Le 30 juillet 2026, l’association autrichienne noyb a déposé auprès de la Datenschutzbehörde, l’autorité autrichienne de protection des données, une plainte contre dict.cc GmbH, la société viennoise qui édite le dictionnaire en ligne dict.cc. Selon la plainte, un internaute s’est rendu sur le site le 7 juillet 2026 à 14 h 45, a vu s’afficher un bandeau qui demandait son accord pour le compte de « Technologiepartner (1721) », puis a cliqué sur « Alle akzeptieren und Website besuchen » (« tout accepter et visiter le site ») pour chercher une traduction. noyb soutient qu’aucun consentement ne peut être « éclairé » quand il couvre 1 721 destinataires.
Ce 30 octobre, la procédure atteint 3 mois, le délai dans lequel la loi autrichienne oblige l’autorité à informer le plaignant de l’état de l’instruction. La fiche de suivi publiée par noyb ne mentionne, à cette date, qu’un seul acte : le dépôt. Le même jour, le bandeau de dict.cc consulté depuis la France n’affichait plus que 76 partenaires.
La plainte ne reproche pas à dict.cc un bouton mal placé ; elle demande à une autorité de dire si un clic peut encore valoir accord pour une chaîne publicitaire que personne, pas même l’éditeur du site, ne peut lire en entier.
Ce que la plainte établit
Le texte, publié caviardé en allemand et en traduction automatique anglaise, tient en 8 pages et 33 paragraphes. Le plaignant, dont l’identité est masquée, est représenté par noyb au titre de l’article 80(1) du RGPD. Il a enregistré sa visite en vidéo et dans des fichiers techniques de navigation, joints en annexe mais non publiés. La capture du bandeau reproduite dans la plainte a été « prise lors d’une autre visite », précise sa légende. Elle montre 2 boutons au 1er niveau : « Auswahlmöglichkeiten anpassen » (« personnaliser les choix ») et le bouton d’acceptation.
Le reproche porte sur l’information, pas sur la forme du bandeau. Le sous-menu listait 1 721 partenaires, dont les politiques de confidentialité sont « souvent disponibles en anglais seulement », alors que le bandeau capturé est rédigé en allemand ; la plainte cite celle de Vibe Advertising. Elle ajoute que ces partenaires déclarent eux-mêmes transmettre des données à d’autres entités, en renvoyant à la politique d’InMobi et à l’arrêt de la Cour de justice de l’Union européenne du 7 mars 2024 sur IAB Europe. noyb invoque l’article 4(11) du RGPD, qui exige un consentement « éclairé », le principe de transparence de l’article 5(1)(a), le considérant 58, qui vise justement la publicité en ligne et la multiplicité des acteurs, et la jurisprudence Planet49 : l’information doit permettre à l’utilisateur de « déterminer facilement les conséquences » de son consentement (traduit par ELMARQ).
La démonstration repose sur un calcul de temps. À 1 minute par partenaire, il faudrait 1 721 minutes, soit 28 heures et 41 minutes. La plainte mesure ensuite, avec un outil en ligne réglé sur 250 mots par minute, les politiques des 3 premiers partenaires du bandeau : environ 12 minutes pour VDX.tv, 32 pour Captify et 36 pour Roq.ad, 80 minutes en tout. Avec une hypothèse de 6 minutes par partenaire, elle obtient 10 326 minutes. Ce sont des hypothèses et des mesures de la plainte, pas des constats d’une autorité.
Les demandes sont classiques : constater une violation des articles 6(1) et 5(1)(a), ordonner l’effacement des données du plaignant et l’information de tous leurs destinataires (article 58(2)(g)), interdire tout traitement sans consentement valide (article 58(2)(f)) et prononcer une amende. La plainte affirme que dict.cc « semble » réaliser un chiffre d’affaires de plusieurs millions d’euros et un bénéfice d’au moins plusieurs centaines de milliers d’euros, surtout grâce à la publicité ; les annexes qui l’étayeraient ne sont pas publiées.
Ce que la plainte n’établit pas
Rien n’est jugé. Une plainte est une demande adressée à une autorité, et la Datenschutzbehörde n’a publié aucune position. Le 30 juillet, ORF écrivait qu’aucune prise de position de dict.cc n’était disponible « dans un premier temps » ; ELMARQ n’en a trouvé aucune depuis, ni sur le site ni dans la presse autrichienne de référence.
