HvJ EU, 07-03-2024, nr. C-604/22

In de overwegingen 1, 10, 26 en 30 van de AVG staat te lezen:

Artikel 1 AVG, met als opschrift ‘Onderwerp en doelstellingen’, bepaalt in lid 2:

Artikel 4 van die verordening bepaalt:

Artikel 6 AVG, met als opschrift ‘Rechtmatigheid van de verwerking’, is als volgt verwoord:

Artikel 24 van deze verordening, met als opschrift, ‘Verantwoordelijkheid van de verwerkingsverantwoordelijke’, bepaalt in lid 1:

Artikel 26 van die verordening, met als opschrift ‘Gezamenlijke verwerkingsverantwoordelijken’, bepaalt in lid 1:

Hoofdstuk VI van de AVG (‘Onafhankelijke toezichthoudende autoriteiten’) omvat de artikelen 51 tot en met 59.

Artikel 51 van deze verordening, met als opschrift ‘Toezichthoudende autoriteit’, bepaalt in de leden 1 en 2:

Artikel 55 AVG, met als opschrift ‘Competentie’, bepaalt in leden 1 en 2:

Artikel 56 AVG, met als opschrift ‘Competentie van de leidende toezichthoudende autoriteit’, bepaalt in lid 1:

Artikel 57 AVG, met als opschrift ‘Taken’, bepaalt in lid 1:

Hoofdstuk VII van de AVG (‘Samenwerking en coherentie’) bevat een afdeling 1, die als opschrift ‘Samenwerking’ draagt en waarin de artikelen 60 tot en met 62 zijn opgenomen. Artikel 60 heeft betrekking op de ‘samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten’ en bepaalt in lid 1 het volgende:

Artikel 61 AVG, met als opschrift ‘Wederzijdse bijstand’, bepaalt in lid 1:

Artikel 62 van deze verordening, met als opschrift ‘Gezamenlijke werkzaamheden van toezichthoudende autoriteiten’, bepaalt in de leden 1 en 2:

Afdeling 2 (‘Coherentie’) van hoofdstuk VII van de AVG omvat de artikelen 63 tot en met 67. Artikel 63, met als opschrift ‘Coherentiemechanisme’, luidt:

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 4, punt 1, AVG aldus moet worden uitgelegd dat een letter- en tekenreeks — zoals de TC-string — die de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens door aanbieders van internetsites of applicaties alsook door makelaars in persoonsgegevens en reclameplatformen, een persoonsgegeven in de zin van die bepaling is wanneer een sectororganisatie een standaard voor het genereren, opslaan en verspreiden van deze tekenreeks heeft opgesteld en de leden van die organisatie deze standaard hebben geïmplementeerd en op die manier toegang hebben tot die tekenreeks. Tevens wenst de verwijzende rechter te vernemen of het voor het antwoord op deze vraag van belang is of ten eerste die tekenreeks wordt gekoppeld aan een identificator, zoals met name het IP-adres van het toestel van de betrokken gebruiker, zodat deze kan worden geïdentificeerd, en ten tweede of een dergelijke sectororganisatie het recht heeft om rechtstreeks toegang te hebben tot de persoonsgegevens die haar leden binnen de door haar opgestelde standaard verwerken.

Om te beginnen zij eraan herinnerd dat de rechtspraak van het Hof over richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31) in beginsel ook geldt voor de AVG, aangezien deze richtlijn is ingetrokken bij en vervangen door de AVG, waarvan de relevante bepalingen in wezen dezelfde draagwijdte hebben als de relevante bepalingen van die richtlijn (arrest van 17 juni 2021, M.I.C.M., C-597/19, EU:C:2021:492, punt 107).

Tevens zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met haar bewoordingen, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 22 juni 2023, Pankki S, C-579/21, EU:C:2023:501, punt 38 en aldaar aangehaalde rechtspraak).

Dienaangaande zij opgemerkt dat in artikel 4, punt 1, AVG is bepaald dat onder persoonsgegevens dient te worden verstaan ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’, en dat in die bepaling wordt verduidelijkt dat ‘als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon’.

Het gebruik van de uitdrukking ‘alle informatie’ in de definitie die in artikel 4, punt 1, AVG wordt gegeven van het begrip ‘persoonsgegevens’, wijst op de bedoeling van de Uniewetgever om een ruime betekenis toe te kennen aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie — zowel objectieve als subjectieve informatie — in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene ‘betreft’ (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 23 en aldaar aangehaalde rechtspraak).

In zoverre heeft het Hof geoordeeld dat informatie betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C-487/21, EU:C:2023:369, punt 24 en aldaar aangehaalde rechtspraak).

Wat de identificeerbaarheid van een persoon betreft, blijkt uit de bewoordingen van artikel 4, punt 1, AVG dat een persoon niet alleen als identificeerbaar wordt beschouwd wanneer hij direct kan worden geïdentificeerd, maar ook wanneer hij indirect kan worden geïdentificeerd.

Zoals het Hof reeds heeft geoordeeld, kan uit het feit dat de Uniewetgever de uitdrukking ‘indirect’ gebruikt, worden afgeleid dat het voor de kwalificatie van informatie als persoonsgegeven niet nodig is dat dit gegeven het op zichzelf mogelijk maakt de betrokken persoon te identificeren (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 41). Integendeel, uit artikel 4, punt 5, AVG, gelezen in samenhang met overweging 26 van deze verordening, vloeit voort dat persoonsgegevens die door het gebruik van aanvullende informatie kunnen worden gekoppeld aan een natuurlijke persoon, moeten worden beschouwd als gegevens over een identificeerbare natuurlijke persoon (arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, punt 58).

Daarnaast staat in die overweging 26 te lezen dat bij de vaststelling of een natuurlijke persoon ‘identificeerbaar’ is, rekening moet worden gehouden met ‘alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken’. Deze bewoordingen wijzen erop dat voor de kwalificatie van een gegeven als ‘persoonsgegeven’ in de zin van artikel 4, punt 1, AVG niet vereist is dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust (zie naar analogie arrest van 19 oktober 2016, Breyer, C-582/14, EU:C:2016:779, punt 43).

Hieruit volgt dat het begrip ‘persoonsgegevens’ zich niet alleen uitstrekt tot de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens, maar ook tot alle informatie die voortvloeit uit een verwerking van persoonsgegevens die betrekking hebben op een geïdentificeerde of identificeerbare persoon (arrest van 22 juni 2023, Pankki S, C-579/21, EU:C:2023:501, punt 45).

In de onderhavige zaak zij opgemerkt dat een letter- en tekenreeks als de TC-string de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking door derden van zijn persoonsgegevens of van gegevens over het bezwaar dat hij eventueel heeft gemaakt tegen de verwerking van zijn persoonsgegevens voor een vermeend gerechtvaardigd belang als bedoeld in artikel 6, lid 1, onder f), AVG.

Zelfs indien een TC-string op zichzelf geen gegevens zou bevatten aan de hand waarvan de betrokkene direct kan worden geïdentificeerd, bevat zij om te beginnen de persoonlijke voorkeuren van een specifieke gebruiker met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens, waarbij het gaat om informatie ‘over een […] natuurlijke persoon’ in de zin van artikel 4, punt 1, AVG.

Daarnaast staat het tevens vast dat de koppeling van de in een TC-string vervatte informatie aan een identificator zoals met name het IP-adres van het toestel van de betrokken gebruiker het mogelijk kan maken om een profiel van deze gebruiker op te stellen en om de persoon waar die informatie specifiek betrekking op heeft, daadwerkelijk te identificeren.

Aangezien een gebruiker kan worden geïdentificeerd door een letter- en tekenreeks als de TC-string te koppelen aan aanvullende gegevens, zoals met name het IP-adres van het toestel van deze gebruiker of andere identificatoren, dient te worden geoordeeld dat de TC-string informatie over een identificeerbare gebruiker bevat en dus een persoonsgegeven in de zin van artikel 4, punt 1, AVG is, hetgeen wordt bevestigd door overweging 30 van de AVG, waarin uitdrukkelijk wordt verwezen naar een dergelijke situatie.

Aan deze uitlegging wordt niet afgedaan door de enkele omstandigheid dat IAB Europe niet zelf de TC-string aan het IP-adres van het toestel van een gebruiker zou kunnen koppelen en geen rechtstreekse toegang heeft tot de gegevens die binnen het TCF door haar leden worden verwerkt.

Zoals blijkt uit de in punt 40 van dit arrest in herinnering gebrachte rechtspraak, staat die omstandigheid er namelijk niet aan in de weg dat een TC-string wordt aangemerkt als een ‘persoonsgegeven’ in de zin van artikel 4, punt 1, AVG.

Overigens blijkt uit het dossier waarover het Hof beschikt — en met name uit de beslissing van 2 februari 2022 — dat de leden van IAB Europe verplicht zijn om deze organisatie op haar verzoek alle informatie te verstrekken waarmee zij gebruikers kan identificeren van wie de gegevens zijn opgeslagen in een TC-string.

