Marktenhof fluit GBA terug in IAB Europe-zaak: validatie actieplan onwettig verklaard

Op 7 januari 2026 heeft het Marktenhof (Hof van Beroep Brussel) een uitspraak gedaan in de aanslepende saga rond IAB Europe en het Transparency & Consent Framework (TCF). Het Hof oordeelde dat de Gegevensbeschermingsautoriteit (GBA) onzorgvuldig handelde door het actieplan van IAB Europe goed te keuren op basis van een eerdere beslissing die reeds grotendeels onwettig was bevonden. De GBA moet de procedure nu hernemen, maar met een beperktere scope en met respect voor de hoorplicht.

De feiten en juridische context

Deze zaak draait om de kern van de online advertentiemarkt: het Transparency & Consent Framework (TCF) van IAB Europe. Dit systeem faciliteert het beheer van gebruikersvoorkeuren (toestemming voor cookies en dataverwerking) tussen websites, adverteerders en technologieleveranciers.

De juridische tijdlijn is belangrijk om dit arrest te begrijpen:

• 2 februari 2022 (de Basisbeslissing): De Geschillenkamer van de GBA legde sancties op aan IAB Europe en beval de indiening van een actieplan om het TCF conform de Algemene Verordening Gegevensbescherming (AVG/GDPR) te maken.
• 11 januari 2023 (de bestreden beslissing): De GBA valideerde het door IAB Europe ingediende actieplan.
• 14 mei 2025 (het eindarrest): In een parallelle procedure vernietigde het Marktenhof de oorspronkelijke Basisbeslissing van 2 februari 2022 gedeeltelijk. Het Hof oordeelde toen dat IAB Europe géén verwerkingsverantwoordelijke is voor de verdere verwerking in het kader van het OpenRTB-protocol, maar enkel voor de zogenaamde TC Strings (de digitale signalen van toestemming).

Ondanks de lopende discussies over de geldigheid van de Basisbeslissing, had de GBA in januari 2023 het actieplan toch goedgekeurd en de uitvoering ervan geëist. IAB Europe ging hiertegen in beroep, en ook de oorspronkelijke klagers (privacy-organisaties) mengden zich in de procedure omdat zij vonden dat zij inspraak moesten hebben in de validatie van het plan.

De beslissing van het Marktenhof

In het arrest van 7 januari 2026 stelt het Marktenhof IAB Europe in het gelijk en wordt de validatie van het actieplan (de beslissing van 11 januari 2023) buiten toepassing gelaten op grond van artikel 159 van de Grondwet.

De belangrijkste pijlers van de uitspraak zijn:

1. Schending van het zorgvuldigheidsbeginsel en de wettigheid

Het Hof oordeelt streng: de GBA bouwde in januari 2023 voort op een beslissing (2 februari 2022) die juridisch ‘wankel’ was. Aangezien het Marktenhof in mei 2025 oordeelde dat de Basisbeslissing inhoudelijk gebrekkig was (met name over de reikwijdte van de verantwoordelijkheid van IAB Europe), kon de GBA die onwettige beslissing niet zomaar ten uitvoer leggen via het actieplan. Het Hof stelt dat een zorgvuldig handelende overheid de uitvoering had moeten opschorten in afwachting van duidelijkheid, in plaats van een onwettige situatie te bestendigen.

2. Schending van de hoorplicht

Er deden zich nieuwe feiten voor tussen het indienen van het actieplan en de goedkeuring ervan (met name prejudiciële vragen aan het Europees Hof van Justitie en tussenarresten). De GBA had IAB Europe moeten horen over de impact van deze nieuwe juridische realiteit alvorens het plan goed te keuren. Door dit niet te doen, schond de GBA de rechten van verdediging.

3. Geen inspraakrecht voor klagers bij uitvoering

Een interessant punt voor de praktijk is de afwijzing van de vordering van de klagers (de privacy-NGO’s). Zij eisten inzage in en inspraak bij het actieplan. Het Marktenhof bevestigt echter dat klagers in de regel geen recht hebben om betrokken te worden bij de loutere uitvoering van sancties (de validatie van het actieplan), tenzij zij een specifiek, zwaarwichtig belang aantonen dat opweegt tegen de vertrouwelijkheid van bedrijfsgegevens. Dat was hier niet het geval.

