62022CJ0604_RES
Sag C-604/22
IAB Europe
mod
Gegevensbeschermingsautoriteit
(anmodning om præjudiciel afgørelse indgivet af hof van beroep te Brussel)
Domstolens dom (Fjerde Afdeling) af 7. marts 2024
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – regelgivende brancheorganisation, der for sine medlemmer opstiller bestemmelser for behandling af brugernes samtykke – artikel 4, nr. 1) – begrebet »personoplysninger« – bogstavs- og tegnrække, som på en struktureret og maskinlæsbar måde fanger en internetbrugers præferencer i forbindelse med behandlingen af dennes personoplysninger – artikel 4, nr. 7) – begrebet »dataansvarlig« – artikel 26, stk. 1 – begrebet »fælles dataansvarlige« – organisation, der ikke selv har adgang til de personoplysninger, som behandles af dens medlemmer – organisationens ansvar omfatter også tredjemands efterfølgende behandlinger af oplysninger«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – begrebet personoplysninger – bogstavs- og tegnrække, der fanger en internetbrugers præferencer vedrørende den pågældendes samtykke til behandling af sine personoplysninger – omfattet – betingelse – kæde, der gør det muligt at identificere den registrerede – umuligt for en brancheorganisation, der er indehaver af denne bogstavs- og tegnrække, at få adgang til de oplysninger, som dens medlemmer behandler, eller at kombinere den pågældende række med andre identifikatorer – ingen betydning
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 1)]
(jf. præmis 41-51 og domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – begrebet fælles dataansvarlige – regelgivende brancheorganisation, der for sine medlemmer opstiller bestemmelser for behandling af brugernes samtykke – omfattet – betingelse – denne organisations indflydelse på behandlingen af de omhandlede personoplysninger og organisations fastlæggelse, sammen med sine medlemmer, af formålene med og hjælpemidlerne til en sådan behandling – organisation, der ikke selv har direkte adgang til de personoplysninger, som behandles af dens medlemmer – ingen betydning
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 7), og art. 26, stk. 1]
(jf. præmis 57-68 og 77 samt domskonkl. 2)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – fælles dataansvar – regelgivende brancheorganisation, der for sine medlemmer opstiller bestemmelser for behandling af brugernes samtykke – organisationens fælles ansvar omfatter automatisk tredjemands efterfølgende behandlinger af oplysninger – foreligger ikke
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 7), og art. 26, stk. 1]
(jf. præmis 74-77 og domskonkl. 2)
Resumé
I forbindelse med en præjudiciel forelæggelse præciserede Domstolen dels begrebet »personoplysninger« (
1
), dels de betingelser, hvorunder en brancheorganisation, for så vidt som den tilbyder sine medlemmer en ramme for samtykke til behandling af personoplysninger, skal anses for at være »fælles dataansvarlig« (
2
). Domstolen afgrænsede ligeledes en sådan organisations fælles ansvar.
IAB Europe er en almennyttig forening med hjemsted i Belgien, der på europæisk plan repræsenterer virksomheder i sektoren for digital reklame og markedsføring.
IAB Europe har udarbejdet Transparency & Consent Framework (ramme for gennemsigtighed og samtykke, herefter »TCF«), der er en ramme, som gør det muligt at sikre, at den behandling af personoplysninger om en bruger af et websted eller en applikation, der foretages af visse operatører, er i overensstemmelse med databeskyttelsesforordningen. TCF fremmer overholdelsen af databeskyttelsesforordningen, når disse operatører anvender OpenRTB-protokollen, der anvendes til Real Time bidding, som er en auktionsordning til øjeblikkelig og automatiseret online-salg af brugerprofiler med henblik på salg og køb af reklameplads på internettet.
I denne forbindelse gør TCF det lettere at registrere brugerpræferencer, der derefter kodes og lagres i en bogstavs- og tegnrække, som IAB Europe har betegnet Transparency and Consent String (herefter »TC String«). Sidstnævnte deles med de persondatamæglere og reklameplatforme, der deltager i OpenRTB-protokollen, således at sidstnævnte får kendskab til, hvad brugeren har givet samtykke til eller modsat sig. En cookie er ligeledes placeret på brugerens apparat, og denne cookie, sammen med TC String, kan forbindes med den pågældende brugers IP-adresse.
Efter flere klager over IAB Europe pålagde Gegevensbeschermingsautoriteit (databeskyttelsesmyndigheden, Belgien) ved afgørelse af 2. februar 2022 IAB Europe i egenskab af dataansvarlig at bringe den databehandling, der foretages inden for rammerne af TCF, i overensstemmelse med databeskyttelsesforordningens bestemmelser.
IAB Europe anlagde sag til prøvelse af denne afgørelse ved hof van beroep te Brussel (appeldomstolen i Bruxelles, Belgien). Da hof van beroep te Brussel (appeldomstolen i Bruxelles) var i tvivl om, hvorvidt en TC String udgør en personoplysning, uanset om den kombineres med en IP-adresse eller ej, og i bekræftende fald, om IAB Europe skal anses for ansvarlig for behandling af personoplysninger inden for rammerne af TCF, navnlig med hensyn til behandlingen af en TC String, forelagde den Domstolen en anmodning om præjudiciel afgørelse.
Domstolens bemærkninger
For det første bemærkede Domstolen, at en bogstavs- og tegnrække, såsom TC String, indeholder en internet- eller applikationsbrugers præferencer vedrørende den pågældendes samtykke til, at tredjeparter behandler personoplysninger om vedkommende eller vedrørende dennes eventuelle indsigelse mod en behandling af sådanne oplysninger, der er baseret på en påstået legitim interesse (
3
).
