62022CJ0604_RES
Byla C‑604/22
IAB Europe
prieš
Gegevensbeschermingsautoriteit
(hof van beroep te Brussel pateiktas prašymas priimti prejudicinį sprendimą)
2024 m. kovo 7 d. Teisingumo Teismo (ketvirtoji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – Standartus rengianti sektoriaus organizacija, siūlanti savo nariams nuostatas dėl naudotojų sutikimo tvarkymo – 4 straipsnio 1 punktas – Sąvoka „asmens duomenys“– Raidžių ir ženklų seka, kuria struktūrizuotu ir kompiuterio skaitomu būdu užfiksuojamos interneto naudotojo preferencijos, susijusios su šio naudotojo sutikimu dėl jo asmens duomenų tvarkymo – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – 26 straipsnio 1 dalis – Sąvoka „bendri duomenų valdytojai“ – Organizacija, pati neturinti prieigos prie jos narių tvarkomų asmens duomenų – Organizacijos atsakomybė, apimanti tolesnį trečiųjų šalių vykdomą duomenų tvarkymą“
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų sąvoka – Raidžių ir ženklų seka, kuria užfiksuotos interneto naudotojo preferencijos, susijusios su jo sutikimu dėl jo asmens duomenų tvarkymo – Įtraukimas – Sąlyga – Seka, padedanti nustatyti duomenų subjekto tapatybę – Standartus rengiančios sektoriaus organizacijos, kuriai priklauso ši seka, negalėjimas prieiti prie jos narių tvarkomų duomenų ar šios sekos sieti su kitais elementais – Poveikio nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 1 punktas)
(žr. 41–51 punktus, rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Bendrų duomenų valdytojų sąvoka – Standartus rengianti sektoriaus organizacija, siūlanti savo nariams nuostatas dėl naudotojų sutikimo tvarkymo – Įtraukimas – Sąlyga – Šios organizacijos įtaka duomenų subjekto asmens duomenų tvarkymui ir jos kartu su nariais nustatomi tokio tvarkymo tikslai ir priemonės – Organizacija, tiesiogiai neturinti prieigos prie jos narių tvarkomų asmens duomenų – Poveikio nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 punktas ir 26 straipsnio 1 dalis)
(žr. 57–68, 77 punktus, rezoliucinės dalies 2 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Bendras duomenų valdymas – Standartus rengianti sektoriaus organizacija, siūlanti savo nariams nuostatas dėl naudotojų sutikimo tvarkymo – Bendra šios organizacijos atsakomybė, automatiškai apimanti tolesnį trečiųjų šalių vykdomą duomenų tvarkymą – Nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 punktas ir 26 straipsnio 1 dalis)
(žr. 74–77 punktus, rezoliucinės dalies 2 punktą)
Santrauka
Atsakydamas į prašymą priimti prejudcinį sprendimą, Teisingumo Teismas detaliau paaiškino, pirma, sąvoką „asmens duomenys“ (
1
) ir, antra, sąlygas, kurioms esant sektoriaus organizacija, kiek ji savo nariams siūlo standartą, susijusį su sutikimu dėl asmens duomenų tvarkymo, turi būti kvalifikuojama kaip „bendra duomenų valdytoja“ (
2
). Teisingumo Teismas taip pat nustatė tokios organizacijos bendros atsakomybės ribas.
IAB Europe yra Belgijoje įsteigta ne pelno asociacija, kuri Europos lygmeniu atstovauja skaitmeninės reklamos ir rinkodaros pramonės sektoriaus įmonėms.
IAB Europe parengė Transparency & Consent Framework (Skaidrumo ir sutikimų tvarkymo sistema, toliau – TCF); tai yra standartas, kuriuo siekiama užtikrinti, kad interneto ar taikomosios programos naudotojo asmens duomenų tvarkymas, kurį vykdo kai kurie operatoriai, atitiktų BDAR. TCF padeda laikytis BDAR, kai šie operatoriai naudoja protokolą „OpenRTB“, skirtą Real Time Bidding (tikruoju laiku vykstančių ir automatizuotų internetinių naudotojų profilių aukcionų sistema, skirta reklamos internetu vietoms parduoti ir pirkti).
