De Autoriteit Persoonsgegevens (AP) adviseert Nederlandse websites om per direct te stoppen met het veelgebruikte advertentiesysteem van reclamebrancheorganisatie IAB Europe. Het systeem dat informatie over het surfgedrag van websitebezoekers gebruikt om advertenties op te baseren, is in strijd met de privacywetgeving.
Dat meldt het Financieele Dagblad (FD) op basis van een advies van de AP (1).
Ongeveer 80% van de Europese websites maakt volgens de krant gebruik van het Transparency & Consent Framework (TCF) van IAB. De bij het TCF aangesloten websites vragen allemaal op dezelfde manier toestemming aan gebruikers voor het verzamelen van browsegegevens. Dat gebeurt via een pop-up scherm. De verzamelde gegevens gebruiken de websites dan weer om advertentieruimte te verkopen die past bij de specifieke bezoekers.
De Autoriteit Persoonsgegevens (AP) adviseert de bedrijven die het TCF gebruiken om alternatieven te zoeken. Volgens de toezichthouder is het maar de vraag of andere systemen die gebruikers volgen en data doorverkopen wél aan privacywetgeving voldoen. Om dat uit te wijzen is meer onderzoek nodig, aldus een woordvoerder van het AP in een reactie aan Data&Privacyweb.
In de tussentijd kunnen bedrijven volgens de toezichthouder beter uitwijken naar andere manieren van adverteren, zoals contextueel adverteren. ‘Dat is heel simpel: bij een filmpje over klussen een advertentie voor een bouwmarkt. Bij een artikel over voetbal een advertentie voor een sportwinkel. De STER werkt al een paar jaar met deze methode, en dat schijnt heel goed te werken,’ aldus de toezichthouder.
Het is nog onduidelijk wat het advies van de AP voor gevolgen zal hebben voor bedrijven die gebruik maakten of maken van het TCF. De AP laat weten dat bedrijven met het gebruik van het IAB-systeem de AVG overtreden en dat handhaving bij zulke overtredingen mogelijk is. Of de toezichthouder ook echt boetes gaat opleggen, is volgens het FD nog de vraag. Grote adverteerders die het TCF gebruikten, vrezen daar volgens de krant wel voor, net als voor claims van privacyorganisaties.
IAB vertegenwoordigt onder meer grote media- en techbedrijven bedrijven als RTL, Google en Microsoft. Het TCF zette IAB pas in 2018 op (2). Daarnaast heeft de organisatie een kennishub over online advertising en organiseert het events en trainingen rond dit thema.
Het advies van de AP volgt op een uitspraak van de Belgische privacytoezichthouder. Die oordeelde als eerste dat het TCF in strijd is met Europese privacywetgeving, omdat de data die IAB verzamelt door een verkeerde koppeling tot individuele personen te herleiden is.
De Belgische toezichthouder startte een onderzoek naar het TCF mede op basis van een klacht bij de AP. De Belgen legden IAB een boete van 250.000 euro op, maar gaven de brancheorganisatie wel twee maanden de tijd om het probleem op te lossen en verzamelde data te verwijderen. De AP keek mee met het Belgische onderzoek en doet nu dus ook een eigen uitspraak omdat dit een zaak is die ook Nederlanders raakt.
IAB liet in een reactie op de eigen website al eerder weten het niet eens te zijn met de uitspraak van de Belgische toezichthouder (3). De Belgen zien de IAB ten onrechte als verwerkingsverantwoordelijke voor de met het TCF verzamelde data, aldus IAB. Toch is de brancheorganisatie bereid om samen met de Belgische privacytoezichthouder te onderzoeken met welke aanpassingen het TCF aan de privacywetgeving kan voldoen. IAB Europe heeft nog niet op het advies van de AP gereageerd.
(1) https://fd.nl/tech-en-innovatie/1429434/toezichthouder-advertentiebranche-moet-direct-stoppen-met-online-volgen-bezoeker-ihb2caAzTufo
(2) https://iabeurope.eu/transparency-consent-framework/
(3) https://iabeurope.eu/all-news/apd-ruling-clears-way-for-work-on-developing-tcf-into-a-formal-gdpr-code-of-conduct-iab-europe-statement-on-the-apd-decision-announced-today/
