De zaak IAB Europe: het HvJ-EU beantwoordt prejudiciële vragen (GBA)

Auteur: Gegevensbeschermingsautoriteit (GBA)

Het Hof van Justitie van de Europese Unie heeft vandaag uitspraak gedaan in de zaak tussen de Gegevensbeschermingsautoriteit en IAB EUROPE.

In zijn beslissing oordeelde het Hof, zoals de GBA had geoordeeld in haar beslissing 21/2022, dat een gestructureerde tekenreeks die de voorkeuren van internetgebruikers weerspiegelt, zoals de TC String van IAB EUROPE, effectief kan worden beschouwd als een persoonsgegeven, en dat IAB EUROPE kan worden gekwalificeerd als gezamenlijke verwerkingsverantwoordelijke voor de verwerking van de gebruikersvoorkeuren voor online reclame.

De zaak IAB EUROPE – Context

Op 2 februari 2022 publiceerde de GBA een beslissing met betrekking tot het TCF (Transparency and Consent Framework) van IAB Europe, een veelgebruikt mechanisme dat het beheer van gebruikersvoorkeuren voor gepersonaliseerde online reclame vergemakkelijkt en dat een centrale rol speelt in wat bekend staat als Real Time Bidding (RTB). RTB is een ecosysteem dat het toezenden van gepersonaliseerde advertenties mogelijk maakt.

De GBA legde het bedrijf hierin een boete op van 250.000 euro en gaf het twee maanden de tijd om een actieplan voor te leggen om zijn activiteiten in overeenstemming te brengen. De beslissing werd door alle betrokken gegevensbeschermingsautoriteiten in de EU onderschreven, na toepassing van het one stop shop mechanisme.

IAB EUROPE ging vervolgens in beroep tegen de beslissing bij het Marktenhof (Hof van Beroep te Brussel). Alvorens uitspraak te doen, besloot het Marktenhof twee prejudiciële vragen aan het Hof van Justitie van de Europese Unie te stellen.

De vragen gingen over de status van (gezamenlijke) verwerkingsverantwoordelijke van een “normerende sectororganisatie” zoals IAB Europe en de kwestie of een numerieke tekenreeks die gebruikersvoorkeuren weerspiegelt (zoals de “TC String”) als een persoonsgegeven kon worden beschouwd. De exacte vragen kunnen meer in detail worden gelezen op de website van het HvJ-EU.

De GBA herhaalde haar standpunt en voerde voor het HvJ-EU aan dat de TC String een persoonsgegeven is, met name omdat deze bedoeld is om reclamevoorkeuren te koppelen aan een specifieke persoon. In haar pleidooien stelde de GBA ook dat IAB Europe (gezamenlijke) verwerkingsverantwoordelijke was in het kader van het TCF, aangezien deze sectororganisatie het doel van en de middelen voor de verwerking vaststelt. IAB EUROPE speelt een sleutelrol in het ecosysteem van online gepersonaliseerde reclame.

Het HvJ-EU heeft vandaag antwoord gegeven op deze vragen.

Beslissing van het HvJ-EU

Met betrekking tot de vraag of de TC String als een persoonsgegeven moet worden beschouwd, stelt het HvJ-EU in zijn arrest dat een gestructureerde tekenreeks die de gebruikersvoorkeuren vastlegt een persoonsgegeven is – dat wil zeggen een gegeven met betrekking tot een geïdentificeerde of identificeerbare gebruiker – ten aanzien van een sectororganisatie die de procedures voor het genereren van deze tekenreeks standaardiseert en voorschrijft, zelfs al heeft deze sectororganisatie geen toegang tot deze tekenreeks.

Met betrekking tot de vraag of een sectororganisatie die de procedures voor het vastleggen en doorgeven van gebruikersvoorkeuren standaardiseert en voorschrijft kan worden beschouwd als verwerkingsverantwoordelijke voor de verwerking die in overeenstemming met die procedures wordt uitgevoerd, oordeelde het HvJ-EU in zijn arrest dat IAB EUROPE als verwerkingsverantwoordelijke kan worden gekwalificeerd voor het verwerken van voorkeuren, aangezien zij bij de registratie van de toestemmingsvoorkeuren van de gebruikers in een TC-string immers invloed lijkt uit te oefenen op de gegevensverwerkingen, en samen met haar leden zowel het doel van als de middelen voor die verwerkingen vast te stellen.

De GBA moet het arrest nu meer in detail analyseren om de mogelijke gevolgen voor de zaak IAB EUROPE beter te kunnen overzien.

Hielke Hijmans, voorzitter van de Geschillenkamer van de GBA: “We zijn ingenomen met de interpretatie van het HvJ-EU dat onze visie bevestigt dat een gestructureerde tekenreeks waarin de gebruikersvoorkeuren worden vastgelegd, een persoonsgegeven is, en dat een sectororganisatie zoals IAB Europe (gezamenlijke) verwerkingsverantwoordelijke is van dit persoonsgegeven. Door belangrijke concepten van de AVG te verduidelijken, zal deze uitspraak een positief effect hebben op alle betrokkenen in de Europese Unie. De procedure bij het Belgische Marktenhof kan worden hervat.”

Het arrest van het HvJ-EU is hier beschikbaar.

Een persbericht van het HvJ-EU over het arrest is hier beschikbaar.

Volgende stap

Op basis van de antwoorden die het HvJ-EU op zijn vragen heeft gegeven, zal het Marktenhof nu uitspraak moeten doen over het beroep dat is ingesteld door IAB Europe en door de klagers in de zaak.

Tijdlijn van de zaak IAB EUROPE

2022

• Op 2 februari 2022 publiceert de Geschillenkamer van de GBA beslissing 21/2022 inzake IAB Europe, waarin zij een actieplan voor naleving oplegt.
• IAB Europe gaat in beroep tegen de beslissing.
• Op 7 september 2022 stelt het Marktenhof prejudiciële vragen aan het HvJ-EU.

2023

• Op 11 januari 2023 keurt de Geschillenkamer het actieplan van IAB Europe goed.
• IAB Europe en de klagers in de zaak IAB Europe gaan in beroep tegen de beslissing van de Geschillenkamer om het actieplan van IAB Europe goed te keuren.
• Op 21 september 2023 vindt de hoorzitting voor het HvJ-EU plaats.

7 maart 2024

• Het HvJ-EU doet uitspraak in de zaak in zijn arrest C-604/22

Bron: GBA