62023CJ0492
DOMSTOLENS DOM (stora avdelningen)
den 2 december 2025 (
*1
)
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 4 led 7 – Begreppet personuppgiftsansvarig – En e-handelsplatsoperatörs ansvar för publicering av personuppgifter som ingår i annonser som läggs upp på handelsplatsen av användarannonsörer – Artikel 5.2 – Principen om ansvarsskyldighet – Artikel 26 – Gemensamt ansvar med användarannonsörerna – Artikel 9.1 och 9.2 a – Annonser som innehåller känsliga uppgifter – Lagligheten av behandlingen av personuppgifter – Samtycke – Artiklarna 24, 25 och 32 – Den personuppgiftsansvariges skyldigheter – Fastställande på förhand av vilka annonser som innehåller sådana uppgifter – Förhandskontroll av användarannonsörens identitet – Vägran att publicera olagliga annonser – Säkerhetsåtgärder ägnade att hindra att annonser kopieras och publiceras på andra webbplatser – Elektronisk handel – Direktiv 2000/31/EG – Artiklarna 12–15 – Möjlighet för en e-handelsplatsoperatör att, med anledning av ett åsidosättande av dessa skyldigheter, kunna åberopa det undantag från ansvar som gäller för tjänstelevererande mellanhänder av informationssamhällets tjänster”
I mål C‑492/23,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Curtea de Apel Cluj (Appellationsdomstolen i Cluj, Rumänien) genom beslut av den 15 juni 2023, som inkom till domstolen den 3 augusti 2023, i målet
X
mot
Russmedia Digital SRL,
Inform Media Press SRL,
meddelar
DOMSTOLEN (stora avdelningen)
sammansatt av ordföranden K. Lenaerts, vice ordföranden T. von Danwitz, avdelningsordförandena F. Biltgen, K. Jürimäe (referent), C. Lycourgos, I. Jarukaitis, M.L. Arastey Sahún, I. Ziemele, J. Passer samt domarna S. Rodin, E. Regan, N. Jääskinen och D. Gratsias,
generaladvokat: M. Szpunar,
justitiesekreterare: handläggaren R. Şereş,
efter det skriftliga förfarandet och förhandlingen den 2 juli 2024,
med beaktande av de yttranden som avgetts av:
–
X, genom I. Kis, avocată,
–
Rumäniens regering, genom E. Gane, L. Ghiţă och R.I. Haţieganu, samtliga i egenskap av ombud,
–
Europeiska kommissionen, genom, L. Armati, H. Kranenborg, P.-J. Loewenthal och L. Nicolae, samtliga i egenskap av ombud,
och efter att den 6 februari 2025 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1
Begäran om förhandsavgörande avser tolkningen av artiklarna 12–15 i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) (EGT L 178, 2000, s. 1), och av artikel 2.4, artikel 4 leden 7 och 11, artikel 5.1 b och f samt artikel 6.1 a samt artiklarna 7, 24 och 25 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).
2
Begäran har framställts i ett mål mellan en fysisk person, X, och Russmedia Digital SRL och Inform Media Press SRL (nedan gemensamt kallade Russmedia). Målet rör en skadeståndstalan där X har yrkat ersättning för den ideella skada som hon lidit till följd av den olagliga behandlingen av hennes personuppgifter samt en kränkning av hennes bildrätt samt hennes rätt till skydd av anseende och privatliv.
Tillämpliga bestämmelser
Unionsrätt
Direktiv 2000/31
3
I skälen 14, 42, 46 och 52 i direktiv 2000/31 anges följande:
”(14)
Skydd för enskilda personer med avseende på behandling av personuppgifter regleras endast av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter [EGT L 281, 1995, s. 31] och Europaparlamentets och rådets direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet [EGT L 24, 1998, s. 1] som i sin helhet är tillämpliga på informationssamhällets tjänster. … Genomförandet och tillämpningen av detta direktiv bör stå i full överensstämmelse med principerna om skydd för personuppgifter, särskilt avseende icke begärda kommersiella meddelanden och mellanhänders ansvar. Detta direktiv kan inte förhindra anonym användning av öppna nätverk som internet.
…
(42)
De undantag från ansvar som fastställs enligt denna artikel omfattar endast fall när tjänsteleverantörens verksamhet är begränsad till den tekniska processen att driva och erbjuda tillgång till ett kommunikationsnät där information som görs tillgänglig av tredje part vidarebefordras eller tillfälligt lagras, i uteslutande syfte att göra överföringen effektivare. Denna verksamhet är av rent teknisk, automatisk och passiv natur, vilket innebär att tjänsteleverantören varken har kännedom om eller kontroll över vidarebefordrad eller lagrad information.
…
(46)
För att kunna utnyttja ansvarsbegränsning måste leverantören av en informationssamhällstjänst som består av lagring av information, så snart han har fått kännedom eller blivit medveten om olaglig verksamhet, skyndsamt vidta åtgärder för att avlägsna den berörda informationen eller göra den oåtkomlig. Informationen måste avlägsnas eller göras oåtkomlig med beaktande av principen om yttrandefrihet och av förfaranden etablerade på nationell nivå för detta ändamål. Detta direktiv påverkar inte medlemsstaternas möjligheter att fastställa särskilda krav som måste uppfyllas skyndsamt innan information avlägsnas eller görs oåtkomlig.
…
(52)
… De skador som kan uppkomma i samband med informationssamhällets tjänster kännetecknas av både snabbhet och den geografiska omfattningen. På grund av dessa särdrag och behovet av att se till att nationella myndigheter inte äventyrar det förtroende de bör ha för varandra uppmanar detta direktiv medlemsstaterna att säkerställa att det finns lämpliga möjligheter att väcka talan vid domstol. …”
4
I artikel 1 i direktiv 2000/31, med rubriken ”Mål och tillämpningsområde”, föreskrivs följande:
”1.   Syftet med detta direktiv är att bidra till att den inre marknaden fungerar väl genom att säkerställa den fria rörligheten för informationssamhällets tjänster mellan medlemsstaterna.
…
5.   Detta direktiv skall inte tillämpas på
…
b) frågor beträffande informationssamhällets tjänster som omfattas av direktiv [95/46] och direktiv [97/66],
…”
5
Avsnitt 4 i direktiv 2000/31 ingår i kapitel II i det direktivet. Detta avsnitt har rubriken ”Tjänstelevererande mellanhänders ansvar” och innefattade, i den lydelse som var tillämplig vid tidpunkten för omständigheterna i det nationella målet, artiklarna 12–15. Det framgår av rubrikerna till artiklarna 12 respektive 13 i direktivet att dessa artiklar avsåg ”Enbart vidarefordran (’mere conduit’)” samt ”Cachning”
6
Artikel 14 i direktivet har rubriken ”Värdtjänster”. I den artikeln föreskrevs följande:
”1.   Medlemsstaterna skall se till att en tjänsteleverantör som levererar någon av informationssamhällets tjänster bestående av lagring av information som tillhandahållits av tjänstemottagaren inte skall vara ansvarig för information som lagrats på begäran av en tjänstemottagare av tjänsten, under förutsättning att
a)
tjänsteleverantören inte hade kännedom om förekomsten av olaglig verksamhet eller olaglig information och, beträffande skadeståndsanspråk, inte var medveten om fakta eller omständigheter som gjort förekomsten av den olagliga verksamheten eller den olagliga informationen uppenbar,
eller
b)
tjänsteleverantören så snart han fått sådan kännedom eller blivit medveten om detta handlat utan dröjsmål för att avlägsna informationen eller göra den oåtkomlig.
2.   Punkt 1 är inte tillämplig om tjänstemottagaren handlar under tjänsteleverantörens ledning eller överinseende.
3.   Denna artikel skall inte påverka möjligheten för en domstol eller administrativ myndighet att i enlighet med medlemsstaternas rättssystem kräva att tjänsteleverantören upphör med eller förhindrar en överträdelse, inte heller skall den påverka medlemsstaternas möjlighet att inrätta förfaranden för att avlägsna information eller göra den oåtkomlig.”
7
Artikel 15 i direktivet har rubriken ”Avsaknad av allmän övervakningsskyldighet”. I artikel 15.1 och 15.2 föreskrevs följande:
”1.   Medlemsstaterna får inte ålägga tjänsteleverantörerna en allmän skyldighet att, i samband med tillhandahållande av sådana tjänster som avses i artiklarna 12, 13 och 14, övervaka den information de överför eller lagrar, och inte heller någon allmän skyldighet att aktivt efterforska fakta eller omständigheter som kan tyda på olaglig verksamhet.
2.   Medlemsstaterna kan fastställa skyldigheter för leverantörer av informationssamhällets tjänster att omedelbart informera de behöriga myndigheterna om påstådda olagliga verksamheter som utförts eller olaglig information som tillhandahållits av mottagarna av deras tjänster eller att till behöriga myndigheter på deras begäran lämna information som gör det möjligt att identifiera de mottagare av deras tjänster med vilka de ingått lagringsavtal.”
Dataskyddsförordningen
8
Skälen 4, 10, 39, 51, 74, 75, 78 och 85 i dataskyddsförordningen har följande lydelse:
”(4)
Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.
…
(10)
För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. …
…
(39)
Varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. …
…
(51)
Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheterna och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. … Sådana personuppgifter bör inte behandlas, såvida inte behandling medges i särskilda fall som fastställs i denna förordning … Utöver de särskilda kraven för sådan behandling, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov, i synnerhet när behandlingen utförs inom ramen för legitima verksamheter som bedrivs av vissa sammanslutningar eller stiftelser i syfte att göra det möjligt att utöva grundläggande friheter.
