'Mengejutkan': CEO IAB Eropa tentang masa depan yang tidak pasti dari kemampuan beralamat pihak ketiga

Implikasi dari keputusan ini berdampak pada industri tidak hanya dalam jangka panjang tetapi juga memiliki efek limpahan langsung pada pengiklan, penerbit, dan vendor teknologi iklan di antara mereka. Namun, ada dua sisi dari setiap cerita, dan yang satu ini tidak terkecuali. Industri iklan online, atau setidaknya badan perdagangan yang mewakili kepentingannya di Eropa, memiliki pandangan yang sangat berbeda tentang periklanan dan banyak persimpangannya dengan privasi. Faktanya, badan perdagangan secara hukum menentang keputusan tersebut.

Digiday bertemu dengan CEO IAB Eropa Townsend Feehan agar dia mengambil masa depan pagar pembatas itu, yang juga dikenal sebagai Kerangka Transparansi & Persetujuan. Respons telah diberikan melalui email setelah briefing latar belakang dengan Digiday. Jelaskan keputusan banding Keputusan DPA Belgia? Apalagi yang dimohonkan sebenarnya apa? Keputusan bersifat administratif , artinya otoritas yang mengeluarkannya (DPA Belgia) sama-sama melakukan penyelidikan dan mengeluarkan putusan akhir. Hal ini tunduk pada banding di Belgian Markets Court. IAB Eropa diberi waktu 30 hari untuk mengajukan banding, artinya kami memiliki waktu hingga Maret . Pada Februari [11], IAB Eropa mengumumkan akan mengajukan banding atas keputusan tersebut (lihat pernyataan di sini). Petisi kami akan membantah temuan APD bahwa IAB Eropa bertindak sebagai pengontrol untuk perekaman TC Strings — yang bukan merupakan data pribadi — dan sebagai pengontrol bersama untuk penyebaran TC Strings dan pemrosesan data lainnya yang dilakukan oleh peserta TCF di bawah protokol OpenRTB . Ini juga akan menantang penilaian keabsahan dasar hukum yang ditetapkan oleh TCF yang dilakukan oleh APD secara abstrak, tanpa mengacu pada keadaan khusus seputar diskrit apa pun tindakan pengolahan data. Temuan dan pemulihan tertentu lainnya yang timbul sebagai konsekuensi dari dugaan pengendalian dan pengendalian bersama IAB Eropa kemungkinan juga akan ditentang. Banding akan mencakup permintaan untuk penundaan eksekusi keputusan, yang segera berlaku pada publikasi. Apakah DPA Belgia memberikan panduan tentang kapan tanggapan resmi atas banding akan tiba? Jadwal pengajuan rencana aksi berjalan secara independen dan tidak dipengaruhi oleh, pengajuan banding. IAB Eropa memiliki waktu dua bulan — hingga April [2] — untuk menyerahkan rencana aksi. Pengadilan Pasar akan mempertimbangkan permintaan penangguhan secara terpisah dari banding “berdasarkan pertimbangan.” Informasi kami adalah bahwa mungkin ada keputusan atas permintaan penangguhan dalam beberapa minggu sejak diajukan, tetapi karena permohonan penangguhan mungkin tidak berhasil, kami harus bekerja sesuai dengan perintah dan jadwal yang ditetapkan dalam keputusan. Sebagai pengingat, timeline adalah dua bulan (sampai 2 April) untuk menyampaikan rencana aksi; beberapa waktu setelah itu (tidak ditentukan) bagi APD untuk meninjau dan menyetujui rencana tersebut; kemudian enam bulan bagi IAB Eropa untuk mengimplementasikan rencana tersebut. Putusan tentang manfaat oleh Pengadilan Pasar bisa terjadi akhir tahun ini atau bahkan berpotensi tahun depan.

Mundur selangkah, apa reaksi Anda terhadap putusan itu sendiri ?

