La Corte d'appello belga di Marktenhof ha Trasparenza- e il sistema di gestione del consenso (Transparency & Consent Framework, TCF) dell’associazione di categoria della pubblicità online IAB Europe è stato dichiarato illegale. La sentenza fa seguito a una decisione dell’autorità belga per la protezione dei dati GBA (Gegevensbeschermingsautoriteit). La sentenza dovrebbe avere ripercussioni nell’UE sulla tracciamento-basato Pubblicità hanno.
"TC String" viola il GDPR
Con la decisione n. 21/2022 del 2 febbraio 2022, l'Autorità belga per la protezione dei dati (GBA) ha dichiarato che IAB Europe, con il TCF (versione 2.0) da essa sviluppato, ha violato le disposizioni essenziali della legge sulla privacy. GDPR era stato violato. Al centro di questa vicenda c'era la cosiddetta "stringa TC". Si tratta di una stringa di caratteri strutturata con la quale le preferenze dell'utente per la personalizzazione del Pubblicità sono memorizzati. Il GBA ha classificato la stringa TC come dati personali e ha considerato IAB Europe come (congiuntamente) Persone responsabili . Ha inflitto una sanzione pecuniaria pari a 250.000 euro e ha fissato un termine di due mesi per un GDPRPiano d'azione conforme a [...].
La decisione è stata presa nell'ambito del Sportello unico-La decisione è stata presa nell'ambito di una procedura condotta con il sostegno di altre autorità di vigilanza europee e ha avuto rilevanza a livello europeo.
IAB Europe ha presentato un ricorso contro la decisione del GBA.
La decisione del TCF al vaglio della Corte d'Appello
Con una sentenza provvisoria (“tussenarrest”), la Corte d’appello competente “Marktenhof” di Bruxelles ha innanzitutto confermato la ricevibilità formale del ricorso presentato da IAB Europe. A quel punto, tuttavia, non era ancora stata emessa alcuna decisione nel merito.
Il Marktenhof ha inizialmente sospeso il procedimento e ha sottoposto alla Corte di giustizia dell’Unione europea (CGUE) due questioni pregiudiziali ai sensi dell’art. 267 TFUE. Da un lato, la Corte d’appello ha chiesto se la cosiddetta „TC String“ – ovvero una stringa di caratteri strutturata per la memorizzazione dei consensi e dei rifiuti degli utenti – possa essere considerata Dati personali ai sensi dell'art. 4 n. 1 GDPR sia da considerarsi un responsabile del trattamento. D'altro canto, il Marktenhof ha voluto chiarire se un'organizzazione come IAB Europe, che standardizza e specifica un quadro tecnico per la gestione del consenso, possa essere considerata un (comune) responsabile del trattamento ai sensi dell'art. 4 n. 7 del GDPR. GDPR L'azienda deve essere considerata un'organizzazione indipendente, sebbene non abbia un controllo diretto sulle specifiche operazioni di trattamento.
Con questa proposta si intendeva garantire la certezza del diritto alle autorità nazionali di controllo della protezione dei dati e agli operatori del mercato. La qualificazione, dal punto di vista della normativa sulla protezione dei dati, di tali quadri normativi settoriali non è stata finora chiarita in modo definitivo né a livello europeo né dalla giurisprudenza.
La Corte di giustizia dell'Unione europea si pronuncia sul caso TC String e sulla responsabilità di IAB Europe
Con sentenza del marzo 2024, la Corte di giustizia dell’Unione europea si è pronunciata sulle due questioni sottoposte dal Marktenhof relative alla qualificazione, ai fini della protezione dei dati, del TC String e alla possibile responsabilità dell’IAB Europe.
Le stringhe TC come dati personali
In primo luogo, la Corte di giustizia dell’Unione europea ha chiarito che TC Strings Dati personali ai sensi dell'art. 4 n. 1 GDPR rappresentare. Il fattore decisivo è che questa stringa di caratteri, che da un punto di vista tecnico è solo un'informazione di preferenza codificata, può essere combinata con altri dati, come ad esempio la Indirizzo IPl'ID del cookie o le informazioni sul dispositivo possono essere collegate a un utente specifico o almeno identificabile. Pertanto, soddisfa i criteri di identificabilità. Questa interpretazione corrisponde a una definizione ampia di dati personali, che comprende anche informazioni pseudonime e trasmesse tecnicamente.
IAB Europe come responsabile (congiunto)
Inoltre, la Corte di giustizia europea ha stabilito che un'organizzazione settoriale come IAB Europe può essere considerata un responsabile del trattamento (congiunto) ai sensi dell'articolo 4, paragrafo 7, della direttiva. GDPR può essere classificato come responsabile del trattamento. La Corte ha sottolineato che, per essere classificati come responsabili del trattamento, non è necessario che l'organizzazione stessa sia direttamente responsabile. Dati personali elaborati. Il fattore decisivo è piuttosto se possono essere riconosciuti dalla definizione di mezzi e finalità della legge. Elaborazione influenzano in modo significativo le operazioni di elaborazione dei dati.
