C-492/23

62023CC0492

NÁVRHY GENERÁLNEHO ADVOKÁTA

MACIEJ SZPUNAR

prednesené 6. februára 2025 ( 1 )

Vec C‑492/23

X

1.

Prejudiciálne otázky v prejednávanej veci sa týkajú ustanovení smernice 2000/31/ES ( 2 ) a nariadenia (EÚ) 2016/679 ( 3 ).

2.

Tieto otázky vznikli v spore medzi fyzickou osobou a prevádzkovateľom internetového obchodu, kde bol bez súhlasu tejto osoby uverejnený inzerát, v ktorom sa uvádzalo, že táto osoba ponúkala sexuálne služby. Osobitosť tejto veci spočíva v tom, že predmetný inzerát obsahoval osobné údaje.

3.

Svojimi otázkami, ktoré sa týkajú GDPR, sa vnútroštátny súd v tejto súvislosti snaží zistiť na jednej strane, či prevádzkovateľ internetového obchodu, o aký ide v spore vo veci samej, porušil povinnosti, ktoré mu vyplývajú z tohto nariadenia, a na druhej strane, či sa na takéhoto prevádzkovateľa internetového obchodu môže vzťahovať výnimka zo zodpovednosti stanovená v článku 14 ods. 1 smernice 2000/31, pokiaľ ide o inzerát uverejnený na tejto internetovej stránke. Tento návrh na začatie prejudiciálneho konania teda poskytuje Súdnemu dvoru príležitosť vyjadriť sa k vzťahu medzi režimami zavedenými týmito dvoma právnymi aktmi Únie.

5.

Články 12, 13 a 14 tejto smernice, ktoré sa nachádzajú v oddiele 4 s názvom „Zodpovednosť sprostredkovateľov poskytovateľov služieb“, kapitoly II tejto smernice, nazvanej „Zásady“, sa týkajú poskytovateľa služieb informačnej spoločnosti, ktorý vykonáva činnosť „mere conduit“ („Púhy kanál“) [„Jednoduchý prenos“ – neoficiálny preklad ], ukladanie dát v pamäti s názvom „caching“ alebo činnosť hostingu. Tieto ustanovenia tiež určujú podmienky, za ktorých sú títo poskytovatelia oslobodení od zodpovednosti za informácie pochádzajúce od používateľov ich služieb.

6.

V zmysle článku 14 ods. 1 uvedenej smernice s názvom „Uloženie informácií na hostiteľskom počítači“ [„Hosting“ – neoficiálny preklad ]:

„Ak sa poskytuje služba informačnej spoločnosti, ktorá pozostáva z uloženia informácií, ktoré sú poskytované príjemcom tejto služby, musia členské štáty zabezpečiť, aby poskytovateľ služby nebol zodpovedný za informácie uložené na žiadosť príjemcu služby, pod podmienkou, že:

a)

„1. Členské štáty neuložia poskytovateľom všeobecnú povinnosť pri poskytovaní služieb, na ktoré sa vzťahujú články 12, 13 a 14, aby monitorovali informácie, ktoré prenášajú alebo ktoré uložili, ani všeobecnú povinnosť aktívne zisťovať skutočnosti alebo okolnosti, ktoré by naznačovali, že ide o nezákonnú činnosť.

2. Členské štáty môžu ustanoviť povinnosť, aby poskytovatelia služieb informačnej spoločnosti informovali príslušné verejné orgány o údajných vykonávaných nezákonných činnostiach alebo o údajných nezákonných poskytovaných informáciách, alebo povinnosť oznamovať príslušným orgánom na ich žiadosť informácie, ktoré by im umožnili identifikáciu príjemcov ich služieb, s ktorými uzatvorili dohody o uložení informácií.“

2.

GDPR

8.

Článok 2 GDPR s názvom „Vecná pôsobnosť“, v odseku 4 stanovuje:

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;

8.

‚sprostredkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa;

…

11.

‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;

b)

získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;… (‚obmedzenie účelu‘);

…

f)

spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení (‚integrita a dôvernosť‘).

2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

12.

Článok 7 GDPR s názvom „Podmienky vyjadrenia súhlasu“ v odseku 1 stanovuje:

„Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.“

13.

Články 24 až 26 tohto nariadenia sa nachádzajú v oddiele 1 s názvom „Všeobecné povinnosti“, kapitoly IV tohto nariadenia, nazvanej „Prevádzkovateľ a sprostredkovateľ“.

14.

16.

Článok 26 GDPR s názvom „Spoloční prevádzkovatelia“ v odseku 1 uvádza:

„Ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, sú spoločnými prevádzkovateľmi. Transparentne určia svoje príslušné zodpovednosti za plnenie povinností podľa tohto nariadenia, najmä pokiaľ ide o vykonávanie práv dotknutej osoby, a svoje povinnosti poskytovať informácie uvedené v článkoch 13 a 14, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti prevádzkovateľov určené právom Únie alebo právom členského štátu, ktorému prevádzkovatelia podliehajú. V dohode sa môže určiť kontaktné miesto pre dotknuté osoby.“

B. Rumunské právo

17.

Článok 11 Legea nr. 365/2002 privind comerțul electronic (zákon č. 365/2002 o elektronickom obchode) zo 7. júna 2002 ( 6 ), v znení Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (zákon č. 121/2006, ktorým sa mení a dopĺňa zákon č. 365/2002 o elektronickom obchode) zo 4. mája 2006 ( 7 ) (ďalej len „zákon č. 365/2002“), stanovuje:

a)

poskytovateľ služby si nie je vedomý toho, že činnosť alebo uchovávané informácie sú nezákonné, a pokiaľ ide o nároky na náhradu škody, nie sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že by predmetná činnosť alebo informácie mohli poškodiť práva tretej osoby;

b)

ak si je poskytovateľ služby vedomý skutočnosti, že predmetná činnosť alebo informácie sú nezákonné, alebo sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že predmetná činnosť alebo informácie by mohli poškodiť práva tretej osoby, poskytovateľ služby bezodkladne koná s cieľom ich odstrániť alebo znemožniť k nim prístup.

2. Ustanovenia odseku 1 sa neuplatňujú, ak príjemca koná pod vedením alebo kontrolou poskytovateľa služieb.

3. Ustanovenia tohto článku nemajú vplyv na možnosť súdneho alebo správneho orgánu požiadať poskytovateľa služieb, aby ukončil porušovanie ochrany osobných údajov alebo takému porušovaniu predchádzal, ani na možnosť zaviesť vládne postupy na obmedzenie alebo prerušenie prístupu k informáciám.“

Keďže sa žalobkyňa vo veci samej domnievala, že sporný inzerát porušuje jej práva, podala proti spoločnosti Russmedia žalobu.

22.

Judecătoria Cluj‑Napoca (Súd prvej inštancie Kluž‑Napoca, Rumunsko) tejto žalobe vyhovel a na základe článku 253 Občianskeho zákonníka ( 8 ) uložil spoločnosti Russmedia povinnosť zaplatiť žalobkyni vo veci samej sumu 7000 eur z titulu nemajetkovej ujmy, ktorá jej bola spôsobená porušením jej práva na osobné zobrazenie, česť a dobrú povesť, porušením jej práva na súkromný život, ako aj neoprávneným spracovaním osobných údajov. Tento súd sa totiž domnieval, že sporný inzerát predstavoval porušenie povinností, ktoré GDPR stanovuje spoločnosti Russmedia. Uvedený súd sa domnieval, že skutočnosť, že Russmedia povolila uverejnenie a následné šírenie tohto inzerátu na internete, vážne porušila práva žalobkyne vo veci samej.

23.

Tribunalul Specializat Cluj (Špecializovaný vyšší súd Kluž, Rumunsko) vyhovel odvolaniu, ktoré podala Russmedia, pričom rozhodol, že žaloba žalobkyne vo veci samej je nedôvodná z dôvodu, že táto spoločnosť nebola autorom sporného inzerátu. Tento súd sa domnieval, že Russmedia poskytovala len službu uchovávania inzerátov bez toho, aby sa aktívne podieľala „na ich obsahu“, a že za týchto okolností bolo možné uplatniť oslobodenie od zodpovednosti stanovené v článku 14 ods. 1 zákona č. 365/2002.

24.

Žalobkyňa vo veci samej podala proti tomuto rozhodnutiu kasačný opravný prostriedok na Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko), ktorý je vnútroštátnym súdom.

28.

V rámci svojho kasačného opravného prostriedku žalobkyňa vo veci samej najmä tvrdí, že zákon č. 365/2002 nie je vo vzťahu k GDPR lex specialis , a preto mal odvolací súd preskúmať zodpovednosť spoločnosti Russmedia s ohľadom na ustanovenia tohto nariadenia.

29.

Okrem toho žalobkyňa vo veci samej uvádza, že úloha spoločnosti Russmedia sa neobmedzovala na poskytovanie špecifických technických prostriedkov prístupu k hostingovému serveru zákazníkom. Podľa jej názoru táto spoločnosť tiež mala úlohu správcu tým, že na úrovni obsahu inzerátov zasahovala na účely riadnej správy informácií. Uvedená spoločnosť ako správca dotknutej internetovej stránky uchováva a spracúva obsah informácií. Spracúvanie a uchovávanie údajov, ako aj ich sprístupnenie verejnosti v určitej forme si vyžadujú tak analýzu údajov a informácií obsiahnutých v inzerátoch, ako aj ich správu, ktorá je nevyhnutná na zabezpečenie jednoduchého prístupu verejnosti, čo naznačuje priame zapojenie tejto spoločnosti. V dôsledku toho nie je článok 14 zákona č. 365/2002 v prejednávanej veci uplatniteľný. Žalobkyňa vo veci samej sa navyše domnieva, že zbavenie zodpovednosti stanovené v tomto ustanovení sa neuplatní, ak je zodpovednosť stanovená na základe iných regulačných aktov, ako je GDPR, čo je podľa nej prípad prejednávanej veci.

30.

33.

Okrem toho vnútroštátny súd upozorňuje na skutočnosť, že sporný inzerát, hoci bol po oznámení žalobkyne vo veci samej vymazaný zo stránky spoločnosti Russmedia, na ktorej bol pôvodne uverejnený, bol v celom rozsahu prevzatý mnohými ďalšími internetovými stránkami so všetkými údajmi a fotografiami žalobkyne vo veci samej s uvedením pôvodného zdroja bez ochranných opatrení týkajúcich sa osobných údajov. Škoda sa preto stala trvalou ujmou a v súčasnosti stále pretrváva.

34.

Okrem toho vnútroštátny súd uvádza, že sexuálne služby uvedené v spornom inzeráte, ktoré údajne ponúka žalobkyňa vo veci samej, sa môžu spájať so závažnými trestnými činmi, ktoré sú trestné v zmysle trestného zákona, akými sú kupliarstvo a obchodovanie s ľuďmi.

35.

Napokon vnútroštátny súd upozorňuje na skutočnosť, že vzhľadom na všeobecné podmienky používania jej internetového obchodu sa Russmedia nezdá byť obyčajným pasívnym používateľom údajov. Hoci sa totiž táto spoločnosť nedovoláva vlastníckeho práva k poskytnutým alebo uverejneným, stiahnutým alebo odoslaným materiálom, zachováva si právo tieto materiály používať, vrátane ich kopírovania, distribúcie, prenosu, uverejňovania, reprodukovania, zmeny, prekladu, prevodu na partnerov a ich výmazu v akomkoľvek čase, a to aj bez akéhokoľvek náležitého dôvodu na tento účel.

3.

Je takýto poskytovateľ informačných služieb typu úložiska informácií‑hostingu, ktorý je prevádzkovateľom spracovania osobných údajov, podľa výkladu článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. f), článku 6 ods. 1 písm. a), článkov 7, 24 a 25 [GDPR] a článku 15 smernice 2000/31 povinný vopred overiť obsah inzerátov zaslaných užívateľmi s cieľom vylúčiť inzeráty, ktoré môžu mať protiprávny charakter alebo ktoré môžu poškodiť súkromie a rodinný život jednotlivca?

4.

Je takýto poskytovateľ informačných služieb typu úložiska informácií‑hostingu, ktorý je prevádzkovateľom spracovania osobných údajov, podľa výkladu článku 5 ods. 1 písm. b) a f), článkov 24 a 25 [GDPR] a článku 15 smernice 2000/31/ES povinný uplatňovať ochranné opatrenia na zabránenie alebo obmedzenie reprodukcie a ďalšieho šírenia obsahu inzerátov, ktoré boli prostredníctvom neho uverejnené?“

37.

Písomné pripomienky predložili rumunská vláda a Európska komisia. Žalobkyňa vo veci samej a Komisia boli tiež zastúpené na pojednávaní, ktoré sa konalo 2. júla 2024.

Z návrhu na začatie prejudiciálneho konania vyplýva, že v spore vo veci samej môže byť vyvodená zodpovednosť spoločnosti Russmedia z dôvodu porušenia GDPR. ( 15 ) Za týchto podmienok by sa mohlo zdať a priori vhodné analyzovať najprv druhú až štvrtú otázku, ktorými sa vnútroštátny súd snaží zistiť, či Russmedia porušila povinnosti, ktoré jej vyplývajú z GDPR. V záujme zrozumiteľnosti analýzy však preskúmam otázky v poradí, v akom boli položené. Najprv teda preskúmam problém nastolený v návrhu na začatie prejudiciálneho konania z hľadiska smernice 2000/31, aby som následne preskúmal tento problém z hľadiska GDPR. Napokon v poslednej časti mojej analýzy preskúmam vzájomné vzťahy medzi týmto nariadením a touto smernicou.

41.

