TJUE; 07-03-2024. Subasta de datos personales con fines publicitarios: el TJUE aclara las normas sobre la base del Reglamento general de protección de datos – Tribunal de Justicia – Sala Cuarta – Jurisdicción: Supranacional – Sentencia – Num. Proc.: C604/22 (TOL9.906.057)

març 17, 2024 | Butlletí de novetats, PUBLICO Jurisprudència

El tribunal aclara las normas aplicables en la subasta de datos en base al Reglamento General de Protección de Datos. Asunto C-604/22. En el mundo digital actual, cuando un usuario navega por un sitio web o una aplicación que incluye espacios publicitarios, se inicia un proceso de subasta en tiempo real conocido como Real Time Bidding (RTB). Empresas, intermediarios y plataformas publicitarias, en representación de miles de anunciantes, pujan para obtener el espacio publicitario y mostrar anuncios personalizados según el perfil del usuario. Sin embargo, antes de desplegar publicidad dirigida, se necesita obtener el consentimiento del usuario para la recopilación y tratamiento de sus datos personales. La Solución de IAB Europe y el RGPD IAB Europe, una asociación sin ánimo de lucro con base en Bélgica, ha desarrollado una herramienta destinada a adecuar este sistema de subastas al RGPD. La solución propuesta por IAB Europe implica codificar y almacenar las preferencias de los usuarios en una cadena llamada «Transparency and Consent String» (TC String). Esta cadena se comparte con intermediarios de datos y plataformas publicitarias para informar sobre el consentimiento o la oposición del usuario. Asimismo, se coloca una cookie en el dispositivo del usuario, que, combinada con la TC String, puede vincularse a la dirección IP del mismo. La TC String como dato personal y las acciones legales En 2022, la autoridad belga de protección de datos consideró que la TC String era un dato personal bajo el RGPD y que IAB Europe actuaba como responsable del tratamiento de datos sin cumplir completamente con las disposiciones del RGPD. Por ello, se impuso una multa administrativa a la empresa, además de otras medidas. La asociación impugnó la resolución y presentó un recurso ante el Tribunal de Apelación de Bruselas, el cual planteó una cuestión prejudicial al TJUE. El pronunciamiento del TJUE sobre la subasta de datos Tras el planteamiento de la cuestión prejudicial, el Tribunal de Justicia de la UE ha confirmado que la TC String contiene información relativa a un usuario identificable, por lo que constituye un dato personal según el RGPD. Ello se debe a que, cuando se asocia una información a un identificador (como la IP), puede crearse un perfil identificable. Además, señala que la empresa influye en las operaciones de tratamiento de datos, al registrar las preferencias de consentimiento de los usuarios. Por ello, considera que es corresponsable del tratamiento de datos. No obstante, no puede considerarse automáticamente responsable de las operaciones de tratamiento de datos que ocurren después de registrar las preferencias, a menos que se demuestre su influencia en la determinación de los fines y modalidades de dichos tratamientos.Para llegar a dichas conclusiones, el Tribunal interpreta lo dispuesto en los puntos 1 y 7 del artículo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Cuarta)de 7 de marzo de 2024 (*)«Procedimiento prejudicial -- Protección de las personas físicas en lo que respecta al tratamiento de datos personales -- Reglamento (UE) 2016/679 -- Organización sectorial normativa que propone a sus miembros normas sobre el tratamiento del consentimiento de los usuarios -- Artículo 4, punto 1 -- Concepto de "datos personales" -- Cadena de letras y caracteres que capta, de manera estructurada y legible mecánicamente, las preferencias de un usuario de Internet relativas al consentimiento de dicho usuario en lo que respecta al tratamiento de sus datos personales -- Artículo 4, punto 7 -- Concepto de "responsable del tratamiento" -- Artículo 26, apartado 1 -- Concepto de "corresponsables del tratamiento" -- Organización que no tiene acceso a los datos personales tratados por sus miembros -- Responsabilidad de la organización que se extiende a los tratamientos ulteriores de datos efectuados por terceros»En el asunto C‑604/22,que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el hof van beroep te Brussel (Tribunal de Apelación de Bruselas, Bélgica), mediante resolución de 7 de septiembre de 2022, recibida en el Tribunal de Justicia el 19 de septiembre de 2022, en el procedimiento entreIAB EuropeyGegevensbeschermingsautoriteit,con intervención de:Jef Ausloos