Arrêt CJUE IAB Europe : la responsabilité ne s’arrête plus à l’éditeur
Pendant longtemps, un fournisseur de SDK publicitaire a pu considérer que le consentement était l’affaire de l’éditeur : à lui d’afficher la bannière, à lui de recueillir le choix. L’arrêt rendu par la Cour de justice de l’Union européenne en mars 2024 a déplacé cette ligne.
Ce que la Cour a tranché
Saisie au sujet du cadre de consentement de l’IAB (le TCF), la Cour a retenu deux points structurants. D’abord, la chaîne de caractères qui encode les choix de l’utilisateur, la « TC string », est une donnée à caractère personnel dès lors qu’elle peut être rattachée à un identifiant tel qu’une adresse IP.
Ensuite, un acteur qui détermine, avec d’autres, les finalités et les moyens du traitement peut être responsable conjoint, même sans accéder lui-même aux données. La responsabilité ne suppose pas de manipuler la donnée : il suffit d’organiser la façon dont elle circule.
Pourquoi toute la chaîne est concernée
Un SSP, un DSP, une régie, un partenaire de mesure ne se contentent pas de recevoir des données : ils prennent part à un système commun qui définit comment le consentement est encodé, transmis puis exploité. C’est le raisonnement même que retient la Cour.
La conséquence est concrète. Recevoir une requête accompagnée d’un signal de consentement ne suffit plus à se couvrir si, en réalité, ce signal ne reflète pas le choix de l’utilisateur, ou si le SDK a agi avant que ce choix soit exprimé.
Le maillon que personne ne voit
Ce maillon se joue dans l’application, sur l’appareil, hors de portée des serveurs du fournisseur. Un éditeur peut mal intégrer un SDK : le déclencher trop tôt, ignorer un refus, mal câbler sa bannière. Le fournisseur, lui, ne voit qu’une requête entrante, déjà mise en forme.
Des analyses indépendantes ont documenté des cas où des acteurs recevaient des données malgré un refus, ou déposaient des identifiants avant tout consentement. Vu du serveur, rien d’anormal. Vu de l’appareil, l’écart est net.
La précaution raisonnable
La parade n’est pas d’abord juridique, elle est factuelle : savoir ce que votre SDK fait réellement une fois intégré, sur de vraies applications. À quel moment il se déclenche, ce qu’il envoie, ce qu’il continue d’émettre après un refus.
C’est l’objet d’une vérification d’intégration côté régie et adtech : documenter le comportement réel du SDK sur le terrain, application par application, pour ne pas découvrir un écart en même temps que le régulateur.