Di satu sisi, mengejutkan bahwa Otoritas merasa perlu untuk mengejar tindakan penegakan — yang membuatnya penting untuk menemukan IAB Eropa sebagai pengontrol data dari sesuatu — daripada mengeluarkan panduan kebijakan tentang konten substantif TCF. Diskusi kebijakan sejak awal akan menghemat banyak keausan dan menghindari konsekuensi besar yang tidak diinginkan yang pasti akan muncul dari interpretasi luas Keputusan saat ini tentang gagasan pengontrol [the].[the]

Bagaimana Anda melihat putusan terkait legalitas sistem OpenRTB? Beberapa orang akan berargumen bahwa tulisan di dinding dalam hal pengalamatan pihak ketiga skala besar di web terbuka melanggar hukum mengingat suara-suara dari regulator?

Paradigma dasar GDPR adalah bahwa pengguna memiliki informasi dan transparansi tentang pemrosesan data yang ingin dilakukan perusahaan, dan mereka membuat pilihan berdasarkan informasi/transparansi tersebut . Pilihan tersebut dapat dicabut, dan berbagai hak konsumen lainnya diatur dalam undang-undang (hak untuk menghapus, hak untuk mengakses data, hak untuk mengoreksi, dll.). Sangat mungkin untuk beroperasi di bawah protokol OpenRTB dengan cara yang sesuai dengan GDPR — penerbit perlu memastikan bahwa mereka mengungkapkan pengontrol data yang mungkin memproses data pribadi pembaca mereka untuk tujuan periklanan dan mematuhi persyaratan Peraturan saat membuat pengungkapan informasi tersebut , dan vendor perlu memastikan bahwa data pribadi hanya dibagikan dengan, dan diproses oleh, vendor yang memiliki dasar hukum GDPR untuk melakukan pemrosesan tersebut. TCF saat ini sudah mewajibkan bahwa data pribadi pengguna hanya dibagikan dengan vendor yang memiliki dasar hukum GDPR untuk mengumpulkan dan memproses data ini. Jika Kebijakan TCF diikuti, data pribadi pengunjung situs web hanya akan dikumpulkan dan diproses oleh vendor yang secara eksplisit diizinkan oleh pengunjung menggunakan TCF UI. Dan TCF adalah cara terbaik untuk memastikan pengungkapan informasi dilakukan dengan cara yang memenuhi persyaratan GDPR. TCF tidak dirancang hanya untuk OpenRTB, tetapi juga memang cara OpenRTB dapat dilakukan dengan cara yang sesuai, itulah sebabnya ia menarik perhatian yang dimilikinya. Jika Anda mencoba mempromosikan cara alternatif untuk menargetkan, menayangkan, dan mengukur iklan digital, maka salah satu cara untuk melakukannya adalah dengan menyerang standar praktik terbaik yang paling memungkinkan penggunaan OpenRTB yang sesuai dengan hukum. TCF tidak mengamanatkan penggunaan Daftar Vendor Global lengkap, bertentangan dengan apa yang disarankan dalam Keputusan APD. Penerbit bebas menggunakan vendor sebanyak atau sesedikit yang mereka inginkan. TCF juga dapat digunakan oleh penerbit untuk mendapatkan persetujuan pengguna (menetapkan dasar hukum) untuk pemrosesan data mereka sendiri.

