Beslissing ten gronde nr. 21/2022

Geschillenkamer Beslissing ten gronde 21/2022 van 2 februari 2022 Tegen deze beslissing is beroep aangetekend De beroepsprocedure is nog hangende; aan het Hof van Justitie zijn prejudiciële vragen gesteld (zaak C-604/22) Dossiernummer: DOS-2019-01377 Betreft : Klacht inzake Transparency & Consent Framework De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Yves Poullet en Frank De Smet; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna de WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De klagers: De heren Johnny Ryan; Pierre Dewitte en Jeff Ausloos en mevrouw Katarzyna Szymielewicz, die de ngo Panoptykon Foundation aanwees om namens haar op te treden, en de ngo’s Bits of Freedom en La Ligue des Droits de l’Homme, alle vertegenwoordigd door de heren Frederic Debusseré, Ruben Roex, alsmede de heer Bruno Bidon, hierna “de klagers”; 1 De verweerster: IAB Europe, met maatschappelijke zetel te [...] 1040 Brussel, met ondernemingsnummer [...], vertegenwoordigd door meesters Frank Judo en Kristof Van Quathem, hierna “de verweerster” 2 Inhoudstafel DOSSIERNUMMER: DOS-2019-01377 .......................................................................... 1 A. Feiten en procedure ....................................................................................................... 6 A.1. – Klachten tegen Interactive Advertising Bureau Europe............................ 6 A.2. – De taal van de procedure: Tussenbeslissing 01/2021, zoals gewijzigd bij Tussenbeslissing 26/2021 van 23 februari 2021 ................................................... 8 A.3. – RTB en TCF ............................................................................................................ 8 A.3.1. – Definities en werking van het Real-Time Bidding systeem ............... 8 A.3.2. – IAB Europe’s Transparency & Consent Framework ......................... 14 A.4. – Verslagen van de Inspectiedienst.................................................................. 18 A.4.1. – IAB Europe treedt als verwerkingsverantwoordelijke op voor het Transparency and Consent Framework en de hiermee gepaard gaande verwerkingen van persoonsgegevens ................................................................. 18 A.4.2. – Vastgestelde inbreuken op de AVG ....................................................... 18 A.4.3. – Bijkomende overwegingen die de Inspectiedienst relevant acht voor de beoordeling van de ernst van de feiten ................................................. 22 A.5. – Samenvatting van de conclusies van antwoord van de verweerster dd. 11 februari 2021 .............................................................................................................. 23 A.5.1. – IAB Europe is geen verwerkingsverantwoordelijke ten aanzien van de verwerkingen van persoonsgegevens in het kader van het TCF ............ 23 A.5.2. – Het TCF strookt met de AVG ................................................................... 25 A.5.3. – IAB Europe is niet onderhevig aan de verplichting om een register van verwerkingsactiviteiten bij te houden .......................................................... 27 A.5.4. – IAB Europe dient geen functionaris voor gegevensbescherming aan te stellen........................................................................................................................ 27 A.5.5. – IAB Europe bood wél haar medewerking aan de Inspectiedienst . 28 A.5.6. – Er zijn geen verzwarende omstandigheden ten nadele van IAB Europe ............................................................................................................................ 28 3 A.6. – Samenvatting van de conclusies van repliek van de klagers dd. 18 februari 2021 ................................................................................................................... 28 A.6.1. – IAB Europe is verwerkingsverantwoordelijke voor het TCF ........... 28 A.6.2. – De verwerkingen die in het TCF worden uitgevoerd schenden de AVG op verschillende niveaus .................................................................................30 A.7. – Samenvatting van de conclusie van dupliek van de verweerster dd. 25 maart 2021 ....................................................................................................................... 38 A.7.1. – Organisaties die persoonsgegevens verwerken binnen het RTBsysteem zijn verantwoordelijk voor de naleving van de AVG en de ePrivacyrichtlijn .......................................................................................................... 38 A.7.2. – IAB Europe kan niet verantwoordelijk worden gesteld voor de vermeende illegale praktijken van deelnemers aan het RTB, omdat het TCF volledig los staat van RTB ........................................................................................ 39 A.8. – Hoorzitting en heropening van de debatten ...............................................40 A.9. – Procedurele bezwaren door de verweerster .............................................. 46 A.9.1. – Schendingen van procedurele voorschriften die op het inspectieverslag van toepassing zijn en van de fundamentele rechten en vrijheden van IAB Europe ......................................................................................... 46 A.9.2. – Schendingen van de fundamentele rechten en vrijheden van IAB Europe met betrekking tot de algemene aard van de procedure voor de GBA .......................................................................................................................................... 52 A.10. – Sanctieformulier, Europese samenwerkingsprocedure en publicatie van de beslissing............................................................................................................. 64 B. Motivering ....................................................................................................................... 68 B.1. – Verwerking van persoonsgegevens in het kader van het Transparency and Consent Framework .............................................................................................. 68 B.1.1. – Aanwezigheid van persoonsgegevens binnen het TCF ..................... 68 B.1.2. – Verwerking van persoonsgegevens binnen het TCF ......................... 73 4 B.2. – Verantwoordelijkheid van IAB Europe voor de verwerkingen binnen het Transparency and Consent Framework .................................................................. 75 B.2.1. – Brede invulling van het begrip verwerkingsverantwoordelijke door het Hof van Justitie en de EDPB ............................................................................. 76 B.2.2. – Bepaling van de doeleinden van de verwerkingen van persoonsgegevens binnen het TCF ....................................................................... 78 B.2.3. – Bepaling van de middelen voor de verwerkingen van persoonsgegevens binnen het TCF ....................................................................... 82 B.3. – Gezamenlijke zeggenschap van de publishers, de CMPs en adtech vendors met betrekking tot de middelen en doeleinden van de verwerkingen van persoonsgegevens in het kader van het TCF en van het OpenRTB ......... 88 B.3.1. – Gezamenlijke verwerkingsverantwoordelijkheid ............................... 88 B.4. Over de vermeende inbreuken op de Algemene Verordening Gegevensbescherming ................................................................................................. 96 B.4.1. – Rechtmatigheid en behoorlijkheid van de verwerking (Art. 5.1.a en 6 AVG) ............................................................................................................................ 96 B.4.2. – Transparantieplicht ten aanzien van betrokkenen (art. 12, 13 en 14 AVG) .............................................................................................................................109 B.4.3. – Verantwoordingsplicht (art. 24 AVG), gegevensbescherming door ontwerp en standaardinstellingen (art. 25 AVG), integriteit en vertrouwelijkheid (art.5.1.f AVG), evenals beveiliging van de verwerking (art. 32 AVG) ............................................................................................................... 111 B.4.4. – Bijkomende vermeende inbreuken op de AVG ................................. 116 C. Sanctie............................................................................................................................ 123 C.1. – Omtrent de inbreuken ...................................................................................... 127 C.2. - Sancties ................................................................................................................130 5 A. Feiten en procedure A.1. – Klachten tegen Interactive Advertising Bureau Europe 1. In de loop van 2019 werd een reeks klachten ingediend tegen Interactive Advertising Bureau Europe (hierna IAB Europe), wegens schending van verschillende bepalingen van de AVG voor grootschalige verwerking van persoonsgegevens. De klachten betroffen met name de beginselen van rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimalisering, opslagbeperking en veiligheid, alsmede de verantwoordingsplicht. 2. Er werden negen identieke of sterk gelijkende klachten ingediend, waarvan vier rechtstreeks bij de Gegevensbeschermingsautoriteit (hierna “GBA”) en vijf via het IMIsysteem bij toezichthoudende autoriteiten in andere EU-landen. 3. De Inspectiedienst heeft ook uit eigen beweging onderzoek gedaan, overeenkomstig artikel 63, 6°, van de WOG. Omdat de klachten betrekking hebben op hetzelfde onderwerp en tegen dezelfde partij gericht zijn (IAB Europe), en op grond van de beginselen van evenredigheid en noodzakelijkheid bij de uitvoering van het onderzoek (artikel 64 van de WOG), zijn de bovengenoemde dossiers door de Inspectiedienst samengevoegd tot één zaak onder het dossiernummer DOS-2019-01377. 4. De klagers hebben ingestemd met deze samenvoeging, alsmede met het verzoek van de Geschillenkamer om hun conclusies te verenigen en als een gemeenschappelijk pakket in te dienen, met het oog op besparing en een efficiënt verloop van de procedure. 5. In deze internationale zaak zijn vier klagers, met inbegrip van de ngo Ligue des Droits Humains, in België gedomicilieerd, één in Ierland, vier in verschillende EU-staten, vertegenwoordigd door de in Polen gevestigde ngo Panoptykon, en één klager wordt vertegenwoordigd door de in Nederland gevestigde ngo Bits of Freedom. 6. Op grond van artikel 4, lid 1, van de WOG is de Gegevensbeschermingsautoriteit verantwoordelijk voor het toezicht op de gegevensbeschermingsbeginselen die zijn vervat in de AVG en in andere wetten die bepalingen bevatten over de bescherming van de verwerking van persoonsgegevens. 7. Krachtens artikel 32 van de WOG is de Geschillenkamer het administratief geschillenbeslechtingsorgaan van de GBA1. 8. Overeenkomstig de artikelen 51 e.v. AVG en artikel 4, § 1, van de WOG, is het de taak van de Geschillenkamer om als administratief geschillenorgaan van de GBA effectieve controle uit te oefenen op de toepassing van de AVG en om de fundamentele rechten en vrijheden van 1 De administratieve aard van de geschillen voor de Geschillenkamer is bevestigd door het Marktenhof. Zie in het bijzonder het arrest van 12 juni 2019, gepubliceerd op de website van de GBA, alsmede beslissing 17/2020 van de Geschillenkamer. 6 natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Europese Unie te vergemakkelijken. Deze taken zijn verder uitgelegd in het Strategisch Plan en de beheersplannen van de GBA, opgesteld ingevolge artikel 17, 2°, van de WOG. 9. Wat het éénloketmechanisme betreft, bepaalt artikel 56 AVG bovendien: “Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60.” 10. Artikel 4.23 AVG verduidelijkt het begrip grensoverschrijdende verwerking in de volgende bewoordingen: “

1. a)verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of
2. b)verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden;”. 11. De verweerster heeft haar enige zetel in België, maar haar activiteiten hebben aanzienlijke gevolgen voor de belanghebbenden in verschillende lidstaten, waaronder de klagers in Ierland, Polen en Nederland, alsook in België. De Geschillenkamer vestigt haar bevoegdheid op een gecombineerde lezing van de artikelen 56 en 4, punt 23, sub b, van de AVG. De GBA is door de Poolse, Nederlandse en Ierse autoriteiten voor gegevensbescherming gevat na een klacht van de klagers bij hen, overeenkomstig artikel 77.1 AVG. Zij verklaart dat zij de leidende toezichthoudende autoriteit is (artikel 60 AVG). 12. De volgende toezichthouders hebben aangegeven als betrokken toezichthoudende autoriteiten (CSA) te willen optreden: Nederland, Letland, Italië, Zweden, Slovenië, Noorwegen, Hongarije, Polen, Portugal, Denemarken, Frankrijk, Finland, Griekenland, Spanje, Luxemburg, Tsjechië, Oostenrijk, Kroatië, Cyprus en Duitsland (Berlijn, RijnlandPalts, Noordrijn-Westfalen, Saarland, Nedersaksen, Brandenburg, Mecklenburg-Voor- Pommeren, Beieren). 13. In de loop van de procedure hebben de Maltese, Roemeense, Kroatische, Griekse, Portugese, Zweedse, Cypriotische en Italiaanse gegevensbeschermingsautoriteit bijkomende klachten naar de Belgische gegevensbeschermingsautoriteit gestuurd die sterk leken op de klachten waarop de onderhavige zaak is gebaseerd. Deze klachten maken geen deel uit van de onderhavige procedure. 7 A.2. – De taal van de procedure: Tussenbeslissing 01/2021, zoals gewijzigd bij Tussenbeslissing 26/2021 van 23 februari 2021 14. Op 13 oktober 2020 heeft de Geschillenkamer de partijen overeenkomstig artikel 98 van de WOG een brief gezonden aan de partijen, waarin dezen werden geïnformeerd over de procestaal (Frans) en werden uitgenodigd om hun schriftelijke conclusies in te dienen. 15. In reactie op een verzoek van de klagers van 27 november 2020, en gelet op het internationale karakter van deze zaak, heeft de Geschillenkamer op 8 januari 2021 Tussenbeslissing 01/2021 genomen over het taalgebruik van het geding. Na een beroep ingesteld door klagers bij het Marktenhof is deze tussenbeslissing op 23 februari 2021 gewijzigd (Tussenbeslissing 26/2021). 16. Ingevolge laatstgenoemde tussenbeslissing, die gebaseerd is op een akkoord met de partijen, wordt de correspondentie van de GBA met de partijen in het Nederlands gevoerd en worden de voorlopige en eindbeslissingen van de Geschillenkamer genomen in het Nederlands. De Geschillenkamer zal evenwel een Franse en een Engelse vertaling van de eindbeslissing aan de partijen verstrekken. 17. Het staat de partijen bovendien vrij om in de procedure voor de Geschillenkamer de taal van hun keuze (Nederlands, Frans of Engels) te gebruiken, zowel schriftelijk als mondeling. In het geval van IAB Europe is dat Frans of Engels. De GBA is niet verantwoordelijk voor vertalingen van processtukken die door een partij ten behoeve van de andere partij worden ingediend. 