Ci sono aggiornamenti per la sorte di uno degli strumenti più diffusi per il marketing online, il c.d. TCF (“Transparency & Consent Framework”) 2.0 di IAB Europe, standard per il marketing digitale. Si tratta di novità risolutive per il settore? Pare di no e che si dovrà aspetta ancora per averne.
Nonostante sia ormai chiaro a quasi tutti che i cookie di terza parte, come strumento di marketing, abbiano i mesi contati, tuttora infuria la battaglia per la loro gestione. Come sta accadendo con il TCF e dato che è vivo e vegeto ma – soprattutto – immutato fino a questo momento, vediamo che cosa è accaduto e cosa potrebbe accadere nei prossimi mesi.
Cookie banner e dark pattern, arriva la “black list” di EDPB: ecco tutte le precisazioni
Indice degli argomenti
Breve riassunto delle puntate precedenti
Rimandiamo a precedente contributo per un riepilogo esaustivo dell’attività di IAB e di tutte le vicissitudini, lato privacy. Basti qui ricordare che il TCF versione 2.0 è tuttora lo standard più diffuso per la raccolta dei consensi online, per fini di marketing soprattutto profilato, tramite l’uso di cookie e condivisione dei dati personali degli utenti. Condivisione che avviene tramite il c.d. RTB (Real Time Bidding), sistema di aste pubblicitarie aperto agli aderenti al network (inserzionisti, editori o vendor che siano) di IAB.
Lo standard mirava, nelle intenzioni dichiarate, a fornire maggiore trasparenza verso gli utenti e maggiore compliance con la normativa europea (cioè GDPR e Direttiva 2002/58, in sostanza). Tuttavia l’ultimo passaggio che ha goduto di una certa eco, nel febbraio 2022, è stato appunto il provvedimento sanzionatorio dell’autorità di controllo belga (c.d. “DPA”).
In sostanza, l’autorità ha dichiarato il framework – utilizzato tuttora dai maggiori operatori del settore, incluso Google – in violazione della normativa europea sotto diversi punti e statuito quanto segue:
- IAB è stata qualificata dalla DPA come contitolare – ex art. 26 GDPR – dei trattamenti attuati tramite network – con relativa violazione, da parte sua, di tutti gli adempimenti connessi al ruolo (dalla sicurezza al rispetto dei diritti degli interessati);
- il TCF utilizza una c.d. “TC string” – un codice che esprime i dati sulle preferenze di consenso pubblicitario dell’utente -: la DPA l’ha qualificata come dato personale ex art. 4 n. 1 GDPR, avendo un potenziale identificativo (soprattutto visto lo scopo identificativo degli utenti da parte di tutto il network TCF); ne è conseguita oltretutto la qualifica di (con)titolare vista sopra, dato che IAB interviene su tale codice; quanto alla base giuridica di trattamento da parte di IAB, la DPA ha censurato l’uso dell’esecuzione contrattuale o del consenso;
- è stato censurato l’uso della base del legittimo interesse – ex art. 6.1 lett. f) GDPR – a supporto di trattamenti a fini di marketing da parte del TCF, tanto più se profilato (e tanto più se “sommato” alla base consensuale);
- è stata ordinata a IAB la cancellazione dei dati personali raccolti nell’ambito del c.d. ambito globale (“global scope”), ovvero quando una base giuridica (selezionabile dai partecipanti al TCF) non era applicabile solo al sito web o a un gruppo di siti web in cui viene applicata, ma a tutti i servizi che implementavano preferenze in ambito globale (in termini di network); IAB dichiara di aver già annunciato la sua dismissione a partire da giugno 2021;
- è stata comminata una sanzione pecuniaria a IAB (si può definire modesta, di 250.000 euro, tenuto conto di tutto);
- è stata ordinata la presentazione da parte di IAB di un action plan rimediale, da predisporre in due mesi dalla decisione e poi da implementare entro sei mesi dalla sua approvazione da parte della DPA.
L’intervento (doppio) prossimo venturo della Corte di Giustizia
In seguito IAB ha impugnato giudizialmente la decisione della DPA, arrivando a ben due procedimenti di fronte alla Corte di Giustizia UE, per acclarare:
- se la TC string rappresenti, appunto, un dato personale ai sensi della normativa, specie se combinata con un indirizzo IP;
- se IAB sia (con)titolare nei trattamenti, connessi alla TC string o per altri trattamenti ulteriori che siano legati alla gestione del TCF.
Vi si è arrivati tramite un “interim ruling” della Belgian Market Court datato a settembre 2022, onde per cui l’appello sulla decisione della DPA è stato sospeso – nel merito – in attesa dell’esito delle vicende in seno alla CGUE. Secondo la Corte belga, le motivazioni della DPA sarebbero non esaustive, ritenendo necessario l’intervento dirimente della CGUE.
