Responsabilités des entreprises en matière de cookies

Les entrepreneurs qui font de la publicité en ligne ou utilisent des cookies sur leur site web seront désormais surveillés de plus près par les autorités de protection de la vie privée. C’est ce qui ressort d’un arrêt récent de la Cour des marchés (Cour d’appel de Bruxelles) dans une affaire opposant l’Autorité de protection des données (APD) à l’organisation sectorielle IAB Europe.

Selon le juge, le consentement numérique donné par les internautes via les bannières de cookies, par exemple pour voir des publicités personnalisées, relève de la législation européenne sur la protection de la vie privée (RGPD). Il s’agit de préférences d’internautes, techniquement enregistrées dans une « TC String ». Le tribunal estime que ces données constituent bel et bien des données à caractère personnel qui doivent, par conséquent, être collectées et utilisées dans le respect du RGPD. Par ailleurs, les entreprises doivent obtenir un consentement clair et valide, expliquer de manière transparente comment seront exploitées ces données et pouvoir prouver que le traitement est conforme.

IAB Europe a été rappelée à l’ordre par l’autorité de contrôle, car son système (Transparency and Consent Framework, TCF) n’offrait pas assez de garanties quant au contrôle des utilisateurs sur leurs données. Le tribunal n’est pas non plus parvenu à déterminer qui était responsable du traitement des informations. Selon le jugement, ce flou permettait aux entreprises de se décharger trop facilement de leurs obligations dans l’écosystème publicitaire.

IAB Europe s’est vu infliger une amende de 250.000 euros. Bien que la décision initiale ait été annulée pour des raisons de procédure, la sanction reste valable. De plus, le juge confirme que les organisations comme IAB Europe sont coresponsables du traitement du consentement aux cookies, même si elles ne diffusent pas elles-mêmes de publicités.

Pour les entreprises, cela signifie qu’elles sont également responsables des données générées par l’utilisation de cookies ou de publicités personnalisées. Il ne leur est donc plus possible de se retrancher derrière le fournisseur de logiciels ou la plateforme publicitaire. Cet arrêt rappelle que la protection de la vie privée n’est pas un principe abstrait, mais un point d’attention bien réel pour toute entreprise ayant une présence en ligne. En d’autres termes, il est essentiel d’analyser de manière critique vos bannières de cookies, vos formulaires de consentement et vos partenaires publicitaires, afin d’éviter toute sanction.
Lire plus