TCF не може повече да използва легитимен интерес като основание на обработката на лични данни
Белгийският орган за защита на данните съобщи вчера, че рамката за прозрачност и съгласие (TCF), разработена от IAB Europe, не отговаря на редица разпоредби на GDPR. TCF е широко разпространен механизъм, който улеснява управлението на предпочитанията на потребителите за онлайн персонализирана реклама и който играе основна роля в така нареченото офериране в реално време (RTB). Надзорният орган наложи глоба от 250 000 евро на компанията и дава на IAB Europe два месеца, за да представи план за действие за привеждане на дейностите си в съответствие.
От 2019 г. насам белгийският Gegevensbeschermingsautoriteit получава серия от жалби, насочени към Interactive Advertising Bureau Europe (IAB Europe). Жалбите оспорват съответствието на така наречената рамка за прозрачност и съгласие (TCF) с GDPR.
TCF, разработен от IAB Europe, има за цел да допринесе за спазването на GDPR от организации, разчитащи на протокола OpenRTB.
Протоколът OpenRTB е един от най-широко използваните протоколи за „Real Time Bidding”. Когато потребителите имат достъп до уебсайт или приложение, което съдържа рекламно пространство, технологичните компании, представляващи хиляди рекламодатели, могат незабавно („в реално време“) да наддават за това рекламно пространство чрез автоматизирана система за търгове, използвайки алгоритми, за да покажат насочена реклама специално съобразена с профила на това лице.
Когато потребителите посетят уебсайт или приложение за първи път, ще се появи интерфейс (платформа за управление на съгласието или CMP), където те могат да дадат съгласието си за събиране и споделяне на техните лични данни или да възразят срещу различни видове обработка въз основа на законните интереси на доставчиците на рекламни технологии. Тук идва TCF: той улеснява улавянето, чрез CMP, на предпочитанията на потребителите. След това тези предпочитания се кодират и съхраняват в „TC string“, който ще бъде споделен с организациите, участващи в системата OpenRTB, така че те да знаят с какво се е съгласил или срещу какво е възразил потребителят. CMP също така поставя бисквитка (euconsent-v2) на устройството на потребителя. Когато се комбинират, TC низът и бисквитката euconsent-v2 могат да бъдат свързани с IP адреса на потребителя, което прави автора на предпочитанията разпознаваем.
Надзорният орган установява, че IAB Europe действа като администратор на данни. Нарушенията на GDPR от IAB Europe са неадекватно правно основание за обработката; твърде обща и неясна информация за потребителите; липса на организационни и технически мерки в съответствие с принципа за защита на данните на етапа на проектирането и по подразбиране, за да се гарантира, inter alia, ефективното упражняване на правата на субектите на данни и валидността и целостта на проверка на избора на потребителя, съответствието на TCF с GDPR не е достатъчно гарантирано или демонстрирано; IAB Europe не е водил регистър на дейностите по обработване, не е назначил DPO и не е извършил DPIA (оценка на въздействието върху защитата на данните). В резултат на тези нарушения Камарата по спорове на GBA решава да наложи строги санкции, по-специално защото TCF може да доведе до загуба на контрол върху личната информация на голяма група граждани. Поради това Камарата по споровете налага административна глоба от 250 000 евро на IAB Europe. На компанията е наредено да предприеме серия от коригиращи действия и да приведе текущата версия на TCF в съответствие с GDPR.
Тези мерки включват (наред с други):
- установяване на валидно правно основание за обработка и разпространение на потребителските предпочитания, както и забрана на използването на легитимния интерес като основа за обработка на лични данни от организации, участващи в TCF;
- задълбочена проверка на участващите организации, за да се гарантира, че отговарят на изискванията на GDPR.
На IAB Europe се дават два месеца, за да представи план за действие за прилагане на коригиращите мерки.
Решението може да се обжалва.