Het Hof van Justitie van de Europese Unie (HvJ) heeft een uitspraak gedaan over de zaak tussen IAB Europe en de Belgische gegevensbeschermingsautoriteit over het gebruik van het TCF, nadat de Belgische rechter de zaak had doorverwezen.
Volgens het HvJ is het toestemmingssignaal (TC String) dat wordt verzameld op het moment een websitebezoeker diens keuzes doorgeeft in bijvoorbeeld een cookiebanner een persoonsgegeven. Een TC String kan worden gekoppeld aan een IP-adres, een IP-adres is een persoonsgegeven en daarmee een TC String dus ook, aldus de rechter. Doordat het een persoonsgegeven is (hier ging IAB Europe eerder niet vanuit), moet voor het verzamelen van een TC String een beroep kunnen worden gedaan op een rechtsgrondslag. Dit heeft IAB Europe inmiddels al opgelost in de recente update van het TCF. Dit is de grondslag “gerechtvaardigd belang” of “opt-out” geworden.
Een ander punt dat het HvJ maakt is dat IAB Europe gezamenlijk met alle gebruikers van het TCF verwerkingsverantwoordelijke is voor de gegevensstromen tot het moment dat een TC String is verzameld. Voor het proces dat volgt nadat een TC String is verzameld, is IAB Europe waarschijnlijk geen verwerkingsverantwoordelijke. Deze beoordeling laat het HvJ over aan de Belgische rechter. Praktisch gezien verandert voor gebruikers van het TCF weinig door dit oordeel, behalve dat IAB Europe aanvullende afspraken zal moeten gaan vastleggen met partijen die gebruik maken van het TCF.
Aan de andere kant moet IAB Europe wel aan de bak met dit oordeel; ze zijn mede verwerkingsverantwoordelijke voor de persoonsgegevens die online worden gedeeld. Dat betekent dat ze zich aan de regels van de AVG (Algemene Verordening Gegevensbescherming) moet houden. Dat houdt bijvoorbeeld in het bijhouden van registers, het sluiten van specifieke overeenkomsten en het uitvoeren van Data Protection Impact Assessments.
Het HvJ heeft maar over een klein gedeelte van de lopende rechtszaak bij de Belgische rechter geoordeeld. Aan de hand van dit oordeel is de Belgische rechter nu weer aan zet om een definitief oordeel te vellen over de rechtmatigheid van het gebruik van het TCF.
We houden je op de hoogte!
*Official Press release IAB Europe*
BRUSSELS, BELGIUM – 7 March 2024: IAB Europe acknowledges the ruling handed down today by the Court of Justice of the European Union (CJEU) in connection with IAB Europe’s appeal of the February 2022 decision by the Belgian Data Protection Authority (APD) against IAB Europe and the Transparency & Consent Framework (TCF). This followed the Belgian Market Court’s interim judgement of September 2022 which referred questions to the CJEU for a preliminary ruling and held that the APD decision was insufficiently substantiated and failed to meet the relevant standard for proper investigation and fact-finding.
IAB Europe welcomes the CJEU ruling that provides well-needed clarity over the concepts of personal data and (joint) controllership, which will allow a serene completion of the remaining legal proceedings.
In particular, the judgement of the Court establishes that:
(i) TC Strings (digital signals containing user preferences) constitute personal data, even from the perspective of IAB Europe, when they can be linked with reasonable means to an identifier such as for instance the IP address of the device of the user and IAB Europe can have access to such data;
(ii) IAB Europe can be viewed as a joint controller together with TCF participants in relation to the creation and use of TC Strings by publishers and vendors, on the basis that the TCF provides specifications for its processing, if IAB Europe actually influences the processing (purposes and means) for its own reasons.
(iii) IAB Europe should not necessarily be viewed as a joint controller together with TCF participants in relation to the subsequent data processing performed in pursuit of the TCF purposes, such as digital advertising, audience measurement, or content personalisation since IAB Europe has no influence on such processing. The CJEU conclusion on the latter is particularly important, as the APD’s erroneous controllership qualification of IAB Europe over such processing served as a basis for the authority’s assessments of the validity of legal bases established through the TCF and corresponding sanctions.
The Belgian Market Court will now resume its examination of IAB Europe’s substantive arguments in line with the answers provided by the CJEU. Pending the conclusion of the proceedings before the Market Court which can take several months, the suspension of the execution of the APD decision (i.e. the implementation of IAB Europe’s action plan following its validation) continues to apply.
IAB Europe will be posting a more in-depth commentary of the ruling and of its consequences shortly. Although it was adopted specifically in the context of the TCF-related dispute before the APD, the findings of the CJEU are important for all organisations with digital activities.
An updated FAQ regarding the APD decision can be found on IAB Europe’s website, here.
