La Cour d’appel de Bruxelles a tranché : les bannières de consentement aux cookies fondées sur le Transparency & Consent Framework (TCF) de l’IAB Europe violent le Règlement général sur la protection des données (RGPD). En toile de fond, c’est toute la mécanique de la publicité fondée sur le suivi qui vacille — une mécanique utilisée massivement par des géants comme Google, Amazon, Microsoft ou encore X.
Cette décision historique du 14 mai 2025, qui fait suite à une enquête de l’Autorité belge de protection des données, confirme que le système utilisé par des milliers de sites web à travers l’Europe pour afficher ces bandeaux de cookies est illégal.
Dans un billet de blog très clair, l’équipe de Tuta s’interroge : les bannières de cookies sont-elles tout simplement illégales ? La réponse semble désormais pencher vers le oui, du moins dans leur forme actuelle, lorsqu’elles reposent sur le TCF. Ce standard technique est utilisé pour orchestrer les enchères publicitaires en temps réel (Real-Time Bidding ou RTB), qui reposent sur la collecte de données personnelles de l’utilisateur en quelques millisecondes à chaque visite de site.
Le problème, c’est que selon la Cour, ce système enfreint plusieurs principes du RGPD : le consentement n’est ni libre ni éclairé, la transparence est insuffisante, et la sécurité des données personnelles est jugée déficiente. De plus, l’argument souvent avancé par les publicitaires, celui du « légitime intérêt », est explicitement rejeté par les juges. Autrement dit, les fameux bandeaux proposant d’accepter les cookies « pour des raisons légitimes » n’ont aucune base légale dans ce contexte.
Ce jugement conforte la position du Irish Council for Civil Liberties, à l’origine de la plainte. Son directeur, Johnny Ryan, dénonce depuis des années une « façade » qui transforme le RGPD en gêne quotidienne pour les internautes, alors qu’il devait les protéger. Selon lui, cette décision crée désormais une obligation claire pour l’industrie publicitaire : innover en dehors du pistage et construire un modèle publicitaire plus respectueux de la vie privée.
La portée de cette décision est européenne, car elle découle d’une procédure dite « one-stop-shop ». Elle pourrait obliger de nombreux éditeurs, régies et géants du numérique à revoir leurs systèmes de gestion du consentement. Un signe ne trompe pas : Google a déjà commencé à proposer un bouton “Tout refuser” sur certaines plateformes, preuve que le vent tourne.
Pour de nombreux observateurs, cette décision est un tournant. Comme le rappelle Tuta, il devient clair que « le système actuel de bandeaux de cookies n’a jamais permis un vrai choix pour les internautes ». Le RGPD exige bien plus que des popups cliquables : il exige une véritable maîtrise de ses données personnelles.