18. Tot slot wijst de Geschillenkamer erop dat zij in de onderhavige beslissing soms Engelstalige terminologie gebruikt, in gevallen waarin vertaling naar het Nederlands de begrijpelijkheid van de beslissing zou verlagen. A.3. – RTB en TCF 19. In de kern betreft deze zaak enerzijds de overeenstemming van het Transparency & Consent Framework (hierna "TCF") met de AVG, en meer in het bijzonder de verantwoordelijkheid van IAB Europe, de verweerster in deze procedure, en andere verschillende betrokken actoren. Daarnaast gaat het ook over de gevolgen van het TCF voor het zogenaamde real-time bidding (RTB). Gelet op de complexiteit van het systeem, wordt dit hier geïntroduceerd. A.3.1. – Definities en werking van het Real-Time Bidding systeem 20. In tegenstelling tot ‘traditionele’ advertenties, waar de betrokken partijen handmatig en contractueel de modaliteiten van de informatie-uitwisseling bepalen, gebeurt online adverteren doorgaans hoofdzakelijk automatisch en achter de schermen, door middel van 8 “Programmatic advertising” methodes waarvan real-time bidding (RTB) het leidend systeem is2. 21. Real-time bidding wordt in de rechtsleer gedefinieerd als “een netwerk van partners dat big data toepassingen mogelijk maakt binnen het organisatorische veld van marketing om de verkoop van vooraf bepaalde advertentieruimte te verbeteren dankzij real-time datagestuurde marketing en gepersonaliseerde (gedragsgerichte) reclame”3. 22. Real-time bidding verwijst naar het gebruik van een ogenblikkelijke geautomatiseerde onlineveiling voor het verkopen en aankopen van online-advertentieruimte. Het houdt meer bepaald in dat, wanneer een persoon een website of toepassing opent waarop een advertentieruimte staat, er achter de schermen door middel van een automatisch onlineveilingsysteem (“auction”) en algoritmen, technologiebedrijven die duizenden adverteerders vertegenwoordigen ogenblikkelijk (“real time”) een prijs kunnen bieden (“bidding”) om op die advertentieruimte gerichte reclame (“targeted advertising”) te tonen die specifiek op maat is van het profiel van die persoon. 23. Real-time bidding werkt achter de schermen op de meeste commerciële websites en mobiele apps. Duizenden bedrijven zijn betrokken die informatie ontvangen over de persoon die de website bezoekt. Op die manier worden dus dagelijks miljarden advertenties geveild. 24. In een real-time bidding systeem zijn verschillende partijen betrokken4: A. De ondernemingen of organisaties die het betrokken real-time bidding systeem gecreëerd hebben en beheren, o.a. door het beleid (“policies”/”governance”) en de technische protocollen ervan te bepalen. De voornaamste zijn: a. het “OpenRTB”-systeem en het ermee verbonden “Advertising Common Object Model” (AdCOM), gecreëerd door IAB Technology Laboratory, Inc. (afgekort als “IAB Tech Lab”) en Interactive Advertising Bureau, Inc. (afgekort als “IAB”), beide gevestigd in New York; b. het “Authorized Buyers”-systeem, gecreëerd door Google. Het OpenRTB is een standaardprotocol dat tot doel heeft de onderlinge verbinding te vereenvoudigen tussen aanbieders van advertentieruimtes, uitgevers (Ad Exchanges of Exchanges, Sell-Side Platforms, of netwerken die met uitgevers werken), en met elkaar 2 M. VEALE, FR. ZUIDERVEEN BORGESIUS, “Adtech and Real-Time Bidding under European Data Protection Law”, German Law Journal, 31 July 2021, pp. 8-10. Vrije vertaling door Geschillenkamer. R. VAN EIJK, “Web Privacy Measurement in Real-Time Bidding Systems – A Graph-Based Approach to RTB system classification”, 2019, p. 140: “a network of partners enabling big data applications within the organizational field of marketing to improve sales by real-time data-driven marketing and personalized (behavioural) advertising”, raadpleegbaar op https://ssrn.com/abstract=3319284; 3 M. VEALE, FR. ZUIDERVEEN BORGESIUS, ibidem, p. 3. 4 Ibidem. 9 concurrerende kopers van advertentieruimtes (bieders, Demand-Side Platforms, of netwerken die met adverteerders werken). De algemene doelstelling van OpenRTB is het tot stand brengen van een gemeenschappelijke taal voor de communicatie tussen kopers en verkopers van advertentieruimtes5. B. Aan de “aanbodzijde” zijn er: a. Ondernemingen die eigenaar zijn van een website of app met advertentieruimte. In het RTB-jargon worden deze ondernemingen “publishers” (uitgevers) genoemd. b. Ondernemingen die een geautomatiseerd onlineplatform uitbaten waarmee publishers de waarde en het volume van hun advertentieruimteverkoop kunnen optimaliseren, door de beschikbaarheid van hun advertentieruimte te signaleren die aan een betrokkene kan worden getoond alsook te verzoeken dat er één of meer “bid requests” (online-veilingsverzoeken waarmee gebruikers kunnen worden geïdentificeerd en gedetailleerde profielen kunnen worden opgesteld) plaatsvinden voor die advertentieruimte. In het RTB-jargon worden deze ondernemingen “Sell-Side Platforms” (“SSPs”) genoemd. SSPs verstrekken de beschikbare inventaris van hun uitgevers aan de verschillende Ad Exchanges op de markt en eventueel aan advertentienetwerken en andere DSPs. De meest geavanceerde SSPs werken in real time. Van zodra een advertentieruimte wordt aangeroepen wanneer een pagina wordt bekeken op de site van een uitgever, zoekt het SSP naar het beste aanbod op dat type advertentieruimte in functie van het gedetecteerde bezoekersprofiel, en levert het automatisch de overeenkomstige advertentie6. C. Aan de “vraagzijde” zijn er: a. Ondernemingen die reclame voor hun producten of diensten gericht willen tonen aan bezoekers van websites en gebruikers van apps (de adverteerders). b. Ondernemingen die een onlineplatform uitbaten die adverteerders en mediaagentschappen in staat stelt hun aankopen van advertentieruimte uit te voeren en te optimaliseren, en waarin de advertenties van adverteerders aangeboden worden7. In het RTB-jargon worden deze ondernemingen “Demand-Side Platforms” (“DSPs”) genoemd. 5 Technisch analyseverslag van de Inspectiedienst, 6 januari 2020 (Stuk 53), p. 11. Technisch analyseverslag van de Inspectiedienst, 4 juni 2019 (Stuk 24), pp. 5-6. 7 Technisch analyseverslag van de Inspectiedienst, 4 juni 2019 (Stuk 24), p. 5. 6 10 D. Daartussen functioneren ondernemingen, de zogenaamde “Ad Exchanges”, die de organisaties aan de aanbod- en vraagzijde samenbrengen en automatisch met elkaar laten communiceren opdat de DSPs op geautomatiseerde wijze een bod kunnen uitbrengen op bid requests van SSPs. E. Daarnaast zijn er zogenaamde “Data Management Platforms” (“DMPs”) die enorme hoeveelheden en soorten persoonsgegevens halen uit meerdere bronnen (zoals uit toestellen, cookies, mobiele identificatoren, pixels, analyses van online surfgedrag, sociale media, offlinegegevens, maar ook uit derde partijen zoals data brokers, enz.), deze gegevens vervolgens centraliseren, en die tenslotte analyseren en categoriseren door middel van algoritmes en artificiële intelligentie. Door gebruik te maken van een DMP kan een adverteerder gegevens die hij zelf over (potentiële) klanten heeft, verrijken en combineren met gegevens die hij uit een centraal DMP kan halen. Eén van de belangrijkste functies van een DMP is dus het maken van gedetailleerde consumentenprofielen door middel van dataverrijking, teneinde de doelgerichtheid en doeltreffendheid van marketing- en reclamecampagnes te optimaliseren en met het oog op een gepersonaliseerd aanbod op websites en in toepassingen8. 25. Nadat een adverteerder via een DMP gedetailleerde consumentenprofielen opgesteld heeft, biedt hij via zijn DSP op bid requests van publishers/SSPs die advertentieruimte aanbieden die aan die consumentenprofielen beantwoorden. 26. In RTB-jargon worden SSPs, DSPs, Ad Exchanges, adverteerders en DMPs tezamen “Vendors” genoemd. 27. Schematisch kan dit worden voorgesteld als volgt9: 8 Technisch analyseverslag van de Inspectiedienst, 6 januari 2020 (Stuk 53), p. 7. M. VEALE, FR. ZUIDERVEEN BORGESIUS, “Adtech and Real-Time Bidding under European Data Protection Law”, German Law Journal, 31 July 2021, p. 9. 9 11 28. Dit kan ook als volgt gerepresenteerd worden10: 29. De inhoud van een bid request, dat de gegevens bevat over onlinegebruikers, hun toestel en de bezochte websites, is vastgelegd door het OpenRTB-systeem of het Authorized Buyers-protocol (‘AdBuyers’). Doorgaans kunnen de volgende categorieën van persoonsgegevens in een bid request medegedeeld worden aan vendors11 : ▪ URL van de bezochte site ▪ Categorie of onderwerp van de site ▪ Besturingssysteem van het apparaat ▪ Browsersoftware en versie ▪ Fabrikant en model van het apparaat ▪ Mobiele provider ▪ Schermafmetingen ▪ Unieke gebruikersidentificatie ingesteld door verkoper en/of koper. ▪ Unieke persoonsidentificatie van de Ad Exchange (advertentiebeurs), vaak afkomstig uit de ▪ De gebruikersidentificatie van een DSP, vaak afkomstig uit de cookie van de Ad Exchange die gesynchroniseerd is met een cookie van het domein van het DSP. 10 11 ▪ Geboortejaar ▪ Geslacht ▪ Interesses ▪ Metadata die rapporteren over verleende toestemming ▪ Geografie ▪ Lengtegraad en breedtegraad ▪ Postcode Technisch analyseverslag van de Inspectiedienst, 4 juni 2019, (Stuk 24), p. 6. Ibidem, p. 10. 12 30. Het lijdt dan ook geen twijfel dat de AVG ratione materiae van toepassing is op het RTBsysteem, waarvan het OpenRTB-protocol en in zekere zin ook het hieronder besproken Transparency & Consent Framework (TCF) essentiële onderdelen zijn, aangezien RTBverrichtingen door middel van bid requests inherent de verwerking van persoonsgegevens met zich meebrengen. 31. De verschillende stappen en wisselwerkingen tussen de SSPs, DSPs en DMPs die plaatsvinden in het RTB-systeem kunnen als volgt opgesomd worden12: i. Een eindgebruiker vraagt een webpagina op; ii. De advertentieserver van de uitgever (‘publisher’) op de webpagina kiest een SSP; iii. De SSP selecteert vervolgens een Ad Exchange; iv. De Ad Exchange verzendt bid requests naar honderden netwerkpartners en biedt hun de mogelijkheid om een bid response te genereren; v. De Ad Exchange laat bevoorrechte DMPs en/of DSPs toe om http-cookies te synchroniseren; vi. De Ad Exchange plaatst het winnend bod; vii. De DSP serveert de advertentie van de adverteerder; viii. De advertentie wordt geladen van op een CDN (Content Delivery Network, of netwerkaanbieder); ix. De advertentieserver van de adverteerder laadt een Javascript ter verificatie; 12 R. VAN EIJK, “Web Privacy Measurement in Real-Time Bidding Systems- A Graph-Based Approach to RTB system classification”, 2019, p. 150-151, beschikbaar op: https://ssrn.com/abstract=3319284. 13 32. Real-time bidding brengt een aantal risico’s met zich mee die hun oorsprong vinden in de aard van het ecosysteem en de manier waarop persoonsgegevens daarin worden verwerkt. Deze risico’s omvatten13: ▪ profilering en automatische besluitvorming; ▪ grootschalige verwerking (met inbegrip van bijzondere categorieën van persoonsgegevens); ▪ innovatief gebruik of innovatieve toepassing van nieuwe technologische of organisatorische oplossingen; ▪ matching of samenvoeging van datasets; ▪ analyse of voorspelling van gedrag, locatie of verplaatsingen van natuurlijke personen; ▪ 33. onzichtbare verwerking van persoonsgegevens. Daarnaast maakt een groot aantal organisaties — als verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke, verwerker of anderszins betrokkene — deel uit van het ecosysteem. Dit heeft potentieel een aanzienlijke invloed op de gevolgen voor de gegevensbescherming. Bovendien hebben de meeste betrokkenen een beperkt inzicht in hoe het ecosysteem hun persoonsgegevens verwerkt. 34. Eén en ander maakt dat de AVG van toepassing is op de verwerkingen in het kader van RTB, dewelke van dien aard zijn dat er een groot risico voor de rechten en vrijheden van personen kan ontstaan. A.3.2. – IAB Europe’s Transparency & Consent Framework 35. IAB Tech Lab heeft het OpenRTB protocol ontwikkeld dat, samen met het AdBuyers protocol van Google, het meest gebruikte RTB-protocol wereldwijd is. IAB Tech Lab, gevestigd in New York in de Verenigde Staten van Amerika, treedt op als aanbieder van de OpenRTB-standaard en moet worden onderscheiden van IAB Europe, die het Transparency and Consent Framework (TCF) heeft ontwikkeld. 36. IAB Europe is een federatie die de digitale reclame- en marketingindustrie op Europees niveau vertegenwoordigt. Het omvat zowel bedrijfsleden als nationale verenigingen, met hun eigen bedrijfsleden. Indirect vertegenwoordigt IAB Europe ongeveer 5.000 bedrijven, waaronder zowel grote ondernemingen als nationale leden 14. 13 Information Commissioner’s Office, “Update report into adtech and real time bidding”, 20 juni 2019, p. 9 https://ico.org.uk/media/about-the-ico/documents/2615156/adtech-real-time-bidding-report-201906-dl191220.pdf 14 Zoals de CEO van de verweerster tijdens de hoorzitting voor de Geschillenkamer op 11 juni 2021 aangaf. 14 37. Volgens IAB Europe, verweerster in de onderhavige procedure, zou het TCF verantwoording (“accountability”) en transparantie verschaffen aan het OpenRTB. Het TCF vormt een afzonderlijk geheel van beleidslijnen, technische specificaties, voorwaarden en afspraken, gecreëerd, beheerd en bestuurd door IAB Europe, en zou volgens verweerster in staat zijn om gebruikers te informeren over de gerechtvaardigde belangen beoogd door adtech vendors, alsmede de geldige toestemming van deze gebruikers te bekomen met betrekking tot de verwerking van hun persoonsgegevens in een real-time bidding systeem (zoals OpenRTB). 38. Hoewel de OpenRTB onderscheiden moet worden van de TCF, zijn de twee systemen met elkaar verbonden. Immers, IAB Europe beweert dat het TCF een operationeel kader verschaft waarin de gegevensverwerkingen die geschieden op basis van het OpenRTBprotocol in overeenstemming kunnen worden gebracht met de AVG (en de ePrivacy Richtlijn). 