比利时数据保护局裁定IAB Europe的TCF同意框架违反GDPR Cookies合规标准案

【案件背景】
2022年2月，比利时数据保护局（APD）作出了一项对整个数字广告行业产生深远影响的裁决：IAB Europe（互动广告局欧洲分会）运营的透明与同意框架（TCF）——该框架被超过80%的欧洲网站使用以管理Cookie同意——违反了GDPR的多项规定。TCF是一个行业标准框架，用于在网站、广告商和用户之间传递Cookie同意信号。

【违法事实】
APD认定TCF框架存在以下系统性违规：一是TCF收集和处理的'TC字符串'（TC String，编码了用户的Cookie偏好）本身即构成个人数据，因为它可以关联到特定的用户设备和浏览行为——IAB Europe是该数据的（联合）控制者，应承担相应的GDPR义务；二是TCF框架未能确保用户给予的Cookie同意满足GDPR的有效性标准——框架中用户的同意选择被捆绑打包，未提供逐目的（per-purpose）的精细选择；三是TCF的处理活动缺乏合法的法律基础——IAB Europe声称的'合法利益'（legitimate interest）作为某些Cookie处理的法律基础在APD看来不成立，特别是对于RTB（实时竞价）中涉及大量参与方的数据处理；四是对透明度义务和信息安全的保障不足。

【处罚决定】
APD于2022年2月对IAB Europe处以25万欧元罚款，更重要地，要求其在6个月内提交一项修复TCF框架使其符合GDPR要求的行动计划，包括删除在违规期间收集的所有TC字符串等个人数据。该判决对全球程序化广告行业产生了地震式影响。

【典型意义】
一是首次确认Cookie同意管理平台的行业标准本身可能违反GDPR——TCF框架的问题不在于个别网站的执行，而在于框架架构本身的设计缺陷；二是'TC字符串'被认定为个人数据大大扩张了Cookie生态中各参与方的数据控制者责任；三是RTB（实时竞价）中'合法利益'作为Cookie处理法律基础的论证受到质疑——数百家广告商同时接收用户数据的情况难以满足'合法利益'的平衡测试。