Mida DPF tegelikult teeb

DPF on piisavusotsus, mille Euroopa Komisjon on teinud GDPR-i artikli 45 alusel. Piisavusotsus tähendab, et kolmas riik — antud juhul Ameerika Ühendriigid — tagab isikuandmete kaitse taseme, mis on sisuliselt samaväärne EL-i omaga, kuid ainult organisatsioonidele, kes liituvad konkreetse raamistikuga. DPF on see liitumismehhanism. USA ettevõtted sertifitseerivad end vabatahtlikult kaubandusministeeriumis, kohustuvad järgima privaatsuse põhimõtteid ning alluvad FTC või DOT jõustamisele nende kohustuste täitmisel.

EL-i kirjastaja jaoks on praktiline tulemus see, et isikuandmeid saab edastada DPF-sertifitseeritud USA müüjale ilma eraldi standardsete lepingutingimusteta (SCCs), konkreetsele müüjale kohandatud ülekandemõju hindamisteta või täiendavate meetmeteta, mis olid nõutavad pärast Schrems II otsust. DPF teeb rasket tööd õigusliku aluse kihis.

Kolm asja, mida DPF ei tee, ja milles kirjastajad pidevalt eksivad:

• See ei asenda nõusolekut. Mittevajaliku küpsise seadmine EL-i külastajale nõuab endiselt GDPR/ePrivacy-tasandi nõusolekut, olenemata sellest, kuhu andmed lõpuks jõuavad.
• See ei kata ülekandeid sertifitseerimata USA müüjatele. Kui teie SSP või analüüsiteenus ei ole aktiivsel DPF-nimekirjal, vajate endiselt SCCs-e ja TIA-d.
• See ei kata ülekandeid USA tütarettevõtetele, kes tegutsevad väljaspool sertifitseeritud ulatust. Paljud suured müüjad sertifitseerivad ainult konkreetsed äriharud.

Küpsiste nõusolek on endiselt esivärav

DPF lahendab teekonna ülekandmise osa. See ei tee midagi hetkel, mil küpsis maha pannakse, reklaamiidentifikaator loetakse või sündmus sildi juurde saadetakse. Seda hetke reguleerib ePrivacy direktiiv (artikkel 5(3)) ja GDPR (artiklid 6 ja 7). Mõlemad nõuavad eelnevat, informeeritud, spetsiifilist ja vabatahtlikult antud nõusolekut mis tahes mittestriktselt vajalikuks juurdepääsuks terminalseadme salvestusele.

Teisisõnu, isegi kui iga müüja teie süsteemis on DPF-sertifitseeritud, vajate endiselt nõusolekuhaldusplatvormi, mis:

• Blokeerib mittevajalikud küpsised ja sildid enne nõusoleku hankimist.
• Esitab selge valiku, kus kõike tagasilükkamise võimalus on võrdne kõike vastuvõtmisega (EDPB on selles alates 2022. aastast selgesõnaliselt väljendanud).
• Salvestab nõusolekusündmuse võltsimiskindla ajatempliga ja koopia teatisest, mida kasutaja tegelikult nägi.
• Edastab nõusolekuseisundi igale allavoolu tööriistale TCF v2.3, Google Consent Mode v2 või müüja-natiivsete API-de kaudu.

DPF asendab ülekande õigusliku aluse; CMP annab kogumise õigusliku aluse. Kumma poole vahelejätmine jätab teid haavatavaks.

Kuidas kontrollida müüja DPF-staatust

USA kaubandusministeerium haldab ametlikku DPF-nimekirja aadressil dataprivacyframework.gov. Enne kui tuginete müüja DPF-nõudele, kontrollige nende kirje puhul kolme asja.

Aktiivne sertifitseerimisstaatus

Sertifikaate tuleb igal aastal uuendada. Müüja, kelle staatus on Mitteaktiivne, Tagasi võetud või Aegunud, ei saa olla teie ülekandemehhanismiks, isegi kui nende turunduslehekülgedel kuvatakse endiselt DPF-märgist. Lisage kirje oma müüja inventarisse ja kontrollige kord kvartalis.

Kaetud üksused ja sidusettevõtted

Paljud valdusettevõtted sertifitseerivad mõned sidusettevõtted, kuid mitte teised. Teie DPA-s märgitud lepinguosaline peab vastama sertifitseeritud üksusele. Tavaline viga on allkirjastamine Acme Marketing UK Ltd-ga, kui DPF-sertifikaat kuulub Acme Inc.-le Delawareis — andmevoog väljub siis sertifitseeritud ulatusest.

