Carlos B Fernández. El Tribunal de Justicia de la Unión Europea (TJUE), ha dictado una importante sentencia en relación con el concepto de dato personal, con el tratamiento de datos personales con fines publicitarios y con las condiciones en las que una organización sectorial que ofrece a sus miembros una herramienta para la gestión del consentimiento para el tratamiento de datos personales, debe ser calificada de corresponsable del tratamiento de esos datos.
En particular la sentencia analiza la práctica habitual de los intermediarios y las plataformas de publicidad a través de internet, consistente en que cuando un usuario consulta un sitio de Internet o una aplicación que contiene un espacio publicitario, las empresas, los intermediarios y las plataformas publicitarias, que representan a miles de anunciantes, pueden pujar en tiempo real, sin ser vistos, por la obtención de ese espacio publicitario con el fin de mostrar en él publicidad adaptada al perfil del usuario (Real Time Bidding).
Según el tribunal, las cadenas de caracteres que recogen las preferencias de los usuarios de Internet para el tratamiento de sus datos personales de forma estructurada y legible mecánicamente, como el TC Tring de IAB Europe, constituyen un dato personal, de cuyo tratamiento es corresponsable esta entidad, para la que define los límites de su responsabilidad solidaria.
Así lo ha establecido el TJUE en su sentencia de fecha 7 de marzo de 2024, dictada en el asunto C 604/22 (IAB Europe), por la que resuelve dos cuestiones prejudiciales presentada por el Tribunal de Apelación de Bruselas (Bélgica), en relación con determinadas prácticas seguidas por la empresa IAB Europe.
Una herramienta para adecuar las subastas de espacios publicitarios al RGPD
Esta es una asociación sin ánimo de lucro, establecida en Bélgica, que representa a las empresas del sector de la publicidad y del marketing digitales a nivel europeo.
IAB Europe ha elaborado una solución que presenta como herramienta que puede adecuar ese sistema de subastas de espacios publicitarios on line al Reglamento general de protección de datos (RGPD) (LA LEY 6637/2016).
Por medio de esta herramienta, las preferencias expresadas por los usuarios se codifican y almacenan en una cadena compuesta por una combinación de letras y caracteres con el nombre de «Transparency and Consent String» (Marco de Transparencia y Consentimiento, o TC String), que se comparte con intermediarios de datos y plataformas publicitarias, para que estos sepan en qué ha consentido el usuario o a qué se ha opuesto. También se coloca una cookie en el dispositivo del usuario de forma que, cuando se combinan la TC String y la cookie, pueden vincularse a la dirección IP de dicho usuario.
En 2022, y tras varias denuncias contra IAB Europe, la Autoridad de Protección de Datos belga dictó una resolución considerando que la TC String era un dato personal en el sentido del RGPD, y que la asociación actúa como responsable del tratamiento de los datos sin cumplir plenamente lo dispuesto en el RGPD. En consecuencia, dicha autoridad impuso a la asociación varias medidas correctoras y una multa administrativa. IAB Europe impugnó dicha resolución e interpuso un recurso ante el Tribunal de Apelación de Bruselas (Bélgica), que planteó al Tribunal de Justicia varias cuestiones prejudiciales.
En concreto, el tribunal belga pregunta al TJUE, en primer lugar, si, de acuerdo con el artículo 4, punto 1, del RGPD, constituye un tratamiento de datos personales una cadena de caracteres que recoge las preferencias de un usuario de Internet en relación con el tratamiento de sus datos personales de forma estructurada y legible mecánicamente y si tiene alguna relevancia a este respecto el hecho de que la aplicación del estándar implique que esta cadena de caracteres esté disponible junto a una dirección IP. Y, en segundo lugar, si, en virtud de los artículos 4, punto 7, y 24, apartado 1, del RGPD, una organización sectorial como la recurrente debe ser calificada de responsable del tratamiento cuando ofrece a sus miembros un estándar para la gestión del consentimiento que, además de un marco técnico vinculante, comprende disposiciones en las que se establece con detalle el modo en que deben almacenarse y difundirse estos datos de consentimiento.
La herramienta constituye un dato personal
En su sentencia, el Tribunal de Justicia confirma, en primer lugar, que la TC String contiene información relativa a un usuario identificable, por lo que constituye un dato personal en el sentido del RGPD.
En concreto, declara que una cadena compuesta por una combinación de letras y caracteres, como la TC String, contiene las preferencias de un usuario de Internet o de una aplicación en relación con el consentimiento de este usuario al procesamiento por parte de terceros de datos personales que le conciernen, o su posible oposición al tratamiento de dichos datos basándose en un supuesto interés legítimo.
A este respecto, el Tribunal considera que, en la medida en que asociar el TC String a la dirección IP del dispositivo de un usuario u otros identificadores permite identificar a ese usuario, el TC String contiene información sobre un usuario identificable y, por tanto, constituye datos personales.
