62022CJ0604_RES
Zadeva C‑604/22
IAB Europe
proti
Gegevensbeschermingsautoriteit
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo hof van beroep te Brussel)
Sodba Sodišča (četrti senat) z dne 7. marca 2024
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Panožna normativna organizacija, ki svojim članom predlaga pravila o obdelavi privolitve uporabnikov – Člen 4, točka 1 – Pojem ‚osebni podatki‘ – Niz črk in znakov, ki na strukturiran in strojno berljiv način zajame preference spletnega uporabnika v zvezi s privolitvijo tega uporabnika v obdelavo njegovih osebnih podatkov – Člen 4, točka 7 – Pojem ‚upravljavec‘ – Člen 26(1) – Pojem ‚skupni upravljavci‘ – Organizacija, ki sama nima dostopa do osebnih podatkov, ki jih obdelujejo njeni člani – Odgovornost organizacije, ki se razteza na nadaljnje obdelave podatkov, ki jih izvajajo tretje osebe“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pojem osebnih podatkov – Niz črk in znakov, ki vsebuje preference spletnega uporabnika v zvezi z njegovo privolitvijo v obdelavo njegovih osebnih podatkov – Vključitev – Pogoj – Niz, ki omogoča identifikacijo posameznika, na katerega se nanašajo osebni podatki – Nezmožnost panožne organizacije, ki ima ta niz, da dostopa do podatkov, ki jih obdelujejo njeni člani, ali da navedeni niz združi z drugimi elementi – Nevplivanje
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 1)
(Glej točke od 41 do 51 in točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pojem skupnih upravljavcev – Panožna normativna organizacija, ki svojim članom predlaga pravila o obdelavi privolitve uporabnikov – Vključitev – Pogoj – Vpliv te organizacije na obdelavo zadevnih osebnih podatkov ter določitev namenov in sredstev take obdelave s strani te organizacije skupaj z njenimi člani – Organizacija, ki nima neposrednega dostopa do osebnih podatkov, ki jih obdelujejo njeni člani – Nevplivanje
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 7, in člen 26(1))
(Glej točke od 57 do 68 in 77 ter točko 2 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Skupna odgovornost za obdelavo – Panožna normativna organizacija, ki svojim članom predlaga pravila o obdelavi privolitve uporabnikov – Skupna odgovornost te organizacije, ki se samodejno razteza na nadaljnje obdelave podatkov, ki jih izvajajo tretje osebe – Neobstoj
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 7, in člen 26(1))
(Glej točke od 74 do 77 in točko 2 izreka.)
Povzetek
Sodišče, pri katerem je bil vložen predlog za sprejetje predhodne odločbe, je pojasnilo, prvič, pojem „osebni podatki“ (
1
) in, drugič, pogoje, pod katerimi je treba panožno organizacijo, če svojim članom predlaga okvir pravil glede privolitve v obdelavo osebnih podatkov, šteti za „skupnega upravljavca“ (
2
). Sodišče je določilo tudi meje skupne odgovornosti take organizacije.
IAB Europe je neprofitno združenje s sedežem v Belgiji, ki na evropski ravni zastopa podjetja v sektorju digitalnega oglaševanja in trženja.
Združenje IAB Europe je razvilo Transparency & Consent Framework (okvir za preglednost in privolitev, v nadaljevanju: TCF), okvir pravil za zagotavljanje skladnosti obdelave osebnih podatkov uporabnika spletnega mesta ali aplikacije, ki jo izvajajo nekateri gospodarski subjekti, s SUVP. Okvir TCF spodbuja spoštovanje SUVP, kadar ti gospodarski subjekti uporabijo protokol OpenRTB, ki se uporablja za Real Time Bidding, sistem takojšnje in avtomatizirane spletne dražbe uporabniških profilov za prodajo in nakup oglasnega prostora na spletu.