Juridische analyse en duiding

Dit arrest bevestigt de strikte toepassing van de normenhiërarchie en het legaliteitsbeginsel in het bestuursrecht. Het Marktenhof past hier de theorie van de “vergiftigde vrucht” toe in een administratieve context: als de basisbeslissing (de sanctie) fundamentele gebreken vertoont qua reikwijdte en kwalificatie van persoonsgegevens, dan kan de uitvoeringsbeslissing (het actieplan) niet in stand blijven.

De beperkte scope van verantwoordelijkheid De kern van de zaak blijft de kwalificatie van IAB Europe als verwerkingsverantwoordelijke. Het Marktenhof herhaalt zijn standpunt uit mei 2025: IAB Europe is verantwoordelijk voor de TC Strings (de voorkeuren van de gebruiker), maar deze verantwoordelijkheid strekt zich niet automatisch uit tot de latere verwerkingen door derden (adverteerders) in het OpenRTB-protocol. Dit is een belangrijke nuance. De GBA had een actieplan goedgekeurd dat uitging van een veel bredere, en dus onjuiste, verantwoordelijkheid.

Procedurele rechtvaardigheid Het Hof benadrukt dat de GBA niet mag “doorduwen” op basis van het voorzorgsbeginsel wanneer de juridische grondslag wankelt. Het argument van de GBA dat de bescherming van privacy voorrang heeft op de commerciële belangen van IAB Europe, werd door het Hof van tafel geveegd omdat er geen sprake was van een acuut risico (zoals bij volksgezondheid) dat een afwijking van zorgvuldige besluitvorming rechtvaardigde.

Wat betekent dit concreet?

Deze uitspraak heeft directe gevolgen voor verschillende actoren in het digitale ecosysteem:

• Voor IAB Europe: Dit is een procedurele overwinning. Het actieplan moet opnieuw worden beoordeeld, maar de scope zal aanzienlijk beperkter zijn. IAB Europe moet enkel remediëren voor wat betreft de TC Strings, en niet voor het volledige ecosysteem van Real Time Bidding (RTB).
• Voor adverteerders en uitgevers: De onzekerheid blijft bestaan, maar de dreiging van een totale illegaliteit van het TCF-systeem is (voorlopig) afgewend. De focus verschuift naar de correcte technische implementatie van de consent strings zelf.
• Voor klagers en NGO’s: De uitspraak bevestigt dat hun rol primair ligt bij het indienen van de klacht en de initiële procedure. Zodra de sanctie is uitgesproken, wordt de afhandeling (zoals compliance-plannen) gezien als een zaak tussen de toezichthouder en de overtredende partij.

FAQ: Veelgestelde Vragen

Is het TCF (cookie bannersysteem) nu legaal verklaard?
Niet per definitie. Het Hof heeft geoordeeld dat de manier waarop de GBA het herstelplan heeft afgedwongen onwettig was. Het TCF moet nog steeds worden aangepast, maar de aanpassingen moeten zich beperken tot de specifieke verantwoordelijkheden van IAB Europe (de TC Strings) en niet het hele advertentie-ecosysteem.

Moet de procedure bij de GBA nu helemaal opnieuw beginnen?
Niet volledig. De zaak is terugverwezen naar de GBA. Zij moet het actieplan opnieuw beoordelen, maar ditmaal rekening houdend met de beperkte scope zoals bepaald door het Marktenhof in mei 2025, én zij moet IAB Europe de kans geven om gehoord te worden.

Waarom mochten de klagers (privacy-organisaties) niet meebeslissen over het actieplan?
Het Hof oordeelde dat de fase van het valideren van een actieplan een uitvoeringskwestie is tussen de toezichthouder en de onderneming. Tenzij er specifieke omstandigheden zijn, hebben klagers geen algemeen recht om “mee aan tafel te zitten” bij de technische uitvoering van een sanctiebeslissing.

Conclusie

Het arrest van 7 januari 2026 is een duidelijk signaal aan de toezichthouder: snelheid en daadkracht mogen niet ten koste gaan van zorgvuldigheid en correcte juridische kwalificatie. Voor de Belgische markt betekent dit dat het TCF-kader overeind blijft, maar dat de strijd over de precieze invulling van de AVG-verplichtingen nog niet gestreden is. De GBA is nu aan zet om een nieuw, juridisch houdbaar oordeel te vellen over het actieplan.