El pasado 02 de febrero de 2022, la autoridad nacional de protección de datos belga APD (Autorité de protection des données) publicó la Decisión 21/2022 referida al modelo de consentimiento por popups utilizado por una gran parte de la industria publicitaria digital y online europea para obtener el consentimiento para el uso de las cookies, agrupada en la asociación IAB. Este modelo, conocido por sus siglas TCF, Transparency and Consent Framework (Marco para la Transparencia y el Consentimiento) y que se estima que está presente en el 80% de la internet en Europa, ha sido declarado ilegal.
En dicha decisión, que se considera vinculante para todo el territorio europeo, la APD considera que el TCF infringe el Reglamento Europeo de Protección de Datos 2016/679 de la siguiente manera:
- Los datos personales no están custodiados de forma segura y personal (art. 5 (1) f) y art. 32)
- El consentimiento no se requiere de manera adecuada y se confía en el “interés legítimo” como base legitimadora para el tratamiento de los datos lo que no es permisible debido al seguimiento on line que se realiza a través de los sistemas de publicada basados en REB (Real Time Bidding o Subasta en Tiempo Real) (art. 5 (1) a) y art. 6)
- El TCF no garantiza transparencia alguna sobre el destino de los datos personales recopilados ( art. 12, 13 y 14)
- No se implementan medidas que aseguren que el tratamiento de los datos personales se realiza conforme a lo establecido por el RGPD (art. 24)
- No se respeta el principio de “Privacidad desde el Diseño y Por Defecto” (art. 25)
- Las transferencias internacionales de datos no aportan las garantías de protección adecuadas (art. 44, 45, 46 47, 48 y 49)
La APD belga ha tachado el comportamiento de IAB Europa de “carácter intencional o negligente) (párrafo 547 de la decisión).
Las consecuencias son la obligación de eliminar toda la información recopilada a través de estos sistemas por parte de las más de 1000 empresas que pagan a IAB Europa por el uso del TCF, entre las que se encuentran Google, Amazon y Microsoft.
Por su parte IAB Europa publicó una nota de prensa el mismo día 02 de febrero en la que reconocían la decisión adoptada por la APD Belga, pero hacían notar que, en dicha decisión, no constaba una prohibición sobre el uso del TC y que en dicha decisión se les otorga un plazo de 6 meses para remediar las irregularidades señaladas. Así mismo, anunciaban que estaban considerando todas las opciones respecto a un posible recurso legal.