Euroopa Kohtu (neljas koda) 7. märtsi 2024. aasta otsus (Hof van beroep te Brusseli eelotsusetaotlus – Belgia) – IAB Europe versus Gegevensbeschermingsautoriteit

(kohtuasi C-604/22 (1) , IAB Europe)

(Eelotsusetaotlus - Füüsiliste isikute kaitse isikuandmete töötlemisel - Määrus (EL) 2016/679 - Normatiivne valdkondlik organisatsioon, kes pakub oma liikmetele reegleid kasutajate nõusoleku töötlemise kohta - Artikli 4 punkt 1 - Mõiste „isikuandmed“ - Tähtede ja märkide jada, mis salvestab struktureeritult ja masinloetaval viisil internetikasutaja eelistused seoses tema nõusolekuga tema isikuandmete töötlemiseks - Artikli 4 punkt 7 - Mõiste „vastutav töötleja“ - Artikli 26 lõige 1 - Mõiste „kaasvastutavad töötlejad“ - Organisatsioon, kellel endal puudub juurdepääs oma liikmete töödeldud isikuandmetele - Organisatsiooni vastutus, mis laieneb andmete edasisele töötlemisele kolmandate isikute poolt)

(C/2024/2907)

Kohtumenetluse keel: hollandi

Eelotsusetaotluse esitanud kohus

Hof van beroep te Brussel

Põhikohtuasja pooled

Apellant: IAB Europe

Vastustaja apellatsioonimenetluses: Gegevensbeschermingsautoriteit

Teised menetlusosalised: Jef Ausloos, Pierre Dewitte, Johnny Ryan, Fundacja Panoptykon, Stichting Bits of Freedom, Ligue des Droits Humains VZW

Resolutsioon

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 4 punkti 1

tuleb tõlgendada nii, et

selline tähtede ja märkide kombinatsioonist koosnev jada nagu TC-string (Transparency and Consent String) – mis sisaldab interneti või rakenduse kasutaja eelistusi seoses selle kasutaja nõusolekuga teda puudutavate isikuandmete töötlemiseks veebisaitide või rakenduste pakkujate ning selliste andmete maaklerite ja reklaamiplatvormide poolt – kujutab endast isikuandmeid selle sätte tähenduses osas, milles see jada võimaldab tuvastada andmesubjekti, kui jada saab mõistlike vahenditega seostada identifikaatoriga, nagu eelkõige kõnealuse kasutaja seadme IP-aadress. Neil asjaoludel ei välista asjaolu, et seda jada omav valdkondlik organisatsioon ei saa ilma välise abita pääseda juurde andmetele, mida tema liikmed töötlevad tema kehtestatud reeglite alusel, ega kombineerida seda jada teiste elementidega, seda, et sama jada kujutab endast isikuandmeid selle sätte tähenduses.

Määruse 2016/679 artikli 4 punkti 7 ja artikli 26 lõiget 1

tuleb tõlgendada nii, et

—

esiteks, valdkondlik organisatsioon tuleb osas, milles ta on kehtestanud oma liikmetele reeglistiku, mille ta on koostanud isikuandmete töötlemiseks nõusoleku andmise kohta ja mis ei sisalda mitte ainult siduvaid tehnilisi reegleid, vaid ka reegleid, milles täpsustatakse üksikasjalikult selle nõusolekuga seotud isikuandmete säilitamise ja levitamise korda, kvalifitseerida „kaasvastutavaks töötlejaks“ nende sätete tähenduses, kui juhtumi eriomaseid asjaolusid arvestades mõjutab see valdkondlik organisatsioon enda huvides asjaomast isikuandmete töötlemist ning määrab seetõttu koos oma liikmetega kindlaks sellise töötlemise eesmärgid ja vahendid. Asjaolu, et sellisel valdkondlikul organisatsioonil endal ei ole otsejuurdepääsu tema liikmete poolt nende reeglite raames töödeldavatele isikuandmetele, ei välista seda, et ta võib olla kaasvastutav töötleja nimetatud sätete tähenduses;

—	teiseks ei laiene selle valdkondliku organisatsiooni kaasvastutus automaatselt isikuandmete edasisele töötlemisele kolmandate isikute, näiteks veebisaitide või rakenduste pakkujate poolt seoses kasutajate eelistustega suunatud internetireklaami suhtes.

(1) ELT C 482, 19.12.2022.