IAB TCF ผิดกฎหมายหรือไม่ ข้อเท็จจริงทั้งหมดที่นี่ในคำถามที่พบบ่อย

APD หน่วยงานปกป้องข้อมูลของเบลเยียมประกาศเมื่อวันที่ 02 มีการตัดสินใจในเดือนกุมภาพันธ์ พ.ศ. 2565 ข้อความอธิบายประมาณ 130 หน้าแสดงให้เห็นจุดอ่อนหลายประการของ IAB TCF แต่ยังมีโอกาสมากมายในการปฏิรูปอีกด้วย กรอบความโปร่งใสและการยินยอมตอนนี้ผิดกฎหมายหรือไม่? ผู้จัดพิมพ์ต้องพิจารณาอะไรบ้าง? และมันจะดำเนินต่อไปอย่างไร? คำถามที่พบบ่อยของเราจะอธิบายทุกอย่าง

อัปเดตเมื่อเดือนมีนาคม 2024

ศาลยุติธรรมแห่งยุโรปตัดสินในกรณีของ IAB TCF ว่าสตริง TC (“สตริงคำยินยอม”) ถือเป็นข้อมูลส่วนบุคคลตามความหมายของ GDPR ข้อมูลที่อยู่ในสตริงเกี่ยวข้องกับผู้ใช้ที่สามารถระบุตัวตนได้ ดังนั้นจึงสามารถใช้เพื่อสร้างโปรไฟล์ผู้ใช้และระบุผู้ใช้ได้ นอกจากนี้ ขณะนี้ IAB Europe ได้รับการระบุว่าเป็น “ผู้ควบคุมร่วม” ตามความหมายของ GDPR ซึ่งหมายความว่าจะแบ่งความรับผิดชอบในการประมวลผลข้อมูลเมื่อมีการบันทึกการตั้งค่าความยินยอมของผู้ใช้ในสตริง TC ซึ่งหมายความว่าจะแบ่งปันการตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูลกับสมาชิก แต่ไม่ใช่การประมวลผลข้อมูลเอง บทบาทของ IAB Europe ในฐานะผู้ควบคุมจะไม่ขยายไปยังกิจกรรมการประมวลผลข้อมูลหลังจากที่ผู้ใช้ได้รับความยินยอมถูกจัดเก็บไว้ในสตริง TC เว้นแต่จะสามารถแสดงให้เห็นได้ว่า IAB Europe มีอิทธิพลต่อวัตถุประสงค์และวิธีการของกิจกรรมการประมวลผลข้อมูลที่ตามมา

สิ่งสำคัญสำหรับบริษัทที่เข้าร่วม TCF ในฐานะผู้เผยแพร่หรือผู้ให้บริการเทคโนโลยีโฆษณาจะต้องอัปเดตเอกสารทางกฎหมายให้ทันท่วงทีเพื่อแจ้งให้ผู้ใช้ปลายทางทราบถึงการเปลี่ยนแปลงเหล่านี้ โดยเฉพาะอย่างยิ่งในส่วนที่เกี่ยวกับมาตรา 26 ของ GDPR บริษัทควรแจ้งให้ผู้ใช้ปลายทางทราบเกี่ยวกับการมีอยู่ของข้อตกลงการควบคุมร่วมกับ IAB Europe และผู้ให้บริการเว็บไซต์ที่เกี่ยวข้อง

อัปเดตเดือนกันยายน 2023

( อัปเดตจาก 21 กันยายน 2023 ) ในวันที่ 21 กันยายน มีการประชาพิจารณ์เกิดขึ้นที่หอการค้าที่ 4 ของ ECJ ซึ่งในระหว่างนั้นฝ่ายต่างๆ ที่เกี่ยวข้องก็ถูกผู้พิพากษาซักถามด้วย เนื่องจากจะไม่มีความเห็นจากผู้สนับสนุนทั่วไป จึงคาดว่า ECJ จะส่งคำตัดสินระหว่างสิ้นปี 2566 ถึงต้นปี 2567 เมื่อมีการเผยแพร่คำตัดสินแล้ว ศาลเบลเยียม (ศาลตลาด) จะสามารถสรุปการประเมินข้อโต้แย้งที่นำเสนอในการร้องเรียนของ IAB Europe ได้

( อัปเดตตั้งแต่เดือนกันยายน 2023 ) ศาลเบลเยียม (Market Court) ได้ตัดสินใจรอคำตัดสินของศาลยุติธรรมแห่งยุโรป (ECJ) และระงับการประเมินแผนปฏิบัติการของ IAB Europe ที่ได้รับการตรวจสอบโดยหน่วยงานคุ้มครองข้อมูลของเบลเยียม (APD) ในเดือนมกราคม 2023 IAB Europe ได้ยื่นอุทธรณ์คัดค้านการตรวจสอบความถูกต้องของแผนล่วงหน้าของ APD นี่แสดงให้เห็นว่า APD ดำเนินการอย่างเร่งรีบ และคำตัดสินของ ECJ จะมีอิทธิพลต่อการตัดสินใจเดิมของ APD ว่าถูกต้องตามกฎหมายหรือไม่ และจะดำเนินการตามแผนอย่างไร นี่เป็นข่าวดีสำหรับผู้เข้าร่วม IAB Europe และ TCF เนื่องจากจะป้องกันไม่ให้มีการเปลี่ยนแปลงที่ไม่จำเป็นโดยไม่ได้รับการพิจารณาอย่างรอบคอบ Townsend Feehan ซีอีโอของ IAB Europe เน้นย้ำว่าการเปลี่ยนแปลง TCF จะต้องดำเนินการด้วยความระมัดระวังอย่างยิ่งและเป็นไปตามขั้นตอนของ ECJ

อัปเดตมิถุนายน 2023

(อัปเดตมิถุนายน 2566) ด้วย TCF 2.2 IAB ได้กำหนดแนวทางที่สำคัญสำหรับการดำเนินการตามขั้นตอนที่กล่าวถึงในแผนปฏิบัติการ ขณะนี้ระยะการเปลี่ยนแปลงจะดำเนินการจนถึงวันที่ 30 กันยายน 2023 ในระหว่างนี้ผู้ให้บริการและเว็บไซต์จะอัปเดตเป็นมาตรฐานใหม่ได้ ตั้งแต่เดือนตุลาคม 2023 เป็นต้นไป จะใช้เฉพาะ IAB TCF เวอร์ชัน 2.2 เท่านั้น

อัปเดตมกราคม 2023

(อัปเดตเมื่อเดือนมกราคม 2566) แผนปฏิบัติการที่ส่งโดย IAB Europe ได้รับการยอมรับจาก APD และเริ่มดำเนินการขั้นตอนต่อไปในการปฏิบัติตาม GDPR ขณะนี้ IAB Europe มีเวลา 6 เดือนในการดำเนินการตามแผนปฏิบัติการ

อัปเดตเดือนเมษายน 2022

(อัปเดตเดือนเมษายน 2022) ขณะนี้ IAB Europe ได้ยื่นเรื่องร้องเรียนต่อศาลที่รับผิดชอบ (Market Court) และโต้แย้งกระบวนการและคำตัดสินดังกล่าว ในเวลาเดียวกัน IAB Europe ได้ส่งแผนปฏิบัติการตามที่ร้องขอ ขณะนี้ APD จะทบทวนแผนปฏิบัติการ อย่างไรก็ตาม คาดว่าจะไม่มีการตัดสินใจก่อนสิ้นเดือนมิถุนายน 2565 หาก APD ยอมรับแผนปฏิบัติการ IAB Europe จะต้องดำเนินการภายใน 6 เดือน

อัปเดตเดือนพฤษภาคม 2022

(อัปเดตเดือนพฤษภาคม 2022) IAB Europe ถอนคำขอพักการพิจารณาคดีหลังจากที่ APD ยืนยันตารางเวลาสำหรับการทบทวนแผนปฏิบัติการ ดังนั้น APD จะไม่ตัดสินใจเกี่ยวกับแผนปฏิบัติการก่อนวันที่ 1 กันยายน 2022 จากนั้นศาลเบลเยี่ยม (Market Court) ก็จะเป็นผู้ตัดสินเกี่ยวกับขั้นตอนและแผนปฏิบัติการสามารถดำเนินการได้ในอีก 6 เดือนข้างหน้า

