62023CJ0492
ROZSUDOK SÚDNEHO DVORA (veľká komora)
z 2. decembra 2025 (
*1
)
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Zodpovednosť prevádzkovateľa online trhoviska za uverejňovanie osobných údajov obsiahnutých v inzerátoch umiestnených na jeho online trhovisku používateľmi, ktorí sú inzerentmi – Článok 5 ods. 2 – Zásada zodpovednosti – Článok 26 – Spoločná zodpovednosť s týmito používateľmi inzerentmi – Článok 9 ods. 1 a článok 9 ods. 2 písm. a) – Inzeráty obsahujúce citlivé údaje – Zákonnosť spracúvania – Súhlas – Články 24, 25 a 32 – Povinnosti prevádzkovateľa – Predbežná identifikácia inzerátov obsahujúcich takéto údaje – Predbežné overenie totožnosti používateľa inzerenta – Odmietnutie uverejnenia nezákonných inzerátov – Bezpečnostné opatrenia, ktoré bránia kopírovaniu inzerátov a ich uverejňovaniu na iných internetových stránkach – Elektronický obchod – Smernica 2000/31/ES – Články 12 až 15 – Možnosť takéhoto prevádzkovateľa dovolávať sa v súvislosti s porušením týchto povinností oslobodenia od zodpovednosti sprostredkovateľa služieb informačnej spoločnosti“
Vo veci C‑492/23,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko) z 15. júna 2023 a doručený Súdnemu dvoru 3. augusta 2023, ktorý súvisí s konaním:
X
proti
Russmedia Digital SRL,
Inform Media Press SRL,
SÚDNY DVOR (veľká komora),
v zložení: predseda K. Lenaerts, podpredseda T. von Danwitz, predsedovia komôr F. Biltgen, K. Jürimäe (spravodajkyňa), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele, J. Passer, sudcovia S. Rodin, E. Regan, N. Jääskinen a D. Gratsias,
generálny advokát: M. Szpunar,
tajomník: R. Şereş, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 2. júla 2024,
so zreteľom na pripomienky, ktoré predložili:
–
X, v zastúpení: I. Kis, avocată,
–
rumunská vláda, v zastúpení: E. Gane, L. Ghiţă a R. I. Haţieganu, splnomocnené zástupkyne,
–
Európska komisia, v zastúpení: L. Armati, H. Kranenborg, P.‑J. Loewenthal, a L. Nicolae, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní zo 6. februára 2025,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článkov 12 až 15 smernice 2000/31/ES Európskeho parlamentu a Rady z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) (Ú. v. ES L 178, 2000, s. 1; Mim. vyd. 13/025, s. 399), ako aj článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. b) a f), článku 6 ods. 1 písm. a) a článkov 7, 24 a 25 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi fyzickou osobou, pani X, na jednej strane a spoločnosťami Russmedia Digital SRL a Inform Media Press SRL (ďalej spoločne len „Russmedia“) na druhej strane vo veci žaloby o náhradu nemajetkovej ujmy, ktorú žalobkyňa vo veci samej utrpela z dôvodu nezákonného spracúvania jej osobných údajov, ako aj z dôvodu porušenia jej práva na osobné zobrazenie, česť a na súkromný život.
Právny rámec
Právo Únie
Smernica 2000/31
3
Podľa znenia odôvodnení 14, 42, 46 a 52 smernice 2000/31:
„(14)
Ochranu jednotlivcov v súvislosti so spracovaním osobných údajov upravuje výlučne smernica Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane jednotlivcov v súvislosti so spracovaním osobných údajov a o voľnom pohybe takýchto údajov [(Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355)] a smernica Európskeho parlamentu a Rady 97/66/ES z 15. decembra 1997 týkajúca sa spracovania osobných údajov a ochrany súkromia v sektore telekomunikácií [(Ú. v. ES L 24, 1998, s. 1)], ktoré sú v plnom rozsahu uplatniteľné aj na služby informačnej spoločnosti. … Vykonávanie a uplatňovanie tejto smernice by mali byť plne v súlade so zásadami súvisiacimi s ochranou osobných údajov, najmä čo sa týka nevyžiadanej komerčnej komunikácie a zodpovednosti sprostredkovateľov. Táto smernica nemôže brániť anonymnému používaniu otvorených sietí, ako napríklad internetu.
…
(42)
Výnimky zo zodpovednosti ustanovené v tejto smernici sa vzťahujú len na prípady, kde činnosť poskytovateľa služieb informačnej spoločnosti je obmedzená na technický proces prevádzky a poskytovania prístupu ku komunikačnej sieti, prostredníctvom ktorej sa prenášajú alebo dočasne uchovávajú informácie sprístupnené tretím stranám s jediným účelom, zabezpečiť, aby bol prenos efektívnejší, táto činnosť má výlučne technickú, automatickú a pasívnu povahu, ktorá znamená, že poskytovateľ služieb informačnej spoločnosti nemá ani nepozná, ani nemá kontrolu nad informáciami, ktoré sú prenášané alebo uchovávané.
…
(46)
Ak chce poskytovateľ služby informačnej služby, ktorá pozostáva z uchovávania informácií, využiť výhody vyplývajúce z obmedzenia zodpovednosti, musí po skutočnom dozvedení sa o nezákonných činnostiach alebo po ich uvedomení si rýchlo konať, aby príslušné informácie odstránil alebo znemožnil prístup k nim; odstránenie alebo znemožnenie prístupu sa musí urobiť pri súčasnom dodržaní zásady slobody prejavu alebo postupov ustanovených za týmto účelom na národnej úrovni; táto smernica nemá vplyv na možnosť členských štátov ustanoviť špecifické požiadavky, ktoré musia byť splnené ešte pred odstránením informácií alebo pred znemožnením prístupu k nim.
…
(52)
… Škoda, ktorá by mohla vzniknúť v súvislosti so službami informačnej spoločnosti, je charakteristická ako svojou rýchlosťou, tak svojim geografickým rozsahom; vzhľadom na túto špecifickú povahu a potrebu zabezpečiť, aby vnútroštátne orgány neohrozovali vzájomnú dôveru, ktorú by mali mať navzájom voči sebe, táto smernica vyžaduje od členských štátov, aby zabezpečili, aby boli k dispozícii vhodné súdne konania. …“
4
Článok 1 smernice 2000/31 s názvom „Cieľ a rozsah“ stanovuje:
„1.   Táto smernica sa snaží prispieť k riadnemu fungovaniu vnútorného trhu zabezpečením voľného pohybu služieb informačnej spoločnosti medzi členskými štátmi.
…
5.   Dohovor [Táto smernica – neoficiálny preklad] sa nevzťahuje na:
…
b) otázky týkajúce sa služieb informačnej spoločnosti, na ktoré sa vzťahujú smernice [95/46] a [97/66];
…“
5
Oddiel 4 kapitoly II smernice 2000/31, nazvaný „Zodpovednosť sprostredkovateľov poskytovateľov služieb [Zodpovednosť poskytovateľov sprostredkovateľských služieb – neoficiálny preklad]“, v znení uplatniteľnom na konanie vo veci samej, obsahoval články 12 až 15 tejto smernice. Články 12 a 13 tejto smernice sa v súlade s ich názvami týkali činností „Mere conduit (Púhy kanál) [jednoduchý prenos – neoficiálny preklad]“ a „‚Caching‘ (Ukladanie informácií v pamäti)“.
6
Článok 14 uvedenej smernice, nazvaný „Uloženie informácií na hostiteľskom počítači [„Hosting“ – neoficiálny preklad]“, stanovoval:
„1.   Ak sa poskytuje služba informačnej spoločnosti, ktorá pozostáva z uloženia informácií, ktoré sú poskytované príjemcom tejto služby, musia členské štáty zabezpečiť, aby poskytovateľ služby nebol zodpovedný za informácie uložené na žiadosť príjemcu služby, pod podmienkou, že:
a)
poskytovateľ nič nevie o nezákonnej činnosti alebo informáciách a čo sa týka nárokov na náhradu škody, nie je si vedomý skutočností alebo okolností, z ktorých by bolo zrejmé, že ide o nezákonnú činnosť alebo informácie;
alebo
b)
poskytovateľ, po zistení alebo uvedomení si týchto skutočností, koná promptne, aby odstránil alebo znemožnil prístup k informáciám.
2.   Odsek 1 sa neuplatní, ak príjemca služby koná na základe právomoci od poskytovateľa alebo pod jeho vedením.
3.   Tento článok nemá vplyv na možnosť súdu alebo správneho orgánu požiadať poskytovateľa služieb, v súlade s právnymi systémami členských štátov, aby ukončil alebo predchádzal porušovaniu predpisov, a nemá vplyv ani na možnosť členských štátov, aby začali konanie, ktoré by nariadilo odstránenie alebo znemožnenie prístupu k informáciám.“
7
Článok 15 tej istej smernice, nazvaný „Žiadna všeobecná povinnosť monitorovať“ [„Neexistencia povinnosti monitorovať“ – neoficiálny preklad]“, v odsekoch 1 a 2 stanovoval:
„1.   Členské štáty neuložia poskytovateľom všeobecnú povinnosť pri poskytovaní služieb, na ktoré sa vzťahujú články 12, 13 a 14, aby monitorovali informácie, ktoré prenášajú alebo ktoré uložili, ani všeobecnú povinnosť aktívne zisťovať skutočnosti alebo okolnosti, ktoré by naznačovali, že ide o nezákonnú činnosť.
2.   Členské štáty môžu ustanoviť povinnosť, aby poskytovatelia služieb informačnej spoločnosti informovali príslušné verejné orgány o údajných vykonávaných nezákonných činnostiach alebo o údajných nezákonných poskytovaných informáciách, alebo povinnosť oznamovať príslušným orgánom na ich žiadosť informácie, ktoré by im umožnili identifikáciu príjemcov ich služieb, s ktorými uzatvorili dohody o uložení informácií.“
GDPR
8
Podľa odôvodnení 4, 10, 39, 51, 74, 75, 78 a 85 GDPR:
„(4)
Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v [Charte základných práv Európskej únie, ďalej len ‚Charta‘], ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
…
(39)
Každé spracúvanie osobných údajov by malo byť zákonné a spravodlivé. Pre fyzické osoby by malo byť transparentné, že sa získavajú, používajú, konzultujú alebo inak spracúvajú osobné údaje, ktoré sa ich týkajú, ako aj to, v akom rozsahu sa tieto osobné údaje spracúvajú alebo budú spracúvať. Zásada transparentnosti si vyžaduje, aby všetky informácie a komunikácia súvisiace so spracúvaním týchto osobných údajov boli ľahko prístupné a ľahko pochopiteľné a formulované jasne a jednoducho. Uvedená zásada sa týka najmä informácií pre dotknuté osoby o identite prevádzkovateľa a účeloch spracúvania, a ďalších informácií na zabezpečenie spravodlivého a transparentného spracúvania, pokiaľ ide o dotknuté fyzické osoby a ich právo získať potvrdenie a oznámenie spracúvaných osobných údajov, ktoré sa ich týkajú. …
…
(51)
Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. … Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nie je povolené v osobitných prípadoch stanovených v tomto nariadení… Okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami, najmä ak spracúvanie vykonávajú v rámci legitímnych činností určité združenia alebo nadácie, ktorých účelom je umožniť výkon základných slobôd.
