Domstolens dom (Fjerde Afdeling) af 7. marts 2024 – IAB Europe mod Gegevensbeschermingsautoriteit (anmodning om præjudiciel afgørelse fra Hof van beroep te Brussel – Belgien)
(Sag C-604/22, IAB Europe) 1
(Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – regelgivende brancheorganisation, der for sine medlemmer opstiller bestemmelser for behandling af brugernes samtykke – artikel 4, nr. 1) – begrebet »personoplysninger« – bogstavs- og tegnrække, som på en struktureret og maskinlæsbar måde fanger en internetbrugers præferencer i forbindelse med behandlingen af dennes personoplysninger – artikel 4, nr. 7) – begrebet »dataansvarlig« – artikel 26, stk. 1 – begrebet »fælles dataansvarlige« – organisation, der ikke selv har adgang til de personoplysninger, som behandles af dens medlemmer – organisationens ansvar omfatter også tredjemands efterfølgende behandlinger af oplysninger)
Processprog: nederlandsk
Den forelæggende ret
Hof van beroep te Brussel
Parter i hovedsagen
Sagsøger: IAB Europe
Sagsøgt: Gegevensbeschermingsautoriteit
Procesdeltagere: Jef Ausloos, Pierre Dewitte, Johnny Ryan, Fundacja Panoptykon, Stichting Bits of Freedom og Ligue des Droits Humains VZW
Konklusion
Artikel 4, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
en bogstavs- og tegnrække, såsom TC String (Transparency and Consent String), der indeholder en internet- eller applikationsbrugers præferencer vedrørende den pågældende brugers samtykke til, at udbydere af internetsider eller -applikationer og datamæglere samt reklameplatforme kan behandle personoplysninger om vedkommende, udgør en personoplysning som omhandlet i denne bestemmelse, når denne personoplysning ved brug af rimelige midler kan forbindes med en identifikator, såsom bl.a. IP-adressen på den berørte brugers udstyr, der gør det muligt at identificere den registrerede. Den omstændighed, at en brancheorganisation, der er indehaver af en sådan bogstavs- og tegnrække, uden et eksternt bidrag, hverken kan få adgang til de oplysninger, som dens medlemmer behandler i henhold til de regler, som organisationen har fastsat, eller kombinere den pågældende bogstavs- og tegnrække med andre identifikatorer, er ikke til hinder for, at samme kæde udgør en personoplysning som omhandlet i denne bestemmelse.
Artikel 4, nr. 7), og artikel 26, stk. 1, i forordning 2016/679
skal fortolkes således, at
for så vidt som en brancheorganisation tilbyder sine medlemmer en ramme af regler, som den har fastsat vedrørende samtykke til behandling af personoplysninger, der ikke blot indeholder bindende tekniske forskrifter, men ligeledes forskrifter, hvori det detaljeret fastsættes, hvorledes personoplysninger om dette samtykke skal lagres og distribueres, skal den for det første anses for at være »fælles dataansvarlig« som omhandlet i disse bestemmelser, såfremt den pågældende brancheorganisation, henset til de særlige omstændigheder i den foreliggende sag, til egne formål har indflydelse på behandlingen af personoplysninger og som følge heraf sammen med sine medlemmer afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; den omstændighed, at en sådan brancheorganisation ikke selv har direkte adgang til de personoplysninger, som dens medlemmer behandler inden for rammerne af de nævnte regler, er ikke til hinder for, at den kan anses for fælles dataansvarlig som omhandlet i disse bestemmelser
den nævnte brancheorganisations fælles ansvar for det andet ikke omfatter automatisk efterfølgende behandlinger af personoplysninger, der foretages af tredjeparter, såsom udbydere af internetsider eller -applikationer, for så vidt angår brugernes præferencer med henblik på målrettet online-reklame.
____________
1 EUT C 482 af 19.12.2022.