Zaak C‑492/23
X
tegen
Russmedia Digital SRL en Inform Media Press SRL
(verzoek om een prejudiciële beslissing, ingediend door de Curte de Apel Cluj, Roemenië)
Arrest van het Hof (Grote kamer) van 2 december 2025
„ Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Verantwoordelijkheid van de exploitant van een onlinemarktplaats voor de publicatie van persoonsgegevens in advertenties die door adverterende gebruikers op zijn onlinemarktplaats zijn geplaatst – Artikel 5, lid 2 – Verantwoordingsplicht – Artikel 26 – Met adverterende gebruikers gedeelde verantwoordelijkheid – Artikel 9, lid 1 en artikel 9, lid 2, onder a) – Advertenties die gevoelige gegevens bevatten – Rechtmatigheid van de verwerking – Toestemming – Artikelen 24, 25, 32 – Verplichtingen van de verwerkingsverantwoordelijke – Voorafgaande identificatie van advertenties die dergelijke gegevens bevatten – Voorafgaande verificatie van de identiteit van de adverterende gebruiker – Weigering om onrechtmatige advertenties te publiceren – Beveiligingsmaatregelen om te voorkomen dat advertenties op andere websites worden gekopieerd en gepubliceerd – Elektronische handel – Richtlijn 2000/31/EG – Artikelen 12 tot en met 15 – Mogelijkheid voor een dergelijke exploitant om zich, in geval van schending van deze verplichtingen, te beroepen op de uitsluiting van aansprakelijkheid die geldt voor een hostingaanbieder van diensten van de informatiemaatschappij ”
1.        Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „verwerkingsverantwoordelijke” – Beheerder van een onlinemarktplaats – Advertenties die persoonsgegevens bevatten die door adverterende gebruikers op die onlinemarktplaats zijn gepubliceerd – Daaronder begrepen – Verwerking van bijzondere categorieën van gegevens – Voorwaarden voor rechtmatige verwerking van persoonsgegevens – Verantwoordingsplicht van de verwerkingsverantwoordelijke – Verplichtingen van de verwerkingsverantwoordelijke – Voorafgaande identificatie van advertenties die gevoelige gegevens bevatten – Voorafgaande verificatie van de identiteit van de adverterende gebruiker – Weigering om onrechtmatige advertenties te publiceren
[Handvest van de grondrechten van de Europese Unie, art. 7 en 8; verordening 2016/679 van het Europees Parlement en de Raad, overweging 51, art. 4, punten 7 en 11, art. 5, lid 1, d), art. 5, lid 2, art. 6, lid 1, art. 7, lid 1, art. 9, lid 1 en art. 9, lid 2, a)-j), art. 13, lid 1, a), art. 14, lid 1, a), en art. 24‑26]
(zie punten 59, 66‑75, 82‑90, 92‑106, dictum 1)
2.        Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Verwerking van bijzondere categorieën van gegevens – Verplichtingen van de verwerkingsverantwoordelijke – Beveiliging van de verwerking – Exploitant van een onlinemarktplaats die de verwerkingsverantwoordelijke is voor persoonsgegevens in advertenties die op zijn onlinemarktplaats zijn gepubliceerd – Tenuitvoerlegging van passende technische en organisatorische maatregelen – Beveiligingsmaatregelen om te voorkomen dat advertenties op andere websites worden gekopieerd en gepubliceerd
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7, art. 5, lid 2, art. 9, lid 1, en art. 24 en 32)
(zie punten 118‑126, dictum 2)
3.        Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Elektronische handel – Richtlijn 2000/31 – Aansprakelijkheid van dienstverleners die als tussenpersoon optreden – Verwerking van bijzondere categorieën van persoonsgegevens – Verantwoordelijkheid van de verwerkingsverantwoordelijke – Exploitant van een onlinemarktplaats die de verwerkingsverantwoordelijke is voor persoonsgegevens in advertenties die op zijn onlinemarktplaats zijn gepubliceerd – Mogelijkheid voor een dergelijke exploitant om te worden vrijgesteld van de in richtlijn 2000/31 vastgestelde aansprakelijkheid van dienstverleners die als tussenpersoon optreden – Geen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 1, lid 5, art. 2, lid 4, art. 4, punt 7, art. 5, lid 2, art. 24‑26 en art. 32; richtlijn 2000/31 van het Europees Parlement en de Raad, art. 12‑15)
(zie punten 131‑136, dictum 3)
Samenvatting
In antwoord op prejudiciële vragen van de Curte de Apel Cluj (rechter in tweede aanleg Cluj, Roemenië) verduidelijkt de Grote kamer van het Hof de aansprakelijkheid van de exploitant van een onlinemarktplaats als verwerkingsverantwoordelijke voor de door adverterende gebruikers op zijn onlinemarktplaats gepubliceerde persoonsgegevens, in het licht van de AVG(1). In dezelfde context spreekt het Hof zich ook uit over de verhouding tussen de aansprakelijkheidsregeling waarin de AVG voorziet voor verwerkingsverantwoordelijken van persoonsgegevens en die waarin de richtlijn inzake elektronische handel(2) voorziet voor dienstverleners die als tussenpersoon optreden in de informatiemaatschappij.
Russmedia Digital, een vennootschap naar Roemeens recht, is eigenaar van de website www.publi24.ro, een onlinemarktplaats in Roemenië waarop kosteloos of tegen vergoeding advertenties kunnen worden gepubliceerd.
X, een natuurlijke persoon, voert aan dat een niet-geïdentificeerde derde op 1 augustus 2018 op die website een misleidende en schadelijke advertentie heeft geplaatst waarin werd beweerd dat zij seksuele diensten aanbood. De advertentie bevatte met name foto’s van X, die zonder haar toestemming waren gebruikt, alsmede haar telefoonnummer. Vervolgens is deze advertentie, met vermelding van de oorspronkelijke bron, letterlijk overgenomen op andere reclamewebsites. Russmedia Digital heeft de advertentie van haar website verwijderd minder dan een uur nadat X haar dat had gevraagd. De advertentie is echter wel beschikbaar gebleven op andere websites die ze hadden overgenomen.
De door X aangezochte Judecătorie Cluj-Napoca (rechter in eerste aanleg Cluj-Napoca, Roemenië) heeft Russmedia Digital en Inform Media Press SRL (hierna samen: „Russmedia”) veroordeeld tot betaling aan verzoekster van een schadevergoeding voor de immateriële schade die zij heeft geleden wegens de schending van haar portretrecht en haar recht op eer en goede naam alsmede wegens de schending van de eerbiediging van haar privéleven en de onrechtmatige verwerking van haar persoonsgegevens. De Tribunal Specializat Cluj (bijzondere rechter Cluj, Roemenië) heeft het hoger beroep dat Russmedia tegen die uitspraak heeft ingesteld, toegewezen. Deze rechter heeft geoordeeld dat die vennootschap slechts een hostingdienst voor de betrokken advertentie aanbood en niet actief betrokken was bij de inhoud ervan, zodat zij was vrijgesteld van de in de nationale regeling inzake de elektronische handel opgenomen aansprakelijkheid voor dienstverleners van de informatiemaatschappij.
De verwijzende rechter, waarbij X cassatieberoep heeft ingesteld, wenst te vernemen of de exploitant van een onlinemarktplaats, zoals Russmedia, die zijn gebruikers de mogelijkheid biedt om kosteloos of tegen vergoeding advertenties op anonieme wijze op zijn onlinemarktplaats te plaatsen, de krachtens de AVG op hem rustende verplichtingen niet is nagekomen wanneer een advertentie op zijn onlinemarktplaats, in strijd met deze verordening, persoonsgegevens – met name gevoelige persoonsgegevens – bevat. Voorts wenst de verwijzende rechter te vernemen of de bepalingen van de richtlijn inzake de elektronische handel betreffende de aansprakelijkheid van dienstverleners die als tussenpersoon optreden in de informatiemaatschappij(3), van toepassing zijn op Russmedia.
Beoordeling door het Hof
Allereerst merkt het Hof op dat de exploitant van een onlinemarktplaats, zoals Russmedia, kan worden gekwalificeerd als „verwerkingsverantwoordelijke” van persoonsgegevens die zijn opgenomen in een advertentie die op deze onlinemarktplaats is gepubliceerd, in de zin van de AVG(4).