V tem okviru TCF olajšuje registracijo uporabniških preferenc, ki so nato kodirane in shranjene v nizu, sestavljenem iz kombinacije črk in znakov, ki ga združenje IAB Europe imenuje Transparency and Consent String (v nadaljevanju: TC String). Ta se deli s posredniki osebnih podatkov in oglaševalskimi platformami, vključenimi v protokol OpenRTB, da bi ti vedeli, s čim je uporabnik soglašal in s čim ne. Na uporabnikovo napravo se namesti tudi piškotek, ki ga je v kombinaciji z nizom TC String mogoče povezati z IP‑naslovom tega uporabnika.
Na podlagi več pritožb, vloženih zoper združenje IAB Europe, je odbor za reševanje sporov pri Gegevensbeschermingsautoriteit (organ za varstvo podatkov, Belgija) z odločbo z dne 2. februarja 2022 združenju IAB Europe, ki je upravljavec podatkov, naložil, naj obdelavo podatkov, ki se izvaja na podlagi okvira TCF, uskladi z določbami SUVP.
Združenje IAB Europe je zoper to odločbo vložilo tožbo pri hof van beroep te Brussel (višje sodišče v Bruslju, Belgija). Ker je višje sodišče v Bruslju dvomilo o tem, ali je niz TC String, ne glede na to, ali je kombiniran z IP-naslovom ali ne, osebni podatek, in če je tako, ali je treba združenje IAB Europe na podlagi okvira TCF, zlasti v zvezi z obdelavo niza TC String, šteti za upravljavca podatkov, je pri Sodišču vložilo predlog za sprejetje predhodne odločbe.
Presoja Sodišča
Na prvem mestu, Sodišče je navedlo, da niz, sestavljen iz kombinacije črk in znakov, kot je niz TC String, vsebuje preference spletnega uporabnika ali uporabnika aplikacije v zvezi s privolitvijo tega uporabnika v obdelavo njegovih osebnih podatkov s strani tretjih oseb ali v zvezi z njegovim morebitnim nasprotovanjem obdelavi takih podatkov na podlagi zatrjevanega zakonitega interesa (
3
).
V zvezi s tem je Sodišče odločilo, da če povezovanje niza TC String z IP-naslovom naprave uporabnika ali z drugimi identifikatorji omogoča identifikacijo tega uporabnika, niz TC String vsebuje informacije o določljivem uporabniku in je torej osebni podatek (
4
). Poleg tega okoliščina, da združenje IAB Europe samo ne bi moglo združiti niza TC String z IP‑naslovom naprave uporabnika in naj ne bi imelo možnosti neposrednega dostopa do podatkov, ki jih obdelujejo njegovi člani v okviru TCF, ni ovira za to, da se niz TC String opredeli kot „osebni podatek“ (
5
).
Prav tako morajo člani združenja IAB Europe temu združenju na njegovo zahtevo posredovati vse informacije, ki mu omogočajo identifikacijo uporabnikov, katerih podatki so predmet niza TC String. S pridržkom preverjanj, ki jih mora opraviti predložitveno sodišče, ima torej združenje IAB Europe na voljo razumna sredstva, ki mu omogočajo identifikacijo določene fizične osebe na podlagi niza TC String, in sicer z uporabo informacij, ki mu jih morajo zagotoviti njegovi člani in druge organizacije, ki sodelujejo v okviru TCF. (
6
)
Sodišče je tako presodilo, da je niz TC String osebni podatek v smislu člena 4, točka 1, SUVP. Ni pomembno, da taka panožna organizacija brez zunanjega prispevka, ki ga lahko zahteva, ne more niti dostopati do podatkov, ki jih njeni člani obdelujejo v okviru pravil, ki jih je določila, niti ne more združiti niza TC String z drugimi identifikatorji, kot je IP-naslov naprave uporabnika.
Na drugem mestu, Sodišče je preučilo, ali je mogoče združenje IAB Europe šteti za skupnega upravljavca (
7
). Za to je treba presoditi, ali to združenje vpliva na obdelavo osebnih podatkov, kot je niz TC String, zaradi svojih ciljev ter skupaj z drugimi določa namene in sredstva take obdelave.
