62023CJ0492
TIESAS SPRIEDUMS (virspalāta)
2025. gada 2. decembrī (
*1
) (
i
)
Lūgums sniegt prejudiciālu nolēmumu – Personas datu aizsardzība – Regula (ES) 2016/679 – 4. panta 7. punkts – Jēdziens “pārzinis” – Tiešsaistes tirdzniecības vietnes operatora atbildība par to personas datu publicēšanu, kas ietverti minētās tirdzniecības vietnes lietotāju ievietotajos sludinājumos – 5. panta 2. punkts – Pārskatatbildības princips – 26. pants – Kopīga atbildība ar sludinājumus ievietojušajiem lietotājiem – 9. panta 1. punkts un 2. punkta a) apakšpunkts – Sludinājumi, kas ietver sensitīvus datus – Apstrādes likumīgums – Piekrišana – 24., 25. un 32. pants – Pārziņa pienākumi – Šādus datus ietverošu sludinājumu iepriekšēja identificēšana – Sludinājumu ievietojušā lietotāja identitātes iepriekšēja pārbaude – Atteikums publicēt nelikumīgus sludinājumus – Drošības pasākumi, ar kuriem iespējams liegt sludinājumu kopēšanu un publicēšanu citās tīmekļvietnēs – Elektroniskā tirdzniecība – Direktīva 2000/31/EK – 12. līdz 15. pants – Šāda operatora iespēja saistībā ar šo pienākumu neizpildi atsaukties uz informācijas sabiedrības starpniecības pakalpojumu sniedzēja atbrīvojumu no atbildības
Lietā C‑492/23
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Curtea de Apel Cluj (Klužas apelācijas tiesa, Rumānija) iesniegusi ar 2023. gada 15. jūnija lēmumu un kas Tiesā reģistrēts 2023. gada 3. augustā, tiesvedībā
X
pret
Russmedia Digital SRL,
Inform Media Press SRL,
TIESA (virspalāta)
šādā sastāvā: priekšsēdētājs K. Lēnartss [K. Lenaerts], priekšsēdētāja vietnieks T. fon Danvics [T. von Danwitz], palātu priekšsēdētāji F. Biltšens [F. Biltgen], K. Jirimēe [K. Jürimäe] (referente), K. Likurgs [C. Lycourgos], I. Jarukaitis [I. Jarukaitis], M. L. Arasteja Saūna [M. L. Arastey Sahún], I. Ziemele, J. Pasers [J. Passer], tiesneši S. Rodins [S. Rodin], J. Regans [E. Regan], N. Jēskinens [N. Jääskinen] un D. Gracijs [D. Gratsias],
ģenerāladvokāts: M. Špunars [M. Szpunar],
sekretāre: R. Šereša [R. Şereş], administratore,
ņemot vērā rakstveida procesu un 2024. gada 2. jūlija tiesas sēdi,
ņemot vērā apsvērumus, ko snieguši:
–
X vārdā – I. Kis, avocată,
–
Rumānijas valdības vārdā – E. Gane, L. Ghiţă un R. I. Haţieganu, pārstāves,
–
Eiropas Komisijas vārdā – L. Armati, H. Kranenborg, P.‑J. Loewenthal un L. Nicolae, pārstāvji,
noklausījusies ģenerāladvokāta secinājumus 2025. gada 6. februāra tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1
Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt 12.–15. pantu Eiropas Parlamenta un Padomes Direktīvā 2000/31/EK (2000. gada 8. jūnijs) par dažiem informācijas sabiedrības pakalpojumu tiesiskiem aspektiem, jo īpaši elektronisko tirdzniecību, iekšējā tirgū (Direktīva par elektronisko tirdzniecību) (OV 2000, L 178, 1. lpp.), kā arī 2. panta 4. punktu, 4. panta 7. un 11. punktu, 5. panta 1. punkta b) un f) apakšpunktu, 6. panta 1. punkta a) apakšpunktu un 7., 24. un 25. pantu Eiropas Parlamenta un Padomes Regulā (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”).
2
Šis lūgums iesniegts tiesvedībā par fiziskas personas X prasību pret Russmedia Digital SRL un Inform Media Press SRL (turpmāk tekstā kopā – “Russmedia”) atlīdzināt nemateriālo kaitējumu, kas prasītājai pamatlietā nodarīts viņas personas datu nelikumīgas apstrādes dēļ, kā arī viņas tiesību uz attēlu, godu un privāto dzīvi pārkāpuma dēļ.
Atbilstošās tiesību normas
Savienības tiesības
Direktīva 2000/31
3
Direktīvas 2000/31 14., 42., 46. un 52. apsvērumā teikts:
“(14)
Personu aizsardzību attiecībā uz [personas] datu apstrādi reglamentē tikai Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīva 95/46/EK par personu aizsardzību attiecībā uz [personas] datu apstrādi un par šādu datu brīvu apriti [(OV 1995, L 281, 31. lpp.)] un Eiropas Parlamenta un Padomes 1997. gada 15. decembra Direktīva 97/66/EK par [personas] datu apstrādi un privātās dzīves aizsardzību telekomunikāciju nozarē [(OV 1998, L 24, 1. lpp.)], kas pilnībā attiecas uz informācijas sabiedrības pakalpojumiem; [..] šīs direktīvas ieviešana un piemērošana būtu jāveic pilnīgi atbilstīgi principiem, kas saistīti ar personīgo datu aizsardzību, jo īpaši attiecībā uz nelūgtiem komercpaziņojumiem un starpnieku atbildību; šī direktīva nevar novērst anonīmu atklāto tīklu izmantošanu, tādu kā internets.
[..]
(42)
Izņēmumi no šīs direktīvas radītajām saistībām attiecas vienīgi uz gadījumiem, kad informācijas sabiedrības pakalpojumu sniedzēju darbība ir ierobežota līdz darbības tehniskajam procesam un pieejas sniegšanai komunikāciju tīklam, pa kuru trešo personu informācija tiek pārraidīta vai uz laiku uzglabāta ar nolūku vienīgi padarīt pārraidīšanu efektīvāku; šīs darbības ir tikai tehniskas, automātiskas un pasīvas, kas netieši norāda, ka informācijas sabiedrības pakalpojumu sniedzējiem nav nedz zināšanu, nedz kontroles pār informāciju, ko pārraida vai uzglabā.
[..]
(46)
Lai gūtu labumu no saistību ierobežojuma, to informācijas sabiedrības pakalpojumu sniedzējam, kas sastāv no informācijas glabāšanas, iegūstot faktiskas ziņas par nelegālām darbībām, jārīkojas ātri, lai izņemtu attiecīgo informāciju vai liegtu tai pieeju; izņemšana vai pieejas liegšana jāveic, ievērojot vārda brīvības principus un šajā sakarā izveidotās procedūras valsts līmenī; šī direktīva neietekmē dalībvalstu tiesības noteikt īpašas prasības, kas jāievēro nekavējoties pirms informācijas izņemšanas vai liegšanas.
[..]
(52)
[..] bojājumiem, kas var rasties sakarā ar informācijas sabiedrības pakalpojumiem, raksturīgs gan straujums, gan ģeogrāfiskais mērogs; ņemot vērā šo īpašo apstākli un nepieciešamību nodrošināt, ka valsts iestādes neapdraud savstarpējo uzticību, kurai vajadzētu pastāvēt, šī direktīva prasa dalībvalstīm nodrošināt, lai būtu pieejamas piemērotas tiesas procedūras; [..].”
4
Direktīvas 2000/31 1. pants “Mērķis un piemērošanas joma” noteic:
“1.   Šī direktīva cenšas veicināt pienācīgu iekšējā tirgus darbību, nodrošinot brīvu informācijas sabiedrības pakalpojumu apriti starp dalībvalstīm.
[..]
5.   Šī direktīva neattiecas uz:
[..]
b) jautājumiem, kuri attiecas uz informācijas sabiedrības pakalpojumiem un kuri ietverti Direktīv[ās] [95/46] un [97/66];
[..].”
5
Direktīvas 2000/31 II nodaļas 4. iedaļa “Starpnieku pakalpojumu sniedzēju saistības”, redakcijā, kas piemērojama pamatlietā, ietvēra 12.–15. pantu. Šīs direktīvas 12. un 13. pants atbilstoši to nosaukumiem attiecās uz “vienkāršo līniju [transportēšanu] (mere conduit)” un “superātro līniju [pieglabāšanu] (caching)”.
6
Minētās direktīvas 14. pants “Glabāšana [Mitināšana]” noteica:
“1.   Ja tiek piedāvāts informācijas sabiedrības pakalpojums, kas sastāv no pakalpojuma saņēmēja piedāvātās informācijas glabāšanas, dalībvalstis nodrošina, ka pakalpojuma sniedzējs nav atbildīgs par informāciju, kas glabāta pēc pakalpojuma saņēmēja pieprasījuma ar noteikumu, ka:
a)
pakalpojuma sniedzējam nav faktisku zināšanu par nelikumīgu darbību vai informāciju un, attiecībā uz prasībām par bojājumiem, tas nezina par faktiem vai apstākļiem, kas liecina par nelegālu darbību vai informāciju;
vai
b)
pakalpojuma sniedzējs pēc šādu ziņu iegūšanas rīkojas ātri, lai izņemtu šādu informāciju vai liegt tai pieeju.
2.   Šā panta 1. punktu nepiemēro, ja pakalpojuma saņēmējs rīkojas saskaņā ar pakalpojuma sniedzēja pilnvaru vai kontroli.
3.   Šis pants neietekmē tiesas vai administratīvās iestādes tiesības saskaņā ar dalībvalstu juridisko sistēmu pieprasīt pakalpojuma sniedzējam izbeigt vai novērst likuma pārkāpumu, kā arī neietekmē dalībvalstu tiesības izveidot procedūras, kas regulē informācijas izņemšanu vai pieejas liegšanu tai.”
7
Šīs pašas direktīvas 15. panta “Vispārēju pārraudzīšanas saistību neesamība” 1. un 2. punkts noteica:
“1.   Dalībvalstis neuzliek vispārējas saistības pakalpojuma sniedzējiem, piedāvājot 12., 13. un 14. pantā minētos pakalpojumus, pārraudzīt informāciju, ko tie pārraida vai uzglabā, kā arī neuzliek pienākumu aktīvi meklēt faktus un apstākļus, kas norāda uz nelegālu darbību.
2.   Dalībvalstis var paredzēt pienākumu informācijas sabiedrības pakalpojumu sniedzējiem nekavējoties informēt kompetentās valsts iestādes par iespējamām veiktajām nelegālajām darbībām vai informāciju, ko sniedz pakalpojumu sniedzēju pakalpojumu saņēmēji, vai pienākumu kompetentajām iestādēm pēc to pieprasījuma darīt zināmu informāciju, kas ļauj noteikt tos pakalpojumu saņēmējus, ar kuriem pakalpojumu sniedzējiem ir glabāšanas [mitināšanas] līgumi.”
VDAR
8
VDAR 4., 10., 39., 51., 74., 75., 78. un 85. apsvērumā teikts:
“(4)
Personas datu apstrāde būtu jāveido tā, lai tā kalpotu cilvēkam. Tiesības uz personas datu aizsardzību nav absolūta prerogatīva; tās ir jāņem vērā saistībā ar to funkciju sabiedrībā un jālīdzsvaro ar citām pamattiesībām saskaņā ar proporcionalitātes principu. Šajā regulā ir ievērotas visas pamattiesības, brīvības un principi, kas atzīti hartā un ietverti Līgumos, jo īpaši privātās un ģimenes dzīves, mājokļa un saziņas neaizskaramība, personas datu aizsardzība, domu, pārliecības un ticības brīvība, vārda un informācijas brīvība, darījumdarbības brīvība, tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu un kultūru, reliģiju un valodu daudzveidība.
[..]
(10)
Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei [Eiropas] Savienībā, fiziskas personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs vajadzētu būt vienādam. Visā Savienībā būtu jānodrošina noteikumu par fiziskas personas pamattiesību un pamatbrīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīga piemērošana. [..]
[..]
