L’autorité européenne de protection des données a estimé que le standard sur lequel se basait l’ensemble de l’industrie pour le recueil des données n’était pas compatible avec le RGPD. Douche froide sur la pub en ligne.
Tous les services juridiques et les cabinets d’avocats spécialisés sont en émoi. L'industrie européenne de la publicité ciblée va être contrainte de revoir ses pratiques de recueil de consentement des internautes pour l'utilisation de leurs données, après une décision de l'Autorité européenne de la protection des données, menée par l’autorité belge (APD). Une décision symboliquement forte puisqu’elle concerne l’organisme d’harmonisation et de standardisation juridique entre les pays européens, qui ne serait donc, pas conforme au RGPD.
Concrètement, l'APD a publié mercredi une décision de 150 pages jugeant non conforme à la législation européenne le standard IAB de recueil du consentement des internautes construit par IAB Europe. Intitulé Transparency and Consent Framework, ce standard est censé harmoniser les méthodes de recueils des données entre les différents pays d’Europe, pour que tout le monde soit conforme au RGPD – sachant que son interprétation peut différer d’un pays à un autre. Mais après une plainte de plusieurs associations dont le Irish Council for Civil Liberties (ICCL), l’Autorité avait enquêté et annoncé avoir trouvé plusieurs points d’achoppement. Elle a donné deux mois à IAB Europe pour mettre en conformité son modèle, sur lequel se base la quasi-totalité des sites internet, parmi les plus gros (Google, Amazon...) et lui a également infligé une amende de 250 000 euros.
Lire aussi: La Cnil bien plus sévère en 2021
Pour l’IAB Europe, c’est une bataille qui commence. «Nous pensons que cette décision n'est pas juridiquement fondée, et qu'elle aura des répercussions négatives majeures bien au-delà de l'industrie publicitaire», a-t-elle estimé dans un communiqué, ajoutant qu’elle «examine toutes les options quant à un éventuel appel».
Mais l’IAB France estime pour sa part voir le verre à moitié plein, et se félicite «de voir que cette dernière (décision) ne comporte aucune interdiction du TCF et considère que les infractions reprochées à l’IAB Europe peuvent être corrigées rapidement.» Autrement dit, le principe de base du TCF est validé - une harmonisation entre différentes entreprises -, ne reste qu’à en définir convenablement les contours, dans une optique de mise en conformité à une loi évolutive. Même si selon nos informations, l’amende reste très importante au regard du budget annuel global de l’IAB Europe.
Lire aussi: La Cnil tire la sonnette d'alarme
«C'est une décision importante pour les acteurs de la publicité numérique, car cela remet en cause bon nombre de leurs modèles», a déclaré Florence Chafiol, avocate spécialiste des données personnelles au sein du cabinet August Debouzy. Même si c’est clairement dans «l’esprit» des autorités européennes de serrer la vis sur la question des données personnelles depuis plusieurs mois. En France, les amendes de la Cnil ont augmenté de 55% en 2021, vs 2020.
De son côté, l’ONG à l’origine de la plainte ICCL a salué une décision qui va renforcer les droits des internautes face au profilage publicitaire. Et elle estime pour sa part que «toutes les données collectées» via le modèle invalidé par l'APD «doivent être effacées sur le champ par les plus des 1 000 entreprises qui payent IAB Europe pour l'utiliser», a-t-elle affirmé. Point sur lequel, les juristes planchent, justement.