Apa saran IAB Eropa untuk pasar saat ini, mengingat TCF ‘saat ini melanggar hukum’? Putusan tersebut ditujukan kepada IAB Eropa, dan bukan kepada pemangku kepentingan komersial individu (penerbit, vendor, CMP, pengiklan) yang benar-benar menerapkan TCF. Ini meramalkan periode dua bulan untuk pengembangan rencana aksi yang memberikan fungsionalitas tambahan yang diminta oleh APD dan periode enam bulan lebih lanjut untuk pengiriman aktual dari rencana itu, setelah APD menyetujuinya. Kami memiliki gugus tugas kecil lintas ekosistem yang bekerja untuk mengembangkan rencana tersebut, tetapi kami bermaksud untuk menginformasikan pasar secara berkala (mungkin mingguan atau dua mingguan), baik tentang pengembangan rencana maupun interaksi dengan APD setelah kami memilikinya. menyusunnya. Seluruh industri perlu memahami proses ini untuk menentukan seperti apa TCF v3 — yang pada akhirnya harus disetujui sebagai Kode Etik GDPR –, dan di mana kami dapat membuat perubahan sehubungan dengan aspek dasar hukum dan UI dan terus beroperasi untuk mengaktifkan periklanan digital untuk mendanai web terbuka. Pelaku industri yang khawatir dengan risiko hukum setelah dikeluarkannya Putusan perlu melihat praktiknya sendiri berdasarkan temuannya. TCF adalah standar minimum yang saat ini memberikan fungsionalitas yang agak sempit untuk membantu pihak pertama menetapkan dasar hukum GDPR (dan persetujuan ePrivasi) untuk pemrosesan data pribadi dan pengaksesan perangkat pengguna oleh pihak ketiga untuk tujuan periklanan digital dan personalisasi konten . Ini tidak mencegah penerbit, vendor, dan pengiklan mengambil tindakan lain untuk mematuhi seluruh kewajiban yang ditetapkan dalam GDPR. Penerbit yang ingin mencerminkan temuan APD dalam praktik mereka dapat mempertimbangkan untuk menghapus kepentingan yang sah sebagai dasar hukum untuk pembuatan profil dan memberikan pengungkapan informasi tambahan tentang jenis data pribadi yang dapat diproses untuk iklan. APD menemukan definisi tujuan pemrosesan data di TCF tidak cukup terperinci dan tidak cukup ringkas – penerbit dapat memilih untuk memberikan kata-kata tambahan untuk melengkapi definisi legal dan “ramah pengguna” yang ditetapkan dalam Kebijakan TCF.

Mengapa TCF tidak perlu didesain ulang secara radikal untuk menjadi halal baik bagaimana cara kerjanya dan bagaimana digunakan untuk mendukung openRTB?

Keputusan APD memperjelas bahwa apa yang diinginkan APD adalah lebih banyak TCF, bukan kurang — mereka ingin TCF memberikan fungsionalitas kepatuhan yang lebih luas, termasuk memastikan kepatuhan GDPR grosir dari semua vendor TCF. Apa yang perlu ada dalam rencana aksi pada dasarnya adalah perluasan dari Kerangka, dan harmonisasi pengungkapan informasi yang lebih menyeluruh (Keputusan tersebut berbicara tentang “memaksa” CMP untuk menggunakan pengungkapan informasi yang “seragam”). APD tampaknya ingin melihat definisi tujuan pemrosesan data yang lebih terperinci dan lebih ringkas. Mereka juga mencari batasan penggunaan dasar hukum kepentingan yang sah. Seperti yang dijelaskan di telepon, tidak jelas dari Keputusan apakah tujuannya adalah larangan penuh atas penggunaan kepentingan yang sah atau hanya larangan penggunaan kepentingan yang sah untuk pembuatan profil.

IAB Eropa menyatakan bahwa belum ada kejelasan atau panduan mengenai apa yang ada dan tidak diizinkan dalam hal bagaimana persetujuan dikumpulkan dan untuk apa persetujuan itu digunakan karena berkaitan dengan pelacakan dan pembuatan profil?

Saya tidak yakin di mana kami mengatakan ini — Saya pikir apa yang saya kemukakan selama panggilan kami adalah kurangnya kejelasan tentang konsep dasar seperti pengontrolan dan definisi data pribadi. Konsep-konsep ini cukup ambigu dalam Peraturan bahwa beberapa tahun mensosialisasikan TCF dengan lebih dari selusin DPA Eropa — dalam beberapa kasus dalam beberapa pertemuan — tidak pernah muncul gagasan bahwa IAB Eropa adalah pengontrol atau TC String itu sendiri adalah pribadi data, yang keduanya merupakan posisi yang diambil APD dalam keputusannya baru-baru ini. Ini mengatakan, terkait dengan persetujuan, ada perdebatan yang hidup tentang bagaimana berbagai atribut persetujuan yang sah – “tidak ambigu”, “spesifik”, “diinformasikan” dan “diberikan secara cuma-cuma” – harus ditafsirkan. Saya akan senang untuk membahas ini lebih offline. Seperti yang saya pikir saya tunjukkan ketika kami berbicara, masih belum jelas apakah istilah “diberikan secara bebas” harus ditafsirkan sebagai pemberian hak umum dalam hukum untuk mengakses konten digital yang berharga tanpa biaya dan tanpa iklan.