Questo è un dato di fatto, poiché IAB Europe ha stabilito i parametri di base per il Consent Framework, progettandolo, standardizzandolo e facendolo rispettare. Elaborazione del TC Strings. Inoltre, coordina l'interazione tra i numerosi operatori del mercato e svolge quindi un ruolo di guida e strutturazione dell'intero ecosistema. Il fatto che IAB Europe non fornisca contenuti pubblicitari o crei profili individuali di utenti non è determinante per la responsabilità della protezione dei dati.
Significato della sentenza della Corte di giustizia europea
Questa sentenza di principio ha ripercussioni dirette su tutti gli attori del mercato della pubblicità digitale, nonché su altri settori in cui trovano applicazione standard tecnici uniformi a livello di settore per il trattamento dei dati, come il TCF. In particolare, la sentenza sottolinea che la responsabilità giuridica non può essere delegata né ridotta alla neutralità tecnica quando un’istituzione interviene in modo determinante in un sistema rilevante ai fini della protezione dei dati.
IAB Europe in qualità di responsabile congiunto del TCF
Conferma dell'interpretazione del diritto sostanziale
Sulla base della sentenza della Corte di giustizia europea, il Tribunale del Mercato ha ora stabilito che decisione definitiva sull'appello di IAB Europe. Nonostante la decisione n. 21/2022 del GBA formalmente annullato a causa di errori proceduralituttavia:
- Sono state confermate tutte le valutazioni di diritto sostanziale della GBA.
- Il Multa di 250.000 euro rimane al suo posto.
- La Corte di giustizia ha ribadito che la Corde TC Dati personali rappresentare.
- IAB Europe continuerà ad operare come Responsabilità congiunta per il Elaborazione delle preferenze degli utenti nell'ambito del TCF.
Chiarimenti sul componente OpenRTB
Tuttavia, il Marktenhof ha anche chiarito che IAB Europe non è considerata (co)responsabile dei trattamenti che avvengono esclusivamente nell'ambito del protocollo OpenRTB. Questo è un Delimitazione tra il quadro normativo del TCF e l'attuazione pratica delle singole campagne pubblicitarie in tempo reale fatto.
Suggerimento di lettura: La Corte di giustizia dell’Unione europea rafforza la trasparenza: le agenzie di informazioni creditizie devono rendere pubblici i propri processi decisionali
Decisione della GDA sul TCF con ripercussioni sul Real-Time Bidding
La decisione ha diversi implicazioni fondamentali per il settore AdTech e per gli organismi di standardizzazione settoriali:
- Stringhe TC come Dati personali: In futuro, gli operatori di mercato dovranno far rientrare questi dati nell'ambito di tutela della GDPR e il corrispondente Base giuridica e prevedere misure di protezione.
- Responsabilità delle organizzazioni settoriali: Organizzazioni come IAB Europe, che definiscono standard e norme tecniche, possono essere considerate responsabili ai sensi della normativa sulla protezione dei dati, anche senza avere accesso diretto ai dati personali né utilizzarli.
- Chiarezza sull'assegnazione dei ruoli: L'esclusione della responsabilità di IAB Europe per i processi OpenRTB indica che l'attenzione è rivolta alle aree di influenza organizzativa, non alla trasmissione tecnica in sé.
Sebbene la procedura GBA originaria sia stata annullata a causa di vizi formali, il Marktenhof conferma di conseguenza, condivide pienamente l'interpretazione giuridica della GBA e della Corte di giustizia dell'Unione europea. Se altre autorità europee per la protezione dei dati seguiranno questa sentenza, ciò potrebbe avere un impatto sulla visualizzazione di immagini personalizzate. Pubblicità e il cross-device Tracciamento Particolarmente colpita è l'offerta in tempo reale (RTB), in cui le inserzioni vengono messe all'asta in tempo reale.
Il fatto che le corde TC Dati personali e la loro raccolta e divulgazione nell'ambito del TCF attraverso una Responsabilità condivisa suggerisce che molti soggetti interessati agli RTB devono rivalutare i propri ruoli e processi tecnici in materia di protezione dei dati. L'attenzione si concentra in particolare sulle questioni relative all'efficacia del consenso, Stanziamento di fondi, Trasparenza e la minimizzazione nella messa all'asta automatica degli spazi pubblicitari. La sentenza dovrebbe quindi portare indirettamente a una riforma o almeno a un profondo adattamento dei processi di RTB, sia dal punto di vista tecnico che organizzativo.
La GBA ha già annunciato che analizzerà in dettaglio la motivazione della sentenza.
German 
English 
Italian 
French