ΔΙΚΑΣΤΗΡΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ
Λουξεμβούργο, 7 Μαρτίου 2024
Απόφαση του Δικαστηρίου στην υπόθεση C-604/22 | IAB Ευρώπης
Δημοπρασία προσωπικών δεδομένων για διαφημιστικούς σκοπούς: το Δικαστήριο διευκρινίζει τους κανόνες βάσει του GDPR
Όταν ένας χρήστης συμβουλεύεται έναν ιστότοπο ή μια εφαρμογή που περιέχει διαφημιστικό χώρο, εταιρείες, μεσίτες και διαφημιστικές πλατφόρμες, που αντιπροσωπεύουν χιλιάδες διαφημιστές, μπορούν να υποβάλουν προσφορά σε πραγματικό χρόνο, στα παρασκήνια, για να αποκτήσουν αυτόν τον διαφημιστικό χώρο, προκειμένου να εμφανίσουν εκεί διαφημίσεις που είναι προσαρμοσμένες στο το προφίλ του χρήστη (Προσφορά σε πραγματικό χρόνο).
Ωστόσο, προτού μπορέσουν να εμφανιστούν τέτοιες στοχευμένες διαφημίσεις, είναι απαραίτητο να ληφθεί η προηγούμενη συγκατάθεση του χρήστη για τη συλλογή και επεξεργασία των δεδομένων του (για παράδειγμα, σχετικά με την τοποθεσία, την ηλικία και την αναζήτηση και το πρόσφατο ιστορικό αγορών του) για σκοπούς όπως, μεταξύ άλλων, μάρκετινγκ ή διαφήμισης, ή με σκοπό την κοινή χρήση αυτών των δεδομένων με ορισμένους παρόχους. Ο χρήστης μπορεί επίσης να αντιταχθεί σε αυτήν τη συλλογή και επεξεργασία.
Η IAB Europe είναι μια μη κερδοσκοπική ένωση που ιδρύθηκε στο Βέλγιο και αντιπροσωπεύει επιχειρήσεις στον τομέα της ψηφιακής διαφήμισης και μάρκετινγκ σε ευρωπαϊκό επίπεδο. Το IAB Europe έχει εκπονήσει μια λύση την οποία παρουσιάζει ως ικανή να συμμορφώσει αυτό το σύστημα δημοπρασιών με τον GDPR 1 . Οι προτιμήσεις των χρηστών κωδικοποιούνται και αποθηκεύονται σε μια συμβολοσειρά που αποτελείται από έναν συνδυασμό γραμμάτων και χαρακτήρων που αναφέρεται ως «Συμβολοσειρά διαφάνειας και συναίνεσης» (TC String), η οποία μοιράζεται με μεσίτες προσωπικών δεδομένων και διαφημιστικές πλατφόρμες, ώστε να γνωρίζουν τι ο χρήστης έχει συναινέσει ή έχει αντιταχθεί. Ένα cookie τοποθετείται επίσης στη συσκευή του χρήστη. Όταν συνδυάζονται, η συμβολοσειρά TC και το cookie μπορούν να συνδεθούν με τη διεύθυνση IP αυτού του χρήστη.
Το 2022, η Βελγική Αρχή Προστασίας Δεδομένων έκρινε ότι το TC String αποτελεί προσωπικά δεδομένα κατά την έννοια του GDPR και ότι η IAB Europe ενεργούσε ως υπεύθυνος επεξεργασίας δεδομένων χωρίς να συμμορφώνεται πλήρως με τις απαιτήσεις του GDPR. Η αρχή αυτή της επέβαλε ορισμένα διορθωτικά μέτρα καθώς και διοικητικό πρόστιμο. Η IAB Europe αμφισβητεί την απόφαση αυτή και άσκησε προσφυγή ενώπιον του Εφετείου των Βρυξελλών, το οποίο υπέβαλε ερωτήσεις στο Δικαστήριο για προδικαστική απόφαση.
Στην απόφασή του, το Δικαστήριο επιβεβαιώνει ότι η συμβολοσειρά TC περιέχει πληροφορίες που αφορούν έναν αναγνωρίσιμο χρήστη και ως εκ τούτου αποτελεί προσωπικά δεδομένα κατά την έννοια του GDPR. Όταν οι πληροφορίες που περιέχονται σε μια συμβολοσειρά TC συσχετίζονται με ένα αναγνωριστικό, όπως, μεταξύ άλλων, η διεύθυνση IP της συσκευής του χρήστη, αυτές οι πληροφορίες ενδέχεται να καθιστούν δυνατή τη δημιουργία προφίλ αυτού του χρήστη και την αναγνώρισή του.
Επιπλέον, το IAB Europe πρέπει να θεωρείται ως «κοινός ελεγκτής» κατά την έννοια του GDPR. Με την επιφύλαξη των επαληθεύσεων που πρέπει να διενεργήσει το αιτούν δικαστήριο, η ένωση αυτή φαίνεται να ασκεί επιρροή στις διαδικασίες επεξεργασίας δεδομένων όταν οι προτιμήσεις συναίνεσης των χρηστών καταγράφονται σε μια συμβολοσειρά TC και να καθορίζει, από κοινού με τα μέλη της, και τους δύο σκοπούς αυτές οι επιχειρήσεις και τα μέσα πίσω από αυτές. Τούτου λεχθέντος, και με την επιφύλαξη οποιασδήποτε αστικής ευθύνης που προβλέπεται από την εθνική νομοθεσία, το IAB Europe δεν μπορεί να θεωρηθεί ως υπεύθυνος επεξεργασίας, κατά την έννοια του GDPR, όσον αφορά τις εργασίες επεξεργασίας δεδομένων που πραγματοποιούνται μετά την καταγραφή των προτιμήσεων συναίνεσης των χρηστών σε έναν TC. String, εκτός εάν μπορεί να διαπιστωθεί ότι αυτή η ένωση έχει ασκήσει επιρροή στον καθορισμό των σκοπών και των μέσων αυτών των επακόλουθων λειτουργιών.
Πηγή: taxheaven.gr