Lieta C‑604/22

IAB Europe

pret

Gegevensbeschermingsautoriteit

(hof van beroep te Brussel lūgums sniegt prejudiciālu nolēmumu)

Tiesas (ceturtā palāta) 2024. gada 7. marta spriedums

Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – Nozaru standartizācijas organizācija, kas saviem biedriem ierosina noteikumus par lietotāju piekrišanas datu apstrādi – 4. panta 1. punkts – Jēdziens “personas dati” – Burtu un zīmju virkne, kas strukturēti un mašīnlasāmā veidā uztver interneta lietotāja izvēli par piekrišanu viņa personas datu apstrādei – 4. panta 7. punkts – Jēdziens “pārzinis” – 26. panta 1. punkts – Jēdziens “kopīgi pārziņi” – Organizācija, kurai pašai nav piekļuves tās biedru apstrādātajiem personas datiem – Organizācijas atbildība, kas attiecināma uz vēlāku datu apstrādi, kuru veic trešās personas

1. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu jēdziens – Burtu un zīmju virkne, kas ietver interneta lietotāja izvēli par piekrišanu viņa personas datu apstrādei – Iekļaušana – Nosacījums – Virkne, kas ļauj identificēt attiecīgo personu – Neiespējamība nozares organizācijai, kam pieder šī virkne, piekļūt datiem, kurus apstrādājuši tās biedri, vai šo virkni kombinēt ar citu informāciju – Ietekmes neesamība

   (Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 1. punkts)

   (skat. 41.–51. punktu un rezolutīvās daļas 1. punktu)

2. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Kopīgu pārziņu jēdziens – Nozaru standartizācijas organizācija, kas saviem biedriem ierosina noteikumus par lietotāju piekrišanu datu apstrādei – Iekļaušana – Nosacījums – Šīs organizācijas ietekme uz attiecīgo personas datu apstrādi, kā arī šādas apstrādes mērķu un līdzekļu noteikšana, ko tā veic kopā ar saviem biedriem – Organizācija, kurai nav tiešas piekļuves tās biedru apstrādātajiem personas datiem – Ietekmes neesamība

   (Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. punkts un 26. panta 1. punkts)

   (skat. 57.–68., 77. punktu un rezolutīvās daļas 2. punktu)

3. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Kopīgu pārziņu atbildība – Nozaru standartizācijas organizācija, kas saviem biedriem ierosina noteikumus par lietotāju piekrišanu datu apstrādei – Organizācijas kopīga atbildība, kas automātiski attiecināma uz vēlāku datu apstrādi, kuru veic trešās personas – Neesamība

   (Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. punkts un 26. panta 1. punkts)

   (skat. 74.–77. punktu un rezolutīvās daļas 2. punktu)

Rezumējums

Saņēmusi lūgumu sniegt prejudiciālu nolēmumu, Tiesa precizē, pirmkārt, jēdzienu “personas dati” ( 1 ) un, otrkārt, nosacījumus, ar kādiem nozares organizācija, ciktāl tā saviem biedriem piedāvā noteikumu sistēmu attiecībā uz piekrišanu personas datu apstrādei, ir kvalificējama par “kopīgu pārzini” ( 2 ). Tiesa arī nosaka šādas organizācijas kopīgās atbildības robežas.

IAB Europe ir Beļģijā reģistrēta bezpeļņas organizācija, kas pārstāv uzņēmumus digitālās reklāmas un mārketinga nozarē Eiropas līmenī.

IAB Europe ir izstrādājusi Transparency & Consent Framework (Pārskatāmības un piekrišanas regulējums, turpmāk tekstā – “TCF”), kas ir regulējums, kura mērķis ir nodrošināt atsevišķu operatoru veiktas interneta vietnes vai lietotnes lietotāja personas datu apstrādes atbilstību VDAR. TCF veicina VDAR ievērošanu, ja šie operatori izmanto protokolu OpenRTB, kuru izmanto Real Time Bidding, kas ir tūlītēja un automatizēta lietotāju profilu izsoļu sistēma tiešsaistē reklāmas laukumu pārdošanai un iegādei internetā.