Domstolen fastslog i denne henseende, at for så vidt som en kombination af en TC String og en brugers apparats IP-adresse, eller andre identifikatorer, gør det muligt at identificere den berørte bruger, indeholder en TC String oplysninger om en identificerbar bruger og udgør således en personoplysning (
4
). Den omstændighed, at IAB Europe ikke selv kan kombinere en TC String med IP-adressen på en brugers apparat og ikke har mulighed for at få direkte adgang til de oplysninger, som dets medlemmer behandler inden for rammerne af TCF, er ikke til hinder for, at en TC String kan kvalificeres som »personoplysning« (
5
).
IAB Europes medlemmer er i øvrigt forpligtet til efter anmodning at meddele IAB Europe alle de oplysninger, der gør det muligt for selskabet at identificere de brugere, hvis oplysninger fremgår af en TC String. Med forbehold for den efterprøvelse, som det tilkommer den forelæggende ret at foretage i denne henseende, fremgår det således, at IAB Europe råder over rimelige midler til at identificere en bestemt fysisk person ud fra en TC String ved hjælp af de oplysninger, som IAB Europes medlemmer og andre organisationer, der deltager i TCF, er forpligtede til at meddele IAB Europe (
6
).
Domstolen fastslog derfor, at en TC String udgør en personoplysning som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1). Det er uden betydning, at en sådan brancheorganisation uden et eksternt bidrag, som den har ret til at kræve, hverken kan få adgang til de oplysninger, som dens medlemmer behandler i henhold til de regler, som organisationen har fastsat, eller kombinere TC String med andre identifikatorer, såsom IP-adressen på en brugers udstyr.
Domstolen undersøgte for det andet, om IAB Europe kan anses for at være en fælles dataansvarlig (
7
). Det skal i denne henseende undersøges, om IAB Europe til egne formål øver indflydelse på behandlingen af personoplysninger, såsom TC String, og i fællesskab med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages en sådan behandling.
Hvad indledningsvis angår formålene med en sådan behandling af personoplysninger bemærkede Domstolen, at TCF, der er oprettet af IAB Europe, i det væsentlige har til formål at fremme og muliggøre visse operatørers salg og køb af reklamepladser på internettet. Med forbehold af den efterprøvelse, som det påhviler den forelæggende ret at foretage, kan det derfor lægges til grund, at IAB Europe til egne formål påvirker behandlinger af personoplysninger og derfor sammen med sine medlemmer fastlægger formålene med sådanne aktiviteter.
Hvad dernæst angår de midler, der anvendes til en sådan behandling, konstaterede Domstolen – med forbehold af den efterprøvelse, som det tilkommer den forelæggende ret at foretage – at TCF udgør en regelramme, som medlemmerne af IAB Europe skal acceptere for at blive medlem af denne forening. IAB Europe kan navnlig, hvis et af dens medlemmer ikke overholder disse regler, over for dette medlem vedtage en afgørelse om manglende overensstemmelse og suspension, som kan føre til udelukkelse af det nævnte medlem af TCF og dermed forhindre det berørte medlem i at påberåbe sig den garanti for overensstemmelse med databeskyttelsesforordningen, som TCF skal give i forbindelse med den behandling af personoplysninger, som foretages ved hjælp af TC String. Desuden indeholder TCF, der er oprettet af IAB Europe, tekniske specifikationer vedrørende behandlingen af TC String og præcise regler for så vidt angår indholdet af TC String og opbevaringen heraf. Domstolen fremhævede endvidere, at IAB Europe inden for rammerne af disse regler foreskriver den standardiserede måde, hvorpå de forskellige parter, der er involveret i TCF, kan konsultere præferencerne, indsigelserne og samtykket fra de brugere, der fremgår af TC String.
Under disse omstændigheder og med forbehold af de nævnte efterprøvelser fastslog Domstolen, at en brancheorganisation såsom IAB Europe til egne formål påvirker behandlinger af personoplysninger og derfor sammen med sine medlemmer fastlægger de midler, der ligger til grund for sådanne aktiviteter. IAB Europe skal derfor anses for at være »fælles dataansvarlig« (
8
).
Endelig præciserede Domstolen, at der skal sondres mellem på den ene side den behandling af personoplysninger, der foretages af IAB Europes medlemmer, dvs. udbydere af internetsider eller ‑applikationer og datamæglere eller reklameplatforme, når de berørte brugeres samtykkepræferencer registreres i en TC String i henhold til de regler, der er fastsat i TCF, og på den anden side den efterfølgende behandling af personoplysninger, der foretages af disse operatører og af tredjemænd på grundlag af de nævnte præferencer, såsom f.eks. videregivelse af oplysningerne til tredjemand eller personlige reklametilbud til disse brugere.
En brancheorganisation som IAB Europe kan således kun anses for at være ansvarlig for sådanne efterfølgende behandlinger, når det er godtgjort, at den pågældende organisation har haft indflydelse på fastlæggelsen af de forskrifter, hvori det detaljeret fastsættes, hvorledes oplysninger skal lagres og distribueres, hvilket det påhviler den forelæggende ret at efterprøve.
(
1
) – Som omhandlet i artikel 4, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – Som omhandlet i databeskyttelsesforordningens artikel 26, stk. 1.
(
3
) – Som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra f).
(
4
) – Som omhandlet i databeskyttelsesforordningens artikel 4, stk. 1.
(
5
) – Som omhandlet i databeskyttelsesforordningens artikel 4, stk. 1.
(
6
) – I overensstemmelse med det i 26. betragtning til databeskyttelsesforordningen anførte.
(
7
) – Som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), og artikel 26, stk. 1.
(
8
) – Som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), og artikel 26, stk. 1.