Dooffy, CC0, via Wikimedia Commons
Il Transparency & Consent Framework (TCF) usato dagli inserzionisti in Europa è illegale. Lo ha stabilito il tribunale di appello del Belgio, confermando la sanzione inflitta dalla Belgian Data Protection Authority a IAB Europe, che aveva creato lo strumento per normalizzare la raccolta del consenso al tracciamento per la pubblicità personalizzata.
Quando un utente visita un sito web dall’Europa, gli appare un pop-up per il consenso al tracciamento tramite cookie, che, se il consenso non viene negato, vengono poi utilizzati dagli inserzionisti per mostrare pubblicità personalizzate. Secondo il GDPR, i cookie devono essere trattati come dati personali.
Il TCF, strumento creato da IAB Europe proprio per la gestione della raccolta dei consensi, registra il consenso o diniego dell’utente nella cosiddetta Transparency & Consent String (TC String), che la Belgian Data Protection Authority (DPA) a febbraio 2022 aveva affermato essere un dato personale, stabilendo una violazione del GDPR da parte di IAB Europe e imponendo una sanzione di 250.000 euro. All'epoca, IAB Europe aveva presentato ricorso che, dopo una sentenza della Corte di Giustizia dell’Unione europea di marzo 2024, è stato respinto dal tribunale di appello del Belgio.
Il tribunale ha confermato che la TC String contiene l’indirizzo IP dell’utente, quindi il tracciamento tramite il framework è illegale, applicando la sentenza in tutta Europa.
IAB Europe ha comunicato che sono in corso modifiche allo strumento. La reazione di IAB Europe, che aveva presentato il ricorso, sembra essere principalmente di sollievo per non essere stata ritenuta responsabile dei dati raccolti tramite il TCF: "Il Tribunale ha respinto la tesi dell'APD secondo cui IAB Europe è un contitolare del trattamento insieme ai partecipanti al TCF per il loro rispettivo trattamento di dati personali, ad esempio per finalità di pubblicità digitale," dichiara l'organizzazione, facendo anche notare di aver già suggerito modifiche al TCF che riflettono meglio la "contitolarità limitata" e di averle presentate all'Autorità belga per la protezione dei dati.