PRESUDA SUDA (četvrto vijeće)
7. ožujka 2024.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Sektorska normativna organizacija koja svojim članovima predlaže pravila u vezi s obradom korisničke privole – Članak 4. točka 1. – Pojam ‚osobni podaci’ – Niz slova i znakova kojim se na strukturiran i strojno čitljiv način evidentiraju preferencije korisnika interneta u vezi s privolom tog korisnika kad je riječ o obradi njegovih osobnih podataka – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 26. stavak 1. – Pojam ‚zajednički voditelji obrade’ – Organizacija koja sama nema pristup osobnim podacima koje obrađuju njezini članovi – Odgovornost organizacije koja se proteže na naknadne obrade podataka koje izvršavaju treće strane”
U predmetu C‑604/22,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio hof van beroep te Brussel (Žalbeni sud u Bruxellesu, Belgija), odlukom od 7. rujna 2022., koju je Sud zaprimio 19. rujna 2022., u postupku
IAB Europe
protiv
Gegevensbeschermingsautoriteit,
uz sudjelovanje:
Jefa Ausloosa,
Pierrea Dewittea,
Johnnyja Ryana,
Fundacja Panoptykon,
Stichting Bits of Freedom,
Ligue des droits humains VZW,
SUD (četvrto vijeće),
u sastavu: C. Lycourgos, predsjednik vijeća, O. Spineanu‑Matei, J.-C. Bonichot, S. Rodin i L. S. Rossi (izvjestiteljica), suci,
nezavisna odvjetnica: T. Ćapeta,
tajnik: A. Lamote, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 21. rujna 2023.,
uzimajući u obzir očitovanja koja su podnijeli:
– za IAB Europe, P. Craddock, avocat, i K. Van Quathem, advocaat,
– za Gegevensbeschermingsautoriteit, E. Cloots, J. Roets i T. Roes, advocaten,
– za Jefa Ausloosa, Pierrea Dewittea, Johnnyja Ryana, Fundacju Panoptykon, Stichting Bits of Freedom i Ligue des Droits Humains VZW, F. Debusseré i R. Roex, advocaten,
– za austrijsku vladu, J. Schmoll i C. Gabauer, u svojstvu agenata,
– za Europsku komisiju, A. Bouchagiar i H. Kranenborg, u svojstvu agenata,
odlučivši, nakon što je saslušao nezavisnu odvjetnicu, da u predmetu odluči bez mišljenja,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. točaka 1. i 7., kao i članka 24. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. te SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP), u vezi s člancima 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).
2 Zahtjev je upućen u okviru spora između udruženja IAB Europe i Gegevensbeschermingsautoriteita (Agencija za zaštitu osobnih podataka, Belgija) (u daljnjem tekstu: AZOP) u vezi s odlukom vijeća AZOP‑a za rješavanje sporova donesenom protiv udruženja IAB Europe u pogledu navodne povrede nekoliko odredbi OUZP‑a.
Pravni okvir
Pravo Unije
3 Uvodne izjave 1., 10., 26. i 30. OUZP‑a glase kako slijedi:
„(1) Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. [Povelje] te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.
[…]
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske unije], razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(26) Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati nekom pojedincu uporabom dodatnih informacija trebalo bi smatrati informacijama o pojedincu čiji se identitet može utvrditi. Kako bi se odredilo može li se utvrditi identitet pojedinca, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj. Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Ova se uredba stoga ne odnosi na obradu takvih anonimnih informacija, među ostalim za statističke ili istraživačke svrhe.
[…]
(30) Pojedinci mogu biti pridruženi mrežnim identifikatorima koje pružaju njihovi uređaji, aplikacije, alati i protokoli, kao što su adrese internetskog protokola, identifikatori kolačića ili drugim identifikatorima poput oznaka za radiofrekvencijsku identifikaciju. Tako mogu ostati tragovi koji se, posebno u kombinaciji s jedinstvenim identifikatorima i drugim informacijama koje primaju poslužitelji, mogu upotrijebiti za izradu profila pojedinaca i njihovu identifikaciju.”
4 Članak 1. OUZP‑a, naslovljen „Predmet i ciljevi”, u stavku 2. propisuje:
„Ovom se uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”
5 Članak 4. navedene uredbe predviđa:
„Za potrebe ove uredbe:
1. ,osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (,ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2. ,obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7. ,voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
[…]
11. ,privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;
[…]”
6 Članak 6. OUZP‑a, naslovljen „Zakonitost obrade”, glasi:
„1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
[…]
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.
[…]”
7 Članak 24. navedene uredbe, naslovljen „Zajednički voditelji obrade”, u stavku 1. navodi:
„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom uredbom. Te se mjere prema potrebi preispituju i ažuriraju.”
8 Članak 26. navedene uredbe, naslovljen „Zajednički voditelji obrade”, u stavku 1. navodi:
„Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. […]”
9 Poglavlje VI. OUZP‑a, koje se odnosi na „Neovisna nadzorna tijela”, sadržava članke 51. do 59. te uredbe.
10 Članak 51. te uredbe, naslovljen „Nadzorno tijelo”, u stavcima 1. do 2. propisuje:
„1. Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije […]
2. Svako nadzorno tijelo doprinosi dosljednoj primjeni ove uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.”
11 U skladu sa stavcima 1. i 2. članka 55. OUZP‑a naslovljenog „Nadležnost”:
„1. Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom uredbom na državnom području vlastite države članice.
2. Ako obradu obavljaju tijela javne vlasti ili privatna tijela koja postupaju na temelju članka 6. stavka 1. točke (c) ili (e), nadležno je nadzorno tijelo dotične države članice. U takvim slučajevima ne primjenjuje se članak 56.”
12 Članak 56. te uredbe‚ naslovljen „Nadležnost vodećeg nadzornog tijela”‚ u stavku 1. propisuje:
„Ne dovodeći u pitanje članak 55. nadzorno tijelo glavnog poslovnog nastana ili jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade nadležno je djelovati kao vodeće nadzorno tijelo za prekograničnu obradu koju provodi taj voditelj obrade ili izvršitelj obrade u skladu s postupkom utvrđenim u članku 60.”
13 Člankom 57. navedene uredbe, naslovljenim „Zadaće”, stavkom 1. određuje se:
„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj uredbi, svako nadzorno tijelo na svom području:
(a) prati i provodi primjenu ove uredbe;
[…]
(g) surađuje s drugim nadzornim tijelima, među ostalim dijeljenjem informacija, te pruža uzajamnu pomoć drugim nadzornim tijelima s ciljem osiguranja konzistentnosti primjene i provedbe ove uredbe;
[…]”
14 Odjeljak 1., naslovljen „Suradnja”, poglavlja VII. te uredbe, koje je pak naslovljeno „Suradnja i konzistentnost”, sadržava članke 60. do 62. te uredbe. Članak 60., koji se odnosi na „Suradnj[u] vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela”, u stavku 1. predviđa:
„Vodeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus. Vodeće nadzorno tijelo i predmetna nadzorna tijela međusobno razmjenjuju sve bitne informacije.”
15 Članak 61. OUZP‑a‚ naslovljen „Uzajamna pomoć” u stavku 1. određuje:
„Nadzorna tijela međusobno si pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila ovu uredbu i uspostavljaju mjere za djelotvornu uzajamnu suradnju. Uzajamna pomoć obuhvaća osobito zahtjeve za informacijama i mjerama nadzora, kao što su zahtjevi za provedbom prethodnog odobravanja i savjetovanja, inspekcija i istraga.”
16 Članak 62. te uredbe‚ naslovljen „Zajedničke operacije nadzornih tijela”‚ u stavcima 1. i 2. propisuje:
„1. Nadzorna tijela prema potrebi provode zajedničke operacije, uključujući zajedničke istrage i zajedničke mjere provedbe u kojima sudjeluju članovi ili osoblje nadzornih tijela drugih država članica.
2. Ako voditelj obrade ili izvršitelj obrade ima poslovne nastane u nekoliko država članica ili kad postoji vjerojatnost da će postupci obrade bitno utjecati na znatan broj ispitanika u više od jedne države članice, nadzorno tijelo svake od tih država članica ima pravo na sudjelovanje u zajedničkim operacijama. […]”
17 Odjeljak 2., naslovljen „Konzistentnost”, poglavlja VII. OUZP‑a, sadržava članke 63. do 67. te uredbe. Članak 63., naslovljen „Mehanizam konzistentnosti”, glasi kako slijedi:
„Kako bi se doprinijelo dosljednoj primjeni ove uredbe u cijeloj Uniji, nadzorna tijela surađuju međusobno i prema potrebi s Komisijom u okviru mehanizma konzistentnosti, kako je utvrđeno u ovom odjeljku.”
Belgijsko pravo
18 La wet tot oprichting van de Gegevensbeschermingsautoriteit (Zakon o osnivanju tijela za zaštitu podataka) od 3. prosinca 2017. (Moniteur belge od 10. siječnja 2018., str. 989.; u daljnjem tekstu: ZTZP) u članku 100. stavku 1. 9° određuje:
„Vijeće za rješavanje sporova ovlašteno je:
[…]
9° naložiti da obrada bude u skladu s propisima.”
19 Člankom 101. ZTZP‑a propisano je:
„Vijeće za rješavanje sporova može strankama protiv kojih se vodi postupak izreći upravnu novčanu kaznu primjenom općih načela iz članka 83. [OUZP‑a].”
Glavni postupak i prethodna pitanja
20 IAB Europe neprofitno je udruženje sa sjedištem u Belgiji koje zastupa poduzetnike u sektoru industrije digitalnog oglašavanja i marketinga na europskoj razini. Članovi udruženja IAB Europe poduzetnici su u tom sektoru, kao što su izdavači, poduzeća za e‑trgovinu i marketing, posrednici, kao i nacionalna udruženja, među kojima su i nacionalni IAB‑ovi (Interactive Advertising Bureau), čiji su pak članovi poduzetnici u navedenom sektoru. Među članovima udruženja IAB Europe nalaze se, među ostalim, poduzetnici koji ostvaruju znatne prihode prodajom oglasnog prostora na internetskim stranicama ili aplikacijama.
21 Udruženje IAB Europe izradilo je Transparency & Consent Framework (Okvir za transparentnost i privolu) (u daljnjem tekstu: TCF), koji čini okvir pravila sastavljen od smjernica, uputa, tehničkih specifikacija, protokola i ugovornih obveza kojima se i pružatelju internetske stranice ili aplikacije i posrednicima podataka ili pak reklamnim platformama omogućuje zakonita obrada osobnih podataka korisnika internetske stranice ili aplikacije.
22 Cilj je TCF‑a, među ostalim, promicati poštovanje OUZP‑a kada ti subjekti primjenjuju protokol OpenRT, odnosno jedan od najkorištenijih protokola za Real Time bidding, sustav trenutačne i automatizirane internetske dražbe korisničkih profila u svrhu prodaje i kupnje oglasnog prostora na internetu (u daljnjem tekstu: RTB). S obzirom na određene prakse koje provode članovi udruženja IAB Europe u okviru tog sustava masovne razmjene osobnih podataka koji se odnose na korisničke profile, udruženje IAB Europe predstavilo je TCF kao rješenje kojim se navedeni sustav dražbe može uskladiti s OUZP‑om.
23 Konkretno, kao što to proizlazi iz spisa podnesenog Sudu, s tehničkog gledišta, kada korisnik pregledava internetsku stranicu ili aplikaciju koja sadržava oglasni prostor, poduzeća za reklamnu tehnologiju, a osobito posrednici podataka i reklamne platforme, koji predstavljaju tisuće oglašivača, mogu u stvarnom vremenu i u pozadini, uz pomoć sustava automatizirane dražbe primjenom algoritama, licitirati za dobivanje tog oglasnog prostora, kako bi u navedenom prostoru prikazivali ciljane oglase koji su posebno prilagođeni profilu takvog korisnika.
24 Međutim, prije prikazivanja takvih ciljanih oglasa potrebno je dobiti prethodnu privolu tog korisnika. Stoga, kada on prvi put posjećuje internetsku stranicu ili aplikaciju, platforma za upravljanje privolom nazvana „Consent Management Platform” (u daljnjem tekstu: CMP) pojavljuje se u pop‑up prozoru koji tom korisniku omogućuje, s jedne strane, davanje privole pružatelju internetske stranice ili aplikacije za prikupljanje i obradu njegovih osobnih podataka u prethodno definirane svrhe, kao što su osobito marketing ili oglašavanje ili radi dijeljenja tih podataka s određenim pružateljima i, s druge strane, protivljenje različitim vrstama obrade podataka ili njihovu dijeljenju koji se temelje na legitimnim interesima pružatelja u smislu članka 6. stavka 1. točke (f) OUZP‑a. Ti se osobni podaci osobito odnose na lokaciju korisnika, njegovu dob, povijest njegovih istraživanja i nedavne kupnje.
25 U tom kontekstu TCF pruža okvir za obradu osobnih podataka velikih razmjera i olakšava registraciju korisničkih preferencija putem CMP‑a. Te se preferencije potom kodiraju i pohranjuju u nizu sastavljenom od kombinacije slova i znakova, koji je udruženje IAB Europe nazvalo Transparency and Consent String (u daljnjem tekstu: TC String), a koji se dijeli s posrednicima osobnih podataka i oglašivačkim platformama koji sudjeluju u protokolu OpenRTB kako bi znali na što je korisnik pristao ili čemu se usprotivio. CMP također stavlja kolačić (euconsent‑v2) na uređaj korisnika. Kada se kombiniraju, TC String i kolačić euconsent‑v2 mogu se povezati s IP adresom tog korisnika.
26 TCF tako ima ulogu u funkcioniranju protokola OpenRTB jer omogućuje prenošenje korisnikovih preferencija kako bi ih se priopćilo potencijalnim prodavateljima i postizanje različitih ciljeva obrade, uključujući i ponudu oglašavanja po mjeri. TCF‑om se, među ostalim, posrednicima osobnim podacima i oglašivačkim platformama jamči poštovanje OUZP‑a pomoću TC Stringa.
27 Od 2019. AZOP je zaprimio nekoliko pritužbi protiv udruženja IAB Europe, kako iz Belgije tako i iz trećih zemalja, koje se odnose na usklađenost TCF‑a s OUZP‑om. Nakon što je ispitao te pritužbe, AZOP je, kao vodeće nadzorno tijelo u smislu članka 56. stavka 1. OUZP‑a, pokrenuo mehanizam suradnje i konzistentnosti, u skladu s člancima 60. do 63. te uredbe, kako bi donio zajedničku odluku koju je suglasno odobrilo svako od 21 nacionalnog nadzornog tijela uključenih u taj mehanizam. Tako je vijeće AZOP‑a za rješavanje sporova u svojoj odluci od 2. veljače 2022. (u daljnjem tekstu: odluka od 2. veljače 2022.) odlučilo da IAS Europe djeluje kao voditelj obrade osobnih podataka u pogledu bilježenja signala za privolu, prigovora i preferencija pojedinačnih korisnika uz pomoć niza TC String, koji je, prema mišljenju vijeća AZOP‑a za rješavanje sporova, povezan s korisnikom koji se može identificirati. Usto, u toj je odluci vijeće AZOP‑a za rješavanje sporova naložilo udruženju IAB Europe da, u skladu s člankom 100. stavkom 1. 9° ZTZP‑a, uskladi obradu osobnih podataka izvršenu u okviru TCF‑a s odredbama OUZP‑a te mu je izreklo nekoliko prekršajnih mjera kao i upravnu novčanu kaznu.
28 Udruženje IAB Europe podnijelo je tužbu protiv navedene odluke hofu van beroep te Brussel (Žalbeni sud u Bruxellesu, Belgija), sudu koji je uputio zahtjev. IAB Europe od tog suda zahtijeva poništenje odluke od 2. veljače 2022. Osporava, među ostalim, činjenicu da ga se smatra voditeljem obrade. Tvrdi i da je ta odluka nedovoljno razrađena i obrazložena u dijelu u kojem se njome utvrđuje da je TC String osobni podatak u smislu članka 4. točke 1. OUZP‑a te da je u svakom slučaju pogrešna. Konkretno, IAB Europe naglašava da samo drugi sudionici TCF‑a mogu kombinirati TC String s IP adresom kako bi ga pretvorili u osobni podatak, da TC String nije svojstven korisniku i da to udruženje nema mogućnost pristupa podacima koje u tom okviru obrađuju njegovi članovi.
29 AZOP, koji u okviru nacionalnog postupka podupiru Jef Ausloos, Pierre Dewitte, Johnny Ryan, Fundacja Panoptykon, Stichting Bits of Freedom i Ligue des droits Humains VZW, osobito ističe da su nizovi TC string osobni podaci jer CMP‑ovi mogu TC strings povezati s IP adresama, da, osim toga, sudionici TCF‑a također mogu identificirati korisnike na temelju drugih podataka, da udruženje IAB Europe ima pristup informacijama u tu svrhu i da je upravo ta identifikacija korisnika svrha TC Stringsa, čiji je cilj olakšati prodaju ciljanog oglašavanja. K tomu, AZOP tvrdi, među ostalim, da činjenica da društvo IAB Europe treba smatrati voditeljem obrade u smislu OUZP‑a proizlazi iz njegove odlučujuće uloge u obradi TC Stringsa. AZOP dodaje da ta organizacija određuje svrhe i sredstva obrade, način na koji se nizovi TC Strings stvaraju, mijenjaju i čitaju, kako i gdje se pohranjuju potrebni kolačići, tko prima osobne podatke i na temelju kojih kriterija se mogu utvrditi rokovi za pohranu niza TC Strings.
30 Sud koji je uputio zahtjev ima dvojbe u pogledu toga je li TC String, u kombinaciji s IP adresom ili samostalno, osobni podatak i, ako je to slučaj, treba li udruženje IAB Europe smatrati voditeljem obrade osobnih podataka u okviru TCF‑a, osobito s obzirom na obradu TC Stringa. U tom pogledu taj sud navodi da, iako je točno da odluka od 2. veljače 2022. odražava zajedničko stajalište koje su zajednički donijela različita nacionalna nadzorna tijela koja su uključena u ovaj slučaj, Sud još ipak nije imao priliku odlučiti o toj novoj intruzivnoj tehnologiji kao što je TC String.
31 U tim okolnostima hof van beroep te Brussel (Žalbeni sud u Bruxellesu) prekinuo je postupak i Sudu uputio sljedeća prethodna pitanja:
„1. (a) Treba li članak 4. točku 1. [OUZP‑a] u vezi s člancima 7. i 8. [Povelje] tumačiti na način da je niz znakova kojim se preferencije korisnika interneta u kontekstu obrade njegovih osobnih podataka evidentiraju na strukturiran i strojno čitljiv način sa stajališta (1.) sektorske organizacije, koja svojim članovima na raspolaganje stavlja standard kojim im propisuje na koji se način taj niz znakova u praktičnom i tehničkom smislu mora generirati, pohraniti i/ili distribuirati, i sa stajališta (2.) stranaka, koje su taj standard na svojim internetskim stranicama ili u svojim aplikacijama implementirale te stoga na taj način imaju pristup tom nizu znakova, osobni podatak u smislu te odredbe?
(b) Je li s tim u vezi važna okolnost da implementacija standarda podrazumijeva i to da je navedeni niz znakova dostupan zajedno s IP adresom?
(c) Je li odgovor na pitanja u točkama (a) i (b) drukčiji ako sama ta sektorska organizacija koja propisuje standarde nema zakonski pristup osobnim podacima koje njezini članovi obrađuju u okviru tog standarda?
2. (a) Treba li članak 4. točku 7. i članak 24. stavak 1. [OUZP‑a], u vezi s člancima 7. i 8. [Povelje] tumačiti na način da se sektorska organizacija koja propisuje standarde smatra voditeljem obrade ako svojim članovima nudi standard za upravljanje privolama koji osim obvezujućeg tehničkog okvira sadržava odredbe kojima se detaljno utvrđuje kako se ti podaci o privolama, koji predstavljaju osobne podatke, moraju pohranjivati i distribuirati?
(b) Je li odgovor na drugo pitanje u točki (a) drukčiji ako sama ta sektorska organizacija nema zakonski pristup osobnim podacima koje njezini članovi obrađuju u okviru tog standarda?
(c) U slučaju da se sektorska organizacija koja propisuje standarde treba smatrati voditeljem obrade kada je riječ o preferencijama korisnika interneta ili zajedničkim voditeljem obrade, proteže li se u tom slučaju ta (zajednička) odgovornost sektorske organizacije koja propisuje standarde automatski i na daljnju obradu trećih strana kojima su preferencije korisnika interneta stavljene na raspolaganje, poput ciljanog oglašavanja izdavača i prodavatelja?”
O prvom pitanju
32 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. točku 1. OUZP‑a tumačiti na način da se niz koji se sastoji od kombinacije slova i znakova, kao što je TC String, koji sadržava preferencije korisnika interneta ili aplikacije u vezi s privolom tog korisnika za obradu osobnih podataka koji se na njega odnose od strane pružatelja internetskih stranica ili aplikacija te posrednika takvih podataka i reklamnih platformi, smatra osobnim podatkom u smislu te odredbe, ako je sektorska organizacija utvrdila okvir pravila prema kojima taj niz treba generirati, pohranjivati ili diseminirati, a članovi takve organizacije primijenili su takva pravila i stoga imaju pristup navedenom nizu. Taj sud također želi znati je li, u svrhu odgovora na to pitanje, važno, kao prvo, da se navedeni niz povezuje s identifikatorom, kao što je, među ostalim, IP adresa uređaja navedenog korisnika, što omogućuje identifikaciju ispitanika i, kao drugo, da takva sektorska organizacija ima pravo na izravan pristup osobnim podacima koje obrađuju njezini članovi u kontekstu pravila koja je utvrdila.
33 Uvodno valja podsjetiti na to da se, s obzirom na to da je OUZP‑om stavljena izvan snage i zamijenjena Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) i da relevantne odredbe te uredbe imaju doseg koji je u biti istovjetan dosegu relevantnih odredbi te direktive, sudska praksa Suda koja se odnosi na navedenu direktivu u načelu primjenjuje i u pogledu navedene uredbe (presuda od 17. lipnja 2021., M. I. C. M., C‑597/19, EU:C:2021:492, t. 107.).
34 Također valja podsjetiti na to da, u skladu s ustaljenom sudskom praksom, pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 38. kao i navedena sudska praksa).
35 U tom pogledu, valja spomenuti da je u članku 4. točki 1. OUZP‑a navedeno da su osobni podaci „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” te je pojašnjeno da pojedinac čiji se identitet „može utvrditi” jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.
36 Uporaba izraza „svi podaci” u definiciji pojma „osobni podaci” u toj odredbi odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 23., kao i navedena sudska praksa).
37 U tom je pogledu Sud presudio da se informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 24., kao i navedena sudska praksa).
38 Kad je riječ o tome da se identitet neke osobe „može utvrditi”, iz formulacije članka 4. točke 1. OUZP‑a proizlazi da je osoba koja se može utvrditi ona čiji je identitet moguće utvrditi ne samo izravno nego i neizravno.
39 Kao što je Sud već presudio, upotreba pojma „neizravno” od strane zakonodavca Unije ima za cilj istaknuti da za kvalifikaciju informacije kao osobnog podatka nije potrebno da ta informacija sama po sebi omogućuje identifikaciju ispitanika (vidjeti analogijom presudu od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 41). Nasuprot tomu, iz članka 4. točke 5. OUZP‑a, u vezi s uvodnom izjavom 26. te uredbe, proizlazi da bi osobne podatke koji bi se mogli pripisati nekom pojedincu uporabom dodatnih informacija, trebalo smatrati informacijama o pojedincu čiji se identitet može utvrditi (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 58.).
40 Nadalje, u toj uvodnoj izjavi 26. pojašnjeno je da kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir „sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca”. Taj izričaj upućuje na to da kako bi se podatak mogao kvalificirati kao „osobni podatak” u smislu članka 4. točke 1. te uredbe, nije potrebno da se sve informacije koje omogućuju identifikaciju osobe o kojoj je riječ moraju nalaziti u posjedu samo jedne osobe (vidjeti analogijom presudu od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 43.).
41 Iz toga proizlazi da pojam „osobni podaci” ne obuhvaća samo podatke koje prikuplja i pohranjuje voditelj obrade, nego također uključuje sve informacije koje proizlaze iz obrade osobnih podataka koji se odnose na osobu čiji je identitet utvrđen ili se može utvrditi (presuda od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 45.).
42 U ovom slučaju valja istaknuti da niz koji se sastoji od kombinacije slova i znakova, poput TC Stringa, sadržava preferencije korisnika interneta ili aplikacije koje se odnose na privolu tog korisnika za obradu njegovih osobnih podataka od strane trećih osoba ili se odnose na njegovo eventualno protivljenje obradi takvih podataka koja se temelji na navodnom legitimnom interesu u skladu člankom 6. stavkom 1. točkom (f) OUZP‑a.
43 Međutim, iako TC String sam po sebi nije sadržavao elemente koji omogućuju izravnu identifikaciju ispitanika, ostaje činjenica, kao prvo, da sadržava pojedinačne preferencije određenog korisnika u pogledu njegove privole za obradu njegovih osobnih podataka, s obzirom na to da se ti podaci „odnose na pojedinca” u smislu članka 4. točke 1. OUZP‑a.
44 Kao drugo, također je nesporno da, kada su informacije sadržane u TC Stringu povezane s identifikatorom, kao što je među ostalim IP adresa uređaja takvog korisnika, one mogu omogućiti izradu profila navedenog korisnika i stvarnu identifikaciju osobe na koju se takve informacije konkretno odnose.
45 U dijelu u kojem se povezivanjem niza sastavljenog od kombinacije slova i znakova, kao što je TC String, s dodatnim podacima, osobito s IP adresom korisničkog uređaja ili drugim identifikatorima, može utvrditi taj korisnik, valja smatrati da TC String sadržava informacije koje se odnose na korisnika koji se može utvrditi i stoga čini osobni podatak u smislu članka 4. stavka 1. OUZP‑a, što je potkrijepljeno uvodnom izjavom 30. OUZP‑a, koja se izričito odnosi na takav slučaj.
46 To tumačenje ne može se dovesti u pitanje samo okolnošću da udruženje IAB Europe ne može sâmo kombinirati TC String s IP adresom korisničkog uređaja i da ne raspolaže mogućnošću izravnog pristupa podacima koje obrađuju njegovi članovi u okviru TCF‑a.
47 Naime, kao što to proizlazi iz sudske prakse navedene u točki 40. ove presude, takva okolnost nije prepreka tomu da se TC String kvalificira kao „osobni podatak” u smislu članka 4. točke 1. OUZP‑a.
48 Osim toga, iz spisa kojim raspolaže Sud, a osobito iz odluke od 2. veljače 2022., proizlazi da su članovi udruženja IAB Europe tom udruženju na njegov zahtjev dužni dostaviti sve informacije koje mu omogućuju identifikaciju korisnika čiji su podaci predmet niza TC String.
49 Stoga, podložno provjerama koje u tom pogledu mora izvršiti sud koji je uputio zahtjev, udruženje IAB Europe raspolaže, u skladu s onim što se navodi u uvodnoj izjavi 26. OUZP‑a, razumnim sredstvima koja mu omogućuju identifikaciju određenog pojedinca putem TC Stringa, zahvaljujući informacijama koje su mu njegovi članovi i druge organizacije koje sudjeluju u TCF‑u dužni pružiti.
50 Iz prethodno navedenog proizlazi da je TC String osobni podatak u smislu članka 4. točke 1. OUZP‑a. U tom pogledu nije relevantna činjenica da bez vanjskog doprinosa koji ima pravo zahtijevati, takva sektorska organizacija ne može pristupiti podacima koje obrađuju njezini članovi u okviru pravila koja je utvrdila niti kombinirati TC String s drugim identifikatorima, kao što je, među ostalim, IP adresa korisničkog uređaja.
51 S obzirom na prethodno navedeno, na prvo pitanje valja odgovoriti tako da članak 4. točku 1. OUZP‑a treba tumačiti na način da niz koji se sastoji od kombinacije slova i znakova, kao što je TC String, koji sadržava preferencije korisnika interneta ili aplikacije koje se odnose na privolu tog korisnika za obradu njegovih osobnih podataka od strane pružatelja internetskih stranica ili aplikacija, kao i posrednika takvih podataka i reklamnih platformi, jest osobni podatak u smislu te odredbe u dijelu u kojem ga je moguće, razumnim sredstvima, povezati s identifikatorom, kao što je među ostalim IP adresa uređaja navedenog korisnika, što omogućuje identifikaciju ispitanika. U takvim uvjetima okolnost da bez vanjskog doprinosa sektorska organizacija koja raspolaže tim nizom ne može pristupiti podacima koje obrađuju njezini članovi u okviru pravila koja je uspostavila niti kombinirati navedeni niz s drugim elementima ne protivi se tomu da isti niz čini osobni podatak u smislu navedene odredbe.
Drugo pitanje
52 Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. točku 7. OUZP‑a tumačiti na način da:
– s jedne strane, sektorsku organizaciju, u dijelu u kojem svojim članovima nudi okvir pravila koja je utvrdila u pogledu privole u području obrade osobnih podataka, a koji ne sadržava samo obvezujuća tehnička pravila, nego i pravila kojima se detaljno uređuju načini pohranjivanja i širenja osobnih podataka u vezi s tom privolom, treba smatrati „voditeljem obrade” u smislu te odredbe i je li za potrebe odgovora na to pitanje važno da takva sektorska organizacija sama ima izravan pristup osobnim podacima koje obrađuju njezini članovi u okviru navedenih pravila;
– s druge strane, eventualna zajednička odgovornost navedene sektorske organizacije automatski se proširuje na naknadnu obradu osobnih podataka koju provode treće strane, kao što su pružatelji internetskih stranica ili aplikacija, u pogledu preferencija korisnika u svrhu ciljanog internetskog oglašavanja.
53 Uvodno valja podsjetiti na to da je cilj OUZP‑a, kao što to proizlazi iz njegova članka 1. i uvodnih izjava 1. i 10., među ostalim, osiguranje visoke razine zaštite temeljnih prava i sloboda pojedinaca, osobito njihova prava na privatnost u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje i članku 16. stavku 1. UFEU‑a (presuda od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronička sudska kutija), C‑60/22, EU:C:2023:373, t. 64.).
54 U skladu s tim ciljem, članak 4. točka 7. te uredbe široko definira pojam „voditelj obrade”, tako da on obuhvaća fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i sredstva obrade osobnih podataka.
55 Naime, kao što je to Sud već naglasio, cilj je te odredbe da širokom definicijom pojma „voditelj obrade” osigura učinkovitu i potpunu zaštitu ispitanikâ (vidjeti analogijom presudu od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 28.).
56 Usto, s obzirom na to da – kao što se to izričito predviđa člankom 4. točkom 7. OUZP‑a – pojam „voditelj obrade” obuhvaća tijelo koje „samo ili zajedno s drugima” utvrđuje svrhu i sredstva obrade osobnih podataka, taj pojam ne upućuje nužno na jedno tijelo te se može odnositi na više sudionika u obradi, pri čemu svaki od njih podliježe odredbama koje se primjenjuju u području zaštite podataka (vidjeti analogijom presude od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 29. i od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 65.).
57 Sud je također smatrao da se fizička ili pravna osoba koja radi ostvarenja vlastitih ciljeva utječe na obradu osobnih podataka i stoga sudjeluje u utvrđivanju svrha i sredstava te obrade može smatrati voditeljem obrade u smislu članka 4. točke 7. OUZP‑a (vidjeti analogijom presudu od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 68.). U skladu s člankom 26. stavkom 1. OUZP‑a, „zajednički voditelji obrade” postoje ako dvoje ili više voditelja obrade zajednički odrede svrhe i sredstva obrade (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 40.).
58 U tom pogledu, iako svaki zajednički voditelj obrade mora samostalno odgovarati definiciji „voditelja obrade” iz članka 4. točke 7. OUZP‑a, postojanje zajedničke odgovornosti ne znači nužno jednaku odgovornost različitih dionika za istu obradu osobnih podataka. Naprotiv, ti subjekti mogu biti uključeni u tu obradu u različitim fazama i stupnjevima, tako da razinu odgovornosti svakog od njih valja procjenjivati vodeći računa o svim relevantnim okolnostima dotičnog slučaja. Osim toga, u slučaju postojanja zajedničke odgovornosti više subjekata za istu obradu ne zahtijeva se da svaki od njih ima pristup osobnim podacima o kojima je riječ (vidjeti analogijom presudu od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 66. i 69. i navedenu sudsku praksu).
59 Sudjelovanje u određivanju svrha i sredstava obrade može imati različite oblike, pri čemu ono može proizlaziti iz zajedničke odluke dvaju ili više subjekata ili iz usklađenih odluka takvih subjekata. U potonjem slučaju navedene se odluke moraju nadopunjavati tako da svaka od njih ima konkretan učinak na određivanje svrha i sredstava obrade. Suprotno tomu, ne može se zahtijevati postojanje formalnog dogovora između tih voditelja obrade u pogledu svrha i sredstava obrade (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 43. i 44.).
60 S obzirom na prethodno navedeno, valja utvrditi da se prvim dijelom drugog postavljenog pitanja nastoji odrediti može li se sektorska organizacija, poput udruženja IAB Europe, smatrati zajedničkim voditeljem obrade u smislu članka 4. točke 7. i članka 26. stavka 1. OUZP‑a.
61 Stoga je u tu svrhu važno ocijeniti, s obzirom na posebne okolnosti konkretnog slučaja, utječe li ona, radi ostvarenja vlastitih ciljeva, na obradu osobnih podataka, kao što je TC String, i utvrđuje li, zajedno s drugima, svrhu i sredstva takve obrade.
62 Što se tiče, kao prvo, svrhe takve obrade osobnih podataka, pod uvjetom da to provjeri sud koji je uputio zahtjev, iz spisa kojim raspolaže Sud proizlazi da je, kao što je to navedeno u točkama 21. i 22. ove presude, TCF koji je uspostavilo udruženje IAB Europe okvir pravila kojim se nastoji osigurati usklađenost s OUZP‑om obrade osobnih podataka korisnika internetske stranice ili aplikacije koju provode određeni subjekti koji sudjeluju u internetskoj dražbi oglasnog prostora.
63 U tim okolnostima, cilj TCF‑a je, u biti, olakšati i omogućiti prodaju i kupnju oglasnog prostora na internetu od strane navedenih subjekata.
64 Stoga se može smatrati, podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, da udruženje IAB Europe utječe, radi ostvarenja vlastitih ciljeva, na postupke obrade osobnih podataka o kojima je riječ u glavnom postupku i stoga, zajedno sa svojim članovima, određuje svrhe takvih postupaka.
65 Kao drugo, kad je riječ o sredstvima koja se koriste za takvu obradu osobnih podataka, iz spisa kojim raspolaže Sud proizlazi, podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, da je TCF okvir pravila koja članovi udruženja IAB Europe trebaju prihvatiti kako bi pristupili tom udruženju. Konkretno, kao što je to na raspravi pred Sudom potvrdilo to udruženje, ako jedan od njegovih članova ne postupi u skladu s pravilima TCF‑a, IAB Europe može u pogledu tog člana donijeti odluku o neusklađenosti i suspenziji koja može dovesti do isključenja navedenog člana iz TCF‑a i stoga ga spriječiti da se pozove na jamstvo usklađenosti s OUZP‑om koje bi trebalo biti pruženo tim mehanizmom za obradu osobnih podataka koju taj član provodi pomoću niza TC Strings.
66 Nadalje, s praktičnog stajališta, kao što je navedeno u točki 21. ove presude, TCF koji je uspostavilo udruženje IAB Europe sadržava tehničke specifikacije koje se odnose na obradu niza TC String. Konkretno, čini se da se u tim specifikacijama precizno opisuje način na koji CMP‑ovi moraju prikupljati preferencije korisnika u vezi s obradom njihovih osobnih podataka kao i način na koji se takve preferencije trebaju obrađivati kako bi se izradio TC String. Osim toga, utvrđena su i precizna pravila u pogledu sadržaja TC Stringa te njegova pohranjivanja i dijeljenja.
67 Iz odluke od 2. veljače 2022. osobito proizlazi da udruženje IAB Europe u okviru tih pravila propisuje, među ostalim, standardizirani način na koji različite stranke uključene u TCF mogu biti obaviještene o preferencijama, prigovorima i privolama korisnika sadržanima u TC Stringsu.
68 U tim okolnostima i podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, treba smatrati da sektorska organizacija poput udruženja IAB Europe utječe, radi ostvarenja vlastitih ciljeva, na postupke obrade osobnih podataka o kojima je riječ u glavnom postupku i stoga, zajedno sa svojim članovima, određuje sredstva pomoću kojih se izvode takvi postupci. Iz toga slijedi da je treba smatrati „zajedničkim voditeljem obrade” u smislu članka 4. točke 7. i članka 26. stavka 1. OUZP‑a, u skladu sa sudskom praksom navedenom u točki 57. ove presude.
69 Okolnost koju navodi sud koji je uputio zahtjev, a prema kojoj sama takva sektorska organizacija nema izravan pristup nizu TC Strings, a time ni osobnim podacima koje u okviru navedenih pravila obrađuju njezini članovi, s kojima zajednički utvrđuje svrhe i sredstva obrade tih podataka, nije prepreka, u skladu sa sudskom praksom navedenom u točki 58. ove presude, njezinu kvalificiranju kao „voditelja obrade” u smislu tih odredbi.
70 Usto, kao odgovor na dvojbe tog suda, valja isključiti to da se eventualna zajednička odgovornost te sektorske organizacije automatski proširuje na naknadne obrade osobnih podataka koje provode treće osobe, poput pružatelja internetskih stranica ili aplikacija, što se tiče preferencija korisnika za potrebe ciljanog oglašavanja na internetu.
71 U tom pogledu valja navesti, s jedne strane, da se u članku 4. točki 2. OUZP‑a „obrada” osobnih podataka definira kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.
72 Iz te definicije proizlazi da obradu osobnih podataka mogu činiti jedan ili više postupaka, pri čemu se svaki od njih odnosi na različitu fazu te obrade.
73 S druge strane, kao što je Sud već presudio, iz članka 4. točke 7. i članka 26. stavka 1. OUZP‑a proizlazi da se fizička ili pravna osoba može smatrati zajedničkim voditeljem postupaka obrade osobnih podataka samo ako zajednički utvrđuje svrhe i sredstva te obrade. Posljedično tomu, i ne dovodeći u pitanje moguću građansku odgovornost predviđenu u tom pogledu nacionalnim pravom, takva fizička ili pravna osoba ne može se smatrati voditeljem u smislu navedenih odredbi ranijih ili kasnijih postupaka obrade u odnosu na niz obrade čiju svrhu i sredstva ne utvrđuje (vidjeti analogijom presudu od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 74.).
74 U ovom slučaju valja razlikovati, s jedne strane, obradu osobnih podataka koju provode članovi udruženja IAB Europe, odnosno pružatelji internetskih stranica ili aplikacija kao i posrednici podataka ili reklamne platforme, kad su preferencije u vezi s privolom dotičnih korisnika zabilježene u nizu TC String u skladu s okvirom pravila utvrđenim u TCF‑u i, s druge strane, naknadnu obradu osobnih podataka koju provode ti subjekti i treće osobe na temelju tih preferencija, kao što su prijenos tih podataka trećim stranama ili ponuda personaliziranog oglašavanja tim korisnicima.
75 Naime, čini se da ta naknadna obrada, podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, ne podrazumijeva sudjelovanje udruženja IAB Europe, tako da valja isključiti automatsku odgovornost takve organizacije, zajedno s navedenim subjektima i trećim stranama, kad je riječ o obradi osobnih podataka koja se provodi na temelju podataka o preferencijama dotičnih korisnika sadržanih u nizu TC String.
76 Stoga se sektorska organizacija poput udruženja IAB Europe može smatrati odgovornom za takve naknadne obrade samo kad je utvrđeno da je ona utjecala na utvrđivanje svrhe i sredstava tih obrada, što je na sudu koji je uputio zahtjev da provjeri s obzirom na sve relevantne okolnosti glavnog predmeta.
77 S obzirom na sva prethodna razmatranja, na drugo pitanje valja odgovoriti tako da članak 4. točku 7. i članak 26. stavak 1. OUZP‑a treba tumačiti na način da:
– s jedne strane, sektorsku organizaciju, u dijelu u kojem svojim članovima predlaže okvir pravila koja je uspostavila u vezi s privolom za obradu osobnih podataka, koji ne sadržava samo obvezujuća tehnička pravila, nego i pravila kojima se detaljno određuju načini pohranjivanja i širenja osobnih podataka u vezi s tom privolom, treba smatrati „zajedničkim voditeljem obrade” u smislu tih odredbi ako, s obzirom na posebne okolnosti konkretnog slučaja, utječe, rai ostvarenja vlastitih ciljeva, na dotičnu obradu osobnih podataka i zbog toga zajedno sa svojim članovima određuje svrhe i sredstva takve obrade. Okolnost da takva sektorska organizacija sâma nema izravan pristup osobnim podacima koje obrađuju njezini članovi u okviru navedenih pravila nije prepreka tomu da ona može imati svojstvo zajedničkog voditelja obrade u smislu navedenih odredbi;
– s druge strane, zajednička odgovornost navedene sektorske organizacije ne proteže se automatski na daljnju obradu osobnih podataka koju provode treće osobe, poput pružatelja internetskih stranica ili aplikacija, što se tiče preferencija korisnika u svrhu ciljanog oglašavanja na internetu.
Troškovi
78 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (četvrto vijeće) odlučuje:
1. Članak 4. točku 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da:
niz koji se sastoji od kombinacije slova i znakova, kao što je TC String (Transparency and Consent String), koji sadržava preferencije korisnika interneta ili aplikacije koje se odnose na privolu tog korisnika za obradu njegovih osobnih podataka od strane pružatelja internetskih stranica ili aplikacija, kao i od strane posrednika takvih podataka i reklamnih platformi, jest osobni podatak u smislu te odredbe u dijelu u kojem ga je moguće, razumnim sredstvima, povezati s identifikatorom, kao što je među ostalim IP adresa uređaja navedenog korisnika, što omogućuje identifikaciju ispitanika. U takvim uvjetima okolnost da bez vanjskog doprinosa sektorska organizacija koja raspolaže tim nizom ne može pristupiti podacima koje obrađuju njezini članovi u okviru pravila koja je uspostavila niti kombinirati navedeni niz s drugim elementima ne protivi se tomu da isti niz čini osobni podatak u smislu navedene odredbe.
2. Članak 4. točku 7. i članak 26. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
– s jedne strane, sektorsku organizaciju, u dijelu u kojem svojim članovima predlaže okvir pravila koja je uspostavila u vezi s privolom za obradu osobnih podataka, koji ne sadržava samo obvezujuća tehnička pravila, nego i pravila kojima se detaljno određuju načini pohranjivanja i širenja osobnih podataka u vezi s tom privolom, treba smatrati „zajedničkim voditeljem obrade” u smislu tih odredbi ako, s obzirom na posebne okolnosti konkretnog slučaja, utječe, radi ostvarenja vlastitih ciljeva, na dotičnu obradu osobnih podataka i zbog toga zajedno sa svojim članovima određuje svrhe i sredstva takve obrade. Okolnost da takva sektorska organizacija sâma nema izravan pristup osobnim podacima koje obrađuju njezini članovi u okviru navedenih pravila nije prepreka tomu da ona može imati svojstvo zajedničkog voditelja obrade u smislu navedenih odredbi;
– s druge strane, zajednička odgovornost navedene sektorske organizacije ne proteže se automatski na daljnju obradu osobnih podataka koju provode treće osobe, poput pružatelja internetskih stranica ili aplikacija, što se tiče preferencija korisnika u svrhu ciljanog oglašavanja na internetu.
Potpisi