39. In verband met het TCF stelt IAB Europe het volgende: “In its current form, the TCF is a cross-industry best practice standard that facilitates the digital advertising industry’s compliance with certain EU privacy and data protection rules and seeks to bring improved transparency and control to individuals over their personal data. Specifically, it is a “framework” within which businesses operate independently and which helps them satisfy the requirement to have a AVG legal basis for any processing of personal data and the requirement for user consent for the storing and accessing of information on a user device under the ePrivacy Directive.”15 “In zijn huidige vorm is het TCF een sectoroverschrijdende norm voor beste praktijken die het voor de digitale reclame-industrie gemakkelijker maakt om bepaalde EU-voorschriften inzake privacy en gegevensbescherming na te leven en die particulieren meer transparantie en controle over hun persoonsgegevens moet bieden. Het is met name een "kader" waarbinnen bedrijven onafhankelijk opereren en dat hen helpt te voldoen aan de AVGrechtsgrondslag voor de verwerking van persoonsgegevens en aan de ePrivacy-richtlijn, die voorschrijft dat de gebruiker toestemming moet geven voor de opslag van en toegang tot informatie op een apparaat van de gebruiker.” [vrije vertaling Geschillenkamer] 40. De hoofdspelers binnen het TCF komen bovendien in belangrijke mate overeen met de partijen die deelnemen aan het OpenRTB (met uitzondering van de Consent Management Platforms (‘CMPs’)): i. Publishers — Partijen die de advertentieruimte op hun website of in hun toepassing ter beschikking stellen én die in rechtstreekse verbinding staan met gebruikers wiens persoonsgegevens verzameld en verwerkt worden. Een publisher kan een CMP (zie hieronder) op zijn website of in zijn app voorzien om hem in staat te stellen 15 Conclusies van repliek van de verweerster dd. 25 maart 2021, para. 32. 15 de toestemming van bezoekers/gebruikers voor de verwerking van hun persoonsgegevens te vragen en te beheren, en om de werking van TCF te faciliteren16. Publishers beslissen welke vendors gegevens mogen verzamelen via hun website en de persoonsgegevens van hun gebruikers verwerken (en/of toegang hebben tot hun apparaten) en voor welke doeleinden 17. ii. Vendors — Ondernemingen die persoonsgegevens van publishers ontvangen met het oog op het vullen van advertentieruimte op websites of in apps van publishers, zoals adverteerders, SSPs, DSPs, Ad Exchanges, en DMPs. iii. Consent Management Platforms — Specifiek voor het TCF zijn er dan ook nog de ondernemingen die zogenaamde “Consent Management Platforms” (CMPs) aanbieden. Concreet neemt een CMP de vorm aan van een pop-up die bij de eerste verbinding met een website verschijnt om de toestemming van de internetgebruiker te verzamelen voor het plaatsen van cookies en andere identificatiegegevens18. 41. Een essentieel deel van de tussenkomst van een CMP is het genereren van een tekenreeks die bestaat uit een combinatie van letters, cijfers en andere tekens. Deze tekenreeks wordt door IAB Europe de “TC String” genoemd, wat staat voor de “Transparency and Consent String”. De TC String zou op gestructureerde en geautomatiseerde wijze de voorkeuren van een gebruiker moeten capteren wanneer deze een website of app van een publisher bezoekt waarin het CMP werd geïntegreerd. Het gaat dan met name om het capteren van het al dan niet toestemmen met het verwerken van persoonsgegevens voor marketing en andere doeleinden, het al dan niet delen van persoonsgegevens met derde partijen (vendors) en het al dan niet uitoefenen van een recht op verzet. 42. Vendors ontcijferen de TC String om te bepalen of zij over de noodzakelijke rechtsgrondslag beschikken om de persoonsgegevens van een gebruiker voor de vastgestelde doeleinden te verwerken. Dankzij het beknopte gegevensformaat kan de CMP de voorkeursgegevens van een gebruiker op elk moment opslaan en opvragen, en deze informatie doorgeven aan vendors die ze nodig hebben19. 43. Dit kan schematisch als volgt weergegeven worden20: 16 Information Commissioner’s Office, ‘Update report into adtech and real time bidding’, 20 June 2019, pp. 11-12, https://ico.org.uk/media/about-the-ico/documents/2615156/adtech-real-time-bidding-report-201906-dl191220.pdf. 17 Conclusies van repliek van de verweerster dd. 25 maart 2021, para. 36. 18 Technisch analyseverslag van de Inspectiedienst, 6 januari 2020 (Stuk 53), p. 59. 19 Technisch analyseverslag van de Inspectiedienst, 6 januari 2020 (Stuk 53), p. 75. 20 Conclusies van de klagers dd. 18 februari 2021, para. 18. 16 i. Een internetgebruiker surft met zijn webbrowser naar de website van een publisher, bijvoorbeeld een nieuwswebsite. ii. De publisher zorgt ervoor dat bij aankomst van de gebruiker op de website of app een CMP op zijn website of in zijn app wordt geactiveerd. iii. Het CMP controleert of er voor deze gebruiker reeds een TC String bestaat of niet. Wanneer er werd gekozen voor een “globaal opgeslagen” TC String 21, zal het CMP contact maken met het door IAB Europe beheerde consensu.org-internetdomein om van daaruit te verifiëren of er reeds een zogenaamde “consensu”-cookie op het toestel van de gebruiker staat. Het gaat in het bijzonder om de euconsent-v2 iv. Indien uit de derde stap blijkt dat de TC String nog niet bestaat of niet actueel is, wordt in een vierde stap door het CMP aan de gebruiker een gebruikersinterface getoond waarbij hij toestemming kan geven voor het verzamelen en delen van zijn persoonsgegevens. v. De internetgebruiker maakt een keuze in de gebruikersinterface. vi. Het CMP genereert de TC String en plaatst een euconsent-v2 cookie op het toestel van de gebruiker of maakt een update van de cookie die er al stond. 21 Ook “globally scoped consents” genoemd. 17 A.4. – Verslagen van de Inspectiedienst A.4.1. – IAB Europe treedt als verwerkingsverantwoordelijke op voor het Transparency and Consent Framework en de hiermee gepaard gaande verwerkingen van persoonsgegevens 44. In de onderhavige procedure heeft de Inspectiedienst zijn onderzoek uitsluitend gericht op de organisatie IAB Europe, die de Inspectiedienst identificeerde als verwerkingsverantwoordelijke voor het TCF. De Inspectiedienst staaft deze initiële vaststelling met het feit dat IAB Europe het TCF heeft ontwikkeld, waarmee IAB Europe bindende voorschriften oplegt aan deelnemende organisaties. Deze bindende voorschriften hebben volgens de Inspectiedienst meer bepaald betrekking op de verwerking van persoonsgegevens in de context van de verzameling en de verwerking van de toestemming alsmede de voorkeuren van onlinegebruikers, inzake verwerkingsdoeleinden en toegestane vendors. 45. De Inspectiedienst steunt zijn verslag op twee technische analyses in verband met de Open Realtime Bidding API Specification van IAB Europe, alsook de verschillende mechanismen onder de OpenMedia specificatie van IAB Tech Lab, met inbegrip van het Transparency and Consent Framework dat IAB Europe samen met IAB Tech Lab heeft ontwikkeld22. 46. Met betrekking tot het OpenRTB protocol concludeert de Inspectiedienst dat IAB Tech Lab, die deze open technische standaard ontwikkelde en gevestigd is in New York (VS), louter als aanbieder van het systeem optreedt ten aanzien van deelnemende organisaties en dientengevolge niet als verwerkingsverantwoordelijke kan worden beschouwd. In tegenstelling tot het TCF biedt het OpenRTB de mogelijkheid om persoonsgegevens te verwerken in overeenstemming met middelen en doeleinden die volledig door de deelnemende organisaties bepaald worden, doch niet door IAB Tech Lab. 47. Ten slotte stelt de Inspectiedienst dat de Belgische GBA niet bevoegd is voor het Authorized Buyers protocol, dat door Google is ontwikkeld als alternatief voor het OpenRTB standaard. A.4.2. – Vastgestelde inbreuken op de AVG 48. De Inspectiedienst stelt vast dat IAB Europe de volgende wettelijke bepalingen en beginselen van de AVG overtreedt met het Transparency and Consent Framework: ▪ Artikel 5.1.a en 5.2 (beginselen van eerlijkheid, transparantie en verantwoordingsplicht); 22 Technische analyseverslagen van de Inspectiedienst, 4 juni 2019 (Stuk 24) resp. 6 januari 2020 (Stuk 53). Terwijl IAB Europe de TCF Policies opstelde, ontwikkelde IAB Tech Lab de technische specificaties in overeenstemming met die Policies. 18 ▪ Artikel 6.1 (rechtmatigheid van de verwerking); ▪ Artikel 9.1 en 9.2 (verwerking van bijzondere categorieën persoonsgegevens); ▪ Artikel 12.1 (transparantie inzake informatie, mededelingen en nadere regels voor de uitoefening van de rechten van betrokkenen); ▪ Artikel 13 (informatie die moet worden verstrekt wanneer persoonsgegevens zijn verkregen van de betrokkene); ▪ Artikel 14 (informatie die moet worden verstrekt wanneer persoonsgegevens niet zijn verkregen bij de betrokkene); 49. ▪ Artikel 24.1 (verantwoordelijkheid van de verwerkingsverantwoordelijke); ▪ Artikel 32.1 en 32.2 (beveiliging van de verwerking). Buiten het bestek van de klachten stelt de Inspectiedienst eveneens aanvullende overtredingen vast op de volgende bepalingen van de AVG: ▪ Artikel 30 (register van de verwerkingsactiviteiten); ▪ Artikel 31 (samenwerking met de toezichthoudende autoriteiten); ▪ Artikel 24.1 (verantwoordelijkheid van de verwerkingsverantwoordelijke); ▪ Artikel 37 (aanstelling van een functionaris voor gegevensbescherming. Vaststelling 1 – IAB Europe maakt onterecht gebruik van gerechtvaardigd belang als grondslag voor de verwerking van persoonsgegevens onder het TCF, waarbij ook bijzondere categorieën van persoonsgegevens in bepaalde gevallen kunnen worden verwerkt 50. De Inspectiedienst stelt op basis van de twee versies van de IAB Europe Transparency & Consent Framework Policies 23 vast dat IAB Europe de verantwoordelijkheid voor de naleving van de beginselen van transparantie en eerlijkheid bij de CMPs en/of de uitgevers (publishers) legt. Bovendien neemt IAB Europe het standpunt in dat het gerechtvaardigd belang van de deelnemende organisaties een passende grondslag vormt voor de verwerking van persoonsgegevens in het kader van het TCF teneinde een reclameprofiel op te stellen van de betrokkenen en hen gepersonaliseerde reclame te tonen. Echter laat IAB Europe volgens de Inspectiedienst na om het bewijs aan te leveren dat de belangen, met name de fundamentele rechten en vrijheden van de betrokkenen, hierbij afdoende in overweging werden genomen. 51. Overigens merkt de Inspectiedienst op dat er in bepaalde omstandigheden ook bijzondere categorieën van persoonsgegevens verzameld en verwerkt kunnen worden door de deelnemende organisaties. Zo zouden deelnemende organisatie kennis kunnen nemen van de websites die voorafgaand door een betrokkene bezocht werden, waarbij onder meer de 23 IAB Europe Transparency & Consent Framework Policies v2019-08-21.3 (Stuk 32); IAB Europe Transparency & Consent Framework Policies v2019-04-02.2c (Stuk 38). 19 politieke opvattingen, religieuze of filosofische overtuigingen, seksuele geaardheid, gezondheidsgegevens of ook vakbondslidmaatschappen van de betrokkenen kunnen afgeleid of onthuld worden. 52. De Inspectiedienst meent dat IAB Europe aldus heeft nagelaten de beginselen van transparantie en eerlijkheid ten aanzien van de betrokkenen op passende wijze in acht te nemen. Vaststelling 2 – De verstrekte informatie voldoet niet aan artikelen 12.1, 13 en 14 van de AVG 53. De Inspectiedienst stelt eveneens vast dat het privacy beleid dat IAB Europe ter beschikking stelt aan betrokkenen niet altijd transparant of begrijpelijk is, hetgeen een inbreuk vormt op de verplichtingen die voortvloeien uit artikelen 12.1, 13 en 14 AVG. 54. Het privacy beleid van IAB Europe24 is namelijk enkel beschikbaar in het Engels. Daarnaast bevat het privacy beleid verscheidene termen die zonder nadere toelichting onduidelijk zijn voor de betrokkenen. Bij wijze van voorbeeld noemt de Inspectiedienst: “services” en “other means”. 55. Overigens is de verstrekte informatie volgens de Inspectiedienst onvolledig en ontoereikend. Ten eerste, de betrokkenen worden niet ingelicht over welke gerechtvaardigde belangen IAB Europe precies nastreeft. Ten tweede is het voor betrokkenen niet eenvoudig om onderscheid te maken tussen de verschillende ontvangers of categorieën ontvangers van hun persoonsgegevens; de begrippen “third parties” (derde partijen), en “partners” zijn immers zonder nadere uitleg niet te begrijpen. Ten derde worden betrokkenen niet geïnformeerd over, enerzijds, de verwijzing naar passende of toereikende waarborgen voor de internationale doorgifte van hun persoonsgegevens buiten de EER en, anderzijds, de wijze waarop een kopie daarvan kan worden verkregen of waar deze beschikbaar is gesteld. Ten vierde is het op basis van het privacy beleid van IAB Europe voor betrokkenen niet duidelijk dat hun persoonsgegevens door IAB Europe via haar TCF kunnen worden verkregen25. Ten vijfde worden de voorwaarden waaronder de betrokkenen hun persoonsgegevens moeten verstrekken, met name of deze verzameling wordt georganiseerd op grond van een wettelijke, precontractuele of contractuele verplichting, niet duidelijk uiteengezet. Evenmin worden de betrokkenen ingelicht over de mogelijke gevolgen van het niet verstrekken van hun gegevens. 56. Derhalve voldoet het privacy beleid niet aan de verplichtingen die bekrachtigd zijn in de artikelen 13 en 14 AVG. 24 25 Stuk 41. Terms and Conditions for the IAB Europe Transparency & Consent Framework (“Terms and Conditions”) (Stuk 33), p. 7. 20 Vaststelling 3 – IAB Europe voorziet geen controle op naleving van de regels onder de TCF beleidsregels 57. Op basis van de twee versies van de IAB Europe Transparency and Consent Framework Policies 26 is de Inspectiedienst van oordeel dat IAB Europe onvoldoende toezicht houdt op de naleving van de regels die de organisatie heeft ontwikkeld ten aanzien van de deelnemende organisaties. Meer bepaald zou het voor een CMP mogelijk zijn om persoonsgegevens te blijven uitwisselen met een uitgever, ook al is hij redelijkerwijs van mening dat die uitgever niet voldoet aan de regels opgelegd door IAB Europe in het kader van zijn TCF of door de wet27. 58. Gelet op de rol die IAB Europe zichzelf toekent, met name die van Managing Organisation, zou deze veronachtzaming van de risico’s voor de rechten en vrijheden van de betrokkenen wijzen op een inbreuk op artikel 24.1 AVG alsook op de verplichting om een gepaste beveiliging te treffen voor de verwerking van persoonsgegevens, overeenkomstig artikel 32.1 en 32.2 AVG. Vaststelling 4 – IAB Europe heeft nagelaten een register van verwerkingsactiviteiten bij te houden 59. De Inspectiedienst stelt tevens vast dat IAB Europe zich niet verplicht acht om een register van verwerkingsactiviteiten bij te houden, op grond van de uitzondering waarin artikel 30.5 AVG voorziet voor organisaties met minder dan 250 personen 28. De Inspectiedienst wijst eveneens op het feit dat IAB Europe in eerste instantie geen kopie van haar register van verwerkingsactiviteiten verstrekt heeft aan de Inspectiedienst. 60. Pas in een tweede antwoord29 besloot IAB Europe volledigheidshalve om een register van verwerkingsactiviteiten te bezorgen, hoewel de organisatie zich nog steeds niet beschouwt als onderhevig aan de verplichting onder artikel 30.5 AVG. Vaststelling 5 – IAB Europe heeft onvoldoende medewerking verleend in het kader van het onderzoek van de Inspectiedienst 61. Op grond van vaststelling 4 en verwijzend naar de vertraging waarmee IAB Europe de verzoeken van de Inspectiedienst tot aanvullende informatie heeft beantwoord, concludeert de Inspectiedienst dat de handelwijze van IAB Europe in het kader van zijn onderzoek in strijd is met de medewerkingsplicht onder artikel 31 AVG. 26 IAB Europe Transparency & Consent Framework Policies v2019-08-21.3 (Stuk 32); IAB Europe Transparency & Consent Framework Policies v2019-04-02.2c (Stuk 38). 27 IAB Europe Transparency & Consent Framework Policies v2019-08-21.3 (Stuk 32), p. 11 ; IAB Europe Transparency & Consent Framework Policies v2019-04-02.2c (Stuk 38), p. 6. 28 IAB Europe – Response to Belgium GBA, 26 June 2019 (Stuk 22), pp. 2-3. 29 Réponse de l’IAB Europe relative à l’enquête d’inspection, 10 février 2020 (Stuk 57). 21 Vaststelling 6 – IAB Europe heeft nagelaten een functionaris voor gegevensbescherming aan te stellen, hoewel de organisatie zich als Managing Organisation het recht voorbehoudt om toegang te verkrijgen tot de (persoons)gegevens die de aan het TCF deelnemende organisaties verzamelen en verwerken 62. IAB Europe stelt30 dat zij de voorwaarden bedoeld in artikel 37.1.b AVG, niet vervult, aangezien “IAB Europe een beroepsvereniging is met als belangrijkste activiteiten het verstrekken van informatie en hulpmiddelen aan belanghebbenden (in het bijzonder bedrijven) die actief zijn in de digitale reclamesector, alsook het verstrekken van informatie aan het grote publiek om hun kennis te verbeteren en hen te informeren over de waarde die digitale reclame voor de markt”. Derhalve heeft IAB Europe geen functionaris voor gegevensbescherming aangesteld. 63. Volgens de Inspectiedienst wordt de hierboven uiteengezette benadering van IAB Europe niet door de feiten gestaafd. IAB Europe ontwikkelde en beheert namelijk het TCF in de hoedanigheid van Managing Organisation (beherende organisatie), en heeft als dusdanig, alsook op grond van de algemene voorwaarden voor het IAB Europe Transparency & Consent Framework31 zowel een recht op toegang als een recht om alle informatie op te slaan en te verwerken die door de deelnemende organisaties wordt verstrekt. A.4.3. – Bijkomende overwegingen die de Inspectiedienst relevant acht voor de beoordeling van de ernst van de feiten 64. De Inspectiedienst verwijst naar het arrest van het Hof van Justitie van de Europese Unie (hierna “het Hof van Justitie”) in zaak C-25/17 (Jehova’s getuigen)32, waarin het Hof verduidelijkte dat de definitie van verwerkingsverantwoordelijke met het oog op een doeltreffende en volledige bescherming van de betrokkenen ruim moet worden uitgelegd. De Inspectiedienst stelt in dit verband dat IAB Europe zich probeert te onttrekken aan haar verantwoordelijkheid op grond van de AVG. 65. De Inspectiedienst verwijst daarbij naar clausules opgenomen onder de titel 10 “Liability” van de Algemene voorwaarden voor het TCF33, waarmee IAB Europe de verantwoordelijkheid voor de verwerking van persoonsgegevens die door de partijen van de digitale reclamesector zijn verzameld, geheel bij de CMPs, publishers en andere vendors34 legt. Deze clausules bepalen namelijk uitdrukkelijk dat IAB Europe geenszins waarborgt dat: 30 In haar antwoorden aan de Inspectiedienst van 26/06/2019 en 20/08/2019, Stukken 22 en 29. Terms and Conditions for the IAB Europe Transparency & Consent Framework (“Terms and Conditions”) (Stuk 33). 32 Arrest HvJEU van 10 juli 2018, C-25/17, Jehova’s getuigen, ECLI:EU:C:2018:551. 33 Terms and Conditions for the IAB Europe Transparency & Consent Framework (“Terms and Conditions”) (Stuk 33). 34 Met name de Supply-Side Platforms, Demand-Side Platforms, Ad Exchanges, adverteerders en Data Management Platforms. 31 22 ▪ de toestemming die door CMPs of publishers meegedeeld wordt aan erkende partners (global vendors) in overeenstemming met, onder andere, de AVG is verzameld en verwerkt; ▪ elke gegevensverwerking uitgevoerd in verband met, of op grond van, het TCF zal voldoen aan alle relevante wet- en regelgeving, met inbegrip van de AVG. A.5. – Samenvatting van de conclusies van antwoord van de verweerster dd. 11 februari 2021 A.5.1. – IAB Europe is geen verwerkingsverantwoordelijke ten aanzien van de verwerkingen van persoonsgegevens in het kader van het TCF 66. De verweerster weerlegt het standpunt van de Inspectiedienst dat zij in haar hoedanigheid van Managing Organisation als verwerkingsverantwoordelijke optreedt ten aanzien van de persoonsgegevens verwerkt door deelnemers aan het Transparency and Consent Framework. 67. Volgens de verweerster verplicht het TCF de deelnemende organisaties geenszins om bepaalde doeleinden na te streven, maar heeft het louter als doel om de informatie, die aan de betrokkenen dient te worden verstrekt in overeenstemming met artikelen 12 en 13 AVG, op een gestroomlijnde en gestandaardiseerde wijze aan te bieden door middel van de CMPs. De werkelijk nagestreefde verwerkingsdoeleinden worden daarentegen door de deelnemende organisaties bepaald, zonder tussenkomst door de verweerster. 68. Ten eerste gaat de verweerster in op het ontbreken van een rechtsbevoegdheid (ratione personae) in hoofde van de GBA, en meer bepaald de Inspectiedienst, om een onderzoek in te stellen en het TCF aan te vechten. De verweerster verwijst overigens naar de bevoegdheid van de GBA om de daadwerkelijke verwerkingsverantwoordelijken, zijnde de deelnemers tot het TCF, desgevallend verantwoordelijk te houden voor mogelijke inbreuken op de AVG. 69. Het TCF houdt volgens de verweerster als dusdanig geen verwerking van persoonsgegevens in, en het Inspectierapport zou niet aantonen voor welke verwerkingsactiviteiten IAB Europe als verwerkingsverantwoordelijke moet worden beschouwd. 70. Ten tweede wordt aangevoerd dat een brede definitie van het begrip verwerkingsverantwoordelijke, zoals voorgesteld door de Inspectiedienst, in het kader van het TCF niet verantwoord is, aangezien er reeds duidelijk geïdentificeerde verwerkingsverantwoordelijken bestaan, enerzijds, en gelet op het feit dat het TCF geen invloed heeft op de verwerkingen van persoonsgegevens die in het kader van het OpenRTB protocol verlopen, anderzijds. Meer bepaald verwijst de verweerster naar het ontbreken van enige invloed op zowel de middelen als de doeleinden van de verwerkingen binnen het RTBsysteem. 23 71. De verweerster is tevens van mening dat het eerder geciteerde arrest Jehova’s getuigen niet van toepassing is op de situatie van IAB Europe, om de volgende redenen: ▪ In tegenstelling tot de Jehova’s Getuigen Gemeenschap, “organiseert, coördineert en stimuleert” IAB Europe op geen enkele wijze de verwerkingen van persoonsgegevens door de TCF-deelnemers. ▪ De verwerking van persoonsgegevens door TCF-deelnemers voor RTB-doeleinden is niet in het belang van IAB Europe. ▪ De TCF-deelnemers onderling hebben geen gemeenschappelijk doel bij de verwerking van persoonsgegevens, en nemen alleen deel aan het TCF met de bedoeling hun individuele doelstellingen te bereiken op een manier die in overeenstemming is met de AVG. 72. Verweerster is van mening dat ook het arrest Wirtschaftsakademie35 niet van toepassing is op IAB Europe, vermits de verweerster nooit informatie (d.w.z. reclame) verspreidt namens of in opdracht van adverteerders; geen reclameplatform of ander communicatiekanaal kiest; en geen parameters of verwerkingsdoeleinden vastlegt, in tegenstelling tot de deelnemers aan het TCF die hier wel over beslissen. IAB Europe is volgens verweerster niet actief betrokken bij enige RTB-verwerking en zij brengt die verwerking op geen enkele manier en in geen enkele vorm op gang. De gegevensverwerkingen die met het OpenRTB systeem gepaard gaan, worden uitsluitend verricht door TCF-deelnemers en vinden derhalve plaats onafhankelijk van IAB Europe of het TCF. 73. Ten derde wordt ingegaan op de definitie van verwerkingsverantwoordelijke zoals uitgelegd in richtsnoeren van het Europees Comité voor Gegevensbescherming (EDPB). 36 De verweerster beweert dat zij geen beslissingsbevoegdheid uitoefent over de doeleinden of middelen van de verwerking van persoonsgegevens in het kader van het TCF. Daarnaast verwerkt IAB Europe geen persoonsgegevens op een wijze die als “onafscheidelijk” kan worden beschouwd van of “onlosmakelijk verbonden” is met de verwerking van persoonsgegevens door deelnemers aan het TCF. Ook het feit dat deelnemende organisaties een financiële vergoeding betalen aan IAB Europe, vormt volgens de verweerster geen “wederzijds voordeel” dat zou leiden tot een gezamenlijke verwerkingsverantwoordelijkheid. 74. Bovendien onderstreept de verweerster het ontbreken van besluiten dan wel richtsnoeren van andere toezichthouders, die het standpunt van de Inspectiedienst zouden kunnen staven. In het bijzonder hebben zowel de Belgische, Duitse, Franse en Britse 35 36 Arrest HvJEU van 5 juni 2018, C-210/16, Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388. EDPB – Guidelines 07/2020 on the concepts of controller and processor in the AVG, v2.0, 2021. 24 toezichthouders nagelaten om IAB Europe als (gezamenlijke) verwerkingsverantwoordelijke te identificeren. Meer bepaald besliste de Conferentie van onafhankelijke gegevensbeschermingsautoriteiten van de Duitse Federatie en de Länder in september 2019 dat IAB Europe louter als vertegenwoordigende organisatie optreedt in de sector van programmatisch adverteren (programmatic advertising). Daarenboven bevestigden de Duitse toezichthouders hun standpunt in november 2019, toen ze aankondigden dat eventuele handhavingsprocedures in verband met klachten tegen onlineadvertenties moesten ingeleid worden tegen TCF-deelnemers, doch niet tegen IAB Europe. Ook de Franse toezichthouder (CNIL) zou, aldus de verweerster, onrechtstreeks hebben ingestemd met de opvatting dat IAB Europe niet instaat voor de verwerkingen uitgevoerd door de deelnemers aan het TCF. Eveneens zou de Britse ICO op geen enkel ogenblik IAB Europe als mogelijke verwerkingsverantwoordelijke hebben aangemerkt binnen het RTB-ecosysteem. 75. Ten afsluiting verwijst de verweerster naar de mogelijke gevolgen voor andere organisaties onderworpen aan de AVG, indien de Geschillenkamer zou oordelen dat IAB Europe wel degelijk (mede)verantwoordelijk is voor de verwerkingen van persoonsgegevens in het kader van het TCF. In het bijzondere zou een dergelijke beslissing volgens de verweerster betekenen dat elke overkoepelende organisatie die een gedragscode ontwikkelt en goedkeurt, louter omwille van haar toezichthoudende rol als medeverantwoordelijke geacht zou worden ten aanzien van de verwerkingen door andere organisaties in overeenstemming met die gedragscode. A.5.2. – Het TCF strookt met de AVG a. Rechtmatigheid en rechtsgrond 76. Vooreerst stelt de verweerster dat IAB Europe, in tegenstelling tot de deelnemende organisaties, allerminst verplicht is om het bestaan van een gerechtvaardigd belang, inclusief een afweging van de belangen van deelnemende organisaties met de rechten en vrijheden van de betrokkenen, toe te lichten aan de Inspectiedienst, aangezien IAB Europe niet deelneemt aan het TCF noch als verwerkingsverantwoordelijke optreedt. 77. Daarnevens beweert de verweerster dat de GBA niet bevoegd is om deelnemers aan het TCF onomwonden te verbieden om de verwerking van persoonsgegevens van betrokkenen op gerechtvaardigd belang te doen rusten. Integendeel, de beoordeling van de gegrondheid van de door de deelnemers aangevoerde rechtmatige belangen moet per geval geschieden, en kan bijgevolg niet op voorhand en in absolute termen verboden worden door de GBA. 78. Met betrekking tot de aantijgingen dat IAB Europe bijzondere categorieën van persoonsgegevens verwerkt in het kader van het TCF, dan wel medeverantwoordelijk zou zijn ten aanzien van de verwerkingen van zulke persoonsgegevens door de deelnemende organisaties, wijst de verweerster erop dat dergelijke categorieën van persoonsgegevens 25 desgevallend uitsluitend in het kader van het OpenRTB kunnen verwerkt worden, in tegenstelling tot het TCF. De verweerster verwijst hierbij naar de TCF Policies, die het gebruik van het TCF om bijzondere categorieën van persoonsgegevens te verwerken uitdrukkelijk verbieden. b. Transparantie 79. Gelet op het feit dat IAB Europe niet als verwerkingsverantwoordelijke optreedt ten aanzien van persoonsgegevens verwerkt voor RTB-doeleinden, stelt de verweerster dat er evenmin van haar verwacht kan worden dat zij de betrokkenen informeert in overeenstemming met artikelen 12 en 13 AVG. 80. Overigens beweert de verweerster dat het privacy beleid dat de Inspectiedienst als bewijs aanvoert voor mogelijke inbreuken op het transparantiebeginsel, uitsluitend van toepassing is op de verwerking van persoonsgegevens verzameld op de verschillende websites beheerd door de verweerster, alsmede op de persoonsgegevens verzameld in verband met de deelnemende organisaties (met name, de contactgegevens van vertegenwoordigers van deze organisaties). Het privacy beleid waar de Inspectiedienst naar verwijst houdt met andere woorden geen enkel verband, aldus de verweerster, met de verwerkingsactiviteiten in het kader van het OpenRTB systeem. 81. Eveneens betwist de verweerster elke aantijging dat IAB Europe in haar hoedanigheid van Managing Organisation zich het recht zou voorbehouden om toegang te verkrijgen tot de persoonsgegevens verzameld en uitgewisseld door de deelnemende organisaties in het kader van het TCF en het OpenRTB systeem. IAB Europe beweert immers dat deze veronderstelling op geen enkel bewijsstuk steunt en te wijten is aan een verkeerde interpretatie van de mogelijkheid die de verweerster geboden wordt om persoonsgegevens van vertegenwoordigers van deelnemende organisaties te verwerken. 82. Bovendien meent verweerster dat zij gerechtigd is om het privacy beleid uitsluitend in het Engels aan te bieden, aangezien het doelpubliek voornamelijk bestaat uit professionele, B2B actoren. De verweerster herinnert eraan dat het Belgisch recht geen verplichting voorziet om een privacy beleid in het Frans of het Nederlands ter beschikking te stellen, en dat België bovendien heeft nagelaten gebruik te maken van de mogelijkheid om bijkomende vereisten aan te nemen inzake het taalgebruik in het kader van de Europese richtlijn betreffende consumentenrechten37. 37 Richtlijn 2011/83/EU van het Europees Parlement en de Raad van 25 oktober 2011 betreffende consumentenrechten, tot wijziging van Richtlijn 93/13/EEG van de Raad en van Richtlijn 1999/44/EG van het Europees Parlement en de Raad en tot intrekking van Richtlijn 85/577/EEG en van Richtlijn 97/7/EG van het Europees Parlement en de Raad, PB L 304/64. 26 c. Beveiliging 83. De verweerster beweert dat de tenlasteleggingen inzake het gebrek aan technische en organisatorische maatregelen ter bescherming van de persoonsgegevens in het kader van het TCF ongegrond zijn. 84. Vooreerst meent de verweerster dat IAB Europe niet onderworpen is aan de artikelen 24 en 32 AVG ten opzichte van de gegevensverwerkingen binnen het TCF, daar de organisatie geen verwerkingsverantwoordelijke is. 85. Ten tweede voorzien de Transparency & Consent Framework Policies dat deelnemers aan het TCF overtredingen op de regels van het TCF dienen te melden aan IAB Europe. Wederom beweert de verweerster dat de Inspectiedienst de TCF Policies fout interpreteert, met name doordat de CMPs het recht wordt toegekend om de samenwerking stop te zetten indien zij van mening zijn dat een publisher zich niet aan de regels houdt, zonder hier contractueel nadeel voor te ondervinden. Daarnaast merkt de verweerster op dat inbreuken op de regels voorzien in het TCF desgevallend steeds kunnen gemeld worden aan de toezichthoudende autoriteiten, die vervolgens zullen optreden indien zij dit nodig zouden achten. d. Internationale doorgifte van persoonsgegevens 86. IAB Europe weerlegt de stellingen van de klagers met betrekking tot de internationale doorgifte van persoonsgegevens, in het kader van het TCF. De verweerster merkt hieromtrent op dat deze aantijgingen uitsluitend relevant zijn in het kader van het OpenRTB systeem, dat in deze zaak niet aan de orde is. Overigens kan IAB Europe niet verantwoordelijk worden gesteld voor de doorgifte in het kader van het OpenRTB Systeem. A.5.3. – IAB Europe is niet onderhevig aan de verplichting om een register van verwerkingsactiviteiten bij te houden 87. De verweerster benadrukt de uitzondering te kunnen oproepen waarin artikel 30.5 voorziet, met name dat de organisatie geen register van verwerkingsactiviteiten moet bijhouden, aangezien IAB Europe geen verwerkingsverantwoordelijke is voor de verwerkingsactiviteiten die binnen het TCF plaatsvinden en de organisatie bovendien minder dan 250 werknemers telt. Desalniettemin onderstreept de verweerster haar eigen initiatief om een register op te stellen en aan de Inspectiedienst te bezorgen, alsook dat dit register geen betrekking heeft op de verwerkingsactiviteiten in het kader van het TCF. A.5.4. – IAB Europe dient geen functionaris voor gegevensbescherming aan te stellen 88. Gelet op de aard en omvang van de verwerkingsactiviteiten die de organisatie uitvoert, verklaart de verweerster dat IAB Europe geen functionaris voor gegevensbescherming dient aan te stellen, daar de criteria voorzien in artikel 37 AVG niet vervuld zijn. 27 A.5.5. – IAB Europe bood wél haar medewerking aan de Inspectiedienst 89. De verweerster weerlegt de aantijgingen dat zij onvoldoende heeft meegewerkt aan het onderzoek, en merkt op dat de termijnen die de Inspectiedienst oplegt aan partijen in een onderzoek geenszins wettelijk bepaald zijn, maar het gevolg moeten zijn van een redelijke beoordeling en de specifieke omstandigheden van de zaak in acht moeten nemen. In casu meent de verweerster dat IAB Europe steeds te goeder trouw heeft meegewerkt en informatie en antwoorden verstrekt in een poging om haar status met betrekking tot het TCF te verduidelijken en aan te tonen dat zij de AVG naleeft, voor zover die van toepassing is op IAB Europe. 90. Bovendien merkt de verweerster op dat de samenwerkingsplicht onder artikel 31 AVG geenszins kan worden opgevat als een verplichting om documentatie aan te leveren overeenkomstig bepalingen uit de AVG waartoe de verweerster zich niet gehouden acht. A.5.6. – Er zijn geen verzwarende omstandigheden ten nadele van IAB Europe 91. IAB Europe betwist ten slotte de vaststelling van de Inspectiedienst dat de ontkenning door de verweerster dat IAB Europe als verwerkingsverantwoordelijke optreedt, evenals de grote omvang van zowel verwerkte persoonsgegevens als deelnemende organisaties als verzwarende omstandigheden kunnen worden beschouwd. 92. De verweerster verwijst hiervoor naar het gebrek aan duidelijk bewijs in het onderzoeksverslag dat deze omstandigheden verzwarend zijn, en concludeert dat de aantijgingen te wijten zijn aan onvoldoende kennis van de werking van het TCF. Dientengevolge verzoekt de verweerster de Geschillenkamer om geen rekening te houden met het standpunt van de Inspectiedienst. A.6. – Samenvatting van de conclusies van repliek van de klagers dd. 18 februari 2021 A.6.1. – IAB Europe is verwerkingsverantwoordelijke voor het TCF a. Verwerking van persoonsgegevens in het kader van het TCF 93. De klagers stellen dat een uniek identificatienummer, zoals de gegenereerde TC String die wordt weggeschreven in een cookie, een persoonsgegeven is in de zin van artikel 4.1 AVG, hetgeen ook reeds uitdrukkelijk werd bevestigd in de rechtspraak van vóór de AVG 94. Volgens de klagers is de TC String bovendien meer dan enkel een unieke identificator, omdat IAB Europe de TC String ook zou gebruiken om informatie te verzamelen over welke applicaties een betrokkene gebruikt en welke websites deze bezoekt. Hieruit zouden ook gevoelige gegevens over betrokkenen in de zin van artikel 9 AVG afgeleid kunnen worden. 95. Het genereren van de TC String op zich is bovendien, en zonder enige twijfel, een verwerking van persoonsgegevens. Het gaat namelijk om de geautomatiseerde creatie, 28 door een bij het TCF geregistreerd CMP, van een unieke en aan een welbepaalde gebruiker verbonden reeks van karakters die zijn voorkeuren omtrent toegestane gegevensuitwisselingen met adtech vendors zou moeten capteren. 96. Het delen van de TC String met CMPs geschiedt, aldus de klagers, op twee manieren: a. het opslaan van de TC String in een gedeelde globally scoped consent cookie op het consensu.org-internetdomein van IAB Europe; of b. het opslaan van de TC String in een door de CMP gekozen opslagsysteem als het een dienst-specifieke toestemming betreft. 97. Volgens de klagers is in beide gevallen IAB Europe verwerkingsverantwoordelijke van die verwerkingen. De tussenkomst van IAB Europe is bovendien des te ingrijpender in de hypothese van de gedeelde global consent cookie. Die gedeelde globally scoped consent raadplegen en updaten. b. IAB ageert als verwerkingsverantwoordelijke voor de verwerkingen binnen het TCF 98. Klagers menen allereerst dat IAB Europe in haar “Frequently Asked Questions” over het TCF zelf nadrukkelijk stelt dat zij verantwoordelijk is voor de TCF Policies. 99. Volgens de klagers spreekt het voor zich dat de organisatie die het TCF beheert en bestuurt, eveneens de verantwoordelijke is voor dit systeem, met inbegrip van de eventuele verwerkingen van persoonsgegevens die door het TCF opgelegd en georganiseerd worden. Immers, IAB Europe legt deze verwerkingen van persoonsgegevens op afdwingbare wijze aan de andere deelnemers op. 100. Daarenboven eist IAB Europe van CMPs dat zij het TCF strikt volgens haar Technical Specifications implementeren. In de Technical Specifications van het TCF zet IAB Europe namelijk op gedetailleerde wijze uiteen welke persoonsgegevens door de deelnemers verwerkt moeten worden, voor welke doeleinden en via welke middelen. 101. Tevens verplicht IAB Europe de CMPs om, in geval van een toestemming voor wereldwijd gebruik, de tekenreeks op te slaan in een gedeelde global consent cookie op het “consensu.org”-domein. Vermits dit internetdomein is geregistreerd en wordt beheerd door IAB Europe, heeft de verweerster eveneens toegang tot de persoonsgegevens die in het TCF verwerkt worden. 102. Bovendien bepaalt IAB Europe, nog steeds volgens de klagers, de zogenaamde “essentiële middelen” voor de verwerkingen van persoonsgegevens binnen het TCF. IAB Europe legt enerzijds op gedetailleerde wijze vast welke elementen in de TC String opgenomen moeten worden. Anderzijds bepaalt IAB Europe de categorieën van ontvangers van deze 29 persoonsgegevens, daar de verweerster naar eigen zeggen immers instaat voor het beheer van de Global Vendor List en het beheer van de aan het TCF deelnemende CMPs. 103. De klagers menen eveneens dat TCF geen effectief mechanisme biedt om bepaalde gedragslijnen af te dwingen38, alhoewel een gedragscode wordt verondersteld een effectief systeem te hebben dat de aangesloten leden tot naleving dwingt, zoals bepaald in artikel 41 AVG. A.6.2. – De verwerkingen die in het TCF worden uitgevoerd schenden de AVG op verschillende niveaus a. Schending van de beginselen inzake doelbinding, proportionaliteit en noodzakelijkheid 104. Volgens de klagers verzamelt IAB Europe de voorkeuren van gebruikers in het TCF via de TC String voor een vaag, onbereikbaar en onrechtmatig doeleinde, terwijl de verwerkte persoonsgegevens ontoereikend en niet ter zake dienend zijn voor dit doeleinde. 105. Bovendien zou de verwerking op zich allesbehalve proportioneel zijn, waardoor IAB Europe de artikelen 5.1.b en 5.1.c AVG, en eveneens de in artikel 5.2 AVG vastgelegde verantwoordingsplicht als verwerkingsverantwoordelijke schendt. Voorts menen de klagers dat IAB Europe in het ontwerp van het TCF niet de nodige waarborgen biedt ter naleving van de voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen; dientengevolge schendt de verweerster artikel 25 AVG. Het doeleinde voor de verwerking van de TC String is noch welbepaald, noch uitdrukkelijk omschreven voor betrokkenen, noch gerechtvaardigd 106. Volgens de klagers verschaft IAB Europe geen informatie aan betrokkenen betreffende de verwerkingen van hun persoonsgegevens in het TCF. 107. De doelstelling van de TC String binnen het algemene doeleinde van het TCF is het capteren van de aan de gebruikers verschafte informatie alsmede hun verwerkingsvoorkeuren. Met andere woorden, IAB Europe doet persoonsgegevens verwerken (in het bijzonder de TC String) binnen het TCF omdat dit naar eigen zeggen de onderliggende marketinggerelateerde verwerkingen in overeenstemming met de AVG zou kunnen brengen. Volgens de klagers is het dan ook dit doeleinde dat op haar rechtmatigheid beoordeeld moet worden, en in het licht van dit doeleinde dat de proportionaliteit en noodzakelijkheid van de verwerkingen van de TC String binnen het TCF beoordeeld moeten worden. 38 Zie para. 133 e.v. van deze beslissing. 30 De TC String is ontoereikend en niet ter zake dienend voor het beoogde doeleinde 108. De klagers stellen bovendien dat de verwerkingen van de TC String binnen het TCF ontoereikend zijn en niet ter zake dienstig om overeenstemming met de AVG te garanderen, wanneer persoonsgegevens worden verwerkt via het OpenRTB-systeem. 109. Het OpenRTB-systeem bevat een inherent veiligheidsprobleem dat het onmogelijk maakt om met een systeem als het TCF onder meer de noodzakelijke transparantie en verantwoordingsplicht te kunnen garanderen met betrekking tot persoonsgegevens, inclusief bijzondere categorieën van persoonsgegevens, die verwerkt worden in een bid request nadat de bid request werd uitgestuurd. 110. Het centrale idee achter het TCF is dat deelnemers gebruikersvoorkeuren verzamelen en doorsturen in de vorm van de TC String, opdat andere deelnemers hier inhoudelijk kennis van zouden nemen (dit wil zeggen het TCF-signaal uitlezen) en zodoende de gebruikersvoorkeuren kunnen respecteren. Volgens de klagers is er echter niets voorzien in het TCF, noch in een of ander gerelateerd systeem of mechanisme, dat ook daadwerkelijk garandeert dat de deelnemers aan het OpenRTB-systeem gebonden zijn aan het TCFsignaal. Het TCF-signaal is dan ook niet meer dan een loutere kennisgeving. 111. Gezien het inherent onrechtmatige karakter van verwerkingen van persoonsgegevens in het OpenRTB-systeem, enerzijds, en het inherent onvolkomen karakter van een systeem zoals het TCF dat louter op signalen gebaseerd is zonder effectieve controle, anderzijds, kan het gebruik van het TCF, met inbegrip van het verwerken van de TC String, de deelnemers nooit de zekerheid geven met de AVG in overeenstemming te zijn. Het TCF biedt deelnemers immers geen enkele garantie dat TCF-deelnemers hun verantwoordingsplicht nakomen (artikel 5.2 AVG). Het kan verder ook niet de passende bescherming bieden voor de persoonsgegevens die gedeeld worden via het OpenRTB-systeem (artikel 5.1.f AVG). IAB Europe heeft het TCF zo opgezet dat gegevensbescherming door ontwerp niet gegarandeerd wordt 112. Klagers stellen dat het ontwerp van het TCF, omwille van het disproportionele karakter ervan, het overeenkomstig artikel 25 AVG vereiste niveau van gegevensbescherming niet kan waarborgen, meer bepaald gelet op de uit artikel 25 AVG voortvloeiende verplichting om passende technische en organisatorische maatregelen te treffen die ervoor zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. 113. Het verwerken van persoonsgegevens binnen het TCF, in het bijzonder de TC String, is dan ook niet noodzakelijk voor het specifieke doel, aangezien dat doel volgens de klagers überhaupt niet bereikt kan en zal worden. 31 114. De klagers stellen overigens dat de TC String, als zelfstandig persoonsgegeven dat gebruikers uniek identificeert, via verschillende mechanismen met talloze deelnemers gedeeld wordt, onder meer via IAB Europe’s eigen mechanisme van de gedeelde global consent cookie op haar “consensu.org”-internetdomein. b. Schending van de beginselen inzake behoorlijke, rechtmatige en transparante verwerking (artikelen 5, 6, 12, 13 en 14 AVG) 115. De klagers stellen dat de betrokkenen op geen enkele wijze worden geïnformeerd over het feit dat hun persoonsgegevens (met inbegrip van de TC String) systematisch en op grote schaal verwerkt worden door IAB Europe binnen het TCF. 116. Volgens de klagers zijn de verwerkingen van persoonsgegevens van klagers en andere betrokkenen door IAB in het TCF immers: ▪ allesbehalve rechtmatig, aangezien iedere rechtsgrond ontbreekt; ▪ noch behoorlijk noch transparant, want ze gebeuren geheel “achter de rug” van de betrokkenen, zonder enige vorm van kennisgeving. IAB Europe’s verwerkingen ontberen een rechtsgrond en zijn dus onrechtmatig 117. IAB Europe kan zich niet beroepen op de toestemming van betrokkenen (artikel 6.1.a AVG), aldus de klagers, aangezien ze die nooit heeft gevraagd of verkregen. Ook nergens in de TCF Policies, Technical Specifications of Algemene Voorwaarden wordt een mechanisme aangehaald waarbij IAB Europe aan betrokkenen toestemming zou vragen om een uniek identificerende tekenreeks te generen die hun privacy voorkeuren deelt met een massaal aantal ontvangers, zelfs in gevallen waar die betrokkenen in een CMP aangeven geen persoonsgegevens met iemand te willen delen. 118. Volgens de klagers kan IAB Europe zich ook niet beroepen op de noodzakelijkheid van de verwerkingen van de TC String binnen het TCF voor het uitvoeren van een overeenkomst met de klagers en andere betrokkenen (artikel 6.1.b), aangezien er geen sprake is van een overeenkomst tussen betrokkenen en IAB Europe. 119. Verder stellen de klagers dat de verweerster zich evenmin kan beroepen op de noodzakelijkheid van de verwerkingen van de TC String binnen het TCF om haar gerechtvaardigde belangen, of die van een derde, te behartigen (artikel 6.1.f AVG). De vereiste belangenafweging zou immers steeds in het voordeel van de betrokkenen uitvallen. 120. Vooreerst komt de verwerking van de TC String de betrokkenen op geen enkele wijze ten goede aangezien het TCF niet in staat is om veiligheid, verantwoording of transparantie te garanderen. Bovendien is er geen sprake van een gerechtvaardigd belang, aangezien dit 32 belang nergens voldoende duidelijk is verwoord en dus is de afweging met de belangen en fundamentele rechten van de betrokkenen niet mogelijk. 121. Ten tweede moet de verwerkingsverantwoordelijke bij de belangenafweging in beginsel rekening houden met verscheidene factoren: de gevolgen van de verwerking voor de betrokkene, de aard van de verwerkte persoonsgegevens, de manier waarop deze persoonsgegevens worden verwerkt, de redelijke verwachtingen van de betrokkene en de status van de voor de verwerking verantwoordelijke en de betrokkene. 122. Volgens de klagers zijn de gevolgen van het verwerken van de TC String bijzonder verregaand voor betrokkenen. De verwerkingen van IAB Europe zouden er immers toe leiden dat deelnemers aan het TCF ervan uitgaan dat zij op een correcte wijze betrokkenen informeren over verwerkingen van persoonsgegevens via het OpenRTB-systeem, terwijl dit niet het geval is. Dit zou er vervolgens toe leiden dat op immense schaal op onrechtmatige wijze persoonsgegevens, zelfs gevoelige, worden gedeeld en verspreid via het OpenRTB-systeem. 123. IAB Europe’s verwerkingen van de TC String zouden ertoe leiden dat een unieke onlineidentificator met onnoemelijk veel partijen wordt gedeeld, vergelijkbaar met wat gebeurt met unieke identificatoren in reclamecookies van grote advertentiebedrijven. Het zou dus toelaten gebruikers op eenvoudige wijze te traceren doorheen het web en over toestellen heen (“web and cross-device tracking”). Bovendien stellen de klagers dat de TC String via het OpenRTB-systeem kan gecombineerd worden met de gegevens die verspreid worden via dat systeem, omdat de TC String geïntegreerd wordt in een bid request. 124. Gelet op het gebrek aan informatie voor betrokken over de verwerkingen binnen het TCF en de ongeremde deling van de TC String met een vrijwel onbeperkte groep van ontvangers, staat het voor de klagers vast dat deze verwerkingen buiten het bereik van de redelijke verwachtingen van de betrokkenen liggen. Daarenboven verwachten betrokkenen, zoals de klagers, evenmin dat de verwerkingen van persoonsgegevens binnen het TCF tot gevolg hebben dat hun, soms gevoelige, persoonsgegevens en gedetailleerde profielen met talloze bedrijven via het OpenRTB-systeem worden gedeeld zonder dat er enige, reële en effectieve controle is op wat die bedrijven met de verkregen persoonsgegevens zullen doen. 125. De klagers in deze zaak zijn natuurlijke personen en belangenorganisaties die de gegevensbeschermingsbelangen van natuurlijke personen behartigen. Zij hebben géén controle over de verwerkingen van persoonsgegevens binnen het TCF (die vinden immers sowieso plaats ongeacht of men nu toestemming geeft in een CMP of weigert). Evenmin hebben zij controle over wat er met hun persoonsgegevens gebeurt die gedeeld worden via het OpenRTB-systeem. Volgens de klagers kunnen betrokkenen niet nagaan of deelnemers aan OpenRTB daadwerkelijk de regels van het TCF naleven. 33 IAB Europe verwerkt persoonsgegevens in het TCF heimelijk zonder enige vorm van kennisgeving en de verwerkingen zijn dus noch behoorlijk noch transparant 126. Ondanks de omvangrijke documentatie die IAB Europe op haar website aan de deelnemers aan het TCF ter beschikking stelt, wordt er nergens vermeld dat het TCF zelf óók verwerkingen van persoonsgegevens impliceert, zo stellen de klagers. Meer nog, de documentatie miskent uitdrukkelijk ten aanzien van de deelnemers aan TCF dat het TCF zelf verwerkingen van persoonsgegevens met zich meebrengt. 127. De TCF Implementatierichtlijnen zouden doen uitschijnen alsof er hypotheses zouden bestaan waarin deelname aan het TCF géén verwerkingen van persoonsgegevens met zich mee zouden brengen. Er wordt aan adtech vendors en DSPs, die reeds aan het TCF deelnemen, immers gezegd dat ze zich best als vendor registreren als ze persoonsgegevens zouden verwerken. Dit impliceert volgens de klagers dat ze dit niet moeten doen indien ze géén persoonsgegevens zouden verwerken. Deze laatste situatie is echter geheel onmogelijk, aldus de klagers, vermits het TCF inherent vereist dat er persoonsgegevens verwerkt worden. 128. Volgens de klagers zijn de mededelingen in de richtsnoeren van IAB Europe misleidend voor de honderden vendors die het TCF gebruiken. Doordat IAB Europe de deelnemers aan het TCF niet wijst op de verwerkingen van persoonsgegevens die een implementatie van het TCF noodzakelijkerwijze met zich mee zal brengen, weet of beseft geen enkele van deze deelnemers zelf dat zij hier een transparantieverplichting hebben. Op deze manier worden betrokkenen — zoals de klagers — door geen enkele deelnemer geïnformeerd over de verwerkingen van persoonsgegevens binnen het TCF. 129. IAB Europe komt evenmin haar eigen transparantieverplichting na. Noch op haar eigen website noch in andere bronnen communiceert de verweerster de door artikelen 13 en 14 vereiste informatie aan betrokkenen, zoals de klagers. Het zou daarbij gaan om de volgende informatie: dat IAB Europe verwerkingsverantwoordelijke voor het TCF is en haar contactgegevens; de contactgegevens van haar functionaris voor gegevensbescherming; wat haar verwerkingsdoeleinden zijn en de rechtsgrond voor de verwerking; welke categorieën van persoonsgegevens zij verwerkt (in het bijzonder de TC String); wie de persoonsgegevens ontvangt (dit zijn al minstens alle deelnemers aan het TCF die de TC String ontvangen); dat IAB Europe voornemens is de persoonsgegevens door te geven aan ontvangers in derde landen; hoelang de persoonsgegevens bewaard blijven; wat haar gerechtvaardigde belangen voor de verwerking zijn; wat de rechten van de betrokkenen zijn; dat de betrokkenen klacht kunnen neerleggen bij de GBA; dat de betrokkenen hun gegeven toestemmingen weer kunnen intrekken; en tot slot wat de bron van de persoonsgegevens is. 130. IAB Europe kan zich tezelfdertijd niet beroepen op één van de in artikel 14.5 AVG bepaalde uitzonderingen om deze informatie niét te moeten verschaffen, aangezien: 34 a. de betrokkenen nog niet over de informatie beschikken, vermits de verwerkingen ten aanzien van hen tot nog toe heimelijk gebeuren (artikel 14.5.a AVG); b. het niet onmogelijk is noch onevenredig veel inspanningen vergt om deze informatie ter kennis te brengen aan betrokkenen, gelet op de invloed die IAB Europe uitoefent over de werking van het TCF (artikel 14.5.b AVG); c. het verkrijgen van deze gegevens niet bij wet voorgeschreven is (artikel 14.5.c AVG); en d. de persoonsgegevens niet vertrouwelijk moeten blijven uit hoofde van het beroepsgeheim (artikel 14.5.d AVG). IAB Europe’s verwijzing naar de Vectaury-zaak in Frankrijk houdt geen steek 131. Volgens de klagers meent IAB Europe ten onrechte dat zij op de beslissing van de Franse toezichthoudende autoriteit CNIL in de Vectaury-zaak kan steunen. IAB Europe beweert immers ten onrechte dat het vreemd zou zijn dat de Inspectiedienst inbreuken in verband met de verwerkingen van persoonsgegevens in het TCF heeft vastgesteld, terwijl de CNIL geen problemen zou hebben met de legitimiteit van deze verwerkingen. De klagers stellen dat IAB Europe hier veronderstellingen maakt en tot conclusies komt die helemaal niet uit de Vectaury-zaak afgeleid kunnen worden: • Ten eerste ging het in de Vectaury-zaak om de specifieke implementatie van een CMP door Vectaury waarbij het TCF geïmplementeerd zou zijn. De rol van IAB Europe was niet het voorwerp van die procedure en de CNIL heeft dan ook geen uitspraak gedaan over, noch onderzoek gevoerd naar, de rol van IAB Europe in het aanbieden van het TCF. • Ten tweede betrof het in die zaak specifiek de vraag of de implementatie van het TCF door Vectaury de onderliggende verwerkingen van real-time bidding systemen in overeenstemming met de AVG kon brengen. Het oordeel van de CNIL was overduidelijk negatief, aangezien Vectaury op haar website zelf aangeeft in dialoog met de CNIL een totaal nieuwe methode te hebben gecreëerd. Het is volgens de klagers dan ook misleidend van IAB Europe om te beweren dat de CNIL het TCF op zich zou hebben gelegitimeerd als zijnde afdoende om real-time bidding systemen in overeenstemming met de AVG te brengen. • Ten derde stellen de klagers dat het onderzoek van de CNIL zich niet heeft toegespitst op de legitimiteit van de verwerkingen van persoonsgegevens binnen het TCF. De CNIL heeft niet gekeken naar het genereren en verspreiden van de TC String als een op zichzelf staande verwerking en heeft er dan ook geen enkele uitspraak over gedaan. 35 132. Volgens de klagers zijn de beslissingen van de CNIL in de Vectaury-zaak dan ook niet relevant, vermits het om een duidelijk ander geval ging, gericht tegen een andere partij, omtrent andere betrokken verwerkingen en onder intussen vervangen wetgeving. De Geschillenkamer volgt in deze het standpunt van de klagers en bespreekt de Vectaury-zaak, die op een andere casus betrekking heeft dan de onderhavige zaak, niet. c. Schending van de beginselen inzake integriteit en vertrouwelijkheid (artikelen 5.1.f en 32 AVG) 133. IAB Europe schendt volgens klagers de integriteit en vertrouwelijkheidsverplichtingen uit de AVG omdat zij de uitwisseling van persoonsgegevens in het TCF, in het bijzonder de uitwisseling van de TC String, met talloze partijen faciliteert, zonder na te gaan of alle ontvangers van deze persoonsgegevens de regels van de AVG naleven. 134. Het staat vast dat de TC String met duizenden bedrijven wordt gedeeld. De TC String moet daarom, in overeenstemming met artikelen 5.1.f et 32 AVG, met passende maatregelen worden beschermd. IAB Europe heeft echter geen passend beschermingsmechanisme ingebouwd: net als voor alle andere verwerkingen binnen het OpenRTB-systeem bestaat er ook voor de TC String geen enkele manier om te controleren dat ontvangers de TC String effectief verwerken in overeenstemming met de AVG. Geen van de mechanismen die IAB Europe voorlegt is immers gebaseerd op reële, proactieve controle op naleving van de TCFregels, zo stellen de klagers. 135. De klagers betwisten de argumentatie van IAB Europe dat zij geen enkele verplichting zou hebben om het TCF, en dan in het bijzonder de afspraken gemaakt binnen het TCF, af te dwingen. De klagers stellen dat het wel degelijk haar verplichting is om als verwerkingsverantwoordelijke de afspraken binnen het TCF af te dwingen en ten minste op deze manier bepaalde waarborgen te bieden voor een veilige verwerking van de TC String. 136. Ten tweede wijzen klagers op beweringen van IAB Europe dat zij als beheersorganisatie “substantiële inspanningen” levert om de afspraken binnen het TCF af te dwingen. Volgens de klagers ontbreekt enig bewijs van deze beweerde “substantiële inspanningen”. Voorts stellen ze dat IAB Europe voor elke geregistreerde deelnemer aan het TCF zou moeten verifiëren in hoeverre deze alle afspraken nakomt, hetgeen gezien de schaal van de gegevensverwerkingen een enorm onderzoek zou impliceren. Bovendien verwijzen de klagers naar het antwoord dat IAB Europe zelf gaf ten opzichte van de Inspectiedienst: “The reporting obligation itself is not currently monitored. Moreover, it is difficult to monitor it because it would be difficult for IAB Europe to establish whether or not or when a CMP had (or should have had) a “reasonable belief” that another party was not complying” [“Op de rapportageverplichting zelf wordt momenteel niet toegezien. Bovendien is het moeilijk om er toezicht op te houden omdat het voor IAB Europe moeilijk zou zijn om vast te stellen of 36 en wanneer een CMP een "redelijk vermoeden" had (of had moeten hebben) dat een andere partij zich niet hield aan de verplichtingen; vrije vertaling door de Geschillenkamer] 39. 137. Ten derde menen de klagers dat IAB Europe zich ten onrechte probeert te verschuilen achter de contractueel gemaakte afspraken. Volgens de klagers beweert de verweerster dat het zou volstaan dat deelnemers contractueel verplicht zijn enige non-conformiteit aan IAB Europe te melden. 138. De klagers stellen overigens dat IAB Europe als verwerkingsverantwoordelijke van de TCF gebonden is aan de artikelen 5.1.f en 32 AVG, alhoewel het praktisch onmogelijk is om de veiligheid te waarborgen van de verwerkte TC String wanneer die met de duizenden ontvangende bedrijven gedeeld wordt. Volgens de klagers zou dat laatste immers betekenen dat IAB Europe actief controleert dat alle ontvangers van de TC String te allen tijde de verplichtingen uit de AVG naleven opdat de verwerking van de ontvangen TC String niet onrechtmatig zou zijn. 139. Bovendien bewijst de praktijk, aldus de klagers, dat nagenoeg alle deelnemers aan het TCF de TC String op onrechtmatige wijze verwerken, aangezien niet één CMP, niet één publisher en niet één vendor informatie verschaft over het verwerken van de TC String, het doeleinde ervan, de rechtsgrond, dan wel de categorieën van ontvangers. Dit zou volgens de klagers impliceren dat het doorgeven van de TC String aan deze partijen inherent een inbreuk in verband met persoonsgegevens uitmaakt die, gelet op de immense schaal ervan, aanleiding geeft tot een meldplicht bij de toezichthoudende autoriteiten. 140. De praktische onmogelijkheid om de nodige waarborgen te bieden voor de bescherming van de persoonsgegevens (in het bijzonder de TC String) van betrokkenen, wanneer die worden gedeeld met duizenden ontvangers binnen het OpenRTB-systeem, toont volgens de klagers aan dat IAB Europe haar verplichtingen uit hoofde van artikelen 5.1.f en 32 AVG schendt. d. De systematische doorgifte van de TC String naar derde landen zonder passende bescherming (schending van artikel 44 AVG) 141. De klagers stellen dat IAB Europe het TCF zo heeft opgezet dat er op structurele wijze persoonsgegevens — met inbegrip van de TC String, doordat deze in de bid requests geïntegreerd is — in het kader van OpenRTB worden doorgegeven naar talloze bedrijven buiten de Europese Economische Ruimte (EER), zonder dat er voor deze doorgiften passende bescherming wordt geboden. 142. De klagers verwijzen naar de Ad Exchange Xandr (gevestigd in de VS), die aangesloten is bij IAB Europe’s TCF en derhalve in ieder geval de TC String van gebruikers uit de EER 39 Brief van IAB Europe aan de Inspectiedienst van 10 februari 2020, p. 8. 37 ontvangt, waaronder klagers. Als verwerkingsverantwoordelijke voor de verwerkingen van persoonsgegevens in het TCF zou IAB Europe een mechanisme voor doorgifte van persoonsgegevens moeten voorzien opdat de buiten de EER gevestigde Ad Exchanges de TC String zouden mogen ontvangen. 143. Uitwisselingen van de TC String via real-time biddingsystemen zoals OpenRTB zijn structureel van aard en herhalen zich voortdurend in fracties van seconden. De TC String wordt immers met de bid requests meegestuurd. Hierdoor zou het voor IAB Europe niet mogelijk zijn, aldus de klagers, om één van de uitzonderingen in artikel 49 AVG in te roepen. 144. Passende waarborgen zouden de enige mogelijkheid zijn voor IAB Europe om doorgiftes van persoonsgegevens in het TCF te organiseren. Op dit ogenblik voorziet IAB Europe echter niet één vorm van passende waarborgen voor de doorgifte van de TC String via realtime bidding systemen zoals OpenRTB. 145. In lijn met het Schrems II-arrest had IAB Europe,40 boven op de selectie van een vorm van passende waarborgen, ook aanvullende maatregelen moeten nemen om te verhinderen dat persoonsgegevens in derde landen op niet-conforme wijze verwerkt zouden worden. Net als passende waarborgen ontbreken deze aanvullende maatregelen echter evenzeer. De TC String wordt immers op blinde wijze gedeeld met een onbepaald aantal deelnemers aan het OpenRTB-systeem, waar ter wereld deze ook gevestigd mogen zijn. A.7. – Samenvatting van de conclusie van dupliek van de verweerster dd. 25 maart 2021 A.7.1. – Organisaties die persoonsgegevens verwerken binnen het RTB-systeem zijn verantwoordelijk voor de naleving van de AVG en de ePrivacyrichtlijn 146. De verweerster stelt allereerst dat elke partij die deelneemt aan RTB en gebruik maakt van de OpenRTB-specificatie kan ingrijpen in de technische opslag- en/of toegangsverrichtingen op het apparaat van een gebruiker (b.v. het plaatsen van website of verwerker van persoonsgegevens (bv. voor digitale reclamedoeleinden) in het kader van de AVG. Desgevallend zijn al deze partijen zelf verantwoordelijk voor de naleving van hun verplichtingen onder de AVG en de ePrivacyrichtlijn wanneer zij zich bezighouden met RTB. 147. Daarenboven zijn er volgens de verweerster duizenden bedrijven die zich met RTB bezighouden en de OpenRTB-specificatie gebruiken, die evenwel niet aan het TCF deelnemen. Evenzo kunnen partijen het TCF gebruiken voor andere doeleinden dan RTB. IAB Europe benadrukt ook dat uitgevers het TCF kunnen gebruiken voor een hele reeks 40 Arrest HvJEU van 16 juli 2020, C-311/18, Facebook Ireland and Schrems, ECLI:EU:C:2020:559. 38 andere online reclamescenario's dan de OpenRTB-specificatie — waaronder andere soorten RTB-protocollen, maar ook online reclame waarbij helemaal geen RTB komt kijken, zoals de rechtstreekse verkoop van advertentie-inventaris. 148. De verweerster weerlegt tevens de aantijgingen van de klagers dat RTB inherent illegaal zou zijn, door te verwijzen naar het rapport van de Britse toezichthouder (ICO) waarin louter zou vermeld zijn dat RTB "vereist dat organisaties de verantwoordelijkheid nemen voor hun eigen gegevensverwerking, en dat de sector RTB collectief hervormt". De ICO zou overigens de inspanningen die belanghebbenden zoals IAB UK te goeder trouw hebben geleverd om bij te dragen tot dit hervormingsproces, benadrukt hebben in een recentere publicatie41. 149. Voorts stelt de verweerster dat verscheidene toezichthouders hebben opgeroepen tot manieren om de transparantie te vergroten voor betrokkenen door duidelijk aan te geven wie de verwerkingsverantwoordelijken zijn met wie persoonsgegevens zullen gedeeld worden, door de verwerkingsdoeleinden te specificeren en door betrokkenen in staat te stellen controle uit te oefenen over hun persoonsgegevens. Het zijn precies dit soort transparantiemaatregelen die IAB Europe en het TCF beogen te ondersteunen. 150. In het kader van het TCF krijgen betrokkenen de mogelijkheid om vooraf hun goedkeuring te hechten aan een aantal geïdentificeerde derden (vendors) en verwerkingsdoeleinden. Volgens IAB Europe is deze transparantie en controle op voorhand een passend substituut, vanuit het oogpunt van wettelijke naleving, voor het in real time, on-the-fly, één voor één verlenen van toestemming voor toegang, opslag en gegevensverwerking door verwerkingsverantwoordelijken. A.7.2. – IAB Europe kan niet verantwoordelijk worden gesteld voor de vermeende illegale praktijken van deelnemers aan het RTB, omdat het TCF volledig los staat van RTB 151. De verweerster benadrukt dat het TCF slechts één van de vele facultatieve benaderingen is die verwerkingsverantwoordelijken kunnen kiezen om de naleving van de transparantieen toestemmingsvereisten te helpen waarborgen, wanneer zij persoonsgegevens verwerken voor RTB-doeleinden of andere reclamedoeleinden. Bijgevolg ligt de verantwoordelijkheid voor de naleving en voor de eigenlijke beslissingen over de doeleinden en middelen voor deze verwerkingen van persoonsgegevens volledig bij de partijen die zich met RTB bezighouden, en niet bij IAB Europe. 152. De verweerster vermeldt eveneens dat IAB Europe met meerdere toezichthouders contact heeft gehad na de uitrol van de eerste versie van het TCF, alsook met verscheidene 41 Information Commissioner’s Office – Adtech - the reform of real time bidding has started and will continue, 17 January 2020, https://ico.org.uk/about-the-ico/news-and-events/blog-adtech-the-reform-of-real-time-bidding-has-started/. 39 publishers. In navolging op deze gesprekken werd de tweede versie van het TCF ontwikkeld, waarin meerdere verwerkingsdoeleinden werden gebundeld onder één titel in zogenaamde “stacks”, en het gerechtvaardigd belang werd geïntroduceerd als mogelijke rechtsgrond. Verder introduceert het TCF v2 bijkomende doeleinden en “publisher controls”, waarmee uitgevers de toegang tot een bepaald doel kunnen beperken tot een subset van vendors. 153. Tot slot verduidelijkt de verweerster dat IAB Europe steeds voornemens is geweest om het TCF te laten goedkeuren als een transnationale gedragscode. 154. In haar eerste conclusies werpt verweerster procedurele argumenten op met betrekking tot de bevoegdheid van de GBA alsmede de wijze waarop de klachten en het onderzoek werden behandeld. Deze verweermiddelen worden hierna uiteengezet in Sectie A.9. 155. In haar syntheseconclusies stelt verweerster eveneens dat de wijze waarop de GBA de procedure heeft gevoerd niet strookt met artikel 57 AVG. Vermits de klagers hierop echter niet hebben kunnen reageren, werden de debatten op verzoek van de Geschillenkamer heropend. A.8. – Hoorzitting en heropening van de debatten 156. Overeenkomstig artikel 51 van het Reglement van Interne Orde van de Gegevensbeschermingsautoriteit werd een hoorzitting georganiseerd, waarvoor alle partijen werden uitgenodigd. De hoorzitting vond plaats op 11 juni 2021. 157. Er werd een proces-verbaal van de hoorzitting opgemaakt dat als doel heeft preciseringen en aanvullingen weer te geven die tijdens de hoorzitting naar voren zijn gebracht, zonder de elementen uiteengezet in de conclusie te hernemen. Partijen kregen eveneens de gelegenheid hun schriftelijke opmerkingen op het proces-verbaal in te dienen. Een aantal elementen die hierna worden vermeld zijn relevant voor de onderhavige beslising. 158. In het kader van de hoorzitting bevestigde de Inspectiedienst vooreerst zijn standpunt dat IAB Europe als verwerkingsverantwoordelijke optreedt voor de verwerkingen van persoonsgegevens in het kader van het TCF, maar niet voor het OpenRTB. 159. De Inspectiedienst verduidelijkte eveneens dat er persoonsgegevens verzameld worden zoals voorzien in de TCF Policies, in de Terms and Conditions 42 en in het privacy beleid, alsmede dat in de context van de TC String-waarden worden opgeslagen in een euconsentv2 cookie, welke laatste als uitdrukking van de voorkeuren van een gebruiker eveneens als persoonsgegevens worden moeten aangezien. De Inspectiedienst benadrukt tevens dat de 42 Terms and Conditions for the IAB Europe Transparency & Consent Framework (“Terms and Conditions”) (Stuk 33), p. 7. 40 TC String als dusdanig geen informatie bevat die rechtstreeks of onrechtstreeks betrekking heeft op de taxonomie van de website waarnaar de TC String verwijst. Dit laatste aspect heeft betrekking op een essentieel onderscheid tussen de voorkeuren van de gebruiker die in het kader van het TCF verzameld worden, en de persoonsgegevens van diezelfde gebruiker die binnen het OpenRTB systeem verzameld en verspreid worden. Afsluitend verklaart de Inspectiedienst dat de TC String-waarden en het euconsent-v2 elementen persoonsgegevens bevatten, in die zin dat de informatie betrekking heeft op één natuurlijke persoon, bevestigt de Inspectiedienst tevens dat men, met die gegevens alléén, de specifieke betrokkene niet kan identificeren. 160. Tijdens de hoorzitting wierp de verweerster een procedureel punt op, met name dat het de Geschillenkamer niet toegestaan is om te oordelen over de conclusies van de klagers alvorens een analyse is uitgevoerd over de overeenstemming van hun schriftelijke conclusies in vergelijking met de klachten. Tevens vraagt verweerster dat de Geschillenkamer zich uitspreekt over de noodzaak om een aanvullend onderzoek te vragen door de Inspectiedienst, zoals zou voorgeschreven zijn door artikel 57.1.f AVG. De Geschillenkamer zal zich in onderhavige beslissing nader uitspreken over deze procedurele middelen43. 161. Klagers antwoorden tijdens de hoorzitting mondeling op de procedurele argumenten van verweerster. 162. Met betrekking tot het tijdstip waarop de TC String gegenereerd wordt, benadrukt verweerster dat het vastleggen van dit precieze tijdstip niet tot het unieke karakter van een TC String kan leiden, daar de kans bestaat dat twee niet nader geïdentificeerde gebruikers op hetzelfde tijdstip dezelfde voorkeuren geven. Bovendien kan deze tijdstempel alleen niet voldoende zijn om van een unieke tekenreeks te spreken, vermits de waarden van de TC String niet persistent zijn en kunnen variëren in de tijd of naargelang de bezochte websites. 163. Verweerster verklaart ook dat het global consent cookies scenario, waarbij de voorkeurswaarden opgeslagen in één TC String over verscheidene websites heen gelden, niet relevant is gelet op het beperkte toepassingsgebied, ten tijde van de hoorzitting 44, alsmede het voornemen van IAB Europe om, ten gevolge van de vaststelling dat een globale toestemming niet aan het vereiste van een specifieke toestemming voldoet45, deze 43 Zie randnummers 174 e.v. van deze beslissing. Volgens verweerster bedroeg het aantal globally scoped consents wereldwijd hoogstens 0,5% van alle verzamelde toestemmingsignalen en voorkeuren. 45 Artikel 4.11 AVG: “toestemming” van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt 44 41 functionaliteit niet langer te ondersteunen en geleidelijk af te bouwen in de weken na de hoorzitting. 164. Naar aanleiding van de vraag of de toekenning van een subdomein van consensu.org aan CMP door middel van een DNS-delegatie als bepaling van de verwerkingsmiddelen kan worden beschouwd, stelt verweerster dat elk subdomein ten gevolge van de DNS delegatie verwijst naar servers van de CMPs, die bovendien als enige de TC Strings van op de toestellen van gebruikers kunnen inlezen. Daarnaast stelt verweerster dat de registratie van een subdomein van consensu.org louter optioneel is en als dusdanig niet als een essentieel middel voor de verwerking geldt. 165. Klagers benadrukken daarentegen dat een DNS delegatie steeds teruggedraaid kan worden door verweerster, en het niet van belang is dat verweerster geen toegang heeft tot de euconsent-v2 cookies. Klagers werpen bovendien op dat de DNS delegatie wel als een essentieel middel voor de verwerking kan worden beschouwd, vermits de DNS delegatie wordt gebruikt om de TC String verder te verspreiden doorheen het TCF-ecosysteem. 166. Aangaande het bestaan van raakvlakken tussen het TCF en OpenRTB benadrukken klagers dat beide systemen inherent verweven zijn omwille van de koppeling tussen enerzijds de TC String die de CMPs genereren overeenkomstig de instructies van het TCF, en anderzijds bid requests, die geregeld zijn door het OpenRTB. Die laatste worden met andere woorden als vehikel gebruikt voor het verspreiden van de TC String doorheen het OpenRTB ecosysteem. 167. Verweerster verklaart dat beide systemen onafhankelijk kunnen functioneren alsook dat het TCF ontwikkeld werd met het OpenRTB als uitgangspunt en het in die context ingezet kon worden, aangezien OpenRTB de meest gebruikte standaard is in de industrie. Volgens verweerster betekent dit betekent echter niet dat het TCF een essentieel middel is om OpenRTB te gebruiken. 168. Verweerster stelt dat de uitwerking door verweerster van een toekomstige gedragscode in verband met het TCF niet kan worden aangezien als een bewijs van haar (gedeelde) verantwoordelijkheid voor de verwerking van persoonsgegevens in het kader van het TCF. Klagers voegen hieraan toe dat het onmogelijk is om de naleving van de AVG door deelnemende organisaties te controleren, zelfs indien de regels duidelijk omschreven zijn in een handhavingsbeleid. 169. Dienaangaande verwijst verweerster naar de ontwikkeling en geleidelijke uitvoering van geautomatiseerde nalevingsprogramma’s teneinde te controleren in welke mate CMPs en adverteerders (alsook andere adtech vendors) de beleidsregels van het TCF naleven, met inbegrip van toekomstige interne audits van de processen bij voornoemde partijen. Tevens benadrukt verweerster dat het TCF reeds voorziet in sanctiemaatregelen ten aanzien van vendors die zich niet houden aan het raamwerk, zoals tijdelijke opschortingen van hun deelname aan het TCF. 42 170. Aangaande de koppeling tussen de TC String en de individuele gebruiker meent verweerster dat het TCF niet bepaalt hoe deze geschiedt, en evenmin op welke wijze de TC String vervolgens wordt medegedeeld aan de vendors, daar deze elementen geheel onderhevig zijn aan het OpenRTB-specificatie. 171. Verweerster verduidelijkt dat het gebruik van het consensu.org domein louter optioneel is, en dit domein daarenboven niet werd ontwikkeld met het oog op de verwerking of opslag van logs in verband met de TC Strings. 172. Tot slot benadrukt verweerster haar standpunt dat de TC String pas een persoonsgegeven voorstelt nadat deze in het kader van het OpenRTB wordt gekoppeld aan een bid request die reeds persoonsgegevens omvat. 173. Op 9 augustus 2021 besluit de Geschillenkamer na beraadslaging om de debatten te heropenen met betrekking tot specifieke procedurele argumenten van IAB Europe. 174. Op 23 augustus 2021 ontvangt de Geschillenkamer de eerste conclusies van verweerster. Verweerster verklaart dat de GBA artikel 57.1.a en 57.1.f AVG alsook artikel 94, 3° van de WOG zou hebben geschonden. Tevens zou de GBA de beginselen van behoorlijk bestuur en de rechten van verdediging van verweerster niet hebben nageleefd. 175. Met betrekking tot artikel 57.1.f AVG stelt verweerster vooreerst dat klagers nieuwe aantijgingen zouden hebben voorgelegd in hun conclusies, dewelke aldus uitgebreider zouden zijn dan de oorspronkelijke klachten. De GBA zou overigens, aldus verweerster, deze nieuwe aantijgingen niet proactief onderzocht hebben door de Inspectiedienst te vatten met het oog op een nieuw dan wel aanvullend onderzoek. Hierdoor meent verweerster dat de GBA heeft nagelaten haar taken overeenkomstig artikel 57.1.f AVG na te leven. 176. Verder stelt verweerster dat de Geschillenkamer, doordat zij een eerste onderzoek heeft gevraagd aan de Inspectiedienst, zich de facto heeft gebonden tot een procedure waarin elke aantijging dan wel verweermiddel dient onderzocht te worden door de Inspectiedienst. Het besluit van de Geschillenkamer om na een eerste onderzoek en de indiening van de verweermiddelen geen aanvullend onderzoek te vragen zou volgens verweerster geleid hebben tot een schending van artikel 94, § 3 van de WOG. 177. Verweerster merkt tevens op dat zij wegens het ontbreken van een onderzoek door de Inspectiedienst met betrekking tot vermeende nieuwe aantijgingen in de verweermiddelen van klagers evenals een juridische kwalificering van deze aantijgingen, niet in staat is geweest zich afdoende te verdedigen ten aanzien van de klachten jegens IAB Europe. Aldus zou de procedure voor de Geschillenkamer geëvolueerd zijn van een ‘inquisitorial’ naar een ‘adversarial’ procedure waarin de Geschillenkamer niet langer als een administratief geschillenbeslechtingsorgaan zou opgetreden hebben, door voornamelijk rekening te houden met de conclusies en stukken van de klagers, met als gevolg dat de rechten van verdediging van IAB Europe volgens de verweerster geschonden werden. 43 178. Op 6 september 2021 ontving de Geschillenkamer de conclusies van klagers. Klagers menen vooreerst dat de nieuwe middelen van verweerster de beperkte scope van de heropening der debatten hebben overschreden. 179. Ten tweede stellen de klagers dat de aard van de procedure geenszins is gewijzigd, daar de procedure is opgestart vanwege klachten ingediend bij de GBA, met andere woorden als een adversarial procedure, en dit ook altijd is gebleven. 180. Klagers verwijzen ten derde naar artikelen 63, 2° en 94 van de WOG, als tegenargument voor de stelling dat de Geschillenkamer elk door de klagers aangevoerde middel had moeten laten onderzoeken door de Inspectiedienst. Deze bepalingen bieden immers een discretionaire bevoegdheid aan de Geschillenkamer om al dan niet te beslissen dat een (desgevallend aanvullend) onderzoek door de Inspectiedienst nodig is. 181. Verder voeren klagers aan dat de Geschillenkamer onmogelijk na de conclusies en stukken van de partijen nog een onderzoek of aanvullend onderzoek kan laten verrichten door de Inspectiedienst, rekening houdende met de beperkte termijnen van dertig dagen na vatting van de Geschillenkamer door de Eerstelijnsdienst naar aanleiding van de aanhangigmaking van de klacht, resp. de Inspectiedienst na ontvangst een eerste onderzoeksverslag, overeenkomstig artikel 96 WOG. 182. Met betrekking tot het argument van verweerster dat de wijze waarop de Geschillenkamer de zaak heeft behandeld in strijd zou zijn met artikel 57.1.f AVG, werpen klagers op dat deze bepaling vooreerst geen rechtstreekse werking heeft in de zin dat verweerster er rechten kan uit putten. Tevens stellen klagers dat deze bepaling geen invloed kan hebben op de interne structuur en functionering van de toezichthoudende autoriteiten, die met betrekking tot de GBA en de meer bepaald de bevoegdheidsverdeling tussen haar Inspectiedienst en haar Geschillenkamer tot het Belgisch administratief (proces)recht behoren. 183. Voorts verklaren klagers dat artikel 57.1.f AVG niet wijst op een plicht in hoofde van de Geschillenkamer om een onderzoek te vragen aan de Inspectiedienst inzake de klachten, maar op de seponeringsbevoegdheid van de toezichthoudende autoriteiten slaat. 184. Klagers werpen daarenboven op dat het besluit van de Geschillenkamer om een onderzoek te vragen aan de Inspectiedienst haar generlei belet om zich daarnevens te baseren op de conclusies en stukken ingebracht door de partijen, in tegenstelling tot de stellingname door verweerster. 185. Aangaande de door verweerster vermeende nalatigheid van de Geschillenkamer om het zorgvuldigheidsbeginsel na te leven, stellen de klagers dat de Geschillenkamer conform dit beginsel verplicht is om alle stukken van het dossier behoorlijk te studeren opdat haar beslissing zou uitgaan van een juiste en volledige voorstelling van de feiten. Echter houdt 44 dit beginsel wederom geenszins in dat de Geschillenkamer omtrent elk stuk een (aanvullend) onderzoek dient te laten verrichten door de Inspectiedienst. 186. Ten aanzien van het recht van verdediging van verweerster stellen de klagers dat verweerster op grond van de verschillende onderzoeksverslagen van de Inspectiedienst alsook de conclusies en stukken aangevoerd door de klagers, afdoende in kennis werd gesteld van de ingeroepen feiten en geschonden wetsartikelen. Tevens heeft verweerster volgens de klagers voldoende gelegenheden gekregen om zich schriftelijk te verdedigen tegen de juridische en feitelijke aantijgingen van de klagers, gelet op het feit dat de verwerende partij tweemaal conclusies kan indienen. 187. Tot slot verwijzen de klagers naar het ontbreken van concrete voorbeelden, in de laatste conclusies van verweerster, van vermeende nieuwe aantijgingen waarover verweerster niet heeft kunnen concluderen of die niet onderzocht werden door de Inspectiedienst. 188. Op 13 september 2021 ontving de Geschillenkamer de conclusies van antwoord van verweerster. 189. Volgens verweerster bepaalt uitsluitend het onderzoeksverslag de omvang van de aantijgingen, op voorwaarde dat het inspectieverslag zinvol is en gegrond op een uitgebreid onderzoek van de feiten. Voorts stelt verweerster dat het besluit van de Geschillenkamer om een onderzoek te vragen aan de Inspectiedienst ertoe heeft geleid dat de procedure in haar geheel is overgegaan naar een ‘inquisitorial’ procedure, ongeacht of de procedure haar oorsprong vindt in de klachten ingediend bij de GBA. De keuze van de Geschillenkamer om vervolgens geen aanvullend onderzoek te vragen en de verdere procedure louter te grondvesten op de stukken en conclusies van de partijen zou, aldus verweerster, geresulteerd hebben in een inbreuk op haar recht van verdediging. 190. Verweerster meent daarbovenop dat de termijn van dertig dagen voorzien in artikel 96, § 1 van de WOG niet van toepassing is op het verzoek door de Geschillenkamer om een aanvullend onderzoek te laten verrichten door de Inspectiedienst. 191. Verweerster baseert deze redenering op het onderscheid in algemeen bestuursrecht tussen vervaltermijnen en termijnen van orde. Meer bepaald is verweerster van mening dat bij gebrek aan formele bepalingen in de WOG dat het overschrijden van de termijn van 30 dagen een bevoegdheidsverlies meebrengt voor de Geschillenkamer, de termijnen voorzien onder artikel 96 van deze wet moeten worden nageleefd edoch niet op straffe van nietigheid van de te laat genomen beslissing. Volgens verweerster blijft de Geschillenkamer dientengevolge ook na het verstrijken van de termijn van orde van 30 dagen bevoegd om een beslissing tot aanvullend onderzoek te nemen. Deze interpretatie zou, aldus verweerster, overigens volgen uit het groter belang van het recht op verdediging ten opzichte van het recht op een vlotte procedure voor de Geschillenkamer. 45 192. Met betrekking tot de rechtstreekse werking van artikel 57.1.f AVG werpt verweerster op dat het bestaan van een appreciatiemarge voor de Lidstaten de rechtstreekse werking van een bepaling niet uitsluit, maar impliceert dat er moet worden onderzocht of deze bepaling ertoe strekt partijen een waarborg te bieden. Verweerster is van mening dat artikel 57.1.f AVG aan dit vereiste voldoet en verduidelijkt dat haar argument om een aanvullend onderzoek te vragen zich bovendien beperkt tot een beoordeling in feite en in recht van de ondersteunende punten in de procedure. 193. Afsluitend verklaart verweerster dat zij geen eenduidige uiteenzetting van de aard en de omvang van de tenlasteleggingen heeft ontvangen, met uitzondering van de aantijgingen aangevoerd in de verweermiddelen van klagers. Dienaangaande stelt verweerster dat de technische inspectieverslagen louter technische omschrijvingen vervatten, waarin de TC String bovendien nergens vermeld wordt. In punt A.9. hieronder zal de Geschillenkamer uiteenzetten waarom de procedurele rechten, waaronder die met betrekking tot de specificiteit van de tenlastelegging, voldoende zijn geëerbiedigd. A.9. – Procedurele bezwaren door de verweerster A.9.1. – Schendingen van procedurele voorschriften die op het inspectieverslag van toepassing zijn en van de fundamentele rechten en vrijheden van IAB Europe a. Onontvankelijkheid van de klachten 194. De verweerster werpt in eerste instantie op dat enkele van de klachten in het Engels werden ingediend en derhalve niet voldoen aan de formele ontvankelijkheidsvereisten voorzien in artikel 60 van de WOG. 195. Daarnaast meent de verweerster dat de indieners van sommige klachten noch als “klagers” noch als “partij” in de zin van artikelen 93, 95, 98 en 99 van de WOG kunnen worden aangemerkt, met als gevolg dat hun conclusies van de debatten moeten worden uitgesloten en niet in aanmerking genomen kunnen worden. 196. Tot slot beweert zij dat de maatregelen die de GBA op grond van artikel 100 van de WOG kan opleggen geen enkel voordeel opleveren voor deze klagers. 197. IAB Europe meent aldus dat de zaak op onregelmatige wijze werd ingeleid - met name op basis van verschillende niet-ontvankelijke klachten, waardoor de vorderingen tegen IAB Europe moeten worden afgewezen en niet kunnen leiden tot het opleggen van een geldige sanctie of corrigerende maatregel aan IAB Europe. Standpunt van de Geschillenkamer 198. De Geschillenkamer verwijst naar artikel 77.1 AVG, krachtens dewelke betrokkenen het recht hebben een klacht in te dienen in de lidstaat waar zij gewoonlijk verblijven, hun 46 werkplek hebben of waar de beweerde inbreuk is begaan. De vier in het Engels gestelde klachten waarop verweerster doelt werden niet rechtstreeks bij de GBA ingediend, maar bij de nationale toezichthouders bevoegd voor elk van de klagers, in overeenstemming met de lokaal geldende taalwetgeving. In casu zijn de vier klachten ingediend bij respectievelijk de Poolse toezichthouder, de Sloveense toezichthouder, de Italiaanse toezichthouder en de Spaanse toezichthouder, die deze klachten vervolgens hebben doorverwezen naar de Belgische GBA als leidende toezichthoudende autoriteit, overeenkomstig de samenwerkingsprocedure voorzien onder artikel 56 AVG. 199. De formele ontvankelijkheidsvereisten voorzien onder artikel 58 van de WOG, en meer bepaald het vereiste dat een klacht in één van de landstalen dient opgesteld te zijn, gelden uitsluitend voor de klachten die rechtstreeks bij de GBA worden ingediend. Een andere opvatting zou een uitholling betekenen van de effectieve werking van het klachtrecht, één van de kernelementen van de AVG. Van een klager die zijn klacht indient bij een autoriteit van een lidstaat, mag immers niet worden verwacht dat hij deze klacht indient in de taal van de lidstaat van de leidende autoriteit, voor zover dat een andere autoriteit is dan de autoriteit waar hij zijn klacht indient. Hieruit volgt dat de vier klachten in kwestie op rechtsgeldige wijze bij de GBA aanhangig zijn gemaakt. 200. In verband met het door de verweerster opgeworpen gebrek aan belang van Fundacja Panoptykon alsook van andere klagers voor de klachten ingediend via het Europees “éénloketmechanisme”, stelt de Geschillenkamer vast dat Fundacja Panoptykon de klacht ingediend heeft bij de Poolse toezichthoudende autoriteit namens mevrouw Katarzyna Szymielewicz overeenkomstig artikel 80.1 AVG. Op grond van deze bepaling heeft de klager het recht Fundacja Panoptykon opdracht te geven de klacht namens hem in te dienen. 201. Vooreerst stelt de Geschillenkamer vast dat IAB Europe geenszins uitlegt waarom Fundacja Panoptykon hier niet als een klager en partij beschouwd zou kunnen worden. Bovendien zou het betoog van de verweerster geen enkel verschil maken voor de uitkomst van deze beslissing, aangezien er geen twijfel bestaat over de ontvankelijkheid van de andere klachten. 202. Dit argument moet aldus verworpen worden. b. Het inspectieverslag is niet naar behoren gemotiveerd 203. De verweerster gaat vervolgens in op de gebrekkige motivatie van het inspectieverslag. Ten gevolge van het ontbreken van een duidelijk geformuleerde motivering in het inspectieverslag – met inbegrip van het ontbreken van een duidelijk geïdentificeerde verwerkingsverantwoordelijke in verband met een duidelijk omschreven gegevensverwerkingsactiviteit – werpt de verweerster op dat het onderzoeksverslag niet alleen in strijd is met de verplichting van de GBA om haar beslissingen uitdrukkelijk en afdoende te motiveren, maar dat het inspectieverslag eveneens een duidelijke schending 47 van de rechten van verdediging van IAB Europe vormt. Bijgevolg schendt het inspectierapport de rechten van verdediging van IAB Europe, neergelegd in artikel 6 EVRM en artikel 47 van het Handvest van de grondrechten. Standpunt van de Geschillenkamer 204. IAB Europe’s bewering dat het verslag van de Inspectiedienst van 13 juli 2020 niet afdoende gemotiveerd zou zijn, is onjuist. Zoals ook uit de weergave van dit Inspectierapport in deze beslissing blijkt, bevat het Inspectierapport een uitvoerige motivering. 205. Bovendien ziet IAB Europe over het hoofd dat de Inspectiedienst naast het verslag van 13 juli 2020 andere zeer uitgebreide en gedetailleerde technische verslagen opgesteld heeft (stukken 24 en 53). Tot slot wijst de Geschillenkamer op de uitvoerige schriftelijke en mondelinge standpuntuitwisseling tussen partijen voor haar kamer. De eenvoudige stelling van IAB Europe omtrent het miskennen van haar recht op verdediging is dan ook zonder voorwerp, zoals in de volgende paragrafen uiteengezet. c. Onvolledigheid en partijdigheid van het inspectieverslag 206. Verweerster verwijst naar artikel 58.4 AVG, dat voorziet dat de procedure voor de GBA moet worden gevoerd met inachtneming van de “passende waarborgen, met inbegrip van [...] een eerlijke rechtsbedeling”. Volgens de verweerster geldt dit beginsel desgelijks voor het onderzoek door de Inspectiedienst, alsmede de vaststellingen die zijn neergelegd in het inspectieverslag. 207. Verwijzend naar de gelijkenissen met de rol en de taken van een openbaar aanklager in een gewone strafprocedure, beweert de verweerster dat de basisbeginselen van loyaliteit, onpartijdigheid en onafhankelijkheid