62023CJ0492
UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
2 päivänä joulukuuta 2025 (
*1
)
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 4 artiklan 7 alakohta – Rekisterinpitäjän käsite – Verkkomarkkinapaikan ylläpitäjän vastuu ilmoituksia jättävien käyttäjien sen verkkomarkkinapaikalle jättämiin ilmoituksiin sisältyvien henkilötietojen julkaisemisesta – 5 artiklan 2 kohta – Osoitusvelvollisuuden periaate – 26 artikla – Yhteisvastuu näiden ilmoituksia jättävien käyttäjien kanssa – 9 artiklan 1 kohta ja 2 kohdan a alakohta – Arkaluonteisia tietoja sisältävät ilmoitukset – Käsittelyn lainmukaisuus – Suostumus – 24, 25 ja 32 artikla – Rekisterinpitäjän velvollisuudet – Tällaisia tietoja sisältävien ilmoitusten tunnistaminen etukäteen – Ilmoituksen jättävän käyttäjän henkilöllisyyden tarkistaminen etukäteen – Laittomien ilmoitusten julkaisemisesta kieltäytyminen – Turvatoimet, joilla voidaan estää ilmoitusten kopiointi ja niiden julkaiseminen muilla internetsivustoilla – Sähköinen kaupankäynti – Direktiivi 2000/31/EY – 12–15 artikla – Tällaisen ylläpitäjän mahdollisuus vedota näiden velvollisuuksien noudattamatta jättämisen osalta välittäjänä toimivan tietoyhteiskunnan palvelujen tarjoajan vapauttamiseen vastuusta
Asiassa C‑492/23,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Curtea de Apel Cluj (Clujin ylioikeus, Romania) on esittänyt 15.6.2023 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 3.8.2023, saadakseen ennakkoratkaisun asiassa
X
vastaan
Russmedia Digital SRL ja
Inform Media Press SRL,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti K. Lenaerts, varapresidentti T. von Danwitz, jaostojen puheenjohtajat F. Biltgen, K. Jürimäe (esittelevä tuomari), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele ja J. Passer sekä tuomarit S. Rodin, E. Regan, N. Jääskinen ja D. Gratsias,
julkisasiamies: M. Szpunar,
kirjaaja: hallintovirkamies R. Șereș,
ottaen huomioon kirjallisessa käsittelyssä ja 2.7.2024 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
–
X, edustajanaan I. Kis, avocată,
–
Romanian hallitus, asiamiehinään E. Gane, L. Ghiță ja R. I. Hațieganu,
–
Euroopan komissio, asiamiehinään L. Armati, H. Kranenborg, P.-J. Loewenthal ja L. Nicolae,
kuultuaan julkisasiamiehen 6.2.2025 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1
Ennakkoratkaisupyyntö koskee tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista 8.6.2000 annetun Euroopan parlamentin ja neuvoston direktiivin 2000/31/EY (direktiivi sähköisestä kaupankäynnistä) (EYVL 2000, L 178, s. 1) 12–15 artiklan ja luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 2 artiklan 4 kohdan, 4 artiklan 7 ja 11 alakohdan, 5 artiklan 1 kohdan b ja f alakohdan, 6 artiklan 1 kohdan a alakohdan sekä 7, 24 ja 25 artiklan tulkintaa.
2
Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat yhtäältä luonnollinen henkilö X ja toisaalta Russmedia Digital SRL ja Inform Media Press SRL (jäljempänä yhdessä Russmedia) ja jossa on kyse kanteesta, jolla vaaditaan korvaamaan pääasian valittajalle aiheutunut aineeton vahinko siitä, että hänen henkilötietojaan on käsitelty lainvastaisesti ja että hänen oikeuttaan omaan kuvaansa, kunniaan ja yksityisyyteen on loukattu.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 2000/31
3
Direktiivin 2000/31 johdanto-osan 14, 42, 46 ja 52 perustelukappaleessa todetaan seuraavaa:
”(14)
Yksilöiden suojelua henkilötietojen automaattisessa tietojenkäsittelyssä säännellään yksinomaan yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetulla Euroopan parlamentin ja neuvoston direktiivillä 95/46/EY [(EYVL 1995, L 281, s. 31)] sekä henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla 15 päivänä joulukuuta 1997 annetulla Euroopan parlamentin ja neuvoston direktiivillä 97/66/EY [(EYVL 1998, L 24, s. 1)], joita sovelletaan täysimääräisesti tietoyhteiskunnan palveluihin. – – Tämän direktiivin täytäntöönpanossa ja soveltamisessa olisi noudatettava kaikilta osin henkilötietojen suojaa koskevia periaatteita erityisesti ei-toivotun kaupallisen viestinnän ja välittäjien vastuun osalta. Tällä direktiivillä ei voida estää avointen verkkojen kuten Internetin anonyymiä käyttöä.
– –
(42)
Poikkeukset tässä direktiivissä säädetystä vastuusta koskevat ainoastaan tapauksia, joissa tietoyhteiskunnan palvelun tarjoajan toiminta rajoittuu tietoverkon teknisenä operaattorina toimimiseen ja käyttöoikeuden tarjoamiseen viestintäverkkoon, jossa kolmansien osapuolten antamia tietoja siirretään tai talletetaan väliaikaisesti siten, että tarkoituksena on pelkästään tietojen siirron tehostaminen. Tämä toiminta on luonteeltaan puhtaasti teknistä, automaattista ja passiivista, jolloin tietoyhteiskunnan palvelun tarjoaja ei tunne siirrettäviä tai tallennettavia tietoja eikä valvo niitä.
– –
(46)
Voidakseen omaksi hyväkseen vedota vastuun rajoitukseen on tietoyhteiskunnan palvelun tarjoajan, jos palvelu käsittää tietojen tallentamisen, viipymättä saatuaan tosiasiallista tietoa laittomista toimista toimittava siihen liittyvien tietojen poistamiseksi tai niihin pääsyn estämiseksi. Tietojen poistaminen tai niihin pääsyn estäminen on toteutettava noudattamalla sananvapauden periaatetta ja tätä tarkoitusta varten vahvistettuja kansallisia menettelytapoja. Tämä direktiivi ei vaikuta jäsenvaltioiden mahdollisuuteen vahvistaa erityisiä vaatimuksia, jotka on viipymättä täytettävä ennen tietojen poistoa tai niiden tekemistä käyttökelvottomaksi.
– –
(52)
– – Tietoyhteiskunnan palveluiden yhteydessä mahdollisesti syntyville vahingoille on tyypillistä niiden nopeus ja maantieteellinen laajuus. Tämän erityispiirteen vuoksi ja jotta varmistettaisiin tarvittavan jäsenvaltioiden kansallisten viranomaisten keskinäisen luottamuksen säilyminen, tässä direktiivissä kehotetaan jäsenvaltioita varmistamaan, että käytettävissä on soveltuvia oikeussuojakeinoja. – –”
4
Direktiivin 2000/31 1 artiklassa, jonka otsikko on ”Tavoite ja soveltamisala”, säädetään seuraavaa:
”1.   Tämän direktiivin tavoitteena on edistää sisämarkkinoiden moitteetonta toimintaa varmistamalla tietoyhteiskunnan palvelujen vapaa liikkuvuus jäsenvaltioiden välillä.
– –
5.   Tätä direktiiviä ei sovelleta:
– –
b) direktiivien [95/46] ja [97/66] soveltamisalaan kuuluviin tietoyhteiskunnan palveluihin liittyviin kysymyksiin;
– –”
5
Direktiivin 2000/31 II luvun 4 jakso, jonka otsikko on ”Välittäjinä toimivien palvelun tarjoajien vastuu”, sisälsi, sellaisena kuin sitä sovelletaan pääasiaan, direktiivin 12–15 artiklan. Otsikkojensa mukaisesti direktiivin 12 artiklan kohteena on ”Pelkkä siirtotoiminta” ja 13 artiklan ”Välimuistiin tallentaminen”.
6
Kyseisen direktiivin 14 artiklassa, jonka otsikko on ”Säilytys (’hosting’)”, säädettiin seuraavaa:
”1.   Jos tietoyhteiskunnan palvelun tarjoaminen käsittää palvelun vastaanottajan toimittamien tietojen tallentamisen, jäsenvaltioiden on varmistettava, että palvelun tarjoaja ei ole vastuussa palvelun vastaanottajan pyynnöstä tallennettujen tietojen osalta, edellyttäen, että:
a)
palvelun tarjoajalla ei ole tosiasiallista tietoa laittomasta toiminnasta tai tiedoista eikä hänen tiedossaan vahingonkorvausvaatimuksen kyseessä ollen ole tosiasioita tai olosuhteita, joiden perusteella toiminnan tai tietojen laittomuus on ilmeistä; tai
b)
palvelun tarjoaja toimii viipymättä tietojen poistamiseksi tai niihin pääsyn estämiseksi heti saatuaan tiedon tällaisista seikoista.
2.   Edellä 1 kohtaa ei sovelleta, kun palvelun vastaanottaja toimii palvelun tarjoajan johdon tai valvonnan alaisena.
3.   Tämä artikla ei vaikuta tuomioistuimen tai hallintoviranomaisen mahdollisuuteen vaatia jäsenvaltioiden oikeusjärjestelmän mukaisesti palvelun tarjoajaa lopettamaan tai estämään väärinkäytökset, eikä se myöskään vaikuta jäsenvaltioiden mahdollisuuteen vahvistaa menettelyjä, joita sovelletaan tietojen poistamiseen tai niihin pääsyn estämiseen.”
7
Direktiivin 2000/31 15 artiklan, jonka otsikko on ”Yleisen valvontavelvollisuuden puuttuminen”, 1 ja 2 kohdassa säädettiin seuraavaa:
”1.   Jäsenvaltiot eivät saa asettaa palvelun tarjoajille 12, 13 ja 14 artiklassa tarkoitettujen palvelujen toimittamisen osalta yleistä velvoitetta valvoa siirtämiään ja tallentamiaan tietoja eivätkä yleistä velvoitetta pyrkiä aktiivisesti saamaan selville laitonta toimintaa osoittavia tosiasioita tai olosuhteita.
2.   Jäsenvaltiot voivat asettaa tietoyhteiskunnan palvelun tarjoajille velvoitteita ilmoittaa viipymättä toimivaltaisille viranomaisille kyseisen palvelun vastaanottajien väitetysti toteuttamista, laittomiksi väitetyistä toimista tai antamista väitetysti laittomista tiedoista taikka velvoitteen toimittaa toimivaltaisille viranomaisille näiden pyynnöstä tietoja, joiden avulla on mahdollista tunnistaa ne toimitetun palvelun vastaanottajat, joiden kanssa palvelun tarjoajat ovat tehneet tallentamista koskevan sopimuksen.”
Yleinen tietosuoja-asetus
8
Yleisen tietosuoja-asetuksen johdanto-osan 4, 10, 39, 51, 74, 75, 78 ja 85 perustelukappaleessa todetaan seuraavaa:
”(4)
Henkilötietojen käsittely olisi suunniteltava niin, että se palvelee ihmiskuntaa. Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon [Euroopan unionin perusoikeuskirjassa (jäljempänä perusoikeuskirja)] tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan, oikeus henkilötietojen suojaan, ajatuksen, omantunnon ja uskonnon vapaus, sananvapaus ja tiedonvälityksen vapaus, elinkeinovapaus, oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin sekä oikeus kulttuuriseen, uskonnolliseen ja kielelliseen monimuotoisuuteen.
– –
(10)
Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
– –
(39)
Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, että heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaate edellyttää, että kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröidyille annettavia tietoja rekisterinpitäjän identiteetistä ja käsittelyn tarkoituksista sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevien henkilötietojen käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja tieto heitä koskevien henkilötietojen käsittelystä. – –
– –
(51)
Henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja ‑vapauksille. – – Tällaisia henkilötietoja ei pitäisi käsitellä, ellei käsittelyä sallita tässä asetuksessa vahvistetuissa erityistapauksissa – –. Tällaista käsittelyä koskevien erityisvaatimusten lisäksi olisi sovellettava tämän asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn osalta. Olisi kuitenkin nimenomaisesti säädettävä poikkeuksista yleiseen kieltoon, joka koskee erityisiin henkilötietojen ryhmiin kuuluvien tietojen käsittelyä, muun muassa silloin, kun rekisteröity antaa nimenomaisen suostumuksensa tai silloin, kun kyseisten tietojen käsittely suoritetaan tiettyjen yhdistysten tai säätiöiden sellaisen oikeutetun toiminnan yhteydessä, jonka tarkoituksena on mahdollistaa perusvapauksien toteutuminen.
– –
(74)
Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan luettuna. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski.
(75)
Nämä todennäköisyydeltään ja vakavuudeltaan vaihtelevat luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit voivat aiheutua henkilötietojen käsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsittely saattaa johtaa – – identiteettivarkauteen tai petokseen, – – maineen vahingoittumiseen – –; jos rekisteröidyiltä saatetaan evätä heidän oikeuksiaan ja vapauksiaan tai estää heitä hallitsemasta omia henkilötietojaan; – –
– –
(78)
Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että asetuksessa säädetyt vaatimukset täyttyvät. Jotta voidaan osoittaa, että asetusta on noudatettu, rekisterinpitäjän olisi hyväksyttävä sisäisiä menettelyjä ja toteutettava toimenpiteet, jotka vastaavat erityisesti sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita. – –
– –
(85)
Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysisiä, aineellisia tai aineettomia vahinkoja, kuten omien henkilötietojen hallitsemiskyvyn menettäminen tai omien oikeuksien rajoittaminen, syrjintää, identiteettivarkaus tai petos, – – maineen vahingoittuminen – –”
9
Yleisen tietosuoja-asetuksen 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 2 kohdassa säädetään seuraavaa:
”Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.”
10
Kyseisen asetuksen 2 artiklan, jonka otsikkona on ”Aineellinen soveltamisala”, 4 kohdassa säädetään seuraavaa:
”Tällä asetuksella ei rajoiteta direktiivin [2000/31] soveltamista etenkään niiltä osin kuin on kyse tuon direktiivin 12–15 artiklassa säädetyistä välittäjinä toimivien palveluntarjoajien vastuuta koskevista säännöistä.”
11
Yleisen tietosuoja-asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
1)
’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
2)
’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –
7)
’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,
– –
11)
rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen,
– –”
12
Yleisen tietosuoja-asetuksen II luku, jonka otsikko on ”Periaatteet”, sisältää asetuksen 5–9 artiklan.
13
Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:
”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a)
niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b)
ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; – – (’käyttötarkoitussidonnaisuus’);
– –
d)
niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (’täsmällisyys’);
– –
f)
niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (’eheys ja luottamuksellisuus’).
2.   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
14
Kyseisen asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 kohdan ensimmäisessä alakohdassa säädetään seuraavaa:
”Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a)
rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b)
käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
c)
käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
d)
käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi;
e)
käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
f)
käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.”
15
Yleisen tietosuoja-asetuksen 7 artiklan, jonka otsikko on ”Suostumuksen edellytykset”, 1 kohdassa säädetään seuraavaa:
”Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.”
16
Yleisen tietosuoja-asetuksen 9 artiklassa, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, säädetään seuraavaa:
”1.   Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.
2.   Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:
a)
rekisteröity on antanut nimenomaisen suostumuksensa kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida kumota rekisteröidyn suostumuksella;
– –”
17
Yleisen tietosuoja-asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdan a alakohdassa säädetään seuraavaa:
”Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
a)
rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti ja yhteystiedot”.
18
Yleisen tietosuoja-asetuksen 14 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”, 1 kohdan a alakohdassa säädetään seuraavaa:
”Kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot:
a)
rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti ja yhteystiedot”.
19
Yleisen tietosuoja-asetuksen III luvussa, jonka otsikko on ”Rekisteröidyn oikeudet”, olevan asetuksen 17 artiklan, jonka otsikko on puolestaan ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’)”, 1 ja 2 kohdassa säädetään seuraavaa:
”1.   Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
– –
d) henkilötietoja on käsitelty lainvastaisesti;
– –
2.   Jos rekisterinpitäjä on julkistanut henkilötiedot ja sillä on 1 kohdan mukaisesti velvollisuus poistaa tiedot, sen on käytettävissä oleva teknologia ja toteuttamiskustannukset huomioon ottaen toteutettava kohtuulliset toimenpiteet, muun muassa tekniset toimet, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kyseisiä rekisterinpitäjiä poistamaan näihin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot.”
20
Yleisen tietosuoja-asetuksen IV luku, jonka otsikko on ”Rekisterinpitäjä ja henkilötietojen käsittelijä”, sisältää 1 jakson, jonka otsikko on puolestaan ”Yleiset velvollisuudet” ja johon kuuluvat muun muassa asetuksen 24–26 artikla.
21
Yleisen tietosuoja-asetuksen 24 artiklan, jonka otsikko on ”Rekisterinpitäjän vastuu”, 1 kohdassa säädetään seuraavaa:
”Ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan tätä asetusta. Näitä toimenpiteitä on tarkistettava ja päivitettävä tarvittaessa.”
22
Yleisen tietosuoja-asetuksen 25 artiklan, jonka otsikko on ”Sisäänrakennettu ja oletusarvoinen tietosuoja”, 1 ja 2 kohdassa säädetään seuraavaa:
”1.   Ottaen huomioon uusimman teknologian, toteuttamiskustannukset ja käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä käsittelyn aiheuttamat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit luonnollisten henkilöiden oikeuksille ja vapauksille rekisterinpitäjän on sekä käsittelytapojen määrittämisen ja itse käsittelyn yhteydessä toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten tietojen pseudonymisointi, tehokkaasti tietosuojaperiaatteiden, kuten tietojen minimoinnin, täytäntöönpanoa varten, jotta tarvittavat suojatoimet saataisiin sisällytettyä käsittelyn osaksi ja jotta käsittely vastaisi tämän asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin.
2.   Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.”
23
Kyseisen asetuksen 26 artiklan, jonka otsikko on ”Yhteisrekisterinpitäjät”, 1 kohdassa säädetään seuraavaa:
”Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Ne määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tässä asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön ja 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Järjestelyn yhteydessä voidaan nimetä rekisteröidyille yhteyspiste.”
24
Yleisen tietosuoja-asetuksen 32 artiklassa, jonka otsikko on ”Käsittelyn turvallisuus”, säädetään seuraavaa:
”1.   Ottaen huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten
a)
henkilötietojen pseudonymisointi ja salaus;
b)
kyky taata käsittelyjärjestelmien ja ‑palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;
c)
kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa;
d)
menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.
2.   Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.
3.   Jäljempänä 40 artiklassa tarkoitettujen hyväksyttyjen käytännesääntöjen tai 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 kohdassa asetettuja vaatimuksia noudatetaan.
4.   Rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita.”
25
Yleisen tietosuoja-asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1–3 kohdassa säädetään seuraavaa:
”1.   Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.
2.   Kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta. Henkilötietojen käsittelijä on vastuussa käsittelystä aiheutuneesta vahingosta vain, jos se ei ole noudattanut nimenomaisesti henkilötietojen käsittelijöille osoitettuja tämän asetuksen velvoitteita tai jos se on toiminut rekisterinpitäjän lainmukaisen ohjeistuksen ulkopuolella tai sen vastaisesti.
3.   Rekisterinpitäjä tai henkilötietojen käsittelijä on vapautettava vastuusta 2 kohdan nojalla, jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta.”
26
Kyseisen asetuksen 94 artiklassa säädetään seuraavaa:
”1.   Kumotaan direktiivi [95/46] 25 päivästä toukokuuta 2018.
2.   Viittauksia kumottuun direktiiviin pidetään viittauksina tähän asetukseen. – –”
Romanian oikeus
27
Sähköisestä kaupankäynnistä 7.6.2002 annetun lain nro 365/2002 (Legea nr. 365/2002 privind comerțul electronic; Monitorul Oficial al României, osa I, nro 483, 5.7.2002), sellaisena kuin se on muutettuna sähköisestä kaupankäynnistä annetun lain nro 365/2002 muuttamisesta ja täydentämisestä 4.5.2006 annetulla lailla nro 121/2006 (Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic; Monitorul Oficial al României, osa I, nro 403 10.5.2006) (jäljempänä laki nro 365/2002), 11 §:ssä säädetään seuraavaa:
”1.   Palveluntarjoajiin sovelletaan siviilioikeudellista tai rikosoikeudellista vastuuta tai vastuuta hallinnollisista rikkomuksista koskevia säännöksiä, ellei tässä laissa toisin säädetä.
2.   Palveluntarjoajat vastaavat itse esittämistään tai niiden lukuun esitetyistä tiedoista.
3.   Palveluntarjoajat eivät ole vastuussa siirretyistä tai tallennetuista tiedoista tai tiedoista, joihin ne tarjoavat pääsyn, jäljempänä 12–15 §:ssä säädetyin edellytyksin.”
28
Lain nro 365/2002 14 §:ssä, jonka otsikko on ”Tietojen pysyvä säilyttäminen, hosting”, säädetään seuraavaa:
”1.   Jos tietoyhteiskunnan palvelun tarjoaminen käsittää palvelun vastaanottajan toimittamien tietojen tallentamisen, kyseisen palvelun tarjoaja ei ole vastuussa palvelun vastaanottajan pyynnöstä tallennetuista tiedoista, jos jompikumpi seuraavista edellytyksistä täyttyy:
a)
palveluntarjoaja ei ole tietoinen toiminnan tai tallennettujen tietojen laittomuudesta, ja jos kyse on vahingonkorvausvaatimuksesta, palveluntarjoaja ei ole tietoinen tosiseikoista tai olosuhteista, joista ilmenee, että kyseisellä toiminnalla tai kyseisillä tiedoilla saatetaan loukata kolmannen osapuolen oikeuksia
b)
jos palveluntarjoaja on tietoinen toiminnan tai kyseisten tietojen laittomuudesta taikka tosiseikoista tai olosuhteista, joista ilmenee, että kyseisellä toiminnalla tai kyseisillä tiedoilla saatetaan loukata kolmannen osapuolen oikeuksia, se toimii viipymättä poistaakseen tiedot tai estääkseen pääsyn niihin.
2.   Edellä 1 momentissa säädettyä ei sovelleta, kun palvelun vastaanottaja toimii palveluntarjoajan johdon tai määräysvallan alaisena.
3.   Tässä pykälässä säädetty ei vaikuta oikeus- tai hallintoviranomaisen mahdollisuuteen vaatia, että palveluntarjoaja lopettaa tietosuojarikkomuksen tai estää tällaisen rikkomuksen, eikä mahdollisuuteen ottaa hallituksen tasolla käyttöön menettelyjä, joiden tarkoituksena on rajoittaa tai keskeyttää pääsy kyseisiin tietoihin.”
29
Sähköisestä kaupankäynnistä annetun lain nro 365/2002 soveltamissääntöjen (normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerțul electronic), jotka on hyväksytty sähköisestä kaupankäynnistä annetun lain nro 365/2002 soveltamissääntöjen hyväksymisestä 20.11.2002 annetulla hallituksen päätöksellä nro 1.308 (Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerțul electronic; Monitorul Oficial al României, nro 877, 5.12.2002), 11 §:n 1 kohdassa säädetään seuraavaa:
”Tietoyhteiskunnan palveluntarjoajilla, jotka tarjoavat [lain nro 365/2002] 12–15 §:ssä tarkoitettuja palveluja, ei ole velvollisuutta valvoa siirtämiään tai tallentamiaan tietoja eikä etsiä aktiivisesti tietoja toiminnasta tai tiedoista, jotka ovat todennäköisesti laittomia, tarjoamiensa tietoyhteiskunnan palvelujen alalla.”
Pääasia ja ennakkoratkaisukysymykset
30
Russmedia Digital, joka on Romanian oikeuden mukaan perustettu yhtiö, omistaa internetsivuston www.publi24.ro, joka on verkkomarkkinapaikka, jolla voidaan julkaista ilmaiseksi tai maksua vastaan ilmoituksia muun muassa tavaroiden myymisestä tai palvelujen tarjoamisesta Romaniassa.
31
Pääasian valittaja väittää, että kolmas osapuoli, jota ei ole tunnistettu, julkaisi 1.8.2018 kyseisellä internetsivustolla ilmoituksen, joka oli valheellinen ja vahingollinen ja jossa hänet esitettiin seksipalveluja tarjoavana henkilönä. Ilmoitus sisälsi muun muassa pääasian valittajan valokuvia, joita oli käytetty ilman hänen suostumustaan, ja hänen puhelinnumeronsa. Tämä ilmoitus otettiin tämän jälkeen samansisältöisenä muillekin mainoksia julkaiseville internetsivustoille, joilla se julkaistiin ja joissa oli maininta alkuperästä. Russmedia Digital, johon pääasian valittaja otti yhteyttä, poisti kyseisen ilmoituksen internetsivustoltaan alle tunnin kuluttua pyynnön vastaanottamisesta. Sama ilmoitus on kuitenkin edelleen saatavilla muilla internetsivustoilla, joille se on otettu.
32
Koska pääasian valittaja katsoi, että pääasiassa kyseessä olevalla ilmoituksella loukataan hänen oikeuttaan omaan kuvaan, kunniaan ja maineeseen sekä hänen oikeuttaan yksityisyyteen ja rikotaan henkilötietojen käsittelyä koskevia sääntöjä, hän nosti Russmediaa vastaan kanteen Judecătoria Cluj-Napocassa (Cluj-Napocan ensimmäisen asteen tuomioistuin, Romania). Kyseinen tuomioistuin velvoitti Russmedian maksamaan hänelle 7000 euron suuruisen korvauksen aineettomasta vahingosta, joka oli aiheutunut omaa kuvaa, kunniaa ja mainetta koskevan oikeuden loukkaamisesta, hänen yksityiselämänsä kunnioittamista koskevan oikeuden loukkaamisesta ja hänen henkilötietojensa lainvastaisesta käsittelystä.
33
Russmedia haki tähän tuomioon muutosta. Tribunalul Specializat Cluj (Clujin erikoistunut alioikeus, Romania) hyväksyi valituksen ja katsoi, ettei pääasian valittajan kanne ollut perusteltu, koska pääasiassa kyseessä oleva ilmoitus ei ollut peräisin Russmedialta, joka tarjoaa vain kyseisen ilmoituksen hosting-palvelun ilman, että se olisi vaikuttanut aktiivisesti sen sisältöön. Russmediaan sovelletaan siis lain nro 365/2002 14 §:n 1 momentin b kohdassa säädettyä vastuusta vapautumista. Kyseinen tuomioistuin katsoi henkilötietojen käsittelystä, että tietoyhteiskunnan palvelujentarjoajalla ei ole velvollisuutta valvoa siirtämiään tietoja eikä etsiä aktiivisesti tietoja toiminnasta tai tiedoista, jotka ovat todennäköisesti laittomia. Se totesi tältä osin, ettei Russmediaa voida moittia siitä, ettei se ole toteuttanut toimenpiteitä estääkseen pääasiassa kyseessä olevan kunniaa loukkaavan ilmoituksen levittämisen verkossa, koska se on nopeasti poistanut kyseisen ilmoituksen pääasian valittajan pyynnöstä.
34
Pääasian valittaja valitti tästä tuomiosta Curtea de Apel Clujiin (Clujin ylioikeus, Romania), koska hän katsoi Tribunalul Specializat Clujin nojautuneen lain nro 365/2002 virheelliseen tulkintaan. Pääasian valittaja väittää muun muassa, että koska kyseinen laki ei ole yleiseen tietosuoja-asetukseen nähden erityislaki, kyseisen ylioikeuden olisi pitänyt tutkia, voidaanko yleistä tietosuoja-asetusta soveltaa nyt käsiteltävässä tapauksessa. Russmedia ei hänen mukaansa myöskään pelkästään tarjoa asiakkailleen erityistä teknistä järjestelyä hosting-palvelimelle pääsemiseksi. Russmedian rooliin kuuluu myös toimiminen hallinnoijana, joka puuttuu sisältöön hyvän tiedonhallinnan nimissä. Pääasiassa kyseessä olevan internetsivuston ylläpitäjänä kyseinen yhtiö tallentaa tietojen sisällön ja käsittelee sitä. Tietojen tallentaminen ja niiden saattaminen yleisön saataville tietyssä muodossa edellyttää ilmoituksiin sisältyvien datan ja tietojen analysoimista. Nämä seikat osoittavat, että Russmedia osallistuu suoraan ilmoitusten sisällön hallinnointiin ja levittämiseen. Lain nro 365/2002 14 §:n säännöksiä ei siis voida soveltaa.
35
Pääasian valittaja väittää lisäksi, että tällaisen palveluntarjoajan vastuusta vapauttamista ei sovelleta, jos vastuu osoitetaan muiden sääntelytoimien, kuten yleisen tietosuoja-asetuksen, nojalla. Russmedia on julkaissut pääasian valittajan henkilötiedot ilman hänen suostumustaan ja mahdollistanut internetsivustonsa toiminnalla sen, että kuka tahansa voi julkaista minkä tahansa tyyppisiä ilmoituksia ja etenkin ilmoituksia, joissa ei taata henkilötietojen turvallisuutta, minkä vuoksi verkossa julkaistujen tietojen lopullinen poistaminen on mahdotonta.
36
Russmedia puolestaan väittää, että Tribunalul Specializat Clujin ratkaisu on oikea. Pääasian valittaja ei ole osoittanut, miltä osin yleinen tietosuoja-asetus on erityissääntö, joka estää lain nro 365/2002 merkityksellisten säännösten soveltamisen.
37
Curtea de Apel Cluj, joka on ennakkoratkaisua pyytänyt tuomioistuin ja joka ratkaisee nyt käsiteltävän asian muutoksenhakutuomioistuimena, jonka ratkaisu on lopullinen, katsoo tarpeelliseksi määrittää erityisesti ne rajat, joita sovelletaan Russmedian kaltaisen tietoyhteiskunnan palvelujentarjoajan vastuusta vapauttamiseen direktiivin 2000/31 nojalla.
38
Ennakkoratkaisua pyytänyt tuomioistuin viittaa unionin tuomioistuimen merkitykselliseen oikeuskäytäntöön ja toteaa, että vaikka kyseisen oikeuskäytännön mukaan verkkomarkkinapaikkojen ylläpitäjillä ei ole velvollisuutta tarkistaa etukäteen ilmoituksia jättävien käyttäjien julkaisemia tietoja tai ilmoituksia, näiden ylläpitäjien vapauttamiselle vastuusta on kuitenkin asetettu ehtoja. Niinpä 12.7.2011 annetun tuomion L’Oréal ym. (C‑324/09, EU:C:2011:474) mukaan verkkopalvelujen ylläpitäjä ei voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen, jos sillä oli tiedossaan tosiseikkoja tai olosuhteita, joiden perusteella huolellisen talouden toimijan olisi pitänyt todeta asianomaisten myyntitarjousten laittomuus, ja jos se ei niistä tietoisena toiminut viipymättä kyseisen direktiivin 14 artiklan 1 kohdan b alakohdan mukaisesti. Samoin 11.9.2014 annetusta tuomiosta Papasavvas (C‑291/13, EU:C:2014:2209) ilmenee, että direktiivin 2000/31 12–14 artiklassa luetellut yksityisoikeudellisen vastuun rajoitukset eivät koske sellaisen yhtiön tapausta, jolla on internetsivusto, jolla julkaistaan sanomalehden sähköinen versio, siltä osin kuin kyseinen yhtiö, joka saa korvausta kyseisellä internetsivustolla näkyvistä mainoksista, tuntee julkaistut tiedot ja valvoo niitä.
39
Ennakkoratkaisua pyytänyt tuomioistuin korostaa kuitenkin, että kyseisessä oikeuskäytännössä viitataan ainoastaan internetsivustolla julkaistuihin tarjouksiin, joiden laittomuus ilmenee sellaisten tosiseikkojen ja olosuhteiden analyysistä, jotka on nimenomaisesti toimitettu rekisterinpitäjälle asianomaisen ilmoituksen julkaisemisen jälkeen. Unionin tuomioistuimella ei siis ole vielä ollut tilaisuutta tutkia pääasiassa kyseessä olevan kaltaista tilannetta, jossa julkaistun ilmoituksen sisältö on selvästi laiton ja rekisteröidylle erittäin vahingollinen.
40
Ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä yhteydessä, onko alustalle ilmoitettava asiasta, jotta se olisi velvollinen poistamaan selvästi laittoman ja hyvin vahingollisen sisällön. Nyt käsiteltävässä tapauksessa pääasiassa kyseessä oleva ilmoitus on julkaistu tarkistamatta ilmoituksen jättävän käyttäjän henkilöllisyyttä ja selvästi hankkimatta pääasian valittajan suostumusta.
41
Vaikka pääasiassa kyseessä oleva ilmoitus on poistettu internetsivustolta sen jälkeen, kun pääasian valittaja on ilmoittanut asiasta, tämän ilmoituksen sisältö, ja myös ilmoitukseen sisältyvät yhteystiedot ja valokuvat, on otettu kokonaisuudessaan lukuisille muille internetsivustoille, joilla mainitaan sen alkuperä. Pääasian valittajalle aiheutuneesta vahingosta on siis tullut pysyvä, ja vahinkoa aiheutuu edelleen. Ennakkoratkaisua pyytänyt tuomioistuin korostaa tältä osin, että seksipalvelut, joita väitetään tarjotun, voidaan yhdistää törkeisiin rikoksiin, joiden rangaistavuudesta säädetään rikoslaissa (Codul penal), kuten paritukseen tai ihmiskauppaan.
42
Ennakkoratkaisua pyytänyt tuomioistuin täsmentää, että Russmedian ylläpitämän verkkomarkkinapaikan yleisten käyttöehtojen mukaan Russmedia ei vaadi omistusoikeutta julkaistujen ilmoitusten sisältöihin mutta varaa kuitenkin itselleen oikeuden käyttää näitä sisältöjä, mukaan lukien niiden kopioiminen, jakeleminen, siirtäminen, julkaiseminen, jäljentäminen, muokkaaminen, kääntäminen, luovuttaminen yhteistyökumppaneille ja poistaminen milloin tahansa, vaikkei sillä olisikaan tähän mitään pätevää syytä.
43
Tässä tilanteessa Curtea de Apel Cluj päätti lykätä asian ratkaisua ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Sovelletaanko [direktiivin 2000/31] 12–14 artiklaa myös säilytyspalveluina (hosting) tarjottavien tieto[yhteiskunnan ]palvelujen tarjoajaan, joka tarjoaa käyttäjille internetsivuston, jolla voidaan julkaista ilmoituksia maksutta tai maksua vastaan, ja joka väittää, että sen rooli käyttäjien ilmoitusten julkaisemisessa on puhtaasti tekninen (alustan tarjoaminen), ja joka sivuston käyttöehdoissaan ilmoittaa, että se ei vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon mutta että sillä on kuitenkin oikeus käyttää aineistoa, mukaan lukien sen kopiointi, jakelu, siirto, julkaiseminen, jäljentäminen, muokkaaminen, kääntäminen, luovuttaminen yhteistyökumppaneille ja poistaminen milloin tahansa, myös ilman syytä?
2)
Kun tulkitaan [yleisen tietosuoja-asetuksen] 2 artiklan 4 kohtaa, 4 artiklan 7 ja 11 alakohtaa, 5 artiklan 1 kohdan f alakohtaa, 6 artiklan 1 kohdan a alakohtaa, 7, 24 ja 25 artiklaa sekä direktiivin 2000/31 15 artiklaa, onko tällaisella säilytyspalveluina (hosting) tarjottavien tieto[yhteiskunnan ]palvelujen tarjoajalla, joka on henkilötietojen rekisterinpitäjä, velvollisuus tarkistaa ennen ilmoituksen julkaisemista, ovatko ilmoituksen julkaiseva henkilö ja niiden henkilötietojen haltija, joita ilmoitus koskee, sama henkilö?
3)
Kun tulkitaan [yleisen tietosuoja-asetuksen] 2 artiklan 4 kohtaa, 4 artiklan 7 ja 11 alakohtaa, 5 artiklan 1 kohdan f alakohtaa, 6 artiklan 1 kohdan a alakohtaa, 7, 24 ja 25 artiklaa sekä direktiivin 2000/31 15 artiklaa, onko tällaisella säilytyspalveluina (hosting) tarjottavien tieto[yhteiskunnan ]palvelujen tarjoajalla, joka on henkilötietojen rekisterinpitäjä, velvollisuus tarkastaa etukäteen käyttäjien lähettämien ilmoitusten sisältö, jotta se voi poistaa ilmoitukset, jotka ovat mahdollisesti lainvastaisia tai jotka voivat vaikuttaa haitallisesti henkilön yksityis- ja perhe-elämään?
4)
Kun tulkitaan [yleisen tietosuoja-asetuksen] 5 artiklan 1 kohdan b ja f alakohtaa sekä 24 ja 25 artiklaa ja direktiivin 2000/31 15 artiklaa, onko tällaisella säilytyspalveluina (hosting) tarjottavien tieto[yhteiskunnan ]palvelujen tarjoajalla, joka on henkilötietojen rekisterinpitäjä, velvollisuus toteuttaa turvatoimia, joilla estetään sen välityksellä julkaistujen ilmoitusten sisällön kopiointi ja uudelleenjakelu tai rajoitetaan näitä toimintoja?”
Ennakkoratkaisukysymysten tarkastelu
44
Vakiintuneessa oikeuskäytännössä katsotaan, että kansallisten tuomioistuinten ja unionin tuomioistuimen välille SEUT 267 artiklalla luodussa yhteistyössä unionin tuomioistuimen tehtävänä on antaa kansalliselle tuomioistuimelle hyödyllinen vastaus, jonka perusteella kansallinen tuomioistuin voi ratkaista siinä vireillä olevan asian. Unionin tuomioistuimen on tätä silmällä pitäen tarvittaessa muotoiltava sille esitetyt kysymykset uudelleen. Unionin tuomioistuimen on tältä osin poimittava kaikista kansallisen tuomioistuimen esittämistä seikoista ja erityisesti ennakkoratkaisupyynnön perusteluista ne unionin oikeutta koskevat seikat, joita on syytä tulkita, kun otetaan huomioon riidan kohde (ks. vastaavasti tuomio 29.11.1978, Redmond, 83/78, EU:C:1978:214, 26 kohta; tuomio 28.11.2000, Roquette Frères, C‑88/99, EU:C:2000:652, 18 kohta ja tuomio 30.4.2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, 78 kohta).
45
Ennakkoratkaisua pyytäneen tuomioistuimen kysymyksillä pyritään yhdessä selvittämään yhtäältä, onko Russmedian kaltainen verkkomarkkinapaikan ylläpitäjä, joka sallii käyttäjiensä panna verkkomarkkinapaikalleen anonyymisti ilmoituksia ilmaiseksi tai maksua vastaan, jättänyt noudattamatta yleisen tietosuoja-asetuksen mukaisia velvoitteitaan, kun sen verkkomarkkinapaikalla julkaistu ilmoitus sisältää kyseisen asetuksen vastaisesti muun muassa arkaluonteisia henkilötietoja, ja toisaalta, sovelletaanko tällaiseen ylläpitäjään direktiivin 2000/31 12–15 artiklaa, jotka koskevat välittäjinä toimivien palvelujen tarjoajien vastuuta.
46
Hyödyllisen vastauksen antamiseksi näihin kysymyksiin on aluksi tutkittava toinen, kolmas ja neljäs kysymys, joilla pyritään selvittämään, mitä velvollisuuksia verkkomarkkinapaikan ylläpitäjällä on yleisen tietosuoja-asetuksen nojalla pääasiassa kyseessä olevan kaltaisessa tilanteessa, muotoilemalla nämä kysymykset uudelleen siten, että ne koskevat yksinomaan kyseisen asetuksen tulkintaa. Tämän jälkeen tutkitaan, voiko tällainen ylläpitäjä vedota direktiivin 2000/31 12–15 artiklaan, mikä on lähinnä ensimmäisen kysymyksen kohteena.
Toinen, kolmas ja neljäs kysymys, jotka koskevat yleisen tietosuoja-asetuksen tulkintaa
Alustavat toteamukset
47
Alustavasti on huomautettava ensinnäkin, että ennakkoratkaisupyynnöstä ilmenee, että kyseessä olevassa ilmoituksessa pääasian valittajan esitetään tarjoavan seksipalveluja ja että kyseinen ilmoitus sisältää muun muassa hänen valokuviaan, joita on käytetty ilman hänen suostumustaan, sekä hänen puhelinnumeronsa.
48
On kuitenkin selvää, että tällaiset tiedot ovat yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuja henkilötietoja; kyseisen säännöksen mukaan henkilötiedoilla tarkoitetaan ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön – – liittyviä tietoja”, ja siinä täsmennetään, että ”tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.
49
Vakiintuneen oikeuskäytännön mukaan ilmaisun ”kaikkia tietoja” käyttäminen yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaan sisältyvän henkilötietojen käsitteen määritelmässä heijastaa näet unionin lainsäätäjän pyrkimystä antaa laaja merkitys tälle käsitteelle, joka voi kattaa kaikenlaiset tiedot, sekä objektiiviset tiedot että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne koskevat kyseessä olevaa henkilöä. Tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun tieto liittyy tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (tuomio 3.4.2025, Ministerstvo zdravotnictví (Oikeushenkilön edustajaa koskevat tiedot), C‑710/23, EU:C:2025:231, 21 kohta oikeuskäytäntöviittauksineen).
50
Yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa säädetään lisäksi näiden henkilötietojen osalta erityisiä tietoryhmiä, joihin kuuluvat luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevat tiedot, koskevasta erityisestä suojajärjestelmästä.
51
Unionin tuomioistuin on täsmentänyt, että yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan tarkoituksena on varmistaa parempi suoja sellaista käsittelyä vastaan, joka sen kohteena olevien tietojen erityisen arkaluontoisuuden vuoksi voi merkitä erityisen vakavaa puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin, jotka on taattu perusoikeuskirjan 7 ja 8 artiklassa (tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41 kohta oikeuskäytäntöviittauksineen).
52
Tällainen parempi suoja edellyttää kuitenkin välttämättä tällaisten ”arkaluonteisten tietojen” laajaa määritelmää. Unionin tuomioistuin on siis katsonut, että yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa sovelletaan käsittelyyn, joka koskee paitsi luontaisesti arkaluonteisia tietoja, joita kyseinen säännös koskee, myös tietoja, joista selviää epäsuorasti älyllisen päättelyn tai vertailun perusteella tämän luonteisia tietoja (tuomio 5.6.2023, komissio v. Puola (Tuomareiden riippumattomuus ja yksityiselämä), C‑204/21, EU:C:2023:442, 344 kohta oikeuskäytäntöviittauksineen).
53
Tämän laajan määritelmän yhteydessä luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevien tietojen valheellisuus ja vahingollisuus eivät voi johtaa siihen, ettei tällaisia tietoja luonnehdita enää yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitetuiksi arkaluonteisiksi tiedoiksi.
54
Toiseksi on todettava, että pääasiassa kyseessä oleva käsittely muodostuu kyseisen ilmoituksen ja siis näiden tietojen julkaisemisesta Russmedian verkkomarkkinapaikalla. Toiminto, jolla henkilötiedot on laitettu internetsivulle, on näet yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua käsittelyä (tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 65 kohta oikeuskäytäntöviittauksineen).
55
Kolmanneksi on huomautettava, että toisessa, kolmannessa ja neljännessä kysymyksessä viitataan siihen, että pääasiassa kyseessä oleva verkkomarkkinapaikan ylläpitäjä on henkilötietojen rekisterinpitäjä. On kuitenkin ilmeistä, että anonyymi ilmoituksen jättänyt käyttäjä on sisällyttänyt kyseessä olevaan ilmoitukseen ne henkilötiedot, joiden julkaiseminen on pääasian kohteena, ilman, että kyseinen ylläpitäjä olisi konkreettisesti vaikuttanut kyseisen ilmoituksen sisältöön ja että se olisi ollut tietoinen sen valheellisuudesta ja vahingollisuudesta. Tässä tilanteessa on siis selkeytettävä yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettua rekisterinpitäjän ja kyseisen asetuksen 26 artiklassa tarkoitettua yhteisrekisterinpitäjien käsitettä.
56
Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa määritellään rekisterinpitäjän käsite laajasti siten, että sillä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.
57
Tämän laajan määritelmän tavoitteena on yleisen tietosuoja-asetuksen tavoitteen mukaisesti varmistaa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien tehokas suoja ja se, että jokaisella on oikeus henkilötietojensa korkeatasoiseen suojaan (tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 29 kohta oikeuskäytäntöviittauksineen).
58
Näin ollen jokaista luonnollista henkilöä tai oikeushenkilöä, joka vaikuttaa omia tarkoituksiaan varten henkilötietojen käsittelyyn ja osallistuu tämän vuoksi kyseisen käsittelyn tarkoitusten ja keinojen määrittämiseen, voidaan pitää kyseisen käsittelyn osalta rekisterinpitäjänä (tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 30 kohta oikeuskäytäntöviittauksineen).
59
Lisäksi on niin, että koska – kuten yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa nimenomaisesti säädetään – rekisterinpitäjän käsitteellä tarkoitetaan elintä, joka ”yksin tai yhdessä toisten kanssa” määrittää henkilötietojen käsittelyn tarkoitukset ja keinot, tällä käsitteellä ei välttämättä viitata yhteen ainoaan elimeen ja se voi koskea useita toimijoita, jotka osallistuvat kyseiseen käsittelyyn, jolloin kuhunkin niistä on sovellettava tietosuojan alalla sovellettavia säännöksiä (ks. vastaavasti tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 67 kohta oikeuskäytäntöviittauksineen).
60
Yleisen tietosuoja-asetuksen 26 artiklassa, joka muodostaa osan kyseisen asetuksen 4 artiklan 7 alakohdassa olevaa rekisterinpitäjän määritelmää, säädetään pääosin, että jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, niitä on pidettävä yhteisrekisterinpitäjinä kyseisen käsittelyn osalta.
61
Tällainen yhteisvastuu ei välttämättä edellytä sitä, että on olemassa yhteisiä päätöksiä kyseessä olevien henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämisestä. Unionin tuomioistuin on näet katsonut, että osallistuminen näiden tarkoitusten ja keinojen määrittämiseen voi tapahtua eri muodoissa, koska osallistuminen voi olla seurausta sekä kahden tai useamman yksikön tekemästä yhteisestä päätöksestä että yhdenmukaisista päätöksistä, jotka täydentävät toisiaan siten, että kukin niistä vaikuttaa konkreettisesti käsittelyn tarkoitusten ja keinojen määrittämiseen (ks. vastaavasti tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 43 kohta).
62
Tältä osin se, että useampi toimija on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan nojalla yhteisvastuussa samasta käsittelystä, ei edellytä sitä, että kaikilla niistä on pääsy kyseisiin henkilötietoihin (tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 69 kohta oikeuskäytäntöviittauksineen ja tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42 kohta).
63
Tältä samalta kannalta katsoen unionin tuomioistuin on täsmentänyt, että yhteisvastuu ei välttämättä merkitse eri toimijoiden samanlaista vastuuta samasta henkilötietojen käsittelystä. Kyseiset toimijat voivat päinvastoin osallistua henkilötietojen käsittelyyn eri vaiheissa ja eriasteisesti, joten kunkin niistä vastuun taso on arvioitava ottaen huomioon kaikki kyseisessä tapauksessa merkitykselliset seikat (ks. vastaavasti tuomio 10.7.2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, 66 kohta oikeuskäytäntöviittauksineen ja tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42 kohta).
64
Nyt käsiteltävässä tapauksessa on selvää, että käyttäjän, joka on jättänyt pääasian valittajan henkilötietoja sisältävän valheellisen ja vahingollisen ilmoituksen Russmedian ylläpitämälle verkkomarkkinapaikalle, on katsottava määrittäneen ensisijaisesti näiden tietojen käsittelyn tarkoitukset ja keinot, ja tällainen käyttäjä kuuluu siis yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen alaan.
65
On kuitenkin osoitettu, että kyseinen ilmoitus on julkaistu internetissä ja saatettu siis internetin käyttäjien saataville vain Russmedian ylläpitämän verkkomarkkinapaikan ansiosta.
66
Vaikka tämän tuomion 58 kohdassa mainitusta oikeuskäytännöstä ilmenee, että henkilöä voidaan pitää henkilötietojen ”rekisterinpitäjänä” vain, jos hän vaikuttaa omia tarkoituksiaan varten tähän käsittelyyn, on kuitenkin todettava, että näin voi olla muun muassa silloin, kun verkkomarkkinapaikan ylläpitäjä julkaisee kyseessä olevia henkilötietoja sellaisiin kaupallisiin tai mainontaan liittyviin tarkoituksiin, jotka menevät pelkkää ilmoituksen jättävälle käyttäjälle tarjottua palvelua pidemmälle.
67
Nyt käsiteltävässä tapauksessa ennakkoratkaisupyynnöstä ilmenee, että Russmedia julkaisee ilmoituksia verkkomarkkinapaikallaan omia kaupallisia tarkoituksiaan varten. Tämän markkinapaikan yleisissä käyttöehdoissa annetaan tältä osin Russmedialle suuri vapaus hyödyntää kyseisellä markkinapaikalla julkaistuja tietoja. Ennakkoratkaisua pyytäneen tuomioistuimen esittämien tietojen mukaan Russmedia erityisesti varaa itselleen oikeuden julkaistujen sisältöjen käyttämiseen, jakelemiseen, siirtämiseen, jäljentämiseen, muokkaamiseen, kääntämiseen, luovuttamiseen yhteistyökumppaneille ja poistamiseen milloin tahansa eikä se tarvitse tähän ”pätevää syytä”. Russmedia ei siis julkaise ilmoituksiin sisältyviä henkilötietoja – tai ei julkaise niitä yksinomaan – ilmoituksia jättävien käyttäjien lukuun, vaan se käsittelee ja voi hyödyntää näitä tietoja omia mainontaan liittyviä ja kaupallisia tarkoituksiaan varten.
68
On siis katsottava, että Russmedia on vaikuttanut omia tarkoituksiaan varten pääasian valittajan henkilötietojen julkaisemiseen internetissä ja osallistunut tästä syystä kyseisen julkaisemisen ja siis kyseessä olevan käsittelyn tarkoitusten määrittämiseen.
69
Tätä toteamusta ei kyseenalaisteta sillä, että Russmedia ei selvästikään ole osallistunut sen valheellisen ja vahingollisen tarkoituksen määrittämiseen, joka ilmoituksen jättäneellä käyttäjällä on ollut sen julkaistessa pääasiassa kyseessä olevan ilmoituksen. Russmedia on näet osallistunut sellaisen käsittelyn tarkoituksen määrittämiseen, jossa internetin käyttäjille annetaan pääsy pääasiassa kyseessä olevaan ilmoitukseen sisältyviin henkilötietoihin, näiden julkaisemisten hyödyntämistä varten. Russmedia on niin ikään helpottanut tällaisten tietojen julkaisemista ilman rekisteröidyn suostumusta, kun se on sallinut sen, että sen verkkomarkkinapaikalle jätetään ilmoituksia anonyymisti.
70
Kun Russmedia on asettanut ilmoituksen jättävän käyttäjän saataville verkkomarkkinapaikkansa, jolla pääasiassa kyseessä olevan ilmoitus on voitu julkaista, se lisäksi on osallistunut kyseisen julkaisemisen keinojen määrittämiseen.
71
Unionin tuomioistuin on näet pääosin jo todennut, että käsittelykeinojen määrittämiseen osallistuu luonnollinen henkilö tai oikeushenkilö, joka vaikuttaa ratkaisevasti henkilötietojen keräämiseen ja siirtämiseen tai joka vaikuttaa toimintansa hallinnoinnin tai edistämisen tavoitteidensa perusteella tekemällä parametrien valinnalla tällaisten tietojen käsittelyyn (ks. vastaavasti tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, 36 kohta ja tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 78 kohta). Näin on myös hakukoneen osalta silloin, kun sen toiminnalla on ratkaiseva asema henkilötietojen kokonaisvaltaisessa jakelussa, koska kyseiset tiedot ovat kyseisen toiminnan johdosta verkossa jokaisen saatavilla järjestetysti ja kootusti (ks. vastaavasti tuomio 8.12.2022, Google (Väitetysti virheellisen sisällön poistaminen hakutulosten luettelosta), C‑460/20, EU:C:2022:962, 50 kohta oikeuskäytäntöviittauksineen).
72
On siis todettava, että kun Russmedian kaltaisen verkkomarkkinapaikan ylläpitäjä vahvistaa henkilötietoja mahdollisesti sisältävien ilmoitusten levittämisen parametrit kyseessä olevien vastaanottajien mukaan, määrittää esittämistavan, tämän levittämisen keston tai julkaistuja tietoja jäsentävät otsikot tai organisoi luokittelun, joka määrittää tällaista levittämistä koskevat järjestelyt, se osallistuu asianomaisten henkilötietojen julkaisemisen keskeisten keinojen määrittämiseen ja vaikuttaa siten ratkaisevasti niiden kokonaisvaltaiseen levittämiseen.
73
Tarkasteltavana olevan verkkomarkkinapaikan yleisten käyttöehtojen sisältö voi antaa tältä osin viitteitä, jotka osoittavat, että kyseisen verkkomarkkinapaikan ylläpitäjä vaikuttaa ratkaisevasti tarkasteltavana olevaan henkilötietojen käsittelyyn ja määrittää siis tämän käsittelyn keinot. Näin näyttää olevan niiden Russmedian verkkomarkkinapaikan yleisten käyttöehtojen osalta, joissa kyseinen yhtiö varaa itselleen etenkin oikeuden ilmoituksiin sisältyvien tietojen – ja myös niihin sisältyvien henkilötietojen – jakelemiseen, siirtämiseen, julkaisemiseen, poistamiseen tai jäljentämiseen.
74
Verkkomarkkinapaikan ylläpitäjä ei missään tapauksessa voi välttää vastuutaan henkilötietojen rekisterinpitäjänä sillä perusteella, ettei se ole itse määrittänyt kyseisellä markkinapaikalla julkaistun kyseessä olevan ilmoituksen sisältöä. Olisi näet vastoin paitsi yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan selkeää sanamuotoa myös sen tavoitetta, jona on varmistaa rekisterinpitäjän käsitteen laajalla määritelmällä rekisteröityjen tehokas ja kattava suojelu, jättää tällainen ylläpitäjä kyseisen määritelmän ulkopuolelle pelkästään tästä syystä.
75
On siis todettava, että ennakkoratkaisua pyytänyt tuomioistuin on perustellusti perustanut toisen, kolmannen ja neljännen kysymyksensä olettamaan, jonka mukaan pääasiassa kyseessä olevan kaltaisessa tilanteessa verkkomarkkinapaikan ylläpitäjä on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettu rekisterinpitäjä tällä verkkomarkkinapaikalla julkaistuun ilmoitukseen sisältyvien henkilötietojen osalta.
76
Näihin kysymyksiin on vastattava kaikkien edellä esitettyjen alustavien huomautusten valossa.
Toinen ja kolmas kysymys
77
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella ja kolmannella kysymyksellään, jotka on tutkittava yhdessä, pääosin, onko yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa ja 24–26 artiklaa tulkittava siten, että verkkomarkkinapaikan ylläpitäjän on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna sen verkkomarkkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä tunnistettava ennen julkaisemista sellaiset ilmoitukset, jotka sisältävät yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja, tarkistettava, onko ilmoituksen jättävä käyttäjä, joka valmistautuu jättämään tällaisen ilmoituksen, se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen, ja jos näin ei ole, kieltäydyttävä julkaisemasta ilmoitusta ilman rekisteröidyn nimenomaista suostumusta, siltä osin kuin tällainen julkaiseminen voisi johtaa perusoikeuskirjan 7 ja 8 artiklassa taattujen yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien rekisteröidyn oikeuksien vakavaan loukkaamiseen.
78
Yleisen tietosuoja-asetuksen 1 artiklan 2 kohdan, luettuna yhdessä sen johdanto-osan neljännen ja kymmenennen perustelukappaleen kanssa, mukaan kyseisellä asetuksella pyritään muun muassa takaaman luonnollisille henkilöille henkilötietojen käsittelyssä heidän perusoikeuksiensa ja ‑vapauksiensa korkeatasoinen suoja; tämä oikeus suojaan on myös tunnustettu perusoikeuskirjan 8 artiklassa, ja se liittyy läheisesti perusoikeuskirjan 7 artiklassa vahvistettuun yksityiselämän kunnioittamista koskevaan oikeuteen (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 61 kohta oikeuskäytäntöviittauksineen).
79
Tätä varten ensinnäkin yleisen tietosuoja-asetuksen II luvussa esitetään periaatteet, jotka sääntelevät henkilötietojen käsittelyä ja joita rekisterinpitäjän on noudatettava. Erityisesti on todettava, että kaikessa henkilötietojen käsittelyssä on noudatettava niitä tietojen käsittelyä koskevia periaatteita ja käsittelyn lainmukaisuuden edellytyksiä, jotka luetellaan kyseisen asetuksen 5 ja 6 artiklassa (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 62 kohta oikeuskäytäntöviittauksineen).
80
Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Kyseisen asetuksen 5 artiklan 1 kohdan d alakohdassa todetaan vielä, että käsiteltävien henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. On siis toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa säädetään, että henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta tai lainvastaiselta käsittelyltä.
81
Käsittelyn lainmukaisuuden edellytyksistä on huomautettava, että – kuten unionin tuomioistuin on todennut – yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Käsittelyn on siten kuuluttava johonkin tässä säännöksessä säädetyistä tapauksista (ks. vastaavasti tuomio 9.1.2025, Mousse, C‑394/23, EU:C:2025:2, 25 kohta oikeuskäytäntöviittauksineen).
82
Erityisesti on todettava, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdan mukaan henkilötietojen käsittely on lainmukaista jos ja siltä osin kuin rekisteröity on antanut siihen suostumuksensa yhtä tai useampaa erityistä tarkoitusta varten. Kyseisen asetuksen 7 artiklan 1 kohdassa täsmennetään, että tässä tapauksessa rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn. Jos tällainen suostumus puuttuu tai sitä ei ole annettu kyseisen asetuksen 4 artiklan 11 alakohdan mukaisesti vapaaehtoisesti, yksilöidysti, tietoisesti ja yksiselitteisesti, tällainen käsittely voi kuitenkin olla oikeutettua, jos sen osalta täyttyy jokin kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa mainituista tarvetta koskevista vaatimuksista (tuomio 9.1.2025, Mousse, C‑394/23, EU:C:2025:2, 26 kohta oikeuskäytäntöviittauksineen).
83
Näiden periaatteiden ja edellytysten lisäksi on olemassa erityisiä vaatimuksia yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellyn kaltaisille arkaluonteisille tiedoille, joiden käsittely on lähtökohtaisesti kielletty (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 73 kohta).
84
Tästä kiellosta voidaan poiketa vain, jos jokin yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a–j alakohdassa säädetyistä poikkeuksista tulee kyseeseen. Yhtenä näistä poikkeuksista, joita on tulkittava suppeasti, kyseisen asetuksen 9 artiklan 2 kohdan a alakohdassa säädetään, että arkaluonteisten tietojen käsittelyä koskevaa kieltoa ei sovelleta, jos rekisteröity on antanut nimenomaisen suostumuksensa arkaluonteisten henkilötietojensa käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että tätä kieltoa ei voida kumota rekisteröidyn suostumuksella.
85
Toiseksi yleisen tietosuoja-asetuksen IV luvussa täsmennetään niiden velvollisuuksien ulottuvuus, joita henkilötietojen rekisterinpitäjällä on asetuksen 5 artiklan 2 kohdassa esitetyn osoitusvelvollisuuden periaatteen mukaisesti.
86
Kyseisen säännöksen mukaan rekisterinpitäjä vastaa siitä, että kyseisen artiklan 1 kohtaa on noudatettu, ja sen on pystyttävä osoittamaan se, että se noudattaa jokaista kyseisessä 1 kohdassa esitettyä periaatetta, joten todistustaakka on tältä osin sillä (tuomio 4.5.2023, Saksan liittotasavalta (Sähköinen tuomioistuinasioiden postilaatikko), C‑60/22, EU:C:2023:373, 53 kohta oikeuskäytäntöviittauksineen).
87
Tämä osoitusvelvollisuuden periaate konkretisoituu etenkin yleisen tietosuoja-asetuksen 24 artiklassa (ks. vastaavasti tuomio 25.1.2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 43 kohta oikeuskäytäntöviittauksineen). Siinä edellytetään, että kun otetaan huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä on noudatettu kyseistä asetusta.
88
Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa ja 24 artiklassa asetetaan siis yleisiä osoitus- ja noudattamisvelvollisuuksia henkilötietojen rekisterinpitäjälle. Niissä vaaditaan, että kyseinen rekisterinpitäjä toteuttaa asianmukaiset toimenpiteet yleisessä tietosuoja-asetuksessa säädettyjen sääntöjen mahdollisten rikkomisten ehkäisemiseksi varmistaakseen oikeuden tietosuojaan (ks. vastaavasti tuomio 27.10.2022, Proximus (Julkiset sähköiset luettelot), C‑129/21, EU:C:2022:833, 81 kohta).
89
Tältä kannalta katsoen yleisen tietosuoja-asetuksen 25 artiklan 1 kohdassa edellytetään, että rekisterinpitäjä toteuttaa sekä käsittelyn keinojen määrittämisen ja itse käsittelyn yhteydessä asianmukaiset tekniset ja organisatoriset toimenpiteet tietosuojaperiaatteiden tehokasta täytäntöönpanoa varten, jotta tarvittavat suojatoimet saataisiin sisällytettyä käsittelyn osaksi ja jotta käsittely vastaisi kyseisen asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin. Lisäksi kyseisen 25 artiklan 2 kohdassa, joka koskee oletusarvoista tietosuojaa, säädetään muun muassa, että asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, jotka rekisterinpitäjän on tätä varten toteutettava, varmistetaan, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.
90
Kun käsiteltävät henkilötiedot ovat yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja, rekisterinpitäjän on muun muassa sen selvittämiseksi, mitä kyseisen asetuksen 24 ja 25 artiklassa tarkoitetut asianmukaiset toimenpiteet ovat, otettava huomioon se, että kyseisen asetuksen II luvussa esitettyjen periaatteiden loukkaaminen tällaisten tietojen käsittelyssä voi merkitä erityisen vakavaa puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin.
91
Toinen ja kolmas kysymys, sellaisina kuin ne ovat muotoiltuina uudelleen tämän tuomion 77 kohdassa, on tutkittava kaikkien näiden täsmennysten valossa.
92
Ensinnäkin siitä kysymyksestä, onko verkkomarkkinapaikan ylläpitäjän tunnistettava ilmoitukset, jotka sisältävät yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja, ennen niiden julkaisemista, on muistutettava, että – kuten tämän tuomion 64 ja 75 kohdasta ilmenee – kyseistä ylläpitäjää ja ilmoituksen jättävää käyttäjää, joka on jättänyt tällaisen ilmoituksen kyseiselle verkkomarkkinapaikalle, on pidettävä kyseisen asetuksen 26 artiklassa tarkoitettuina yhteisrekisterinpitäjinä, kun asianomainen ilmoitus julkaistaan verkkomarkkinapaikalla.
93
Tästä seuraa, että sekä kyseisen ylläpitäjän että kyseisen ilmoituksen jättävän käyttäjän on huolehdittava siitä, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohdasta sekä 24 ja 25 artiklasta johtuvia velvollisuuksia noudatetaan. Niiden on erityisesti kyettävä osoittamaan, että asianomaiseen ilmoitukseen sisältyvät henkilötiedot julkaistaan laillisesti eli että rekisteröity on antanut suostumuksensa tällaiseen julkaisemiseen, jolleivät ne voi vedota johonkin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädettyyn muuhun edellytykseen. Kun asianomaiset henkilötiedot ovat yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja, suostumuksen tällaiseen julkaisemiseen on oltava, kuten tämän tuomion 84 kohdasta ilmenee, nimenomainen. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan d alakohdassa esitetyn täsmällisyysperiaatteen mukaan rekisterinpitäjien on myös kyettävä osoittamaan, että asianomaiset henkilötiedot ovat täsmällisiä.
94
Sen selvittämiseksi, mitkä ovat juuri ne asianmukaiset tekniset ja organisatoriset toimenpiteet, jotka verkkomarkkinapaikan ylläpitäjän on henkilötietojen yhteisrekisterinpitäjänä toteutettava yleisen tietosuoja-asetuksen 24 ja 25 artiklan mukaisesti, jotta voidaan varmistaa ja osoittaa, että ilmoitukseen sisältyvien arkaluonteisten tietojen julkaisemisessa noudatetaan kyseistä asetusta, on todettava, että näistä säännöksistä ilmenee, että tällaisten toimenpiteiden asianmukaisuutta on arvioitava konkreettisesti ottamalla huomioon kyseessä olevan käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidyn omiin oikeuksiin ja vapauksiin kohdistuvien riskien todennäköisyys ja vakavuus (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 96 kohta).
95
Tältä osin on huomautettava, että henkilötietojen julkaiseminen verkkomarkkinapaikalla aiheuttaa merkittäviä riskejä rekisteröidyn oikeuksille ja vapauksille, koska sen johdosta nämä tiedot ovat lähtökohtaisesti kaikkien internetin käyttäjien saatavilla. Kun kyseiset tiedot on kerran julkaistu verkkomarkkinapaikalla, ne voidaan kopioida ja jäljentää muille internetsivustoille, joten rekisteröidyn voi olla vaikeaa tai jopa mahdotonta saada ne tosiasiallisesti poistettua internetistä.
96
Tällaiseen julkaisemiseen liittyvät riskit ovat sitäkin vakavampia, kun kyse on yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitetuista arkaluonteisista tiedoista. Kuten yleisen tietosuoja-asetuksen johdanto-osan 51 perustelukappaleessa nimenomaisesti todetaan, henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä näille perusoikeuksille ja ‑vapauksille (ks. vastaavasti tuomio 4.10.2024, Lindenapotheke, C‑21/23, EU:C:2024:846, 75 kohta). Tällaisten tietojen käsittely voi – kuten tämän tuomion 90 kohdassa on huomautettu – merkitä erityisen vakavaa puuttumista perusoikeuskirjan 7 ja 8 artiklassa taattuihin yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin. Lisäksi on erittäin todennäköistä, että näitä oikeuksia loukataan julkaisemalla arkaluontoisia tietoja sisältävä ilmoitus, kun ilmoituksen jättänyt käyttäjä ei itse ole rekisteröity ja kun verkkomarkkinapaikka sallii tällaisten ilmoitusten jättämisen anonyymisti.
97
Siltä osin kuin pääasiassa kyseessä olevan kaltaisen verkkomarkkinapaikan ylläpitäjä tietää tai sen pitäisi tietää, että ilmoituksia jättävät käyttäjät voivat yleisesti ottaen julkaista yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja sisältäviä ilmoituksia sen verkkomarkkinapaikalla, kyseisellä ylläpitäjällä on siis tämän käsittelyn rekisterinpitäjänä velvollisuus toteuttaa jo palvelunsa suunnittelusta alkaen asianmukaiset tekniset ja organisatoriset toimenpiteet tällaisten ilmoitusten tunnistamiseksi ennen niiden julkaisemista ja siten kyetä tarkistamaan, julkaistaanko niiden sisältämät arkaluonteiset tiedot kyseisen asetuksen II luvussa esitettyjä periaatteita noudattaen. Kuten etenkin kyseisen asetuksen 25 artiklan 1 kohdasta ilmenee, sillä on näet velvollisuus toteuttaa tällaiset toimenpiteet paitsi käsittelyn yhteydessä myös jo käsittelyn keinoja määritettäessä ja siis jo ennen kuin arkaluonteiset tiedot julkaistaan sen verkkomarkkinapaikalla kyseisiä periaatteita loukaten, koska kyseisellä velvollisuudella pyritään nimenomaan estämään tällaiset loukkaukset.
98
Toiseksi on huomautettava siitä kysymyksestä, onko verkkomarkkinapaikan ylläpitäjän internetsivustollaan julkaistuihin ilmoituksiin sisältyvien arkaluonteisten tietojen rekisterinpitäjänä yhdessä ilmoituksen jättävän käyttäjän kanssa tarkistettava kyseisen ilmoituksen jättävän käyttäjän henkilöllisyys ennen julkaisemista, että yleisen tietosuoja-asetuksen 9 artiklan 1 kohdasta ja 2 artiklan a alakohdasta, kun niitä luetaan yhdessä, ilmenee, että tällaisten tietojen julkaiseminen on kiellettyä, jollei rekisteröity ole antanut nimenomaista suostumustaan siihen, että kyseessä olevat tiedot julkaistaan tällä verkkomarkkinapaikalla, tai jollei jokin kyseisen 9 artiklan 2 kohdan b–j alakohdassa säädetyistä muista poikkeuksista tule kyseeseen, mistä ei kuitenkaan näytä olevan kyse nyt käsiteltävässä tapauksessa.
99
Tämän perusteella on niin, että vaikka se, että rekisteröity jättää arkaluonteisia tietojaan sisältävän ilmoituksen verkkomarkkinapaikalle, voi merkitä yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitettua nimenomaista suostumusta, tällainen suostumus kuitenkin puuttuu, kun kyseisen ilmoituksen jättää kolmas henkilö, jollei tämä kolmas henkilö voi osoittaa, että rekisteröity on antanut nimenomaisen suostumuksensa kyseisen ilmoituksen julkaisemiseen kysymyksessä olevalla verkkomarkkinapaikalla. Jotta voidaan varmistaa ja osoittaa, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa säädettyjä vaatimuksia noudatetaan, verkkomarkkinapaikan ylläpitäjän on siis ennen tällaisen ilmoituksen julkaisemista tarkistettava, onko ilmoituksen jättävä käyttäjä, joka valmistautuu jättämään ilmoituksen, se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen, mikä edellyttää kyseisen ilmoituksen jättävän käyttäjän henkilöllisyyden selvittämistä.
100
Yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan a alakohdasta ja 14 artiklan 1 kohdan a alakohdasta ilmenee lisäksi, että henkilötietojen rekisterinpitäjien on joka tapauksessa ilmoitettava rekisteröidylle identiteettinsä ja yhteystietonsa.
101
Lopuksi on huomautettava, että yleisen tietosuoja-asetuksen 26 artiklassa asetetaan saman henkilötietojen käsittelyn yhteisrekisterinpitäjille velvollisuus määritellä läpinäkyvällä tavalla kunkin vastuualueet kyseisessä asetuksessa vahvistettujen vaatimusten noudattamiseksi. Tällaisen velvollisuuden noudattaminen olisi kuitenkin mahdotonta, jos yksi näistä rekisterinpitäjistä voisi pysyä anonyyminä toiseen nähden.
102
Edellä esitetystä siis seuraa, että verkkomarkkinapaikan ylläpitäjällä on verkkomarkkinapaikallaan julkaistuun ilmoitukseen sisältyvien arkaluonteisten tietojen julkaisemisesta yhdessä ilmoituksen jättävän käyttäjän kanssa vastuussa olevana velvollisuus selvittää kyseisen ilmoituksen jättävän käyttäjän henkilöllisyys ja tarkistaa, onko tämä se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen.
103
Kuten julkisasiamies on ratkaisuehdotuksensa 132 kohdassa pääosin huomauttanut, yleisen tietosuoja-asetuksen johdanto-osan 75 perustelukappaleesta ilmenee tältä osin, että henkilötietojen käsittely voi erityisesti identiteettipetoksen tapauksessa aiheuttaa riskejä rekisteröityjen oikeuksille ja vapauksille, ja rekisteröidyt voivat tästä syystä olla estyneitä hallitsemaan henkilötietojaan. Väärää identiteettiä käytetään näet yleensä vilpillisten toimien toteuttamiseksi rekisteröidyn tai kolmannen osapuolen vahingoksi.
104
Tässä tilanteessa – ja kun otetaan huomioon myös tämän tuomion 95 ja 96 kohdassa esitetyt seikat – on niin, että jotta verkkomarkkinapaikan ylläpitäjä voi varmistaa ja osoittaa, että ilmoituksiin sisältyvät arkaluonteiset tiedot käsitellään yleisen tietosuoja-asetuksen vaatimusten mukaisesti, sen on toteutettava kyseisen asetuksen 24 ja 25 artiklan nojalla asianmukaiset tekniset ja organisatoriset toimenpiteet, joiden avulla se voi paitsi selvittää ilmoituksia jättävän käyttäjän henkilöllisyyden myös tarkistaa sen ennen näiden ilmoitusten julkaisemista, ja näin on etenkin, jotta kyseinen ylläpitäjä voi määrittää, onko kyseinen käyttäjä se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseisiin ilmoituksiin. Kuten julkisasiamies on ratkaisuehdotuksensa 134 kohdassa todennut, tällaisilla toimenpiteillä on muun muassa voitava rajoittaa rekisteröityjen henkilötietojen lainvastaisen käsittelyn riskiä ja ehkäistä tällaisen verkkomarkkinapaikan vilpillistä käyttöä, kun niillä horjutetaan ilmoituksia jättävien käyttäjien rankaisemattomuuden tunnetta ja kannustetaan heitä siis noudattamaan yleisen tietosuoja-asetuksen vaatimuksia heidän julkaistessaan henkilötietoja sisältäviä ilmoituksia.
105
Kolmanneksi on todettava siitä, onko verkkomarkkinapaikan ylläpitäjän kieltäydyttävä arkaluonteisia tietoja sisältävän ilmoituksen julkaisemisesta silloin, kun ilmoituksen jättävän käyttäjän, joka valmistautuu jättämään kyseisen ilmoituksen, henkilöllisyyden tarkistamisen jälkeen osoittautuu, ettei tämä ole se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen, että tämän tuomion 98 ja 99 kohdasta ilmenee, että tällaisessa tilanteessa ei voida sulkea pois sitä, että tämä ilmoitus julkaistaan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa säädetyn, arkaluonteisten tietojen käsittelyä koskevan kiellon vastaisesti. Jollei kyseinen ilmoituksen jättävä käyttäjä voi osoittaa oikeudellisesti riittävällä tavalla, että rekisteröity on antanut kyseisen 9 artiklan 2 kohdan a alakohdassa tarkoitetun nimenomaisen suostumuksensa kyseessä olevien tietojen julkaisemiseen tällä verkkomarkkinapaikalla, tai jollei jokin kyseisen 9 artiklan 2 kohdan b–j alakohdassa säädetyistä muista poikkeuksista tule kyseeseen, tämän verkkomarkkinapaikan ylläpitäjän on kieltäydyttävä kyseessä olevan ilmoituksen julkaisemisesta, mikä sen on varmistettava toteuttamalla asianmukaiset tekniset ja organisatoriset toimenpiteet.
106
Kaiken edellä esitetyn perusteella toiseen ja kolmanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa ja 24–26 artiklaa on tulkittava siten, että verkkomarkkinapaikan ylläpitäjän on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä ennen ilmoitusten julkaisemista asianmukaisin teknisin ja organisatorisin toimenpitein
–
tunnistettava ilmoitukset, jotka sisältävät yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja
–
tarkistettava, onko ilmoituksen jättävä käyttäjä, joka valmistautuu jättämään tällaisen ilmoituksen, se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen, ja jos näin ei ole
–
kieltäydyttävä ilmoituksen julkaisemisesta, jollei kyseinen ilmoituksen jättävä käyttäjä voi osoittaa, että rekisteröity on antanut kyseisen 9 artiklan 2 kohdan a alakohdassa tarkoitetun nimenomaisen suostumuksensa kyseessä olevien tietojen julkaisemiseen tällä verkkomarkkinapaikalla, tai jollei jokin kyseisen 9 artiklan 2 kohdan b–j alakohdassa säädetyistä muista poikkeuksista tule kyseeseen.
Neljäs kysymys
107
Neljäs kysymys koskee pääosin sitä, onko verkkomarkkinapaikan ylläpitäjän rekisterinpitäjänä toteutettava turvatoimenpiteitä, joilla voidaan estää sen verkkomarkkinapaikalla julkaistujen arkaluonteisia tietoja sisältävien ilmoitusten kopiointi ja uudelleenjakelu tai rajoittaa sitä.
108
Nyt käsiteltävässä tapauksessa ennakkoratkaisupyynnöstä ilmenee, että yhtäältä pääasiassa kyseessä oleva valheellinen ja vahingollinen ilmoitus on otettu muille mainoksia sisältäville internetsivustoille, jotka ovat julkaisseet sen ja joilla mainitaan sen alkuperä, ja toisaalta Russmedia varaa verkkomarkkinapaikkansa yleisissä käyttöehdoissa itselleen etenkin oikeuden siirtää verkkomarkkinapaikalla julkaistujen ilmoitusten sisällöt ja luovuttaa ne yhteistyökumppaneilleen. Ennakkoratkaisua pyytänyt tuomioistuin ei tältä osin täsmennä, onko Russmedia siirtänyt tämän ilmoituksen tietoisesti muille internetsivustoille tai ainakin sallinut nämä julkaisemiset sopimuksiin perustuen vai perustuvatko nämä julkaisemiset sitä vastoin alkuperäisen ilmoituksen sellaisiin kopioihin, joihin Russmedia ei ole antanut lupaa.
109
Jos tämän vaihtoehdon ensimmäinen osa osoittautuu oikeaksi, tämä siirtäminen olisi uutta henkilötietojen käsittelyä, jonka osalta Russmedia olisi yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettu rekisterinpitäjä. Tämä käsittely olisi erotettava siitä, että ilmoituksen jättävä käyttäjä julkaisee pääasiassa kyseessä olevan valheellisen ja vahingollisen ilmoituksen Russmedian verkkomarkkinapaikalla.
110
On näet tehtävä ero samaan toimien ketjuun kuuluvien henkilötietojen eri käsittelyjen välillä, jotta otetaan huomioon tarve arvioida erikseen kunkin sellaisen henkilön osalta, joka voidaan luonnehtia henkilötietojen rekisterinpitäjäksi, se, missä määrin kyseisen henkilön voidaan katsoa olevan vastuussa. Tämä johtuu siitä, että luonnollisen henkilön tai oikeushenkilön on täytettävä itsenäisesti yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa esitetty rekisterinpitäjän määritelmä, jotta sen voidaan katsoa olevan yhteisrekisterinpitäjä (tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 41 kohta oikeuskäytäntöviittauksineen).
111
Tästä seuraa, että jos henkilötietoja siirretään myöhemmin sen verkkomarkkinapaikan, jolla tarkasteltavana olevat henkilötiedot on alun perin julkaistu, ylläpitäjän ja muiden internetsivustojen ylläpitäjien välisten levittämistä koskevien sopimusten yhteydessä, lähtökohtaisesti ensin mainittu verkkomarkkinapaikan ylläpitäjä on ainoa rekisterinpitäjä sen käsittelyn osalta, jota tämä siirtäminen merkitsee. Jokaisen rekisterinpitäjän on joka tapauksessa yksin tai yhdessä noudatettava kaikkia yleisestä tietosuoja-asetuksesta johtuvia velvollisuuksia.
112
Näiden täsmennysten jälkeen neljäs kysymys on ymmärrettävä siten, että se koskee tilannetta, jossa Russmedia ei ole siirtänyt pääasiassa kyseessä olevaa valheellista ja vahingollista ilmoitusta muille mainoksia sisältäville internetsivustoille eikä siis antanut lupaa näihin myöhempiin julkaisemisiin.
113
On lisäksi myös huomattava, että tämä kysymys koskee pääosin sen turvallisuusvelvollisuuden ulottuvuutta, jota henkilötietojen rekisterinpitäjän on noudatettava. Käsittelyn turvallisuutta tarkastellaan erityisesti yleisen tietosuoja-asetuksen 32 artiklassa. Siinä konkretisoidaan ja täsmennetään eräs kyseisen asetuksen 24 artiklassa, jossa määritellään – asetuksen 5 artiklan 2 kohdan kanssa – yleisesti rekisterinpitäjän vastuu, esitettyihin vaatimuksiin liittyvä nimenomainen näkökohta.
114
On siis katsottava, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee neljännellä kysymyksellään pääosin, onko yleisen tietosuoja-asetuksen 32 artiklaa tulkittava siten, että verkkomarkkinapaikan ylläpitäjän on kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä toteutettava turvatoimenpiteitä, joilla voidaan estää se, että verkkomarkkinapaikalla julkaistuja ja kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja sisältäviä ilmoituksia kopioidaan ja julkaistaan lainvastaisesti muilla internetsivustoilla.
115
Yleisen tietosuoja-asetuksen 32 artiklan 1 kohdassa säädetään, että ottaen huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet.
116
Kyseisen asetuksen 32 artiklan 2 kohdassa säädetään, että asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai luvattoman henkilötietoihin pääsyn vuoksi.
117
Unionin tuomioistuin on katsonut, että yleisen tietosuoja-asetuksen 32 artiklan 1 kohdassa oleva viittaus ”riskiä vastaavaan turvallisuustasoon” ja 2 kohdassa oleva viittaus ”asianmukaiseen turvallisuustasoon” osoittaa, että yleisellä tietosuoja-asetuksella otetaan käyttöön riskienhallintajärjestelmä ja että siinä ei väitetä millään tavoin poistettavan henkilötietojen tietoturvaloukkauksia koskevia riskejä (tuomio 14.12.2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 29 kohta).
118
Yleisen tietosuoja-asetuksen 32 artiklan, luettuna yhdessä kyseisen asetuksen 24 artiklan kanssa, sanamuodosta siis ilmenee, että kyseisellä 32 artiklalla ainoastaan velvoitetaan rekisterinpitäjä toteuttamaan teknisiä ja organisatorisia toimenpiteitä, joiden tarkoituksena on mahdollisimman pitkälle välttää henkilötietojen tietoturvaloukkaukset. Tällaisten toimenpiteiden asianmukaisuutta on arvioitava konkreettisesti tarkastellen sitä, onko kyseinen rekisterinpitäjä toteuttanut kyseiset toimenpiteet ottaen huomioon mainituissa artikloissa tarkoitetut eri kriteerit ja kyseessä olevaan käsittelyyn ja siitä johtuviin riskeihin erityisesti liittyvät tietosuojan tarpeet (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 30 kohta).
119
Sen konkreettisen riskin määrittämiseksi, jota asianomainen käsittely merkitsee, on tältä osin otettava huomioon käsiteltyjen henkilötietojen mahdollinen arkaluonteisuus. Kuten tämän tuomion 51 ja 90 kohdassa on huomautettu, yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tietyille tietoryhmille niiden erityisen arkaluonteisuuden vuoksi annettu parempi suoja johtuu näet siitä, että tällaisten tietojen käsittely voi merkitä erityisen vakavaa puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin, jotka on taattu perusoikeuskirjan 7 ja 8 artiklassa (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41 kohta oikeuskäytäntöviittauksineen).
120
Kun henkilötietoja sisältävä ilmoitus on kerran verkossa ja kun se on siten jo yleisesti saatavilla, näiden tietojen levittämiseen liittyy kuitenkin muun muassa riski, että hallitsemiskyky asianomaisiin henkilötietoihin menetetään, ja tämän riskin – kun se toteutuu – johdosta yleisessä tietosuoja-asetuksessa rekisteröidyn hyväksi säädetyt oikeudet ja takeet, joihin kuuluu ensi sijassa kyseisen asetuksen 17 artiklassa säädetty oikeus tietojen poistamiseen, menettäisivät tehokkaan vaikutuksensa.
121
Kun arkaluonteisia tietoja julkaistaan verkossa, rekisterinpitäjän on siis yleisen tietosuoja-asetuksen 32 artiklan nojalla toteutettava kaikki tekniset ja organisatoriset toimenpiteet sellaisen turvallisuustason varmistamiseksi, jolla voidaan tehokkaasti estää hallitsemiskyvyn menettäminen näihin tietoihin.
122
Tämän vuoksi rekisterinpitäjän on harkittava muun muassa kaikkia vallitsevan teknisen tietämyksen perusteella saatavilla olevia teknisiä toimenpiteitä, joilla voidaan estää verkkosisällön kopiointi ja jäljentäminen.
123
On kuitenkin vielä täsmennettävä, ettei yleisen tietosuoja-asetuksen 24 ja 32 artiklaa voida ymmärtää siten, että alun perin verkossa julkaistujen henkilötietojen lainvastainen levittäminen riittää siihen, että voidaan katsoa, että asianomaisen rekisterinpitäjän toteuttamat toimenpiteet eivät olleet asianmukaisia kyseisissä säännöksissä tarkoitetussa merkityksessä ilman, että rekisterinpitäjälle annetaan edes mahdollisuutta esittää vastanäyttöä (tuomio 14.12.2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 31 kohta).
124
Nyt käsiteltävässä tapauksessa ennakkoratkaisupyynnöstä ilmenee, että huolimatta siitä, että pääasiassa kyseessä oleva valheellinen ja vahingollinen ilmoitus on poistettu Russmedian verkkomarkkinapaikalta, kyseinen ilmoitus on edelleen saatavilla verkossa muilla internetsivustoilla, eikä näytä siltä, että pääasian valittaja voisi saada sen poistetuksi.
125
On kuitenkin ilmeistä, että tämä hallitsemiskyvyn menettäminen johtuu pääasiassa kyseessä olevan valheellisen ja vahingollisen ilmoituksen alun perin lainvastaisesta julkaisemisesta yleisessä tietosuoja-asetuksessa säädettyjen vaatimusten vastaisesti. Russmedian oli joka tapauksessa toteutettava yleisen tietosuoja-asetuksen 32 artiklan nojalla asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi ja estettävä mahdollisimman hyvin kaikki kyseisen ilmoituksen kopiot. Ennakkoratkaisua pyytäneen tuomioistuimen asiana on selvittää, onko näin tapahtunut.
126
Kaiken edellä esitetyn perusteella neljänteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 32 artiklaa on tulkittava siten, että verkkomarkkinapaikan ylläpitäjän on kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä toteutettava asianmukaiset tekniset ja organisatoriset turvatoimenpiteet sen estämiseksi, että verkkomarkkinapaikalla julkaistuja ja kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja sisältäviä ilmoituksia kopioidaan ja julkaistaan lainvastaisesti muilla internetsivustoilla.
Ensimmäinen kysymys, joka koskee direktiivin 2000/31 tulkintaa
127
Kuten tämän tuomion 45 ja 46 kohdassa on huomautettu, ennakkoratkaisua pyytänyt tuomioistuin pyrkii vielä selvittämään, voiko verkkomarkkinapaikan ylläpitäjä yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä vedota kyseisen asetuksen 5 artiklan 2 kohdasta sekä 24–26 ja 32 artiklasta johtuvien ja tämän tuomion 106 ja 126 todettujen velvollisuuksien noudattamatta jättämisen osalta direktiivin 2000/31 12–15 artiklaan, jotka koskevat välittäjinä toimivien palvelun tarjoajien vastuuta.
128
Esiin tulee siis kysymys näiden kahden unionin oikeuden säädöksen välisestä suhteesta. Erityisesti on selvitettävä, voidaanko direktiivin 2000/31 12–15 artiklalla puuttua yleisessä tietosuoja-asetuksessa säädettyyn vastuuta koskevaan järjestelmään.
129
Tältä osin on huomautettava yhtäältä, että direktiivin 2000/31 1 artiklan 5 kohdan b alakohdassa täsmennetään, ettei kyseistä direktiiviä sovelleta direktiivien 95/46 ja 97/66 soveltamisalaan kuuluviin tietoyhteiskunnan palveluihin liittyviin kysymyksiin
130
Unionin tuomioistuin on tulkinnut tätä säännöstä siten, että viestinnän luottamuksellisuuden ja henkilötietojen suojaan liittyviä kysymyksiä on arvioitava direktiivin 95/46 korvanneen tietosuoja-asetuksen ja direktiivin 97/66 korvanneen henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (EYVL 2002, L 201, s. 37) perusteella, ja suojalla, joka direktiivillä 2000/31 pyritään varmistamaan, ei saada missään tapauksessa rajoittaa yleisestä tietosuoja-asetuksesta ja direktiivistä 2002/58 johtuvia vaatimuksia (tuomio 6.10.2020, La Quadrature du Net ym., C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 200 kohta oikeuskäytäntöviittauksineen).
131
Tästä seuraa erityisesti, että direktiivin 2000/31 14 artiklan 1 kohdassa säädetyn poikkeuksen, johon verkkomarkkinapaikan ylläpitäjä voisi vedota sen internetsivustolla säilytettyjen tietojen osalta, mahdollisella soveltamisella ei voida puuttua yleisen tietosuoja-asetuksen järjestelmään, jota sovelletaan tällaiseen ylläpitäjään samalla tavalla kuin kaikkiin muihin kyseisen asetuksen soveltamisalaan kuuluviin toimijoihin.
132
Sama pätee direktiivin 2000/31 15 artiklaan, jonka mukaan jäsenvaltiot eivät voi asettaa palvelun tarjoajille muun muassa kyseisen direktiivin 14 artiklassa tarkoitettujen palvelujen toimittamisen osalta yleistä valvontavelvoitetta. Lisäksi on todettava, että verkkomarkkinapaikan ylläpitäjän velvollisuutta noudattaa yleisestä tietosuoja-asetuksesta johtuvia vaatimuksia ei voida missään tapauksessa pitää tällaisena yleisenä valvontavelvoitteena.
133
Toisaalta yleisen tietosuoja-asetuksen 2 artiklan 4 kohdassa säädetään, että kyseisellä asetuksella ei rajoiteta direktiivin 2000/31 soveltamista etenkään siltä osin kuin on kyse kyseisen direktiivin 12–15 artiklassa säädetyistä välittäjinä toimivien palveluntarjoajien vastuuta koskevista säännöistä.
134
Kyseinen 2 artiklan 4 kohta on ymmärrettävä siten, että se, että jollakin toimijalla on yleisessä tietosuoja-asetuksessa säädettyjä velvollisuuksia, ei automaattisesti merkitse sitä, etteikö kyseinen toimija voisi vedota direktiivin 2000/31 12–15 artiklaan muiden kuin henkilötietojen suojaa koskevien kysymysten osalta.
135
Direktiivin 2000/31 1 artiklan 5 kohdan b alakohdasta ja yleisen tietosuoja-asetuksen 2 artiklan 4 kohdasta, kun niitä luetaan yhdessä, ilmenee siis, ettei kyseisen direktiivin säännöksillä eikä etenkään sen 12–15 artiklalla voida puuttua kyseisen asetuksen järjestelmään.
136
Kaiken edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että direktiivin 2000/31 1 artiklan 5 kohdan b alakohtaa ja yleisen tietosuoja-asetuksen 2 artiklan 4 kohtaa on tulkittava siten, että verkkomarkkinapaikan ylläpitäjä ei yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä voi vedota kyseisen asetuksen 5 artiklan 2 kohdasta sekä 24–26 ja 32 artiklasta johtuvien velvollisuuksien noudattamatta jättämisen osalta kyseisen direktiivin 12–15 artiklaan, jotka koskevat välittäjinä toimivien palvelun tarjoajien vastuuta.
Oikeudenkäyntikulut
137
Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1)
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 5 artiklan 2 kohtaa ja 24–26 artiklaa
on tulkittava siten, että
verkkomarkkinapaikan ylläpitäjän on kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä ennen ilmoitusten julkaisemista asianmukaisin teknisin ja organisatorisin toimenpitein
–
tunnistettava ilmoitukset, jotka sisältävät kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja
–
tarkistettava, onko ilmoituksen jättävä käyttäjä, joka valmistautuu jättämään tällaisen ilmoituksen, se henkilö, jonka arkaluonteiset tiedot sisältyvät kyseiseen ilmoitukseen, ja jos näin ei ole
–
kieltäydyttävä ilmoituksen julkaisemisesta, jollei kyseinen ilmoituksen jättävä käyttäjä voi osoittaa, että rekisteröity on antanut kyseisen 9 artiklan 2 kohdan a alakohdassa tarkoitetun nimenomaisen suostumuksensa kyseessä olevien tietojen julkaisemiseen tällä verkkomarkkinapaikalla, tai jollei jokin kyseisen 9 artiklan 2 kohdan b–j alakohdassa säädetyistä muista poikkeuksista tule kyseeseen.
2)
Asetuksen 2016/679 32 artiklaa
on tulkittava siten, että
verkkomarkkinapaikan ylläpitäjän on kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä toteutettava asianmukaiset tekniset ja organisatoriset turvatoimenpiteet sen estämiseksi, että verkkomarkkinapaikalla julkaistuja ja kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettuja arkaluonteisia tietoja sisältäviä ilmoituksia kopioidaan ja julkaistaan lainvastaisesti muilla internetsivustoilla.
3)
Tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista 8.6.2000 annetun Euroopan parlamentin ja neuvoston direktiivin 2000/31/EY (direktiivi sähköisestä kaupankäynnistä) 1 artiklan 5 kohdan b alakohtaa ja asetuksen 2016/679 2 artiklan 4 kohtaa
on tulkittava siten, että
verkkomarkkinapaikan ylläpitäjä ei asetuksen 2016/679 4 artiklan 7 alakohdassa tarkoitettuna verkkomarkkinapaikallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen rekisterinpitäjänä voi vedota kyseisen asetuksen 5 artiklan 2 kohdasta sekä 24–26 ja 32 artiklasta johtuvien velvollisuuksien noudattamatta jättämisen osalta kyseisen direktiivin 12–15 artiklaan, jotka koskevat välittäjinä toimivien palvelun tarjoajien vastuuta.
Allekirjoitukset
(
*1
)	Oikeudenkäyntikieli: romania.