Решение на Съда по дело C-604/22, образувано по запитване, отправено в рамките на спор между IAB Europe и белгийския надзорен орган Gegevensbeschermingsautoriteit
Когато потребител посещава уебсайт или използва приложение, съдържащо рекламно пространство, компании, брокери на данни и рекламни платформи, които представляват хиляди рекламодатели, могат да наддават за това рекламно пространство в реално време чрез автоматизирана система за търгове във фонов режим, като се използват алгоритми с цел в посоченото пространство да се показват целеви реклами, съобразени конкретно с профила на потребителя.
Преди обаче да се покажат такива целеви реклами, е необходимо да се получи предварителното съгласие на посочения потребител. Така, когато той посети за първи път даден уебсайт или използва за първи път дадено приложение, в изскачащ прозорец (pop-up window) се появява платформа за управление на съгласията (Consent Management Platform, наричана по-нататък „CMP“), позволяваща на този потребител, от една страна, да даде на доставчика на уебсайта или на приложението съгласието си за събиране и обработване на личните му данни за предварително определени цели, като например маркетинг или реклама, или съгласието си за споделяне на тези данни с определени доставчици, и от друга страна, да възрази срещу един или повече начини на обработване или на споделяне на данни въз основа на легитимните интереси, изтъкнати от доставчиците по смисъла на член 6, параграф 1, буква е) от GDPR/ОРЗД. Тези лични данни се отнасят в частност до местонахождението на потребителя, неговата възраст, историята на търсенията му и на последните му покупки.
Потребителят може също да възрази срещу това събиране и обработка.
IAB Europe е асоциация с нестопанска цел, създадена в Белгия, която представлява предприятия в сектора на цифровата реклама и маркетинг на европейско ниво. IAB Europe изготви решение, което представя като способно да приведе тази тръжна система в съответствие с GDPR1.
Предпочитанията на потребителите се кодират и съхраняват в низ, съставен от комбинация от букви и знаци, наричан „Transparency and Consent String“ (TC String/TC низ), който се споделя с брокери на лични данни и рекламни платформи, така че те да знаят за какво потребителят се е съгласил или възразил. Бисквитка също се поставя на устройството на потребителя. Когато се комбинират, TC String и бисквитката могат да бъдат свързани с IP адреса на този потребител.
През 2022 г. белгийският орган за защита на данните реши, че TC String представлява лични данни по смисъла на GDPR и че IAB Europe е действал като администратор на данни, без да спазва напълно изискванията на GDPR. Този орган му е наложил редица коригиращи мерки, както и административна глоба. IAB Europe оспорва това решение и е завела дело пред Апелативния съд на Брюксел, който е отправил въпроси до Съда на ЕС за преюдициално заключение.
В своето решение Съдът на ЕС потвърждава, че TC String съдържа информация относно идентифицируем потребител и следователно представлява лични данни по смисъла на GDPR. Когато информацията, съдържаща се в TC String, е свързана с идентификатор, като, наред с другото, IP адреса на устройството на потребителя, тази информация може да направи възможно създаването на профил на този потребител и идентифицирането му.
Освен това IAB Europe трябва да се разглежда като „съвместен администратор“ по смисъла на GDPR. При спазване на проверките, които запитващата юрисдикция трябва да извърши, тази асоциация изглежда упражнява влияние върху операциите по обработка на данни, когато предпочитанията за съгласие на потребителите са записани в TC низ, и определя, съвместно със своите членове, както целите на тези операции и средствата зад тях. Въпреки това и без да се засяга каквато и да е гражданска отговорност, предвидена в националното законодателство, IAB Europe не може да се счита за администратор по смисъла на GDPR по отношение на операции по обработка на данни, извършени след като предпочитанията за съгласие на потребителите са записани в TC низ, освен ако не може да се установи, че тази асоциация е оказала влияние върху определянето на целите и средствата на тези последващи операции.
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица по отношение на обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ ЕО (Общ регламент за защита на данните
По изложените съображения Съдът (четвърти състав) реши:
1) Член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
съставен от комбинация от букви и символи низ (какъвто е ТС низът – Transparency and Consent String), който съдържа предпочитанията на потребител на интернет или на приложение, свързани със съгласието на този потребител за обработване на лични данни, отнасящи се до него, от доставчици на уебсайтове или на приложения, както и от брокери на такива данни и от рекламни платформи, представлява набор от лични данни по смисъла на тази разпоредба, доколкото посоченият низ позволява идентифицирането на субекта на данните, когато може с разумни средства да бъде свързан с идентификатор, какъвто в частност е IP адресът на устройството на потребителя. При такива обстоятелства фактът, че без външен принос браншова организация, разполагаща с този низ, не може нито да има достъп до данните, обработвани от членовете ѝ в рамките на установените от нея правила, нито да свърже посочения низ с други елементи, не е пречка същият низ да представлява набор от лични данни по смисъла на посочената разпоредба.
2) Член 4, точка 7 и член 26, параграф 1 от Регламент 2016/679
трябва да се тълкуват в смисъл, че
– от една страна, доколкото браншова организация предлага на членовете си установена от нея рамка от правила относно съгласието в областта на обработването на лични данни, която рамка съдържа не само задължителни технически правила, но и правила, които уреждат подробно въпроса как трябва да се съхраняват и разпространяват лични данни за съгласието, тази браншова организация трябва да се квалифицира като „съвместен администратор“ по смисъла на тези разпоредби, ако с оглед на конкретните обстоятелства по случая тя влияе за собствени цели върху разглежданото обработване на лични данни и така определя съвместно с членовете си целите и средствата на такова обработване. Обстоятелството, че такава браншова организация сама по себе си няма пряк достъп до личните данни, обработвани от членовете ѝ в рамките на посочените правила, не е пречка тя да може да има качеството „съвместен администратор“ по смисъла на посочените разпоредби,
– от друга страна, съвместната отговорност на посочената браншова организация не се разпростира автоматично върху последващото обработване на лични данни от трети страни, като например доставчиците на уебсайтове или на приложения, що се отнася до предпочитанията на потребителите във връзка с целевата онлайн реклама.