Cuando un usuario consulta un sitio de Internet o una aplicación que contiene un espacio publicitario, las empresas de tecnología publicitaria, y en particular los intermediarios de datos y las plataformas publicitarias, que representan a miles de anunciantes, pueden pujar en tiempo real, sin ser vistos, por la obtención de ese espacio publicitario a través de un sistema de subastas automatizado que utiliza algoritmos, con el fin de mostrar en dicho espacio publicidad dirigida adaptada específicamente al perfil de tal usuario, y el TJUE señala que antes de mostrar esa publicidad dirigida, debe obtenerse el consentimiento de dicho usuario.
La sentencia explica que el concepto de “datos personales” no abarca únicamente los datos recabados y conservados por el responsable del tratamiento, sino que incluye también todas las informaciones resultantes de un tratamiento de datos personales que se refieran a una persona identificada o identificable. Aunque una TC String no contiene en sí misma elementos que permitan la identificación directa del interesado, sí contiene las preferencias individuales de un usuario específico por lo que respecta a su consentimiento en el tratamiento de los datos personales que le conciernen.
La posibilidad de asociar una cadena compuesta por una combinación de letras y caracteres, como la TC String, con datos adicionales, en particular con la dirección IP del dispositivo de un usuario o con otros identificadores, permite identificar a dicho usuario, por lo que la TC String contiene información sobre un usuario identificable.
Por ello, una cadena compuesta por una combinación de letras y caracteres, como la TC String (Transparency and Consent String), que contiene las preferencias de un usuario de Internet o de una aplicación, relativas al consentimiento del usuario en el tratamiento de datos personales que le conciernen por proveedores de sitios de Internet o de aplicaciones, así como por intermediarios de tales datos y por plataformas publicitarias, constituye un dato personal.
La organización sectorial, en la medida en que propone a sus miembros un marco normativo que ella ha establecido en materia de consentimiento en el tratamiento de datos personales, que contiene no solo normas técnicas vinculantes, sino también normas que precisan de manera detallada las modalidades de almacenamiento y de difusión de los datos personales referentes a dicho consentimiento, es “corresponsable del tratamiento”, porque influye, atendiendo a sus propios objetivos, en el tratamiento de los datos personales en cuestión. Determina así, junto con sus miembros, los fines y medios de dicho tratamiento, y lo es incluso aunque no tenga acceso directo a los datos personales tratados por sus miembros. Sin embargo, la corresponsabilidad no se extiende automáticamente a los tratamientos ulteriores de datos personales efectuados por terceros -como los proveedores de sitios de Internet o de aplicaciones- en lo que respecta a las preferencias de los usuarios a efectos de la publicidad dirigida en línea, salvo si puede acreditarse que dicha asociación ha influido en la determinación de los fines de los tratamientos ulteriores y de las modalidades de su ejercicio.
Con estas reglas, el TJUE se pronuncia sobre los requisitos para las pujas de datos con fines, entre otros, la comercialización o la publicidad, o con vistas a intercambiar esos datos con determinados proveedores, y declara que el usuario puede oponerse a la cesión de sus datos y sobre la necesidad de prestar su consentimiento.