เกิดอะไรขึ้น

APD หน่วยงานคุ้มครองข้อมูลของเบลเยียมได้กำหนดปัญหาต่างๆ ในรายงานขั้นสุดท้ายไปยัง IAB Europe และ IAB TCF จุดสนใจหลักคือ APD มองว่า IAB Europe เป็นลูกค้า นอกจากนี้ สตริง TC ที่สร้างขึ้นโดย TCF (ข้อมูลความยินยอม) จะถูกมองว่าเป็นข้อมูลส่วนบุคคล และดังนั้นจึงจำเป็นต้องได้รับความยินยอมอยู่แล้ว

เบลเยี่ยมเกี่ยวอะไรด้วย?

นับตั้งแต่ GDPR มีผลบังคับใช้ในปี 2018 ก็มีการร้องเรียนหลายครั้งในประเทศต่างๆ ต่อ IAB Europe ในฐานะหน่วยงานที่อยู่เบื้องหลังมาตรฐาน IAB TCF ตลอดจนนโยบายและ CMP ที่เกี่ยวข้อง เนื่องจาก IAB Europe ตั้งอยู่ในบรัสเซลส์ หน่วยงานคุ้มครองข้อมูลของเบลเยียมจึงเป็นผู้นำในกระบวนการนี้ (“กฎระเบียบแบบครบวงจร” ของ GDPR)

คำตัดสินของเบลเยียมใช้ในประเทศอื่นด้วยหรือไม่

ใช่ หน่วยงานคุ้มครองข้อมูลทั้งหมดจะต้องปฏิบัติตามคำตัดสินของเบลเยียม และไม่เบี่ยงเบนไป

คำตัดสินระบุอะไรเป็นพิเศษ?

ข้อความคำพิพากษามีความยาวมากกว่า 120 หน้า และ สามารถดาวน์โหลดได้ที่นี่ในรูปแบบ PDF (ภาษาอังกฤษ) มีเรื่อง “น่าสนใจ” ตั้งแต่มาตรา 535 เป็นต้นไป โดยมีการอธิบายความผิดที่เกิดขึ้นจริงดังนี้

• TCF ไม่ได้แสดงถึงพื้นฐานทางกฎหมายที่ถูกต้องสำหรับการประมวลผลการตัดสินใจของผู้ใช้ ได้รับความยินยอมไม่เพียงพอ (ดูจุดถัดไป)
• TCF ไม่ได้ให้ข้อมูลที่ผู้ใช้จำเป็นต้องใช้ในการตัดสินใจอย่างโปร่งใสเพียงพอ
• ความปลอดภัยของ TCF ในฐานะกลไกไม่เพียงพอ (เช่น เพื่อป้องกันไม่ให้ CMP ทำงานผิดปกติ)
• IAB ถูกมองว่าเป็นไคลเอนต์ (ตัวควบคุม) และข้อมูล ซึ่งส่งผลให้เกิดภาระผูกพันบางประการสำหรับ IAB Europe ซึ่งยังไม่ได้ปฏิบัติตาม โดยเฉพาะไดเร็กทอรีของการประมวลผลข้อมูลหายไป
• IAB Europe ไม่ได้ดำเนินการ DPIA แม้ว่าจะจำเป็นก็ตาม
• IAB Europe ไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล แม้ว่าจะจำเป็นก็ตาม

ผลที่ตามมาคืออะไร?

