En febrero de 2022, la Autoridad Belga de Protección de Datos (“APD”) constató que el Marco de Transparencia y Consentimiento (“TFC” por sus siglas en inglés) del IAB Europe (“IAB”), en el que se basa el funcionamiento de la publicidad digital, y en concreto, la programática, violaba varias disposiciones del Reglamento General de Protección de Datos (“RGPD”). El IAB Europe es una asociación que engloba a todos los principales actores de la industria publicitaria digital que, entre otras actividades, desarrolló el TFC como un marco de autorregulación para ayudar a los editores, anunciantes y proveedores de gestión del consentimiento a cumplir con los requisitos del RGPD.
En particular, la APD cuestionaba el papel de IAB en el tratamiento publicitario realizado usando el TFC, y dictaminó que ostentaba el rol de corresponsable, junto con los participantes del TFC (editores, proveedores de tecnología publicitaria, etc.) en relación con la creación y uso del conocido como TC String: cadena de texto que recoge, almacena y transmite la información sobre el consentimiento y las preferencias de privacidad del usuario, a través de las plataformas de gestión de consentimiento (“CMP”), así como en el subsiguiente tratamiento publicitario.
La APD sancionó finalmente a IAB con una multa de 250.000 euros.
IAB recurrió la decisión ante el Tribunal de Mercado Belga y, paralelamente, presentó la versión TFC v2.2 a la APD para corregir algunos de los problemas detectados. El Tribunal de Mercado suspendió el procedimiento y remitió al Tribunal de Justicia de la Unión Europea (“TJUE”) algunas cuestiones prejudiciales para poder orientar el caso.
Opinión del TJUE
En marzo de 2024, el TJUE aclaró que:
El TC String contiene datos personales, siempre que estos puedan asociarse razonablemente a un usuario (por ejemplo, mediante una dirección IP).
IAB puede ser corresponsable de la creación y uso de estas cadenas de consentimiento, pero no de su tratamiento posterior por parte de otros participantes del TFC.
IAB no es responsable del tratamiento de datos en actividades como la publicidad digital o la medición de audiencias realizadas por terceros.
Decisión del Tribunal de Mercado
1. Aunque la decisión de la APD adolece de errores procedimentales, el Tribunal considera que esta actuó correctamente, al imponer medidas correctivas y una multa administrativa de 250.000 euros a IAB.
2. La sanción de la APD solo se considera válida en relación con el TFC y el Tribunal excluye explícitamente las operaciones relacionadas con OpenRTB (el protocolo de subasta publicitaria en tiempo real), alegando que IAB no es corresponsable en ese ámbito.
3. El Tribunal ratificó la obligación de IAB de desarrollar e implementar un plan de acción para garantizar el cumplimiento del RGPD.