El Tribunal de Justicia de la Unión Europea (TJUE) ha emitido una decisión que podría cambiar el panorama de la publicidad online en Europa. En respuesta a una cuestión prejudicial del Tribunal de Apelación de Bélgica, el TJUE ha determinado que el sistema de consentimiento publicitario utilizado por IAB Europe, conocido como Transparency and Consent Framework (TCF), puede ser considerado tratamiento de datos personales.
Esta decisión se produce tras años de litigio iniciado por la Autoridad de Protección de Datos belga (APD), que cuestionaba si el consentimiento recogido a través del TCF era válido conforme al Reglamento General de Protección de Datos (RGPD). En su sentencia, el TJUE sostiene que los llamados “TC Strings”, fragmentos de datos que recogen las elecciones del usuario sobre el consentimiento, contienen información que permite identificar indirectamente a una persona, y por tanto, deben tratarse como datos personales.
El fallo pone en jaque no de los pilares del ecosistema publicitario europeo basado en cookies, ya que el TCF es el sistema estandarizado utilizado por miles de webs y plataformas para gestionar el consentimiento de los usuarios en el marco del Real-Time Bidding (RTB), el modelo dominante de pujas en tiempo real para la publicidad programática.
La sentencia también deja claro que IAB Europe podría ser considerado corresponsable del tratamiento de datos personales junto a los editores y empresas que utilizan su sistema. El TJUE remite al tribunal belga la tarea de decidir, a partir de ahora, si IAB Europe ejerce una influencia real sobre los fines y medios del tratamiento, como para atribuirle esa corresponsabilidad.
Desde el sector se teme que esta resolución aumente la presión regulatoria sobre el modelo actual de publicidad basada en el seguimiento del usuario. Al tratarse de una interpretación del máximo órgano judicial europeo, la decisión sienta jurisprudencia que deberá ser tenida en cuenta en toda la Unión.
Empresas tecnológicas, agencias y medios digitales se ven así forzados a revisar sus mecanismos de captación y gestión del consentimiento. Si bien IAB Europe ha defendido que su sistema busca precisamente facilitar el cumplimiento del RGPD, la sentencia abre la puerta a futuras sanciones o modificaciones profundas en su operativa.
Mientras tanto, los defensores de la privacidad celebran la decisión como una victoria significativa que limita prácticas opacas y promueve un mayor control del usuario sobre sus datos en el entorno digital.
