Kawża C‑604/22
IAB Europe
vs
Gegevensbeschermingsautoriteit
(talba għal deċiżjoni preliminari, imressqa mill-hof van beroep te Brussel)
Sentenza tal-Qorti tal-Ġustizzja (Ir‑Raba’ Awla) tas‑7 ta’ Marzu 2024
“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Organizzazzjoni settorjali normattiva li toffri lill-membri tagħha regoli dwar l-ipproċessar tal-kunsens tal-utenti – Il-punt 1 tal-Artikolu 4 – Kunċett ta’ ‘data personali’ – Sekwenza ta’ ittri u karattri li jiġbru, b’mod strutturat u li jinqara minn magna, il-preferenzi ta’ utent tal-internet dwar il-kunsens ta’ dan l-utent fir-rigward tal-ipproċessar tad-data personali tiegħu – Il-punt 7 tal-Artikolu 4 – Kunċett ta’ ‘kontrollur tad-data’ – Artikolu 26(1) – Kunċett ta’ ‘kontrolluri konġunti tad-data’ – Organizzazzjoni li ma għandhiex, hija stess, aċċess għad-data personali pproċessata mill-membri tagħha – Responsabbiltà tal-organizzazzjoni li testendi għall-ipproċessar ulterjuri ta’ data minn terzi”
1. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kunċett ta’ data personali – Sekwenza ta’ ittri u ta’ karattri li żżomm il-preferenzi ta’ utent tal-internet dwar il-kunsens tiegħu għall-ipproċessar tad-data personali tiegħu – Inklużjoni – Kundizzjoni – Sekwenza li tippermetti li jiġi identifikat is-suġġett tad-data – Impossibbiltà għal organizzazzjoni settorjali li żżomm din is-sekwenza milli jkollha aċċess għad-data pproċessata mill-membri tagħha jew li tgħaqqad l-imsemmija sekwenza ma’ elementi oħra – Assenza ta’ effett
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt 1 tal-Artikolu 4)
(ara l-punti 41 sa 51, u d-dispożittiv 1)
2. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Kunċett ta’ kontrolluri konġunti tad-data – Organizzazzjoni settorjali normattiva li toffri lill-membri tagħha regoli dwar l-ipproċessar tal-kunsens tal-utenti – Inklużjoni – Kundizzjoni – Influwenza ta’ din l-organizzazzjoni fuq l-ipproċessar ta’ data personali kkonċernat kif ukoll id-determinazzjoni minnha, flimkien mal-membri tagħha, tal-finijiet u tal-mezzi ta’ tali pproċessar – Organizzazzjoni li ma għandhiex aċċess dirett għad-data personali pproċessata mill-membri tagħha – Assenza ta’ effett
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt 7 tal-Artikolu 4 u l-Artikolu 26(1))
(ara l-punti 57 sa 68, 77, u d-dispożittiv 2)
3. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Responsabbiltà konġunta tal-ipproċessar – Organizzazzjoni settorjali normattiva li toffri lill-membri tagħha regoli dwar l-ipproċessar tal-kunsens tal-utenti – Responsabbiltà konġunta ta’ din l-organizzazzjoni testendi awtomatikament għall-ipproċessar ulterjuri ta’ data minn terzi – Assenza
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, il-punt 7 tal-Artikolu 4 u l-Artikolu 26(1))
(ara l-punti 74 sa 77, u d-dispożittiv 2)
Sunt
Adita b’talba għal deċiżjoni preliminari, il-Qorti tal-Ġustizzja tippreċiża, minn naħa, il-kunċett ta’ “data personali” (1) u, min-naħa l-oħra, il-kundizzjonijiet li fihom organizzazzjoni settorjali, sa fejn tipproponi lill-membri tagħha qafas ta’ regoli dwar il-kunsens tal-ipproċessar ta’ data personali, għandha tiġi kklassifikata bħala “kontrollur konġunt tad-data” (2). Il-Qorti tal-Ġustizzja tistabbilixxi wkoll il-limiti tar-responsabbiltà konġunta ta’ tali organizzazzjoni.
IAB Europe hija assoċjazzjoni mingħajr skop ta’ lukru stabbilita fil-Belġju li tirrappreżenta lill-kumpaniji tas-settur tal-industrija tar-reklamar u tal-kummerċjalizzazzjoni diġitali fil-livell Ewropew.
IAB Europe żviluppat it-Transparency & Consent Framework (qafas ta’ trasparenza u ta’ kunsens, iktar ’il quddiem it-“TCF”), qafas ta’ regoli intiżi li jiżguraw il-konformità mal-GDPR tal-ipproċessar ta’ data personali ta’ utent ta’ sit internet jew ta’ applikazzjoni mwettqa minn ċerti operaturi. It-TCF jippromwovi l-osservanza tal-GDPR meta dawn l-operaturi jagħmlu użu mill-protokoll OpenRTB, użat għar-Real Time bidding, sistema ta’ bejgħ bl-irkant online instantanju u awtomatizzat ta’ profili tal-utenti għall-finijiet tal-bejgħ u tax-xiri ta’ spazji ta’ reklamar fuq l-internet.