Sodišče je najprej glede namenov take obdelave podatkov ugotovilo, da je namen okvira TCF, ki ga je vzpostavilo združenje IAB Europe, v bistvu spodbujati in omogočiti prodajo in nakup oglasnega prostora na spletu s strani nekaterih gospodarskih subjektov, ki sodelujejo na spletnih dražbah oglasnega prostora. Zato združenje IAB Europe, s pridržkom preverjanj, ki jih mora opraviti predložitveno sodišče, zaradi svojih ciljev vpliva na postopke obdelave osebnih podatkov in zato skupaj s svojimi člani določa namene teh postopkov.
Dalje, Sodišče je glede sredstev, uporabljenih za to obdelavo, ugotovilo – s pridržkom preverjanj, ki jih opravi predložitveno sodišče – da je TCF okvir pravil, za katera se šteje, da jih člani združenja IAB Europe sprejmejo, če se temu združenju pridružijo. Natančneje, če eden od njegovih članov ne ravna v skladu s temi pravili, lahko združenje IAB Europe sprejme odločitev o neskladnosti in prekinitvi, ki lahko privede do izključitve navedenega člana iz okvira TCF in do tega, da se mu prepreči, da bi se skliceval na jamstvo skladnosti s SUVP, ki ga zagotavlja okvir TCF za obdelavo podatkov, ki se izvaja z uporabo nizov TC Strings. Poleg tega okvir TCF, ki ga je vzpostavila družba IAB Europe, vsebuje tehnične specifikacije v zvezi z obdelavo niza TC String in natančna pravila o vsebini niza TC String, njegovem shranjevanju in souporabi. Poleg tega je Sodišče poudarilo, da združenje IAB Europe v okviru teh pravil predpisuje standardiziran način, na katerega se lahko različne stranke, vključene v okvir TCF, seznanijo s preferencami, ugovori in privolitvami uporabnikov, ki jih vsebujejo nizi TC Strings.
V teh okoliščinah in s pridržkom navedenih preverjanj je Sodišče presodilo, da panožna organizacija, kot je združenje IAB Europe, zaradi svojih ciljev vpliva na postopke obdelave osebnih podatkov in zato skupaj s svojimi člani določa sredstva, s katerimi se taki postopki izvedejo. Zato jo je treba šteti za „skupnega upravljavca“ (
8
).
Nazadnje, Sodišče je pojasnilo, da je treba razlikovati med, na eni strani, obdelavo osebnih podatkov, ki jo izvajajo člani združenja IAB Europe, kot so ponudniki spletnih mest ali aplikacij, posredniki podatkov ali oglaševalske platforme, ko so preference zadevnih uporabnikov glede privolitve zabeležene v nizu TC String v skladu s pravili okvira TCF, in na drugi strani, nadaljnjo obdelavo teh podatkov, ki jo ti gospodarski subjekti in tretje osebe izvajajo na podlagi teh preferenc, kot je posredovanje podatkov tretjim osebam ali ponujanje personaliziranega oglaševanja tem uporabnikom.
Zato je mogoče panožno organizacijo, kot je združenje IAB Europe, šteti za odgovorno za take nadaljnje obdelave le, če se dokaže, da je ta organizacija vplivala na določitev namenov in načinov teh postopkov obdelave, kar mora preveriti predložitveno sodišče.
(
1
)	V smislu člena 4, točka 1, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1) (v nadaljevanju: SUVP).
(
2
)	V smislu člena 26(1) SUVP.
(
3
)	Na podlagi člena 6(1)(f) SUVP.
(
4
)	V smislu člena 4, točka 1, SUVP.
(
5
)	V smislu člena 4, točka 1, SUVP.
(
6
)	Kot je navedeno v uvodni izjavi 26 SUVP.
(
7
)	V smislu člena 4, točka 7, in člena 26(1) SUVP.
(
8
)	V smislu člena 4, točka 7, in člena 26(1) SUVP.