(39)
Jebkurai personas datu apstrādei vajadzētu būt likumīgai un godprātīgai. Fiziskām personām vajadzētu būt pārredzamam tam, ka viņu personas datus vāc, izmanto, aplūko vai citādi apstrādā, un tam, kādā apjomā personas dati tiek vai tiks apstrādāti. Pārredzamības principa pamatā ir prasība, ka visa informācija un saziņa, kas saistīta ar minēto personas datu apstrādi, ir viegli pieejama un viegli saprotama un ka ir jāizmanto skaidra un vienkārša valoda. Minētais princips jo īpaši attiecas uz informāciju datu subjektiem par pārziņa identitāti un apstrādes nolūkiem, kā arī papildu informāciju, lai nodrošinātu godprātīgu un pārredzamu apstrādi attiecībā uz attiecīgajām fiziskajām personām, un viņu tiesībām saņemt apstiprinājumu un paziņojumu par to, kuri viņu personas dati tiek apstrādāti. [..]
[..]
(51)
Personas datiem, kas pēc savas būtības ir īpaši sensitīvi saistībā ar pamattiesībām un brīvībām, pienākas īpaša aizsardzība, jo to apstrādes konteksts varētu radīt nopietnu risku pamattiesībām un brīvībām. [..] Šādi personas dati nebūtu jāapstrādā, ja vien apstrāde nav atļauta konkrētos, šajā regulā precizētos gadījumos [..] Papildus konkrētajām prasībām attiecībā uz šādu apstrādi būtu jāpiemēro vispārējie principi un citi šīs regulas noteikumi, jo īpaši attiecībā uz likumīgas apstrādes nosacījumiem. Būtu skaidri jāparedz atkāpes no vispārējā aizlieguma apstrādāt šādu īpašu kategoriju personas datus, cita starpā tad, ja datu subjekts dot nepārprotamu piekrišanu, vai attiecībā uz īpašām vajadzībām, jo īpaši gadījumos, kad apstrādi veic konkrētas apvienības vai nodibinājumi savu leģitīmo darbību ietvaros, kuru nolūks ir atļaut īstenot pamatbrīvības.
[..]
(74)
Būtu jāparedz pārziņa pienākumi un atbildība par ikvienu personas datu apstrādi, ko veic pārzinis vai pārziņa vārdā. Jo īpaši, pārzinim būtu jāuzliek pienākums īstenot piemērotus un efektīvus pasākumus, un viņam vajadzētu spēt uzskatāmi parādīt, ka apstrādes darbības notiek saskaņā ar šo regulu, tostarp, ka pasākumi ir iedarbīgi. Minētajos pasākumos būtu jāņem vērā apstrādes raksturs, piemērošanas joma, konteksts un nolūki un risks, ko tā rada fizisku personu tiesībām un brīvībām.
(75)
Risku fizisku personu tiesībām un brīvībām – ar atšķirīgu iespējamību un nopietnību – var radīt personas datu apstrāde, kas var izraisīt fizisku, materiālu vai nemateriālu kaitējumu, jo īpaši, ja apstrāde var izraisīt [..] identitātes zādzību vai viltošanu, [..] kaitējumu reputācijai [..], ja datu subjektiem var tikt atņemtas viņu tiesības un brīvības vai atņemta iespēja kontrolēt savus personas datus; [..].
[..]
(78)
Personu tiesību un brīvību aizsardzībai attiecībā uz fiziskas personas datu apstrādi ir vajadzīgs veikt piemērotus tehniskos un organizatoriskos pasākumus ar mērķi nodrošināt šīs regulas prasību izpildi. Lai pārzinis varētu uzskatāmi parādīt, ka šīs regulas noteikumi ir ievēroti, viņam būtu jāpieņem iekšējas vadlīnijas un jāīsteno pasākumi, kas jo īpaši atbilst integrētas datu aizsardzības un datu aizsardzības pēc noklusējuma principiem. [..]
[..]
(85)
Ja uz personas datu aizsardzības pārkāpumu nereaģē pienācīgi un savlaicīgi, tas fiziskām personām var izraisīt tādu fizisku, materiālu vai nemateriālu kaitējumu kā, piemēram, iespējas kontrolēt savus personas datus zaudēšana vai to tiesību ierobežošana, diskriminācija, identitātes zādzība vai viltošana, [..] kaitējums reputācijai [..].”
9
Šīs regulas 1. panta “Priekšmets un mērķi” 2. punkts noteic:
“Šī regula aizsargā fizisku personu pamattiesības un pamatbrīvības un jo īpaši to tiesības uz personas datu aizsardzību.”
10
Minētās regulas 2. panta “Materiālā darbības joma” 4. punkts noteic:
“Šī regula neskar Direktīvas [2000/31] piemērošanu, jo īpaši attiecībā uz minētās direktīvas 12.–15. panta noteikumiem par starpnieku pakalpojumu sniedzēju saistībām.”
11
Šīs pašas regulas 4. pants “Definīcijas” formulēts šādi:
“Šajā regulā:
1)
“personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem;
2)
“apstrāde” ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana;
[..]
7)
“pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; ja šādas apstrādes nolūkus un līdzekļus nosaka ar Savienības vai dalībvalsts tiesību aktiem, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt Savienības vai dalībvalsts tiesību aktos;
[..]
11)
datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei;
[..].”
12
VDAR II nodaļā “Principi” ietverts 5.–9. pants.
13
Šīs regulas 5. pants “Personas datu apstrādes principi” noteic:
“1.   Personas dati:
a)
tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
b)
tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā [..] (“nolūka ierobežojumi”);
[..]
d)
ir precīzi un, ja vajadzīgs, atjaunināti; ir jāveic visi saprātīgi pasākumi, lai nodrošinātu, ka neprecīzi personas dati, ņemot vērā nolūkus, kādos tie tiek apstrādāti, bez kavēšanās tiktu dzēsti vai laboti (“precizitāte”);
[..]
f)
tiek apstrādāti tādā veidā, lai tiktu nodrošināta atbilstoša personas datu drošība, tostarp aizsardzība pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu, izmantojot atbilstošus tehniskos vai organizatoriskos pasākumus (“integritāte un konfidencialitāte”).
2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
14
Minētās regulas 6. panta “Apstrādes likumīgums” 1. punkta pirmā daļa noteic:
“Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:
a)
datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;
b)
apstrāde ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas;
c)
apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu;
d)
apstrāde ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses;
e)
apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras;
f)
apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.”
15
Šīs pašas regulas 7. panta “Nosacījumi piekrišanai” 1. punkts noteic:
“Ja apstrāde pamatojas uz piekrišanu, pārzinim ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.”
16
VDAR 9. pants “Īpašu kategoriju personas datu apstrāde” noteic:
“1.   Ir aizliegta tādu personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētisko datu, biometrisko datu, lai veiktu fiziskas personas unikālu identifikāciju, veselības datu vai datu par fiziskas personas dzimumdzīvi vai seksuālo orientāciju apstrāde.
2.   Šā panta 1. punktu nepiemēro, ja ir piemērojams kāds no šādiem pamatojumiem:
a)
datu subjekts ir devis nepārprotamu piekrišanu šo personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem, izņemot, ja Savienības vai dalībvalsts tiesību akti paredz, ka 1. punktā minēto aizliegumu datu subjekts nevar atcelt;
[..].”
17
Šīs regulas 13. panta “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” 1. punkta a) apakšpunkts noteic:
“Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:
a)
pārziņa un attiecīgā gadījumā pārziņa pārstāvja identitāte un kontaktinformācija;”.
18
Šīs regulas 14. panta “Informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta” 1. punkta a) apakšpunkts noteic:
“Ja personas dati nav iegūti no datu subjekta, pārzinis datu subjektam sniedz šādu informāciju:
a)
pārziņa un attiecīgā gadījumā pārziņa pārstāvja identitāte un kontaktinformācija;”.
19
Šīs pašas regulas III nodaļā “Datu subjekta tiesības” ietvertā 17. panta “Tiesības uz dzēšanu (“tiesības tikt aizmirstam”)” 1. un 2. punkts noteic:
“1.   Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:
[..]
d) personas dati ir apstrādāti nelikumīgi;
[..]
2.   Ja pārzinis ir publiskojis personas datus un tā pienākums saskaņā ar 1. punktu ir minētos personas datus dzēst, pārzinis, ņemot vērā pieejamo tehnoloģiju un tās piemērošanas izmaksas, veic saprātīgus pasākumus, tostarp tehniskus pasākumus, lai informētu pārziņus, kas veic personas datu apstrādi, ka datu subjekts ir pieprasījis, lai minētie pārziņi dzēstu visas saites uz minētajiem personas datiem vai minēto personas datu kopijas vai atveidojumus.”
20
VDAR IV nodaļas “Pārzinis un apstrādātājs” 1. iedaļā “Vispārīgi pienākumi” ietverts tostarp 24.–26. pants.
21
Šīs regulas 24. panta “Pārziņa atbildība” 1. punkts noteic:
“Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.”
22
Minētās regulas 25. panta “Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma” 1. un 2. punkts noteic:
“1.   Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, kurus rada apstrāde, pārzinis gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstošus tehniskus un organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs regulas prasības un aizsargāt datu subjektu tiesības.
2.   Pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka pēc noklusējuma tiek apstrādāti tikai tādi personas dati, kas ir nepieciešami katram konkrētajam apstrādes nolūkam. Minētais pienākums attiecas uz vākto personas datu apjomu, to apstrādes pakāpi, glabāšanas laikposmu un to pieejamību. Jo īpaši – ar šādiem pasākumiem nodrošina, ka pēc noklusējuma personas datus bez personas līdzdalības nedara pieejamus nenoteiktam fizisku personu skaitam.”
23
Šīs pašas regulas 26. panta “Kopīgi pārziņi” 1. punkts noteic:
“Ja divi vai vairāki pārziņi kopīgi nosaka apstrādes mērķus un veidus, tie ir kopīgi pārziņi. Kopīgi pārziņi pārredzamā veidā nosaka savus attiecīgos pienākumus, lai izpildītu šajā regulā uzliktās saistības, jo īpaši attiecībā uz datu subjekta tiesību īstenošanu un pārziņu attiecīgajiem pienākumiem sniegt 13. un 14. pantā minēto informāciju; pārziņi pienākumus nosaka, savstarpēji vienojoties, – izņemot, ja un ciktāl attiecīgie pārziņu pienākumi ir noteikti saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami pārziņiem. Ar vienošanos var noteikt datu subjektu kontaktpunktu.”
24
VDAR 32. pants “Apstrādes drošība” noteic:
“1.   Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam, tostarp attiecīgā gadījumā cita starpā:
a)
personas datu pseidonimizāciju un šifrēšanu;
b)
spēju nodrošināt apstrādes sistēmu un pakalpojumu nepārtrauktu konfidencialitāti, integritāti, pieejamību un noturību;
c)
spēju laicīgi atjaunot personas datu pieejamību un piekļuvi tiem gadījumā, ja ir noticis fizisks vai tehnisks negadījums;
d)
procesu regulārai tehnisko un organizatorisko pasākumu efektivitātes testēšanai, izvērtēšanai un novērtēšanai, lai nodrošinātu apstrādes drošību.
2.   Novērtējot atbilstīgo drošības līmeni, ņem vērā jo īpaši riskus, ko rada apstrāde, jo īpaši nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.
3.   Atbilstību apstiprinātam rīcības kodeksam, kā minēts 40. pantā, vai apstiprinātam sertifikācijas mehānismam, kā minēts 42. pantā, var izmantot kā elementu, ar ko apliecina šā panta 1. punktā izklāstīto prasību izpildi.
4.   Pārzinis un apstrādātājs veic pasākumus, lai nodrošinātu, ka jebkura fiziska persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve personas datiem, tos neapstrādā bez pārziņa norādījumiem, izņemot, ja minētajai personai tas jādara saskaņā ar Savienības vai dalībvalsts tiesību aktiem.”
25
Šīs regulas 82. panta “Tiesības uz kompensāciju un atbildība” 1.–3. punkts noteic:
“1.   Jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu.
2.   Jebkurš apstrādē iesaistītais pārzinis ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, kura pārkāpj šo regulu. Apstrādātājs ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, tikai tad, ja tas nav izpildījis šajā regulā paredzētos pienākumus, kas konkrēti adresēti apstrādātājam, vai ja tas ir rīkojies neatbilstīgi vai pretēji pārziņa likumīgiem norādījumiem.
3.   Pārzini vai apstrādātāju atbrīvo no atbildības saskaņā ar 2. punktu, ja tas pierāda, ka nekādā veidā nav atbildīgs par notikumu, ar ko nodarīts attiecīgais kaitējums.”
26
Šīs pašas regulas 94. pants noteic:
“1.   Direktīvu [95/46] atceļ no 2018. gada 25. maija.
2.   Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo regulu. [..]”
