Det belgiske datatilsyn har truffet afgørelse i en klagesag, der involverer den europæiske brancheorganisation IAB Europe, som er brancheorganisation for medier og annoncører. Sagen vedrører en it-service og rammeværk kaldt TCF (Transparency and Consent Framework), der bliver benyttet til indsamling og formidling af samtykker til behandlinger ved annoncering.
Rammeværket er baseret på betingelser og et teknisk set up designet af IAB. Det bruges bl.a. til registrering af cookiesamtykker og præferencer mv. til brug for videre behandling – bl.a. via real time bidding (RTB), hvor annoncører kan købe sig ind på de brugeres præferencer, som er relevante for dem med henblik på markedsføring.
Afgørelsen er blevet forelagt EDPB, hvor også Datatilsynet har haft mulighed for at komme med bemærkninger til og eventuelle indsigelser mod afgørelsen. Datatilsynet har i den forbindelse erklæret sig enig i afgørelsen i sin helhed.
Hvad siger afgørelsen?
Det belgiske datatilsyn har med sin afgørelse vurderet, at IAB Europe er skyldig i en række overtrædelser af GDPR ved TCF-rammen, herunder bestemmelser vedrørende de grundlæggende principper for behandling af personoplysninger, hjemmelsgrundlag, oplysningspligt og behandlingssikkerhed. Vurderingen baserer sig på, at IAB Europe findes at være dataansvarlig for behandling af personoplysninger ved TCF-rammen sammen med de medier og annoncører, der benytter sig af rammen.
Når IAB Europe anses som dataansvarlig, har det været afgørende for vurderingen, at IAB Europe som udvikler og udbyder af TCF-rammen har kunnet pålægge deltagende organisationer et sæt af retningslinjer og betingelser ved benyttelse af rammen. Betingelserne relaterer sig til den behandling af personoplysninger, der sker i forbindelse med indsamling af cookiesamtykker såvel som oplysninger om brugerpræferencer.
Hvad betyder afgørelsen for danske hjemmesider?
Der er rigtig mange annoncører, medier og udbydere af reklamer på internettet, der benytter TCF-rammeværket, og der er rigtig mange hjemmesider, der er understøttet af reklamer udbudt ved hjælp af denne metode til samtykkeformidling.
Hvis du selv er hjemmesideudbyder, annoncør eller formidler af reklame og annonceplads, bør du som dataansvarlig få afklaret, om din hjemmeside eller reklameplatform benytter TCF-rammeværket. Hvis det er tilfældet, skal du sikre dig, at du sammen med dine annonceleverandører får skiftet til en løsning, der lever op til databeskyttelsesforordningen.
Afgørelsen er også i tråd med det generelle budskab, at du som dataansvarlig skal vide, hvad de moduler du indlejrer på din side, medfører af behandlinger, og hvem du benytter som databehandler eller videregiver data til.
Det er derfor essentielt, at du som dataansvarlig får fastlagt ansvaret i det omfang, du som hjemmesideudbyder tager et værktøj eller en ramme i brug, som samtidig bidrager til en tredjeparts indsamling af brugersamtykker og andre oplysninger. Afklaring af rollefordelingen og fastlæggelse af dataansvar påhviler altid de(n) dataansvarlige i kraft af databeskyttelsesreglerne, hvis én eller flere i fællesskab fastlægger formålene med og hjælpemidlerne til behandling af personoplysninger.