62022CJ0604_RES
Zaak C‑604/22
IAB Europe
tegen
Gegevensbeschermingsautoriteit,
(verzoek om een prejudiciële beslissing, ingediend door het hof van beroep Brussel)
Arrest van het Hof (Vierde kamer) van 7 maart 2024
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Normerende sectororganisatie die haar leden een standaard voor de verwerking van de toestemming van gebruikers aanbiedt – Artikel 4, punt 1 – Begrip ‚persoonsgegevens’ – Letter- en tekenreeks die de voorkeuren van een internetgebruiker met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens op een gestructureerde en machine-leesbare manier registreert – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Artikel 26, lid 1 – Begrip ‚gezamenlijke verwerkingsverantwoordelijken’ – Organisatie die zelf geen toegang heeft tot de persoonsgegevens die door haar leden worden verwerkt – Verantwoordelijkheid van de organisatie die zich uitstrekt tot latere gegevensverwerkingen door derden”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „persoonsgegevens” – Letter- en tekenreeks die de voorkeuren van een internetgebruiker met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens bevat – Daaronder begrepen – Voorwaarde – Letter- en tekenreeks aan de hand waarvan de betrokkene kan worden geïdentificeerd – Geen toegang van een sectororganisatie die deze letter- en tekenreeks in handen heeft, tot de gegevens die door haar leden worden verwerkt, en geen mogelijkheid om die letter- en tekenreeks te combineren met andere gegevens – Geen invloed
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 1)
(zie punten 41‑51, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „gezamenlijke verwerkingsverantwoordelijken” – Normerende sectororganisatie die haar leden een standaard voor de verwerking van de toestemming van gebruikers aanbiedt – Daaronder begrepen – Voorwaarde – Invloed die deze organisatie uitoefent op de betreffende verwerking van persoonsgegevens, en vaststelling door deze organisatie, samen met haar leden, van het doel van en de middelen voor die verwerking – Organisatie die geen directe toegang heeft tot de persoonsgegevens die door haar leden worden verwerkt – Geen invloed
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7, en art. 26, lid 1)
(zie punten 57‑68, 77, dictum 2)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Gezamenlijke verwerkingsverantwoordelijken – Normerende sectororganisatie die haar leden een standaard voor de verwerking van de toestemming van gebruikers aanbiedt – Gezamenlijke verantwoordelijkheid van deze organisatie die zich automatisch uitstrekt tot latere gegevensverwerkingen door derden – Geen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7, en art. 26, lid 1)
(zie punten 74‑77, dictum 2)
Samenvatting
Het Hof, dat is verzocht om een prejudiciële beslissing, geeft een nadere omschrijving van het begrip „persoonsgegevens” (
1
) en verduidelijkt onder welke voorwaarden een sectororganisatie die haar leden een standaard met betrekking tot de toestemming voor de verwerking van persoonsgegevens aanbiedt, als een „gezamenlijke verwerkingsverantwoordelijke” (
2
) moet worden aangemerkt. Het legt ook de grenzen van de gezamenlijke verantwoordelijkheid van die organisatie vast.
IAB Europe is een in België gevestigde vereniging zonder winstoogmerk die ondernemingen in de sector van digitale reclame en marketing vertegenwoordigt op Europees niveau.
IAB Europe heeft het Transparency & Consent Framework (raamwerk voor transparantie en toestemming; hierna: „TCF”) ontwikkeld, een standaard die ertoe strekt te waarborgen dat de AVG wordt nageleefd wanneer bepaalde ondernemingen de persoonsgegevens van gebruikers van een internetsite of applicatie verwerken. Het TCF bevordert de naleving van de AVG wanneer die ondernemingen gebruikmaken van het OpenRTB-protocol, dat wordt gehanteerd voor Real Time Bidding, een systeem voor de ogenblikkelijke geautomatiseerde online veiling van gebruikersprofielen voor het verkopen en aankopen van advertentieruimte op het internet.