Všetky prejudiciálne otázky sa totiž týkajú zásadnejšej otázky vzťahu medzi ustanoveniami smernice 2000/31 a ustanoveniami GDPR. Túto otázku preskúmam po identifikovaní relevantných ustanovení týchto dvoch aktov práva Únie, pretože právne kvalifikácie podľa nimi stanovených kategórií sú jadrom štyroch prejudiciálnych otázok.

A. O prvej otázke

42.

Svojou prvou otázkou sa vnútroštátny súd pýta, či sa má článok 14 ods. 1 smernice 2000/31 vykladať v tom zmysle, že sa na poskytovateľa služby informačnej spoločnosti, ktorá spočíva v sprístupnení internetového obchodu, kde možno inzeráty uverejniť bezplatne alebo za odplatu, môže vzťahovať oslobodenie od zodpovednosti stanovené v tomto ustanovení, aj keď tento poskytovateľ uvedie vo všeobecných podmienkach používania svojho internetového obchodu, že hoci si nenárokuje vlastnícke právo k týmto materiálom, zachováva si právo používať poskytnutý, uverejnený, nahrávaný alebo odoslaný materiál, vrátane jeho kopírovania, distribúcie, prenosu, zverejňovania, reprodukovania, úpravy, prekladu, postúpenia partnerom a odstraňovania v akomkoľvek čase, a to aj bez potreby príslušného dôvodu.

44.

Považujem za dôležité zdôrazniť tak predpoklad, z ktorého vychádza prvá otázka, ako aj jej rozsah.

45.

V tejto súvislosti v prvom rade, ako som uviedol, ( 16 ) články 12, 13 a 14 smernice 2000/31 stanovujú výnimky zo zodpovednosti uplatniteľné v prípade, že sa služby poskytované poskytovateľmi služieb informačnej spoločnosti týkajú služieb „[Jednoduchý prenos]“, formy ukladania dát v pamäti nazývanej „caching“ a činnosti hostingu.

46.

Hoci prvá otázka odkazuje na tieto tri ustanovenia, vnútroštátny súd sa domnieva, že Russmedia poskytuje službu spočívajúcu v hostingu informácií poskytnutých užívateľmi. Okrem toho sa zdá, že článok 14 zákona č. 365/2002, ktorého uplatniteľnosť bola prediskutovaná pred vnútroštátnymi orgánmi ( 17 ), predstavuje prebratie článku 14 smernice 2000/31, ktorý sa týka hostingovej služby. Domnievam sa teda, že prvá otázka sa týka tohto ustanovenia práva Únie a že pracovný predpoklad vnútroštátneho súdu je, že služba poskytovaná spoločnosťou Russmedia predstavuje službu informačnej spoločnosti a v zásade spočíva v hostingu informácií poskytovaných používateľmi jej internetového obchodu.

Zmienky o čisto technickej alebo pasívnej povahe činnosti spoločnosti Russmedia v návrhu na začatie prejudiciálneho konania odkazujú na judikatúru Súdneho dvora, podľa ktorej sa výnimka zo zodpovednosti stanovená v článku 14 ods. 1 smernice 2000/31 týka výlučne prípadu, keď sa správanie poskytovateľa služieb obmedzuje na správanie „poskytovateľa sprostredkovateľských služieb“ v zmysle, ktorý chcel normotvorca dosiahnuť v rámci oddielu 4 kapitoly II tejto smernice. V tejto súvislosti totiž z odôvodnenia 42 uvedenej smernice vyplýva, že výnimky v oblasti zodpovednosti stanovené touto smernicou sa týkajú len prípadov, keď činnosť poskytovateľa služieb v rámci informačnej spoločnosti má výlučne technickú, automatickú a pasívnu povahu, čo implikuje, že tento poskytovateľ nepozná, ani nemá kontrolu nad informáciami, ktoré sú prenášané alebo uchovávané. ( 20 ) Práve vo svetle uvedenej judikatúry je potrebné analyzovať prvú prejudiciálnu otázku.

b)

Úloha, ktorú má prevádzkovateľ internetového obchodu

50.

53.

Okrem toho, pokiaľ ide o jednu z podmienok, ktorým článok 14 ods. 1 smernice 2000/31 podmieňuje zbavenie poskytovateľa sprostredkovateľských služieb zodpovednosti, ku ktorej sa vrátim neskôr ( 23 ), Súdny dvor rozhodol, že okolnosť, že prevádzkovateľ platformy na zdieľanie obsahu on‑line uskutočňuje automatizované indexovanie obsahu nahrávaného na túto platformu, že uvedená platforma obsahuje funkciu vyhľadávania a že odporúča videá v závislosti od profilu alebo preferencií používateľov, nemôže stačiť na to, aby sa dospelo k záveru, že táto podmienka nie je splnená. ( 24 ) Táto okolnosť a fortiori nemôže zbaviť takéhoto prevádzkovateľa internetového obchodu možnosti dovolávať sa oslobodenia od zodpovednosti stanoveného v tomto ustanovení. Otázka, či sú splnené podmienky, ktorými článok 14 ods. 1 písm. a) a b) tejto smernice podmieňuje oslobodenie od zodpovednosti, totiž vzniká len vtedy, ak dotknutého poskytovateľa možno považovať za „poskytovateľa hostingu, ktorý má neutrálnu úlohu“, pokiaľ ide o informácie, ktoré ukladá, a môže sa a priori dovolávať tohto oslobodenia.

54.

Na prvý pohľad sa teda zdá, že Russmedia má neutrálnu úlohu, pokiaľ ide o informácie uložené na žiadosť používateľov inzerentov, a že sa môže dovolávať oslobodenia stanoveného v článku 14 ods. 1 smernice 2000/31. Teraz je potrebné rozptýliť pochybnosti vnútroštátneho súdu vyjadrené v znení prvej otázky, ktorá v podstate smeruje k určeniu, či pri skúmaní uplatniteľnosti tohto oslobodenia treba priznať rozhodujúcu úlohu všeobecným podmienkam používania internetového obchodu alebo činnostiam, ktoré skutočne vykonal prevádzkovateľ internetového obchodu.

57.

Po tomto konštatovaní treba poznamenať, že vzhľadom na všeobecné podmienky používania jej internetového obchodu sa zdá, že Russmedia nemá voči používateľom inzerentom žiadnu povinnosť, pokiaľ ide o vypracovanie alebo prezentáciu obsahu inzerátov uložených na ich žiadosť. Naopak, táto spoločnosť si vyhradzuje právo použiť tieto informácie bez potreby príslušného dôvodu.

58.

V tejto súvislosti, hoci všeobecné podmienky používania internetového obchodu môžu určovať fungovanie služby informačnej spoločnosti a umožniť pochopiť úlohu, ktorú má jej poskytovateľ, zmluvné dojednania, podľa ktorých tento poskytovateľ môže prijať opatrenia v súvislosti s uloženými informáciami bez toho, aby bol povinný tak urobiť, nemôžu byť samy osebe rozhodujúce, keď vzniká otázka, či je úloha uvedeného poskytovateľa neutrálna. Súdny dvor totiž vo svojej judikatúre upozorňuje na skutočnú účasť poskytovateľa služby informačnej spoločnosti na vypracovaní a prezentácii informácií poskytovaných používateľmi služby. Naproti tomu pri skúmaní uplatniteľnosti oslobodenia od zodpovednosti stanoveného v článku 14 ods. 1 smernice 2000/31 treba ignorovať činnosti, ktoré je poskytovateľ služieb oprávnený vykonať podľa všeobecných podmienok používania jeho platformy, ale ktoré v praxi nevykonáva. Inými slovami, v rámci tohto preskúmania treba zohľadniť úkony, ktoré poskytovateľ takejto služby skutočne vykonal.

59.

Konkrétne Súdny dvor rozhodol, že pokiaľ prevádzkovateľ internetového obchodu poskytol pomoc , ktorá spočívala najmä v optimalizácii prezentácie predmetných ponúk na predaj alebo v podpore týchto ponúk, treba zastávať názor, že nemal neutrálne postavenie vo vzťahu k dotknutému zákazníkovi – predávajúcemu a potenciálnym kupujúcim, ale hral aktívnu úlohu takej povahy, že bolo možné konštatovať, že údaje týkajúce sa týchto ponúk pozná alebo má nad nimi kontrolu. ( 25 ) Súdny dvor podobne v podstate rozhodol, že vydavateľská spoločnosť sa nemôže dovolávať oslobodenia od zodpovednosti stanoveného v článku 14 ods. 1 smernice 2000/31, pokiaľ ide o informácie obsiahnuté v elektronickom vydaní tlačených novín vydávaných touto spoločnosťou , keďže táto spoločnosť v zásade pozná informácie, ktoré uverejňuje a má nad nimi kontrolu. ( 26 )

63.

Za týchto podmienok skutočnosť, že Russmedia si v zmysle všeobecných podmienok používania svojho internetového obchodu vyhradzuje právo používať obsah uložený na žiadosť používateľov jej služby, nemôže vylúčiť túto spoločnosť z uplatnenia oslobodenia od zodpovednosti stanoveného v článku 14 ods. 1 smernice 2000/31.

d)

Predbežný návrh

64.

Vzhľadom na vyššie uvedené navrhujem odpovedať na prvú otázku tak, že článok 14 ods. 1 smernice 2000/31 sa má vykladať v tom zmysle, že na poskytovateľa služby informačnej spoločnosti, ktorá spočíva v sprístupnení užívateľom internetového obchodu, kde sa bezplatne alebo za odplatu uverejňujú inzeráty, sa môže vzťahovať oslobodenie od zodpovednosti stanovené v tomto ustanovení, aj keď uvedie vo všeobecných podmienkach používania svojho internetového obchodu, že hoci si nenárokuje vlastnícke právo k týmto materiálom, zachováva si právo používať poskytnutý, uverejnený, nahrávaný alebo odoslaný materiál vrátane jeho kopírovania, distribúcie, prenosu, zverejňovania, reprodukovania, úpravy, prekladu, postúpenia partnerom a odstraňovania v akomkoľvek čase, a to aj bez potreby príslušného dôvodu, za predpokladu, že tento poskytovateľ neprijme opatrenia, ktoré by mu spôsobili stratu jeho postavenia neutrálneho poskytovateľa hostingu.

a)

Zjavne protiprávna povaha uložených informácií

1) Identifikácia zjavne protiprávneho obsahu

67.

Vnútroštátny súd poznamenáva, že na to, aby Russmedia mohla identifikovať a analyzovať prípadný protiprávny charakter uverejnenej informácie, nebolo potrebné informovať túto spoločnosť o protiprávnom obsahu. Podľa tohto súdu je totiž obsah sporného oznámenia zjavne protiprávny a závažne poškodzujúci žalobkyňu vo veci samej. Zdá sa teda, že vnútroštátny súd vychádza z predpokladu, že z dôvodu tejto zjavne protiprávnej povahy Russmedia musela vedieť o tomto inzeráte a jeho protiprávnom obsahu. Na to, aby Russmedia mohla využiť oslobodenie od zodpovednosti, mala – bez zbytočného odkladu a bez toho, aby čakala na žiadosť v tejto súvislosti – uvedený inzerát odstrániť alebo k nemu znemožniť prístup v súlade s článkom 14 ods. 1 písm. b) smernice 2000/31.

68.

71.

Za týchto okolností nemožno predpokladať , že prevádzkovateľ internetového obchodu pozná obsah každého protiprávneho a škodlivého inzerátu. Okrem toho zavedenie takejto domnienky by znamenalo uložiť tomuto prevádzkovateľovi internetového obchodu povinnosť aktívne monitorovať všetky údaje každého z jeho používateľov inzerentov s cieľom identifikovať inzeráty, ktoré sú zjavne protiprávne a škodlivé. Takáto monitorovacia povinnosť sa mi zdá ťažko zlučiteľná s logikou smernice 2000/31.

72.

Takáto monitorovacia povinnosť zavedená „zadnými dvierkami“ by totiž bola nezlučiteľná s článkom 15 ods. 1 smernice 2000/31, ktorý stanovuje, že členské štáty nesmú ukladať poskytovateľom hostingu všeobecnú povinnosť monitorovať informácie, ktoré ukladajú, ani všeobecnú povinnosť aktívne zisťovať skutočnosti alebo okolnosti, ktoré by naznačovali, že ide o protiprávnu činnosť. Poskytovateľ hostingu teda nemôže byť povinný monitorovať vo všeobecnosti informácie, ktoré ukladá na základe vnútroštátnych opatrení. ( 31 )

73.

Preto podmienku stanovenú v článku 14 ods. 1 písm. a) smernice 2000/31 nemožno považovať za nesplnenú len z dôvodu, že inzerát uverejnený v internetovom obchode je zjavne protiprávny a závažne poškodzujúci osobu, ktorej sa tento inzerát týka. Pre úplnosť dodávam, že smernica 2000/31 neignoruje situáciu, v ktorej poskytovateľ hostingovej služby prijme ekonomický alebo organizačný model, ktorý podnecuje alebo podporuje šírenie protiprávneho obsahu.

76.

Ak by sa tento prístup uplatnil na okolnosti prejednávanej veci, znamenalo by to, že prevádzkovateľ internetového obchodu, ktorý prijal hospodársky a/alebo organizačný model, ktorý podnecuje používateľov svojej platformy k šíreniu zjavne protiprávneho a závažne poškodzujúceho obsahu alebo ktorý podporuje a uľahčuje neobmedzené a nekontrolované šírenie takéhoto obsahu, stráca postavenie neutrálneho poskytovateľa hostingu v zmysle článku 14 ods. 1 smernice 2000/31. Nič však nenasvedčuje tomu, že by Russmedia taký model prijala.

