IAB Europe'un GDPR İhlalleri

![img-0.jpeg](img-0.jpeg)

Uitgifte

| Repertoriumnummer 2025 / 3556 |
| --- |
| Datum van uitspraak 14 mei 2025 |
| Rolnummer 2022/AR/292 |

| Uitgereikt aan | Uitgereikt aan | Uitgereikt aan |
| --- | --- | --- |
| op € BUR | op € BUR | op € BUR |

N°

Niet registreerbaar

Eindarrest

Art. 773 Ger.W.

# Hof van beroep

# Brussel

Sectie Marktenhof

19de kamer A

# Arrest

| Aangeboden op |
| --- |
| Niet te registreren |

COVER 01-00004384135-0001-0071-02-01-1

Hof van beroep Brussel – 2022/AR/292 – p. 2

1. INTERACTIVE ADVERTISING BUREAU EUROPE iVZW (IAB Europe), zoals ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0812.047.277, met maatschappelijke zetel te 1040 BRUSSEL, Robert Schumanplein 11,

Verzoekster,

vertegenwoordigd door Meester CRADDOCK Peter Alexander, advocaat kantoorhoudende te Meester JUDO Frank en Meester VANDEKERCKHOVE Kwinten, advocaten kantoorhoudende te en Meester VAN QUATHEM Kristof, advocaat kantoorhoudende te

# TEGEN

2. GEGEVENSBESCHERMINGSAUTORITEIT, zoals ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0694.679.950, met maatschappelijke zetel te 1000 BRUSSEL, Drukpersstraat 35,

Verweerster, hierna “GBA”,

vertegenwoordigd door Meester ROETS Joos en Meester ROES Timothy, advocaat kantoorhoudende te

# IN DE AANWEZIGHEID VAN

3. met Rijksregisternummer , wonende te

Vrijwillig tussenkomende partij (nr. 1),

4. met Rijksregisternummer , wonende te , thans te

Vrijwillig tussenkomende partij (nr. 2),

5. met nationaal sociaal zekerheidsnummer , wonende te

Vrijwillig tussenkomende partij (nr. 3),

PAGE 01-00004384135-0002-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 3

6. FUNDACJA PANOPTYKON, stichting naar Pools recht, met maatschappelijke zetel te Orzechowska 4/4, 02-068 WARSCHAU, POLEN, in de hoedanigheid van vertegenwoordigster van [redacted] wonend te [redacted]

Vrijwillig tussenkomende partij (nr. 4),

7. STICHTING BITS OF FREEDOM, stichting naar Nederlands recht, met maatschappelijke zetel te Prinseneiland 97hs, 1013 LN AMSTERDAM, NEDERLAND,

Vrijwillig tussenkomende partij (nr. 5),

8. LIGUE DES DROITS HUMAIN VZW, zoals ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0410.105.805, met maatschappelijke zetel te 1000 BRUSSEL, Kogelstraat 22, thans te 1080 BRUSSEL, Leopold II laan 53,

Vrijwillig tussenkomende partij (nr. 6),

vertegenwoordigd door Meester DEBUSSERE Frederic en Meester ROEX Ruben, beide advocaten kantoorhoudende te [redacted]

alle vrijwillig tussenkomende partijen tesamen worden hierna ook aangeduid als de “klagers”.

***

Gelet op de procedurestukken :

- de beslissing nr. 21/2022 in DOS-2019-01377 van 2 februar 2022 van de Geschillenkamer van de GBA (hierna: de "Bestreden beslissing" of de "Beslissing");
- het verzoekschrift van 4 maart 2022, waarmee IAB Europe beroep aantekent gegen voornoemde beslissing;
- het verzoekschrift tot vrijwillige tussenkomst van de heer Ausloos et alii zoals neergelegd ter griffie op 15 maart 2022;
- het tussenarrest van het Marktenhof van 7 september 2022 waarin het overging tot het stellen van prejudiciële vragen aan het Hof van Justitie van de Europese Unie (hierna: "Hof van Justitie");
- het arrest van het Hof van Justitie van 7 maart 2024 (C-604/22);
- het verzoekschrift op grond van artikel 748, §2, Gerechtelijk Wetboek zoals ingediend door IAB Europe op 11 oktober 2024;

PAGE 01-00004384135-0003-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 4

- de beschikking van het Marktenhof van 18 oktober 2024 tot regeling van de bijkomende conclusiertermijnen;
- de (derde) syntheseconclusies en stukkenbundels zoals thans ingediend door partijen;
- de pleitzitting van 8 januari 2025 waarop de zaak in beraad werd genomen voor uitspraak op 19 maart 2025 ; het debat op 8 januari 2025 werd ab ovo hernomen gelet op de wijziging van de zetel van het Marktenhof na het tussenarrest zoals uitgesproken op 7 september 2022 ;
- het verzoekschrift tot heropening van de debatten op grond van artikel 773, lid 2, Gerechtelijk Wetboek zoals ingediend door IAB Europe op 25 februari 2025 ;
- de schriftelijke opmerkingen van de GBA op 7 maart 2025 ;
- de schriftelijke opmerkingen van de klagers op 7 maart 2025 ;

De rechtspleging verliep in overeenstemming met de wet van 15 juni 1935 op het gebruik van de taal in gerechtszaken.

# I. Feiten en procedurele voorgaanden

IAB Europe is een in België gevestigde internationale vereniging zonder winstoogmerk die ondernemingen in de sector van digitale reclame en marketing vertegenwoordigt op Europees niveau. De leden van IAB Europe zijn zowel ondernemingen in deze sector - zoals uitgeverijen, e-commerce- en marketingbedrijven en tussenpersonen - als nationale verenigingen, waaronder de nationale IAB's (Interactive Advertising Bureaus), waarbij ook weer ondernemingen in die sector zijn aangesloten. IAB Europe telt onder haar leden, onder meer, ondernemingen die aanzienlijke inkomsten hebben uit de verkoop van advertentieruimte op internetsites of applicaties.

IAB Europe heeft het Transparency & Consent Framework (raamwerk voor transparantie en toestemming) (hierna : "TCF") ontwikkeld, zijnde een "standaard"¹ die bestaat uit richtsnoeren, instructies, technische specificaties, protocollen en contractuele verplichtingen die zowel aanbieders van een internetsite of applicatie als gegevensmakelaars of reclameplatformen in staat stellen om persoonsgegevens van gebruikers van een internetsite of applicatie te verwerken.

Het TCF heeft tot doel de naleving van de AVG te bevorderen wanneer die ondernemingen gebruikmaken van het zogenoemde OpenRTB-protocol, een van de meest gehanteerde protocollen voor Real Time Bidding, dat wil zeggen een systeem voor de ogenblikkelijke geautomatiseerde

¹ Er is een voortdurende discussie tussen partijen over wat het TCF precies is : een standaard, een norm, een gedragscode, kader, raamwerk, enz.

PAGE 01-00004384135-0004-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 5

online veiling van gebruikersprofielen voor het verkopen en aankopen van advertentieruimte op het internet (hierna : “RTB”). In het licht van bepaalde praktijken die de leden van IAB Europe er in het kader van dit systeem voor de massale uitwisseling van persoonsgegevens met betrekking tot gebruikersprofielen op na houden, heeft IAB Europe het TCF voorgesteld als een mogelijke oplossing om dat veilingsysteem in overeenstemming te brengen met de AVG.

Met name kunnen advertentietechnologiebedrijven, waaronder gegevensmakelaars en reclameplatformen, die duizenden adverteerders vertegenwoordigen, vanuit technisch oogpunt, wanneer een gebruiker een website of een applicatie bezoekt die advertentieruimte bevat, ogenblikkelijk achter de schermen op die advertentieruimte bieden via een geautomatiseerd veilingsysteem dat algoritmes gebruikt, teneinde op die advertentieruimte gerichte reclame te laten zien die specifiek is afgestemd op het profiel van die gebruiker.

In de Bestreden Beslissing staat dit schematisch² als volgt weergegeven :

![img-1.jpeg](img-1.jpeg)

² Technisch analyseverslag van de Inspectiedienst, 4 juni 2019, stuk A24 van de GBA.

PAGE 01-00004384135-0005-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 6

![img-2.jpeg](img-2.jpeg)

: requires central governance

: decentralized governance, fully customizable

Om dergelijke gerichte reclame te laten zien, moet echter eerst, in principe, de toestemming van die gebruiker worden verkregen. Wanneer de betrokken gebruiker voor het eerst een bepaalde website of applicatie bezoekt, zal dan ook in een pop-upvenster een toestemmingsbeheerplatform - een zogenoemd Consent Management Platform (hierna : “CMP”) - verschijnen dat hem in staat stelt om de aanbieder van de internetsite of applicatie toestemming te verlenen voor het verzamelen en verwerken van zijn persoonsgegevens voor vooraf vastgestelde doeleinden - zoals met name marketing of reclame - of voor het delen van die gegevens met bepaalde aanbieders, alsmede om bezwaar te maken tegen verschillende soorten van verwerking van die gegevens of tegen het delen ervan op grond van de door aanbieders ingeroepen gerechtvaardigde belangen in de zin van artikel 6, lid 1, onder f), AVG. Deze persoonsgegevens hebben met name betrekking op de locatie, de leeftijd, de zoekgeschiedenis en de recente aankopen van de gebruiker.

In dit verband biedt het TCF een kader voor de verwerking van persoonsgegevens op grote schaal en zorgt het ervoor dat de voorkeuren van de gebruikers door middel van het CMP gemakkelijker kunnen worden geregistreerd. Deze voorkeuren worden vervolgens gecodeerd en opgeslagen in een letter- en tekenreeks die IAB Europe de Transparency and Consent String (hierna : “TC String”) noemt, die wordt gedeeld met makelaars in persoonsgegevens en reclameplatformen die deelnemen aan het OpenRTB-protocol, opdat deze weten waarvoor de gebruiker toestemming heeft verleend of waartegen hij bezwaar heeft gemaakt. Het CMP plaatst ook een cookie (euconsent-v2) op het apparaat van de gebruiker. In combinatie met elkaar kunnen de TC String en de euconsent-v2-cookie worden gekoppeld aan het IP-adres van de gebruiker.

PAGE 01-00004384135-0006-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 7

Volgens IAB Europe werd dit in de laatste versie 2.2 van het TCF, die hier niet ter beoordeling staat, gewijzigd.

Het TCF speelt een rol bij de werking van het OpenRTB-protocol, aangezien het de mogelijkheid biedt om de voorkeuren van de gebruiker over te schrijven teneinde deze mee te delen aan potentiële verkopers, alsmede om verschillende verwerkingsdoeleinden te bereiken, waaronder het aanbieden van advertenties op maat. Het TCF strekt er beweerdelijk toe om makelaars in persoonsgegevens en reclameplatformen door middel van de TC String te verzekeren dat de AVG is nageleefd.

De GBA heeft sinds 2019 klachten tegen IAB Europe ontvangen (de meeste klachten komen uit andere lidstaten, één betreft die van [redacted] uit België) die betrekking hadden op de overeenstemming van het TCF met de AVG.

De GBA heeft bepaalde klachten onderzocht (met een eerste rapport van de inspectiedienst van 13 juli 2020) en vervolgens het samenwerkings- en coherentiemechanisme in werking gesteld om tot een gezamenlijk besluit te komen dat is goedgekeurd door de (21³) nationale toezichthoudende autoriteiten die bij dat mechanisme betrokken zijn.

Zo heeft de Geschillenkamer van de GBA bij beslissing van 2 februari 2022 (hierna : "Bestreden Beslissing") geoordeeld dat IAB Europe als verwerkingsverantwoordelijke optrad met betrekking tot de registratie van het toestemmingssignaal en van de bezwaren en de voorkeuren van de individuele gebruikers door middel van een TC String, die volgens de Geschillenkamer van de GBA gekoppeld is aan een identificeerbare gebruiker. Daarnaast heeft de Geschillenkamer van de GBA IAB Europe bij die beslissing overeenkomstig artikel 100, § 1, 9°, WOG gelast om de verwerking van persoonsgegevens in het kader van het TCF in overeenstemming te brengen met de AVG, en haar meerdere corrigerende maatregelen alsook een administratieve geldboete (250.000,00 EUR) opgelegd.

Op 4 maart 2022, heeft IAB Europe tegen de beslissing van 2 februari 2022 een verhaal ingesteld bij het Marktenhof.

10.

³ In de feiten waren het er 28 omdat er verschillende toezichthouders uit Duitsland hebben deelgenomen.

PAGE 01-00004384135-0007-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 8

IAB Europe werkte ondertussen (in overleg met de GBA) aan aanpassingen van het TCF. De versie die hier ter beoordeling staat is de versie 2.0. Op 16 mei 2023 maakte IAB Europe de versie 2.2 bekend waarover het Marktenhof thans geen rechtsmacht heeft (zie verder hieronder).

11.

Voor het Marktenhof stelde IAB Europe dat TC Strings voor haar geen persoonsgegevens zijn aangezien IAB Europe zelf de gegevens niet kan herleiden naar een individu. Het zijn enkel de overige deelnemers van het systeem die dit kunnen. Om diezelfde reden zou IAB Europe ook geen verantwoordelijke zijn, aangezien zij beweerdelijk geen toegang heeft tot de gegevens.

12.

Op 7 september 2022, heeft het Marktenhof een tussenarrest uitgesproken waarin het, onder meer, twee prejudiciële vragen stelde aan het Hof van Justitie die als volgt kunnen worden samengevat :

1. Moet een TC String worden gezien als een personsgeveen?
2. Moet IAB Europe worden beschouwd als verwerkingsverantwoordelijk? Zo ja, geldt dat ook voor waaropvolgende verwerkingen door andere organisaties?

13.

Op 7 maart 2024, sprak het Hof van Justitie een arrest uit (C-604/22) (hierna : het “Prejudicieel Arrest”).

Het Hof van Justitie heeft daarin het volgende beslist :

“Het Hof (Vierde kamer) verklaart voor recht:

Artikel 4, punt 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat een letter- en tekenreeks als de TC-string (Transparency and Consent String), die de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens door aanbieders van internetsites of applicaties alsook door makelaars in persoonsgegevens en reclameplatformen, een persoonsgegevens in de zin van die bepaling is aangezien deze tekenreeks het mogelijk maakt om de betrokken gebruiker te identificeren wanneer zij met redelijke middelen kan worden gekoppeld aan een identificator zoals met name het IP-adres van het toestel van die gebruiker. Dat een sectororganisatie die in het bezit is van deze tekenreeks, zonder externe medewerking geen toegang heeft tot de gegevens die haar leden

PAGE 01-00004384135-0008-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 9

binnen de door haar opgestelde standaard verwerken, en dat zij die tekenreeks evenmin kan koppelen aan andere gegevens, staat er dan ook niet aan in de weg dat die tekenreeks een persoonsgegevens in de zin van voornoemde bepaling is.

niet aan in de weg dat die tekenreeks een persoonsgegevens in de zin van voornoemde bepaling is.

Artikel 4, punt 7, en artikel 26, lid 1, van verordening 2016/679 moeten aldus worden uitgelegd dat:

- een sectororganisatie die haar leden een door haar opgestelde standaard aanbiedt die betrekking heeft op de toestemming voor de verwerking van persoonsgegevens en die behalve bindende technische regels ook voorschriften bevat waarbij gedetailleerd is bepaald hoe de persoonsgegevens met betrekking tot die toestemming moeten worden opgeslagen en verspreid, dient te worden aangemerkt als „gezamenlijke verwerkingsverantwoordelijke” in de zin van die bepalingen, indien zij gelet op de specifieke omstandigheden van het geval voor eigen doeleinden invloed uitoefent op de betreffende verwerking van persoonsgegevens en aldus samen met haar leden het doel van en de middelen voor die verwerking vaststelt. Dat een dergelijke sectororganisatie niet zelf rechtstreeks toegang heeft tot de persoonsgegevens die haar leden binnen die standaard verwerken, staat er niet aan in de weg dat zij de hoedanigheid van gezamenlijke verwerkingsverantwoordelijke in de zin van voornoemde bepalingen heeft;

- de gezamenlijke verantwoordelijkheid van die sectororganisatie zich niet automatisch uitstrekt tot latere verwerkingen van persoonsgegevens door derden – zoals aanbieders van internetsites of applicaties – wat de voorkeuren van gebruikers met het oog op gerichte online reclame betreft.”

14.

De partijen hebben na ontvangst van het Prejudicieel Arrest de zaak verder in staat gesteld en zij werden door het Marktenhof gehoord op 8 januari 2025 waarna de zaak in beraad werd genomen.

# II. Bestreden beslissing

In haar beslissing van 2 februari 2022 oordeelde de Geschillenkamer van de GBA als volgt :

OM DEZE REDENEN,

beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:

PAGE 01-00004384135-0009-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 10

– de verweerster op grond van artikel 100, § 1, 9° van de WOG te gelasten om de verwerking van persoonsgegevens in het kader van het TCF in overeenstemming te brengen met de bepalingen van de AVG door:

a. in een geldige rechtsgrond te voorzien voor de verwerking en de verspreiding van de voorkeuren van de gebruikers in het kader van het TCF, onder de vorm van een TC String en een euconsent-v2 cookie, alsmede het gebruik van gerechtvaardigde belangen als grondslag voor de verwerking van persoonsgegevens, door organisaties die deelnemen aan het TCF in zijn huidige vorm, te verbieden via de gebruiksvoorwaarden, overeenkomstig de artikelen 5.1.a en 6 van de AVG;

b. doeltreffende technische en organisatorische controlemaatregelen te implementeren teneinde de integriteit en vertrouwelijkheid van de TC String te garanderen, overeenkomstig de artikelen 5.1.f, 24, 25 en 32 van de AVG;

c. een strikte doorlichting te handhaven van de organisaties die zich aansluiten bij het TCF, om te verzekeren dat de deelnemende organisaties voldoen aan de eisen van de AVG, overeenkomstig de artikelen 5.1.f, 24, 25 en 32 AVG;

d. technische en organisatorische maatregelen te treffen teneinde te beletten dat toestemming standaard wordt aangevinkt in de CMP interfaces alsook dat deelnemende vendors automatisch worden toegestaan op grond van een gerechtvaardigd belang, overeenkomstig de artikelen 24 en 25 AVG;

e. CMPs op te leggen om een uniforme en AVG conforme aanpak te hanteren inzake de informatie die deze laatsten aan gebruikers voorleggen, overeenkomstig de artikelen 12 tot en met 14 en 24 van de AVG;

f. het huidige register van verwerkingsactiviteiten aan te vullen, door de verwerking van persoonsgegevens in het TCF door IAB Europe op te nemen, overeenkomstig artikel 30 van de AVG;

g. een gegevensbeschermingseffectbeoordeling (GEB) uit te voeren met betrekking tot de verwerkingsactiviteiten onder het TCF en hun impact op de verwerkingsactiviteiten die onder het OpenRTB-systeem plaatsvinden, alsmede deze GEB aan te passen aan de toekomstige versies of wijzigingen aan de huidige versie van het TCF, overeenkomstig artikel 35 van de AVG;

h. een functionaris voor gegevensbescherming (DPO) aan te stellen overeenkomstig de artikelen 37 tot 39 van de AVG.

PAGE 01-00004384135-0010-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 11

Deze nalevingsmaatregelen moeten worden verwezenlijkt binnen een termijn van zes maanden na de validatie van een actieplan door de Belgische Gegevensbeschermingsautoriteit, dat binnen twee maanden na deze beslissing aan de Geschillenkamer moet worden voorgelegd. Het niet naleven van de bovengenoemde termijnen gaat gepaard met een dwangsom van 5.000 EUR per dag, op grond van artikel 100, § 1, 12° van de WOG.

- de verweerster op grond van artikel 101 van de WOG een administratieve geldboete van 250.000 EUR op te leggen.

Tegen deze beslissing kan overeenkomstig artikel 108, § 1 van de WOG binnen een termijn van dertig dagen na de kennisgeving ervan beroep worden aangetekend bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerster.

Het is tegen deze beslissing dat onderhavig verhaal wordt ingesteld door IAB Europe.

### III. Vorderingen van de partijen

IAB Europe vraagt het Marktenhof middels diens synthesconclusie van 15 november 2024 :

- Het hoger beroep van [IAB Europe] ontvankelijk en gegrond te verklaren;
- Dienvolgens de Bestreden Beslissing nr. 21/2022 van 2 februari 2022 in zaak nr. DOS-2019-01377:

In hoofdorde te vernietigen;
In ondergeschikte orde, te vernietigen en te verwijzenaar de GBA;
In meest ondergeschikte orde, te vernietigen en een eigen beslissing in de plaats te stellen mits organiseatie van een consultatieprocedure.

- De GBA en de Klagers te veroordelen tot de kosten van het geding, daarin inbegrepen het rolrecht en de rechtsplegingsvergoeding, deze laatste begroot op 1.800 EUR.

Per syntheseconclusie van 27 september 2024 vordert de GBA :

- Om rechtdoend met volle rechtsmacht:

- De inhoudelijkke grieven van IAB Europe ongegrond te verklaren;
- Dienvolgens vast te stellen dat IAB Europe inbreuken heeft gemaakt op de volgende bepalingen: articel 5.1.a AVG; articel 6 AVG; articel 12 AVG; articel 13 AVG; articel 14 AVG; articel 24 AVG; articel 25 AVG; articel 5.1.f AVG; articel 32 AVG; articel 30 AVG; articel 35 AVG; articel 37 AVG, en dit op de wijze zoals

PAGE 01-00004384135-0011-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 12

uiteengezet in randnummer 535 van de bestreden beslissing nr. 21/2022 van 2 februari 2022 van de Geschillenkamer van de GBA ;

Tevens de proceduree grieven van IAB Europe ongegrond te verklaren;
Dienvolgens de wettigheid te bevestigen van de bestreden beslissing nr. 21/2022 van 2 februari 2022, en in het bijzonder van de daarin aan IAB Europe opgelegde sancties (opgenomen in het disposietief op p. 138-139);

Hoe dan ook, te verklaren dat de vordering van IAB Europe ongegrond is;
Hoe dan ook, IAB Europe te veroordelen tot de kosten van het geding, m.i.v. het geindexeerde basisbedrag van de rechtsplegingsvergoeding voor nicht in geld waardeerbare vorderingen.

Namens vrijwillig tussenkomende partijen of klagers :

Aan verzoekers akte te verlenen van hun bewarende vrijwillige tussenkomst;

De vordering van de GBA om het beroep van IAB Europe ongegrond te verklaren, gegrond te verklaren.

# IV. Middelen

Namens IAB Europe :

EERSTE GRIEF : De wijze waarop de Geschillenkamer de procedure behandeld heeft, is in strijd met haar taken en bevoegdheden als Gegevensbeschermingsautoriteit onder de WOG en de AVG. Ze schendt de rechten van verdediging van [IAB Europe] en miskent het zorgvuldigheidsbeginsel als beginsel van behoorlijk bestuur.

TWEEDE GRIEF : De Bestreden beslissing is niet afdoende gemotiveerd.

DERDE GRIEF : Doordat de context van de zaak in beroep volledig is gewijzigd wordt het recht op een eerlijk proces van [IAB Europe] alsook het gelijkheids- en non-discriminatiebeginsel geschonden.

VIERDE GRIEF : De wijze waarop de Geschillenkamer besluit dat TC strings persoonsgegevens zijn is onvoldoende genuanceerd en gemotiveerd.

VIJFDE GRIEF : De Bestreden beslissing stelt ten onrechte dat [IAB Europe] persoonsgegevens verwerkt.

PAGE 01-00004384135-0012-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 13

ZESDE GRIEF : De Bestreden beslissing besluit ten onrechte dat [IAB Europe] een verwerkingsverantwoordelijke van TC Strings is.

ZEVENDE GRIEF : De Bestreden beslissing besluit ten onrechte dat [IAB Europe] een gezamenlijke verwerkingsverantwoordelijke is voor de verwerking van TC Strings en verwante gegevens.

ACHTSTE GRIEF : De Bestreden beslissing besluit ten onrechte dat [IAB Europe] een rechtsgrond nodig heeft en dat er geen rechtsgrond bestaat voor de verwerking van TC Strings en OpenRTB gegevens.

NEGENDE GRIEF : De Geschillenkamer besluit ten onrechte dat [IAB Europe] haar transparantieplicht schendt.

TIENDE GRIEF : De Bestreden beslissing besluit ten onrechte dat [IAB Europe] haar verplichtingen betreffende veiligheid, integriteit en gegevensbescherming door ontwerp en standaardinstellingen geschonden heeft.

ELFDE GRIEF : [IAB Europe] hoeft geen gegevensbeschermingseffectbeoordeling te verrichten.

TWAALFDE GRIEF : [IAB Europe] hoeft geen functionaris voor gegevensbescherming aan te wijzen.

DERTIENDE GRIEF : [IAB Europe] heeft geen wettelijke verplichting om de uitoefening van de rechten van de betrokkenen te faciliteren.

VEERTIENDE GRIEF : [IAB Europe] is niet verplicht een register van verwerkingsactiviteiten te hebben en dit is in elk geval niet onvolledig.

Namens de GBA :

EERSTE VERWEERMIDDEL : Uw Hof is niet bevoegd om nogmaals uitspraak te doen over de in de eerste grief opgeworpen rechtspunten - Uw Hof heeft zijn rechtsmacht uitgeput (verweer tegen de eerste grief van IAB Europe).

TWEEDE VERWEERMIDDEL : De vordering van IAB Europe is niet ontvankelijk voor zover zij betrekking heeft op wijzigingen die werden aangebracht aan het TCF ná de Bestreden beslissing.

PAGE 01-00004384135-0013-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 14

DERDE VERWEERMIDDEL : De in het tussenarrest vastgestelde schending van de zorgvuldigheidsplicht hoeft niet tot de vernietiging van de bestreden beslissing te leiden; minstens kan zij door Uw Hof worden geremedieerd.

VIERDE VERWEERMIDDEL : De TC Strings maken wel degelijk persoonsgegevens uit (verweer tegen de vierde grief van IAB Europe).

VIJFDE VERWEERMIDDEL : In het kader van het TCF worden persoonsgegevens verwerkt (verweer tegen de vijfde grief van IAB Europe).

ZESDE VERWEERMIDDEL : IAB Europe is verwerkingsverantwoordelijke voor de verwerking van TC Strings (verweer tegen de zesde grief van IAB Europe).

ZEVENDE VERWEERMIDDEL : IAB Europe is een gezamenlijke verwerkingsverantwoordelijke voor de verwerking van TC Strings en andere gegevens (verweer tegen de zevende grief van IAB Europe).

ACHTSTE VERWEERMIDDEL : IAB Europe moet een geldige rechtsgrond hebben voor de verwerking van TC Strings en OpenRTB gegevens maar een dergelijke rechtsgrond is niet voorhanden (verweer tegen de achtste grief van IAB Europe).

NEGENDE VERWEERMIDDEL : IAB Europe schendt haar transparantieplicht (verweer tegen de veertiende grief van IAB Europe).

TIENDE VERWEERMIDDEL : IAB Europe schendt haar verplichtingen betreffende veiligheid, integriteit en gegevensbescherming (verweer tegen de tiende grief van IAB Europe).

ELFDE VERWEERMIDDEL : Verweer tegen de elfde tot en met veertiende grief van IAB Europe: Effectbeoordeling is nodig (art. 35 AVG), Functionaris voor gegevensbescherming is vereist (art. 37 AVG), Register van verwerkingsactiviteiten is nodig (art. 30 AVG) en IAB Europe moet de uitoefening van rechten betrokkenen faciliteren (art. 15-22 AVG)

Namens vrijwillig tussenkomende partijen of klagers:

EERSTE MIDDEL : De wijze waarop de GBA de procedure behandeld heeft, is niet in strijd met haar taken en bevoegdheden als gegevensbeschermingsautoriteit onder de WOG en de AVG. Ze schendt IAB Europe’s rechten van verdediging niet, en miskent het zorgvuldigheidsbeginsel niet. De WOG bevat immers zowel een inquisitoire als een contradictoire procedure, en de Geschillenkamer mag zich ook baseren op de conclusies en bewijsstukken van een klager zonder alle feiten en beweringen in de conclusies van een klager te moeten laten onderzoeken door de Inspectiedienst. Noch de artikelen 63 en 94

PAGE 01-00004384135-0014-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 15

WOG noch artikel 57.1.f AVG verplichten de Geschillenkamer om alle feiten en beweringen in de conclusies van een klager te laten onderzoeken door de Inspectiedienst vooraleer een beslissing te nemen. Artikel 57.1.f AVG heeft zelfs geen rechtstreekse werking, zodat IAB Europe er geen rechten kan aan ontlenen. De enige relevante toetssteen is de vraag of de wapengelijkheid en het recht van verdediging van de verwerende partij gerespecteerd zijn. Dit is het geval wanneer (1) de verwerende partij vóór haar laatste conclusie weet welke feiten en geschonden wetsartikelen haar door de klager en/of de Inspectiedienst verweten worden, (2) zij daarover als laatste schriftelijk heeft kunnen concluderen zodat zij het laatste woord heeft, en (3) de Geschillenkamer zich in haar beslissing uitsluitend baseert op de middelen en argumenten uit de conclusies en stukken van de partijen en/of het rapport van de Inspectiedienst. In dat geval heeft de verwerende partij zich immers kunnen verweren tegen alle feitelijke en juridische middelen en argumenten in de conclusie van de klager en/of het rapport van de Inspectiedienst, en is achteraf rechterlijke toetsing door het Marktenhof mogelijk van de beslissing in relatie tot de middelen en argumenten in de conclusie van de verwerende partij. In casu zijn die voorwaarden voldaan, zodat de wapengelijkheid en IAB Europe’s recht van verdediging gerespecteerd geweest zijn. Om deze redenen is de eerste grief van IAB Europe ongegrond en moet de vordering van IAB Europe om de beslissing van de Geschillenkamer op basis van die grief te vernietigen, dan ook worden afgewezen.

TWEEDE MIDDEL : IAB Europe’s bewering dat haar recht op een eerlijk proces en het gelijkheids- en non-discriminatiebeginsel geschonden zouden zijn doordat de context van de zaak “in beroep” voor Uw Hof volledig gewijzigd zou zijn ten opzichte van de “eerste aanleg” voor de Geschillenkamer is volstrekt onjuist. In een beroep tegen een beslissing van de Geschillenkamer van de GBA zetelt Uw Hof immers niet in hoger beroep maar in eerste en enige aanleg. In elk geval is de context van de zaak in dit beroep geenszins gewijzigd ten opzichte van de procedure voor de Geschillenkamer. Om deze redenen is de derde grief van IAB Europe ongegrond en moet de vordering van IAB Europe om de beslissing van de Geschillenkamer op basis van die grief te vernietigen, dan ook worden afgewezen.

DERDE MIDDEL : De Geschillenkamer heeft terecht vastgesteld dat de verwerking van de TC String een “verwerking” van “persoonsgegevens” in de zin van artikelen 4.1 en 4.2 AVG is, zoals duidelijk bevestigd werd door het Hof van Justitie. De gebruikersvoorkeuren die worden verzameld in de TC String, zijn immers informatie “over” een natuurlijke persoon die geïdentificeerd kan worden aan de hand van online identificatoren, met name het IP-adres. Deze persoonsgegevens worden vervolgens verwerkt, d.i. verzameld, gestructureerd, geordend, verspreid en ter beschikking gesteld overeenkomstig de bindende voorschriften van het TCF. De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat er geen persoonsgegevens zouden zijn (vierde grief) of omdat het niet zou gaan om een verwerking van persoonsgegevens (vijfde grief van IAB Europe), moet dan ook worden afgewezen.

PAGE 01-00004384135-0015-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 16

VIERDE MIDDEL : IAB Europe is verwerkingsverantwoordelijke voor de verwerkingen van persoonsgegevens in het TCF. Het TCF zélf, waarvoor IAB Europe uitdrukkelijk aangeeft de verantwoordelijkheid te dragen, verplicht de deelnemers immers om persoonsgegevens te verwerken met het beweerde oogmerk de onderliggende verwerkingen van persoonsgegevens via het OpenRTB-veiligingsysteem in overeenstemming met de AVG te brengen. IAB Europe bepaalt daarbij het doeleinde én de essentiële middelen voor de verwerking van de persoonsgegevens. Bovendien is IAB Europe gezamenlijk verantwoordelijk voor deze verwerkingen van persoonsgegevens in het TCF met de andere deelnemers, te weten de CMP’s, Publishers en Vendors die, weliswaar later in de verwerkingsketen tussenkomen. De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat zij geen verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in het TCF zou zijn (zesde grief van IAB Europe) of geen gezamenlijke verwerkingsverantwoordelijke met de deelnemers aan dat TCF (zevende grief van IAB Europe) zou zijn, moet dan ook worden afgewezen.

VIJFDE MIDDEL : IAB Europe’s verwerkingen schenden het basisbeginsel inzake doelbinding, proportionaliteit en noodzakelijkheid. IAB Europe’s verwerkingen worden immers niet verzameld voor gerechtvaardigde doeleinden en leiden tot het delen op immense schaal van persoonsgegevens met allerhande ontvangers, zonder dat dit delen op enige manier dienstig is om de verwerkingen in het kader van het OpenRTB-veiligingsysteem in overeenstemming met de AVG te brengen. IAB Europe schendt bijgevolg ook haar verantwoordingsplicht en de verplichting om het TCF te ontwikkelen op een manier waarbij gegevensbescherming door het ontwerp wordt gegarandeerd (schending van de artikelen 5 en 25 AVG). De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat IAB Europe haar verplichtingen betreffende gegevensbescherming door ontwerp en standaardinstellingen niet zou hebben geschonden (deel van de tiende grief van IAB Europe), moet dan ook worden afgewezen.

ZESDE MIDDEL : IAB Europe’s verwerkingen van persoonsgegevens in het TCF schenden het basisbeginsel inzake behoorlijke, rechtmatige en transparante verwerking. Zij heeft immers geen enkele rechtsgrond voor de verwerking, heeft de persoonsgegevens bekomen op een misleidende wijze, en verschaft noch de klagers noch enige andere betrokkenen de wettelijk vereiste informatie over de verwerkingen van persoonsgegevens die zij verricht. (schending van de artikelen 5, 6, 12, 13 en 14 AVG) De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat zij geen rechtsgrond nodig zou hebben voor de verwerking van persoonsgegevens in het TCF (achtste grief van IAB Europe) en omdat zij de transparantieplicht niet zou hebben geschonden (negende grief van IAB Europe), moet dan ook worden afgewezen.

PAGE 01-00004384135-0016-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 17

ZEVENDE MIDDEL : IAB Europe schendt het beginsel van integriteit en vertrouwelijkheid, omdat zij persoonsgegevens binnen het TCF deelt met een onbepaald aantal ontvangers zonder dat zij nagaat of die ontvangers daadwerkelijk de nodige waarborgen bieden om de persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige verwerking. De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat IAB Europe haar verplichtingen inzake veiligheid, integriteit en vertrouwelijkheid niet zou hebben geschonden (deel van de tiende grief van IAB Europe), moet dan ook worden afgewezen.

ACHTSTE MIDDEL : IAB Europe schendt de voorwaarden voor doorgifte van persoonsgegevens naar derde landen, aangezien zij het TCF zo opgezet heeft dat er op systematische wijze persoonsgegevens zoals de TC String worden doorgegeven naar talloze derde landen zonder dat er voor deze doorgiften passende bescherming wordt geboden. (schending van artikel 44 AVG). De vordering van IAB Europe om de beslissing van de Geschillenkamer te vernietigen omdat IAB Europe haar verplichtingen omtrent de doorgifte van persoonsgegevens naar derde landen niet zou hebben geschonden (deel van de tiende grief van IAB Europe), moet dan ook worden afgewezen.

# V. Juridisch kader

Algemene Verordening Gegevensbescherming (hierna “AVG”) :⁴

Artikel 4-7

Artikel 12-14

Artikel 24-26

Artikel 30, 32, 35 en 37

Artikel 40

Artikel 51.1

Artikel 57.1, a) en f)

Artikel 58.1

⁴ Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming, Pb.L 119, 4 mei 2016 (hierna “AVG”).

PAGE 01-00004384135-0017-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 18

Artikel 94

WOG :⁵

Artikel 58

Artikel 63, 1°-6°

Artikel 94, 1°-3°

Artikel 96

Artikel 108

# VI. Beoordeling door het Marktenhof

# Vooraf - Verzoekschrift tot heropening van het debat

15.

Op 25 februari 2025 (toen de zaak al in beraad was bij het Marktenhof) heeft IAB Europe een verzoekschrift tot heropening van het debat conform artikel 772 Ger.W. ingediend.

Op 7 maart 2025 legt de GBA haar opmerkingen neer aangaande dit verzoek. De klagers sloten zich per mail van 7 maart 2025 aan bij de opmerkingen van de GBA.

Voorwerp van het verzoek tot heropening van het debat van IAB Europe, betreft de publicatie op 6 februari 2025 van de conclusie van advocaat-generaal Spielmann in de zaak C-413/23 P (Europees Toezichthouder voor gegevensbescherming t. Gemeenschappelijke Afwikkelingsraad) voor het Hof van Justitie. In zijn conclusie analyseert de advocaat-generaal, in het bijzonder, de notie van informatie “betreffende” een natuurlijke persoon en de voorwaarde van de identificeerbaarheid van de betrokken personen.

IAB Europe vraagt een heropening van het debat op basis van dit stuk dat zij kwalificeert als nieuw en van overwegend belang voor onderhavige zaak.

De GBA is van mening dat het verzoek dient te worden afgewezen. Zij stelt dat de conclusie van de advocaat-generaal niet kwalificeert als een nieuw ontdekt stuk of feit, minstens dat de conclusie niet

⁵ Wet 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, BS 10 januari 2018.

PAGE 01-00004384135-0018-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 19

van overwegend belang is omdat zij niets kan afdoen aan het Prejudicieel Arrest dat het Hof van Justitie in de onderhavige zaak heeft gewezen.

16.

Artikel 772 Ger.W. stelt : (NADRUK MARKTENHOF)

"Indien een verschijnende partij gedurende het beraad een nieuw stuk of feit van overwegend belang ontdekt, kan zij, zolang het vonnis niet uitgesproken is, de heropening van de debatten vragen".

Voor de toepassing van de hogervermelde wetsbepaling is vereist dat het stuk of het feit nieuw is, dat wil zeggen dat het tijdens het beraad moet zijn ontdekt en van overwegend belang, dat wil zeggen dat het een specifiek nut vertoont voor het geschil. Het stuk of het feit mag de verzoekende partij dus nog niet gekend zijn of kunnen gekend zijn voor de sluiting van het debat.

17.

In casu overweegt het Hof dat de conclusie van de advocaat-generaal inderdaad kwalificeert als nieuw. De conclusie werd immers pas gepubliceerd nadat de zaak reeds een viertal weken in beraad werd genomen. Desalniettemin, is het Hof er niet van overtuigd dat de inhoud van de conclusie van de advocaat-generaal, hoe interessant ook, van overwegend belang is.

Dat het begrip "persoonsgegeven" een relatief begrip is, wordt onder meer gesteld in randnummer 26 van de AVG. Dit randnummer verduidelijkt met name dat men voor wat betreft de notie van identificeerbaarheid van een natuurlijke persoon rekening moet houden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren. Ook het Hof van Justitie maakte in het Prejudicieel Arrest van 7 maart 2024 gewag van deze redelijkheidstoets / relativiteitstoets, en waarbij het de finale beoordeling hieromtrent bij het Marktenhof legde.

Bovendien maakt de advocaat-generaal in de conclusie in kwestie uitdrukkelijk⁶ zelf de link naar het Prejudicieel Arrest van het Hof van Justitie van 7 maart 2024 en motiveert hij dat in die zaak wél degelijk sprake was van een persoonsgegevens omdat IAB Europe over redelijke middelen beschikte om indirect toegang te krijgen tot de identificerende gegevens.

18.

Het Marktenhof acht het stuk niet van overwegend belang en het verzoek tot heropening van de debatten wordt om die reden dan ook afgewezen.

PROCEDURELE GRIEVEN VAN IAB EUROPE NA TUSSENARREST EN PREJUDICIEEL ARREST

⁶ Voetnoot 25 van de conclusie van 6 februari 2025 advocaat-generaal Spielmann, in de zaak C-413/23.

PAGE 01-00004384135-0019-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 20

EERSTE en TWEEDE GRIEF IAB Europe : De wijze waarop de Geschillenkamer de procedure behandeld heeft, is in strijd met haar taken en bevoegdheden als Gegevensbeschermingsautoriteit onder de WOG en de AVG. Ze schendt de rechten van verdediging van [IAB Europe] en miskent het zorgvuldigheidsbeginsel als beginsel van behoorlijk bestuur en De Bestreden beslissing is niet afdoende gemotiveerd.

# Standpunten van partijen

Volgens IAB Europe is de wijze waarop de Geschillenkamer de procedure behandeld heeft, in strijd met haar taken en bevoegdheden als Gegevensbeschermingsautoriteit onder de WOG en de AVG, schendt zij de rechten van verdediging van IAB Europe en miskent zij het zorgvuldigheidsbeginsel als beginsel van behoorlijk bestuur.

Steeds volgens IAB Europe heeft de Geschillenkamer de Bestreden Beslissing niet of niet afdoende gemotiveerd. IAB Europe verwijst onder meer naar het tussenarrest van 7 september 2022 (geen toelichting van de één-loket-regeling).

De GBA poneert dat het Marktenhof geen rechtsmacht heeft om opnieuw over deze grieven te oordelen omdat het zich hierover reeds heeft uitgesproken in het tussenarrest van 7 september 2022. Ook stelt ze dat de vastgestelde schending van de zorgvuldigheidsplicht en de motiveringsplicht niet moet leiden tot de vernietiging van de Bestreden Beslissing.

De klagers treden de GBA bij.

# Oordeel van het Marktenhof

19.

De eerste en tweede grief uit de syntheseconclusie van 15 november 2024 van IAB Europe, komen overeen met respectievelijk de zevende en achtste grief van IAB Europe die door het Hof zijn beoordeeld in het tussenarrest van 7 september 2022.

Het tussenarrest heeft met andere woorden al uitspraak gedaan over het uit het zorgvuldigheidsbeginsel genomen middel van IAB Europe. Concreet stelde het tussenarrest vast dat in de Bestreden Beslissing zelf onvoldoende duidelijk wordt gemaakt op basis van welke feitelijke bevindingen wordt geoordeeld dat TC Strings persoonsgegevens zijn in de zin van artikel 4, punt 1, AVG. Het Hof oordeelde dat de Geschillenkamer, door met betrekking tot de kwalificatie van de TC String, de aanvullende klachten en aantijgingen van de klagers, zonder meer, na de hoorzitting te verwerken, geen deugdelijk onderzoek en een behoorlijke feitenvinding heeft verricht.

Verder oordeelde het Hof in het tussenarrest dat de Bestreden Beslissing niet afdoende was gemotiveerd in zoverre ze de GBA als leidende toezichthoudende overheid beschouwt.

PAGE 01-00004384135-0020-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 21

20.

Daarentegen acht het tussenarrest de rechten van verdediging van IAB Europe gerespecteerd en verwerpt het de schending van de artikelen 57, lid 1, en 58, lid 1, AVG en van artikel 94 WOG. Het arrest benadrukt namelijk dat de Geschillenkamer er wél voor mocht kiezen om de aanvullende feiten of klachten zelf te onderzoeken. De Inspectiedienst moest niet opnieuw worden gevat.

Hieruit volgt dat het Hof reeds recht heeft gedaan over de in de eerste twee grieven vermelde rechtspunten en in die mate zijn rechtsmacht heeft uitgeput. Het ontbreekt het Hof derhalve aan de rechtsmacht om over deze rechtspunten opnieuw te beslissen.

21.

Daarentegen heeft het tussenarrest nog geen uitspraak gedaan over de rechtsgevolgen die moeten worden verbonden aan de deels gegrond bevonden procedurele middelen. Het Hof heeft nog niet beoordeeld of en in welke mate de deels gegrond bevonden procedurele middelen moeten leiden tot een vernietiging of hervorming van de Bestreden Beslissing. Wel heeft het Hof - gelet op de vraag van alle partijen “om onderhavig dossier ook inhoudelijk te beoordelen” - in zijn tussenarrest beslist om in dat kader over te gaan tot een inhoudelijke beoordeling van het aanhangig geschil. Het is precies om die oefening te vergemakkelijken dat het tussenarrest verschillende uitleggingsvragen naar het Hof van Justitie heeft verwezen.

In het dispositief van huidig eindarrest vernietigt het Hof de Bestreden Beslissing om hogervermelde procedurele redenen in zoverre de Geschillenkamer oordeelt (zonder afdoend onderzoek en feitenvinding terzake) dat TC Strings persoonsgegevens zijn in de zin van artikel 4, punt 1, AVG en in zoverre ze de GBA als leidende toezichthoudende overheid beschouwt zonder specifieke motivering in de Bestreden Beslissing in dat verband.

22.

Uit de wetsgeschiedenis van artikel 108, § 1, van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit blijkt dat het Marktenhof in het kader van een beroep tegen een beslissing van de Geschillenkamer van de eiseres oordeelt met volle rechtsmacht.

Dit impliceert dat het Marktenhof, binnen de grenzen van de devolutieve werking van het beroep, uitspraak doet over alle rechts- en feitelijke vragen zoals zij door de Geschillenkamer van de Gegevensbeschermingsautoriteit werden onderzocht.7

Het Marktenhof kan zich aldus in zijn beoordeling in beginsel volledig in de plaats stellen van de Gegevensbeschermingsautoriteit. Het kan de beslissing waartegen hoger beroep is ingesteld niet

7 Zie Cass. 10 januari 2025, C.22.0110.N, concl. S. Ravyse, op www.juportal.be.

PAGE 01-00004384135-0021-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 22

alleen vernietigen, maar ook hervormen. Het kan vervolgens een beslissing nemen die de aangevochten beslissing vervangt.⁸

23.

Thans zal het Hof, gebruik makend van zijn volle rechtsmacht en met inachtneming van het Prejudicieel Arrest van het Hof van Justitie, zelf beoordelen of de elementen in het administratief dossier de kwalificatie van de TC Strings als persoonsgegevens, het bestaan van minstens één grensoverschrijdende verwerking en het aanstellen van de GBA als leidende toezichthoudende autoriteit kunnen schragen.

24.

Daarbij moet opgemerkt worden dat het Marktenhof geenszins verplicht wordt door de AVG of krachtens het nationale recht om een Europese consultatieprocedure te organiseren zoals IAB Europe ten onrechte poneert in (het dispositief van) haar conclusie.

Wat betreft de kwalificatie van TC Strings als persoonsgegeven, verwijst het Marktenhof naar hetgeen volgt bij de beoordeling van de vierde grief van IAB Europe.

Het bestaan van minstens één grensoverschrijdende verwerking en het aanstellen van de GBA als leidende toezichthoudende autoriteit worden beoordeeld door het Marktenhof in het kader van de analyse van de vijfde grief van IAB Europe.

DERDE GRIEF IAB Europe : Doordat de context van de zaak in beroep volledig is gewijzigd wordt het recht op een eerlijk proces van [IAB Europe] alsook het gelijkheids- en non-discriminatiebeginsel geschonden.

# Standpunten van partijen

Volgens IAB Europe heeft de GBA haar een doeltreffend verhaal ontnomen en het recht op tegenspraak geschonden. IAB Europe moet zich volgens haar “voor het eerst verdedigen in hoger beroep tegen een volledig gewijzigde context”. Zij stelt dat elke partij behalve zijzelf het recht heeft om haar zaak twee keer volledig te laten berechten. Volgens haar zijn er schendingen van zowel artikel 6 EVRM als de artikelen 10 en 11 van de Grondwet.

Volgens de GBA is het evident dat de wijzigingen die IAB Europe zou hebben aangebracht aan het TCF niet relevant zijn bij de beoordeling van de wettigheid van de Bestreden Beslissing. “De wettigheid van een beslissing moet in de regel immers worden beoordeeld op het ogenblik waarop ze is genomen” en

⁸ Zie Cass. 12 december 2019, C.18.0250.N, concl. R. Mortier, op www.iuportal.be.

PAGE 01-00004384135-0022-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 23

"aan de hand van de gegevens zoals deze voorhanden waren op het ogenblik waarop [ze] werd genomen". Net zoals IAB Europe beklemtoont dat uit de doorgevoerde aanpassingen aan het TCF geen erkentenis in haar nadeel kan worden afgeleid, kan uit deze aanpassingen evenmin worden afgeleid dat het oordeel van de Geschillenkamer over het TCF (zoals dit voorlag aan de Geschillenkamer op het moment van de Bestreden Beslissing) verkeerd zou zijn.

# Oordeel van het Marktenhof

25.

In een beroep tegen een beslissing van de Geschillenkamer van de GBA zetelt het Hof niet in hoger beroep maar in eerste en enige aanleg (artikel 108 WOG). In die zin verschilt het objectieve contentieux waarmee het Marktenhof werd belast van het subjectieve contentieux behandeld door de "gewone" hoven en rechtbanken.

26.

In elk geval is de context van de zaak in dit verhaal geenszins gewijzigd ten opzichte van de procedure voor de Geschillenkamer. Het Hof beoordeelt het TCF niet in de gewijzigde versie maar in de versie die voorgelegd werd aan de Geschillenkamer. Het Marktenhof heeft zelfs geen rechtsmacht over TCF versie 2.2, want het is gevat over de Bestreden Beslissing en die gaat enkel over TCF versie 2.0.

De notie volle rechtsmacht die voortvloeit uit artikel 108 WOG gekoppeld aan artikel 78 AVG is verschillend van de notie betreffende de devolutieve kracht van het hoger beroep (artikel 1068 Ger. W.) en beiden kunnen niet door elkaar gebruikt worden. In het licht van de ruime bevoegdheden waarover een toezichthoudende autoriteit beschikt, wordt volgens het Hof van Justitie niet voldaan aan het vereiste van een effectieve rechterlijke bescherming indien de besluiten van een toezichthoudende autoriteit slechts in beperkte mate door een rechter zouden worden getoetst. Daarom overweegt het Hof dat een dergelijk besluit moet worden onderworpen aan een volledige rechterlijke toetsing.9 De essentie van die volle rechtsmacht is dat partijen, binnen de grenzen van de devolutieve werking van het beroep, een integraal verweer kunnen voeren voor het Marktenhof, ook inzake feiten die niet of onvoldoende aan bod kwamen in de Bestreden Beslissing (uiteraard voor zover deze feiten dateren van voor de Bestreden Beslissing zelf).

27.

Er wordt derhalve geen schending aangetoond van artikel 6 EVRM of van de artikelen 10 en 11 van de Grondwet.

9 Zie onder meer HvJ 7 december 2023, C-26/22 en C- 64/22, UF en AB/Land Hessen (SCHUFA), randnrs. 53-59.

PAGE 01-00004384135-0023-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 24

Om deze redenen is de derde grief van IAB Europe ongegrond en moet de vordering van IAB Europe om de Bestreden Beslissing van de Geschillenkamer op basis van die grief te vernietigen, dan ook worden afgewezen.

# GRIEVEN VAN IAB EUROPE AANGAANDE DE GROND VAN DE ZAAK

# Vooraf

28.

1. In de voorliggende zaak is het Marktenhof er door de GBA en de klagers toe geroepen om zowel een uitspraak te doen over de inhoudelijke als over de procedurele geschilpunten tussen de partijen, en dit, om de volledige en effectieve uitwerking van de AVG in de interne rechtsorde te verzekeren. In het tussenarrest heeft het Marktenhof geoordeeld dat de Bestreden Beslissing bepaalde (louter) procedurele gebreken vertoont. Om de volledige en effectieve uitwerking van de AVG in de interne rechtsorde te verzekeren, komt het - mede gelet op het Prejudicieel Arrest van het Hof van Justitie - passend voor dat het Marktenhof zich alsnog ook uitspreekt over de gegrondheid van de door de Geschillenkamer weerhouden inbreuken op de AVG (althans voor zover die gegrondheid wordt betwist door IAB Europe en dus het voorwerp uitmaakt van het tegensprekelijk debat voor het Marktenhof). Daarbij gaat het Marktenhof systematisch de correctheid van de materiële motieven van de Bestreden Beslissing na, na Prejudicieel Arrest, en vervolledigt of vervangt ze die waar nodig of nuttig.

2. Artikel 5.2 AVG bepaalt dat de verwerkingsverantwoordelijke moet kunnen aantonen dat de principes van de AVG worden nageleefd (verantwoordingsplicht). In de mate dat IAB Europe kwalificeert als verwerkingsverantwoordelijke (zie verder) draagt zij de bewijslast van de conformiteit met de AVG en kan zij zich niet beroepen op artikel 870 Ger. W. om die bewijslast te verleggen naar de GBA of de klagers.

VIERDE en VIJFDE GRIEF IAB Europe : IAB Europe vordert om de Bestreden Beslissing van de Geschillenkamer te vernietigen omdat er geen sprake van persoonsgegevens zou zijn (vierde grief) of omdat het niet zou gaan om een verwerking van persoonsgegevens (vijfde grief)

Vierde en vijfde verweermiddel GBA, derde middel klagers.

# Standpunten van partijen

In haar vierde grief voert IAB Europe aan dat de Bestreden Beslissing artikel 4, punt 1, AVG en de materiële motiveringsplicht schendt door de TC String te kwalificeren als een persoonsgegeven in de zin van de voornoemde bepaling.

In haar vijfde grief betoogt IAB Europe dat de Bestreden Beslissing heeft nagelaten om aan te tonen dat IAB Europe zelf persoonsgegevens verwerkt in de zin van artikel 4, punt 2, AVG. Enkel aantonen

PAGE 01-00004384135-0024-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 25

dat “in het kader van het TCF” persoonsgegevens worden verwerkt is volgens IAB Europe niet voldoende. Zolang niet is aangetoond dat IAB Europe zelf TC Strings verwerkt zou zij niet als verwerkingsverantwoordelijke kunnen worden beschouwd en zouden de TC Strings ook niet als persoonsgegevens kunnen worden aangemerkt.

De GBA, daarin gesteund door de klagers, betoogt dat de TC String een persoonsgegeven is en dat de TC String wordt verwerkt aangezien die de voorkeuren van een gebruiker vastlegt via geautomatiseerde procédés (zelfs indien de gebruiker alles weigert) en IAB de opslag en de verspreiding ervan bepaalt.

# **Ooordeel van het Marktenhof**

# **De Bestreden Beslissing**

29.

De Bestreden Beslissing oordeelt (randnummers 302 en volgende) :

“302. Hoewel de Geschillenkamer begrijpt dat het niet onomstotelijk vaststaat dat de TC String, vanwege de beperkte metadata en waarden die erin omvat zijn, op zich een rechtstreekse identificatie van de gebruiker toelaat, stelt de Geschillenkamer vast dat wanneer het toestemmingspop-up middels een script wordt opgevraagd van op een server beheerd door de CMP, deze onvermijdelijk ook het IP-adres van de gebruiker verwerkt, hetwelk in de AVG uitdrukkelijk als persoonsgegevens is aangemerkt.

303. Randnummer 30 AVG bepaalt immers dat natuurlijke personen kunnen worden gekoppeld aan online-identificatoren via hun apparatuur, applicaties, instrumenten en protocollen, zoals internetprotocol (IP)-adressen, identificatiecookies of andere identificatoren zoals radiofrequentie-identificatietags. Dit kan sporen achterlaten die, met name wanneer zij met unieke identificatoren en andere door de servers ontvangen informatie worden gecombineerd, kunnen worden gebruikt om profielen op te stellen van natuurlijke personen en natuurlijke personen te herkennen.

304. Zodra een CMP de TC String opslaat of uitleest op het toestel van een gebruiker met behulp van een euconsent-v2 cookie, kunnen de toestemming dan wel het bezwaar tegen de verwerking op grond van een gerechtvaardigd belang, alsook de voorkeuren van deze gebruiker, gekoppeld worden aan het IP-adres van het toestel van de gebruiker. CMPs beschikken met andere woorden over de technische middelen om IP-adressen te verzamelen (zoals aangegeven in hun pop-up) en alle informatie met betrekking tot een identificeerbare persoon te combineren. De mogelijkheid om de TC String en het IP-adres te combineren, maakt dat het hier gaat over informatie van een identificeerbare gebruiker.

PAGE 01-00004384135-0025-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 26

305. Bovendien is een identificatie van de gebruiker mogelijk door koppeling aan andere gegevens die door deelnemende organisaties binnen het TCF, maar ook in het kader van OpenRTB, kunnen worden ingezet. De Geschillenkamer onderstreept in dat opzicht dat het niet om eender welke partijen gaat, maar om deelnemende organisaties — CMPs en vendors— die, zoals hieronder nader onderzocht, verplicht worden om informatie waarmee zij gebruikers kunnen identificeren, mee te delen aan verweerster, op haar eenvoudig verzoek.

306. Derhalve oordeelt de Geschillenkamer dat de verweerster over redelijke middelen beschikt die zij kan inzetten ten aanzien van geregistreerde organisaties die deelnemen aan het TCF, en waarmee verweerster in staat is om de natuurlijke persoon achter een TC String direct of indirect te identificeren.

307. De Geschillenkamer begrijpt tevens dat het TCF inherent beoogt en derhalve inhoudt dat er van elke gebruiker een combinatie van voorkeuren in de vorm van een unieke tekenreeks wordt opgeslagen in de TC String, teneinde deze voorkeuren mede te delen aan een groot aantal adtech vendors.

308. De Geschillenkamer stelt immers aan de hand van de inspectieverslagen vast dat de adtech vendors alsmede andere deelnemers binnen het breder OpenRTB ecosysteem het signaal dat in een TC String is opgeslagen, uitlezen om te bepalen of zij over de vereiste rechtsgrondslag beschikken voor de verwerking van de persoonsgegevens van een gebruiker voor de doelstellingen waarmee deze heeft ingestemd.

309. Dienaangaande benadrukt de Geschillenkamer dat het volstaat dat bepaalde informatie gebruikt wordt teneinde een natuurlijke persoon te individualiseren (single out) om van persoonsgegevens te kunnen spreken. Tevens leidt het doeleinde van de TC String, met name het doel de voorkeuren van een welbepaalde gebruiker capteren, er de facto toe dat de TC String als een persoonsgegeven moet worden aangezien.”

Het Prejudicieel Arrest

30.

Het Hof van Justitie overweegt als volgt :

“42. In de onderhavige zaak zij opgemerkt dat een letter- en tekenreeks als de TC String de voorkeuren van een internetgebruiker of een gebruiker van een applicatie bevat met betrekking tot zijn toestemming voor de verwerking door derden van zijn persoonsgegevens of van gegevens over het bezwaar dat hij eventueel heeft gemaakt tegen de verwerking van zijn persoonsgegevens voor een vermeend gerechtvaardigd belang als bedoeld in artikel 6, lid 1, onder f), AVG.

PAGE 01-00004384135-0026-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 27

43 Zelfs indien een TC String op zichzelf geen gegevens zou bevatten aan de hand waarvan de betrokkene direct kan worden geidentificerd, bevat zij om te beginnen de persoonlijke voorkeuren van een specifieke gebruiker met betrekking tot+zijn toestemming voor de verwerking van zichn personsgegevens, waar bij het gaat om informatie „over een [...] naturuurlijke persoon" in de zin van articlel 4, punt 1, AVG.
44 Daarnaast staat het tevens vast dat de koppeling van de in een TC String verwatte informatie aan een identificator zoals met name het IP-adres van het toestel van de betrokken gebruiker het möglichk kan makeen om een profiel van deze gebruiker op te stellen en om de persoon waar die informatie specifiek betrekking op heeft, daadwerkelijk te identificeren.
45 Aangezien een gebruiker kan worden geidentificiered door een letter- en tekenreeks als de TC String te koppelen aan aanvullende gegevens, zoals met name het IP-adres van het toestel van deze gebruiker of andere identificatoren, dient te worden geoordeeld dat de TC String informatie over een identifieerbare gebruiker bevat en dus een personsgegeven in de zin van artikel 4, punt 1, AVG is, hetgeen worden bevestigd door randnummer 30 van de AVG, waarin uitdrukkelijk worden verwezenaar een dergelijkke situatie.
46 Aan deze uitleggerging worden nicht afgedaan door de enkele omstandigheid dat IAB Europe Niet zich de TC String aan het IP-adres van het toestel van een gebruiker zou kuren koppelen en geen rechtstreekse toegang heeft tot de gegevens die binnen het TCF door haar leden worden verwerkt.
47 Zoals blijkt uit de in punt 40 van dit arrest in herinnering gebrachte rechtspraak, staat die omstandigheid er namelijk Niet aan in de weg dat een TC String worden aangemerkt als een „persoonsgeveen" in de zin van articlel 4, punt 1, AVG.
48 Overigens blijkt uit het dossier waarover het Hof beschikt - en met name uit de beslissing van 2 februar 2022 - dat de leden van IAB Europe verplicht zich om deze organisatie op haar verzoek alle informatie te verstrekken waarmee zich gebruikers kan identificeren van wie de gegevens zich opgeslagen in een TC String.
49 Onder voorbehoud van de verificaties die de verwijzende rechtter in dit verband dient te verrachten, lijkt IAB Europe dus - dankzij de informatie die haar leden en andere aan het TCF deelnemende organisesaar moeten verstrekken - over de in randnummer 26 van de AVG bedoelde redelijkke middelen te beschikken om een bepaalde naturuurlijke persoon te identificeren aan de hand van een TC String.

PAGE 01-00004384135-0027-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 28

50 Uit het voorgaande volgt dat een TC String een persoonsgegevens in de zin van artikel 4, punt 1, AVG vormt. Het is daarbij niet relevant dat een dergelijke sectororganisatie zonder externe medewerking, die zij kan eisen, geen toegang heeft tot de gegevens die haar leden binnen de door haar opgestelde standaard verwerken, noch de TC String kan koppelen aan andere identificatoren zoals met name het IP-adres van het toestel van een gebruiker.”

# Beoordeling door het Marktenhof

# TC String als persoonsgegevens

31.

De definitie van persoonsgegevens in artikel 4, punt 1, AVG omvat in wezen vier elementen, die cumulatief van belang zijn om te kunnen oordelen of bepaalde informatie al dan niet als een persoonsgegevens moet worden beschouwd. Het gaat om (i) alle informatie (ii) over (iii) een geïdentificeerde of identificeerbare (iv) natuurlijke persoon.¹⁰

32.

Daarbij geldt bovendien dat iemand als identificeerbaar wordt beschouwd wanneer die “direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”. Randnummer 30 van de AVG verduidelijkt dat natuurlijke personen ook aan online-identificatoren kunnen worden gekoppeld, zoals deze worden teruggevonden in IP-adressen en identificatiecookies.

33.

De eerste voorwaarde om te spreken over een persoonsgegevens is “informatie”. Gegevens worden omschreven als objectieve feiten. Zodra ze een betekenis krijgen, ontstaat informatie. De aard en de inhoud van de informatie is niet relevant. Ook de vorm van de informatie of de drager is niet van belang. Sommige gegevens hebben een dubbele aard in die zin dat ze zowel informatie geven over een persoon, als toelaten om een natuurlijke persoon te identificeren.

34.

De tweede voorwaarde stelt dat informatie een natuurlijke persoon moet betreffen of over een natuurlijke persoon moet gaan. De GBA stelt impliciet, daarin gevolgd door andere toezichthouders, in het hogervermelde randnummer 309 van de Bestreden Beslissing, dat om te kunnen spreken van informatie betreffende een natuurlijke persoon, (slechts) één van de drie volgende elementen

¹⁰ DE BOT, D., De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context. Commentaar op de AVG, de Gegevensbeschermingswet en de Wet Gegevensbeschermingsautoriteit, WoltersKluwer, 2020, p. 100, randnummer 273.

PAGE 01-00004384135-0028-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 29

aanwezig moet zijn : inhoudsgegevens (informatie over een persoon) als persoonsgegevens, doelgegevens (gegevens gebruikt met het doel een persoon te beoordelen) als persoonsgegevens of resultaatgegevens (gegevens die potentiële gevolgen hebben voor iemands rechten of belangen) als persoonsgegevens. Dit standpunt van de toezichthouders wordt niet door iedereen in de rechtsleer gevolgd, en vandaar het belang van het Prejudicieel Arrest.¹¹

35.

Deze tweede voorwaarde speelt derhalve een belangrijke rol wanneer de Geschillenkamer of het Marktenhof moet oordelen over (relatief) nieuwe technologieën zoals TC Strings. Soms gaat het, zoals in het onderhavig dossier, om informatie (die in de gegevens is vervat) in de vorm van een teken- en letterreeks en niet om personen. De informatie wordt in dat geval slechts indirect geacht personen te betreffen.

36.

De derde voorwaarde stelt dat de bescherming van de AVG enkel geldt voor natuurlijke personen of mensen.

37.

Tot slot stelt de vierde voorwaarde dat de informatie betrekking moet hebben op een natuurlijke persoon die geïdentificeerd is of identificeerbaar is (direct of indirect).

# Toepassing in concreto

38.

Zoals reeds supra vermeld, maakt het Marktenhof hier gebruik van haar volle rechtsmacht.

39.

In essentie is het TCF bedoeld om ervoor te zorgen dat alle betrokken partijen in de digitale advertentieketen - van adverteerders tot uitgevers - zich houden aan de regels van de AVG. Het geeft gebruikers de mogelijkheid om hun toestemming te geven of te weigeren voor het verwerken van hun persoonsgegevens voor advertentiedoeleinden. Deze voorkeuren worden verzameld en vastgelegd in een zogenaamde "TC String", die vervolgens gebruikt wordt binnen het RTB-systeem.

40.

Door geen van de betrokkenen kan redelijkerwijze betwist worden dat een TC String informatie is en dat er minstens indirect een natuurlijke persoon in betrokken is of kan worden.

41.

¹¹ DE BOT, D., De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context. Commentaar op de AVG, de Gegevensbeschermingswet en de Wet Gegevensbeschermingsautoriteit, WoltersKluwer, 2020, p. 105 randnummer, 284.

PAGE 01-00004384135-0029-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 30

Rest nog te onderzoeken of het informatie betreffende een natuurlijke persoon is (tweede voorwaarde) en of die natuurlijke persoon geïdentificeerd of identificeerbaar is (vierde voorwaarde).

42.

Het Prejudicieel Arrest geeft zelf duidelijkheid omtrent het vervuld zijn van de tweede voorwaarde in de hiervoor geciteerde randnummers 43 tot en met 48 van het Prejudicieel Arrest waarin expliciet wordt bevestigd dat de TC String “de persoonlijke voorkeuren van een specifieke gebruiker met betrekking tot zijn toestemming voor de verwerking van zijn persoonsgegevens [bevat], waarbij het gaat om informatie „over een [...] natuurlijke persoon” in de zin van artikel 4, punt 1, AVG”.

43.

Ook wat betreft de vierde voorwaarde geeft het Prejudicieel Arrest duiding in de hogervermelde randnummers.

44.

Om finaal te oordelen of een TC String een persoonsgegeven is in de zin van artikel 4, punt 1, AVG, is het overeenkomstig het Prejudicieel Arrest echter noodzakelijk voor het Marktenhof om te onderzoeken of IAB Europe over redelijke middelen beschikt om een bepaalde natuurlijke persoon te identificeren aan de hand van een TC String.

45.

Zoals reeds supra geoordeeld, maakt het Hof hierbij gebruik van haar volle rechtsmacht.

46.

Het Marktenhof overweegt als volgt.

Het verslag van de inspectiedienst (stuk A133 administratief dossier GBA : NL versie van het verslag) vermeldt :¹²

“IAB Europe ontwikkelde een Transparency and Consent Framework (transparantie- en toestemmings Raamwerk) (stukken nrs. 30 tot 36 en nr. 38 van het dossier DOS-2019-01377) waarin zij bindende voorschriften oplegt aan de deelnemende organisaties, waarvan het lidmaatschap ook onderworpen is aan een financiële bijdrage. Deze bindende voorschriften hebben betrekking op de verwerking van persoonsgegevens in het kader van onlinereclame. IAB Europe oefent een vorm van controle uit in dit ecosysteem en verwijst naar zichzelf als “Managing Organization” (beherende organisatie).

Meer concreet:

¹² Het is van belang aan te stippen dat de afkorting “MO” een afkorting is voor het Engelse Managing Organisation of beheersorganisatie en dat in deze context IAB Europe hiermee bedoeld wordt.

PAGE 01-00004384135-0030-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 31

- IAB Europe bepaalt bindende lijsten van verwerkingsdoeleinden door te verwijzen naar "Purposes and Features Definitions (Definities van doelstellingen en functies)" en "Purpose and Feature Definitions (definitie van doel en functie)" in een "Appendix A" (Bijlage A) (respectievelijk stukken nrs. 32 en 38 van dossier DOS-2019-01377);

- IAB Europe bepaalt de wijze van verwerking door het opleggen van "Policies" (beleidsregels) aan "CMPs" (Consent Management platforms) (Toestemmingbeheersplatform hierna afgekort CMP), "Vendors" (verkopers) en "Publishers" (uitgevers) die deelnemen aan het Transparency and Consent Framework (transparantie- en toestemmings Raamwerk) (bewijsstukken nrs. 32 en 38 van dossier DOS-2019-01377);

- IAB Europe legt via haar document "Terms and Conditions for the IAB Europe Transparency & Consent Framework (Algemene voorwaarden voor het IAB Europe transparantie- en toestemmingskader) ("Terms and Conditions") (Algemene voorwaarden) bindende regels op aan de deelnemende organisaties. Dit document bevat onder meer op de bladzijden 5 tot en met 6 de verplichtingen voor deelnemers ("Your Obligations") (Uw Verplichtingen) en op de bladzijden 6 tot en met 7 een verplichting om een financiële bijdrage te leveren aan het ecosysteem ("Payment") (Betaling ) (stuk nr. 33 van Dossier DOS-2019-01377)."

In de "Current tcf policy" van IAB Europe (stuk A038 uit het administratief dossier GBA) bepalen de artikelen 8 en 15 het volgende : (NADRUKKEN MARKTENHOF)

"8. Record keeping

1. A CMP will maintain records of consent, as required under Framework Policies and the Specification, and will provide the MO access to such records upon request without undue delay."

Vertaald als :

"8. Registratie

1. Een CMP houdt gegevens bij over de toestemming, zoals vereist door het Raamwerk en de Specificatie, en geeft de MO op verzoek zonder onnodige vertraging toegang tot deze gegevens."

"15. Accountability

1. The MO may adopt procedures for periodically reviewing and verifying a Vendor's compliance with Framework Policies. A Vendor will provide, without undue delay, any information reasonably requested by the MO to verify compliance.

2. The MO may suspend a Vendor from participation in the Framework for its failure to comply with Framework Policies until the Vendor comes into full compliance and demonstrates its intention and ability to remain so. The MO may expel a Vendor from

PAGE 01-00004384135-0031-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 32

participation in the Framework for violations of Framework Policies that are willful and/or severe.”

Vertaald als :

“15. Verantwoording

1. De MO kan procedures vaststellen voor het periodiek beoordelen en verifiieren of een Verkoper zich houdt aan het Raamwerk. Een Verkoper zal zonder onnodige vertraging alle informatie verstrekken die redelijkkerwijs door de MO worden gezvraagd om naleving te verifiieren.
2. 2. De MO kan een Verkoper schorsen van deelname aan het Raamwerk wegens het Niet naleven van het Raamwerk totdat de Verkoper volledig aan het Raamwerk voldoet en+zijn intentie en vermogen aantoont om aan het Raamwerk te blijven voldoen.

De MO kan een Verkoper uitsluiten van deelname aan het Raamwerk bij opzettelijke en/of ernstige overtredingen van het Raamwerk.”

In de Terms and conditions van IAB Europe (stuk A033 uit het administratief dossier GBA) staat in artikel 7 : (NADRUKKEN MARKTENHOF)

“7) Our Obligations

a) [...]
b) You agree that we and IAB Tech Lab may access, store and use any information that you provide in connection with your participation in the Framework in accordance with the terms of our Privacy Policy at https://www.iabeurope.eu/privacy-policy/, as updated from time to time."

Vertaald als :

“7) Onze verplichtingen

a) [...]
b) U stemt ermee in dat wij en IAB Tech Lab alle informatie die u verstrekt in verband met uw deelname aan het Raamwerk mogen inzien, opslaan en gebruiken in overeenstemming met de voorwaarden van ons Privacybeleid op https://www.iabeurope.eu/privacy-policy/, zoals vanijd totijd bijgewerkt."

47.

Uit het geheel van de vermelde artikelen blijkt onbetwistbaar dat dankzij de informatie die haar leden en andere aan het TCF deelnemende organisaties haar moeten verstrekken, IAB Europe over middelen beschikt waarvan redelijkerwijze valt te verwachten dat zij en / of de deelnemende organisaties deze (kunnen) gebruiken om een natuurlijke persoon (in)direct te identificeren.

PAGE 01-00004384135-0032-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 33

48.

Dat IAB Europe zélf de redelijke middelen niet zou hebben om tot identificatie over te gaan omdat zij zelf de koppeling tussen een TC String en het IP-adres niet kan maken en geen rechtstreekse toegang zou hebben tot de persoonsgegevens, doet op zich echter niet ter zake. Dit wordt uitdrukkelijk bevestigd door het Hof van Justitie in randnummers 46 en 47 van het Prejudicieel Arrest zoals hierboven geciteerd.

Uit het voorgaande volgt dat een TC String een persoonsgegeven is in de zin van artikel 4, punt 1, AVG.

Is er sprake van verwerking van persoonsgegevens ?

49.

Artikel 4, punt 2, AVG definieert een “verwerking” als “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.”

50.

De TC Strings worden, éénmaal aangemaakt, vervolgens verwerkt, d.i. verzameld, gestructureerd, geordend, verspreid en ter beschikking gesteld overeenkomstig de bindende voorschriften van het TCF. IAB Europe als beheersorganisatie en centrale figuur in het digitale ecosysteem bepaalt daarbij de opslag en de verspreiding van de TC String.

De Bestreden Beslissing heeft door in randnummers 317-321 vast te stellen dat minstens de vendors persoonsgegevens verzamelen, verwerken, opslaan en delen - wat artikel 4, punt 2, AVG “verstrekken door middel van doorzending” noemt - naar recht verantwoord dat er sprake is van de verwerking van persoonsgegevens in de zin van de voornoemde bepaling.

51.

Volgens de TCF Technical Specifications gebeurt het delen van de TC String met CMP’s op twee manieren :

a. het opslaan van de TC String in een gedeelde global consent cookie op het consensu.org-internetdomein van IAB Europe of
b. het opslaan van de TC String in een door de CMP gekozen opslagsystem als het een Dienst-specifiek toestemmingssignaal betreft.

PAGE 01-00004384135-0033-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 34

In beide gevallen worden persoonsgegevens verwerkt. De tussenkomst van IAB Europe in de verwerking was uiteraard des te meer ingrijpend in de hypothese van de gedeelde global consent cookie. Die gedeelde global consent cookie waarin de TC String wordt opgeslagen, verwijst immers naar het consensu.org-domein vanwaar CMP’s de gedeelde TC String kunnen raadplegen en updaten. Dit domein werd geregistreerd en beheerd door IAB Europe.

Zowel dit doen opslaan van de TC String in een gedeelde cookie, als de TC String via dit centrale consensu.org-domein ter beschikking stellen van de deelnemers aan het TCF, waren duidelijk verwerkingen van persoonsgegevens in de zin van de AVG.

52.

Onafgezien van de global consent cookie en het consensu.org-domein is er een verwerking van persoonsgegevens in het door IAB Europe beheerde TCF :

o gebruikersvoorkeuren worden via een CMP verzameld en het CMP krijgt op dat moment ook het IP-adres van de gebruiker ;
o gebruikersvoorkeuren worden in een TC String gestructureerd en geordend ;
o de TC String wordt bewaard, verspreid en ter beschikking gesteld van de deelnemers in het TCF.

53.

In weerwil van wat IAB Europe stelt, is dit niet louter een theoretische vaststelling maar een concrete vaststelling aan de hand van stukken (zie, onder meer, stukken C1 tot en met C4 van de klagers : deurwaarders- en / of notariële vaststellingen van verwerkingen¹³). Ook gaat het niet om slechts een “norm” die op zich geen verwerking zou inhouden zoals IAB Europe stelt : het TCF is een raamwerk dat bepaalde verwerkingen op een bepaalde manier doét gebeuren, anders werkt het raamwerk helemaal niet. Uiteraard kiezen de deelnemers zelf of ze willen deelnemen, maar van zodra ze aansluiten, moeten ze de persoonsgegevens (de gebruikersvoorkeuren en bijhorende identificatoren) verplicht verwerken in het kader van dat raamwerk. Het TCF omvat immers, zoals

Proces-verbaal van gerechtsdeurwaarder [redacted] van 15 februari 2021 met vaststellingen van [redacted] (officiële en officieuze versie), Proces-verbaal van gerechtsdeurwaarder [redacted] van 16 februari 2021 met vaststellingen van [redacted] (officiële en officieuze versie), Beëdigde verklaring (“affidavit”) van 12 februari 2021 met vaststellingen van [redacted] (officiële en officieuze versie), Notariële akte van notaris [redacted] van 3 februari 2021 met vaststellingen van [redacted] (officiële versie en vrije Engelse vertaling).

PAGE 01-00004384135-0034-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 35

reeds vermeld, ook een dwingend karakter, waarbij de erin vervatte regels en voorschriften bovendien door IAB Europe afgedwongen kunnen worden.

# Is er sprake van een grensoverschrijdende verwerking van persoonsgegevens ?

54.

Zoals hiervoor aangekondigd, maakt het Marktenhof ook hier gebruik van de volle rechtsmacht :

Er is binnen het hiervoor beschreven systeem (TCF) wel degelijk sprake van gegevensstromen naar landen binnen de Europese Unie. Dat blijkt uit randnummers 5 tot en met 11 van de Bestreden Beslissing en de stukken uit het administratief dossier zoals voorgelegd door de GBA. Evenwel blijkt uit de stukken voorgelegd aan het Hof niet dat er wat IAB Europe betreft sprake is van een doorgifte naar derde landen in de zin van artikel 44 AVG.

Er moet dus rekening worden gehouden met artikel 1, punt 3, AVG, dat bepaalt dat het vrije verkeer van persoonsgegevens in de Unie noch beperkt, noch verboden mag worden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.

Artikel 4, punt 23, AVG verduidelijkt het begrip grensoverschrijdende verwerking in de volgende bewoordingen :

"a) verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of b) verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden."

# De GBA als leidende toezichthoudende autoriteit

55.

Zoals hiervoor aangekondigd, maakt het Marktenhof ook hier gebruik van de volle rechtsmacht :

Randnummer 11 van de Bestreden Beslissing stelt :

"De verweerster heeft haar enige zetel in België, maar haar activiteiten hebben aanzienlijke gevolgen voor de belanghebbenden in verschillende lidstaten, waaronder de klagers in Ierland, Polen en Nederland, alsook in België. De Geschillenkamer vestigt haar bevoegdheid op een gecombineerde lezing van de artikelen 56 en 4, punt 23, sub b, van de AVG. De GBA is door de Poolse, Nederlandse en Ierse autoriteiten voor gegevensbescherming gevat na een

PAGE 01-00004384135-0035-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 36

klacht van de klagers bij hen, overeenkomstig artikel 77.1 AVG. Zij verklaart dat zij de leidende toezichthoudende autoriteit is (artikel 60 AVG)."

56.

Deze summiere motivering dient aangevuld te worden met de volgende bevindingen uit het inspectierapport (stuk A133 GBA) waaruit blijkt (pagina 8 en volgende) dat de GBA enkel kan optreden als leidende toezichthoudende autoriteit met betrekking tot IAB Europe¹⁴ en beperkt tot het TCF.

De Inspectiedienst motiveert dit op pagina 10 en 11 van haar rapport als volgt : (NADRUKKEN MARKTENHOF)

De maatschappelijke zetel van IAB Europe is gevestigd op het Robert Schumanplein nr. 11 in 1040 Brussel (België) en geregistreerd staat bij de Kruispuntbank voor Ondernemingen onder nr. 0812.047.2776, een vestiging die wordt bevestigd in haar "privacy policy" (privacybeleid) (stuk nr. 41 van dossier DOS-2019-01377). Overeenkomstig artikel 56, § 1, van de AVG is de GBA derhalve de belangrijkste toezichthoudende autoriteit voor het Transparency and Consent Framework (transparantie- en toestemmingskader).

IAB Europe is de verwerkingsverantwoordelijke voor het Transparency and Consent Framework (transparantie- en toestemmingskader), zoals hierboven werd beschreven.

IAB Europe ontwikkelde een Transparency and Consent Framework (transparantie- en toestemmingskader) (stukken nrs. 30 tot 36 en nr. 38 van het dossier DOS-2019-01377) waarin zij bindende voorschriften oplegt aan de deelnemende organisaties, waarvan het lidmaatschap ook onderworpen is aan een financiële bijdrage. Deze bindende voorschriften hebben betrekking op de verwerking van persoonsgegevens in het kader van onlinereclame. IAB Europe oefent een vorm van controle uit in dit ecosysteem en verwijst naar zichzelf als "Managing Organization" (beherende organisatie).

Het Marktenhof onderschrijft hogervermelde bevindingen uit het inspectierapport.

Gezien al hetgeen voorgaat, is zowel de vierde als de vijfde grief van IAB ongegrond.

ZESDE en ZEVENDE GRIEF IAB Europe : De Bestreden beslissing besluit ten onrechte dat IAB Europe een verwerkingsverantwoordelijke van TC Strings is (§§322-361) en De Bestreden Beslissing besluit ten onrechte dat IAB Europe een gezamenlijke verwerkingsverantwoordelijke is voor de verwerking van TC Strings en verwante gegevens (§§262-400).

De Inspectiedienst stelt vast dat voor wat betreft Authorized Buyers (gemachtigde kopers) de GBA niet de leidende toezichthoudende autoriteit is maar wel de Ierse toezichthouder en dat IAB Tech Lab uit de Verenigde Staten geen verwerkingsverantwoordelijke is voor RTB.

PAGE 01-00004384135-0036-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 37

Zesde en zevende verweermiddel GBA, vierde middel klagers.

# Samenvatting standpunten partijen

Via haar zesde grief vecht IAB Europe de door de Geschillenkamer gemaakte kwalificatie van IAB Europe als verwerkingsverantwoordelijke aan voor wat betreft de persoonsgegevens die eventueel zouden worden verwerkt door TCF-deelnemers. IAB Europe stelt dat, zelfs indien zij geacht zou worden een zekere mate van controle over de middelen te hebben, haar dat dan nog niet noodzakelijk een verwerkingsverantwoordelijke maakt.

Wat betreft haar zevende grief, stelt IAB Europe dat de motivering van de Bestreden Beslissing onduidelijk en incoherent is en dat de Geschillenkamer faalt duidelijk vast te leggen wie voor welke verwerkingen (gezamenlijke) verwerkingsverantwoordelijke of verwerker is. De beoordeling van de gezamenlijke verwerkingsverantwoordelijkheid van IAB Europe met de CMP’s, de uitgevers en de vendors vertoont volgens IAB Europe ernstige gebreken.

In beide gevallen betreft het volgens IAB Europe een manifeste beoordelingsfout in hoofde van de GBA.

De GBA stelt dat IAB Europe wel degelijk verantwoordelijk is voor de verwerking van TC Strings in het kader van het TCF gezien zij (in het kader van haar eigen agenda als Managing Organisation) een beslissende invloed uitoefent op de verwerking middels het door haar opgezette raamwerk. Het werkelijke oogmerk van het raamwerk bestaat er in om de aan- en verkoop van online reclameruimte mogelijk te maken en te bevorderen. IAB Europe stelt de essentiële middelen vast doordat zij onder meer via het TCF op bindende manier voorschrijft hoe de CMP’s de toestemming of bezwaren van gebruikers in een TC String moeten capteren. Tot slot is de Geschillenkamer menens dat IAB Europe ook deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking van persoonsgegevens in het kader van het OpenRTB.

Wat betreft de zevende grief van IAB Europe, herhaalt de GBA dat IAB Europe een gezamenlijke verwerkingsverantwoordelijke is. Zowel de CMP’s als de uitgevers als de Adtech vendors zijn gezamenlijke verwerkingsverantwoordelijken. Deze medeverwerkingsverantwoordelijkheid kan evenwel niet afdoen aan de verantwoordelijkheid van IAB Europe.

De klagers voeren aan dat IAB Europe verwerkingsverantwoordelijke is voor de verwerkingen van de persoonsgegevens in het TCF zelf gezien haar dwingende zeggenschap over de werking van het TCF. Het is IAB Europe als gezaghebbende sectororganisatie die de verwerkingen binnen het TCF organiseert, coördineert en stimuleert, terwijl de deelnemers aan het TCF slechts uitvoeren wat IAB Europe heeft voorgeschreven. De deelnemers aan het TCF zijn samen met IAB Europe verwerkingsverantwoordelijke : IAB Europe beslist over de algemene doeleinden en middelen van de

PAGE 01-00004384135-0037-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 38---

verwerkingen van persoonsgegevens in het TCF, terwijl de andere deelnemers beslissen over de implementatie daarvan in hun eigen context.

### **Oordeel van het Marktenhof**

57.

Volgens artikel 4, punt 7, AVG is de “verwerkingsverantwoordelijke” de “natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt” (NADRUK MARKTENHOF).

### **De Bestreden Beslissing**

58.

De Bestreden Beslissing komt in sectie B.2 tot het besluit dat IAB Europe verantwoordelijk is voor de verwerking van TC Strings in het kader van het TCF (randnummer 361 van de Bestreden Beslissing).

59.

De reden hiervoor is drieledig.

Ten eerste speelt het door IAB Europe opgezette raamwerk - het TCF - een beslissende rol in de verzameling, verwerking en verspreiding van de voorkeuren, toestemmingen en bezwaren van de gebruikers, ongeacht of IAB Europe zelf in aanraking komt met deze gegevens (randnummer 330 van de Bestreden Beslissing).

Ten tweede blijkt uit de documentatie bij het TCF dat de doelstelling (“het waarom”) van de TC String en van de verwerkingen ervan binnen het TCF door IAB Europe is vastgelegd. Het TCF is blijkens deze documentatie ontwikkeld om de transparantie- en toestemmingsgegevens van internetgebruikers op een gestandaardiseerde manier te kunnen capteren, documenteren en doorgeven (randnummer 338 van de Bestreden Beslissing). Uit de in het TCF opgenomen lijst van doelstellingen blijkt echter dat het werkelijke oogmerk van dit raamwerk erin bestaat om de aankoop en verkoop van online reclameruimte mogelijk te maken en te bevorderen (randnummer 336 van de Bestreden Beslissing).

Ten derde overweegt de Bestreden Beslissing dat IAB Europe ook de essentiële middelen voor de verwerking van TC Strings heeft vastgesteld (d.w.z. “wiens gegevens, welke gegevens, hoe lang en door wie worden ze verwerkt”). Het is immers IAB Europe die met het TCF op bindende manier voorschrijft hoe CMP’s de toestemming of bezwaren van gebruikers in een TC String moeten capteren, hoe de vendors op een gestandaardiseerde manier toegang kunnen krijgen tot de door de CMP beheerde TC String, hoe deze TC String moet worden bewaard in een cookie, welke CMP’s en

PAGE 01-00004384135-0038-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 39

vendors de TC String meegedeeld mogen krijgen en welke criteria bepalen hoe lang de TC String moet worden bewaard (randnummer 360 van de Bestreden Beslissing).

# Het Prejudicieel Arrest

60.

Het Hof van Justitie overweegt als volgt : (NADRUKKEN MARKTENHOF)

"60 Gelet op het voorgaande要去 worden aangenomen dat het eerste deel van de tweede prejudicele vraag ertoe strekt dat wordt vastgesteld of een sectororganisatie als IAB Europe kan worden aangemerkt als een gezamenlijke verwerkingsverantwoordelijk in de zin van articlel 4, punt 7, en articlel 26, lid 1, AVG.
61 Daartoe要去 dus worden beoordeeld of die organiseatie - gelet op de bijzondere omstandigheden van het geval - voor eigendoeleinden invloed uitoefent op de verwerking van personsgegevens zoals de TC-string en samen met anderen het doel van en de middelen voor die verwerking vaststelt.
62 Wat in de eerste plaats het doel van die verwerking van personsgegevens betreft, blijkt - onder voorbehoud van de door de verwijzende rechtter te verrachten verificaties - uit het dossier waarover het Hof beschikt, zoals in de punten 21 en 22 van dit arrest in herinnering is gebracht, dat het door IAB Europe opgestelde TCF een standard is die ertoe strekt te waarborgen dat de AVG worden nageleefd wanner de personsgegevens van gebruikers van een internetsite of applicatie worden verwerkt door bepaalde ondernemingen die deelnemen aan de online veiling van advertentieruimte.
63 Het TCF is er dan ook in wezen op gericht om de verkoop en aankoop van advertentieruimte op het internet door die ondernemingen te bevorderen en möglichk te make.
64 Derhalve kan - onder voorbehoud van de verificaties die de verwijzende rechtter dient te verrachten - worden aangenomen dat IAB Europe voor eigendoeleinden invloed uitoefent op de verwerkingen van personsgeveens die in het hoofdgeding aan de orde zich en daardoor samen met haar leden het doel van die verwerkingen vaststelt.
65 Wat in de tweede plaatz de middelen betreft die voor een dergelijkke verwerking van personsgeveens worden gebruikt, blijkt - onder voorbehoud van de door de verwijzende rechter te verrachten verificaties - uit het dossier waarover het Hof beschikt, dat het TCF een standard is die de leden van IAB Europe worden geacht te aanvaarden wanner zich zich bij deze vereniging wollen aansluiten. Met name kan IAB Europe - zoals zij ter terechtzitting voor het Hof heeft bevestigd - ten aanzien van een vanhaar leden dat de

PAGE 01-00004384135-0039-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 40

regels van het TCF niet naleeft, een besluit tot schorsing wegens niet-conformiteit nemen dat ertoe kan leiden dat het betrokken lid wordt uitgesloten van het TCF en zich bijgevolg voor de verwerking van persoonsgegevens die het verricht door middel van TC-strings, niet kan beroepen op de AVG-conformiteitswaarborg die dit systeem wordt geacht te bieden.

66 Daarnaast bevat het door IAB Europe opgestelde TCF vanuit practisch oogpunt - zoals in punt 21 van dit arrest is vermeld - technische specificaties voor de verwerking van de TCstring. In het bijzonder lijken die specificaties precies te beschrijven hoe de CMP's de voorkeuren die de gebruikers hebben met betrekking tot de verwerking van hun personsgeveens要去en registeren, en hoe die voorkeuren要去en worden verwerkt teneinde een TC-string te genereren. Voorts worden er ook precieze regels opgesteld over de inhoud van de TC-string alsook over de opslag en het delen van die string.
67 Zo blijkt uit de beslissing van 2 februar 2022 dat IAB Europe in die regels onder meer voorschrijft op welke gestandaardiseerde wijze de verschillende bij het TCF betrokken partijen de in de TC-string opgeslagen voorkeuren, bezwaren en toestemmingen können raadplegen.
68 Derhalve dient - onder voorbehoud van de door de verwijzende rechtter te verrachten verificaties - te worden aangenomen dat een sectororganisatie als IAB Europe voor eigen doeleinden invloed uitoefent op de in het hoofdgeding aan de orde zichnde verwerkingen van personsgeveens en aldus samen met haar leden de middelen voor die verwerkingen vaststelt. Hieruit volgt dat zij overeenkomstig de in punt 57 van dit arrest in herinnering gebrachte rechtspraak要去 worden aangemerkt als een „gezamenlijke verwerkingsverantwoordelijkke" in de zin van articlek 4, punt 7, en articlek 26, lid 1, AVG."

# Beoordeling door het Marktenhof

61.

In casu is het na verificatie door het Marktenhof duidelijk dat IAB Europe reële beslissingsmacht heeft, zowel over de doeleinden als over de middelen van de verwerkingen binnen het TCF, en dit gezien haar dwingende zeggenschap over de werking van het TCF :

a) IAB Europe erkent haar verantwoordelijkheid voor het TCF in haar eigen documentatie

62.

IAB Europe stelt zelf in haar “Frequently Asked Questions” over het TCF (versie 2.0) dat zij verantwoordelijk is voor de TCF Policies.¹⁵

¹⁵ Zie, beschikbaar op https://iabeurope.eu/wp-content/uploads/2019/08/TCF-v2.0-FAQs-1.pdf (stuk B.15, klagers p. 2-3).

PAGE 01-00004384135-0040-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 41

Zo stelt zij als antwoord op de vraag “Wie beheert het TCF” het volgende : (NADRUKKEN MARKTENHOF)

“De Beheersorganisatie (BO) is IAB Europe. IAB Europe werkt nauw samen met IAB Tech Lab om samen het beheer van de deelnemende organisaties, experten en werkgroepen waar te nemen die het gezamenlijke beleid en technische specificaties creëren die aan het TCF ten grondslag liggen. Binnen haar rol als BO draagt IAB Europe de specifieke verantwoordelijkheid voor de TCF Policies, conformiteit, en het beheer van de Globale Verkoperslijst (GVL) en de administratie van de toestemmingsbeheerplatformen. IAB Tech Lab is verantwoordelijk voor de ontwikkeling en de iteraties betreffende de technische specificaties geassocieerd met het TCF.”

En in haar TCF Policies definieert IAB Europe zichzelf als : (NADRUKKEN MARKTENHOF)

“de entiteit die het Raamwerk beheert en bestuurt, met in begrip van de Policies, de Specificaties en de GVL. IAB Europe mag deze Policies van tijd tot tijd updaten voor zover zij dit redelijkerwijze noodzakelijk acht om het voortdurende succes van het Raamwerk te garanderen.”

63.

IAB Europe erkent zo verantwoordelijk te zijn voor de Policies, de Specificaties én de lijst van Vendors die aan het TCF mogen deelnemen. Het spreekt voor zich dat de organisatie die het TCF aldus beheert en bestuurt, er eveneens voor verantwoordelijk is, met inbegrip van de eventuele verwerkingen van persoonsgegevens die door het TCF opgelegd en georganiseerd worden. Het is immers IAB Europe die deze verwerkingen van persoonsgegevens op afdwingbare wijze aan de andere deelnemers oplegt.

Zo bepaalt IAB Europe in de TCF Policies : (NADRUKKEN MARKTENHOF)

“Een CMP moet alle Policies naleven die van toepassing zijn op CMP’s die door de beheersorganisatie verspreid worden in de Policies of in de documentatie die de Policies implementeert, zoals in operationele Policies en procedures, richtlijnen, en handhavingsbeslissingen.”

IAB Europe stelt aldus dat alle CMP’s verplicht zijn om de instructies van IAB Europe binnen het TCF strikt op te volgen, zelfs IAB Europe’s handhavingsbeslissingen. Daarenboven verplicht IAB Europe CMP’s om het TCF volgens haar Technical Specifications te implementeren : (NADRUK MARKTENHOF)

“Bovenop het implementeren van het Raamwerk volgens de Specificaties moet een CMP de volledige Specificaties ondersteunen, tenzij de

PAGE 01-00004384135-0041-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 42

Specificaties uitdrukkelijk stellen dat een bepaalde eigenschap optioneel is, in welk geval het CMP mag kiezen om de optionele eigenschap te implementeren maar niet verplicht is dit te doen.”

64.

IAB Europe voert in hoofdzaak aan dat zij maar een kleine sectororganisatie zou zijn die spelers in het ecosysteem van digitale marketing een norm of zelfs maar een gedragscode voor mogelijke verwerking van gebruikersvoorkeuren wenst aan te bieden.

65.

De Geschillenkamer heeft in haar beslissing terecht vastgesteld dat IAB Europe met het TCF wel degelijk persoonsgegevens doet verwerken (randnummers 317-321 van de Bestreden Beslissing). In het bestuur van IAB Europe zijn verschillende van de grootste Vendors en Publishers in de wereld vertegenwoordigd, waaronder Microsoft, Google, enzovoort (stuk E.5 van de klagers). Het gaat hier dus wel degelijk om een centraal orgaan dat met beslissende invloed bepaalde verwerkingen van persoonsgegevens doét gebeuren.

IAB Europe’s essentiële bestaansreden is onweerlegbaar de behartiging van de belangen van de digitale reclamesector. Zij oefent dus voor haar eigen doeleinden een invloed uit op de verwerking van de persoonsgegevens.

66.

In randnummer 330 van de Bestreden Beslissing geeft de Geschillenkamer aan dat zij IAB Europe verwerkingsverantwoordelijke acht voor de verzameling, verwerking en verspreiding van de voorkeuren, toestemmingen en bezwaren van de gebruikers en dus voor de verwerkingen in binnen het TCF.

b) Over het bepalen van doel en middelen van deze verwerkingen, oefent IAB Europe inderdaad een beslissende invloed uit

67.

- IAB Europe heeft een gedeeld doel met de andere deelnemers voor de verwerking van persoonsgegevens, die overigens allemaal hetzelfde [gedeelde] doel hebben, namelijk ervoor zorgen dat de gebruikersvoorkeuren op een gestructureerde manier worden gecapteerd en vervolgens worden gedeeld met alle andere deelnemers. Ook al zijn veel TCF-deelnemers misschien concurrenten, wat betreft de verwerking van gebruikersvoorkeuren in het kader van het TCF hebben ze allemaal gelijkgestemde belangen, die ook gelijklopen met die van IAB

PAGE 01-00004384135-0042-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 43

Europe als sectorfederatie : ervoor zorgen dat digitale reclamepraktijken zoals OpenRTB kunnen blijven voortbestaan.

- IAB Europe organiseert,.COORDineert en stimuleert de verwerkingen van personsgeveens in het TCF. IAB Europe stelt immers zich dat ze het TCF beheert en bestuurt en omschrijftuitvoerig haar organiserende en coordinerende taak. Ze bepaalt immers welke personsgeveens minimaal verwerkt moeten worden, reikt de middelen voor het delen van de TC String aan, en bovenal stelt zich de naleving van het TCF tevens te handhaven.
- Het begrip verwerkingsverantwoordelijke moet in casu [net wél] ruim uitgelegd worden, aangezien IAB Europe de enige is die, zoals zij zich stelt, het TCF beheert en bestuurt en dus de door de Geschillenkamer, na samenspraak met alle andere toezichthoulders in de EU, vastgestelde problemen kan oplossen.

De Geschillenkamer heeft in de Bestreden Beslissing derhalve terecht vastgesteld dat IAB Europe een verwerkingsverantwoordelijke is voor de verwerking van TC Strings binnen het TCF.

c) De kwalificatie van IAB Europe in de Bestreden Beslissing als gezamenlijke verwerkingsverantwoordelijke

68.

Van gezamenlijke verantwoordelijkheid is sprake krachtens artikel 26 AVG :

"1. Wanner twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zich zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordering vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zich vastgesteld bij een Unierechtelijke of lidstaatrechtelijk bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.
2. Uit de in lid 1 bedoelde regeling blijdt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk verrullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling worden aan de betrokkene beschikbaar gesteld.
3. Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zich rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijk uitoefenen."

PAGE 01-00004384135-0043-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 44

69.

De Bestreden Beslissing oordeelt in sectie B.3 dat IAB Europe samen met de TCF-deelnemers (CMP's, publishers, vendors) gezamenlijk verantwoordelijk is voor de verwerking van persoonsgegevens in het kader van het TCF en van het OpenRTB.

70.

In randnummer 544 van de Bestreden Beslissing, oordeelt de Geschillenkamer niet dat IAB Europe alleen verantwoordelijk is voor de verwerking van persoonsgegevens in het kader van OpenRTB. Het aandeel van de respectieve verantwoordelijkheden van de TCF-deelnemers varieert naargelang de verwerkingsfase (TCF versus OpenRTB) en naargelang zij binnen of buiten het TCF handelen.

71.

IAB Europe ontkent dat zij kwalificeert als een gezamenlijke verwerkingsverantwoordelijke met de uitgevers, CMP's en adtech vendors voor de verwerkingen van persoonsgegevens in het kader van het TCF en van het OpenRTB.

Algemeen moet worden aangestipt dat de bevinding van de Geschillenkamer in de Bestreden Beslissing, dat een andere partij dan IAB Europe ook invloed uitoefent op de doeleinden en middelen van verwerking, geenszins impliceert dat IAB Europe dat niet doet.

72.

Uit geen stuk voorgelegd aan het Marktenhof blijkt op welke wijze IAB Europe en de TCF deelnemers een onderlinge en transparante regeling zijn overeengekomen betreffende hun respectieve verantwoordelijkheden zoals vereist door hogervermeld artikel van de AVG.

73.

Het Hof van Justitie heeft, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, beslist in het Prejudicieel Arrest dat IAB Europe een gezamenlijke verwerkingsverantwoordelijke is voor de verwerking van persoonsgegevens die het samen met de leden verricht door middel van TC-strings binnen het TCF (Prejudicieel Arrest, randnummer 68).

Het Hof van Justitie heeft echter ook het volgende beslist in het Prejudicieel Arrest : (NADRUKKEN MARKTENHOF)

"70. Daarnaast moet in antwoord op de twijfels van de verwijzende rechter worden geoordeeld dat de eventuele gezamenlijke verantwoordelijkheid van die sectororganisatie zich niet automatisch uitstrekt tot de latere verwerkingen van persoonsgegevens door derden, zoals

PAGE 01-00004384135-0044-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 45

aanbieders van internetsites of applicaties, wat de voorkeuren van gebruikers met het oog op gerichte online reclame betreft.

71. Dienaangaande zij ten eerste opgemerkt dat de „verwerking" van personsgeveens in articel 4, punt 2, AVG worden gedefiniereid als „een bewerking of een geheel van bewerkingen met betrekking tot personsgeveens of een geheel van personsgeveens, al dan Niet uitgevoerd via geautomatisierde procedés, zoals het verzamelen, vastleggen, ordinen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afterschieren, wissen of vernietigen van geveens".
72. Uit deze definitie blijdt dat de verwerking van personsgeveens kan bestaan uit een of meerde bewerkingen, die elk betrekking hebben op een andere fase van die verwerking.
73. Ten tweede volgt uit articel 4, punt 7, en articel 26, lid 1, AVG - zoals het Hof reeds heeft geoordeeld - dat een natuurlijke of rechtspersoon slechts als gezamenlijke verantwoordelijke voor de verwerking van personsgeveens kan worden aangemerkt indien hij samen met anderen het doel van en de middelen voor die verwerking vaststelt. Derhalve kan die natuurlijke of rechtspersoon - onverminderd een eventuele civielrechtelijkke aansprakelijkheid waarin het nationale recht in dit verband voorziet - Niet worden geacht in de zin van die bepalingen verantwoordelijk teijken voor bewerkingen die vroeger of later in de verwerkingsketenplaatsvinden en waarvan respectievelijk waarvoor hij Niet het doel en de middelen vaststelt (zie maar analogie arrest van 29 juli 2019, Fashion ID, C-40/17, EU:C:2019:629, punt 74).
74. In casu要去en onsderscheid worden gemaakt tussen energijds de verwerking van personsgeveens door de leden van IAB Europe - te weten aanbieders van internetsites of applicaties en geveensmakelaars of reclameplatforms - bij de opslag van de toestemmingssvoorkeuren van de betrokken gebruikers in een TC-string volgens de in het TCF opgestelde standard en anderzijds de verwerking van personsgeveens die deze ondernemingen en derden later op basis van die voorkeuren verrachten, bijvoorbeeld door doorzending van die geveens aan derden of gespersonaliseerde reclameaanbiedingen aan die gebruikers.
75. Onder voorbehoud van de verificaties die de verwijzende rechtter dient te verrachten, lijkt IAB Europe namelijk Niet bij die latere verwerking betrokken te zich, zodat要去 worden geoordeeld dat een dergelijk organiseatie Niet automatisch samen met die ondernemingen en derden verantwoordelijk is voor de verwerking van de personsgegevens op basis van de in een TC-string opgeslagen voorkeursgeevens van de betrokken gebruikers.
76. Een sectororganisatie als IAB Europe kan dan ook slechts worden geacht verantwoordelijk teijken voor dergelijk latere verwerkingen indien vaststaat dat zich invloed

PAGE 01-00004384135-0045-0071-02-01-4

Hof van beroep Brussel – 2022/AR/292 – p. 46

uitoefent op de vaststelling van het doel van die verwerkingen en van de wijze waarop deze worden verricht, wat de verwijzende rechter dient na te gaan in het licht van alle relevante omstandigheden van het hoofdgeding.”

Aldus moet eerst worden nagegaan hoe de Bestreden Beslissing de mede-verantwoordelijkheid van IAB Europe voor de verwerking van persoonsgegevens in het kader van TCF heeft gemotiveerd.

74.

Stapsgewijs en gemotiveerd, geeft de Geschillenkamer aan waarom en waarvoor IAB Europe verantwoordelijk is, alsook met wie :

- binnen het TCF worden personsgeveens verwerkt (randnummer 321 van de Bestreden Beslissing);
- het doeleinde voor de verwerking van personsgeveens binnen het TCF, met in het bijzonder de TC String, worden vastgelegd door IAB Europe in haar TCF Policies (randnummer 338 van de Bestreden Beslissing);
IAB Europe bepaalt de middelen voor de verwerking van personsgeveens binnen het TCF, met in het bijzonder de TC String (randnummer 360 van de Bestreden Beslissing);
IAB Europe is verantwoordelijk voor de verwerking van personsgeveens binnen het TCF, met in het bijzonder de TC String (randnummer 361 van de Bestreden Beslissing);
IAB Europe is bovendien gezamenlijk verantwoordelijk voor de verwerking van personsgeveens binnen het TCF, met in het bijzonder de TC String (randnummer 402 van de Bestreden Beslissing), samen met :

de CMP's (randnummers 382 en 383 van de Bestreden Beslissing);
de Publishers (randnummers 392-394 van de Bestreden Beslissing) en
de Vendors (randnummer 399 van de Bestreden Beslissing).

75.

Het bovenstaande toont aan dat de Geschillenkamer in de Bestreden Beslissing heeft vastgesteld tot waar de verantwoordelijkheid van IAB Europe gaat. Het “aanbieden” of verplichten door IAB Europe van een “standaard” of raamwerk (TCF) voor AVG-naleving moet in onderhavig geval en gelet op de hogervermelde stukken uit het dossier daadwerkelijk als een verwerkingsdoel op zich worden

COVER 01-00004384135-0046-0071-02-02-1

Hof van beroep Brussel – 2022/AR/292 – p. 47

beschouwd waarvoor IAB Europe in dezelfde mate verantwoordelijk is als haar leden. IAB Europe is daarvoor in de positie om de rechten van betrokkenen te waarborgen en om te voldoen aan de verplichtingen die de AVG oplegt.

IAB Europe is dus gezamenlijk verantwoordelijk met de TCF-deelnemers voor de opslag van de toestemmingsvoorkeuren van de betrokken gebruikers in de TC String.

De Bestreden Beslissing is op dit punt correct gemotiveerd.

Vervolgens moet worden nagegaan hoe de Bestreden Beslissing de mede-verantwoordelijkheid van IAB Europe voor de verwerking van persoonsgegevens in het kader van OpenRTB heeft gemotiveerd.

76.

RTB staat voor real-time bidding. RTB is een manier om advertenties te kopen en verkopen via real-time veilingen, wat inhoudt dat transacties worden gedaan in de tijd die nodig is om een webpagina te laden.

77.

Als een internetgebruiker een website bezoekt, wordt zijn of haar surfgedrag op de betreffende website (vaak) gevolgd om gepersonaliseerde advertenties mogelijk te maken. Persoonlijke informatie betreffende de gebruiker wordt dan gematcht met beschikbare adverteerders en er vindt een real-time veiling plaats tussen de adverteerders die voldoen aan bepaalde criteria. Hier moet een onderscheid gemaakt worden tussen de gegevensverwerking door de aanbieders van een website of applicatie en de daarop volgende gegevensverwerking door derden. Een simpel voorbeeld : een gebruiker bezoekt een website met biologisch hondenvoer, maar koopt niets. Een volgend moment bezoekt diezelfde gebruiker een nieuwswebsite en ziet plots advertenties over biologisch hondenvoer. Deze advertenties worden geplaatst met behulp van real-time bidding.

78.

Het Hof van Justitie stelt dat de gezamenlijke verantwoordelijkheid van IAB Europe en haar leden voor de verwerking van toestemmingsvoorkeuren in een TC-string moet worden onderscheiden van de verwerking van persoonsgegevens die op basis van die voorkeuren plaatsvindt (in het kader van Open RTB). Het Hof van Justitie merkt ook op dat IAB Europe niet lijkt betrokken te zijn bij, en dus geen invloed lijkt uit te oefenen op, dergelijke latere verwerkingen, zoals bijvoorbeeld het aanbieden van gepersonaliseerde reclameaanbiedingen aan gebruikers.

79.

Wat de medeverantwoordelijkheid van IAB Europe voor de verdere verwerkingen in het kader van OpenRTB betreft, dient het Marktenhof dus na het Prejudicieel Arrest zelf te beoordelen of IAB

PAGE 01-00004384135-0047-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 48

Europe met het TCF “invloed” uitoefent op de verdere verwerking van persoonsgegevens in het kader van OpenRTB. Die beoordeling werd immers door het Hof van Justitie nog niet gemaakt zoals de GBA terecht opmerkt in haar conclusies.

De klagers stellen in randnummer 177 van hun conclusies :

“In deze zaak gaat het om de verwerkingen van persoonsgegevens in het kader van het TCF. OpenRTB is weliswaar de moverende reden voor IAB Europe waarom het TCF er gekomen is, maar er wordt niet gekeken naar de specifieke verwerkingen van persoonsgegevens die plaatsvinden in OpenRTB.”

De GBA verdedigt een iets andere visie : zij tracht in de Bestreden Beslissing aan te voeren dat het TCF niet op zich staat maar OpenRTB dient (randnummer 370 van de Bestreden Beslissing), dat handelingen / daarop volgende verwerkingen van CMP’s, van uitgevers en van TCF-vendors buiten het TCF van belang zijn en ertoe leiden dat IAB Europe daarvoor medeverantwoordelijk is. Zij verwijst daarvoor naar wat beschreven staat in randnummers 367 en volgende van de Bestreden Beslissing : (NADRUK MARKTENHOF)

“367. Zowel in haar conclusies als tijdens de hoorzitting heeft IAB Europe benadrukt dat het TCF en het OpenRTB systeem volkomen onafhankelijk zijn van elkaar, in die zin dat adtech vendors zelfs zonder deelname aan het TCF onbelemmerd persoonsgegevens kunnen verwerken in het kader van het OpenRTB. Klagers hebben daarentegen steeds gewag gemaakt van de inherente verwevenheid tussen OpenRTB en het TCF, die verweerster overigens zelf zou bevestigen — volgens klagers — in de TCF Implementation Guidelines.

368. De Geschillenkamer oordeelt dat het argument van verweerster niet gevolgd kan worden, gelet op het feit dat verweerster in haar conclusies enerzijds herhaaldelijk opwerpt dat de bestaansreden van het TCF juist erin bestaat de verwerkingen van persoonsgegevens gebaseerd op het OpenRTB protocol in conformiteit te brengen met de geldende regelgeving, met inbegrip van de AVG en de ePrivacy richtlijn. Hoewel de Geschillenkamer begrijpt dat het TCF ook voor andere toepassingen kan ingeschakeld worden door publishers, al dan niet in samenwerking met CMPs, staat het evenzeer vast dat het TCF nooit bedoeld was als een alleenstaand, onafhankelijk ecosysteem.

369. Integendeel, de Geschillenkamer stelt vast dat het Transparency and Consent Framework beleidslijnen en technische specificaties omvat die uitgevers van websites en applicaties (publishers) en adtech partners die de targeting, levering en meting van reclame en inhoud ondersteunen (vendors), in staat moeten stellen toestemming te verkrijgen of bezwaren vast te stellen, hun verwerkingsdoeleinden transparant bekend te maken, en een geldige rechtsgrondslag te bepalen voor de verwerking van persoonsgegevens voor het aanbieden van digitale reclame.

PAGE 01-00004384135-0048-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 49

370. Aldus oordeelt de Geschillenkamer dat de beslissingen die door IAB Europe vertaald worden in, enerzijds, de bepalingen van de beleidsregels en technische specificaties van het TCF en, anderzijds, de middelen en doeleinden bepaald door de deelnemende organisaties met betrekking tot de verwerking — al dan niet in het kader van OpenRTB — van persoonsgegevens van gebruikers, als convergerende beslissingen moeten worden aangezien. IAB Europe biedt namelijk een ecosysteem binnen dewelke de toestemming, bezwaren en voorkeuren van gebruikers niet voor eigen doelstellingen of zelfbehoud worden verzameld en uitgewisseld, maar om verdere verwerking door derde partijen (d.w.z. publishers en adtech vendors) te vergemakkelijken.

371. Dientengevolge stelt de Geschillenkamer vast dat IAB Europe en de respectievelijke deelnemende organisaties als gezamenlijke verwerkingsverantwoordelijken dienen te worden beschouwd voor de verzameling en daaropvolgende verspreiding van de toestemming, bezwaren en voorkeuren van gebruikers, alsmede voor de hiermee gepaard gaande verwerking van hun persoonsgegevens, evenwel zonder dat de verantwoordelijkheid van deelnemende CMPs en adtech vendors zou afdoen aan de verantwoordelijkheid van IAB Europe.”

De volgende randnummers uit de Bestreden Beslissing staan haaks op de voorgaande bevindingen van de Geschillenkamer : (NADRUKKEN MARKTENHOF)

“495. Hoewel de Geschillenkamer zich in onderhavige beslissing reeds heeft uitgesproken over de verwerkingen die plaatsvinden in het OpenRTB en tot de conclusie kwam dat deze verwerkingen niet in overeenstemming zijn met de grondbeginselen van doelbinding en minimale gegevensverwerking (aangezien er geen enkele waarborg is voorzien om te verzekeren dat de in het van kader van het OpenRTB verzamelde en verspreide persoonsgegevens beperkt blijven tot informatie die strikt noodzakelijk is voor de beoogde doeleinden) benadrukt de Geschillenkamer wederom dat de klagers in hun conclusies hebben aangegeven de omvang van hun aantijgingen te beperken tot de verwerkingen binnen het TCF. Tevens heeft de Inspectiedienst in zijn verslag verduidelijkt dat IAB Europe niet als verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in kader van het OpenRTB protocol.

[...]

544. Wat de aard en het doel van de verwerking betreft, en meer in het bijzonder de aard van de gegevens, merkt de Geschillenkamer op dat de TC String, als uitdrukking van de voorkeuren van de gebruikers inzake de verwerkingsdoeleinden en de potentiële adtech-vendors die via de CMP-interface worden aangeboden, de hoeksteen van het TCF vormt. Hoewel het toepassingsgebied van deze beslissing het TCF en zijn TC String is, en de aan verweerster opgelegde sanctie uitsluitend betrekking heeft op dat kader, wordt de overeenstemming van OpenRTB met de AVG beoordeeld als onderdeel van een holistische

PAGE 01-00004384135-0049-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 50

analyse van het TCF en zijn interactie met de AVG. Aangezien de huidige versie van het TCF het instrument is waarop de verweerster zich baseert om aan te tonen dat zij de AVG naleeft, en aangezien de verweerster het lidmaatschap en het gebruik van de OpenRTB vergemakkelijkt voor een aanzienlijk aantal deelnemende organisaties, is de Geschillenkamer van oordeel dat de IAB Europe een centrale rol speelt met betrekking tot de OpenRTB, zonder dat zij in die context een voor de verwerking verantwoordelijke is."

IAB Europe concludeert in onderhavige zaak (randnummer 39 en volgende van haar conclusies) :

"Door de reikwijdte van de beslissing uit te breiden naar OpenRTB en haar belanghebbenden, verloor de Geschillenkamer het vermogen om de rollen van de partijen en hun bijbehorende verantwoordelijkheid duidelijk te onderscheiden, voor de verschillende gegevensverwerkingen. Heel vaak is het onduidelijk over welke gegevens de Geschillenkamer het heeft, wiens belangen zij in aanmerking neemt en wie zij waarvoor verantwoordelijk acht."

80.

Het Marktenhof stelt vast dat de Bestreden Beslissing aldus op dit punt tegenstrijdig gemotiveerd is.

Het Marktenhof overweegt verder dat de klagers in hun conclusies hebben aangegeven de omvang van onderhavig geding te beperken tot de verwerkingen binnen het TCF.

Het Hof stelt overigens vast dat de Inspectiedienst zelf in haar verslag verduidelijkt dat IAB Europe niet als verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader van het OpenRTB protocol.

Sowieso blijkt uit geen enkel aan het Hof voorgelegd stuk dat IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader van het OpenRTB protocol.

Op basis van het voorgaande, is de zesde grief van IAB Europe ongegrond en is de zevende grief van IAB Europe slechts gegrond in de mate dat de Bestreden Beslissing voorhoudt, maar niet aantoont, dat IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader van het OpenRTB protocol.

# GRIEVEN BETREFFENDE DE VASTSTELLING VAN DE INBREUKEN OP DE AVG IN DE BESTREDEN BESLISSING

81.

De Bestreden Beslissing stelt de volgende inbreuken vast :

"De Geschillenkamer heeft in de Bestreden Beslissing vastgesteld dat IAB Europe inbreuken heeft gemaakt op de volgende artikelen:

PAGE 01-00004384135-0050-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 51

- Artikelen 5.1.a en 6 AVG – Het huidige TCF voorziet niet in een rechtsgrond voor de verwerking van de voorkeuren van de gebruikers onder de vorm van een TC String. De Geschillenkamer merkt bovendien op dat het TCF twee grondslagen aanbiedt voor de verwerking van persoonsgegevens door deelnemende adtech vendors, maar oordeelt dat geen van beide kunnen worden gebruikt. Ten eerste wordt de toestemming van de betrokkenen momenteel niet op een voldoende specifieke, geïnformeerde en granulaire wijze gegeven. Ten tweede weegt het gerechtvaardigde belang van de aan het TCF deelnemende organisaties niet op tegen de belangen van de betrokkenen, gezien de grootschalige verwerking van hun TCF-voorkeuren in het kader van het OpenRTB en de gevolgen die dit voor hen kan hebben. Aangezien geen van de in artikel 6 AVG genoemde gronden voor rechtmatigheid van toepassing is op deze verwerking, zoals hierboven uiteengezet, maakt de verweerster inbreuk op artikel 5, lid 1, onder a), en artikel 6 van de AVG.

![img-3.jpeg](img-3.jpeg)

g van hun TCF-voorkeuren in het kader van het OpenRTB en de gevolgen die dit voor hen kan hebben. Aangezien geen van de in artikel 6 AVG genoemde gronden voor rechtmatigheid van toepassing is op deze verwerking, zoals hierboven uiteengezet, maakt de verweerster inbreuk op artikel 5, lid 1, onder a), en artikel 6 van de AVG.

Er nota van nemend dat de verweerster zelf geen feitelijke of technische controle meer heeft over de TC Strings wanneer deze eenmaal door de CMP's zijn gegenereerd en op de apparaten van gebruikers zijn opgeslagen, is de Geschillenkamer van oordeel dat zij de verweerster niet kan verplichten alle tot op heden gegenereerde TC Strings a posteriori te verwijderen. Meer in het bijzonder is het de verantwoordelijkheid van de CMP's en de uitgevers die het TCF implementeren om overeenkomstig de artikelen 24 en 25 van de AVG passende maatregelen te nemen om ervoor te zorgen dat persoonsgegevens die in strijd met de artikelen 5 en 6 van de AVG zijn verzameld, niet langer worden verwerkt en ook worden verwijderd. Voor zover IAB Europe nog steeds TC Strings opslaat die afkomstig zijn van de niet langer beschikbare globally scoped toestemmingscookies, is de Geschillenkamer eveneens van oordeel dat de verweerster de nodige maatregelen moet treffen om te waarborgen dat deze niet langer noodzakelijke persoonsgegevens permanent worden gewist.

- Artikelen 12, 13, en 14 AVG – De wijze waarop de informatie aan de betrokkenen wordt verstrekt voldoet niet aan het vereiste van een "transparante, begrijpelijke en gemakkelijk toegankelijke vorm toegankelijke vorm". Gebruikers van een website of een applicatie die aan het TCF deelneemt, krijgen onvoldoende informatie over de categorieën van persoonsgegevens die over hen verzameld worden, en kunnen bovendien niet van tevoren de omvang en de gevolgen van de verwerking bepalen. De informatie die aan de gebruikers wordt gegeven, is te algemeen om de specifieke verwerking van elke vendor weer te geven, waardoor ook de granulariteit - en dus de geldigheid - van de verkregen toestemming voor de verwerking die met behulp van het OpenRTB-protocol wordt uitgevoerd, niet kan worden vastgesteld. Betrokkenen kunnen de omvang en de gevolgen van de verwerking niet vooraf

PAGE 01-00004384135-0051-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 52

overzien en hebben daardoor onvoldoende controle over de verwerking van hun gegevens om niet later verrast te worden door de verdere verwerking van hun persoonsgegevens.

- Artikelen 24, 25, 5.1.f en 32 AVG – Zoals hierboven uiteengezet, is, op grond van de artikelen 5, lid 1, onder f), en 32 AVG, de verwerkingsverantwoordelijke verplicht de beveiliging van de verwerking en de integriteit van de verwerkte persoonsgegevens te waarborgen. De Geschillenkamer herinnert eraan dat de gecombineerde lezing van artikel 5, lid 1, onder f), en artikel 32, alsook artikel 5, lid 2, en artikel 24 AVG (op grond waarvan de verantwoordelijke voor de verwerking aan het verantwoordingsbeginsel is onderworpen) vereist dat de verwerkingsverantwoordelijke aantoont dat hij artikel 32 AVG naleeft, door op transparante en traceerbare wijze passende technische en organisatorische maatregelen te nemen. In het huidige TCF-systeem ontvangen adtech vendors een toestemmingssignaal zonder enige technische of organisatorische maatregel om te garanderen dat dit toestemmingssignaal geldig is of dat een adtech vendor het signaal daadwerkelijk heeft ontvangen (in plaats van het te hebben gegenereerd). Bij gebreke van systematische en geautomatiseerde controlesystemen van de deelnemende CMP's en adtech-verkopers door verweerster, is de integriteit van de TC String niet voldoende gewaarborgd, aangezien het voor de CMP's mogelijk is het signaal te vervalsen om een euconsent-v2 cookie te genereren en aldus een "valse toestemming" van de gebruikers te reproduceren voor alle doeleinden en voor alle soorten partners. Zoals hierboven is aangegeven, is deze hypothese ook uitdrukkelijk opgenomen in de voorwaarden van het TCF. De Geschillenkamer oordeelt daarom dat IAB Europe in haar hoedanigheid van Managing Organisation een systeem voor het beheer van de toestemming heeft ontworpen en aanbiedt, maar niet de nodige stappen onderneemt om de geldigheid, de integriteit en de naleving van de voorkeuren alsook de toestemming van de gebruikers te verzekeren. De Geschillenkamer is ook van oordeel dat de huidige versie van het TCF de uitoefening van de rechten van betrokkenen niet vergemakkelijkt, met name gelet op de gezamenlijke verwerkingsverantwoordelijkheid van de uitgever, het geïmplementeerde CMP en de verweerster. De Geschillenkamer onderstreept ook dat de AVG vereist dat betrokkenen hun rechten kunnen uitoefenen ten aanzien van elk van de gezamenlijke verwerkingsverantwoordelijken in het TCF, om te voldoen aan de artikelen 24 en 25 van de AVG. Gelet op het voorgaande is de Geschillenkamer van oordeel dat verweerster zijn verplichtingen op het gebied van de beveiliging van de verwerking, de integriteit van persoonsgegevens en de gegevensbescherming door ontwerp en standaardinstellingen (artikel 24, artikel 25, artikel 5.1.f, en artikel 32 van de AVG) heeft geschonden.

F, om te voldoen aan de artikelen 24 en 25 van de AVG. Gelet op het voorgaande is de Geschillenkamer van oordeel dat verweerster zijn verplichtingen op het gebied van de beveiliging van de verwerking, de integriteit van persoonsgegevens en de gegevensbescherming door ontwerp en standaardinstellingen (artikel 24, artikel 25, artikel 5.1.f, en artikel 32 van de AVG) heeft geschonden.

PAGE 01-00004384135-0052-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 53

- Artikel 30 AVG – Zoals hierboven uiteengezet, kan de Geschillenkamer het argument van verweerster niet volgen, dat hij in aanmerking kan komen voor de uitzonderingen op de verplichting om een register van verwerkingsactiviteiten bij te houden, waarin is voorzien in Artikel 30.5 AVG. Omdat het register van verwerkingsactiviteiten van de verweerster geen verwerkingen bevat met betrekking tot het TCF, behoudens het beheer van de leden alsmede de administratie van het TCF, hoewel IAB Europe zich als Managing Organisation toegang kan verschaffen tot de records of consent, stelt de GK een inbreuk vast op artikel 30 AVG.

- Artikel 35 AVG – Gelet op het grote aantal betrokkenen die in aanraking komen met websites en applicaties die het TCF implementeren, alsook organisaties die aan het TCF deelnemen, enerzijds, en de impact van het TCF op de grootschalige verwerkingen van persoonsgegevens in het OpenRTB-protocol, anderzijds, stelt de Geschillenkamer vast dat IAB Europe heeft nagelaten een uitgebreide gegevensbeschermingseffectbeoordeling (GEB) uit te voeren met betrekking tot de verwerking van persoonsgegevens binnen het TCF. De Geschillenkamer oordeelt dat het TCF onder andere ontwikkeld werd voor het RTB-systeem, waarbij op systematische en geautomatiseerde wijze het online gedrag van gebruikers geobserveerd, verzameld, vastgelegd of beïnvloed wordt, inclusief voor advertentiedoeleinden. Eveneens wordt niet betwist dat er binnen het OpenRTB op grote schaal gegevens ingezameld worden bij derden (DMPs) teneinde de economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van natuurlijke personen te analyseren of voorspellen.

- Artikel 37 AVG – Omwille van de grootschalige, regelmatige en stelselmatige observatie van identificeerbare gebruikers die het TCF met zich meebrengt, en gelet op de rol van de verweerster, meer bepaald haar hoedanigheid van Managing Organisation, oordeelt de Geschillenkamer dat IAB Europe een functionaris voor gegevensbescherming (DPO) had moeten aanstellen. Doordat de verweerster nalaat dit te doen, maakt zij inbreuk op artikel 37, AVG.”

ACHTSTE GRIEF IAB Europe : De Bestreden beslissing besluit ten onrechte dat IAB Europe een rechtsgrond nodig heeft en dat er geen rechtsgrond bestaat voor de verwerking van TC Strings en OpenRTB gegevens. (schending van de artikelen 5.1.a en 6 AVG)

Achtste verweermiddel GBA, deel zesde middel klagers.

# Samenvatting standpunten partijen

Wat de verwerking van TC Strings betreft, betoogt IAB Europe in essentie dat de Bestreden Beslissing erkent dat deze door de CMP’s worden verwerkt en dat de CMP’s gezamenlijk verantwoordelijk zijn met IAB Europe voor die verwerking ; bijgevolg zouden minstens ook de CMP’s verantwoordelijk moeten worden gehouden voor het eventuele gebrek aan een rechtsgrond, en niet (alleen) IAB Europe. Bovendien zou de Geschillenkamer niet onderzocht hebben of CMP’s in hun gebruikersinterface

PAGE 01-00004384135-0053-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 54

toestemming vragen van de betrokkene voor de registratie van zijn toestemming, zijn bezwaren en zijn voorkeuren. IAB Europe trekt daaruit het besluit dat de Bestreden Beslissing niet kan oordelen dat geen toestemming is verkregen. Ten slotte acht IAB Europe de belangenafweging met betrekking tot het (gebrek aan een) gerechtvaardigd belang in de zin van artikel 6, eerste punt, onder f, AVG (randnummers 421-423 van de Bestreden Beslissing) verkeerd.

De GBA argumenteert dat IAB Europe in haar hoedanigheid van verwerkingsverantwoordelijke een rechtsgrond nodig heeft voor de verwerking van TC Strings door CMP's, doch een dergelijke rechtsgrond ontbreekt. IAB Europe heeft derhalve artikel 6 AVG geschonden.

Volgens de klagers schenden IAB Europe's verwerkingen van persoonsgegevens in het TCF het basisbeginsel inzake behoorlijke, rechtmatige en transparante verwerking. Zij heeft immers geen enkele rechtsgrond voor de verwerking, heeft de persoonsgegevens bekomen op een misleidende wijze, en verschaft noch de klagers noch enige andere betrokkenen de wettelijk vereiste informatie over de verwerkingen van persoonsgegevens die zij verricht (schending van de artikelen 5, 6, 12, 13 en 14 AVG).

# **Oordeel van het Marktenhof**

82.

Artikel 5, punt 1, onder a, AVG bepaalt dat alle verwerkingen van persoonsgegevens verwerkt moeten worden op "een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is".

Het "rechtmatig" karakter van een verwerking betekent in essentie dat die moet voldoen aan alle wettelijke vereisten, in het bijzonder aan het hebben van een rechtsgrond.

Aangezien IAB Europe geen enkele informatie verschaft over de verwerkingen van persoonsgegevens aan betrokkenen, hebben betrokkenen er het raden naar welke in artikel 6 AVG bepaalde rechtsgrond IAB Europe zou inroepen voor haar verwerkingen van persoonsgegevens in het TCF.

Voor de verwerkingen van de TC String in het TCF kan zij zich echter op geen enkele rechtsgrond uit artikel 6 AVG beroepen. Bovendien stelt de Geschillenkamer terecht dat IAB Europe niet louter kan volstaan door te verwijzen naar latere kennisgevingen die eventueel zouden worden verricht aan betrokkenen door Publishers of uitgevers.

83.

IAB Europe kan zich niet beroepen op de toestemming van klagers en andere betrokkenen (artikel 6, punt 1, onder a, AVG), aangezien ze die nooit heeft gevraagd, laat staan bekomen. Ook nergens in de TCF Policies, Technical Specifications of Algemene Voorwaarden wordt een mechanisme

PAGE 01-00004384135-0054-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 55

aangehaald waarbij IAB Europe aan betrokkenen toestemming zou vragen om een uniek-identificerende tekenreeks te genereren die hun privacyvoorkeuren deelt met een zeer groot aantal ontvangers. Dit gebrek aan toestemming is nog flagranter wanneer die betrokkenen in een CMP aangeven geen persoonsgegevens met iemand te willen delen.

De Geschillenkamer mocht dan ook terecht vaststellen in de Bestreden Beslissing dat IAB Europe nergens toestemming bekomt voor het verwerken van de persoonsgegevens in het TCF, met in het bijzonder de TC String (randnummer 407 van de Bestreden Beslissing).

84.

IAB Europe kan zich ook niet beroepen op de noodzakelijkheid van de verwerkingen van de TC String binnen het TCF voor het uitvoeren van een overeenkomst met de klagers en andere betrokkenen (artikel 6, punt 1, onder b, AVG), aangezien er helemaal geen sprake is van een overeenkomst tussen hen en IAB Europe. Dit stelde de Geschillenkamer dan ook correct vast in de Bestreden Beslissing (randnummer 408 van de Bestreden Beslissing).

85.

Zij kan zich evenmin beroepen op de noodzakelijkheid van de verwerkingen van de TC String binnen het TCF om te voldoen aan een wettelijke verplichting die op haar rust (artikel 6, punt 1, onder c, AVG), of om de vitale belangen van de klagers en andere betrokkenen te beschermen (artikel 6, punt 1, onder d, AVG), of ter vervulling van een taak van openbaar belang (artikel 6, punt 1, onder e, AVG), aangezien geen van deze rechtvaardigingsgronden ter zake aanwezig zijn.

86.

Zij kan zich tot slot ook niet beroepen op de noodzakelijkheid van de verwerkingen van de TC String binnen het TCF om haar gerechtvaardigde belangen, of die van een derde, te behartigen (artikel 6, punt 1, onder f, AVG). De Geschillenkamer deed immers in de Bestreden Beslissing de belangenafweging en kwam tot de terechte vaststelling dat de voorwaarden voor een toepassing van artikel 6, punt 1, onder f, AVG niet voldaan zijn. IAB Europe - op wie de bewijslast van een rechtmatige gegevensverwerking rust - heeft onvoldoende inzicht gegeven in de door haar gemaakte afwegingen en de daarbij relevante feitelijke gegevens. De conclusie is daarom dat niet vaststaat dat de verwerking van persoonsgegevens binnen het TCF noodzakelijk is voor een gerechtvaardigd belang van IAB Europe of van haar leden. IAB Europe erkent onvoldoende dat gebruikers recht hebben op en belang hebben bij de bescherming van hun persoonlijke levenssfeer en hun persoonsgegevens, en dat de verwerking van persoonsgegevens voor advertentiedoeleinden daar afbreuk aan kan doen. Verder moet zij als verwerkingsverantwoordelijke rekening houden met de redelijke verwachtingen van betrokkenen. Uit geen aan het Hof voorgelegd stuk is gebleken dat IAB Europe dat daadwerkelijk heeft gedaan.

87.

PAGE 01-00004384135-0055-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 56

De analyse in verband met het gebrek aan een rechtsgrond in de Bestreden Beslissing is niet onsamenhangend zoals IAB Europe aanvoert. Bovendien heeft de Geschillenkamer haar analyse niet in abstracto gemaakt maar wel degelijk concreet toegepast.

De Bestreden Beslissing is op het punt van het ontbreken van een rechtsgrond in hoofde van IAB Europe voor haar verwerkingen van persoonsgegevens in het TCF correct gemotiveerd.

De achtste grief van IAB Europe is dan ook ongegrond.

NEGENDE GRIEF IAB Europe : De Geschillenkamer besluit ten onrechte dat IAB Europe haar transparantieplicht schendt (§§465-473).

Negende verweermiddel GBA, deel zesde middel klagers.

# Samenvatting standpunten partijen

IAB Europe bestrijdt het oordeel van de Geschillenkamer in de Bestreden Beslissing volgens hetwelk zij de transparantieplicht in de artikelen 12, 13 en 14 AVG schendt. Ten eerste zou de Bestreden Beslissing de gebrekkige informatieverstrekking niet eigenhandig hebben onderzocht en vastgesteld. Ten tweede zou eventueel niet door IAB Europe verschafte informatie door de CMP’s en uitgevers kunnen en moeten worden aangevuld. Ten derde verzet IAB Europe zich tegen de bevinding dat het grote aantal ontvangende derde partijen het voor betrokkenen onmogelijk maakt om voldoende geïnformeerd toe te stemmen met de verwerking en dus het transparantiebeginsel schendt.

Volgens de GBA werd de gebrekkige informatieverschaffing overtuigend aangetoond door de klagers en steunt ze daarnaast op het technisch verslag van de Inspectiedienst.

Wat betreft de verplichting om de naleving van de transparantieplicht te waarborgen, rust deze op de verwerkingsverantwoordelijke, zijnde IAB Europe en deze kan niet worden afgewenteld op de CMP’s en uitgevers. De feitelijke beoordeling van de Geschillenkamer komt niet manifest onredelijk voor. Het is irrelevant of de toestemmingsvoorkeuren reeds in een TC String werden gecodeerd dan wel op een andere manier werden gecapteerd, gezien ook het beschikbaar maken van dergelijke persoonsgegevens volgens artikel 4 AVG kwalificeert als een verwerking en de betrokkene hierover dus moet worden ingelicht.

Waar de Bestreden Beslissing een schending vaststelt van de transparantieplicht, kan de rechtmatigheid van de Bestreden Beslissing niet worden aangetast indien de redenering onjuist zou zijn. De schending berust immers op meerdere vaststellingen, waarvan er door IAB Europe slechts één wordt betwist. Hoe dan ook geldt dat zelfs indien het TCF maar een minimumkader is, het dan nog in overeenstemming moet zijn met de AVG.

PAGE 01-00004384135-0056-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 57

Volgens de klagers heeft IAB Europe als verwerkingsverantwoordelijke haar transparantieplicht geschonden en steunt de Geschillenkamer zich voor deze conclusie terecht op een grondige analyse van IAB Europe’s eigen TCF-documentatie (bij voorbeeld randnummers 467-473 van de Bestreden Beslissing).

# Oordeel van het Marktenhof

88.

Het Marktenhof stelt vast dat de Bestreden Beslissing terecht de volgende vaststellingen doet aan de hand van de door IAB Europe zelf opgestelde stukken.

Noch op haar eigen website noch in andere bronnen legt IAB Europe betrokkenen zoals klagers of de GBA als toezichthoudende autoriteit uit :

1. dat IAB Europe (gezamenlijke) verwerkingsverantwoordelijke voor het TCF is en wat haar contactgegevens zijn;
2. wat de contactgegevens vanhaar functionaris voor gevevensbescherming zijn (die IAB Europe moet aanstellen, zoals ook de Inspectiedienst inhaar verslag vaststelde, gelet ophaar essentiele activiteit en rol binnen het TCF);
3. wat haar verwerkingsdoeleinden zijn en de rechtsgrond voor de verwerking (die zij in dit geval overigens helemaal Niet heeft, die hierboven);
4. welke categorieen van personsgeveens zich verwerkt (in het bijzonder de TC String);
5. wie allemaal de personsgegevens ontvangt (dit+zijn al minstens alle deelnemers aan het TCF die de TC String ontvangen);
6. of zich de intentie heeft de personsgegevens door te gehen aan ontvangers in derde landen ;
7. hoelang de personsgegevens bewaard blijven;
8. wat de rechten van de betrokkenen zijn;
9. dat de betrokkenen klacht kuren neerleggen bij de Gegevensbeschermingsautoriteit ;
10. dat de betrokkenen hun geveen toestemmingen wee kuren intrekken ;
11. wat de bron van de personsgegevens is.

89.

IAB Europe’s eigen privacy policy op haar website (stuk B.18 klagers) kan hier geenszins aan verhelpen. IAB Europe maakt immers duidelijk dat haar privacy policy op een slechts beperkt aantal betrokkenen van toepassing is :

“IAB Europe respects the privacy of the visitors on its websites (“Websites”) (“Users”), its registered members (“Members”) to which it provides services as further specified in the General Terms of Use (“Services”) and of Transparency & Consent Framework participants (“TCF Participants”). In this Privacy Policy, references to Members or TCF Participants mean both individual Members or TCF Participants and individuals who are employed by corporate

PAGE 01-00004384135-0057-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 58

Members or TCF Participants. This Privacy Policy is also addressed to individuals outside IAB Europe involved in the public debate concerning digital advertising, with whom IAB Europe may interact and whose personal data it processes (“Stakeholders”)."

Of in het Nederlands (geen officiële vertaling bekend) :

“IAB Europe respecteert de privacy van de bezoekers van haar websites (“Websites”) (“Gebruikers”), van haar geregistreerde leden (“Leden”) aan wie zij diensten verleent zoals verder gespecificeerd in de Algemene Gebruiksvoorwaarden (“Diensten”) en van deelnemers aan het Transparantie & Toestemmingsraamwerk (“TCF Deelnemers”). In deze Privacy Policy wordt met Leden of TCF Deelnemers zowel individuele Leden of TCF Deelnemers bedoeld als individuen die in dienst zijn van leden-ondernemingen of TCF Deelnemers. Dit Privacybeleid is ook gericht tot personen buiten IAB Europe die betrokken zijn bij het publieke debat over digitale reclame, met wie IAB Europe kan communiceren en wiens persoonsgegevens het verwerkt (“Stakeholders”).”

Geen enkele van de in dit citaat vermelde categorieën van betrokkenen heeft betrekking op betrokkenen wiens persoonsgegevens worden verwerkt in het TCF wanneer zij bepaalde voorkeuren kenbaar maken via een CMP en een TC String voor hen wordt gegenereerd. Deze privacy policy is bijgevolg niet relevant in deze zaak en kan niet worden meegenomen in de beoordeling of IAB Europe haar transparantieplicht is nagekomen.

IAB Europe schendt bijgevolg artikel 5, punt 1, onder a, artikel 12 en artikel 14 AVG, zoals de Geschillenkamer terecht mocht vaststellen in de Bestreden Beslissing.

90.

IAB Europe heeft de betrokkenen niet voorafgaandelijk aan de verwerkingen geïnformeerd. Zij kan zich tezelfdertijd niet beroepen op één van de in artikel 14, punt 5, AVG bepaalde uitzonderingen om deze informatie niét te moeten verschaffen, aangezien :

- de betrokkenen nog Niet over de informatie beschikken, aangezien de verwerkingen ten aanzien van hen tot nog toe zonder enige transparantie gebeuren (artikel 14, punt 5, onder a, AVG);
- het niet onmogelijk is noch onevenredig veel inspanningen vergt om deze informatie ter kennis te brengen aan betrokkenen, gelet op de invloed die IAB Europe uitoefent over de werking van het TCF (artikel 14, punt 5, onder b, AVG);
- het verkrijgen van deze gegevens niet bij wet voorgeschreven is (artikel 14, punt 5, onder c, AVG) en
- de persoonsgegevens niet vertrouwelijk moeten blijven uit hoofde van het beroepsgeheim (artikel 14, punt 5, onder d, AVG).

PAGE 01-00004384135-0058-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 59

De Bestreden Beslissing is op het punt van het ontbreken aan transparantie in hoofde van IAB Europe voor haar verwerkingen van persoonsgegevens in het TCF correct gemotiveerd.

De negende grief van IAB Europe is dan ook ongegrond.

TIENDE GRIEF IAB EUROPE : De Bestreden beslissing besluit ten onrechte dat [IAB Europe] haar verplichtingen betreffende veiligheid, integriteit en gegevensbescherming door ontwerp en standaardinstellingen geschonden heeft (§§477-494).

Tiende verweermiddel GBA, vijfde, zevende en achtste middel klagers.

# Samenvatting standpunten partijen

IAB Europe stelt dat zij niet onderworpen is aan de verantwoordingsplicht van artikel 24 AVG, noch aan de verplichting tot gegevensbescherming in artikel 25 AVG, omdat zij niet kwalificeert als verwerkingsverantwoordelijke. Zij meent evenmin verplicht te zijn om de naleving van het TCF door de eraan deelnemende organisaties af te dwingen, daar het louter om een privaatrechtelijke overeenkomst zou gaan en zij bovendien geen verwerkingsverantwoordelijke zou zijn. Ten slotte betwist IAB Europe eveneens dat zij enige verantwoordelijkheid zou dragen voor eventuele internationale doorgiften van gegevens, aangezien zulke doorgiften buiten het werkingsgebied van het TCF vallen.

In ondergeschikte orde argumenteert IAB Europe dat, zelfs indien zou worden aanvaard dat zij gezamenlijk verwerkingsverantwoordelijke is met uitgevers en vendors, de AVG haar niet verplicht om toezicht te houden op wat in dat geval mede-verwerkingsverantwoordelijken zijn. Daarnaast verwijt zij de Geschillenkamer geen bewijs te leveren van het feit dat de beveiliging van het TCF onvoldoende is en beweert zij wel in zogenaamde validering te voorzien.

De GBA argumenteert dat IAB Europe als verwerkingsverantwoordelijke onderworpen is aan de verplichtingen in artikel 24, punt 1 ; artikel 5, punt 1, onder f ; artikel 32 en Hoofdstuk V van de AVG en dat IAB Europe de beveiligingsverplichting heeft geschonden.

Ook volgens de klagers die de positie van de GBA ondersteunen heeft IAB Europe geen passend beschermingsmechanisme. Zo geeft IAB Europe niet aan hoe er dan wél voor gezorgd wordt dat CMP’s effectief niet samenwerken met Publishers die de gemaakte afspraken niet nakomen. Het enige wat zij beweert, is dat de “mechanismen voor naleving in het TCF van toepassing zouden zijn”. Hoe dit voor reële bescherming zou moeten zorgen, is voor klagers evenwel een raadsel. Geen van de mechanismen is immers gebaseerd op een reële, proactieve controle op de naleving van de TCF regels. Het is voor de klagers totaal onduidelijk hoe IAB Europe überhaupt de veiligheid zou kunnen waarborgen van de verwerkte TC String wanneer die met de duizenden ontvangende bedrijven gedeeld wordt.

# Oordeel van het Marktenhof

PAGE 01-00004384135-0059-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 60---

91.

Het Marktenhof verwijst naar hetgeen voorgaat en de terechte beoordeling door de Geschillenkamer in de Bestreden Beslissing van IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in het kader van TCF.

92.

Uitgangspunt is dat het voor de bescherming van de rechten en vrijheden van betrokkenen en de verantwoordelijkheid en aansprakelijkheid van verwerkingsverantwoordelijken noodzakelijk is dat de verantwoordelijkheden die de AVG vaststelt, op een duidelijke manier worden toegewezen (de onderlinge regeling die de gezamenlijke verantwoordelijken moeten vaststellen krachtens artikel 26 AVG en die *in casu* niet voorligt). De verdeling van verantwoordelijkheden is dus een zaak van de gezamenlijke verwerkingsverantwoordelijken zelf, waarbij rekening gehouden dient te worden met enerzijds de noodzaak tot volledige naleving van de AVG en anderzijds de ongewenste complexiteit (wat tot een inbreuk op de beginselen van rechtmatigheid en transparantie uit artikel 5, punt 1, AVG zou kunnen leiden).

Het Marktenhof heeft reeds hiervoor geoordeeld dat de afwezigheid van een onderlinge regeling of het bewijs ervan en het feit dat zowel IAB Europe als de partijen die samen met haar persoonsgegevens in het kader van het TCF verwerken allen grote of belangrijke persoonsgegevensverwerkers zijn (en dus geenszins kleine entiteiten die nauwelijks invloed hebben op verwerkingen), in dit specifieke geval **gelijkwaardige convergerende verantwoordelijkheid** impliceert.

Dit wordt door de Geschillenkamer in de Bestreden Beslissing passend verwoord in randnummer 371 op de volgende wijze :

“Dientengevolge stelt de Geschillenkamer vast dat IAB Europe en de respectievelijke deelnemende organisaties als gezamenlijke verwerkingsverantwoordelijken dienen te worden beschouwd voor de verzameling en daaropvolgende verspreiding van de toestemming, bezwaren en voorkeuren van gebruikers, alsmede voor de hiermee gepaard gaande verwerking van hun persoonsgegevens, evenwel zonder dat de verantwoordelijkheid van deelnemende CMPs en adtech vendors zou afdoen aan de verantwoordelijkheid van IAB Europe.”

Zoals reeds *supra* geoordeeld, is IAB Europe wel degelijk aan te merken als (gezamenlijke) verantwoordelijke voor de verwerking van TC Strings in het kader van het TCF.

Bijgevolg rust op haar zowel een verantwoordingsplicht (artikel 24, punt 1, *juncto* artikel 5, punt 2, AVG) als een verplichting tot beveiliging (artikel 32 AVG *juncto* artikel 5, punt 1, onder f, AVG).

PAGE 01-00004384135-0060-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 61

93.

IAB Europe is ook verwerkingsverantwoordelijke ten aanzien van de TC Strings die door CMP’s buiten de EER zouden worden doorgegeven. Op dit punt werpt IAB Europe op dat het TCF uitdrukkelijk niet ontwikkeld is voor internationale doorgiften door uitgevers, *vendors* en CMP’s. Dat is onder de AVG echter geen relevant criterium. IAB Europe is aangemerkt als verantwoordelijk voor de verwerking van TC Strings in het kader van het TCF omdat zij de doeleinden en middelen van de verwerking van de in de TC Strings opgenomen persoonsgegevens blijkt vast te stellen. Als verwerkingsverantwoordelijke is zij, net als de verwerker(s), krachtens artikel 44 AVG verplicht om de voorwaarden in Hoofdstuk V van de AVG na te leven alvorens deze persoonsgegevens worden doorgegeven aan een derde land.

94.

IAB Europe houdt verder voor dat het TCF zelf van contractuele aard is. Maar dit contractueel karakter belet in het geheel niet dat IAB Europe overeenkomstig artikel 24, punt 1, AVG “*passende technische en organisatorische maatregelen [moet treffen] om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met [de AVG] wordt uitgevoerd*”. Het spreekt voor zich dat indien het bestaan van een overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken zou volstaan om aan deze verplichting te ontsnappen, artikel 24, punt 1, AVG elk nuttig effect zou worden ontnomen.

De Bestreden Beslissing levert wel degelijk bewijs aan van het feit dat een beveiliging ontbreekt. Zij staaft dit met verwijzing naar een recente academische bijdrage waarvan IAB Europe stelt dat één van de klagers eraan meewerkte$^{16}$ en leidt dit verder af uit het feit dat de TCF Policy de mogelijkheid van vervalsing of wijziging van de TC Strings wel degelijk aanhaalt maar slechts stipuleert dat dergelijke manipulatie niet is toegelaten. Bijgevolg kwam het aan IAB Europe toe om voor de Geschillenkamer of het Marktenhof enig dienstig stuk aan te dragen dat het tegendeel aannemelijk kan maken, *quod non*.

IAB Europe beweert wel degelijk te voorzien in een zogenaamde validering, doch het betreft een eenmalige, voorafgaande validering van de software die CMP’s gebruiken om de TC Strings te genereren. Deze validering vermijdt in de eerste plaats dat CMP’s onleesbare, onjuiste of niet-TCF-conforme TC Strings genereren.

De Bestreden Beslissing daarentegen wijst terecht op het gebrek aan validering van individuele TC Strings. Alleen een dergelijke validering kan vermijden dat *vendors* de toestemming van gebruikers (kunnen) vervalsen.

$^{16}$ C. SANTOS, M. NOUWENS, M. TOTH, N. BIELOVA, V. ROCA, “Consent Management Platforms Under the AVG: Processors and/or Controllers?”, in *Privacy Technologies and Policy*, APF 2021, LNCS, vol 12703, Springer, 2021. Het Marktenhof is van oordeel dat een eventuele bijdrage van een klager de neutraliteit of kwaliteit van een academische bijdrage niet ondermijnt.

PAGE 01-00004384135-0061-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 62

De Bestreden Beslissing is op het punt van schendingen van verplichtingen betreffende veiligheid, integriteit en gegevensbescherming door ontwerp en standaardinstellingen in hoofde van IAB Europe voor haar verwerkingen van persoonsgegevens in het TCF correct gemotiveerd.

De tiende grief van IAB Europe is dan ook ongegrond.

ELFDE, TWAALFDE, DERTIENDE en VEERTIENDE GRIEF IAB Europe : [IAB Europe] hoeft geen gegevensbeschermingseffectbeoordeling te verrichten (§§ 511-516 van de Bestreden Beslissing), [IAB Europe] hoeft geen functionaris voor gegevensbescherming aan te wijzen (§§ 517-524), [IAB Europe] heeft geen wettelijke verplichting om de uitoefening van de rechten van de betrokkenen te faciliteren (§§ 504-506) en [IAB Europe] is niet verplicht een register van verwerkingsactiviteiten te hebben en dit is in elk geval niet onvolledig (§§ 507-510).

Elfde verweermiddel GBA.

# Samenvatting standpunten partijen

Met haar elfde tot en met veertiende grief bestrijdt IAB Europe dat zij krachtens artikel 35 AVG een gegevensbeschermingseffectbeoordeling moet verrichten, krachtens artikel 37 AVG een functionaris voor gegevensbescherming moet aanwijzen, krachtens artikel 30 AVG een register van verwerkingsactiviteiten moet bijhouden, en krachtens de artikelen 15-22 AVG de uitoefening van de rechten van betrokkenen moet faciliteren.

Volgens de GBA is het pertinent onjuist dat IAB Europe slechts persoonsgegevens van haar personeel en van sollicitanten, leden en leveranciers zou verwerken. Ook stelt zij dat het om als verwerkingsverantwoordelijke te kwalificeren geenszins vereist dat een persoon toegang heeft tot de betrokken persoonsgegevens. De artikelen 30, 35 en 37 AVG stellen dit volgens haar evenmin als voorwaarde voor de verplichting om een gegevensbeschermingseffectbeoordeling te verrichten of een functionaris aan te stellen. Zonder het TCF zou, volgens de GBA, de verwerking van persoonsgegevens in het kader van RTB eenvoudigweg verboden zijn, aangezien voor deze (razendsnelle) verwerkingen geen toestemming kan worden verkregen noch aangetoond. Alleen al om die reden is het - zo argumenteert de GBA - 'onheus' om te beweren dat het TCF internetgebruikers beschermt, eerder dan blootstelt aan de massale uitwisseling van hun persoonsgegevens.

De klagers onderschrijven de positie van de GBA.

# Oordeel van het Marktenhof

Over de verplichting om een gegevensbeschermingseffectbeoordeling te verrichten (art. 35 AVG).

95.

PAGE 01-00004384135-0062-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 63

Het Marktenhof kan na nazicht van de Bestreden Beslissing en de aan haar voorgelegde stukken (waaronder de verslagen van de inspectiedienst, stuk A133 dossier GBA) het argument van IAB Europe niet volgen, dat zij in aanmerking kan komen voor de uitzonderingen op de verplichting om een register van verwerkingsactiviteiten bij te houden, waarin is voorzien in Artikel 30, punt 5, AVG. Omdat het register van verwerkingsactiviteiten van IAB Europe geen verwerkingen bevat met betrekking tot het TCF, behoudens het beheer van de leden alsmede de administratie van het TCF, hoewel IAB Europe zich als Managing Organisation of beheersorganisatie toegang kan verschaffen tot de records of consent (zoals hiervoor werd uiteengezet), stelt de Geschillenkamer in de Bestreden Beslissing terecht een inbreuk vast op artikel 30 AVG. Dit werd al veel eerder terecht door de Inspectiedienst als volgt verwoord :

"De Inspectiedienst is van oordeel dat het niet meedelen door IAB Europe van haar register van verwerkingsactiviteiten na haar verzoek van 04/06/2019 (stuk nr. 18 van het dossier DOS-2019-01377) in strijd is met de bepalingen van artikel 30, lid 4, van de AVG. Bovendien is het standpunt van IAB Europe dat zij geen overzichten van verwerkingsactiviteiten hoeft bij te houden, in strijd met artikel 30, lid 5, van de AVG en met het standpunt van de ECGB."

96.

Gelet op het grote aantal betrokkenen die in aanraking (kunnen) komen met websites en applicaties die het TCF implementeren, alsook organisaties die aan het TCF deelnemen, enerzijds, en de impact van het TCF op de grootschalige verwerkingen van persoonsgegevens in het OpenRTB-protocol, anderzijds, stelt de Geschillenkamer terecht vast in de Bestreden Beslissing dat IAB Europe onterecht heeft nagelaten een uitgebreide gegevensbeschermingseffectbeoordeling uit te voeren met betrekking tot de verwerking van persoonsgegevens binnen het TCF.

Over de verplichting een functionaris voor gegevensbescherming aan te wijzen (art. 37 AVG).

97.

Omwille van de grootschalige, regelmatige en stelselmatige observatie van identificeerbare gebruikers die het TCF met zich meebrengt, en gelet op de rol van IAB Europe, als Managing Organisation, oordeelt de Geschillenkamer terecht in de Bestreden Beslissing dat IAB Europe een functionaris voor gegevensbescherming (DPO) had moeten aanstellen. Doordat IAB Europe naliet dit te doen, maakte zij inbreuk op artikel 37 AVG. Dit werd ook al gemotiveerd in het verslag van de Inspectiedienst (stuk A133 dossier GBA) :

"De Inspectie stelt vast dat IAB Europe de verplichtingen van artikel 24, lid 1 van de AVG niet is nagekomen. De redenen voor deze vaststelling zijn de volgende: In haar antwoorden aan de inspectiedienst van 26/06/2019 (stuk nr. 22) en 20/08/2019 (stuk nr. 29) vermeldt IAB Europe dat "IAB Europe een beroepsvereniging is met als belangrijkste activiteiten het verstrekken van informatie en hulpmiddelen aan belanghebbenden (in het bijzonder bedrijven) die actief zijn in de digitale reclamesector, alsook het verstrekken van informatie

PAGE 01-00004384135-0063-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 64

aan het grote publiek om hun kennis te verbeteren en hen te informeren over de waarde die digitale reclame voor de markt heeft. Aangezien IAB Europe de voorwaarden niet vervuld als bedoeld in artikel 37, §1, b), van de AVG, heeft hij geen functionaris voor gegevensbescherming aangesteld."

Volgens de Inspectiedienst wordt de hierboven uiteengezette benadering van IAB Europe niet door de feiten gestaafd. Aan de voorwaarden van artikel 37, lid 1, b), van de AVG is voldaan, aangezien IAB Europe het TCF ontwikkelt en beheert in haar hoedanigheid van " Managing Organization " (beherende organisatie) (stukken 32 en 38 van dossier DOS-2019-01377) en op grond van pagina 7 van de voorwaarden voor het IAB Europe Transparency & Consent Framework (transparantie- en toestemmingskader van IAB Europe) ("Terms and Conditions) ("Algemene voorwaarden") (stuk 33 van dossier DOS-2019-01377) een recht op toegang heeft en alle informatie op te slaan en te verwerken die wordt verstrekt door de organisaties die aan dit ecosysteem deelnemen, zoals vermeld in haar "Privacy Policy" (Privacybeleid)."

In zoverre de Bestreden Beslissing oordeelt betreffende de schending in hoofde van IAB Europe van de verplichtingen inzake de gegevensbeschermingseffectbeoordeling, inzake de aanstelling van een functionaris voor gegevensbescherming en in zake het bijhouden van een register van verwerkingsactiviteiten, voor wat betreft haar verwerkingen van persoonsgegevens in het TCF, is ze correct gemotiveerd.

98.

Dit is ook het geval voor de volgende passage in de Bestreden Beslissing die handelt over de vermeende inbreuken inzake de rechten van betrokkenen (artikelen 15 tot en met 22 AVG) :

"504. Allereerst merkt de Inspectiedienst in zijn verslag op dat bepaalde klagers hebben aangevoerd dat het voor de betrokkenen onmogelijk is hun rechten uit te oefenen, hoewel het door de Inspectiedienst verrichte onderzoek deze inbreuken niet aan het licht heeft gebracht. Bij gebreke van bewijs van een inbreuk beperkt de Geschillenkamer haar motivering tot algemene opmerkingen met betrekking tot de uitoefening van de rechten van betrokkenen.

505. Ten tweede verwijst de Geschillenkamer naar de reikwijdte van de schriftelijke opmerkingen van de klagers, waarin zij hun grieven specifiek hebben beperkt tot de verwerking van de persoonsgegevens van de klagers door de verweerster in het specifieke kader van het TCF. Bijgevolg zal de Geschillenkamer niet oordelen over de omstandigheden waarin betrokkenen hun rechten met betrekking tot de verwerking van persoonsgegevens in de 'bid requests' kunnen uitoefenen ten aanzien van de adtech vendors, aangezien deze verwerking volledig plaatsvindt overeenkomstig het OpenRTB-protocol.

506. Wat de huidige versie van het TCF betreft, oordeelt de Geschillenkamer echter dat het TCF de uitoefening van de rechten van de betrokkenen niet lijkt te vergemakkelijken, in die zin dat de gebruikers de CMP-interface niet gemakkelijk en te allen tijde kunnen opvragen, zodat

PAGE 01-00004384135-0064-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 65

ze hun voorkeuren kunnen wijzigen en de identiteit kunnen opvragen van de adtech vendors met wie hun persoonsgegevens zijn gedeeld door middel van een 'bid request', in overeenstemming met het OpenRTB-protocol. In dit verband onderstreept de Geschillenkamer het belang van een goede uitvoering en handhaving van de interface-eisen die in de TCF Policies zijn vastgelegd, zodat de betrokkenen hun rechten ten aanzien van elk van de gezamenlijke verwerkingsverantwoordelijken effectief kunnen uitoefenen, en merkt zij op dat de gedeelde verantwoordelijkheid hiervoor in de eerste plaats bij de CMP's en de uitgevers ligt. Op grond van het bovenstaande is de Geschillenkamer niet in staat een inbreuk vast te stellen op de artikelen 15-22 AVG."

De 11de, 12de, 13de en 14de grief van IAB Europe zijn dan ook ongegrond.

# DE BEVELEN EN DE BOETE IN DE BESTREDEN BESLISSING

99.

IAB Europe ontwikkelt in haar conclusie geen aparte grief betreffende de haar opgelegde bevelen en de administratieve geldboete.

100.

In randnummer 353 van haar conclusies stelt IAB Europe :

"353. Vernietiging van de boete – Daarnaast dient te worden benadrukt dat er bij de berekening van de boete in de Bestreden Beslissing, geen onderscheid wordt gemaakt tussen de verschillende beweerde inbreuken van de AVG en hun impact op de hoogte van de boete voor [IAB Europe]. Nochtans blijkt duidelijk uit het HvJEU Arrest dat zelfs de Bestreden Beslissing als dusdanig onvoldoende rechtvaardiging bevat voor een enorm deel van de beweerde inbreuken. Zoals eerder aangegeven, zijn vijf van de zes overtredingen in de Bestreden Beslissing gebaseerd op de vermeende verwerkingsverantwoordelijkheid van [IAB Europe] voor latere verwerkingen. Uit het arrest van het HvJEU Arrest blijkt echter dat er geen sprake is van enige verwerkingsverantwoordelijkheid in hoofde van [IAB Europe] voor latere verwerkingen door derden. Dit betekent dat minstens 80% van de Bestreden Beslissing gebaseerd is op een onjuiste beoordeling van de feitelijke en juridische gegevens van de zaak.

Dit volstaat al als omstandigheid om de boete fors te verminderen (mocht een boete gerechtvaardigd zijn – quod non, zoals hieronder verder uitgelegd).

Bovendien kan een administratieve boete, overeenkomstig de rechtspraak van het Hof van Justitie, slechts worden opgelegd "indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid een in de leden 4 tot en met 6 van dat artikel [83 AVG] bedoelde inbreuk heeft begaan".

PAGE 01-00004384135-0065-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 66

In casu werd en kan er aan [IAB Europe] zeker geen opzettelijk onrechtmatig gedrag worden verweten. Zelfs in de Bestreden Beslissing werd nalatigheid enkel beweerd maar niet aangetoond en dan nog enkel voor wat betreft de integriteit van de TC String (§547 Bestreden Beslissing). In het licht van de bovenvermelde rechtsspraak kan maar een boete opgelegd worden naar maat van de vastgestelde nalatigheid. In de praktijk heeft [IAB Europe] al het nodige ondernomen binnen de grenzen van haar rol – als niet-verwerkingsverantwoordelijke – om conformiteit met de AVG door TCF-deelnemers te bevorderen.

Het gebrek aan nalatigheid (en opzettelijke onrechtmatig gedrag) is des te meer duidelijk aangezien fundamentele vragen aan het HvJEU werden gesteld waarvan heel het geschil afhangt, nog wel voor het eerst door de Geschillenkamer zelf aan Uw Hof voorgesteld. Het stellen van vragen aan het HvJEU toont duidelijk aan dat een bepaalde juridische vraagstelling pertinent is en dat er (nog) geen uniek en manifest duidelijk antwoord is.

Bijgevolg was het opleggen van een administratieve geldboete niet gerechtvaardigd.”

De GBA en de klagers gaan in hun conclusies niet meer in op het bevel en de opgelegde administratieve geldboete.

# Oordeel van het Marktenhof

101.

Artikel 58, punt 2, AVG voorziet in de bevoegdheid voor toezichthoudende autoriteiten om één of meerdere corrigerende maatregelen te nemen ten aanzien van verwerkingsverantwoordelijken of verwerkers.

Krachtens artikel 58, punt 2, onder i, AVG kan een toezichthoudende autoriteit, naargelang de omstandigheden van elke zaak, naast of in plaats van de voornoemde corrigerende maatregelen tevens een administratieve geldboete opleggen.

102.

Dienaangaande vereist artikel 83, punt 1, AVG dat een door een autoriteit opgelegde administratieve geldboete in elke zaak doeltreffend, evenredig en afschrikkend moet zijn. Artikel 83, punt 2, AVG bevat een aantal criteria waarmee in een concreet geval naar behoren moet worden rekening gehouden. Een door de GBA op te leggen sanctie in de vorm van een administratieve geldboete moet afdoende worden gemotiveerd, waarbij de omvang van deze sanctie enerzijds in overeenstemming moet zijn met de omstandigheden en anderzijds evenredig moet zijn aan de vastgestelde inbreuk en aan de draagkracht van de inbreuk plegende partij.

103.

PAGE 01-00004384135-0066-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 67

Een geldboete met een strafrechtelijk karakter moet door de rechter kunnen worden getoetst met volle rechtsmacht.¹⁷

Om uit te maken of een sanctie al dan niet strafrechtelijk van aard is in de zin van artikel 6 EVRM, past het Hof de zogenaamde Engel¹⁸-criteria toe.

Er zijn drie Engel-criteria :

de kwalificatie van de sanctie in het internrecht van de betrokken staat;
de natureur van de inbreuk waarvoord de sanctie dreigt te worden opgelegd;
de aard en zwaarte van de maximum sanctie die de betrokkene riskeert.

De drie criteria zijn niet cumulatief. Zelfs indien een sanctie op grond van het intern recht niet de kwalificatie van strafsanctie heeft, kan ze vooralsnog op grond van het tweede of derde criterium een strafrechtelijk karakter hebben.¹⁹

Opdat een administratieve boete een preventief en bestraffend doel zou hebben, is vereist dat ze in wezen een handelen of nalaten wenst te voorkomen en te bestraffen dat door de wetgever als onwettig wordt beschouwd en dat de geldboete aldus leed toebrengt aan de dader van dat handelen of nalaten.²⁰

104.

Wanneer het Marktenhof gevraagd wordt om een administratieve geldboete te toetsen die een repressief karakter heeft in de zin van artikel 6 EVRM, mag het de wettigheid van die sanctie onderzoeken en in het bijzonder nagaan of die sanctie verzoenbaar is met de dwingende eisen van internationale verdragen en van het interne recht, met inbegrip van de algemene rechtsbeginselen.

Dit toetsingsrecht moet in het bijzonder aan het Hof toelaten na te gaan of de straf niet onevenredig is met de inbreuk, zodat het mag onderzoeken of naar redelijkheid kon worden overgegaan tot het opleggen van een geldboete van zodanige omvang.

Dit toetsingsrecht houdt niet in dat het Marktenhof op grond van een subjectieve appreciatie van wat het redelijk acht, om loutere redenen van opportuniteit en tegen wettelijke regels in, een geldboete kan kwijtschelden of verminderen.²¹

¹⁷ EHRM 4 maart 2004, Silvester's Horeca Service t. België, nr. 47650/99, RO 27 en EHRM 4 maart 2014, Grande Stevens t. Italië, nr. 18640/10, RO 139.

¹⁸ Genaamd naar het arrest van het EHRM 6 juni 1976, Engel t. Nederland.

¹⁹ Zie Cass. 23 september 2022, concl. J. Van der Fraenen, www.juportal.be.

²⁰ Zie Cass. 2 juni 2023, F.22.0005.N, concl. S. Ravyse, www.juportal.be.

²¹ Zie Cass. 17 juni 2024, C.23.0144.N, www.juportal.be.

PAGE 01-00004384135-0067-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 68

105.

Het hof is van oordeel dat de door de GBA opgelegde boete van 250.000,00 EUR, gelet op de hoogte ervan, strafrechtelijk van aard is in de zin van artikel 6, punt 1, EVRM.

106.

De Geschillenkamer van de GBA heeft op 11 oktober 2021 (stuk A179 dossier GBA) haar intentie om een administratieve geldboete op te leggen duidelijk gemaakt aan IAB Europe en heeft deze laatste daarbij - conform indicaties van het Marktenhof - gevraagd haar reactie dienaangaande over te maken. IAB Europe heeft derhalve de kans gehad zich omtrent de geldboete specifiek te verweren, hetgeen zij ook gedaan heeft (stuk A180 dossier GBA).

107.

Voor de bepaling van de geldboete heeft de GBA rekening gehouden met volgende omstandigheden (stuk A179 dossier GBA) :

- “IAB Europe is naar eigen zeggen een beroepsvereniging met als belangrijkste activiteiten het verstrekken van informatie en hulpmiddelen aan belanghebbenden (in het bijzonder bedrijven) die in de Europese Unie actief zijn in de digitale reclamesector alsook het verstrekken van informatie aan het grote publiek om hun kennis te verbeteren en hen te informeren over de waarde die digitale reclame voor de mark heeft. De verweerster heeft derhalve een toonaangevende rol ten aanzien van haar leden evenals ten aanzien van de bredere digitale marketing en advertentie sector in de Europese Unie.”
- “IAB Europe maakt deel uit van het IAB Global Network alsmede van het Interactive Advertising Bureau (IAB) consortium, gevestigd in New York.”
- “IAB Europe’s TCF beoogt in zijn huidige versie te worden toegepast in een toenemend aantal websites en toepassingen, waardoor steeds meer betrokkenen geconfronteerd zullen worden met het TCF en de hiermee gepaard gaande verwerkingen van hun persoonsgegevens.”

Ze hield ook rekening met de volgende criteria : a) aard van de inbreuk, b) ernst van de inbreuk, c) duur van de inbreuk en d) de nodige afschrikwekkende werking om verdere inbreuken te voorkomen.

108.

IAB Europe verwijt de GBA in essentie geen rekening te hebben gehouden met het gebrek aan nalatigheid (en opzettelijke onrechtmatig gedrag).

109.

Echter in de Bestreden Beslissing (randnummer 547) antwoordt de Geschillenkamer specifiek en op pertinente wijze op dit punt dat thans opnieuw wordt opgeworpen door IAB Europe voor het Marktenhof :

PAGE 01-00004384135-0068-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 69

“Artikel 83.2.b AVG vereist dat de Gegevensbeschermingsautoriteit rekening houdt met het opzettelijke of nalatige karakter van de inbreuk. Aangezien verweerster, in haar hoedanigheid van beheersorganisatie, zich bewust was van de risico’s die verbonden zijn aan de niet-naleving van het TCF, met name met betrekking tot de integriteit van de TC String en de ingekapselde keuzes en voorkeuren van de gebruikers, en gelet op de impact van de TC String op de daaropvolgende verwerkingen in het kader van de OpenRTB, oordeelt de Geschillenkamer dat IAB Europe nalatig is geweest bij het vaststellen van de maatregelen voor de tenuitvoerlegging van de huidige versie van het TCF.”

De Bestreden Beslissing is op dit punt correct gemotiveerd.

Na nazicht is het Hof van oordeel dat de Geschillenkamer van de GBA, gelet op het voorgaande, naar alle redelijkheid een boete van 250.000,00 EUR kon opleggen.

Conclusie is dat de Bestreden Beslissing weliswaar procedurele gebreken vertoont zoals uiteengezet in het Tussenarrest, maar dat de inhoudelijke grieven van IAB Europe tegen de Bestreden Beslissing ongegrond zijn behoudens in de mate dat de Bestreden Beslissing oordeelt dat IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader van het OpenRTB protocol. Het Marktenhof bevestigt eveneens de middels de Bestreden Beslissing aan IAB Europe opgelegde sancties die louter betrekking hebben op verwerkingen binnen het TCF. Het is niet nodig de zaak terug te verwijzen naar de Geschillenkamer en het is evenmin wettelijk vereist dat het Marktenhof overgaat tot een Europese consultatieprocedure.

#### AANGAANDE DE KOSTEN EN DE RECHTSPLEGINGSVERGOEDING

110.

De kosten van de procedure waaronder een rechtsplegingsvergoeding ten belope van 7.848,84 EUR (het betreft een verzoek tot vernietiging van een boete van 250.000,00 EUR) (conform de rechtspraak van het Hof van Cassatie - Cass. 23 januari 2023, C.22.0158.N en Cass. 16 januari 2023, C.21.0193.F - past het Marktenhof het tarief ambtshalve aan op dat van toepassing op het moment van de uitspraak) voor de GBA komen ten laste van IAB Europe, zijnde de grotendeels in het ongelijk gestelde partij.

IAB Europe staat ook in voor de rolrechten en de bijdrage Budgettair Fonds.

Aangezien de klagers in het voorliggende geding slechts tussenkomen als vrijwillig tussenkomende partijen (bewarende tussenkomst), kunnen zij niet tot een rechtsplegingsvergoeding worden veroordeeld en er evenmin één ontvangen.

PAGE 01-00004384135-0069-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 70

# OM DEZE REDENEN,
HET MARKTENHOF,

Beslissende bij arrest op tegenspraak,

De rechtspleging verliep in overeenstemming met de wet van 15 juni 1935 op het gebruik van de taal
in gerechtszaken,

Wijst het verzoek tot heropening van de debatten uitgaande van IAB Europe af.

Het tussenarrest verder uitwerkend,

Vernietigt de Bestreden Beslissing enkel omwille van de procedurele gebreken vastgesteld in het
tussenarrest en dus met name in zoverre de GBA, zonder meer, oordeelt dat TC Strings
persoonsgegevens zijn in de zin van artikel 4, punt 1, AVG en in zoverre de GBA zich, zonder meer, in
de Bestreden Beslissing als leidende toezichthoudende overheid benoemt.

Rechtdoende met volle rechtsmacht en na Prejudicieel Arrest,

Verklaart de inhoudelijke grieven van IAB Europe tegen de Bestreden Beslissing ongegrond behalve
in zoverre dat de Bestreden Beslissing oordeelt dat IAB Europe als (gezamenlijke)
verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader
van het OpenRTB protocol (een oordeel dat het Marktenhof niet onderschrijft).

Stelt vast dat IAB Europe inbreuken heeft begaan op de volgende bepalingen : artikel 5, punt 1,
onder a, AVG ; artikel 6 AVG ; artikel 12 AVG ; artikel 13 AVG ; artikel 14 AVG ; artikel 24 AVG ; artikel
25 AVG ; artikel 5, punt 1, onder f, AVG ; artikel 32 AVG ; artikel 30 AVG ; artikel 35 AVG ; artikel 37
AVG, en dit op de wijze zoals uiteengezet in randnummer 535 van de Bestreden Beslissing
behoudens in de mate dat de Bestreden Beslissing oordeelt dat IAB Europe als (gezamenlijke)
verwerkingsverantwoordelijke optreedt voor de verwerkingen die volledig plaatsvinden in het kader
van het OpenRTB protocol.

Bevestigt de middels de Bestreden Beslissing aan IAB Europe opgelegde sancties.

Veroordeelt IAB Europe tot de kosten van het geding, m.i.v. het geïndexeerde basisbedrag van de
rechtsplegingsvergoeding zijnde 7.848,84 EUR dat zij aan de GBA verschuldigd is.

PAGE 01-00004384135-0070-0071-02-02-4

Hof van beroep Brussel – 2022/AR/292 – p. 71

Veroordeelt IAB Europe overeenkomstig artikel 269² van het Wetboek der registratie-, hypotheek- en griffierechten tot betaling aan de Belgische Staat, de FOD FINANCIEN, van het rolrecht hoger beroep ten bedrage van 400,00 EUR, en tot het definitief ten laste nemen van de bijdrage Budgettair Fonds ten bedrage van 24,00 EUR.

Aldus gewezen en uitgesproken in openbare burgerlijke terechtzitting van de 19e kamer A van het hof van beroep te Brussel op 14 mei 2025,

waar aanwezig waren :

A-M. WITTERS,
C. VERBRUGGEN,
A. BOSSUYT,
S. DE COOMAN,

S. DE COOMAN

C. VERBRUGGEN

Raadsheer dd. Voorzitter,
Raadsheer,
Raadsheer,
Griffier,

A. BOSSUYT

PAGE 01-00004384135-0071-0071-02-02-4

IAB Europe'un GDPR İhlalleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni