Vragen autoriteit persoonsgegevens naar aanleiding besluit apd tcf

Vanuit de werkgroep Privacy zijn een aantal vragen opgesteld en voorgelegd aan de AP. We blijven in contact met de AP en zullen vervolgvragen stellen. Heb je zelf vragen die je wilt stellen neem contact op met [email protected].

1. Waarom heeft de Autoriteit Persoonsgegevens aangegeven het besluit van de Belgische gegevensbeschermingsautoriteit (APD) mogelijk te gaan handhaven, terwijl de APD IAB Europe eerst (in totaal) 8 maanden de tijd biedt om de gebreken op te lossen? En IAB Europe in beroep is gegaan?

"Omdat het systeem in de huidige vorm niet aan de wet voldoet. Daarom heeft de Belgische privacytoezichthouder APD aan IAB Europe een boete van 250.000 euro opgelegd voor het gebruik van het Transparency and Consent Framework (TCF). Daarnaast legde de APD een last onder dwangsom op aan IAB Europe. Die last onder dwangsom houdt in dat IAB binnen twee maanden een actieplan moet maken om het TCF wél aan de Algemene verordening gegevensbescherming (AVG) te laten voldoen.

Na eventuele goedkeuring van het actieplan door de Belgische toezichthouder, moet IAB Europe binnen zes maanden de wijzigingen uit het actieplan implementeren. Lukt dat niet binnen de gestelde termijn? Dan moet IAB Europe 5.000 euro per dag betalen.

Dat IAB Europe naast de opgelegde boete het systeem moet verbeteren, is omdat het systeem in de huidige vorm niet aan de AVG voldoet. Bij het gebruik van het TCF zijn meerdere partijen betrokken: IAB Europe, de eigenaar van de website, de maker van de cookiemelding (consent management platform) en de deelnemende verkopers van advertenties (adtech-bedrijven).

IAB Europe heeft nu sancties opgelegd gekregen van de Belgische toezichthouder. Net als bij IAB Europe, kunnen privacytoezichthouders ook handhavend optreden bij de andere partijen die met het TCF persoonsgegevens verwerken.

De AP zal vanzelfsprekend de bevindingen van de Belgen op het actieplan en het verdere verbetertraject nauwlettend volgen. Op 1 april heeft IAB Europa een actieplan ingediend. Het plan moet het mogelijk maken om in 6 maanden een nieuwe versie van de TCF uit te rollen onder toezicht van de APD. Het actieplan is nog niet geëvalueerd en gevalideerd door de APD."

2. Is er overeenstemming tussen de verschillende Europese privacy toezichthouders met betrekking tot de handhaving van het besluit?

"De Belgische toezichthouder is in deze zaak de leidende toezichthouder. Dit betekent dat het aan de Belgische toezichthouder is om handhavend op te treden richting IAB Europe, zoals ze ook heeft gedaan met dit besluit. Er zijn diverse actoren betrokken bij het TCF. Het is afhankelijk van de specifieke actor en waar deze gevestigd is, welke toezichthouder in de EU bevoegd is om handhavend op te treden jegens deze specifieke actor."

3. De APD heeft aangegeven dat een beroep op de grondslag ‘toestemming’ voor het gebruik van cookies in combinatie met OpenRTB niet slaagt, mede door het aantal vendors dat betrokken is bij TCF/OpenRTB. Maximaal hoeveel vendors mogen door publishers worden ingezet om nog steeds rechtsgeldige toestemming te kunnen vragen?  

"Het is aan de Belgische toezichthouder om in het verbetertraject met IAB Europe te bepalen welke aanpassingen aan het TCF noodzakelijk zijn. De AP volgt nauwlettend dit traject. Desalniettemin, is het aan de betrokken actoren om hun due diligence onderzoek uit te voeren en te bepalen welke maatregelen noodzakelijk zijn om compliant met de AVG te zijn. Dit is niet slechts van één factor afhankelijk, maar dient een geheel van maatregelen te zijn om compliant met de AVG te zijn, o.a. aangaande de eis van een vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming."

4. De APD heeft aangegeven dat een beroep op de grondslag ‘toestemming’ voor het gebruik van cookies in combinatie met OpenRTB niet slaagt doordat het proces te gecompliceerd is. Is de eenvoud/complexiteit van een proces een vereiste voor het geven van toestemming?

"Zie de beantwoording van vraag 3."

5. De APD heeft IAB Europe (in totaal) 8 maanden de tijd gegeven om het TCF te verbeteren. Om in de tussentijd al stappen te kunnen zetten, hebben we 6 praktische tips opgesteld voor publishers om hun cookiebeleid op korte termijn te verbeteren. Hoe kijken jullie naar deze tips (zie bijlage)? Hebben jullie aanvullingen?

"Het past niet binnen de wettelijke taken van de AP om hier op deze wijze een review op te doen."

6. Door dit besluit wordt het gebruik van third party cookies bemoeilijkt. Dit heeft vooral nadelige gevolgen voor kleine en middelgrote bedrijven. Hoe kan de Autoriteit Persoonsgegevens waarborgen dat dit besluit niet in het voordeel van Big Tech valt waardoor hun marktmacht nog meer groeit.