Onder voorbehoud van de verificaties die de verwijzende rechter in dit verband dient te verrichten, lijkt IAB Europe dus — dankzij de informatie die haar leden en andere aan het TCF deelnemende organisaties haar moeten verstrekken — over de in overweging 26 van de AVG bedoelde redelijke middelen te beschikken om een bepaalde natuurlijke persoon te identificeren aan de hand van een TC-string.

Uit het voorgaande volgt dat een TC-string een persoonsgegeven in de zin van artikel 4, punt 1, AVG vormt. Het is daarbij niet relevant dat een dergelijke sectororganisatie zonder externe medewerking, die zij kan eisen, geen toegang heeft tot de gegevens die haar leden binnen de door haar opgestelde standaard verwerken, noch de TC-string kan koppelen aan andere identificatoren zoals met name het IP-adres van het toestel van een gebruiker.

Gelet op een en ander dient op de eerste prejudiciële vraag te worden geantwoord dat artikel 4, punt 1, AVG aldus moet worden uitgelegd dat een letter- en tekenreeks als de TC-string, die de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens door aanbieders van internetsites of applicaties alsook door makelaars in persoonsgegevens en reclameplatformen, een persoonsgegeven in de zin van die bepaling is aangezien deze tekenreeks het mogelijk maakt om de betrokken gebruiker te identificeren wanneer zij met redelijke middelen kan worden gekoppeld aan een identificator zoals met name het IP-adres van het toestel van die gebruiker. Dat een sectororganisatie die in het bezit is van deze tekenreeks, zonder externe medewerking geen toegang heeft tot de gegevens die haar leden binnen de door haar opgestelde standaard verwerken, en dat zij die tekenreeks evenmin kan koppelen aan andere gegevens, staat er dan ook niet aan in de weg dat die tekenreeks een persoonsgegeven in de zin van voornoemde bepaling is.

Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 4, punt 7, AVG aldus moet worden uitgelegd dat:

Om te beginnen zij eraan herinnerd dat het doel van de AVG — zoals dat blijkt uit artikel 1 alsook uit de overwegingen 1 en 10 van deze verordening — met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU erkende recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens [arrest van 4 mei 2023, Bundesrepublik Deutschland (Gerechtelijke elektronische postbus), C-60/22, EU:C:2023:373, punt 64].

In overeenstemming met deze doelstelling geeft artikel 4, punt 7, AVG een ruime definitie van het begrip ‘verwerkingsverantwoordelijke’, waarmee wordt gedoeld op een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

Zoals het Hof reeds heeft geoordeeld, strekt die bepaling er namelijk toe om middels die ruime definitie van het begrip ‘verantwoordelijke’ een doeltreffende en volledige bescherming van de betrokkenen te waarborgen (zie naar analogie arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, punt 28).

Aangezien het begrip ‘verwerkingsverantwoordelijke’ — zoals in artikel 4, punt 7, AVG uitdrukkelijk is bepaald — ziet op het orgaan dat ‘alleen of samen met anderen’ het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, verwijst dat begrip bovendien niet noodzakelijk naar één orgaan en kan het betrekking hebben op meerdere deelnemers aan deze verwerking, die dan ieder onder de bepalingen op het gebied van gegevensbescherming vallen (zie naar analogie arresten van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, punt 29, en 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punt 65).

Het Hof heeft tevens geoordeeld dat een natuurlijke persoon of een rechtspersoon die voor eigen doeleinden invloed uitoefent op de verwerking van persoonsgegevens en daardoor betrokken is bij de vaststelling van het doel van en de middelen voor de verwerking, als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG kan worden beschouwd (zie naar analogie arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punt 68). Volgens artikel 26, lid 1, AVG is er dan ook sprake van ‘gezamenlijke verwerkingsverantwoordelijken’ wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen (arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, punt 40).

In zoverre moet elk van de gezamenlijke verwerkingsverantwoordelijken weliswaar afzonderlijk beantwoorden aan het in artikel 4, punt 7, AVG gebezigde begrip ‘verwerkingsverantwoordelijke’, maar leidt het bestaan van een gezamenlijke verantwoordelijkheid niet noodzakelijk tot een gelijkwaardige verantwoordelijkheid van de verschillende deelnemers aan een en dezelfde verwerking van persoonsgegevens. Integendeel, deze deelnemers kunnen in verschillende stadia en in verschillende mate bij deze verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van ieder van hen moet worden beoordeeld in het licht van alle relevante omstandigheden van het geval. Bovendien onderstelt de gezamenlijke verantwoordelijkheid van verschillende deelnemers aan een en dezelfde verwerking, niet dat ieder van hen toegang heeft tot de persoonsgegevens in kwestie (zie naar analogie arrest van 10 juli 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, punten 66 en 69 en aldaar aangehaalde rechtspraak).