…
(74)
Mali by sa stanoviť povinnosti a zodpovednosť prevádzkovateľa v súvislosti s akýmkoľvek spracúvaním osobných údajov, ktoré vykonáva sám alebo ktoré sa vykonáva v jeho mene. Prevádzkovateľ by mal byť najmä povinný prijať primerané a účinné opatrenia a vedieť preukázať súlad spracovateľských činností s týmto nariadením vrátane účinnosti opatrení. V uvedených opatreniach by sa mala zohľadniť povaha, rozsah, kontext a účel spracúvania a riziko pre práva a slobody fyzických osôb.
(75)
Riziká pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä: ak spracúvanie môže viesť k… krádeži totožnosti alebo podvodu [zneužitiu totožnosti – neoficiálny preklad]_… poškodeniu dobrého mena_… ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo im bolo bránené v kontrole nad svojimi osobnými údajmi;…
…
(78)
Ochrana práv a slobôd fyzických osôb pri spracúvaní osobných údajov si vyžaduje, aby sa prijali primerané technické a organizačné opatrenia s cieľom zabezpečiť splnenie požiadaviek tohto nariadenia. Na to, aby mohol prevádzkovateľ preukázať súlad s týmto nariadením, by mal prijať interné pravidlá a prijať opatrenia, ktoré budú predovšetkým spĺňať zásady špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov. …
…
(85)
Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu, ako je napríklad strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb, diskriminácia, krádež totožnosti alebo podvod [zneužitie totožnosti – neoficiálny preklad]_… poškodenie dobrého mena…“
9
Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:
„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“
10
Článok 2 uvedeného nariadenia s názvom „Vecná pôsobnosť“ v odseku 4 stanovuje:
„Týmto nariadením preto nie je dotknuté uplatňovanie smernice [2000/31], najmä pravidlá týkajúce sa zodpovednosti poskytovateľov služieb informačnej spoločnosti uvedené v článkoch 12 až 15 uvedenej smernice.“
11
Článok 4 toho istého nariadenia, nazvaný „Vymedzenie pojmov“, znie:
„Na účely tohto nariadenia:
1)
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
2)
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7)
‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;
…
11)
‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
…“
12
Kapitola II GDPR s názvom „Zásady“ obsahuje okrem iného články 5 až 9.
13
Článok 5 tohto nariadenia, nazvaný „Zásady spracúvania osobných údajov“, stanovuje:
„1.   Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b)
získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi… (‚obmedzenie účelu‘);
…
d)
správne a podľa potreby aktualizované; musia sa prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia (‚správnosť‘);
…
f)
spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení (‚integrita a dôvernosť‘);
2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
14
Článok 6 uvedeného nariadenia s názvom „Zákonnosť spracúvania“, v odseku 1 prvom pododseku stanovuje:
„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b)
spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
c)
spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
d)
spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby;
e)
spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
f)
spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osob[o]u dieťa.“
15
Článok 7 toho istého nariadenia s názvom „Podmienky vyjadrenia súhlasu“ v odseku 1 stanovuje:
„Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.“
16
Článok 9 GDPR, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, stanovuje:
„1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a)
dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
…“
17
Článok 13 tohto nariadenia, nazvaný „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 písm. a) stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
a)
totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa.“
18
Článok 14 uvedeného nariadenia, nazvaný „Informácie, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby“, v odseku 1 písm. a) stanovuje:
„Ak osobné údaje neboli získané od dotknutej osoby, prevádzkovateľ poskytne dotknutej osobe tieto informácie:
a)
totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa.“
19
Článok 17, nazvaný „Právo na vymazanie (právo ‚na zabudnutie‘)“, nachádzajúci sa v kapitole III toho istého nariadenia, nazvanej „Práva dotknutej osoby“, v odsekoch 1 a 2 stanovuje:
„1.   Dotknutá osoba má tiež právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:
…
d) osobné údaje sa spracúvali nezákonne;
…
2.   Ak prevádzkovateľ zverejnil osobné údaje a podľa odseku 1 je povinný vymazať osobné údaje, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópiu alebo repliky.“
20
Kapitola IV GDPR s názvom „Prevádzkovateľ a sprostredkovateľ“ obsahuje v oddiele 1, nazvanom „Všeobecné povinnosti“, najmä články 24 až 26 tohto nariadenia.
21
Článok 24 tohto nariadenia s názvom „Zodpovednosť prevádzkovateľa“ v odseku 1 stanovuje:
„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.“
22
Článok 25 uvedeného nariadenia, nazvaný „Špecificky navrhnutá a štandardná ochrana údajov“, v odsekoch 1 a 2 stanovuje:
„1.   So zreteľom na najnovšie poznatky. náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, prevádzkovateľ v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania prijme primerané technické a organizačné opatrenia, ako je napríklad pseudonymizácia, ktoré sú určené na účinné zavedenie zásad ochrany údajov, ako je minimalizácia údajov, a začlení do spracúvania nevyhnutné záruky s cieľom splniť požiadavky tohto nariadenia a chrániť práva dotknutých osôb.
2.   Prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu [dotknutej – neoficiálny preklad] fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.“
23
Článok 26 toho istého nariadenia, nazvaný „Spoloční prevádzkovatelia“, v odseku 1 stanovuje:
„Ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, sú spoločnými prevádzkovateľmi. Transparentne určia svoje príslušné zodpovednosti za plnenie povinností podľa tohto nariadenia, najmä pokiaľ ide o vykonávanie práv dotknutej osoby, a svoje povinnosti poskytovať informácie uvedené v článkoch 13 a 14, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti prevádzkovateľov určené právom Únie alebo právom členského štátu, ktorému prevádzkovatelia podliehajú. V dohode sa môže určiť kontaktné miesto pre dotknuté osoby.“
24
Podľa znenia článku 32 nariadenia GDPR s názvom „Bezpečnosť spracúvania“:
„1.   Prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:
a)
pseudonymizáciu a šifrovanie osobných údajov;
b)
schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb;
c)
schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;
d)
proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.
2.   Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.
3.   Dodržiavanie [Uplatňovanie – neoficiálny preklad] schváleného kódexu správania uvedeného v článku 40 alebo schváleného certifikačného mechanizmu uvedeného v článku 42 sa môže použiť ako prvok na preukázanie súladu s požiadavkami uvedenými v odseku 1 tohto článku.
4.   Prevádzkovateľ a sprostredkovateľ podniknú kroky na zabezpečenie toho, aby každá fyzická osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa práva Únie alebo práva členského štátu.“
25
Článok 82 tohto nariadenia, nazvaný „Právo na náhradu škody a zodpovednosť“, v odsekoch 1 až 3 stanovuje:
„1.   Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.
2.   Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením. Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním, len ak neboli splnené povinnosti, ktoré sa týmto nariadením ukladajú výslovne sprostredkovateľom, alebo ak konal nad rámec alebo v rozpore s pokynmi prevádzkovateľa, ktoré boli v súlade so zákonom.
3.   Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.“
26
Článok 94 toho istého nariadenia uvádza:
„1.   Smernica [95/46] sa zrušuje s účinnosťou od 25. mája 2018.
2.   Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie. …“
Rumunské právo
27
Článok 11 Legea nr. 365/2002 privind comerțul electronic (zákon č. 365/2002 o elektronickom obchode) zo 7. júna 2002 (Monitorul Oficial al României, časť I, č. 483 z 5. júla 2002), v znení Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (zákon č. 121/2006, ktorým sa mení a dopĺňa zákon č. 365/2002 o elektronickom obchode), zo 4. mája 2006 (Monitorul Oficial al României, časť I, č. 403 z 10. mája 2006) (ďalej len „zákon č. 365/2002“) stanovuje:
„1.   Na poskytovateľov služieb sa vzťahujú zákonné ustanovenia o občianskoprávnej, trestnoprávnej zodpovednosti a o zodpovednosti za správne delikty, ak tento zákon neustanovuje inak.
2.   Poskytovatelia služieb sú zodpovední za informácie, ktoré poskytli sami, alebo ktoré boli poskytnuté v ich mene.
3.   Poskytovatelia služieb nie sú zodpovední za informácie prenášané, uchovávané alebo sprístupňované za podmienok stanovených v článkoch 12 až 15.“
28
Článok 14 zákona č. 365/2002 nazvaný „Trvalé uchovávanie informácií, hosting“ stanovuje:
„1.   Ak služba informačnej spoločnosti spočíva v uchovávaní informácií poskytnutých príjemcom tejto služby, poskytovateľ tejto služby nezodpovedá za informácie uložené na žiadosť príjemcu, ak je splnená jedna z týchto podmienok:
a)
poskytovateľ služby si nie je vedomý toho, že činnosť alebo uchovávané informácie sú nezákonné, a pokiaľ ide o nároky na náhradu škody, nie sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že by predmetná činnosť alebo informácie mohli poškodiť práva tretej osoby;
b)
ak si je poskytovateľ služby vedomý skutočnosti, že predmetná činnosť alebo informácie sú nezákonné, alebo sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že predmetná činnosť alebo informácie by mohli poškodiť práva tretej osoby, poskytovateľ služby bezodkladne koná s cieľom ich odstrániť alebo znemožniť k nim prístup.
