Il 2 febbraio 2022 l'Autorità belga per la protezione dei dati ha stabilito che il Transparency and Consent Framework, il sistema sviluppato da IAB Europe per raccogliere e trasmettere le preferenze degli utenti nella pubblicità online, viola diversi principi del GDPR.
La decisione è rilevante perché il TCF è adottato da una parte consistente dell'industria europea dell'advertising digitale. È uno dei meccanismi che operano dietro molti pannelli attraverso i quali i siti chiedono agli utenti di accettare o rifiutare la profilazione e la pubblicità personalizzata.
La contestazione non riguarda però soltanto l'aspetto grafico dei cosiddetti cookie banner. Il problema individuato dall'autorità è più profondo e coinvolge il modo in cui le preferenze vengono registrate, associate all'utente e trasmesse ai numerosi soggetti che partecipano alla filiera pubblicitaria.
A IAB Europe è stata inflitta una sanzione di 250.000 euro. L'associazione dovrà inoltre presentare un piano per rendere il framework conforme al GDPR e introdurre controlli più efficaci sul suo funzionamento.
Come funziona il Transparency and Consent Framework
Il TCF è stato creato per fornire un linguaggio comune a editori, inserzionisti, piattaforme pubblicitarie e fornitori tecnologici.
Quando una persona visita un sito, una Consent Management Platform, normalmente indicata con la sigla CMP, mostra un pannello attraverso il quale è possibile accettare o rifiutare differenti utilizzi dei dati.
L'utente può, per esempio, consentire la misurazione dell'audience ma rifiutare la creazione di un profilo pubblicitario, oppure autorizzare soltanto alcuni dei fornitori che partecipano al sistema.
Le scelte vengono codificate in una sequenza di caratteri chiamata Transparency and Consent String, o TC String. Questa stringa rappresenta le preferenze espresse dall'utente e può essere letta dagli operatori che partecipano alla filiera pubblicitaria.
Il principio alla base del sistema è ragionevole: permettere alle diverse piattaforme di conoscere ciò che l'utente ha autorizzato senza costringerle a raccogliere separatamente lo stesso consenso.
La difficoltà nasce dalla complessità dell'ecosistema al quale il segnale viene trasmesso.
Il TCF viene utilizzato soprattutto nella pubblicità programmatica e nel Real Time Bidding, il processo con cui molti spazi pubblicitari vengono assegnati attraverso aste automatizzate.
Quando viene aperta una pagina, informazioni sul dispositivo, sul contesto della visita e sull'eventuale profilo associato possono essere comunicate a numerosi operatori. In pochi millisecondi, gli inserzionisti valutano quanto offrire per mostrare una pubblicità a quello specifico utente.
La TC String dovrebbe indicare a questi soggetti quali trattamenti sono stati autorizzati. La sua presenza, tuttavia, non garantisce da sola che l'utente abbia compreso il funzionamento del sistema o che tutti gli operatori rispettino effettivamente le preferenze registrate.
Perché la TC String è considerata un dato personale
Uno dei punti centrali della decisione riguarda la natura della TC String.
IAB Europe sosteneva che la sequenza contenesse soltanto le preferenze relative al consenso e che, considerata isolatamente, non permettesse di identificare direttamente la persona che le aveva espresse.
L'autorità belga ha adottato un'interpretazione differente. La stringa può essere associata a cookie, indirizzi IP e altri identificatori presenti sul dispositivo. Attraverso questa combinazione diventa possibile distinguere un utente e collegarlo alle preferenze memorizzate.
Non è necessario che un'informazione contenga nome, cognome o indirizzo email per essere considerata personale. È sufficiente che possa essere ricondotta, direttamente o indirettamente, a un individuo identificabile.
La TC String non è quindi soltanto un parametro tecnico. Rappresenta ciò che una determinata persona ha accettato o rifiutato e la sua creazione, memorizzazione e condivisione costituiscono operazioni di trattamento dei dati.
Questo aspetto è importante anche dal punto di vista tecnologico. Se la stringa viene generata in modo inesatto, modificata oppure interpretata impropriamente, può autorizzare operazioni che l'utente aveva in realtà rifiutato.
Che cosa ha contestato l'autorità belga
La decisione individua diversi problemi nel funzionamento della versione del TCF esaminata.
Il primo riguarda la qualità del consenso. Secondo l'autorità, le informazioni mostrate attraverso molte implementazioni del framework non permettono all'utente di comprendere con sufficiente chiarezza che cosa accadrà ai propri dati.
Finalità come la personalizzazione degli annunci, la misurazione dei contenuti o il miglioramento dei prodotti vengono spesso descritte attraverso formule generiche. A questo si aggiunge il numero molto elevato di aziende coinvolte: alcuni pannelli elencano centinaia di fornitori, ciascuno con proprie finalità e condizioni.
Il fatto che una persona prema il pulsante "Accetta" non dimostra quindi necessariamente che abbia compreso la portata della propria scelta.
Il secondo problema riguarda l'affidabilità della TC String. Il sistema deve garantire che le preferenze registrate corrispondano realmente a quelle espresse dall'utente e che non possano essere alterate durante la loro trasmissione.
Secondo l'autorità, i controlli previsti dal framework non erano sufficienti per verificare il comportamento di CMP, editori e fornitori pubblicitari. L'adesione al TCF non garantiva quindi che ogni partecipante interpretasse e rispettasse correttamente le preferenze ricevute.
Il terzo punto riguarda il ruolo di IAB Europe. L'associazione si presentava principalmente come il soggetto che aveva definito uno standard tecnico, mentre la responsabilità dei singoli trattamenti sarebbe rimasta nelle mani delle aziende che lo utilizzavano.
