Det danske Datatilsyn har meddelt, at en afgørelse fra det belgiske datatilsyn kan betyde, at danske hjemmesider skal ændre i deres samtykke-løsninger.
Det fremgår konkret, at, ”som dataansvarlig [bør du] få afklaret, om din hjemmeside eller reklameplatform benytter TCF-rammeværket. Hvis det er tilfældet, skal du sikre dig, at du sammen med dine annonceleverandører får skiftet til en løsning, der lever op til databeskyttelsesforordningen.”
Det er fremgår ikke af udtalelsen, hvad der evt. skal ændres, for at Datatilsynet mener, at reglerne er overholdt nærmere, end at:
”… du som dataansvarlig skal vide, hvad de moduler du indlejrer på din side, medfører af behandlinger, og hvem du benytter som databehandler eller videregiver data til. Det er derfor essentielt, at du som dataansvarlig får fastlagt ansvaret i det omfang, du som hjemmesideudbyder tager et værktøj eller en ramme i brug, som samtidig bidrager til en tredjeparts indsamling af brugersamtykker og andre oplysninger. Afklaring af rollefordelingen og fastlæggelse af dataansvar påhviler altid de(n) dataansvarlige i kraft af databeskyttelsesreglerne, hvis én eller flere i fællesskab fastlægger formålene med og hjælpemidlerne til behandling af personoplysninger.”
Det fremgår heller ikke, om Datatilsynet vil afvente, om en ændring af TCF medfører, at ordningen bliver godkendt i Belgien. Det belgiske datatilsyn har givet IAB Europe en tidsfrist på 8 måneder til at rette op på mangler, som IAB Europe har meddelt, at organisationen vil efterleve, og at de desuden vil appellere afgørelsen til domstolene.
Danske Medier har kontaktet Datatilsynet med to opklarende spørgsmål i sagen og modtaget følgende svar:
“For så vidt angår Danske Mediers første spørgsmål om tidsfristen for implementering af korrigerende foranstaltninger, er Datatilsynet indstillet på at give medier og andre aktører, der benytter sig af TCF-rammeværket, et passende tidsrum til at gennemføre nødvendige tilpasninger og løsninger set i lyset af det belgiske datatilsyns afgørelse.
Datatilsynet skal imidlertid understrege, at tilsynet i sin rolle som den centrale, uafhængige myndighed, der fører tilsyn med enhver behandling af personoplysninger, fortsat skal og vil behandle eventuelle klagesager, der måtte vedrøre spørgsmål i relation til TCF-rammeværket.
I forhold til Danske Mediers spørgsmål om Datatilsynet har kontrolleret andre løsninger til brug for mediers afhentning af samtykke, kan Datatilsynet oplyse, at tilsynet ikke kan anbefale eller pege på konkrete løsninger for medier og annoncører. Datatilsynet har i øvrigt ikke mulighed for at forhåndsgodkende løsninger, og har ikke umiddelbart kendskab til andre løsninger, som Danske Medier efterspørger.”
Kommentar fra IAB Europe
”Efter offentliggørelsen af beslutningen fra den belgiske databeskyttelsesmyndighed af 2. februar 2022 om TCF, har mange kilder offentliggjort delvise eller ukorrekte oplysninger om omfanget af denne beslutning.
Disse oplysninger omfatter vejledning fra to europæiske databeskyttelsesmyndigheder, der råder udgivere og andre til at skifte fra at bruge TCF, på trods af, at 1) afgørelsen er en administrativ beslutning, der bliver appelleret og 2) den belgiske databeskyttelsesmyndighed har givet to måneder til at komme med en plan for korrigerende foranstaltninger til at afhjælpe påståede mangler og yderligere seks måneder til at implementere sådanne foranstaltninger.
IAB Europe ønsker at gentage, at TCF er en frivillig minimumsstandard, der er oprettet for at hjælpe udgivere med at etablere og dokumentere det juridiske grundlag for GDPR for behandling af brugeres personlige data af tredjeparter, der leverer og måler digital annoncering på deres websteder.
Det belgiske datatilsyn har ikke forbudt TCF, men har i stedet beordret IAB Europe til at indføre yderligere funktionalitet og foreslå korrigerende foranstaltninger, hvilket bekræfter, at de påståede overtrædelser efter dens opfattelse kan afhjælpes. Den version af TCF, der kommer ud af denne proces, vil være en endnu stærkere standard.
Udgivere, forhandlere og CMP’er, der ønsker at tilpasse deres brug af TCF i mellemtiden, står frit til at gøre det, og de kan i denne sammenhæng tage hensyn til det belgiske datatilsyns forslag om at give yderligere information og vejledning om at fjerne brug af legitim interesse som juridisk grundlag for profilering.”
Danske Medier anbefaler
Indtil der er kommet nærmere afklaring på området, anbefaler Danske Medier, at medier, der benytter sig af en TCF-samtykke-løsning, i første omgang beder deres CMP-leverandør om at:
- Tilføje IAB Europe til listen over dataansvarlige
- Fjerne alle tredjeparter fra TCF, der ønsker at benytte sig af legitim interesse, som behandlingsgrundlag til markedsføringsformål.