Az Európai Unió Bírósága (EUB) 2024. március 7-én hozott ítéletet az IAB Europe 2022. februári fellebbezésével kapcsolatban, amelyet még a belga adatvédelmi hatóságnak (Data Protection Authority, DPA) a TCF-ügyben megfogalmazott határozata ellen nyújtott be.
A hatóság két évvel ezelőtti határozata arról szólt, hogy az IAB Europe által kidolgozott átláthatósági és hozzájárulási keretrendszer (Transparency & Consent Framework, TCF) nem felel meg a GDPR számos rendelkezésének. A hatóság szerint ugyanis az IAB Europe a TCF révén adatkezelőként jár el – a kiadókhoz, a technológiai szolgáltatókhoz és a rendszert használó egyéb szervezetekhez hasonlóan -, ezért jogilag is felelős a rendszerben tárolt adatok felhasználásáért és az esetleges jogsértésekért. Ennek értelmében tehát az IAB Europe pedig elmulasztotta az adatkezelőtől elvárt feladatok elvégzését, az adatkezelési tevékenységek nyilvántartását, az adatvédelmi tisztviselő kijelölését és az adatvédelmi hatásvizsgálat elvégzését. A határozat akkor azt is megállapította, hogy a hozzájáruló felugró ablakok nem tájékoztatják megfelelően a felhasználókat adataik kezelésének módjáról, vagyis nem tudják ellenőrizni személyes adataikat.
Az IAB Europe 2022 februárjában elutasította azt a megállapítást, hogy ebben a rendszerben ő adatkezelő lenne, ezért fellebbezett az ítélet ellen. Ugyanakkor nem sokkal később, a DPA határozatában említett szükséges változtatásokra reagálva az IAB Europe egy akciótervet mutatott be, amit a hatóság 2023 januárjában teljességében jóvá is hagyott. Az akcióterv jóváhagyása tehát megerősítette, hogy a TCF a GDPR-nak megfelel.
Mindeközben párhuzamosan a belga fellebbviteli bíróság (Market Court) is eljárást folytat az ügyben: 2022 szeptemberében a helyzet tisztázása érdekében útmutatásért fordult az Európai Unió Bíróságához arra vonatkozóan, hogy a GDPR-ban szereplő adatkezelés fogalma jelen ügyben hogyan értelmezendő, és hogy a TC String (felhasználói preferenciákat tartalmazó digitális jel) a GDPR értelmében „személyes adatnak” tekinthető-e.
“Mindenekelőtt fontos hangsúlyozni, hogy az EUB mostani ítélete kizárólag az IAB Europe-ra mint szabványalkotó szervezetre és nem a TCF-re vonatkozik. A bírósági döntés tehát nem kérdőjelezi meg a TCF érvényességét és nem tiltja annak használatát. Az EUB azt vizsgálta, hogy az IAB Europe adatkezelőként jár-e el, és ha igen, milyen jellegű adatfeldolgozás zajlik” – olvasható az IAB Europe közleményében.
A bíróság megállapította, hogy az IAB Europe közös adatkezelőként jár el a TC Strings lerakása és használata során, amelyek a bíróság szerint személyes adatoknak minősülnek abban az esetben, ha azok ésszerű eszközökkel összekapcsolhatók más azonosítóval – például a felhasználó eszközének IP-címével –, és az IAB Europe hozzáférhet ezekhez az adatokhoz. Ugyanakkor – a DPA korábbi feltételezésével ellentétben – a szervezet nem tekinthető adatkezelőnek az olyan, későbbi használat céljából személyes adatokat feldolgozó TCF-célok elérése tekintetében mint pl. a digitális reklámozás vagy a tartalom személyre szabása.
“Az IAB Europe üdvözli az EUB döntését, amely a személyes adatok és a (közös) adatkezelés kapcsán világosan, egyértelműen fogalmaz, lehetővé teszi a hátralévő jogi eljárások zavartalan befejezését és egyben irányt ad a TCF megfelelőségi funkcióinak további bővítéséhez. A keretrendszer fejlesztése ugyanis folyamatosan zajlik, a szabályozók elvárásaival összhangban már történtek is érdemi változtatások benne, így tavaly májusban elindulhatott az új, TCF 2.2 szabvány” – olvasható az IAB Europe, bírósági döntést magyarázó blogposztjában.
A szolgáltatóknak és kiadóknak 2023. szeptember 30-ig kellett átállniuk az új TCF szabványra, amely 2023. május 16-án lépett életbe. A TCF 2.2 célja, hogy a kiadók és szolgáltatók még jobban tudjanak alkalmazkodni a szabályozói kívánalmakhoz és a végfelhasználói igényekhez; a fontosabb változásokról itt írtunk korábban.
Címlapfotó: Európai Unió Bírósága, Montesquieu és a Comenius torony
Előzmények:
- 2022. március: Hatósági döntés miatt szükséges a TCF módosítása
- 2022. április: TCF: az IAB Europe benyújtotta a cselekvési tervet
- 2022. május: Nyáron még függőben a TCF módosítása
- 2022. szeptember: Kulcsfontosságú kérdések kerülnek az EUB elé a TCF kapcsán
- 2023. január: Újabb lépés TCF-ügyben: Jóváhagyta az IAB Europe cselekvési tervét a belga adatvédelmi hatóság
- 2023. május: Elindult az új TCF 2.2 szabvány!
