Is de TC String een persoonsgegeven en IAB Europe een verwerkingsverantwoordelijke?

Inleiding

Op 14 mei 2025 heeft het Marktenhof (het Hof van Beroep te Brussel) uitspraak gedaan in een belangrijke zaak over gegevensbescherming in de online advertentie-industrie. De zaak draait rond IAB Europe en haar Transparency & Consent Framework (TCF), een systeem dat breed wordt gebruikt om toestemming van internetgebruikers te registreren voor het verwerken van hun persoonsgegevens voor gerichte online advertenties.

Deze uitspraak is het resultaat van een juridische strijd die begon met een beslissing van de Belgische Gegevensbeschermingsautoriteit (GBA) van 2 februari 2022, gevolgd door een beroep tegen de beslissing door IAB Europe bij het Marktenhof, een prejudiciële vraag aan het Europees Hof van Justitie en uiteindelijk deze uitspraak van het Marktenhof.

In deze bijdrage leg ik uit wat de uitspraak betekent voor het gegevensbeschermingsrecht, welke gevolgen die heeft voor de digitale advertentie-industrie en waarom verschillende partijen uiteenlopende interpretaties hebben van deze complexe beslissing.

Wat is het TCF en wat zijn TC Strings?

Voordat we de uitspraak bespreken, is het belangrijk te begrijpen wat het Transparency & Consent Framework (TCF) precies is:

Het TCF is een raamwerk ontwikkeld door IAB Europe dat websites en apps in staat stelt de voorkeuren van gebruikers over de verwerking van hun persoonsgegevens te registreren en te delen met advertentietechnologiebedrijven. Het is in feite een standaard die zorgt dat de voorkeuren van gebruikers over het verzamelen en verwerken van hun gegevens voor gerichte reclame worden opgeslagen en doorgegeven binnen het digitale advertentie-ecosysteem.

Wanneer je op een website komt en een cookiepop-up krijgt, wordt via het TCF jouw toestemming of bezwaar vastgelegd in een zogenaamde “TC String” (Transparency & Consent String) – een digitaal signaal dat je keuzes bevat. Deze TC String wordt vervolgens gedeeld met alle deelnemers aan het TCF systeem, zoals advertentiebedrijven die op basis van jouw gegevens gerichte advertenties willen tonen.

De oorspronkelijke beslissing van de GBA

Op 2 februari 2022 oordeelde de Belgische GBA dat:

1. TC Strings persoonsgegevens zijn omdat ze kunnen worden gekoppeld aan identificeerbare personen, bijvoorbeeld via het IP-adres.
2. IAB Europe verwerkingsverantwoordelijke is (samen met de andere TCF-deelnemers) voor de gegevensverwerking die plaatsvindt binnen het TCF.
3. IAB Europe ook (gezamenlijke) verantwoordelijke is voor de verdere verwerkingen door TCF-deelnemers, zoals bijvoorbeeld voor gepersonaliseerde advertenties.
4. Het TCF in strijd is met verschillende bepalingen van de AVG, waaronder het ontbreken van een rechtmatige verwerkingsgrondslag, gebrekkige transparantie, en tekortkomingen op het gebied van gegevensbescherming door ontwerp.

De GBA legde IAB Europe een boete op van €250.000 en eiste belangrijke wijzigingen aan het TCF. Belangrijk om te vermelden is dat de beslissing van de GBA werd goedgekeurd door alle betrokken gegevensbeschermingsautoriteiten in de EU via het éénloketmechanisme (“one-stop-shop”).

De prejudiciële vragen aan het Hof van Justitie

IAB Europe ging in beroep tegen deze beslissing bij het Marktenhof. Het Marktenhof stelde op 7 september 2022 prejudiciële vragen aan het Hof van Justitie van de Europese Unie over:

1. Of TC Strings persoonsgegevens zijn
2. Of IAB Europe als verwerkingsverantwoordelijke kan worden beschouwd voor TC Strings
3. Of IAB Europe als verwerkingsverantwoordelijke kan worden beschouwd voor de latere verwerkingen door TCF-deelnemers

Op 7 maart 2024 oordeelde het EU-Hof in zaak C-604/22 dat:

• TC Strings inderdaad persoonsgegevens zijn, zelfs vanuit het perspectief van IAB Europe, wanneer ze gekoppeld kunnen worden aan identificatoren zoals het IP-adres
• IAB Europe gezamenlijk verantwoordelijke kan zijn voor de creatie en het gebruik van TC Strings als het invloed uitoefent op het verwerkingsdoel en de verwerkingsmiddelen
• IAB Europe niet noodzakelijk gezamenlijk verantwoordelijke is voor de verdere gegevensverwerking door TCF-deelnemers, zoals voor gepersonaliseerde advertenties

De uitspraak van het Marktenhof

Op 14 mei 2025 oordeelde het Marktenhof:

1. TC Strings zijn persoonsgegevens: Het Hof bevestigt dat TC Strings persoonsgegevens zijn in de zin van artikel 4, punt 1 van de AVG.
2. IAB Europe is gezamenlijke verwerkingsverantwoordelijke voor TC Strings: Het Hof oordeelt dat IAB Europe wel degelijk (gezamenlijke) verwerkingsverantwoordelijke is voor de verwerking van TC Strings binnen het TCF, gezien haar rol als beheerder van het raamwerk.
3. IAB Europe is GEEN gezamenlijke verwerkingsverantwoordelijke voor verdere verwerkingen: Cruciaal is dat het Marktenhof oordeelt dat IAB Europe NIET verantwoordelijk is voor de verdere verwerkingen die TCF-deelnemers uitvoeren op basis van de in TC Strings opgeslagen voorkeuren, zoals gepersonaliseerde advertenties. Het Hof verwerpt dus de conclusie van de GBA dat IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig binnen het OpenRTB-protocol plaatsvinden.
4. Inbreuken op de AVG: Het Hof bevestigt dat IAB Europe inbreuken heeft gepleegd op verschillende AVG-bepalingen, waaronder:
   • Artikel 5.1.a (rechtmatige, behoorlijke en transparante verwerking)
   • Artikel 6 (rechtmatigheid van de verwerking)
   • Artikel 12-14 (transparantie en informatieverstrekking)
   • Artikel 24-25 (verantwoordingsplicht en gegevensbescherming door ontwerp)
   • Artikel 30 (register van verwerkingsactiviteiten)
   • Artikel 32 (beveiliging van de verwerking)
   • Artikel 35 (gegevensbeschermingseffectbeoordeling)
   • Artikel 37 (aanstelling functionaris voor gegevensbescherming)
5. Vernietiging om procedurele redenen, maar inhoudelijke bevestiging: Het Marktenhof vernietigt de beslissing 21/2022 van de GBA om procedurele redenen, maar onderschrijft wel de inhoudelijke redenering van de GBA en bevestigt de opgelegde boete van €250.000.

De verschillende interpretaties van het arrest

Wat opvalt is dat verschillende partijen, zoals IAB Europe en de GBA, de uitspraak op een andere manier interpreteren:

Volgens IAB Europe :

• De uitspraak is genuanceerd en niet zo eenduidig als sommigen beweren.
• Het Marktenhof heeft een belangrijk deel van de oorspronkelijke beslissing van de GBA vernietigd, namelijk het deel waarin IAB Europe als gezamenlijke verwerkingsverantwoordelijke werd aangemerkt voor verdere verwerkingen in het kader van OpenRTB.
• Nergens in de uitspraak wordt gesteld dat “het TCF illegaal is”.
• De conclusie over TC Strings als persoonsgegevens is gebaseerd op één zin in de v2.0 beleidsregels die inmiddels is aangepast in versie 2.2.
• Veel van de genoemde inbreuken betreffen versie 2.0 van het TCF, terwijl versie 2.2 al veel verbeteringen bevat.

Volgens de klagers en de GBA:

• Het Hof heeft alle inbreuken die door de klagers werden aangevoerd, bevestigd.
• De TC String is inderdaad een persoonsgegeven.
• Het TCF is geen papieren standaard maar een reëel systeem waarin persoonsgegevens worden verwerkt.
• IAB Europe is verwerkingsverantwoordelijke voor de gegevensverwerking binnen het TCF.
• IAB Europe en de deelnemende bedrijven zijn gezamenlijke verwerkingsverantwoordelijken voor de verwerking in het TCF.
• Voor de verwerking van TC Strings kan IAB Europe zich niet beroepen op een geldige rechtsbasis.
• IAB Europe schendt de informatieplicht jegens internetgebruikers.
• IAB Europe schendt de verplichtingen inzake gegevensbescherming door ontwerp, door standaard en inzake beveiliging.