2.   Ustanovenia odseku 1 sa neuplatňujú, ak príjemca koná pod vedením alebo kontrolou poskytovateľa služieb.
3.   Ustanovenia tohto článku nemajú vplyv na možnosť súdneho alebo správneho orgánu požiadať poskytovateľa služieb, aby ukončil porušovanie ochrany osobných údajov alebo takému porušovaniu predchádzal, ani na možnosť zaviesť vládne postupy na obmedzenie alebo prerušenie prístupu k informáciám.“
29
Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerțul electronic (metodické pravidlá na uplatňovanie zákona č. 365/2002 o elektronickom obchode), schválené prostredníctvom Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (nariadenie vlády č. 1.308, ktorým sa schvaľujú metodické pravidlá na uplatňovanie zákona č. 365/2002 o elektronickom obchode), z 20. novembra 2002 (Monitorul Oficial al României, časť I, č. 877 z 5. decembra 2002), v článku 11 ods. 1 stanovujú:
„Poskytovatelia služieb informačnej spoločnosti, ktorí ponúkajú služby uvedené v článkoch 12 až 15 zákona [č. 365/2002], nie sú povinní monitorovať informácie, ktoré prenášajú alebo uchovávajú, ani sa od nich nevyžaduje, aby aktívne vyhľadávali údaje týkajúce sa zjavne nezákonných činností alebo informácií v oblasti služieb informačnej spoločnosti, ktoré poskytujú.“
Spor vo veci samej a prejudiciálne otázky
30
Russmedia Digital, spoločnosť založená podľa rumunského práva, je vlastníkom internetovej stránky www.publi24.ro, ktorá je online trhoviskom, na ktorom sa môžu uverejňovať inzertné oznamy týkajúce sa najmä predaja tovaru alebo poskytovania služieb v Rumunsku, a to bezplatne alebo za odplatu.
31
Žalobkyňa vo veci samej tvrdí, že 1. augusta 2018 neidentifikovaná tretia osoba uverejnila na tejto internetovej stránke nepravdivý a škodlivý inzerát, v ktorom ju prezentovala ako osobu ponúkajúcu sexuálne služby. Inzerát obsahoval najmä fotografie žalobkyne vo veci samej, ktoré boli použité bez jej súhlasu, ako aj jej telefónne číslo. Tento inzerát bol následne identicky prevzatý na iných internetových stránkach s reklamným obsahom, kde bol uverejnený online, s uvedením pôvodného zdroja. Russmedia Digital, ktorú kontaktovala žalobkyňa vo veci samej, odstránila uvedený inzerát zo svojej internetovej stránky menej ako hodinu po doručení žiadosti. Ten istý inzerát však zostal dostupný na iných internetových stránkach, ktoré ho prevzali.
32
Keďže žalobkyňa vo veci samej sa domnievala, že predmetný inzerát, o ktorý ide vo veci samej, porušil jej práva na osobné zobrazenie, česť a dobrú povesť, ako aj na súkromný život, rovnako ako pravidlá týkajúce sa spracúvania osobných údajov, podala žalobu proti spoločnosti Russmedia na Judecătoria Cluj‑Napoca (Súd prvej inštancie Kluž‑Napoca, Rumunsko). Tento súd uložil spoločnosti Russmedia povinnosť zaplatiť jej náhradu škody vo výške 7000 eur z dôvodu nemajetkovej ujmy spôsobenej zásahom do práva na osobné zobrazenie, cti a dobrej povesti, ako aj porušením práva na rešpektovanie jej súkromného života a nezákonným spracúvaním jej osobných údajov.
33
Russmedia podala proti tomuto rozsudku odvolanie. Tribunalul Specializat Cluj (Špecializovaný vyšší súd Kluž, Rumunsko) tomuto odvolaniu vyhovel, pričom rozhodol, že žaloba žalobkyne vo veci samej nie je dôvodná, pretože inzerát, o ktorý ide vo veci samej, nepochádzal od spoločnosti Russmedia, ktorá poskytovala iba službu hostingu tohto inzerátu bez aktívnej účasti spoločnosti Russmedia, pokiaľ ide o jeho obsah. Preto sa naň vzťahuje výnimka zo zodpovednosti stanovená v článku 14 ods. 1 písm. b) zákona č. 365/2002. Pokiaľ ide o spracúvanie osobných údajov, tento súd sa domnieval, že poskytovateľ služieb informačnej spoločnosti nie je povinný kontrolovať informácie, ktoré prenáša, ani aktívne vyhľadávať údaje týkajúce sa činností alebo informácií, ktoré sú zjavne nezákonné. V tejto súvislosti rozhodol, že spoločnosti Russmedia nemožno vytýkať, že neprijala opatrenia na zabránenie online šírenia hanlivého inzerátu, o ktorý ide vo veci samej, keďže tento inzerát na žiadosť žalobkyne vo veci samej urýchlene odstránila.
34
Žalobkyňa podala proti tomuto rozsudku odvolanie na Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko), pričom sa domnievala, že Tribunalul Specializat Cluj (Špecializovaný vyšší súd Kluž, Rumunsko) vychádzal z nesprávneho výkladu zákona č. 365/2002. Žalobkyňa vo veci samej najmä tvrdí, že vzhľadom na to, že tento zákon nie je osobitným zákonom vo vzťahu k GDPR, mal tento súd preskúmať uplatniteľnosť tohto nariadenia v prejednávanej veci. Okrem toho Russmedia sa neobmedzuje na to, že svojim zákazníkom poskytuje osobitné technické zariadenie na prístup k hostingovému serveru. Zohráva tiež riadiacu úlohu tým, že zasahuje na úrovni obsahu s cieľom riadnej správy informácií. Táto spoločnosť ako prevádzkovateľ internetovej stránky dotknutej vo veci samej uchováva a spracúva obsah informácie. Uchovávanie údajov, ako aj ich sprístupnenie verejnosti v určitej forme si vyžaduje analýzu údajov a informácií obsiahnutých v inzerátoch. Tieto skutočnosti preukazujú priamu účasť spoločnosti Russmedia na správe a šírení obsahu inzerátov. V dôsledku toho ustanovenia článku 14 zákona č. 365/2002 nie sú uplatniteľné.
35
Okrem toho žalobkyňa vo veci samej tvrdí, že oslobodenie takéhoto poskytovateľa od zodpovednosti sa neuplatňuje, ak je zodpovednosť stanovená na základe iných regulačných aktov, akým je GDPR. Russmedia uverejnila osobné údaje žalobkyne vo veci samej bez jej súhlasu a prostredníctvom svojej internetovej stránky umožnila komukoľvek uverejniť akýkoľvek druh inzerátov, najmä inzerátov, ktoré nezaručujú bezpečnosť osobných údajov, čím znemožnila trvalé vymazanie údajov uverejnených online.
36
Russmedia tvrdí, že riešenie, ktoré prijal Tribunalul Specializat Cluj (Špecializovaný vyšší súd Kluž, Rumunsko) je správne. Žalobkyňa vo veci samej nepreukázala, v čom GDPR predstavuje osobitné pravidlo, ktoré bráni uplatneniu relevantných ustanovení zákona č. 365/2002.
37
Curtea de Apel Cluj (Odvolací súd Kluž), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania a ktorý rozhoduje v prejednávanej veci ako odvolací súd, ktorého rozhodnutie je konečné, považuje za potrebné určiť najmä hranice oslobodenia poskytovateľa služieb informačnej spoločnosti, akým je Russmedia, od zodpovednosti na základe smernice 2000/31.
38
Vnútroštátny súd s odkazom na relevantnú judikatúru Súdneho dvora konštatuje, že hoci v súlade s touto judikatúrou neexistuje povinnosť prevádzkovateľov online trhovísk vykonať predchádzajúce overenie informácií alebo inzerátov uverejnených používateľmi inzerentmi, nič to nemení na tom, že oslobodenie týchto prevádzkovateľov od zodpovednosti je podmienené. V súlade s rozsudkom z 12. júla 2011, L’Oréal a i. (C‑324/09, EU:C:2011:474), sa tak prevádzkovateľ online služieb nemôže dovolávať oslobodenia od zodpovednosti stanovenej v článku 14 ods. 1 smernice 2000/31, ak vedel o skutočnostiach alebo okolnostiach, na základe ktorých by obozretný hospodársky subjekt musel konštatovať protiprávnosť predmetných ponúk na predaj, a v prípade takejto vedomosti nekonal promptne v súlade s článkom 14 ods. 1 písm. b) tejto smernice. Rovnako z rozsudku z 11. septembra 2014, Papasavvas (C‑291/13, EU:C:2014:2209), vyplýva, že obmedzenia občianskoprávnej zodpovednosti upravené v článkoch 12 až 14 smernice 2000/31 nezahŕňajú prípad spoločnosti, ktorá disponuje internetovou stránkou, na ktorej sa uverejňuje elektronická verzia denníka, keďže táto spoločnosť, ktorá je navyše odmeňovaná z platenej reklamy, ktorá sa objavuje na tejto internetovej stránke, pozná uverejňované informácie a má nad nimi kontrolu.
39
Vnútroštátny súd však zdôrazňuje, že uvedená judikatúra odkazuje len na ponuky uverejnené na internetovej stránke, ktorých protiprávnosť vyplýva z analýzy skutočností a okolností výslovne oznámených prevádzkovateľovi po uverejnení dotknutého inzerátu. Súdny dvor tak ešte nemal príležitosť preskúmať situáciu, o akú ide vo veci samej, v ktorej bol obsah uverejneného inzerátu zjavne nezákonný a hlboko škodlivý pre dotknutú osobu.
40
Vnútroštátny súd sa v tomto kontexte pýta, či na to, aby bola platforma povinná odstrániť zjavne nezákonný a vážne škodlivý obsah, je potrebné, aby dostala oznámenie. V prejednávanej veci bol inzerát, o ktorý ide vo veci samej, uverejnený bez overenia totožnosti používateľa inzerenta a zjavne bez získania súhlasu žalobkyne vo veci samej.
41
Okrem toho hoci inzerát, o ktorý ide vo veci samej, bol v nadväznosti na oznámenie žalobkyne vo veci samej z pôvodnej internetovej stránky vymazaný, obsah tohto inzerátu vrátane jeho kontaktných údajov a fotografií bol úplne prevzatý na mnohých iných internetových stránkach s uvedením zdroja pôvodu. Škoda, ktorú utrpela žalobkyňa vo veci samej, sa teda stala trvalou a dochádza k nej ešte aj v súčasnosti. Vnútroštátny súd v tejto súvislosti zdôrazňuje, že údajne ponúkané sexuálne služby môžu byť spojené so závažnými trestnými činmi, ktoré sú trestné podľa Codul penal (Trestný zákon), ako je kupliarstvo a obchodovanie s ľuďmi.
42
Vnútroštátny súd spresňuje, že v súlade so všeobecnými podmienkami používania online trhoviska prevádzkovaného spoločnosťou Russmedia si táto spoločnosť bez toho, aby sa domáhala vlastníckeho práva k obsahu uverejnených inzerátov, vyhradzuje právo používať tento obsah, vrátane jeho kopírovania, distribúcie, prenosu, uverejňovania, jeho reprodukovania, úpravy, prekladu, prevodu na partnerov a vymazania tohto obsahu v akomkoľvek okamihu, a to aj bez toho, aby mala na tento účel platný dôvod.
43
Za týchto podmienok Curtea de Apel Cluj (Odvolací súd Kluž) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:
„1.
Vzťahujú sa články 12 až 14 smernice [2000/31] aj na poskytovateľa služieb [informačnej spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý užívateľom poskytuje stránku, na ktorej je možné zverejňovať bezplatné alebo platené inzeráty a ktorého úloha pri uverejňovaní inzerátov užívateľov je podľa jeho vlastného tvrdenia výlučne technická (sprístupnenie platformy), ktorý však prostredníctvom všeobecných podmienok používania stránky uvádza, že si nenárokuje vlastnícke právo k poskytovanému alebo uverejnenému, nahrávanému alebo prenášanému obsahu, pričom si ale zachováva právo tento obsah používať, vrátane jeho kopírovania, distribúcie, prenosu, zverejňovania, reprodukovania, úpravy, prekladu, postúpenia partnerom a odstraňovania v akomkoľvek čase, a to aj bez potreby príslušného dôvodu?
2.
Je takýto poskytovateľ služieb informačnej [spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý je prevádzkovateľom spracúvania osobných údajov, podľa výkladu článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. f), článku 6 ods. 1 písm. a), článkov 7, 24 a 25 [GDPR] a článku 15 smernice 2000/31 povinný pred uverejnením inzerátu overiť, či je osoba uverejňujúca inzerát totožná s nositeľom osobných údajov, na ktorého sa uvedený inzerát vzťahuje?
3.
Je takýto poskytovateľ služieb [informačnej spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý je prevádzkovateľom spracúvania osobných údajov, podľa výkladu článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. f), článku 6 ods. 1 písm. a), článkov 7, 24 a 25 [GDPR] a článku 15 smernice 2000/31 povinný vopred overiť obsah inzerátov zaslaných užívateľmi s cieľom vylúčiť inzeráty, ktoré môžu mať prípadný protiprávny charakter alebo ktoré môžu poškodiť súkromie a rodinný život jednotlivca?
4.
Je takýto poskytovateľ služieb [informačnej spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý je prevádzkovateľom spracúvania osobných údajov, podľa výkladu článku 5 ods. 1 písm. b) a f), článkov 24 a 25 [GDPR] a článku 15 smernice 2000/31 povinný uplatňovať ochranné opatrenia na zabránenie alebo obmedzenie reprodukcie a ďalšieho šírenia obsahu inzerátov, ktoré boli prostredníctvom neho uverejnené?“
O prejudiciálnych otázkach
44
Podľa ustálenej judikatúry v rámci spolupráce medzi vnútroštátnymi súdmi a Súdnym dvorom zakotvenej v článku 267 ZFEÚ prislúcha Súdnemu dvoru poskytnúť vnútroštátnemu súdu odpoveď potrebnú na rozhodnutie vo veci, ktorá mu bola predložená. Z tohto pohľadu Súdnemu dvoru prináleží v prípade potreby preformulovať otázky, ktoré sú mu položené. V tejto súvislosti mu prináleží zo všetkých skutočností, ktoré poskytol vnútroštátny súd, a najmä z odôvodnenia rozhodnutia vnútroštátneho súdu, zistiť ustanovenia práva Únie, ktoré si so zreteľom na predmet sporu vyžadujú výklad [pozri v tomto zmysle rozsudky z 29. novembra 1978, Redmond, 83/78, EU:C:1978:214, bod 26; z 28. novembra 2000, Roquette Frères, C‑88/99, EU:C:2000:652, bod 18, a z 30. apríla 2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, bod 78].
45
Cieľom otázok vnútroštátneho súdu je spoločne určiť na jednej strane, či prevádzkovateľ online trhoviska, akým je Russmedia, ktorý umožňuje svojim používateľom anonymne umiestňovať inzeráty na svojom online trhovisku bezplatne alebo za odplatu, porušil povinnosti, ktoré mu vyplývajú z GDPR, ak inzerát uverejnený na jeho online trhovisku obsahuje najmä citlivé osobné údaje v rozpore s týmto nariadením, a na druhej strane, či sa články 12 až 15 smernice 2000/31 týkajúce sa zodpovednosti sprostredkovateľov uplatňujú na takéhoto prevádzkovateľa.
46
S cieľom poskytnúť užitočnú odpoveď na tieto otázky treba v prvom rade preskúmať druhú až štvrtú otázku, ktorých cieľom je určiť, aké sú povinnosti, ktoré má podľa GDPR prevádzkovateľ online trhoviska v situácii, o akú ide vo veci samej, a to tak, že sa tieto otázky preformulujú spôsobom, aby sa týkali len výkladu tohto nariadenia. V druhom rade sa preskúma, či sa takýto prevádzkovateľ môže odvolávať na články 12 až 15 smernice 2000/31, čo je v podstate predmetom prvej otázky.
O druhej až štvrtej otázke týkajúcich sa výkladu GDPR
Úvodné pripomienky
47
Na úvod treba v prvom rade uviesť, že z návrhu na začatie prejudiciálneho konania vyplýva, že predmetný inzerát prezentoval žalobkyňu vo veci samej ako osobu ponúkajúcu sexuálne služby a že tento inzerát obsahoval najmä jej fotografie použité bez jej súhlasu, ako aj jej telefónne číslo.
48
Je pritom nesporné, že takéto informácie predstavujú osobné údaje v zmysle článku 4 bodu 1 GDPR, ktorý ako také definuje „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“, pričom spresňuje, že „‚identifikovateľná fyzická osoba‘ je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby“.
49
Podľa ustálenej judikatúry použitie výrazu „akékoľvek informácie“ v definícii pojmu „osobné údaje“ uvedeného v článku 4 bode 1 GDPR odráža cieľ normotvorcu Únie priznať tomuto pojmu široký význam, ktorý potenciálne zahŕňa všetky druhy informácií, tak objektívnych, ako aj subjektívnych, vo forme názoru alebo hodnotení, pod podmienkou, že sa „týkajú“ dotknutej osoby. Informácia sa týka identifikovanej alebo identifikovateľnej fyzickej osoby, ak pre jej obsah, účel alebo účinok súvisí s identifikovateľnou osobou [rozsudok z 3. apríla 2025, Ministerstvo zdravotnictví (Údaje týkajúce sa zástupcu právnickej osoby), C‑710/23, EU:C:2025:231, bod 21 a citovaná judikatúra].
50
Okrem toho medzi týmito osobnými údajmi článok 9 ods. 1 GDPR stanovuje osobitný režim ochrany pre osobitné kategórie údajov, medzi ktoré patria údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
51
Súdny dvor spresnil, že účelom článku 9 ods. 1 tohto nariadenia je zaručiť zvýšenú ochranu proti spracúvaniu, ktoré z dôvodu osobitnej citlivosti údajov, ktoré sú jeho predmetom, môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov, zaručených článkami 7 a 8 Charty (rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 41 a citovaná judikatúra).
52
Takáto zvýšená ochrana si však nevyhnutne vyžaduje širokú definíciu takýchto „citlivých údajov“. Súdny dvor tak rozhodol, že článok 9 ods. 1 GDPR sa vzťahuje nielen na spracúvanie údajov, ktoré sú zo svojej podstaty citlivé, a na ktoré sa vzťahuje toto ustanovenie, ale aj údajov, ktoré odhaľujú informácie tejto povahy nepriamo na základe myšlienkového pochodu spočívajúceho vo vyvodení alebo v krížovej kontrole [rozsudok z 5. júna 2023, Komisia/Poľsko (Nezávislosť a súkromný život sudcov), C‑204/21, EU:C:2023:442, bod 344, ako aj citovaná judikatúra].
53
V rámci tejto širokej definície klamlivá a škodlivá povaha údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby nemôže zbaviť takéto údaje ich kvalifikácie ako „citlivých údajov“ v zmysle článku 9 ods. 1 GDPR.
54
V druhom rade treba konštatovať, že spracúvanie sporné vo veci samej spočíva v uverejnení tohto inzerátu, a teda týchto údajov na online trhovisku spoločnosti Russmedia. Operácia spočívajúca v zobrazení osobných údajov na internetovej stránke totiž predstavuje spracúvanie v zmysle článku 4 bodu 2 nariadenia GDPR (rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 65 a citovaná judikatúra).
55
V treťom rade treba uviesť, že druhá až štvrtá otázka odkazujú na skutočnosť, že prevádzkovateľ online trhoviska dotknutého vo veci samej je prevádzkovateľom spracúvania osobných údajov. Zdá sa však, že osobné údaje, ktorých uverejnenie je predmetom sporu vo veci samej, boli do predmetného inzerátu vložené anonymným používateľom inzerentom bez toho, aby tento prevádzkovateľ mal konkrétny vplyv na obsah tohto inzerátu, a bez toho, aby si bol vedomý jeho nepravdivej a škodlivej povahy. Za týchto podmienok treba objasniť pojmy „prevádzkovateľ“ a „spoloční prevádzkovatelia“ v zmysle článku 4 bodu 7 GDPR a článku 26 GDPR.
56
Článok 4 bod 7 GDPR definuje pojem „prevádzkovateľ“ široko ako fyzickú alebo právnickú osobu, orgán verejnej moci, agentúru alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov.
57
Cieľ tejto širokej definície spočíva v súlade s cieľom GDPR v zabezpečení účinnej ochrany základných práv a slobôd fyzických osôb, ako aj najmä vysokej úrovne ochrany práva každej osoby na ochranu osobných údajov, ktoré sa jej týkajú (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 29 a citovaná judikatúra).
58
Každú fyzickú alebo právnickú osobu, ktorá na svoje vlastné účely ovplyvňuje spracúvanie takýchto údajov, a v dôsledku toho sa podieľa na určovaní účelov a prostriedkov tohto spracúvania, možno považovať za prevádzkovateľa uvedeného spracúvania (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 30 a citovaná judikatúra).
59
Okrem toho vzhľadom na to, že ako výslovne stanovuje článok 4 bod 7 GDPR, pojem „prevádzkovateľ“ znamená subjekt, ktorý „sám alebo v spojení s inými“ určí účely a prostriedky spracúvania osobných údajov, tento pojem nevyhnutne neodkazuje na jediný subjekt a môže sa týkať viacerých subjektov, ktoré sa na tomto spracúvaní zúčastňujú, a na každý z týchto subjektov sa teda vzťahujú ustanovenia uplatniteľné v oblasti ochrany osobných údajov (pozri v tomto zmysle rozsudok z 29. júla 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 67 a citovanú judikatúru).