In dit verband zorgt het TCF ervoor dat de voorkeuren van de gebruikers gemakkelijker kunnen worden geregistreerd. Vervolgens worden deze gecodeerd en opgeslagen in een letter- en tekenreeks die IAB Europe de Transparency and Consent String (hierna: „TC-string”) noemt. Deze TC-string wordt gedeeld met makelaars in persoonsgegevens en reclameplatformen die deelnemen aan het OpenRTB-protocol, opdat deze weten waarvoor de gebruiker al dan niet toestemming heeft verleend. Er wordt ook een cookie op het apparaat van de gebruiker geplaatst, die in combinatie met de TC-string aan het IP-adres van de gebruiker kan worden gekoppeld.
Naar aanleiding van verschillende klachten tegen IAB Europe heeft de geschillenkamer van de Gegegevensbeschermingsautoriteit (België) bij beslissing van 2 februari 2022 IAB Europe als verwerkingsverantwoordelijke gelast om de verwerking van gegevens in het kader van het TCF in overeenstemming te brengen met de AVG.
IAB Europe heeft tegen die beslissing hoger beroep ingesteld bij het hof van beroep Brussel (België). Het hof van beroep Brussel twijfelt of een TC-string, al dan niet in combinatie met een IP-adres, een persoonsgegeven is en, zo ja, of IAB Europe ten aanzien van de verwerking van persoonsgegevens binnen het TCF – in het bijzonder ten aanzien van de verwerking van de TC-string – als verwerkingsverantwoordelijke moet worden aangemerkt, en heeft daarom het Hof verzocht om een prejudiciële beslissing.
Beoordeling door het Hof
In de eerste plaats merkt het Hof op dat een letter- en tekenreeks als de TC-string de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking door derden van zijn persoonsgegevens of met betrekking tot het bezwaar dat hij eventueel heeft gemaakt tegen de verwerking van zijn persoonsgegevens voor een vermeend gerechtvaardigd belang (
3
).
In dit verband is het Hof van oordeel dat de TC-string informatie over een identificeerbare gebruiker bevat en dus een persoonsgegeven (
4
) is, omdat een gebruiker kan worden geïdentificeerd door de TC-string te koppelen aan het IP-adres van het apparaat van de gebruiker of aan andere identificatoren. Daarnaast staat het feit dat IAB Europe niet zelf de TC-string aan het IP-adres van het apparaat van een gebruiker kan koppelen en niet rechtstreeks toegang kan krijgen tot de gegevens die in het kader van het TCF door haar leden worden verwerkt, er niet aan in de weg dat een TC-string als een „persoonsgegeven” (
5
) wordt aangemerkt.
Overigens zijn de leden van IAB Europe verplicht om deze organisatie op haar verzoek alle informatie te verstrekken waarmee zij gebruikers kan identificeren van wie de gegevens zijn opgeslagen in een TC-string. Onder voorbehoud van de verificaties die de verwijzende rechter dient te verrichten, lijkt IAB Europe dus – dankzij de informatie die haar leden en andere aan het TCF deelnemende organisaties haar moeten verstrekken – over redelijke middelen (
6
) te beschikken om een bepaalde natuurlijke persoon te identificeren aan de hand van een TC-string.
Het Hof komt dan ook tot de slotsom dat een TC-string een persoonsgegeven in de zin van artikel 4, punt 1, AVG vormt. Het is van weinig belang dat een dergelijke sectororganisatie zonder externe medewerking, die zij kan eisen, geen toegang heeft tot de gegevens die haar leden binnen de door haar opgestelde standaard verwerken, noch de TC-string kan koppelen aan andere identificatoren zoals het IP-adres van het apparaat van een gebruiker.
