62022CJ0604_RES
Věc C‑604/22
IAB Europe
v.
Gegevensbeschermingsautoriteit
(žádost o rozhodnutí o předběžné otázce, kterou podal hof van beroep te Brussel)
Rozsudek Soudního dvora (čtvrtého senátu) ze dne 7. března 2024
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Oborová organizace, která vytváří standardy a nabízí svým členům pravidla týkající se zpracování souhlasu uživatelů – Článek 4 bod 1 – Pojem ‚osobní údaje‘ – Řetězec písmen a znaků zachycující strukturovaným a strojově čitelným způsobem preference uživatele internetu týkající se souhlasu tohoto uživatele se zpracováním jeho osobních údajů – Článek 4 bod 7 – Pojem ‚správce‘ – Článek 26 odst. 1 – Pojem ‚společní správci‘ – Organizace, která sama nemá přístup k osobním údajům zpracovávaným jejími členy – Odpovědnost organizace, která se vztahuje na další zpracování údajů třetími osobami“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pojem „osobní údaje“ – Řetězec písmen a znaků, který obsahuje preference uživatele internetu týkající se souhlasu tohoto uživatele se zpracováním jeho osobních údajů – Zahrnutí – Podmínka – Řetězec umožňující identifikovat subjekt údajů – Nemožnost oborové organizace, která je držitelkou tohoto řetězce, získat přístup k údajům, které jsou zpracovávány jejími členy, nebo kombinovat uvedený řetězec s jinými prvky – Neexistence vlivu
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 1)
(viz body 41–51, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pojem „společní správci“ – Oborová organizace, která vytváří standardy a nabízí svým členům pravidla týkající se zpracování souhlasu uživatelů – Zahrnutí – Podmínka – Vliv této organizace na dotyčné zpracování osobních údajů, jakož i určení účelů a prostředků takového zpracování, které určuje tato organizace společně se svými členy – Organizace, která nemá přímý přístup k osobním údajům zpracovávaným jejími členy – Neexistence vlivu
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 7 a čl. 26 odst. 1)
(viz body 57–68, 77, výrok 2)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Společná odpovědnost za zpracování – Oborová organizace, která vytváří standardy a nabízí svým členům pravidla týkající se zpracování souhlasu uživatelů – Společná odpovědnost této organizace, která se automaticky vztahuje na další zpracování údajů třetími osobami – Neexistence
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 7 a čl. 26 odst. 1)
(viz body 74–77, výrok 2)
Shrnutí
Soudní dvůr, kterému byla předložena žádost o rozhodnutí o předběžné otázce, upřesnil jednak pojem „osobní údaje“ (
1
), a jednak podmínky, za kterých musí být oborová organizace v rozsahu, v němž svým členům nabízí rámec pravidel týkajících se souhlasu se zpracováním osobních údajů, kvalifikována jako „společný správce“ (
2
). Soudní dvůr stanovil také meze společné odpovědnosti takové organizace.
IAB Europe je neziskové sdružení se sídlem v Belgii, které zastupuje podniky v průmyslovém odvětví digitální reklamy a marketingu na evropské úrovni.
IAB Europe vypracovalo Transparency & Consent Framework (rámec pro transparentnost a souhlas, dále jen „TCF“), rámec pravidel, který má zajistit soulad zpracování osobních údajů uživatele internetových stránek nebo aplikace prováděného některými subjekty s GDPR. TCF podporuje dodržování GDPR, pokud tito provozovatelé používají protokol OpenRTB, používaný pro Real Time Bidding, systém okamžité a automatizované on-line aukce profilů uživatelů pro účely prodeje a nákupu reklamního prostoru na internetu.
V tomto kontextu TCF usnadňuje zaznamenávání preferencí uživatelů, které jsou následně kódovány a uloženy do řetězce složeného z kombinace písmen a znaků označovaného IAB Europe názvem Transparency and Consent String (dále jen „TC String“). TC String je sdílen se zprostředkovateli osobních údajů a reklamními platformami účastnícími se protokolu OpenRTB, aby se dozvěděli, s čím uživatel souhlasil nebo proti čemu vznesl námitku. Do zařízení uživatele se umisťuje také cookie, které lze v kombinaci s TC String spojit s IP adresou tohoto uživatele.
V návaznosti na několik stížností podaných proti IAB Europe nařídilo oddělení pro spornou agendu Gegevensbeschermingsautoriteit (Úřad pro ochranu osobních údajů, Belgie) svým rozhodnutím ze dne 2. února 2022 IAB Europe, správci osobních údajů, aby uvedlo zpracování osobních údajů prováděné v rámci TCF do souladu s ustanoveními GDPR.
IAB Europe podalo proti tomuto rozhodnutí žalobu k hof van beroep te Brussel (odvolací soud v Bruselu, Belgie). Vzhledem k tomu, že odvolací soud v Bruselu měl pochybnosti týkající se otázky, zda TC String, ať už v kombinaci s IP adresou, či nikoli, představuje osobní údaj, a popřípadě, zda IAB Europe musí být kvalifikováno jako správce osobních údajů v rámci TCF, zejména s ohledem na zpracování TC String, předložil tento soud Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.
Závěry Soudního dvora
Zaprvé Soudní dvůr uvedl, že takový řetězec složený z kombinace písmen a znaků, jako je TC String, obsahuje preference uživatele internetu nebo aplikace ohledně souhlasu tohoto uživatele se zpracováním osobních údajů, které se ho týkají, třetími osobami, nebo ohledně jeho případné námitky proti zpracování takových údajů na základě tvrzeného oprávněného zájmu (
3
).