Analyse van de verschillende standpunten

1. TC Strings als persoonsgegevens

IAB Europe beweert dat de conclusie dat TC Strings persoonsgegevens zijn slechts gebaseerd is op “één zin in de v2.0 beleidsregels die inmiddels is aangepast in versie 2.2.”

Mijn analyse: Dit argument van IAB Europe is juridisch zwak. Zowel het Hof van Justitie als het Marktenhof hebben na grondige analyse geoordeeld dat TC Strings persoonsgegevens zijn omdat ze aan identificatoren zoals IP-adressen kunnen worden gekoppeld. De definitie van persoonsgegevens in de AVG is functioneel en kijkt naar het resultaat, niet naar formuleringen in beleidsregels. Het wijzigen van een zin in een beleidsdocument verandert de feitelijke, technische aard van TC Strings niet. TC Strings blijven persoonsgegevens als ze in de praktijk kunnen worden gebruikt om natuurlijke personen direct of indirect te identificeren.

2. IAB Europe als verwerkingsverantwoordelijke voor TC Strings

Beide partijen interpreteren het arrest verschillend wat betreft de mate van verantwoordelijkheid van IAB Europe.

Mijn analyse: Het Marktenhof (en eerder het Hof van Justitie) is hier overtuigend: IAB Europe is wel degelijk verwerkingsverantwoordelijke voor TC Strings. IAB Europe bepaalt het doel en de middelen voor de verwerking door het TCF-raamwerk te ontwerpen, de specificaties vast te stellen, en de deelname te controleren. Het feit dat IAB Europe zelf geen directe toegang heeft tot de TC Strings doet niet af aan deze verantwoordelijkheid. Artikel 4(7) AVG definieert een verwerkingsverantwoordelijke als degene die “het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”, wat precies is wat IAB Europe doet voor TC Strings.

3. IAB Europe als verwerkingsverantwoordelijke voor OpenRTB

Dit is een cruciale twistpunt: IAB Europe benadrukt dat het Marktenhof de conclusie van de GBA verwerpt dat IAB Europe verantwoordelijk is voor verwerkingen binnen OpenRTB.

Mijn analyse: Op dit punt heeft IAB Europe juridisch gelijk gekregen. Het Marktenhof maakt een belangrijk onderscheid tussen het TCF (waarvoor IAB Europe verwerkingsverantwoordelijke is) en OpenRTB (waarvoor IAB Europe niet verantwoordelijk is). Dit onderscheid is juridisch juist: voor gezamenlijke verwerkingsverantwoordelijkheid moet er daadwerkelijke invloed zijn op het doel en de middelen van de verwerking. IAB Europe heeft geen directe invloed op hoe individuele deelnemers de gegevens verder verwerken binnen OpenRTB. Dit is een significante juridische overwinning voor IAB Europe en beperkt hun aansprakelijkheid aanzienlijk.

4. Is het TCF illegaal verklaard?

Sommige berichten suggereren dat “het TCF illegaal is”, terwijl IAB Europe benadrukt dat dit nergens in het arrest staat.

Mijn analyse: IAB Europe heeft hier juridisch gelijk. Het Marktenhof heeft specifieke inbreuken op de AVG vastgesteld die moeten worden verholpen, maar heeft het TCF als systeem niet fundamenteel onwettig verklaard. Het TCF kan, met de nodige aanpassingen, AVG-conform zijn. Dit is een belangrijk nuanceverschil: het systeem is niet inherent onwettig, maar de implementatie ervan door IAB Europe vertoonde inbreuken die moeten worden gecorrigeerd.

5. Betekenis van de vernietiging van de GBA-beslissing

Beide partijen interpreteren de vernietiging van de GBA-beslissing verschillend.

Mijn analyse: Dit is een juridisch complexe situatie waarin beide partijen deels gelijk hebben. Procedureel gezien heeft IAB Europe een punt omdat de beslissing van de GBA inderdaad werd vernietigd. Maar inhoudelijk heeft de GBA grotendeels gelijk gekregen, aangezien het Marktenhof de redenering van de GBA onderschrijft en de sanctie bevestigt. Het Marktenhof heeft de beslissing vernietigd om procedurele redenen, maar niet vanwege inhoudelijke fouten in de beoordeling van de GBA. Dit is een belangrijke juridische nuance die aan beide kanten tot verschillende interpretaties leidt.

6. Relevantie van TCF v2.2 verbeteringen

IAB Europe benadrukt dat veel van de genoemde inbreuken betrekking hebben op versie 2.0, terwijl versie 2.2 al veel verbeteringen bevat.