Taigi, atsižvelgiant į tai, TCF padeda lengviau fiksuoti naudotojų preferencijas, kurios vėliau koduojamos ir saugomos kaip raidžių ir ženklų seka, kurią IAB Europe įvardijo kaip Transparency and Consent String (toliau – TC String). Šia seka dalijamasi su „OpenRTB“ protokolą naudojančiais asmens duomenų brokeriais ir reklamos platformomis tam, kad šie žinotų, kam naudotojas pritarė ar prieštaravo. Be to, naudotojo įrenginyje išsaugomas slapukas, kuris, derinant su TC String, gali būti susietas su šio naudotojo IP adresu.
Gavusi kelis prieš IAB Europe nukreiptus skundus, Gegevensbeschermingsautoriteit (Duomenų apsaugos institucija, Belgija) Ginčų nagrinėjimo kolegija 2022 m. vasario 2 d. sprendimu nurodė IAB Europe, kaip duomenų valdytojai, imtis veiksmų, kad asmens duomenų tvarkymas pagal TCF atitiktų BDAR nuostatas.
IAB Europe apskundė šį sprendimą hof van beroep te Brussel (Briuselio apeliacinis teismas, Belgija). Suabejojęs dėl to, ar TC String, siejama arba nesiejama su IP adresu, yra asmens duomenys ir, jei taip, ar IAB
Europe turi būti laikoma asmens duomenų valdytoja TCF kontekste, atsižvelgiat būtent į TC String tvarkymą, Briuselio apeliacinis teismas kreipėsi į Teisingumo Teismą su prašymu priimti prejudicinį sprendimą.
Teisingumo Teismo vertinimas
Visų pirma, Teisingumo Teismas pažymėjo, kad iš raidžių ir ženklų sudaryta seka, kaip antai TC String, užfiksuotos interneto ar taikomosios programos naudotojo preferencijos, susijusios su jo sutikimu, kad tretieji asmenys tvarkytų su juo susijusius asmens duomenis, arba susijusios su jo galimu prieštaravimu dėl tokių duomenų tvarkymo, grindžiamo tariamu teisėtu interesu (
3
).
Šiuo aspektu Teisingumo Teismas nurodė: kadangi TC String susiejant su naudotojo įrenginio IP adresu ar kitais identifikatoriais galima nustatyti šio naudotojo tapatybę, TC String užfiksuota informacija apie naudotoją, kurio tapatybė gali būti nustatyta, yra asmens duomenys (
4
). Be to, tai, kad IAB Europe pati negali TC String susieti su naudotojo įrenginio IP adresu ir neturi galimybės tiesiogiai susipažinti su jos narių pagal TCF tvarkomais duomenimis, netrukdo TC String laikyti „asmens duomenimis“ (
5
).
Beje, IAB Europe nariai jos prašymu privalo jai pateikti visą informaciją, leidžiančią identifikuoti naudotojus, kurių duomenys fiksuojami TC String. Taigi atrodo – su sąlyga, kad tai patikrins prašymą priimti prejudicinį sprendimą pateikęs teismas, – kad IAB Europe turi pagrįstų priemonių, kad galėtų nustatyti konkretaus fizinio asmens tapatybę iš TC String, dėl informacijos, kurią jai turi pateikti jos nariai ir kitos TCF taikančios organizacijos (
6
).
Taigi Teisingumo Teismas padarė išvadą, kad TC String yra asmens duomenys, kaip jie suprantami pagal BDAR 4 straipsnio 1 punktą. Neturi reikšmės tai, kad be išorinio indėlio, kurio ji turi teisę reikalauti, tokia sektoriaus organizacija negali nei susipažinti su duomenimis, kuriuos jos nariai tvarko pagal jos nustatytas taisykles, nei sieti TC String su kitais identifikatoriais, kaip antai naudotojo įrenginio IP adresu.
Antra, Teisingumo Teismas nagrinėjo, ar IAB Europe gali būti laikoma bendra duomenų valdytoja (
7
). Tam reikėjo įvertinti, ar ji dėl savo reikmių daro poveikį asmens duomenų, kaip antai TC String, tvarkymui ir drauge su kitais nustato tokio tvarkymo tikslus ir priemones.
