62023CJ0492
A BÍRÓSÁG ÍTÉLETE (nagytanács)
2025. december 2. (
*1
)
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A 4. cikk 7. pontja – Az »adatkezelő« fogalma – Egy online piactér üzemeltetőjének a hirdető-felhasználók által az online piacterén elhelyezett hirdetésekben szereplő személyes adatok közzétételéért fennálló felelőssége – Az 5. cikk (2) bekezdése – Az elszámoltathatóság elve – 26. cikk – Az ezen hirdető-felhasználókkal fennálló közös adatkezelés – A 9. cikk (1) bekezdése és (2) bekezdésének a) pontja – Különleges adatokat tartalmazó hirdetések – Az adatkezelés jogszerűsége – Hozzájárulás – 24., 25. és 32. cikk – Az adatkezelő kötelezettségei – Az ilyen adatokat tartalmazó hirdetések előzetes azonosítása – A hirdető-felhasználó személyazonosságának előzetes ellenőrzése – A jogellenes hirdetések közzétételének megtagadása – A hirdetések másolásának és más weboldalakon való közzétételének megakadályozására irányuló biztonsági intézkedések – Elektronikus kereskedelem – 2000/31/EK irányelv – 12–15. cikk – Az ilyen üzemeltető arra vonatkozó lehetősége, hogy e kötelezettségek megsértése esetén az információs társadalommal összefüggő szolgáltatások közvetítő szolgáltatójának felelősség alóli mentességére hivatkozzon”
A C‑492/23. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Curtea de Apel Cluj (kolozsvári ítélőtábla, Románia) a Bírósághoz 2023. augusztus 3‑án érkezett, 2023. június 15‑i határozatával terjesztett elő az
X
és
a Russmedia Digital SRL,
az Inform Media Press SRL
között folyamatban lévő eljárásban,
A BÍRÓSÁG (nagytanács),
tagjai: K. Lenaerts elnök, T. von Danwitz elnökhelyettes, F. Biltgen, K. Jürimäe (előadó), C. Lycourgos, I. Jarukaitis, L. Arastey Sahún, I. Ziemele, M. J. Passer tanácselnökök, S. Rodin, E. Regan, N. Jääskinen és D. Gratsias bírák,
főtanácsnok: M. Szpunar,
hivatalvezető: R. Şereş tanácsos,
tekintettel az írásbeli szakaszra és a 2024. július 2‑i tárgyalásra,
figyelembe véve a következő által előterjesztett észrevételeket:
–
X képviseletében I. Kis avocată,
–
a román kormány képviseletében E. Gane, L. Ghiţă és R. I. Haţieganu, meghatalmazotti minőségben,
–
az Európai Bizottság képviseletében L. Armati, H. Kranenborg, P.‑J. Loewenthal és L. Nicolae, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2025. február 6‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1
Az előzetes döntéshozatal iránti kérelem a belső piacon az információs társadalommal összefüggő szolgáltatások, különösen az elektronikus kereskedelem egyes jogi vonatkozásairól szóló, 2000. június 8‑i 2000/31/EK európai parlamenti és tanácsi irányelv (Elektronikus kereskedelemről szóló irányelv) (HL 2000. L 178., 1. o.; magyar nyelvű különkiadás 13. fejezet, 25. kötet, 399. o.) 12–15. cikkének, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 2. cikke (4) bekezdésének, 4. cikke 7. és 11. pontjának, 5. cikke (1) bekezdése b) és f) pontjának, 6. cikke (1) bekezdésének a) pontjának, valamint 7., 24. és 25. cikkének értelmezésére irányul.
2
E kérelmet egy természetes személy, X, valamint a Russmedia Digital SRL és az Inform Media Press SRL (a továbbiakban együtt: Russmedia) között az alapeljárás felperesét a személyes adatainak jogellenes kezelése, valamint a képmáshoz, a becsülethez és a magánélethez való jogának megsértése miatt ért nem vagyoni kár megtérítése iránti kereset tárgyában folyamatban lévő jogvita keretében terjesztették elő.
A jogi háttér
Az uniós jog
A 2000/31 irányelv
3
A 2000/31 irányelv (14), (42), (46) és (52) preambulumbekezdése értelmében:
„(14)
A személyesadat‑kezelés vonatkozásában a természetes személyek védelmét kizárólag a személyes adatok kezelése vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv [(HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.)], valamint a távközlési ágazatban a személyes adatok kezeléséről és a magánélet védelméről szóló, 1997. december 15‑i 97/66/EK európai parlamenti és tanácsi irányelv [(HL 1998. L 24., 1. o.)] szabályozza, amelyek teljes egészében alkalmazandóak az információs társadalommal összefüggő szolgáltatásokra. […] Ezen irányelv végrehajtása és alkalmazása során teljes mértékben a személyes adatok védelmére vonatkozó elvekkel összhangban kell eljárni, különösen a nem kívánt kereskedelmi tájékoztatás és a közvetítő szolgáltatók felelőssége tekintetében. Ez az irányelv nem akadályozhatja az olyan nyílt hálózatok, mint például az Internet, anonim használatát.
[…]
(42)
Az ebben az irányelvben megállapított, felelősség alóli mentességek csak azokra az esetekre vonatkoznak, amelyekben az információs társadalommal összefüggő szolgáltatást nyújtó tevékenysége olyan hírközlő hálózat működtetésének és az ahhoz való hozzáférés biztosításának technikai folyamatára korlátozódik, amely hálózaton keresztül harmadik személyek által rendelkezésre bocsátott adatokat továbbítanak és ideiglenesen tárolnak, a továbbítás hatékonyabbá tételének kizárólagos céljával. Ez a tevékenység pusztán technikai, automatikus és passzív jellegű, ami azt is jelenti, hogy az információs társadalommal összefüggő szolgáltatást nyújtónak sem tudomása nincs a továbbított, illetve tárolt adatról, se nem kezeli azt az adatot.
[…]
(46)
Ahhoz, hogy az információs társadalommal összefüggő, adattárolásból álló szolgáltatás nyújtójának felelőssége korlátozott legyen, e szolgáltatónak, amint valamely jogellenes tevékenységről ténylegesen tudomást szerez, haladéktalanul intézkednie kell az adat eltávolítása, illetve az ahhoz való hozzáférés megszüntetése iránt. Az eltávolítást, illetve a hozzáférés megszüntetését a véleménynyilvánítás szabadsága elvének és az e célból nemzeti szinten megállapított eljárásoknak a figyelembevételével kell elvégezni. Ez az irányelv nem érinti a tagállamok lehetőségét arra, hogy olyan különös követelményeket állapítsanak meg, amelyeknek az adat eltávolítását, illetve az ahhoz való hozzáférés megszüntetését megelőzően haladéktalanul meg kell felelni.
[…]
(52)
[…] Azokra a károkra, amelyek az információs társadalommal összefüggő szolgáltatásokkal kapcsolatban felmerülhetnek, mind gyorsaságuk, mind földrajzi kiterjedésük jellemző. Tekintettel erre a sajátosságra és tekintettel annak szükségességére, hogy a nemzeti hatóságok ne veszélyeztessék az egymás iránti kölcsönös bizalom szükséges meglétét, ez az irányelv megkívánja a tagállamoktól, hogy gondoskodjanak megfelelő bírósági eljárások rendelkezésre állásáról. […]”
4
A 2000/31 irányelvnek „Az irányelv célja és alkalmazási köre” című 1. cikke a következőképpen rendelkezik:
„(1)   Ez az irányelv a belső piac megfelelő működéséhez kíván hozzájárulni az információs társadalommal összefüggő szolgáltatások tagállamok közötti szabad mozgásának biztosítása által.
[…]
(5)   Ez az irányelv nem alkalmazható:
[…]
b) az információs társadalommal összefüggő szolgáltatásokkal kapcsolatos, a [95/46] és a [97/66] irányelvben szabályozott kérdésekre;
[…]”
5
A 2000/31 irányelv II. fejezetének „A közvetítő szolgáltatók felelőssége” című 4. szakaszának az alapügyre alkalmazandó változata tartalmazta ezen irányelv 12–15. cikkét. Az irányelv 12. és 13. cikke a címüknek megfelelően az „[e]gyszerű továbbításra” és a „[g]yorsítótárolóban történő rögzítésre (caching)” vonatkozott.
6
Az említett irányelv „Tárhelyszolgáltatás” című 14. cikke a következőket írja elő:
„(1)   Ha az információs társadalommal összefüggő olyan szolgáltatásról van szó, amely a szolgáltatás igénybe vevője által küldött információ tárolásából áll, a tagállamok biztosítják, hogy a szolgáltatót ne terhelje felelősség a szolgáltatás igénybe vevőjének kérésére tárolt információért, azzal a feltétellel, hogy:
a)
a szolgáltatónak nincsen tényleges tudomása jogellenes tevékenységről vagy információról, és – ami a kárigényeket illeti – nincsen tudomása olyan tényekről vagy körülményekről, amelyek nyilvánvalóan jogellenes tevékenységre vagy információra utalnának;
vagy
b)
a szolgáltató, amint ilyenről tudomást szerzett, haladéktalanul intézkedik az információ eltávolításáról vagy az ahhoz való hozzáférés megszüntetéséről.
(2)   Az (1) bekezdés nem alkalmazható arra az esetre, ha a szolgáltatás igénybe vevője a szolgáltató irányítása alatt vagy ellenőrzése mellett jár el.
(3)   Ez a cikk nem érinti a bíróságok vagy közigazgatási hatóságok arra vonatkozó lehetőségét, hogy a tagállamok jogrendszereivel összhangban a szolgáltatót a jogsértés megszüntetésére vagy megelőzésére kötelezzék, nem érinti továbbá a tagállamoknak azt a lehetőségét sem, hogy eljárásokat alakítsanak ki az információ eltávolításának vagy a hozzáférés megszüntetésének szabályozására.”
7
Ugyanezen irányelv „Az általános nyomon követési kötelezettség hiánya” című 15. cikkének (1) és (2) bekezdése a következőket írta elő:
„(1)   A tagállamok nem állapítanak meg a szolgáltatókat terhelő olyan általános kötelezettséget, amely szerint a 12., 13. és 14. cikk hatálya alá tartozó szolgáltatások nyújtása során az általuk továbbított vagy tárolt információkat nyomon kellene követniük, sem olyan általános kötelezettséget, amely szerint jogellenes tevékenységre utaló tényeket vagy körülményeket kellene kivizsgálniuk.
(2)   A tagállamok az információs társadalommal összefüggő szolgáltatások nyújtói számára megállapíthatnak olyan kötelezettségeket, amelyek szerint azonnal tájékoztatniuk kell az illetékes közigazgatási hatóságokat a szolgáltatásuk igénybe vevői által folytatott, jogellenesnek vélt tevékenységekről vagy nyújtott információkról, illetve olyan kötelezettségeket, amelyek szerint az illetékes hatóságokkal, azok kérésére, közölniük kell azokat az adatokat, amelyek lehetővé teszik szolgáltatásuk olyan igénybe vevőinek azonosítását, akikkel, illetve amelyekkel adattárolási megállapodásaik vannak.”
A GDPR
8
A GDPR (4), (10), (39), (51), (74), (75), (78) és (85) preambulumbekezdése értelmében:
„(4)
A személyes adatok kezelését az emberiség szolgálatába kell állítani. A személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja [az Európai Unió Alapjogi Chartájában (a továbbiakban: Charta)] elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán‑ és a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához és a személyes adatok védelméhez, a gondolat‑, a lelkiismeret‑ és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogot illeti.
[…]
(10)
A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok [Európai] Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. […]
[…]
(39)
A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. […]
[…]
(51)
Az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. […] Az ilyen adatok nem kezelhetők, kivéve, ha az adatkezelés az e rendeletben meghatározott egyedi esetekben megengedett […] Az ilyen adatkezelésre vonatkozó konkrét előírásokon kívül e rendelet általános elveit és egyéb szabályait kell alkalmazni, különösen a jogszerű adatkezelés feltételei tekintetében. A személyes adatok ilyen különleges kategóriáinak kezelésére vonatkozó általános tilalomtól való eltérésről kifejezetten rendelkezni kell, ideértve, ha az érintett egyértelmű hozzájárulását adja, vagy bizonyos sajátos adatkezelési szükségletekre tekintettel, különösen, ha az adatkezelést jogszerű tevékenységük keretében olyan egyesületek vagy alapítványok végzik, amelyek célja az alapvető szabadságok gyakorlásának lehetővé tétele.
[…]
(74)
A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.
(75)
A természetes személyek jogait és szabadságait érintő – változó valószínűségű és súlyosságú – kockázatok származhatnak a személyes adatok kezeléséből, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek, különösen, ha az adatkezelésből […] személyazonosság‑lopás vagy személyazonossággal való visszaélés, […] a jó hírnév sérelme […] fakadhat; vagy ha az érintettek nem gyakorolhatják jogaikat és szabadságaikat, vagy nem rendelkezhetnek saját személyes adataik felett; […]
[…]
(78)
A természetes személyeket személyes adataik kezelése tekintetében megillető jogok és szabadságok védelme megköveteli az e rendelet követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát. Ahhoz, hogy az adatkezelő igazolni tudja az e rendeletnek való megfelelést, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek teljesítik különösen a beépített és az alapértelmezett adatvédelem elveit. […]
[…]
(85)
Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság‑lopást vagy a személyazonossággal való visszaélést, […] a jó hírnév sérelmét […]”
9
E rendelet „Tárgy” című 1. cikkének (2) bekezdése az alábbiak szerint rendelkezik:
„Ez a rendelet a természetes személyek alapvető jogait és szabadságait és különösen a személyes adatok védelméhez való jogukat védi.”
10
Az említett rendelet „Tárgyi hatály” című 2. cikkének (4) bekezdése a következőképpen rendelkezik:
„E rendelet nem érinti a [2000/31] irányelv alkalmazását, különösen az irányelv 12–15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat.”
11
Ugyanezen rendelet „Fogalommeghatározások” című 4. cikkének a szövege a következő:
„E rendelet alkalmazásában:
1.
»személyes adat«: azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
2.
»adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közléstovábbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
[…]
7.
„adatkezelő” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
[…]
11.
»az érintett hozzájárulása«: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
[…]”
12
A GDPR „Elvek” című II. fejezete tartalmazza e rendelet 5–9. cikkét.
13
E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:
„(1)   A személyes adatok:
a)
kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b)
gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; […] (»célhoz kötöttség«);
[…]
d)
pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék (»pontosság«);
[…]
f)
kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve (»integritás és bizalmas jelleg«).
(2)   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«)”.
14
Az említett rendelet „Az adatkezelés jogszerűsége” című 6. cikkének (1) bekezdése a következőket írja elő:
„A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a)
az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b)
az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c)
az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d)
az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e)
az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f)
az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.”
15
Ugyanezen rendelet „A hozzájárulás feltételei” című 7. cikkének (1) bekezdése az alábbiak szerint rendelkezik:
„Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.”
16
A GDPR „A személyes adatok különleges kategóriáinak kezelése” című 9. cikke a következőképpen rendelkezik:
„(1)   A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
a)
az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;
[…]”
17
E rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 13. cikke (1) bekezdésének a) pontja a következőket írja elő:
„Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a)
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei”.
18
Az általános adatvédelmi rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg” című 14. cikke (1) bekezdésének a) pontja a következőképpen rendelkezik:
„Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:
a)
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei”.
19
Ugyanezen rendeletnek „Az érintett jogai” című III. fejezetében foglalt, „A törléshez való jog (»Az elfeledtetéshez való jog«)” című 17. cikkének (1) és (2) bekezdése a következőket írja elő:
„(1)   Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
[…]
d) a személyes adatokat jogellenesen kezelték;
[…]
(2)   Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.”
20
A GDPR‑nak „Az adatkezelő és az adatfeldolgozó” című IV. fejezetének az „Általános kötelezettségek” című 1. szakasza tartalmazza többek között a 24–26. cikket.
21
E rendelet „Az adatkezelő feladatai” című 24. cikkének (1) bekezdése az alábbiak szerint rendelkezik:
„Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.”
22
Ugyanezen rendelet „Beépített és alapértelmezett adatvédelem” című 25. cikkének (1) és (2) bekezdése a következőket írja elő:
„(1)   Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.
(2)   Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.”
23
Ugyanezen rendelet „Közös adatkezelők” című 26. cikkének (1) bekezdése az alábbiak szerint rendelkezik:
„Ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni.”
24
A GDPR‑nak „Az adatkezelés biztonsága” című 32. cikke értelmében:
„(1)   „Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:
a)
a személyes adatok álnevesítését és titkosítását;
b)
a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;
c)
fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
d)
az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.
(2)   A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
(3)   Az adatkezelő, illetve az adatfeldolgozó 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozását felhasználhatja annak bizonyítása részeként, hogy az e cikk (1) bekezdésében meghatározott követelményeket teljesíti.
(4)   Az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.”
25
E rendelet „A kártérítéshez való jog és a felelősség” című 82. cikkének (1)–(3) bekezdése az alábbiak szerint rendelkezik:
„(1)   Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.
(2)   Az adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott. Az adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be az e rendeletben meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el.
(3)   Az adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.”
26
Ugyanezen rendelet 94. cikke a következőképpen rendelkezik:
„(1)   A [95/46] irányelv 2018. május 25‑i hatállyal hatályát veszti.
(2)   A hatályon kívül helyezett irányelvre történő hivatkozásokat az e rendeletre történő hivatkozásnak kell tekinteni. […]”
A román jog
27
A 2006. május 4‑i Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény módosításáról és kiegészítéséről szóló 121/2006. sz. törvény; Monitorul Oficial al României, I. rész, 2006. május 10‑i 403. szám) által módosított, 2002. június 7‑i Legea nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény; Monitorul Oficial al României, I. rész, 2002. július 5‑i 483. szám; a továbbiakban: 365/2002. sz. törvény) 11. cikke a következőket írja elő:
„(1)   E törvény eltérő rendelkezése hiányában a szolgáltatókra vonatkoznak a polgári jogi, büntetőjogi és szabálysértési jogi rendelkezések.
(2)   A szolgáltatók felelősek az általuk vagy a nevükben szolgáltatott információkért.
(3)   A szolgáltatók nem felelősek a 12–15. cikkben foglalt feltételek szerint továbbított, tárolt vagy általuk hozzáférhetővé tett információkért.”
28
A 365/2002 törvénynek a „Tartós információtárolás, tárhelyszolgáltatás” című 14. cikke a következőképpen rendelkezik:
„(1)   Ha az információs társadalommal összefüggő szolgáltatás az adott szolgáltatás igénybe vevője által szolgáltatott információ tárolásából áll, a szolgáltatót nem terheli felelősség a szolgáltatás igénybe vevőjének kérésére tárolt információért, azzal a feltétellel, hogy
a)
a szolgáltatónak nincs tudomása arról, hogy a tevékenység vagy a tárolt információ jogellenes, és – ami a kárigényeket illeti – nincsen tudomása arra utaló tényekről vagy körülményekről, hogy a szóban forgó tevékenység vagy információ harmadik személy jogait sértheti;
b)
a szolgáltató, amint tudomást szerzett arról, hogy a szóban forgó tevékenység vagy információ jogellenes, illetve arra utaló tényről vagy körülményről, hogy a szóban forgó tevékenység vagy információ hátrányosan érintheti harmadik személy jogait, haladéktalanul intézkedik az információ eltávolításáról vagy az ahhoz való hozzáférés megszüntetéséről.
(2)   Az (1) bekezdés nem alkalmazható arra az esetre, ha a szolgáltatás igénybe vevője a szolgáltató irányítása alatt vagy ellenőrzése mellett jár el.
(3)   E cikk rendelkezései nem érintik a bíróságok vagy közigazgatási hatóságok arra vonatkozó lehetőségét, hogy a szolgáltatót az adatokat érintő jogsértés megszüntetésére vagy megelőzésére kötelezzék, illetve azon lehetőséget, hogy az információkhoz való hozzáférés korlátozására vagy megszakítására irányuló közigazgatási eljárások kerüljenek kialakításra.”
29
A Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény végrehajtási szabályainak jóváhagyásáról szóló, 2002. november 20‑i 1.308. sz. kormányhatározat) által jóváhagyott Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény végrehajtási szabályai; Monitorul Oficial al României, I. rész, 2002. december 5‑i 877. szám) 11. cikkének (1) bekezdése a következőképpen rendelkezik:
„Az információs társadalommal összefüggő szolgáltatást nyújtó olyan szolgáltatók, amelyek az [a 365/2002. sz.] törvény 12–15. cikkében említett szolgáltatásokat kínálják, nem kötelesek ellenőrizni az általuk továbbított vagy tárolt információkat, és nem kötelesek aktívan keresni az általuk nyújtott, információs társadalommal összefüggő szolgáltatások területén jogellenesnek tűnő tevékenységekre vagy információkra vonatkozó adatokat”.
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
30
A román jog szerint létrehozott Russmedia Digital társaság tulajdonosa a www.publi24.ro internetes oldalnak, amely egy olyan online piactér, amelyen többek között áruk értékesítésére vagy szolgáltatások nyújtására vonatkozó hirdetések ingyenesen vagy ellenérték fejében közzétehetők.
31
Az alapeljárás felperese arra hivatkozik, hogy 2018. augusztus 1‑jén egy nem azonosított harmadik személy őt szexuális szolgáltatásokat nyújtóként feltüntető, hamis tartalmú, sértő hirdetést tett közzé ezen az internetes oldalon. A hirdetésben szerepeltek többek között az alapeljárás felperesének a hozzájárulása nélkül felhasznált fényképei és a telefonszáma is. Ezt a hirdetést ezt követően változatlan formában más, reklámtartalmú internetes oldalakon is átvették, ahol azt az eredeti forrás feltüntetésével tették közzé. Az alapeljárás felperesének megkeresésére a Russmedia Digital a kérés kézhezvételét követően kevesebb mint egy órán belül eltávolította a hirdetést a honlapjáról. A hirdetés azonban továbbra is elérhető maradt más internetes oldalakon, amelyek azt átvették.
32
Az alapeljárás felperese, mivel úgy ítélte meg, hogy az alapügyben szóban forgó hirdetés sérti a képmáshoz, a becsülethez, a jóhírnévhez és a magánélethez való jogát, valamint a személyes adatok kezelésére vonatkozó szabályokat, keresetet indított a Russmediával szemben a Judecătoria Cluj‑Napoca (kolozsvári helyi bíróság, Románia) előtt. Ez a bíróság arra kötelezte a Russmediát, hogy fizessen az alapeljárás felperese számára 7000 euró összegű kártérítést a képmáshoz, a becsülethez, a jóhírnévhez és a magánélethez való jogának megsértésével, valamint a személyes adatainak jogellenes kezelésével okozott nem vagyoni kár címén.
33
A Russmedia fellebbezést nyújtott be ezen ítélet ellen. A Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék, Románia) helyt adott a fellebbezésnek, és megállapította, hogy az alapeljárás felperesének keresete nem megalapozott, mivel az alapügyben szóban forgó hirdetés nem a Russmediától származott, amely a hirdetés tekintetében csak tárhelyszolgáltatást nyújtott, és annak tartalmát illetően nem működött közre tevékenyen. Következésképpen a 365/2002. sz. törvény 14. cikke (1) bekezdésének b) pontjában előírt felelősség alóli mentesség alkalmazandó rá. A személyes adatok kezelését illetően e bíróság úgy ítélte meg, hogy az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltató nem köteles az általa továbbított információkat ellenőrizni és nem köteles aktívan rákeresni a láthatólag jogellenes tevékenységekre vagy információkra vonatkozó adatokra. E tekintetben úgy ítélte meg, hogy nem róható fel a Russmediának, hogy nem tett intézkedéseket az alapügyben szóban forgó rágalmazó hirdetés online terjesztésének megakadályozására, mivel az alapeljárás felperesének kérésére gyorsan törölte ezt a hirdetést.
34
Ez utóbbi felülvizsgálati kérelmet nyújtott be ezen ítélettel szemben a Curtea de Apel Clujhoz (kolozsvári ítélőtábla, Románia), mivel úgy vélte, hogy a Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék) a 365/2002. sz. törvény téves értelmezésére támaszkodott. Az alapeljárás felperese többek között arra hivatkozik, hogy mivel ez a törvény a GDPR‑hoz képest nem minősül különös jognak, e bíróságnak meg kellett volna vizsgálnia e rendelet jelen ügyben való alkalmazhatóságát. A Russmedia szerepe továbbá nem korlátozódott arra, hogy az ügyfelek rendelkezésére bocsássa a tárhelyszerverhez való hozzáférés sajátos technikai eszközét. Álláspontja szerint a társaság adatkezelői szerepet is játszott azáltal, hogy az információk megfelelő kezelése céljából beavatkozott a tartalomba. A társaság a szóban forgó honlap üzemeltetőjeként tárolja és kezeli az információ tartalmát. Az adatok tárolása, valamint bizonyos formában a nyilvánosság számára történő hozzáférhetővé tétele magában foglalja a hirdetésekben szereplő adatok és információk elemzését is. Ezek azt bizonyítják, hogy a Russmedia közvetlenül részt vett a hirdetések tartalmának kezelésében és terjesztésében. Következésképpen a 365/2002. sz. törvény 14. cikkében foglalt rendelkezések a jelen ügyben nem alkalmazhatók.
35
Az alapeljárás felperese továbbá arra hivatkozik, hogy az ilyen szolgáltató felelősség alóli mentessége nem alkalmazható, ha a felelősséget más rendeleti jellegű jogi aktusok, például a GDPR alapján állapítják meg. A Russmedia az alapeljárás felperesének személyes adatait annak hozzájárulása nélkül tette közzé, és internetes oldalának működtetésével lehetővé tette, hogy bárki bármilyen típusú hirdetést tegyen közzé, így például olyanokat is, amelyek nem garantálják a személyes adatok biztonságát, mivel az interneten közzétett adatok nem törölhetők véglegesen.
36
A Russmedia a maga részéről azt állítja, hogy a Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék) által elfogadott megoldás helyes. Az alapeljárás felperese nem bizonyította, hogy a GDPR mennyiben minősül olyan különös szabálynak, amely kizárja a 365/2002. sz. törvény releváns rendelkezéseinek alkalmazását.
37
A kérdést előterjesztő bíróságként eljáró és a jelen ügyben felülvizsgálati eljárásban jogerős határozatot hozó Curtea de Apel Cluj (kolozsvári ítélőtábla), szükségesnek tartja többek között az információs társadalommal összefüggő szolgáltatásokat nyújtó, a Russmediához hasonló szolgáltató 2000/31 irányelv szerinti felelősség alóli mentességét behatároló korlátok meghatározását.
38
A Bíróság releváns ítélkezési gyakorlatára hivatkozva a kérdést előterjesztő bíróság megállapítja, hogy bár ezen ítélkezési gyakorlatnak megfelelően az online piacterek üzemeltetői nem kötelesek előzetesen ellenőrizni a hirdetők által meghirdetett információkat vagy hirdetéseket, ez attól még az ezen üzemeltetők felelősség alóli mentességének feltétele. Így tehát a 2011. július 12‑iL’Oréal és társai ítéletnek (C‑324/09, EU:C:2011:474) megfelelően az online szolgáltatások üzemeltetője nem hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt felelősség alóli mentességre, amennyiben tudomása volt olyan tényekről vagy körülményekről, amelyek alapján a gondosan eljáró gazdasági szereplőnek fel kellett volna ismernie az eladási ajánlat jogszerűtlenségét, és ezek ismeretében nem cselekedett haladéktalanul az irányelv 14. cikke (1) bekezdése b) pontjának megfelelően. Hasonlóképpen, a 2014. szeptember 11‑iPapasavvas ítéletből (C‑291/13, EU:C:2014:2209) kitűnik, hogy a 2000/31 irányelv 12–14. cikkében foglalt polgári jogi felelősségkorlátozás nem vonatkozik az olyan társaság esetére, amely olyan weboldallal rendelkezik, amelyen elektronikus formátumban tesznek közzé egy újságot, mivel a társaságnak – amelynek bevétele származik az ezen a weboldalon közvetített kereskedelmi reklámokból – tudomása van a közzétett információkról és kezeli azokat.
39
A kérdést előterjesztő bíróság ugyanakkor hangsúlyozza, hogy az említett ítélkezési gyakorlat csak olyan, weboldalon közzétett ajánlatokra hivatkozik, amelyek jogellenessége a szóban forgó hirdetés közzétételét követően az üzemeltetővel kifejezetten közölt tények és körülmények elemzéséből ered. A Bíróságnak így tehát még nem volt alkalma megvizsgálni az alapügyben szereplőhöz hasonló olyan tényállást, amelyben a közzétett hirdetés tartalma nyilvánvalóan jogellenes és súlyosan sértő az érintett személyre nézve.
40
A kérdést előterjesztő bíróság ebben az összefüggésben arra keresi a választ, hogy ahhoz, hogy egy platform köteles legyen törölni a nyilvánvalóan jogellenes és súlyosan sértő tartalmat, szükséges‑e, hogy bejelentést kapjon. A jelen ügyben az alapügyben szóban forgó hirdetést a hirdető személyazonosságának ellenőrzése nélkül, és egyértelműen az alapeljárás felperesének hozzájárulása nélkül tették közzé.
41
Végezetül, noha az alapügy tárgyát képező hirdetést az alapeljárás felperesének bejelentését követően törölték az eredeti honlapról, a hirdetés tartalmát, beleértve az alapeljárás felperesének elérhetőségi adatait és fényképeit, számos más weboldalon az eredeti forrás megjelölésével teljes egészében átvették. Az alapeljárás felperesének okozott kár tehát állandósult és jelenleg is fennáll. A kérdést előterjesztő bíróság e tekintetben emlékeztet arra, hogy az állítólagosan kínált szexuális szolgáltatások a Codul penal (büntető törvénykönyv) által büntetendő súlyos bűncselekményekkel, így például kerítéssel és emberkereskedelemmel hozhatók összefüggésbe.
42
A kérdést előterjesztő bíróság pontosítja, hogy a Russmedia által működtetett online piactér használatára vonatkozó általános feltételeknek megfelelően a Russmedia, noha nem tart igényt a közzétett hirdetések tartalma feletti tulajdonjogra, akár alapos indok hiányában is fenntartja magának e tartalmak bármely időpontban történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát.
43
E körülmények között a Curtea de Apel Clujhoz (kolozsvári ítélőtábla, Románia) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
Alkalmazandó‑e a [2000/31] irányelv 12–14. cikke arra a tárolási tárhelyszolgáltatási típusú információs szolgáltatást nyújtó szolgáltatóra is, amely olyan honlapot bocsát a felhasználók rendelkezésére, amelyen ingyenes vagy fizetett hirdetések tehetők közzé, és amely azt állítja, hogy a felhasználók hirdetéseinek közzétételében játszott szerepe tisztán technikai jellegű (a platform rendelkezésre bocsátása), a honlap általános felhasználási feltételei révén pedig rögzíti, hogy nem tart igényt a szolgáltatott vagy közzétett, letöltött vagy továbbított tartalmak tulajdonjogára, ugyanakkor megőrzi a tartalom bármely időpontban, akár alapos indok nélkül történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát?
