{"id":37847,"date":"2025-05-16T13:25:51","date_gmt":"2025-05-16T13:25:51","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37847"},"modified":"2025-06-02T07:45:07","modified_gmt":"2025-06-02T07:45:07","slug":"quadro-di-riferimento-per-il-consenso-alla-trasparenza-tcf-non-conforme-a-dsgvo-offerte-in-tempo-reale-prima-della-partenza","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2025\/05\/16\/transparency-consent-framework-tcf-nicht-dsgvo-konform-real-time-bidding-vor-aus\/","title":{"rendered":"Transparency & Consent Framework (TCF) non conforme al GDPR: le offerte in tempo reale stanno per essere cancellate?"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La Corte d'appello belga Marktenhof ha dichiarato illegale il sistema di gestione della trasparenza e del consenso (Transparency & Consent Framework, TCF) dell'associazione del settore pubblicitario online IAB Europe. Ci\u00f2 fa seguito a una decisione dell'autorit\u00e0 belga per la protezione dei dati GBA (Gegevensbeschermingsautoriteit). La sentenza avr\u00e0 probabilmente un impatto sulla pubblicit\u00e0 basata sul tracciamento nell'UE.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Il \"TC String\" viola il GDPR<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nella decisione n. 21\/2022 del 2 febbraio 2022, l'Autorit\u00e0 belga per la protezione dei dati (GBA) ha dichiarato che IAB Europe ha violato disposizioni essenziali del GDPR con il TCF (versione 2.0) che aveva sviluppato. Al centro c'era la cosiddetta \"stringa TC\". Si tratta di una stringa di caratteri strutturata che viene utilizzata per memorizzare le preferenze degli utenti per la pubblicit\u00e0 personalizzata. Il GBA ha classificato la TC String come dati personali e ha considerato IAB Europe il (congiunto) responsabile del trattamento. Ha imposto una multa di 250.000 euro e ha fissato un termine di due mesi per un piano d'azione conforme al GDPR.<\/p>

La decisione \u00e8 stata presa nell'ambito della procedura One-Stop-Shop con il sostegno di altre autorit\u00e0 di vigilanza europee e ha avuto rilevanza a livello europeo.<\/p>

IAB Europe ha presentato un ricorso contro la decisione del GBA.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

La decisione del TCF al vaglio della Corte d'Appello<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Con un'ordinanza provvisoria (\"tussenarrest\"), la corte d'appello competente \"Marktenhof\" di Bruxelles ha inizialmente confermato l'ammissibilit\u00e0 formale del ricorso di IAB Europe. Tuttavia, in quel momento non era ancora stata presa una decisione in merito.<\/p>

Il Tribunale del Mercato ha inizialmente sospeso il procedimento e ha sottoposto alla Corte di Giustizia europea (CGUE) due questioni pregiudiziali ai sensi dell'art. 267 TFUE. Da un lato, la Corte d'Appello chiedeva se la cosiddetta \"TC String\" - ovvero una stringa di caratteri strutturata per la memorizzazione dei consensi e dei rifiuti degli utenti - dovesse essere classificata come dato personale ai sensi dell'art. 4 n. 1 GDPR. D'altro canto, il Marktenhof voleva chiarire se un'organizzazione come IAB Europe, che standardizza e specifica un quadro tecnico per la gestione del consenso, debba essere considerata un (comune) responsabile del trattamento ai sensi dell'art. 4 n. 7 GDPR, sebbene non abbia un controllo diretto sulle specifiche operazioni di trattamento.<\/p>

La proposta mirava a creare certezza giuridica per le autorit\u00e0 nazionali di controllo della protezione dei dati e per gli operatori di mercato. La classificazione di tali quadri di settore nell'ambito della normativa sulla protezione dei dati non \u00e8 ancora stata chiarita in modo definitivo n\u00e9 a livello europeo n\u00e9 dalla giurisprudenza.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

La Corte di giustizia europea si pronuncia su TC String e responsabilit\u00e0 di IAB Europe<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nella sentenza del marzo 2024, la Corte di Giustizia europea si \u00e8 pronunciata sulle due questioni sollevate dal Tribunale del Mercato in merito alla qualifica di protezione dei dati di TC String e alla possibile responsabilit\u00e0 di IAB Europe.<\/p>\n

Le stringhe TC come dati personali<\/h4>\n

In primo luogo, la Corte di giustizia europea ha chiarito che le stringhe TC costituiscono dati personali ai sensi dell'art. 4 n. 1 del GDPR. Il fattore decisivo \u00e8 che questa stringa, che da un punto di vista tecnico \u00e8 una semplice informazione codificata sulle preferenze, pu\u00f2 essere collegata a un utente specifico o almeno identificabile combinandola con altri dati come l'indirizzo IP, l'ID del cookie o le informazioni sul dispositivo. Pertanto, soddisfa i criteri di identificabilit\u00e0. Questa interpretazione corrisponde a una definizione ampia di dati personali, che comprende anche informazioni pseudonime e tecnicamente trasmesse.<\/p>\n

IAB Europe come responsabile (congiunto)<\/h4>\n

Inoltre, la Corte di Giustizia europea ha stabilito che un'organizzazione settoriale come IAB Europe pu\u00f2 essere classificata come responsabile del trattamento (congiunto) ai sensi dell'art. 4 n. 7 del GDPR. La Corte ha sottolineato che non \u00e8 necessario che l'organizzazione stessa tratti direttamente i dati personali per essere classificata come responsabile del trattamento. Piuttosto, il fattore decisivo \u00e8 se ha un'influenza significativa sulle operazioni di trattamento dei dati definendo i mezzi e le finalit\u00e0 del trattamento.<\/p>\n

Questo perch\u00e9 IAB Europe stabilisce i parametri di base per l'elaborazione delle stringhe TC progettando, standardizzando e applicando il Consent Framework. Inoltre, coordina l'interazione tra i numerosi operatori del mercato e svolge quindi un ruolo di guida e strutturazione dell'intero ecosistema. Il fatto che IAB Europe stessa non fornisca contenuti pubblicitari o crei profili individuali di utenti non \u00e8 determinante per la sua responsabilit\u00e0 ai sensi della legge sulla protezione dei dati.<\/p>\n

Significato della sentenza della Corte di giustizia europea<\/h4>\n

Questa storica decisione ha un impatto diretto su tutte le parti coinvolte nel mercato della pubblicit\u00e0 digitale e in altri settori in cui vengono applicati standard tecnici per il trattamento dei dati come il TCF. In particolare, la sentenza sottolinea che la responsabilit\u00e0 legale non pu\u00f2 essere delegata o ridotta a neutralit\u00e0 tecnica quando un'istituzione interviene a livello centrale in un sistema rilevante per la protezione dei dati.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

IAB Europe come corresponsabile del TCF<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Conferma del punto di vista giuridico sostanziale<\/strong><\/h4>

Sulla base della sentenza della Corte di giustizia europea, il Tribunale del Mercato ha ora stabilito che decisione finale sul ricorso<\/strong> di IAB Europe. Nonostante la decisione n. 21\/2022 del GBA formalmente annullato a causa di errori procedurali<\/strong>tuttavia:<\/p>