O zasadach funkcjonowania TCF ostatecznie rozstrzygnie belgijski sąd

TCF to bardzo dobrze znane wszystkim narzędzie, z którym spotykamy się na co dzień przeglądając strony internetowe. W uproszczeniu jest to system wyskakujących okienek (pop-up), które pojawiają się po wejściu na większość witryn w sieci. Za ich pomocą przekazywane są użytkownikom informacje wymagane przez RODO, po to by mogli oni udzielić świadomej zgody na przetwarzanie danych osobowych przy użyciu cookies, w tym na wyświetlanie spersonalizowanych reklam.

Dla całego ekosystemu reklamowego TCF, uruchomiony w kwietniu 2018 r., ma olbrzymie znaczenie. Stworzone w open source rozwiązanie ma na celu zapewnienie spełnienia wymogów RODO i przepisów o e-Prywatności w związku ze stosowaniem przez firmy z branży reklamowej plików cookies.

Zobacz: IAB Europe i IAB Polska wzywają PE do odrzucenia „wprowadzającego w błąd” raportu na temat reklam wykorzystujących dane

W ramach TCF, IAB Europe stworzyła wspólny system klasyfikacji wszystkich możliwych czynności oraz celów przetwarzania danych, istotnych z punktu widzenia reklamy internetowej. Dzięki temu zapewniono standaryzację sposobów w jaki strony internetowe zabiegają o zgodę użytkownika na przetwarzanie danych przez te strony oraz przez strony trzecie, rejestrowania informacji o wyborach dokonywanych przez użytkowników oraz przekazywania tych informacji podmiotom trzecim.

Mechanizm TCF zapewnia internautom możliwość określenia ich preferencji co do celów na które ich dane mają być przetwarzane (np. analityka, reklama), jak i podmiotów, które mogą te dane wykorzystywać. Preferencje są zapisywane w TCF i udostępniane podmiotom uczestniczącym w łańcuchu reklamy internetowej (np. wydawcy, platformy reklamy programatycznej). Wbrew powszechnemu przekonaniu TCF dotyczy nie tylko reklamy cyfrowej, ale też branży badań i analitycznej, więc wszelkie zmiany odbiją się również na tych dwóch sektorach, jak i przykładowo rynku wydawniczym oraz e-commerce.

Zobacz: IAB Europe chce zaskarżyć decyzję belgijskiego Urzędu Ochrony Danych w sprawie pop-up

Istota wyroku - czy decyzja APD namiesza w europejskim, cyfrowym ekosystemie?

Belgijski organ ds. ochrony danych osobowych zakwestionował spełnienie przez TCF niektórych wymogów RODO, takich jak na przykład odpowiedni sposób i zakres poinformowania internautów o przetwarzaniu ich danych osobowych. Wydana w I instancji decyzja została już zaskarżona przez IAB Europe do sądu belgijskiego. Jednocześnie został wyznaczony dwumiesięczny okres, w trakcie którego organizacja ma przedstawić plan naprawczy, który po jego zatwierdzeniu, ma być wdrożony przez kolejne pół roku. Niezależnie od zaskarżenia decyzji, IAB Europe powołało Task Force analizujący uwagi belgijskiego urzędu.

Co więcej, złożony został również wniosek o wstrzymanie wykonalności decyzji do czasu ostatecznego rozstrzygnięcia sprawy. Do tej pory istotna część decyzji belgijskiego organu była uchylana przez belgijskie sądy. Zastrzeżenia co do prawidłowości umocowania tego organu zgłosiła również Komisja Europejska w piśmie z dnia 12 listopada 2021 r.

Zobacz: System śledzącej reklamy IAB Europe sprzeczny z RODO

IAB Europe nie zgadza się z belgijskim regulatorem

IAB Europe nie zgadza się ze stanowiskiem belgijskiego regulatora, że organizacja ta jest administratorem informacji o preferencjach użytkowników, a co za tym idzie odpowiada między innymi za podstawę prawną przetwarzania tych informacji. IAB Europe jest bowiem tylko organizatorem systemu TCF, a informacje te we własnym zakresie wykorzystują podmioty z łańcucha reklamy internetowej (np. wydawcy, czy dostawcy platform SSP, DSP oraz DMP). IAB Europe jedynie więc dostarcza rozwiązanie, same decyzje o wykorzystaniu danych zapisanych w TCF podejmują natomiast podmioty korzystające z tego rozwiązania. Należy również podkreślić, że IAB Europe jako twórca TCF w żaden sposób nie determinuję, jakie konkretne działania związane z przetwarzaniem danych osobowych podejmują te firmy. To wyłącznie użytkownicy TCF decydują, do którego z celów skatalogowanych w TCF należy zaliczyć działania związane z przetwarzaniem danych, a następnie wykorzystują ten system klasyfikacji do przekazywania informacji innym osobom i podmiotom.

TCF nie „nakazuje” więc ani nie uruchamia operacji przetwarzania danych. Decyzje odnośnie określenia celów i środków przetwarzania danych osobowych podejmowane są wyłącznie przez użytkowników TCF, bez udziału IAB Europe, która również nie ma dostępu do przechowywanych danych o wyborach podjętych przez podmioty danych (np. zgoda na przetwarzanie na cele reklamowe).

Zobacz: IAB Europe kampanią #NoEasyWins staje w obronie reklamy targetowanej

Mechanizm TCF nie został zakwestionowany

Należy podkreślić, że sam mechanizm TCF jako narzędzie służące do informowania i określeni podstawy przetwarzania danych, nie został jednak zakwestionowany. To samo dotyczy stosowania pop-up do przekazania informacji użytkownikom. Decyzja belgijskiego organu wiąże tylko i wyłącznie IAB Europe, a nie podmioty będące uczestnikami TCF, nie są one bowiem stronami postępowania. Zakwestionowanie tego mechanizmu przez któryś z krajowych organów ochrony danych wymaga zainicjowania oddzielnego postępowania.

Z wstępnych informacji uzyskanych w innych państwach wynika jednak, że organy do spraw ochrony danych osobowych zamierzają poczekać na ostateczne rozstrzygnięcie sprawy przez belgijski sąd. Warto również zaznaczyć, że inaczej niż w Belgii, w Polsce w sprawach instalowania cookies właściwy jest nie PUODO, ale Prezes Urzędu Komunikacji Elektronicznej.

Niezależnie jednak od ostatecznego rozstrzygnięcia z pewnością cały proces będzie miał istotny wpływ na sposób funkcjonowania reklamy internetowej. IAB Europe zapewnia, że będzie ściśle współpracować z APD i innymi organami ochrony danych w celu implementacji wszystkich niezbędnych wytycznych i mechanizmów monitorowania, aby zapewnić ciągłą użyteczność TCF na rynku.

Autorzy: Włodzimierz Schmidt, prezes zarządu IAB Polska; Xawery Konarski, Starszy Wspólnik kancelarii prawnej Traple Konarski Podrecki i Wspólnicy