3) Vývoj práva Únie v oblasti moderovania obsahu dostupného online

77.

Dalo by sa tvrdiť, že úvaha, podľa ktorej smernica 2000/31 v zásade a s výhradou výnimočných okolností ( 35 ) neukladá poskytovateľom hostingových služieb povinnosť odhaliť akýkoľvek zjavne protiprávny a závažne poškodzujúci obsah, sa môže zdať málo uspokojivá vzhľadom na riziká, ktoré môže šírenie takéhoto obsahu predstavovať vzhľadom na práva ich používateľov a tretích osôb.

78.

b)

Ďalšie šírenie obsahu uverejnených inzerátov

81.

Ďalší aspekt, na ktorý vnútroštátny súd upozorňuje Súdny dvor, sa týka okolnosti, že hoci Russmedia v nadväznosti na žiadosť žalobkyne vo veci samej odstránila sporný inzerát zo svojho internetového obchodu, tento inzerát je stále prístupný na mnohých ďalších internetových stránkach, ktoré ho prevzali z internetového obchodu Russmedia, s uvedením pôvodného zdroja. Vnútroštátny súd nepoložil priamo otázku týkajúcu sa tejto okolnosti z hľadiska smernice 2000/31. Naopak, tento súd na ňu odkazuje v rámci svojej štvrtej otázky, ktorá sa týka opatrení vyžadovaných nariadením GDPR na zabezpečenie bezpečnosti spracúvania osobných údajov. Na pojednávaní v odpovedi na otázky Súdneho dvora však účastníci konania diskutovali o uvedenej okolnosti v kontexte podmienky zbavenia sa zodpovednosti stanovenej v článku 14 ods. 1 písm. b) tejto smernice. Vzhľadom na tieto úvahy a na účely poskytnutia užitočnej odpovede vnútroštátnemu súdu preskúmam otázku, či je podmienka stanovená v článku 14 ods. 1 písm. b) smernice 2000/31 splnená, ak poskytovateľ hostingu po oboznámení sa so skutočnosťami alebo okolnosťami umožňujúcimi ľahko zistiť protiprávnosť uložených informácií urýchlene odstráni túto informáciu zo svojej internetovej stránky, ale táto informácia je stále prístupná na iných internetových stránkach, ktoré ju prevzali zo stránky tohto poskytovateľa hostingu.

82.

V tejto súvislosti vnútroštátny súd nespresňuje, či Russmedia ďalej šírila sporný inzerát prevádzkovateľom iných internetových stránok, alebo či ho tieto subjekty skopírovali bez toho, aby sa o tom Russmedia dozvedela. Tento bod bol predmetom diskusie na pojednávaní. S cieľom poskytnúť vnútroštátnemu súdu užitočnú odpoveď preskúmam tieto dva prípady.

V tejto súvislosti poznamenávam, že ak prevádzkovateľ internetového obchodu individuálne a/alebo s ľudskou pomocou odovzdáva informácie poskytnuté príjemcom jeho služby svojim partnerom, aby ich títo partneri uverejnili na iných internetových stránkach, jeho úloha sa podobá úlohe šíriteľa týchto informácií. V takom prípade mám pochybnosti o tom, či sa na službu tohto prevádzkovateľa internetového obchodu v celom rozsahu vzťahuje článok 14 ods. 1 smernice 2000/31. Naopak, ak sú informácie uložené na žiadosť používateľa prevzaté prevádzkovateľmi iných internetových stránok a úloha uvedeného prevádzkovateľa internetového obchodu pri tomto prenose je čisto technická a automatizovaná, možno sa domnievať, že toto ustanovenie sa na neho v plnom rozsahu vzťahuje.

86.

Po tomto vymedzení, návrh na začatie prejudiciálneho konania neobsahuje skutkové okolnosti, na základe ktorých by bolo možné určiť, ktorý z týchto dvoch prípadov zodpovedá situácii vo veci samej. Čo je ešte dôležitejšie, otázka, či je splnená podmienka stanovená v článku 14 ods. 1 písm. b) smernice 2000/31, vzniká len vtedy, ak možno uvedenú spoločnosť Russmedia považovať za „poskytovateľa hostingu“ v zmysle tohto ustanovenia. Podmienku stanovenú v článku 14 ods. 1 písm. b) tejto smernice teda posúdim na základe predpokladu, že Russmedia je poskytovateľkou hostingu v zmysle tohto ustanovenia a že sporný inzerát prevzali partneri tejto spoločnosti za podmienok, ktoré Komisia uviedla na pojednávaní. ( 40 )

87.

V tejto súvislosti z hľadiska znenia článok 14 ods. 1 písm. b) smernice 2000/31 stanovuje, že na to, aby poskytovateľ hostingu mohol využiť výnimku zo zodpovednosti, musí urýchlene konať, aby odstránil alebo znemožnil prístup k nezákonným informáciám. Toto ustanovenie sa teda neobmedzuje na uvedenie toho, že poskytovateľ hostingu musí odstrániť alebo znemožniť prístup k nezákonným informáciám. Normotvorca totiž zvolil otvorenú formuláciu, podľa ktorej musí poskytovateľ v podstate bezodkladne ukončiť protiprávnu činnosť vykonávanú prostredníctvom alebo v rámci svojej služby.

91.

Z toho vyvodzujem, že na to, aby sa podmienka stanovená v článku 14 ods. 1 písm. b) smernice 2000/31 považovala za splnenú, sa odstránenie protiprávnych informácií musí uskutočniť pri dodržaní nevyhnutného súladu požiadaviek spojených s ochranou týchto rôznych práv a slobôd a spravodlivej rovnováhy medzi nimi.

92.

V tejto súvislosti na jednej strane, podobne ako dodržiavanie slobody prejavu zaručenej Chartou a uvedenej v odôvodnení 46 smernice 2000/31, je rešpektovanie súkromného života tiež zaručené Chartou v jej článku 7. Na druhej strane vzhľadom na potrebu zavedenia rovnováhy medzi dotknutými záujmami nemožno cieľ spočívajúci v účinnej ochrane dobrej povesti a cti osoby sledovať prostredníctvom neprimeranej povinnosti uloženej poskytovateľovi hostingu. ( 42 )

93.

Za týchto podmienok na to, aby sa podmienka stanovená v článku 14 ods. 1 písm. b) smernice 2000/31 považovala za splnenú v súlade s dotknutými právami, poskytovateľ hostingu, ktorého služba sa využíva na ďalšie šírenie informácií, ktoré ukladá, svojim zmluvným partnerom, musí prijať primerané opatrenia na to, aby tento obsah prípadne odstránili alebo zablokovali aj jeho partneri. Na tento účel by v zmluvách uzavretých s týmito partnermi napríklad mohla byť zahrnutá doložka.

Bez toho, aby boli dotknuté dodatočné poznámky, ktoré som práve uviedol, pokiaľ ide o podmienky, ktorými článok 14 ods. 1 smernice 2000/31 podmieňuje oslobodenie poskytovateľa sprostredkovateľských služieb od zodpovednosti, trvám na svojom návrhu odpovede na prvú otázku, ktorý som uviedol v bode 64 vyššie.

