Danske annoncører, medier og andre dataansvarlige for markedsføring online, som bruger det såkaldte TCF-rammeværk, bør notere sig en afgørelse fra det belgiske datatilsyn og ændre løsning.

Sådan lyder opfordringen fra det danske datatilsyn, efter det belgiske datatilsyn i en afgørelse har vurderet, at IAB Europe, den europæiske brancheorganisation for medier og annoncører, er skyldig i en række overtrædelser af GDPR-reglerne ved TCF-rammen, som mange medier og annoncører bruger.

”Hvis du selv er hjemmesideudbyder, annoncør eller formidler af reklame og annonceplads, bør du som dataansvarlig få afklaret, om din hjemmeside eller reklameplatform benytter TCF-rammeværket. Hvis det er tilfældet, skal du sikre dig, at du sammen med dine annonceleverandører får skiftet til en løsning, der lever op til databeskyttelsesforordningen,” skriver Datatilsynet på sin hjemmeside.

Den danske brancheorganisation Danske Medier er medlem af IAB Europe, som står bag TCF-rammen. Danske Medier har brugt TCF som rettesnor for vejledninger til danske udgivere om behandling af persondata i lyset af GDPR-reglerne, og har fået sine retningslinjer på området godkendt af IAB Europe, som altså nu vurderes ulovlige af det belgiske datatilsyn.

Sagens kerne

TCF (Transparency and Consent Framework) er et teknisk og principielt framework, der sætter en række branchestandarder for, hvordan bl.a. udgivere indsamler og formidler samtykker til behandling af cookiedata ved annoncering.

Rammeværket er baseret på betingelser og et teknisk set up, som er designet af IAB Europe, som brancheorganisationen Danske Medier repræsenterer i Danmark. TCF bruges bl.a. til at registrere cookiesamtykker og præferencer – bl.a. via real time bidding (RTB), hvor annoncører kan købe sig til markedsføring direkte til brugere, som er relevante for annoncørerne.

Det belgiske datatilsyn har med sin afgørelse vurderet, at IAB Europe med TCF-rammen er skyldig i en række overtrædelser af EU’s GDPR-forordring. Ifølge tilsynet sker overtrædelserne blandt andet i behandlingen af personoplysninger, oplysningspligt og behandlingssikkerhed.

Her vurderer det belgiske datatilsyn, at IAB Europe er dataansvarlig i tilfælde, hvor IAB Europe som udvikler og udbyder af TCF-rammen har kunnet pålægge andre - fx medier - specifikke retningslinjer og betingelser. Betingelser, som bl.a. handler om behandling af personoplysninger, der sker i forbindelse med indsamling af cookiesamtykker, og oplysninger om brugerpræferencer.

Datatilsynet bakker belgisk myndighed op

Afgørelsen er blevet forelagt Det Europæiske Databeskyttelsesråd, EDPB, hvor det danske datatilsyn har haft mulighed for at komme med bemærkninger til og indsigelser mod afgørelsen. Datatilsynet har i den forbindelse erklæret sig enig med de belgiske kollegaer.

”Afgørelsen er også i tråd med det generelle budskab om, at du som dataansvarlig skal vide, hvad de moduler, du indlejrer på din side, medfører af behandlinger, og hvem du benytter som databehandler eller videregiver data til,” skriver det danske datatilsyn på sin hjemmeside.

Det belgiske datatilsyn indstiller til, at IAB Europe skal idømmes en bøde på 250.000 euro, svarende til cirka 1,8 mio. kr.

Foruden Danske Medier er Berlingske Medias ejerkoncern DPG Media medlemmer af den europæiske brancheorganisation.

GDPR-retssag er udsat på ubestemt tid

Europa-parlamentariker: Tech-lov vil bringe mere fair konkurrence for danske it-virksomheder