Unha sentenza declara ilegal en Europa a tecnoloxía publicitaria máis empregada na web

Actual cadro de dirección da APD belga

O Tribunal de Apelacións de Bélxica ditou a súa resolución sobre o recurso presentado por IAB Europe contra a decisión 21/2022 da Autoridade de Protección de Datos belga (APD). A pesar de anular formalmente a devandita decisión por razóns procedementais, o tribunal ratifica o fondo da argumentación da APD, validando a multa de 250.000 euros imposta a IAB Europe.
O caso céntrase no Transparency and Consent Framework (TCF) de IAB Europe, unha ferramenta utilizada de forma xeneralizada para xestionar o consentimento dos usuarios en publicidade personalizada en liña, especialmente no marco do Real-time Bidding (sistema de poxas para a venda de impresións publicitarias en tempo real empregado masivamente na web). A clave do sistema é a denominada TC String, unha cadea de caracteres que recolle as preferencias dos usuarios.
A sentenza chega tras unha investigación da APD, impulsada por unha serie de denuncias coordinadas por Johnny Ryan, director da organización Enforce do Irish Council for Civil Liberties, quen asegura que a decisión do tribunal «demostra que o sistema de consentimento usado por Google, Amazon, X, Microsoft, engana centos de millóns de europeos. A industria tecnolóxica tentou agochar un masivo fallo de seguridade tras falsas fiestras emerxentes de consentimento. Converteron o Regulamento Xeral de Protección de Datos (GDPR) nunha molestia cotiá, en vez dunha protección real para as persoas».

Antecedentes

En febreiro de 2022, a APD belga concluíu que a TC String constitúe un dato persoal ao abeiro do Regulamento Xeral de Protección de Datos (GDPR), e que IAB Europe actuaba como corresponsable do tratamento destes datos. Así, impúxolle unha multa e esixiulle un plan de adecuación normativa.
IAB Europe recorreu a decisión, e o Tribunal decidiu elevar cuestións prexudiciais ao Tribunal de Xustiza da UE, que en marzo de 2024 confirmou que a TC String é un dato persoal e que IAB Europe pode ser considerada corresponsable do tratamento no contexto do TCF.
Con todo, o tribunal descarta que IAB Europe sexa tamén corresponsable das operacións de tratamento realizadas integramente dentro do protocolo OpenRTB, limitando así o alcance da súa responsabilidade.