Mijn analyse: Dit argument heeft juridische validiteit, maar beperkte praktische impact. De rechtszaak ging inderdaad specifiek over TCF v2.0, en IAB Europe heeft in versie 2.2 verschillende verbeteringen doorgevoerd. Echter, de fundamentele juridische kwesties (TC Strings als persoonsgegevens, IAB Europe als verwerkingsverantwoordelijke voor het TCF) blijven ongewijzigd van toepassing, ongeacht de versie. De verbeteringen in v2.2 kunnen helpen bij het oplossen van sommige inbreuken, maar veranderen niet de onderliggende juridische principes.

Conclusie van mijn analyse

Na bestudering van alle standpunten, concludeer ik dat de uitspraak van het Marktenhof genuanceerd is, waarbij beide partijen deels gelijk hebben gekregen:

1. De GBA heeft gelijk gekregen op fundamentele kwesties: TC Strings zijn inderdaad persoonsgegevens en IAB Europe is verwerkingsverantwoordelijke voor de verwerking binnen het TCF.
2. IAB Europe heeft een overwinning behaald doordat het Hof heeft geoordeeld dat het niet verantwoordelijk is voor verdere verwerkingen in het kader van OpenRTB. Dit beperkt hun aansprakelijkheid aanzienlijk.
3. De bewering dat “het TCF illegaal is” is juridisch ongenuanceerd en incorrect. Het TCF moet worden aangepast om aan de AVG te voldoen, maar het concept is niet fundamenteel onwettig verklaard.
4. De verbeteringen die IAB Europe in versie 2.2 heeft doorgevoerd zijn relevant, maar veranderen niet de fundamentele juridische uitgangspunten.

De praktische gevolgen van het arrest

Wat betekent deze uitspraak nu voor de praktijk?

1. Voor IAB Europe:
   • IAB Europe moet aan de slag met het actieplan dat eerder door de GBA was goedgekeurd, al zijn sommige onderdelen daarvan nu mogelijk niet meer relevant vanwege de vaststelling dat IAB Europe geen gezamenlijke verwerkingsverantwoordelijke is voor verdere verwerkingen.
   • De boete van €250.000 blijft staan.
   • IAB Europe moet verdere maatregelen nemen om te voldoen aan de AVG-verplichtingen met betrekking tot TC Strings.
2. Voor gebruikers van het TCF (websites, advertentienetwerken):
   • Er komt meer duidelijkheid over hun verantwoordelijkheden binnen het TCF-systeem.
   • Ze blijven zelf verantwoordelijk voor de verdere verwerking van persoonsgegevens in het kader van gepersonaliseerde advertenties.
   • Ze moeten ervoor zorgen dat ze voldoen aan de AVG-verplichtingen bij hun gebruik van het TCF.
3. Voor internetgebruikers:
   • De uitspraak bevestigt dat hun toestemmingsvoorkeuren (TC Strings) persoonsgegevens zijn en als zodanig beschermd moeten worden.
   • Het TCF moet gebruikers beter informeren over de verwerking van hun gegevens.
   • Gebruikers moeten meer controle krijgen over hun toestemmingen en bezwaren.

Conclusie

De uitspraak van het Marktenhof brengt belangrijke verduidelijking in een complexe materie. Ze bevestigt dat TC Strings persoonsgegevens zijn en dat IAB Europe verwerkingsverantwoordelijke is voor de verwerking van deze gegevens binnen het TCF. Tegelijkertijd erkent ze dat IAB Europe niet verantwoordelijk is voor de verdere verwerkingen die plaatsvinden op basis van TC Strings.

Voor de digitale advertentie-industrie betekent deze uitspraak dat het TCF verder moet evolueren om volledig AVG-conform te worden. Voor internetgebruikers is het een bevestiging dat hun toestemmingsvoorkeuren als persoonsgegevens moeten worden beschermd.

Als uw organisatie gebruikmaakt van het TCF of overweegt dit te doen, is het raadzaam om:

1. Te controleren of u de nieuwste versie van het TCF gebruikt (v2.2 of later).
2. Uw implementatie van het TCF te evalueren op conformiteit met de AVG.
3. Te zorgen voor maximale transparantie tegenover gebruikers.
4. Uw verantwoordelijkheden als verwerkingsverantwoordelijke serieus te nemen.

---