Internetowy identyfikator do personalizacji reklam jest daną osobową

Orzeczenie TSUE potwierdza prawidłową praktykę organu nadzorczego w zakresie uznawania identyfikatorów za dane osobowe.

Po wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z 7 marca 2024 r. w sprawie C-604/22 IAB Europe nie jest konieczna zmiana krajowych przepisów, jednak wyrok ten wpłynie na interpretację istniejących regulacji w zakresie ochrony danych osobowych – uważa Mirosław Wróblewski, Prezes UODO.

Swoje spostrzeżenia dotyczące tego wyroku Prezes UODO przedstawił w piśmie do Adama Szłapka, Ministra ds. Unii Europejskiej. Zaznacza w nim, że orzeczenie TSUE potwierdza praktykę UODO związaną z podejściem do rozumienia i stosowania definicji danych osobowych, zawartej w art. 4 ust. 1 RODO.

TSUE w sprawie C-604/22 IAB Europe stwierdził, że ciąg składający się z kombinacji liter i znaków, taki jak TC String (Transparency and Consent String), zawierający informacje o preferencjach użytkownika Internetu lub aplikacji odnoszących się do zgody tego użytkownika na przetwarzanie dotyczących go danych osobowych, m.in. przez dostawców stron internetowych, stanowi dane osobowe w rozumieniu art. 4 ust. 1 RODO w sytuacji, gdy w zestawieniu z dodatkowymi danymi, jak adres IP urządzenia użytkownika lub inne identyfikatory można zidentyfikować taką osobę.

Prezes UODO w piśmie do Ministra ds. Unii Europejskiej zwraca uwagę na to, że z dotychczasowego orzecznictwa TSUE wynika, że pojęcie danych osobowych należy rozumieć szeroko. Są nimi informacje w postaci opinii, oceny – także subiektywnej – a warunkiem uznania ich za dane osobowe w rozumieniu definicji zawartej w RODO jest to, że informacje te dotyczą osoby.

„Również w polskiej doktrynie prawa ochrony danych osobowych podkreśla się, że każda informacja niezależnie od sposobu i formy jej wyrażenia podlegać może ocenie z punktu widzenia pojęcia danych osobowych” podkreśla Mirosław Wróblewski. „W swojej praktyce orzeczniczej organ nadzorczy przyjmuje konsekwentnie, że informacje, które przy użyciu dodatkowych danych można przypisać osobie fizycznej stanowią jej dane osobowe.”

Trybunał rozstrzygnął także, że IAB Europe, jako podmiot, który dla swoich członków ustanowił zbiór reguł dotyczących zgody na przetwarzanie danych w niektórych sytuacjach będzie współadmnistratorem danych przetwarzanych przez członków tego stowarzyszenia. Co prawda to współadministrowanie jest ograniczone do operacji, w których IAB ustala cele i sposoby tego przetwarzania.

Prezes UODO podkreślił też, że orzeczenie w tym zakresie także odpowiada ocenie przyjmowanej przez organ nadzorczy do spraw ochrony danych osobowych w prowadzonych przez niego sprawach w kontekście pojęć administratora i współadministratora.

Pismo do Ministra ds. Unii Europejskiej, zawierające analizę orzeczenia TSUE w sprawie C-604/22 załączone jest poniżej.