Europees Hof van Justitie: cookie pop-ups IAB in strijd met AVG
Het systeem dat door Europa's grootste brancheorganisatie IAB is gepromoot en dat op veel websites gebruikt wordt is om via een pop-up toestemming te vragen voor het plaatsen van cookies. Maar dat blijkt nu in strijd met de AVG, volgens het Europees Hof van Justitie in een arrest.
IAB is de grootste Europese brancheorganisatie voor adverteerders, marketingbureaus en mediabedrijven. De organisatie bouwde jaren geleden de tool Transparency & Consent Framework, waarmee cookietoestemming in één keer geregeld kan worden volgens de AVG-regels. Veel gebruikers zien dit systeem in de vorm van de cookiepop-up die op veel sites langskomt. Naar schatting gebruikt ongeveer tachtig procent van de Europese websites en apps het systeem, aldus een bericht het Financieele Dagblad.
De Belgische toezichthouder besloot in 2022 echter dat het systeem van IAB in strijd is met de AVG. Het IAB-systeem slaat de voorkeuren van gebruikers gecodeerd op in een TC-string, die vervolgens wordt gedeeld met organisaties die meedoen aan het advertentieplatform van IAB. Op die manier weten makelaars in persoonsgegevens en reclameplatformen waar een gebruiker wel of geen toestemming voor heeft verleend.
Ook wordt er een cookie op het toestel van de gebruiker geplaatst. Maar de TC-string en cookie kunnen in combinatie met elkaar aan het IP-adres van de gebruiker worden gekoppeld, waardoor de gebruiker te identificeren is. Volgens de privacytoezichthouder is IAB verwerkingsverantwoordelijke, waardoor het verantwoordelijk gehouden kan worden voor schendingen van de AVG. IAB heeft een boete van 250.000 euro gekegen en twee maanden de tijd om een actieplan in te dienen met verbeterpunten.
Hoger beroep werkt averechts
IAB ging in beroep tegen het besluit. De Belgische rechter vroeg het Europees Hof van Justitie weer om nadere toelichting. Het Hof is p 7 maart in zijn arrest tot dezelfde conclusie gekomen: de TC-string bevat informatie over een identificeerbare gebruiker en vormt dus een persoonsgegeven. Ook vindt het Hof dat IAB Europe beschouwd moet worden als een gezamenlijke verwerkingsverantwoordelijke.
Het arrest van het Hof gaat terug naar de Belgische rechter die het Hof om uitleg had gevraagd. Pas nadat de Belgische rechter een uitspraak heeft gedaan, wordt het besluit van de Belgische privacyautoriteit definitief. Maar de uitspraak van het Europees Hof betekent dat de reclamesector zijn huidige systeem fundamenteel moet aanpassen.
IAB heeft een alternatief ontworpen, maar omdat de industrie het juridisch traject wilde afwachten, is dat (nog) niet in de ijskast gezet.
