Corte di giustizia, Sentenza C-604/22

TC String, RGPD e contitolarità nel Transparency & Consent Framework

La pronuncia riguarda un rinvio pregiudiziale del giudice belga in una controversia tra IAB Europe e l’Autorità belga per la protezione dei dati. La Corte è chiamata a valutare se la TC String, usata nel sistema di gestione del consenso per la pubblicità online, integri un dato personale e se IAB Europe debba essere considerata titolare o contitolare del trattamento.

Fatti e procedimento principale

IAB Europe ha elaborato il Transparency & Consent Framework (TCF), un insieme di regole tecniche, istruzioni e obblighi contrattuali per consentire ai fornitori di siti e applicazioni, ai broker di dati e alle piattaforme pubblicitarie di trattare dati personali nel rispetto del RGPD, soprattutto nel contesto del Real Time Bidding. Quando l’utente interagisce con una CMP, le sue preferenze di consenso vengono codificate nella TC String e collegate a un cookie, con possibile associazione all’indirizzo IP.

L’Autorità belga ha ritenuto, con decisione del 2 febbraio 2022, che IAB Europe agisse come titolare del trattamento quanto alla registrazione delle preferenze tramite TC String e le ha ordinato di conformare il trattamento al RGPD, imponendo anche misure correttive e una sanzione pecuniaria. IAB Europe ha impugnato tale decisione dinanzi allo hof van beroep te Brussel.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto in sostanza:

• se una stringa come la TC String costituisca un dato personale ai sensi dell’articolo 4, punto 1, RGPD;
• se, e a quali condizioni, l’organizzazione di settore che ha definito il framework possa essere qualificata come titolare o contitolare del trattamento ai sensi dell’articolo 4, punto 7, e dell’articolo 26, paragrafo 1, RGPD;
• se tale eventuale contitolarità si estenda automaticamente ai trattamenti successivi effettuati da terzi, come la pubblicità mirata online.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 4, punti 1, 2, 7 e 11, RGPD;
• l’articolo 6, paragrafo 1, lettere a) e f), RGPD;
• l’articolo 24, paragrafo 1, RGPD;
• l’articolo 26, paragrafo 1, RGPD;
• gli articoli 51, 55, 56, 57, 60, 61, 62 e 63 RGPD;
• gli articoli 7 e 8 della Carta;
• l’articolo 16, paragrafo 1, TFUE.

La Corte richiama anche la giurisprudenza consolidata sulla nozione ampia di dato personale e sulla contitolarità, in particolare le sentenze Breyer, Wirtschaftsakademie Schleswig-Holstein, Jehovan todistajat, Fashion ID, Pankki S, Österreichische Datenschutzbehörde e CRIF, nonché Nacionalinis visuomenės sveikatos centras.

Ragionamento della Corte sulla nozione di dato personale

La Corte ribadisce che la nozione di dato personale è ampia e comprende qualsiasi informazione riguardante una persona fisica identificata o identificabile. Una informazione riguarda una persona quando, per contenuto, finalità o effetto, è collegata a una persona identificabile.

Nel caso della TC String, la Corte osserva che essa contiene le preferenze individuali dell’utente in materia di consenso o opposizione al trattamento dei suoi dati personali. Anche se la stringa, da sola, non consente necessariamente l’identificazione diretta, diventa un dato personale quando può essere associata, con mezzi ragionevoli, a un identificativo come l’indirizzo IP o altri elementi che permettono di risalire all’interessato.

La circostanza che IAB Europe non possa, senza contributo esterno, combinare da sola la TC String con altri dati o accedere direttamente ai dati dei membri non è decisiva. È sufficiente che, secondo il modello organizzativo e tecnico predisposto, essa disponga di mezzi ragionevoli che le consentono di identificare la persona fisica, anche tramite informazioni che i membri sono tenuti a fornirle.

Ragionamento sulla qualifica di titolare e contitolare

La Corte interpreta estensivamente la nozione di titolare del trattamento, coerentemente con la finalità di garantire una tutela effettiva e completa degli interessati. La qualifica può riguardare più soggetti, quando essi determinano congiuntamente finalità e mezzi del trattamento.

Quanto a IAB Europe, la Corte rileva che il TCF mira a favorire e rendere possibile la vendita e l’acquisto di spazi pubblicitari online. Inoltre, il framework stabilisce regole tecniche vincolanti e dettagliate sulle modalità di raccolta, strutturazione, conservazione e diffusione delle preferenze espresse dall’utente, nonché sulle modalità con cui i partecipanti consultano tali informazioni. La IAB Europe esercita anche un’influenza concreta sui membri, potendo sanzionarne la non conformità e persino escluderli dal sistema.

Da ciò la Corte desume che IAB Europe influisce, per scopi propri, sul trattamento e determina congiuntamente con i membri le finalità e i mezzi del trattamento della TC String. Ne consegue la qualifica di contitolare del trattamento ai sensi degli articoli 4, punto 7, e 26, paragrafo 1, RGPD. Il fatto che non abbia accesso diretto ai dati non impedisce tale qualificazione.

Limiti della contitolarità rispetto ai trattamenti successivi

La Corte distingue il trattamento relativo alla raccolta e alla codifica delle preferenze nella TC String dai successivi trattamenti effettuati da fornitori di siti, applicazioni o terzi, come l’invio di dati o la pubblicità personalizzata. La contitolarità non si estende automaticamente a tali operazioni ulteriori.

Per qualificare IAB Europe come contitolare anche dei trattamenti successivi, occorrerebbe dimostrare che essa ha esercitato un’influenza sulla determinazione delle finalità e dei mezzi di quelle specifiche operazioni. In mancanza di tale prova, la responsabilità non può essere estesa in via automatica all’intera catena successiva del trattamento.

Decisione e dispositivo

La Corte risponde che:

• la TC String costituisce un dato personale se, con mezzi ragionevoli, può essere collegata a un identificativo e quindi a una persona fisica identificabile;
• una organizzazione di settore come IAB Europe può essere contitolare del trattamento se il quadro che ha predisposto influisce concretamente, per scopi propri, su finalità e mezzi del trattamento, anche senza accesso diretto ai dati;
• la contitolarità non si estende automaticamente ai successivi trattamenti compiuti da terzi sulla base delle preferenze registrate.

Principi affermati

La sentenza conferma un’interpretazione ampia della nozione di dato personale anche per gli identificativi pseudonimi o tecnici usati nell’adtech. Inoltre, chiarisce che la contitolarità dipende dalla partecipazione concreta alla determinazione di finalità e mezzi, non dall’effettivo possesso materiale dei dati. Per gli operatori del settore pubblicitario, la pronuncia evidenzia che un organismo di standardizzazione può ricadere nel perimetro di responsabilità del RGPD quando struttura in modo determinante il sistema di consenso e ne condiziona il funzionamento.