← Zpět na blog Tracking

IAB TCF 2.2: Proč průmyslový rámec souhlasu stále selhává v oblasti GDPR

· 6 min čtení
TCF 2.2 IAB Europe Consent Management GDPR Article 7 Vendor Auditing

Rámec, který měl zachránit behaviorální reklamu

Když belgický úřad pro ochranu osobních údajů (APD) v únoru 2022 rozhodl, že rámec pro transparentnost a souhlas (TCF) organizace IAB Europe porušuje GDPR v několika ohledech, odvětví se snažilo co nejrychleji vydat verzi TCF 2.2. Aktualizovaná specifikace přišla v květnu 2023 s přísnější formulací ohledně oprávněných zájmů, odstraněním určitých účelů zpracování z tohoto právního základu a přejmenovanou architekturou signálů „volby uživatele“. Podrobná technická a právní analýza však odhaluje, že TCF 2.2 nevyřešila zásadní rozpory mezi tím, jak rámec funguje, a tím, co ve skutečnosti vyžadují články 5, 6 a 7 GDPR. Pro pověřence pro ochranu osobních údajů a pracovníky zajišťující dodržování předpisů, kteří se spoléhají na certifikovaný CMP jako na ochranu před porušením předpisů, představuje tato mezera přímou odpovědnost organizace.

Řetězec souhlasu není souhlas

Jádrem mechanismu TCF je euconsent-v2 cookie – binární řetězec kódovaný v base64 uložený v doméně .consensu.org doméně a šířený prostřednictvím __tcfapi JavaScript API. Tento řetězec kóduje volby uživatele napříč dodavateli a účely pomocí komprese bitových polí. Rozhodnutí APD z roku 2022 identifikovalo IAB Europe jako společného správce tohoto řetězce právě proto, že tato organizace nastavuje schéma kódování a distribuuje knihovny pro dekódování. TCF 2.2 se pokusilo tento problém řešit revizí role IAB Europe, ale architektura řetězce souhlasu zůstává nezměněna.

Hlubší problém je epistemologický: řetězec zaznamenává signál, nikoli ověřený akt souhlasu. Podle článku 7 GDPR a pokynů EDPB 05/2020 o souhlasu musí správce být schopen prokázat, že souhlas byl udělen svobodně, konkrétně, informovaně a jednoznačně. Bit převedený do 1 v řetězci TC nesplňuje samostatně žádné z těchto kritérií. Řetězec nezachycuje, s jakým prvkem uživatelského rozhraní uživatel interagoval, zda byla vrstva souhlasu předem zaškrtnuta, jak dlouho byl banner zobrazen předtím, než uživatel reagoval, nebo zda bylo tlačítko „přijmout vše“ nepřiměřeně prominentní – to vše jsou faktory relevantní pro analýzu temných vzorců podle pokynů EDPB 3/2022 o temných vzorcích.

Audit seznamu dodavatelů: strukturální mezera v odpovědnosti

Globální seznam dodavatelů (GVL) v současné době obsahuje několik set registrovaných dodavatelů. Registrace vyžaduje, aby dodavatelé sami deklarovali účely zpracování, doby uchovávání údajů a právní základy. IAB Europe neprovádí nezávislý technický audit chování dodavatelů ve vztahu k těmto prohlášením. Nejedná se o drobnou procedurální mezeru – jde o strukturální selhání s přímými důsledky pro GDPR.

Podle čl. 5 odst. 2 GDPR vyžaduje zásada odpovědnosti, aby správci byli schopni prokázat soulad s předpisy. Vydavatel, který se při správě souhlasů třetích stran spoléhá na TCF, je ve skutečnosti správcem zpracování osobních údajů, které tito dodavatelé na svých stránkách spouštějí. Pokud dodavatel registrovaný v GVL prohlásí, že zpracovává údaje pouze pro „základní reklamy“ (účel 2), ale jeho JavaScriptový payload také identifikuje uživatelského agenta a nastavuje identifikátory napříč doménami, vydavatel tím umožnil nezákonné zpracování – a nemůže se vyhnout odpovědnosti poukazem na vlastní prohlášení dodavatele.

Technicky lze toto ověřit. Nástroje, jako je analýza souborů HAR prohlížeče, protokolování dotazů DNS-over-HTTPS a zprávy o porušení zásad zabezpečení obsahu (CSP), mohou zachytit odchozí požadavky prováděné značkami dodavatelů. Robustní pracovní postup auditu dodavatelů by měl:

  • Nasadit tag každého dodavatele GVL v izolovaném profilu prohlížeče se známým řetězcem TC, který povoluje pouze konkrétní účely, a poté zachytit všechny síťové požadavky pomocí proxy (např. mitmproxy) za účelem detekce volání mimo rozsah.
  • Zkontrolovat Set-Cookie hlavičky odpovědí a document.cookie zápisy podle informací o úložišti deklarovaných dodavatelem v GVL.
  • Sledovat DNS dotazy na známé domény zprostředkovatelů dat, které nejsou uvedeny v záznamu dodavatele v GVL, pomocí lokálního DNS resolveru s protokolováním.
  • Porovnejte deklarovanou dobu uchovávání dat dodavatelem se skutečnými hodnotami vypršení platnosti souborů cookie v Max-Age nebo Expires .

Tento druh technické due diligence není volitelný – je to minimum vyžadované článkem 28 GDPR pro zpracovatele a zásadou odpovědnosti pro každého správce, který se spoléhá na signály třetích stran.