B. O druhej až štvrtej prejudiciálnej otázke

97.

Svojou druhou až štvrtou otázkou sa vnútroštátny súd v podstate pýta, či sa článok 5 ods. 1 písm. b) a f), článok 6 ods. 1 písm. a) a články 7, 24 a 25 GDPR majú vykladať v tom zmysle, že poskytovateľ služieb informačnej spoločnosti, ktorého činnosť spočíva v tom, že na internetovej stránke umiestňuje bezplatné alebo platené inzeráty na žiadosť jeho používateľov, je povinný najprv overiť totožnosť inzerenta (druhá otázka) a obsah uverejnených inzerátov (tretia otázka), ako aj prijať bezpečnostné opatrenia na zabránenie alebo obmedzenie kopírovania alebo ďalšieho šírenia obsahu inzerátov obsahujúcich osobné údaje (štvrtá otázka).

98.

Tieto otázky sa týkajú aj článku 2 ods. 4, článku 4 bodov 7 a 11 GDPR, ako aj článku 15 smernice 2000/31. Na účely užitočnej odpovede na tieto otázky však stačí podať výklad ustanovení GDPR uvedených v predchádzajúcom bode, ktoré určujú povinnosti a zodpovednosti aktéra zapojeného do spracúvania osobných údajov.

100.

Článok 4 bod 7 nariadenia GDPR definuje pojem „prevádzkovateľ“ ako osobu, ktorá sama alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov. Toto nariadenie uvádza iný subjekt zapojený do spracovania údajov, a to „sprostredkovateľa“. Sprostredkovateľ je definovaný v článku 4 bode 8 uvedeného nariadenia ako osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa.

101.

Kvalifikácia subjektu zapojeného do spracúvania údajov podľa kategórií stanovených v GDPR určuje povinnosti a zodpovednosť tohto subjektu. Tieto povinnosti a zodpovednosť sú definované v ustanoveniach uvedených v druhej až štvrtej otázke.

102.

Každé spracúvanie osobných údajov totiž musí byť v súlade so zásadami týkajúcimi sa spracúvania údajov uvedenými v článku 5 ods. 1 GDPR a musí spĺňať podmienky zákonnosti spracúvania vymenované v článku 6 tohto nariadenia. Prevádzkovateľ je zodpovedný za dodržiavanie týchto zásad ( 43 ) a ak je spracovanie založené na súhlase, musí byť schopný preukázať, že dotknutá osoba vyjadrila svoj súhlas so spracúvaním údajov, ako to vyžaduje článok 7 ods. 1 tohto nariadenia. V rovnakom duchu články 24 a 25 uvedeného nariadenia stanovujú všeobecné povinnosti prevádzkovateľa zaviesť vhodné technické a organizačné opatrenia s cieľom zabezpečiť, aby sa spracúvanie vykonávalo v súlade s týmto nariadením.

105.

Na účely určenia, či subjekt podieľajúci sa na spracúvaní osobných údajov možno považovať za prevádzkovateľa v zmysle článku 4 bodu 7 GDPR, treba preskúmať, či tento subjekt skutočne vykonával pre vlastné potreby vplyv na určenie účelu a prostriedkov tohto spracúvania.

106.

Účel spracovania údajov sa týka otázky, prečo sa údaje spracúvajú. ( 45 ) V zásade o tom rozhoduje osoba, ktorá spracovanie iniciovala.

107.

Východiská pojmu „prostriedky“ sú menej jasné a musia sa určiť v kontexte vývoja hospodárskych a technologických štruktúr, v ktorých sa údaje spracúvajú. Celkovo, ak sa účel spracúvania týka dôvodu, pre ktorý sa údaje spracúvajú, prostriedky odpovedajú na otázku, ako sa tento cieľ dosiahne. Určenie prostriedkov totiž spočíva najmä v rozhodnutí, ktoré údaje sa spracúvajú, ( 46 ) kto k nim má prístup, a ako ( 47 ), a v rozsahu, v akom takéto rozhodnutie môže ukončiť spracovateľské operácie, doba spracúvania. Rozhodovanie o nástrojoch alebo materiálnych alebo digitálnych nosičoch, ( 48 ) pomocou ktorých sa údaje zhromažďujú, prezentujú alebo šíria, prispieva aj k určeniu prostriedkov spracúvania.

c)

Prevádzkovateľ internetového obchodu a GDPR

111.

Na úvod poznamenávam, že spracúvanie osobných údajov obsiahnutých v inzerátoch uverejnených v internetovom obchode treba odlišovať od spracúvania údajov používateľov inzerentov, ktorí si vytvorili účet u prevádzkovateľa tohto internetového obchodu s cieľom uverejniť svoje inzeráty. Vytvorenie takéhoto účtu a ďalšie činnosti týkajúce sa údajov poskytnutých používateľom inzerentom predstavujú spracovateľské operácie, za ktoré je tento prevádzkovateľ internetového obchodu s ohľadom na GDPR zodpovedný. Prevádzkovateľ internetového obchodu v podstate rozhoduje, ktoré údaje sú potrebné na registráciu účtu, a pri nastavení tohto postupu registrácie používateľov inzerentov určuje účel ich spracúvania.

112.

Návrh na začatie prejudiciálneho konania nastoľuje otázku, či má prevádzkovateľ internetového obchodu z vlastných dôvodov vplyv na určenie účelov a prostriedkov spracúvania osobných údajov, ktoré môžu byť prípadne obsiahnuté v inzerátoch uverejnených v jeho internetovom obchode.

115.

Zdá sa teda, že prevádzkovateľ internetového obchodu, akým je Russmedia, nemá z vlastných dôvodov vplyv, na určenie účelu a prostriedkov spracúvania osobných údajov, ktoré môžu byť prípadne obsiahnuté v inzerátoch uverejnených v tomto internetovom obchode. Ak je tento prevádzkovateľ zapojený do spracúvania týchto údajov, koná ako sprostredkovateľ v mene používateľa inzerenta a na jeho zodpovednosť. Za týchto okolností treba používateľov hostingovej služby považovať za „prevádzkovateľa“ v zmysle GDPR. ( 49 )

116.

Vzhľadom na osobitosť prejednávanej veci je potrebné uviesť niekoľko dodatočných spresnení k úvahám, ktoré som práve uviedol.

117.

V prvom rade bez ohľadu na otázku, či podľa GDPR možno dotknutú osobu považovať za prevádzkovateľa jej vlastných osobných údajov, ( 50 ) treba poznamenať, že v prejednávanej veci samotná osoba, ktorá uverejnila sporný inzerát, nebola dotknutá údajmi obsiahnutými v tomto inzeráte.

