De cookiepop-ups van IAB Europe, die op grote schaal door websites worden gebruikt om gebruikers toestemming te vragen voor het plaatsen van cookies, zijn in strijd met de AVG. Dat heeft het Hof van Justitie van de Europese Unie vandaag geoordeeld (pdf). De Belgische privacytoezichthouder GBA oordeelde al in 2022 dat het systeem in strijd met de AVG is.

Het Interactive Advertising Bureau Europe (IAB Europe) is de ontwikkelaar van het Transparency and Consent Framework (TCF). Dit is een veelgebruikt mechanisme dat het beheer van gebruikersvoorkeuren voor online gepersonaliseerde advertenties vergemakkelijkt en een sleutelrol speelt bij het zogenaamde Real Time Bidding (RTB).

Het TCF moet organisaties die gebruikmaken van het OpenRTB-protocol helpen bij het naleven van de AVG. Het OpenRTB-protocol is een van de meest gebruikte protocollen voor RTB, waarbij gebruikersprofielen worden geveild voor het verkopen en aankopen van online advertentieruimte.

Het TCF vergemakkelijkt het vastleggen van de voorkeuren van gebruikers. Deze voorkeuren worden dan opgeslagen in een "TC string", die wordt gedeeld met de organisaties die deelnemen aan het OpenRTB-systeem, zodat zij weten waarvoor de gebruiker toestemming heeft gegeven of waartegen hij bezwaar heeft gemaakt.

Wanneer gebruikers een website of applicatie bezoeken die advertentieruimte bevat, kunnen techbedrijven via RTB gerichte advertenties laten zien die specifiek zijn afgestemd op het profiel van de betreffende persoon...

...IAB Europa is van mening dat het geen verwerkingsverantwoordelijke is, maar dat is volgens de GBA wel het geval. De Belgische privacytoezichthouder stelde twee jaar geleden vast dat IAB Europe op verschillende punten de AVG heeft geschonden.

Vanwege het overtreden van de AVG besloot de Belgische privacytoezichthouder een boete op te leggen. IAB Europe ging in beroep tegen de boete bij het hof van beroep in Brussel, dat prejudiciële vragen heeft voorgelegd aan het Europees Hof. Dat laat vandaag weten dat de TC-string informatie over een identificeerbare gebruiker bevat en dus een persoonsgegeven in de zin van de AVG vormt. Daarnaast moet IAB Europe worden beschouwd als een „gezamenlijke verwerkingsverantwoordelijke” in de zin van de AVG.

Alles bij de bron; Security