Oprávněné zájmy a problém účelu 2

Hlavní změnou v TCF 2.2 bylo omezení používání oprávněných zájmů (LI) jako právního základu. Konkrétně se účely 3 až 6 (personalizace reklam, vytváření profilů, personalizace obsahu a měření) již nemohou opírat o LI – pouze o souhlas. Účel 2 (základní reklamy) si zachovává způsobilost LI, což z něj učinilo magnet pro zneužití. Vydavatelé a SSP mají motivaci kategorizovat zpracování pod Účel 2, aby se vyhnuli spuštění požadavků na souhlas, i když skutečné zpracování – zejména toky dat z aukcí v reálném čase – jde daleko za kontextovou reklamu.

Z hlediska právního základu podle čl. 6 odst. 1 písm. f) GDPR musí posouzení oprávněných zájmů (LIA) pro účel 2 stále splňovat test vyváženosti a zohledňovat přiměřená očekávání subjektů údajů. Odůvodnění Soudního dvora EU ve věci C-252/21 (Meta/Bundeskartellamt) potvrdilo, že behaviorální profilování nelze „vyprat“ prostřednictvím oprávněných zájmů pouhým připojením kontextově znějícího označení. Řetězec TC neposkytuje žádný mechanismus k vynucení kvality nebo platnosti LIA vydavatele – pouze zaznamenává, že LI bylo deklarovaným základem.

Integrita signálu a šíření dále

I za předpokladu, že je zachycen platný signál souhlasu, představuje šíření řetězce TC programatickým dodavatelským řetězcem rizika pro integritu. V typickém nastavení header bidding je řetězec TC předáván jako parametr URL v nabídkových požadavcích OpenRTB – často jako &gdpr;_consent= přípona k aukčnímu koncovému bodu. Řetězec není kryptograficky podepsán, není k němu připojen časový údaj, který by jej vázal ke konkrétnímu zobrazení stránky, a neexistuje žádný mechanismus, který by zabránil následnému kupujícímu v uložení a opětovném přehrání řetězce pro budoucí zpracování mimo původní rozsah souhlasu.

API __tcfapi API sice poskytuje listenerId mechanismus a eventStatus pole (tcloaded, cmpuishown, useractioncomplete), který umožňuje prodejcům rozlišovat mezi signály načtení stránky a aktivními volbami uživatele. Dodržování tohoto rozlišení je však dobrovolné a není kontrolováno. Prodejce, který obdrží řetězec TC v rámci volání mezi servery, nemá žádný spolehlivý způsob, jak zjistit, zda byl vygenerován událostí useractioncomplete události, nebo zda byl pouze uložen v mezipaměti z předchozí relace.

Praktická doporučení pro pověřence pro ochranu osobních údajů (DPO) a technické týmy

  1. Nepovažujte certifikaci CMP za certifikát shody. Certifikovaný CMP potvrzuje, že uživatelské rozhraní splňuje technickou specifikaci IAB – necertifikuje však, že vaše implementace, výběr dodavatele nebo dokumentace LIA splňují požadavky GDPR.
  2. Provádějte čtvrtletně vlastní technické audity dodavatelů pomocí výše popsané metodiky založené na proxy. Zaznamenejte zjištění a odpovědi dodavatelů jako součást záznamu o odpovědnosti podle čl. 5 odst. 2.
  3. Smluvně vyžadujte od dodavatelů GVL, aby na požádání poskytli aktualizované LIA a DPIA. Standardní smlouvy o zpracování podle článku 28 jsou nedostatečné, pokud je dodavatel zároveň správcem – v případě potřeby použijte smlouvy o společném správci podle článku 26.
  4. Nastavte svůj CMP tak, aby zaznamenával eventStatus hodnotu vedle každého uloženého řetězce TC. Tím se vytvoří auditovatelný záznam, který rozlišuje pasivní načtení od skutečných akcí uživatelů.
  5. Prověřujte využití účelu 2 u vašich aktivních dodavatelů. Od každého dodavatele, který používá LI pro účel 2 při účasti v RTB, by mělo být vyžadováno předložení zdokumentované LIA – a tato LIA by měla být zkontrolována vaším právním týmem, nikoli přijata na základě důvěry.
  6. Zvažte vynucování souhlasu na straně serveru, místo toho, abyste se spoléhali výhradně na šíření řetězců TC na straně klienta. Vrstva pro vynucování souhlasu ve vaší CDN nebo na serveru pro správu tagů může blokovat spouštění tagů dodavatele, pokud neexistuje ověřený signál souhlasu vázaný na relaci.

Iluze souladu

TCF 2.2 je sofistikovaný koordinační mechanismus pro odvětví programatické reklamy. Ve své současné podobě však není spolehlivým nástrojem pro dodržování GDPR. Mezery mezi správně zobrazeným bannerem s žádostí o souhlas a prokazatelně zákonným zpracováním u stovek dodavatelů v následném řetězci představují místo, kde vzniká riziko porušení předpisů. Pověřenci pro ochranu osobních údajů, kteří považují nasazení CMP za konec pracovního postupu pro dodržování souhlasu – namísto začátku programu průběžné odpovědnosti dodavatelů – přijímají odpovědnost, kterou možná nedokážou kvantifikovat.

Tento článek byl vytvořen s pomocí umělé inteligence a redakčně zkontrolován. Právní otázky by vždy měly být konzultovány s kvalifikovaným odborníkem na ochranu dat.

Související články