De online advertentiesector is eens te meer in rep en roer na een belangrijke uitspraak van het Hof van Justitie van de Europese Unie (HvJEU) op 7 maart 2024. Het Hof oordeelde in zaak C-604/22 IAB Europe dat de “Transparency and Consent String” (TC String), die al sinds 2019 centraal staat in online tracking, wel degelijk een persoonsgegeven uitmaakt dat onderworpen is aan de Algemene Verordening Gegevensbescherming (AVG of GDPR) en dat IAB Europe wel degelijk (mede-)verantwoordelijke is voor de verwerking van die persoonsgegevens.
De uitspraak is de volgende etappe in een langlopend geschil tussen de Belgische Gegevensbeschermingsautoriteit (GBA) en IAB Europe, de organisatie die de TC String heeft ontwikkeld. In 2019 oordeelde de GBA dat de TC String persoonsgegevens bevat en dat IAB Europe fungeert als (mede)verwerkingsverantwoordelijke voor de data in de string. IAB Europe ging hiertegen in beroep, wat uiteindelijk leidde tot de prejudiciële beslissing van het HvJEU.
De beslissing van het HvJEU is een belangrijke stap voorwaarts in de bescherming van de privacy van gebruikers online. Het Hof heeft duidelijk gemaakt dat online tracking alleen mag plaatsvinden met de uitdrukkelijke toestemming van gebruikers. De online advertentiesector moet nu stappen ondernemen om ervoor te zorgen dat de TC String in overeenstemming is met de AVG.
Wat is het TCF framework precies?
De TC String is een onderdeel van het Transparency & Consent Framework (TCF), dat is ontwikkeld door IAB Europe. Het TCF is een set van regels en technologieën die adverteerders en andere partijen in de online advertentieketen helpt om te voldoen aan de AVG.
Het TCF werkt als volgt:
- Een gebruiker bezoekt een website of app.
- De website of app vraagt de gebruiker om toestemming voor het gebruik van zijn of haar persoonsgegevens voor reclamedoeleinden.
- De gebruiker kan zijn of haar toestemming geven of weigeren.
- Als de gebruiker toestemming geeft, wordt de TC String gecreëerd.
- De TC String wordt gedeeld met adverteerders en andere partijen in de online advertentieketen.
- Adverteerders en andere partijen kunnen de TC String gebruiken om te bepalen of ze de persoonsgegevens van de gebruiker mogen gebruiken voor reclamedoeleinden.
De rechtszaken tussen de Belgische GBA en IAB Europe
In 2022 oordeelde de Belgische Gegevensbeschermingsautoriteit (GBA) dat de TC String persoonsgegevens vormt in de zin van de AVG. De GBA oordeelde ook dat IAB Europe fungeert als (mede)verwerkingsverantwoordelijke voor de persoonsgegevens die in de TC String worden opgeslagen.
IAB Europe was het niet eens met de beslissing van de GBA en stapte naar de Belgische rechtbank. De Belgische rechtbank heeft vervolgens een prejudiciële beslissing gevraagd aan het HvJEU.
Inhoud en draagwijdte van het huidige arrest
Het arrest van het HvJEU van 7 maart 2024 in zaak C-604/22 IAB Europe heeft belangrijke implicaties voor de online advertentiesector. Het Hof heeft geoordeeld dat de “Transparency and Consent String” (TC String), die wordt gebruikt om de toestemming van gebruikers voor het gebruik van hun persoonsgegevens te tracken, niet in overeenstemming is met de Algemene Verordening Gegevensbescherming (AVG).
De TC String als persoonsgegevens
Het Hof heeft bevestigd dat de TC String persoonsgegevens vormt in de zin van de AVG. Dit betekent dat de string informatie bevat die kan worden gebruikt om een gebruiker te identificeren, direct of indirect. De TC String bevat immers informatie over de toestemmingsvoorkeuren van een gebruiker met betrekking tot het gebruik van zijn of haar persoonsgegevens voor reclamedoeleinden.
IAB Europe als (mede)verwerkingsverantwoordelijke
Het HvJEU heeft ook geoordeeld dat IAB Europe fungeert als (mede)verwerkingsverantwoordelijke voor de persoonsgegevens die in de TC String worden opgeslagen. Dit betekent dat IAB Europe verantwoordelijk is voor de naleving van de AVG met betrekking tot de verwerking van deze gegevens.
Gevolgen voor de online advertentiesector
Het arrest van het HvJEU heeft belangrijke gevolgen voor de online advertentiesector. De sector moet nu stappen ondernemen om ervoor te zorgen dat de TC String in overeenstemming is met de AVG. Dit kan betekenen dat de string moet worden gewijzigd of dat er aanvullende maatregelen moeten worden genomen om de privacy van gebruikers te beschermen.
Verdere stappen
Het is nog onduidelijk wat de exacte impact van het arrest zal zijn op de online advertentiesector. De verdere afhandeling van het geschil en de finale beoordeling of IAB Europe inbreuken beging op de GDPR, wordt nu opnieuw voorgelegd aan het Belgische Marktenhof.
Daarnaast werkt IAB Europe al sedert 2022 aan aanpassingen aan haar TCF framework om het in overeenstemming te brengen met de vereisten van de GBA en om op die manier nieuwe procedures te vermijden en haar business model zo veel mogelijk veilig te stellen voor de toekomst.
Het arrest van het HvJEU is in elk geval een belangrijke stap voorwaarts in de bescherming van de privacy van gebruikers online. De online advertentiesector moet nu via de gemelde aanpassingen in het framework stappen ondernemen om ervoor te zorgen dat de TC String in de toekomst in overeenstemming is met de GDPR.
Vragen over GDPR, online marketing of cookies?
Boek een vrijblijvende video call in via de link naast dit artikel of stuur een mailtje naar info@siriuslegal.be