TCF: la justice confirme l’amende contre IAB Europe, tout en annulant la décision pour vice de procédure

Dans un arrêt rendu le 14 mai 2025, la Cour des marchés a confirmé le fond de la décision de l’Autorité de protection des données belge (APD) à l’encontre d’IAB Europe, tout en l’annulant sur la forme.

Image générée avec l'IA

La Cour des marchés (Cour d’appel belge) a rendu un arrêt très attendu dans l’affaire opposant l’Autorité de protection des données belge (APD) à l’association IAB Europe, acteur central dans le domaine de la publicité et du marketing en ligne.

Si la Cour a annulé la décision initiale de l’APD pour des raisons de procédure, elle en a néanmoins validé le fond, confirmant notamment la qualification de données personnelles de la “TC String”” et le rôle de responsable conjoint du traitement attribué à IAB Europe dans le cadre de son Transparency and Consent Framework (TCF). IAB Europe va donc être contraint de payer une amende de 250.000 euros, comme l’avait demandé l’APD.

Le rôle du TCF dans la publicité ciblée

Au cœur de cette affaire se trouve le Transparency and Consent Framework (TCF) d’IAB Europe, un outil largement utilisé pour gérer le consentement des internautes à la publicité personnalisée, notamment dans les systèmes d’enchères en temps réel (Real-Time Bidding ou RTB). Le TCF permet de stocker les préférences des utilisateurs sous forme d’une chaîne de caractères structurée appelée “TC String”, utilisée pour diffuser des annonces ciblées.

Retour sur les temps forts de l’affaire

Le 2 février 2022, l’APD belge avait rendu la décision 21/2022, dans laquelle elle concluait que la “TC String” devait être considérée comme une donnée personnelle au sens du Règlement général sur la protection des données (RGPD). Elle considérait également qu’IAB Europe était responsable conjoint du traitement des préférences des utilisateurs au sein du TCF.

Suite à cela, IAB Europe avait introduit un recours devant la Cour des marchés. En septembre 2022, cette dernière a suspendu la procédure afin de poser deux questions préjudicielles à la Cour de justice de l’Union européenne (CJUE), notamment sur la qualification juridique de la “TC String” et la responsabilité d’IAB Europe.

En mars 2024, la CJUE a rendu son arrêt dans l’affaire C-604/22, confirmant l’analyse de l’APD belge: la “TC String” peut bien être qualifiée de donnée à caractère personnel, et IAB Europe peut être considéré comme responsable conjoint du traitement.

C’est sur la base de cette conclusion que la Cour des marchés confirme une fois pour toute cette décision, trois ans plus tard.

Toutefois, la Cour a annulé la décision 21/2022 pour des motifs procéduraux non précisés à ce stade. Elle a néanmoins maintenu l’amende de 250.000 euros imposée par l’APD, estimant que les fondements juridiques de la sanction restaient valables.

Les réactions face au verdict

Hielke Hijmans, président de la Chambre contentieuse de l’APD, a salué l’arrêt comme une validation du travail de l’autorité: “Ce qu’il est important de retenir ici, c’est que cette décision confirme notre position quant à la nature des données concernées et la responsabilité d’IAB Europe. C’est une clarification importante pour l’ensemble du secteur.”

L’Alliance Digitale salue quant à elle l’annulation de la décision de l’APD et la confirmation de la légalité du TCF. Elle salue la fin d’une procédure longue de presque cinq ans, qu’elle considère comme un frein à l’évolution d’un standard commun.

“Cette décision ouvre désormais la voie à l’adoption du Transparency & Consent Framework (TCF) en tant que code de conduite transnational, au bénéfice des consommateurs, des entreprises et des autorités de régulation. Nous sommes confiants que cette démarche sera accueillie favorablement par les autorités de protection des données et invitons la CNIL à y prendre part activement.”, déclare l’association.

Chronologie de l’affaire IAB Europe

2 février 2022 : L’APD belge rend sa décision 21/2022, impose une amende et demande un plan d’action.
7 septembre 2022 : La Cour des marchés saisit la CJUE de questions préjudicielles.
11 janvier 2023 : L’APD approuve le plan d’action d’IAB Europe.
21 septembre 2023 : Audience devant la CJUE.
7 mars 2024 : La CJUE confirme que la TC String est une donnée personnelle.
14 mai 2025 : La Cour des marchés confirme le fond de la décision, mais l’annule pour vice de procédure.