El TJUE aclara el Rol Limitado de IAB Europe en el Marco de Transparencia y Consentimiento (TCF)

El TJUE afirmó este jueves  que las empresas de marketing digital son corresponsables en la gestión de datos en la publicidad online

IAB Europe planea comentar con más extensión la sentencia y sus consecuencias en breve.

En el fallo el Tribunal de Justicia de la Unión Europea (TJUE) estableció que las subastas de espacios publicitarios en Internet generan datos sobre preferencias de usuarios que las empresas de marketing digital deben gestionar según el Reglamento General de Protección de Datos (RGPD).

El tribunal, con sede en Luxemburgo, sentencia que las subastas en tiempo real de espacios publicitarios, destinadas a mostrar publicidad adaptada al perfil del usuario, almacenan datos codificados en una cadena compartida con intermediarios de datos personales y plataformas publicitarias.

El TJUE destaca que, cuando estos datos se asocian con un identificador, pueden permitir la creación de un perfil de usuario e identificación, constituyendo así un dato personal. Por lo tanto, las entidades de marketing digital deben considerarse «corresponsables del tratamiento» de los datos.

Para el tribunal las entidades de marketing digital, agrupadas en IAB Europe, influyen en las operaciones de tratamiento de datos «en el momento del registro de las preferencias en materia de consentimiento de los usuarios y determinan tanto los fines de esas operaciones como los medios  en el origen de las mismas».

El precedente del fallo del TJUE reconoce la responsabilidad de las empresas de marketing digital en la gestión transparente y adecuada de los datos generados a través de subastas de espacios publicitarios onlíne. Destaca la importancia del RGPD en el ámbito de la publicidad online y subraya la necesidad de proteger los datos personales de los usuarios en el entorno digital.

IAB Europe ha valorado la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en relación con la apelación presentada por IAB Europe contra la decisión, de febrero de 2022, de la Autoridad Belga de Protección de Datos (APD) relativa al Marco de Transparencia y Consentimiento (TCF) e IAB Europe.

El Tribunal de Justicia de la Unión Europea (TJUE) emitió una sentencia sobre la apelación presentada por IAB Europe contra la decisión de la Autoridad Belga de Protección de Datos (APD) en relación con el TCF e IAB Europe. La sentencia aclara el rol de IAB Europe y establece importantes precedentes para la gestión de datos personales en actividades digitales.

Aunque la sentencia se centra en la disputa relacionada con el TCF e IAB Europe ante la APD, sus conclusiones tienen implicaciones significativas para todas las organizaciones con actividades digitales. La decisión destaca la importancia de la privacidad y la gestión transparente de datos en el panorama digital.

Desde IAB Europe se recoge positivamente la sentencia del TJUE ya que la misma proporciona claridad sobre los conceptos de datos personales y corresponsabilidad, lo cual permitirá una finalización transparente de los procedimientos legales que siguen estando pendientes.

Esta sentencia se produce tras la resolución provisional, de septiembre de 2022, del Tribunal de Mercado de Bélgica, sobre cuestiones prejudiciales al TJUE ante la decisión de la APD que estaba insuficientemente sustanciada y no cumplía con los estándares necesarios que toda investigación y recopilación de hechos debe tener para ser considerada adecuada.

IAB Europe había explicado en 2022  que «el TCF es un estándar mínimo voluntario creado para ayudar a los editores a establecer y documentar la base legal de GDPR para el procesamiento de los datos personales de los usuarios por parte de terceros que entregan y miden la publicidad digital en sus sitios.»

IAB Europe puntualizó entonces que la DPA belga no había prohibido el TCF, sino que había ordenado a IAB Europe introducir funciones adicionales y medidas correctivas…

Resumen de la Sentencia:

1. Cadencias de Consentimiento Consideradas Datos Personales:
   • Las cadenas de consentimiento (TC strings), que contienen las preferencias del usuario, son consideradas datos personales, incluso desde la perspectiva de IAB Europe.
   • IAB Europe puede ser responsable del tratamiento de estos datos cuando pueden vincularse a un identificador, como la dirección IP del dispositivo del usuario, y cuando IAB Europe tiene acceso a dichos datos.
2. Corresponsabilidad de IAB Europe:
   • IAB Europe puede ser considerado corresponsable del tratamiento junto con los participantes del TCF en la creación y uso de las TC strings.
   • Esto es válido siempre que IAB Europe realmente influya en el tratamiento (finalidades y medios) para sus propios fines.
3. Limitaciones en la Corresponsabilidad:
   • IAB Europe no necesariamente es corresponsable en relación con el tratamiento posterior de datos basado en las finalidades del TCF, como publicidad digital o medición de audiencias, si no tiene influencia sobre estos tratamientos.

Implicaciones y Próximos Pasos:

• El TJUE proporciona claridad sobre la calificación de datos personales y la corresponsabilidad, allanando el camino para futuros procedimientos legales.
• El Tribunal de Mercado de Bélgica reanudará su examen de los argumentos sustantivos de IAB Europe con base en las respuestas del TJUE.
• La suspensión de la ejecución de la decisión de la APD continúa mientras se espera la conclusión del procedimiento ante el Tribunal de Mercado de Bélgica.