Λουξεμβούργο, 7 Μαρτίου 2024
Απόφαση του Δικαστηρίου στην υπόθεση C-604/22 | IAB Europe
Όταν ένας χρήστης συμβουλεύεται έναν ιστότοπο ή μια εφαρμογή που περιέχει διαφημιστικό χώρο, οι εταιρείες, οι μεσίτες και οι διαφημιστές οι οποίες εκπροσωπούν χιλιάδες διαφημιζόμενους, μπορούν να υποβάλλουν προσφορές σε πραγματικό χρόνο, παρασκηνιακά, για να αποκτήσουν αυτόν τον διαφημιστικό χώρο, προκειμένου να προβάλλονται εκεί διαφημίσεις προσαρμοσμένες στο προφίλ του χρήστη (Real Time Bidding).
Ωστόσο, προτού εμφανιστούν τέτοιες στοχευμένες διαφημίσεις, είναι απαραίτητο να ληφθεί η προηγούμενη συγκατάθεση του χρήστη για να τη συλλογή και επεξεργασία των δεδομένων του (που αφορούν, για παράδειγμα, την τοποθεσία, την ηλικία και την αναζήτηση και ιστορικό πρόσφατων αγορών) για σκοπούς όπως, μεταξύ άλλων, το μάρκετινγκ ή η διαφήμιση, ή με σκοπό την κοινοποίηση των εν λόγω δεδομένα με ορισμένους παρόχους. Ο χρήστης μπορεί επίσης να αντιταχθεί στην εν λόγω συλλογή και επεξεργασία.
Το IAB Europe είναι μια μη κερδοσκοπική ένωση που ιδρύθηκε στο Βέλγιο και εκπροσωπεί επιχειρήσεις στον χώρο της ψηφιακής διαφήμισης και του μάρκετινγκ, σε ευρωπαϊκό επίπεδο. Το IAB Europe σχεδίασε μια λύση την οποία και παρουσιάζει ως ολοκληρωμένη, για την συμμόρφωση του εν λόγω συστήματος δημοπρασιών με τον ΓΚΠΔ. Ειδικότερα:
Οι προτιμήσεις των χρηστών κωδικοποιούνται και αποθηκεύονται σε μια συμβολοσειρά που αποτελείται από έναν συνδυασμό γραμμάτων και χαρακτήρων που αναφέρεται ως “Transparency and Consent String” (συμβολοσειρά διαφάνειας και συγκατάθεσης) (TC String), η οποία κοινοποιείται στους μεσίτες προσωπικών δεδομένων και στις διαφημιστικές πλατφόρμες, ώστε να γνωρίζουν σε τι ο χρήστης έχει συναινέσει ή αντιταχθεί. Ένα cookie τοποθετείται επίσης στη συσκευή του χρήστη. Όταν συνδυάζονται, το TC String και το το cookie μπορούν να συνδεθούν με τη διεύθυνση IP του εν λόγω χρήστη.
Το 2022, η βελγική Αρχή Προστασίας Δεδομένων έκρινε ότι το TC String συνιστά δεδομένα προσωπικού χαρακτήρα κατά την έννοια του ΓΚΠΔ και ότι το IAB Europe ενεργούσε ως υπεύθυνος επεξεργασίας δεδομένων, χωρίς να συμμορφώνεται πλήρως με τις απαιτήσεις του ΓΚΠΔ. Η εν λόγω αρχή της επέβαλε σειρά διορθωτικών μέτρων καθώς και διοικητικό πρόστιμο. Το IAB Europe αμφισβητεί την εν λόγω απόφαση και άσκησε προσφυγή ενώπιον του Εφετείου των Βρυξελλών, το οποίο και έχει παραπέμψει τα σχετικά ερωτήματα στο Δικαστήριο για την έκδοση προδικαστικής αποφάσεως.
Στην απόφασή του, το Δικαστήριο επιβεβαιώνει ότι το TC String περιέχει πληροφορίες σχετικά με την ταυτοποίηση του χρήστη και, ως εκ τούτου, αυτές συνιστούν δεδομένα προσωπικού χαρακτήρα, κατά την έννοια του ΓΚΠΔ. Σε περίπτωση που η πληροφορίες που περιέχονται σε ένα TC String συνδέονται με ένα αναγνωριστικό, όπως, μεταξύ άλλων, η διεύθυνση IP της συσκευής του χρήστη, οι πληροφορίες αυτές μπορεί να καταστήσουν δυνατή τη δημιουργία προφίλ του εν λόγω χρήστη και την ταυτοποίησή του.
Επιπλέον, η IAB Europe πρέπει να θεωρείται “κοινός υπεύθυνος επεξεργασίας” κατά την έννοια του ΓΚΠΔ. Με την επιφύλαξη των επαληθεύσεων που εναπόκεινται στο αιτούν δικαστήριο, η ένωση αυτή φαίνεται να ασκεί επίδραση στις πράξεις επεξεργασίας των δεδομένων, όταν οι προτιμήσεις συγκατάθεσης των χρηστών καταγράφονται σε TC String, και να καθορίζει, από κοινού με τα μέλη της, τόσο τους σκοπούς των πράξεων αυτών όσο και τα μέσα που τις διέπουν.
Τούτου λεχθέντος, και χωρίς με την επιφύλαξη τυχόν αστικής ευθύνης που προβλέπεται από το εθνικό δίκαιο, η IAB Europe δεν μπορεί να θεωρηθεί υπεύθυνος επεξεργασίας, στο πλαίσιο και κατά την έννοια του ΓΚΠΔ, όσον αφορά τις πράξεις επεξεργασίας δεδομένων που πραγματοποιούνται μετά τις προτιμήσεις συγκατάθεσης των χρηστών και έχουν καταγραφεί σε TC String, εκτός εάν μπορεί να αποδειχθεί ότι η εν λόγω ένωση έχει ασκήσει επιρροή επί του καθορισμού των σκοπών και των μέσων των εν λόγω μεταγενέστερων πράξεων.