การคว่ำบาตรต่อ IAB Europe ในท้ายที่สุดเป็นผลมาจากการกระทำผิด (ดูด้านบน) และได้แก่:

• (ใหม่) ออกแบบ TCF ในลักษณะที่ให้ผลตามพื้นฐานทางกฎหมายที่ถูกต้อง
• ข้อมูลที่ IAB Europe รวบรวมไว้จะต้องถูกลบออก
• พื้นฐานทางกฎหมาย “ประโยชน์โดยชอบด้วยกฎหมาย” จะไม่สามารถนำมาใช้ใน TCF ได้อีกต่อไป
• ออกแบบ TCF ใหม่เพื่อให้ CMP มีวิธีที่ “สอดคล้องกัน” ในการขอความยินยอมในลักษณะที่สอดคล้องกับ GDPR ข้อมูลควรนำเสนออย่างชัดเจน เป็นรูปธรรม แต่เข้าใจได้
• ต้องมีการพัฒนากลไกการรักษาความปลอดภัยที่เหมาะสมเพื่อปกป้อง TCF
• IAB Europe ต้องสร้างทะเบียนการประมวลผลข้อมูล
• IAB Europe จะต้องดำเนินการ DPIA
• IAB Europe จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล

นอกจากนี้ IAB Europe จะต้องจัดทำ “แผนปฏิบัติการ” ภายใน 2 เดือน ข้อมูลนี้มีวัตถุประสงค์เพื่อแสดงขั้นตอนที่ควรดำเนินการเพื่อให้เป็นไปตามข้อกำหนด TCF ในอนาคต ทันทีที่ APD ยอมรับแผนแล้ว IAB มีเวลาอีก 6 เดือนในการดำเนินการตามนั้น

ตอนนี้ CMP ทั้งหมดผิดกฎหมายหรือไม่?

เลขที่ โดยทั่วไป CMP เช่นเดียวกับเครื่องมือจัดการความยินยอมจะไม่ขึ้นอยู่กับสิ่งนี้ ท้ายที่สุดแล้ว ผู้ดำเนินการเว็บไซต์สามารถกำหนดค่า CMP เพื่อให้เป็นไปตามข้อกำหนดหรือปิด TCF ใน CMP โดยสิ้นเชิง

ตอนนี้ TCF ผิดกฎหมายหรือไม่?

ไม่. ฟอร์มปัจจุบันยังถือว่าไม่เพียงพอ ขณะนี้ IAB Europe มีหน้าที่ในการดำเนินมาตรการที่เหมาะสมและทำให้ TCF ปฏิบัติตามข้อกำหนดอีกครั้ง

อะไรต่อไป?

ขณะนี้ IAB Europe มีเวลา 2 เดือนในการพัฒนามาตรการและ/หรือยื่นคำคัดค้าน สันนิษฐานว่าจะเกิดขึ้นทั้งสองอย่าง: จะมีการคัดค้านองค์ประกอบแต่ละส่วนของการตัดสินใจอย่างแน่นอน – ในเวลาเดียวกัน เราจะดูว่า TCF จะวางรากฐานที่มั่นคงได้อย่างไร โดยเฉพาะอย่างยิ่ง เป้าหมายคือการแปลง TCF ให้เป็นหลักจรรยาบรรณ (CoC) IAB ดำเนินการเรื่องนี้มาเป็นเวลานานแล้ว CoC จะมีข้อได้เปรียบเพิ่มเติมและมีความมั่นใจทางกฎหมายมากขึ้น

คำตัดสินมีผลกระทบต่อใครบ้าง?

ในตอนแรกจะส่งผลโดยตรงต่อ IAB Europe เท่านั้น ในทางอ้อมจะส่งผลกระทบต่อ CMP ผู้ให้บริการ และผู้เผยแพร่โฆษณาในระยะกลาง – อย่างล่าสุดเมื่อต้องกำหนดวัตถุประสงค์และฐานทางกฎหมายใหม่ในระดับความยินยอมหรือมีการเปลี่ยนแปลงกรอบทางเทคนิค

ตอนนี้ฉันควรจะตอบสนองอย่างไร?

