Бельгийский апелляционный суд поставил точку в одном из самых значимых кейсов GDPR: теперь официально подтверждено, что IAB Europe выступает совместным оператором данных в рамках Transparency & Consent Framework (TCF), а строки TC (TC Strings) признаются персональными данными. Суд сохранил штраф в 250 000 евро для IAB Europe, но существенно сузил трактовку ответственности, отменив прежнюю более широкую интерпретацию.

Теперь, чтобы использовать OpenRTB и другие programmatic-решения в Европе, IAB Europe должна сама получать согласие пользователей — как один из вендоров, участвующих в цепочке обработки данных. Это решение касается только предыдущей версии TCF: актуальные версии уже адаптированы под требования регуляторов, включая требования к логам согласий и возможностям аудита. Google получает преимущество, так как для его сервисов обычно требуется согласие только для Google, тогда как открытая экосистема требует подтверждения для десятков компаний.

Несмотря на формальное признание TCF законным, кейс стал прецедентом и иллюстрирует риски для всех участников рынка: персональные данные в RTB-протоколах теперь требуют максимально прозрачного согласия и дополнительных гарантий. Для большинства паблишеров и вендоров изменения не критичны, однако теперь IAB Europe официально отвечает за соблюдение GDPR при работе с TCF.