Además, la circunstancia de que IAB Europe no pueda combinar el TC String con la dirección IP del dispositivo de un usuario y no tenga la posibilidad de acceder directamente a los datos procesados por sus miembros en el marco del TCF no impide que un TC String siendo calificados como “datos personales”.
Adicionalmente, resulta que los miembros de IAB Europe están obligados a comunicarle, a petición suya, toda la información que le permita identificar a los usuarios cuyos datos son objeto de un TC String. Por lo tanto, sin perjuicio de las comprobaciones que corresponde realizar al tribunal remitente, parece que IAB Europe dispone de medios razonables que le permiten identificar a una persona física específica de una TC String, gracias a la información que sus miembros y otras organizaciones que participan en el TCF está obligado a facilitarlo.
Por lo tanto, el Tribunal concluye que una TC String constituye datos personales, en el sentido del artículo 4, punto 1, del RGPD, sin que influya en esta consideración el que hecho de que, sin una contribución externa IAB no pueda acceder a los datos tratados por sus miembros en el marco de las normas que ha establecido, ni combinar el TC String con otros identificadores, como la dirección IP del dispositivo de un usuario.
IAB es corresponsable, junto con sus asociados, del tratamiento de esos datos
En segundo lugar, el Tribunal declara que IAB Europe debe ser considerada «corresponsable del tratamiento», en el sentido del RGPD, pues parece que influye en las operaciones de tratamiento de datos, en el momento del registro de las preferencias en materia de consentimiento de los usuarios en una TC String, y determina, junto con sus miembros, tanto los fines de esas operaciones como los medios que están en el origen de las mismas. Ello sin perjuicio de las comprobaciones que corresponde efectuar al tribunal belga.
En concreto, continúa la Sala, sin perjuicio de una eventual responsabilidad civil prevista en el Derecho nacional, IAB Europe no puede ser considerada responsable, en el sentido del RGPD, de las operaciones de tratamiento de datos que tienen lugar después de que se registren en una TC String las preferencias en materia de consentimiento de los usuarios, salvo si pudiera acreditarse que dicha asociación ha influido en la determinación de los fines de los tratamientos ulteriores y de las modalidades de su ejercicio.
En lo que respecta, en primer lugar, a los fines de dicho tratamiento de datos, el Tribunal señala que el TCF establecido por IAB Europe tiene como objetivo, en esencia, fomentar y permitir la compra y venta de espacios publicitarios en Internet por parte de determinados operadores que participan en la subasta en línea de espacios publicitarios. Por lo tanto, sin perjuicio de las comprobaciones que corresponden al tribunal remitente, IAB Europe influye, para sus propios fines, en las operaciones de tratamiento de datos personales y determina, por tanto, conjuntamente con sus miembros, los fines de dichas operaciones.
A continuación, en cuanto a los medios utilizados para este mismo tratamiento, el Tribunal de Justicia señala, sin perjuicio de las comprobaciones realizadas por el órgano jurisdiccional remitente, que el TCF constituye un marco de normas que los miembros de IAB Europe deben aceptar para adherirse a esta asociación. En particular, si uno de sus miembros no cumple estas normas, IAB Europe podrá adoptar una decisión de incumplimiento y suspensión que podrá tener como resultado la exclusión de dicho miembro del TCF e impedirle hacer uso de la garantía de cumplimiento con el RGPD proporcionado por el TCF para el tratamiento de datos realizado utilizando TC Strings. Además, el TCF establecido por IAB Europe contiene especificaciones técnicas relacionadas con el tratamiento de TC String, así como reglas precisas sobre el contenido de TC String, su almacenamiento y uso compartido. Además, el Tribunal destaca que IAB Europe prescribe, en el marco de estas normas, la forma estandarizada en que las diferentes partes involucradas en el TCF pueden consultar las preferencias, objeciones y consentimientos de los usuarios contenidos en los TC Strings.
En estas condiciones, y sujeto a dichas comprobaciones, el Tribunal concluye que una organización sectorial como IAB Europe influye, para sus propios fines, en las operaciones de tratamiento de datos personales y determina, por tanto, conjuntamente con sus miembros, los medios detrás de dichas operaciones. Por lo tanto, debe ser considerado “corresponsable del tratamiento”.
Por último, el Tribunal de Justicia señala que debe distinguirse entre, por una parte, el tratamiento de datos personales efectuado por los miembros de IAB Europe (como los proveedores de sitios web o de aplicaciones, los intermediarios de datos o las plataformas publicitarias, cuando las preferencias de consentimiento de los usuarios afectados se registran en una TC String de conformidad con las normas establecidas en el TCF y, por otra parte, el tratamiento posterior de estos datos efectuado por estos operadores y por terceros sobre la base de estas preferencias, como la transmisión de los datos a terceros o la oferta de publicidad personalizada a estos usuarios.
Por lo tanto, una organización sectorial, como IAB Europe, sólo puede considerarse responsable de dicho tratamiento posterior cuando se compruebe que ha ejercido una influencia en la determinación de los fines y métodos de este último, lo que corresponde verificar al tribunal remitente.