Panorama rapide de l’actualité « Technologies de l’information » de la semaine du 4 mars 2024

Données personnelles

La vente aux enchères de données à caractère personnel à des fins publicitaires : la Cour clarifie les notions de données personnelles et de responsable de traitement

• La Cour de justice de l’Union européenne précise la notion de « données à caractère personnel » et de « responsable conjoint du traitement » dans un litige relatif à une vente aux enchères de données à caractère personnel à des fins publicitaires.
  Lorsqu’un site Internet ou une application contenant un espace publicitaire est consulté par un utilisateur, les entreprises, courtiers et plateformes publicitaires peuvent, en temps réel, enchérir pour obtenir cet espace publicitaire et y afficher des publicités ciblant l’utilisateur concerné.
  L’association sans but lucratif IAB Europe, établie en Belgique, représente les entreprises du secteur de l’industrie de la publicité et du marketing numérique au niveau européen. Cette association a élaboré une solution qu’elle considère comme permettant aux entreprises du secteur de se conformer au RGPD lors de ventes aux enchères de données à caractère personnel à des fins publicitaires.
  Le système élaboré par l’IAB Europe facilite l’enregistrement des préférences des utilisateurs qui sont ensuite codées et stockées dans une chaîne nommée « Transparency and Consent String » (ci-après « TC String »). Cette chaîne est partagée avec des courtiers en données à caractère personnel et des plateformes publicitaires afin de leur permettre de savoir ce à quoi l’utilisateur a consenti ou non. Un cookie est également placé sur l’appareil de l’utilisateur. La combinaison de ce cookie et de la TC String peut être liée à l’adresse IP de cet utilisateur.
  Plusieurs plaintes ont été déposées contre l’IAB Europe devant les juridictions nationales, puis la Cour de justice a été saisie de questions préjudicielles. Il lui était demandé de trancher le point de savoir si une TC String constituait une donnée à caractère personnel. Il était également demandé à la Cour de déterminer si l’IAB Europe devait être qualifiée de responsable du traitement des données dans le cadre du système qu’elle a mis en place.
  La Cour considère que le fait d’associer la TC String à l’adresse IP de l’appareil d’un utilisateur permet d’identifier cet utilisateur. Il en résulte que la TC String contient des informations concernant un utilisateur identifiable et qu’en conséquence elle constitue une donnée à caractère personnel. Par ailleurs, la Cour estime que l’IAB Europe influe sur les opérations de traitement de données à caractère personnel notamment lors de l’enregistrement des préférences en matière de consentement des utilisateurs dans une TC String. De ce fait, l’IAB Europe détermine, conjointement avec ses membres, les moyens et finalités de telles opérations. Ainsi, elle doit être considérée comme « responsable conjoint du traitement » au sens du RGPD. (CJUE, 7 mars 2024, C-604/22)

De la coopération à la responsabilité solidaire d’Europol et d’un État membre de l’UE

• La victime d’un traitement illicite de données personnelles à l’occasion d’une coopération entre Europol et un État membre n’est pas tenue de démontrer à laquelle de ces deux entités ce traitement illicite est imputable pour engager la responsabilité solidaire de l’une de ces entités
  Dans le cadre d’une enquête sur l’assassinat d’un...