In de tweede plaats onderzoekt het Hof of IAB Europe kan worden aangemerkt als een gezamenlijke verwerkingsverantwoordelijke (
7
). Daartoe moet worden beoordeeld of zij voor eigen doeleinden invloed uitoefent op de verwerking van persoonsgegevens zoals de TC-string en samen met anderen het doel van en de middelen voor die verwerking vaststelt.
Wat om te beginnen het doel van die gegevensverwerking betreft, merkt het Hof op dat het door IAB Europe opgestelde TCF er in wezen op gericht is de verkoop en aankoop van advertentieruimte op het internet door ondernemingen die deelnemen aan de online veiling van advertentieruimte te bevorderen en mogelijk te maken. Onder voorbehoud van de verificaties die de verwijzende rechter dient te verrichten, oefent IAB Europe dan ook voor eigen doeleinden invloed uit op de verwerkingen van persoonsgegevens en stelt zij aldus samen met haar leden het doel van die verwerkingen vast.
Wat vervolgens de middelen betreft die voor deze gegevensverwerking worden gebruikt, stelt het Hof – onder voorbehoud van de verificaties van de verwijzende rechter – vast dat het TCF een standaard is die de leden van IAB Europe worden geacht te aanvaarden als zij zich bij deze vereniging willen aansluiten. Met name kan IAB Europe ten aanzien van een van haar leden dat deze regels niet naleeft, een besluit tot schorsing wegens niet-conformiteit nemen dat ertoe kan leiden dat het betrokken lid wordt uitgesloten van het TCF en zich voor zijn gegevensverwerkingen door middel van TC-strings niet kan beroepen op de AVG-conformiteitswaarborg van het TCF. Daarnaast bevat het door IAB Europe opgestelde TCF technische specificaties voor de verwerking van de TC-string en precieze regels over de inhoud, de opslag en het delen ervan. Bovendien onderstreept het Hof dat IAB Europe in deze regels voorschrijft op welke gestandaardiseerde wijze de verschillende bij het TCF betrokken partijen de in de TC-strings opgeslagen voorkeuren, bezwaren en toestemmingen van gebruikers kunnen raadplegen.
Derhalve komt het Hof onder voorbehoud van voornoemde verificaties tot de slotsom dat een sectororganisatie als IAB Europe voor eigen doeleinden invloed uitoefent op de verwerkingen van persoonsgegevens en aldus samen met haar leden de middelen voor die verwerkingen vaststelt. Zij dient dan ook te worden aangemerkt als een „gezamenlijke verwerkingsverantwoordelijke” (
8
).
Tot slot verduidelijkt het Hof dat er een onderscheid wordt gemaakt tussen enerzijds de verwerking van persoonsgegevens door de leden van IAB Europe, zoals aanbieders van internetsites of applicaties en gegevensmakelaars of reclameplatforms, bij de opslag van de toestemmingsvoorkeuren van de betrokken gebruikers in een TC-string volgens de in het TCF vastgestelde regels, en anderzijds de gegevensverwerking die deze ondernemingen en derden later op basis van die voorkeuren verrichten, bijvoorbeeld door de gegevens door te zenden aan derden of door die gebruikers gepersonaliseerde reclame te aan te bieden.
Een sectororganisatie als IAB Europe kan dan ook slechts worden geacht verantwoordelijk te zijn voor dergelijke latere verwerkingen indien vaststaat dat zij invloed heeft uitgeoefend op de vaststelling van het doel van die verwerkingen en van de wijze waarop deze worden verricht, wat de verwijzende rechter dient na te gaan.
(
1
)	In de zin van artikel 4, punt 1, van verordening 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
(
2
)	In de zin van artikel 26, lid 1, AVG.
(
3
)	In de zin van artikel 6, lid 1, onder f), AVG.
(
4
)	In de zin van artikel 4, punt 1, AVG.
(
5
)	In de zin van artikel 4, punt 1, AVG.
(
6
)	Zoals bedoeld in overweging 26 van de AVG.
(
7
)	In de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG.
(
8
)	In de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG.