même mouvement désavoué d’autres pans de sa démonstration.
Que lit-on dans cette décision ?
- Que la TC String est une donnée personnelle.
- Que l’IAB Europe est responsable conjoint du traitement, car elle impose « de manière contraignante » les modalités et finalités de traitements à ses membres.
- Que l’IAB Europe n’est pas responsable pour les traitements ultérieurs, comme ceux effectués via OpenRTB par les compagnies de l’adtech.
Pour faire simple, les activistes sont heureux des points 1 et 2, quand l’IAB trouve de quoi se réjouir dans le point 3.
Seulement dans le concret, cela donne lieu aux deux paragraphes suivants dans la décision (en cas de flemme, vous pouvez vous en épargner la lecture, une traduction étant fournie à la fin):
Declares IAB Europe's substantive grievances against the Contested Decision unfounded except insofar as the Contested Decision finds that IAB Europe acts as (joint) controller for the processing operations carried entirely under the OpenRTB protocol (a finding which the Market Court does not endorse).
Notes that IAB Europe has committed infringements of the following provisions : Article 5(1)(a) GDPR ; Article 6 GDPR ; Article 12 GDPR ; Article 13 GDPR ; Article 14 GDPR ; Article 24 GDPR ; Article 2S GDPR ; 5(1)f) GDPR ; Article 32 GDPR ; Article 30 GDPR ; Article 35 GDPR ; Article 37 GDPR, and this in the manner set out in margin 535 of the Contested Decision except to the extent that the Contested Decision finds that IAB Europe acts as (joint) controller for the processing operations carried out entirely within the framework of the OpenRTB protocol.
Et en clair, que dit la Cour des marchés ? Que l’IAB a tout faux ou presque et qu’elle a bon gré mal gré manqué à environ toutes les obligations qui lui incombaient au titre du RGPD. C’est un carton plein dans le mauvais sens du terme, une performance de haute voltige pour une association à but non lucratif. Clap clap clap, l'onomatopée trouve ici sa place.
Ainsi donc, les activistes avaient raison : le TCF serait cliniquement mort, l’industrie publicitaire sur le point de s’effondrer, et les bannières de consentement promises à un oubli muséal. Un nouveau monde serait sur le point d’émerger, où les contenus seraient gratuits, les interfaces épurées, et l’internaute enfin réconcilié avec la pureté de la lecture numérique. La connaissance universelle circulerait enfin librement. Et pourquoi pas, soyons fous, le PSG gagnerait enfin la Ligue des champions.
Sauf que…
Le TCF est illégal SI (et seulement si) la TC String est toujours considérée comme une donnée personnelle
Si, pour l’amour du sport, on exclut volontairement de tenir compte du fait que nulle part dans la décision la Cour ne déclare le TCF “illégal”, ce qui, soit dit en passant, faciliterait grandement tout effort honnête pour conclure que le système est toujours utilisable dans un contexte programmatique il n’en reste pas moins que, même en faisant l’impasse sur cette évidence, un autre élément suffirait pour désamorcer le drame et pourrait totalement dédouaner le TCF : la qualification même de la TC String.
Car si on résume (et dans la vie il faut résumer, sinon on n’arrive à rien, on s’étouffe dans sa propre prose ; pour vous en convaincre je vous invite à relire la décision de l’APD), si on résume donc, la logique de la décision de la Cour des marchés est en fait la suivante : dès lors que la TC String est une donnée personnelle, alors l’IAB Europe est responsable conjoint du traitement. En tant que tel, elle aurait donc dû se conformer avec le RGPD. Or dans la mesure où l’IAB considérait initialement qu’il ne s’agissait pas d’une donnée personnelle, aucune mesure de mise en conformité n’avait été prise de leur côté. D’où la litanie de manquements retenue par la Cour des marchés. Il en irait donc de cette affaire comme de n’importe quelle banale affaire juridique, à savoir qu’une mauvaise qualification juridique initiale peut conduire à des manquements en chaîne. De ces affaires-là, les avocats du monde entier en mangent tous les jours au petit déjeuner. 71 pages de décisions pour ça, pour ce petit “ça”, quand même…
Seulement sur cette base, il faut particulièrement s’intéresser à ce qui conduit la Cour des marchés à considérer que la TC String est une donnée personnelle du point de vue de l’IAB Europe. Car si on arrive à démontrer qu’aujourd’hui, c’est-à-dire des années après que cette affaire a débuté, la TC String n’est plus une donnée personnelle du point de vue de l’IAB, alors tout le raisonnement tenu par la Cour des marchés devient nul et non avenu.
Dans sa décision, la Cour des marchés nous dit que si la TC String est une donnée personnelle du point de vue de l’IAB, c’est parce que l’IAB peut (par l’intermédiaire de ses policies) obtenir d’autres informations personnelles détenues par ses membres. C’est parce que l’IAB avait la possibilité d’obtenir des informations personnelles complémentaires que la TC String a pu être qualifiée de donnée personnelle du point de vue de l’IAB.
Les policies de l’IAB établissaient notamment :
A CMP will maintain records of consent, as required under the Policies and/or the Specifications and will provide the MO (i.e. IAB Europe) access to such records upon request without undue delay.
C’est cet élément qui a conduit la Cour des marchés à conclure que :
It is indisputable from all the aforementioned articles that, thanks to the information that its members and other organisations participating in the TCF are required to provide to it, IAB Europe has at its disposal resources that it and/or the participating organisations can reasonably be expected to use (or could use) to (in)directly identify a natural person.
Seulement ça c’était avant. L’IAB a depuis belle lurette revu ses policies. On ne trouve plus trace d’une quelconque obligation des CMP, éditeur ou autre, de fournir des données à l’IAB. Dès lors, il devient plus que raisonnable de penser que si la décision s’était concentrée sur la situation actuelle, alors la TC String n’aurait pas été considérée comme une donnée personnelle du point de vue de l’IAB. Et avec cette hypothèse, tout s’effondre doucement : pas donnée personnelle, pas de RGPD, pas de responsabilité conjointe, pas d’amende. Pour simplifier (car dans la vie il faut simplifier, sinon ça devient intenable, confer la décision de l’APD), l’IAB et son TCF auraient été laissés hors de cause.
C’est cette lecture, fondée sur le changement structurel des policies de l’IAB, qui nous permet d’affirmer, sans tambour ni trompette mais avec un haut degré de certitude, que le TCF n’est ni interdit, ni excommunié, ni même examiné dans sa forme actuelle . Il n'a pas été évalué à l’aune de son fonctionnement réel en 2025, ni de sa nouvelle gouvernance à venir (puisque un plan d’actions a été approuvé par l’APD l’année dernière). Ce n’est pas un système condamné, c’est un système non encore jugé dans sa nouvelle version.
Conclusion provisoire : le bal des malentendus
Tandis que les militants proclament la fin d’un monde et que l’industrie AdTech bricole des plans de conformité entre deux IPA tièdes, une évidence s’impose : rien n’est vraiment tranché.
Le TCF n’est ni sanctifié, ni interdit. L’APD n’a pas totalement gagné, ni vraiment perdu. L’IAB Europe est reconnue responsable sur certains points, mais échappe aux sanctions les plus lourdes. Et comme souvent dans les grandes séries européennes, un spin-off judiciaire est déjà en préparation.
À suivre donc…
.avif.avif){kind=tracking}