"De AP en haar Europese collega-privacytoezichthouders houden toezicht op de naleving van de privacywetgeving. De macht van de markt valt buiten het bereik van onze wettelijke taken en zorgen hierover moeten bij de ACM en haar Europese collega’s worden geadresseerd."

7. Het real time bidding-proces is op dit moment open, in die zin dat iedere organisatie toegang heeft tot het proces. Zou het probleem dat wordt aangekaart in het besluit worden verholpen als het proces wordt gesloten? Dit zou betekenen dat alleen organisaties toegang krijgen die voldoen aan vooraf vastgestelde voorwaarden en dat persoonlijke data zoveel als mogelijk verwijderd wordt van het protocol.  

"Er is samenhang tussen het TCF en OpenRTB. Echter, ondanks de vaststellingen van de Belgische toezichthouder over de grondslagen, heeft de Belgische toezichthouder geen sancties opgelegd aan IAB Europe ten aanzien van verwerkingen die uitsluitend onder het OpenRTB geschieden. Zie verder de beantwoording van vraag 3."

Questions to the Dutch Data Protection Authority following the APD's decision regarding the TCF

1.Why has the Dutch Data Protection Authority indicated that it may enforce the decision of the APD, while the APD first gives IAB Europe a period of 8 months (in total) to resolve the deficiencies? And while IAB Europe has lodged an appeal against this decision?

"Because in its current form, the system does not comply with the law. This is why the Belgian data protection supervisor APD has imposed a fine of € 250,000 on IAB Europe for the use of the Transparency and Consent Framework (TCF). In addition, the APD imposed an order subject to a penalty on IAB Europe. This order subject to a penalty means that IAB must draw up an action plan within two months to have the TCF comply with the General Data Protection Regulation (GDPR).

After any approval of the action plan by the Belgian supervisory authority, IAB Europe must implement the changes set out in the action plan within six months. If this is not possible within the set timeframe, IAB Europe will have to pay 5,000 euro per day.

In addition to the fine imposed, IAB Europe has to improve the system as in its current form, the system does not comply with the GDPR. Several parties are involved in the use of the TCF: IAB Europe, the owner of the website, the creator of the cookie notification (consent management platform), and the participating advertisement vendors (adtech companies).

The Belgian supervisory authority has now imposed sanctions on IAB Europe. As with IAB Europe, data protection supervisors may also take enforcement measures against other parties that process personal data using the TCF.

It goes without saying that the DPA will closely follow the findings of the Belgians on the action plan and the further improvement process. IAB Europe submitted their action plan on April 1st, which should enable a new version of the TCF to be rolled out over the course of 6 months, under the supervision of the APD. The plan still needs to be reviewed and validated by the APD."

2. Is there agreement between the different European supervisory authorities on the enforcement of the decision?

"The Belgian supervisory authority is the lead in this case. This means that it is up to the Belgian supervisory authority to take enforcement measures against IAB Europe, as it has done with this decision. Various actors are involved in the TCF. Which EU supervisory authority is competent to take enforcement measures against a specific actor depends on that specific actor and where it is located."

3. The APD has indicated that 'consent' cannot successfully be invoked as a legal basis for the use of cookies in combination with OpenRTB, partly because of the number of vendors involved in TCF/OpenRTB. What is the maximum number of vendors that publishers can use and still be able to ask for a legally valid consent?  

"It is up to the Belgian supervisory authority to determine in the improvement process with IAB Europe what adjustments to the TCF are necessary. The DPA is closely following this process. Nevertheless, it is up to the actors involved to perform their due diligence and determine what measures are necessary for compliance with the GDPR. This does not depend on one single factor, but compliance with the GDPR requires a set of measures, including the requirement of free, specific, informed and unambiguous consent."

4. The APD has indicated that 'consent' cannot successfully be invoked as a legal basis for the use of cookies in combination with OpenRTB because the process is too complicated. Is the simplicity/complexity of a process a requirement for giving consent?

"See the answer to question 3."

5. The APD has granted IAB Europe a period of 8 months (in total) to improve the TCF. To be able to take steps in the meantime, we have compiled 6 practical tips for publishers to improve their cookie policies in the short term. What is your opinion on these tips (see attachment)? Do you have any additions?

"It is not part of the statutory duties of the DPA to review this in this way."

6. This decision makes the use of third party cookies more difficult. This affects small and medium-sized enterprises in particular. How can the Dutch Data Protection Authority ensure that this decision does not favour Big Tech and increases their market power even more?

"The DPA and its European colleagues monitor compliance with privacy legislation. Market power is beyond the scope of our statutory duties and concerns about it should be addressed to the Netherlands Authority for Consumers and Markets (ACM) and its European colleagues."

7. The real-time bidding process is currently open, in the sense that any organisation has access to the process. Would the problem raised in the decision be solved if the process was closed? This would mean that only organisations that meet predetermined conditions are granted access and that personal data is removed from the protocol as much as possible.  

"The TCF and OpenRTB are interrelated. However, despite the Belgian supervisory authority's findings on the legal bases, the Belgian supervisory authority has not imposed any sanctions on IAB Europe with regard to processing operations that are exclusively carried out under the OpenRTB. See also the answer to question 3."