De betrokkenheid bij de vaststelling van het doel van en de middelen voor de verwerking kan verschillende vormen aannemen en zowel resulteren uit een gezamenlijk besluit van twee of meer entiteiten als uit convergerende besluiten van die entiteiten. In dat laatste geval moeten die besluiten elkaar aanvullen, zodat elk ervan een concreet effect heeft op de vaststelling van het doel van en de middelen voor de verwerking. Daarentegen kan niet worden verlangd dat er tussen deze verwerkingsverantwoordelijken een formele overeenkomst bestaat over dat doel en die middelen (arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, punten 43 en 44).

Gelet op het voorgaande moet worden aangenomen dat het eerste deel van de tweede prejudiciële vraag ertoe strekt dat wordt vastgesteld of een sectororganisatie als IAB Europe kan worden aangemerkt als een gezamenlijke verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG.

Daartoe moet dus worden beoordeeld of die organisatie — gelet op de bijzondere omstandigheden van het geval — voor eigen doeleinden invloed uitoefent op de verwerking van persoonsgegevens zoals de TC-string en samen met anderen het doel van en de middelen voor die verwerking vaststelt.

Wat in de eerste plaats het doel van die verwerking van persoonsgegevens betreft, blijkt — onder voorbehoud van de door de verwijzende rechter te verrichten verificaties — uit het dossier waarover het Hof beschikt, zoals in de punten 21 en 22 van dit arrest in herinnering is gebracht, dat het door IAB Europe opgestelde TCF een standaard is die ertoe strekt te waarborgen dat de AVG wordt nageleefd wanneer de persoonsgegevens van gebruikers van een internetsite of applicatie worden verwerkt door bepaalde ondernemingen die deelnemen aan de online veiling van advertentieruimte.

Het TCF is er dan ook in wezen op gericht om de verkoop en aankoop van advertentieruimte op het internet door die ondernemingen te bevorderen en mogelijk te maken.

Derhalve kan — onder voorbehoud van de verificaties die de verwijzende rechter dient te verrichten — worden aangenomen dat IAB Europe voor eigen doeleinden invloed uitoefent op de verwerkingen van persoonsgegevens die in het hoofdgeding aan de orde zijn en daardoor samen met haar leden het doel van die verwerkingen vaststelt.

Wat in de tweede plaats de middelen betreft die voor een dergelijke verwerking van persoonsgegevens worden gebruikt, blijkt — onder voorbehoud van de door de verwijzende rechter te verrichten verificaties — uit het dossier waarover het Hof beschikt, dat het TCF een standaard is die de leden van IAB Europe worden geacht te aanvaarden wanneer zij zich bij deze vereniging willen aansluiten. Met name kan IAB Europe — zoals zij ter terechtzitting voor het Hof heeft bevestigd — ten aanzien van een van haar leden dat de regels van het TCF niet naleeft, een besluit tot schorsing wegens niet-conformiteit nemen dat ertoe kan leiden dat het betrokken lid wordt uitgesloten van het TCF en zich bijgevolg voor de verwerking van persoonsgegevens die het verricht door middel van TC-strings, niet kan beroepen op de AVG-conformiteitswaarborg die dit systeem wordt geacht te bieden.

Daarnaast bevat het door IAB Europe opgestelde TCF vanuit praktisch oogpunt — zoals in punt 21 van dit arrest is vermeld — technische specificaties voor de verwerking van de TC-string. In het bijzonder lijken die specificaties precies te beschrijven hoe de CMP's de voorkeuren die de gebruikers hebben met betrekking tot de verwerking van hun persoonsgegevens moeten registreren, en hoe die voorkeuren moeten worden verwerkt teneinde een TC-string te genereren. Voorts worden er ook precieze regels opgesteld over de inhoud van de TC-string alsook over de opslag en het delen van die string.

Zo blijkt uit de beslissing van 2 februari 2022 dat IAB Europe in die regels onder meer voorschrijft op welke gestandaardiseerde wijze de verschillende bij het TCF betrokken partijen de in de TC-string opgeslagen voorkeuren, bezwaren en toestemmingen kunnen raadplegen.

