Το “Real Time Bidding” υπό το πρίσμα του GDPR
Απόφαση ΔΕΕ C-604/22 της 7/3/2024
Μη ενδιαφέρουσα απόφαση εξέδωσε σήμερα το ΔΕΕ επί της οποίας παρακάτω δημοσιεύουμε το δελτίο τύπου του Δικαστηρίου σε μη επίσημη μετάφραση στα ελληνικά.
Η απόφαση πραγματεύεται την πρακτική της εκπλειστηρίασης διαφημιστικού χώρου για στοχευμένη διαφήμιση. Κάνει δεκτό ότι συνιστά επεξεργασία προσωπικών δεδομένων η δημιουργία “Συμβολοσειρών διαφάνειας και συγκατάθεσης” (Transparency and Consent String – TC String) για τους χρήστες, με σκοπό να μη χρειάζεται απόκτηση συναίνεσης εκ μέρους τους για κάθε ξεχωριστή διαφήμιση που τους κοινοποιείται, αλλά να εμφανίζονται αυτές που ταιριάζουν σε προηγούμενες συναινέσεις τους. Παρόλα αυτά, ο υπεύθυνος για τη δημιουργία των strings αυτών δεν ενέχεται per se και για την επεξεργασία των δεδομένων του χρήστη που λαμβάνει χώρα μετά την καταγραφή των προτιμήσεων συγκατάθεσης που τον αφορούν, π.χ. κατά τη στόχευσή του με διαφημιστικό υλικό. Διαβάστε παρακάτω πιο αναλυτικά:
ΔΕΛΤΙΟ ΤΥΠΟΥ (μη επίσημη μτφρ)
Όταν ένας χρήστης συμβουλεύεται έναν ιστότοπο ή μια εφαρμογή που περιέχει διαφημιστικό χώρο, οι εταιρείες, οι μεσίτες και οι διαφημιστές οι οποίες εκπροσωπούν χιλιάδες διαφημιζόμενους, μπορούν να υποβάλλουν προσφορές σε πραγματικό χρόνο, παρασκηνιακά, για να αποκτήσουν αυτόν τον διαφημιστικό χώρο προκειμένου να προβάλλονται εκεί διαφημίσεις προσαρμοσμένες στο προφίλ του χρήστη (Real Time Bidding).
Ωστόσο, πριν από την εμφάνιση τέτοιων στοχευμένων διαφημίσεων, είναι απαραίτητο να ληφθεί η προηγούμενη συγκατάθεση του χρήστη για να τη συλλογή και επεξεργασία των δεδομένων του (που αφορούν, για παράδειγμα, την τοποθεσία, την ηλικία και την αναζήτηση και ιστορικό πρόσφατων αγορών) για σκοπούς όπως, μεταξύ άλλων, το μάρκετινγκ ή τη διαφήμιση ή με σκοπό την κοινή χρήση αυτών των δεδομένα με ορισμένους παρόχους. Ο χρήστης μπορεί επίσης να αντιταχθεί στην εν λόγω συλλογή και επεξεργασία.
Η IAB Europe είναι μια μη κερδοσκοπική ένωση που ιδρύθηκε στο Βέλγιο και εκπροσωπεί επιχειρήσεις στον τομέα της ψηφιακής διαφήμισης και του μάρκετινγκ σε ευρωπαϊκό επίπεδο. Η IAB Europe έχει εκπονήσει μια λύση την οποία παρουσιάζει ως ικανή να φέρει το εν λόγω σύστημα δημοπρασιών σε συμμόρφωση με τον ΓΚΠΔ. Οι προτιμήσεις των χρηστών κωδικοποιούνται και αποθηκεύονται σε μια συμβολοσειρά που αποτελείται από έναν συνδυασμό γραμμάτων και χαρακτήρων που αναφέρεται ως “Συμβολοσειρά διαφάνειας και συγκατάθεσης” (Transparency and Consent String – TC String), η οποία κοινοποιείται στους μεσίτες προσωπικών δεδομένων και στις διαφημιστικές πλατφόρμες, ώστε να γνωρίζουν σε τι έχει συναινέσει ή αντιταχθεί ο χρήστης. Ένα cookie τοποθετείται επίσης στη συσκευή του χρήστη. Όταν συνδυάζονται, το TC String και το cookie μπορούν να συνδεθούν με τη διεύθυνση IP του χρήστη.
Το 2022, η βελγική Αρχή Προστασίας Δεδομένων έκρινε ότι το TC String αποτελείται από δεδομένα προσωπικού χαρακτήρα κατά την έννοια του ΓΚΠΔ και ότι η IAB Europe ενεργούσε ως υπεύθυνος επεξεργασίας δεδομένων χωρίς να συμμορφώνεται πλήρως με τις απαιτήσεις του ΓΚΠΔ. Η εν λόγω αρχή της επέβαλε σειρά διορθωτικών μέτρων καθώς και διοικητικό πρόστιμο. Η IAB Europe αμφισβητεί την απόφαση αυτή και προσέφυγε στο Εφετείο των Βρυξελλών, το οποίο υπέβαλε προδικαστικά ερωτήματα στο ΔΕΕ.
Στην απόφασή του, το Δικαστήριο επιβεβαιώνει ότι το TC String περιέχει πληροφορίες σχετικά με έναν αναγνωρίσιμο χρήστη και, ως εκ τούτου, αποτελείται από δεδομένα προσωπικού χαρακτήρα κατά την έννοια του ΓΚΠΔ. Όταν οι πληροφορίες που περιέχονται σε ένα TC String συνδέονται με ένα αναγνωριστικό, όπως, μεταξύ άλλων, η διεύθυνση IP της συσκευής του χρήστη, οι πληροφορίες αυτές μπορούν να καταστήσουν δυνατή τη δημιουργία ενός προφίλ του εν λόγω χρήστη και την ταυτοποίησή του.
Επιπλέον, η IAB Europe πρέπει να θεωρείται “κοινός υπεύθυνος επεξεργασίας” κατά την έννοια του ΓΚΠΔ. Με την επιφύλαξη των επαληθεύσεων που εναπόκειται στο αιτούν δικαστήριο να διενεργήσει, η ένωση αυτή φαίνεται να ασκεί επιρροή στις πράξεις επεξεργασίας δεδομένων όταν οι προτιμήσεις συγκατάθεσης των χρηστών καταγράφονται σε TC String και να καθορίζει, από κοινού με τα μέλη της, τόσο τους σκοπούς των πράξεων αυτών όσο και τα μέσα που τις διέπουν. Τούτου λεχθέντος, και με την επιφύλαξη τυχόν αστικής ευθύνης που προβλέπεται από το εθνικό δίκαιο, η IAB Europe δεν μπορεί να θεωρηθεί υπεύθυνος επεξεργασίας, κατά την έννοια του ΓΚΠΔ, όσον αφορά τις πράξεις επεξεργασίας δεδομένων που πραγματοποιούνται αφού οι προτιμήσεις συγκατάθεσης των χρηστών έχουν καταγραφεί σε ένα TC String, εκτός εάν μπορεί να αποδειχθεί ότι η εν λόγω οντότητα άσκησε επιρροή στον καθορισμό των σκοπών και των μέσων αυτών των επακόλουθων πράξεων.