Le chiffre lui-même n’est pas stable. La plainte écrit 1 721 à 2 reprises. Le communiqué de noyb, publié le même jour, annonce 1 741 partenaires, chiffre repris par futurezone et la presse autrichienne ; la fiche de suivi parle de « plus de 1 700 ». L’écart de 20 n’est pas expliqué ; un comptage à une autre date est possible, mais aucune pièce ne le montre. ELMARQ retient le chiffre de la plainte, seul rattaché à une visite datée.
Le calcul comporte une erreur mineure et une ambiguïté. Selon le calcul d’ELMARQ, 10 326 minutes font 172 heures et 6 minutes, et non 172 heures et 5 minutes comme l’écrit la plainte, soit 7 jours, 4 heures et 6 minutes. Plus loin, la plainte suppose que chaque partenaire travaille avec 100 autres et obtient 172 100 destinataires « d’un seul clic » : ce produit ne compte que les sous-partenaires, et l’on arrive à 173 821 en ajoutant les 1 721 partenaires directs, selon le calcul d’ELMARQ. Surtout, ce 2e étage est une hypothèse posée pour l’exemple, pas un dénombrement. Quant aux 3 politiques mesurées, elles ne forment pas un échantillon : leur moyenne d’environ 27 minutes, extrapolée à 1 721 partenaires, donnerait près de 765 heures, un ordre de grandeur et rien de plus.
Enfin, la plainte ne dit rien de ce qui a réellement circulé. Afficher un partenaire dans une liste n’est pas lui transmettre une donnée, et la capture d’une visite ne vaut pas pour toutes. Les fichiers techniques qui permettraient de le vérifier font partie des annexes non publiées.
Le mécanisme : 1 clic, 1 721 décisions déléguées
Le bandeau de dict.cc n’est pas un objet isolé. La plupart des sites financés par la publicité programmatique s’appuient sur une plateforme de gestion du consentement et, souvent, sur le Transparency and Consent Framework (TCF) d’IAB Europe. Le choix de l’internaute y est codé dans une chaîne de caractères, la « TC String », transmise aux plateformes d’enchères pour qu’elles sachent à quoi il a consenti. Le 7 mars 2024, la Cour de justice a jugé que cette chaîne est une donnée personnelle et qu’IAB Europe peut être responsable conjoint de son traitement, sous réserve des vérifications de la juridiction belge.
Le nombre de partenaires suit une logique économique. Dans les enchères en temps réel que décrit la Cour, des entreprises, courtiers et plateformes « qui représentent des milliers d’annonceurs » se disputent chaque espace publicitaire ; chaque partenaire autorisé est un acheteur, un intermédiaire ou un outil de mesure de plus. La liste mondiale des vendeurs du TCF comptait, dans sa version du 29 octobre 2026, 1 036 vendeurs actifs, selon le décompte d’ELMARQ. La liste de juillet de dict.cc dépassait donc de 685 l’ensemble des vendeurs actifs du TCF en octobre. ELMARQ ne dispose pas de la liste de juillet ; le bandeau actuel sépare d’ailleurs des « partenaires qui ne font pas partie de l’IAB TCF ».
L’argument de noyb n’est pas nouveau pour les autorités. Le 2 février 2022, l’Autorité belge de protection des données, qui a infligé 250 000 euros d’amende à IAB Europe, écrivait déjà, au point 435 de sa décision, que les destinataires du consentement sont « si nombreux que les utilisateurs auraient besoin d’un temps disproportionné pour lire ces informations, ce qui signifie que leur consentement peut rarement être suffisamment éclairé ». Cette décision a été contestée : selon IAB Europe, la Cour des marchés de Bruxelles a limité le 14 mai 2025 sa responsabilité au traitement de la TC String, puis, selon IAB Europe encore, annulé en janvier 2026 la validation de son plan d’action. ELMARQ n’a trouvé aucune décision publiée qui tranche la question du nombre de destinataires pour un éditeur de site.
Le 30 octobre 2026, ELMARQ a consulté dict.cc depuis la France. Le bandeau, intitulé « Wir schätzen Ihre Privatsphäre » (« nous respectons votre vie privée »), proposait au 1er niveau « Alles ablehnen » et « Alles akzeptieren » (« tout refuser », « tout accepter ») et un onglet « 76 Partner ». Ce relevé unique ne vaut que pour ce pays et ce moment ; la cause de l’écart avec juillet n’est pas déterminée. Il montre au moins qu’un même site peut demander un accord pour 1 721 partenaires ou pour 76, soit environ 4,4 % du premier chiffre selon le calcul d’ELMARQ, et que ce nombre est un réglage, pas une fatalité technique.
L’arbitrage déplacé : qui choisit vraiment les 1 721
La plainte vise dict.cc, et c’est logique : le site est celui qui demande l’accord. Mais la page de confidentialité de dict.cc indique que le site « fait appel à des prestataires tiers pour diffuser des annonces » (traduit par ELMARQ), avec un lien vers la politique de Snigel, une régie de monétisation dont les scripts se chargeaient lors de notre consultation. Dans ce modèle courant, la liste de partenaires est le plus souvent paramétrée avec la régie, tandis que l’éditeur la présente sous son nom ; la plainte ne dit pas qui a composé celle de dict.cc.
Le droit répartit la charge selon le rôle de chacun, et c’est à l’autorité de l’établir. Dans l’arrêt Fashion ID du 29 juillet 2019, la Cour de justice a jugé que le gestionnaire d’un site intégrant un module de Facebook peut être responsable conjoint de la collecte et de la transmission des données, mais « en principe » pas de leur traitement ultérieur par le destinataire. Transposé avec prudence, un éditeur répond de ce qu’il fait collecter et transmettre depuis ses pages, pas nécessairement de ce que le 1 000e partenaire fait ensuite. Nous l’avions montré le 18 octobre dans l’autre sens, à propos de la sanction de Xandr en Norvège : un intermédiaire publicitaire qui se fie au consentement recueilli par l’éditeur répond quand même de ce consentement. La plainte contre dict.cc teste l’autre bout de la même chaîne.
Dans les faits, l’arbitrage se fait ailleurs encore. L’internaute pressé de traduire un mot tranche par défaut, en 1 clic, pour 1 721 décisions qu’il ne lira pas. L’éditeur arbitre entre recettes publicitaires et longueur de la liste, souvent dans les paramètres d’un prestataire. Le nombre de partenaires est une décision commerciale qui se présente à l’écran comme une question posée à l’utilisateur. C’est ce déplacement, de l’éditeur vers l’internaute, que la plainte demande à l’autorité d’examiner ; elle seule dira s’il est licite.
Le schéma rejoint celui que nous décrivions le 29 octobre à propos des plaintes de noyb contre Scale AI : derrière une interface simple, une chaîne de tiers que l’utilisateur final ne voit pas, et une responsabilité qui dépend du rôle réel de chaque maillon.
Les échéances datées de la procédure autrichienne
La lecture proposée ici se vérifiera sur des dates. Depuis ce 30 octobre, 3 mois après le dépôt, la Datenschutzbehörde doit avoir informé le plaignant de l’état de l’instruction ; à défaut, le paragraphe 24 de la loi autrichienne sur la protection des données et l’article 78(2) du RGPD lui ouvrent un recours devant le tribunal administratif fédéral. Cette information n’a pas à être publique ; un recours, en revanche, se verrait. La règle générale de procédure, le paragraphe 73 de la loi autrichienne de procédure administrative, fixe ensuite un délai de décision de 6 mois, soit vers le 30 janvier 2027, sous réserve des périodes que la loi exclut du décompte.
Ce délai n’est pas une promesse : en juin 2025, selon heise online, noyb a assigné les autorités de Hesse et de Rhénanie-du-Nord-Westphalie pour n’avoir pas tranché des plaintes de 2021 sur des bandeaux de presse. Le communiqué de noyb envisage aussi que l’autorité autrichienne saisisse le Comité européen de la protection des données pour avis, vu la portée générale de l’affaire ; ce renvoi, s’il intervient, serait public et ferait du nombre de partenaires une question européenne. Enfin, le bandeau de dict.cc lui-même est observable par tous : chacun peut vérifier si les 76 partenaires relevés le 30 octobre depuis la France se retrouvent dans d’autres pays et se maintiennent jusqu’à la décision.
Les faits proviennent de la plainte C107 de noyb datée du 30 juillet 2026, lue en entier dans sa version originale allemande et dans sa traduction automatique anglaise, publiées caviardées ; ses annexes ne sont pas publiées. Le communiqué de noyb (versions anglaise, allemande et française) et sa fiche de suivi sont datés du 30 juillet 2026, la fiche ayant été consultée le 30 octobre 2026. La réaction de dict.cc est rapportée selon ORF. Le relevé du bandeau a été fait par ELMARQ le 30 octobre 2026 depuis la France, sans contournement ; il ne vaut que pour cette consultation. Le décompte des vendeurs du TCF porte sur la version 183 de la liste publiée par IAB Europe le 29 octobre 2026. Les arrêts de la Cour de justice sont cités d’après ses communiqués de presse n° 44/24 et 99/19 ; les suites des recours belges, d’après IAB Europe. Les calculs signalés sont d’ELMARQ. Les citations de l’allemand et de l’anglais sont traduites par ELMARQ.
