El pasado 7 de marzo se publicó la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) que resuelve la petición de decisión prejudicial planteada por un tribunal belga en el procedimiento entre IAB Europe y la Autoridad de Protección de Datos Belga, sobre subasta de datos de los usuarios de páginas webs con fines publicitarios.
Antecedentes:
Cuando un usuario navega por un sitio web que incluye espacios publicitarios, se inicia un proceso de subasta en tiempo real conocido como Real Time Bidding (RTB). El ecosistema de publicidad digital está formado por múltiples empresas, intermediarios y plataformas publicitarias, en representación de miles de anunciantes, que pujan para obtener el espacio publicitario y mostrar anuncios personalizados según el perfil del usuario. Sin embargo, para impactar a los usuarios con publicidad dirigida, es necesario contar con el consentimiento del usuario para el tratamiento de sus datos personales.
Para agilizar este sistema, IAB Europe -asociación que representa a las empresas del sector de la publicidad y del marketing digital a nivel europeo- ha desarrollado una herramienta destinada a adecuar esta gestión de subastas y espacios publicitarios al RGPD, el Transparency & Consent Framework (TCF). La solución propuesta por el TCF consiste en la creación de una cadena llamada «Transparency and Consent String» (TC String) que almacena las preferencias de los usuarios, y que es compartida por los intermediarios de datos y plataformas publicitarias para informar sobre el consentimiento o la oposición del usuario. Asimismo, se coloca una cookie en el dispositivo del usuario, que, combinada con el TC String, puede vincularse a la dirección IP del mismo.
IAB Europe considera que, en este proceso, los responsables del tratamiento son los participantes del TCF.
Por el contrario, la autoridad belga de protección de datos consideró que el TC String era un dato personal y que IAB Europe actuaba como responsable del tratamiento de datos sin cumplir completamente con las disposiciones del RGPD. Por ello, la DPA belga impuso una multa a IAB. La asociación impugnó la resolución y presentó un recurso ante el Tribunal de Apelación de Bruselas, el cual planteó una cuestión prejudicial al TJUE.
El pronunciamiento del TJUE sobre la subasta de datos:
El Tribunal de Justicia de la UE ha confirmado que el TC String debe ser considerada dato personal según el RGPD, al asociarse una información de un usuario a un identificador (como la IP). Además, señala que la IAB influye en el tratamiento de datos, al registrar las preferencias de consentimiento de los usuarios en el TC String. Por ello, considera que es corresponsable del tratamiento de datos. No obstante, la corresponsabilidad de IAB Europe no se extiende automáticamente a los tratamientos ulteriores de datos personales efectuados por los proveedores de sitios de internet en relación con las preferencias de los usuarios para fines de publicidad en línea, salvo que se pueda acreditar que IAB ha influido en la determinación de esos fines ulteriores.