F’dan il-kuntest, it-TCF jiffaċilita r-reġistrazzjoni tal-preferenzi tal-utenti li mbagħad jiġu kkodifikati u maħżuna f’sekwenza komposta minn taħlita ta’ ittri u karattri msejħa minn IAB Europe bl-isem Transparency and Consent String (iktar ’il quddiem it-“TC String”). Dan tal-aħħar huwa kondiviż ma’ sensara ta’ data personali u pjattaformi ta’ reklamar li jipparteċipaw fil-protokoll OpenRTB, sabiex dawn ikunu jafu dak li l-utent ta għalih il-kunsens tiegħu jew le. Cookie jitqiegħed ukoll fuq l-apparat tal-utent li, flimkien mat-TC String, jista’ jkun marbut mal-indirizz IP ta’ dan l-utent.
Wara diversi lmenti kontra IAB Europe, l-Awla ta’ Ġurisdizzjoni Kontenzjuża tal-Gegevensbeschermingsautoriteit (l-Awtorità għall-Protezzjoni tad-Data, il-Belġju), permezz tad-deċiżjoni tagħha tat‑2 ta’ Frar 2022, ordnat lil IAB Europe, responsabbli għall-ipproċessar tad-data, tikkonforma l-ipproċessar tad-data mwettaq fil-kuntest tat-TCF mad-dispożizzjonijiet tal-GDPR.
IAB Europe ppreżentat rikors kontra din id-deċiżjoni quddiem il-hof van beroep te Brussel (il-Qorti tal-Appell ta’ Brussell, il-Belġju). Peress li kellha dubji dwar jekk TC String, flimkien ma’ indirizz IP jew le, jikkostitwixxix data personali u, jekk ikun il-każ, jekk IAB Europe għandhiex tiġi kklassifikata bħala kontrollur tad-data fil-kuntest tat-TCF, b’mod partikolari fir-rigward tal-ipproċessar tat-TC String, il-hof van beroep te Brussel (il-Qorti tal-Appell ta’ Brussell), ressqet talba għal deċiżjoni preliminari quddiem il-Qorti tal-Ġustizzja.
Il‑kunsiderazzjonijiet tal‑Qorti tal‑Ġustizzja
Fl-ewwel lok, il-Qorti tal-Ġustizzja rrilevat li sekwenza komposta minn taħlita ta’ ittri u ta’ karattri, bħat-TC String, tinkludi l-preferenzi ta’ utent tal-internet jew ta’ applikazzjoni dwar il-kunsens ta’ dan l-utent għall-ipproċessar minn terzi ta’ data personali li tikkonċernah jew relatata mal-oppożizzjoni eventwali tiegħu għal ipproċessar ta’ tali data bbażata fuq allegat interess leġittimu (3).
F’dan ir-rigward, il-Qorti tal-Ġustizzja tikkunsidra li, sa fejn il-fatt li t-TC String jiġi assoċjat mal-indirizz IP tal-apparat ta’ utent jew ma’ identifikaturi oħra jippermetti li jiġi identifikat dan l-utent, it-TC String fih informazzjoni dwar utent identifikabbli u jikkostitwixxi għalhekk data personali (4). Barra minn hekk, il-fatt li IAB Europe ma tistax tgħaqqad hija stess it-TC String mal-indirizz IP tal-apparat ta’ utent u ma għandhiex il-possibbiltà li taċċedi direttament għad-data pproċessata mill-membri tagħha fil-kuntest tat-TCF ma jipprekludix li TC String jiġi kklassifikat bħala “data personali” (5).
Mill-bqija, il-membri ta’ IAB Europe huma obbligati jikkomunikawlha, fuq talba tagħha, l-informazzjoni kollha li tippermettilha tidentifika l-utenti li d-data tagħhom hija s-suġġett ta’ TC String. Għalhekk jidher, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, li IAB Europe għandha mezzi raġonevoli li jippermettulha tidentifika persuna fiżika partikolari minn TC String, permezz tal-informazzjoni li l-membri tagħha u organizzazzjonijiet oħra li jipparteċipaw fit-TCF huma obbligati jipprovdulha (6).
Għalhekk, il-Qorti tal-Ġustizzja tikkonkludi li TC String jikkostitwixxi data personali, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR. Ftit jimporta li, mingħajr kontribuzzjoni esterna li hija għandha d-dritt li teżiġi, tali organizzazzjoni settorjali la tkun tista’ taċċedi għad-data li hija pproċessata mill-membri tagħha fil-kuntest tar-regoli li hija stabbilixxiet u lanqas ma tkun tista’ tgħaqqad lit-TC String ma’ identifikaturi oħra, bħall-indirizz IP tal-apparat ta’ utent.
Fit-tieni lok, il-Qorti tal-Ġustizzja teżamina jekk IAB Europe tistax titqies bħala kontrollur konġunt tad-data (7). Sabiex tagħmel dan, hija għandha tevalwa jekk hija taffettwax, għall-finijiet tiegħu stess, l-ipproċessar ta’ data personali, bħat-TC String, u tiddeterminax, flimkien ma’ oħrajn, il-finijiet u l-mezzi ta’ tali pproċessar.
Fir-rigward, qabelxejn, tal-finijiet ta’ tali pproċessar ta’ data, il-Qorti tal-Ġustizzja tinnota li t-TCF stabbilit minn IAB Europe huwa intiż, essenzjalment, sabiex jiffavorixxi u jippermetti l-bejgħ u x-xiri ta’ spazji ta’ reklamar fuq l-internet minn ċerti operaturi li jipparteċipaw fil-bejgħ bl-irkant online ta’ spazji ta’ reklamar. Għaldaqstant, bla ħsara għall-verifiki li għandha twettaq il-qorti tar-rinviju, IAB Europe tinfluwenza, għal finijiet speċifiċi għaliha, l-operazzjonijiet ta’ pproċessar ta’ data personali u tiddetermina, minħabba f’hekk, flimkien mal-membri tagħha, il-finijiet ta’ tali operazzjonijiet.
Sussegwentement, fir-rigward tal-mezzi użati għall-finijiet ta’ dan l-istess trattament, il-Qorti tal-Ġustizzja tikkonstata, bla ħsara għall-verifiki mwettqa mill-qorti tar-rinviju, li t-TCF jikkostitwixxi qafas ta’ regoli li l-membri ta’ IAB Europe huma mistennija jaċċettaw sabiex jaderixxu ma’ din l-assoċjazzjoni. B’mod partikolari, jekk wieħed mill-membri tagħha ma jikkonformax ma’ dawn ir-regoli, IAB Europe tista’ tadotta deċiżjoni ta’ nuqqas ta’ konformità u ta’ sospensjoni li tista’ twassal għall-esklużjoni tal-imsemmi membru tat-TCF u tipprekludih milli jinvoka l-garanzija ta’ konformità mal-GDPR ipprovduta mit-TCF għall-ipproċessar ta’ data mwettaq permezz tat-TC Strings. Barra minn hekk, it-TCF stabbilit minn IAB Europe fih speċifikazzjonijiet tekniċi relatati mat-trattament tat-TC String kif ukoll regoli preċiżi dwar il-kontenut, il-ħażna u l-qsim tat-TC String. B’żieda ma’ dan, il-Qorti tal-Ġustizzja tenfasizza li IAB Europe tippreskrivi, fil-kuntest ta’ dawn ir-regoli, il-mod standardizzat li bih il-partijiet differenti involuti fit-TCF jistgħu jikkonsultaw il-preferenzi, l-oġġezzjonijiet u l-kunsens tal-utenti li jinsabu fit-TC Strings.
F’dawn iċ-ċirkustanzi, u bla ħsara għall-imsemmija verifiki, il-Qorti tal-Ġustizzja tikkonkludi li organizzazzjoni settorjali bħal IAB Europe tinfluwenza, għal finijiet speċifiċi għaliha, l-operazzjonijiet ta’ pproċessar ta’ data personali inkwistjoni fil-kawża prinċipali u tiddetermina, minħabba f’hekk, flimkien mal-membri tagħha, il-mezzi li wasslu għal tali operazzjonijiet. Għaldaqstant, din għandha tiġi kkunsidrata bħala “kontrollur konġunt tad-data” (8).
Fl-aħħar nett, il-Qorti tal-Ġustizzja tippreċiża li għandha ssir distinzjoni bejn, minn naħa, l-ipproċessar ta’ data personali mwettaq mill-membri ta’ IAB Europe, bħall-fornituri ta’ siti internet jew ta’ applikazzjonijiet, is-sensara tad-data jew inkella l-pjattaformi ta’ reklamar, waqt ir-reġistrazzjoni f’TC String tal-preferenzi fil-qasam tal-kunsens tal-utenti kkonċernati skont ir-regoli stabbilit fit-TCF u, min-naħa l-oħra, l-ipproċessar ulterjuri ta’ din id-data mwettaq minn dawn l-operaturi kif ukoll minn terzi abbażi ta’ dawn il-preferenzi, bħat-trażmissjoni ta’ din id-data lil terzi jew l-offerta ta’ reklamar personalizzat lil dawn l-utenti.
Għalhekk, organizzazzjoni settorjali, bħal IAB Europe, tista’ titqies li hija responsabbli għal tali pproċessar sussegwenti biss meta jiġi stabbilit li din eżerċitat influwenza fuq id-determinazzjoni tal-finijiet u tal-modalitajiet ta’ dawn tal-aħħar, fatt li għandu jiġi vverifikat mill-qorti tar-rinviju.