Rumānijas tiesības
27
2002. gada 7. jūnijaLegea nr. 365/2002 privind comerțul electronic (Likums Nr. 365/2002 par elektronisko tirdzniecību; 2002. gada 5. jūlijaMonitorul Oficial al României, I daļa, Nr. 483), redakcijā ar grozījumiem, kas izdarīti ar 2006. gada 4. maijaLegea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (Likums Nr. 121/2006, ar kuru groza un papildina Likumu Nr. 365/2002 par elektronisko tirdzniecību; 2006. gada 10. maijaMonitorul Oficial al României, I daļa, Nr. 403) (turpmāk tekstā – “Likums Nr. 365/2002”), 11. pants noteic:
“1.   Uz pakalpojumu sniedzējiem attiecas tiesību normas par civiltiesisko atbildību, kriminālatbildību un administratīvo atbildību, ja vien šajā likumā nav noteikts citādi.
2.   Pakalpojumu sniedzēji ir atbildīgi par informāciju, ko tie sniedz paši vai kas sniegta to uzdevumā.
3.   Pakalpojumu sniedzēji nav atbildīgi par informāciju, kura nosūtīta, uzglabāta vai kurai tie ir ļāvuši piekļūt saskaņā ar 12.–15. pantā izklāstītajiem nosacījumiem.”
28
Likuma Nr. 365/2002 14. pants “Pastāvīga informācijas glabāšana, mitināšana” noteic:
“1.   Ja informācijas sabiedrības pakalpojums sastāv no šā pakalpojuma saņēmēja iesniegtās informācijas uzglabāšanas, minētā pakalpojuma sniedzējs nav atbildīgs par informāciju, kas tiek uzglabāta pēc pakalpojuma saņēmēja pieprasījuma, ja ir izpildīts kāds no šādiem nosacījumiem:
a)
pakalpojuma sniedzējs nezina par darbības vai uzglabātās informācijas nelikumību, un attiecībā uz prasībām atlīdzināt zaudējumus tam nav zināmi fakti vai apstākļi, no kuriem izriet, ka attiecīgā darbība vai informācija varētu kaitēt kādas trešās personas tiesībām;
b)
uzzinot, ka attiecīgā darbība vai informācija ir nelikumīga, vai uzzinot faktus vai apstākļus, no kuriem izriet, ka attiecīgā darbība vai informācija varētu kaitēt kādas trešās personas tiesībām, pakalpojuma sniedzējs rīkojas ātri, lai šo darbību vai informāciju izņemtu vai liegtu piekļuvi tai.
2.   Šā panta 1. punkta noteikumus nepiemēro, ja pakalpojumu saņēmējs rīkojas pakalpojumu sniedzēja uzdevumā vai kontrolē.
3.   Šā panta noteikumi neietekmē tiesu iestādes vai administratīvās iestādes iespēju pieprasīt pakalpojumu sniedzējam izbeigt datu aizsardzības pārkāpumu vai novērst šādu pārkāpumu, kā arī iespēju ieviest valdības procedūras, kuru mērķis ir ierobežot vai pārtraukt piekļuvi informācijai.”
29
Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Metodiskie norādījumi par Likuma Nr. 365/2002 par elektronisko tirdzniecību piemērošanas kārtību), kas apstiprināti ar 2002. gada 20. novembraHotărârea Guvernului
nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Valdības lēmums Nr. 1.308, ar ko apstiprina Metodiskos norādījumus par Likuma Nr. 365/2002 par elektronisko tirdzniecību piemērošanas kārtību; 2002. gada 5. decembraMonitorul Oficial al României, I daļa, Nr. 877), 11. panta 1. punkts noteic:
“Informācijas sabiedrības pakalpojumu sniedzējiem, kas piedāvā Likuma [Nr. 365/2002] 12.–15. pantā minētos pakalpojumus, nav nedz jāpārbauda informācija, ko tie pārraida vai uzglabā, nedz aktīvi jāmeklē dati par šķietami prettiesiskām darbībām vai informāciju to sniegto informācijas sabiedrības pakalpojumu jomā.”
Pamatlieta un prejudiciālie jautājumi
30
Saskaņā ar Rumānijas tiesībām dibinātai sabiedrībai Russmedia
Digital pieder tīmekļvietne www.publi24.ro, kas ir tiešsaistes tirdzniecības vietne, kurā bez maksas vai par atlīdzību var publicēt reklāmas sludinājumus, tostarp par preču pārdošanu vai pakalpojumu sniegšanu Rumānijā.
31
Prasītāja pamatlietā apgalvo, ka 2018. gada 1. augustā neidentificēta trešā persona šajā tīmekļvietnē publicējusi maldinošu un kaitējošu sludinājumu, kurā norādīts, ka viņa piedāvājot seksuāla rakstura pakalpojumus. Sludinājumā tostarp bija iekļautas prasītājas pamatlietā fotogrāfijas, kas tika izmantotas bez viņas piekrišanas, kā arī viņas tālruņa numurs. Pēc tam šis sludinājums tika identiski pārpublicēts citās reklāmas sludinājumu tīmekļvietnēs, kur tas tika ievietots tiešsaistē, norādot tā sākotnējo avotu. Pēc prasītājas pamatlietā pieprasījuma Russmedia
Digital izņēma šo sludinājumu no savas tīmekļvietnes mazāk nekā stundu pēc pieprasījuma saņemšanas. Šis pats sludinājums tomēr joprojām esot pieejams citās tīmekļvietnēs, kurās tas ir pārpublicēts.
32
Uzskatot, ka ar pamatlietā aplūkojamo sludinājumu ir aizskartas viņas tiesības uz attēlu, godu un reputāciju, kā arī uz privāto dzīvi un pārkāpti arī noteikumi par personas datu apstrādi, prasītāja pamatlietā pret Russmedia cēla prasību Judecătoria Cluj‑Napoca (Klužas‑Napokas pirmās instances tiesa, Rumānija). Minētā tiesa piesprieda Russmedia samaksāt viņai kaitējuma atlīdzinājumu 7000 EUR par nemateriālo kaitējumu, kas nodarīts ar tiesību uz attēlu, godu un reputāciju aizskārumu, kā arī tiesību uz privātās dzīves neaizskaramību pārkāpumu un viņas personas datu nelikumīgu apstrādi.
33
Russmedia par šo spriedumu iesniedza apelācijas sūdzību. Tribunalul Specializat Cluj (Klužas specializētā tiesa, Rumānija) apmierināja šo apelācijas sūdzību, nospriežot, ka prasītājas pamatlietā prasība nav pamatota, jo Russmedia nav pamatlietā aplūkojamā sludinājuma autore, bet gan vienīgi sniegusi šā sludinājuma mitināšanas pakalpojumu bez aktīvas iesaistes tā satura veidošanā. Tāpēc šai sabiedrībai esot piemērojams Likuma Nr. 365/2002 14. panta 1. punkta b) apakšpunktā paredzētais atbrīvojums no atbildības. Jautājumā par personas datu apstrādi minētā tiesa uzskatīja, ka informācijas sabiedrības pakalpojumu sniedzējam nav pienākuma nedz pārbaudīt informāciju, ko tas pārraida, nedz aktīvi meklēt datus, kas attiecas uz šķietami nelikumīgām darbībām vai nelikumīgu informāciju. Šajā ziņā tā nosprieda, ka Russmedia nevar pārmest, ka tā nav veikusi pasākumus, lai novērstu pamatlietā aplūkojamā godu aizskarošā sludinājuma izplatīšanu tiešsaistē, jo tā pēc prasītājas pamatlietā lūguma šo sludinājumu ir ātri izdzēsusi.
34
Šo spriedumu prasītāja pamatlietā pārsūdzēja Curtea de Apel Cluj (Klužas apelācijas tiesa, Rumānija), jo uzskatīja, ka Tribunalul Specializat Cluj (Klužas specializētā tiesa) ir balstījusies uz kļūdainu Likuma Nr. 365/2002 interpretāciju. Viņa tostarp apgalvo, ka, tā kā šis likums neesot lex specialis attiecībā pret VDAR, minētajai tiesai esot bijis jāizvērtē šīs regulas piemērojamība šajā lietā. Turklāt neesot tā, ka Russmedia vienīgi nodarbotos ar īpašu tehnisku līdzekļu nodrošināšanu saviem klientiem, lai tie varētu piekļūt mitināšanas serverim. Tā esot rīkojusies arī kā pārvaldītāja, iesaistoties satura veidošanā, lai nodrošinātu labu informācijas pārvaldību. Minētā sabiedrība kā pamatlietā aplūkojamās tīmekļvietnes pārvaldītāja uzglabājot un apstrādājot informācijas saturu. Datu uzglabāšana, kā arī to publiskošana noteiktā formā ietverot sludinājumos esošo datu un informācijas analīzi. Šie faktori pierādot Russmedia tiešu iesaistīšanos sludinājumu satura pārvaldībā un izplatīšanā. Tāpēc Likuma Nr. 365/2002 14. panta noteikumi neesot piemērojami.
35
Turklāt prasītāja pamatlietā apgalvo, ka šāda pakalpojumu sniedzēja atbrīvošana no atbildības nav piemērojama, ja atbildība ir noteikta citos reglamentējošos aktos, piemēram, VDAR. Russmedia esot publicējusi prasītājas pamatlietā personas datus bez viņas piekrišanas un ar savas tīmekļvietnes darbības palīdzību ļaujot ikvienam ievietot jebkāda veida sludinājumus, tostarp sludinājumus, kas negarantē personas datu drošību, padarot tiešsaistē publicēto datu galīgu dzēšanu neiespējamu.
36
Savukārt Russmedia uzskata, ka Tribunalul Specializat Cluj (Klužas specializētā tiesa) pieņemtais risinājums ir pareizs. Prasītāja pamatlietā neesot pierādījusi, kādā ziņā VDAR ir lex specialis, kas liedz piemērot atbilstošās Likuma Nr. 365/2002 normas.
37
Curtea de Apel Cluj (Klužas apelācijas tiesa), kas ir iesniedzējtiesa un kas šajā lietā lemj kā pārsūdzības instances tiesa, kuras nolēmums ir galīgs, uzskata par nepieciešamu tostarp noteikt robežas atbrīvojumam no atbildības tādam informācijas sabiedrības pakalpojumu sniedzējam kā Russmedia saskaņā ar Direktīvu 2000/31.
38
Atsaucoties uz Tiesas judikatūru, kurai ir nozīme šajā lietā, iesniedzējtiesa konstatē, ka, lai gan saskaņā ar šo judikatūru tiešsaistes tirdzniecības vietņu operatoriem nav pienākuma iepriekš pārbaudīt sludinājumus ievietojušo lietotāju ievietoto informāciju vai sludinājumus, tomēr šo operatoru atbrīvošana no atbildības ir pakārtota nosacījumiem. Tādējādi saskaņā ar 2011. gada 12. jūlija spriedumu L’Oréal u.c. (C‑324/09, EU:C:2011:474) tiešsaistes pakalpojumu sniedzējs nevar atsaukties uz Direktīvas 2000/31 14. panta 1. punktā paredzēto atbrīvojumu no atbildības, ja tam ir bijis zināms par faktiem vai apstākļiem, uz kuriem pamatojoties rūpīgam saimnieciskās darbības subjektam būtu bijis jākonstatē attiecīgo pārdošanas piedāvājumu prettiesiskums, un šādu zināšanu gadījumā viņš nav ātri rīkojies atbilstoši šīs direktīvas 14. panta 1. punkta b) apakšpunktam. Tāpat arī no 2014. gada 11. septembra sprieduma Papasavvas (C‑291/13, EU:C:2014:2209) izrietot, ka Direktīvas 2000/31 12.–14. pantā paredzētie civiltiesiskās atbildības ierobežojumi nav piemērojami tādai sabiedrībai, kam pieder tīmekļvietne, kurā ir publicēta laikraksta elektroniskā versija, situācijā, kad šādi publicētā informācija šai sabiedrībai, kas par attiecīgajā tīmekļvietnē izplatīto komercreklāmu saņem atlīdzību, ir zināma un ir tās kontrolē.
39
Iesniedzējtiesa tomēr uzsver, ka minētā judikatūra attiecas vienīgi uz tīmekļvietnē ievietotiem piedāvājumiem, kuru nelikumīgums izriet no to faktu un apstākļu analīzes, par kuriem pārzinim ir skaidri paziņots pēc attiecīgā sludinājuma publicēšanas. Tādējādi Tiesai vēl neesot bijis iespējas izvērtēt tādu situāciju kā pamatlietā aplūkojamā, kurā publicētā sludinājuma saturs bija acīmredzami prettiesisks un datu subjektam būtiski kaitējošs.
40
Šajā kontekstā iesniedzējtiesa vēlas noskaidrot, vai pienākums dzēst acīmredzami nelikumīgu un būtiski kaitējošu saturu platformai rodas tikai tad, ja tai par šādu saturu tiek paziņots. Šajā gadījumā pamatlietā aplūkojamais sludinājums esot publicēts, nepārbaudot sludinājumu ievietojušā lietotāja identitāti un acīmredzami nesaņemot piekrišanu no prasītājas pamatlietā.
41
Turklāt, lai gan pamatlietā aplūkojamais sludinājums pēc prasītājas pamatlietā paziņojuma no sākotnējās tīmekļvietnes tika dzēsts, šā sludinājuma saturs, ieskaitot viņas kontaktinformāciju un fotogrāfijas, esot pilnībā pārņemts daudzās citās tīmekļvietnēs, norādot sākotnējo avotu. Līdz ar to prasītājai pamatlietā nodarītais kaitējums esot kļuvis nepārejošs un turpinoties vēl joprojām. Iesniedzējtiesa šajā ziņā uzsver, ka viņas it kā piedāvātie seksuālie pakalpojumi var būt saistīti ar tādiem smagiem noziedzīgiem nodarījumiem kā, piemēram, personas iesaistīšana prostitūcijā un cilvēku tirdzniecība, kas ir sodāmi saskaņā ar Codul penal (Kriminālkodekss).
42
Iesniedzējtiesa precizē, ka saskaņā ar vispārīgajiem Russmedia pārvaldītās tiešsaistes tirdzniecības vietnes izmantošanas nosacījumiem šī sabiedrība, lai arī nepretendējot uz publicēto sludinājumu satura īpašumtiesībām, tomēr patur tiesības izmantot šo saturu, tostarp jebkurā brīdī to kopēt, izplatīt, nosūtīt, publicēt, reproducēt, pārveidot, tulkot, nodot partneriem un dzēst, pat nenorādot pamatotu iemeslu šādai rīcībai.
43
Šādos apstākļos Curtea de Apel Cluj (Klužas apelācijas tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1)
Vai [Direktīvas 2000/31] 12.–14. pants attiecas arī uz tādu [ar informācijas mitināšanu saistīto] informācijas [sabiedrības] pakalpojumu sniedzēju, kas nodrošina lietotājiem vietni bezmaksas vai maksas sludinājumu publicēšanai un apgalvo, ka tā loma lietotāju sludinājumu publicēšanā ir tikai tehniska (nodrošinot platformu), taču savos vispārīgajos vietnes izmantošanas nosacījumos norāda, ka tas, lai arī nepretendē uz īpašumtiesībām attiecībā uz iesniegto, publicēto, augšupielādēto vai nosūtīto saturu, tomēr saglabā tiesības izmantot šo saturu, t.sk. jebkurā brīdī to kopēt, izplatīt, nosūtīt, publicēt, reproducēt, pārveidot, tulkot, nodot partneriem un dzēst pat bez nepieciešamības šādu rīcību pamatot?
2)
Vai saskaņā ar [VDAR] 2. panta 4. punkta, 4. panta 7. un 11. punkta, 5. panta 1. punkta f) apakšpunkta, 6. panta 1. punkta a) apakšpunkta, 7., 24. un 25. panta un Direktīvas 2000/31 15. panta interpretāciju šādam [ar informācijas mitināšanu saistīto] informācijas [sabiedrības] pakalpojumu sniedzējam, kurš ir personas datu pārzinis, pirms sludinājuma publicēšanas jāpārbauda, vai persona, kas publicē sludinājumu, un personas datu īpašnieks, uz kuru attiecas sludinājums, ir viena un tā pati persona?
3)
Vai saskaņā ar [VDAR] 2. panta 4. punkta, 4. panta 7. un 11. punkta, 5. panta 1. punkta f) apakšpunkta, 6. panta 1. punkta a) apakšpunkta, 7., 24. un 25. panta un Direktīvas 2000/31 15. panta interpretāciju šādam [ar informācijas mitināšanu saistīto] informācijas [sabiedrības] pakalpojumu sniedzējam, kurš ir personas datu pārzinis, iepriekš jāpārbauda lietotāju nosūtīto sludinājumu saturs, lai izslēgtu tos sludinājumus, kuri, iespējams, ir nelikumīgi vai kuri var iespējami radīt personas privātās un ģimenes dzīves aizskārumu?
4)
Vai saskaņā ar [VDAR] 5. panta 1. punkta b) un f) apakšpunkta un 24. un 25. panta, kā arī Direktīvas 2000/31 15. panta interpretāciju šādam [ar informācijas mitināšanu saistīto] informācijas [sabiedrības] pakalpojumu sniedzējam, kurš ir datu pārzinis, ir pienākums īstenot drošības pasākumus, lai novērstu vai ierobežotu ar tā starpniecību publicēto sludinājumu satura reproducēšanu un izplatīšanu?”
Par prejudiciālajiem jautājumiem
44
Saskaņā ar pastāvīgo judikatūru sadarbībā starp valstu tiesām un Tiesu, kas iedibināta ar LESD 267. pantu, Tiesai jāsniedz valsts tiesai noderīga atbilde, kas ļautu izlemt tās izskatīšanā esošo strīdu. Šajā nolūkā Tiesai vajadzības gadījumā jāpārformulē tai uzdotie jautājumi. Šajā ziņā tai no visas valsts tiesas sniegtās informācijas un tostarp no lūguma sniegt prejudiciālu nolēmumu motīvu daļas ir tiesības nošķirt tos Savienības tiesību elementus, kuriem ir nepieciešama interpretācija, ņemot vērā strīda priekšmetu (šajā nozīmē skat. spriedumus, 1978. gada 29. novembris, Redmond, 83/78, EU:C:1978:214, 26. punkts; 2000. gada 28. novembris, Roquette Frères, C‑88/99, EU:C:2000:652, 18. punkts, un 2024. gada 30. aprīlis, M. N. (EncroChat), C‑670/22, EU:C:2024:372, 78. punkts).
45
Ar iesniedzējtiesas jautājumiem kopumā ir gribēts noskaidrot, pirmkārt, vai tāds tiešsaistes tirdzniecības vietnes operators kā Russmedia, kas ļauj lietotājiem anonīmi ievietot sludinājumus savā tiešsaistes tirdzniecības vietnē bez maksas vai par atlīdzību, nav izpildījis tam VDAR paredzētos pienākumus, ja tā tiešsaistes tirdzniecības vietnē publicētajā sludinājumā pretrunā šai regulai ir ietverti personas dati, tostarp sensitīvi dati, un, otrkārt, vai šādam operatoram ir piemērojams Direktīvas 2000/31 12.–15. pants par starpnieku pakalpojumu sniedzēju atbildību.
46
Lai uz šiem jautājumiem sniegtu lietderīgu atbildi, vispirms jāizvērtē otrais līdz ceturtais jautājums – ar kuriem ir gribēts noskaidrot, kādi pienākumi saskaņā ar VDAR ir tiešsaistes tirdzniecības vietnes operatoram tādā situācijā kā pamatlietā aplūkojamā –, pārformulējot šos jautājumus tādējādi, lai tie attiektos tikai uz šīs regulas interpretāciju. Pēc tam tiks izvērtēts, vai šāds operators drīkst atsaukties uz Direktīvas 2000/31 12.–15. pantu, proti, tas, par ko būtībā tiek vaicāts pirmajā jautājumā.
Par otro līdz ceturto jautājumu par VDAR interpretāciju
Ievadapsvērumi
47
Ievadam, pirmām kārtām, jānorāda: no lūguma sniegt prejudiciālu nolēmumu izriet, ka attiecīgajā sludinājumā prasītāja pamatlietā tika attēlota kā persona, kas piedāvā seksuāla rakstura pakalpojumus, un ka šajā sludinājumā tostarp bija iekļautas viņas fotogrāfijas, kas tika izmantotas bez viņas piekrišanas, kā arī viņas tālruņa numurs.
48
Savukārt lietā nav strīda par to, ka šāda informācija ir personas dati VDAR 4. panta 1. punkta izpratnē, saskaņā ar kuru šādi dati ir “jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu”, un kurā ir precizēts, ka ““identificējama fiziska persona” ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem”.
49
Proti, atbilstoši pastāvīgajai judikatūrai tas, ka VDAR 4. panta 1. punktā rodamajā jēdziena “personas dati” definīcijā ir izmantota vārdkopa “jebkuru informāciju”, norāda uz Savienības likumdevēja mērķi šo jēdzienu apveltīt ar plašu nozīmi, kas potenciāli aptver visu veidu – gan objektīvu, gan subjektīvu – informāciju viedokļa vai vērtējumu formā, ja vien šī informācija “attiecas uz” konkrēto personu. Informācija attiecas uz identificētu vai identificējamu fizisku personu, ja satura, mērķa vai seku ziņā tā ir saistīta ar kādu identificējamu personu (spriedums, 2025. gada 3. aprīlis, Ministerstvo zdravotnictví (Juridiskas personas pārstāvja dati), C‑710/23, EU:C:2025:231, 21. punkts un tajā minētā judikatūra).
50
Turklāt VDAR 9. panta 1. punktā ir paredzēts īpašs aizsardzības režīms īpašām šo personas datu kategorijām, tostarp datiem par fiziskas personas dzimumdzīvi vai seksuālo orientāciju.
51
Tiesa ir precizējusi, ka šīs regulas 9. panta 1. punkta mērķis ir nodrošināt ciešāku aizsardzību pret apstrādi, kas apstrādājamo datu īpašās sensitivitātes dēļ var radīt Hartas 7. un 8. pantā garantēto pamattiesību uz privātās dzīves neaizskaramību un personas datu aizsardzību īpaši smagu aizskārumu (spriedums, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41. punkts un tajā minētā judikatūra).
52
Savukārt, lai varētu nodrošināt šādu ciešāku aizsardzību, minētie “sensitīvie dati” noteikti jādefinē plaši. Tādējādi Tiesa ir nospriedusi, ka VDAR 9. panta 1. punkts ir piemērojams ne tikai tādu datu apstrādei, kuri pēc savas būtības ir sensitīvi un uz kuriem attiecas minētais pants, bet arī tādu datu apstrādei, kas ar intelektuālu dedukcijas vai sasaistīšanas darbību palīdzību šāda veida informāciju ļauj atklāt netieši (spriedums, 2023. gada 5. jūnijs, Komisija/Polija (Tiesnešu neatkarība un privātā dzīve), C‑204/21, EU:C:2023:442, 344. punkts, kā arī tajā minētā judikatūra).
53
Šādā plašā definējumā apstāklis, ka dati par fiziskas personas dzimumdzīvi vai seksuālo orientāciju ir maldinoši un kaitējoši, nevar liegt šādus datus kvalificēt kā “sensitīvus datus” VDAR 9. panta 1. punkta izpratnē.
54
Otrām kārtām, jākonstatē, ka pamatlietā aplūkojamā apstrāde izpaužas kā šā sludinājuma un tādējādi šo datu publicēšana Russmedia tiešsaistes tirdzniecības vietnē. Proti, darbība, kuras rezultātā tīmekļvietnē tiek ievietoti personas dati, ir apstrāde VDAR 4. panta 2. punkta izpratnē (spriedums, 2022. gada 1. augusts, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 65. punkts un tajā minētā judikatūra).
55
Trešām kārtām, jānorāda – otrajā līdz ceturtajā jautājumā ir minēts, ka attiecīgais tiešsaistes tirdzniecības vietnes operators ir personas datu pārzinis. Taču ir redzams, ka personas datus, par kuru publicēšanu ir pamatlieta, attiecīgajā sludinājumā ievietojis kāds anonīms lietotājs, šim operatoram nekādi konkrēti neietekmējot šā sludinājuma saturu un neapzinoties, ka tas ir maldinošs un kaitējošs. Šādos apstākļos jāsniedz skaidrojumi par jēdzienu “pārzinis” un “kopīgi pārziņi” attiecīgi VDAR 4. panta 7. punkta un 26. panta izpratnē tvērumu.
56
VDAR 4. panta 7. punktā jēdziens “pārzinis” ir definēts plaši kā fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus.
57
Ar šo plašo definīciju ir gribēts atbilstoši VDAR mērķim nodrošināt fizisko personu pamattiesību un brīvību efektīvu aizsardzību, kā arī tostarp ikvienas personas tiesību uz savu personas datu aizsardzību augstā līmenī (spriedums, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 29. punkts un tajā minētā judikatūra).
58
Tādējādi ikviena fiziska vai juridiska persona, kura savās interesēs ietekmē šādu datu apstrādi un tāpēc piedalās šīs apstrādes nolūku un mērķu noteikšanā, var tikt uzskatīta par minētās apstrādes pārzini (spriedums, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 30. punkts un tajā minētā judikatūra).
59
Turklāt, tā kā – atbilstoši VDAR 4. panta 7. punktā skaidri noteiktajam – ar jēdzienu “pārzinis” ir domāta persona, “kas viena pati vai kopīgi ar citām” nosaka personas datu apstrādes nolūkus un līdzekļus, šis jēdziens var arī nenozīmēt kādu vienu personu, bet gan attiekties uz vairākiem subjektiem, kas piedalās šajā apstrādē; tādā gadījumā personas datu apstrādi reglamentējošās tiesību normas ir piemērojamas katram no tiem (šajā nozīmē skat. spriedumu, 2019. gada 29. jūlijs, Fashion ID, C‑40/17, EU:C:2019:629, 67. punkts un tajā minētā judikatūra).
60
VDAR 26. pants atbilstīgi šīs regulas 4. panta 7. punktā ietvertajai “pārziņa” definīcijai būtībā noteic, ka tad, ja divi vai vairāki pārziņi kopīgi nosaka apstrādes nolūkus un līdzekļus, tie ir uzskatāmi par šīs apstrādes “kopīgiem pārziņiem”.
61
Šādai kopīgai atbildībai nav obligāti nepieciešams, lai par attiecīgo personas datu apstrādes nolūkiem un līdzekļiem būtu nolemts kopīgi. Proti, Tiesa ir nospriedusi, ka dalība šo nolūku un līdzekļu noteikšanā var izpausties dažādos veidos – tā var izrietēt gan no divu vai vairāku struktūru kopīgi pieņemta lēmuma, gan no šādu struktūru konverģējošiem lēmumiem, kuri cits citu papildina tādējādi, ka katram no tiem ir konkrēta ietekme uz minēto nolūku un līdzekļu noteikšanu (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 43. punkts).
62
Šajā ziņā netiek prasīts, lai gadījumā, kad saskaņā ar VDAR 4. panta 7. punktu par vienu apstrādi kopīgi atbild vairāki subjekti, attiecīgie personas dati būtu pieejami katram no tiem (spriedumi, 2019. gada 29. jūlijs, Fashion ID, C‑40/17, EU:C:2019:629, 69. punkts un tajā minētā judikatūra, kā arī 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42. punkts).
63
Šajā pašā perspektīvā Tiesa ir precizējusi – kopīga atbildība ne vienmēr nozīmē, ka dažādie ar personas datu apstrādi saistītie subjekti būtu par to vienlīdz atbildīgi. Gluži pretēji, šie subjekti var būt iesaistīti dažādos šīs apstrādes posmos un atšķirīgā mērā, un tāpēc tas, cik lielā apmērā katrs no tiem ir atbildīgs, jāvērtē, ņemot vērā visus apstākļus, kam ir nozīme konkrētajā lietā (šajā nozīmē skat. spriedumus, 2018. gada 10. jūlijs, Jehovan todistajat, C‑25/17, EU:C:2018:551, 66. punkts un tajā minētā judikatūra, kā arī 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 42. punkts).
64
Šajā lietā nav strīda par to, ka lietotājs, kurš Russmedia pārvaldītajā tiešsaistes tirdzniecības vietnē ievietojis maldinošu un kaitējošu sludinājumu ar prasītājas pamatlietā personas datiem, jāuzskata par galveno, kas ir noteicis šo datu apstrādes nolūkus un līdzekļus, un tāpēc atbilst jēdzienam “pārzinis” VDAR 4. panta 7. punkta izpratnē.
65
Tomēr ir konstatēts, ka šis sludinājums internetā ir publicēts un tādējādi kļuvis pieejams interneta lietotājiem tikai ar Russmedia pārvaldītās tiešsaistes tirdzniecības vietnes starpniecību.
66
Savukārt, lai gan no šā sprieduma 58. punktā minētās judikatūras izriet, ka personu var uzskatīt par personas datu “pārzini” tikai tad, ja tā šo apstrādi ietekmē savās interesēs, tomēr jākonstatē, ka šāda situācija var būt konkrēti gadījumā, kad tiešsaistes tirdzniecības vietnes operators attiecīgos personas datus publicē komerciālos vai reklāmas nolūkos, kuri ir plašāki nekā tikai pakalpojuma sniegšana sludinājumu ievietojušajam lietotājam.
67
Šajā lietā no iesniedzējtiesas nolēmuma izriet, ka Russmedia savā tiešsaistes tirdzniecības vietnē publicē sludinājumus pati savos komerciālos nolūkos. Šajā ziņā vispārīgie šīs tirdzniecības vietnes izmantošanas nosacījumi apvelta Russmedia ar plašu brīvību izmantot minētajā tirdzniecības vietnē publicēto informāciju. Konkrēti, kā norāda iesniedzējtiesa, Russmedia patur sev tiesības izmantot publicēto saturu, to jebkurā brīdī izplatīt, nosūtīt, reproducēt, pārveidot, tulkot, nodot partneriem un dzēst, nenorādot “pamatotu iemeslu” šādai rīcībai. Tādējādi sludinājumos ietvertos personas datus Russmedia publicē nevis – vai ne tikai – sludinājumus ievietojušo lietotāju vārdā, bet gan apstrādā šos datus un var tos izmantot savos reklāmas un komerciālajos nolūkos.
68
Tāpēc jāuzskata, ka Russmedia savās interesēs ir ietekmējusi prasītājas pamatlietā personas datu publicēšanu internetā un šādā veidā ir piedalījusies attiecīgās publicēšanas un tātad attiecīgās apstrādes nolūku noteikšanā.
69
Šo konstatējumu neatspēko tas, ka Russmedia acīmredzami nav piedalījusies tā maldinošā un kaitējošā nolūka noteikšanā, ko sludinājumu ievietojušais lietotājs bija iecerējis īstenot, publicēdams pamatlietā aplūkojamo sludinājumu. Proti, Russmedia ir piedalījusies tāda apstrādes nolūka noteikšanā, kas izpaužas kā pamatlietā aplūkojamajā sludinājumā ietverto personas datu pieejamības nodrošināšana interneta lietotājiem, lai no šīm publikācijām gūtu peļņu. Turklāt, ļaujot sludinājumus savā tiešsaistes tirdzniecības vietnē ievietot anonīmi, Russmedia ir padarījusi iespējamu šādu datu publicēšanu bez datu subjekta piekrišanas.
70
Nododot sludinājumu ievietojušā lietotāja rīcībā savu tiešsaistes tirdzniecības vietni, kas tika izmantota pamatlietā aplūkojamā sludinājuma publicēšanai, Russmedia ir piedalījusies arī šīs publicēšanas līdzekļu noteikšanā.
71
Proti, Tiesa būtībā jau ir nospriedusi, ka apstrādes līdzekļu noteikšanā piedalās tāda fiziska vai juridiska persona, kas izšķiroši ietekmē personas datu vākšanu un nosūtīšanu, vai arī tāda persona, kas, iestatot parametrus atbilstoši savas darbības pārvaldības vai veicināšanas mērķiem, ietekmē šādu datu apstrādi (šajā nozīmē skat. spriedumus, 2018. gada 5. jūnijs, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, 36. punkts, un 2019. gada 29. jūlijs, Fashion ID, C‑40/17, EU:C:2019:629, 78. punkts). Tas pats attiecas uz meklētājprogrammu, ja tās darbībai ir izšķiroša nozīme personas datu vispārējā izplatīšanā, jo tādējādi šie dati kļūst publiski pieejami tiešsaistē strukturētā un apkopotā veidā (šajā nozīmē skat. spriedumu, 2022. gada 8. decembris, Google (Atsauču uz apgalvoti nepatiesu saturu atsaistīšana), C‑460/20, EU:C:2022:962, 50. punkts un tajā minētā judikatūra).
72
Līdz ar to jākonstatē, ka tad, ja tāds tiešsaistes tirdzniecības vietnes operators kā, piemēram, Russmedia atbilstoši paredzētajiem adresātiem nosaka personas datus iespējami ietverošu sludinājumu izplatīšanas parametrus, nosaka šīs izplatīšanas noformējumu, ilgumu vai rubrikas, kādās ir strukturēta publicētā informācija, vai arī organizē klasifikāciju, kas noteiks šādas izplatīšanas kārtību, tas piedalās attiecīgo personas datu publiskošanas būtisko līdzekļu noteikšanā, tādējādi izšķiroši ietekmējot šo datu vispārējo izplatīšanu.
73
Šajā ziņā vispārīgo attiecīgās tiešsaistes tirdzniecības vietnes izmantošanas nosacījumu saturā var būt rodams apliecinājums tam, ka šīs tirdzniecības vietnes operators izšķiroši ietekmē attiecīgo personas datu apstrādi un tādējādi nosaka šīs apstrādes līdzekļus. Šķiet, ka tas tā ir gadījumā ar vispārīgajiem Russmedia interneta tirdzniecības vietnes izmantošanas nosacījumiem, kuros šī sabiedrība tostarp patur tiesības izplatīt, nosūtīt, publicēt, dzēst vai reproducēt sludinājumos ietverto informāciju, tostarp tajos ietvertos personas datus.
74
Katrā ziņā tiešsaistes tirdzniecības vietnes operators kā personas datu pārzinis nevar izvairīties no atbildības, pamatojoties uz to, ka tas pats nav noteicis attiecīgā šajā tirdzniecības vietnē publicētā sludinājuma saturu. Proti, ne tikai skaidrajam VDAR 4. panta 7. punkta formulējumam, bet arī mērķim, jēdzienu “pārzinis” definējot plaši, nodrošināt datu subjektu efektīvu un pilnīgu aizsardzību, būtu pretrunā no šīs definīcijas izslēgt šādu pakalpojumu sniedzēju tikai šā iemesla dēļ vien.
75
Tātad jākonstatē, ka iesniedzējtiesa otro līdz ceturto jautājumu pamatoti ir balstījusi uz premisu, ka tādā situācijā kā pamatlietā aplūkotā tiešsaistes tirdzniecības vietnes operators ir šajā tiešsaistes tirdzniecības vietnē publicētajā sludinājumā ietverto personas datu pārzinis VDAR 4. panta 7. punkta izpratnē.
76
Uz šiem jautājumiem ir atbildams, ņemot vērā visus iepriekš izklāstītos ievadapsvērumus.
Par otro un trešo jautājumu
77
Ar otro un trešo jautājumu, kuri jāizskata kopā, iesniedzējtiesa būtībā vaicā, vai VDAR 5. panta 2. punkts, kā arī 24.–26. pants jāinterpretē tādējādi, ka tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim VDAR 4. panta 7. punkta izpratnē – pirms sludinājumu publicēšanas jāidentificē tie sludinājumi, kas ietver sensitīvus datus VDAR 9. panta 1. punkta izpratnē, jāpārbauda, vai lietotājs, kurš grasās ievietot šādu sludinājumu, ir persona, kuras sensitīvie dati ir ietverti šajā sludinājumā, un, ja tas tā nav, jāatsaka šā sludinājuma publicēšana bez nepārprotamas datu subjekta piekrišanas, jo šāda publicēšana varētu izraisīt Hartas 7. un 8. pantā garantēto šā datu subjekta tiesību uz privātās dzīves neaizskaramību un savu personas datu aizsardzību smagu pārkāpumu.
78
Saskaņā ar VDAR 1. panta 2. punktu, lasot to šīs regulas 4. un 10. apsvēruma gaismā, šīs regulas mērķis tostarp ir nodrošināt fizisku personu pamattiesību un pamatbrīvību augsta līmeņa aizsardzību attiecībā uz personas datu apstrādi; šīs tiesības ir atzītas arī Hartas 8. pantā un cieši saistītas ar tās 7. pantā nostiprinātajām tiesībām uz privātās dzīves neaizskaramību (šajā nozīmē skat. spriedumu, 2022. gada 1. augusts, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 61. punkts un tajā minētā judikatūra).
79
Šajā nolūkā, pirmkārt, VDAR II nodaļā ir izklāstīti personas datu apstrādes principi, kas pārzinim jāievēro. Konkrēti, jebkurai personas datu apstrādei jāatbilst šīs regulas 5. un 6. pantā uzskaitītajiem datu apstrādes principiem un apstrādes likumīguma nosacījumiem (šajā nozīmē skat. spriedumu, 2022. gada 1. augusts, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 62. punkts un tajā minētā judikatūra).
80
VDAR 5. panta 1. punkta a) apakšpunkts noteic, ka personas dati jāapstrādā likumīgi, godprātīgi un datu subjektam pārredzamā veidā. Šīs regulas 5. panta 1. punkta d) apakšpunktā ir piebilsts, ka apstrādātajiem personas datiem jābūt precīziem un vajadzības gadījumā atjauninātiem. Tādējādi jāveic visi saprātīgi iespējamie pasākumi, lai nodrošinātu, ka personas dati, kas ir neprecīzi, ņemot vērā to apstrādes nolūkus, bez kavēšanās tiktu dzēsti vai laboti. Minētās regulas 5. panta 1. punkta f) apakšpunkts noteic, ka personas dati jāapstrādā tā, lai tiktu nodrošināta atbilstoša šo datu drošība, tostarp aizsardzība pret neatļautu vai nelikumīgu apstrādi.
81
Par apstrādes likumīguma nosacījumiem Tiesa nospriedusi, ka VDAR 6. panta 1. punkta pirmajā daļā ir paredzēts izsmeļošs un ierobežojošs to gadījumu uzskaitījums, kuros personas datu apstrādi var uzskatīt par likumīgu. Tādējādi uz apstrādi jāattiecas kādam no šajā tiesību normā paredzētajiem gadījumiem (šajā nozīmē skat. spriedumu, 2025. gada 9. janvāris, Mousse, C‑394/23, EU:C:2025:2, 25. punkts un tajā minētā judikatūra).
82
Konkrēti, saskaņā ar VDAR 6. panta 1. punkta pirmās daļas a) apakšpunktu personas datu apstrāde ir likumīga, ja un ciktāl datu subjekts ir devis piekrišanu savu datu apstrādei vienam vai vairākiem konkrētiem nolūkiem. Šīs regulas 7. panta 1. punktā ir precizēts, ka šādā gadījumā pārzinim jāspēj uzskatāmi parādīt, ka datu subjekts ir devis piekrišanu savu personas datu apstrādei. Ja šādas piekrišanas nav vai ja piekrišana nav dota brīvi, konkrēti, apzināti un viennozīmīgi minētās regulas 4. panta 11. punkta izpratnē, šāda apstrāde tomēr var būt attaisnota tad, ja tā atbilst kādai no nepieciešamības prasībām, kas minētas šīs regulas 6. panta 1. punkta pirmās daļas b)–f) apakšpunktā (spriedums, 2025. gada 9. janvāris, Mousse, C‑394/23, EU:C:2025:2, 26. punkts un tajā minētā judikatūra).
83
Papildus šiem principiem un nosacījumiem ir arī īpašas prasības attiecībā uz sensitīviem datiem, kuri definēti VDAR 9. panta 1. punktā un kuru apstrāde principā ir aizliegta (šajā nozīmē skat. spriedumu, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 73. punkts).
84
No šā aizlieguma var atkāpties tikai tad, ja ir izpildīts kāds no šīs regulas 9. panta 2. punkta a)–j) apakšpunktā noteiktajiem izņēmumiem. Kā vienu no šiem šauri interpretējamiem izņēmumiem minētās regulas 9. panta 2. punkta a) apakšpunkts noteic, ka aizliegums apstrādāt sensitīvus datus nav piemērojams, ja datu subjekts ir devis nepārprotamu piekrišanu savu sensitīvo personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem, izņemot gadījumus, kad Savienības vai dalībvalsts tiesību aktos ir paredzēts, ka datu subjekts šo aizliegumu nevar atcelt.
85
Otrkārt, VDAR IV nodaļā ir precizēts personas datu pārziņa pienākumu tvērums saskaņā ar VDAR 5. panta 2. punktā noteikto pārskatatbildības principu.
86
Šī tiesību norma noteic, ka pārzinis ir atbildīgs par šā panta 1. punkta ievērošanu un ka tam jāspēj pierādīt, ka tas ievēro katru no minētajā 1. punktā noteiktajiem principiem, tādējādi uzliekot tam pienākumu sniegt šādus pierādījumus (spriedums, 2023. gada 4. maijs, Bundesrepublik Deutschland (Tiesu elektroniskā pastkaste), C‑60/22, EU:C:2023:373, 53. punkts un tajā minētā judikatūra).
87
Šis pārskatatbildības princips ir konkretizēts tostarp VDAR 24. pantā (šajā nozīmē skat. spriedumu, 2024. gada 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 43. punkts un tajā minētā judikatūra). Minētais pants noteic, ka, ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu.
88
Tādējādi VDAR 5. panta 2. punktā un 24. pantā personas datu pārzinim ir noteikti vispārīgi pienākumi attiecībā uz pārskatatbildību un atbilstību. Tajos ir noteikts, ka pārzinim jāveic atbilstīgi pasākumi, lai novērstu, ka varētu tikt pārkāpti noteikumi, kas VDAR paredzēti tiesību uz datu aizsardzību nodrošināšanai (šajā nozīmē skat. spriedumu, 2022. gada 27. oktobris, Proximus (Publiski pieejami elektroniski abonentu saraksti), C‑129/21, EU:C:2022:833, 81. punkts).
89
Tālab VDAR 25. panta 1. punkts pārzinim noteic pienākumu gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īstenot atbilstošus tehniskus un organizatoriskus pasākumus, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs regulas prasības un aizsargāt datu subjektu tiesības. Turklāt šā paša 25. panta 2. punktā par datu aizsardzību pēc noklusējuma tostarp ir noteikts, ka atbilstīgajiem tehniskajiem un organizatoriskajiem pasākumiem, kas pārzinim jāīsteno šajā nolūkā, jānodrošina, ka pēc noklusējuma personas datus bez attiecīgās fiziskās personas iesaistīšanās nedara pieejamus nenoteiktam fizisku personu skaitam.
90
Ja apstrādātie personas dati ir sensitīvi dati VDAR 9. panta 1. punkta izpratnē, pārzinim, lai noteiktu, kādi ir atbilstīgie pasākumi šīs regulas 24. un 25. panta izpratnē, it īpaši jāņem vērā, ka minētās regulas II nodaļā noteikto principu pārkāpums attiecībā uz šādu datu apstrādi var būt īpaši nopietna iejaukšanās Hartas 7. un 8. pantā garantētajās pamattiesībās uz privātās dzīves neaizskaramību un personas datu aizsardzību.
91
Visi šie skaidrojumi jāņem vērā, atbildot uz otro un trešo jautājumu, kā tie pārformulēti šā sprieduma 77. punktā.
92
Pirmām kārtām, par to, vai sludinājumi, kas ietver sensitīvus datus VDAR 9. panta 1. punkta izpratnē, tiešsaistes tirdzniecības vietnes operatoram jāidentificē pirms to publicēšanas, jāatgādina – kā izriet no šā sprieduma 64. un 75. punkta –, ka šis operators un lietotājs, kurš ir ievietojis šādu sludinājumu šajā tiešsaistes tirdzniecības vietnē, ir uzskatāmi par kopīgiem pārziņiem šīs regulas 26. panta izpratnē situācijā, kad attiecīgais sludinājums šajā vietnē ir publicēts.
93
No tā izriet, ka gan šim operatoram, gan sludinājumu ievietojušajam lietotājam jānodrošina no VDAR 5. panta 2. punkta, kā arī no 24. un 25. panta izrietošo pienākumu ievērošana. It īpaši tiem jāspēj pierādīt, ka attiecīgajā sludinājumā ietvertie personas dati ir publicēti likumīgi, proti, ka datu subjekts ir piekritis šādai publicēšanai, ja vien tie nevar atsaukties uz kādu citu VDAR 6. panta 1. punktā paredzēto nosacījumu. Ja attiecīgie personas dati ir sensitīvi dati VDAR 9. panta 1. punkta izpratnē, šādai publicēšanai, kā izriet no šā sprieduma 84. punkta, jāsaņem nepārprotama piekrišana. Tāpat saskaņā ar VDAR 5. panta 1. punkta d) apakšpunktā noteikto precizitātes principu pārziņiem jāspēj pierādīt, ka attiecīgie personas dati ir precīzi.
94
Lai noskaidrotu, kādi konkrēti ir atbilstīgie tehniskie un organizatoriskie pasākumi, kas tiešsaistes tirdzniecības vietnes operatoram kā kopīgam personas datu pārzinim jāīsteno saskaņā ar VDAR 24. un 25. pantu nolūkā nodrošināt un spēt pierādīt, ka sludinājumā ietverto sensitīvo datu publicēšana tiks veikta saskaņā ar šo regulu, jānorāda: no šīm tiesību normām izriet, ka šādu pasākumu piemērotība jāizvērtē konkrēti, ņemot vērā attiecīgās apstrādes iedabu, apjomu, kontekstu un nolūkus, kā arī tai piemītošo datu subjekta tiesību un brīvību aizskāruma risku iespējamību un nopietnību (šajā nozīmē skat. spriedumu, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 96. punkts).
95
Šajā ziņā jānorāda, ka personas datu publicēšana tiešsaistes tirdzniecības vietnē rada būtiskus datu subjekta tiesību un brīvību aizskāruma riskus, jo tā principā padara šos datus pieejamus ikvienam interneta lietotājam. Turklāt, tiklīdz minētie dati ir publicēti tiešsaistes tirdzniecības vietnē, tie var tikt kopēti un reproducēti citās tīmekļvietnēs, tādējādi datu subjektam var izrādīties grūti vai pat neiespējami panākt faktisku šo datu dzēšanu no interneta.
96
Ar šādu publicēšanu saistītie riski ir vēl jo nopietnāki, ja runa ir par sensitīviem datiem VDAR 9. panta 1. punkta izpratnē. Proti, kā skaidri teikts VDAR 51. apsvērumā, personas datiem, kas pēc savas būtības ir īpaši sensitīvi saistībā ar pamattiesībām un brīvībām, pienākas īpaša aizsardzība, jo to apstrādes konteksts varētu radīt nopietnu risku pamattiesībām un brīvībām (šajā nozīmē skat. spriedumu, 2024. gada 4. oktobris, Lindenapotheke, C‑21/23, EU:C:2024:846, 75. punkts). Šādu datu apstrāde – kā norādīts šā sprieduma 90. punktā – var radīt īpaši smagu iejaukšanos Hartas 7. un 8. pantā garantētajās pamattiesībās uz privātās dzīves neaizskaramību un personas datu aizsardzību. Turklāt iespējamība, ka, publicējot sludinājumu, kurā ir ietverti sensitīvi dati, varētu tikt pārkāptas šīs tiesības, ir ļoti augsta, ja sludinājumu ievietojušais lietotājs pats nav datu subjekts un ja tiešsaistes tirdzniecības vietne ļauj šādus sludinājumus ievietot anonīmi.
97
Līdz ar to, tā kā tādas tiešsaistes tirdzniecības vietnes kā pamatlietā aplūkojamā operators zina vai tam būtu jāzina, ka tā tiešsaistes tirdzniecības vietnē sludinājumu ievietojušie lietotāji vispārīgi var publicēt sludinājumus, kas ietver sensitīvus datus VDAR 9. panta 1. punkta izpratnē, šim operatoram kā šīs apstrādes pārzinim ir pienākums jau kopš sava pakalpojuma izstrādes posma īstenot atbilstīgus tehniskos un organizatoriskos pasākumus, lai identificētu šādus sludinājumus pirms to publicēšanas, un tādējādi spēt pārbaudīt, vai tajos ietvertie sensitīvie dati tiek publicēti, ievērojot šīs regulas II nodaļā noteiktos principus. Proti, kā izriet it īpaši no minētās regulas 25. panta 1. punkta, pienākums īstenot šādus pasākumus tam ir ne tikai apstrādes brīdī, bet jau nosakot apstrādes līdzekļus un tātad – pat pirms tā tiešsaistes tirdzniecības vietnē sensitīvie dati tiek publicēti, pārkāpjot šos principus, jo šā pienākuma mērķis tieši ir novērst šādus pārkāpumus.
98
Otrām kārtām, par to, vai tiešsaistes tirdzniecības vietnes operatoram kā subjektam, kas ir tā tīmekļvietnē publicētajos sludinājumos ietverto sensitīvo datu pārzinis kopīgi ar sludinājumu ievietojušo lietotāju, ir pienākums pārbaudīt šā lietotāja identitāti pirms minēto datu publicēšanas, jāatgādina, ka no VDAR 9. panta 1. punkta, lasot to kopsakarā ar šā panta 2. punkta a) apakšpunktu, izriet, ka šādu datu publicēšana ir aizliegta, ja vien vai nu datu subjekts nav devis nepārprotamu piekrišanu tam, ka attiecīgie dati tiek publicēti šajā tiešsaistes tirdzniecības vietnē, vai nav izpildīts kāds no 9. panta 2. punkta b)–j) apakšpunktā paredzētajiem izņēmumiem; taču šķiet, ka šajā gadījumā tas tā nav.
99
Tāpēc, lai gan tas, ka datu subjekts tiešsaistes tirdzniecības vietnē ievieto sludinājumu, kurā ir ietverti viņa paša sensitīvie dati, var būt nepārprotama piekrišana VDAR 9. panta 2. punkta a) apakšpunkta izpratnē, šādas piekrišanas nav, ja šo sludinājumu ievieto trešā persona, ja vien šī persona nevar pierādīt, ka datu subjekts ir devis skaidru piekrišanu minētā sludinājuma publicēšanai attiecīgajā tiešsaistes tirdzniecības vietnē. Līdz ar to, lai varētu pārliecināties un varētu pierādīt, ka VDAR 9. panta 2. punkta a) apakšpunktā noteiktās prasības ir ievērotas, šīs vietnes operatoram pirms šāda sludinājuma publicēšanas jāpārbauda, vai lietotājs, kas grasās ievietot šo sludinājumu, ir persona, kuras sensitīvie dati ir ietverti šajā sludinājumā; un tālab jānoskaidro šā lietotāja identitāte.
100
Turklāt no VDAR 13. panta 1. punkta a) apakšpunkta un 14. panta 1. punkta a) apakšpunkta izriet, ka personas datu pārziņiem jebkurā gadījumā jādara datu subjektam zināma sava identitāte un kontaktinformācija.
101
Visbeidzot jānorāda, ka VDAR 26. pants uzliek pienākumu vienas un tās pašas personas datu apstrādes kopīgajiem pārziņiem pārredzamā veidā noteikt savus attiecīgos pienākumus, lai izpildītu šajā regulā uzliktās saistības. Taču šāds pienākums izrādītos neiespējams, ja kāds no šīs apstrādes pārziņiem varētu palikt otram nezināms.
102
Tādējādi no iepriekš izklāstītā izriet, ka tiešsaistes tirdzniecības vietnes operatoram kā subjektam, kas ir atbildīgs par tā tiešsaistes tirdzniecības vietnē ievietotā sludinājumā ietverto sensitīvo datu publicēšanu kopīgi ar sludinājumu ievietojušo lietotāju, ir pienākums noskaidrot šā lietotāja identitāti un pārliecināties, vai tā ir persona, kuras sensitīvie dati ir ietverti šajā sludinājumā.
103
Šajā ziņā, kā secinājumu 132. punktā būtībā norāda ģenerāladvokāts, no VDAR 75. apsvēruma izriet, ka it īpaši identitātes viltošanas gadījumā personas datu apstrāde var radīt risku datu subjektu tiesībām un brīvībām, jo šiem datu subjektiem šīs viltošanas dēļ varētu tikt liegta iespēja kontrolēt savus personas datus. Proti, parasti identitāte tiek viltota ar nolūku veikt krāpnieciskas darbības, kaitējot datu subjektam vai trešām personām.
104
Šādos apstākļos un ņemot vērā arī šā sprieduma 95. un 96. punktā izklāstītos apsvērumus, lai varētu pārliecināties un pierādīt, ka sludinājumos ietvertie sensitīvie dati tiek apstrādāti atbilstīgi VDAR prasībām, tiešsaistes tirdzniecības vietnes operatoram saskaņā ar šīs regulas 24. un 25. pantu ir jāparedz atbilstīgi tehniski un organizatoriski pasākumi, kas tam ļautu ne tikai noskaidrot, bet arī pārbaudīt sludinājumu ievietojošā lietotāja identitāti pirms šo sludinājumu publicēšanas, tostarp tālab, lai varētu pārliecināties, vai viņš ir persona, kuras sensitīvie dati ir ietverti minētajā sludinājumā. Šādiem pasākumiem – kā secinājumu 134. punktā norāda ģenerāladvokāts – it īpaši jāļauj ierobežot datu subjektu personas datu nelikumīgas apstrādes risku un cīnīties pret negodīgu šādas tiešsaistes tirdzniecības vietnes izmantošanu, mazinot nesodāmības izjūtu un tādējādi mudinot sludinājumu ievietojošos lietotājus ievērot VDAR prasības, kad tie publicē sludinājumus, kuros ir ietverti personas dati.
105
Visbeidzot, trešām kārtām, par to, vai tiešsaistes tirdzniecības vietnes operatoram jāatsakās publicēt sludinājumu, kas ietver sensitīvus datus, situācijā, kad pēc šādas sludinājumu ievietojošā lietotāja identitātes pārbaudes izrādās, ka šis lietotājs nav persona, kuras sensitīvie dati ir ietverti minētajā sludinājumā, jākonstatē, ka no šā sprieduma 98. un 99. punkta izriet: šādā gadījumā nav izslēdzams, ka šī publicēšana notiek, pārkāpjot VDAR 9. panta 1. punktā noteikto aizliegumu apstrādāt šādus datus. Līdz ar to, ja vien šis sludinājumu ievietojošais lietotājs nespēj juridiski pietiekami pierādīt vai nu to, ka datu subjekts ir devis nepārprotamu piekrišanu minētā 9. panta 2. punkta a) apakšpunkta izpratnē attiecīgo datu publicēšanai šajā tiešsaistes tirdzniecības vietnē, vai to, ka ir izpildīti nosacījumi kādam no pārējiem 9. panta 2. punkta b)–j) apakšpunktā paredzētajiem izņēmumiem, šīs tiešsaistes tirdzniecības vietnes operatoram jāatsaka attiecīgā sludinājuma publicēšana; un, lai to nodrošinātu, tam jāīsteno atbilstīgi tehniskie un organizatoriskie pasākumi.
106
Ņemot vērā visus iepriekš minētos apsvērumus, uz otro un trešo jautājumu ir atbildams, ka VDAR 5. panta 2. punkts, kā arī 24.–26. pants jāinterpretē tādējādi, ka tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim VDAR 4. panta 7. punkta izpratnē – pirms sludinājumu publicēšanas, izmantojot atbilstīgus tehniskus un organizatoriskus pasākumus,
–
jāidentificē tie sludinājumi, kas ietver sensitīvus datus VDAR 9. panta 1. punkta izpratnē,
–
jāpārbauda, vai lietotājs, kurš grasās ievietot šādu sludinājumu, ir persona, kuras sensitīvie dati ir ietverti šajā sludinājumā, un, ja tas tā nav,
–
jāatsaka šā sludinājuma publicēšana, ja vien šis lietotājs nespēj pierādīt, ka vai nu datu subjekts ir devis nepārprotamu piekrišanu – minētā 9. panta 2. punkta a) apakšpunkta izpratnē – tam, ka attiecīgie dati tiek publicēti šajā tiešsaistes tirdzniecības vietnē, vai ka ir izpildīts kāds no pārējiem 9. panta 2. punkta b)–j) apakšpunktā paredzētajiem izņēmumiem.
Par ceturto jautājumu
107
Ceturtais jautājums būtībā ir par to, vai tiešsaistes tirdzniecības vietnes operatoram kā pārzinim ir pienākums īstenot drošības pasākumus, lai novērstu vai ierobežotu sensitīvus datus ietverošu sludinājumu, kas publicēti tā tiešsaistes tirdzniecības vietnē, kopēšanu un tālāku izplatīšanu.
108
Šajā lietā no lūguma sniegt prejudiciālu nolēmumu izriet, ka, pirmkārt, pamatlietā aplūkojamais maldinošais un kaitējošais sludinājums tika pārņemts citās reklāmas saturam veltītās tīmekļvietnēs, kuras to publicēja, norādot sākotnējo avotu, un, otrkārt, vispārīgajos savas tiešsaistes tirdzniecības vietnes izmantošanas nosacījumos Russmedia tostarp patur tiesības nosūtīt tajā publicēto sludinājumu saturu un nodot to partneriem. Šajā ziņā iesniedzējtiesa neprecizē, vai Russmedia labprātīgi šo sludinājumu ir nosūtījusi uz citām tīmekļvietnēm vai vismaz līgumiski ir atļāvusi šīs publikācijas vai arī – gluži pretēji – minētās publikācijas ir tapušas, kopējot sākotnējo sludinājumu bez Russmedia atļaujas.
109
Ja izpildītos šīs alternatīvas pirmā iespējamība, šī nosūtīšana būtu jauna personas datu apstrāde, attiecībā uz kuru Russmedia būtu pārzinis VDAR 4. panta 7. punkta izpratnē. Šī apstrāde būtu jānošķir no pamatlietā aplūkojamā maldinošā un kaitējošā sludinājuma publicēšanas Russmedia tiešsaistes tirdzniecības vietnē, ko izdarījis sludinājumu ievietojušais lietotājs.
110
Proti, lai rēķinātos ar nepieciešamību individuāli novērtēt, cik liela ir katras par personas datu pārzini kvalificējamās personas atbildība, jānošķir dažādās personas datu apstrādes darbību virknē esošās darbības. Tas ir tāpēc, ka, lai fizisku vai juridisku personu varētu uzskatīt par kopīgu pārzini, tai patstāvīgi jāatbilst VDAR 4. panta 7. punktā sniegtajai “pārziņa” definīcijai (spriedums, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 41. punkts un tajā minētā judikatūra).
111
No tā izriet, ka tad, ja personas dati vēlāk tiek nosūtīti saskaņā ar izplatīšanas līgumiem, kas noslēgti starp tās tiešsaistes tirdzniecības vietnes operatoru, kurā sākotnēji publicēti attiecīgie personas dati, un citu tīmekļvietņu operatoriem, pirmais minētais operators principā ir vienīgais pārzinis attiecībā uz apstrādi, kas izpaužas kā šī nosūtīšana. Katrā ziņā ikvienam pārzinim vienam pašam vai kopīgi jāpilda visi no VDAR izrietošie pienākumi.
112
Ņemot vērā šos precizējumus, ceturtais jautājums jāsaprot tādējādi, ka tas attiecas uz situāciju, kurā Russmedia nav nosūtījusi pamatlietā aplūkojamo maldinošo un kaitējošo sludinājumu uz citām reklāmai veltītām tīmekļvietnēm un tādējādi nav atļāvusi šīs turpmākās publikācijas.
113
Turklāt vienlīdz jānorāda, ka šis jautājums būtībā ir par to, kāds ir personas datu pārzinim noteiktā drošības garantēšanas pienākuma apjoms. VDAR 32. pants ir tieši par apstrādes drošību. Tas konkretizē un precizē specifisku aspektu saistībā ar prasībām, kas izklāstītas šīs regulas 24. pantā, kurš kopā ar minētās regulas 5. panta 2. punktu noteic pārziņa atbildību vispārīgi.
114
Šādos apstākļos ir uzskatāms, ka ar ceturto jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 32. pants jāinterpretē tādējādi, ka tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim šīs regulas 4. panta 7. punkta izpratnē – ir pienākums īstenot pasākumus, ar kuriem var novērst, ka tajā publicētie sludinājumi, kas ietver sensitīvus datus šīs regulas 9. panta 1. punkta izpratnē, tiek kopēti un nelikumīgi publicēti citās tīmekļvietnēs.
115
VDAR 32. panta 1. punkts noteic, ka, ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam.
116
Šīs regulas 32. panta 2. punkts noteic, ka, novērtējot atbilstīgo drošības līmeni, jāņem vērā jo īpaši riski, ko rada apstrāde, jo īpaši nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.
117
Tiesa ir nospriedusi, ka VDAR 32. panta 1. un 2. punktā ietvertā atsauce uz “drošības līmeni, kas atbilst riskam”, un “atbilstīgo drošības līmeni” liecina par to, ka ar šo regulu ir izveidots riska pārvaldības režīms un ka ar to nekādi netiek mēģināts novērst personas datu aizsardzības pārkāpumu riskus (spriedums, 2023. gada 14. decembris, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 29. punkts).
118
Tādējādi no VDAR 32. panta – lasot to kopsakarā ar šīs regulas 24. pantu – formulējuma izriet, ka 32. pantā pārzinim ir vienīgi noteikts pienākums veikt tehniskus un organizatoriskus pasākumus, lai cik vien iespējams novērstu jebkādu personas datu aizsardzības pārkāpumu. Šādu pasākumu piemērotība konkrēti jāizvērtē, pārbaudot, vai pārzinis šos pasākumus ir veicis, ņemot vērā minētajos pantos paredzētos dažādos kritērijus un ar attiecīgo apstrādi saistītās datu aizsardzības vajadzības, kā arī ar šo apstrādi saistītos riskus (šajā nozīmē skat. spriedumu, 2023. gada 14. decembris, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 30. punkts).
119
Šajā ziņā, lai noskaidrotu, kādu konkrētu risku rada attiecīgā apstrāde, jāņem vērā apstrādāto personas datu iespējamā sensitivitāte. Proti – kā atgādināts šā sprieduma 51. un 90. punktā –, VDAR 9. panta 1. punktā paredzētā ciešākā aizsardzība noteiktām datu kategorijām to īpašās sensitivitātes dēļ ir saistīta ar to, ka šādu datu apstrāde var būt īpaši smaga iejaukšanās Hartas 7. un 8. pantā garantētajās pamattiesībās uz privātās dzīves neaizskaramību un personas datu aizsardzību (šajā nozīmē skat. spriedumu, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 41. punkts un tajā minētā judikatūra).
120
Tomēr, tiklīdz personas datus ietverošs sludinājums ir tiešsaistē un tādējādi jau ir vispārēji pieejams, šo datu izplatīšana tostarp rada risku zaudēt kontroli pār attiecīgajiem personas datiem; šim riskam īstenojoties, tiek atņemta jebkāda lietderīgā iedarbība tiesībām un garantijām, ar kurām VDAR apvelta datu subjektu, pirmkārt jau šīs regulas 17. pantā paredzētajām tiesībām uz dzēšanu.
121
Tādējādi, ja sensitīvi dati tiek publicēti tiešsaistē, pārzinim saskaņā ar VDAR 32. pantu jāveic visi tehniskie un organizatoriskie pasākumi, lai nodrošinātu tādu drošības līmeni, kas var efektīvi novērst kontroles zaudēšanu pār šiem datiem.
122
Tāpēc pārzinim it īpaši jāapsver visi tehnoloģiskie līdzekļi, kas ir pieejami, ņemot vērā pašreizējo tehnoloģiju attīstības līmeni, un kas var liegt kopēt un reproducēt tiešsaistē esošo saturu.
123
Tomēr vēl jāprecizē – VDAR 24. un 32. pants nav jāizprot tādējādi, ka ar tiešsaistē sākotnēji publicēto personas datu nelikumīgu izplatīšanu vien pietiek, lai secinātu, ka attiecīgā pārziņa veiktie pasākumi nav bijuši atbilstīgi šo tiesību normu izpratnē, pat neļaujot šim pārzinim sniegt pierādījumus par pretējo (spriedums, 2023. gada 14. decembris, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 31. punkts).
124
Šajā lietā no iesniedzējtiesas nolēmuma izriet – lai gan pamatlietā aplūkotais maldinošais un kaitējošais sludinājums Russmedia tiešsaistes tirdzniecības vietnē ir dzēsts, šis sludinājums joprojām ir pieejams tiešsaistē citās tīmekļvietnēs, un šķiet, ka prasītājai ir neiespējami panākt tā dzēšanu.
125
Taču ir redzams, ka šo kontroles zaudēšanu ir izraisījusi pamatlietā aplūkojamā maldinošā un kaitējošā sludinājuma sākotnējā nelikumīgā publicēšana, neizpildot VDAR paredzētās prasības. Katrā ziņā Russmedia bija jāīsteno atbilstīgi tehniskie un organizatoriskie pasākumi, lai nodrošinātu riskam atbilstošu drošības līmeni saskaņā ar VDAR 32. pantu un cik vien iespējams liegtu jebkādu iespēju šo sludinājumu kopēt. Iesniedzējtiesai būs jāpārbauda, vai tas tā ir noticis.
126
Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz ceturto jautājumu ir atbildams, ka VDAR 32. pants jāinterpretē tādējādi, ka tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim šīs regulas 4. panta 7. punkta izpratnē – ir pienākums īstenot atbilstīgus tehniskus un organizatoriskus pasākumus, lai novērstu, ka tajā publicētie sludinājumi, kas ietver sensitīvus datus šīs regulas 9. panta 1. punkta izpratnē, tiek kopēti un nelikumīgi publicēti citās tīmekļvietnēs.
Par pirmo jautājumu, kas attiecas uz Direktīvas 2000/31 interpretāciju
127
Kā norādīts šā sprieduma 45. un 46. punktā, iesniedzējtiesa vēlas arī noskaidrot, vai tiešsaistes tirdzniecības vietnes operators – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinis VDAR 4. panta 7. punkta izpratnē – attiecībā uz to pienākumu neizpildi, kuri izriet no šīs regulas 5. panta 2. punkta, kā arī no 24.–26. un 32. panta un konstatēti šā sprieduma 106. un 126. punktā, drīkst atsaukties uz Direktīvas 2000/31 12.–15. pantu par starpnieku pakalpojumu sniedzēju atbildību.
128
Līdz ar to rodas jautājums par abu šo Savienības tiesību instrumentu savstarpējo sasaisti. Konkrēti – jānoskaidro, vai Direktīvas 2000/31 12.–15. pants var ietekmēt VDAR paredzēto atbildības sistēmu.
129
Šajā ziņā, pirmkārt, jānorāda – Direktīvas 2000/31 1. panta 5. punkta b) apakšpunktā ir precizēts, ka šī direktīva neattiecas uz jautājumiem par informācijas sabiedrības pakalpojumiem, kas ietverti Direktīvās 95/46 un 97/66.
130
Šo tiesību normu Tiesa ir interpretējusi tādējādi, ka jautājumi saistībā ar komunikāciju konfidencialitātes un personas datu aizsardzību jāizvērtē, ņemot vērā VDAR un Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV 2002, L 201, 37. lpp.), ar kurām ir aizstāta attiecīgi Direktīva 95/46 un Direktīva 97/66; precizēdama, ka aizsardzība, kuras nodrošināšana ir Direktīvas 2000/31 mērķis, katrā ziņā nedrīkst skart prasības, kas izriet no VDAR un Direktīvas 2002/58 (spriedums, 2020. gada 6. oktobris, La Quadrature du Net u.c., C‑511/18, C‑512/18 un C‑520/18, EU:C:2020:791, 200. punkts, kā arī tajā minētā judikatūra).
131
No tā it īpaši izriet, ka iespējamās tiesības uz Direktīvas 2000/31 14. panta 1. punktā paredzēto atbrīvojumu, uz kurām tiešsaistes tirdzniecības vietnes operators varētu atsaukties attiecībā uz savā tīmekļvietnē mitināto informāciju, nevar traucēt darboties VDAR sistēmai, kas šim operatoram ir piemērojama gluži tāpat kā jebkuram citam šīs regulas piemērošanas jomā ietilpstošajam operatoram.
132
Tas pats attiecas uz Direktīvas 2000/31 15. pantu, saskaņā ar kuru dalībvalstis nedrīkst noteikt vispārēju pārraudzīšanas pienākumu tiem pakalpojumu sniedzējiem, kuri sniedz konkrēti šīs direktīvas 14. pantā minētos pakalpojumus. Turklāt tiešsaistes tirdzniecības vietnes operatora pienākums ievērot no VDAR izrietošās prasības katrā ziņā nav kvalificējams kā šāds vispārējs pārraudzīšanas pienākums.
133
Otrkārt, VDAR 2. panta 4. punkts noteic, ka šī regula neskar Direktīvas 2000/31 piemērošanu, jo īpaši attiecībā uz minētās direktīvas 12.–15. panta noteikumiem par starpnieku pakalpojumu sniedzēju atbildību.
134
Minētais 2. panta 4. punkts jāsaprot tādējādi, ka tas, ka operatoram ir VDAR paredzētie pienākumi, automātiski neizslēdz, ka šis operators var atsaukties uz Direktīvas 2000/31 12.–15. pantu jautājumos, kas nav saistīti ar personas datu aizsardzību.
135
Tādējādi no Direktīvas 2000/31 1. panta 5. punkta b) apakšpunkta un VDAR 2. panta 4. punkta kopīgas interpretācijas izriet, ka šīs direktīvas normas, it īpaši 12.–15. pants, nevar ietekmēt VDAR sistēmu.
136
Ņemot vērā visus iepriekš minētos apsvērumus, uz pirmo jautājumu ir atbildams, ka Direktīvas 2000/31 1. panta 5. punkta b) apakšpunkts un VDAR 2. panta 4. punkts jāinterpretē tādējādi, ka tiešsaistes tirdzniecības vietnes operators – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinis VDAR 4. panta 7. punkta izpratnē – saistībā ar to pienākumu neizpildi, kuri izriet no šīs regulas 5. panta 2. punkta, kā arī no 24.–26. un 32. panta, nedrīkst atsaukties uz minētās direktīvas 12.–15. pantu par starpnieku pakalpojumu sniedzēju atbildību.
Par tiesāšanās izdevumiem
137
Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (virspalāta) nospriež:
1)
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 5. panta 2. punkts, kā arī 24.–26. pants
jāinterpretē tādējādi, ka
tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim šīs regulas 4. panta 7. punkta izpratnē – pirms sludinājumu publicēšanas, izmantojot atbilstīgus tehniskus un organizatoriskus pasākumus,
–
jāidentificē tie sludinājumi, kas ietver sensitīvus datus minētās regulas 9. panta 1. punkta izpratnē,
–
jāpārbauda, vai lietotājs, kurš grasās ievietot šādu sludinājumu, ir persona, kuras sensitīvie dati ir ietverti šajā sludinājumā, un, ja tas tā nav,
–
jāatsaka šā sludinājuma publicēšana, ja vien šis lietotājs nespēj pierādīt, ka vai nu datu subjekts ir devis nepārprotamu piekrišanu – minētā 9. panta 2. punkta a) apakšpunkta izpratnē – tam, ka attiecīgie dati tiek publicēti šajā tiešsaistes tirdzniecības vietnē, vai ka ir izpildīts kāds no pārējiem 9. panta 2. punkta b)–j) apakšpunktā paredzētajiem izņēmumiem.
2)
Regulas 2016/679 32. pants
jāinterpretē tādējādi, ka
tiešsaistes tirdzniecības vietnes operatoram – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinim šīs regulas 4. panta 7. punkta izpratnē – ir pienākums īstenot atbilstīgus tehniskus un organizatoriskus pasākumus, lai novērstu, ka tajā publicētie sludinājumi, kas ietver sensitīvus datus šīs regulas 9. panta 1. punkta izpratnē, tiek kopēti un nelikumīgi publicēti citās tīmekļvietnēs.
3)
Eiropas Parlamenta un Padomes Direktīvas 2000/31/EK (2000. gada 8. jūnijs) par dažiem informācijas sabiedrības pakalpojumu tiesiskiem aspektiem, jo īpaši elektronisko tirdzniecību, iekšējā tirgū (Direktīva par elektronisko tirdzniecību) 1. panta 5. punkta b) apakšpunkts un Regulas 2016/679 2. panta 4. punkts
jāinterpretē tādējādi, ka
tiešsaistes tirdzniecības vietnes operators – kā savā tiešsaistes tirdzniecības vietnē publicētajos sludinājumos ietverto personas datu pārzinis Regulas 2016/679 4. panta 7. punkta izpratnē – saistībā ar to pienākumu neizpildi, kuri izriet no šīs regulas 5. panta 2. punkta, kā arī no 24.–26. un 32. panta, nedrīkst atsaukties uz minētās direktīvas 12.–15. pantu par starpnieku pakalpojumu sniedzēju atbildību.
[Paraksti]
(
*1
)	Tiesvedības valoda – rumāņu.
(
i
)	Teksta 45., 106., 114., 126., 127., 136. punktā un rezolutīvās daļas 2. un 3. punktā pēc sākotnējās elektroniskās publikācijas ir veikti valodiski labojumi.