I procedimenti sono in corso e si dovrà attenderne il traguardo per sapere l’ottica spostata dalla Corte in merito. Pare comunque arduo che il giudizio finale possa discostarsi sensibilmente da quello già espresso dalla DPA, anche alla luce di simili casi già esaminati in passato dalla CGUE. Per il ruolo, si pensi al caso degli amministratori di pagine Facebook.
Per i dati identificativi, si pensi al caso degli IP dinamici. Tuttavia non avendo dettagli ulteriori non resta che pazientare.
Si badi che, però, la decisione di febbraio della DPA non è stata toccata dai provvedimenti successivi, ragion per cui l’autorità sta procedendo con l’iter fissato a febbraio.
Il piano di rimedio per IAB, approvato dall’autorità belga
Eccoci all’immediato: l’11 gennaio la DPA belga – a distanza di quasi un anno dalla sua pronuncia che prescriveva a IAB il primo passo, cioè un piano di rimedio – ha reso noto di aver esaminato il piano d’azione proposto da IAB e di averlo trovato condivisibile. Pertanto ora IAB dovrà procedere alla sua implementazione, nei termini detti di sei mesi.
La domanda è naturale: che cosa prevede tale piano? Il contenuto specifico del piano Idi AB non è stato al momento reso pubblico, a causa della pendenza dei provvedimenti in sede di CGUE. Tuttavia pare che – essendo stato approvato su indicazione della DPA – ne rispetti i risultati della pronuncia del 2022, in particolare:
- quanto al ritenere IAB quale contitolare del trattamento, rispetto agli altri contitolari aderenti al TCF network;
- quanto al ritenere le TC string come contenenti dati personali.
Al contempo, IAB avverte che l’implementazione del piano – da parte degli aderenti al TCF network – potrebbe essere ritenuta “inadeguata” dalla CGUE, senza altri dettagli. Al momento non è possibile dare alcuna delucidazione sul perché e come ciò possa avvenire, in attesa che le carte vengano scoperte dagli attori coinvolti (DPA o IAB o CGUE che sia). Basti dire che tra le domande poste alla CGUE vi è anche quella relativa alle implicazioni per gli altri (con)titolari coinvolti nel network TCF.
Conclusioni (provvisorie)
A questo punto viene da domandarsi che senso ha implementare, da parte di IAB, un piano se – nel frattempo o in seguito – possono davvero intervenire le pronunce della CGUE a cambiare le carte in tavola? Al più verrebbe da pensare che il piano imposto dalla DPA possa essere non del tutto sufficiente – nella peggior ipotesi – rispetto a quanto desunto dalla CGUE (sebbene si fatichi a capire come).
Anche nel caso, si potrà comunque partire da una base di partenza ben più solida – giuridicamente – di quella attuale.
Comunque sia, si tratta di attuare rimedi a una serie di varie prassi che purtroppo si sono diffuse a macchia d’olio (pensiamo all’uso del legittimo interesse, specie se come doppia base) in maniera diremmo manifestamente illecita.
In prima battuta, possiamo affermare che perlomeno al momento abbiamo una pronuncia sanzionatoria di un’autorità privacy (la DPA belga). La quale ha affermato attualmente l’illiceità di diversi profili nel trattamento realizzato col TCF da IAB. Pertanto, ogni partecipante al TCF si dovrebbe quantomeno porre dei dubbi sui rischi di illiceità che possono derivarne. Ogni titolare dovrebbe valutare in autonomia la situazione esistente, documentandola (in sede di valutazione dei rischi e DPIA), aggiungendo un percorso di monitoraggio e adeguamento.
È ovvio che non tutte le misure potranno essere adottare dai singoli titolari: pensiamo al ruolo di contitolare di IAB, fatto che ricorda il citato caso di Facebook e delle fan page. Fu necessaria una sentenza della CGUE del 2018 (causa C-210/16) per riconoscerne il ruolo e così attendere che Facebook stessa pubblicasse apposito accordo (un addendum) per costituire il rapporto di contitolarità con i propri utenti, per determinati trattamenti.
Invece quanto alle basi di trattamento, il TCF da sempre lascia la possibilità agli utenti di configurarlo ed è ben possibile settarlo evitando le violazioni più macroscopiche. Si spera pertanto di trovare sempre minor utilizzo dell’ingiustificato legittimo interesse nei vari banner (ancor più sulla scorta delle recenti indicazioni EDPB sui cookie banner). Soprattutto se appaiato alla base consensuale.
Infine, se l’esito della valutazione del titolare circa l’utilizzo del TCF dovesse pendere per un rischio eccessivo e non mitigabile, si dovrebbe cessare il trattamento. Un’alternativa simile potrebbe essere Google col suo “first-party consent program” e relativo network, soluzione non certo scevra da altre possibili criticità (basti menzionare l’onnipresente problema del trasferimento extra-UE dei dati).
Vedremo che cosa accadrà nei prossimi sei mesi eppure fin da subito le aziende dovrebbero porsi il problema e comprendere se e come procedere, in piena accountability.