60
Článok 26 GDPR, ktorý patrí do rámca definície „prevádzkovateľa“ uvedenej v článku 4 bode 7 tohto nariadenia, v podstate stanovuje, že ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, musia byť kvalifikovaní ako „spoloční prevádzkovatelia“ tohto spracúvania.
61
Takáto spoločná zodpovednosť nevyhnutne nevyžaduje existenciu spoločných rozhodnutí, pokiaľ ide o určenie účelov a prostriedkov spracúvania dotknutých osobných údajov. Súdny dvor už totiž rozhodol, že účasť na určení týchto účelov a prostriedkov môže mať rôzne formy, pričom táto účasť môže vyplývať tak zo spoločného rozhodnutia prijatého dvoma alebo viacerými subjektmi, ako aj zo zbiehajúcich sa rozhodnutí, ktoré sa dopĺňajú tak, aby každé z nich malo konkrétny účinok na určenie uvedených účelov a prostriedkov (pozri v tomto zmysle rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 43).
62
V tejto súvislosti spoločná zodpovednosť viacerých subjektov za to isté spracúvanie podľa článku 4 bodu 7 GDPR nepredpokladá, aby mal každý z nich prístup k dotknutým osobným údajom (rozsudky z 29. júla 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 69 a citovaná judikatúra, ako aj z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 42).
63
Z toho istého hľadiska Súdny dvor spresnil, že existencia spoločnej zodpovednosti neznamená nevyhnutne rovnakú zodpovednosť rôznych subjektov za to isté spracúvanie osobných údajov. Naopak, tieto subjekty môžu byť zapojené do tohto spracúvania v rôznych fázach a stupňoch, takže mieru zodpovednosti každého z nich treba hodnotiť z hľadiska všetkých relevantných okolností prejednávanej veci (pozri v tomto zmysle rozsudky z 10. júla 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, bod 66 a citovanú judikatúru, ako aj z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 42).
64
V prejednávanej veci je nesporné, že používateľ inzerent, ktorý umiestnil nepravdivý a škodlivý inzerát obsahujúci osobné údaje žalobkyne vo veci samej na online trhovisko prevádzkované spoločnosťou Russmedia, treba považovať za osobu, ktorá v prvom rade určila účely a prostriedky spracúvania týchto údajov, a teda spadá pod pojem „prevádzkovateľ“ v zmysle článku 4 bodu 7 GDPR.
65
Je však preukázané, že tento inzerát bol uverejnený na internete, a teda sprístupnený používateľom internetu len vďaka online trhovisku prevádzkovanému spoločnosťou Russmedia.
66
Hoci z judikatúry citovanej v bode 58 tohto rozsudku vyplýva, že osobu možno považovať za „prevádzkovateľa“ spracúvania osobných údajov len vtedy, ak ovplyvňuje toto spracúvanie na účely, ktoré sú jej vlastné, treba konštatovať, že o taký prípad môže ísť najmä vtedy, ak prevádzkovateľ online trhoviska uverejní dotknuté osobné údaje na komerčné alebo reklamné účely, ktoré idú nad rámec jednoduchého poskytovania služby, ktoré poskytuje používateľovi inzerentovi.
67
V prejednávanej veci z rozhodnutia vnútroštátneho súdu vyplýva, že Russmedia uverejňuje inzeráty na svojom online trhovisku na vlastné obchodné účely. V tejto súvislosti všeobecné podmienky používania tohto online trhoviska poskytujú spoločnosti Russmedia veľkú slobodu využívať informácie uverejnené na uvedenom trhovisku. Konkrétne si Russmedia podľa informácií vnútroštátneho súdu vyhradzuje právo používať uverejnený obsah, distribuovať ho, prenášať ho, reprodukovať ho, meniť ho, prekladať, postúpiť ho partnerom a kedykoľvek ho vymazať bez toho, aby na to potrebovala „platný dôvod“. Russmedia teda neuverejňuje osobné údaje obsiahnuté v inzerátoch alebo nie len na účet používateľov inzerentov, ale spracúva a môže tieto údaje zhodnocovať na svoje vlastné reklamné a obchodné účely.
68
Treba sa teda domnievať, že Russmedia ovplyvnila na vlastné účely uverejnenie osobných údajov žalobkyne vo veci samej na internete a z tohto dôvodu sa podieľala na určení účelov tohto uverejnenia, a teda predmetného spracúvania.
69
Toto konštatovanie nie je spochybnené skutočnosťou, že Russmedia sa zjavne nezúčastňovala na určení nepravdivého a škodlivého účelu sledovaného používateľom inzerentom prostredníctvom uverejnenia inzerátu, o ktorý ide vo veci samej. Russmedia sa totiž podieľala na určení účelu spracúvania spočívajúceho v sprístupnení osobných údajov obsiahnutých v inzeráte, o ktorý ide vo veci samej, užívateľom internetu s cieľom zhodnotiť tieto publikácie. Okrem toho Russmedia tým, že umožnila anonymné umiestnenie inzerátov na jej online trhovisku, uľahčila uverejnenie takýchto údajov bez súhlasu dotknutej osoby.
70
Okrem toho Russmedia sa tým, že používateľovi inzerentovi sprístupnila svoje online trhovisko, ktoré slúžilo na uverejnenie inzerátu, o ktorú ide vo veci samej, podieľala na určení prostriedkov tohto uverejnenia.
71
Súdny dvor už totiž v podstate rozhodol, že na určení prostriedkov spracúvania sa podieľa fyzická alebo právnická osoba, ktorá rozhodujúcim spôsobom vplýva na zber a prenos osobných údajov, alebo aj osoba, ktorá svojím nastavením parametrov v závislosti od svojich cieľov riadenia alebo podpory svojich činností, ovplyvňuje spracúvanie takýchto údajov (pozri v tomto zmysle rozsudky z 5. júna 2018, Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, bod 36, a z 29. júla 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 78). To isté platí, pokiaľ ide o vyhľadávač, keď jeho činnosť zohráva rozhodujúcu úlohu pri globálnom šírení osobných údajov, keďže táto činnosť ich sprístupňuje verejnosti online organizovaným a štruktúrovaným spôsobom [pozri v tomto zmysle rozsudok z 8. decembra 2022, Google (Odstránenie údajne nesprávneho obsahu), C‑460/20, EU:C:2022:962, bod 50 a citovanú judikatúru].
72
Treba preto konštatovať, že ak prevádzkovateľ online trhoviska, akým je Russmedia, stanoví parametre šírenia inzerátov, ktoré môžu obsahovať osobné údaje, v závislosti od dotknutých príjemcov, určuje prezentáciu, dobu tohto šírenia alebo rubriky štruktúrujúce uverejnené informácie alebo tiež organizuje poradie, ktoré určí spôsoby takéhoto šírenia, podieľa sa na určení základných prostriedkov uverejnenia dotknutých osobných údajov, čím rozhodujúcim spôsobom ovplyvňuje ich celkové šírenie.
73
V tejto súvislosti obsah všeobecných podmienok používania dotknutého online trhoviska môže poskytnúť indície ukazujúce, či prevádzkovateľ tohto online trhoviska rozhodujúcim spôsobom ovplyvňuje posudzované spracúvanie osobných údajov, a teda určuje prostriedky tohto spracúvania. Zdá sa, že to isté platí pre všeobecné podmienky používania online trhoviska spoločnosti Russmedia, v ktorých si táto spoločnosť vyhradzuje najmä právo distribuovať, prenášať, uverejňovať, vymazávať alebo reprodukovať informácie obsiahnuté v inzerátoch, vrátane osobných údajov, ktoré obsahujú.
74
V každom prípade prevádzkovateľ online trhoviska sa nemôže vyhnúť svojej zodpovednosti ako prevádzkovateľ spracúvania osobných údajov z dôvodu, že sám neurčil obsah predmetného inzerátu uverejneného na tomto trhovisku. Bolo by totiž v rozpore nielen s jasným znením, ale aj s cieľom článku 4 bodu 7 GDPR, ktorým je prostredníctvom širokej definície pojmu „prevádzkovateľ“ zabezpečiť účinnú a úplnú ochranu dotknutých osôb, vylúčiť takéhoto prevádzkovateľa z tejto definície len z tohto jediného dôvodu.
75
Treba preto konštatovať, že vnútroštátny súd správne založil svoju druhú až štvrtú otázku na predpoklade, že v situácii, o akú ide vo veci samej, je prevádzkovateľ online trhoviska zodpovedný za spracúvanie osobných údajov obsiahnutých v inzeráte uverejnenom na tomto online trhovisku v zmysle článku 4 bodu 7 GDPR.
76
Na tieto otázky treba odpovedať s prihliadnutím na všetky predchádzajúce úvodné pripomienky.
O druhej a tretej otázke
77
Svojou druhou a treťou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa článok 5 ods. 2, ako aj články 24 až 26 GDPR majú vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 GDPR spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je pred uverejnením inzerátov povinný identifikovať tie inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR, overiť, či používateľ inzerent, ktorý sa chystá umiestniť takýto inzerát, je osoba, ktorej citlivé údaje sú uvedené v tomto inzeráte, a ak to tak nie je, odmietnuť uverejnenie tohto inzerátu bez výslovného súhlasu dotknutej osoby, pokiaľ by takéto uverejnenie mohlo viesť k závažnému porušeniu práv tejto osoby na rešpektovanie súkromného života a na ochranu jej osobných údajov, ktoré sú zaručené v článkoch 7 a 8 Charty.
78
Podľa článku 1 ods. 2 nariadenia GDPR v spojení s jeho odôvodneniami 4 a 10 je cieľom tohto nariadenia najmä zaručiť vysokú úroveň ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov, pričom toto právo je uznané aj v článku 8 Charty a úzko súvisí s právom na rešpektovanie súkromného života zakotveným v jej článku 7 (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 61 a citovanú judikatúru).
79
Na tento účel po prvé kapitola II GDPR stanovuje zásady, ktorými sa riadi spracúvanie osobných údajov, ktoré musí prevádzkovateľ dodržiavať. Konkrétne každé spracúvanie osobných údajov musí byť v súlade so zásadami týkajúcimi sa spracúvania údajov a podmienkami zákonnosti spracúvania vymenovanými v článkoch 5 a 6 tohto nariadenia (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 62 a citovanú judikatúru).
80
Podľa článku 5 ods. 1 písm. a) GDPR musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Článok 5 ods. 1 písm. d) tohto nariadenia dodáva, že spracúvané osobné údaje musia byť správne a podľa potreby aktualizované. Musia sa teda prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia. Článok 5 ods. 1 písm. f) uvedeného nariadenia stanovuje, že osobné údaje musia byť spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť týchto údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním.
81
Pokiaľ ide o podmienky zákonnosti spracúvania, ako rozhodol Súdny dvor, článok 6 ods. 1 prvý pododsek GDPR stanovuje taxatívny a obmedzený zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Na spracúvanie sa teda musí vzťahovať jeden z prípadov uvedených v tomto ustanovení (pozri v tomto zmysle rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 25 a citovanú judikatúru).
82
Konkrétne podľa článku 6 ods. 1 prvého pododseku písm. a) GDPR je spracúvanie osobných údajov zákonné iba vtedy a iba rozsahu, v akom s ním dotknutá osoba vyjadrila súhlas na jeden alebo viacero konkrétnych účelov. Článok 7 ods. 1 tohto nariadenia spresňuje, že v takom prípade prevádzkovateľ musí vedieť preukázať, že dotknutá osoba udelila svoj súhlas so spracúvaním svojich osobných údajov. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 uvedeného nariadenia, je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) toho istého nariadenia (rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 26 a citovaná judikatúra).
83
K týmto zásadám a podmienkam sa pridávajú osobitné požiadavky na citlivé údaje, ako sú definované v článku 9 ods. 1 GDPR, ktorých spracúvanie je v zásade zakázané (pozri v tomto zmysle rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 73).
84
Od tohto zákazu sa možno odchýliť len vtedy, ak je splnená niektorá z výnimiek stanovených v článku 9 ods. 2 písm. a) až j) tohto nariadenia. Medzi týmito výnimkami, ktoré sa majú vykladať reštriktívne, článok 9 ods. 2 písm. a) uvedeného nariadenia stanovuje, že zákaz spracúvania citlivých údajov sa neuplatňuje, ak dotknutá osoba vyjadrila výslovný súhlas so spracúvaním svojich citlivých osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že tento zákaz nemôže dotknutá osoba zrušiť.
85
Po druhé kapitola IV GDPR spresňuje rozsah povinností, ktoré má prevádzkovateľ spracúvania osobných údajov na základe zásady zodpovednosti uvedenej v článku 5 ods. 2 GDPR.
86
Podľa znenia tohto ustanovenia je prevádzkovateľ zodpovedný za súlad s odsekom 1 tohto článku a musí vedieť preukázať, že dodržiava každú zo zásad uvedených v tomto odseku 1, pričom v tejto súvislosti nesie dôkazné bremeno [rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka), C‑60/22, EU:C:2023:373, bod 53 a citovaná judikatúra].
87
Táto zásada zodpovednosti je konkretizovaná najmä v článku 24 GDPR (pozri v tomto zmysle rozsudok z 25. januára 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 43 a citovanú judikatúru). Tento článok vyžaduje, aby s ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijal vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že uvedené spracúvanie bolo vykonané v súlade s týmto nariadením.
88
Článok 5 ods. 2 a článok 24 GDPR tak ukladajú prevádzkovateľovi všeobecné povinnosti týkajúce sa zodpovednosti a dodržiavania predpisov. Tieto ustanovenia vyžadujú od tohto prevádzkovateľa, aby prijal vhodné opatrenia na predchádzanie prípadným porušeniam pravidiel stanovených v GDPR na zabezpečenie práva na ochranu údajov [pozri v tomto zmysle rozsudok z 27. októbra 2022, Proximus (Verejné elektronické telefónne zoznamy), C‑129/21, EU:C:2022:833, bod 81].
89
Z tohto hľadiska článok 25 ods. 1 GDPR ukladá prevádzkovateľovi povinnosť prijať v čase určenia prostriedkov spracúvania, ako aj v čase samotného spracúvania primerané technické a organizačné opatrenia, ktoré sú určené na účinné zavedenie zásad ochrany údajov a na to, aby sa do spracúvania začlenili potrebné záruky s cieľom splniť požiadavky tohto nariadenia a chrániť práva dotknutej osoby. Okrem toho tento článok 25 ods. 2 týkajúci sa štandardnej ochrany údajov okrem iného stanovuje, že primerané technické a organizačné opatrenia, ktoré musí prevádzkovateľ prijať na tento účel, zabezpečia, aby osobné údaje neboli bez zásahu dotknutej fyzickej osoby prístupné neobmedzenému počtu fyzických osôb.
90
Ak sú osobné údaje, ktoré sa spracúvajú, citlivými údajmi v zmysle článku 9 ods. 1 GDPR, prevádzkovateľ musí najmä na účely určenia vhodných opatrení v zmysle článkov 24 a 25 tohto nariadenia zohľadniť skutočnosť, že porušenie zásad stanovených v kapitole II uvedeného nariadenia, pokiaľ ide o spracúvanie takýchto údajov, môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty.
91
Práve vzhľadom na všetky tieto spresnenia treba preskúmať druhú a tretiu otázku, ako boli preformulované v bode 77 tohto rozsudku.
92
Pokiaľ ide v prvom rade o otázku, či prevádzkovateľ online trhoviska musí pred ich uverejnením identifikovať inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR, treba pripomenúť, ako vyplýva z bodov 64 a 75 tohto rozsudku, že tento prevádzkovateľ a používateľ inzerent, ktorý umiestnil takýto inzerát na toto online trhovisko, sa musia považovať za spoločných prevádzkovateľov v zmysle článku 26 tohto nariadenia, ak je na tomto trhovisku dotknutý inzerát uverejnený.
93
Z toho vyplýva, že tak tento prevádzkovateľ, ako aj tento používateľ inzerent sú povinní zabezpečiť dodržiavanie povinností vyplývajúcich z článku 5 ods. 2, ako aj z článkov 24 a 25 GDPR. Konkrétne musia byť schopní preukázať, že osobné údaje obsiahnuté v dotknutom inzeráte sú uverejnené zákonným spôsobom, teda že dotknutá osoba s takýmto uverejnením súhlasila, pokiaľ sa nemôžu odvolávať na inú podmienku stanovenú v článku 6 ods. 1 GDPR. Ak sú dotknuté osobné údaje citlivými údajmi v zmysle článku 9 ods. 1 GDPR, súhlas s takýmto uverejnením musí byť, ako vyplýva z bodu 84 tohto rozsudku, výslovný. Rovnako podľa zásady správnosti uvedenej v článku 5 ods. 1 písm. d) GDPR musia byť prevádzkovatelia schopní preukázať, že dotknuté osobné údaje sú správne.
94
S cieľom určiť konkrétne primerané technické a organizačné opatrenia, ktoré je prevádzkovateľ online trhoviska ako spoločný prevádzkovateľ spracúvania osobných údajov povinný vykonať podľa článkov 24 a 25 GDPR, aby sa uistil a bol schopný preukázať, že uverejnenie citlivých údajov obsiahnutých v inzeráte sa uskutočňuje v súlade s týmto nariadením, treba uviesť, že z týchto ustanovení vyplýva, že primeranosť takýchto opatrení sa musí konkrétne posúdiť, so zreteľom na povahu, rozsah, kontext a účely predmetného spracúvania, ako aj na stupeň pravdepodobnosti a závažnosti rizík pre práva a slobody dotknutej osoby, ktoré sú tomuto spracúvaniu vlastné (pozri v tomto zmysle rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 96).
95
V tejto súvislosti treba uviesť, že uverejnenie osobných údajov na online trhovisku so sebou prináša značné riziká pre práva a slobody dotknutej osoby, keďže tieto údaje v zásade sprístupňuje každému používateľovi internetu. Okrem toho po uverejnení na online trhovisku môžu byť uvedené údaje skopírované a reprodukované na iných internetových stránkach, takže pre dotknutú osobu môže byť ťažké, ba až nemožné dosiahnuť ich skutočné vymazanie z internetu.
96
Riziká spojené s takýmto uverejnením sú o to závažnejšie, ak ide o citlivé údaje v zmysle článku 9 ods. 1 GDPR. Ako sa výslovne uvádza v odôvodnení 51 GDPR, osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 75). Ako je uvedené v bode 90 tohto rozsudku, spracúvanie takýchto údajov môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty. Okrem toho stupeň pravdepodobnosti porušenia týchto práv uverejnením inzerátu obsahujúceho citlivé údaje je veľmi vysoký, ak používateľ inzerent nie je sám dotknutou osobou a online trhovisko umožňuje umiestňovanie takýchto inzerátov anonymne.
97
Preto v rozsahu, v akom prevádzkovateľ online trhoviska, o aké ide vo veci samej, vie alebo musí vedieť, že vo všeobecnosti inzeráty obsahujúce citlivé údaje v zmysle článku 9 ods. 1 GDPR môžu byť uverejnené používateľmi inzerentmi na jeho online trhovisku, tento prevádzkovateľ je ako prevádzkovateľ zodpovedný za toto spracúvanie povinný, už pri navrhovaní svojej služby prijať primerané technické a organizačné opatrenia na identifikáciu takýchto inzerátov pred ich uverejnením, a teda byť schopný overiť, či v nich obsiahnuté citlivé údaje sa uverejňujú v súlade so zásadami stanovenými v kapitole II tohto nariadenia. Ako totiž vyplýva najmä z článku 25 ods. 1 uvedeného nariadenia, povinnosť prijať takéto opatrenia má nielen v čase spracúvania, ale už v čase určenia prostriedkov spracúvania, a teda ešte predtým, ako sú citlivé údaje na jeho online trhovisku uverejnené v rozpore s týmito zásadami, pričom cieľom tejto povinnosti je práve zabrániť takýmto porušeniam.
98
Pokiaľ ide v druhom rade o otázku, či prevádzkovateľ online trhoviska ako prevádzkovateľ spracúvania citlivých údajov obsiahnutých v inzerátoch uverejnených na jeho internetovej stránke musí spolu s používateľom inzerentom, overiť totožnosť tohto používateľa inzerenta pred uverejnením, treba pripomenúť, že zo znenia článku 9 ods. 1 v spojení s článkom 9 ods. 2 písm. a) GDPR vyplýva, že uverejnenie takýchto údajov je zakázané, pokiaľ dotknutá osoba neudelila svoj výslovný súhlas s uverejnením predmetných údajov na tomto online trhovisku alebo pokiaľ nie je splnená niektorá z ďalších výnimiek stanovených v tomto článku 9 ods. 2 písm. b) až j), čo sa však nezdá byť prípad prejednávanej veci.
99
V tejto súvislosti platí, že hoci skutočnosť, že dotknutá osoba umiestni na online trhovisko inzerát obsahujúci jej citlivé údaje, môže predstavovať výslovný súhlas v zmysle článku 9 ods. 2 písm. a) GDPR, takýto súhlas chýba, ak je táto inzercia umiestnená treťou osobou, s výnimkou toho, že by táto osoba mohla preukázať, že dotknutá osoba vyjadrila svoj výslovný súhlas s uverejnením uvedeného inzerátu na predmetnom online trhovisku. Preto na to, aby sa prevádzkovateľ tohto online trhoviska mohol uistiť a mohol preukázať, že požiadavky stanovené v článku 9 ods. 2 písm. a) GDPR sú splnené, je povinný pred uverejnením takéhoto inzerátu overiť, či používateľ inzerent, ktorý sa chystá umiestniť tento inzerát, je osobou, ktorej citlivé údaje sú uvedené v tomto inzeráte, čo predpokladá zhromaždenie totožnosti tohto používateľa inzerenta.
100
Okrem toho z článku 13 ods. 1 písm. a) a článku 14 ods. 1 písm. a) GDPR vyplýva, že prevádzkovatelia spracúvania osobných údajov musia dotknutej osobe v každom prípade poskytnúť svoju totožnosť a kontaktné údaje.
101
Napokon treba poznamenať, že článok 26 GDPR ukladá spoločným prevádzkovateľom pri rovnakom spracúvaní osobných údajov povinnosť transparentne určiť svoje príslušné zodpovednosti s cieľom zabezpečiť dodržiavanie požiadaviek stanovených v tomto nariadení. Takáto povinnosť by sa však ukázala ako nemožná, ak by jeden z prevádzkovateľov tohto spracúvania mohol zostať anonymný voči druhému prevádzkovateľovi.
102
Z vyššie uvedeného teda vyplýva, že prevádzkovateľ online trhoviska ako osoba zodpovedná za uverejnenie citlivých údajov obsiahnutých v inzeráte uverejnenom na jeho online trhovisku spolu s používateľom inzerentom, má povinnosť overiť totožnosť tohto používateľa inzerenta a fakt, či je tento používateľ osobou, ktorej citlivé údaje sa nachádzajú v tomto inzeráte.
103
V tejto súvislosti, ako v podstate uviedol generálny advokát v bode 132 svojich návrhov, z odôvodnenia 75 GDPR vyplýva, že najmä v prípade krádeže totožnosti môže spracúvanie osobných údajov viesť k rizikám pre práva a slobody dotknutých osôb, ktorým by v dôsledku toho mohlo byť znemožnené vykonávať kontrolu nad svojimi osobnými údajmi. Vo všeobecnosti sa totiž totožnosť kradne s cieľom dopustiť sa podvodného konania na úkor dotknutej osoby alebo tretích osôb.
104
Za týchto podmienok a vzhľadom aj na úvahy uvedené v bodoch 95 a 96 tohto rozsudku musí prevádzkovateľ online trhoviska na to, aby bol schopný ubezpečiť sa a preukázať, že citlivé údaje obsiahnuté v inzerátoch sa spracúvajú v súlade s požiadavkami GDPR, podľa článkov 24 a 25 tohto nariadenia stanoviť primerané technické a organizačné opatrenia, ktoré mu umožnia nielen zhromaždiť, ale aj overiť totožnosť používateľov inzerentov pred uverejnením týchto inzerátov, a to najmä s cieľom určiť, či je tento inzerent osobou, ktorej citlivé údaje sa nachádzajú v uvedených inzerátoch. Ako uviedol generálny advokát v bode 134 svojich návrhov, takéto opatrenia musia najmä umožniť obmedziť riziko nezákonného spracúvania osobných údajov dotknutých osôb a bojovať proti nezodpovednému využívaniu takéhoto internetového obchodu tým, že obmedzia pocit beztrestnosti, a tým motivujú používateľov inzerentov, aby pri uverejňovaní inzerátov obsahujúcich osobné údaje dodržiavali požiadavky GDPR.
105
Napokon pokiaľ ide v treťom rade o otázku, či prevádzkovateľ online trhoviska musí odmietnuť uverejnenie inzerátu obsahujúceho citlivé údaje, ak sa po takomto overení totožnosti používateľa inzerenta, ktorý sa chystá umiestniť tento inzerát, ukáže, že tento prevádzkovateľ nie je osobou, ktorej citlivé údaje sú uvedené v predmetnom inzeráte, treba konštatovať, že z bodov 98 a 99 tohto rozsudku vyplýva, že v takom prípade nemožno vylúčiť, že k tomuto uverejneniu dôjde v rozpore so zákazom spracúvania takýchto údajov stanoveným v článku 9 ods. 1 GDPR. Preto pokiaľ tento používateľ inzerent, nemôže z právneho hľadiska dostatočne preukázať, že dotknutá osoba udelila svoj výslovný súhlas s uverejnením predmetných údajov na tomto online trhovisku v zmysle tohto článku 9 ods. 2 písm. a) alebo že je splnená niektorá z ďalších výnimiek stanovených v uvedenom článku 9 ods. 2 písm. b) až j), prevádzkovateľ tohto online trhoviska musí odmietnuť uverejnenie predmetného inzerátu, čo musí zabezpečiť prijatím primeraných technických a organizačných opatrení.
106
Vzhľadom na všetky vyššie uvedené dôvody treba na druhú a tretiu otázku odpovedať tak, že článok 5 ods. 2, ako aj články 24 až 26 GDPR sa majú vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 GDPR spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je pred uverejnením inzerátov povinný prostredníctvom primeraných technických a organizačných opatrení,
–
identifikovať inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR,
–
overiť, či používateľ inzerent, ktorý sa chystá umiestniť takýto inzerát, je osoba, ktorej citlivé údaje sú uvedené v tomto inzeráte, a ak to tak nie je,
–
odmietnuť uverejnenie tohto inzerátu, pokiaľ tento používateľ inzerent nemôže preukázať, že dotknutá osoba udelila svoj výslovný súhlas s uverejnením predmetných údajov na tomto online trhovisku v zmysle tohto článku 9 ods. 2 písm. a) alebo že je splnená niektorá z ďalších výnimiek stanovených v uvedenom článku 9 ods. 2 písm. b) až j).
O štvrtej otázke
107
Štvrtá otázka sa v podstate týka toho, či je prevádzkovateľ online trhoviska ako prevádzkovateľ spracúvania povinný zaviesť bezpečnostné opatrenia, ktoré môžu zabrániť alebo obmedziť reprodukciu a redistribúciu inzerátov obsahujúcich citlivé údaje, ktoré boli uverejnené na jeho online trhovisku.
108
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že na jednej strane nepravdivý a škodlivý inzerát, o ktorý ide vo veci samej, bol prebratý na iných internetových stránkach s reklamným obsahom, ktoré ho uverejnili s uvedením pôvodného zdroja a, na druhej strane, vo všeobecných podmienkach používania svojho online trhoviska si Russmedia vyhradzuje najmä právo prenášať obsah inzerátov, ktoré sú tam uvedené, a postúpiť ho partnerom. V tejto súvislosti vnútroštátny súd nespresňuje, či Russmedia dobrovoľne preniesla tento inzerát na tieto iné internetové stránky, alebo prinajmenšom umožnila prostredníctvom zmlúv tieto uverejnenia, alebo či naopak uvedené publikácie vyplývajú z kópií pôvodného inzerátu, ktoré Russmedia nepovolila.
109
Ak by sa preukázala prvá časť tejto alternatívy, tento prenos by predstavoval nové spracúvanie osobných údajov, za ktoré by Russmedia bola zodpovedná v zmysle článku 4 bodu 7 GDPR. Toto spracúvanie treba odlišovať od uverejnenia nepravdivého a škodlivého inzerátu, o ktorý ide vo veci samej, na online trhovisku zo strany používateľa inzerenta.
110
Treba totiž rozlišovať medzi rôznymi operáciami spracúvania osobných údajov, ktoré patria do toho istého reťazca operácií, aby sa zohľadnila potreba individuálne posúdiť v prípade každej osoby, ktorú možno kvalifikovať ako prevádzkovateľa spracúvania osobných údajov, úroveň zodpovednosti, ktorá jej môže byť pripísaná. Dôvodom je skutočnosť, že na to, aby sa fyzická alebo právnická osoba mohla považovať za spoločného prevádzkovateľa, musí samostatne spĺňať definíciu „prevádzkovateľa“ uvedenú v článku 4 bode 7 GDPR (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 41 a citovaná judikatúra).
111
Z toho vyplýva, že hoci k neskoršiemu prenosu osobných údajov dochádza v rámci zmlúv o šírení medzi prevádzkovateľom online trhoviska, na ktorom boli pôvodne uverejnené posudzované osobné údaje, a prevádzkovateľmi iných internetových stránok, tento prvý prevádzkovateľ je v zásade jediným prevádzkovateľom zodpovedným za spracúvanie, ktoré predstavuje tento prenos. V každom prípade každý prevádzkovateľ je sám alebo spoločne povinný dodržiavať všetky povinnosti, ktoré vyplývajú z GDPR.
112
Po týchto spresneniach treba štvrtú otázku chápať v tom zmysle, že sa týka prípadu, keď Russmedia nepreniesla nepravdivý a škodlivý inzerát, o ktorý ide vo veci samej, na iné internetové stránky s reklamným obsahom, a teda nepovolila tieto následné uverejnenia.
113
Navyše treba tiež poznamenať, že táto otázka sa v podstate týka rozsahu povinnosti bezpečnosti, ktorú musí splniť prevádzkovateľ spracúvania osobných údajov. Článok 32 GDPR sa pritom osobitne týka bezpečnosti spracúvania. Konkretizuje a spresňuje osobitný aspekt požiadaviek uvedených v článku 24 tohto nariadenia, ktorý spolu s článkom 5 ods. 2 uvedeného nariadenia všeobecne definuje zodpovednosť prevádzkovateľa.
114
Za týchto podmienok treba konštatovať, že svojou štvrtou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 32 GDPR vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 tohto nariadenia, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je povinný prijať bezpečnostné opatrenia, ktoré môžu zabrániť tomu, aby sa inzeráty uverejnené na tomto online trhovisku a obsahujúce citlivé údaje v zmysle článku 9 ods. 1 uvedeného nariadenia, kopírovali a nezákonne uverejňovali na iných internetových stránkach.
115
Článok 32 ods. 1 GDPR stanovuje, že prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku.
116
Článok 32 ods. 2 tohto nariadenia stanovuje, že pri posudzovaní primeranej úrovne bezpečnosti sa musí prihliadať predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, alebo neoprávneného prístupu k takýmto údajom.
117
Súdny dvor rozhodol, že odkaz uvedený v článku 32 ods. 1 a 2 GDPR na „úroveň bezpečnosti primeranú tomuto riziku“ a „primeranú úroveň bezpečnosti“ svedčí o tom, že toto nariadenie zavádza systém riadenia rizík a vôbec sa nesnaží odstrániť riziká porušenia osobných údajov (rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21, EU:C:2023:986, bod 29).
118
Zo znenia článku 32 GDPR v spojení s článkom 24 tohto nariadenia tak vyplýva, že tento článok 32 sa obmedzuje na uloženie povinnosti prevádzkovateľovi prijať technické a organizačné opatrenia určené na to, aby sa v čo najväčšej možnej miere predišlo akémukoľvek porušeniu osobných údajov. Primeranosť takýchto opatrení sa musí konkrétne posúdiť tak, že sa preskúma, či tieto opatrenia prijal tento prevádzkovateľ s prihliadnutím na jednotlivé kritériá stanovené v týchto článkoch a na potrebu ochrany údajov, ktoré sú osobitne vlastné dotknutému spracúvaniu, ako aj na riziká, ktoré toto spracúvanie prináša (pozri v tomto zmysle rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21, EU:C:2023:986, bod 30).
119
V tejto súvislosti na účely určenia konkrétneho rizika, ktoré predstavuje dotknuté spracúvanie, treba zohľadniť prípadnú citlivosť spracúvaných osobných údajov. Ako je totiž pripomenuté v bodoch 51 a 90 tohto rozsudku, zvýšená ochrana stanovená v článku 9 ods. 1 GDPR pre určité kategórie údajov z dôvodu ich osobitnej citlivosti spočíva v tom, že spracúvanie takýchto údajov môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty (pozri v tomto zmysle rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 41 a citovanú judikatúru).
120
Ak je inzerát obsahujúci osobné údaje už raz online a je tak už globálne prístupný, šírenie týchto údajov so sebou prináša najmä riziko straty kontroly nad dotknutými osobnými údajmi, ktoré, ak k tomu dôjde, zbavuje práva a záruky stanovené v GDPR v prospech dotknutej osoby, medzi ktorými je na prvom mieste právo na vymazanie stanovené v článku 17 tohto nariadenia, akéhokoľvek potrebného účinku.
121
Ak sa teda citlivé údaje uverejňujú online, prevádzkovateľ je podľa článku 32 GDPR povinný prijať všetky technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti, ktorá môže účinne zabrániť vzniku straty kontroly nad týmito údajmi.
122
Z tohto dôvodu musí prevádzkovateľ zvážiť najmä všetky technické opatrenia, ktoré sú dostupné pri súčasnom stave technických poznatkov, ktoré by mohli zablokovať kopírovanie a reprodukciu obsahu online.
123
Treba však ešte spresniť, že články 24 a 32 GDPR nemožno chápať v tom zmysle, že neoprávnené šírenie osobných údajov, ktoré boli pôvodne uverejnené online, stačí na vyvodenie záveru, že opatrenia prijaté dotknutým prevádzkovateľom neboli primerané v zmysle týchto ustanovení, bez toho, aby sa tomuto prevádzkovateľovi umožnilo predložiť dôkaz o opaku (rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21, EU:C:2023:986, bod 31).
124
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že napriek vymazaniu nepravdivého a škodlivého inzerátu, o ktorý ide vo veci samej, z online trhoviska spoločnosti Russmedia je tento inzerát stále dostupný online na iných internetových stránkach podľa všetkého bez toho, aby žalobkyňa vo veci samej mohla dosiahnuť jeho vymazanie.
125
Zdá sa, že táto strata kontroly vyplýva z pôvodného nezákonného uverejnenia nepravdivého a škodlivého inzerátu, o ktorý ide vo veci samej, v rozpore s požiadavkami stanovenými v GDPR. V každom prípade bola Russmedia povinná prijať primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti primeranej riziku podľa článku 32 GDPR a v čo najväčšej miere zablokovať akékoľvek kopírovanie tohto inzerátu. Vnútroštátnemu súdu prináleží overiť, či to tak bolo.
126
Vzhľadom na všetky vyššie uvedené dôvody treba na štvrtú otázku odpovedať tak, že článok 32 GDPR sa má vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 tohto nariadenia, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je povinný prijať primerané technické a organizačné bezpečnostné opatrenia, s cieľom zabrániť tomu, aby sa inzeráty uverejnené na tomto online trhovisku a obsahujúce citlivé údaje v zmysle článku 9 ods. 1 uvedeného nariadenia, kopírovali a nezákonne uverejňovali na iných internetových stránkach.
O prvej otázke týkajúcej sa výkladu smernice 2000/31
127
Ako je uvedené v bodoch 45 a 46 tohto rozsudku, vnútroštátny súd sa ešte pýta, či sa prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 GDPR spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, môže v súvislosti s porušením povinností vyplývajúcich z článku 5 ods. 2, ako aj článkov 24 až 26 a 32 tohto nariadenia a konštatovaných v bodoch 106 a 126 tohto rozsudku odvolávať na články 12 až 15 smernice 2000/31 týkajúce sa zodpovednosti poskytovateľov sprostredkovateľských služieb.
128
Vzniká teda otázka vzťahu týchto dvoch nástrojov práva Únie. Konkrétne treba určiť, či články 12 až 15 smernice 2000/31 môžu zasahovať do režimu zodpovednosti stanoveného v GDPR.
129
V tejto súvislosti treba na jednej strane uviesť, že článok 1 ods. 5 písm. b) smernice 2000/31 spresňuje, že táto smernica sa nevzťahuje na otázky týkajúce sa služieb informačnej spoločnosti, na ktoré sa vzťahujú smernice 95/46 a 97/66.
130
Súdny dvor vyložil toto ustanovenie v tom zmysle, že otázky týkajúce sa ochrany dôvernosti komunikácie a osobných údajov tak treba posudzovať z hľadiska GDPR a smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), ktoré v príslušnom poradí nahradili smernicu 95/46 a smernicu 97/66, pričom je potrebné spresniť, že ochrana, ktorú má zabezpečiť smernica 2000/31, nemôže v žiadnom prípade porušovať požiadavky vyplývajúce z GDPR a zo smernice 2002/58 (rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 200, ako aj citovaná judikatúra).
131
Z toho najmä vyplýva, že prípadné uplatnenie výnimky stanovenej v článku 14 ods. 1 smernice 2000/31, na ktorú by sa mohol odvolávať prevádzkovateľ online trhoviska, pokiaľ ide o informácie uložené na jeho internetovej stránke, nemôže zasahovať do režimu GDPR, ktorý sa uplatňuje na takéhoto prevádzkovateľa, ako aj na akýkoľvek iný subjekt, ktorý patrí do pôsobnosti tohto nariadenia.
132
To isté platí pre článok 15 smernice 2000/31, podľa ktorého členské štáty nesmú uložiť poskytovateľom všeobecnú monitorovaciu povinnosť na účely poskytovania služieb uvedených najmä v článku 14 uvedenej smernice. Okrem toho povinnosť prevádzkovateľa online trhoviska dodržiavať požiadavky vyplývajúce z GDPR nemožno v žiadnom prípade kvalifikovať ako takúto všeobecnú monitorovaciu povinnosť.
133
Na druhej strane článok 2 ods. 4 nariadenia GDPR stanovuje, že týmto nariadením nie je dotknuté uplatňovanie smernice 2000/31, a to najmä jej články 12 až 15 týkajúce sa zodpovednosti poskytovateľov služieb informačnej spoločnosti.
134
Tento článok 2 ods. 4 sa má chápať v tom zmysle, že skutočnosť, že prevádzkovateľ je nositeľom povinností stanovených v GDPR, automaticky nevylučuje, že tento prevádzkovateľ sa môže odvolávať na články 12 až 15 smernice 2000/31 v iných otázkach, než sú otázky týkajúce sa ochrany osobných údajov.
135
Z výkladu článku 1 ods. 5 písm. b) smernice 2000/31 v spojení s článkom 2 ods. 4 GDPR tak vyplýva, že ustanovenia tejto smernice, najmä jej články 12 až 15, nemôžu zasahovať do režimu tohto nariadenia.
136
Vzhľadom na všetky predchádzajúce dôvody treba na prvú otázku odpovedať tak, že článok 1 ods. 5 písm. b) smernice 2000/31 a článok 2 ods. 4 GDPR sa majú vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 GDPR, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, sa nemôže v súvislosti s porušením povinností vyplývajúcich z článku 5 ods. 2, ako aj článkov 24 až 26 a 32 tohto nariadenia odvolávať na články 12 až 15 tejto smernice, týkajúce sa zodpovednosti poskytovateľov sprostredkovateľských služieb.
O trovách
137
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto:
1.
Článok 5 ods. 2, ako aj články 24 až 26 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa majú vykladať v tom zmysle, že:
prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 tohto nariadenia spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je pred uverejnením inzerátov povinný prostredníctvom primeraných technických a organizačných opatrení,
–
identifikovať inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR,
–
overiť, či používateľ inzerent, ktorý sa chystá umiestniť takýto inzerát, je osoba, ktorej citlivé údaje sú uvedené v tomto inzeráte, a ak to tak nie je,
–
odmietnuť uverejnenie tohto inzerátu, pokiaľ tento používateľ inzerent nemôže preukázať, že dotknutá osoba udelila svoj výslovný súhlas s uverejnením predmetných údajov na tomto online trhovisku v zmysle tohto článku 9 ods. 2 písm. a) alebo že je splnená niektorá z ďalších výnimiek stanovených v uvedenom článku 9 ods. 2 písm. b) až j).
2.
Článok 32 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 tohto nariadenia, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je povinný prijať primerané technické a organizačné bezpečnostné opatrenia, s cieľom zabrániť tomu, aby sa inzeráty uverejnené na tomto online trhovisku a obsahujúce citlivé údaje v zmysle článku 9 ods. 1 uvedeného nariadenia, kopírovali a nezákonne uverejňovali na iných internetových stránkach.
3.
Článok 1 ods. 5 písm. b) smernice Európskeho parlamentu a Rady 2000/31/ES z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) a článok 2 ods. 4 nariadenia 2016/679,
sa majú vykladať v tom zmysle, že:
prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 nariadenia 2016/679, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, sa nemôže v súvislosti s porušením povinností vyplývajúcich z článku 5 ods. 2, ako aj článkov 24 až 26 a 32 tohto nariadenia odvolávať na články 12 až 15 tejto smernice, týkajúce sa zodpovednosti poskytovateľov sprostredkovateľských služieb.
Podpisy
(
*1
)	Jazyk konania: rumunčina.