Op 14 mei heeft de sectie Marktenhof van het Hof van beroep Brussel (het Marktenhof) uitspraak gedaan in de zaak tussen de Belgische gegevensbeschermingsautoriteit (GBA) en IAB Europe over het Transparency & Consent Framework (TCF).
Het TCF is een systeem dat aanbieders van websites, apps, gegevensmakelaars en reclameplatformen in staat stelt om persoonsgegevens van gebruikers te verwerken. Het TCF-systeem slaat onder andere gegevens over cookie voorkeuren van gebruikers op in een Transparancy & Consent string (TC-string). Met de TC-string kunnen online adverteerders controleren of specifieke betrokkenen toestemming hebben gegeven voor de verwerking van hun persoonsgegevens ten behoeve van Real-time bidding (RTB).
In 2022 heeft de GBA IAB Europe een boete op van EUR 250.000 opgelegd voor inbreuken op de AVG. De GBA besliste dat IAB Europe gezamenlijk verwerkingsverantwoordelijke is voor alle verwerkingen van persoonsgegevens die in de TC-string staan tijdens het RTB-proces. Het Marktenthof oordeelt nu dat IAB Europe inderdaad gezamenlijk verwerkingsverantwoordelijke is voor het verkrijgen van de in de TC-string opgenomen gegevens. IAB Europe biedt de TC-string namelijk aan in de context van het TCF, en legt haar partners deze verwerkingsmethode ook contractueel op. Zij verwerkt deze gegevens ook voor eigen doeleinden, namelijk het behartigen van de belangen van de digitale reclamesector.
Het Marktenhof stelt vast dat de GBA onvoldoende heeft gemotiveerd dat IAB óók invloed uitoefent op de manier waarop adverteerders deze gegevens in de TC-string in de RTB-sector verder verwerken. Het hof vernietigt het besluit van de GBA dat IAB Europe ook voor die verwerkingen verwerkingsverantwoordelijke zou zijn.
De boete van EUR 250.00 blijft echter staan. Het Marktenhof is het namelijk met de GBA eens dat IAB Europe geen geldige grondslag had voor de verwerkingen van persoonsgegevens via de TC-string.
Ook heeft IAB Europe niet voldaan aan de transparantieverplichtingen – de privacyverklaring zag enkel op de verwerking van gegevens via de website – en heeft zij onvoldoende technische en organisatorische beveiligingsmaatregelen getroffen, ten onrechte geen DPIA uitgevoerd en geen F-G aangesteld.
De uitspraak sluit aan bij het arrest van het Europese Hof van Justitie (HvJEU) van 7 maart 2024 naar aanleiding van prejudiciële vragen van het Marktenhof in deze zaak. Het HvJEU oordeelde toen dat de TC-strings persoonsgegevens zijn in de zin van AVG, en dat IAB Europe hier gezamenlijke verwerkingsverantwoordelijke voor kan zijn met haar TCF-partners als vaststaat dat zij haar voor eigen doeleinden invloed uitoefent op de verwerkingen. Daarbij is van belang dat IAB Europe contractuele mogelijkheden heeft om van haar partners inzage te vorderen in de gegevens die in de TC-string staan. Het Marktenhof past in haar uitspraak dus de uitleg van het HvJEU toe en bevestigt dat hier feitelijk sprake van is.
