Belgija: 250.000 EUR za IAB Europe
Tržno sodišče je potrdilo izrečeno kazen za IAB Europe zaradi nezakonitega delovanja okvira TCF in natančneje opredelilo obseg obdelav podatkov, kjer IAB deluje kot skupni upravljavec. Odločitev nadzornega organa je sicer razveljavilo zaradi postopkovnih razlogov.
Odločitev je bila objavljena 14.5.2025
Belgijski nadzorni organ je 2. februarja 2022 objavil odločitev glede okvira »Transparency and Consent String« (TCF) združenja IAB Europe, ki je široko uporabljen mehanizem, ki omogoča upravljanje uporabniških preferenc za prilagojeno spletno oglaševanje in igra osrednjo vlogo pri tako imenovanem licitiranju v realnem času (RTB). RTB je ekosistem, ki omogoča personalizirano oglaševanje v digitalnem okolju.
Nadzorni organ je podjetju izrekel kazen v višini 250.000 evrov in določil dvo-mesečni rok, da predloži akcijski načrt za uskladitev svojih dejavnosti z zakonodajo. Z odločitvijo so se strinjali vsi nadzorni organi za varstvo podatkov v EU, ki so bili vključeni prek mehanizma „vse na enem mestu“.
IAB Europe se je nato zoper odločitev pritožil na Tržno sodišče (pritožbeno sodišče v Bruslju). Preden je sodišče izdalo svojo odločitev, so Sodišču Evropske unije (CJEU) predložili dve predhodni vprašanji. Marca 2024 je CJEU (C-604/22) potrdilo, kot je nadzorni organ za varstvo podatkov opredelil že v svoji odločbi 21/2022, da se strukturiran niz znakov, ki odraža nastavitve uporabnikov interneta, kot je niz TC (TC string), lahko dejansko šteje za osebni podatek in da lahko organizacija, kot je IAB EUROPE, nastopa v vlogi (skupnega) upravljavca za obdelavo nastavitev uporabnikov za spletno oglaševanje. Pritožbenemu sodišču pa naložilo, da preveri ali IAB v dejanskem obsegu delovanja nastopa kot skupni upravljavec.
Odločitev sodišča
Na podlagi vseh elementov je Tržno sodišče odločilo o pritožbi, vloženi zoper odločitev nadzornega organa glede 2.0 različice TCF, pri čemer je upoštevalo predhodno odločitev Sodišča EU.
V svoji sodbi je Tržno sodišče potrdilo ugotovljene kršitve in sankcije, ki jih je izrekel nadzorni organ. Sodišče zlasti ugotavlja, da niz TC predstavlja osebne podatke v smislu GDPR in da IAB Europe nastopa kot skupni upravljavec v delu obdelav, ko gre za obdelavo podatkov o uporabniških nastavitvah v okviru TCF, ne pa tudi v delu obdelav, ki se izvajajo izključno znotraj OpenRTB protokola. Tržno sodišče pa je sklep nadzornega organa razveljavilo iz postopkovnih razlogov.
Hielke Hijmans, predsednica Oddelka za reševanje sporov pri nadzornem organu, je dejala: »Pomembno si je zapomniti, da ta sodba Sodišča za trg, tako kot sodba Sodišča EU iz leta 2024, potrjuje naše stališče, da je niz TC osebni podatek in da IAB EUROPE deluje kot skupni upravljavec za obdelavo podatkov uporabniških nastavitev v okviru TCF standarda. Ta pojasnitev ključnih konceptov v GDPR ima in bo imela trajen pozitiven vpliv na vse posameznike v EU.«
Nadzorni organ bo sedaj podrobneje analiziral odločitev sodišča.
Vir: Gegevensbeschermingsautoriteit
Naslovna slika: RawPixel