Šajā kontekstā TCF atvieglo lietotāju izvēļu reģistrāciju, kuras pēc tam tiek kodētas un glabātas virknē, ko veido burtu un rakstzīmju kombinācija, kuru IAB Europe apzīmējusi ar nosaukumu Transparency and Consent String (turpmāk tekstā – “TC String”). Tā tiek koplietota ar personas datu brokeriem un reklāmas platformām, kuras piedalās OpenRTB protokolā, lai tie zinātu, kam lietotājs ir piekritis vai pret ko ir iebildis. Lietotāja ierīcē, kura kombinācijā ar TC String var būt saistīta ar šī lietotāja ierīces IP adresi, tiek ievietota arī sīkdatne.

Pēc vairākām sūdzībām, kas vērstas pret IAB Europe, Gegevensbeschermingsautoriteit (Datu aizsardzības iestāde, Beļģija) Strīdu izskatīšanas palāta ar 2022. gada 2. februāra lēmumu uzdeva IAB Europe, datu pārzinim, nodrošināt TCF ietvaros veiktās datu apstrādes atbilstību VDAR noteikumiem.

IAB Europe par minēto lēmumu cēla prasību hof van beroep te Brussel (Briseles apelācijas tiesa, Beļģija). Tā kā Briseles apelācijas tiesai bija šaubas, vai TC String kopā ar IP adresi vai atsevišķi ir personas dati, un, ja tas tā ir, vai IAB Europe jākvalificē kā pārzinis TCF ietvaros, it īpaši attiecībā uz TC String apstrādi, tā iesniedza Tiesai lūgumu sniegt prejudiciālu nolēmumu.

Tiesas vērtējums

Pirmām kārtām, Tiesa norāda, ka tāda burtu un rakstzīmju kombinācijas virkne kā TC String ietver interneta vai lietotnes lietotāja izvēles saistībā ar šī lietotāja piekrišanu trešo personu veiktai viņa personas datu apstrādei vai saistībā ar viņa iespējamo iebildumu pret šādu datu apstrādi, kas balstīta uz apgalvotajām leģitīmajām interesēm ( 3 ).

Šajā ziņā Tiesa uzskata: tā kā tas, ka TC String var tikt sasaistīta ar minētā lietotāja ierīces IP adresi vai citu identifikatoru, ļauj identificēt šo lietotāju, TC String ietver informāciju par identificējamu lietotāju un tātad ir personas dati ( 4 ). Turklāt tas, ka IAB Europe pati nevar apvienot TC String ar lietotāja ierīces IP adresi un ka tai nav iespējas tieši piekļūt datiem, kurus tās biedri apstrādā atbilstoši TCF, nav šķērslis tam, lai TC String kvalificētu par “personas datiem” ( 5 ).

Turklāt IAB Europe biedriem pēc tās lūguma tai jāsniedz visa informācija, kas tai ļauj identificēt lietotājus, uz kuru datiem attiecas TC String. Tātad, neskarot pārbaudes, kas jāveic iesniedzējtiesai, šķiet, ka IAB Europe rīcībā ir saprātīgi līdzekļi, kuri tai ļauj no TC String identificēt konkrētu fizisku personu, pateicoties informācijai, kas jāsniedz tās biedriem un citām organizācijām, kuras piedalās TCF ( 6 ).

Tādējādi Tiesa secina, ka TC String ir personas dati VDAR 4. panta 1. punkta izpratnē. Nav lielas nozīmes tam, ka bez ārēja ieguldījuma, ko tai ir tiesības pieprasīt, šāda nozares organizācija nevar nedz piekļūt datiem, kurus tās biedri apstrādā saskaņā ar tās izstrādātajiem noteikumiem, nedz apvienot TC String ar citiem identifikatoriem – tādiem kā lietotāja ierīces IP adrese.

Otrām kārtām, Tiesa izvērtē, vai IAB Europe var tikt uzskatīta par kopīgu pārzini ( 7 ). Lai to izdarītu, jāizvērtē, vai tā saviem mērķiem ietekmē tādu personas datu apstādi kā TC String un kopā ar citiem nosaka šādas apstrādes nolūkus un līdzekļus.

