62023CJ0492
PRESUDA SUDA (veliko vijeće)
2. prosinca 2025. (
*1
)
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Odgovornost operatora internetske platforme za trgovanje za objavu osobnih podataka sadržanih u oglasima koje korisnici oglašivači postavljaju na njegovu internetsku platformu za trgovanje – Članak 5. stavak 2. – Načelo odgovornosti – Članak 26. – Zajednička odgovornost s tim korisnicima oglašivačima – Članak 9. stavak 1. i članak 9. stavak 2. točka (a) – Oglasi koji sadržavaju osjetljive podatke – Zakonitost obrade – Privola – Članci 24., 25. i 32. – Obveze voditelja obrade – Prethodna identifikacija oglasa koji sadržavaju takve podatke – Prethodna provjera identiteta korisnika koji je oglašivač – Odbijanje objave nezakonitih oglasa – Sigurnosne mjere koje sprečavaju kopiranje oglasa i njihovu objavu na drugim internetskim stranicama – Elektronička trgovina – Direktiva 2000/31/EZ – Članci 12. do 15. – Mogućnost takvog operatera da se u pogledu povrede tih obveza pozove na oslobođenje od odgovornosti posrednog davatelja usluga informacijskog društva”
U predmetu C‑492/23,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputila Curtea de Apel Cluj (Žalbeni sud u Cluju, Rumunjska), odlukom od 15. lipnja 2023., koju je Sud zaprimio 3. kolovoza 2023., u postupku
X
protiv
Russmedia Digital SRL,
Inform Media Press SRL,
SUD (veliko vijeće),
u sastavu: K. Lenaerts, predsjednik, T. von Danwitz, potpredsjednik, F. Biltgen, K. Jürimäe (izvjestiteljica), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele, J. Passer, predsjednici vijeća, S. Rodin, E. Regan, N. Jääskinen i D. Gratsias, suci,
nezavisni odvjetnik: M. Szpunar,
tajnik: R. Şereş, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 2. srpnja 2024.,
uzimajući u obzir očitovanja koja su podnijeli:
–
za osobu X, I. Kis, avocată,
–
za rumunjsku vladu, E. Gane, L. Ghiţă i R. I. Haţieganu, u svojstvu agenata,
–
za Europsku komisiju, L. Armati, H. Kranenborg, P.-J. Loewenthal i L. Nicolae, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 6. veljače 2025.,
donosi sljedeću
Presudu
1
Zahtjev za prethodnu odluku odnosi se na tumačenje članaka 12. do 15. Direktive 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini) (SL 2000., L 178, str. 1.; SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 39., str. 58.) te članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točaka (b) i (f), članka 6. stavka 1. točke (a) i članaka 7., 24. i 25. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).
2
Zahtjev je upućen u okviru spora između fizičke osobe X, s jedne strane, te društava Russmedia Digital SRL i Inform Media Press SRL (u daljnjem tekstu zajedno: društvo Russmedia), s druge strane, u vezi s tužbom za naknadu neimovinske štete koju je žaliteljica iz glavnog postupka pretrpjela zbog nezakonite obrade svojih osobnih podataka kao i zbog povrede svojeg prava na osobnu sliku, čast i ugled te privatan život.
Pravni okvir
Pravo Unije
Direktiva 2000/31
3
U skladu s uvodnim izjavama 14., 42., 46. i 52. Direktive 2000/31:
„(14)
Zaštita pojedinaca u pogledu obrade osobnih podataka isključivo je uređena Direktivom 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka [(SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)] i Direktivom 97/66/EZ Europskog parlamenta i Vijeća od 15. prosinca 1997. o obradi osobnih podataka i zaštiti privatnosti u području telekomunikacija [(SL 1998., L 24, str. 1.)] koje su u cijelosti primjenjive na usluge informacijskog društva. […] Provedba i primjena ove Direktive trebaju se odvijati uz potpuno poštovanje načela vezanih za zaštitu osobnih podataka, posebno u vezi s neželjenim komercijalnim priopćenjima i odgovornošću posrednika. Ova Direktiva ne može spriječiti anonimno korištenje slobodnih mreža kao što je internet.
[…]
(42)
Iznimke od odgovornosti utvrđene u ovoj Direktivi odnose se jedino na slučajeve u kojima je aktivnost davatelja usluga informacijskog društva ograničena na tehnički proces poslovanja i omogućavanja pristupa komunikacijskoj mreži preko koje se informacije stavljene na raspolaganje od trećih strana prenose ili privremeno pohranjuju, isključivo u svrhu učinkovitijeg prijenosa; ta aktivnost je samo tehničke, automatske i pasivne naravi, što podrazumijeva da davatelj usluga informacijskog društva nije upoznat s informacijama koje se prenose ili pohranjuju niti ima kontrolu nad njima.
[…]
(46)
Kako bi imao koristi od ograničenja odgovornosti, davatelj usluge informacijskog društva, koja usluga se sastoji od pohrane informacija, čim dobije saznanje ili postane svjestan nezakonitih aktivnosti treba žurno djelovati kako bi uklonio ili onemogućio pristup tim informacijama; uklanjanju ili onemogućavanju pristupa treba pristupiti uz uvažavanje načela slobode izražavanja i postupaka utvrđenih u tu svrhu na nacionalnoj razini; ova Direktiva ne utječe na mogućnost država članica da utvrde posebne zahtjeve koji se moraju žurno ispuniti prije uklanjanja ili onemogućavanja informacija.
[…]
(52)
[…] štetu koja može nastati u vezi s uslugama informacijskog društva obilježava podjednako njezina brzina i veličina geografskog prostiranja; s obzirom na takav specifični karakter i potrebu neugrožavanja međusobnog povjerenja koje državna tijela trebaju imati jedno prema drugom, ova Direktiva traži da države članice osiguraju raspoloživost odgovarajućeg sudskog gonjenja; […]”
4
Člankom 1. Direktive 2000/31, naslovljenim „Cilj i područje primjene”, određuje se:
„1.   Ova Direktiva ima za cilj doprinijeti pravilnom funkcioniranju unutarnjeg tržišta osiguranjem slobodnog kretanja usluga informacijskog društva između država članica.
[…]
5.   Ova Direktiva se ne odnosi na:
[…]
(b) pitanja vezana uz usluge informacijskog društva koje pokriva[ju] direktiv[e 95/46] i [97/66];
[…]”
5
Odjeljak 4. poglavlja II. Direktive 2000/31, naslovljen „Odgovornost posrednih davatelja usluga”, obuhvaćao je u verziji primjenjivoj na glavni postupak, članke 12. do 15. te direktive. Članci 12. i 13. te direktive odnosili su se, u skladu s njihovim naslovima, na pojmove „[s]amo prijenosnik informacija” i „[p]rivremeni smještaj informacija”.
6
Člankom 14. navedene direktive, naslovljenim „Smještaj informacija na poslužitelju (‚hosting’)”, propisivalo se:
„1.   Kad se pružena usluga informacijskog društva sastoji od pohrane informacija dobivenih od primatelja usluge, države članice moraju osigurati da davatelj usluge nije odgovoran za informacije pohranjene na zahtjev primatelja usluge, pod uvjetom:
(a)
da davatelj nema stvarnog znanja o protuzakonitoj aktivnosti ili informaciji i, u pogledu zahtjeva za naknadu štete, ne zna za činjenice ili okolnosti iz kojih bi bila vidljiva protuzakonita aktivnost ili informacija;
ili
(b)
da davatelj, odmah po dobivanju takvog saznanja ili spoznaje žurno djeluje kako bi uklonio te informacije ili onemogućio pristup informacijama.
2.   Stavak 1. se ne primjenjuje kada primatelj usluge djeluje pod nadležnošću ili kontrolom davatelja usluga.
3.   Ovaj članak ne utječe na mogućnost da sud ili upravno tijelo, u skladu s pravnim sustavom države članice, od davatelja usluge zahtijeva okončanje ili sprečavanje prekršaja i ne utječe na mogućnost da država članica utvrdi postupke kojima se uređuje uklanjanje ili onemogućavanje pristupa informacijama.”
7
Člankom 15. te direktive, naslovljenim „Nepostojanje [opće] obveze praćenja”, u stavcima 1. i 2. propisivalo se:
„1.   Države članice ne mogu uvesti opću obvezu za davatelje usluga da pri pružanju usluga iz članaka 12., 13. […] i 14. prate informacije koje prenose ili pohranjuju niti opću obvezu da aktivno traže činjenice ili okolnosti koje bi ukazivale na protuzakonite aktivnosti.
2.   Države članice mogu utvrditi obveze za davatelje usluga informacijskog društva da odmah obavijeste nadležna tijela javne vlasti o navodnim protuzakonitim aktivnostima ili informacijama koje poduzimaju odnosno pružaju primatelji njihove usluge ili obvezu da nadležnim tijelima na njihov zahtjev dostave informacije koje omogućuju identifikaciju primatelja njihovih usluga s kojima imaju sporazume o pohrani informacija.”
OUZP
8
U skladu s uvodnim izjavama 4., 10., 39., 51., 74., 75., 78. i 85. OUZP‑a:
„(4)
Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom [Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja)] koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na [djelotvoran] pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.
[…]
(10)
Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske] unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(39)
Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju, kao i do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. Načelom transparentnosti traži se da svaka informacija i komunikacija u vezi s obradom tih osobnih podataka bude lako dostupna i razumljiva te da se upotrebljava jasan i jednostavan jezik. To se načelo osobito odnosi na informacije ispitaniku o identitetu voditelja obrade i svrhama obrade te daljnje informacije radi osiguravanja poštenosti i transparentnosti obrade s obzirom na pojedince o kojima je riječ i njihovo pravo da dobiju potvrdu i na obavijest o osobnim podacima koji se obrađuju, a koji se odnose na njih. […]
[…]
(51)
Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. […] Takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima navedenima u ovoj Uredbi […] Osim posebnih zahtjeva za takvu obradu, trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao svoju izričitu privolu ili u vezi s posebnim potrebama, pogotovo ako se obrada provodi u sklopu legitimnih aktivnosti određenih udruženja ili zaklada čiji je cilj dopustiti ostvarivanje temeljnih sloboda.
[…]
(74)
Trebalo bi uspostaviti dužnosti i odgovornosti voditelja obrade za svaku obradu osobnih podataka koju provede s[â]m voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom Uredbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.
(75)
Rizik za prava i slobode pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizići iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, posebno ako ta obrada može dovesti do […] krađe identiteta ili prijevare, […] štete za ugled […] ili ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili spriječeni u obavljanju nadzora nad svojim osobnim podacima; […]
[…]
(78)
Zaštita prava i sloboda pojedinaca s obzirom na obradu osobnih podataka zahtijeva da se poduzmu odgovarajuće tehničke i organizacijske mjere radi osiguravanja poštovanja uvjeta ove Uredbe. Radi dokazivanja sukladnosti s ovom Uredbom voditelj obrade trebao bi uvesti interne politike i provesti mjere koje osobito ispunjavaju načela tehničke zaštite podataka i integrirane zaštite podataka. […]
[…]
(85)
Ako se povreda osobnih podataka ne rješava na odgovarajući način i pravodobno, ona može prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara, […] šteta za ugled […].”
9
Člankom 1. te uredbe, naslovljenim „Predmet i ciljevi”, u stavku 2. određuje se:
„Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”
10
Člankom 2. navedene uredbe, naslovljenim „[Materijalno] područje primjene”, u stavku 4. propisuje se:
„Ovom se Uredbom ne dovodi u pitanje primjena Direktive [2000/31], osobito pravilâ o odgovornosti posrednih davatelja usluga iz članaka od 12. do 15. te direktive.”
11
Članak 4. te uredbe, naslovljen „Definicije”, glasi kako slijedi:
„Za potrebe ove Uredbe:
1.
‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2.
‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7.
‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
[…]
11.
‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;
[…]”
12
Poglavlje II. OUZP‑a, naslovljeno „Načela”, sadržava njegove članke 5. do 9.
13
Člankom 5. te uredbe, naslovljenim „Načela obrade osobnih podataka”, propisuje se:
„1.   Osobni podaci moraju biti:
(a)
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
(b)
prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama […] (‚ograničavanje svrhe’);
[…]
(d)
točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (‚točnost’);
[…]
(f)
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (‚cjelovitost i povjerljivost’);
2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
14
Člankom 6. navedene uredbe, naslovljenim „Zakonitost obrade”, u stavku 1. određuje se:
„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a)
ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b)
obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
(c)
obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
(d)
obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;
(e)
obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f)
obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.”
15
Člankom 7. OUZP‑a, naslovljenim „Uvjeti privole”, u stavku 1. određuje se:
„Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.”
16
Člankom 9. OUZP‑a, naslovljenim „Obrada posebnih kategorija osobnih podataka”, određuje se:
„1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.
2.   Stavak 1. ne primjenjuje se ako je ispunjen[o] jedno od sljedećeg:
(a)
ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;
[…]”
17
Člankom 13. te uredbe, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točki (a) propisuje se:
„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:
(a)
identitet i kontaktne podatke voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo”.
18
Člankom 14. navedene uredbe, naslovljenim „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika”, u stavku 1. točki (a) određuje se:
„Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:
(a)
identitet i kontaktne podatke voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo”.
19
U poglavlju III. iste uredbe, naslovljenom „Prava ispitanika”, nalazi se članak 17., naslovljen „Pravo na brisanje (‚pravo na zaborav’)”, kojim se u stavcima 1. i 2. propisuje:
„1.   Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
[…]
(d) osobni podaci nezakonito su obrađeni;
[…]
2.   Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. obrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuju osobne podatke da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice do njih ili kopiju ili repliku tih osobnih podataka.”
20
Poglavlje IV. OUZP‑a, naslovljeno „Voditelj obrade i izvršitelj obrade”, sadržava u odjeljku 1., naslovljenom „Opće obveze”, članke 24. do 26.
21
Člankom 24. te uredbe, naslovljenim „Obveze voditelja obrade”, u stavku 1. propisuje se:
„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.”
22
Člankom 25. navedene uredbe, naslovljenim „Tehnička i integrirana zaštita podataka”, u stavcima 1. i 2. propisuje se:
„1.   Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i zaštitila prava ispitanika.
2.   Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedin[a]ca.”
23
Člankom 26. te uredbe, naslovljenim „Zajednički voditelji obrade”, u stavku 1. određuje se:
„Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza iz ove Uredbe, osobito s obzirom na ostvarivanje prava ispitanika i svojih dužnosti u pogledu pružanja informacija iz članaka 13. i 14., te to čine međusobnim dogovorom, osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu i u mjeri u kojoj su one utvrđene. Dogovorom se može odrediti kontaktna točka za ispitanike.”
24
U skladu s člankom 32. OUZP‑a, naslovljenim „Sigurnost obrade”:
„1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:
(a)
pseudonimizaciju i enkripciju osobnih podataka;
(b)
sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;
(c)
sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta;
(d)
proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.
2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.
3.   Poštovanje odobrenog kodeksa ponašanja iz članka 40. ili odobrenog mehanizma certificiranja iz članka 42. može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavka 1. ovog članka.
4.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.”
25
Člankom 82. te uredbe, naslovljenim „Pravo na naknadu štete i odgovornost”, u stavcima 1. do 3. propisuje se:
„1.   Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.
2.   Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima.
3.   Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.”
26
Člankom 94. iste uredbe određuje se:
„1.   Direktiva [95/46] stavlja se izvan snage s učinkom od 25. svibnja 2018.
2.   Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. […]”
Rumunjsko pravo
27
Člankom 11. Legee nr. 365/2002 privind comerțul electronic (Zakon br. 365/2002 o elektroničkoj trgovini) od 7. lipnja 2002. (Monitorul Oficial al României, dio I., br. 483 od 5. srpnja 2002.), kako je izmijenjena Legeom nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (Zakon br. 121/2006 o izmjeni i dopuni Zakona br. 365/2002 o elektroničkoj trgovini) od 4. svibnja 2006. (Monitorul Oficial al României, dio I., br. 403 od 10. svibnja 2006.) (u daljnjem tekstu: Zakon br. 365/2002), propisuje se:
„1.   Davatelji usluga podliježu zakonskim odredbama u području građanske i kaznene odgovornosti kao i odgovornosti za upravne prekršaje, osim ako je drukčije predviđeno ovim Zakonom.
2.   Davatelji usluga odgovorni su za informacije koje sami pružaju ili se pružaju u njihovo ime.
3.   Davatelji usluga nisu odgovorni za informacije koje se prenose i pohranjuju ili kojima oni daju pristup pod uvjetima predviđenim u člancima 12. do 15.”
28
Člankom 14. Zakona br. 365/2002, naslovljenim „Trajno zadržavanje informacija i smještaj informacija na poslužitelju”, određuje se:
„1.   Kad se usluga informacijskog društva sastoji od pohrane informacija koje je dostavio primatelj te usluge, davatelj navedene usluge nije odgovoran za informacije pohranjene na zahtjev korisnika ako je ispunjen jedan od sljedećih uvjeta:
(a)
davatelj usluga nema saznanja o protuzakonitoj aktivnosti ili pohranjenoj informaciji i, u pogledu zahtjeva za naknadu štete, ne zna za činjenice ili okolnosti iz kojih bi bilo vidljivo da bi aktivnost ili informacija o kojoj je riječ mogla nanijeti štetu pravima treće osobe;
(b)
ako ima saznanja o protuzakonitosti dotične aktivnosti ili informacije ili o činjenicama ili okolnostima iz kojih bi bilo vidljivo da bi aktivnost ili informacija o kojoj je riječ mogla nanijeti štetu pravima treće osobe, davatelj usluga žurno djeluje kako bi je uklonio ili joj onemogućio pristup.
2.   Stavak 1. se ne primjenjuje kada primatelj usluge djeluje pod nadležnošću ili kontrolom davatelja usluga.
3.   Odredbe ovog članka ne utječu na mogućnost da pravosudno ili upravno tijelo zahtijeva od davatelja usluga okončanje ili sprečavanje povrede u vezi s podacima ni na mogućnost uvođenja vladinih postupaka radi ograničavanja ili prekida pristupa informacijama.”
29
Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Pravilnik o primjeni Zakona br. 365/2002 o elektroničkoj trgovini), koje su odobrene Hotărâreom Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Odluka vlade br. 1.308 o odobrenju Pravilnika o primjeni Zakona br. 365/2002 o elektroničkoj trgovini) od 20. studenoga 2002. (Monitorul Oficial al României, dio I., br. 877 od 5. prosinca 2002.), u članku 11. stavku 1. propisuju:
„Davatelji usluga informacijskog društva koji pružaju usluge navedene u člancima 12. do 15. Zakona [br. 365/2002] nisu obvezni kontrolirati informacije koje prenose ili pohranjuju niti aktivno tražiti podatke koji se odnose na naizgled nezakonite aktivnosti ili informacije u području usluga informacijskog društva koje pružaju.”
Glavni postupak i prethodna pitanja
30
Russmedia Digital, društvo osnovano u skladu s rumunjskim pravom, vlasnik je internetske stranice www.publi24.ro, internetske platforme za trgovanje na kojoj se besplatno ili uz naknadu mogu objaviti oglasi koji se odnose, među ostalim, na prodaju robe ili pružanje usluga u Rumunjskoj.
31
Žaliteljica iz glavnog postupka ističe da je 1. kolovoza 2018. neidentificirana treća osoba na toj internetskoj stranici objavila neistinit i štetan oglas u kojem se prvonavedenu predstavljalo kao da nudi seksualne usluge. Oglas je, među ostalim, sadržavao fotografije žaliteljice iz glavnog postupka, korištene bez njezine privole, kao i njezin telefonski broj. Taj je istovjetan oglas potom preuzet na drugim internetskim stranicama s reklamnim sadržajem, koje su ga objavile uz navođenje originalnog izvora. Nakon što se žaliteljica iz glavnog postupka obratila društvu Russmedia Digital, ono je uklonilo navedeni oglas sa svoje internetske stranice unutar jednog sata od primitka zahtjeva. Međutim, isti oglas ostao je dostupan na drugim internetskim stranicama koje su ga preuzele.
32
Smatrajući da su oglasom o kojem je riječ u glavnom postupku povrijeđena njezina prava na osobnu sliku, čast i ugled te privatan život kao i pravila o obradi osobnih podataka, žaliteljica iz glavnog postupka podnijela je tužbu protiv društva Russmedia pred Judecătorijom Cluj‑Napoca (Prvostupanjski sud u Cluj‑Napoci, Rumunjska). Taj je sud naložio društvu Russmedia da joj isplati naknadu štete u iznosu od 7000 eura na ime neimovinske štete uzrokovane povredom prava na osobnu sliku, čast i ugled, povredom prava na poštovanje njezina privatnog života kao i nezakonitom obradom njezinih osobnih podataka.
33
Društvo Russmedia podnijelo je žalbu protiv te presude. Tribunalul Specializat Cluj (Specijalizirani sud u Cluju, Rumunjska) prihvatio je tu žalbu presudivši da tužba žaliteljice iz glavnog postupka nije bila osnovana jer oglas o kojem je riječ u glavnom postupku nije potjecao od društva Russmedia, koje je pružalo samo uslugu smještaja tog oglasa na svojem poslužitelju bez njegova aktivnog sudjelovanja u pogledu sadržaja oglasa. Stoga je na njega valjalo primijeniti oslobođenje od odgovornosti predviđeno člankom 14. stavkom 1. točkom (b) Zakona br. 365/2002. Kad je riječ o obradi osobnih podataka, taj je sud smatrao da davatelj usluga informacijskog društva nije obvezan kontrolirati informacije koje prenosi niti aktivno tražiti podatke o navodno nezakonitim aktivnostima ili informacijama. U tom je pogledu presudio da se društvu Russmedia ne može prigovoriti da nije poduzelo mjere kako bi spriječilo internetsko širenje klevetničkog oglasa o kojem je riječ u glavnom postupku, s obzirom na to da je na zahtjev žaliteljice iz glavnog postupka brzo uklonilo taj oglas.
34
Žaliteljica iz glavnog postupka podnijela je žalbu protiv te presude Curtei de Apel Cluj (Žalbeni sud u Cluju, Rumunjska), smatrajući da je Tribunalul Specializat Cluj (Specijalizirani sud u Cluju) pogrešno protumačio Zakon br. 365/2002. Žaliteljica iz glavnog postupka osobito ističe da je taj sud trebao ispitati primjenjivost OUZP‑a u ovom slučaju, s obzirom na to da taj zakon nije lex specialis u odnosu na OUZP. Usto, žaliteljica iz glavnog postupka navodi da uloga društva Russmedia nije bila ograničena na pružanje klijentima posebnog tehničkog sredstva za pristup poslužitelju za smještaj informacija. Ona smatra da je to društvo također imalo ulogu upravljanja intervenirajući u sadržaj radi pravilnog upravljanja informacijama. To društvo, kao operator internetske stranice o kojoj je riječ u glavnom postupku, pohranjuje i obrađuje sadržaj informacija. Pohrana podataka kao i njihovo stavljanje na raspolaganje javnosti u određenom obliku podrazumijeva analizu podataka i informacija sadržanih u oglasima. Ti elementi dokazuju da je društvo Russmedia izravno uključeno u upravljanje sadržajem oglasâ i njegovim širenjem. Stoga nisu primjenjive odredbe članka 14. Zakona br. 365/2002.
35
Osim toga, žaliteljica iz glavnog postupka ističe da se oslobođenje od odgovornosti takvog davatelja usluga ne primjenjuje ako je odgovornost utvrđena na temelju drugih regulatornih akata, kao što je to OUZP. Društvo Russmedia objavilo je osobne podatke žaliteljice iz glavnog postupka bez njezine privole te je zbog načina funkcioniranja svoje internetske stranice omogućilo svakome da objavi bilo koju vrstu oglasa, među ostalim, oglase kojima se ne jamči sigurnost osobnih podataka, čime je onemogućilo konačno brisanje podataka objavljenih na internetu.
36
Društvo Russmedia pak tvrdi da je pravilno stajalište ono koje je iznio Tribunalul Specializat Cluj (Specijalizirani sud u Cluju). Ono smatra da žaliteljica iz glavnog postupka nije dokazala na koji je način OUZP lex specialis kojim se onemogućuje primjena relevantnih odredbi Zakona br. 365/2002.
37
Curtea de Apel Cluj (Žalbeni sud u Cluju), koji je sud koji je uputio zahtjev i koji odlučuje u ovom predmetu kao žalbeni sud čija je odluka konačna, smatra potrebnim utvrditi, među ostalim, granice oslobođenja od odgovornosti davatelja usluga informacijskog društva, kao što je to društvo Russmedia, na temelju Direktive 2000/31.
38
Pozivajući se na relevantnu sudsku praksu Suda, sud koji je uputio zahtjev utvrđuje da, iako u skladu s tom sudskom praksom ne postoji obveza operatora internetskih platformi za trgovanje da prethodno provjeravaju informacije ili oglase koje objavljuju korisnici oglašivači, oslobođenje od odgovornosti tih operatora ipak je uvjetovano. Tako se, u skladu s presudom od 12. srpnja 2011., L’Oréal i dr. (C‑324/09, EU:C:2011:474), operator internetskih usluga ne može pozivati na oslobođenje od odgovornosti predviđeno u članku 14. stavku 1. Direktive 2000/31 ako je znao za činjenice ili okolnosti na temelju kojih je pažljiv gospodarski subjekt trebao utvrditi nezakonitost predmetnih prodajnih ponuda i, u slučaju takvog saznanja, ako nije žurno postupio u skladu s člankom 14. stavkom 1. točkom (b) te direktive. Isto tako, iz presude od 11. rujna 2014., Papasavvas (C‑291/13, EU:C:2014:2209), proizlazi da se ograničenja građanske odgovornosti navedena u člancima 12. do 14. Direktive 2000/31 ne odnose na slučaj društva koje na svojoj internetskoj stranici objavljuje elektroničku verziju novina ako to društvo, koje naplaćuje trgovačke oglase koji se objavljuju na toj internetskoj stranici, ima saznanje o objavljenim informacijama te ih kontrolira.
39
Sud koji je uputio zahtjev ipak naglašava da se u navedenoj sudskoj praksi upućuje samo na ponude koje su objavljene na internetskoj stranici čija je nezakonitost proizlazila iz analize činjenica i okolnosti koje su voditelju obrade izrijekom priopćene nakon objave dotičnog oglasa. Stoga Sud još nije imao priliku razmatrati situaciju kao što je ona u glavnom postupku, u kojoj je sadržaj objavljenog oglasa bio očito nezakonit i iznimno štetan za ispitanika.
40
Sud koji je uputio zahtjev u tom se kontekstu pita mora li platforma primiti obavijest kako bi bila obvezna izbrisati očito nezakonit i ozbiljno štetan sadržaj. U ovom slučaju oglas o kojem je riječ u glavnom postupku objavljen je bez provjere identiteta korisnika koji je bio oglašivač i očito bez pribavljanja privole žaliteljice iz glavnog postupka.
41
Uostalom, iako je oglas o kojem je riječ u glavnom postupku bio uklonjen s izvorne internetske stranice nakon obavijesti žaliteljice iz glavnog postupka, sadržaj tog oglasa, uključujući njezine kontaktne podatke i fotografije, u cijelosti je preuzet na brojnim drugim internetskim stranicama, uz navođenje originalnog izvora. Šteta koju je žaliteljica iz glavnog postupka pretrpjela stoga je postala trajna te je ona još uvijek aktualna. Sud koji je uputio zahtjev u tom pogledu ističe da se navodno ponuđene seksualne usluge mogu povezati s teškim kaznenim djelima, kažnjivima na temelju Codula penal (Kazneni zakonik), kao što su podvođenje i trgovina ljudima.
42
Sud koji je uputio zahtjev pojašnjava da iako društvo Russmedia, u skladu sa svojim općim uvjetima korištenja internetskom platformom za trgovanje kojom ono upravlja, ne navodi da ima pravo vlasništva nad sadržajem objavljenih oglasa, ono ipak zadržava pravo koristiti se tim sadržajima, uključujući njihovo umnožavanje, distribuciju, prijenos, objavu, reprodukciju, izmjenu, prijevod, ustupanje partnerima i njihovo brisanje u bilo kojem trenutku, a da za to čak i nema valjanog razloga.
43
U tim je okolnostima Curtea de Apel Cluj (Žalbeni sud u Cluju) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Primjenjuju li se članci 12. do 14. Direktive [2000/31] i na davatelja [usluga informacijskog društva tipa] smještaja informacija na poslužitelju koji korisnicima stavlja na raspolaganje stranicu na kojoj se mogu objavljivati besplatni ili plaćeni oglasi i koji tvrdi da je njegova uloga u objavi oglasa korisnika isključivo tehnička (stavljanje na raspolaganje platforme), ali koji u općim uvjetima korištenja stranice navodi da ne traži pravo vlasništva nad dobivenim, objavljenim, učitanim ili poslanim sadržajem, pri čemu ipak zadržava pravo korištenja sadržaja, što uključuje njegovo umnožavanje, distribuciju, prijenos, objavu, reprodukciju, izmjenu, prijevod, ustupanje partnerima i brisanje u bilo kojem trenutku, a da za to ni ne treba imati razlog?
2.
Je li, prema tumačenju članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točke (f), članka 6. stavka 1. točke (a), članaka 7., 24. i 25. [OUZP‑a] te članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan prije objave nekog oglasa provjeriti jesu li osoba koja objavljuje oglas i vlasnik osobnih podataka na kojeg se odnosi oglas ista osoba?
3.
Je li, prema tumačenju članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točke (f), članka 6. stavka 1. točke (a), članaka 7., 24. i 25. [OUZP‑a] te članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan prethodno provjeriti sadržaj oglasa koje dostavljaju korisnici kako bi onemogućio oglase koji su eventualno nezakoniti ili koji mogu ugroziti privatni i obiteljski život neke osobe?
4.
Je li, prema tumačenju članka 5. stavka 1. točaka (b) i (f) te članaka 24. i 25. [OUZP‑a] i članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan primijeniti zaštitne mjere kojima se onemogućuju ili ograničavaju reprodukcija i redistribucija sadržaja oglasa koji su objavljeni njegovim posredstvom?”
O prethodnim pitanjima
44
U skladu s ustaljenom sudskom praksom, u okviru suradnje između nacionalnih sudova i Suda ustanovljene u članku 267. UFEU‑a, na Sudu je da nacionalnom sudu pruži koristan odgovor koji će mu omogućiti da donese odluku u postupku koji se pred njim vodi. U tom smislu, Sud će, prema potrebi, preoblikovati pitanja koja su mu postavljena. U tu svrhu Sud može iz svih podataka koje mu je dostavio nacionalni sud, a osobito iz obrazloženja odluke kojom se upućuje prethodno pitanje, izvesti propise i načela prava Unije koje treba tumačiti uzimajući u obzir predmet spora (vidjeti u tom smislu presude od 29. studenoga 1978., Redmond_83/78, EU:C:1978:214, t. 26., od 28. studenoga 2000., Roquette Frères, C‑88/99, EU:C:2000:652, t. 18. i od 30. travnja 2024., M. N. (EncroChat), C‑670/22, EU:C:2024:372, t. 78.).
45
Pitanjima suda koji je uputio zahtjev nastoji se, promatrano zajedno, utvrditi, s jedne strane, je li operator internetske platforme za trgovanje, kao što je to društvo Russmedia, koje svojim korisnicima omogućuje da besplatno ili uz naknadu anonimno objavljuju oglase na njegovoj internetskoj platformi za trgovanje, povrijedio obveze koje ima na temelju OUZP‑a u slučaju kada oglas objavljen na njegovoj internetskoj platformi za trgovanje sadržava osobne podatke, osobito osjetljive prirode, protivno toj uredbi i, s druge strane, primjenjuju li se na takvog operatora članci 12. do 15. Direktive 2000/31 koji se odnose na odgovornost posrednih davatelja usluga.
46
Kako bi se dao koristan odgovor na ta pitanja, najprije valja ispitati drugo, treće i četvrto pitanje, kojima se nastoji utvrditi koje obveze na temelju OUZP‑a ima operator internetske platforme za trgovanje u situaciji poput one o kojoj je riječ u glavnom postupku, tako da se ta pitanja preoblikuju na način da se odnose samo na tumačenje te uredbe. Zatim će se ispitati može li se takav operator pozivati na članke 12. do 15. Direktive 2000/31, što je u biti predmet prvog pitanja.
Drugo, treće i četvrto pitanje, koja se odnose na tumačenje OUZP‑a
Uvodne napomene
47
Najprije valja istaknuti, kao prvo, da iz zahtjeva za prethodnu odluku proizlazi da je predmetni oglas prikazivao žaliteljicu iz glavnog postupka na način da nudi seksualne usluge i da je taj oglas sadržavao, među ostalim, njezine fotografije, koje su se koristile bez njezine privole, kao i njezin telefonski broj.
48
Nadalje, nesporno je da su takve informacije osobni podaci u smislu članka 4. točke 1. OUZP‑a, kojim se definiraju kao „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi”, pri čemu se pojašnjava da „pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.
49
Naime, prema ustaljenoj sudskoj praksi, upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” iz članka 4. točke 1. OUZP‑a odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste informacija, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se one „odnose” na dotičnu osobu. Informacija se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presuda od 3. travnja 2025., Ministerstvo zdravotnictví (Podaci o zastupniku pravne osobe), C‑710/23, EU:C:2025:231, t. 21. i navedena sudska praksa).
50
Usto, među tim osobnim podacima člankom 9. stavkom 1. OUZP‑a predviđa se poseban sustav zaštite za posebne kategorije podataka, među kojima su i one koje se odnose na spolni život ili seksualnu orijentaciju pojedinca.
51
Sud je pojasnio da je svrha članka 9. stavka 1. te uredbe osigurati pojačanu zaštitu od obrada koje, zbog posebne osjetljivosti podataka koji su predmet tog članka, mogu predstavljati osobito ozbiljno zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka, zajamčena člancima 7. i 8. Povelje (presuda od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 41. i navedena sudska praksa).
52
Doista, takva pojačana zaštita nužno zahtijeva široku definiciju takvih „osjetljivih podataka”. Stoga je Sud presudio da se članak 9. stavak 1. OUZP‑a primjenjuje na obrade koje se ne odnose samo na suštinski osjetljive podatke koje obuhvaća ta odredba, nego i na podatke koji neizravno otkrivaju informacije takve prirode putem intelektualnog čina zaključivanja ili unakrsne provjere (presuda od 5. lipnja 2023., Komisija/Poljska (Neovisnost i privatan život sudaca), C‑204/21, EU:C:2023:442, t. 344. i navedena sudska praksa).
53
U okviru te široke definicije, neistinitost i štetnost podataka o spolnom životu ili seksualnoj orijentaciji pojedinca ne mogu takve podatke lišiti njihove kvalifikacije kao „osjetljivih podataka” u smislu članka 9. stavka 1. OUZP‑a.
54
Kao drugo, valja utvrditi da se obrada o kojoj je riječ u glavnom postupku sastoji od objave tog oglasa i, stoga, tih podataka na internetskoj platformi za trgovanje društva Russmedia. Naime, postupak stavljanja osobnih podataka na internetsku stranicu predstavlja obradu u smislu članka 4. točke 2. OUZP‑a (presuda od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 65. i navedena sudska praksa).
55
Kao treće, valja istaknuti da se u drugom, trećem i četvrtom pitanju upućuje na činjenicu da je operator internetske platforme za trgovanje o kojoj je riječ u glavnom postupku voditelj obrade osobnih podataka. Međutim, očito je da je osobne podatke, čija je objava predmet glavnog postupka, anonimni korisnik oglašivač umetnuo u predmetni oglas a da pritom taj operator nije imao konkretan utjecaj na sadržaj tog oglasa i da on nije bio svjestan njegove neistinitosti i štetnosti. U tim okolnostima valja pojasniti pojmove „voditelj obrade” i „zajednički voditelji obrade” u smislu članka 4. točke 7. odnosno članka 26. OUZP‑a.
56
U članku 4. točki 7. OUZP‑a pojam „voditelj obrade” definira se široko tako da obuhvaća fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.
57
Cilj je te široke definicije, u skladu s ciljem iz OUZP‑a, osigurati učinkovitu zaštitu sloboda i temeljnih prava pojedinaca kao i visoku razinu zaštite prava svake osobe na zaštitu osobnih podataka koji se na nju odnose (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 29. i navedena sudska praksa).
58
Stoga se svaka fizička ili pravna osoba koja u vlastite svrhe utječe na obradu takvih podataka i time sudjeluje u određivanju svrha i sredstava te obrade može smatrati voditeljem navedene obrade (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 30. i navedena sudska praksa).
59
Usto, budući da – kao što se to izričito propisuje člankom 4. točkom 7. OUZP‑a – pojam „voditelj obrade” obuhvaća tijelo koje „samo ili zajedno s drugima” određuje svrhe i sredstva obrade osobnih podataka, taj pojam ne upućuje nužno na jedno tijelo te se može odnositi na više sudionika u obradi, pri čemu svaki od njih podliježe odredbama koje se primjenjuju u području zaštite podataka (vidjeti u tom smislu presudu od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 67. i navedenu sudsku praksu).
60
Člankom 26. OUZP‑a, koji se nalazi u okviru definicije „voditelj[a] obrade” iz članka 4. točke 7. te uredbe, u biti se propisuje da ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su „zajednički voditelji” te obrade.
61
Takva zajednička odgovornost ne zahtijeva nužno postojanje zajedničkih odluka u pogledu određivanja svrha i sredstava obrade osobnih podataka o kojima je riječ. Naime, Sud je presudio da sudjelovanje u određivanju tih svrha i sredstava može poprimiti različite oblike, pri čemu to sudjelovanje može proizlaziti iz zajedničke odluke koju su zajednički donijela dva ili više subjekata ili iz usklađenih odluka koje se nadopunjuju na način da svaka od njih ima konkretan učinak na određivanje navedenih svrha i sredstava (vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 43.).
62
U tom pogledu, zajednička odgovornost više subjekata za istu obradu, na temelju članka 4. točke 7. OUZP‑a, ne pretpostavlja da svaki od njih ima pristup osobnim podacima o kojima je riječ (presude od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 69. i navedena sudska praksa i od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 42.).
63
U tom istom smislu, Sud je pojasnio da postojanje zajedničke odgovornosti ne znači nužno jednaku odgovornost različitih subjekata za istu obradu osobnih podataka. Naprotiv, ti subjekti mogu biti uključeni u obradu osobnih podataka u različitim fazama obrade i u različitoj mjeri, tako da razinu odgovornosti svakog od njih valja procjenjivati vodeći računa o svim relevantnim okolnostima predmetnog slučaja (vidjeti u tom smislu presude od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 66. i navedenu sudsku praksu i od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 42.).
64
U ovom je slučaju nesporno da treba smatrati da je korisnik koji je oglašivač, koji je na internetsku platformu za trgovanje kojom upravlja društvo Russmedia postavio neistinit i štetan oglas koji sadržava osobne podatke žaliteljice iz glavnog postupka, proveo glavno određivanje svrhe i sredstva obrade tih podataka i da je stoga obuhvaćen pojmom „voditelj obrade” u smislu članka 4. točke 7. OUZP‑a.
65
Imajući navedeno u vidu, utvrđeno je da je taj oglas objavljen na internetu i tako postao dostupan internetskim korisnicima samo zahvaljujući internetskoj platformi za trgovanje kojom upravlja društvo Russmedia.
66
Doista, iako iz sudske prakse navedene u točki 58. ove presude proizlazi da se osobu može smatrati „voditeljem obrade” osobnih podataka samo ako utječe na tu obradu u vlastite svrhe, ipak valja utvrditi da to osobito može biti slučaj kada operator internetske platforme za trgovanje objavljuje dotične osobne podatke u komercijalne ili oglašivačke svrhe koje nadilaze puko pružanje usluge koju pruža korisniku oglašivaču.
67
U ovom slučaju iz odluke kojom se upućuju prethodna pitanja proizlazi da društvo Russmedia objavljuje oglase na svojoj internetskoj platformi za trgovanje u vlastite komercijalne svrhe. U tom pogledu, općim uvjetima korištenja tom platformom za trgovanje osigurava se velika sloboda društvu Russmedia da se koristi informacijama objavljenima na navedenoj platformi za trgovanje. Konkretno, prema navodima suda koji je uputio zahtjev, društvo Russmedia zadržava pravo korištenja objavljenim sadržajima, njihove distribucije, prijenosa, reprodukcije, izmjene, prijevoda, ustupanja partnerima i njihova brisanja u bilo kojem trenutku i bez potrebe za „valjanim razlogom” da to učini. Dakle, društvo Russmedia ne objavljuje osobne podatke sadržane u oglasima samo u ime korisnika oglašivača, odnosno ne objavljuje ih isključivo u njihovo ime, nego ih obrađuje i može iskoristiti u vlastite oglašivačke i trgovačke svrhe.
68
Stoga valja smatrati da je društvo Russmedia u vlastite svrhe utjecalo na objavu na internetu osobnih podataka žaliteljice iz glavnog postupka te je stoga sudjelovalo u određivanju svrhe te objave i, dakle, predmetne obrade.
69
To utvrđenje nije dovedeno u pitanje činjenicom da društvo Russmedia očito nije sudjelovalo u određivanju neistinite i štetne svrhe koju je korisnik oglašivač želio postići objavom oglasa o kojem je riječ u glavnom postupku. Naime, društvo Russmedia sudjelovalo je u određivanju svrhe obrade koja se sastoji od toga da se korisnicima interneta učine dostupnima osobni podaci sadržani u oglasu o kojem je riječ u glavnom postupku kako bi se iskoristile te objave. Osim toga, time što je društvo Russmedia omogućilo anonimno postavljanje oglasa na svoju internetsku platformu za trgovanje, ono je olakšalo objavu takvih podataka bez privole ispitanika.
70
Usto, društvo Russmedia je, time što je korisniku oglašivaču stavilo na raspolaganje svoju internetsku platformu za trgovanje koja je poslužila za objavu oglasa o kojem je riječ u glavnom postupku, sudjelovalo u određivanju sredstava te objave.
71
Naime, Sud je u biti već presudio da u određivanju sredstava obrade sudjeluje fizička ili pravna osoba koja ima odlučujući utjecaj na prikupljanje i prijenos osobnih podataka odnosno ona koja utvrđivanjem postavki, ovisno o svojim ciljevima upravljanja ili promicanja svojih aktivnosti, utječe na obradu takvih podataka (vidjeti u tom smislu presude od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, t. 36. i od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 78.). Isto vrijedi, kad je riječ o pretraživaču, u slučaju kada njegova aktivnost ima odlučujuću ulogu u globalnom širenju osobnih podataka jer ih ta aktivnost čini javno dostupnima na internetu na organiziran i objedinjen način (vidjeti u tom smislu presudu od 8. prosinca 2022., Google (Uklanjanje poveznica koje vode do navodno netočnog sadržaja), C‑460/20, EU:C:2022:962, t. 50. i navedenu sudsku praksu).
72
Stoga valja utvrditi da u slučaju kada operator internetske platforme za trgovanje, kao što je to društvo Russmedia, određuje postavke za širenje oglasa koji mogu sadržavati osobne podatke ovisno o predviđenim primateljima, kada određuje prikaz, trajanje tog širenja ili rubrike kojima se strukturiraju objavljene informacije ili kada pak organizira rangiranje kojim će se odrediti načini takvog širenja, on sudjeluje u određivanju bitnih sredstava za objavu dotičnih osobnih podataka, utječući tako na odlučujući način na njihovo globalno širenje.
73
U tom pogledu, sadržaj općih uvjeta korištenja predmetnom internetskom platformom za trgovanje može pružiti naznake kojima se dokazuje da operator te platforme za trgovanje ima odlučujući utjecaj na obradu osobnih podataka o kojoj je riječ i tako određuje sredstva te obrade. Čini se da to vrijedi za opće uvjete korištenja internetskom platformom za trgovanje društva Russmedia, u kojima si to društvo zadržava, među ostalim, pravo distribucije, prijenosa, objave, brisanja ili pak reprodukcije informacija sadržanih u oglasima, uključujući osobne podatke koje oni sadržavaju.
74
U svakom slučaju, operator internetske platforme za trgovanje ne može izbjeći svoju odgovornost kao voditelj obrade osobnih podataka pozivajući se na to da nije sâm odredio sadržaj predmetnog oglasa objavljenog na toj platformi za trgovanje. Naime, isključenje takvog operatora iz te definicije samo zbog tog razloga bilo bi protivno ne samo jasnom tekstu nego i cilju članka 4. točke 7. OUZP‑a, koji se sastoji od toga da se širokom definicijom pojma „voditelj obrade” osigura učinkovita i potpuna zaštita ispitanikâ.
75
Stoga valja utvrditi da je sud koji je uputio zahtjev pravilno utemeljio svoje drugo, treće i četvrto pitanje na pretpostavci da je u situaciji poput one o kojoj je riječ u glavnom postupku operator internetske platforme za trgovanje voditelj obrade osobnih podataka sadržanih u oglasu objavljenom na toj internetskoj platformi za trgovanje, u smislu članka 4. točke 7. OUZP‑a.
76
Uzimajući u obzir sva prethodna razmatranja valja odgovoriti na ta pitanja.
Drugo i treće pitanje
77
Svojim drugim i trećim pitanjem, koja valja razmotriti zajedno, sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 2. i članke 24. do 26. OUZP‑a tumačiti na način da je operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. OUZP‑a, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan prije objave oglasa identificirati one koji sadržavaju osjetljive podatke, u smislu članka 9. stavka 1. OUZP‑a, provjeriti je li korisnik oglašivač koji se sprema postaviti takav oglas osoba čiji se osjetljivi podaci nalaze u tom oglasu i, ako to nije slučaj, odbiti njegovu objavu ako ne postoji izričita privola ispitanika, s obzirom na to da bi takva objava mogla dovesti do teške povrede prava te osobe na poštovanje privatnog života i zaštitu njegovih osobnih podataka, zajamčenih člancima 7. i 8. Povelje.
78
U skladu s člankom 1. stavkom 2. OUZP‑a, u vezi s njegovim uvodnim izjavama 4. i 10., predmet te uredbe jest, među ostalim, zajamčiti visoku razinu zaštite temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka, pri čemu je to pravo priznato i u članku 8. Povelje te je usko povezano s pravom na poštovanje privatnog života iz njezina članka 7. (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 61. i navedenu sudsku praksu).
79
U tu se svrhu, kao prvo, u poglavlju II. OUZP‑a navode načela kojima se uređuje obrada osobnih podataka koja voditelj obrade mora poštovati. Konkretno, svaka obrada osobnih podataka mora biti u skladu s načelima obrade podataka i uvjetima zakonitosti obrade koji se navode u člancima 5. i 6. te uredbe (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 62. i navedenu sudsku praksu).
80
U skladu s člankom 5. stavkom 1. točkom (a) OUZP‑a, osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika. U članku 5. stavku 1. točki (d) te uredbe dodaje se da osobni podaci koji se obrađuju moraju biti točni i, prema potrebi, ažurni. Stoga treba poduzeti sve razumne mjere kako bi se osobni podaci koji su netočni, s obzirom na svrhe u koje se obrađuju, bez odgode uklonili ili ispravili. Člankom 5. stavkom 1. točkom (f) navedene uredbe određuje se da se osobni podaci moraju obrađivati na način kojim se osigurava odgovarajuća sigurnost tih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade.
81
Kad je riječ o uvjetima zakonitosti obrade, kao što je to Sud presudio, člankom 6. stavkom 1. prvim podstavkom OUZP‑a propisuje se iscrpan i ograničen popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Obrada stoga mora biti obuhvaćena jednim od slučajeva predviđenih tom odredbom (vidjeti u tom smislu presudu od 9. siječnja 2025., Mousse, C‑394/23, EU:C:2025:2, t. 25. i navedenu sudsku praksu).
82
Konkretno, u skladu s člankom 6. stavkom 1. prvim podstavkom točkom (a) OUZP‑a, obrada osobnih podataka zakonita je samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za nju u jednu ili više posebnih svrha. U članku 7. stavku 1. te uredbe pojašnjava se da u tom slučaju voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka. Ako takva privola nije dana uopće ili nije dana dobrovoljno, posebno, informirano i nedvosmisleno, u smislu članka 4. točke 11. navedene uredbe, takva obrada ipak može biti opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) iste uredbe (presuda od 9. siječnja 2025., Mousse, C‑394/23, EU:C:2025:2, t. 26. i navedena sudska praksa).
83
Tim se načelima i uvjetima dodaju posebni zahtjevi u pogledu osjetljivih podataka kako su definirani u članku 9. stavku 1. OUZP‑a i čija je obrada u načelu zabranjena (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 73.).
84
Od te zabrane može se odstupiti samo ako je ispunjena jedna od iznimaka iz članka 9. stavka 2. točaka (a) do (j) te uredbe. Među tim iznimkama, koje treba usko tumačiti, člankom 9. stavkom 2. točkom (a) navedene uredbe propisuje se da se zabrana obrade osjetljivih podataka ne primjenjuje ako je ispitanik dao izričitu privolu za obradu svojih osjetljivih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti tu zabranu.
85
Kao drugo, u poglavlju IV. OUZP‑a pojašnjava se doseg obveza voditelja obrade osobnih podataka, u skladu s načelom odgovornosti iz članka 5. stavka 2. OUZP‑a.
86
U skladu s tom odredbom, voditelj obrade odgovoran je za usklađenost sa stavkom 1. tog članka i mora biti u mogućnosti dokazati da poštuje svako od načela iz tog stavka 1., pri čemu je na njemu teret dokazivanja (presuda od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronički sudski poštanski pretinac), C‑60/22, EU:C:2023:373, t. 53. i navedena sudska praksa).
87
To načelo odgovornosti konkretizirano je, među ostalim, u članku 24. OUZP‑a (vidjeti u tom smislu presudu od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 43. i navedenu sudsku praksu). Tim se načelom zahtijeva da voditelj obrade, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s tom uredbom.
88
Tako se člankom 5. stavkom 2. i člankom 24. OUZP‑a voditelju obrade osobnih podataka nalažu opće obveze odgovornosti i usklađenosti. Njima se od voditelja obrade zahtijeva da poduzme odgovarajuće mjere za sprečavanje mogućih povreda pravila predviđenih OUZP‑om, kako bi se osiguralo pravo na zaštitu podataka (vidjeti u tom smislu presudu od 27. listopada 2022., Proximus (Javni elektronički telefonski imenici), C‑129/21, EU:C:2022:833, t. 81.).
89
U tom se pogledu člankom 25. stavkom 1. OUZP‑a voditelju obrade nalaže da u vrijeme određivanja sredstava obrade i u vrijeme same obrade provodi odgovarajuće tehničke i organizacijske mjere za omogućavanje učinkovite primjene načela zaštite podataka te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz te uredbe i zaštitila prava ispitanika. Usto, tim se člankom 25. stavkom 2., koji se odnosi na integriranu zaštitu podataka, propisuje, među ostalim, da se odgovarajućim tehničkim i organizacijskim mjerama koje voditelj obrade treba provesti u tu svrhu osigurava da osobni podaci nisu automatski dostupni neograničenom broju pojedinaca bez intervencije pojedinca o kojem je riječ.
90
U slučaju kada su osobni podaci koji se obrađuju osjetljivi podaci u smislu članka 9. stavka 1. OUZP‑a, voditelj obrade mora, među ostalim, kako bi utvrdio koje su odgovarajuće mjere u smislu članaka 24. i 25. te uredbe, uzeti u obzir činjenicu da povreda načela navedenih u poglavlju II. navedene uredbe u pogledu obrade takvih podataka može predstavljati osobito ozbiljno zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje.
91
Drugo i treće pitanje, kako su preoblikovana u točki 77. ove presude, valja ispitati s obzirom na sva ta pojašnjenja.
92
Kao prvo, kad je riječ o odgovoru na pitanje mora li operator internetske platforme za trgovanje prije objave oglasa identificirati one koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. OUZP‑a, valja podsjetiti na to da, kao što to proizlazi iz točaka 64. i 75. ove presude, tog operatora i korisnika koji je oglašivač koji je takav oglas postavio na tu internetsku platformu za trgovanje treba smatrati zajedničkim voditeljima obrade u smislu članka 26. te uredbe kada se predmetni oglas objavljuje na toj internetskoj platformi za trgovanje.
93
Iz toga slijedi da su i taj operator i taj korisnik oglašivač dužni osigurati poštovanje obveza koje proizlaze iz članka 5. stavka 2. kao i članaka 24. i 25. OUZP‑a. Konkretno, oni moraju biti u mogućnosti dokazati da su osobni podaci koji su sadržani u predmetnom oglasu zakonito objavljeni, odnosno da je ispitanik dao privolu za takvu objavu, osim ako se mogu pozvati na neki drugi uvjet koji je predviđen člankom 6. stavkom 1. OUZP‑a. Ako su predmetni osobni podaci osjetljivi podaci u smislu članka 9. stavka 1. OUZP‑a, privola za takvu objavu mora biti izričita, kao što to proizlazi iz točke 84. ove presude. Isto tako, u skladu s načelom točnosti iz članka 5. stavka 1. točke (d) OUZP‑a, voditelji obrade moraju biti u mogućnosti dokazati točnost predmetnih osobnih podataka.
94
Kako bi se utvrdilo koje su konkretno odgovarajuće tehničke i organizacijske mjere koje je operator internetske platforme za trgovanje dužan provesti kao zajednički voditelj obrade osobnih podataka u skladu s člancima 24. i 25. OUZP‑a, kako bi osigurao i mogao dokazati da se objava osjetljivih podataka sadržanih u oglasu provodi u skladu s tom uredbom, valja istaknuti da iz tih odredbi proizlazi da se prikladnost takvih mjera mora konkretno ocijeniti, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade o kojoj je riječ kao i razinu vjerojatnosti i ozbiljnosti rizika za prava i slobode ispitanika koji su mu svojstveni (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 96.).
95
U tom pogledu valja istaknuti da objava osobnih podataka na internetskoj platformi za trgovanje podrazumijeva znatne rizike za prava i slobode ispitanika jer se njome ti podaci čine u načelu dostupnima svim internetskim korisnicima. Usto, nakon što su objavljeni na internetskoj platformi za trgovanje, navedeni se podaci mogu kopirati i reproducirati na drugim internetskim stranicama, tako da se ispitaniku može pokazati teškim, pa čak i nemogućim, ishoditi njihovo stvarno brisanje s interneta.
96
Rizici povezani s takvom objavom još su ozbiljniji kada je riječ o osjetljivim podacima u smislu članka 9. stavka 1. OUZP‑a. Kao što se to izričito navodi u uvodnoj izjavi 51. OUZP‑a, osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za ta prava i slobode (vidjeti u tom smislu presudu od 4. listopada 2024., Lindenapotheke, C‑21/23, EU:C:2024:846, t. 75.). Kao što je to istaknuto u točki 90. ove presude, obrada takvih podataka može predstavljati osobito ozbiljno zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje. Usto, stupanj vjerojatnosti povrede tih prava objavom oglasa koji sadržava osjetljive podatke vrlo je visok kada korisnik oglašivač nije sâm ispitanik i kada se na internetskoj platformi za trgovanje omogućuje anonimno postavljanje takvih oglasa.
97
Stoga, budući da operator internetske platforme za trgovanje, poput onoga o kojem je riječ u glavnom postupku, zna ili mora znati da, govoreći općenito, oglase koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. OUZP‑a korisnici oglašivači mogu objaviti na njegovoj internetskoj platformi za trgovanje, taj je operator, kao voditelj te obrade, obvezan prilikom osmišljavanja svoje usluge provesti odgovarajuće tehničke i organizacijske mjere kako bi se identificirali takvi oglasi prije njihove objave i kako bi na taj način mogao provjeriti objavljuju li se osjetljivi podaci koje oni sadržavaju u skladu s načelima navedenima u poglavlju II. te uredbe. Naime, kao što to osobito proizlazi iz članka 25. stavka 1. navedene uredbe, operator je obvezan provoditi takve mjere ne samo u vrijeme obrade nego već u vrijeme određivanja sredstava obrade i stoga čak i prije nego što se na njegovoj internetskoj platformi za trgovanje objave osjetljivi podaci protivno tim načelima, s obzirom na to da se tom obvezom upravo nastoje spriječiti takve povrede.
98
Kao drugo, kad je riječ o odgovoru na pitanje mora li operator internetske platforme za trgovanje, kao voditelj obrade zajedno s korisnikom oglašivačem u pogledu osjetljivih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj stranici, provjeriti prije objave identitet tog korisnika koji je oglašivač, valja podsjetiti na to da iz zajedničkog tumačenja članka 9. stavka 1. i članka 9. stavka 2. točke (a) OUZP‑a proizlazi da je objava takvih podataka zabranjena, osim ako je ispitanik dao svoju izričitu privolu za objavu predmetnih podataka na toj internetskoj platformi za trgovanje ili ako je ispunjena jedna od drugih iznimaka predviđenih u tom članku 9. stavku 2. točkama (b) do (j), što se, međutim, ne čini da je slučaj u ovom predmetu.
99
U tom pogledu, iako izričitu privolu u smislu članka 9. stavka 2. točke (a) OUZP‑a može predstavljati činjenica da oglas koji sadržava osjetljive podatke postavlja na internetsku platformu za trgovanje ispitanik, takva privola ne postoji kada tu obavijest postavlja treća osoba, osim ako ona može dokazati da je ispitanik dao izričitu privolu za objavu navedenog oglasa na predmetnoj internetskoj platformi za trgovanje. Stoga, kako bi se operator internetske platforme za trgovanje mogao uvjeriti da su poštovani zahtjevi predviđeni člankom 9. stavkom 2. točkom (a) OUZP‑a i biti u mogućnosti to dokazati, on je prije objave takvog oglasa dužan provjeriti je li korisnik koji se sprema postaviti taj oglas osoba čiji se osjetljivi podaci nalaze u tom oglasu, što pretpostavlja da pribavi identitet tog korisnika koji je oglašivač.
100
Usto, iz članka 13. stavka 1. točke (a) i članka 14. stavka 1. točke (a) OUZP‑a proizlazi da voditelji obrade osobnih podataka u svakom slučaju moraju ispitaniku dostaviti svoj identitet i kontaktne podatke.
101
Naposljetku, valja primijetiti da se člankom 26. OUZP‑a zajedničke voditelje iste obrade osobnih podataka obvezuje da transparentno odrede svoje odgovornosti za poštovanje obveza predviđenih tom uredbom. Međutim, takva odgovornost ne bi bila moguća ako bi jedan od voditelja te obrade mogao ostati anoniman u odnosu na drugoga.
102
Stoga iz prethodno navedenog proizlazi da operator internetske platforme za trgovanje, kao osoba koja je zajedno s korisnikom oglašivačem odgovorna za objavu osjetljivih podataka sadržanih u oglasu objavljenom na njegovoj internetskoj platformi za trgovanje, ima obvezu pribaviti identitet tog korisnika koji je oglašivač i provjeriti je li on osoba čiji se osjetljivi podaci nalaze u tom oglasu.
103
U tom pogledu, kao što je to u biti naveo nezavisni odvjetnik u točki 132. svojeg mišljenja, iz uvodne izjave 75. OUZP‑a proizlazi da, osobito u slučaju krađe identiteta, obrada osobnih podataka može dovesti do rizika za prava i slobode ispitanikâ koji bi zbog toga mogli biti spriječeni u obavljanju nadzora nad svojim osobnim podacima. Naime, govoreći općenito, identitet se krade s ciljem obavljanja prijevarnih radnji na štetu ispitanika ili treće osobe.
104
U tim okolnostima i uzimajući u obzir i razmatranja iz točaka 95. i 96. ove presude, kako bi se operator internetske platforme za trgovanje mogao uvjeriti u to da se osjetljivi podaci sadržani u oglasima obrađuju u skladu sa zahtjevima iz OUZP‑a i to dokazati, on u skladu s člancima 24. i 25. te uredbe mora predvidjeti odgovarajuće tehničke i organizacijske mjere koje mu omogućuju da prije objave tih oglasa ne samo pribavi nego i provjeri identitet korisnika koji je oglašivač, i to osobito kako bi mogao utvrditi je li on osoba čiji se osjetljivi podaci nalaze u navedenim oglasima. Takve mjere moraju osobito omogućiti, kao što je to istaknuo nezavisni odvjetnik u točki 134. svojeg mišljenja, ograničavanje rizika od nezakonite obrade osobnih podataka ispitanikâ i borbu protiv nepoštenog korištenja takvom internetskom platformom za trgovanje, ograničavanjem osjećaja nekažnjivosti i poticanjem korisnika koji su oglašivači da ispune zahtjeve iz OUZP‑a kada objavljuju oglase koji sadržavaju osobne podatke.
105
Naposljetku, što se tiče, kao treće, odgovora na pitanje mora li operator internetske platforme za trgovanje odbiti objavu oglasa koji sadržava osjetljive podatke ako se nakon takve provjere identiteta oglašivača koji se sprema postaviti taj oglas pokaže da on nije osoba čiji se osjetljivi podaci nalaze u navedenom oglasu, valja utvrditi da iz točaka 98. i 99. ove presude proizlazi da se u takvom slučaju ne može isključiti da bi se takvom objavom povrijedila zabrana obrade takvih podataka, predviđena člankom 9. stavkom 1. OUZP‑a. Stoga, osim ako taj korisnik koji je oglašivač može u dovoljnoj mjeri dokazati da je ispitanik dao svoju izričitu privolu za objavu predmetnih podataka na toj internetskoj platformi za trgovanje u smislu tog članka 9. stavka 2. točke (a) ili da je ispunjena jedna od drugih iznimaka predviđenih navedenim člankom 9. stavkom 2. točkama (b) do (j), operator te internetske platforme za trgovanje mora odbiti objavu predmetnog oglasa, što mora osigurati provedbom odgovarajućih tehničkih i organizacijskih mjera.
106
Uzimajući u obzir sva prethodna razmatranja, na drugo i treće pitanje valja odgovoriti tako da članak 5. stavak 2. i članke 24. do 26. OUZP‑a treba tumačiti na način da je operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. OUZP‑a, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan prije objave oglasa i posredstvom odgovarajućih tehničkih i organizacijskih mjera
–
identificirati oglase koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. OUZP‑a,
–
provjeriti je li korisnik koji je oglašivač koji se sprema postaviti takav oglas osoba čiji se osjetljivi podaci nalaze u tom oglasu i, ako to nije slučaj,
–
odbiti objavu predmetnog oglasa, osim ako taj korisnik koji je oglašivač može dokazati da je ispitanik dao svoju izričitu privolu za objavu predmetnih podataka na toj internetskoj platformi za trgovanje u smislu tog članka 9. stavka 2. točke (a) ili da je ispunjena jedna od drugih iznimaka predviđenih navedenim člankom 9. stavkom 2. točkama (b) do (j).
Četvrto pitanje
107
Četvrto se pitanje u biti odnosi na to je li operator internetske platforme za trgovanje, kao voditelj obrade, dužan provesti sigurnosne mjere kojima se sprečava ili ograničuje kopiranje i redistribucija oglasa koji sadržavaju osjetljive podatke objavljene na njegovoj internetskoj platformi za trgovanje.
108
U ovom slučaju iz zahtjeva za prethodnu odluku proizlazi, s jedne strane, da je neistinit i štetan oglas o kojem je riječ u glavnom postupku preuzet na drugim internetskim stranicama s reklamnim sadržajem, koje su ga objavile navodeći originalni izvor i, s druge strane, da društvo Russmedia u svojim općim uvjetima korištenja internetskom platformom za trgovanje zadržava pravo, među ostalim, na prijenos sadržaja oglasa koji su na toj internetskoj platformi za trgovanje objavljeni kao i pravo na njihovo ustupanje partnerima. U tom pogledu, sud koji je uputio zahtjev ne pojašnjava je li društvo Russmedia dobrovoljno prenijelo taj oglas drugim internetskim stranicama ili je te objave barem dopustilo ugovorima ili pak, naprotiv, navedene objave proizlaze iz kopiranja izvornog oglasa koje društvo Russmedia nije odobrilo.
109
Ako se pokaže da je točan prvi dio navedenih alternativa, taj bi prijenos predstavljao novu obradu osobnih podataka za koju je odgovorno društvo Russmedia u smislu članka 4. točke 7. OUZP‑a. Tu bi obradu trebalo razlikovati od objave neistinitog i štetnog oglasa o kojem je riječ u glavnom postupku koju je korisnik oglašivač proveo na internetskoj platformi za trgovanje tog društva.
110
Naime, valja razlikovati različite obrade osobnih podataka koje su dio istog lanca operacija kako bi se uzela u obzir nužnost pojedinačne ocjene razine odgovornosti koja se može pripisati svakoj osobi koju se može kvalificirati kao voditelja obrade osobnih podataka. To proizlazi iz činjenice da fizička ili pravna osoba mora samostalno odgovarati definiciji „voditelja obrade” iz članka 4. točke 7. OUZP‑a kako bi je se moglo smatrati zajedničkim voditeljem obrade (presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 41. i navedena sudska praksa).
111
Iz toga slijedi da ako se naknadni prijenos osobnih podataka obavlja u okviru ugovorâ o širenju između operatora internetske platforme za trgovanje, na kojem su prvotno objavljeni predmetni osobni podaci, i operatora drugih internetskih stranica, taj je prvi operator u načelu jedini voditelj obrade koju čini taj prijenos. U svakom slučaju, svaki voditelj obrade dužan je, samostalno ili zajednički, poštovati sve obveze koje proizlaze iz OUZP‑a.
112
Nakon tih pojašnjenja, četvrto pitanje valja shvatiti na način da se odnosi na slučaj u kojem društvo Russmedia nije prenijelo drugim internetskim stranicama s reklamnim sadržajem neistinit i štetan oglas o kojem je riječ u glavnom postupku te stoga nije odobrilo te naknadne objave.
113
K tome također valja primijetiti da se to pitanje u biti odnosi na doseg obveze sigurnosti koju voditelj obrade osobnih podataka mora poštovati. Doista, poseban predmet članka 32. OUZP‑a jest sigurnost obrade. Njime se konkretizira i pojašnjava poseban aspekt zahtjevâ iz članka 24. te uredbe, kojim se općenito definira, zajedno s člankom 5. stavkom 2. navedene uredbe, odgovornost voditelja obrade.
114
U tim okolnostima valja smatrati da svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 32. OUZP‑a tumačiti na način da je operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan provesti sigurnosne mjere kojima se sprečava kopiranje i nezakonito objavljivanje na drugim internetskim stranicama oglasa koji su objavljeni na toj internetskoj platformi za trgovanje i koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe.
115
Člankom 32. stavkom 1. OUZP‑a propisuje se da uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik.
116
Člankom 32. stavkom 2. OUZP‑a propisuje se da se prilikom procjene odgovarajuće razine sigurnosti u obzir posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima.
117
Sud je presudio da upućivanje u članku 32. stavcima 1. i 2. OUZP‑a na „odgovarajuću razinu sigurnosti s obzirom na rizik” i na „odgovarajuć[u] razin[u] sigurnosti” svjedoči o tome da se tom uredbom uvodi sustav upravljanja rizicima i da se njome ni na koji način ne nastoji ukloniti rizike od povreda osobnih podataka (presuda od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 29.).
118
Tako iz teksta članka 32. OUZP‑a, u vezi s njegovim člankom 24., proizlazi da se tim člankom 32. voditelju obrade samo nalaže donošenje tehničkih i organizacijskih mjera čiji je cilj izbjegavanje u najvećoj mogućoj mjeri bilo kakve povrede osobnih podataka. To jesu li takve mjere odgovarajuće treba procijeniti konkretno, ispitivanjem toga je li taj voditelj proveo te mjere uzimajući u obzir različite kriterije sadržane u tim člancima i potrebe zaštite podataka koje su posebno svojstvene obradi o kojoj je riječ te njome prouzročene rizike (vidjeti u tom smislu presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 30.).
119
U tom pogledu, kako bi se utvrdio konkretan rizik koji predstavlja predmetna obrada, valja uzeti u obzir eventualnu osjetljivost obrađenih osobnih podataka. Naime, kao što je to navedeno u točkama 51. i 90. ove presude, pojačana zaštita, predviđena člankom 9. stavkom 1. OUZP‑a za određene kategorije podataka, zbog njihove posebne osjetljivosti, proizlazi iz činjenice da obrada takvih podataka može predstavljati osobito ozbiljno zadiranje u temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka, zajamčena člancima 7. i 8. Povelje (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 41. i navedenu sudsku praksu).
120
Imajući navedeno u vidu, nakon što je oglas koji sadržava osobne podatke objavljen na internetu te je tako već globalno dostupan, širenje tih podataka podrazumijeva, među ostalim, rizik od gubitka nadzora nad dotičnim osobnim podacima koji, u slučaju kada se ostvari, oduzima svaki koristan učinak pravima i jamstvima koja su OUZP‑om predviđena u korist ispitanika, među kojima se ponajprije ističe pravo na brisanje predviđeno u članku 17. te uredbe.
121
Stoga, ako se osjetljivi podaci objavljuju na internetu, voditelj obrade dužan je, na temelju članka 32. OUZP‑a, poduzeti sve tehničke i organizacijske mjere kako bi osigurao razinu sigurnosti kojom se može učinkovito spriječiti gubitak nadzora nad tim podacima.
122
U tom smislu voditelj obrade mora predvidjeti, među ostalim, sve tehničke mjere koje su dostupne uzimajući u obzir najnovija dostignuća kojima se može onemogućiti kopiranje i reproduciranje sadržaja na internetu.
123
Međutim, valja još pojasniti da se članci 24. i 32. OUZP‑a ne mogu shvatiti na način da je nezakonito širenje osobnih podataka koji su prvotno objavljeni na internetu dovoljno za zaključak da mjere koje je usvojio dotični voditelj obrade nisu bile odgovarajuće u smislu tih odredbi, a da mu se pritom čak ne omogući podnošenje dokaza o protivnom (presuda od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 31.).
124
U ovom slučaju iz odluke kojom se upućuju prethodna pitanja proizlazi da je neistinit i štetan oglas o kojem je riječ u glavnom postupku, unatoč njegovu brisanju s internetske platforme za trgovanje društva Russmedia, i dalje dostupan na internetu na drugim internetskim stranicama a da žaliteljica iz glavnog postupka izgleda ne može ishoditi njegovo brisanje.
125
Doista, očito je da taj gubitak nadzora proizlazi iz prvotne nezakonite objave neistinitog i štetnog oglasa o kojem je riječ u glavnom postupku, čime su povrijeđeni zahtjevi predviđeni OUZP‑om. U svakom slučaju, društvo Russmedia bilo je dužno provesti odgovarajuće tehničke i organizacijske mjere kako bi zajamčilo odgovarajuću razinu sigurnosti s obzirom na rizik, na temelju članka 32. OUZP‑a, i u najvećoj mogućoj mjeri blokirati svako kopiranje tog oglasa. Na sudu koji je uputio zahtjev je da provjeri je li to bio slučaj.
126
Uzimajući u obzir sva prethodna razmatranja, na četvrto pitanje valja odgovoriti tako da članak 32. OUZP‑a treba tumačiti na način da je operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan provesti odgovarajuće tehničke i organizacijske sigurnosne mjere kako bi spriječio kopiranje i nezakonito objavljivanje na drugim internetskim stranicama oglasa koji su objavljeni na toj internetskoj platformi za trgovanje i koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe.
Prvo pitanje, koje se odnosi na tumačenje Direktive 2000/31
127
Kao što je to istaknuto u točkama 45. i 46. ove presude, sud koji je uputio zahtjev još želi doznati može li se operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. OUZP‑a, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, pozivati u pogledu povrede obveza koje proizlaze iz članka 5. stavka 2. i članaka 24. do 26. i 32. te uredbe, a koje su utvrđene u točkama 106. i 126. ove presude, na članke 12. do 15. Direktive 2000/31 koji se odnose na odgovornost posrednih davatelja usluga.
128
Stoga se postavlja pitanje odnosa između tih dvaju instrumenata prava Unije. Konkretno, valja utvrditi mogu li članci 12. do 15. Direktive 2000/31 utjecati na sustav odgovornosti predviđen OUZP‑om.
129
U tom pogledu valja istaknuti, s jedne strane, da se člankom 1. stavkom 5. točkom (b) Direktive 2000/31 pojašnjava da se ta direktiva ne primjenjuje na pitanja koja se odnose na usluge informacijskog društva obuhvaćene direktivama 95/46 i 97/66.
130
Sud je tu odredbu protumačio na način da se pitanja povezana sa zaštitom povjerljivosti komunikacija i osobnih podataka moraju ocjenjivati s obzirom na OUZP i Direktivu 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.; SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), s obzirom na to da su oni zamijenili Direktivu 95/46 odnosno Direktivu 97/66, pri čemu valja pojasniti da zaštita koja se nastoji osigurati Direktivom 2000/31 ni u kojem slučaju ne može negativno utjecati na zahtjeve koji proizlaze iz OUZP‑a i Direktive 2002/58 (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 200. i navedena sudska praksa).
131
Iz toga osobito proizlazi da eventualno pravo na oslobođenje predviđeno člankom 14. stavkom 1. Direktive 2000/31, na koje bi se operator internetske platforme za trgovanje mogao pozvati u pogledu informacija smještenih na njegovoj internetskoj stranici, ne može utjecati na sustav OUZP‑a koji se primjenjuje na takvog operatora kao i na svakog drugog operatora koji je obuhvaćen područjem primjene te uredbe.
132
Isto vrijedi i za članak 15. Direktive 2000/31, na temelju kojeg države članice ne mogu davateljima usluga uvesti opću obvezu praćenja pri pružanju usluga iz, među ostalim, članka 14. navedene direktive. Osim toga, obveza operatora internetske platforme za trgovanje da ispuni zahtjeve koji proizlaze iz OUZP‑a ni u kojem se slučaju ne može kvalificirati kao takva opća obveza praćenja.
133
S druge strane, člankom 2. stavkom 4. OUZP‑a propisuje se da se tom uredbom ne dovodi u pitanje primjena Direktive 2000/31, osobito pravilâ o odgovornosti posrednih davatelja usluga iz članaka 12. do 15. te direktive.
134
Taj članak 2. stavak 4. treba shvatiti na način da činjenica da je operator nositelj obveza predviđenih OUZP‑om ne isključuje automatski mogućnost tog operatora da se poziva na članke 12. do 15. Direktive 2000/31 u pogledu pitanja različitih od onih koja se odnose na zaštitu osobnih podataka.
135
Stoga iz zajedničkog tumačenja članka 1. stavka 5. točke (b) Direktive 2000/31 i članka 2. stavka 4. OUZP‑a proizlazi da odredbe te direktive, osobito njezini članci 12. do 15., ne mogu utjecati na sustav te uredbe.
136
S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti tako da članak 1. stavak 5. točku (b) Direktive 2000/31 i članak 2. stavak 4. OUZP‑a treba tumačiti na način da se operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. OUZP‑a, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, ne može pozivati u pogledu povrede obveza koje proizlaze iz članka 5. stavka 2. i članaka 24. do 26. i 32. te uredbe na članke 12. do 15. te direktive koji se odnose na odgovornost posrednih davatelja usluga.
Troškovi
137
Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (veliko vijeće) odlučuje:
1.
Članak 5. stavak 2. i članke 24. do 26. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti osobnih podataka)
treba tumačiti na način da je:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan prije objave oglasa i posredstvom odgovarajućih tehničkih i organizacijskih mjera
–
identificirati oglase koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe,
–
provjeriti je li korisnik koji je oglašivač koji se sprema postaviti takav oglas osoba čiji se osjetljivi podaci nalaze u tom oglasu i, ako to nije slučaj,
–
odbiti objavu predmetnog oglasa, osim ako taj korisnik koji je oglašivač može dokazati da je ispitanik dao svoju izričitu privolu za objavu predmetnih podataka na toj internetskoj platformi za trgovanje u smislu tog članka 9. stavka 2. točke (a) ili da je ispunjena jedna od drugih iznimaka predviđenih navedenim člankom 9. stavkom 2. točkama (b) do (j).
2.
Članak 32. Uredbe 2016/679
treba tumačiti na način da je:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan provesti odgovarajuće tehničke i organizacijske sigurnosne mjere kako bi spriječio kopiranje i nezakonito objavljivanje na drugim internetskim stranicama oglasa koji su objavljeni na toj internetskoj platformi za trgovanje i koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe.
3.
Članak 1. stavak 5. točku (b) Direktive 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini) i članak 2. stavak 4. Uredbe 2016/679
treba tumačiti na način da se:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. Uredbe 2016/679, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, ne može pozivati u pogledu povrede obveza koje proizlaze iz članka 5. stavka 2. i članaka 24. do 26. i 32. te uredbe na članke 12. do 15. te direktive koji se odnose na odgovornost posrednih davatelja usluga.
Potpisi
(
*1
)	Jezik postupka: rumunjski