Coauteur: David van den Bergh
Recent heeft het Hof van Justitie van de Europese Unie (‘HvJEU’) een belangrijke uitspraak gedaan in de zaak tussen Interactive Advertising Bureau Europe (‘IAB Europe’) en de Belgische Gegevensbeschermingsautoriteit (‘GBA’). Deze zaak had betrekking op de verwerking van persoonsgegevens binnen de digitale reclame- en marketingsector. Meer specifiek ziet deze zaak op de reikwijdte van het begrip “persoonsgegevens”. Daarnaast verduidelijkt het Hof onder welke voorwaarden een sectororganisatie zoals IAB Europe, die haar leden een standaard met betrekking tot de toestemming voor de verwerking van persoonsgegevens aanbiedt, als een “gezamenlijke verwerkingsverantwoordelijke” moet worden aangemerkt.
Transparancy & Consent Framework
IAB Europe, een branchevereniging voor ondernemingen in de digitale reclame en marketingsector, heeft het Transparency & Consent Framework (‘TCF’) ontwikkeld. Dit raamwerk heeft als doel ervoor te zorgen dat de Algemene verordening gegevensbescherming (‘AVG’) wordt nageleefd bij de verwerking van persoonsgegevens van internetgebruikers. Het TCF is met name van toepassing op Real Time Bidding, een systeem voor de online veiling van advertentieruimte.
Het TCF maakt het eenvoudiger om de voorkeuren van gebruikers vast te leggen. Deze voorkeuren worden versleuteld en opgeslagen als een reeks letters en tekens, bekend als de Transparency and Consent String (‘TC-string’) door IAB Europe. Deze TC-string wordt gedeeld met makelaars in persoonsgegevens en reclameplatformen, zodat zij weten welke toestemming de gebruiker heeft gegeven. Daarnaast wordt er een cookie op het apparaat van de gebruiker geplaatst, die samen met de TC-string aan het IP-adres van de gebruiker kan worden gekoppeld.
Klachten en doorverwijzing naar het hof
Na meerdere klachten tegen IAB Europe heeft de Geschillenkamer van de GBA op 2 februari 2022 besloten dat IAB Europe verwerkingsverantwoordelijke is, en daarmee verantwoordelijk is voor het in overeenstemming brengen van de gegevensverwerking binnen het TCF met de AVG. IAB Europe heeft hiertegen hoger beroep ingesteld bij het hof van beroep Brussel. Het hof van beroep Brussel is echter onzeker of de TC-string, eventueel in combinatie met een IP-adres, als persoonsgegeven moet worden beschouwd. Ook twijfelt het hof of IAB Europe als verwerkingsverantwoordelijke moet worden aangemerkt voor de verwerking van persoonsgegevens binnen het TCF, met name met betrekking tot de TC-string. Daarom heeft het hof het hof verzocht om een prejudiciële beslissing.
Beoordeling door het hof
Zoals besproken gaat het hof in haar beoordeling in op zowel het begrip “persoonsgegevens” als “gezamenlijke verwerkingsverantwoordelijkheid”. Hieronder zal het oordeel van het Hof ten aanzien van deze begrippen worden toegelicht.
Persoonsgegeven?
Het Hof benadrukt in de eerste plaats dat de TC-string, de voorkeuren van een internetgebruiker of app-gebruiker bevat met betrekking tot hun toestemming voor het verwerken van persoonsgegevens door derden, of eventuele bezwaren tegen dergelijke verwerkingen. Het Hof concludeert dat de TC-string informatie bevat die een gebruiker identificeerbaar maakt, waardoor het als een persoonsgegeven wordt beschouwd. Dit komt doordat de TC-string kan worden gekoppeld aan het IP-adres van de gebruiker of andere identificatoren. Het feit dat IAB Europe niet direct toegang heeft tot de gegevens die binnen het TCF worden verwerkt, en niet in staat is om de TC-string aan het IP-adres van de gebruiker te koppelen, weerhoudt het Hof er niet van om de TC-string als een persoonsgegeven te beschouwen.
Bovendien zijn de leden van IAB Europe verplicht om alle informatie te verstrekken waarmee IAB Europe gebruikers kan identificeren van wie de gegevens zijn opgeslagen in een TC-string. Hierdoor lijkt IAB Europe, dankzij de informatie die zij van haar leden en andere deelnemende organisaties ontvangt, redelijke middelen te hebben om een specifieke persoon te identificeren aan de hand van een TC-string. Het hof concludeert daarom dat de TC-string onder de definitie van persoonsgegeven valt onder de AVG. Het feit dat een sectororganisatie zoals IAB Europe geen directe toegang heeft tot de gegevens die binnen haar standaard worden verwerkt, en de TC-string niet kan koppelen aan andere identificatoren zoals het IP-adres van de gebruiker, heeft hier weinig invloed op.
Gezamenlijke verantwoordelijkheid?
Daarnaast beoordeelde het hof of IAB Europe kan worden beschouwd als een gezamenlijke verwerkingsverantwoordelijke. Hierbij wordt beoordeeld of IAB Europe invloed uitoefent op de verwerking van persoonsgegevens, zoals de TC-string, en samen met anderen het doel en de methoden van die verwerking vaststelt.
Wat betreft het doel van de gegevensverwerking, merkt het hof op dat het TCF dat door IAB Europe is ontwikkeld, in essentie gericht is op het bevorderen en faciliteren van de verkoop en aankoop van advertentieruimte op het internet door bedrijven die deelnemen aan online advertentieveilingen. Voor zover bekend oefent IAB Europe invloed uit op de verwerking van persoonsgegevens voor haar eigen doeleinden en bepaalt zij samen met haar leden het doel van die verwerkingen.
Wat betreft de methoden die worden gebruikt voor deze gegevensverwerking, stelt het hof vast dat het TCF een standaard is die de leden van IAB Europe moeten accepteren als zij zich bij de vereniging willen aansluiten. Met andere woorden: IAB Europe heeft de mogelijkheid om leden die deze regels niet naleven, te schorsen of uit te sluiten van het TCF. Bovendien bevat het TCF technische specificaties en duidelijke regels voor de verwerking van de TC-string, inclusief de opslag en het delen ervan. Het Hof benadrukt ook dat IAB Europe voorschrijft op welke gestandaardiseerde manier de verschillende partijen betrokken bij het TCF de opgeslagen voorkeuren, bezwaren en toestemmingen van gebruikers kunnen bekijken.
Concluderend, onder voorbehoud van de verificatie van de verwijzende Belgische rechter, komt het hof tot de slotsom dat IAB Europe invloed uitoefent op de verwerking van persoonsgegevens voor haar eigen doeleinden en samen met haar leden de methoden voor die verwerkingen vaststelt. Daarom moet IAB Europe worden beschouwd als een gezamenlijke verwerkingsverantwoordelijke.
Gevolgen uitspraak
Vormt de uitspraak van het hof nu het einde van het TCF? Nee, nog niet in ieder geval. De zaak zal nu bij de Belgische rechter worden hervat. De GBA heeft inmiddels aangegeven tevreden te zijn met de interpretatie van het hof, dat de visie van het GBA heeft bevestigd dat een gestructureerde tekenreeks waarin de gebruikersvoorkeuren worden vastgelegd, een persoonsgegeven is, en dat een sectororganisatie zoals IAB Europe (gezamenlijke) verwerkingsverantwoordelijke is van dit persoonsgegeven.