Dėl tokio tvarkymo tikslų Teisingumo Teismas pažymėjo, kad IAB Europe sukurta TCF iš esmės siekiama padėti, kad tam tikriems operatoriams, dalyvaujantiems internetiniuose aukcionuose parduodant reklamos vietas, būtų lengviau jas parduoti ir pirkti. Vadinasi_– su sąlyga, kad tai patikrins prašymą priimti prejudicinį sprendimą pateikęs teismas, – IAB Europe dėl savo reikmių daro poveikį asmens duomenų tvarkymo operacijoms ir dėl to kartu su savo nariais nustato tokių operacijų tikslus.
Toliau dėl šiam tvarkymui naudojamų priemonių Teisingumo Teismas konstatavo: su sąlyga, kad tai patikrins prašymą priimti prejudicinį sprendimą pateikęs teismas, TCF yra standartas, kuriam IAB Europe turi pritarti, kad galėtų įstoti į šią asociaciją. Konkrečiai kalbant, jei vienas iš jos narių nesilaiko TCF standarto, IAB Europe šio nario atžvilgiu gali priimti sprendimą dėl neatitikties ir sustabdymo, dėl kurio minėtas narys gali būti pašalintas iš TCF ir jam gali būti užkirstas kelias remtis atitikties BDAR garantija, kurią suteikia TCF, kai asmens duomenys tvarkomi naudojant TC Strings. Be to, IAB Europe parengtame TFC pateikiamos techninės TC String apdorojimo specifikacijos ir konkrečios taisyklės dėl TC String turinio, saugojimo ir dalijimosi ja. Teisingumo Teismas taip pat pabrėžė, kad IAB Europe, priimdama šias taisykles, nustato, be kita ko, standartizuotą būdą, kaip įvairios TCF pritarusios šalys gali susipažinti su TC Strings esančiais naudotojų pageidavimais, prieštaravimais ir sutikimais.
Šiomis aplinkybėmis – su sąlyga, kad tai bus patikrinta, – Teisingumo Teismas padarė išvadą, kad sektoriaus organizacija, kaip antai IAB Europe, dėl savo reikmių daro poveikį pagrindinėje byloje nagrinėjamoms asmens duomenų tvarkymo operacijoms ir dėl to kartu su savo nariais nustato tokių operacijų atlikimo priemones. Vadinasi, ji turi būti laikoma „bendra duomenų valdytoja“ (
8
).
Galiausiai, Teisingumo Teismas patikslino, kad reikia atskirti, pirma, IAB Europe narių, t. y. interneto svetainių ar taikomųjų programų teikėjų, duomenų brokerių ar reklamos platformų, vykdomą asmens duomenų tvarkymą, TC String užfiksuojant atitinkamų naudotojų preferencijas sutikimo srityje pagal TCF įtvirtintą standartą, ir, antra, vėlesnį asmens duomenų tvarkymą, kurį atlieka šie operatoriai ir trečiosios šalys remdamosi šiomis preferencijomis, pavyzdžiui, perduodant šiuos duomenis trečiosioms šalims arba siūlant šiems naudotojams individualizuotą reklamą.
Vadinasi, sektoriaus organizacija, kaip antai IAB Europe, gali būti laikoma atsakinga už tokį vėlesnį tvarkymą, tik jei nustatyta, kad ji darė įtaką nustatant tokio tvarkymo tikslus ir tvarką, o tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas.
(
1
)	Kaip jie suprantami pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR), 4 straipsnio 1 punktą.
(
2
)	Kaip ji suprantama pagal BDAR 26 straipsnio 1 dalį.
(
3
)	Kaip jis suprantamas pagal BDAR 6 straipsnio 1 dalies f punktą.
(
4
)	Kaip jie suprantami pagal BDAR 4 straipsnio 1 punktą.
(
5
)	Kaip jie suprantami pagal BDAR 4 straipsnio 1 punktą.
(
6
)	Kaip numatyta BDAR 26 konstatuojamojoje dalyje.
(
7
)	Kaip ji suprantama pagal BDAR 4 straipsnio 7 punktą ir 26 straipsnio 1 dalį.
(
8
)	Kaip ji suprantama pagal BDAR 4 straipsnio 7 punktą ir 26 straipsnio 1 dalį.