V treťom rade úvahy, ktoré som práve uviedol, zodpovedajú postoju pracovnej skupiny „Článok 29“ ( 52 ) v jej stanovisku 1/2010 zo 16. februára 2010 k pojmom „prevádzkovateľ“ a „sprostredkovateľ“ ( 53 ). Podľa tejto pracovnej skupiny poskytovateľ internetového pripojenia, ktorý poskytuje služby úložiska, je v zásade sprostredkovateľ osobných údajov zverejňovaných online jeho zákazníkmi, ktorí využívajú tohto poskytovateľa na hosting a prevádzku svojich internetových stránok. Keď však takýto poskytovateľ spracováva údaje, ktoré ukladá na osobné účely, stáva sa prevádzkovateľom, pokiaľ ide o dotknuté spracovateľské operácie. Okrem toho toto stanovisko zodpovedá aj stanovisku Európskeho výboru pre ochranu údajov v jeho usmerneniach č. 07/2020 týkajúcich sa pojmov prevádzkovateľ a sprostredkovateľ v GDPR prijatých 7. júla 2021 ( 54 ), podľa ktorých poskytovateľ hostingu, ktorý neurčuje, či údaje, ktoré uchováva, sú osobnými údajmi, ani nespracúva údaje iným spôsobom ako ich uchovávaním v mene svojho klienta, je sprostredkovateľom.

120.

S výhradou overenia skutkového stavu, ktoré prináleží vykonať vnútroštátnemu súdu, by mal Súdny dvor podľa môjho názoru upriamiť pozornosť tohto súdu na možnosť prehodnotiť kvalifikáciu spoločnosti Russmedia. Rovnako ako Komisia totiž zastávam názor, že táto spoločnosť nemá úlohu prevádzkovateľa, ale sprostredkovateľa, pokiaľ ide o spracovateľské operácie vyplývajúce z uverejnenia sporného inzerátu. Na základe tohto predpokladu teraz preskúmam druhú až štvrtú otázku.

2.

Povinnosti a zodpovednosť prevádzkovateľa internetového obchodu

Pokiaľ ide o spracúvanie osobných údajov uvedených v inzerátoch, Russmedia bola skutočne sprostredkovateľom, neprináležalo jej overiť, či je spracúvanie povolené a zákonné. Ako som totiž uviedol ( 55 ), podľa ustanovení uvedených v druhej otázke za dodržiavanie zásad týkajúcich sa spracúvania osobných údajov zodpovedá prevádzkovateľ. V rovnakom duchu na základe ustanovení uvedených v tretej otázke nie je sprostredkovateľ povinný vopred overiť obsah informácií, ktoré sú predmetom spracovateľských operácií.

123.

Pokiaľ ide o štvrtú otázku, jej cieľom je zistiť, či Russmedia mala prijať bezpečnostné opatrenia na zabránenie alebo obmedzenie kopírovania alebo ďalšieho šírenia obsahu inzerátov obsahujúcich osobné údaje. Táto otázka sa týka výkladu článku 5 ods. 1 písm. b) a f) a článkov 24 a 25 GDPR. Tieto ustanovenia sa tiež týkajú povinností prevádzkovateľa a nie sprostredkovateľa.

124.

Článok 32 GDPR však spresňuje povinnosti prevádzkovateľa a prípadného sprostredkovateľa, pokiaľ ide o bezpečnosť tohto spracúvania. ( 56 )

125.

128.

Naproti tomu na rozdiel od toho, čo zdá sa naznačuje vnútroštátny súd vo štvrtej otázke, sa mi nezdá, že by mal byť sprostredkovateľ povinný zabrániť alebo obmedziť kopírovanie alebo ďalšie šírenie inzerátov obsahujúcich osobné údaje. Sprostredkovateľovi neprislúcha rozhodovať o tom, kto a akým spôsobom môže mať k týmto informáciám prístup.

2) Spracúvanie údajov používateľov inzerentov

129.

Povinnosti a zodpovednosť prevádzkovateľa internetového obchodu sú dôležitejšie, pokiaľ ide o spracúvanie údajov používateľov inzerentov, ktorí si u tohto prevádzkovateľa internetového obchodu vytvorili účet. V rámci tohto spracúvania je prevádzkovateľ internetového obchodu prevádzkovateľom spracúvania a články 24 a 25 GDPR sa na neho v plnom rozsahu vzťahujú. ( 59 )

130.

133.

Ak teda prevádzkovateľ spravuje internetový obchod prístupný používateľom inzerentom, ktorí môžu pri využívaní tohto internetového obchodu ukradnúť totožnosť inej osoby na podvodné účely, musí prijať opatrenia na zníženie tohto rizika. Ako to vyžaduje článok 25 GDPR, na splnenie požiadaviek tohto nariadenia a ochranu práv dotknutej osoby musí prevádzkovateľ zohľadniť toto riziko v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania.

134.

Za týchto podmienok musí prevádzkovateľ internetového obchodu podľa môjho názoru stanoviť technické alebo organizačné opatrenia, ktoré mu umožnia overiť totožnosť používateľov inzerentov. Takéto overenie by totiž jednak obmedzilo riziko nezákonného alebo nekalého spracúvania osobných údajov vo vzťahu k dotknutej osobe a jednak by umožnilo bojovať proti nezodpovednému využívaniu tohto internetového obchodu, pretože by spochybnilo pocit beztrestnosti anonymných používateľov.

135.

Musím spresniť, že predpoklad anonymného používania internetu nevylučuje overenie totožnosti používateľov inzerentov. Údaje používateľa inzerenta nemôžu byť prístupné každému používateľovi platformy. Môže ich overiť a uchovávať len prevádzkovateľ, aby mohol plniť svoje povinnosti podľa GDPR. Na účely overenia môže prevádzkovateľ internetového obchodu požadovať oznámenie telefónneho čísla a použiť ho na potvrdenie registrácie. Takéto riešenie nie je v prípade online platforiem neobvyklé.

Za týchto podmienok navrhujem odpovedať na druhú až štvrtú otázku tak, že článok 5 ods. 1 písm. f), článok 6 ods. 1 písm. a) a články 7, 24 a 25 GDPR sa majú vykladať v tom zmysle, že poskytovateľ služieb informačnej spoločnosti, ktorého činnosť spočíva v tom, že na internetovej stránke umiestni bezplatné alebo platené inzeráty na žiadosť svojich používateľov, koná ako sprostredkovateľ, pokiaľ ide o osobné údaje obsiahnuté v inzerátoch uverejnených v jeho internetovom obchode. V tomto rámci nie je povinný overiť obsah uverejnených inzerátov alebo vykonať bezpečnostné opatrenia, ktoré môžu zabrániť alebo obmedziť kopírovanie a ďalšie šírenie obsahu inzerátov uverejnených prostredníctvom jeho sprostredkovateľa. Musí však prijať vhodné organizačné a technické opatrenia na zaistenie bezpečnosti spracúvania vo vzťahu k tretím stranám. Naopak, takýto poskytovateľ koná ako prevádzkovateľ, pokiaľ ide o osobné údaje používateľov inzerentov registrovaných na jeho internetovej stránke. V tomto kontexte je povinný overiť totožnosť týchto používateľov inzerentov.

