62023CJ0492
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)
de 2 de diciembre de 2025 (
*1
)
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 4, punto 7 — Concepto de “responsable del tratamiento” o “responsable” — Responsabilidad del operador de un mercado en línea por la publicación de los datos personales contenidos en anuncios colocados en su mercado en línea por usuarios anunciantes — Artículo 5, apartado 2 — Principio de responsabilidad — Artículo 26 — Corresponsabilidad con esos usuarios anunciantes — Artículo 9, apartados 1 y 2, letra a) — Anuncios que contienen datos sensibles — Licitud del tratamiento — Consentimiento — Artículos 24, 25 y 32 — Obligaciones del responsable del tratamiento — Identificación previa de los anuncios que contienen tales datos — Verificación previa de la identidad del usuario anunciante — Negativa a publicar anuncios ilícitos — Medidas de seguridad destinadas a impedir la copia de los anuncios y su publicación en otros sitios web — Comercio electrónico — Directiva 2000/31/CE — Artículos 12 a 15 — Posibilidad de que, respecto al incumplimiento de dichas obligaciones, tal operador invoque la exención de responsabilidad de un prestador intermediario de servicios de la sociedad de la información»
En el asunto C‑492/23,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Curtea de Apel Cluj (Tribunal Superior de Cluj, Rumanía), mediante resolución de 15 de junio de 2023, recibida en el Tribunal de Justicia el 3 de agosto de 2023, en el procedimiento entre
X
y
Russmedia Digital SRL,
Inform Media Press SRL,
EL TRIBUNAL DE JUSTICIA (Gran Sala),
integrado por el Sr. K. Lenaerts, Presidente, el Sr. T. von Danwitz, Vicepresidente, el Sr. F. Biltgen, la Sra. K. Jürimäe (Ponente), los Sres. C. Lycourgos y I. Jarukaitis, las Sras. M. L. Arastey Sahún e I. Ziemele y el Sr. J. Passer, Presidentes de Sala, y los Sres. S. Rodin, E. Regan, N. Jääskinen y D. Gratsias, Jueces;
Abogado General: Sr. M. Szpunar;
Secretaria: Sra. R. Şereş, administradora;
habiendo considerado los escritos obrantes en autos y celebrada la vista el 2 de julio de 2024;
consideradas las observaciones presentadas:
–
en nombre de X, por la Sra. I. Kis, avocată;
–
en nombre del Gobierno rumano, por las Sras. E. Gane, L. Ghiţă y R. I. Haţieganu, en calidad de agentes;
–
en nombre de la Comisión Europea, por la Sra. L. Armati, los Sres. H. Kranenborg y P.‑J. Loewenthal, y la Sra. L. Nicolae, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 6 de febrero de 2025;
dicta la siguiente
Sentencia
1
La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 12 a 15 de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico) (DO 2000, L 178, p. 1), y de los artículos 2, apartado 4, 4, puntos 7 y 11, 5, apartado 1, letras b) y f), 6, apartado 1, letra a), 7, 24 y 25 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3; en lo sucesivo, «RGPD»).
2
Esta petición se ha presentado en el contexto de un litigio entre una persona física, X, por una parte, y Russmedia Digital SRL e Inform Media Press SRL (en lo sucesivo, conjuntamente, «Russmedia»), por otra, relativo a una demanda de indemnización de daños y perjuicios por el daño moral sufrido por la demandante en el litigio principal como consecuencia del tratamiento ilícito de sus datos personales y de la vulneración de su derecho a la imagen, al honor y a la intimidad.
Marco jurídico
Derecho de la Unión
Directiva 2000/31
3
A tenor de los considerandos 14, 42, 46 y 52 de la Directiva 2000/31:
«(14)
La protección de las personas con respecto al tratamiento de datos de carácter personal se rige únicamente por la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos [(DO 1995, L 281, p. 31),] y la Directiva 97/66/CE del Parlamento Europeo y del Consejo, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones [(DO 1998, L 24, p. 1)], que son enteramente aplicables a los servicios de la sociedad de la información. […] La aplicación y ejecución de la presente Directiva debe respetar plenamente los principios relativos a la protección de datos personales, en particular en lo que se refiere a las comunicaciones comerciales no solicitadas y a la responsabilidad de los intermediarios [. L]a presente Directiva no puede evitar el uso anónimo de redes abiertas como Internet.
[…]
(42)
Las exenciones de responsabilidad establecidas en la presente Directiva solo se aplican a aquellos casos en que la actividad del prestador de servicios de la sociedad de la información se limita al proceso técnico de explotar y facilitar el acceso a una red de comunicación mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente, con el fin de hacer que la transmisión sea más eficiente. Esa actividad es de naturaleza meramente técnica, automática y pasiva, lo que implica que el prestador de servicios de la sociedad de la información no tiene conocimiento ni control de la información transmitida o almacenada.
[…]
(46)
Para beneficiarse de una limitación de responsabilidad, el prestador de un servicio de la sociedad de la información consistente en el almacenamiento de datos habrá de actuar con prontitud para retirar los datos de que se trate o impedir el acceso a ellos en cuanto tenga conocimiento efectivo de actividades ilícitas. La retirada de datos o la actuación encaminada a impedir el acceso a los mismos habrá de llevarse a cabo respetando el principio de libertad de expresión y los procedimientos establecidos a tal fin a nivel nacional. La presente Directiva no afecta a la posibilidad de que los Estados miembros establezcan requisitos específicos que deberán cumplirse con prontitud antes de que retiren los datos de que se trate o se impida el acceso a los mismos.
[…]
(52)
[…] Los daños y perjuicios que se pueden producir en el marco de los servicios de la sociedad de la información se caracterizan por su rapidez y por su extensión geográfica. Debido a esta característica y a la necesidad de velar por que las autoridades nacionales eviten que se ponga en duda la confianza mutua que se deben conceder, la presente Directiva requiere de los Estados miembros que establezcan las condiciones para que se puedan emprender los recursos judiciales pertinentes. […]»
4
El artículo 1 de la Directiva 2000/31, titulado «Objetivo y ámbito de aplicación», dispone:
«1.   El objetivo de la presente Directiva es contribuir al correcto funcionamiento del mercado interior garantizando la libre circulación de los servicios de la sociedad de la información entre los Estados miembros.
[…]
5.   La presente Directiva no se aplicará:
[…]
b) a cuestiones relacionadas con servicios de la sociedad de la información incluidas en las Directivas [95/46] y [97/66];
[…]».
5
La sección 4 del capítulo II de la Directiva 2000/31, bajo el epígrafe «Responsabilidad de los prestadores de servicios intermediarios», comprendía, en la versión aplicable al litigio principal, los artículos 12 a 15 de esta Directiva. Los artículos 12 y 13 se refieren, conforme a sus respectivos títulos, a la «Mera transmisión» y a la «Memoria tampón (Caching)».
6
El artículo 14 de dicha Directiva, que se titula «Alojamiento de datos», está redactado en los siguientes términos:
«1.   Los Estados miembros garantizarán que, cuando se preste un servicio de la sociedad de la información consistente en almacenar datos facilitados por el destinatario del servicio, el prestador de servicios no pueda ser considerado responsable de los datos almacenados a petición del destinatario, a condición de que:
a)
el prestador de servicios no tenga conocimiento efectivo de que la actividad [o] la información es ilícita y, en lo que se refiere a una acción por daños y perjuicios, no tenga conocimiento de hechos o circunstancias por los que la actividad o la información revele su carácter ilícito, o de que,
b)
en cuanto tenga conocimiento de estos puntos, el prestador de servicios actúe con prontitud para retirar los datos o hacer que el acceso a ellos sea imposible.
2.   El apartado 1 no se aplicará cuando el destinatario del servicio actúe bajo la autoridad o control del prestador de servicios.
3.   El presente artículo no afectará [a] la posibilidad de que un tribunal o una autoridad administrativa, de conformidad con los sistemas jurídicos de los Estados miembros, exijan al prestador de servicios […] poner fin a una infracción o impedirla, ni a la posibilidad de que los Estados miembros establezcan procedimientos por los que se rija la retirada de datos o impida el acceso a ellos.»
7
El artículo 15 de la misma Directiva, titulado «Inexistencia de obligación general de supervisión», establece:
«1.   Los Estados miembros no impondrán a los prestadores de servicios una obligación general de supervisar los datos que transmitan o almacenen, ni una obligación general de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas, respecto de los servicios contemplados en los artículos 12, 13 y 14.
2.   Los Estados miembros podrán establecer obligaciones tendentes a que los prestadores de servicios de la sociedad de la información comuniquen con prontitud a las autoridades públicas competentes los presuntos datos ilícitos o las actividades ilícitas llevadas a cabo por destinatarios de su servicio o la obligación de comunicar a las autoridades competentes, a solicitud de estas, información que les permita identificar a los destinatarios de su servicio con los que hayan celebrado acuerdos de almacenamiento.»
RGPD
8
A tenor de los considerandos 4, 10, 39, 51, 74, 75, 78 y 85 del RGPD:
«(4)
El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto[,] sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la [Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, “Carta”)] conforme se consagran en los Tratados, en particular el respeto de la vida privada y familiar, del domicilio y de las comunicaciones, la protección de los datos de carácter personal, la libertad de pensamiento, de conciencia y de religión, la libertad de expresión y de información, la libertad de empresa, el derecho a la tutela judicial efectiva y a un juicio justo, y la diversidad cultural, religiosa y lingüística.
[…]
(10)
Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión [Europea], el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. […]
[…]
(39)
Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. […]
[…]
(51)
Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales. […] Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento […]. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales.
[…]
(74)
Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento[,] así como el riesgo para los derechos y libertades de las personas físicas.
(75)
Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a […] usurpación de identidad o fraude, […] daño para la reputación […] en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales […]
[…]
(78)
La protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento. A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. […]
[…]
(85)
Si no se toman a tiempo medidas adecuadas, las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas, como pérdida de control sobre sus datos personales o restricción de sus derechos, discriminación, usurpación de identidad, […] daño para la reputación […]».
9
El artículo 1 de este Reglamento, titulado «Objeto», dispone lo siguiente en su apartado 2:
«El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.»
10
El artículo 2 de dicho Reglamento, titulado «Ámbito de aplicación material», establece, en su apartado 4:
«El presente Reglamento se entenderá sin perjuicio de la aplicación de la Directiva [2000/31], en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15.»
11
El artículo 4 del mismo Reglamento, con el título «Definiciones», está redactado en los siguientes términos:
«A efectos del presente Reglamento se entenderá por:
1)
“datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2)
“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
[…]
7)
“responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
[…]
11)
“consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;
[…]».
12
El capítulo II del RGPD, bajo el epígrafe «Principios», comprende, en particular, los artículos 5 a 9.
13
El artículo 5 de este Reglamento, cuyo título es «Principios relativos al tratamiento», dispone:
«1.   Los datos personales serán:
a)
tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b)
recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines […] (“limitación de la finalidad”);
[…]
d)
exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
[…]
f)
tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”).
2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»
14
El artículo 6 de dicho Reglamento, que se titula «Licitud del tratamiento», dispone, en su apartado 1, párrafo primero:
«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)
el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)
el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)
el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)
el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)
el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)
el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.»
15
El artículo 7 del mismo Reglamento, titulado «Condiciones para el consentimiento», establece, en su apartado 1:
«Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.»
16
El artículo 9 del RGPD, que lleva por título «Tratamiento de categorías especiales de datos personales», dispone:
«1.   Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2.   El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a)
el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
[…]».
17
El artículo 13 de este Reglamento, titulado «Información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone, en su apartado 1, letra a):
«Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)
la identidad y los datos de contacto del responsable y, en su caso, de su representante».
18
El artículo 14 del referido Reglamento, titulado «Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado», establece, en su apartado 1, letra a):
«Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:
a)
la identidad y los datos de contacto del responsable y, en su caso, de su representante».
19
En el capítulo III del mismo Reglamento, titulado «Derechos del interesado», figura el artículo 17, titulado a su vez «Derecho de supresión (“el derecho al olvido”)», que establece, en sus apartados 1 y 2:
«1.   El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
[…]
d) los datos personales hayan sido tratados ilícitamente;
[…]
2.   Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.»
20
El capítulo IV del RGPD, con el epígrafe «Responsable del tratamiento y encargado del tratamiento», incluye, en una sección 1, cuyo epígrafe es, a su vez, «Obligaciones generales», en particular, los artículos 24 a 26.
21
El artículo 24 de este Reglamento, titulado «Responsabilidad del responsable del tratamiento», establece lo siguiente en su apartado 1:
«Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento[,] así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.»
22
El artículo 25 de dicho Reglamento, titulado «Protección de datos desde el diseño y por defecto», dispone, en sus apartados 1 y 2:
«1.   Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.
2.   El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.»
23
El artículo 26 del mismo Reglamento, titulado «Corresponsables del tratamiento», dispone lo siguiente en su apartado 1:
«Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.»
24
A tenor del artículo 32 del RGPD, que se titula «Seguridad del tratamiento»:
«1.   Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a)
la seudonimización y el cifrado de datos personales;
b)
la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
c)
la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
d)
un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2.   Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
3.   La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
4.   El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.»
25
El artículo 82 de este Reglamento, que lleva por título «Derecho a indemnización y responsabilidad», establece en sus apartados 1 a 3:
«1.   Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.
2.   Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable.
3.   El responsable o encargado del tratamiento estará exento de responsabilidad en virtud del apartado 2 si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.»
26
El artículo 94 de dicho Reglamento dispone:
«1.   Queda derogada la Directiva [95/46] con efecto a partir del 25 de mayo de 2018.
2.   Toda referencia a la Directiva derogada se entenderá hecha al presente Reglamento. […]»
Derecho rumano
27
El artículo 11 de la Legea nr. 365/2002 privind comerțul electronic (Ley n.o 365/2002 sobre el Comercio Electrónico), de 7 de junio de 2002 (Monitorul Oficial al României, parte I, n.o 483 de 5 de julio de 2002), en su versión modificada por la Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (Ley n.o 121/2006 por la que se modifica y completa la Ley n.o 365/2002 sobre el Comercio Electrónico), de 4 de mayo de 2006 (Monitorul Oficial al României, parte I, n.o 403 de 10 de mayo de 2006) (en lo sucesivo, «Ley n.o 365/2002»), establece lo siguiente:
«1.   Salvo disposición en contrario en la presente Ley, los prestadores de servicios estarán sujetos a las disposiciones legales en materia de responsabilidad civil, penal y administrativa.
2.   Los prestadores de servicios serán responsables de los datos facilitados por ellos mismos o en su nombre.
3.   Los prestadores de servicios no serán responsables de los datos que transmitan, almacenen o pongan a disposición para su acceso en las condiciones establecidas en los artículos 12 a 15.»
28
El artículo 14 de dicha Ley, que lleva por epígrafe «Conservación permanente de datos, alojamiento de datos», dispone lo siguiente:
«1.   Cuando el servicio de la sociedad de la información consista en almacenar datos facilitados por el destinatario del servicio en cuestión, el prestador de dicho servicio no será responsable de los datos almacenados a petición del destinatario, siempre que se cumpla alguna de las siguientes condiciones:
a)
que el prestador de los servicios no tenga conocimiento efectivo de que la actividad o la información almacenada es ilícita y, en lo que se refiere a una acción por daños y perjuicios, que no tenga conocimiento de hechos o circunstancias por los que la actividad o la información pudiera vulnerar los derechos de un tercero;
b)
que, teniendo el prestador conocimiento de que la actividad o la información es ilegal o de hechos o circunstancias de los que resulte que la actividad o la información pudiera vulnerar los derechos de un tercero, actúe con prontitud para eliminarla o impedir el acceso a ella.
2.   El apartado 1 no se aplicará cuando el destinatario del servicio actúe bajo la autoridad o el control del prestador de servicios.
3.   Las disposiciones del presente artículo no obstarán para que una autoridad judicial o administrativa exija al prestador de servicios que ponga fin a una infracción o la impida ni para que los Estados miembros establezcan procedimientos gubernamentales destinados a limitar o interrumpir el acceso a los datos.»
29
El Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Reglamento de Aplicación de la Ley n.o 365/2002 sobre el Comercio Electrónico), aprobado por el Hotărârea Guvernului nr. 1308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (Decreto del Gobierno n.o 1308, por el que se aprueba el Reglamento de Aplicación de la Ley n.o 365/2002 sobre el Comercio Electrónico), de 20 de noviembre de 2002 (Monitorul Oficial al României, parte I, n.o 877 de 5 de diciembre de 2002), establece, en su artículo 11, apartado 1:
«Los prestadores de servicios de la sociedad de la información que ofrezcan los servicios contemplados en los artículos 12 a 15 de la [Ley n.o 365/2002] no tendrán la obligación de supervisar los datos que transmitan o almacenen ni de realizar búsquedas activas de circunstancias que indiquen actividades o datos aparentemente ilícitos en relación con los servicios de la sociedad de la información que presten.»
Litigio principal y cuestiones prejudiciales
30
Russmedia Digital, sociedad rumana, es propietaria del sitio web www.publi24.ro, un mercado en línea en el que pueden publicarse gratuitamente o a cambio de una remuneración anuncios relativos, en particular, a la venta de bienes o a la prestación de servicios en Rumanía.
31
La demandante en el litigio principal alega que, el 1 de agosto de 2018, un tercero no identificado publicó en dicho sitio web un anuncio falso y lesivo que la presentaba como alguien que ofrecía servicios sexuales. En particular, el anuncio contenía fotografías de la demandante en el litigio principal, utilizadas sin su consentimiento, y su número de teléfono. Con posterioridad, ese anuncio se reprodujo de forma idéntica en otros sitios web de contenido publicitario, en los que se publicó en línea, con indicación de la fuente de origen. Tras ser contactada por la demandante en el litigo principal, Russmedia Digital retiró dicho anuncio de su sitio web menos de una hora después de la recepción de la correspondiente solicitud. No obstante, según la demandante en el litigio principal, ese mismo anuncio sigue siendo accesible en otros sitios web que lo han reproducido.
32
Al considerar que el anuncio controvertido en el litigio principal vulneraba sus derechos a la imagen, al honor y a la reputación, así como a la intimidad, e infringía las normas relativas al tratamiento de los datos personales, la demandante en el litigio principal presentó una demanda contra Russmedia ante la Judecătoria Cluj‑Napoca (Tribunal de Primera Instancia de Cluj‑Napoca, Rumanía). Dicho órgano jurisdiccional condenó a Russmedia a abonarle una indemnización por daños y perjuicios de un importe de 7000 euros en concepto de daño moral causado por la vulneración del derecho a la imagen, el honor y la reputación, así como por la vulneración del derecho a la intimidad y el tratamiento ilícito de sus datos personales.
33
Russmedia impugnó la resolución dictada. El Tribunalul Specializat Cluj (Tribunal Especializado de Cluj, Rumanía) estimó el recurso interpuesto por dicha sociedad, por considerar que la demanda de la demandante en el litigio principal era infundada, habida cuenta de que el anuncio controvertido en el litigio principal no procedía de Russmedia, que solo prestaba un servicio de alojamiento de dicho anuncio, de modo que no existía una implicación activa de Russmedia en su contenido. En consecuencia, declaró que le es aplicable la exención de responsabilidad establecida en el artículo 14, apartado 1, letra b), de la Ley n.o 365/2002. Por lo que respecta al tratamiento de datos personales, dicho órgano jurisdiccional consideró que un prestador de servicios de la sociedad de la información no está obligado a controlar la información que transmite ni a buscar activamente datos relativos a actividades o a información aparentemente ilícitas. A este respecto, declaró que no se podía reprochar a Russmedia que no hubiese adoptado medidas para impedir la difusión en línea del anuncio difamatorio controvertido en el litigio principal, puesto que lo había suprimido rápidamente a petición de la demandante en el litigio principal.
34
Esta última interpuso un recurso de casación contra dicha sentencia ante la Curtea de Apel Cluj (Tribunal Superior de Cluj, Rumanía), al considerar que el Tribunalul Specializat Cluj (Tribunal Especializado de Cluj) se había basado en una interpretación errónea de la Ley n.o 365/2002. La demandante en el litigio principal alega, en particular, que, dado que dicha Ley no es una norma especial respecto al RGPD, el referido órgano jurisdiccional debería haber examinado la aplicabilidad de este Reglamento en el presente asunto. Aduce, asimismo, que Russmedia no se limita a proporcionar a sus clientes un dispositivo técnico específico de acceso al servidor de alojamiento de datos, sino que también desempeña un papel de gestor mediante la intervención en el contenido de los anuncios, en aras de una gestión adecuada de la información. La demandante en el litigio principal afirma que esta sociedad, como operadora del sitio web de que se trata, lleva a cabo el alojamiento y el tratamiento de la información. Sostiene que el alojamiento de los datos y su puesta a disposición del público con un formato determinado conllevan un análisis de los datos y de la información contenidos en los anuncios. A su juicio, estos elementos demuestran una implicación directa de Russmedia en la gestión y la difusión del contenido de los anuncios. En consecuencia, en su opinión, las disposiciones del artículo 14 de la Ley n.o 365/2002 no son aplicables.
35
Por otra parte, la demandante en el litigio principal alega que la exención de responsabilidad de tal prestador de servicios no se aplica si la responsabilidad es determinada en virtud de otros actos normativos, como el RGPD. Aduce que Russmedia publicó sus datos personales sin su consentimiento y que permite, por el modo de funcionamiento de su sitio de Internet, que cualquiera publique cualquier tipo de anuncios, en particular anuncios que no garanticen la seguridad de los datos personales, haciendo imposible la supresión definitiva de los datos publicados en línea.
36
Russmedia sostiene, por su parte, que la solución adoptada por el Tribunalul Specializat Cluj (Tribunal Especializado de Cluj) es correcta. Alega que la demandante en el litigio principal no ha demostrado por qué el RGPD constituye una norma especial que impide la aplicación de las disposiciones pertinentes de la Ley n.o 365/2002.
37
La Curtea de Apel Cluj (Tribunal Superior de Cluj), que es el órgano jurisdiccional remitente y conoce del presente asunto en calidad de órgano jurisdiccional de casación cuya resolución será firme, considera necesario determinar, en sustancia, los límites de la exención de responsabilidad de un prestador de servicios de la sociedad de la información, como Russmedia, con arreglo a la Directiva 2000/31.
38
Refiriéndose a la jurisprudencia pertinente del Tribunal de Justicia, el órgano jurisdiccional remitente señala que, si bien es cierto que, conforme a esa jurisprudencia, los operadores de mercados en línea no están obligados a proceder a una verificación previa de la información o de los anuncios publicados por los usuarios anunciantes, no lo es menos que la exención de la responsabilidad de tales operadores está condicionada. Así pues, con arreglo a la sentencia de 12 de julio de 2011, L’Oréal y otros (C‑324/09, EU:C:2011:474), un operador de servicios en línea no puede invocar la exención de responsabilidad establecida en el artículo 14, apartado 1, de la Directiva 2000/31 si ha tenido conocimiento de hechos o circunstancias a partir de los cuales un operador económico diligente hubiera debido deducir el carácter ilícito de las ofertas de venta de que se trate y, en caso de adquirir tal conocimiento, no haya actuado con prontitud de conformidad con el artículo 14, apartado 1, letra b), de dicha Directiva. Del mismo modo, de la sentencia de 11 de septiembre de 2014, Papasavvas (C‑291/13, EU:C:2014:2209), se desprende que las limitaciones de la responsabilidad civil establecidas en los artículos 12 a 14 de la Directiva 2000/31 no se aplican al supuesto de una sociedad que dispone de un sitio web en el que se publica la versión digital de un periódico, desde el momento en que dicha sociedad, que obtiene una remuneración de la publicidad comercial difundida en ese sitio web, tiene conocimiento de la información publicada y ejerce un control sobre ella.
39
El órgano jurisdiccional remitente subraya que, no obstante, dicha jurisprudencia solo hace referencia a ofertas publicadas en un sitio web cuyo carácter ilegal resulta de un análisis de hechos y circunstancias expresamente comunicados al responsable del tratamiento después de la publicación del anuncio en cuestión. Así pues, según indica, el Tribunal de Justicia aún no ha tenido ocasión de examinar una situación, como la del litigio principal, en la que el contenido del anuncio publicado fuera manifiestamente ilegal y profundamente lesivo para el interesado.
40
En este contexto, el órgano jurisdiccional remitente se pregunta sobre la necesidad de que una plataforma reciba una notificación para estar obligada a eliminar un contenido manifiestamente ilícito y gravemente lesivo. Según indica, en el presente asunto, el anuncio controvertido en el litigio principal fue publicado sin que se verificara la identidad del usuario anunciante y, con toda evidencia, sin que se hubiera obtenido el consentimiento de la demandante en el litigio principal.
41
Dicho órgano jurisdiccional señala que, por lo demás, pese a que el anuncio controvertido en el litigio principal fue suprimido del sitio web original a raíz de una notificación de la demandante en el litigio principal, el contenido de dicho anuncio, incluidos los datos de contacto y las fotografías de esta, fue reproducido íntegramente en otros muchos sitios web, con indicación de la fuente de origen. Observa que, por tanto, los daños sufridos por la demandante en el litigio principal persistieron y siguen produciéndose. El órgano jurisdiccional remitente subraya a este respecto que los servicios sexuales supuestamente ofrecidos pueden asociarse a delitos graves, tipificados por el Codul penal (Código Penal), como el proxenetismo y la trata de seres humanos.
42
El órgano jurisdiccional remitente precisa que, de conformidad con las condiciones generales de uso del mercado en línea explotado por Russmedia, sin pretender tener un derecho de propiedad sobre los contenidos de los anuncios publicados, esta sociedad se reserva el derecho a utilizar esos contenidos, incluido el derecho a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos, cederlos a socios comerciales y suprimirlos en cualquier momento, incluso sin necesidad de justificarlo.
43
En estas circunstancias, la Curtea de Apel Cluj (Tribunal Superior de Cluj) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)
¿Se aplican los artículos 12 a 14 de la Directiva [2000/31] también a un prestador de servicios de [la sociedad de la] información del tipo almacenamiento-alojamiento, que pone a disposición de los usuarios un sitio web en el que pueden publicarse anuncios de forma gratuita o de pago y que alega que su papel en la publicación de los anuncios de los usuarios es meramente técnico (poner a disposición la plataforma), pero que en los términos y condiciones de uso del sitio web señala que no reclama un derecho de propiedad sobre los materiales proporcionados o publicados, cargados o enviados, aunque se reserva el derecho a utilizar dichos materiales, incluso a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos o cederlos a socios comerciales y a suprimirlos en cualquier momento, incluso sin necesidad de justificarlo?
2)
¿Deben interpretarse los artículos 2, apartado 4, 4, puntos 7 y 11, 5, apartado 1, letra f), 6, apartado 1, letra a), 7, 24 y 25 del [RGPD] y el artículo 15 de la Directiva [2000/31] en el sentido de que tal prestador de servicios de [la sociedad de la] información del tipo almacenamiento-alojamiento, que es responsable del tratamiento de datos personales, está obligado a verificar, con carácter previo a la publicación de un anuncio, si existe identidad entre la persona que publica el anuncio y el titular de los datos personales al que se refiere dicho anuncio?
3)
¿Deben interpretarse los artículos 2, apartado 4, 4, puntos 7 y 11, 5, apartado 1, letra f), 6, apartado 1, letra a), 7, 24 y 25 del [RGPD] y el artículo 15 de la Directiva [2000/31] en el sentido de que tal prestador de servicios de [la sociedad de la] información del tipo almacenamiento-alojamiento, que es responsable del tratamiento de datos personales, está obligado a verificar previamente el contenido de los anuncios enviados por los usuarios, con el fin de eliminar aquellos que tengan un contenido potencialmente ilícito o que puedan afectar a la vida privada y familiar de una persona?
4)
¿Deben interpretarse los artículos 5, apartado 1, letras b) y f), 24 y 25 del [RGPD] y el artículo 15 de la Directiva [2000/31] en el sentido de que tal prestador de servicios de la [sociedad de la] información del tipo almacenamiento-alojamiento, que es responsable del tratamiento de datos personales, está obligado a tomar medidas de seguridad que puedan impedir o limitar la copia y redistribución del contenido de los anuncios publicados a través de este?»
Sobre las cuestiones prejudiciales
44
Según reiterada jurisprudencia, en el marco de la cooperación entre los órganos jurisdiccionales nacionales y el Tribunal de Justicia, establecida por el artículo 267 TFUE, corresponde a este proporcionar al juez nacional una respuesta útil que le permita dirimir el litigio del que conoce. Desde este punto de vista, incumbe, en su caso, al Tribunal de Justicia reformular las cuestiones prejudiciales que se le han planteado. A este respecto, corresponde al Tribunal de Justicia deducir del conjunto de elementos aportados por el órgano jurisdiccional nacional, y especialmente de la motivación de la resolución de remisión, los elementos del Derecho de la Unión que requieren una interpretación, habida cuenta del objeto del litigio [véanse, en ese sentido, las sentencias de 29 de noviembre de 1978, Redmond, 83/78, EU:C:1978:214, apartado 26; de 28 de noviembre de 2000, Roquette Frères, C‑88/99, EU:C:2000:652, apartado 18, y de 30 de abril de 2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, apartado 78].
45
En su conjunto, las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente tienen por objeto determinar, por una parte, si el operador de un mercado en línea, como Russmedia, que permite a sus usuarios publicar de manera anónima anuncios en su mercado en línea gratuitamente o a cambio de una contraprestación, ha incumplido las obligaciones que le incumben en virtud del RGPD en caso de que un anuncio publicado en su mercado en línea contenga datos personales, especialmente sensibles, en contra de lo dispuesto en dicho Reglamento, y, por otra parte, si los artículos 12 a 15 de la Directiva 2000/31, relativos a la responsabilidad de los prestadores de servicios intermediarios, son aplicables a tal operador.
46
Para dar una respuesta útil a estas preguntas, procede examinar, en un primer momento, las cuestiones prejudiciales segunda a cuarta, que tienen por objeto que se dilucide qué obligaciones incumben, en virtud del RGPD, al operador de un mercado en línea en una situación como la controvertida en el litigio principal, reformulando estas cuestiones de tal manera que estén dirigidas únicamente a la interpretación de dicho Reglamento. En un segundo momento, se examinará si tal operador puede invocar los artículos 12 a 15 de la Directiva 2000/31, lo que constituye, en esencia, el objeto de la primera cuestión prejudicial.
Cuestiones prejudiciales segunda a cuarta, relativas a la interpretación del RGPD
Observaciones preliminares
47
Con carácter preliminar, ha de señalarse, en primer lugar, que de la petición de decisión prejudicial se desprende que el anuncio controvertido presentaba a la demandante en el litigio principal como alguien que ofrecía servicios sexuales y que dicho anuncio contenía también fotografías suyas, utilizadas sin su consentimiento, y su número de teléfono.
48
Pues bien, no se discute que tal información constituya «datos personales», de conformidad con el artículo 4, punto 1, del RGPD, que los define como «toda información sobre una persona física identificada o identificable», al tiempo que precisa que «se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».
49
En efecto, según reiterada jurisprudencia, el empleo de la expresión «toda información» en la definición del concepto de «datos personales», que figura en el artículo 4, punto 1, del RGPD, evidencia el objetivo del legislador de la Unión de atribuir a este concepto un significado amplio, que puede abarcar todo género de información, tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que se trate de información «sobre» la persona en cuestión. Una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, a su finalidad o a sus efectos, está vinculada a una persona identificable [sentencia de 3 de abril de 2025, Ministerstvo zdravotnictví (Datos relativos al representante de una persona jurídica), C‑710/23, EU:C:2025:231, apartado 21 y jurisprudencia citada].
50
Además, entre esos datos personales, el artículo 9, apartado 1, del RGPD establece un régimen de protección especial para categorías especiales de datos, entre los que figuran los relativos a la vida sexual o la orientación sexual de una persona física.
51
El Tribunal de Justicia ha precisado que la finalidad del artículo 9, apartado 1, de dicho Reglamento consiste en garantizar una mayor protección contra los tratamientos de datos que, debido a la particular sensibilidad de los datos que son objeto de los mismos, pueden constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal, garantizados por los artículos 7 y 8 de la Carta de los Derechos Fundamentales (sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, apartado 41 y jurisprudencia citada).
52
Pues bien, esa protección reforzada requiere necesariamente una definición amplia de tales «datos sensibles». Así, el Tribunal de Justicia ha declarado que el artículo 9, apartado 1, del RGPD se aplica a los tratamientos que no solo tienen por objeto los datos intrínsecamente sensibles a los que se refiere esta disposición, sino también los datos que desvelan indirectamente, mediante un ejercicio intelectual de deducción o de cruce de datos, informaciones de esta naturaleza [sentencia de 5 de junio de 2023, Comisión/Polonia (Independencia y vida privada de los jueces), C‑204/21, EU:C:2023:442, apartado 344 y jurisprudencia citada].
53
En el marco de esta definición amplia, el carácter falso y lesivo de los datos relativos a la vida sexual o la orientación sexual de una persona física no puede obstar a que tales datos se califiquen de «datos sensibles», en el sentido del artículo 9, apartado 1, del RGPD.
54
En segundo lugar, debe señalarse que el tratamiento de datos controvertido en el litigio principal consiste en la publicación de dicho anuncio y, por tanto, de esos datos en el mercado en línea de Russmedia. En efecto, la operación consistente en hacer figurar, en una página web, datos personales constituye un tratamiento en el sentido del artículo 4, punto 2, del RGPD (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, apartado 65 y jurisprudencia citada).
55
En tercer lugar, cabe poner de relieve que las cuestiones prejudiciales segunda a cuarta hacen referencia al hecho de que el operador del mercado en línea controvertido en el litigio principal es responsable del tratamiento de datos personales. Pues bien, resulta que los datos personales cuya publicación es objeto del litigio principal fueron incluidos en el anuncio en cuestión por un usuario anunciante anónimo, sin que dicho operador influyera efectivamente en el contenido de ese anuncio y sin que fuera consciente de su falsedad y su nocividad. En estas circunstancias, procede aclarar los conceptos de «responsable del tratamiento» o «responsable» y de «corresponsables», en el sentido, respectivamente, de los artículos 4, punto 7, y 26 del RGPD.
56
El artículo 4, punto 7, del RGPD define de manera amplia el concepto de «responsable del tratamiento» o «responsable» como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento de datos personales.
57
El objetivo de esta definición amplia consiste, de conformidad con el del RGPD, en garantizar una protección eficaz de las libertades y de los derechos fundamentales de las personas físicas y un elevado nivel de protección del derecho de toda persona a la protección de los datos personales que le conciernan (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 29 y jurisprudencia citada).
58
Así, cualquier persona física o jurídica que, atendiendo a sus propios objetivos, influya en el tratamiento de tales datos y participe, por tanto, en la determinación de los fines y los medios del tratamiento puede ser considerada responsable de dicho tratamiento (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 30 y jurisprudencia citada).
59
Además, toda vez que, como establece expresamente el artículo 4, punto 7, del RGPD, el concepto de «responsable del tratamiento» o «responsable» se refiere al organismo que, «solo o junto con otros», determine los fines y los medios del tratamiento de datos personales, dicho concepto no se refiere necesariamente a un único organismo, sino que puede aludir a varios agentes que participen en ese tratamiento, cada uno de los cuales estará sujeto, por lo tanto, a las disposiciones aplicables en materia de protección de datos (véanse, en este sentido, la sentencia de 29 de julio de 2019, Fashion ID, C‑40/17, EU:C:2019:629, apartado 67 y jurisprudencia citada).
60
El artículo 26 del RGPD, que se inscribe en el marco de la definición de «responsable del tratamiento» o «responsable», que figura en el artículo 4, punto 7, de dicho Reglamento, establece, en esencia, que, cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento, deben ser calificados de «corresponsables» del tratamiento.
61
Tal responsabilidad conjunta no requiere necesariamente que existan decisiones comunes en cuanto a la determinación de los fines y los medios del tratamiento de los datos personales de que se trate. En efecto, el Tribunal de Justicia ha declarado que la participación en la determinación de los fines y medios del tratamiento puede adoptar distintas formas y resultar de una decisión común adoptada por dos o más entidades como de decisiones convergentes que se complementan de modo que cada una de ellas tenga un efecto concreto en la determinación de los fines y medios del tratamiento (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 43).
62
A este respecto, la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento, en virtud del artículo 4, punto 7, del RGPD, no supone que cada uno de ellos tenga acceso a los datos personales en cuestión (sentencias de 29 de julio de 2019, Fashion ID, C‑40/17, EU:C:2019:629, apartado 69 y jurisprudencia citada, y de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 42).
63
Desde esta misma perspectiva, el Tribunal de Justicia ha precisado que la existencia de una responsabilidad conjunta no se traduce necesariamente en una responsabilidad equivalente de los diversos agentes a los que atañe un tratamiento de datos personales. Por el contrario, esos agentes pueden presentar una implicación en distintas etapas de ese tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto (véanse, en este sentido, las sentencias de 10 de julio de 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, apartado 66 y jurisprudencia citada, y de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 42).
64
En el presente asunto, no se discute que el usuario anunciante, que colocó en el mercado en línea operado por Russmedia el anuncio falso y lesivo en el que figuran datos personales de la demandante en el litigio principal, determinó, con carácter principal, los fines y medios del tratamiento de esos datos y está comprendido, por tanto, en el concepto de «responsable del tratamiento», en el sentido del artículo 4, punto 7, del RGPD.
65
Dicho esto, se ha constatado que tal anuncio se publicó en Internet y, de ese modo, fue accesible a los usuarios de Internet gracias al mercado en línea operado por Russmedia.
66
Pues bien, aunque de la jurisprudencia citada en el apartado 58 de la presente sentencia se desprende que una persona solo puede ser calificada de «responsable del tratamiento» de datos personales si influye en dicho tratamiento atendiendo a su propios fines, debe señalarse, no obstante, que tal puede ser el caso, en particular, cuando el operador de un mercado en línea publica los datos personales de que se trate con fines comerciales o publicitarios que vayan más allá de la mera prestación del servicio en cuestión al usuario anunciante.
67
En el presente asunto, de la resolución de remisión se desprende que Russmedia publica anuncios en su mercado en línea atendiendo a sus propios fines comerciales. A este respecto, las condiciones generales de uso de ese mercado en línea confieren a Russmedia una gran libertad para utilizar la información publicada en dicho mercado. En particular, Russmedia se reserva, según las indicaciones del órgano jurisdiccional remitente, el derecho a utilizar los contenidos publicados, distribuirlos, transmitirlos, reproducirlos, modificarlos, traducirlos, cederlos a socios comerciales y suprimirlos en cualquier momento y sin necesidad de «justificarlo». Por tanto, Russmedia no se limita a publicar los datos personales contenidos en los anuncios, o a hacerlo por cuenta de los usuarios anunciantes, sino que trata y puede valorizar esos datos atendiendo a sus propios fines publicitarios y comerciales.
68
Así pues, procede considerar que Russmedia influyó, en consideración a sus propios fines, en la publicación en Internet de los datos personales de la demandante en el litigio principal, participando de ese modo en la determinación de los fines de dicha publicación y, por tanto, del tratamiento controvertido.
69
Esta apreciación no queda desvirtuada por la circunstancia de que manifiestamente Russmedia no participó en la determinación de los fines engañosos y lesivos perseguidos por el usuario anunciante mediante la publicación del anuncio controvertido en el litigio principal. De hecho, Russmedia participó en la determinación de la finalidad del tratamiento consistente en hacer accesibles a los usuarios de Internet los datos personales contenidos en el anuncio controvertido en el litigio principal para valorizar dichas publicaciones. Por otra parte, al permitir que en su mercado en línea se coloquen anuncios de manera anónima, Russmedia facilitó la publicación de tales datos sin el consentimiento del interesado.
70
Además, al haber puesto a disposición del usuario anunciante su mercado en línea para que publicase el anuncio controvertido en el litigio principal, Russmedia participó en la determinación de los medios de dicha publicación.
71
En efecto, el Tribunal de Justicia ya ha declarado, en esencia, que participa en la determinación de los medios de un tratamiento la persona física o jurídica que influye de manera decisiva en la recogida y la transmisión de datos personales, o incluso la que influye, mediante su acción de configuración, en función de sus objetivos de gestión o de promoción de sus actividades, en el tratamiento de tales datos [véanse, en este sentido, las sentencias de 5 de junio de 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, apartado 36, y de 29 de julio de 2019, Fashion ID, C‑40/17, EU:C:2019:629, apartado 78]. Lo mismo sucede, en el caso de un motor de búsqueda, cuando su actividad desempeña un papel decisivo en la difusión global de datos personales, en la medida en que dicha actividad los hace públicamente accesibles en línea de manera organizada y agregada [véase, en este sentido, la sentencia de 8 de diciembre de 2022, Google (Retirada de enlaces a contenido supuestamente inexacto), C‑460/20, EU:C:2022:962, apartado 50 y jurisprudencia citada].
72
Por consiguiente, procede concluir que, cuando el operador de un mercado en línea como Russmedia fija los parámetros de difusión de los anuncios que pueden contener datos personales en función de los destinatarios considerados, determina la presentación, la duración de dicha difusión o las rúbricas que estructuran la información publicada u organiza la clasificación que determinará las modalidades de tal difusión, participa en la determinación de los medios esenciales de la publicación de los datos personales de que se trate, influyendo así de manera decisiva en la difusión global de estos últimos.
73
A este respecto, el contenido de las condiciones generales de uso del mercado en línea considerado puede proporcionar indicios de que el operador de ese mercado influye de manera decisiva en el tratamiento de los datos personales en cuestión y, de tal modo, determina los medios de dicho tratamiento. Así parece ocurrir en el caso de las condiciones generales de uso del mercado en línea de Russmedia, en las que esta sociedad se reserva, en particular, el derecho a distribuir, transmitir, publicar, suprimir o incluso reproducir la información contenida en los anuncios, incluidos los datos personales que contengan.
74
De cualquier modo, el operador de un mercado en línea no puede eludir su responsabilidad, como responsable del tratamiento de datos personales, apoyándose en que no fue él quien determinó el contenido del anuncio controvertido publicado en dicho mercado. En efecto, sería incompatible no solo con el claro tenor del artículo 4, punto 7, del RGPD, sino también con el objetivo de esta disposición, que consiste en garantizar, mediante una definición amplia del concepto de «responsable del tratamiento» o «responsable», una protección eficaz y completa de los interesados, que se excluyera de esta definición a tal operador por ese único motivo.
75
Por consiguiente, procede declarar que el órgano jurisdiccional remitente procedió fundadamente al basarse en sus cuestiones segunda a cuarta en la premisa de que, en una situación como la controvertida en el litigio principal, el operador del mercado en línea es responsable del tratamiento de los datos personales contenidos en un anuncio publicado en dicho mercado en línea, de conformidad con el artículo 4, punto 7, del RGPD.
76
Procede responder a estas cuestiones prejudiciales a la luz de las observaciones preliminares expuestas.
Cuestiones prejudiciales segunda y tercera
77
Mediante sus cuestiones prejudiciales segunda y tercera, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 5, apartado 2, y 24 a 26 del RGPD deben interpretarse en el sentido de que el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, del RGPD, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado, antes de la publicación de los anuncios, a identificar aquellos que contengan datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD, a verificar si el usuario anunciante que se dispone a publicar un anuncio de ese tipo es la persona cuyos datos sensibles figuran en él y, de no ser así, a negarse a publicarlo si no media el consentimiento explícito del interesado, por cuanto tal publicación podría dar lugar a una vulneración grave de los derechos de esa persona al respeto de la vida privada y a la protección de sus datos de carácter personal, garantizados en los artículos 7 y 8 de la Carta.
78
A tenor del artículo 1, apartado 2, del RGPD, leído a la luz de sus considerandos 4 y 10, el objetivo de dicho Reglamento es, en particular, garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas en relación con el tratamiento de los datos personales, pues este derecho también está reconocido por el artículo 8 de la Carta y se vincula íntimamente con el derecho al respeto de la vida privada, consagrado en el artículo 7 de esta (véase, en este sentido, la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601 apartado 61 y jurisprudencia citada).
79
Con tal fin, en primer lugar, el capítulo II del RGPD enuncia los principios que regulan el tratamiento de los datos personales que el responsable del tratamiento debe respetar. En particular, todo tratamiento de datos personales debe ser conforme con los principios relativos al tratamiento de datos y con los requisitos de licitud del tratamiento enumerados en los artículos 5 y 6 de dicho Reglamento (véase, en este sentido, la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601 apartado 62 y jurisprudencia citada).
80
De conformidad con el artículo 5, apartado 1, letra a), del RGPD, los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado. El artículo 5, apartado 1, letra d), de este Reglamento añade que los datos personales tratados deben ser exactos y, si fuera necesario, estar actualizados. Así, tienen que adoptarse todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan. El artículo 5, apartado 1, letra f), de dicho Reglamento dispone que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito.
81
Por lo que respecta a las condiciones de licitud del tratamiento, como ha declarado el Tribunal de Justicia, el artículo 6, apartado 1, párrafo primero, del RGPD establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. El tratamiento de datos lícito debe, por tanto, estar comprendido en alguno de los supuestos contemplados en esa disposición (véase, en ese sentido, la sentencia de 9 de enero de 2025, Mousse, C‑394/23, EU:C:2025:2, apartado 25 y jurisprudencia citada).
82
En particular, a tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo será lícito si el interesado dio su consentimiento para uno o varios fines específicos y en la medida en que lo hizo. El artículo 7, apartado 1, de este Reglamento precisa que, en tal caso, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, de dicho Reglamento, tal tratamiento puede estar, no obstante, justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b) a f), del mismo Reglamento (sentencia de 9 de enero de 2025, Mousse, C‑394/23, EU:C:2025:2, apartado 26 y jurisprudencia citada).
83
A estos principios y condiciones se añaden requisitos específicos aplicables a los datos sensibles, tal como se definen en el artículo 9, apartado 1, del RGPD y cuyo tratamiento está, en principio, prohibido (véase, en este sentido, la sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022 apartado 73).
84
Esta prohibición podrá dejar de aplicarse únicamente cuando concurra alguna de las excepciones establecidas en el artículo 9, apartado 2, letras a) a j), de dicho Reglamento. Entre esas excepciones, que deben interpretarse estrictamente, el artículo 9, apartado 2, letra a), de dicho Reglamento establece que la prohibición del tratamiento de datos sensibles no se aplica cuando el interesado hubiera dado su consentimiento explícito para el tratamiento de sus datos personales sensibles con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada no puede ser levantada por el interesado.
85
En segundo lugar, el capítulo IV del RGPD precisa el alcance de las obligaciones que pesan sobre el responsable del tratamiento de datos personales, en aplicación del principio de responsabilidad establecido en el artículo 5, apartado 2, del RGPD.
86
A tenor de esta disposición, el responsable del tratamiento es responsable del cumplimiento de lo dispuesto en el apartado 1 de ese mismo artículo y debe ser capaz de demostrar que respeta cada uno de los principios establecidos en ese apartado 1, de modo que recae sobre él la carga de tal prueba [sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C‑60/22, EU:C:2023:373, apartado 53 y jurisprudencia citada].
87
El principio de responsabilidad se desarrolla, en particular, en el artículo 24 del RGPD (véase, en este sentido, la sentencia de 25 de enero de 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, apartado 43 y jurisprudencia citada). Dicha disposición exige que, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con dicho Reglamento.
88
Así, los artículos 5, apartado 2, y 24 del RGPD imponen al responsable del tratamiento de datos personales obligaciones generales de responsabilidad y de cumplimiento. Estas disposiciones exigen al responsable que adopte las medidas apropiadas destinadas a prevenir las posibles infracciones de las normas establecidas por el RGPD, a fin de garantizar el derecho a la protección de datos [véase, en este sentido, la sentencia de 27 de octubre de 2022, Proximus (Guías telefónicas electrónicas públicas), C‑129/21, EU:C:2022:833, apartado 81].
89
En esta perspectiva, el artículo 25, apartado 1, del RGPD impone al responsable del tratamiento la obligación de aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos de este Reglamento y proteger los derechos de los interesados. Además, el mismo artículo 25, en su apartado 2, relativo a la protección de datos por defecto, establece, en particular, que las medidas técnicas y organizativas apropiadas que el responsable del tratamiento debe aplicar a tal fin deben garantizar que, por defecto, los datos personales no sean accesibles, sin la participación de la persona afectada, a un número indeterminado de personas físicas.
90
Cuando los datos personales objeto de tratamiento sean datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD, el responsable del tratamiento, a fin determinar cuáles son las medidas apropiadas, en el sentido de los artículos 24 y 25 de este Reglamento, debe tener en cuenta el hecho de que una vulneración de los principios enunciados en el capítulo II del mismo Reglamento que concierna al tratamiento de tales datos puede constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal garantizados en los artículos 7 y 8 de la Carta.
91
Procede tener en cuenta el conjunto de las anteriores precisiones a la hora de examinar las cuestiones prejudiciales segunda y tercera, tal como han sido reformuladas en el apartado 77 de la presente sentencia.
92
Por lo que respecta, en primer lugar, a si el operador de un mercado en línea debe identificar los anuncios que contienen datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD, antes de proceder a su publicación, procede recordar, como se desprende de los apartados 64 y 75 de la presente sentencia, que dicho operador y el usuario anunciante que haya colocado un anuncio de ese tipo en dicho mercado en línea deben ser considerados corresponsables, en el sentido del artículo 26 del mismo Reglamento, cuando el anuncio en cuestión se publique en él.
93
De ello se deduce que tanto ese operador como ese usuario anunciante están obligados a velar por el cumplimiento de las obligaciones resultantes de los artículos 5, apartado 2, 24 y 25 del RGPD. En particular, deben poder demostrar que los datos personales contenidos en el anuncio en cuestión son publicados de manera lícita, es decir, que el interesado ha dado su consentimiento a tal publicación, a menos que puedan invocar alguna otra de las condiciones contempladas en el artículo 6, apartado 1, del RGPD. Cuando los datos personales de que se trate sean datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD, el consentimiento a tal publicación debe ser explícito, como se desprende del apartado 84 de la presente sentencia. Asimismo, según el principio de exactitud enunciado en el artículo 5, apartado 1, letra d), del RGPD, los responsables del tratamiento deben poder demostrar que los datos personales en cuestión son exactos.
94
Para determinar cuáles son concretamente las medidas técnicas y organizativas apropiadas que el operador de un mercado en línea, como corresponsable del tratamiento de datos personales, está obligado a adoptar, con arreglo a los artículos 24 y 25 del RGPD, a fin de garantizar y poder demostrar que la publicación de datos sensibles contenidos en un anuncio se efectúe de conformidad con dicho Reglamento, es preciso señalar que de estas disposiciones se desprende que el carácter apropiado de tales medidas debe evaluarse de manera concreta, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento en cuestión, así como el grado de probabilidad y gravedad de los riesgos para los derechos y libertades del interesado inherentes a él (véase, en este sentido, la sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022 apartado 96).
95
A este respecto, se ha de poner de relieve que la publicación de datos personales en un mercado en línea entraña riesgos significativos para los derechos y libertades del interesado, ya que hace que, en principio, esos datos sean accesibles a cualquier usuario de Internet. Además, una vez publicados en un mercado en línea, dichos datos pueden copiarse y reproducirse en otros sitios web, de modo que puede resultar difícil, o incluso imposible, que el interesado obtenga su supresión efectiva de Internet.
96
Los riesgos vinculados a tal publicación son aún más graves cuando se trata de datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD. En efecto, como dispone expresamente el considerando 51 del RGPD, merecen especial protección los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades (véase, en este sentido, la sentencia de 4 de octubre de 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, apartado 75). Como se señala en el apartado 90 de la presente sentencia, el tratamiento de tales datos puede constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales garantizados en los artículos 7 y 8 de la Carta. Además, el grado de probabilidad de que se produzca una vulneración de estos derechos por la publicación de un anuncio que contenga datos sensibles es muy elevado cuando el propio usuario anunciante no es el interesado y cuando el mercado en línea permite colocar tales anuncios de manera anónima.
97
Por tanto, en la medida en que el operador de un mercado en línea, como el controvertido en el litigio principal, sepa o debería saber que, de manera general, anuncios que contienen datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD, pueden ser publicados por usuarios anunciantes en su mercado en línea, ese operador, como responsable del tratamiento, está obligado, desde el momento en que diseñe su servicio, a aplicar las medidas técnicas y organizativas apropiadas para identificar tales anuncios antes de su publicación y, de ese modo, poder verificar si los datos sensibles que contienen son publicados de conformidad con los principios enunciados en el capítulo II de dicho Reglamento. En efecto, como se desprende, en particular, del artículo 25, apartado 1, del mismo Reglamento, la obligación de aplicar tales medidas le incumbe no solo en el momento del tratamiento, sino también en un momento previo, al determinar los medios del tratamiento y, por tanto, incluso antes de que se publiquen en su mercado en línea datos sensibles que vulneren esos principios, obligación que precisamente tiene por objeto prevenir tal vulneración.
98
Por lo que respecta, en segundo lugar, a si el operador de un mercado en línea, como responsable del tratamiento de los datos sensibles contenidos en los anuncios publicados en su sitio de Internet, conjuntamente con el usuario anunciante, debe verificar la identidad de ese usuario anunciante antes de la publicación, procede recordar que de la lectura conjunta de los apartados 1 y 2, letra a), del artículo 9 del RGPD se desprende que la publicación de tales datos está prohibida, a menos que el interesado haya dado su consentimiento explícito para que los datos en cuestión se publiquen en ese mercado en línea o concurra alguna de las demás excepciones contempladas en dicho artículo 9, apartado 2, letras b) a j), lo que no parece suceder en el presente asunto.
99
A este respecto, si bien el hecho de que el interesado coloque un anuncio que contenga sus datos sensibles en un mercado en línea puede constituir un consentimiento explícito, en el sentido del artículo 9, apartado 2, letra a), del RGPD, tal consentimiento no existe cuando ese anuncio es colocado por un tercero, a menos que este pueda demostrar que el interesado ha dado su consentimiento explícito para la publicación del anuncio en el mercado en línea de que se trate. Por tanto, a fin de garantizar y poder demostrar que se cumplen los requisitos establecidos en el artículo 9, apartado 2, letra a), del RGPD, el operador del mercado en línea está obligado a verificar, antes de la publicación de ese anuncio, si el usuario anunciante que se dispone a colocarlo es la persona cuyos datos sensibles figuran en él, lo que presupone recabar la identidad de ese anunciante usuario.
100
Asimismo, de los artículos 13, apartado 1, letra a), y 14, apartado 1, letra a), del RGPD se desprende que los responsables del tratamiento de datos personales deben facilitar, en cualquier caso, su identidad y sus datos de contacto al interesado.
101
Por último, procede observar que el artículo 26 del RGPD obliga a los corresponsables de un mismo tratamiento de datos personales a definir de manera transparente sus obligaciones respectivas en el cumplimiento de las obligaciones impuestas por dicho Reglamento. Ahora bien, tal obligación resultaría imposible si uno de los responsables de ese tratamiento pudiera permanecer en el anonimato frente al otro.
102
Así pues, de lo expuesto anteriormente se desprende que el operador de un mercado en línea, como responsable de la publicación de los datos sensibles contenidos en un anuncio publicado en su mercado en línea, conjuntamente con el usuario anunciante, tiene la obligación de recabar la identidad de ese usuario anunciante y de verificar si es la persona cuyos datos sensibles figuran en dicho anuncio.
103
A este respecto, como ha señalado, en esencia, el Abogado General en el punto 132 de sus conclusiones, del considerando 75 del RGPD se desprende que, en particular en caso de usurpación de identidad, el tratamiento de datos personales puede entrañar riesgos para los derechos y libertades de los interesados, que, por tal motivo, podrían encontrarse ante la imposibilidad de ejercer el control sobre sus datos personales. En efecto, en general, una identidad se usurpa con el objetivo de cometer actos fraudulentos en perjuicio del interesado o de terceros.
104
En estas circunstancias y habida cuenta también de las consideraciones que figuran en los apartados 95 y 96 de la presente sentencia, para poder garantizar y demostrar que los datos sensibles contenidos en los anuncios son tratados de conformidad con los requisitos del RGPD, el operador de un mercado en línea debe establecer, con arreglo a los artículos 24 y 25 de dicho Reglamento, medidas técnicas y organizativas apropiadas que le permitan no solo recabar, sino también verificar, la identidad del usuario anunciante antes de la publicación de esos anuncios, en particular a fin de poder determinar si se trata de la persona cuyos datos sensibles figuran en dichos anuncios. Tales medidas deben permitir, en particular, como señaló el Abogado General en el punto 134 de sus conclusiones, limitar el riesgo de que los datos personales de los interesados sean tratados de manera ilícita y luchar contra el uso irresponsable de ese mercado en línea, limitando el sentimiento de impunidad e incitando así a los usuarios anunciantes a que cumplan las obligaciones impuestas por el RGPD cuando publiquen anuncios que contengan datos personales.
105
Por último, en cuanto concierne, en tercer lugar, a la cuestión de si el operador de un mercado en línea debe negarse a publicar un anuncio que contenga datos sensibles cuando, tras verificar la identidad del usuario anunciante que se dispone a colocar ese anuncio, constate que no se trata de la persona cuyos datos sensibles figuran en el anuncio, procede señalar que de los apartados 98 y 99 de la presente sentencia resulta que, en tal supuesto, no puede excluirse que dicha publicación vulnere la prohibición de tratamiento de dichos datos, establecida en el artículo 9, apartado 1, del RGPD. Por tanto, a menos que ese usuario anunciante pueda demostrar de modo suficiente en Derecho que el interesado ha dado su consentimiento explícito para que los datos en cuestión se publiquen en ese mercado en línea, en el sentido del citado artículo 9, apartado 2, letra a), o concurra alguna de las otras excepciones establecidas en el citado artículo 9, apartado 2, letras b) a j), el operador de ese mercado en línea debe denegar la publicación del anuncio en cuestión, lo que ha de garantizar aplicando medidas técnicas y organizativas apropiadas.
106
A la vista de cuanto antecede, procede responder a las cuestiones prejudiciales segunda y tercera que los artículos 5, apartado 2, y 24 a 26 del RGPD deben interpretarse en el sentido de que el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, del RGPD, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado, antes de la publicación de los anuncios y aplicando medidas técnicas y organizativas apropiadas:
–
a identificar los anuncios que contengan datos sensibles, en el sentido del artículo 9, apartado 1, del RGPD,
–
a verificar si el usuario anunciante que se dispone a colocar un anuncio de ese tipo es la persona cuyos datos sensibles figuran en el anuncio y, de no ser así,
–
a denegar su publicación, a menos que dicho usuario anunciante pueda demostrar que el interesado ha dado su consentimiento explícito para que los datos en cuestión se publiquen en ese mercado en línea, en el sentido del citado artículo 9, apartado 2, letra a), o concurra alguna de las otras excepciones establecidas en el citado artículo 9, apartado 2, letras b) a j).
Cuarta cuestión prejudicial
107
Mediante la cuarta cuestión prejudicial se pregunta, en esencia, si un operador de un mercado en línea, como responsable del tratamiento, está obligado a aplicar medidas de seguridad dirigidas a impedir o limitar la copia y la redistribución de los anuncios que contengan datos sensibles que hayan sido publicados en su mercado en línea.
108
En el presente asunto, de la petición de decisión prejudicial se desprende, por un lado, que el anuncio falso y lesivo objeto de controversia en el litigio principal fue reproducido en otros sitios web de contenido publicitario, que lo publicaron indicando la fuente de origen, y, por otro lado, que, en las condiciones generales de uso de su mercado en línea, Russmedia se reserva, en particular, el derecho a transmitir los contenidos de los anuncios publicados en ese mercado y a cederlos a sus socios comerciales. A este respecto, el órgano jurisdiccional remitente no precisa si Russmedia transfirió voluntariamente a esos otros sitios de Internet dicho anuncio o, cuando menos, permitió, mediante contratos, tales publicaciones, o bien si, por el contrario, estas resultan de copias del anuncio original no autorizadas por Russmedia.
109
Si se demostrara el primer supuesto de esta alternativa, esa transmisión constituiría un nuevo tratamiento de datos personales del que Russmedia sería responsable, en el sentido del artículo 4, punto 7, del RGPD. Ese tratamiento debería distinguirse de la publicación por el usuario anunciante del anuncio falso y lesivo controvertido en el litigio principal en su mercado en línea.
110
En efecto, procede distinguir entre los diferentes tratamientos de datos personales que forman parte de una misma cadena de operaciones a fin de tener en cuenta la necesidad de apreciar individualmente, para cada persona que pueda ser calificada de responsable del tratamiento de datos personales, el nivel de responsabilidad que se le puede imputar. Esto se debe a que, para poder ser considerada corresponsable del tratamiento, una persona física o jurídica debe responder de manera independiente a la definición de «responsable del tratamiento» que figura en el artículo 4, punto 7, del RGPD (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 41 y jurisprudencia citada).
111
De ello se sigue que, si se efectúa una ulterior transmisión de los datos personales en el marco de contratos de difusión entre el operador del mercado en línea, en el que inicialmente se publicaron los datos personales considerados, y operadores de otros sitios de Internet, ese primer operador es, en principio, el único responsable del tratamiento que constituye dicha transmisión. En cualquier caso, todo responsable del tratamiento está obligado, individual o conjuntamente, a cumplir todas las obligaciones que resultan del RGPD.
112
Una vez hechas estas precisiones, procede entender la cuarta cuestión prejudicial en el sentido de que contempla la hipótesis de que Russmedia no transmitió a otros sitios web de contenido publicitario el anuncio falso y lesivo objeto de controversia en el litigio principal y, por tanto, no autorizó esas publicaciones posteriores.
113
Además, cabe observar también que esta cuestión prejudicial versa, en esencia, sobre el alcance de la obligación de seguridad que incumbe a un responsable del tratamiento de datos personales. Pues bien, el artículo 32 del RGPD tiene específicamente por objeto la seguridad del tratamiento. Esta disposición concreta y precisa un aspecto específico de los requisitos establecidos en el artículo 24 de dicho Reglamento, que, junto con el artículo 5, apartado 2, del mismo Reglamento, define de manera general la responsabilidad del responsable del tratamiento.
114
En estas circunstancias, procede considerar que, mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 32 del RGPD debe interpretarse en el sentido de que el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, de dicho Reglamento, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado a aplicar medidas de seguridad que impidan que los anuncios publicados en él que contengan datos sensibles, en el sentido del artículo 9, apartado 1, de dicho Reglamento, sean copiados y publicados ilícitamente en otros sitios web.
115
El artículo 32, apartado 1, del RGPD establece que, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
116
El artículo 32, apartado 2, de dicho Reglamento dispone que, al evaluar la adecuación del nivel de seguridad, se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
117
El Tribunal de Justicia ya ha declarado que la referencia que figura en el artículo 32, apartados 1 y 2, del RGPD, a un «nivel de seguridad adecuado al riesgo» y a una «adecuación del nivel de seguridad» pone de manifiesto que este Reglamento instaura un régimen de gestión de riesgos y que en modo alguno pretende eliminar los riesgos de violación de la seguridad de los datos personales (sentencia de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, apartado 29).
118
Así, del tenor del artículo 32 del RGPD, en relación con el artículo 24 del mismo Reglamento, se desprende que dicho artículo 32 se limita a obligar al responsable del tratamiento a adoptar medidas técnicas y organizativas destinadas a evitar, en la medida de lo posible, cualquier violación de la seguridad de los datos personales. El carácter apropiado de tales medidas debe evaluarse en cada caso concreto, examinando si el responsable ha adoptado esas medidas teniendo en cuenta los diferentes criterios establecidos en los mencionados artículos y las necesidades de protección de datos específicamente inherentes al tratamiento de que se trate y a los riesgos que conlleva (véase, en este sentido, la sentencia de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, apartado 30).
119
A este respecto, para determinar el riesgo concreto que constituye el tratamiento en cuestión, debe tenerse en cuenta el eventual carácter sensible de los datos personales tratados. En efecto, como se ha recordado en los apartados 51 y 90 de la presente sentencia, la protección reforzada que establece el artículo 9, apartado 1, del RGPD para ciertas categorías de datos, debido a su particular sensibilidad, se debe al hecho de que el tratamiento de tales datos puede constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal, garantizados por los artículos 7 y 8 de la Carta (véase, en ese sentido, la sentencia de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, apartado 41 y jurisprudencia citada).
120
Dicho esto, una vez que un anuncio que contiene datos personales está en línea y, por tanto, ya es accesible globalmente, la diseminación de los datos implica, en particular, el riesgo de una pérdida de control de los datos personales de que se trate que, cuando se produce, priva de todo efecto útil a los derechos y garantías establecidos en el RGPD en beneficio del interesado, entre ellos fundamentalmente el derecho a la supresión contemplado en el artículo 17 de dicho Reglamento.
121
Asimismo, cuando se publican en línea datos sensibles, el responsable del tratamiento está obligado, en virtud del artículo 32 del RGPD, a adoptar todas las medidas técnicas y organizativas necesarias para garantizar un nivel de seguridad que pueda prevenir eficazmente la pérdida de control de esos datos.
122
Para ello, el responsable del tratamiento debe considerar, en particular, todas las medidas técnicas disponibles en el actual estado de la técnica que puedan bloquear la copia y la reproducción del contenido en línea.
123
No obstante, cabe precisar, además, que los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que una diseminación ilícita de datos personales publicados inicialmente en línea baste para concluir que las medidas adoptadas por el responsable del tratamiento en cuestión no eran apropiadas, en el sentido de dichas disposiciones, sin siquiera permitir a este último aportar prueba en contrario (sentencia de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, apartado 31).
124
En el presente asunto, de la resolución de remisión se desprende que, a pesar de la supresión del mercado en línea de Russmedia del anuncio falso y lesivo objeto de controversia en el litigio principal, dicho anuncio sigue siendo accesible en línea en otros sitios web, sin que, al parecer, la demandante en el litigio principal pueda obtener su supresión.
125
Pues bien, esta pérdida de control tiene su origen en la publicación inicial ilícita del anuncio falso y lesivo objeto de controversia en el litigio principal, publicación que no cumplía los requisitos establecidos en el RGPD. En cualquier caso, Russmedia estaba obligada a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, en virtud del artículo 32 del RGPD, y a bloquear en la medida de lo posible cualquier copia de dicho anuncio. Incumbe al órgano jurisdiccional remitente comprobar si tal es el caso.
126
A la vista de cuanto antecede, procede responder a la cuarta cuestión prejudicial que el artículo 32 del RGPD debe interpretarse en el sentido de que el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, de dicho Reglamento, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado a aplicar medidas de seguridad técnicas y organizativas apropiadas para impedir que anuncios que se hayan publicado en ese mercado y que contengan datos sensibles, en el sentido del artículo 9, apartado 1, del mismo Reglamento, sean copiados e ilícitamente publicados en otros sitios web.
Primera cuestión prejudicial, relativa a la interpretación de la Directiva 2000/31
127
Como se señala en los apartados 45 y 46 de la presente sentencia, el órgano jurisdiccional remitente desea, además, que se dilucide si el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, del RGPD, de los datos personales contenidos en anuncios publicados en su mercado en línea, puede invocar, respecto al incumplimiento de las obligaciones resultantes de los artículos 5, apartado 2, 24 a 26 y 32 de dicho Reglamento, y constatadas en los apartados 106 y 126 de la presente sentencia, los artículos 12 a 15 de la Directiva 2000/31, relativos a la responsabilidad de los prestadores de servicios intermediarios.
128
Así pues, se plantea la cuestión de la articulación de estos dos instrumentos del Derecho de la Unión. En particular, es preciso determinar si los artículos 12 a 15 de la Directiva 2000/31 pueden interferir en el régimen de responsabilidad establecido en el RGPD.
129
A este respecto, ha de señalarse, por una parte, que el artículo 1, apartado 5, letra b), de la Directiva 2000/31 precisa que esta Directiva no es aplicable a las cuestiones relativas a los servicios de la sociedad de la información incluidas en las Directivas 95/46 y 97/66.
130
Dicha disposición ha sido interpretada por el Tribunal de Justicia en el sentido de que las cuestiones relacionadas con la protección de la confidencialidad de las comunicaciones y de los datos personales deben apreciarse a la luz del RGPD y de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37), que sustituyeron, respectivamente, a la Directiva 95/46 y a la Directiva 97/66, habida cuenta de que la protección que tiene por objeto garantizar la Directiva 2000/31 no puede, en ningún caso, ir en perjuicio de las exigencias resultantes del RGPD y de la Directiva 2002/58 (sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791, apartado 200 y jurisprudencia citada).
131
De ello se desprende, en particular, que la eventual aplicación de la exención establecida en el artículo 14, apartado 1, de la Directiva 2000/31, que el operador de un mercado en línea podría invocar respecto a la información alojada en su sitio de Internet, no puede interferir con el régimen del RGPD, aplicable a ese operador al igual que a cualquier otro operador comprendido en el ámbito de aplicación de dicho Reglamento.
132
Lo mismo sucede con el artículo 15 de la Directiva 2000/31, en virtud del cual los Estados miembros no pueden imponer a los prestadores de servicios una obligación general de supervisión respecto de los servicios contemplados, en particular, en el artículo 14 de dicha Directiva. Además, la obligación del operador de un mercado en línea de cumplir las exigencias derivadas del RGPD en ningún caso puede calificarse como tal obligación general de supervisión.
133
Por otra parte, el artículo 2, apartado 4, del RGPD dispone que este Reglamento se entenderá sin perjuicio de la aplicación de la Directiva 2000/31, en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15.
134
Este artículo 2, apartado 4, debe entenderse en el sentido de que el hecho de que un operador sea el titular de obligaciones establecidas en el RGPD no excluye automáticamente que pueda invocar los artículos 12 a 15 de la Directiva 2000/31 para cuestiones distintas de las relativas a la protección de los datos personales.
135
Así, de la lectura conjunta del artículo 1, apartado 5, letra b), de la Directiva 2000/31 y del artículo 2, apartado 4, del RGPD se desprende que las disposiciones de esta Directiva, en particular sus artículos 12 a 15, no deben interferir en el régimen de dicho Reglamento.
136
Habida cuenta de las consideraciones anteriores, procede responder a la primera cuestión prejudicial que el artículo 1, apartado 5, letra b), de la Directiva 2000/31 y el artículo 2, apartado 4, del RGPD deben interpretarse en el sentido de que el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, del RGPD, de los datos personales contenidos en anuncios publicados en su mercado en línea, no puede invocar, respecto al incumplimiento de las obligaciones resultantes de los artículos 5, apartado 2, 24 a 26 y 32 de este Reglamento, los artículos 12 a 15 de dicha Directiva, relativos a la responsabilidad de los prestadores de servicios intermediarios.
Costas
137
Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara:
1)
Los artículos 5, apartado 2, y 24 a 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
deben interpretarse en el sentido de que
el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, de dicho Reglamento, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado, antes de la publicación de los anuncios y aplicando medidas técnicas y organizativas apropiadas:
–
a identificar los anuncios que contengan datos sensibles, en el sentido del artículo 9, apartado 1, del mismo Reglamento,
–
a verificar si el usuario anunciante que se dispone a colocar un anuncio de ese tipo es la persona cuyos datos sensibles figuran en el anuncio y, de no ser así,
–
a denegar su publicación, a menos que dicho usuario anunciante pueda demostrar que el interesado ha dado su consentimiento explícito para que los datos en cuestión se publiquen en ese mercado en línea, en el sentido del citado artículo 9, apartado 2, letra a), o concurra alguna de las otras excepciones establecidas en el citado artículo 9, apartado 2, letras b) a j).
2)
El artículo 32 del Reglamento 2016/679
debe interpretarse en el sentido de que
el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, de dicho Reglamento, de los datos personales contenidos en anuncios publicados en su mercado en línea, está obligado a aplicar medidas de seguridad técnicas y organizativas apropiadas para impedir que anuncios que se hayan publicado en ese mercado y que contengan datos sensibles, en el sentido del artículo 9, apartado 1, del mismo Reglamento, sean copiados e ilícitamente publicados en otros sitios web.
3)
El artículo 1, apartado 5, letra b), de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), y el artículo 2, apartado 4, del Reglamento 2016/679
deben interpretarse en el sentido de que
el operador de un mercado en línea, como responsable del tratamiento, en el sentido del artículo 4, punto 7, del Reglamento 2016/679, de los datos personales contenidos en anuncios publicados en su mercado en línea, no puede invocar, respecto al incumplimiento de las obligaciones resultantes de los artículos 5, apartado 2, 24 a 26 y 32 de este Reglamento, los artículos 12 a 15 de dicha Directiva, relativos a la responsabilidad de los prestadores de servicios intermediarios.
Firmas
(
*1
)	Lengua de procedimiento: rumano.