El pasado 7 de marzo se public贸 la Sentencia del Tribunal de Justicia de la Uni贸n Europea (TJUE) que resuelve la petici贸n de decisi贸n prejudicial planteada por un tribunal belga en el procedimiento entre IAB Europe y la Autoridad de Protecci贸n de Datos Belga, sobre subasta de datos de los usuarios de p谩ginas webs con fines publicitarios.
Antecedentes:
Cuando un usuario navega por un sitio web que incluye espacios publicitarios, se inicia un proceso de subasta en tiempo real conocido como Real Time Bidding (RTB). El ecosistema de publicidad digital est谩 formado por m煤ltiples empresas, intermediarios y plataformas publicitarias, en representaci贸n de miles de anunciantes, que pujan para obtener el espacio publicitario y mostrar anuncios personalizados seg煤n el perfil del usuario. Sin embargo, para impactar a los usuarios con publicidad dirigida, es necesario contar con el consentimiento del usuario para el tratamiento de sus datos personales.
Para agilizar este sistema, IAB Europe -asociaci贸n que representa a las empresas del sector de la publicidad y del marketing digital a nivel europeo- ha desarrollado una herramienta destinada a adecuar esta gesti贸n de subastas y espacios publicitarios al RGPD, el Transparency & Consent Framework (TCF). La soluci贸n propuesta por el TCF consiste en la creaci贸n de una cadena llamada 芦Transparency and Consent String禄 (TC String) que almacena las preferencias de los usuarios, y que es compartida por los intermediarios de datos y plataformas publicitarias para informar sobre el consentimiento o la oposici贸n del usuario. Asimismo, se coloca una cookie en el dispositivo del usuario, que, combinada con el TC String, puede vincularse a la direcci贸n IP del mismo.
IAB Europe considera que, en este proceso, los responsables del tratamiento son los participantes del TCF.
Por el contrario, la autoridad belga de protecci贸n de datos consider贸 que el TC String era un dato personal y que IAB Europe actuaba como responsable del tratamiento de datos sin cumplir completamente con las disposiciones del RGPD. Por ello, la DPA belga impuso una multa a IAB. La asociaci贸n impugn贸 la resoluci贸n y present贸 un recurso ante el Tribunal de Apelaci贸n de Bruselas, el cual plante贸 una cuesti贸n prejudicial al TJUE.
El pronunciamiento del TJUE sobre la subasta de datos:
El Tribunal de Justicia de la UE ha confirmado que el TC String debe ser considerada dato personal seg煤n el RGPD, al asociarse una informaci贸n de un usuario a un identificador (como la IP). Adem谩s, se帽ala que la IAB influye en el tratamiento de datos, al registrar las preferencias de consentimiento de los usuarios en el TC String. Por ello, considera que es corresponsable del tratamiento de datos. No obstante, la corresponsabilidad de IAB Europe no se extiende autom谩ticamente a los tratamientos ulteriores de datos personales efectuados por los proveedores de sitios de internet en relaci贸n con las preferencias de los usuarios para fines de publicidad en l铆nea, salvo que se pueda acreditar que IAB ha influido en la determinaci贸n de esos fines ulteriores.