Het Hof benadrukt dus dat, hoewel een persoon slechts als „verwerkingsverantwoordelijke” van persoonsgegevens kan worden gekwalificeerd indien hij voor eigen doeleinden invloed uitoefent op de verwerking, dit met name het geval kan zijn wanneer de exploitant van een onlinemarktplaats de betrokken persoonsgegevens voor commerciële of reclamedoeleinden publiceert die verder gaan dan de loutere verrichting van de dienst die hij ten behoeve van de adverterende gebruiker verricht. In casu behoudt Russmedia zich het recht voor om de gepubliceerde inhoud te gebruiken, verspreiden, verzenden, reproduceren, wijzigen, vertalen, aan partners over te dragen of op enigerlei moment te wissen, zonder daarvoor een „geldige reden” te hebben. Deze vennootschap publiceert de in de advertenties opgenomen persoonsgegevens dus niet of niet alleen voor rekening van de adverterende gebruikers, maar verwerkt die gegevens en kan die voor eigen reclame‑ en commerciële doeleinden exploiteren. Bijgevolg heeft Russmedia voor eigen doeleinden invloed uitgeoefend op de online publicatie van de persoonsgegevens van X. Aan deze vaststelling wordt niet afgedaan door het feit dat Russmedia kennelijk niet heeft deelgenomen aan de vaststelling van de misleidende en schadelijke doelstelling die de adverterende gebruiker met de publicatie van de betrokken advertentie heeft nagestreefd. Door toe te staan dat advertenties anoniem op haar onlinemarktplaats werden geplaatst, heeft Russmedia de publicatie van dergelijke gegevens zonder toestemming van de betrokkene namelijk vergemakkelijkt. Door haar onlinemarktplaats die voor de publicatie van de betrokken advertentie heeft gediend, ter beschikking van de adverterende gebruiker te stellen, heeft Russmedia deelgenomen aan de vaststelling van de middelen van die publicatie. Wanneer de exploitant van een onlinemarktplaats, zoals Russmedia, de parameters voor de verspreiding van advertenties die persoonsgegevens kunnen bevatten vaststelt, de weergave, de duur van deze verspreiding of de rubrieken waarin de gepubliceerde informatie wordt gestructureerd vaststelt, of de rangschikking organiseert die zal bepalen op welke wijze de advertenties worden verspreid, neemt hij deel aan de vaststelling van de essentiële middelen voor de publicatie van die persoonsgegevens, waardoor hij de algemene verspreiding van die gegevens op beslissende wijze beïnvloedt. In dit verband blijkt uit de algemene gebruiksvoorwaarden van de onlinemarktplaats van Russmedia dat deze vennootschap zich met name het recht voorbehoudt om de informatie in de advertenties, met inbegrip van de daarin opgenomen persoonsgegevens, te verspreiden, verzenden, publiceren, wissen of reproduceren.
Hoe dan ook kan de exploitant van een onlinemarktplaats niet aan zijn aansprakelijkheid ontsnappen op grond dat hij niet zelf de inhoud van de op die marktplaats gepubliceerde advertentie heeft bepaald. Iedere andere uitlegging zou namelijk in strijd zijn met het doel van de AVG, dat erin bestaat om door middel van een ruime definitie van het begrip „verwerkingsverantwoordelijke” een doeltreffende en volledige bescherming van de betrokkenen te waarborgen.
In het licht van deze inleidende opmerkingen onderzoekt het Hof in de eerste plaats de verplichtingen die in het kader van de AVG rusten op de exploitant van een onlinemarktplaats, zoals Russmedia, als verwerkingsverantwoordelijke voor de op zijn onlinemarktplaats gepubliceerde persoonsgegevens.
In dit verband gaat het Hof ten eerste na of de exploitant van een onlinemarktplaats de advertenties die gevoelige gegevens bevatten in de zin van de AVG(5), moet identificeren alvorens deze te publiceren. Het Hof brengt in herinnering dat de exploitant en de adverterende gebruiker dus moeten worden beschouwd als gezamenlijke verantwoordelijken in de zin van de AVG(6).
Derhalve moet zowel de exploitant als de adverteerder, op grond van de algemene verantwoordingsplichten en nalevingsvereisten die krachtens deze verordening(7) op hen rusten, kunnen aantonen dat, ten eerste de persoonsgegevens in de advertentie rechtmatig zijn gepubliceerd, dat wil zeggen met de uitdrukkelijke toestemming van de betrokken persoon wanneer de betrokken gegevens gevoelig zijn(8), en dat die gegevens juist zijn(9). Ten tweede is de exploitant van een onlinemarktplaats, als een van de gezamenlijke verwerkingsverantwoordelijken van persoonsgegevens, verplicht om passende technische en organisatorische maatregelen te treffen(10) om te kunnen aantonen dat de verwerking van deze gegevens in overeenstemming met de AVG werd uitgevoerd. Het passende karakter van deze maatregelen moet concreet worden beoordeeld, rekening houdend met de aard, de omvang, de context en de doeleinden van de verwerking in kwestie, alsook met de mate van waarschijnlijkheid en de ernst van de risico’s voor de rechten en vrijheden van de betrokkene.
Het Hof benadrukt dat de publicatie van persoonsgegevens op een onlinemarktplaats aanzienlijke risico’s inhoudt voor de rechten en vrijheden van de betrokkene, aangezien die publicatie die gegevens in beginsel toegankelijk maakt voor elke internetgebruiker. Daar deze gegevens op andere websites kunnen worden gekopieerd en gereproduceerd, kan het voor de betrokkene voorts moeilijk, zo niet onmogelijk, zijn om die gegevens daadwerkelijk van het internet te laten verwijderen. Die risico’s zijn des te ernstiger wanneer het gaat om gevoelige gegevens. Bovendien is het zeer waarschijnlijk dat die rechten worden geschonden door de publicatie van een advertentie die dergelijke gegevens bevat wanneer de adverterende gebruiker zelf niet de betrokkene is en de onlinemarktplaats het mogelijk maakt dergelijke advertenties anoniem te plaatsen. Voor zover de exploitant van een onlinemarktplaats zoals Russmedia weet of behoort te weten dat in het algemeen advertenties die gevoelige gegevens bevatten door adverterende gebruikers op die onlinemarktplaats kunnen worden gepubliceerd, is hij dus verplicht om, zodra zijn dienst is uitgerold, de passende technische en organisatorische maatregelen te treffen om dergelijke advertenties vóór de publicatie ervan te identificeren en te kunnen nagaan of de erin vervatte gevoelige gegevens met inachtneming van de AVG worden gepubliceerd.
Ten tweede onderzoekt het Hof of de exploitant van een onlinemarktplaats, als degene die samen met de adverterende gebruiker verantwoordelijk is voor de verwerking van gevoelige gegevens in de advertenties die op zijn website worden gepubliceerd, vóór een dergelijke publicatie de identiteit van die adverterende gebruiker moet nagaan. Het Hof preciseert dat het feit dat een betrokkene een advertentie met zijn gevoelige gegevens op een onlinemarktplaats plaatst, weliswaar een uitdrukkelijke toestemming kan zijn, zoals vereist is door de AVG(11), maar dat van een dergelijke toestemming geen sprake is wanneer een derde, zonder toestemming van de betrokkene, een advertentie publiceert. De exploitant van de onlinemarktplaats moet dus vóór de publicatie van een dergelijke advertentie nagaan of de adverterende gebruiker de persoon is wiens gegevens daarin staan, hetgeen veronderstelt dat de identiteit van die adverterende gebruiker wordt achterhaald. Dergelijke technische en organisatorische maatregelen moeten het met name mogelijk maken om het risico van een onrechtmatige verwerking van de persoonsgegevens van de betrokkenen te beperken en het oneerlijke gebruik van een dergelijke onlinemarktplaats tegen te gaan, door het gevoel van straffeloosheid te beperken en aldus de adverterende gebruikers ertoe aan te zetten aan de vereisten van de AVG te voldoen wanneer zij advertenties met persoonsgegevens publiceren.
Gelet op een en ander benadrukt het Hof ten derde dat de exploitant van een onlinemarktplaats de publicatie van een advertentie die gevoelige gegevens bevat, moet weigeren door passende technische en organisatorische maatregelen te nemen indien, na controle van de identiteit van de adverterende gebruiker blijkt dat laatstgenoemde niet de persoon is wiens gevoelige gegevens in de advertentie zijn opgenomen en dat hij niet rechtens genoegzaam kan aantonen dat degene op wie de advertentie betrekking heeft, uitdrukkelijk toestemming heeft gegeven voor de publicatie van die gegevens of dat een van de andere uitzonderingen van het verbod op de verwerking van die gegevens van toepassing is(12).
Ten vierde preciseert het Hof de omvang van de beveiligingsverplichting die overeenkomstig artikel 32 AVG op de verwerkingsverantwoordelijke van persoonsgegevens rust.(13) Het benadrukt dat, zodra een advertentie met persoonsgegevens online staat en dus reeds algemeen toegankelijk is, de verspreiding van die gegevens met name het risico met zich meebrengt dat de controle over de betrokken persoonsgegevens verloren gaat, waardoor de rechten en waarborgen waarin de AVG ten gunste van de betrokkene voorziet – waaronder in de eerste plaats het recht op gegevenswissing(14) – van elk nuttig effect worden beroofd. Bijgevolg heeft het Hof voor recht verklaard dat de exploitant van een onlinemarktplaats, als verwerkingsverantwoordelijke van persoonsgegevens die op zijn onlinemarktplaats worden gepubliceerd, verplicht is om passende technische en organisatorische beveiligingsmaatregelen te treffen om te voorkomen dat de gepubliceerde advertenties die gevoelige gegevens bevatten, worden gekopieerd en onrechtmatig op andere websites worden gepubliceerd.
In de tweede plaats spreekt het Hof zich uit over de verhouding tussen de AVG en de richtlijn inzake elektronische handel en in het bijzonder over de vraag of de artikelen 12 tot en met 15 van deze richtlijn betreffende de aansprakelijkheid van dienstverleners die als tussenpersoon optreden, de aansprakelijkheidsregeling van de AVG nadelig kunnen beïnvloeden. In dit verband brengt het ten eerste in herinnering dat uit artikel 1, lid 5, onder b), van de richtlijn inzake elektronische handel(15) blijkt dat vragen die verband houden met de bescherming van persoonsgegevens moeten worden beoordeeld aan de hand van de AVG en dat die richtlijn in geen geval afbreuk mag doen aan de vereisten die uit deze verordening voortvloeien. Het eventuele voordeel van de in artikel 14, lid 1, van die richtlijn opgenomen vrijstelling van aansprakelijkheid waarop de exploitant van een onlinemarktplaats zich zou kunnen beroepen met betrekking tot de op zijn website gehoste informatie, kan de regeling van de AVG die van toepassing is op een dergelijke exploitant en op elke andere marktdeelnemer die binnen de werkingssfeer van deze verordening valt, dus niet nadelig beïnvloeden. Hetzelfde geldt voor artikel 15 van die richtlijn wat betreft de algemene toezichtverplichting(16). Bovendien kan de verplichting voor de exploitant van een onlinemarktplaats om te voldoen aan de uit de AVG voortvloeiende vereisten hoe dan ook niet worden gekwalificeerd als een dergelijke algemene toezichtverplichting. Ten tweede benadrukt het Hof dat uit artikel 2, lid 4, AVG(17) volgt dat het feit dat een exploitant de verplichtingen moet nakomen die voortvloeien uit deze verordening, niet automatisch uitsluit dat hij zich kan beroepen op de artikelen 12 tot en met 15 van de richtlijn inzake elektronische handel voor kwesties die geen betrekking hebben op de bescherming van persoonsgegevens. Bijgevolg oordeelt het Hof dat de exploitant van een onlinemarktplaats, als verwerkingsverantwoordelijke van persoonsgegevens die zijn opgenomen in advertenties die op zijn onlinemarktplaats worden gepubliceerd, zich ten aanzien van de niet-naleving van de verplichtingen waaraan hij krachtens de AVG moet voldoen, niet kan beroepen op de artikelen 12 tot en met 15 van de richtlijn inzake elektronische handel.
1      Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
2      Richtlijn 2000/31/EG van het Europees Parlement en de Raad van 8 juni 2000 betreffende bepaalde juridische aspecten van de diensten van de informatiemaatschappij, met name de elektronische handel, in de interne markt („richtlijn inzake elektronische handel”) (PB 2000, L 178, blz. 1).
3      Artikelen 12 tot en met 15 van de richtlijn inzake elektronische handel.
4      Artikel 4, punt 7, AVG.
5      Artikel 9, lid 1, AVG.
6      Artikel 26 AVG.
7      Zoals bepaald in artikel 5, lid 2, en de artikelen 24‑26 AVG.
8      Artikel 9, lid 1, en artikel 9, lid 2, onder a), AVG.
9      Artikel 5, lid 1, onder d), AVG.
10      Overeenkomstig de artikelen 24 en 25 AVG.
11      Artikel 9, lid 1, en artikel 9, lid 2, onder a), AVG.
12      Zoals bepaald in artikel 9, onder b)-j), AVG.
13      Artikel 32, lid 1, AVG voorziet in de verplichting voor de verwerkingsverantwoordelijke van persoonsgegevens om passende technische en organisatorische maatregelen te treffen om een op het risico afgestemd beveiligingsniveau te waarborgen.
14      Artikel 17 AVG.
15      Volgens deze bepaling is de richtlijn inzake elektronische handel niet van toepassing op kwesties in verband met diensten van de informatiemaatschappij die onder richtlijn 95/46 vallen, die door de AVG is vervangen.
16      Krachtens artikel 15 van de richtlijn inzake elektronische handel mogen de lidstaten de dienstverleners met betrekking tot de levering van de in met name artikel 14 van deze richtlijn bedoelde diensten geen algemene toezichtverplichting opleggen.
17      Krachtens deze bepaling laat de AVG de toepassing van de richtlijn inzake elektronische handel, en met name van de regels in de artikelen 12 tot en met 15 van die richtlijn betreffende de aansprakelijkheid van als tussenpersoon optredende dienstverleners onverlet.