IAB Europe weerlegt kritiek op Transparency & Consent Framework

4 minuten leestijd (851 woorden)

Twee maanden na de publicatie van het Transparency & Consent Framework v2.0 (TCF) van IAB Europe blijkt wederom dat, alle inspanningen van de markt ten spijt, het nog steeds niet voor iedereen duidelijk is wat de exacte werking en intentie van het TCF is. Eind oktober meldden meerdere internationale media dat het systeem dat door honderdduizenden website- en app-uitgevers wordt gebruikt om transparantie en toestemming rond online adverteren te garanderen, volgens de Belgische Gegevensbeschermingsautoriteit (GBA) in strijd is met de Europese GDPR.

Geen fake news
Het bericht is helaas geen fake news, maar het heeft er wel de schijn van dat deze voorlopige conclusies van het GBA-onderzoek zijn gelekt, officieel is dit namelijk 'intern en vertrouwelijk' nieuws. Het onderzoek is ingesteld naar aanleiding van een klacht die op 12 september 2018 is ingediend bij de Irish Data Protection Commission (DPC) door de Irish Council for Civil Liberties, een Ierse ngo. Hoewel de klacht niet alleen tegen IAB Europe is gericht, maar IAB wel met name in de klacht wordt genoemd, verwees de Ierse DPC de klacht door naar de GBA, aangezien het hoofdkantoor van IAB Europe in België is gevestigd. De klacht uit Ierland staat niet op zichzelf. In totaal hebben inmiddels 22 individuen uit 16 EU-lidstaten, met name organisaties die zich bezighouden met privacy- en burgerrechten, publiekelijk hun vraagtekens bij het doel van het framework gezet.

TCF geeft inzicht en controle
Dat de GBA een uitgebreid onderzoek heeft ingesteld is opvallend te noemen. Het TCF, een initiatief van het IAB Tech Lab in de VS en IAB Europe, is namelijk drie jaar geleden ontwikkeld om het digitale advertentie-ecosysteem in staat te stellen te voldoen aan bepaalde verplichtingen op grond van de AVG en de e-privacyverordening (ePV). Het is de grootste industriële samenwerking in haar soort en het enige compliance framework die door en voor de industrie is gebouwd.

Na feedback van de markt en discussies met gegevensbeschermingsautoriteiten (Data Protection Authorities, DPA's) van de EU-lidstaten, is het TCF in het afgelopen jaar zelfs nog bijgewerkt (versie 2.0) om meer keuzemogelijkheden aan de consument te bieden, meer controle te geven aan uitgevers en de accommodatie van 'legitieme belangen' van de AVG mogelijk te maken, waaronder een recht voor consumenten om bezwaar te maken via het TCF.

Conclusies uit het gelekte GBA-onderzoeksrapport
Maar daar denkt de GBA klaarblijkelijk anders over, gezien de conclusies uit het gelekte onderzoeksrapport. Hieruit blijkt dat het GBA stelt:

  1. Dat IAB Europe zelf verantwoordelijk is voor de verwerking van gegevens die via zijn TCF verzameld en verwerkt worden, als zijnde een verwerker.
  2. Dat het TCF niet voldoet aan de eisen van artikel 5 (rechtma­tigheid, behoorlijkheid en transparantie).
  3. Dat het TCF speciale categorieën persoonsgegevens verwerkt. En zoals bekend mogen deze in artikel 9 genoemde persoonsgegevens – bijvoorbeeld gezondheid, politieke voorkeur, seksuele voorkeur – niet worden verwerkt, tenzij er een uitzondering geldt.
  4. Dat er nog wat zaken ontbreken bij IAB Europe, maar die IAB Nederland bijvoorbeeld wel heeft geïmplementeerd zoals een verwerkingsregister en het benoemen van een DPO.

De feiten op een rij
IAB Europe heeft inmiddels officieel op het uitgelekte nieuws gereageerd. In een krachtig statement geeft Townsend Feehan, CEO van IAB Europe, aan dat zij de GBA respecteren, maar dat ze het niet eens zijn met de inhoud van het voorlopige rapport en het niet-bindende oordeel. En met reden. Zo geeft IAB Europe aan dat zij als IAB niet verwerkingsverantwoordelijk zijn. Daarnaast bevestigen zij opnieuw dat TCF een vrijwillige standaard is, en bovenal maken ze nogmaals kenbaar dat het TCF in lijn is met richtlijnen van verschillende Europese DPA's als CNIL (Frankrijk), DPC (Ierland) en ICO (Groot-Brittannië).

Procedure
Inmiddels zijn het onderzoeksrapport en de klacht officieel ingediend bij de geschillenkamer van de GBA. IAB Europe heeft nu tot 7 december 2020 de tijd om schriftelijk te reageren op het rapport.
Daarop mag de aanklager dan weer reageren, uiterlijk tot 11 januari 2021, waarna IAB Europe daar weer op kan reageren, uiterlijk tot 15 februari 2021. Dan volgt een beslissing van de geschillenkamer. Mocht die negatief uitvallen voor IAB Europe, dan ligt de weg naar de rechter open. Hopelijk hoeft het niet zover te komen.

Vraag of opmerking over het Transparency & Consent Framework 2.0?
Heb je een vraag of opmerking over het IAB Europe Transparency & Consent Framework? Of heb je een vraag over de AVG en/of ePV? Lees dan vooral dit uitgebreide artikel dat de werkgroep Privacy recent nog over het TCF schreef. In dit artikel wordt nadere uitleg gegeven over de vier grootste misverstanden en mythes die in de markt leven over het framework. Voor meer informatie over TCF-richtlijnen, technische specificaties, implementatie van de richtlijnen, FAQ en meer kun je terecht op de website van IAB Europe. Je kunt natuurlijk ook altijd contact opnemen met de werkgroep Privacy via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..