62023CJ0492
TEISINGUMO TEISMO (didžioji kolegija) SPRENDIMAS
2025 m. gruodžio 2 d. (
*1
)
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – Elektroninės prekyvietės operatoriaus atsakomybė už asmens duomenų paskelbimą jo elektroninėje prekyvietėje naudotojų įkeltame skelbime – 5 straipsnio 2 dalis – Atsakomybės principas – 26 straipsnis – Bendra su skelbimus įkeliančiais naudotojais atsakomybė – 9 straipsnio 1 dalis ir 2 dalies a punktas – Skelbimai, kuriuose yra jautrių duomenų – Tvarkymo teisėtumas – Sutikimas – 24, 25 ir 32 straipsniai – Duomenų valdytojo pareigos – Išankstinis skelbimų, kuriuose yra tokių duomenų, identifikavimas – Išankstinis skelbimus įkeliančių naudotojų patikrinimas – Atsisakymas publikuoti neteisėtus skelbimus – Saugumo priemonės, galinčios užkirsti kelią skelbimų kopijavimui ir jų publikavimui kitose interneto svetainėse – Elektroninė komercija – Direktyva 2000/31/EB – 12–15 straipsniai – Galimybė operatoriui šių pareigų pažeidimo atžvilgiu remtis tarpinio informacinės visuomenės paslaugų teikėjo atleidimu nuo atsakomybės“
Byloje C‑492/23
dėl Curtea de Apel Cluj (Klužo apeliacinis teismas, Rumunija) 2023 m. birželio 15 d. nutartimi, kurią Teisingumo Teismas gavo 2023 m. rugpjūčio 3 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
X
prieš
Russmedia Digital SRL,
Inform Media Press SRL
TEISINGUMO TEISMAS (didžioji kolegija),
kurį sudaro pirmininkas K. Lenaerts, pirmininko pavaduotojas T. von Danwitz, kolegijų pirmininkai F. Biltgen, K. Jürimäe (pranešėja), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele, J. Passer, teisėjai S. Rodin, E. Regan, N. Jääskinen ir D. Gratsias,
generalinis advokatas M. Szpunar,
posėdžio sekretorė R. Şereş, administratorė,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2024 m. liepos 2 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
–
X, atstovaujamos avocată I. Kis,
–
Rumunijos vyriausybės, atstovaujamos E. Gane, L. Ghiţă ir R. I. Haţieganu,
–
Europos Komisijos, atstovaujamos L. Armati, H. Kranenborg, P.‑J. Loewenthal, ir L. Nicolae,
susipažinęs su 2025 m. vasario 6 d. posėdyje pateikta generalinio advokato išvada,
priima šį
Sprendimą
1
Prašymas priimti prejudicinį sprendimą pateiktas dėl 2000 m. birželio 8 d. Europos Parlamento ir Tarybos direktyvos 2000/31/EB dėl kai kurių informacinės visuomenės paslaugų, ypač elektroninės komercijos, teisinių aspektų vidaus rinkoje (Elektroninės komercijos direktyva) (OL L 178, 2000, p. 1; 2004 m. specialusis leidimas lietuvių k., 13 sk., 25 t., p. 399) 12–15 straipsnių ir 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1) (toliau – BDAR) 2 straipsnio 4 dalies, 4 straipsnio 7 ir 11 punktų, 5 straipsnio 1 dalies b ir f punktų, 6 straipsnio 1 dalies a punkto, 7, 24 ir 25 straipsnių išaiškinimo.
2
Šis prašymas pateiktas nagrinėjant fizinio asmens X ginčą su Russmedia Digital SRL ir Inform Media Press SRL (toliau kartu – Russmedia) dėl ieškinio – juo prašoma atlyginti neturtinę žalą, kurią ieškovė pagrindinėje byloje patyrė dėl neteisėto jos asmens duomenų tvarkymo ir jos teisės į atvaizdą, garbę ir privatų gyvenimą pažeidimo.
Teisinis pagrindas
Sąjungos teisė
Direktyva 2000/31
3
Direktyvos 2000/31 14, 42, 46 ir 52 konstatuojamosiose dalyse nurodyta:
„(14)
Asmenų apsaugą tvarkant asmens duomenis reglamentuoja tik 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo [(OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355)] ir 1997 m. gruodžio 15 d. Europos Parlamento ir Tarybos direktyva 97/66/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos telekomunikacijų sektoriuje [(OL L 24, 1998, p. 1)], kurios visapusiškai taikomos informacinės visuomenės paslaugoms; <…> ši direktyva turėtų būti įgyvendinama ir taikoma vadovaujantis visais principais, susijusiais su asmens duomenų apsauga, ypač dėl neužsakytų komercinių pranešimų ir tarpininkų atsakomybės; ši direktyva negali užkirsti kelio anonimiškai naudotis atviraisiais tinklais, pavyzdžiui, internetu.
<…>
(42)
Šioje direktyvoje nustatytos atsakomybės išimtys taikomos tik tada, kai informacinės visuomenės paslaugų teikėjo veikla apsiriboja eksploatavimo techniniu procesu ir prieigos prie ryšių tinklo, kuriuo perduodama arba kuriame laikinai saugoma trečiųjų šalių suteikta informacija, suteikimu tik tam, kad perdavimas būtų efektyvesnis; ši veikla yra tik techninio, automatinio ir pasyvaus pobūdžio, o tai reiškia, kad informacinės visuomenės paslaugų teikėjas neturi žinių apie perduodamą arba saugomą informaciją ir negali jos kontroliuoti.
<…>
(46)
Norėdamas pasinaudoti atsakomybės apribojimu, informacinės visuomenės paslaugos, kurią sudaro informacijos saugojimas, teikėjas, gavęs faktinių žinių arba sužinojęs apie neteisėtą veiklą, privalo nedelsdamas imtis priemonių panaikinti tą informaciją arba atimti galimybę ja naudotis; informacija turi būti panaikinta arba galimybė ja naudotis turi būti atimta vadovaujantis saviraiškos laisvės principu ir šiam tikslui nacionaliniu lygiu nustatyta tvarka; ši direktyva valstybėms narėms palieka teisę nustatyti specifinius reikalavimus, kuriuos reikia nedelsiant patenkinti prieš panaikinant informaciją arba atimant galimybę ją pasiekti.
<…>
(52)
<…> žala, kuri gali būti padaryta teikiant informacinės visuomenės paslaugas, pasižymi sparta ir geografiniu paplitimu; atsižvelgiant į šį specifinį pobūdį ir poreikį užtikrinti, kad nacionalinės valdžios institucijos nesukeltų pavojaus tarpusavio pasitikėjimui, kurį turėtų puoselėti tarpusavyje; šioje direktyvoje valstybės narės prašomos pasirūpinti, kad tam būtų imtasi atitinkamų teisminių priemonių; <…>“
4
Direktyvos 2000/31 1 straipsnyje „Tikslas ir taikymo sritis“ nustatyta:
„1.   Šia direktyva siekiama prisidėti prie tinkamo vidaus rinkos funkcionavimo užtikrinant laisvą informacinės visuomenės paslaugų judėjimą tarp valstybių narių.
<…>
5.   Ši direktyva netaikoma:
<…>
b) sprendžiant klausimus, susijusius su informacinės visuomenės paslaugomis, kurias reglamentuoja [direktyvos 95/46 ir 97/66];
<…>“
5
Pagrindinės bylos aplinkybėms taikytinos redakcijos Direktyvos 2000/31 II skyriaus 4 skirsnyje „Tarpinių paslaugų teikėjų atsakomybė“ buvo 12–15 straipsniai. Jos 12 ir 13 straipsniai, sprendžiant pagal jų pavadinimus, reglamentavo atitinkamai „[p]aprast[ą] perdavimo kanal[ą]“ ir „[s]partinim[ą]“ (Caching) [tam tikros rūšies saugojimo veiklą, vadinamą podėliavimu]“.
6
Šios direktyvos 14 straipsnyje „Informacijos pateikimas internete [priegloba]“ buvo numatyta:
„1.   Kai teikiama informacinės visuomenės paslauga, kurią sudaro paslaugos gavėjo pateiktos informacijos perdavimas ryšio tinklu [saugojimas], valstybės narės užtikrina, kad paslaugų teikėjas nebūtų atsakingas už informaciją, kurią saugo paslaugos gavėjo prašymu, tik tada, jei:
a)
teikėjas neturi faktinių žinių apie neteisėtą veiklą arba informaciją ir reikalavimų atlyginti žalą atžvilgiu nežino apie faktus ar aplinkybes, rodančias, kad verčiamasi neteisėta veikla arba teikiama neteisėta informacija
arba
b)
teikėjas, gavęs tokių žinių arba apie tai sužinojęs, nedelsdamas panaikina šią informaciją arba atima galimybę ją pasiekti.
2.   Šio straipsnio 1 dalis netaikoma, kai paslaugos gavėjas veikia pagal teikėjo įgaliojimus [yra pavaldus paslaugos teikėjui] arba jo kontroliuojamas.
3.   Šis straipsnis neturi įtakos teismo arba administracinės institucijos galimybei vadovaujantis valstybių narių teisinėmis sistemomis reikalauti, kad paslaugų teikėjas nutrauktų pažeidimą arba užkirstų jam kelią, jis taip pat neturi įtakos valstybių narių galimybei nustatyti procedūras, reglamentuojančias informacijos panaikinimą arba galimybės ją pasiekti atėmimą.“
7
Šios direktyvos 15 straipsnio „Bendros stebėjimo prievolės nebuvimas“ 1 ir 2 dalyse buvo numatyta:
„1.   Valstybės narės nenustato teikėjams nei bendros prievolės teikiant 12, 13 ir 14 straipsnių reglamentuojamas paslaugas stebėti informaciją, kurią jie perduoda arba saugo, nei bendros prievolės aktyviai domėtis faktais arba aplinkybėmis, rodančiomis nelegalią veiklą.
2.   Valstybės narės gali nustatyti prievoles informacinės visuomenės paslaugų teikėjams nedelsiant informuoti kompetentingas viešąsias institucijas apie įtariamą nelegalią veiklą arba informaciją, kurią pateikia jų paslaugų gavėjai, arba prievolę pateikti kompetentingoms institucijoms, gavus jų prašymą, informaciją, leidžiančią nustatyti jų paslaugos gavėjų, su kuriais jie sudarę informacijos saugojimo [prieglobos] sutartis, tapatybę.“
BDAR
8
BDAR 4, 10, 39, 51, 74, 75, 78 ir 85 konstatuojamosiose dalyse nurodyta:
„(4)
asmens duomenys turėtų būti tvarkomi taip, kad tai pasitarnautų žmonijai. Teisė į asmens duomenų apsaugą nėra absoliuti; ji turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis, remiantis proporcingumo principu. Šiuo reglamentu paisoma visų [Europos Sąjungos pagrindinių teisių] [c]hartijoje [toliau – Chartija] pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų, visų pirma teisės į privatų ir šeimos gyvenimą, būsto neliečiamybę ir komunikacijos slaptumą, teisės į asmens duomenų apsaugą, minties, sąžinės ir religijos laisvės, saviraiškos ir informacijos laisvės, laisvės užsiimti verslu, teisės į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą ir kultūrų, religijų ir kalbų įvairovės;
<…>
(10)
siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…>
<…>
(39)
bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu tie asmens duomenys yra ar bus tvarkomi. Pagal skaidrumo principą informacija ir pranešimai, susiję su tų asmens duomenų tvarkymu, turi būti lengvai prieinami ir suprantami, pateikiami aiškia ir paprasta kalba. Tas principas visų pirma susijęs su duomenų subjektų informavimu apie duomenų valdytojo tapatybę ir duomenų tvarkymo tikslus, taip pat su tolesniu informavimu, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas atitinkamų fizinių asmenų atžvilgiu, jų teise gauti patvirtinimą dėl su jais susijusių asmens duomenų tvarkymo ir teise tuos duomenis gauti. <…>
<…>
(51)
asmens duomenims, kurie pagal savo pobūdį yra ypač neskelbtini [jautrūs] pagrindinių teisių ir laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, kadangi atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. <…> Tokie asmens duomenys neturėtų būti tvarkomi, išskyrus atvejus, kai juos tvarkyti leidžiama šiame reglamente nurodytais konkrečiais atvejais <…>. Kartu su konkrečiais tokio duomenų tvarkymo reikalavimais turėtų būti taikomi šiame reglamente numatyti bendrieji principai ir kitos taisyklės, visų pirma, susijusios su teisėto duomenų tvarkymo sąlygomis. Turėtų būti aiškiai nustatytos nuostatos, leidžiančios nukrypti nuo bendro draudimo tvarkyti tokių specialių kategorijų asmens duomenis, inter alia, kai duomenų subjektas su tuo aiškiai sutinka arba specialių poreikių atveju, visų pirma, kai vykdydamos teisėtą veiklą duomenis tvarko tam tikros asociacijos ar fondai, kurių tikslas – užtikrinti galimybę naudotis pagrindinėmis laisvėmis;
<…>
(74)
turėtų būti nustatyta duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėti įrodyti, kad duomenų tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. Tomis priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms;
(75)
Įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas [padaryta fizinė], materialinė ar nematerialinė žala, visų pirma kai dėl tvarkymo gali <…> būti pavogta ar suklastota tapatybė, <…> pakenkta reputacijai, <…> kai duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis; <…>
<…>
(78)
siekiant užtikrinti fizinių asmenų teisių ir laisvių apsaugą tvarkant asmens duomenis reikia imtis tinkamų techninių ir organizacinių priemonių siekiant užtikrinti, kad būtų laikomasi šio reglamento reikalavimų. Kad galėtų įrodyti, jog laikosi šio reglamento, duomenų valdytojas turėtų priimti vidaus nuostatas ir įgyvendinti priemones, kuriomis visų pirma būtų paisoma pritaikytosios ir standartizuotosios duomenų apsaugos principų. <…>
<…>
(85)
dėl asmens duomenų saugumo pažeidimo, jei dėl jo laiku nesiimama tinkamų priemonių, fiziniai asmenys gali patirti kūno sužalojimą [fizinę], materialinę ar nematerialinę žalą, pavyzdžiui, prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota jo asmens tapatybė, <…> gali būti pakenkta jo reputacijai <…>“
9
Šio reglamento 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nustatyta:
„Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“
10
Minėto reglamento 2 straipsnio „Materialinė taikymo sritis“ 4 dalyje numatyta:
„Šis reglamentas nedaro poveikio Direktyvos [2000/31], visų pirma tos direktyvos 12–15 straipsniuose nustatytų taisyklių dėl tarpininkavimo paslaugų teikėjų atsakomybės, taikymui.“
11
Minėto reglamento 4 straipsnis „Apibrėžtys“ suformuluotas taip:
„Šiame reglamente:
1)
asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;
2)
duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;
<…>
7)
duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise;
<…>
11)
duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys;
<…>“
12
BDAR II skyriuje „Principai“ yra, be kita ko, 5–9 straipsniai.
13
Šio reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:
„1.   Asmens duomenys turi būti:
a)
duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
b)
renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu <…> (tikslo apribojimo principas);
<…>
d)
tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas);
<…>
f)
tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).
2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“
14
Minėto reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 dalies pirmoje pastraipoje nustatyta:
„Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
a)
duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;
b)
tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį;
c)
tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;
d)
tvarkyti duomenis būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito fizinio asmens interesus;
e)
tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;
f)
tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.“
15
BDAR 7 straipsnio „Sutikimo sąlygos“ 1 dalyje nurodyta:
„Kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys.“
16
BDAR 9 straipsnyje „Specialių kategorijų asmens duomenų tvarkymas“ nustatyta:
„1.   Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.
2.   1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:
a)
duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti;
<…>“
17
Šio reglamento 13 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“ 1 dalies a punkte numatyta:
„Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:
a)
duomenų valdytojo ir, jeigu taikoma, duomenų valdytojo atstovo tapatybę ir kontaktinius duomenis.“
18
Minėto reglamento 14 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto“ 1 dalies a punkte nustatyta:
„Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui šią informaciją:
a)
duomenų valdytojo ir duomenų valdytojo atstovo, jei taikoma, tapatybę ir kontaktinius duomenis.“
19
Šio reglamento III skyriuje „Duomenų subjekto teisės“ esančio 17 straipsnio „Teisė reikalauti ištrinti duomenis („teisė būti pamirštam“)“ 1 ir 2 dalyse numatyta:
„1.   Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų su juo susijusius asmens duomenis, o duomenų valdytojas yra įpareigotas nepagrįstai nedelsdamas ištrinti asmens duomenis, jei tai galima pagrįsti viena iš šių priežasčių:
<…>
d) asmens duomenys buvo tvarkomi neteisėtai;
<…>
2.   Kai duomenų valdytojas viešai paskelbė asmens duomenis ir pagal 1 dalį privalo asmens duomenis ištrinti, duomenų valdytojas, atsižvelgdamas į turimas technologijas ir įgyvendinimo sąnaudas, imasi pagrįstų veiksmų, įskaitant technines priemones, kad informuotų duomenis tvarkančius duomenų valdytojus, jog duomenų subjektas paprašė, kad tokie duomenų valdytojai ištrintų visas nuorodas į tuos asmens duomenis arba jų kopijas ar dublikatus.“
20
BDAR IV skyriaus „Duomenų valdytojas ir duomenų tvarkytojas“ 1 skirsnyje „Bendrosios prievolės“ yra, be kita ko, 24–26 straipsniai.
21
Šio reglamento 24 straipsnio „Duomenų valdytojo atsakomybė“ 1 dalyje numatyta:
„Atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos.“
22
Minėto reglamento 25 straipsnio „Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga“ 1 ir 2 dalyje numatyta:
„1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas, tiek nustatydamas duomenų tvarkymo priemones, tiek paties duomenų tvarkymo metu, įgyvendina tinkamas technines ir organizacines priemones, kaip antai pseudonimų suteikimą, kuriomis siekiama veiksmingai įgyvendinti duomenų apsaugos principus, kaip antai duomenų kiekio mažinimo principą, ir į duomenų tvarkymą integruoti būtinas apsaugos priemones, kad jis atitiktų šio reglamento reikalavimus ir apsaugotų duomenų subjektų teises.
2.   Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų pirma tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.“
23
Šio reglamento 26 straipsnio „Bendri duomenų valdytojai“ 1 dalyje nustatyta:
„Kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir priemones, jie yra bendri duomenų valdytojai. Jie tarpusavio susitarimu skaidriu būdu nustato savo atitinkamą atsakomybę už pagal šį reglamentą nustatytų prievolių, visų pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir jų atitinkamomis pareigomis pateikti 13 ir 14 straipsniuose nurodytą informaciją, vykdymą, išskyrus atvejus, kai atitinkama duomenų valdytojų atsakomybė yra nustatyta Sąjungos arba valstybės narės teisėje, kuri yra taikoma duomenų valdytojams, ir tokiu mastu, kokiu ji yra nustatyta. Susitarimu gali būti paskirtas duomenų subjektų informavimo punktas.“
24
BDAR 32 straipsnyje „Duomenų tvarkymo saugumas“ nurodyta:
„1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:
a)
pseudonimų suteikimą asmens duomenims ir jų šifravimą;
b)
gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą;
c)
gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju;
d)
reguliarų techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesą.
2.   Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.
3.   Tuo, kad laikomasi patvirtinto elgesio kodekso, kaip nurodyta 40 straipsnyje, arba patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad laikomasi šio straipsnio 1 dalyje nustatytų reikalavimų.
4.   Duomenų valdytojas ir duomenų tvarkytojas imasi priemonių, siekdami užtikrinti, kad bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, jų netvarkytų, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal Sąjungos arba valstybės narės teisę.“
25
Šio reglamento 82 straipsnio „Teisė į kompensaciją ir atsakomybė“ 1–3 dalyse numatyta:
„1.   Bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.
2.   Tvarkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą. Duomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jei jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių arba jei jis veikė nepaisydamas teisėtų duomenų valdytojo nurodymų arba juos pažeisdamas.
3.   Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.“
26
Minėto reglamento 94 straipsnyje nustatyta:
„1.   Direktyva [95/46] panaikinama nuo 2018 m. gegužės 25 d.
2.   Nuorodos į panaikintą direktyvą laikomos nuorodomis į šį reglamentą. <…>“
Rumunijos teisė
27
2002 m. birželio 7 d.Legea Nr. 365/2002 privind comerțul electronic (Elektroninės prekybos įstatymas Nr. 365/2002) (Monitorul Oficial al României, I dalis, Nr. 483, 2002 m. liepos 5 d.), iš dalies pakeisto 2006 m. gegužės 4 d.Legea Nr. 121/2006 pentru modificarea și completarea Legii
Nr. 365/2002 privind comerțul electronic (Įstatymas Nr. 121/2006, kuriuo iš dalies keičiamas ir papildomas Elektroninės prekybos įstatymas Nr. 365/2002) (Monitorul Oficial al României, I dalis, Nr. 403, 2006 m. gegužės 10 d.) (toliau – Įstatymas Nr. 365/2002), 11 straipsnyje numatyta:
„1.   Paslaugų teikėjams taikomos teisės aktų nuostatos, susijusios su civiline, baudžiamąja ir administracine atsakomybe, išskyrus atvejus, kai šiame įstatyme numatyta kitaip.
2.   Paslaugų teikėjai atsako už savo pačių arba jų vardu pateiktą informaciją.
3.   Paslaugų teikėjai neatsako už 12–15 straipsniuose nustatytomis sąlygomis perduodamą arba saugomą informaciją ir už informaciją, prie kurios jie suteikia prieigą.“
28
Įstatymo Nr. 365/2002 14 straipsnyje „Nuolatinis informacijos saugojimas, priegloba“ nustatyta:
„1.   Kai informacinės visuomenės paslauga yra atitinkamos paslaugos gavėjo pateiktos informacijos saugojimas, tokios paslaugos teikėjas neatsako už gavėjo prašymu saugomą informaciją, jei tenkinama viena iš šių sąlygų:
a)
paslaugų teikėjas nežino apie veiklos arba saugomos informacijos neteisėtumą ir, kiek tai susiję su ieškiniais dėl žalos atlyginimo, nežino apie faktus arba aplinkybes, iš kurių matyti, kad vykdoma veikla arba aptariama informacija galėtų pažeisti trečiojo asmens teises;
b)
sužinojęs, kad atitinkama veikla arba informacija yra neteisėta, arba sužinojęs apie faktus ar aplinkybes, iš kurių matyti, kad atitinkama veikla arba informacija galėtų pažeisti trečiojo asmens teises, paslaugų teikėjas imasi skubių veiksmų, kad pašalintų ją arba užblokuotų prieigą prie jos.
2.   Šio straipsnio 1 dalis netaikoma, kai paslaugos gavėjas yra pavaldus paslaugos teikėjui arba yra jo kontroliuojamas.
3.   Šio straipsnio nuostatos neturi įtakos nei teisminės ar administracinės institucijos galimybei reikalauti, kad paslaugų teikėjas nutrauktų duomenų pažeidimą arba užkirstų jam kelią, nei galimybei nustatyti valstybines procedūras siekiant apriboti arba nutraukti prieigą prie informacijos.“
29
2002 m. lapkričio 20 d.Normele metodologice pentru aplicarea Legii Nr. 365/2002 privind comerţul electronic (Elektroninės komercijos įstatymo Nr. 365/2002 taikymo taisyklės), patvirtintos Hotărârea Guvernului Nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii Nr. 365/2002 privind comerţul electronic (Vyriausybės nutarimas Nr. 1.308 dėl Elektroninės komercijos įstatymo Nr. 365/2002 taikymo taisyklių) (Monitorul Oficial al României, I dalis, Nr. 877, 2002 m. gruodžio 5 d.), 11 straipsnio 1 dalyje numatyta:
„Informacinės visuomenės paslaugų teikėjai, teikiantys [Įstatymo Nr. 365/2002] 12–15 straipsniuose nurodytas paslaugas, neprivalo kontroliuoti jų perduodamos ar saugomos informacijos ar aktyviai ieškoti duomenų, susijusių su veikla ar informacija, kuri jų teikiamų informacinės visuomenės paslaugų srityje atrodo neteisėta.“
Pagrindinė byla ir prejudiciniai klausimai
30
Pagal Rumunijos teisę įsteigtai bendrovei Russmedia Digital SRL priklauso interneto svetainė www.publi24.ro – elektroninė prekyvietė, kurioje nemokamai arba už atlygį gali būti publikuojami reklaminiai skelbimai, be kita ko, dėl prekių pardavimo arba paslaugų teikimo Rumunijoje.
31
Ieškovė pagrindinėje byloje teigia, kad 2018 m. rugpjūčio 1 d. trečiasis asmuo, kurio tapatybė nenustatyta, šioje svetainėje paskelbė melagingo ir žalingo turinio skelbimą, jame ji buvo pristatyta kaip teikianti seksualines paslaugas. Skelbime paskelbtos ieškovės pagrindinėje byloje nuotraukos, panaudotos be jos sutikimo, ir telefono numeris. Vėliau šis skelbimas be pakeitimų buvo perimtas kitose reklaminio turinio interneto svetainėse ir ten publikuotas nurodant pirminį šaltinį. Ieškovei pagrindinėje byloje susisiekus su Russmedia
Digital, ši bendrovė išėmė minėtą skelbimą praėjus mažiau nei valandai nuo prašymo gavimo. Tačiau tas pats skelbimas tebebuvo prieinamas kitose jį perėmusiose interneto svetainėse.
32
Manydama, kad pagrindinėje byloje nagrinėjamu skelbimu buvo pažeista jos teisė į atvaizdą, garbę ir reputaciją, taip pat teisė į privatų gyvenimą ir asmens duomenų tvarkymo taisyklės, ieškovė pagrindinėje byloje Judecătoria
Cluj-Napoca (Klužo-Napokos pirmosios instancijos teismas, Rumunija) pareiškė ieškinį bendrovei Russmedia. Tas teismas įpareigojo Russmedia jai sumokėti 7000 EUR sumą, taip atlyginant neturtinę žalą, patirtą dėl teisės į atvaizdą, garbę ir reputaciją ir teisės į privatų gyvenimą pažeidimo ir neteisėto jos asmens duomenų tvarkymo.
33
Russmedia dėl šio sprendimo pateikė skundą. Tribunalul Specializat Cluj (Klužo specializuotasis teismas, Rumunija) tą skundą patenkino ir nusprendė, kad ieškovės pagrindinėje byloje ieškinys nepagrįstas, nes pagrindinėje byloje nagrinėjamą skelbimą paskelbė ne Russmedia, kuri tik teikė skelbimo prieglobos paslaugą ir aktyviai neprisidėjo prie jo turinio. Todėl jai taikomas atleidimas nuo atsakomybės, numatytas Įstatymo Nr. 365/2002 14 straipsnio 1 dalies b punkte. Dėl asmens duomenų tvarkymo tas teismas laikėsi nuomonės, kad informacinės visuomenės paslaugų teikėjas neprivalo nei kontroliuoti informacijos, kurią perduoda, nei aktyviai ieškoti duomenų, susijusių su tariamai neteisėta veikla ar informacija. Šiuo klausimu jis nusprendė, jog negalima kaltinti Russmedia nesiėmus priemonių, kad būtų užkirstas kelias pagrindinėje byloje nagrinėjamo šmeižikiško skelbimo platinimui internete, nes gavusi ieškovės pagrindinėje byloje prašymą ji skubiai pašalino skelbimą.
34
Ieškovė pagrindinėje byloje šį sprendimą apeliacine tvarka apskundė Curtea de Apel Cluj (Klužo apeliacinis teismas, Rumunija) ir laikėsi nuomonės, kad Tribunalul Specializat Cluj (Klužo specializuotasis teismas) rėmėsi klaidingu Įstatymo Nr. 365/2002 aiškinimu. Ieškovė pagrindinėje byloje, be kita ko, teigė, kad šis įstatymas nėra lex specialis BDAR atžvilgiu, todėl tas teismas turėjo patikrinti, ar nagrinėjamu atveju taikytinas minėtas reglamentas. Be to, Russmedia vaidmuo neapsiribojo specialių techninių priemonių, suteikiančių prieigą prie prieglobos serverio, suteikimu klientams. Anot jos, ši bendrovė taip pat atliko valdymo funkciją, kai siekdama tinkamai valdyti informaciją ėmėsi veiksmų turinio lygmeniu. Ji, kaip pagrindinėje byloje nagrinėjamos interneto svetainės operatorė, saugojo ir tvarkė informacijos turinį. Duomenų saugojimas ir padarymas viešai prieinamų tam tikra forma suponuoja skelbime esančių duomenų ir informacijos analizę. Šie aspektai rodo tiesioginį Russmedia dalyvavimą valdant ir skleidžiant skelbimų turinį. Todėl Įstatymo Nr. 365/2002 14 straipsnio nuostatos netaikytinos.
35
Be to, ieškovė pagrindinėje byloje teigė, kad tokiam paslaugų teikėjui netaikomas atleidimas nuo atsakomybės, jeigu atsakomybė konstatuojama pagal kitus norminius aktus, kaip antai BDAR. Russmedia ieškovės pagrindinėje byloje asmens duomenis paskelbė be jos sutikimo ir valdydama savo interneto svetainę leido bet kam publikuoti bet kokios rūšies skelbimus, be kita ko, skelbimus, neužtikrinančius asmens duomenų saugumo, o dėl to neįmanoma galutinai pašalinti internete paskelbtų duomenų.
36
Russmedia savo ruožtu teigė, kad Tribunalul Specializat Cluj (Klužo specializuotasis teismas) priėmė teisingą sprendimą. Anot jos, ieškovė pagrindinėje byloje neįrodė, kodėl BDAR yra lex specialis, užkertantis kelią taikyti reikšmingas Įstatymo Nr. 365/2002 nuostatas.
37
Curtea de Apel Cluj (Klužo apeliacinis teismas) – prašymą priimti prejudicinį sprendimą pateikęs teismas, nagrinėjantis bylą kaip apeliacinės instancijos teismas, kurio sprendimas yra galutinis – mano, kad būtina nustatyti, be kita ko, informacinės visuomenės paslaugų teikėjų, kaip antai Russmedia, atleidimo nuo atsakomybės pagal Direktyvą 2000/31 ribas.
38
Remdamasis taikytina Teisingumo Teismo jurisprudencija, jis konstatavo, kad nors pagal tą jurisprudenciją elektroninių prekyviečių operatoriams nenustatyta pareigos iš anksto tikrinti naudotojų skelbiamą informaciją ar skelbimus, vis dėlto tokių operatorių atleidimas nuo atsakomybės priklauso nuo tam tikrų sąlygų. Pavyzdžiui, vadovaujantis 2011 m. liepos 12 d. Sprendimu L’Oréal ir kt. (C‑324/09, EU:C:2011:474), pažymėtina, kad interneto paslaugų operatorius negali remtis Direktyvos 2000/31 14 straipsnio 1 dalyje numatytu atleidimu nuo atsakomybės, jeigu žinojo apie faktus ar aplinkybes, kuriais remdamasis rūpestingas ūkio subjektas būtų turėjęs konstatuoti, kad nagrinėjami pasiūlymai pirkti prekes neteisėti, ir tai žinodamas nedelsiant nesiėmė veiksmų pagal šios direktyvos 14 straipsnio 1 dalies b punktą. Iš 2014 m. rugsėjo 11 d. Sprendimo Papasavvas (C‑291/13, EU:C:2014:2209) taip pat išplaukia, kad Direktyvos 2000/31 12–14 straipsniuose nustatyti civilinės atsakomybės apribojimai netaikomi bendrovei, turinčiai interneto svetainę, kuriame publikuojama elektroninė laikraščio versija, nes ši bendrovė, kuriai atlyginama iš pajamų, gaunamų iš šiame tinklalapyje skelbiamos komercinės reklamos, turi žinių apie skelbiamą informaciją ir ją kontroliuoja.
39
Prašymą priimti prejudicinį sprendimą pateikęs teismas vis dėlto pabrėžė, kad minėtoje Teisingumo Teismo jurisprudencijoje minimi tik internete skelbiami pasiūlymai, kurių neteisėtumas nustatytas išanalizavus faktus ir aplinkybes, apie kuriuos duomenų valdytojui buvo aiškiai pranešta publikavus atitinkamą skelbimą. Taigi Teisingumo Teismas neturėjo progos išnagrinėti tokios situacijos, kokia susiklostė pagrindinėje byloje, kai publikuoto skelbimo turinys buvo akivaizdžiai neteisėtas ir labai žalingas duomenų subjektui.
40
Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikusiam teismui kilo klausimas, ar platforma būtinai turi būti gavusi pranešimą, kad būtų įpareigota pašalinti akivaizdžiai neteisėtą ir labai žalingą turinį. Šiuo atveju pagrindinėje byloje nagrinėjamas skelbimas buvo publikuotas nepatikrinus jį įkėlusio asmens tapatybės ir akivaizdžiai negavus ieškovės pagrindinėje byloje sutikimo.
41
Beje, nors pagrindinėje byloje nagrinėjamas skelbimas gavus ieškovės pranešimą buvo pašalintas iš pirminės interneto svetainės, jo turinys, įskaitant ieškovės kontaktinius duomenis ir nuotraukas, buvo visiškai perimtas įvairiose kitose interneto svetainėse nurodant pirminį šaltinį. Taigi ieškovės pagrindinėje byloje patirta žala tapo nuolatinė ir vis dar patiriama. Prašymą priimti prejudicinį sprendimą pateikęs teismas šiuo klausimu pabrėžė, kad tariamai siūlomos seksualinės paslaugos gali būti siejamos su sunkiais nusikaltimais, už kuriuos baudžiama pagal Codul penal (Baudžiamasis kodeksas), kaip antai sąvadavimu ir prekyba žmonėmis.
42
Nacionalinis teismas patikslino, kad, remiantis Russmedia eksploatuojamos elektroninės prekyvietės naudojimo sąlygomis, ši bendrovė nepretenduoja į publikuotų skelbimų turinio nuosavybės teisę, bet pasilieka teisę šį turinį naudoti, įskaitant jo kopijavimą, platinimą, perdavimą, paskelbimą, atgaminimą, keitimą, vertimą, perleidimą partneriams ir ištrynimą bet kuriuo momentu, net kai tam nėra jokios pagrįstos priežasties.
43
Tokiomis aplinkybėmis Curtea de Apel Cluj (Klužo apeliacinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1. Ar Direktyvos [2000/31] 12–14 straipsniai taikytini ir prieglobos tipo [informacinės visuomenės] paslaugų teikėjui, suteikiančiam naudotojams galimybę naudotis svetaine, kurioje gali būti skelbiami nemokami arba mokami skelbimai, ir teigiančiam, kad jo vaidmuo skelbiant naudotojų skelbimus yra tik techninio pobūdžio (platformos suteikimas), bet bendrosiose svetainės naudojimo sąlygose nurodančiam, kad neprašo nuosavybės teisės į pateiktą ar paskelbtą, įkeltą ar atsiųstą turinį, tačiau išsaugo teisę naudoti turinį, įskaitant teisę bet kada jį nukopijuoti, išplatinti, perduoti, paskelbti, atgaminti, iš dalies pakeisti, išversti, perleisti partneriams ir pašalinti, net neturėdamas tam jokios priežasties?
2. Ar, remiantis [BDAR] 2 straipsnio 4 dalies, 4 straipsnio 7 ir 11 punktų, 5 straipsnio 1 dalies f punkto, 6 straipsnio 1 dalies a punkto, 7, 24 ir 25 straipsnių ir Direktyvos [2000/31] 15 straipsnio aiškinimu, toks prieglobos tipo informacinės [visuomenės] paslaugos teikėjas, kuris yra asmens duomenų valdytojas, prieš paskelbdamas skelbimą turi patikrinti, ar skelbimą skelbiantis asmuo ir skelbime nurodytų asmens duomenų savininkas sutampa?
3. Ar, remiantis [BDAR] 2 straipsnio 4 dalies, 4 straipsnio 7 ir 11 punktų, 5 straipsnio 1 dalies f punkto, 6 straipsnio 1 dalies a punkto, 7, 24 ir 25 straipsnių ir Direktyvos [2000/31] 15 straipsnio aiškinimu, toks prieglobos tipo informacinės [visuomenės] paslaugos teikėjas, kuris yra atsakingas už asmens duomenų tvarkymą, privalo iš anksto patikrinti naudotojų siunčiamų skelbimų turinį, kad eliminuotų tuos, kurie galbūt yra neteisėti arba kurie gali pakenkti asmens privačiam ir šeimos gyvenimui?
4. Ar, remiantis [BDAR] 5 straipsnio 1 dalies b ir f punktų, 24 ir 25 straipsnių ir Direktyvos [2000/31] 15 straipsnio aiškinimu, toks prieglobos tipo informacinės [visuomenės] paslaugos teikėjas, kuris yra asmens duomenų valdytojas, privalo taikyti apsaugos priemones, kuriomis galima užkirsti kelią per jį skelbiamų skelbimų turinio kopijavimui ir tolesniam platinimui arba tai apriboti?“
Dėl prejudicinių klausimų
44
Pagal suformuotą jurisprudenciją nacionaliniams teismams ir Teisingumo Teismui bendradarbiaujant, kaip numatyta SESV 267 straipsnyje, pastarasis teismas nacionaliniam teismui turi pateikti naudingą atsakymą, kuris leistų išspręsti jo nagrinėjamą bylą. Tokiu atveju Teisingumo Teismas prireikus turi performuluoti jam pateiktus klausimus. Šiuo atžvilgiu jis turi iš visos nacionalinio teismo pateiktos informacijos ir, be kita ko, iš sprendimo dėl prašymo priimti prejudicinį sprendimą motyvuojamosios dalies, atrinkti Sąjungos teisės klausimus, aiškintinus atsižvelgiant į bylos dalyką (šiuo klausimu žr. 1978 m. lapkričio 29 d. Sprendimo Redmond, 83/78, EU:C:1978:214, 26 punktą; 2000 m. lapkričio 28 d. Sprendimo Roquette Frères, C‑88/99, EU:C:2000:652, 18 punktą ir 2024 m. balandžio 30 d. Sprendimo M. N. (EncroChat), C‑670/22, EU:C:2024:372, 78 punktą).
45
Prašymą priimti prejudicinį sprendimą pateikusio teismo klausimais apskritai siekiama nustatyti, pirma, ar elektroninės prekyvietės operatorius, kaip antai Russmedia, kuris leidžia naudotojams savo elektroninėje prekyvietėje anonimiškai nemokamai arba už atlygį įkelti skelbimus, pažeidė jam pagal BDAR tenkančias pareigas, kai jo elektroninėje prekyvietėje paskelbtame skelbime pažeidžiant šį reglamentą buvo nurodyti asmens duomenys, taip pat jautrūs, ir, antra, ar tokiam operatoriui taikomi Direktyvos 2000/31 12–15 straipsniai, reglamentuojantys tarpinių paslaugų teikėjų atsakomybę.
46
Siekiant pateikti naudingą atsakymą į šiuos klausimus, pirmiausia reikia išnagrinėti antrąjį–ketvirtąjį klausimus, kurių tikslas – nustatyti, kokios pareigos pagal BDAR tenka elektroninės prekyvietės operatoriui, esant tokiai situacijai, kaip nagrinėjama pagrindinėje byloje, ir performuluoti šiuos klausimus taip, kad jais keliamas tik šio reglamento aiškinimo klausimas. Paskui bus nagrinėjama, ar toks operatorius gali remtis Direktyvos 2000/31 12–15 straipsniais, o tai iš esmės yra pirmojo klausimo dalykas.
Dėl antrojo–ketvirtojo klausimų, susijusių su BDAR aiškinimu
Pirminės pastabos
47
Iš pradžių reikėtų pažymėti, pirma, kad iš prašymo priimti prejudicinį sprendimą matyti, jog nagrinėjamame skelbime ieškovė pagrindinėje byloje buvo pristatyta kaip siūlanti seksualines paslaugas ir kad šiame skelbime be jos sutikimo buvo pateiktos, be kita ko, jos nuotraukos ir telefono numeris.
48
Neginčijama, kad tokia informacija yra asmens duomenys, kaip tai suprantama pagal BDAR 4 straipsnio 1 punktą, kuriame jie apibrėžti kaip „bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti“, patikslinant, kad „fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius“.
49
Remiantis suformuota Teisingumo Teismo jurisprudencija, žodžių „bet kokia informacija“ vartojimas apibrėžiant BDAR 4 straipsnio 1 punkte vartojamą sąvoką „asmens duomenys“ atspindi Sąjungos teisės aktų leidėjo tikslą šiai sąvokai suteikti plačią reikšmę, kuri potencialiai apima bet kokios rūšies informaciją – tiek objektyvią, tiek subjektyvią, nuomonių ar vertinimų pavidalo, jei tik ji yra „apie“ atitinkamą asmenį. Informacija yra apie fizinį asmenį, kurio tapatybė yra arba gali būti nustatyta, jeigu dėl savo turinio, tikslo ar poveikio ji susijusi su asmeniu, kurio tapatybę galima nustatyti (2025 m. balandžio 3 d. Sprendimo Ministerstvo zdravotnictví (Juridinio asmens atstovo duomenys), C‑710/23, EU:C:2025:231, 21 punktas ir jame nurodyta jurisprudencija).
50
Be to, šiems asmens duomenims BDAR 9 straipsnio 1 dalyje numatyta specialių kategorijų duomenų, įskaitant duomenis apie fizinio asmens lytinį gyvenimą ar lytinę orientaciją, apsaugos sistema.
51
Teisingumo Teismas yra patikslinęs, kad šio reglamento 9 straipsnio 1 dalies paskirtis – užtikrinti didesnę apsaugą nuo duomenų tvarkymo, kuris dėl ypatingo tvarkomų duomenų jautrumo gali labai smarkiai suvaržyti Pagrindinių teisių chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą (2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41 punktas ir jame nurodyta jurisprudencija).
52
Tokia didesnė apsauga neišvengiamai reikalauja „jautrius duomenis“ apibrėžti plačiai. Teisingumo Teismas yra nusprendęs, kad BDAR 9 straipsnio 1 dalis taikoma ne vien pagal savo pobūdį jautrių duomenų, su kuriais susijusi ši nuostata, tvarkymui, bet ir duomenų, kurie netiesiogiai leidžia atskleisti tokio pobūdžio informaciją dedukcijos arba palyginimo būdu, tvarkymui (2023 m. birželio 5 d. Sprendimo Komisija / Lenkija (Teisėjų nepriklausomumas ir privatus gyvenimas), C‑204/21, EU:C:2023:442, 344 punktas ir jame nurodyta jurisprudencija).
53
Taikant plačią apibrėžtį, melagingas ir žalingas duomenų apie fizinio asmens lytinį gyvenimą ar lytinę orientaciją pobūdis negali užkirsti kelio tokių duomenų kvalifikavimui kaip „jautrių duomenų“, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį.
54
Antra, konstatuotina, kad pagrindinėje byloje nagrinėjamą duomenų tvarkymą sudaro skelbimo, taigi ir šių duomenų, publikavimas Russmedia elektroninėje prekyvietėje. Asmens duomenų paskelbimas interneto svetainėje yra jų tvarkymas, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą (2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 65 punktas ir jame nurodyta jurisprudencija).
55
Trečia, pažymėtina, kad antrajame–ketvirtajame klausimuose remiamasi aplinkybe, jog pagrindinėje byloje aptariamos elektroninės prekyvietės operatorius yra asmens duomenų valdytojas. Vis dėlto asmens duomenis, dėl kurių paskelbimo kilo ginčas pagrindinėje byloje, nagrinėjamame skelbime nurodė anoniminis skelbimą įkėlęs naudotojas, o operatorius nedarė jokios konkrečios įtakos šio skelbimo turiniui ir nežinojo apie melagingą ir žalingą jo pobūdį. Šiomis aplinkybėmis reikia patikslinti sąvokas „duomenų valdytojas“ ir „bendri duomenų valdytojai“, kaip jos suprantamos atitinkamai pagal BDAR 4 straipsnio 7 punktą ir 26 straipsnį.
56
BDAR 4 straipsnio 7 punkte sąvoka „duomenų valdytojas“ apibrėžta plačiai – kaip fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones.
57
Šios plačios apibrėžties tikslas, atitinkantis BDAR tikslą, yra užtikrinti veiksmingą fizinių asmenų pagrindinių teisių ir laisvių apsaugą ir aukštą kiekvieno asmens teisės į savo asmens duomenų apsaugą apsaugos lygį (2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 29 punktas ir jame nurodyta jurisprudencija).
58
Taigi bet kuris fizinis ar juridinis asmuo, kuris, siekdamas savo tikslų, daro įtaką asmens duomenų tvarkymui ir dėl to dalyvauja nustatant tokio tvarkymo tikslus ir priemones, gali būti laikomas duomenų valdytoju (2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 30 punktas ir jame nurodyta jurisprudencija).
59
Be to, kadangi, kaip aiškiai nurodyta BDAR 4 straipsnio 7 punkte, sąvoka „duomenų valdytojas“ nusako subjektą, kuris „vienas ar drauge su kitais“ nustato asmens duomenų tvarkymo tikslus ir priemones, ši sąvoka nebūtinai reiškia vieną subjektą ir gali apimti kelis tvarkant šiuos duomenis dalyvaujančius subjektus, kurių kiekvienam atitinkamai galioja duomenų apsaugai taikomos nuostatos (šiuo klausimu žr. 2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 67 punktą ir jame nurodytą jurisprudenciją).
60
BDAR 26 straipsnyje, kuris įsilieja į šio reglamento 4 straipsnio 7 punkte pateiktą sąvokos „duomenų valdytojas“ apibrėžtį, iš esmės numatyta, kad, kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir priemones, jie turi būti laikomi „bendrais duomenų valdytojais“.
61
Tokia bendra atsakomybė nebūtinai reiškia, kad turi būti priimti bendri sprendimai dėl atitinkamų asmens duomenų tvarkymo tikslų ir priemonių nustatymo. Teisingumo Teismas yra nusprendęs, kad dalyvavimas nustatant duomenų tvarkymo tikslus ir priemones gali būti įvairių formų ir jį gali lemti ir bendras dviejų ar daugiau subjektų sprendimas, ir sutampantys tokių subjektų sprendimai, kurie papildo vienas kitą taip, kad kiekvienas jų turi konkretų poveikį nustatant duomenų tvarkymo tikslus ir priemones (šiuo klausimu žr. 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 43 punktas).
62
Šiuo klausimu pažymėtina, kad bendra kelių subjektų atsakomybė už tą patį tvarkymą pagal BDAR 4 straipsnio 7 punktą nesuponuoja, kad kiekvienas iš jų turi prieigą prie atitinkamų asmens duomenų (2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 69 punktas ir jame nurodyta jurisprudencija ir 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42 punktas).
63
Atsižvelgdamas į tai, Teisingumo Teismas patikslino, kad bendras duomenų valdymas nebūtinai reiškia lygiavertę skirtingų subjektų, dalyvaujančių atliekant tą patį asmens duomenų tvarkymą, atsakomybę. Atvirkščiai, šie subjektai gali dalyvauti skirtinguose tokio tvarkymo etapuose ir skirtingu mastu, todėl kiekvieno jų atsakomybės lygis turi būti įvertintas atsižvelgiant į visas reikšmingas konkretaus atvejo aplinkybes (šiuo klausimu žr. 2018 m. liepos 10 d. Sprendimo Jehovan todistajat, C‑25/17, EU:C:2018:551, 66 punktą ir jame nurodytą jurisprudenciją ir 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42 punktą).
64
Nagrinėjamu atveju neginčijama, kad naudotojas, Russmedia eksploatuojamoje elektroninėje prekyvietėje įkėlęs melagingą ir žalingą skelbimą, kuriame buvo ieškovės pagrindinėje byloje asmens duomenų, turi būti laikomas iš esmės nustačiusiu šių duomenų tvarkymo tikslus ir priemones, todėl patenka į sąvoką „duomenų valdytojas“, kaip ji suprantama pagal BDAR 4 straipsnio 7 punktą.
65
Atsižvelgiant į tai, neginčijama, kad skelbimas buvo paskelbtas internete ir interneto naudotojams tapo prieinamas tik dėl Russmedia eksploatuojamos elektroninės prekyvietės.
66
Nors iš šio sprendimo 58 punkte nurodytos jurisprudencijos matyti, kad asmuo gali būti laikomas asmens duomenų „duomenų valdytoju“, tik jeigu daro įtaką duomenų tvarkymui siekdamas savo tikslų, vis dėlto konstatuotina, kad taip gali būti, be kita ko, ir tuo atveju, kai elektroninės prekyvietės operatorius viešai skelbia atitinkamus asmens duomenis komerciniais ar reklaminiais tikslais, kurie neapsiriboja paprastu paslaugos, kurią jis suteikė skelbimą įkeliančiam naudotojui, teikimu.
67
Nagrinėjamu atveju iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad Russmedia savo elektroninėje prekyvietėje publikuoja skelbimus siekdama komercinių tikslų. Šiuo aspektu minėtos prekyvietės bendrosios naudojimo sąlygos suteikia Russmedia didelę laisvę naudotis toje prekyvietėje paskelbta informacija. Konkrečiai kalbant, kaip nurodo prašymą priimti prejudicinį sprendimą pateikęs teismas, Russmedia pasilieka teisę naudoti, platinti, perduoti, atgaminti, keisti, išversti, perleisti partneriams publikuotus skelbimus ir juos ištrinti bet kuriuo metu ir be „pagrįstos priežasties“. Taigi Russmedia neskelbia skelbimuose esančių asmens duomenų arba jų neskelbia vien skelbimus įkeliančių naudotojų vardu, bet juos tvarko ir gali naudoti siekdama reklamos ir komercinių tikslų.
68
Taigi konstatuotina, kad Russmedia, siekdama savo tikslų, darė įtaką ieškovės pagrindinėje byloje asmens duomenų paskelbimui internete ir taip dalyvavo nustatant šio paskelbimo, taigi ir atitinkamo duomenų tvarkymo tikslus.
69
Šios išvados nepaneigia tai, kad Russmedia akivaizdžiai nedalyvavo nustatant melagingą ir žalingą tikslą, kurio siekė skelbimą įkėlęs naudotojas, publikuodamas pagrindinėje byloje nagrinėjamą skelbimą. Iš tiesų Russmedia dalyvavo nustatant tvarkymo tikslą – padaryti interneto naudotojams prieinamus pagrindinėje byloje nagrinėjamame skelbime esančius asmens duomenis, siekiant panaudoti skelbimus. Leisdama anonimiškai įkelti skelbimus savo elektroninėje prekyvietėje, Russmedia taip pat palengvino sąlygas skelbti tokius duomenis be duomenų subjekto sutikimo.
70
Be to, skelbimus įkeliantiems naudotojams suteikdama galimybę naudotis savo elektronine prekyviete, per kurią buvo paskelbtas pagrindinėje byloje nagrinėjamas skelbimas, Russmedia dalyvavo nustatant šio skelbimo priemones.
71
Teisingumo Teismas iš esmės jau yra nusprendęs, kad fizinis ar juridinis asmuo, kuris daro lemiamą įtaką asmens duomenų rinkimui ir perdavimui arba tokiam asmens duomenų tvarkymui parinkdamas nustatymus pagal savo veiklos valdymo ir skatinimo tikslus, dalyvauja nustatant duomenų tvarkymo priemones (šiuo klausimu žr. 2018 m. birželio 5 d. Sprendimo Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, 36 punktą ir 2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 78 punktą). Tas pats pasakytina apie paieškos sistemą, kai jos veikla atlieka lemiamą vaidmenį visuotinei asmens duomenų sklaidai, nes organizuotai ir agreguotai padaro juos viešai prieinamus internete (šiuo klausimu žr. 2022 m. gruodžio 8 d. Sprendimo Google (Tariamai netikslaus turinio pašalinimas), C‑460/20, EU:C:2022:962, 50 punktą ir jame nurodytą jurisprudenciją).
72
Taigi konstatuotina, kad nustatydamas skelbimų, kuriuose gali būti asmens duomenų, platinimo parametrus pagal atitinkamus gavėjus, taip pat pateikimo pavidalą, platinimo trukmę arba rubrikas, kuriose struktūruojama paskelbta informacija, arba organizuodamas reitingavimą, pagal kurį bus nustatoma tokio platinimo tvarka, elektroninės prekyvietės operatorius, kaip antai Russmedia, dalyvauja nustatant esmines atitinkamų asmens duomenų skelbimo priemones ir taip daro lemiamą įtaką visuotiniam šių duomenų platinimui.
73
Šiuo klausimu pažymėtina, kad atitinkamos elektroninės prekyvietės bendrųjų naudojimo sąlygų turinys gali būti įrodymas, kad šios prekyvietės operatorius daro lemiamą įtaką atitinkamam asmens duomenų tvarkymui ir taip apibrėžia tokio tvarkymo priemones. Atrodo, kad tai pasakytina ir apie Russmedia elektroninės prekyvietės bendrąsias naudojimo sąlygas, pagal kurias ši bendrovė, be kita ko, pasilieka teisę platinti, perduoti, skelbti, ištrinti arba atkurti skelbimuose esančią informaciją, įskaitant juose esančius asmens duomenis.
74
Bet kuriuo atveju elektroninės prekyvietės operatorius negali išvengti atsakomybės kaip asmens duomenų valdytojas, motyvuodamas tuo, kad pats neapibrėžė šioje prekyvietėje paskelbto atitinkamo skelbimo turinio. Jeigu toks operatorius nepatektų į šią apibrėžtį vien dėl šios priežasties, tai faktiškai prieštarautų ne tik aiškiai BDAR 4 straipsnio 7 punkto formuluotei, bet ir tikslui plačiai apibrėžiant sąvoką „duomenų valdytojas“ užtikrinti veiksmingą ir visapusišką duomenų subjektų apsaugą.
75
Taigi konstatuotina, kad prašymą priimti prejudicinį sprendimą pateikęs teismas savo antrąjį–ketvirtąjį klausimus teisingai grindė prielaida, kad, esant tokiai situacijai, kokia nagrinėjama pagrindinėje byloje, elektroninės prekyvietės operatorius yra šioje elektroninėje prekyvietėje paskelbtame skelbime esančių asmens duomenų valdytojas, kaip jis suprantamas pagal BDAR 4 straipsnio 7 punktą.
76
Taigi į šiuos klausimus reikėtų atsakyti atsižvelgiant į visas išdėstytas pirmines pastabas.
Dėl antrojo ir trečiojo klausimų
77
Antruoju ir trečiuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 5 straipsnio 2 dalis ir 24–26 straipsniai turi būti aiškinami taip, kad elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose esančių asmens duomenų valdytojas, kaip jis suprantamas pagal BDAR 4 straipsnio 7 punktą, privalo prieš publikuodamas skelbimus identifikuoti skelbimus, kuriuose yra jautrių duomenų, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį, patikrinti, ar tokį skelbimą ketinantis įkelti naudotojas yra asmuo, kurio jautrūs duomenys nurodyti šiame skelbime, ir, jeigu taip nėra, atsisakyti jį publikuoti, nesant aiškaus duomenų subjekto sutikimo, jeigu toks publikavimas galėtų lemti didelį šio asmens teisių į privataus gyvenimo gerbimą ir į jo asmens duomenų apsaugą, garantuojamų Chartijos 7 ir 8 straipsniuose, pažeidimą.
78
Remiantis BDAR 1 straipsnio 2 dalies, siejamos su jo 4 ir 10 konstatuojamosiomis dalimis, formuluote, šio reglamento tikslas, be kita ko, yra užtikrinti aukštą fizinių asmenų pagrindinių teisių ir laisvių apsaugos lygį tvarkant asmens duomenis; ši teisė taip pat pripažįstama Chartijos 8 straipsnyje ir glaudžiai susijusi su jos 7 straipsnyje įtvirtinta teise į privataus gyvenimo gerbimą (šiuo klausimu žr. 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 61 punktą ir jame nurodytą jurisprudenciją).
79
Pirma, šiuo tikslu BDAR II skyriuje nustatyti asmens duomenų tvarkymo principai, kurių turi laikytis duomenų valdytojas. Konkrečiai kalbant, bet koks asmens duomenų tvarkymas turi atitikti duomenų tvarkymo principus ir duomenų tvarkymo teisėtumo sąlygas, išvardytas šio reglamento 5 ir 6 straipsniuose (šiuo klausimu žr. 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 62 punktą ir jame nurodytą jurisprudenciją).
80
Vadovaujantis BDAR 5 straipsnio 1 dalies a punktu, asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi teisėtai, sąžiningai ir skaidriai. Šio reglamento 5 straipsnio 1 dalies d punkte papildomai nurodyta, kad asmens duomenys turi būti tikslūs ir prireikus atnaujinami. Taigi turi būti imamasi visų pagrįstų priemonių siekiant užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi. Minėto reglamento 5 straipsnio 1 dalies f punkte nustatyta, kad asmens duomenys turi būti tvarkomi taip, kad būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo ar nuo neteisėto duomenų tvarkymo.
81
Dėl duomenų tvarkymo teisėtumo sąlygų Teisingumo Teismas yra nusprendęs, kad BDAR 6 straipsnio 1 dalies pirmoje pastraipoje numatytas išsamus ir baigtinis atvejų, kai asmens duomenų tvarkymas gali būti laikomas teisėtu, sąrašas. Vadinasi, duomenų tvarkymas turi patekti į kurį nors iš šioje nuostatoje numatytų atvejų (šiuo klausimu žr. 2025 m. sausio 9 d. Sprendimo Mousse, C‑394/23, EU:C:2025:2, 25 punktą ir jame nurodytą jurisprudenciją).
82
Pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktą asmens duomenų tvarkymas visų pirma yra teisėtas, jeigu ir tiek, kiek duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu arba keliais konkrečiais tikslais. Šio reglamento 7 straipsnio 1 dalyje patikslinta, kad tokiu atveju duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi. Nesant tokio sutikimo arba jeigu sutikimas nebuvo duotas laisva valia, konkrečiai, informuotai ir nedviprasmiškai, kaip tai suprantama pagal minėto reglamento 4 straipsnio 11 punktą, toks duomenų tvarkymas vis dėlto gali būti pateisinamas, jeigu atitinka vieną iš minėto reglamento 6 straipsnio 1 dalies pirmos pastraipos b–f punktuose nurodytų būtinumo reikalavimų (2025 m. sausio 9 d. Sprendimo Mousse, C‑394/23
EU:C:2025:2, 26 punktas ir jame nurodyta jurisprudencija).
83
Be šių principų ir sąlygų, dar taikomi specialūs reikalavimai dėl jautrių duomenų, kaip jie apibrėžti BDAR 9 straipsnio 1 dalyje, kurių tvarkymas iš esmės draudžiamas (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 73 punktą).
84
Nuo šio draudimo galima nukrypti tik tuo atveju, jeigu tenkinama viena iš šio reglamento 9 straipsnio 2 dalies a–j punktuose numatytų išimčių. Tarp šių išimčių, kurios turi būti aiškinamos siaurai, minėto reglamento 9 straipsnio 2 dalies a punkte numatyta, kad draudimas tvarkyti jautrius duomenis netaikomas, jei duomenų subjektas aiškiai sutiko, kad jautrūs jo asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad tokio draudimo duomenų subjektas negali panaikinti.
85
Antra, BDAR IV skyriuje patikslinta asmens duomenų valdytojo pareigų pagal BDAR 5 straipsnio 2 dalyje įtvirtintą atsakomybės principą apimtis.
86
Pagal šią nuostatą duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi šio straipsnio 1 dalies, ir turi gebėti įrodyti, kad laikosi visų toje 1 dalyje nurodytų principų, turint omenyje tai, kad įrodinėjimo našta šiuo klausimu tenka jam (2023 m. gegužės 4 d. Sprendimo Bundesrepublik Deutschland (Teismo elektroninio pašto dėžutė), C‑60/22, EU:C:2023:373, 53 punktas ir jame nurodyta jurisprudencija).
87
Šis atsakomybės principas sukonkretintas, be kita ko, BDAR 24 straipsnyje (šiuo klausimu žr. 2024 m. sausio 25 d. Sprendimo MediaMarktSaturn, C‑687/21, EU:C:2024:72, 43 punktą ir jame nurodytą jurisprudenciją). Pagal jį reikalaujama, kad atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendintų tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, jog duomenys tvarkomi laikantis minėto reglamento.
88
Taigi BDAR 5 straipsnio 2 dalyje ir 24 straipsnyje asmens duomenų valdytojams nustatyti bendrieji atskaitomybės ir pareigų laikymosi reikalavimai. Pagal juos iš duomenų valdytojų reikalaujama imtis tinkamų priemonių, kad būtų užkirstas kelias galimiems BDAR numatytų taisyklių pažeidimams ir taip užtikrinta teisė į duomenų apsaugą (šiuo klausimu žr. 2022 m. spalio 27 d. Sprendimo Proximus (Viešos elektroninės abonentų knygos), C‑129/21, EU:C:2022:833, 81 punktą).
89
Šiuo aspektu BDAR 25 straipsnio 1 dalyje reikalaujama, kad duomenų valdytojas tiek nustatydamas duomenų tvarkymo priemones, tiek paties duomenų tvarkymo metu įgyvendintų tinkamas technines ir organizacines priemones, skirtas duomenų apsaugos principams veiksmingai įgyvendinti ir į duomenų tvarkymą būtinoms apsaugos priemonėms integruoti, kad būtų laikomasi šio reglamento reikalavimų ir apsaugotos duomenų subjektų teisės. Be to, šio 25 straipsnio 2 dalyje dėl standartizuotosios duomenų apsaugos, be kita ko, numatyta, kad tinkamomis techninėmis ir organizacinėmis priemonėmis, kurias duomenų valdytojas turi įgyvendinti šiuo tikslu, užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.
90
Kai tvarkomi asmens duomenys yra jautrūs duomenys, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį, duomenų valdytojas, siekdamas nustatyti, kokios priemonės yra tinkamos, kaip tai suprantama pagal šio reglamento 24 ir 25 straipsnius, turi, be kita ko, atsižvelgti į tai, kad minėto reglamento II skyriuje įtvirtintų principų pažeidimas, kiek tai susiję su tokių duomenų tvarkymu, gali labai smarkiai suvaržyti Chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą.
91
Atsižvelgiant būtent į visus šiuos patikslinimus reikia išnagrinėti antrąjį ir trečiąjį klausimus, performuluotus šio sprendimo 77 punkte.
92
Pirma, dėl klausimo, ar elektroninės prekyvietės operatorius privalo identifikuoti skelbimus, kuriuose yra jautrių duomenų, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį, prieš juos publikuodamas, primintina, kad, kaip matyti iš šio sprendimo 64 ir 75 punktų, operatorius ir tokį skelbimą šioje elektroninėje prekyvietėje įkėlęs naudotojas turi būti laikomi bendrais duomenų valdytojais, kaip jie suprantami pagal šio reglamento 26 straipsnį, kai atitinkamas skelbimas ten publikuojamas.
93
Darytina išvada, kad tiek operatorius, tiek naudotojas privalo užtikrinti, kad būtų laikomasi iš BDAR 5 straipsnio 2 dalies, 24 ir 25 straipsnių kylančių pareigų. Konkrečiai kalbant, jie turi galėti įrodyti, kad atitinkamame skelbime esantys asmens duomenys skelbiami teisėtai, t. y. kad duomenų subjektas sutiko su tokiu paskelbimu, nebent gali remtis kita BDAR 6 straipsnio 1 dalyje numatyta sąlyga. Kai atitinkami asmens duomenys yra jautrūs duomenys, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį, sutikimas dėl tokio paskelbimo, kaip matyti iš šio sprendimo 84 punkto, turi būti aiškus. Be to, pagal BDAR 5 straipsnio 1 dalies d punkte nustatytą tikslumo principą duomenų valdytojai turi galėti įrodyti, kad atitinkami asmens duomenys yra tikslūs.
94
Dėl klausimo, kokias konkrečiai technines ir organizacines priemones elektroninės prekyvietės operatorius, kaip bendras asmens duomenų valdytojas, privalo įgyvendinti pagal BDAR 24 ir 25 straipsnius, kad užtikrintų ir galėtų įrodyti, jog skelbime esantys jautrūs duomenys bus skelbiami laikantis šio reglamento, pažymėtina, kad iš šių nuostatų matyti, jog tokių priemonių tinkamumas turi būti vertinamas konkrečiai, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus duomenų subjekto teisėms ir laisvėms (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, 96 punktą).
95
Šiuo aspektu pasakytina, kad asmens duomenų paskelbimas elektroninėje prekyvietėje kelia didelį pavojų duomenų subjekto teisėms ir laisvėms, nes taip šie duomenys iš esmės tampa prieinami bet kuriam interneto naudotojui. Be to, šiuos duomenis paskelbus elektroninėje prekyvietėje, jie gali būti nukopijuojami ir atgaminami kitose interneto svetainėse, todėl duomenų subjektui gali būti sunku ar net neįmanoma pasiekti, kad jie būtų tikrai pašalinti iš interneto.
96
Su tokiu paskelbimu susijusi rizika yra dar didesnė, kai kalbama apie jautrius duomenis, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį. Kaip aiškiai nurodyta BDAR 51 konstatuojamojoje dalyje, asmens duomenims, kurie dėl savo pobūdžio yra ypač jautrūs pagrindinių teisių ir laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, nes atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus šioms laisvėms ir teisėms (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke (C‑21/23, EU:C:2024:846, 75 punktą). Kaip pažymėta šio sprendimo 90 punkte, tokių duomenų tvarkymas gali labai smarkiai varžyti Chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą. Be to, šių teisių pažeidimo publikuojant skelbimą, kuriame yra jautrių duomenų, tikimybė yra labai didelė, kai pats skelbimą įkeliantis naudotojas nėra duomenų subjektas ir kai elektroninė prekyvietė leidžia skelbimus įkelti anonimiškai.
97
Taigi, kadangi elektroninės prekyvietės, kaip antai nagrinėjamos pagrindinėje byloje, operatorius žino arba turėtų žinoti, kad paprastai jo elektroninėje prekyvietėje naudotojai gali įkelti skelbimus, kuriuose yra jautrių duomenų, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį, operatorius, kaip duomenų valdytojas, turi, kurdamas savo paslaugos koncepciją įgyvendinti tinkamas technines ir organizacines priemones tokiems skelbimams identifikuoti iki jų paskelbimo ir taip galėti patikrinti, ar juose esantys jautrūs duomenys buvo paskelbti laikantis šio reglamento II skyriuje įtvirtintų principų. Kaip matyti, be kita ko, iš minėto reglamento 25 straipsnio 1 dalies, pareiga įgyvendinti tokias priemones jam tenka ne tik duomenų tvarkymo momentu, bet jau ir nustatant duomenų tvarkymo priemones, taigi net iki jautrių duomenų paskelbimo jo elektroninėje prekyvietėje pažeidžiant šiuos principus, nes šia pareiga būtent ir siekiama užkirsti kelią tokiems pažeidimams.
98
Antra, dėl klausimo, ar elektroninės prekyvietės operatorius, kaip jo interneto svetainėje publikuotuose skelbimuose esančių jautrių duomenų valdytojas kartu su skelbimą įkėlusiu naudotoju, prieš publikavimą turi patikrinti šio skelbimą įkėlusio naudotojo tapatybę, primintina, kad iš kartu aiškinamų 9 straipsnio 1 dalies ir 2 dalies a punkto nuostatų matyti, jog tokius duomenis skelbti draudžiama, nebent duomenų subjektas aiškiai sutiko, kad atitinkami duomenys būtų paskelbti šioje elektroninėje prekyvietėje, arba tenkinama viena iš likusių šio 9 straipsnio 2 dalies b–j punktuose numatytų išimčių, tačiau nagrinėjamu atveju veikiausiai taip nėra.
99
Tuo remiantis, atvejis, kai duomenų subjektas interneto svetainėje įkelia skelbimą, kuriame yra jautrių jo duomenų, gali būti laikomas aiškiu sutikimu, kaip jis suprantamas pagal BDAR 9 straipsnio 2 dalies a punktą, tačiau sutikimas nėra duotas, kai tokį skelbimą įkelia trečiasis asmuo, nebent jis gali įrodyti, kad duomenų subjektas aiškiai sutiko su minėto skelbimo publikavimu atitinkamoje elektroninėje prekyvietėje. Taigi tam, kad galėtų užtikrinti ir įrodyti, kad laikomasi BDAR 9 straipsnio 2 dalies a punkte numatytų reikalavimų, prekyvietės operatorius prieš publikuodamas tokį skelbimą privalo patikrinti, ar skelbimą ketinantis įkelti naudotojas yra asmuo, kurio jautrūs duomenys nurodyti tame skelbime, o tai reiškia, kad tam reikia surinkti skelbimą įkeliančio naudotojo tapatybės duomenis.
100
Be to, iš BDAR 13 straipsnio 1 dalies a punkto ir 14 straipsnio 1 dalies a punkto matyti, kad asmens duomenų valdytojai bet kuriuo atveju turi atskleisti duomenų subjektui savo tapatybę ir kontaktinius duomenis.
101
Galiausiai atkreiptinas dėmesys į tai, kad pagal BDAR 26 straipsnį tą patį asmens duomenų tvarkymą atliekantys bendri duomenų valdytojai įpareigojami skaidriai apibrėžti atitinkamas savo pareigas, kad būtų užtikrintas šiame reglamente nustatytų reikalavimų laikymasis. Tokia pareiga būtų neįmanoma, jeigu vienas iš šių duomenų valdytojų galėtų išlaikyti anonimiškumą kito atžvilgiu.
102
Taigi iš to, kas išdėstyta, matyti, jog elektroninės prekyvietės operatorius, kartu su skelbimą įkėlusiu naudotoju atsakingas už jautrių duomenų, nurodytų jo elektroninėje prekyvietėje publikuotame skelbime, paskelbimą, turi pareigą surinkti skelbimą įkeliančio naudotojo tapatybės duomenis ir patikrinti, ar tai yra asmuo, kurio jautrūs duomenys nurodyti tame skelbime.
103
Kaip generalinis advokatas iš esmės pažymėjo savo išvados 132 punkte, šiuo klausimu iš BDAR 75 konstatuojamosios dalies matyti, kad, be kita ko, tapatybės vagystės atveju asmens duomenų tvarkymas gali kelti pavojų duomenų subjektų teisėms ir laisvėms, kuriems dėl šios priežasties gali būti užkirstas kelias kontroliuoti savo asmens duomenis. Paprastai tapatybės vagystė įvykdoma siekiant atlikti sukčiavimo veiksmus atitinkamo asmens ar trečiųjų asmenų nenaudai.
104
Šiomis aplinkybėmis ir atsižvelgiant į tai, kas išdėstyta šio sprendimo 95 ir 96 punktuose, pažymėtina: tam, kad galėtų užtikrinti ir įrodyti, jog skelbimuose esantys jautrūs duomenys tvarkomi laikantis BDAR reikalavimų, elektroninės prekyvietės operatorius pagal šio reglamento 24 ir 25 straipsnius turi numatyti tinkamas technines ir organizacines priemones, leidžiančias jam ne tik surinkti, bet ir patikrinti skelbimus įkeliančių naudotojų tapatybės duomenis iki skelbimų publikavimo, be kita ko tam, kad galėtų nustatyti, ar tai yra asmuo, kurio jautrūs duomenys nurodyti minėtuose skelbimuose. Tokios priemonės, be kita ko, turi leisti, kaip generalinis advokatas pažymėjo savo išvados 134 punkte, sumažinti neteisėto duomenų subjektų asmens duomenų tvarkymo grėsmę ir kovoti su nesąžiningu tokios elektroninės prekyvietės naudojimu, taip mažinant nebaudžiamumo jausmą ir skatinant skelbimus įkeliančius naudotojus laikytis BDAR reikalavimų, publikuojant skelbimus, kuriuose yra asmens duomenų.
105
Galiausiai, trečia, dėl klausimo, ar elektroninės prekyvietės operatorius turi atsisakyti publikuoti skelbimą, kuriame yra jautrių duomenų, kai patikrinus skelbimą ketinančio įkelti naudotojo tapatybę paaiškėja, kad tai nėra asmuo, kurio jautrūs duomenys nurodyti minėtame skelbime, konstatuotina, kad iš šio sprendimo 98 ir 99 punktų matyti, jog tokiu atveju negalima atmesti galimybės, kad minėtu publikavimu pažeidžiamas BDAR 9 straipsnio 1 dalyje numatytas draudimas tvarkyti tokius duomenis. Taigi, išskyrus atvejus, kai skelbimą įkeliantis naudotojas gali teisiškai pakankamai įrodyti, kad duomenų subjektas aiškiai sutiko, kaip tai suprantama pagal šio 9 straipsnio 2 dalies a punktą, kad atitinkami duomenys būtų paskelbti šioje elektroninėje prekyvietėje, arba kad tenkinama viena iš likusių minėto 9 straipsnio 2 dalies b–j punktuose numatytų išimčių, elektroninės prekyvietės operatorius turi atsisakyti publikuoti atitinkamą skelbimą, o tai jis turi užtikrinti įgyvendindamas tinkamas technines ir organizacines priemones.
106
Atsižvelgiant į visa tai, kas išdėstyta, į antrąjį ir trečiąjį klausimus atsakytina: BDAR 5 straipsnio 2 dalis ir 24–26 straipsniai turi būti aiškinami taip, kad elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose esančių asmens duomenų valdytojas, kaip jis suprantamas pagal BDAR 4 straipsnio 7 punktą, privalo prieš publikuodamas skelbimus ir taikydamas tinkamas technines ir organizacines priemones:
–
identifikuoti skelbimus, kuriuose yra jautrių duomenų, kaip jie suprantami pagal BDAR 9 straipsnio 1 dalį,
–
patikrinti, ar tokį skelbimą ketinantis įkelti naudotojas yra asmuo, kurio jautrūs duomenys nurodyti tame skelbime, ir, jeigu nėra,
–
atsisakyti jį publikuoti, nebent skelbimą įkeliantis naudotojas gali įrodyti, kad duomenų subjektas aiškiai sutiko, kaip tai suprantama pagal šio 9 straipsnio 2 dalies a punktą, kad atitinkami duomenys būtų paskelbti šioje elektroninėje prekyvietėje, arba kad tenkinama viena iš likusių minėto 9 straipsnio 2 dalies b–j punktuose numatytų išimčių.
Dėl ketvirtojo klausimo
107
Ketvirtuoju klausimu iš esmės siekiama sužinoti, ar elektroninės prekyvietės operatorius, kaip duomenų valdytojas, privalo įgyvendinti saugumo priemones, kad užkirstų kelią jo elektroninėje prekyvietėje publikuotų skelbimų, kuriuose yra jautrių duomenų, kopijavimui ir tolesniam platinimui arba tai apribotų.
108
Nagrinėjamu atveju iš prašymo priimti prejudicinį sprendimą matyti, kad, pirma, pagrindinėje byloje nagrinėjamas melagingas ir žalingas skelbimas buvo pakartotinai paskelbtas kitose reklaminio turinio interneto svetainėse nurodant pirminį šaltinį, ir, antra, pagal elektroninės prekyvietės naudojimo sąlygas Russmedia, be kita ko, pasilieka teisę perduoti joje publikuotų skelbimų turinį ir perleisti jį partneriams. Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas nepatikslino, ar Russmedia šį skelbimą savanoriškai perdavė kitoms interneto svetainėms arba bent jau pagal sutartis leido juos publikuoti, ar, priešingai, tai buvo be Russmedia leidimo padarytos pirminio skelbimo kopijos.
109
Jeigu šios alternatyvos pirmoji dalis pasitvirtintų, toks persiuntimas reikštų naują asmens duomenų tvarkymą, už kurį Russmedia būtų atsakinga kaip duomenų valdytoja, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Tokį duomenų tvarkymą reikėtų skirti nuo pagrindinėje byloje nagrinėjamo melagingo ir žalingo skelbimo publikavimo jos elektroninėje prekyvietėje, kurį atliko skelbimą įkėlęs naudotojas.
110
Iš tiesų reikia atskirti tai pačiai operacijų grandinei priskiriamas skirtingas asmens duomenų tvarkymo operacijas, siekiant atsižvelgti į būtinybę atskirai įvertinti kiekvienam asmeniui, kuris gali būti laikomas asmens duomenų valdytoju, priskirtiną atsakomybės laipsnį. Nes tam, kad galėtų būti laikomas bendru duomenų valdytoju, fizinis ar juridinis asmuo turi savarankiškai atitikti BDAR 4 straipsnio 7 punkte pateiktą sąvokos „duomenų valdytojas“ apibrėžtį (2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 41 punktas ir jame nurodyta jurisprudencija).
111
Vadinasi, jeigu asmens duomenis pagal sklaidos sutartis, sudarytas elektroninės prekyvietės, kurioje iš pradžių buvo paskelbti atitinkami asmens duomenys, vėliau persiunčia operatorius ir kitų interneto svetainių operatoriai, pirmasis operatorius iš principo yra vienintelis duomenų valdytojas, atsakingas už duomenų tvarkymą, pasireiškiantį duomenų persiuntimu. Bet kuriuo atveju kiekvienas duomenų valdytojas, vienas ar drauge su kitais, privalo laikytis visų iš BDAR kylančių pareigų.
112
Atsižvelgiant į šiuos patikslinimus, ketvirtąjį klausimą reikia suprasti taip, kad jame kalbama apie atvejį, kai Russmedia neperdavė pagrindinėje byloje nagrinėjamo melagingo ir žalingo skelbimo kitoms reklaminio turinio interneto svetainėms, taigi nedavė leidimo paskesniam publikavimui.
113
Be to, pažymėtina ir tai, kad šis klausimas iš esmės susijęs su saugumo pareigos, kurios turi laikytis asmens duomenų valdytojas, apimtimi. BDAR 32 straipsnis konkrečiai skirtas duomenų tvarkymo saugumui. Jame sukonkretintas ir patikslintas specialus reikalavimų, nustatytų šio reglamento 24 straipsnyje, kuriame kartu su jo 5 straipsnio 2 dalimi bendrais bruožais apibrėžiama duomenų valdytojo atsakomybė, aspektas.
114
Šiomis aplinkybėmis laikytina, kad ketvirtuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 32 straipsnis turi būti aiškinamas taip, kad elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal šio reglamento 4 straipsnio 7 punktą, privalo įgyvendinti saugumo priemones, kuriomis būtų užkirstas kelias joje publikuotų skelbimų, kuriuose yra jautrių duomenų, kaip jie suprantami pagal minėto reglamento 9 straipsnio 1 dalį, kopijavimui ir neteisėtam publikavimui kitose interneto svetainėse.
115
BDAR 32 straipsnio 1 dalyje numatyta, kad atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas.
116
Šio reglamento 32 straipsnio 2 dalyje nurodyta, kad vertinant tinkamą saugumo lygį visų pirma atsižvelgiama į pavojus, kylančius dėl netyčinio arba neteisėto asmens duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo arba neteisėtos prieigos prie jų.
117
Teisingumo Teismas yra nusprendęs, kad BDAR 32 straipsnio 1 ir 2 dalyse pateikta nuoroda į „pavojų atitinkančio lygio saugumą“ ir „tinkamo lygio saugumą“ rodo, kad šiame reglamente yra nustatyta pavojaus valdymo sistema ir visiškai nesiekiama pašalinti asmens duomenų saugumo pažeidimų pavojaus (2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 29 punktas).
118
Taigi iš BDAR 32 straipsnio, siejamo su 24 straipsniu, formuluotės matyti, kad pagal 32 straipsnį tik reikalaujama, kad duomenų valdytojas priimtų technines ir organizacines priemones, kuriomis būtų siekiama kiek įmanoma išvengti bet kokio asmens duomenų apsaugos pažeidimo. Tokių priemonių tinkamumas turi būti vertinamas konkrečiai, nagrinėjant, ar duomenų valdytojas jas įgyvendino, atsižvelgdamas į įvairius tuose straipsniuose nurodytus kriterijus ir duomenų apsaugos poreikius, konkrečiai susijusius su atitinkamu duomenų tvarkymu ir su jo keliamais pavojais (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 30 punktą).
119
Šiuo klausimu pasakytina, kad siekiant nustatyti konkretų pavojų, kurį kelia atitinkamas duomenų tvarkymas, reikia atsižvelgti į galimą tvarkomų asmens duomenų jautrumą. Kaip priminta šio sprendimo 51 ir 90 punktuose, BDAR 9 straipsnio 1 dalyje numatyta didesnė tam tikrų kategorijų duomenų apsauga dėl jų ypatingo jautrumo, nes tokių duomenų tvarkymas gali labai stipriai suvaržyti Chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41 punktą ir jame nurodytą jurisprudenciją).
120
Vis dėlto, kai skelbimas, kuriame yra asmens duomenų, atsiranda internete ir jau yra visuotinai prieinamas, dėl duomenų paskleidimo, be kita ko, kyla grėsmė prarasti atitinkamų asmens duomenų kontrolę, todėl tokiu atveju BDAR duomenų subjektui numatytos teisės ir apsaugos priemonės, visų pirma jo 17 straipsnyje numatyta teisė reikalauti ištrinti duomenis, netenka veiksmingumo.
121
Be to, kai jautrūs duomenys būna paskelbti internete, pagal BDAR 32 straipsnį duomenų valdytojas privalo imtis visų techninių ir organizacinių priemonių, kad užtikrintų tokį saugumo lygį, kuris galėtų veiksmingai užkirsti kelią tokių duomenų kontrolės praradimui.
122
Taigi duomenų valdytojas, be kita ko, turi numatyti visas atsižvelgiant į pasiektą technologinių žinių lygį turimas technines priemones, kurios gali užkirsti kelią turinio kopijavimui ir atgaminimui internete.
123
Vis dėlto dar reikia patikslinti, kad BDAR 24 ir 32 straipsniai negali būti suprantami taip, kad neteisėto asmens duomenų, kurie iš pradžių buvo paskelbti internete, paskleidimo pakanka, kad būtų galima daryti išvadą, jog atitinkamo duomenų valdytojo priimtos priemonės nebuvo tinkamos, kaip tai suprantama pagal šias nuostatas, net nesuteikiant jam galimybės pateikti priešingų įrodymų (2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 31 punktas).
124
Nagrinėjamu atveju iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad, nepaisant to, kad pagrindinėje byloje nagrinėjamas melagingas ir žalingas skelbimas buvo pašalintas iš Russmedia elektroninės prekyvietės, jis vis dar prieinamas kitose interneto svetainėse, o ieškovė pagrindinėje byloje, atrodo, negali išsireikalauti, kad jį pašalintų.
125
Vis dėlto šį kontrolės praradimą, regis, lėmė pirminis neteisėtas pagrindinėje byloje nagrinėjamo melagingo ir žalingo skelbimo publikavimas, pažeidžiant BDAR numatytus reikalavimus. Bet kuriuo atveju Russmedia privalėjo įgyvendinti tinkamas technines ir organizacines priemones, kad užtikrintų riziką atitinkančio lygio saugumą pagal BDAR 32 straipsnį, ir, kiek įmanoma, užkirsti kelią bet kokioms šio skelbimo kopijoms. Prašymą priimti prejudicinį sprendimą pateikęs teismas turės patikrinti, ar taip buvo.
126
Atsižvelgiant į visus išdėstytus motyvus, į ketvirtąjį klausimą atsakytina: BDAR 32 straipsnis turi būti aiškinamas taip, kad elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal šio reglamento 4 straipsnio 7 punktą, privalo įgyvendinti tinkamas technines ir organizacines saugumo priemones, kad užkirstų kelią joje publikuotų skelbimų, kuriuose yra jautrių duomenų, kaip jie suprantami pagal minėto reglamento 9 straipsnio 1 dalį, kopijavimui ir neteisėtam publikavimui kitose interneto svetainėse.
Dėl pirmojo klausimo, susijusio su Direktyvos 2000/31 aiškinimu
127
Kaip pažymėta šio sprendimo 45 ir 46 punktuose, prašymą priimti prejudicinį sprendimą pateikęs teismas taip pat siekia išsiaiškinti, ar elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal BDAR 4 straipsnio 7 punktą, gali remtis Direktyvos 2000/31 12–15 straipsniais, reglamentuojančiais tarpinių paslaugų teikėjų atsakomybę, kiek tai susiję su iš šio reglamento 5 straipsnio 2 dalies, 24–26 ir 32 straipsnių kylančių pareigų pažeidimu, konstatuotu šio sprendimo 106 ir 126 punktuose.
128
Taigi kyla šių dviejų Sąjungos teisės aktų sąveikos klausimas. Visų pirma reikia nustatyti, ar Direktyvos 2000/31 12–15 straipsniai gali prieštarauti BDAR numatytai atsakomybės sistemai.
129
Šiuo aspektu pažymėtina, pirma, kad Direktyvos 2000/31 1 straipsnio 5 dalies b punkte nurodyta, jog ši direktyva netaikoma klausimams, susijusiems su informacinės visuomenės paslaugomis, kurioms taikomos direktyvos 95/46 ir 97/66.
130
Šią nuostatą Teisingumo Teismas išaiškino taip, kad klausimai, susiję su pranešimų konfidencialumo ir asmens duomenų apsauga, turi būti vertinami atsižvelgiant į BDAR ir į 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvą 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514), kuri pakeitė atitinkamai Direktyvą 95/46 ir Direktyvą 97/66, pažymint, kad apsauga, kurią siekiama užtikrinti Direktyva 2000/31, bet kuriuo atveju negali pažeisti iš BDAR ir Direktyvos 2002/58 kylančių reikalavimų (2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt., C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 200 punktas ir jame nurodyta jurisprudencija).
131
Tuo remiantis visų pirma darytina išvada, kad galimas Direktyvos 2000/31 14 straipsnio 1 dalyje numatytos išimties, kuria elektroninės prekyvietės operatorius galėtų remtis, kiek tai susiję su informacijos priegloba jo interneto svetainėje, taikymas negali prieštarauti BDAR sistemai, taikomai tokiam operatoriui, kaip ir bet kuriam kitam operatoriui, patenkančiam į šio reglamento taikymo sritį.
132
Tas pats pasakytina apie Direktyvos 2000/31 15 straipsnį, pagal kurį valstybės narės negali paslaugų teikėjams nustatyti bendros stebėjimo prievolės teikiant, be kita ko, šios direktyvos 14 straipsnyje nurodytas paslaugas. Be to, elektroninės prekyvietės operatoriaus pareiga laikytis iš BDAR kylančių reikalavimų bet kuriuo atveju negali būti laikoma tokia bendra stebėjimo prievole.
133
Antra, BDAR 2 straipsnio 4 dalyje numatyta, kad šis reglamentas nedaro poveikio Direktyvos 2000/31, visų pirma jos 12–15 straipsniuose nustatytų taisyklių dėl tarpininkavimo paslaugų teikėjų atsakomybės, taikymui.
134
Ši 2 straipsnio 4 dalis turi būti suprantama taip: tai, kad operatoriui taikomos BDAR numatytos pareigos, savaime neužkerta kelio operatoriaus galimybei remtis Direktyvos 2000/31 12–15 straipsniais kitais klausimais nei tie, kurie susiję su asmens duomenų apsauga.
135
Taigi iš kartu aiškinamų Direktyvos 2000/31 1 straipsnio 5 dalies b punkto ir BDAR 2 straipsnio 4 dalies matyti, kad šios direktyvos nuostatos, visų pirma jos 12–15 straipsniai, negali prieštarauti šiame reglamente nustatytai sistemai.
136
Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį klausimą atsakytina: Direktyvos 2000/31 1 straipsnio 5 dalies b punktas ir BDAR 2 straipsnio 4 dalis turi būti aiškinamos taip, kad elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal BDAR 4 straipsnio 7 punktą, negali remtis, kiek tai susiję su iš šio reglamento 5 straipsnio 2 dalies, 24–26 ir 32 straipsnių kylančių pareigų pažeidimu, Direktyvos 2000/31 12–15 straipsniais, reglamentuojančiais tarpinių paslaugų teikėjų atsakomybę.
Dėl bylinėjimosi išlaidų
137
Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (didžioji kolegija) nusprendžia:
1.
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 5 straipsnio 2 dalis ir 24–26 straipsniai
turi būti aiškinami taip:
elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje paskelbtuose skelbimuose esančių asmens duomenų valdytojas, kaip jis suprantamas pagal šio reglamento 4 straipsnio 7 punktą, privalo prieš publikuodamas skelbimus ir taikydamas tinkamas technines ir organizacines priemones:
–
identifikuoti skelbimus, kuriuose yra jautrių duomenų, kaip jie suprantami pagal minėto reglamento 9 straipsnio 1 dalį,
–
patikrinti, ar tokį skelbimą ketinantis įkelti naudotojas yra asmuo, kurio jautrūs duomenys nurodyti tame skelbime, ir, jeigu nėra,
–
atsisakyti jį publikuoti, nebent skelbimą įkeliantis naudotojas gali įrodyti, kad duomenų subjektas aiškiai sutiko, kaip tai suprantama pagal šio 9 straipsnio 2 dalies a punktą, kad atitinkami duomenys būtų paskelbti šioje elektroninėje prekyvietėje, arba kad tenkinama viena iš likusių minėto 9 straipsnio 2 dalies b–j punktuose numatytų išimčių.
2.
Reglamento 2016/679 32 straipsnis
turi būti aiškinamas taip:
elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal šio reglamento 4 straipsnio 7 punktą, privalo įgyvendinti tinkamas technines ir organizacines saugumo priemones, kad užkirstų kelią joje publikuotų skelbimų, kuriuose yra jautrių duomenų, kaip jie suprantami pagal minėto reglamento 9 straipsnio 1 dalį, kopijavimui ir neteisėtam publikavimui kitose interneto svetainėse.
3.
2000 m. birželio 8 d. Europos Parlamento ir Tarybos direktyvos 2000/31/EB dėl kai kurių informacinės visuomenės paslaugų, ypač elektroninės komercijos, teisinių aspektų vidaus rinkoje (Elektroninės komercijos direktyva) 1 straipsnio 5 dalies b punktas ir Reglamento 2016/679 2 straipsnio 4 dalis
turi būti aiškinami taip:
elektroninės prekyvietės operatorius, kaip jo elektroninėje prekyvietėje publikuotuose skelbimuose nurodytų asmens duomenų valdytojas, kaip jis suprantamas pagal Reglamento 2016/679 4 straipsnio 7 punktą, negali remtis, kiek tai susiję su iš šio reglamento 5 straipsnio 2 dalies, 24–26 ir 32 straipsnių kylančių pareigų pažeidimu, Direktyvos 2000/31 12–15 straipsniais, reglamentuojančiais tarpinių paslaugų teikėjų atsakomybę.
Parašai.
(
*1
)	Proceso kalba: rumunų.