Ga naar de hoofdinhoud
Praxikon

Uitspraak

IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke

Datum
Status
definitief
Instantie
Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
Kenmerk
C-604/22, ECLI:EU:C:2024:214

Waar het over gaat

Kernvraag: is de gecodeerde toestemmingsstring (TC String) uit het Transparency and Consent Framework voor online advertentieveilingen een persoonsgegeven, en is IAB Europe als opsteller van dat kader (gezamenlijk) verwerkingsverantwoordelijke? Oordeel: de TC String is een persoonsgegeven zodra hij met redelijke middelen aan een identificator zoals een IP-adres kan worden gekoppeld, ook als IAB Europe zelf geen toegang tot die koppeling heeft. IAB Europe is gezamenlijk verantwoordelijke voor het vastleggen en verspreiden van de voorkeuren, omdat het kader de doelen en middelen mede bepaalt; die verantwoordelijkheid strekt zich niet automatisch uit tot de latere verwerking door websites en adverteerders.

Wat dit betekent voor de praktijk

Wie een standaard, protocol of platform voor gegevensuitwisseling opzet en de regels daarvan bepaalt, kan gezamenlijk verantwoordelijke zijn zonder de gegevens zelf te zien. Dat vraagt om een regeling volgens artikel 26 met de deelnemers en om eigen verantwoording. Voor websites en adverteerders die het TCF gebruiken geldt dat toestemmingssignalen zelf persoonsgegevens zijn en dus onder alle beginselen van de AVG vallen, inclusief beveiliging en transparantie.

De AVG-artikelen waar het om gaat

Bron: EUR-Lex, arrest C-604/22gecontroleerd op 15 september 2026

Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.

Samenhang

Wat samenhangt met deze ontwikkeling

De tegenhanger in de andere wet

Rechtspraak

Richtsnoeren8 van 9

Handhaving en boetes

Wetgeving in beweging6 van 8