Arrêt CJUE IAB Europe : la responsabilité ne s’arrête plus à l’éditeur

Ce que la Cour a tranché

Saisie au sujet du cadre de consentement de l’IAB (le TCF), la Cour a retenu deux points structurants. D’abord, la chaîne de caractères qui encode les choix de l’utilisateur, la « TC string », est une donnée à caractère personnel dès lors qu’elle peut être rattachée à un identifiant tel qu’une adresse IP.

Ensuite, un acteur qui détermine, avec d’autres, les finalités et les moyens du traitement peut être responsable conjoint, même sans accéder lui-même aux données. La responsabilité ne suppose pas de manipuler la donnée : il suffit d’organiser la façon dont elle circule.

Pourquoi toute la chaîne est concernée

Un SSP, un DSP, une régie, un partenaire de mesure ne se contentent pas de recevoir des données : ils prennent part à un système commun qui définit comment le consentement est encodé, transmis puis exploité. C’est le raisonnement même que retient la Cour.

La conséquence est concrète. Recevoir une requête accompagnée d’un signal de consentement ne suffit plus à se couvrir si, en réalité, ce signal ne reflète pas le choix de l’utilisateur, ou si le SDK a agi avant que ce choix soit exprimé.

Le maillon que personne ne voit

Ce maillon se joue dans l’application, sur l’appareil, hors de portée des serveurs du fournisseur. Un éditeur peut mal intégrer un SDK : le déclencher trop tôt, ignorer un refus, mal câbler sa bannière. Le fournisseur, lui, ne voit qu’une requête entrante, déjà mise en forme.

Des analyses indépendantes ont documenté des cas où des acteurs recevaient des données malgré un refus, ou déposaient des identifiants avant tout consentement. Vu du serveur, rien d’anormal. Vu de l’appareil, l’écart est net.

Ce que la justice a tranché depuis

L’arrêt de la Cour de justice n’était qu’un renvoi préjudiciel : restait à la justice belge à appliquer la grille. C’est fait. Le 14 mai 2025, la cour des marchés de Bruxelles a confirmé le fond de la décision de l’autorité belge : la TC string est bien une donnée personnelle, et IAB Europe est bien responsable conjoint du traitement qu’elle organise au sein du TCF. La décision initiale est annulée pour un vice de procédure, mais l’amende de 250 000 euros est maintenue et la qualification survit au contrôle du juge.

La cour trace aussi une limite : IAB Europe ne répond pas des traitements que les participants du TCF mènent ensuite chacun pour leur propre compte. Autrement dit, la responsabilité conjointe s’arrête là où commence le traitement propre de chaque acteur, et c’est précisément sur ce terrain, ce que votre SDK fait réellement des données, que chacun est désormais attendu. Un nouvel arrêt, le 9 janvier 2026, a par ailleurs annulé la validation du plan de mise en conformité du cadre par l’autorité belge : IAB Europe a obtenu gain de cause sur le périmètre des mesures correctrices.

La précaution raisonnable

La parade n’est pas d’abord juridique, elle est factuelle : savoir ce que votre SDK fait réellement une fois intégré, sur de vraies applications. À quel moment il se déclenche, ce qu’il envoie, ce qu’il continue d’émettre après un refus.

C’est l’objet d’une vérification d’intégration côté régie et adtech : documenter le comportement réel du SDK sur le terrain, application par application, pour ne pas découvrir un écart en même temps que le régulateur.

Sources

Chaque constat de cet article renvoie à l’un de ces documents.

1. CJUE ’24Arrêt C-604/22, IAB Europe contre APDCour de justice de l’Union européenne, 7 mars 2024
2. Belgique ’25La cour des marchés se prononce dans l’affaire IAB EuropeAutorité de protection des données belge, communiqué sur l’arrêt du 14 mai 2025
3. IAB ’26IAB Europe wins appeal against APD decision on TCF corrective measuresIAB Europe, janvier 2026