Kaetud andmekategooriad

DPF lubab sertifitseerimisi, mis hõlmavad ainult personalitoimiku andmeid, ainult mitte-personalitoimiku andmeid või mõlemat. Mitte-personalitoimiku sertifikaat katab teie reklaami- ja analüüsiandmed; ainult personalitoimiku sertifikaat ei kata. Lugege kirjet hoolikalt.

Mida teha, kui müüja ei ole DPF-sertifitseeritud

Paljud kasulikud USA müüjad — eriti väiksemad reklaamitehnoloogia mängijad ja nišianalüüsi tööriistad — ei ole kunagi sertifitseerinud või on lasknud oma sertifikaadil aeguda. Nende puhul on DPF ebaoluline ja te pöördute tagasi eelse-2023 tööriistatiku juurde:

• Standardsed lepingutingimused (SCCs) — 2021. aasta 2. või 3. mooduli versioonid, allkirjastatud mõlema poole poolt ja lisatud DPA-sse.
• Ülekandemõju hindamine (TIA) — müüjaspetsiifiline USA järelevalveseaduse, ohustatud andmekategooriate ning neid ohtu maandavate tehniliste ja organisatsiooniliste meetmete analüüs.
• Täiendavad meetmed — krüpteerimine transiidil ja puhkeolekus, pseudonümiseerimine, lepingulised läbipaistvuskohustused ja dokumenteeritud reageerimisplaan USA valitsuse juurdepääsutaotlustele.

Pidage registrit, mis loetleb iga USA müüja teie süsteemis, iga kasutatava õigusliku aluse (DPF, SCCs, erand) ja viimase ülevaatuse kuupäeva. Regulaatorid ja audiitorid küsivad seda registrit; selle puudumine on iseenesest leid.

Schrems III risk ja kuidas tulevikukindlaks muuta

Privaatsuse eestkõneleja Max Schrems ja tema organisatsioon NOYB esitasid kaebuse DPF vastu varsti pärast selle vastuvõtmist, väites, et USA järelevalvereform täitevkorralduse EO 14086 alusel ei vasta endiselt EL-i põhiõiguste standarditele. CJEU suunamist oodatakse laialdaselt ning raamistikul on mitteebaoluline tõenäosus tühistamiseks — kolmas kahekümne aasta jooksul.

Kirjastajad, kes kohtlesid Privacy Shieldi 2020. aastal ainsa ülekandmehhanismina, pidid üleöö tormates reageerima, kui Schrems II selle tühistas. Sama tormates reageerimist on võimalik seekord vältida, käsitledes DPF-i esmase mehhanismina, millel on valmisolekus varumehhanism.

Hoidke SCCs-e igas DPA-s

Nõudke, et teie DPA-d sisaldaksid 2021. aasta SCCs-e varumeetmena, mis aktiveerub automaatselt, kui DPF-i piisavusotsus tunnistatakse kehtetuks või müüja sertifikaat aegub. See on nüüd standardne keel; kui müüja keeldub, on see hoiatusmärk.

Käivitage TIA igal juhul

DPF eemaldab TIA juriidilise nõude, kuid kerge TIA läbiviimine — eriti tundlike reklaamisignaalide või suurte EL-i populatsioonidega tegelevatele müüjatele — annab teile kaitstud dokumentatsiooni, kui raamistik kokku variseb. Kasutage kõikidel müüjatel sama malli, et kulusid madal hoida.

Lokaliseerige seal, kus arvutused toimivad

Mõne kasutusjuhu puhul — esimese osapoole analüütika, sisse logitud kasutajate käitumuslikud andmed või tundliku sisuga saidid — EL-i hostimisel ja EL-i kontrollimisel põhinevale müüjale üleminek kõrvaldab ülekandmisküsimuse täielikult. Kulutasuvuse arvestus kehtib ainult kõrge riski või suure mahuga voogude puhul, kuid see peaks olema kavas valikuna.

DPF ühendamine teie CMP-ga

Kaasaegne CMP ei täida DPF-i vahetult — GPP-s ega TCF-väljal ei ole märget "see ülekanne on DPF-kaetud". Mida CMP peab tegema, on koguda nõusolekut iga müüja jaoks viisil, mis toetab dokumentatsiooni, mida regulaator lõpuks küsib.

Müüjapõhine täpsus

Kõigi USA reklaamitehnoloogia müüjate koondamine üheks "Turunduse" lülitiks ei ole enam kaitstav. TCF v2.3 müüjanimekirja, mida enamik sertifitseeritud CMP-sid sünkroonib, pakub müüjapõhiseid eesmärke ja õiguslikke aluseid. Kasutage seda. Kui regulaator küsib "millisel alusel voolas isikuandmed müüja X juurde kuupäeval Y", peaksite suutma osutada TCF-stringile, DPF-sertifitseerimise kirjele ja DPA-le.

Peegeldage privaatsusteadet reklaamribal

Teie privaatsusteates loetletud saajate nimekiri peab täpselt vastama pärast nõusolekut laaditud müüjate nimekirjale. Mittevastavused on lihtsaim jõustamise sihtmärk — Hispaania AEPD ja Prantsuse CNIL on mõlemad 2024. aastal trahvinud kirjastajaid, kelle müüjanimekirjades puudusid aktiivsed partnerid.

Logige müüja seisund nõusoleku ajal

Talletage iga nõusolekusündmuse jaoks hetktõmmis sellest, millised müüjad olid TCF GVL-il, millised olid DPF-sertifitseeritud ja millisele õiguslikule alusele kumbki tugines. See on auditijälg, mis muudab stressirohke regulaatorikirja rutiinseks vastuseks. FlexyConsent ja teised Google'i sertifitseeritud CMP-d pakuvad seda logimist out-of-the-box; paljud vanemad bännerid ei paku.

Praktiline migratsioonimärkmeloend

Kui liigute olemasolevalt saidilt eelse-DPF või osalise DPF-seadistusega puhta 2026. aasta seadistusele, töötage selle nimekirja läbi:

• Inventeerige iga USA müüja oma sildihalduris, reklaamipinus ja serveripoolses konteineris.
• Võrrelge iga müüjat aktiivse DPF-nimekirjaga. Kategoriseerige DPF-kaetud, SCCs-kaetud või vajalik tegevus.
• Uuendage DPA-sid, et lisada 2021. aasta SCCs-e automaatse varuna.
• Käivitage TIA kõrge riski müüjatele, olenemata DPF-staatusest.
• Kinnitage, et teie CMP pakub müüjapõhist nõusoleku UI-d ja toetab TCF v2.3.
• Kontrollige, et Google Consent Mode v2 on edastatud GA4-le, Ads'ile ja kõikidele signaalikao tööriistadele.
• Seadke kalendrisse kvartaline ülevaatus sertifikaatide, GVL-i liikmesuse ja DPA versioonide uuesti kontrollimiseks.
• Tutvustage juriidilisele meeskonnale ja reklaamioperatsioonidele koos, mis muutub, kui DPF kehtetuks tunnistatakse, et reageerimisplaan ei oleks surve all leiutatud.

Levinud väärarusaamad

Kirjastaja auditites korduvad mõned vead ja vajavad selget parandamist.

"DPF-sertifitseerimine tähendab, et me ei vaja nõusolekut." Ei. DPF on ülekandemehhanism. Nõusolek on kogumise nõue. Need asuvad erinevatel õiguslikel kihtidel.

"Meie CDN on USA-põhine, seega DPF katab selle." Ainult siis, kui CDN ise on DPF-sertifitseeritud asjakohaste andmekategooriate jaoks. Paljud infrastruktuuri pakkujad pakuvad EL-i piirkondi, mis väldivad küsimuse täielikult.

"Müüja X ütleb, et nad on DPF-valmis." Turundusjutt. Kontrollige ametlikku nimekirja, sertifitseeritud üksuse nime ja andmekategooriaid.

"DPF asendab küpsiste bänneri." Ei. ePrivacy direktiivi eelnõusoleku reegel on sõltumatu GDPR-i ülekande reeglitest. Mõlemad kehtivad.

Kokkuvõte

DPF muudab 2026. aasta Atlandi-ülese reklaamitehnoloogia operatiivselt lihtsamaks kui 2021. aasta oli, kuid see ei vabasta kirjastajaid küpsiste nõusolekust, müüja hoolsusest ega ülekande dokumentatsioonist. Käsitlege DPF-i ühe kehtiva ülekandmehhanismina mitme seast, hoidke SCCs-e lepingulise varuna, käivitage CMP, mis logib müüjapõhist nõusolekut hallatud müüja inventari suhtes, ja eeldage, et raamistiku õiguslik stabiilsus on tingimuslik. Kirjastajad, kes ehitavad selle vastupidavuse nüüd, ei pea üleöö ümber kujundama, kui Schrems III otsus langeb sarnaselt eelmise kahega. Need, kes kohtlevad DPF-i püsiva vastusena, seadsid end üles sama tormetamise jaoks, mis järgnes Privacy Shieldi tühistamisele — ainult seekord on regulaatorid vähem kannatlikud ja trahvid suuremad.