…
(74)
Personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Personuppgiftsansvariga bör särskilt vara skyldiga att vidta lämpliga och effektiva åtgärder och kunna visa att behandlingen är förenlig med denna förordning, även vad gäller åtgärdernas effektivitet. Man bör inom dessa åtgärder beakta behandlingens art, omfattning, sammanhang och ändamål samt risken för fysiska personers rättigheter och friheter.
(75)
Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till … identitetsstöld eller [identitets]bedrägeri, … skadat anseende … om registrerade kan berövas sina rättigheter och friheter eller hindras att utöva kontroll över sina personuppgifter, …
…
(78)
Skyddet av fysiska personers rättigheter och friheter i samband med behandling av personuppgifter förutsätter att lämpliga tekniska och organisatoriska åtgärder vidtas, så att kraven i denna förordning uppfylls. För att kunna visa att denna förordning följs bör den personuppgiftsansvarige anta interna strategier och vidta åtgärder, särskilt för att uppfylla principerna om inbyggt dataskydd och dataskydd som standard. …
…
(85)
En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering, identitetsstöld, … skadat anseende …”
9
Artikel 1 i förordningen har rubriken ”Syfte”. I artikel 1.2 föreskrivs följande:
”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.”
10
Artikel 2 i förordningen har rubriken ”Materiellt tillämpningsområde”. I artikel 2.4 föreskrivs följande:
”Denna förordning ska inte påverka tillämpningen av direktiv [2000/31], i synnerhet inte bestämmelserna om tjänstelevererande mellanhänders ansvar enligt artiklarna 12 och 15 i det direktivet.”
11
Artikel 4 i förordningen har rubriken ”Definitioner”. Den artikeln har följande lydelse:
”I denna förordning avses med
1)
personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2)
behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
7)
personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,
…
11)
samtycke av den registrerade: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne,
…”
12
Kapitel II i dataskyddsförordningen har rubriken ”Principer”. Det kapitlet innehåller artiklarna 5–9.
13
I artikel 5 i dataskyddsförordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:
”1.   Vid behandling av personuppgifter ska följande gälla:
a)
Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
b)
De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål … (ändamålsbegränsning).
…
d)
De ska vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet).
…
f)
De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).
2.   Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
14
I artikel 6 i förordningen har rubriken ”Laglig behandling av personuppgifter”. I artikel 6.1 föreskrivs följande:
”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a)
Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
b)
Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.
c)
Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige.
d)
Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.
e)
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
f)
Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.”
15
Artikel 7 i dataskyddsförordningen har rubriken ”Villkor för samtycke”. I artikel 7.1 föreskrivs följande:
”Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.”
16
Artikel 9 i dataskyddsförordningen har rubriken ”Behandling av särskilda kategorier av personuppgifter”. I den artikeln föreskrivs följande:
”1.   Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2.   Punkt 1 ska inte tillämpas om något av följande gäller:
a)
Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
…”
17
Artikel 13 i förordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”. I artikel 13.1 a föreskrivs följande:
”Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:
a)
Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.”
18
Artikel 14 i förordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”. I artikel 14.1 a föreskrivs följande:
”Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:
a)
Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.”
19
Kapitel III i dataskyddsförordningen har rubriken ”Den registrerades rättigheter”. Det kapitlet innehåller artikel 17, som har rubriken ”Rätt till radering (’rätten att bli bortglömd’)”. I artikel 17.1 och 17.2 föreskrivs följande:
”1.   Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
…
d) Personuppgifterna har behandlats på olagligt sätt.
…
2.   Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av, dessa personuppgifter.”
20
Kapitel IV i dataskyddsförordningen har rubriken ”Personuppgiftsansvarig och personuppgiftsbiträde”. Avsnitt 1 i det kapitlet har rubriken ”Allmänna skyldigheter”. I det avsnittet ingår bland annat artiklarna 24–26.
21
Artikel 24 i dataskyddsförordningen har rubriken ”Den personuppgiftsansvariges ansvar”. I artikel 24.1 föreskrivs följande:
”Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.”
22
Artikel 25 i förordningen har rubriken ”Inbyggt dataskydd och dataskydd som standard”. I artikel 25.1 och 25.2 föreskrivs följande:
”1.   Med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas.
2.   Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.”
23
Artikel 26 i dataskyddsförordningen har rubriken ”Gemensamt personuppgiftsansvariga”. I artikel 26.1 föreskrivs följande:
”Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de registrerade utses.”
24
Artikel 32 i dataskyddsförordningen, med rubriken ”Säkerhet i samband med behandlingen”, har följande lydelse:
”1.   Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt
a)
pseudonymisering och kryptering av personuppgifter,
b)
förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna,
c)
förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident,
d)
ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.
2.   Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
3.   Anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får användas för att visa att kraven i punkt 1 i den här artikeln följs.
4.   Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det.”
25
Artikel 82 i dataskyddsförordningen har rubriken ”Ansvar och rätt till ersättning”. I artikel 82.1–82.3 föreskrivs följande:
”1.   Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.
2.   Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot denna förordning. Ett personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter i denna förordning som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar.
3.   Den personuppgiftsansvarige eller personuppgiftsbiträdet ska undgå ansvar enligt punkt 2 om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan.”
26
I artikel 94 i samma förordning föreskrivs följande:
”1.   Direktiv [95/46] ska upphöra att gälla med verkan från och med den 25 maj 2018.
2.   Hänvisningar till det upphävda direktivet ska anses som hänvisningar till denna förordning. …”
Rumänsk rätt
27
I artikel 11 i Legea nr. 365/2002 privind comerțul electronic (lag nr 365/2002 om elektronisk handel) av den 7 juni 2002 (Monitorul Oficial României, del I, nr 483 av den 5 juli 2002), i dess lydelse enligt Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (lag nr 121/2006 om ändring och komplettering av lag nr 365/2002 om elektronisk handel) av den 4 maj 2006 (Monitorul Oficial al României, del I, nr 403 av den 10 maj 2006) (nedan kallad lag nr 365/2002), föreskrivs följande:
”1.   Tjänsteleverantörer ska omfattas av de rättsliga bestämmelserna om civilrättsligt och straffrättsligt ansvar samt ansvar för administrativa överträdelser, såvida inte annat föreskrivs i denna lag.
2.   Tjänsteleverantörer är ansvariga för den information som tillhandahålls av dem själva eller för deras räkning.
3.   Tjänsteleverantörer är inte ansvariga för information som överförts eller lagrats eller som de ger tillgång till på de villkor som anges i artiklarna 12–15.”
28
Artikel 14 i lag nr 365/2002 har rubriken ”Permanent lagring av uppgifter, värdtjänster”. I den artikeln föreskrivs följande:
”1.   När någon av informationssamhällets tjänster består av lagring av information som tillhandahållits av mottagaren av den aktuella tjänsten, ska leverantören av den tjänsten inte vara ansvarig för information som lagrats på begäran av en tjänstemottagare, under förutsättning att
a)
tjänsteleverantören inte hade kännedom om förekomsten av olaglig verksamhet eller olaglig information och, beträffande skadeståndsanspråk, inte var medveten om fakta eller omständigheter av vilka det framgår att den aktuella verksamheten eller informationen kan inverka menligt på en tredje parts rättigheter, eller
b)
tjänsteleverantören, så snart denne fått kännedom om att den aktuella verksamheten eller informationen är olaglig eller blivit medveten om fakta eller omständigheter av vilka det framgår att den aktuella verksamheten eller informationen kan inverka menligt på en tredje parts rättigheter, har handlat utan dröjsmål för att avlägsna informationen eller göra den oåtkomlig.
2.   Punkt 1 är inte tillämplig om tjänstemottagaren handlar under tjänsteleverantörens ledning eller överinseende.
3.   Bestämmelserna i denna artikel ska inte påverka möjligheten för en rättslig eller administrativ myndighet att kräva att tjänsteleverantören upphör med eller förhindrar personuppgiftsincidenten eller möjligheten att inrätta statliga förfaranden för att begränsa eller avbryta åtkomsten till uppgifter”
29
I artikel 11.1 i Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (tillämpningsföreskrifter för lag nr 365/2002 om elektronisk handel), godkänd genom Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (regeringsbeslut nr 1.308 om godkännande av tillämpningsföreskrifterna för lag nr 365/2002 om elektronisk handel) av den 20 november 2002 (Monitorul Oficial al României, del I, nr 877 av den 5 december 2002), anges följande:
”Leverantörer av informationssamhällets tjänster som tillhandahåller de tjänster som avses i artiklarna 12–15 i lag [nr 365/2002] är inte skyldiga att kontrollera den information som de överför eller lagrar eller att aktivt söka efter uppgifter om verksamhet eller information som förefaller vara olaglig på det område för informationssamhällets tjänster som de tillhandahåller.”
Målet vid den nationella domstolen och tolkningsfrågorna
30
Russmedia Digital är ett rumänskt bolag som äger webbplatsen www.publi24.ro. Denna webbplats är en e-handelsplats på vilken annonser avseende bland annat försäljning av varor eller tillhandahållande av tjänster i Rumänien kan publiceras kostnadsfritt eller mot betalning.
31
Klaganden i det nationella målet, X, har gjort gällande att en icke-identifierad utomstående person den 1 augusti 2018 publicerade en annons på denna webbplats som var falsk och som orsakade henne skada, genom att det i annonsen angavs att hon erbjöd sexuella tjänster. Annonsen innehöll bland annat bilder av klaganden, vilka hade använts utan hennes samtycke, samt hennes telefonnummer. Denna annons blev sedan identiskt reproducerad på andra webbplatser med reklaminnehåll, där den lades ut på nätet med angivande ursprungskällan. Klaganden kontaktade Russmedia Digital och krävde att bolaget skulle ta bort annonsen från sin webbplats. Russmedia Digital gjorde detta mindre än en timme efter det att bolaget hade mottagit klagandens begäran. Samma annons finns emellertid fortfarande tillgänglig på andra webbplatser som har reproducerat den.
32
X ansåg att den aktuella annonsen kränkte hennes bildrätt, hennes rätt till skydd av anseende och privatliv samt åsidosatte reglerna om behandling av personuppgifter. Hon väckte därför talan mot Russmedia vid Judecătoria Cluj-Napoca (Förstainstansdomstolen i Cluj-Napoca, Rumänien). Den domstolen förpliktade Russmedia att utge skadestånd till X med 7000 euro som ersättning för den ideella skada som hon hade orsakats till följd av kränkningen av bildrätten, av rätten till skydd av anseende och privatliv samt den olagliga behandlingen av hennes personuppgifter.
33
Russmedia överklagade den domen. Tribunalul Specializat Cluj (Specialdomstolen i Cluj, Rumänien) biföll överklagandet och slog fast att det saknades fog för X:s överklagande, eftersom den aktuella annonsen inte kom från Russmedia, som endast tillhandahöll en värdtjänst för annonsen i fråga utan att vara aktivt delaktig i utformningen av dess innehåll. Det undantag från ansvar som föreskrivs i artikel 14.1 b i lag nr 365/2002 var således tillämpligt på Russmedia. Beträffande behandlingen av personuppgifter fann den domstolen att en leverantör av informationssamhällets tjänster inte var skyldig att kontrollera den information som denne överför eller att aktivt söka efter uppgifter om verksamheter eller information som förefaller vara olagliga. Den domstolen fann att Russmedia inte kunde klandras för att inte ha vidtagit några åtgärder för att hindra att den aktuella ärekränkande annonsen spreds på nätet, eftersom bolaget snabbt hade avlägsnat annonsen efter det att X hade begärt detta.
34
X överklagade till Curtea de Apel Cluj (Appellationsdomstolen i Cluj, Rumänien) och gjorde gällande att Tribunalul Specializat Cluj (Specialdomstolen i Cluj) hade grundat sig på en felaktig tolkning av lag nr 365/2002. X har bland annat gjort gällande att den lagen inte utgör lex specialis i förhållande till dataskyddsförordningen, varför Tribunalul Specializat Cluj (Specialdomstolen i Cluj) borde ha prövat huruvida den förordningen var tillämplig. Russmedia begränsar sig inte till att tillhandahålla sina kunder en specifik teknisk anordning för att få åtkomst till värdservern. Bolaget spelar även en roll i driften av webbplatsen och ingriper i dess innehåll för att uppnå en ändamålsenlig informationshantering. Russmedia, i egenskap av webbplatsoperatör, lagrar information och behandlar innehållet i denna information. Lagring av uppgifter samt deras tillgängliggörande för allmänheten i en viss form innebär att det görs en analys av uppgifterna och av den information som finns i annonserna. Dessa omständigheter visar att Russmedia var direkt inblandat i hanteringen och spridningen av innehållet i annonserna. Artikel 14 i lag nr 365/2002 är följaktligen inte tillämplig.
35
X har dessutom gjort gällande att undantaget från ansvar för en sådan leverantör inte gäller om det är styrkt att ansvar föreligger enligt annan lagstiftning, såsom dataskyddsförordningen. Russmedia har publicerat X:s personuppgifter utan hennes samtycke och det sätt som bolagets webbplats fungerar på gör det möjligt för vem som helst att lägga upp vilka annonser som helst, bland annat annonser som inte garanterar att personuppgifter hanteras på ett säkert sätt och gör det omöjligt att slutgiltigt radera uppgifter som publicerats online.
36
Russmedia har för sin del gjort gällande att den lösning som valts av Tribunalul Specializat Cluj (Specialdomstolen i Cluj) är riktig. X har inte visat på vilket sätt som dataskyddsförordningen utgör lex specialis, som skulle hindra att relevanta bestämmelser i lag nr 365/2002 tillämpades.
37
Curtea de Apel Cluj (Appellationsdomstolen i Cluj) är hänskjutande domstol och avgör förevarande mål i egenskap av appellationsdomstol vars avgörande inte kan överklagas. Enligt den domstolen behöver det bland annat fastställas hur undantaget från ansvar enligt direktiv 2000/31 för en leverantör av informationssamhällets tjänster, såsom Russmedia, ska avgränsas.
38
Den hänskjutande domstolen har, med hänvisning till relevant rättspraxis från EU-domstolen, konstaterat att även om det enligt denna praxis inte finns någon skyldighet för operatörer av e-handelsplatser att på förhand kontrollera information eller annonser som läggs ut av användarannonsörer, är undantaget från ansvar underkastat vissa villkor. Enligt domen av den 12 juli 2011, L’Oréal m.fl. (C‑324/09, EU:C:2011:474), kan en näringsidkare som tillhandahåller onlinetjänster således inte åberopa det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 om denne var medveten om fakta eller omständigheter som borde ha föranlett en försiktig näringsidkare att inse att de aktuella försäljningserbjudandena var olagliga och, för det fall denne var medveten om sådana fakta eller omständigheter, inte hade handlat utan dröjsmål i enlighet med artikel 14.1 b i samma direktiv. På samma sätt framgår det av domen av den 11 september 2014, Papasavvas (C‑291/13, EU:C:2014:2209), att de begränsningar av skadeståndsansvar som föreskrivs i artiklarna 12–14 i direktiv 2000/31 inte avser ett bolag som har en webbplats på vilken den elektroniska utgåvan av en tidning publiceras, eftersom detta bolag, som får betalt genom den reklam som sprids på webbplatsen, är medveten om den information som publiceras och har kontroll över denna.
39
Den hänskjutande domstolen har emellertid understrukit att det i nämnda rättspraxis endast hänvisas till erbjudanden som lagts upp på en webbplats och där erbjudandets olaglighet endast konstaterats efter en analys av fakta och omständigheter som uttryckligen meddelats den som är ansvarig för hanteringen av information efter det att den aktuella annonsen publicerats. EU-domstolen har ännu inte haft tillfälle att ta ställning till ett sådant fall, som det som är aktuellt i det nationella målet, där innehållet i den publicerade annonsen är uppenbart olagligt och allvarligt skadegörande för den berörda personen.
40
Den hänskjutande domstolen vill i detta sammanhang få klarhet i huruvida det är nödvändigt att en plattform underrättas för att den ska vara skyldig att ta bort innehåll som är uppenbart olagligt och allvarligt skadegörande. I förevarande fall har den aktuella annonsen publicerats utan att annonsörens identitet har kontrollerats och det är uppenbart att det inte inhämtats samtycke från klaganden i det nationella målet.
41
Även om den aktuella annonsen har tagits bort från den ursprungliga webbplatsen efter klagandens anmälan har dess innehåll, inbegripet bilder på klaganden och hennes kontaktuppgifter, reproducerats i sin helhet på andra webbplatser med angivande av den ursprungliga källan. Den skada som klaganden har lidit har således blivit bestående och pågående. Den hänskjutande domstolen har i detta avseende understrukit att de sexuella tjänster som påstås erbjudas kan vara hänförliga till grova brott, såsom koppleri och människohandel, vilka är straffbelagda i Codul penal (strafflagen).
42
Den hänskjutande domstolen har preciserat att enligt de allmänna användarvillkoren för den e-handelsplats som Russmedia driver, förbehåller sig det bolaget – utan att göra något anspråk på äganderätt till innehållet i publicerade annonser – rätten att använda innehållet, inbegripet att kopiera, sprida, överföra, publicera, reproducera, ändra, översätta, överlåta innehållet till samarbetspartners samt att när som helst radera det, även om det inte finns något berättigat skäl till detta.
43
Mot denna bakgrund beslutade Curtea de Apel Cluj (Appellationsdomstolen i Cluj) att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Är artiklarna 12–14 i [direktiv 2000/31] även tillämpliga på en leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster som tillhandahåller användarna en webbplats där annonser kan publiceras gratis eller mot betalning och som påstår sig ha en rent teknisk roll vid publiceringen av användarnas annonser (tillhandahåller plattformen), men som enligt de allmänna användarvillkoren för webbplatsen inte gör anspråk på äganderätten till det innehåll som tillhandahålls eller publiceras, laddas upp eller vidarebefordras, samtidigt som vederbörande icke desto mindre bibehåller rätten att använda innehållet, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, reproducera, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta?
2)
Ska artiklarna 2.4, 4.7, 4.11, 5.1 f, 6.1 a, 7, 24 och 25 i [dataskyddsförordningen] och artikel 15 i direktiv 2000/31 tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att före publiceringen av en annons kontrollera huruvida den person som publicerar annonsen är densamma som personuppgifterna i annonsen avser?
3)
Ska artiklarna 2.4, 4.7, 4.11, 5.1 f, 6.1 a, 7, 24 och 25 i [dataskyddsförordningen] och artikel 15 i direktiv 2000/31/EG tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att först kontrollera innehållet i de annonser som användarna har skickat, för att utesluta annonser som kan vara olagliga eller som kan kränka en persons privat- och familjeliv?
4)
Ska artiklarna 5.1 b och f, 24 och 25 i [dataskyddsförordningen] och artikel 15 i direktiv 2000/31/EG tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som publicerats via denne reproduceras eller sprids på nytt?”
Prövning av tolkningsfrågorna
44
Det följer av fast rättspraxis att det enligt det förfarande för samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF ankommer det på EU-domstolen att ge den nationella domstolen ett användbart svar, som gör det möjligt för den domstolen att avgöra det mål som den ska pröva. I detta syfte kan EU-domstolen behöva omformulera de frågor som hänskjutits. I detta hänseende ankommer det på EU-domstolen att utifrån samtliga uppgifter som den nationella domstolen har lämnat, och i synnerhet utifrån skälen i beslutet om hänskjutande, avgöra vilka delar av unionsrätten som behöver tolkas med hänsyn till saken i målet (se, för ett liknande resonemang, dom av den 29 november 1978, Redmond, 83/78, EU:C:1978:214, punkt 26, dom av den 28 november 2000, Roquette Frères, C‑88/99, EU:C:2000:652, punkt 18, och dom av den 30 april 2024, M.N. (EncroChat), C‑670/22, EU:C:2024:372, punkt 78).
45
Sammantagna syftar den hänskjutande domstolens frågor till att, för det första, avgöra huruvida en e-handelsplatsoperatör, såsom Russmedia, som möjliggör för användarna att – antingen gratis eller mot betalning – anonymt lägga upp annonser på e-handelsplatsen, har åsidosatt sina skyldigheter enligt dataskyddsförordningen, när en annons som publiceras på nämnda handelsplats innehåller personuppgifter, bland annat känsliga personuppgifter, i strid med nämnda förordning, och, för det andra, avgöra huruvida artiklarna 12–15 i direktiv 2000/31 angående tjänstelevererande mellanhänders ansvar är tillämpliga på en sådan operatör.
46
För att kunna lämna ett användbart svar på dessa frågeställningar kommer EU-domstolen, i ett första skede, att pröva frågorna 2–4. Dessa frågor syftar till att avgöra vilka skyldigheter som en e-handelsplatsoperatör har enligt dataskyddsförordningen i en sådan situation som den som är aktuell i det nationella målet. EU-domstolen kommer därför att omformulera dessa frågor, så att de endast avser tolkningen av den förordningen. EU-domstolen kommer därefter, i ett andra skede, pröva frågan huruvida en sådan e-handelsplatsoperatör kan åberopa artiklarna 12–15 i direktiv 2000/31, vilka i princip utgör föremålet för fråga 1.
Frågorna 2–4: Tolkning av dataskyddsförordningen
Inledande synpunkter
47
För det första konstaterar EU-domstolen att det framgår av begäran om förhandsavgörande att klaganden i det nationella målet i den aktuella annonsen presenterades som om hon erbjöd sexuella tjänster och att annonsen innehöll bilder av henne, vilka hade använts utan hennes samtycke, samt hennes telefonnummer.
48
Det är utrett att sådana uppgifter utgör personuppgifter, i den mening som avses i artikel 4 led 1 i förordning 2016/679. I den bestämmelsen definieras personuppgifter som ”varje upplysning som avser en identifierad eller identifierbar fysisk person” och det anges att ”en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet”.
49
Enligt fast rättspraxis avspeglar användningen av uttrycket varje upplysning i definitionen av begreppet personuppgifter i artikel 4 led 1 i dataskyddsförordningen unionslagstiftarens avsikt att ge detta begrepp en vid innebörd, vilken potentiellt innefattar alla typer av upplysningar, såväl objektiva som subjektiva, i form av åsikter eller bedömningar, under förutsättning att uppgifterna ”avser” den berörda personen. En upplysning avser en identifierad eller identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person (dom av den 3 april 2025, Ministerstvo zdravotnictví (Uppgifter om en juridisk persons företrädare), C‑710/23, EU:C:2025:231, punkt 21 och där angiven rättspraxis).
50
I artikel 9.1 i dataskyddsförordningen föreskrivs särskilda regler beträffande skydd av vissa särskilda kategorier av personuppgifter, däribland personuppgifter som avser en fysisk persons sexualliv eller sexuella läggning.
51
Domstolen har preciserat att syftet med artikel 9.1 i dataskyddsförordningen är att säkerställa ett utökat skydd mot behandling som, på grund av att de uppgifter som behandlas är särskilt känsliga, kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheter avseende respekt för privatlivet och skydd för personuppgifter som garanteras genom artiklarna 7 och 8 i stadgan (dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 41 och där angiven rättspraxis).
52
Ett sådant utökat skydd kräver med nödvändighet att ”känsliga uppgifter” ges en vid definition. Domstolen har således slagit fast att artikel 9.1 i dataskyddsförordningen är tillämplig på behandling som inte enbart avser uppgifter som i sig är känsliga, utan även uppgifter som indirekt efter en intellektuell slutledning eller avstämning avslöjar information av detta slag (dom av den 5 juni 2023, kommissionen/Polen (Domars oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 344 och där angiven rättspraxis).
53
Inom ramen för denna vida definition innebär inte den omständigheten att uppgifterna om en fysisk persons sexualliv eller sexuella läggning är falska och skadegörande att sådana uppgifter ska fråntas kvalificeringen som ”känsliga uppgifter”, i den mening som avses i artikel 9.1 i dataskyddsförordningen.
54
För det andra konstaterar domstolen att den aktuella behandlingen består i publiceringen av annonsen och följaktligen av dessa uppgifter på Russmedias e-handelsplats. En åtgärd som innebär att personuppgifter läggs ut på en webbsida utgör behandling i den mening som avses i artikel 4.2 i dataskyddsförordningen (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 65 och där angiven rättspraxis).
55
För det tredje ska det påpekas att det i frågorna 2–4 hänvisas till det faktum att den e-handelsplatsoperatör som är aktuell i det nationella målet är personuppgiftsansvarig för behandlingen av uppgifterna. Det framgår dock att de personuppgifter vilkas publicering är föremål för tvist i det nationella målet, har förts in i den aktuella annonsen av en anonym användarannonsör, utan att e-handelsplatsoperatören haft något konkret inflytande på annonsens innehåll och utan att operatören var medveten om att annonsen var falsk och skadegörande. Under dessa omständigheter finns det anledning att klargöra begreppen personuppgiftsansvarig och gemensamt personuppgiftsansvariga, i den mening som avses i artikel 4 led 7 respektive artikel 26 i dataskyddsförordningen.
56
I artikel 4 led 7 i dataskyddsförordningen ges en vid definition av begreppet personuppgiftsansvarig. Med begreppet avses fysiska eller juridiska personer, offentliga myndigheter, institutioner eller andra organ som ensamma eller tillsammans med andra ”bestämmer ändamålen och medlen för behandlingen” av personuppgifter.
57
Syftet med denna vida definition är att i överensstämmelse med dataskyddsförordningens syfte säkerställa ett effektivt skydd för fysiska personers grundläggande fri- och rättigheter och, i synnerhet, en hög skyddsnivå för envars rätt till skydd av de personuppgifter som rör honom eller henne (dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 29 och där angiven rättspraxis).
58
En fysisk eller juridisk person som för egna syften utövar inflytande över behandlingen av personuppgifter, och därigenom deltar i bestämmandet av ändamål och medel för behandlingen, kan anses vara personuppgiftsansvarig vid behandling av de aktuella personuppgifterna (dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 30 och där angiven rättspraxis).
59
Eftersom begreppet personuppgiftsansvarig, såsom uttryckligen framgår av artikel 4 led 7 i dataskyddsförordningen, avser det organ som ”ensamt eller tillsammans med andra” bestämmer ändamålen och medlen för behandlingen av personuppgifter, avser detta begrepp således inte nödvändigtvis en enda enhet och det kan avse flera aktörer som är delaktiga i behandlingen, där respektive aktör är skyldig att följa bestämmelserna om skydd av personuppgifter (se, för ett liknande resonemang, dom av den 29 juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, punkt 67 och där angiven rättspraxis).
60
I artikel 26 i dataskyddsförordningen, som ingår som en del av definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i förordningen, föreskrivs i huvudsak att om två eller flera personuppgiftsansvariga gemensamt fastställer ändamålen och medlen för behandlingen, ska de anses vara ”gemensamt personuppgiftsansvariga” för denna behandling.
61
Ett sådant gemensamt ansvar kräver inte nödvändigtvis att det föreligger gemensamma beslut om fastställande av ändamålen och medlen för behandlingen av de aktuella personuppgifterna. Domstolen har nämligen slagit fast att ett deltagande i att bestämma ändamål och medel för en behandling av personuppgifter tar sig olika former, eftersom deltagandet kan följa såväl av ett gemensamt beslut fattat av två eller flera organ som av sådana organs samstämmiga beslut, som kompletterar varandra så, att respektive beslut har en påtaglig inverkan på bestämmandet av nämnda ändamål och medel (se, för ett liknande resonemang, dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 43).
62
För att flera aktörer ska anses ha ett gemensamt ansvar för en och samma behandling krävs, enligt artikel 4.7 i dataskyddsförordningen, inte heller att var och en av dem har åtkomst till de aktuella personuppgifterna (dom av den 29 juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, punkt 69 och där angiven rättspraxis, och dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 42).
63
Ur samma perspektiv har domstolen preciserat att den omständigheten att det finns ett gemensamt ansvar inte nödvändigtvis behöver innebära att de olika aktörer som medverkar vid en behandling av personuppgifter har ett likvärdigt ansvar. Tvärtom kan dessa aktörer vara involverade i olika skeden av behandlingen och i olika utsträckning, så att graden av ansvar för var och en av dem ska bedömas med beaktande av alla relevanta omständigheter i det enskilda fallet (se, för ett liknande resonemang, dom av den 10 juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punkt 66 och där angiven rättspraxis, och dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 42).
64
I förevarande fall är det utrett att den annonsör som lagt upp den falska och skadegörande annonsen, innehållande klaganden i det nationella målets personuppgifter, på den e-handelsplats som drivs av Russmedia ska anses vara den som i första hand bestämt ändamålen och medlen för behandlingen av dessa personuppgifter och som därför omfattas av begreppet personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen.
65
Det är emellertid även utrett att det endast är tack vare den e-handelsplats som drivs av Russmedia som annonsen kunnat publiceras på internet och således gjorts tillgänglig för internetanvändare.
66
Det framgår visserligen av den rättspraxis som det hänvisats till i punkt 58 ovan att en person endast kan kvalificeras som ”personuppgiftsansvarig” om vederbörande för egna syften utövar inflytande över behandlingen av personuppgifter. Domstolen konstaterar emellertid att detta bland annat kan vara fallet, när e-handelsplatsoperatören publicerar personuppgifter av affärsmässiga skäl eller av marknadsföringsskäl som går utöver det rena tillhandahållande av tjänster som operatören utför åt användarannonsören.
67
I förevarande fall framgår det av beslutet om hänskjutande att Russmedia, i egna affärsmässiga syften, publicerar annonser på sin e-handelsplats. E-handelsplatsens allmänna villkor ger Russmedia stor frihet att utnyttja den information som publiceras på marknadsplatsen. Enligt vad den hänskjutande domstolen har uppgett förbehåller sig Russmedia bland annat rätten att använda publicerat innehåll, att distribuera, översända, mångfaldiga, ändra och översätta det samt överlåta publicerat innehåll till samarbetspartners och att när som helst radera det, utan att bolaget behöver ha något berättigat skäl för detta. Russmedia publicerar således inte de personuppgifter som finns i annonserna enbart, eller inte endast enbart, för användarannonsörernas räkning, utan behandlar och kan exploatera dem för sina egna marknadsförings- och affärsändamål.
68
Domstolen finner således att Russmedia för egna syften har utövat inflytande över publiceringen på internet av klagandens personuppgifter och därmed deltagit i bestämmandet av ändamålen för publiceringen och således ändamålen för den aktuella behandlingen av personuppgifter.
69
Detta konstaterande påverkas inte av den omständigheten att det är uppenbart att Russmedia inte har deltagit i bestämmandet av det falska och skadegörande ändamål som den användarannonsör som publicerat den aktuella annonsen har eftersträvat. Russmedia har nämligen deltagit i bestämmandet av det ändamål för behandlingen som består i att göra de personuppgifter som ingick i den aktuella annonsen tillgängliga för internetanvändare i syfte att exploatera denna publicering kommersiellt. Dessutom har Russmedia underlättat publiceringen av personuppgifter utan den registrerades samtycke genom att göra det möjligt att lägga upp annonser anonymt på bolagets e-handelsplats.
70
Russmedia har dessutom deltagit i bestämmandet av medlen för denna publicering genom att ställa sin e-handelsplats, som använts för att publicera den aktuella annonsen, till användarannonsörens förfogande.
71
Domstolen har redan funnit att en fysisk eller juridisk person som utövar ett avgörande inflytande på insamlingen och överföringen av personuppgifter eller som, genom konfigurationsåtgärder, utövar inflytande över behandlingen av personuppgifter utifrån sina mål för driften och marknadsföringen av sin verksamhet (se, för ett liknande resonemang, dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, punkt 36, och dom av den 29 juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, punkt 78). Det förhåller sig på samma sätt beträffande en sökmotorleverantör, när dennes verksamhet spelar en avgörande roll för den totala spridningen av personuppgifter genom att dessa uppgifter blir allmänt tillgängliga på internet på ett organiserat och aggregerat sätt (se, för ett liknande resonemang, dom av den 8 december 2022, Google (Borttagande av påstått felaktig innehåll), C‑460/20, EU:C:2022:962, punkt 50 och där angiven rättspraxis).
72
Domstolen konstaterar således att när en e-handelsplatsoperatör, såsom Russmedia, konfigurerar spridningen av annonser som kan innehålla personuppgifter med hänsyn till vilken målgrupp som bolaget vill nå, bestämmer presentationen, hur länge spridningen ska pågå, de rubriker som ger struktur åt publiceringen eller ordnar den klassificering som avgör hur spridningen går till, deltar operatören i att bestämma de väsentliga medlen för publiceringen av de aktuella personuppgifterna och utövar sålunda avgörande inflytande över spridningen överlag av dessa uppgifter.
73
Innehållet i e-handelsplatsens allmänna villkor kan ge indikationer på att operatören av handelsplatsen utövar bestämmande inflytande över den aktuella behandlingen av personuppgifter och sålunda bestämmer medlen för denna behandling. Detta förefaller vara fallet med de allmänna användarvillkoren för Russmedias e-handelsplats, i vilka det bolaget bland annat förbehåller sig rätten att sprida, överföra, publicera, radera eller reproducera den information som finns i annonserna, inbegripet de personuppgifter som finns i dem.
74
En e-handelsplatsoperatör kan, under alla omständigheter, inte undgå sitt ansvar i egenskap av personuppgiftsansvarig av det skälet att operatören inte själv har bestämt innehållet i den aktuella annons som publicerats på handelsplatsen. Det skulle nämligen strida inte bara mot den klara ordalydelsen i artikel 4 led 7 i dataskyddsförordningen, utan även mot syftet med den bestämmelsen, vilket är att genom en vid definition av begreppet personuppgiftsansvarig säkerställa ett effektivt och fullständigt skydd för registrerade, om en sådan operatör uteslöts från denna definition enbart av detta skäl.
75
Domstolen konstaterar följaktligen att den hänskjutande domstolen gjorde en riktig bedömning när den i frågorna 2–4 utgick från premissen att en e-handelsplatsoperatör, i en sådan situation som den som är aktuell i det nationella målet, är ansvarig för behandlingen av personuppgifter i en annons som publicerats på e-handelsplatsen, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen.
76
Det är mot bakgrund av de överväganden som anges ovan som de hänskjutna frågorna ska besvaras.
Frågorna 2 och 3
77
Den hänskjutande domstolen har ställt frågorna 2 och 3, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 5.2 samt artiklarna 24–26 i dataskyddsförordningen ska tolkas så, att en e-handelsoperatör i egenskap av personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, för de personuppgifter som finns i de annonser som publicerats på handelsplatsen är skyldig att, före publiceringen av annonserna, fastställa vilka annonser som innehåller känsliga uppgifter i den mening som avses i artikel 9.1 i dataskyddsförordningen, kontrollera att den användarannonsör som står i begrepp att lägga upp en sådan annons är den person vars känsliga uppgifter förekommer i annonsen och, om detta inte är fallet, vägra att publicera annonsen om det saknas uttryckligt samtycke från den registrerade, såvitt publiceringen skulle kunna medföra en allvarlig kränkning av den registrerades rätt till skydd för privatlivet och skydd av sina personuppgifter enligt artiklarna 7 och 8 i stadgan.
78
Enligt artikel 1.2 i dataskyddsförordningen, jämförd med skälen 4 och 10 i samma förordning, syftar förordningen bland annat till att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter med avseende på behandling av personuppgifter. Denna rättighet erkänns även i artikel 8 i stadgan och är nära knuten till rätten till respekt för privatlivet, vilken är stadfäst i artikel 7 i stadgan (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 61 och där angiven rättspraxis).
79
För detta ändamål anges i kapitel II i dataskyddsförordningen de principer som reglerar behandlingen av personuppgifter och som den personuppgiftsansvarige är skyldig att följa. I synnerhet ska all behandling av personuppgifter vara förenlig med principerna för behandling av sådana uppgifter och villkoren för laglig behandling av personuppgifter, vilka anges i artiklarna 5 och 6 i nämnda förordning (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 62 och där angiven rättspraxis).
80
Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 d i förordningen tilläggs att de personuppgifter som behandlas ska vara korrekta och uppdaterade, om detta är nödvändigt. Alla rimliga åtgärder måste således vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. I artikel 5.1 f i förordningen föreskrivs att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling.
81
Beträffande villkoren för laglig behandling av personuppgifter har EU-domstolen redan uttalat att artikel 6.1 första stycket i dataskyddsförordningen innehåller en uttömmande och fullständig förteckning över de fall där behandling av personuppgifter kan anses laglig. En behandling måste således omfattas av något av de fall som föreskrivs i den bestämmelsen (se, för ett liknande resonemang, dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 25 och där angiven rättspraxis).
82
Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den utsträckning som den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. I artikel 7.1 i förordningen preciseras att den personuppgiftsansvarige i ett sådant fall ska kunna visa att den registrerade har lämnat sitt samtycke till behandling av personuppgifter som rör honom eller henne. Har något sådant samtycke inte lämnats eller har samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4 led 11 i dataskyddsförordningen, kan behandlingen trots detta vara berättigad om den uppfyller något av de krav på nödvändighet som anges i artikel 6.1 första stycket b–f i förordningen (dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 26 och där angiven rättspraxis).
83
Utöver dessa principer och villkor gäller särskilda krav för känsliga uppgifter enligt artikel 9.1 i dataskyddsförordningen, vilka innebär att behandling av sådana uppgifter i princip är förbjuden (se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 73).
84
Det är endast tillåtet att frångå detta förbud om något av undantagen i artikel 9.2 a–j i förordningen är uppfyllt. Dessa undantag ska tolkas restriktivt. Bland undantagen återfinns artikel 9.2 a, i vilken det föreskrivs att förbudet mot behandling av känsliga uppgifter inte är tillämpligt om den registrerade uttryckligen har lämnat sitt samtycke till att vederbörandes känsliga uppgifter behandlas för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
85
I kapitel IV i dataskyddsförordningen föreskrivs omfattningen av de skyldigheter som åligger den personuppgiftsansvarige, i enlighet med den princip om ansvarighet som anges i artikel 5.2 i dataskyddsförordningen.
86
Enligt artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som, i kraft av principen om ansvarighet som anges i samma bestämmelse, är ansvarig för att punkt 1 i samma artikel efterlevs och som ska kunna visa att den punkten efterlevs (dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda), C‑60/22, EU:C:2023:373, punkt 53 och där angiven rättspraxis).
87
Principen om ansvarighet kommer till konkret uttryck i bland annat artikel 24 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 25 januari 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkt 43 och där angiven rättspraxis). Denna princip kräver att den personuppgiftsansvarige genomför lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.
88
Personuppgiftsansvariga åläggs således enligt artiklarna 5.2 och 24 i dataskyddsförordningen generella skyldigheter i fråga om ansvarsskyldighet och efterlevnad. Dessa skyldigheter innebär att den personuppgiftsansvarige måste vidta lämpliga åtgärder för att förebygga eventuella överträdelser av dataskyddsförordningen för att upprätthålla rätten till skydd av personuppgifter (se, ett för ett liknande resonemang, dom av den 27 oktober 2022, Proximus (Allmänna elektroniska abonnentförteckningar), C‑129/21, EU:C:2022:833, punkt 81).
89
Enligt artikel 25.1 i nämnda förordning ska den personuppgiftsansvarige, både vid bestämmandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder som är utformade för ett effektivt genomförande av dataskyddsprinciper och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i den förordningen uppfylls och den registrerades rättigheter skyddas. I artikel 25.2, som rör dataskydd som standard, föreskrivs dessutom bland annat att lämpliga tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska genomföra för detta ändamål ska säkerställa att personuppgifter som standard inte görs tillgängliga för ett obestämt antal fysiska personer utan den berörda fysiska personens medverkan.
90
När de personuppgifter som behandlas är känsliga uppgifter, i den mening som avses i artikel 9.1 i dataskyddsförordningen, ska den personuppgiftsansvarige, vid avgörandet av vilka åtgärder som är lämpliga, i den mening som avses i artiklarna 24 och 25 i förordningen, bland annat beakta att ett åsidosättande av de principer som anges i kapitel II i förordningen vad gäller behandling av sådana uppgifter kan utgöra ett särskilt allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter som garanteras i artiklarna 7 och 8 i stadgan.
91
Det är mot bakgrund av dessa preciseringar som frågorna 2 och 3, såsom de omformulerats i punkt 77 ovan, ska prövas.
92
För det första, beträffande frågan huruvida en e-handelsplatsoperatör, före publicering, måste fastställa vilka annonser som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i dataskyddsförordningen, erinrar domstolen om att, såsom framgår av punkterna 64 och 75 ovan, ska denna operatör och den användarannonsör som lagt upp annonsen på e-handelsplatsen anses vara gemensamt personuppgiftsansvariga, i den mening som avses i artikel 26 i samma förordning, när den aktuella annonsen publiceras där.
93
Av detta följer att både e-handelsplatsoperatören och annonsören är skyldiga att se till att de skyldigheter som följer av artikel 5.2 samt artiklarna 24 och 25 i dataskyddsförordningen iakttas. De måste i synnerhet kunna visa att publiceringen av de personuppgifter som den aktuella annonsen innehåller är laglig, det vill säga att den registrerade har samtyckt till publiceringen, såvida de inte kan åberopa något annat villkor i artikel 6.1 i dataskyddsförordningen. När de aktuella personuppgifterna är känsliga uppgifter, i den mening som avses i artikel 9.1 i dataskyddsförordningen, måste samtycket till en sådan publicering, såsom framgår av punkt 84 ovan, vara uttryckligt. På samma sätt måste de personuppgiftsansvariga enligt den i artikel 5.1 d i dataskyddsförordningen angivna riktighetsprincipen, kunna visa att de berörda personuppgifterna är riktiga.
94
För att avgöra vilka specifika tekniska och organisatoriska åtgärder som en e-handelsplatsoperatör, i egenskap av gemensam personuppgiftsansvarig, är skyldig att genomföra enligt artiklarna 24 och 25 i dataskyddsförordningen, för att försäkra sig om och kunna visa att publiceringen av känsliga uppgifter i en annons sker i enlighet med denna förordning, konstaterar domstolen att det framgår av dessa bestämmelser att det ska göras en konkret bedömning av huruvida sådana åtgärder är lämpliga, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt sannolikhetsgraden för och allvaret i riskerna för fysiska personers rättigheter och friheter (se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 96).
95
Det ska i detta hänseende påpekas att publiceringen av personuppgifter på en e-handelsplats medför betydande risker för den registrerades fri- och rättigheter, eftersom publiceringen innebär att dessa uppgifter i princip blir tillgängliga för alla internetanvändare. När uppgifterna väl har publicerats på en e-handelsplats kan de dessutom kopieras och reproduceras på andra webbplatser, vilket innebär att det kan visa sig vara svårt, eller till och med omöjligt, för den registrerade att få dem raderade från internet.
96
De risker som är förknippade med en sådan publicering är särskilt allvarliga när det är fråga om känsliga uppgifter i den mening som avses i artikel 9.1 i dataskyddsförordningen. Av skäl 51 i dataskyddsförordningen framgår därför uttryckligen att personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande fri- och rättigheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för dessa fri- och rättigheter (se, för ett liknande resonemang, dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 75). Behandling av sådana uppgifter kan, såsom det konstaterats i punkt 90 ovan, utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter som garanteras i artiklarna 7 och 8 i stadgan. Sannolikhetsgraden för en kränkning av dessa rättigheter genom publiceringen av en annons som innehåller personuppgifter är mycket hög, när användarannonsören inte själv är den registrerade eller när e-handelsplatsen tillåter att sådana annonser läggs upp anonymt.
97
Följaktligen är en e-handelsplatsoperatör såsom den som är aktuell i det nationella målet, såvitt denne har kännedom i allmänhet om eller borde ha haft sådan kännedom, att annonser som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 dataskyddsförordningen, kan komma att publiceras av användarannonsören på e-handelsplatsen, skyldig, i egenskap av personuppgiftsansvarig för denna behandling, att – redan vid utformningen av sin tjänst – genomföra lämpliga tekniska och organisatoriska åtgärder för att kunna urskilja sådana annonser före publiceringen och således ha möjlighet att kontrollera huruvida de känsliga uppgifter som de innehåller publiceras med iakttagande av de principer som anges i kapitel II i förordningen. Såsom bland annat följer av artikel 25.1 i dataskyddsförordningen åvilar skyldigheten att genomföra sådana åtgärder e-handelsoperatören inte endast i samband med behandlingen, utan redan i samband med bestämmandet av medlen för behandlingen och således före det att de känsliga uppgifterna, i strid med dessa principer, publiceras på e-handelsplatsen. Denna skyldighet syftar nämligen just till att förhindra sådana åsidosättanden.
98
För det andra, beträffande frågan huruvida e-handelsplatsoperatören, i egenskap av gemensamt personuppgiftsansvarig – tillsammans med användarannonsören – för behandlingen av känsliga uppgifter som finns i annonser som publiceras på dennes webbplats, måste kontrollera användarannonsörens identitet före publicering erinrar domstolen om följande. Det framgår av artikel 9.1 i dataskyddsförordningen, jämförd med artikel 9.2 a i samma förordning, att publiceringen av sådana uppgifter är förbjuden, såvida den registrerade inte har gett sitt uttryckliga samtycke till att de aktuella uppgifterna publiceras på e-handelsplatsen eller något av de andra undantagen i artikel 9.2 b–j är uppfyllt, vilket inte förefaller vara fallet här.
99
Även om det faktum att en registrerad har lagt upp en annons innehållande känsliga uppgifter rörande vederbörande på en e-handelsplats kan utgöra ett uttryckligt samtycke, i den mening som avses i artikel 9.2 a i dataskyddsförordningen, föreligger det inte något sådant samtycke när annonsen har lagts upp av en utomstående, såvida denne inte kan visa att den registrerade har lämnat sitt uttryckliga samtycke till att annonsen publiceras på den aktuella e-handelsplatsen. För att kunna försäkra sig om, och kunna visa att kraven i artikel 9.2 a i dataskyddsförordningen är uppfyllda, är e-handelsplatsoperatören skyldig att före publiceringen av en sådan annons kontrollera huruvida den användarannonsör som står i begrepp att lägga upp annonsen är den person vars känsliga uppgifter finns i annonsen. Detta förutsätter att e-handelsoperatören har uppgift om användarannonsörens identitet.
100
Det framgår dessutom av artikel 13.1 a och artikel 14.1 a i dataskyddsförordningen att personuppgiftsansvariga under alla omständigheter ska lämna information om sin identitet och sina kontaktuppgifter till den registrerade.
101
Slutligen ska det påpekas att enligt artikel 26 i dataskyddsförordningen är gemensamt personuppgiftsansvariga skyldiga att under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning för att kunna iaktta kraven i förordningen. Det skulle emellertid vara omöjligt att fullgöra en sådan skyldighet om den ena av de båda personuppgiftsansvariga för behandlingen kunde förbli anonym i förhållande till den andre.
102
Av det anförda följer således att en e-handelsplatsoperatör, i egenskap av ansvarig för publiceringen av känsliga uppgifter i en annons som publiceras på operatörens e-handelsplats, är – tillsammans med användarannonsören – skyldig att samla in information om användarannonsörens identitet och kontrollera huruvida denne är den person vars känsliga uppgifter ingår i annonsen.
103
Såsom generaladvokaten har påpekat i punkt 132 i sitt förslag till avgörande, framgår det av skäl 75 i dataskyddsförordningen att behandling av personuppgifter, bland annat vid identitetsstöld, kan medföra risker för de registrerades fri- och rättigheter, vilket skulle kunna hindra dem från att utöva kontroll över sina personuppgifter. En identitet stjäls nämligen i allmänhet för att begå bedrägliga handlingar, till skada för den registrerade eller för tredje part.
104
Under dessa omständigheter och med beaktande av övervägandena i punkterna 95 och 96 ovan ska en e-handelsplatsoperatör enligt artiklarna 24 och 25 i dataskyddsförordningen, för att kunna försäkra sig om och kunna visa att känsliga uppgifter i annonser behandlas i enlighet med kraven i dataskyddsförordningen, genomföra lämpliga tekniska och organisatoriska åtgärder som gör det möjligt för denne att inte bara samla in information om, utan även kontrollera, annonsanvändarens identitet före publiceringen av sådana annonser, och detta bland annat för att kunna avgöra huruvida denne är den person vars känsliga uppgifter finns i annonsen. Sådana åtgärder ska, såsom generaladvokaten har påpekat i punkt 134 i sitt förslag till avgörande, bland annat göra det möjligt att begränsa risken för olaglig behandling av registrerades personuppgifter och att bekämpa illojal användning av en sådan e-handelsplats, genom att inskränka känslan av straffrihet och sålunda uppmuntra användarannonsörer att uppfylla kraven i dataskyddsförordningen när de publicerar annonser som innehåller personuppgifter.
105
För det tredje, beträffande frågan huruvida en e-handelsplatsoperatör är skyldig att vägra att publicera en annons som innehåller känsliga uppgifter när det visar sig – efter en identitetskontroll av den användarannonsör som står i begrepp att lägga upp annonsen – att denne inte är den person vars känsliga uppgifter ingår i annonsen, konstaterar domstolen att det följer av punkterna 98 och 99 ovan att i ett sådant fall kan det inte uteslutas att en sådan publicering sker i strid med förbudet i artikel 9.1 i dataskyddsförordningen mot att behandla sådana uppgifter. E-handelsplatsoperatören måste följaktligen vägra att publicera den aktuella annonsen och se till att detta inte sker genom att genomföra lämpliga tekniska och organisatoriska åtgärder, såvida användarannonsören inte kan visa att den registrerade lämnat sitt uttryckliga samtycke, i den mening som avses i artikel 9.2 a, till att de aktuella uppgifterna publiceras på e-handelsplatsen eller att något av de andra undantagen i artikel 9.2 b–j är uppfyllda.
106
Mot bakgrund av det anförda ska frågorna 2 och 3 besvaras enligt följande. Artikel 5.2 samt artiklarna 24–26 i dataskyddsförordningen ska tolkas så, att en e-handelsplatsoperatör, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats är skyldig att, före publicering och med hjälp av lämpliga tekniska och organisatoriska åtgärder,
–
fastställa vilka annonser som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i dataskyddsförordningen,
–
kontrollera huruvida den användarannonsör som står i begrepp att lägga upp en sådan annons är den person vars känsliga uppgifter ingår i annonsen och, om detta inte är fallet,
–
vägra att publicera annonsen, såvida användarannonsören inte kan visa att den registrerade har lämnat sitt uttryckliga samtycke, i den mening som avses i artikel 9.2 a, till att de aktuella uppgifterna publiceras på e-handelsplatsen eller att något av de andra undantagen i artikel 9.2 b–j är uppfyllda.
Fråga 4
107
Fråga 4 avser i huvudsak spörsmålet huruvida en e-handelsplatsoperatör, i egenskap av personuppgiftsansvarig, är skyldig att vidta säkerhetsåtgärder för att förhindra eller motverka att annonser som innehåller känsliga uppgifter, vilka publicerats på operatörens e-handelsplats, reproduceras eller sprids på nytt.
108
I förevarande fall framgår det av begäran om förhandsavgörande, för det första, att den falska och skadegörande annons som är aktuell i det nationella målet har spridits på andra webbplatser med reklaminnehåll, vilka har publicerat annonsen med angivande av ursprungskällan, och, för det andra, att Russmedia, i de allmänna användarvillkoren för e-handelsplatsen förbehåller sig rätten att överföra innehållet i annonser som publiceras där och att överlåta detta innehåll till samarbetspartners. Den hänskjutande domstolen har i detta avseende inte preciserat huruvida Russmedia frivilligt har överfört annonsen till dessa andra webbplatser eller huruvida Russmedia genom avtal, åtminstone har lämnat sitt tillstånd till detta eller om det tvärtom förhåller sig så, att publiceringarna är följden av kopior av ursprungsannonsen, som Russmedia inte har lämnat sitt tillstånd till.
109
Om det visar sig att det är det första ledet i detta alternativ som är riktigt, skulle denna överföring utgöra en ny behandling av personuppgifter för vilken Russmedia är ansvarigt, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen. Denna behandling ska skiljas från användarannonsörens publicering av den falska och skadegörande artikeln på Russmedias e-handelsplats.
110
Det ska nämligen, inom en och samma kedja av åtgärder, göras åtskillnad mellan olika behandlingar av personuppgifter i syfte att – för respektive person som kan kvalificeras som personuppgiftsansvarig – kunna göra en individuell bedömning av vilken grad av ansvar som ska tillskrivas vederbörande. Detta följer av att det faktum att för att en fysisk eller juridisk person ska kunna betraktas som gemensamt personuppgiftsansvarig måste denna person självständigt uppfylla definitionen av begreppet personuppgiftsansvarig i artikel 4 led 7 i dataskyddsförordningen (dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 41 och där angiven rättspraxis).
111
Av detta följer att även om en senare överföring av personuppgifter sker inom ramen för avtal om spridning mellan operatören av den e-handelsplats, på vilken de aktuella personuppgifterna ursprungligen publicerades, och operatörerna av andra webbplatser, är det i princip e-handelsplatsoperatören som är ensamt ansvarig för den behandling som överföringen utgör. Under alla omständigheter är varje personuppgiftsansvarig, antingen ensamt eller tillsammans med andra, skyldig att fullgöra samtliga skyldigheter som följer av dataskyddsförordningen.
112
Efter dessa preciseringar ska fråga 4 förstås så, att den avser en situation där Russmedia inte har överfört den falska och skadegörande annons som är aktuell i det nationella målet till andra webbplatser med reklaminnehåll och således inte har gett tillåtelse till de efterföljande publiceringarna.
113
Det ska dessutom påpekas att denna fråga i huvudsak avser omfattningen av den säkerhetsskyldighet som den personuppgiftsansvarige måste uppfylla. Artikel 32 i dataskyddsförordningen avser emellertid specifikt säkerhet i samband med behandling. Den artikeln konkretiserar och preciserar en specifik aspekt av de krav som anges i artikel 24 i dataskyddsförordningen, jämförd med artikel 5.2 i samma förordning, i vilka den personuppgiftsansvariges ansvar, definieras generellt.
114
Under dessa omständigheter ska den hänskjutande domstolen anses ha ställt fråga 4 för att få klarhet i huruvida artikel 32 i dataskyddsförordningen ska tolkas så, att en e-handelsplatsoperatör, i egenskap av ansvarig i den mening som avses i artikel 4 led 7 i den förordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, är skyldig att vidta säkerhetsåtgärder för att förhindra att annonser som publiceras där och som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i samma förordning, reproduceras och utan tillstånd publiceras på andra webbplatser.
115
I artikel 32.1 i dataskyddsförordningen föreskrivs att den personuppgiftsansvarige och personuppgiftsbiträdet ska, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt.
116
I artikel 32.2 i den förordningen föreskrivs det att vid bedömningen av vilken säkerhetsnivå som är lämplig ska det särskilt tas hänsyn till de risker som personuppgiftsbehandlingen medför, bland annat risken för att uppgifter förstörs, förloras eller ändras samt risken för obehörigt röjande av eller obehörig åtkomst till personuppgifter som skett på ett oavsiktligt eller olagligt sätt.
117
Domstolen har slagit fast att hänvisningen i artikel 32.1 och 32.2 i dataskyddsförordningen till ”en säkerhetsnivå som är lämplig i förhållande till risken” och till en ”lämplig säkerhetsnivå” visar att det genom förordningen inrättas ett riskhanteringssystem och att ambitionen med förordningen inte på något sätt är att eliminera riskerna för personuppgiftsincidenter (dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 29).
118
Det framgår således av ordalydelsen i artikel 32 i dataskyddsförordningen, jämförd med artikel 24 i den förordningen, att dessa bestämmelser endast innebär en skyldighet för den personuppgiftsansvarige att genomföra tekniska och organisatoriska åtgärder för att i möjligaste mån undvika personuppgiftsincidenter. Bedömningen av om sådana åtgärder är lämpliga ska ske utifrån de konkreta omständigheterna i det enskilda fallet. I bedömningen ingår att ta ställning till om den personuppgiftsansvarige vid genomförandet av åtgärderna har beaktat de olika faktorer som avses i nämnda artiklar och de skyddsbehov som särskilt gör sig gällande i samband med den aktuella personuppgiftsbehandlingen samt därmed förenade risker (se, för ett liknande resonemang, dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 30).
119
Vid bedömningen av den konkreta risk som den aktuella behandlingen medför ska det tas hänsyn till huruvida de behandlade personuppgifterna är känsliga. Såsom det har erinrats om i punkterna 51 och 90 ovan grundar sig det utökade skydd för vissa kategorier av särskilt känsliga personuppgifter som föreskrivs i artikel 9.1 i dataskyddsförordningen, på att behandlingen av sådana uppgifter kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter, vilka garanteras i artiklarna 7 och 8 i stadgan (se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 41 och där angiven rättspraxis).
120
När en annons som innehåller personuppgifter finns på internet och den således är allmänt tillgänglig, medför spridningen av dessa uppgifter dock en risk för att kontrollen över de aktuella personuppgifterna går förlorad. När detta inträffar fråntas samtliga rättigheter och garantier som den registrerade har enligt dataskyddsförordningen sin ändamålsenliga verkan, varav den mest framträdande är rätten till radering i artikel 17 i förordningen.
121
När känsliga uppgifter publiceras online är den personuppgiftsansvarige enligt artikel 32 i dataskyddsförordningen skyldig att genomföra alla tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som effektivt kan förebygga att kontrollen över uppgifterna går förlorad.
122
I detta avseende ska den personuppgiftsansvarige bland annat överväga alla tillgängliga tekniska åtgärder som, med beaktande av den senaste tekniska utvecklingen, kan blockera kopieringen och reproduktion av innehållet online.
123
Det ska emellertid även preciseras att artiklarna 24 och 32 i dataskyddsförordningen inte kan anses ha den innebörden att den omständigheten att det skett en otillåten spridning av personuppgifter som ursprungligen publicerats online räcker för att anse att de åtgärder som genomförts av den personuppgiftsansvarige inte var lämpliga, i den mening som avses i dessa bestämmelser, utan att den personuppgiftsansvarige ens ges möjlighet att bevisa motsatsen (dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 31).
124
I förevarande fall framgår det av beslutet om hänskjutande att den falska och skadegörande annons som är aktuell i det nationella målet alltjämt är tillgänglig på andra webbplatser utan att det förefaller som om klaganden kan få den raderad, trots att annonsen raderats från Russmedias e-handelsplats.
125
Det framgår emellertid att ursprunget till denna förlust av kontroll är den inledande, olagliga publiceringen av den falska och skadegörande annons som är aktuell i det nationella målet, vilken skett med åsidosättande av de krav som föreskrivs i dataskyddsförordningen. Russmedia var under alla omständigheter skyldigt enligt artikel 32 i dataskyddsförordningen att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken och att, så långt det är möjligt, blockera alla kopior av denna annons. Det ankommer på den hänskjutande domstolen att kontrollera om så är fallet.
126
Mot bakgrund av det anförda ska fråga 4 besvaras enligt följande. Artikel 32 i dataskyddsförordningen ska tolkas så, att en e-handelsplatsoperatör, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i den förordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, är skyldig att genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra att annonser som publiceras där och som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i samma förordning, reproduceras och utan tillstånd publiceras på andra webbplatser.
Fråga 1: Tolkningen av direktiv 2000/31
127
Såsom EU-domstolen har konstaterat i punkterna 45 och 46 ovan söker den hänskjutande domstolen dessutom klarhet i huruvida en e-handelsplatsoperatör, i egenskap av ansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, kan åberopa artiklarna 12–15 i direktiv 2000/31 om tjänsteleverande mellanhänders ansvar, med avseende på ett åsidosättande av de ovan i artiklarna 106 och 126 angivna skyldigheterna enligt artikel 5.2 samt artiklarna 24–26 och 32 i dataskyddsförordningen.
128
Det uppkommer således en fråga om hur dessa båda unionsförfattningar förhåller sig till varandra. Det ska särskilt avgöras huruvida artiklarna 12–15 i direktiv 2000/31 kan ingripa i det system för ansvarighet som föreskrivs i dataskyddsförordningen.
129
Det ska i detta hänseende påpekas att det i artikel 1.5 b i direktiv 2000/31 preciseras att direktivet inte är tillämpligt på frågor beträffande informationssamhällets tjänster som omfattas av direktiv 95/46 och direktiv 97/66.
130
Domstolen har tolkat denna bestämmelse så, att frågor med anknytning till skyddet för konfidentialitet vid kommunikation och skyddet för personuppgifter ska bedömas mot bakgrund av dataskyddsförordningen och Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), vilka har ersatt direktiv 97/66 respektive direktiv 95/46. Domstolen har preciserat att det skydd som direktiv 2000/31 är avsett att säkerställa under inga omständigheter får undergräva de krav som följer av direktiv 2002/58 och förordning 2016/679 (dom av den 6 oktober 2020, La Quadrature du Net m.fl., C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 200 och där angiven rättspraxis).
131
Av detta följer i synnerhet att det undantag i artikel 14.1 i direktiv 2000/31 som en e-handelsplatsoperatör skulle kunna åberopa med avseende på information på dennes webbplats som operatören agerar värdtjänst för, inte får ingripa i den reglering i dataskyddsförordningen som är tillämplig på e-handelsplatsoperatören och andra operatörer som omfattas av den förordningens tillämpningsområde.
132
Detsamma gäller artikel 15 i direktiv 2000/31, enligt vilken medlemsstaterna inte får ålägga tjänsteleverantörerna en allmän övervakningsskyldighet i samband med tillhandahållande av sådana tjänster som bland annat avses i artikel 14 i direktivet. För övrigt skulle, under alla omständigheter, en skyldighet för en e-handelsplatsoperatör att följa kraven i dataskyddsförordningen inte kunna kvalificeras som en sådan allmän övervakningsskyldighet.
133
I artikel 2.4 i dataskyddsförordningen förskrivs att den förordningen inte ska påverka tillämpningen av direktiv 2000/31, i synnerhet inte bestämmelserna om tjänstelevererande mellanhänders ansvar enligt artiklarna 12 och 15 i det direktivet.
134
Artikel 2.4 i dataskyddsförordningen ska förstås så, att den omständigheten att en operatör har skyldigheter enligt den förordningen inte med automatik innebär att det är uteslutet nämnda operatör kan åberopa artiklarna 12–15 i direktiv 2000/31 avseende andra frågor än frågor rörande skydd av personuppgifter.
135
Det följer således av artikel 1.5 b i direktiv 2000/31, jämförd med artikel 2.4 i dataskyddsförordningen, att bestämmelserna i detta direktiv, särskilt artiklarna 12–15, inte får ingripa i regleringen i den förordningen.
136
Mot bakgrund av det anförda ska fråga 1 besvaras enligt följande. Artikel 1.5 b i direktiv 2000/31 och artikel 2.4 i dataskyddsförordningen ska tolkas så, att en operatör av en e-handelsplats, i egenskap av personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, inte kan åberopa artiklarna 12–15 i direktivet om tjänstelevererande mellanhänders ansvar, med avseende på ett åsidosättande av de skyldigheter som följer av artikel 5.2 och artiklarna 24–26 och 32 i förordningen.
Rättegångskostnader
137
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:
1)
Artikel 5.2 samt artiklarna 24–26 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas på följande sätt:
En e-handelsplatsoperatör, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i förordning 2016/679, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats är skyldig att, före publicering och med hjälp av lämpliga tekniska och organisatoriska åtgärder,
–
fastställa vilka annonser som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i förordning 2016/679,
–
kontrollera huruvida den användarannonsör som står i begrepp att lägga upp en sådan annons är den person vars känsliga uppgifter ingår i annonsen och, om detta inte är fallet,
–
vägra att publicera annonsen, såvida användarannonsören inte kan visa att den registrerade har lämnat sitt uttryckliga samtycke, i den mening som avses i artikel 9.2 a, till att de aktuella uppgifterna publiceras på e-handelsplatsen eller att något av de andra undantagen i artikel 9.2 b–j är uppfyllda.
2)
Artikel 32 i förordning 2016/679
ska tolkas på följande sätt:
En e-handelsplatsoperatör, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i den förordningen, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, är skyldig att genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra att annonser som publiceras där och som innehåller känsliga uppgifter, i den mening som avses i artikel 9.1 i samma förordning, reproduceras och utan tillstånd publiceras på andra webbplatser.
3)
Artikel 1.5 b i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) och artikel 2.4 i förordning 2016/679,
ska tolkas på följande sätt:
En operatör av en e-handelsplats, i egenskap av personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i förordning 2016/679, för behandlingen av personuppgifter som ingår i annonser som publiceras på operatörens e-handelsplats, kan inte åberopa artiklarna 12–15 i direktivet om tjänsteleverande mellanhänders ansvar, med avseende på ett åsidosättande av de skyldigheter som följer av artikel 5.2 och artiklarna 24–26 och 32 i förordningen.
Underskrifter
(
*1
)	Rättegångsspråk: rumänska.