Vispirms attiecībā uz šādas datu apstrādes mērķiem Tiesa norāda, ka IAB Europe izveidotā TCF mērķis būtībā ir veicināt un ļaut noteiktiem operatoriem, kas piedalās tiešsaistes reklāmas laukumu pārdošanā, pārdot un pirkt reklāmas laukumus internetā. Tādējādi, neskarot pārbaudes, kas jāveic iesniedzējtiesai, IAB Europe saviem mērķiem ietekmē personas datu apstrādes darbības un tādēļ kopā ar saviem biedriem nosaka šo darbību nolūkus.

Attiecībā uz līdzekļiem, kas izmantoti šādai apstrādei, Tiesa konstatē – neskarot pārbaudes, kas jāveic iesniedzējtiesai –, ka TCF ir tāds noteikumu kopums, kuri IAB Europe biedriem jāpieņem, lai pievienotos šai apvienībai. It īpaši – ja kāds no tās biedriem neievēro šos noteikumus, IAB Europe var pieņemt lēmumu par neatbilstību un dalības apturēšanu, kā rezultātā minētais biedrs var tikt izslēgts no TCF un tādējādi nevarēs paļauties uz garantiju par atbilstību VDAR, kas būtu jāsniedz ar šo mehānismu attiecībā uz personas datu apstrādi, kuru tas veic, izmantojot TC Strings. Turklāt IAB Europe izveidotais TCF satur tehniskās specifikācijas par TC String apstrādi, kā arī precīzus noteikumus par TC String saturu, tā glabāšanu un koplietošanu. Vēl Tiesa uzsver, ka IAB Europe šajos noteikumos paredz standartizētu kartību, kādā dažādas TCF iesaistītās puses var iepazīties ar TC Strings iekļautajām lietotāju izvēlēm, iebildumiem un piekrišanu.

Šādos apstākļos un neskarot minētās pārbaudes, Tiesa secina, ka tāda nozares organizācija kā IAB Europe saviem mērķiem ietekmē personas datu apstrādes darbības un šī iemesla dēļ kopā ar saviem biedriem nosaka līdzekļus, kas ir šādu darbību pamatā. Tāpēc tā jāuzskata par “kopīgu pārzini” ( 8 ).

Visbeidzot Tiesa precizē, ka ir jānošķir, no vienas puses, personas datu apstrāde, ko veic IAB Europe biedri, tādi kā interneta vai lietotņu nodrošinātāji, kā arī datu brokeri vai reklāmas platformas, kad TC String tiek reģistrētas izvēles par attiecīgo lietotāju piekrišanu saskaņā ar TCF paredzētajiem noteikumiem, un, no otras puses, šo datu vēlāka apstrāde, ko veic šie tirgus dalībnieki, kā arī trešās personas, pamatojoties uz šīm izvēlēm, piemēram, datu nosūtīšana trešām personām vai personalizētas reklāmas piedāvāšana šiem lietotājiem.

Tādējādi tādu nozares organizāciju kā IAB Europe var uzskatīt par atbildīgu par šādu vēlāku apstrādi tikai tad, ja ir pierādīts, ka tā ir ietekmējusi tās nolūku un līdzekļu noteikšanu, bet tas ir jāpārbauda iesniedzējtiesai.

( 1 ) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp., turpmāk tekstā – “VDAR”) 4. panta 1. punkta izpratnē.

( 2 ) VDAR 26. panta 1. punkta izpratnē.

( 3 ) Saskaņā ar VDAR 6. panta 1. punkta f) apakšpunktu.

( 4 ) VDAR 4. panta 1. punkta izpratnē.

( 5 ) VDAR 4. panta 1. punkta izpratnē.

( 6 ) Saskaņā ar VDAR 26. apsvērumu.

( 7 ) VDAR 4. panta 7. punkta un 26. panta 1. punkta izpratnē.

( 8 ) VDAR 4. panta 7. punkta un 26. panta 1. punkta izpratnē.