Hva skjedde

EU-domstolen vurderte IAB Europes rammeverk for samtykkesignaler i sanntidsbudgivning. En TC String kan være en personopplysning når den kan knyttes til en identifiserbar bruker, og IAB Europe kan være felles behandlingsansvarlig for deler av behandlingen.

Avgjørelsen gjør ansvarsfordelingen i annonseteknologi mer konkret. En organisasjon kan ha behandlingsansvar for reglene og signalene den utformer, selv om den ikke kontrollerer alle senere operasjoner hos annonsører og datameglere.

Rettslig status i Norge

Dommen tolket eksisterende GDPR og er relevant for norske virksomheter gjennom EØS. Den endret ikke forordningen eller gjorde alle senere operasjoner i annonsekjeden til IAB Europes ansvar.

Bakgrunnen for saken

I sanntidsbudgivning sendes annonseplassen ut på auksjon mens siden lastes. TC String lagrer bokstav- og tegnkodede opplysninger om hva brukeren har samtykket til eller motsatt seg, og deles med meglere og annonseplattformer. Sammen med informasjonskapselen kunne strengen knyttes til enhetens IP-adresse og dermed bidra til en brukerprofil. Domstolen mente IAB Europe påvirket formål og virkemidler når preferansene ble registrert gjennom rammeverket. Ansvaret stoppet likevel der påvirkningen stoppet: senere annonsebehandling falt bare inn dersom IAB Europe også hadde påvirket dens formål og midler.

For annonsekjøpere og publisister innebærer avgjørelsen at et TCF-signal ikke alene beviser gyldig samtykke. Kontrollen må følge hele dataflyten: hvem setter informasjonskapselen, hvem mottar IP-adresse og TC String, hvilke leverandører aktiveres, og til hvilke formål. Avtaler og personvernerklæringer bør gjenspeile at felles behandlingsansvar kan gjelde ett trinn uten automatisk å omfatte all senere målretting.

Praktiske konsekvenser

Ledelsen bør kreve en konkret kontroll av minst én annonseflyt fra samtykkevalget til mottakerne. Kontrollen bør ende med en navngitt eier for hver behandlingsoperasjon, dokumentert grunnlag og sperre når et signal mangler eller er ugyldig. Det gir et bedre beslutningsgrunnlag enn en generell erklæring om at alle aktører følger TCF.

Kilder

EU-domstolen: «Press Release 44/24: IAB Europe», 7. mars 2024.

EU-domstolen: «Judgment in Case C-604/22, IAB Europe», 7. mars 2024.

Til diskusjon

Hvor har vi størst avstand mellom dokumentert kontroll og faktisk praksis?