V tomto ohledu měl Soudní dvůr za to, že vzhledem k tomu, že spojení TC String s IP adresou zařízení uživatele nebo jinými identifikátory umožňuje identifikaci tohoto uživatele, obsahuje TC String informace o identifikovatelném uživateli, a představuje tedy osobní údaj (
4
). Mimoto okolnost, že IAB Europe nemůže samo kombinovat TC String s IP adresou zařízení uživatele a nemá možnost přímého přístupu k údajům zpracovávaným jeho členy v rámci TCF, nebrání tomu, aby byl TC String kvalifikován jako „osobní údaj“ (
5
).
Ostatně členové IAB Europe jsou povinni sdělit tomuto sdružení na jeho žádost všechny informace, které mu umožní identifikovat uživatele, jejichž údaje jsou předmětem TC String. S výhradou ověření, která musí v tomto ohledu provést předkládající soud, je tedy patrné, že IAB Europe disponuje přiměřenými prostředky, které mu umožní identifikovat konkrétní fyzickou osobu na základě TC String díky informacím, které jsou jeho členové a další organizace, které se účastní TCF, povinni mu poskytnout (
6
).
Soudní dvůr tak dospěl k závěru, že TC String představuje osobní údaj ve smyslu čl. 4 bodu 1 GDPR. Není relevantní, že taková oborová organizace nemůže mít bez externího příspěvku, který je oprávněna požadovat, ani přístup k údajům, které jsou předmětem zpracování jejími členy v rámci pravidel, která stanovila, ani kombinovat TC String s jinými identifikátory, jako je zejména IP adresa zařízení uživatele.
Zadruhé Soudní dvůr zkoumal, zda IAB Europe může být považováno za společného správce (
7
). Za tímto účelem bylo třeba posoudit, zda vykonává pro své vlastní účely vliv na zpracování osobních údajů, jako je TC String, a společně s dalšími určuje účely a prostředky takového zpracování.
Pokud jde především o účel takového zpracování údajů, poznamenal Soudní dvůr, že cílem TCF vypracovaného IAB Europe je v podstatě podporovat a umožnit prodej a nákup reklamních ploch na internetu některými subjekty účastnícími se on-line aukcí reklamních ploch. S výhradou ověření, která musí provést předkládající soud, vykonává tedy IAB Europe pro vlastní účely vliv na operace zpracování osobních údajů a z tohoto důvodu určuje společně se svými členy účely takových operací.
Dále, pokud jde o prostředky použité pro účely tohoto zpracování, Soudní dvůr konstatoval, že s výhradou ověření, která přísluší provést předkládajícímu soudu, TCF představuje rámec pravidel, která mají členové IAB Europe přijmout, aby přistoupili k tomuto sdružení. Konkrétně, pokud některý z jejích členů nedodržuje tato pravidla, může IAB Europe přijmout rozhodnutí o porušení pravidel a pozastavení členství, které může vést k vyloučení uvedeného člena z TCF, a zabránit mu tedy v tom, aby se odvolával na záruku souladu s GDPR, kterou poskytuje TCF pro zpracování údajů prováděné prostřednictvím TC Strings. Mimoto TCF vypracovaný IAB Europe obsahuje technické specifikace týkající se zpracování TC String, jakož i přesná pravidla týkající se obsahu TC String, jeho uchovávání a sdílení. Soudní dvůr navíc zdůraznil, že IAB Europe v rámci těchto pravidel předepisuje standardizovaný způsob, jakým mohou jednotlivé strany zapojené do TCF konzultovat preference, námitky a souhlasy uživatelů obsažené v TC Strings.
Za těchto podmínek a s výhradou uvedených ověření, dospěl Soudní dvůr k závěru, že taková oborová organizace, jako je IAB Europe, vykonává pro své vlastní účely vliv na operace zpracování osobních údajů, a proto určuje společně se svými členy prostředky, které jsou základem takových operací. Musí být tudíž považována za „společného správce“ (
8
).
Nakonec Soudní dvůr uvedl, že se rozlišuje jednak mezi zpracováním osobních údajů prováděným členy IAB Europe, jako jsou poskytovatelé internetových stránek nebo aplikací, zprostředkovatelé údajů nebo také reklamní platformy při zaznamenávání preferencí dotyčných uživatelů ohledně jejich souhlasu do TC String podle pravidel stanovených v TCF, a jednak mezi dalším zpracováním těchto údajů prováděným těmito subjekty, jakož i třetími osobami na základě těchto preferencí, jako je přenos údajů třetím osobám nebo nabídka personalizované reklamy těmto uživatelům.
Takovou oborovou organizaci, jako je IAB Europe, lze tedy považovat za odpovědnou za taková další zpracování pouze tehdy, je-li prokázáno, že vykonávala vliv na určení účelů a podmínek těchto zpracování, což přísluší ověřit předkládajícímu soudu.
(
1
) – Ve smyslu čl. 4 bodu 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) (dále jen „GDPR“).
(
2
) – Ve smyslu čl. 26 odst. 1 GDPR.
(
3
) – Podle čl. 6 odst. 1 písm. f) GDPR.
(
4
) – Ve smyslu čl. 4 bodu 1 GDPR.
(
5
) – Ve smyslu čl. 4 bodu 1 GDPR.
(
6
) – V souladu s tím, co uvádí bod 26 odůvodnění GDPR.
(
7
) – Ve smyslu čl. 4 bodu 7 a čl. 26 odst. 1 GDPR.
(
8
) – Ve smyslu čl. 4 bodu 7 a čl. 26 odst. 1 GDPR.