เช่นเดียวกับทุกสิ่งทุกอย่าง ไม่ผิดที่จะดูอย่างใกล้ชิดก่อนและรอดูพฤติกรรมของนักแสดง

ตามคำแนะนำทั่วไป อาจสรุปได้ว่า “ประโยชน์โดยชอบด้วยกฎหมาย” ไม่ได้ถูกมองว่าเป็นพื้นฐานทางกฎหมายที่เพียงพอสำหรับการโฆษณาออนไลน์ – ซึ่งมีการประกาศล่วงหน้าและในการตัดสินอื่นๆ ด้วย หากคุณใช้เครื่องมือทางการตลาดบนเว็บไซต์ของคุณ คุณควรตรวจสอบว่าเครื่องมือเหล่านั้นจำเป็นต้องได้รับความยินยอมหรือไม่

โดยทั่วไป เราขอแนะนำให้ใช้ TCF เมื่อจำเป็นจริงๆ เท่านั้น ตัวอย่างเช่น สิ่งนี้อาจไม่มีผลกับเว็บไซต์อีคอมเมิร์ซส่วนใหญ่ ในขณะเดียวกัน เว็บไซต์ข่าวส่วนใหญ่จะยังคงพึ่งพา TCF ต่อไป เราขอแนะนำให้ตรวจสอบข้อความคำอธิบายและรายชื่อผู้ให้บริการอย่างรอบคอบ และหากจำเป็น ให้คำอธิบายและข้อมูลเพิ่มเติมที่แม่นยำยิ่งขึ้น

ฉันจำเป็นต้องลบข้อมูลทั้งหมดของฉันตอนนี้หรือไม่?

เลขที่ การพิจารณาคดีของเบลเยียมในขั้นต้นจะมีผลกับ IAB Europe เท่านั้น อย่างไรก็ตาม สามารถสันนิษฐานได้โดยอ้อมว่า “TCF CMP บริสุทธิ์” ก็อยู่ภายใต้เงื่อนไขของการตัดสินเช่นกัน ดังนั้นจึงไม่ได้รับความยินยอมตามกฎหมาย

เว็บไซต์ที่ใช้ TCF ตกอยู่ในอันตรายหรือไม่?

ไม่. ในด้านหนึ่ง นักแสดงจะรอในตอนนี้ – สิ่งนี้ยังใช้กับหน่วยงานคุ้มครองข้อมูลอื่นๆ ในประเทศอื่นๆ ด้วย ตราบใดที่ขั้นตอนยังคง “รอดำเนินการ” ก็ไม่มีเหตุผลที่จะใช้ขั้นตอนดังกล่าวเป็นพื้นฐานในการเตือนหรือขั้นตอนใหม่

ในทางกลับกัน ยังไม่ชัดเจนว่า TCF สามารถนำมาใช้ในลักษณะที่เป็นไปตามข้อกำหนดภายใต้เงื่อนไขบางประการได้หรือไม่ เรายังคงต้องติดตามดูและจับตาดูการพัฒนาของ TCF หากจำเป็น

Conยินยอมผู้จัดการทำอะไรให้ฉัน? ฉันต้องทำอะไร?

ในฐานะสมาชิกของ IAB Europe และในสมาคมระดับภูมิภาคต่างๆ และกลุ่มอื่นๆ ผู้จัดการฝ่ายยินยอมมีส่วนร่วมอย่างแข็งขันในการปรึกษาหารือและการตัดสินใจภายใน IAB ในแง่นี้ ผู้จัดการฝ่ายยินยอมจะสามารถใช้ขั้นตอนที่จำเป็นทั้งหมดได้ทันที เพื่อให้สามารถปกป้องลูกค้าตามกฎหมายหรือทางเทคนิคได้

ในฐานะลูกค้าผู้จัดการความยินยอม คุณไม่จำเป็นต้องดำเนินการใดๆ โดยเฉพาะในตอนแรก (ดูข้อยกเว้นด้านบน) การปรับเปลี่ยนทางเทคนิคและขั้นตอนทั้งหมดที่ TCF “ใหม่” กำหนดนั้นสามารถทำได้โดยตรงภายในโดยเรา โดยไม่จำเป็นต้องแลกเปลี่ยนรหัสในตอนนี้

ไม่เห็นคำถามของคุณ?

โปรดติดต่อเราโดยตรง