Predmet C-604/22

IAB Europe

protiv

Gegevensbeschermingsautoriteit

(zahtjev za prethodnu odluku koji je uputio hof van beroep te Brussel)

Presuda Suda (četvrto vijeće) od 7. ožujka 2024.

„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Sektorska normativna organizacija koja svojim članovima predlaže pravila u vezi s obradom korisničke privole – Članak 4. točka 1. – Pojam ‚osobni podaci’ – Niz slova i znakova kojim se na strukturiran i strojno čitljiv način evidentiraju preferencije korisnika interneta u vezi s privolom tog korisnika kad je riječ o obradi njegovih osobnih podataka – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 26. stavak 1. – Pojam ‚zajednički voditelji obrade’ – Organizacija koja sama nema pristup osobnim podacima koje obrađuju njezini članovi – Odgovornost organizacije koja se proteže na naknadne obrade podataka koje izvršavaju treće strane”

1. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pojam osobnih podataka – Niz slova i znakova koji sadržava preferencije korisnika interneta u vezi s njegovom privolom kad je riječ o obradi njegovih osobnih podataka – Uključenost – Uvjet – Niz koji omogućuje identifikaciju ispitanika – Nemogućnost sektorske organizacije koja raspolaže tim nizom da pristupi podacima koje obrađuju njezini članovi ili da kombinira navedeni niz s drugim elementima – Nepostojanje utjecaja

   (Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 1.)

   (t. 41.-51. i t. 1. izreke)

2. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pojam zajedničkih voditelja obrade – Sektorska normativna organizacija koja svojim članovima predlaže pravila u vezi s obradom korisničke privole – Uključenost – Uvjet – Utjecaj te organizacije na dotičnu obradu osobnih podataka i njezino određivanje, zajedno sa svojim članovima, svrhe i načina takve obrade – Organizacija koja nema izravan pristup osobnim podacima koje obrađuju njezini članovi – Nepostojanje utjecaja

   (Uredba Europskog parlamenta i Vijeća 2016/679, čl. 4. t. 7. i čl. 26. st. 1.)

   (t. 57.-68., 77. i t. 2. izreke)

3. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Zajedničko vođenje obrade – Sektorska normativna organizacija koja svojim članovima predlaže pravila za obradu privole korisnika – Zajednička odgovornost te organizacije koja se automatski proteže na daljnju obradu podataka koju provode treće osobe – Nepostojanje

   (Uredba Europskog parlamenta i Vijeća 2016/679, čl. 4. t. 7. i čl. 26. st. 1.)

   (t. 74.-77. i t. 2. izreke)

Kratak prikaz

Sud kojem je upućen zahtjev za prethodnu odluku pojašnjava, s jedne strane, pojam „osobni podaci” ( 1 ) i, s druge strane, uvjete pod kojima sektorsku organizaciju, u mjeri u kojoj svojim članovima nudi okvir pravila o privoli za obradu osobnih podataka, treba smatrati „zajedničkim voditeljem obrade” ( 2 ). Sud također određuje granice zajedničke odgovornosti takve organizacije.

IAB Europe neprofitno je udruženje sa sjedištem u Belgiji koje zastupa poduzetnike u sektoru industrije digitalnog oglašavanja i marketinga na europskoj razini.

IAB Europe izradio je Transparency & Consent Framework (Okvir za transparentnost i privolu, u daljnjem tekstu: TCF), okvir pravila kojima se nastoji osigurati usklađenost s OUZP-om obrade osobnih podataka korisnika internetske stranice ili aplikacije koju provode određeni subjekti. TCF promiče poštovanje OUZP-a kada ti subjekti primjenjuju protokol OpenRTB, koji se koristi za Real Time Bidding, sustav trenutačne i automatizirane internetske dražbe korisničkih profila u svrhu prodaje i kupnje oglasnog prostora na internetu.

U tom kontekstu, TCF olakšava registraciju korisničkih preferencija koje se potom kodiraju i pohranjuju u nizu sastavljenom od kombinacije slova i znakova, koji je udruženje IAB Europe nazvalo Transparency and Consent String (u daljnjem tekstu: TC String). Potonji se dijeli s posrednicima osobnih podataka i oglašivačkim platformama koji sudjeluju u protokolu OpenRTB kako bi znali na što je korisnik pristao ili čemu se usprotivio. Na uređaj korisnika također se stavlja kolačić (cookie) koji se, kada se kombinira s TC Stringom, može povezati s IP adresom tog korisnika.

Nakon nekoliko pritužbi podnesenih protiv udruženja IAB Europe, vijeće za rješavanje sporova Gegevensbeschermingsautoriteita (Tijelo za zaštitu podataka, Belgija) odlukom od 2. veljače 2022. naložilo je udruženju IAB Europe, voditelju obrade podataka, da obradu podataka izvršenu u okviru TCF-a uskladi s odredbama OUZP-a.

IAB Europe podnio je žalbu protiv te odluke hofu van beroep te Brussel (Žalbeni sud u Bruxellesu, Belgija). Dvojeći o tome je li TC String, u kombinaciji s IP adresom ili samostalno, osobni podatak i, ako je to slučaj, treba li udruženje IAB Europe smatrati voditeljem obrade osobnih podataka u okviru TCF-a, osobito s obzirom na obradu TC Stringa, cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu) uputio je Sudu zahtjev za prethodnu odluku.

Ocjena Suda

Na prvom mjestu, Sud ističe da niz koji se sastoji od kombinacije slova i znakova, poput TC Stringa, sadržava preferencije korisnika interneta ili aplikacije koje se odnose na privolu tog korisnika za obradu njegovih osobnih podataka od strane trećih osoba ili na njegovo eventualno protivljenje obradi takvih podataka koja se temelji na navodno legitimnom interesu ( 3 ).

U tom pogledu Sud utvrđuje da u mjeri u kojoj se povezivanjem TC Stringa s IP adresom korisničkog uređaja ili drugim identifikatorima, može utvrditi taj korisnik, TC String sadržava informacije koje se odnose na korisnika koji se može utvrditi i stoga čini osobni podatak ( 4 ). Nadalje, okolnost da udruženje IAB Europe ne može sâmo kombinirati TC String s IP adresom korisničkog uređaja i da ne raspolaže mogućnošću izravnog pristupa podacima koje obrađuju njegovi članovi u okviru TCF-a nije prepreka tomu da se TC String kvalificira kao „osobni podatak” ( 5 ).

Osim toga, članovi udruženja IAB Europe tom su udruženju na njegov zahtjev dužni dostaviti sve informacije koje mu omogućuju identifikaciju korisnika čiji su podaci predmet niza TC String. Stoga se čini, podložno provjerama koje u tom pogledu mora izvršiti sud koji je uputio zahtjev, da udruženje IAB Europe raspolaže razumnim sredstvima koja mu omogućuju identifikaciju određenog pojedinca putem TC Stringa, zahvaljujući informacijama koje su mu njegovi članovi i druge organizacije koje sudjeluju u TCF-u dužni pružiti ( 6 ).

Stoga Sud zaključuje da je TC String osobni podatak u smislu članka 4. točke 1. OUZP-a. Nije relevantna činjenica da bez vanjskog doprinosa koji ima pravo zahtijevati, takva sektorska organizacija ne može pristupiti podacima koje obrađuju njezini članovi u okviru pravila koja je utvrdila niti kombinirati TC String s drugim identifikatorima, kao što je, među ostalim, IP adresa korisničkog uređaja.

Na drugom mjestu, Sud razmatra može se li udruženje IAB Europe smatrati zajedničkim voditeljem obrade ( 7 ). Kako bi se došlo do zaključka, valja ocijeniti utječe li to udruženje, radi ostvarenja vlastitih ciljeva, na obradu osobnih podataka, poput TC Stringa te utvrđuje li, zajedno s drugima, svrhu i sredstva takve obrade.

Najprije, što se tiče svrhe takve obrade podataka, Sud napominje da je cilj TCF-a koji je uspostavilo društvo IAB Europe, u biti, olakšati i omogućiti prodaju i kupnju oglasnog prostora na internetu od strane određenih subjekata koji sudjeluju u internetskoj dražbi oglasnog prostora. Stoga podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, udruženje IAB Europe utječe, radi ostvarenja vlastitih ciljeva, na postupke obrade osobnih podataka i stoga, zajedno sa svojim članovima, određuje svrhe takvih postupaka.

Nadalje, kad je riječ o sredstvima koja se koriste za tu obradu Sud utvrđuje, podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, da TCF čini okvir pravila koja članovi udruženja IAB Europe trebaju prihvatiti kako bi pristupili tom udruženju. Konkretno, ako jedan od njegovih članova ne postupi u skladu s tim pravilima, IAB Europe može donijeti odluku o neusklađenosti i suspenziji koja može dovesti do isključenja navedenog člana iz TCF-a i stoga ga spriječiti da se pozove na jamstvo usklađenosti s OUZP-om koje TCF pruža za obradu podataka izvršenu uz pomoć niza TC Strings. Osim toga, TCF koji je uspostavilo udruženje IAB Europe sadržava tehničke specifikacije koje se odnose na obradu niza TC String, kao i precizna pravila u pogledu sadržaja TC Stringa te njegova pohranjivanja i dijeljenja. Osim toga, Sud naglašava da udruženje IAB Europe u okviru tih pravila propisuje standardizirani način na koji različite stranke uključene u TCF mogu biti obaviještene o preferencijama, prigovorima i privolama korisnika sadržanima u TC Stringsu.

Stoga podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, Sud zaključuje da sektorska organizacija kao što je IAB Europe utječe, radi ostvarenja vlastitih ciljeva, na postupke obrade osobnih podataka i stoga, zajedno sa svojim članovima, određuje sredstva pomoću kojih se izvode takvi postupci. Iz toga slijedi da je treba smatrati „zajedničkim voditeljem obrade” ( 8 ).

Naposljetku, Sud pojašnjava da valja razlikovati, s jedne strane, obradu osobnih podataka koju provode članovi udruženja IAB Europe, odnosno pružatelji internetskih stranica ili aplikacija kao i posrednici podataka ili reklamne platforme, kad su preferencije u vezi s privolom dotičnih korisnika zabilježene u nizu TC String u skladu s okvirom pravila utvrđenim u TCF-u i, s druge strane, naknadnu obradu tih podataka koju provode ti subjekti i treće osobe na temelju tih preferencija, kao što su prijenos tih podataka trećim stranama ili ponuda personaliziranog oglašavanja tim korisnicima.

Stoga se sektorska organizacija, poput udruženja IAB Europe može smatrati odgovornom za takve daljnje obrade samo kad je utvrđeno da je ona utjecala na utvrđivanje svrhe i sredstava tih obrada, što je na sudu koji je uputio zahtjev da provjeri.

( 1 ) U smislu članka 4. točke 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)

( 2 ) U smislu članka 26. stavka 1. OUZP-a

( 3 ) U smislu članka 6. stavka 1. točke (f) OUZP-a

( 4 ) U smislu članka 4. točke 1. OUZP-a

( 5 ) U smislu članka 4. točke 1. OUZP-a

( 6 ) U skladu s onim što se navodi u uvodnoj izjavi 26. OUZP-a.

( 7 ) U skladu s člankom 4. točkom 7. i člankom 26. stavkom 1. OUZP-a

( 8 ) U skladu s člankom 4. točkom 7. i člankom 26. stavkom 1. OUZP-a