A Corte de Justiça da União Europeia (CJUE) proferiu uma decisão importante sobre o tratamento de dados pessoais em relação ao Transparency & Consent Framework (TCF), um conjunto de normas elaborado pela IAB Europe para o setor de publicidade e marketing digital. A questão central era se as informações coletadas por meio do TCF, especificamente a "Transparency and Consent String" (TC String), que registra as preferências de consentimento dos usuários da internet, poderiam ser consideradas dados pessoais sob o Regulamento Geral de Proteção de Dados (GDPR) da UE.

A Corte concluiu que a TC String, quando pode ser associada a um identificador como o endereço IP do usuário, constitui um dado pessoal conforme o artigo 4(1) do GDPR. Isso significa que essas strings, que codificam o consentimento dos usuários para o tratamento de seus dados pessoais por terceiros, incluindo fornecedores de sites, corretores de dados e plataformas de publicidade, devem ser tratadas com as mesmas precauções que outros dados pessoais sob o GDPR.

Além disso, a Corte analisou a responsabilidade da IAB Europe como "controladora de dados" no contexto do TCF. Foi estabelecido que a IAB Europe, ao definir normas técnicas e regulamentares detalhadas sobre como os dados de consentimento devem ser armazenados e divulgados, atua conjuntamente com seus membros na determinação das finalidades e dos meios de tratamento desses dados. Portanto, a IAB Europe pode ser considerada uma "controladora conjunta" dos dados processados dentro do quadro do TCF.

Importante ressaltar, a responsabilidade da IAB Europe como controladora conjunta não se estende automaticamente ao tratamento subsequente de dados pessoais realizado por terceiros, como a exibição de publicidade direcionada online. Isso significa que a IAB Europe compartilha a responsabilidade pelo consentimento inicial e pelo tratamento de preferências dos usuários, mas não necessariamente por ações subsequentes tomadas com base nesse consentimento.

Essa decisão esclarece aspectos significativos da aplicação do GDPR no contexto do marketing digital e da publicidade programática, destacando a necessidade de conformidade estrita com as normas de proteção de dados, especialmente no que diz respeito ao consentimento dos usuários e à transparência no tratamento de seus dados pessoais.