C-604/22 IAB Europe proti Gegevensbeschermingsautoriteit.

1. Článok 4 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

reťazec zložený z kombinácie písmen a znakov, ako je TC reťazec String(TransparencyandConsentString),ktorý obsahuje preferencie používateľa internetu alebo aplikácie týkajúce sa súhlasu tohto používateľa so spracúvaním osobných údajov, ktoré sa ho týkajú, pre poskytovateľa internetového sídla alebo aplikácie, ako aj maklérov s takýmito údajmi alebo reklamné platformy, predstavuje osobný údaj v zmysle tohto ustanovenia, pokiaľ umožňuje identifikovať dotknutú osobu v prípade, že ho možno primeranými prostriedkami priradiť k identifikátoru, ako je najmä IP adresa zariadenia používateľa. Za týchto podmienok okolnosť, že bez prispenia zvonku odvetvová organizácia, ktorá je držiteľom tohto reťazca, nemôže mať prístup k údajom, ktoré spracúvajú jej členovia v rámci ňou stanovených pravidiel, a ani nemôže kombinovať tento reťazec s inými prvkami, nebráni tomu, aby daný reťazec predstavoval osobný údaj v zmysle uvedeného ustanovenia.

2. Článok 4 bod 7 a článok 26 ods. 1 nariadenia 2016/679

sa majú vykladať v tom zmysle, že:

– na jednej strane odvetvovú organizáciu v rozsahu, v akom svojim členom ponúka rámec ňou stanovených pravidiel týkajúci sa súhlasu so spracúvaním osobných údajov, ktorý obsahuje nielen záväzné technické pravidlá, ale aj pravidlá podrobne spresňujúce spôsoby ukladania a šírenia osobných údajov týkajúcich sa tohto súhlasu, treba považovať za „spoločného prevádzkovateľa“ v zmysle týchto ustanovení, ak vzhľadom na osobitné okolnosti prejednávanej veci táto organizácia ovplyvňuje na vlastné účely spracúvanie dotknutých osobných údajov, a z tohto dôvodu spoločne so svojimi členmi určuje účely a prostriedky takéhoto spracúvania. Okolnosť, že takáto odvetvová organizácia nemá sama osebe priamy prístup k osobným údajom spracúvaným jej členmi v rámci uvedených pravidiel, nebráni tomu, aby mohla mať postavenie spoločného prevádzkovateľa v zmysle uvedených ustanovení,

– na druhej strane spoločná zodpovednosť uvedenej odvetvovej organizácie sa automaticky nevzťahuje na následné spracúvanie osobných údajov vykonané tretími osobami, ako sú poskytovatelia internetových sídiel alebo aplikácií, pokiaľ ide o preferencie používateľov na účely cielenej online reklamy.