Derhalve dient — onder voorbehoud van de door de verwijzende rechter te verrichten verificaties — te worden aangenomen dat een sectororganisatie als IAB Europe voor eigen doeleinden invloed uitoefent op de in het hoofdgeding aan de orde zijnde verwerkingen van persoonsgegevens en aldus samen met haar leden de middelen voor die verwerkingen vaststelt. Hieruit volgt dat zij overeenkomstig de in punt 57 van dit arrest in herinnering gebrachte rechtspraak moet worden aangemerkt als een ‘gezamenlijke verwerkingsverantwoordelijke’ in de zin van artikel 4, punt 7, en artikel 26, lid 1, AVG.

De door de verwijzende rechter vermelde omstandigheid dat een dergelijke sectororganisatie niet zelf rechtstreeks toegang heeft tot de TC-strings en bijgevolg tot de persoonsgegevens die binnen voornoemde standaard door haar leden — met wie zij samen het doel van en de middelen voor de verwerking van die gegevens bepaalt — worden verwerkt, staat er — overeenkomstig de in punt 58 van dit arrest in herinnering gebrachte rechtspraak — niet aan in de weg dat zij wordt aangemerkt als ‘verwerkingsverantwoordelijke’ in de zin van die bepaling.

Daarnaast moet in antwoord op de twijfels van de verwijzende rechter worden geoordeeld dat de eventuele gezamenlijke verantwoordelijkheid van die sectororganisatie zich niet automatisch uitstrekt tot de latere verwerkingen van persoonsgegevens door derden, zoals aanbieders van internetsites of applicaties, wat de voorkeuren van gebruikers met het oog op gerichte online reclame betreft.

Dienaangaande zij ten eerste opgemerkt dat de ‘verwerking’ van persoonsgegevens in artikel 4, punt 2, AVG wordt gedefinieerd als ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens’.

Uit deze definitie blijkt dat de verwerking van persoonsgegevens kan bestaan uit een of meerdere bewerkingen, die elk betrekking hebben op een andere fase van die verwerking.

Ten tweede volgt uit artikel 4, punt 7, en artikel 26, lid 1, AVG — zoals het Hof reeds heeft geoordeeld — dat een natuurlijke of rechtspersoon slechts als gezamenlijke verantwoordelijke voor de verwerking van persoonsgegevens kan worden aangemerkt indien hij samen met anderen het doel van en de middelen voor die verwerking vaststelt. Derhalve kan die natuurlijke of rechtspersoon — onverminderd een eventuele civielrechtelijke aansprakelijkheid waarin het nationale recht in dit verband voorziet — niet worden geacht in de zin van die bepalingen verantwoordelijk te zijn voor bewerkingen die vroeger of later in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststelt (zie naar analogie arrest van 29 juli 2019, Fashion ID, C-40/17, EU:C:2019:629, punt 74).

In casu moet een onderscheid worden gemaakt tussen enerzijds de verwerking van persoonsgegevens door de leden van IAB Europe — te weten aanbieders van internetsites of applicaties en gegevensmakelaars of reclameplatforms — bij de opslag van de toestemmingsvoorkeuren van de betrokken gebruikers in een TC-string volgens de in het TCF opgestelde standaard en anderzijds de verwerking van persoonsgegevens die deze ondernemingen en derden later op basis van die voorkeuren verrichten, bijvoorbeeld door doorzending van die gegevens aan derden of gepersonaliseerde reclameaanbiedingen aan die gebruikers.

Onder voorbehoud van de verificaties die de verwijzende rechter dient te verrichten, lijkt IAB Europe namelijk niet bij die latere verwerking betrokken te zijn, zodat moet worden geoordeeld dat een dergelijke organisatie niet automatisch samen met die ondernemingen en derden verantwoordelijk is voor de verwerking van de persoonsgegevens op basis van de in een TC-string opgeslagen voorkeursgegevens van de betrokken gebruikers.

Een sectororganisatie als IAB Europe kan dan ook slechts worden geacht verantwoordelijk te zijn voor dergelijke latere verwerkingen indien vaststaat dat zij invloed uitoefent op de vaststelling van het doel van die verwerkingen en van de wijze waarop deze worden verricht, wat de verwijzende rechter dient na te gaan in het licht van alle relevante omstandigheden van het hoofdgeding.

Gelet op een en ander dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 4, punt 7, en artikel 26, lid 1, AVG aldus moeten worden uitgelegd dat: