Απόφαση του Δικαστηρίου (τέταρτο τμήμα) της 7ης Μαρτίου 2024 [αίτηση του hof van beroep te Brussel (Βέλγιο) για την έκδοση προδικαστικής αποφάσεως] – IAB Europe κατά Gegevensbeschermingsautoriteit
(Υπόθεση C-604/22 1 , IAB Europe)
[Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Ρυθμιστική κλαδική οργάνωση που προτείνει στα μέλη της κανόνες σχετικά με την επεξεργασία της συγκατάθεσης των χρηστών – Άρθρο 4, σημείο 1 – Έννοια των «δεδομένων προσωπικού χαρακτήρα» – Συμβολοσειρά αποτελούμενη από γράμματα και χαρακτήρες η οποία καταγράφει, κατά τρόπο δομημένο και αναγνώσιμο από μηχάνημα, τις προτιμήσεις ενός χρήστη του διαδικτύου σχετικά με τη συγκατάθεσή του ως προς την επεξεργασία των προσωπικών του δεδομένων – Άρθρο 4, σημείο 7 – Έννοια του «υπευθύνου επεξεργασίας» – Άρθρο 26, παράγραφος 1 – Έννοια των «από κοινού υπευθύνων επεξεργασίας» – Οργάνωση η οποία δεν έχει η ίδια πρόσβαση στα προσωπικά δεδομένα που επεξεργάζονται τα μέλη της – Ευθύνη της οργάνωσης η οποία καταλαμβάνει τη μεταγενέστερη επεξεργασία δεδομένων από τρίτους]
Γλώσσα διαδικασίας: η ολλανδική
Αιτούν δικαστήριο
Ηof van beroep te Brussel
Διάδικοι στην υπόθεση της κύριας δίκης
IAB Europe
κατά
Gegevensbeschermingsautoriteit
παρισταμένων των: Jef Ausloos, Pierre Dewitte, Johnny Ryan, Fundacja Panoptykon, Stichting Bits of Freedom, Ligue des Droits Humains VZW
Διατακτικό
Το άρθρο 4, σημείο 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
συμβολοσειρά αποτελούμενη από συνδυασμό γραμμάτων και χαρακτήρων, όπως η TC String (Transparency and Consent String), η οποία περιέχει τις προτιμήσεις ενός χρήστη του διαδικτύου ή εφαρμογής σχετικά με τη συγκατάθεση του χρήστη αυτού στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν από παρόχους ιστοτόπων ή εφαρμογών καθώς και από μεσίτες τέτοιων δεδομένων και από διαφημιστικές πλατφόρμες, συνιστά δεδομένο προσωπικού χαρακτήρα κατά την έννοια της ανωτέρω διάταξης στο μέτρο που η εν λόγω συμβολοσειρά, όταν μπορεί, με εύλογα μέσα, να συνδεθεί με αναγνωριστικό στοιχείο ταυτότητας, όπως είναι ιδίως η διεύθυνση IP της συσκευής του χρήστη, καθιστά δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων. Υπό τις συνθήκες αυτές, το γεγονός ότι, χωρίς εξωτερική συμβολή, μια κλαδική οργάνωση η οποία έχει στην κατοχή της τη συμβολοσειρά δεν μπορεί ούτε να έχει πρόσβαση στα δεδομένα που επεξεργάζονται τα μέλη της στο πλαίσιο των κανόνων που αυτή έχει θεσπίσει ούτε να συνδυάσει τη συμβολοσειρά με άλλα στοιχεία δεν αποκλείει να συνιστά η εν λόγω συμβολοσειρά δεδομένο προσωπικού χαρακτήρα κατά την έννοια της ανωτέρω διάταξης.
Το άρθρο 4, σημείο 7, και το άρθρο 26, παράγραφος 1, του κανονισμού 2016/679
έχουν την έννοια ότι:
αφενός, μια κλαδική οργάνωση, στο μέτρο που προτείνει στα μέλη της πλαίσιο κανόνων το οποίο έχει καθορίσει η ίδια σχετικά με τη συγκατάθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα και το οποίο περιέχει όχι μόνον δεσμευτικούς τεχνικούς κανόνες, αλλά και κανόνες που καθορίζουν λεπτομερώς τον τρόπο αποθήκευσης και διάδοσης των δεδομένων προσωπικού χαρακτήρα που αφορούν τη συγκατάθεση αυτή, πρέπει να χαρακτηριστεί ως «από κοινού υπεύθυνος επεξεργασίας», κατά την έννοια των ανωτέρω διατάξεων, εάν, λαμβανομένων υπόψη των ιδιαίτερων περιστάσεων της συγκεκριμένης περίπτωσης, η εν λόγω οργάνωση επηρεάζει, για δικούς της σκοπούς, την επίμαχη επεξεργασία δεδομένων προσωπικού χαρακτήρα και καθορίζει, ως εκ τούτου, από κοινού με τα μέλη της, τους σκοπούς και τα μέσα της επεξεργασίας αυτής. Το γεγονός ότι μια τέτοια κλαδική οργάνωση δεν έχει η ίδια άμεση πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που επεξεργάζονται τα μέλη της στο πλαίσιο των κανόνων αυτών δεν αποκλείει το ενδεχόμενο να έχει η εν λόγω οργάνωση την ιδιότητα του από κοινού υπευθύνου επεξεργασίας, κατά την έννοια των ανωτέρω διατάξεων·
αφετέρου, η από κοινού ευθύνη της εν λόγω κλαδικής οργάνωσης δεν εκτείνεται αυτομάτως στη μεταγενέστερη επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από τρίτους, όπως είναι οι πάροχοι ιστοτόπων ή εφαρμογών, όσον αφορά τις προτιμήσεις των χρηστών για τους σκοπούς της στοχευμένης διαδικτυακής διαφήμισης.
____________
1 ΕΕ C 482, της 19.12.2022.