Real time bidding aan de ketting gelegd, in strijd met privacywetgeving

De Europese veilingsystemen voor online advertenties voldoen niet aan de Europese privacywetgeving en moeten op de schop. De Belgische Gegevensbeschermingsautoriteit legt branchevereniging IAB Europe daarom een boete van 250.000 euro op, en sancties om de werking van systeem te verbeteren.

Het gaat om het systeem waarmee geautomatiseerd advertentieruimte op websites wordt geveild, oftewel real time bidding.

De gegevens in een zogeheten bid request omvatten ook persoonsgegevens in de zin van de AVG. Het kan onder andere gaan om informatie over wat je online leest of bekijkt, je IP-adres, je geografische locatie, informatie over je apparatuur, en unieke kenmerken (tracking ID) en de daaraan gekoppelde informatie.

De zaak draait feitelijk om het door IAB Europe ontwikkelde TCF, het Transparency and Consent Framework. Deze standaard regelt toestemming rond advertentietrackers. Specifiek gaat het om data rond voorkeuren van de gebruiker die worden vastgelegd in de zogenaamde TC string.

Er is volgens de GBA geen rechtsgrond voor de verwerking van de TC string en de rechtsgronden in TCF om data te verwerken zijn onvoldoende wegens gebrek aan transparantie.

Ook heeft IAB geen register van de verwerkingsactiviteiten bijgehouden en is er geen functionaris voor gegevensbescherming.

Hierover was de Belgische Gegevensbeschermingsautoriteit al eerder in gesprek met IAB Europe, maar de organisatie verzette zich tegen de conclusies. De Geschillenkamer van de GBA boog zich vervolgens over de zaak en nu ligt er alsnog een besluit. Met mogelijk vergaande gevolgen.

De zaak is reeds in 2018 aangespannen door het Nederlandse Bits of Freedom, samen met andere Europese digitale burgerrechtenorganisaties. Hoewel de Belgische toezichthouder zich over de zaak heeft ontfermd, geldt het vonnis meteen voor heel Europa. “Er is gekeken naar welke toezichthouder deze zaak het beste kon behandelen, en omdat IAB Europe kantoor houdt in Brussel, is het een Belgische aangelegenheid geworden,” zegt directeur Evelyn Austin van Bits of Freedom tegen Emerce.

‘Het is een ongelooflijk complex dossier dat we zowel technisch als juridisch moesten onderzoeken en we diverse analyses van verschillende experts hebben gekregen,’ laat de Belgische waakhond weten aan Data News.

Het betekent niet dat geautomatiseerde verkoop nu meteen verboden is. De brancheorganisatie krijgt twee maanden de tijd om met een plan van aanpak komen om haar werkwijze te veranderen. Bijna alle websites in Europa maken gebruik van het advertentiesysteem, dus deze uitspraak heeft ook gevolgen voor advertentiepartijen zoals Google en Amazon.

Austin (BoF) verwacht dat IAB Europe in eerste instantie met kleine aanpassingen zal komen, “waartegen we ons zullen verweren”. “Ik betwijfel of gepersonaliseerde reclame en het in realtime bieden op advertentieruimte op basis van het TCF nog wel mogelijk is,” zegt ze.

IAB Europe kan nog in beroep gaan tegen de beslissing. De organisatie en het Nederlandse VIA (voorheen IAB Nederland) komen morgen met een reactie.