L'autorité de protection des données inflige une amende de 250 000 euros à une association de marketing en ligne
L'APD remet de l'ordre dans l'industrie de la publicité en ligne : elle estime qu'un mécanisme de l'entreprise IAB Europe viole le RGPD.
- Publié le 02-02-2022 à 11h34
- Mis à jour le 03-02-2022 à 08h16
L'autorité de protection des données (APD) a décidé de passer à l'action après avoir reçu une série de plaintes, depuis 2019, visant Interactive Advertising Bureau Europe (IAB), une association spécialisée dans la publicité en ligne, dont plusieurs annonceurs sont membres.
Le "Transparency and Consent Framework" (TCF), soit le cadre de transparence et de consentement fixé par l'association, "violait plusieurs dispositions du RGPD (Règlement général sur la protection des données, NdlR)", précise l'APD.
Résultat des courses ? 250 000 euros d'amende. L'APD donne également deux mois à l'association pour se remettre en ordre.
"Depuis 2019, l'APD a reçu toute une série de plaintes visant Interactive Advertising Bureau Europe (IAB Europe). Ces plaintes contestaient la conformité du "Transparency & Consent Framework (TCF)" avec le RGPD. Développé par IAB Europe, le TCF vise à favoriser le respect du RGPD par les organisations utilisant le protocole OpenRTB", précise l'ADP. Ce protocole est utilisé pour le "Real TIme Bidding", soit les enchères en ligne. Ici, ce sont les profils d'utilisateurs qui étaient vendus aux annonceurs pour la vente d'espaces publicitaires.
Enchères sur les profils des consommateurs potentiels
Quand "des utilisateurs accèdent à un site Internet ou à une application qui contient un espace publicitaire, les entreprises de technologie, qui représentent des milliers d'annonceurs, peuvent enchérir instantanément ("en temps réel") en coulisse pour cet espace publicitaire via un système d'enchères automatisé utilisant des algorithmes, afin d'afficher des publicités ciblées spécifiquement adaptées au profil de ces personnes", précise l'APD.
"Lorsque des utilisateurs visitent un site Internet ou une application pour la première fois, une interface (une plateforme de gestion du consentement dite Consent Management platform ou CMP) apparaît leur permettant de consentir à la collecte et au partage de leurs données à caractère personnel ou de s'opposer à différents types de traitements basés sur les intérêts légitimes des fournisseurs dits ad tech. C'est là qu'intervient le TCF : il facilite l'enregistrement des préférences des utilisateurs via la CMP", ajoute encore l'APD. Cette plateforme de consentement stocke un "cookie" à ce propos sur l'appareil de l'utilisateur.
L'autorité, après analyse des plaintes, reproche donc à IAB Europe de ne pas avoir établi de base légale pour le traitement de ces données et de ne pas être suffisamment transparent pour les utilisateurs, qui ne peuvent dès lors pas avoir de réel contrôle sur leurs données personnelles. De plus, elle pointe certains éléments qui prouveraient le manque de rigueur de IAB en ce qui concerne la protection des données, dont certaines obligations, comme devoir tenir un registre des activités de traitement, la désignation d'un responsable à la protection des données, etc.
"Les utilisateurs sont invités à donner leur consentement alors que la plupart d'entre eux ne savent pas que leur profil est vendu à maintes reprises chaque jour afin de leur montrer des publicités ciblées. Même si elle concerne le TCF et non l'ensemble du système d'enchères en temps réel, notre décision d'aujourd'hui aura un impact significatif sur la protection des données à caractère personnel des internautes. Il faut rétablir l'ordre au sein du système TCF afin que les utilisateurs reprennent le contrôle de leurs données", a pour sa part déclaré Hielke Hijmans, président de la Chambre Contentieuse de l'APD.