2)
A [GDPR] 2. cikke (4) bekezdésének, 4. cikke 7. és 11. pontjának, 5. cikke (1) bekezdése f) pontjának, 6. cikke (1) bekezdése a) pontjának, 7., 24. és 25. cikkének, valamint a 2000/31 irányelv 15. cikkének értelmezése alapján köteles‑e a tárolási, illetve tárhelyszolgáltatási típusú információs szolgáltatást nyújtó, személyesadat‑kezelőnek minősülő ilyen szolgáltató a hirdetés közzététele előtt ellenőrizni, hogy a hirdetést közzé tevő személy azonos‑e a személyes adatok hirdetésben megjelölt tulajdonosával?
3)
A [GDPR] 2. cikke (4) bekezdésének, 4. cikke 7. és 11. pontjának, 5. cikke (1) bekezdése f) pontjának, 6. cikke (1) bekezdése a) pontjának, 7., 24. és 25. cikkének, valamint a 2000/31 irányelv 15. cikkének értelmezése alapján köteles‑e a tárolási, illetve tárhelyszolgáltatási típusú információs szolgáltatást nyújtó, személyesadat‑kezelőnek minősülő ilyen szolgáltató előzetesen ellenőrizni a felhasználók által feladott hirdetések tartalmát, hogy kizárja azokat, amelyek potenciálisan jogellenesek, vagy sérthetik valamely személy magán‑ és családi életét?
4)
A [GDPR] 5. cikke (1) bekezdése b) és f) pontjának, 24. és 25. cikkének, valamint a [2000/31] irányelv 15. cikkének értelmezése alapján köteles‑e a tárolási, illetve tárhelyszolgáltatási típusú információs szolgáltatást nyújtó, személyesadat‑kezelőnek minősülő ilyen szolgáltató biztonsági intézkedéseket alkalmazni a közvetítésével közzétett hirdetések tartalma sokszorosításának és továbbterjesztésének megakadályozására vagy korlátozására?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
44
Az állandó ítélkezési gyakorlat szerint a nemzeti bíróságok és a Bíróság között az EUMSZ 267. cikkel bevezetett együttműködés keretében a Bíróság feladata, hogy a nemzeti bíróságnak az előtte folyamatban lévő ügy eldöntéséhez hasznos választ adjon. Ennek érdekében adott esetben a Bíróságnak át kell fogalmaznia az elé terjesztett kérdéseket. E tekintetben a Bíróságnak kell a nemzeti bíróság által szolgáltatott információk összessége és különösen az előzetes döntéshozatalra utaló végzés indokolása alapján meghatározni az uniós jog azon rendelkezéseit, amelyeknek az értelmezése a jogvita tárgyára figyelemmel szükséges (lásd ebben az értelemben: 1978. november 29‑iRedmond ítélet, 83/78, EU:C:1978:214, 26. pont; 2000. november 28‑iRoquette Frères ítélet, C‑88/99, EU:C:2000:652, 18. pont; 2024. április 30‑iM. N. (EncroChat) ítélet, C‑670/22, EU:C:2024:372, 78. pont).
45
A kérdést előterjesztő bíróság kérdései összességében annak eldöntésére irányulnak, hogy egyrészt egy online piactér Russmediához hasonló üzemeltetője, amely lehetővé teszi felhasználói számára, hogy online piacterén ingyenesen vagy díjazás ellenében hirdetéseket tegyenek közzé, megsértette‑e a GDPR‑ból eredő kötelezettségeit, amennyiben az online piacterén közzétett hirdetés e rendeletet megsértve személyes, ezen belül különleges adatokat tartalmaz, másrészt pedig hogy a 2000/31 irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikke alkalmazható‑e az ilyen üzemeltetőre.
46
Ahhoz, hogy e kérdésekre hasznos választ lehessen adni, először a második, harmadik és negyedik kérdést kell megvizsgálni, amelyek annak megállapítására irányulnak, hogy a GDPR értelmében milyen kötelezettségek terhelik az online piactér üzemeltetőjét az alapügyben szóban forgóhoz hasonló helyzetben, és úgy kell átfogalmazni ezeket a kérdéseket, hogy azok kizárólag e rendelet értelmezésére vonatkozzanak. Másodszor azt a kérdést fogom megvizsgálni, hogy az ilyen üzemeltető hivatkozhat‑e a 2000/31 irányelv 12–15. cikkére, ami lényegében az első kérdés tárgyát képezi.
A GDPR értelmezésére vonatkozó, második, harmadik és negyedik kérdésről
Előzetes észrevételek
47
Elöljáróban először is meg kell állapítani, hogy az előzetes döntéshozatal iránti kérelemben foglaltak szerint a szóban forgó hirdetés az alapeljárás felperesét szexuális szolgáltatásokat nyújtó személyként tüntette fel, és többek között hozzájárulása nélkül használt fényképeit, valamint telefonszámát tartalmazta.
48
Márpedig nem vitatott, hogy a személyes adatok ilyen információnak minősülnek a GDPR 4. cikkének 1. pontja értelmében, amely ilyenként határozza meg az „azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ[t]; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható”.
49
Az állandó ítélkezési gyakorlat szerint a „bármely információ” kifejezésnek a „személyes adat” GDPR 4. cikkének 1. pontjában szereplő fogalmának meghatározásában való használata az uniós jogalkotó azon célját tükrözi, hogy e fogalomnak tág jelentést adjon, amely potenciálisan magában foglal mindenfajta – akár objektív, akár vélemény vagy értékelés formájában megjelenő – információt, feltéve hogy az a szóban forgó személyre „vonatkoz[ik]”. Az információ akkor vonatkozik egy azonosított vagy azonosítható természetes személyre, ha az információ a tartalmánál, céljánál vagy hatásánál fogva egy azonosítható személyhez kapcsolódik (2025. április 3‑iMinisterstvo zdravotnictví [Jogi személy képviselőjére vonatkozó adatok] ítélet, C‑710/23, EU:C:2025:231, 21. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
50
Ezenkívül e személyes adatok között a GDPR 9. cikkének (1) bekezdése különleges védelmi rendszert ír elő az adatok különleges kategóriáira vonatkozóan, amelyek között szerepelnek a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok is.
51
A Bíróság pontosította, hogy a rendelet 9. cikke (1) bekezdésének célja az olyan adatkezelésekkel szembeni fokozott védelem biztosítása, amelyek a tárgyukat képező adatok különleges érzékenysége miatt a Charta 7. és 8. cikkében biztosított, a magánélet tiszteletben tartásához és a személyes adatok védelméhez való alapvető jogba való különösen súlyos beavatkozást jelenthetnek (2023. december 21‑iKrankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
52
Az ilyen fokozott védelem szükségszerűen megköveteli az ilyen „különleges adatok” tág meghatározását. Így a Bíróság kimondta, hogy a GDPR 9. cikkének (1) bekezdése nem csupán az e rendelkezés tárgyát képező, jellegüknél fogva különleges adatok kezelésére vonatkozik, hanem az olyan adatok kezelésére is, amelyek közvetve, következtetés levonása vagy információk összevetése útján teszik lehetővé ilyen információk felfedését (2023. június 5‑iBizottság kontra Lengyelország [A bírák függetlensége és magánélete] ítélet, C‑204/21, EU:C:2023:442, 344. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
53
E tág meghatározás keretében a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó adatok hamis és sértő jellege nem foszthatja meg az ilyen adatokat a GDPR 9. cikkének (1) bekezdése értelmében vett „különleges adatoknak” minősítésüktől.
54
Másodszor meg kell állapítani, hogy a szóban forgó adatkezelés e hirdetésnek és következésképpen ezen adatoknak a Russmedia online piacterén való közzétételéből áll. A személyes adatok weboldalon való feltüntetéséből álló művelet ugyanis a GDPR 4. cikkének 2. pontja értelmében vett adatkezelésnek minősül (2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 65. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
55
Harmadszor meg kell állapítani, hogy a második, harmadik és negyedik kérdés arra utal, hogy a szóban forgó online piactér üzemeltetője felelős a személyes adatok kezeléséért. Márpedig úgy tűnik, hogy azokat a személyes adatokat, amelyek közzététele az alapeljárás tárgyát képezi, egy névtelen hirdető-felhasználó tette be a szóban forgó hirdetésbe, az üzemeltető pedig nem gyakorolt konkrét befolyást a hirdetés tartalmára, és nem volt tudomása annak hamis és sértő voltáról. E körülmények között tisztázni kell az „adatkezelőnek” és a „közös adatkezelőnek” a GDPR 4. cikkének 7. pontja, illetve 26. cikke értelmében vett fogalmát.
56
A GDPR 4. cikkének 7. pontja tágan határozza meg az „adatkezelő” fogalmát, így az kiterjed azon természetes vagy jogi személyre, hatóságra, intézményre vagy bármely más szervre, amely önállóan vagy másokkal együtt meghatározza a személyes adatok kezelésének céljait és eszközeit.
57
E tág meghatározás célja a GDPR céljával összhangban a természetes személyek alapvető jogai és szabadságai hatékony védelmének, valamint többek között a bármely személyt megillető, a rá vonatkozó személyes adatok védelméhez való jog magas szintű védelmének biztosítása (2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
58
Így az a természetes vagy jogi személy, aki vagy amely a személyes adatok kezelésére saját célból befolyást gyakorol, és emiatt részt vesz az adatkezelés céljainak és eszközeinek meghatározásában, adatkezelőnek minősíthető (2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 30. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
59
Továbbá, mivel – ahogyan ezt a GDPR 4. cikkének 7. pontja kifejezetten előírja – az „adatkezelő” fogalma arra a szervre vonatkozik, amely „önállóan vagy másokkal együtt” meghatározza a személyes adatok kezelésének céljait és eszközeit, ez a fogalom nem feltétlenül egyetlen szervre utal, hanem több, az adatkezelésben részt vevő szereplőt is érinthet, és így mindegyikükre vonatkoznak a személyes adatok védelmére vonatkozó rendelkezések (lásd ebben az értelemben: 2019. július 29‑iFashion ID ítélet, C‑40/17, EU:C:2019:629, 67. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
60
A GDPR 26. cikke, amely az „adatkezelő” e rendelet 4. cikkének 7. pontjában szereplő meghatározásának keretébe illeszkedik, lényegében azt írja elő, hogy ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok „közös adatkezelőknek” minősülnek.
61
Az ilyen közös adatkezeléshez nem feltétlenül szükséges az, hogy az érintett személyes adatok kezelése céljainak és eszközeinek meghatározására vonatkozóan közös döntést hozzanak. A Bíróság ugyanis úgy ítélte meg, hogy az adatkezelés céljainak és eszközeinek meghatározásában való részvétel különböző formákban nyilvánulhat meg: következhet két vagy több jogalany által hozott közös döntésből, vagy e jogalanyok egybehangzó döntéseiből, amelyek kiegészítik egymást oly módon, hogy mindegyiknek konkrét hatása legyen az említett célok és eszközök meghatározására (2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 43. pont).
62
E tekintetben az ugyanazon adatkezelés tekintetében több szereplőnek a GDPR 4. cikkének 7. pontja szerinti együttes felelőssége fennállásának nem előfeltétele, hogy mindegyik adatkezelő hozzáférjen az érintett személyes adatokhoz (2019. július 29‑iFashion ID ítélet, C‑40/17, EU:C:2019:629, 69. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 42. pont).
63
Ugyanebből a szempontból a Bíróság pontosította, hogy a közös felelősség fennállása nem feltétlenül jelenti a személyesadat‑kezeléssel érintett különböző gazdasági szereplők azonos mértékű felelősségét. Éppen ellenkezőleg, mivel e szereplők az adatkezelés eltérő szakaszaiban és különböző mértékben vehetnek részt, a felelősségük mértékét a jelen ügyre jellemző valamennyi releváns körülmény figyelembevételével kell értékelni (lásd ebben az értelemben: 2018. július 10‑iJehovan todistajat ítélet, C‑25/17, EU:C:2018:551, 66. pont; 2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 42. pont).
64
A jelen ügyben nem vitatott, hogy azt a hirdető-felhasználót, aki az alapeljárás felperesének személyes adatait tartalmazó, hamis és sértő hirdetést a Russmedia által működtetett online piactérre feltette, úgy kell tekinteni, mint aki elsődlegesen meghatározta ezen adatok kezelésének céljait és eszközeit, és ennélfogva a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelő” fogalma alá tartozik.
65
Mindemellett megállapítást nyert, hogy ezt a hirdetést csak a Russmedia által működtetett online piactérnek köszönhetően tették közzé az interneten, és ezáltal hozzáférhetővé az internetfelhasználók számára.
66
Márpedig, bár a jelen ítélet 58. pontjában hivatkozott ítélkezési gyakorlatból kitűnik, hogy valamely személy csak akkor minősíthető a személyes adatok „adatkezelőjének”, ha saját célból gyakorol befolyást az adatkezelésre, meg kell állapítani, hogy ez lehet a helyzet többek között akkor, ha az online piactér üzemeltetője az érintett személyes adatokat olyan kereskedelmi vagy reklámcélokból teszi közzé, amelyek túlmutatnak a hirdető-felhasználójának nyújtott egyszerű szolgáltatáson.
67
A jelen ügyben az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a Russmedia online piacterén saját üzleti célból tesz közzé hirdetéseket. E tekintetben az online piactér általános használati feltételei nagy szabadságot biztosítanak a Russmedia számára az online piactéren közzétett információk hasznosítására. Közelebbről, a kérdést előterjesztő bíróság tájékoztatása szerint a Russmedia fenntartja magának a jogot a közzétett tartalmak felhasználására, terjesztésére, továbbítására, többszörözésére, módosítására, lefordítására, partnerek részére történő átengedésére és eltávolítására, akár „alapos indok” hiányában is. A Russmedia tehát a hirdetésekben szereplő személyes adatokat nem, vagy nem kizárólag a hirdető-felhasználók nevében teszi közzé, hanem ezeket az adatokat saját kereskedelmi és reklámcéljaira kezeli és használhatja fel.
68
Meg kell tehát állapítani, hogy a Russmedia saját célból befolyást gyakorolt az alapeljárás felperese személyes adatainak az interneten való közzétételére, és ezáltal részt vett e közzététel, és így a szóban forgó adatkezelés céljainak meghatározásában.
69
Ezt a megállapítást nem kérdőjelezi meg az a tény, hogy a Russmedia nyilvánvalóan nem vett részt a hirdető által az alapügyben szóban forgó hirdetés közzététele révén elérni kívánt hamis és sértő cél meghatározásában. A Russmedia ugyanis részt vett az adatkezelés azon céljának meghatározásában, hogy a szóban forgó hirdetésben szereplő személyes adatokat a közzététel felhasználása érdekében hozzáférhetővé tegye az internetfelhasználók számára. Egyébiránt a Russmedia azáltal, hogy lehetővé tette a hirdetéseknek az online piacterén történő anonim elhelyezését, megkönnyítette az ilyen adatoknak az érintett hozzájárulása nélküli közzétételét.
70
Ezenkívül a Russmedia azáltal, hogy az alapügyben szóban forgó hirdetés közzétételéhez használt online piacterét a hirdető rendelkezésére bocsátotta, részt vett e közzététel eszközeinek meghatározásában.
71
A Bíróság ugyanis lényegében már kimondta, hogy az adatkezelés eszközeinek meghatározásában az a természetes vagy jogi személy vesz részt, aki vagy amely meghatározó módon befolyásolja a személyes adatok gyűjtését és továbbítását, illetve aki vagy amely a tevékenységeinek irányítási vagy reklámozási céljai alapján történő beállításai révén befolyásolja az ilyen adatok kezelését (lásd ebben az értelemben: 2018. június 5‑iWirtschaftsakademie Schleswig‑Holstein ítélet, C‑210/16, EU:C:2018:388, 36. pont; 2019. július 29‑iFashion ID ítélet, C‑40/17, EU:C:2019:629, 78. pont). Ugyanez a helyzet a keresőmotort illetően, ha annak tevékenysége döntő szerepet játszik a személyes adatok globális terjesztésében, mivel e tevékenység ezeket az adatokat szervezett és összesített módon online nyilvánosan hozzáférhetővé teszi (lásd ebben az értelemben: 2022. december 8‑iGoogle [Állítólagosan valótlan tartalomra mutató linkek törlése] ítélet, C‑460/20, EU:C:2022:962, 50. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
72
Meg kell tehát állapítani, hogy amikor egy online piactér Russmediához hasonló üzemeltetője az érintett címzettek függvényében határozza meg az esetlegesen személyes adatokat tartalmazó hirdetések terjesztési beállításait, akkor meghatározza a terjesztés megjelenítését, időtartamát, illetve a közzétett információkat strukturáló címsorokat, sőt akár megszervezi az ilyen terjesztés módjait meghatározó osztályozást, részt vesz az érintett személyes adatok közzétételére vonatkozó alapvető eszközök meghatározásában, és ily módon meghatározó módon befolyásolja ezen adatok globális terjesztését.
73
E tekintetben az érintett online piactér használatára vonatkozó általános feltételek tartalma arra utaló valószínűsítő körülményekkel szolgálhat, hogy az online piactér üzemeltetője meghatározó módon befolyásolja a szóban forgó személyes adatok kezelését, és így meghatározza ezen adatkezelés eszközeit. Úgy tűnik, hogy ez a helyzet a Russmedia online piactere használatára vonatkozó általános feltételek esetében, amelyekben a társaság többek között fenntartja magának a jogot a hirdetésekben szereplő információk és azokban szereplő személyes adatok terjesztésére, továbbítására, közzétételére, eltávolítására vagy többszörözésére.
74
Mindenesetre az online piactér üzemeltetője nem mentesülhet a személyes adatok kezelőjeként fennálló felelőssége alól azzal az indokkal, hogy nem maga határozta meg az online piactéren közzétett, szóban forgó hirdetés tartalmát. Ha ugyanis az ilyen üzemeltetőt pusztán ezen ok miatt kizárnák e fogalommeghatározásból, az nemcsak az egyértelmű megfogalmazással, hanem a GDPR 4. cikke 7. pontjának azon céljával is ellentétes lenne, hogy az „adatkezelő” fogalmának tág meghatározása révén biztosítsa az érintettek hatékony és teljes védelmét.
75
Következésképpen meg kell állapítani, hogy a kérdést előterjesztő bíróság helyesen alapította második, harmadik és negyedik kérdését arra az előfeltevésre, hogy olyan helyzetben, mint amelyről az alapügyben szó van, az online piactér üzemeltetője a GDPR 4. cikkének 7. pontja értelmében az online piactéren közzétett hirdetésben szereplő személyes adatok kezelője.
76
A fenti megfontolások összességére tekintettel kell megválaszolni ezeket a kérdéseket.
A második és a harmadik kérdésről
77
Együttesen vizsgálandó második és harmadik kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 5. cikkének (2) bekezdését, valamint 24–26. cikkét úgy kell‑e értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles a közzétételük előtt azonosítania azokat a hirdetéseket, amelyek a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak, valamint köteles megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet, az érintett kifejezett hozzájárulása hiányában meg kell tagadnia a hirdetés közzétételét, amennyiben a közzététel súlyosan sértheti e személynek a magánélet tiszteletben tartásához és a személyes adatainak védelméhez fűződő, a Charta 7. és 8. cikkében biztosított jogait.
78
A GDPR (4) és (10) preambulumbekezdésével összefüggésben értelmezett 1. cikkének (2) bekezdése értelmében a rendelet célja többek között a természetes személyek alapvető jogai és szabadságai magas szintű védelmének biztosítása a személyes adatok kezelése tekintetében, amely jogot a Charta 8. cikke is elismeri, és amely szorosan kapcsolódik a magánélet tiszteletben tartásához való, a Charta 7. cikkében foglalt joghoz (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 61. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
79
E célból először is a GDPR II. fejezete meghatározza a személyes adatok kezelésére vonatkozó elveket, amelyeket az adatkezelőnek tiszteletben kell tartania. Közelebbről, a személyes adatok kezelésének meg kell felelnie az e rendelet 5. és 6. cikkében felsorolt, adatkezelésre vonatkozó elveknek és az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 62. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
80
A GDPR 5. cikke (1) bekezdésének a) pontja értelmében a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. E rendelet 5. cikke (1) bekezdésének d) pontja alapján a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük. Így minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljaira figyelemmel pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék. Az említett rendelet 5. cikke (1) bekezdésének f) pontja úgy rendelkezik, hogy a személyes adatokat oly módon kell kezelni, hogy biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével szembeni védelmet is ideértve.
81
Ami az adatkezelés jogszerűségének feltételeit illeti, amint azt a Bíróság megállapította, az általános adatvédelmi rendelet 6. cikke (1) bekezdésének első albekezdése kimerítő és korlátozó jelleggel sorolja fel azokat az eseteket, amelyekben a személyes adatok kezelése jogszerűnek tekinthető. Az adatkezelésnek így tehát az e rendelkezésben előírt esetek valamelyikébe kell tartoznia (lásd ebben az értelemben: 2025. január 9‑iMousse ítélet, C‑394/23, EU:C:2025:2, 25. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
82
Közelebbről, a GDPR 6. cikke (1) bekezdése első albekezdésének a) pontja értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. E rendelet 7. cikkének (1) bekezdése pontosítja, hogy ebben az esetben az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. Ilyen hozzájárulás hiányában, vagy ha e hozzájárulást nem önkéntesen, konkrétan, megfelelő tájékoztatás alapján és egyértelműen adták meg az említett rendelet 4. cikkének 11. pontja értelmében, az ilyen adatkezelés mindazonáltal akkor is indokolt, ha megfelel az ugyanezen rendelet 6. cikke (1) bekezdése első albekezdésének b)–f) pontjában említett szükségességi követelmények valamelyikének (2025. január 9‑iMousse ítélet, C‑394/23, EU:C:2025:2, 26. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
83
Ezen elvekhez és feltételekhez hozzáadódnak a GDPR 9. cikkének (1) bekezdésében meghatározott különleges adatokra – amelyek kezelése főszabály szerint tilos – vonatkozó sajátos követelmények (lásd ebben az értelemben: 2023. december 21‑iKrankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 73. pont).
84
Ettől a tilalomtól csak akkor lehet eltérni, ha a rendelet 9. cikke (2) bekezdésének a)–j) pontjában előírt kivételek valamelyike teljesül. E kivételek között, amelyeket szigorúan kell értelmezni, az említett rendelet 9. cikke (2) bekezdésének a) pontja előírja, hogy a különleges adatok kezelésének tilalma nem alkalmazandó, ha az érintett kifejezett hozzájárulását adta különleges személyes adatainak egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy e tilalom nem oldható fel az érintett hozzájárulásával.
85
Másodszor, a GDPR IV. fejezete pontosítja az adatkezelőt a GDPR 5. cikkének (2) bekezdésében foglalt elszámoltathatóság elve alapján terhelő kötelezettségek terjedelmét.
86
E rendelkezés értelmében az adatkezelő felelős az e cikk (1) bekezdésének való megfelelésért, továbbá képesnek kell lennie annak igazolására, hogy tiszteletben tartja az ezen (1) bekezdésben rögzített összes elvet, így ennek bizonyítása rá hárul (2023. május 4‑iBundesrepublik Deutschland [Elektronikus igazságügyi fiók] ítélet, C‑60/22, EU:C:2023:373, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
87
Az elszámoltathatóság elvét többek között a GDPR 24. cikke konkretizálja (lásd ebben az értelemben: 2024. január 25‑iMediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 43. pont, valamint az ott hivatkozott ítélkezési gyakorlat). E cikk megköveteli, hogy az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik.
88
Amint arra a főtanácsnok az indítványának 67. pontjában rámutatott, a GDPR 5. cikkének (2) bekezdése és 24. cikke általános elszámoltathatósági és megfelelési kötelezettséget ír elő a személyes adatok kezelőivel szemben. E rendelkezések megkövetelik az adatkezelőktől, hogy hozzanak az adatvédelemhez való jog biztosítása érdekében a GDPR által előírt szabályok esetleges megsértésének megelőzésére irányuló megfelelő intézkedéseket (lásd ebben az értelemben: 2022. október 27‑iProximus [Nyilvános telefonkönyvek] ítélet, C‑129/21, EU:C:2022:833, 81. pont).
89
A GDPR 25. cikkének (1) bekezdése arra kötelezi az adatkezelőt, hogy mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket hajtson végre, amelyek célja egyrészt az adatvédelmi elvek hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. Ezenkívül az alapértelmezett adatvédelemről szóló 25. cikk (2) bekezdése többek között előírja, hogy az adatkezelő által e célból végrehajtandó megfelelő technikai és szervezési intézkedések biztosítják, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.
90
Amennyiben a kezelt személyes adatok a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatoknak minősülnek, az adatkezelőnek a rendelet 24. és 25. cikke értelmében vett megfelelő intézkedések meghatározása érdekében figyelembe kell vennie többek között azt, hogy a rendelet II. fejezetében az ilyen adatok kezelésével kapcsolatban meghatározott elvek megsértése különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez való, a Charta 7. és 8. cikkében biztosított alapvető jogokba.
91
Mindezen pontosításokra tekintettel kell megvizsgálni a jelen ítélet 77. pontjában átfogalmazott második és harmadik kérdést.
92
Ami először is azt a kérdést illeti, hogy az online piactér üzemeltetőjének a közzétételük előtt azonosítania kell‑e a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmazó hirdetéseket, emlékeztetni kell arra, hogy – amint az a jelen ítélet 64. és 75. pontjából is kitűnik – az üzemeltetőt és az ilyen hirdetést az online piactéren elhelyező hirdető-felhasználót a rendelet 26. cikke értelmében vett közös adatkezelőknek kell tekinteni, amennyiben az érintett hirdetést ott közzéteszik.
93
Ebből az következik, hogy mind ezen üzemeltető, mind pedig ezen hirdető köteles biztosítani a GDPR 5. cikkének (2) bekezdéséből, valamint 24. és 25. cikkéből eredő kötelezettségek tiszteletben tartását. Képesnek kell lenniük különösen annak bizonyítására, hogy az érintett hirdetésben szereplő személyes adatokat jogszerűen teszik közzé, vagyis hogy az érintett hozzájárult az ilyen közzétételhez, kivéve ha a GDPR 6. cikkének (1) bekezdésében előírt valamely másik feltételre hivatkozhatnak. Amennyiben az érintett személyes adatok a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatnak minősülnek, az ilyen közzétételhez való hozzájárulásnak – amint az a jelen ítélet 84. pontjából kitűnik – kifejezettnek kell lennie. Hasonlóképpen, a GDPR 5. cikke (1) bekezdésének d) pontjában foglalt pontosság elve szerint az adatkezelőknek képesnek kell lenniük annak bizonyítására, hogy az érintett személyes adatok pontosak.
94
Annak meghatározása érdekében, hogy konkrétan melyek azok a megfelelő technikai és szervezési intézkedések, amelyeket az online piactér üzemeltetőjének mint a személyes adatok közös adatkezelőjének a GDPR 24. és 25. cikke alapján végre kell hajtania annak biztosítása és bizonyítása céljából, hogy a hirdetésben szereplő különleges adatok közzététele e rendelettel összhangban történik, meg kell állapítani, hogy e rendelkezésekből kitűnik, hogy az ilyen intézkedések megfelelőségét konkrétan kell értékelni, figyelembe véve a szóban forgó adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint az érintett jogaira és szabadságaira nézve fennálló kockázatok valószínűségének és súlyosságának mértékét (lásd ebben az értelemben: 2023. december 21‑iKrankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 96. pont).
95
E tekintetben meg kell állapítani, hogy a személyes adatoknak az online piactéren történő közzététele jelentős kockázatot jelent az érintett jogaira és szabadságaira nézve, mivel ezeket az adatokat főszabály szerint bármely internetfelhasználó számára hozzáférhetővé teszi. Ezenkívül az online piactéren történő közzétételt követően az említett adatok másolhatók és többszörözhetők más weboldalakon, így az érintett számára nehéz, ha nem lehetetlen elérni, hogy az adatokat ténylegesen töröljék az internetről.
96
Az ilyen közzétételhez kapcsolódó kockázatok még súlyosabbak, ha a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokról van szó. Amint azt ugyanis ugyanezen rendelet (51) preambulumbekezdése kifejezetten kimondja, az alapvető jogok és szabadságok szempontjából a jellegüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel a kezelésük körülményei jelentős kockázatot hordozhatnak az alapvető jogokra és szabadságokra nézve (lásd ebben az értelemben: 2024. október 4‑iLindenapotheke ítélet, C‑21/23, EU:C:2024:846, 75. pont). Az ilyen adatok kezelése – amint az a jelen ítélet 90. pontjában is megállapításra került – különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított alapvető jogokba. Ezenkívül igen nagy a valószínűsége annak, hogy ezeket a jogokat különleges adatokat tartalmazó hirdetés közzététele révén megsértik, ha nem maga az érintett személy a hirdető-felhasználó, és ha az online piactér lehetővé teszi az ilyen hirdetések anonim elhelyezését.
97
Következésképpen, amennyiben az alapügyben szóban forgóhoz hasonló online piactér üzemeltetője tudja, illetve tudnia kellene, hogy általában véve a hirdetők az online piacterén a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmazó hirdetéseket tehetnek közzé, akkor az üzemeltető, mint adatkezelő, köteles, hogy a szolgáltatása megtervezésétől kezdve megfelelő technikai és szervezési intézkedéseket vezessen be arra, hogy az ilyen hirdetéseket a közzétételük előtt azonosítsa, és így képes legyen ellenőrizni, hogy az azokban szereplő különleges adatokat a rendelet II. fejezetében foglalt elveknek megfelelően teszik‑e közzé. Amint ugyanis többek között az említett rendelet 25. cikkének (1) bekezdéséből következik, az ilyen intézkedések végrehajtására vonatkozó kötelezettség nemcsak az adatkezelés időpontjában, hanem már az adatkezelés módjának meghatározásakor, tehát még azt megelőzően terheli, hogy ezen elvek megsértésével különleges adatokat tettek közzé online piacterén, mivel ez a kötelezettség éppen az ilyen jogsértések megelőzésére irányul.
98
Másodszor, ami azt a kérdést illeti, hogy az online piactér üzemeltetőjének mint a weboldalán közzétett hirdetésekben szereplő különleges adatok kezelőjének a hirdetővel együtt ellenőriznie kell‑e ezen hirdető személyazonosságát a közzététel előtt, emlékeztetni kell arra, hogy a GDPR 9. cikke (1) bekezdésének és (2) bekezdése a) pontjának együttes értelmezéséből az következik, hogy az ilyen adatok közzététele tilos, kivéve ha az érintett kifejezetten hozzájárult a szóban forgó adatoknak az említett online piactéren történő közzétételéhez, vagy ha a 9. cikk (2) bekezdésének b)–j) pontjában meghatározott többi kivétel valamelyike teljesül, ami azonban a jelen esetben nem áll fenn.
99
E tekintetben, bár az a tény, hogy az érintett a különleges adatait tartalmazó hirdetést egy online piactéren teszi közzé, a GDPR 9. cikke (2) bekezdésének a) pontja értelmében vett kifejezett hozzájárulásnak minősülhet, az ilyen hozzájárulás hiányzik, ha a hirdetést egy harmadik személy teszi fel, kivéve ha e személy bizonyítani tudja, hogy az érintett kifejezett hozzájárulását adta az említett hirdetésnek a szóban forgó online piactéren történő közzétételéhez. Következésképpen annak érdekében, hogy meggyőződhessen arról, és bizonyítani tudja, hogy a GDPR 9. cikke (2) bekezdésének a) pontjában előírt követelményeket tiszteletben tartották, a hirdetés üzemeltetője köteles ellenőrizni, hogy az ilyen hirdetést elhelyezni kívánó hirdető-felhasználó megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, ami feltételezi a hirdető-felhasználó személyazonosságának gyűjtését.
100
Ezenkívül a GDPR 13. cikke (1) bekezdésének a) pontjából és 14. cikke (1) bekezdésének a) pontjából kitűnik, hogy a személyes adatok kezelőinek minden esetben tájékoztatniuk kell az érintettet személyazonosságukról és elérhetőségi adataikról.
101
Végül meg kell jegyezni, hogy a GDPR 26. cikke arra kötelezi az ugyanazon személyesadat‑kezelés közös adatkezelőit, hogy az e rendeletben előírt követelményeknek való megfelelés biztosítása érdekében átlátható módon határozzák meg kötelezettségeiket. Márpedig az ilyen kötelezettség lehetetlennek bizonyulna, ha az egyik adatkezelő névtelen maradhatna a másikkal szemben.
102
A fentiekből tehát az következik, hogy az online piactér üzemeltetője – mint az online piacterén közzétett hirdetésben szereplő különleges adatok közzétételéért a felhasználó hirdetővel együtt felelős személy – köteles begyűjteni a hirdető-felhasználó személyazonosságát, és ellenőrizni, hogy ez utóbbi az a személy‑e, akinek különleges adatait a hirdetés tartalmazza.
103
E tekintetben, amint arra a főtanácsnok az indítványának 132. pontjában lényegében rámutatott, a GDPR (75) preambulumbekezdéséből kitűnik, hogy különösen a személyazonossággal való visszaélés esetén a személyes adatok kezelése kockázatot jelenthet az érintettek jogaira és szabadságaira nézve, akik emiatt akadályoztatva vannak abban, hogy a személyes adataik felett ellenőrzést gyakoroljanak. A személyazonossággal való visszaélésre ugyanis általában azzal a céllal kerül sor, hogy az érintett személy vagy harmadik személy kárára csalárd cselekményeket kövessenek el.
104
E körülmények között, figyelembe véve a jelen ítélet 95. és 96. pontjában szereplő megfontolásokat is, az online piactér üzemeltetőjének annak érdekében, hogy meggyőződhessen és bizonyítani tudja, hogy a hirdetésekben szereplő különleges adatokat a GDPR követelményeinek megfelelően kezelik, a rendelet 24. és 25. cikke alapján olyan megfelelő technikai és szervezési intézkedéseket kell végrehajtania, amelyek révén nemcsak be tudja gyűjteni, hanem ellenőrizni is tudja a hirdetések közzététele előtt a hirdetők személyazonosságát, és így azt is meg tudja állapítani, hogy megegyezik‑e azzal a személlyel, akinek különleges adatai az említett hirdetésekben szerepelnek. Az ilyen intézkedésekkel többek között – amint arra a főtanácsnok az indítványának 134. pontjában rámutatott – lehetővé kell tenni az érintettek személyes adatai jogellenese kezelése kockázatának korlátozását és az ilyen online piactér tisztességtelen használata elleni küzdelmet azáltal, hogy csökkentik a büntetlenség érzését, és arra ösztönzik a hirdetőket, hogy a személyes adatokat tartalmazó hirdetések közzététele során feleljenek meg a GDPR követelményeinek.
105
Végül harmadszor, ami azt a kérdést illeti, hogy az online piactér üzemeltetőjének meg kell‑e tagadnia a különleges adatokat tartalmazó hirdetés közzétételét, ha – a hirdetés elhelyezésére készülő hirdető személyazonosságának ilyen ellenőrzését követően – bebizonyosodik, hogy a hirdető-felhasználó nem egyezik meg azzal a személlyel, akinek különleges adatait az említett hirdetésben szerepelnek, meg kell állapítani, hogy a jelen ítélet 98. és 99. pontjából az következik, hogy ilyen esetben nem zárható ki, hogy erre a közzétételre az ilyen adatok kezelésére vonatkozóan a GDPR 9. cikkének (1) bekezdésében előírt tilalom megsértésével kerül sor. Következésképpen, hacsak a hirdető-felhasználó nem tudja jogilag megkövetelt módon bizonyítani, hogy az érintett a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül, az online piactér üzemeltetőjének meg kell tagadnia a szóban forgó hirdetés közzétételét, amit megfelelő technikai és szervezési intézkedések végrehajtásával kell biztosítania.
106
A fenti indokok összességére tekintettel a második és a harmadik kérdésre azt a választ kell adni, hogy a GDPR 5. cikkének (2) bekezdését és 24–26. cikkét úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles a megfelelő technikai és szervezési intézkedések végrehajtásával a közzétételük előtt
–
azonosítani azokat a hirdetéseket, amelyek a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak,
–
megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet,
–
meg kell tagadnia a hirdetés közzétételét, kivéve ha a hirdető-felhasználó bizonyítani tudja, hogy az érintett személy a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül.
A negyedik kérdésről
107
A negyedik kérdés lényegében arra vonatkozik, hogy az online piactér üzemeltetője mint adatkezelő köteles‑e olyan biztonsági intézkedéseket végrehajtani, amelyek megakadályozzák vagy korlátozzák az online piacterén közzétett, különleges adatokat tartalmazó hirdetések sokszorosítását és továbbterjesztését.
108
A jelen ügyben az előzetes döntéshozatal iránti kérelemből kitűnik, hogy egyrészt az alapügyben szereplő, hamis és sértő hirdetést más reklámtartalmú weboldalakon is átvették, az eredeti forrás megjelölésével, másrészt pedig a Russmedia az általa működtetett online piactér használatára vonatkozó általános feltételekben fenntartja magának a jogot többek között arra, hogy az ott közzétett hirdetések tartalmát továbbítsa és partnerek részére átengedje. E tekintetben a kérdést előterjesztő bíróság nem pontosítja, hogy a Russmedia önként továbbította‑e ezt a hirdetést más weboldalakra, vagy legalábbis szerződéses úton engedélyezte‑e a közzétételeket, vagy éppen ellenkezőleg, az említett közzétételek az eredeti hirdetés Russmedia által nem engedélyezett másolataiból származnak.
109
Ha a fenti alternatíva első része bebizonyosodna, akkor ez a továbbítás a személyes adatok olyan új kezelésének minősülne, amely tekintetében a Russmedia a GDPR 4. cikkének 7. pontja értelmében adatkezelőnek minősül. Ezt az adatkezelést meg kell különböztetni az alapügyben szereplő, hamis és sértő hirdetésnek a hirdető-felhasználó által online piacterén történő közzétételétől.
110
Különbséget kell ugyanis tenni az ugyanazon műveleti lánchoz tartozó különböző személyesadat‑kezelési műveletek között annak figyelembevételéhez, hogy a személyes adatok kezelőjének minősíthető minden egyes személy esetében egyedileg kell értékelni a neki felróható felelősség mértékét. Ez abból fakad, hogy ahhoz, hogy egy természetes vagy jogi személy közös adatkezelőnek minősüljön, önállóan meg kell felelnie az „adatkezelő” fogalmának az általános adatvédelmi rendelet 4. cikkének 7. pontjában szereplő meghatározásának (2023. december 5‑iNacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
111
Ebből az következik, hogy amennyiben a személyes adatok későbbi továbbítására az azon online piactér üzemeltetője, amelyen a szóban forgó személyes adatokat eredetileg közzétették, és más weboldalak üzemeltetői közötti terjesztési szerződések alapján kerül sor, akkor elvileg az előbbi üzemeltető minősül a továbbítással megvalósuló adatkezelés kizárólagos adatkezelőjének. Mindenesetre minden adatkezelő – önállóan vagy másokkal együtt – köteles eleget tenni a GDPR‑ból eredő valamennyi kötelezettségnek.
112
E pontosításokat követően a negyedik kérdést úgy kell érteni, hogy az arra az esetre vonatkozik, amikor a Russmedia nem továbbította az alapügyben szóban forgó hamis és sértő hirdetést más reklámtartalmú weboldalakra, tehát nem engedélyezte a későbbi közzétételeket.
113
Meg kell továbbá jegyezni, hogy ez a kérdés lényegében a személyes adatok adatkezelője által betartandó biztonsági kötelezettség terjedelmére vonatkozik. Márpedig a GDPR 32. cikkének kifejezett célja az adatkezelés biztonsága. Ez a rendelkezés a rendelet 24. cikkében foglalt követelmények egy konkrét aspektusát konkretizálja és pontosítja, amely cikk az említett rendelet 5. cikkének (2) bekezdésével együtt általános jelleggel határozza meg az adatkezelő feladatait.
114
E körülmények között meg kell állapítani, hogy az előterjesztő bíróság negyedik kérdése lényegében arra irányul, hogy a GDPR 32. cikkét úgy kell‑e értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles megtenni azokat a biztonsági intézkedéseket, amelyekkel megakadályozható, hogy az online piacterén közzétett és az említett rendelet 9. cikkének (1) bekezdése értelmében különleges adatokat tartalmazó hirdetéseket lemásolják és jogellenesen közzétegyék más weboldalakon.
115
A GDPR 32. cikkének (1) bekezdése úgy rendelkezik, hogy az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja.
116
A rendelet 32. cikkének (2) bekezdése pedig előírja, hogy a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
117
A Bíróság megállapította, hogy a GDPR 32. cikkének (1) és (2) bekezdésében szereplő, a „kockázat mértékének megfelelő szintű adatbiztonságra” és a „biztonság megfelelő szintjére” való hivatkozás arról tanúskodik, hogy e rendelet kockázatkezelési rendszert vezet be, és egyáltalán nem kívánja megszüntetni a személyes adatok megsértésének kockázatát (2023. december 14‑iNatsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 29. pont).
118
Így az RGPD 32. cikkének az említett rendelet 24. cikkével összefüggésben értelmezett szövegéből kitűnik, hogy a 32. cikk annak előírására szorítkozik, hogy az adatkezelő olyan technikai és szervezési intézkedéseket fogadjon el, amelyek célja a személyes adatok megsértésének a lehető legnagyobb mértékben történő elkerülése. Az ilyen intézkedések megfelelőségét konkrétan kell értékelni, megvizsgálva, hogy az adatkezelő ezen intézkedéseket az említett cikkekben szereplő különböző kritériumokat és sajátos adatvédelmi szükségleteit, valamint az ezen adatkezelésből eredő kockázatokat figyelembe véve hajtotta‑e végre (lásd ebben az értelemben: 2023. december 14‑iNatsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 30. pont).
119
E tekintetben az érintett adatkezelés által jelentett konkrét kockázat meghatározásához figyelembe kell venni a kezelt személyes adatok esetlegesen különleges jellegét. Amint ugyanis arra a jelen ítélet 51. és 90. pontja emlékeztet, a GDPR 9. cikkének (1) bekezdésében az adatok bizonyos kategóriái tekintetében ezen adatok különösen érzékeny jellege miatt előírt fokozott védelem abban áll, hogy az ilyen adatok kezelése különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított alapvető jogokba (lásd ebben az értelemben: 2023. december 21‑iKrankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
120
Mindemellett, amint egy személyes adatokat tartalmazó hirdetés online és ezáltal már globálisan hozzáférhetővé válik, ezen adatok terjesztése különösen az érintett személyes adatok feletti ellenőrzés elvesztésének kockázatával jár, ami bekövetkezése esetén megfosztja hatékony érvényesülésétől a GDPR‑ban az érintett javára előírt jogokat és garanciákat, amelyek közül az első az e rendelet 17. cikkében előírt törléshez való jog.
121
Ezért, ha az érzékeny adatokat online közzéteszik, az adatkezelő a GDPR 32. cikke értelmében köteles minden olyan technikai és szervezési intézkedést megtenni, amely biztosítja azt a biztonsági szintet, amely alkalmas arra, hogy hatékonyan megakadályozza az adatok feletti ellenőrzés elvesztését.
122
Ennek érdekében az adatkezelőnek figyelembe kell vennie minden olyan, a műszaki ismeretek jelenlegi állása szerint rendelkezésre álló technikai intézkedést, amely alkalmas az online tartalom másolásának és többszörözésének megakadályozására.
123
Mindazonáltal pontosítani kell azt is, hogy a GDPR 24. és 32. cikkét nem lehet úgy értelmezni, hogy az eredetileg online közzétett személyes adatok jogellenes terjesztése anélkül is elegendő annak megállapításához, hogy az érintett adatkezelő által elfogadott intézkedések nem voltak e rendelkezések értelmében megfelelőek, hogy lehetővé tennék az utóbbi adatkezelő számára az ellenkező bizonyítását (2023. december 14‑iNatsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 31. pont).
124
A jelen ügyben az előzetes döntéshozatalra utaló határozatból kitűnik, hogy az alapügy tárgyát képező hamis és sértő hirdetésnek a Russmedia online piacteréről való törlése ellenére a hirdetés továbbra is elérhető online más weboldalakon, és úgy tűnik, hogy az alapeljárás felperese nem tudja elérni, hogy töröljék.
125
Márpedig úgy tűnik, hogy az ellenőrzés elvesztése az alapügyben szóban forgó hamis és sértő hirdetés jogellenes eredeti közzétételéből ered, ami sérti a GDPR‑ban előírt követelményeket. Mindenesetre a Russmedia köteles volt megfelelő technikai és szervezési intézkedéseket végrehajtani annak érdekében, hogy a GDPR 32. cikke alapján a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, és amennyire csak lehetséges, megakadályozza, hogy a hirdetést lemásolják. A kérdést előterjesztő bíróságnak kell vizsgálnia, hogy ez megtörtént‑e.
126
E körülmények között meg kell állapítani, hogy az előterjesztő bíróság negyedik kérdésére azt a választ kell adni, hogy a GDPR 32. cikkét úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles megtenni azokat a megfelelő technikai és szervezési jellegű, biztonsági intézkedéseket, amelyekkel megakadályozható, hogy az online piacterén közzétett és az említett rendelet 9. cikkének (1) bekezdése értelmében különleges adatokat tartalmazó hirdetéseket lemásolják és jogellenesen közzétegyék más weboldalakon.
A 2000/31 irányelv értelmezésére vonatkozó, első kérdésről
127
Amint az a jelen ítélet 45. és 46. pontjában megállapításra került, a kérdést előterjesztő bíróság arra is keresi a választ, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője hivatkozhat‑e a rendelet 5. cikkének (2) bekezdéséből, valamint 24–26. és 32. cikkéből eredő, a jelen ítélet 106. és 126. pontjában megállapított kötelezettségek megsértésével szemben a 2000/31 irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikkére.
128
Felmerül tehát a kérdés, hogy milyen kapcsolat áll fenn e két uniós jogi aktus között. Különösen azt kell megállapítani, hogy a 2000/31 irányelv 12–15. cikke sértheti‑e a GDPR‑ban előírt felelősségi rendszert.
129
E tekintetben egyfelől meg kell jegyezni, hogy a 2000/31 irányelv 1. cikkének (5) bekezdése úgy rendelkezik, hogy az irányelv nem alkalmazható az információs társadalommal összefüggő szolgáltatásokkal kapcsolatos, a 95/46 és a 97/66 irányelvben szabályozott kérdésekre.
130
E rendelkezést a Bíróság úgy értelmezte, hogy a közlések és a személyes adatok titkosságának védelmével kapcsolatos kérdéseket a GDPR és az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (Elektronikus hírközlési adatvédelmi irányelv) (HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.) fényében kell értékelni, mivel ezek a 95/46 irányelv, illetve a 97/66 irányelv helyébe léptek, azzal a pontosítással, hogy a 2000/31 irányelv által biztosítani kívánt védelem semmi esetre sem sértheti a GDPR‑ból és a 2002/58 irányelvből eredő követelményeket (2020. október 6‑iLa Quadrature du Net és társai ítélet, C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 200. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
131
Ebből különösen az következik, hogy a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt mentesség esetleges alkalmazása, amelyre az online piactér üzemeltetője a weboldalán tárolt információk tekintetében hivatkozhat, nem ütközhet a GDPR rendszerével, amely az ilyen üzemeltetőre, valamint az e rendelet hatálya alá tartozó bármely más gazdasági szereplőre is alkalmazandó.
132
Ugyanez vonatkozik a 2000/31 irányelv 15. cikkére is, amelynek értelmében a tagállamok nem állapíthatnak meg a szolgáltatókat terhelő általános nyomonkövetési kötelezettséget a többek között az említett irányelv 14. cikkében említett szolgáltatások nyújtása tekintetében. Egyébiránt az online piactér üzemeltetőjének azon kötelezettsége, hogy megfeleljen a GDPR‑ból eredő követelményeknek, semmi esetre sem minősíthető ilyen általános nyomonkövetési kötelezettségnek.
133
Másfelől a GDPR 2. cikkének (4) bekezdése úgy rendelkezik, hogy e rendelet nem érinti a 2000/31 irányelv alkalmazását, különösen az irányelv 12–15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat.
134
A 2. cikk (4) bekezdését úgy kell értelmezni, hogy az a tény, hogy valamely gazdasági szereplő a GDPR‑ban előírt kötelezettségek jogosultja, nem zárja ki automatikusan, hogy ez a gazdasági szereplő a személyes adatok védelmén kívüli más kérdésekben a 2000/31 irányelv 12–15. cikkére hivatkozhasson.
135
A 2000/31 irányelv 1. cikke (5) bekezdése b) pontjának és a GDPR 2. cikke (4) bekezdésének együttes értelmezéséből tehát az következik, hogy ezen irányelv rendelkezései, különösen annak 12–15. cikke nem ütközhetnek e rendelet rendszerével.
136
A fenti indokok összességére tekintettel az első kérdésre azt a választ kell adni, hogy a 2000/31 irányelv 1. cikke (5) bekezdésének b) pontját és a GDPR 2. cikkének (4) bekezdését úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője nem hivatkozhat az e rendelet 5. cikkének (2) bekezdéséből, valamint 24–26. és 32. cikkéből eredő kötelezettségek megsértésével szemben az ezen irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikkére.
A költségekről
137
Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:
1)
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 5. cikkének (2) bekezdését és 24–26. cikkét
a következőképpen kell értelmezni:
az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak az e rendelet 4. cikkének 7. pontja értelmében vett adatkezelője köteles a megfelelő technikai és szervezési intézkedések végrehajtásával a közzétételük előtt
–
azonosítani azokat a hirdetéseket, amelyek az említett rendelet 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak,
–
megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető‑felhasználó megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet,
–
meg kell tagadnia a hirdetés közzétételét, kivéve ha a hirdető‑felhasználó bizonyítani tudja, hogy az érintett személy a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül.
2)
A 2016/679 rendelet 32. cikkét
a következőképpen kell értelmezni:
az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles megtenni azokat a megfelelő technikai és szervezési jellegű, biztonsági intézkedéseket, amelyekkel megakadályozható, hogy az online piacterén közzétett és az említett rendelet 9. cikkének (1) bekezdése értelmében különleges adatokat tartalmazó hirdetéseket lemásolják és jogellenesen közzétegyék más weboldalakon.
3)
A belső piacon az információs társadalommal összefüggő szolgáltatások, különösen az elektronikus kereskedelem egyes jogi vonatkozásairól szóló, 2000. június 8‑i 2000/31/EK európai parlamenti és tanácsi irányelv (Elektronikus kereskedelemről szóló irányelv) 1. cikke (5) bekezdésének b) pontját és a 2016/679 rendelet 2. cikkének (4) bekezdését
a következőképpen kell értelmezni:
az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője nem hivatkozhat az e rendelet 5. cikkének (2) bekezdéséből, valamint 24–26. és 32. cikkéből eredő kötelezettségek megsértésével szemben az ezen irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikkére.
Aláírások
(
*1
)	Az eljárás nyelve: román.