L'autorità belga ha respinto questa lettura. IAB Europe stabilisce le regole del framework, definisce la struttura della TC String e determina il modo in cui le preferenze devono essere raccolte e comunicate. Non può quindi essere considerata completamente estranea al trattamento dei dati prodotto dal sistema.
Che cosa dovrà cambiare
Oltre alla sanzione economica, l'autorità ha ordinato a IAB Europe di modificare il framework.
Tra gli interventi richiesti rientrano informazioni più comprensibili per gli utenti, una base giuridica adeguata per la creazione e la diffusione della TC String, maggiori garanzie sull'integrità delle preferenze e controlli più rigorosi sulle organizzazioni che partecipano al TCF.
IAB Europe dovrà presentare entro due mesi un piano d'azione. Dopo la sua approvazione avrà sei mesi per realizzare le misure previste.
La decisione richiede inoltre di eliminare dai sistemi sotto il controllo dell'associazione i dati trattati senza una base giuridica valida.
Questo non significa che IAB Europe possa cancellare autonomamente tutte le TC String conservate sui dispositivi degli utenti o nei sistemi di editori e CMP. Molti di questi dati sono gestiti direttamente dagli operatori che utilizzano il framework, i quali rimangono responsabili delle proprie implementazioni.
Non sono stati vietati tutti i cookie banner
La decisione è stata rapidamente sintetizzata come una bocciatura generalizzata dei cookie banner. È una semplificazione fuorviante.
Il TCF non coincide con tutti i sistemi utilizzati per la gestione dei cookie e non riguarda genericamente i cookie tecnici necessari al funzionamento di un sito.
Un sito può mostrare un pannello per la gestione delle preferenze senza utilizzare il framework di IAB Europe. Il TCF interviene soprattutto quando quelle preferenze devono essere comunicate ai soggetti coinvolti nella profilazione, nella pubblicità personalizzata e nelle aste automatizzate.
L'autorità non ha quindi vietato la possibilità di raccogliere il consenso attraverso strumenti digitali. Ha contestato il modo in cui questa specifica versione del framework rappresenta, trasferisce e governa le scelte degli utenti.
Per editori, inserzionisti e fornitori tecnologici, la conseguenza più importante è che l'adozione di uno standard diffuso non costituisce una garanzia automatica di conformità.
Ogni organizzazione deve conoscere i dati che raccoglie, le finalità per cui li utilizza, i soggetti ai quali li comunica e il modo in cui verifica il rispetto delle preferenze espresse dagli utenti.
Una decisione con conseguenze europee
Il provvedimento è stato emesso dall'autorità belga perché IAB Europe ha sede in Belgio, ma il framework è utilizzato in numerosi Paesi.
Il caso è stato quindi trattato attraverso il meccanismo di cooperazione previsto dal GDPR, con il coinvolgimento delle altre autorità europee interessate.
La decisione è rivolta direttamente a IAB Europe e non rende automaticamente illecito ogni sito che utilizza il TCF. Mette però in discussione alcuni dei presupposti sui quali l'industria pubblicitaria ha costruito la propria gestione del consenso.
La questione centrale va oltre il singolo pannello mostrato sullo schermo. Il mercato ha cercato di governare un ecosistema estremamente complesso attraverso una stringa standardizzata, ma la standardizzazione tecnica non elimina la necessità di informare realmente l'utente e di garantire che la sua scelta venga rispettata lungo tutta la catena.
Quando un trattamento coinvolge centinaia di soggetti, finalità differenti e scambi di informazioni eseguiti in pochi millisecondi, il problema potrebbe non essere soltanto il modo in cui viene formulata la richiesta di consenso. Potrebbe essere la complessità del modello pubblicitario che quella richiesta cerca di rappresentare.
Qui è disponibile il testo integrale della decisione 21/2022.
Aggiornamento (14 maggio 2025)
IAB Europe ha impugnato la decisione del 2022 davanti alla Corte dei mercati di Bruxelles. Prima di pronunciarsi, la Corte belga ha chiesto alla Corte di giustizia dell'Unione europea di chiarire se la TC String dovesse essere considerata un dato personale e quale fosse la responsabilità di IAB Europe.
Il 7 marzo 2024 la Corte di giustizia ha confermato che la TC String costituisce un dato personale quando può essere associata a identificatori come l'indirizzo IP. Ha inoltre stabilito che IAB Europe può essere considerata contitolare del trattamento relativo alla registrazione delle preferenze degli utenti.
La Corte ha però precisato che questa responsabilità non si estende automaticamente a tutti i successivi trattamenti pubblicitari effettuati dagli operatori che utilizzano il sistema.
Il 14 maggio 2025 la Corte dei mercati ha annullato formalmente la decisione del 2022 per ragioni procedurali, confermando però le principali violazioni individuate dall'autorità belga e la sanzione di 250.000 euro.
L'esito ha quindi delimitato meglio la responsabilità di IAB Europe, senza modificare il principio centrale del caso: la TC String è un dato personale e l'associazione non può considerarsi completamente estranea al suo trattamento soltanto perché non identifica direttamente gli utenti.
Fonti
- IAB Europe held responsible for a mechanism that infringes the GDPR, Autorità belga per la protezione dei dati, 2 febbraio 2022.
- Decision on the merits 21/2022, Autorità belga per la protezione dei dati, 2 febbraio 2022.
- Sentenza nella causa C-604/22, IAB Europe, Corte di giustizia dell'Unione europea, 7 marzo 2024.
- The Market Court rules in the IAB Europe case, Autorità belga per la protezione dei dati, 14 maggio 2025.