138.

Pre úplnosť a pre prípad, že by Súdny dvor nesúhlasil s mojou analýzou, teraz stručne preskúmam povinnosti a zodpovednosti prevádzkovateľa internetového obchodu považovaného za prevádzkovateľa v zmysle článku 4 bodu 7 nariadenia GDPR, pokiaľ ide o osobné údaje obsiahnuté v inzerátoch uverejnených v jeho internetovom obchode. Ako som totiž uviedol, ( 61 ) druhá až štvrtá otázka sú zrejme založené na predpoklade, že Russmedia koná ako „prevádzkovateľ“.

b)

Prípad, keď sa prevádzkovateľ internetového obchodu považuje za prevádzkovateľa spracovania údajov uvedených v inzerátoch

142.

Druhá a tretia otázka smerujú k určeniu, či je prevádzkovateľ internetovej stránky povinný pred uverejnením inzerátu overiť totožnosť osoby, ktorá inzerát uverejňuje, a totožnosť osoby, ktorej sa inzerát týka, ako aj obsah inzerátov zaslaných používateľmi.

143.

V tejto súvislosti nie som presvedčený o tom, že prevádzkovateľ internetového obchodu je povinný sa ubezpečiť, že používateľ inzerent je osobou, ktorej sa údaje obsiahnuté v inzeráte týkajú. Internetový obchod totiž môže využívať aj používateľ inzerent na uverejnenie inzerátu týkajúceho sa inej osoby.

144.

Prevádzkovateľ však musí overiť, či je spracovanie osobných údajov založené na súhlase dotknutej osoby alebo na inom legitímnom základe, ktorý je stanovený v právnych predpisoch. Takúto povinnosť mu stanovuje článok 5 ods. 1 písm. a), článok 6 ods. 1 a článok 7 ods. 1 GDPR.

148.

Ak je prevádzkovateľ internetového obchodu prevádzkovateľom spracovania údajov uvedených v inzerátoch uverejnených v tomto obchode, musí skontrolovať inzeráty pred ich uverejnením na internete, overiť, či je ich spracúvanie založené na súhlase dotknutej osoby alebo sa zakladá na inom legitímnom základe, ktorý je stanovený v právnych predpisoch, a zaviesť opatrenia proti spracúvaniu, ktoré poškodzuje dotknuté osoby. Ak nedodržiava tieto zásady, môže byť v súlade s článkom 82 GDPR vyvodená jeho zodpovednosť za porušenie tohto nariadenia.

149.

Štvrtá otázka sa týka toho, či prevádzkovateľ internetového obchodu musí vykonať bezpečnostné opatrenia, ktoré môžu zabrániť alebo obmedziť kopírovanie a ďalšie šírenie obsahu inzerátov uverejnených prostredníctvom jeho sprostredkovateľa.

150.

Ak vzhľadom na kontext, v ktorom sa spracovanie uskutočňuje, existuje možnosť, že inzeráty budú prevzaté inými stránkami a že osobné údaje sa budú ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s účelmi, na ktoré boli získané, prevádzkovateľ by mohol zvážiť vykonanie takýchto opatrení, ktoré musia byť primerané. Nie som však presvedčený, že prevádzkovateľ internetového obchodu, ktorý z pohľadu používateľov inzerentov vyvodzuje svoj ekonomický zmysel zo skutočnosti, že inzeráty, ktoré sú v ňom uvedené, sú verejne dostupné, by mal byť povinný obmedziť ich ďalšie šírenie. Okrem toho obvyklým cieľom sprístupnenia obsahu na internete je vo všeobecnosti sprístupniť ho všetkým používateľom internetu, čo zahŕňa formu ďalšieho šírenia. V každom prípade vzhľadom na úvahy, ktoré som uviedol v bode 148 vyššie, sporný inzerát nemal byť uverejnený v internetovom obchode Russmedia bez súhlasu dotknutej osoby.

Skôr než sa však budem zaoberať takýmto paralelným uplatňovaním týchto dvoch nástrojov práva Únie (oddiel 2), musím uviesť, že medzi hypotézou uvedenou v prvej otázke a hypotézou uvedenou v druhej až štvrtej otázke (časť 1) existuje určité napätie.

1.

Neutrálny poskytovateľ hostingu ako prevádzkovateľ

154.

Pripomínam, že z mojej analýzy vyplýva, že Russmedia konala ako sprostredkovateľ, pokiaľ ide o spracovanie osobných údajov obsiahnutých v inzerátoch uverejnených v jej internetovom obchode. ( 64 ) Naopak, pracovná hypotéza vnútroštátneho súdu spočíva v tom, že táto spoločnosť konala ako prevádzkovateľ. Za týchto podmienok návrh na začatie prejudiciálneho konania nastoľuje otázku, či prevádzkovateľ internetového obchodu môže mať dve funkcie, a to funkciu neutrálneho poskytovateľa hostingu informácií uložených na žiadosť používateľov jeho služby v zmysle článku 14 ods. 1 smernice 2000/31 a funkciu prevádzkovateľa spracovania osobných údajov obsiahnutých v týchto informáciách. Na jednej strane je totiž cieľom prvej otázky zistiť, či je Russmedia poskytovateľom sprostredkovateľských služieb v zmysle oddielu 4 kapitoly II tejto smernice. Na druhej strane sa zdá, že druhá až štvrtá otázka vychádzajú z predpokladu, že túto spoločnosť treba kvalifikovať ako „prevádzkovateľa“ v zmysle GDPR.

155.

Čo je ešte dôležitejšie, na jednej strane, ako som už uviedol, ( 69 ) poskytovateľ sprostredkovateľských služieb v zmysle, ktorý chcel normotvorca dosiahnuť v oddiele 4 kapitoly II smernice 2000/31, nemôže mať úlohu, ktorá by mu umožňovala poznať alebo kontrolovať uložené údaje, a musí sa teda obmedziť na neutrálne poskytovanie svojej služby prostredníctvom čisto technického spracovania. Na druhej strane úloha prevádzkovateľa zahŕňa určenie účelu a prostriedkov spracúvania osobných údajov a najmä vytvárania vplyvu na to, či sú údaje predmetom spracovateľských operácií, ako je zaznamenávanie, zmena alebo šírenie, a ak áno, na určenie týchto údajov. ( 70 ) Vykonávanie takéhoto vplyvu je nezlučiteľné s neutrálnou úlohou, ktorú si musí poskytovateľ služieb informačnej spoločnosti zachovať, pokiaľ ide o informácie uložené na žiadosť používateľov, aby mohol uplatniť oslobodenie od zodpovednosti stanovené v článku 14 ods. 1 smernice 2000/31. Rovnako, ako som vysvetlil, ( 71 ) GDPR ukladá prevádzkovateľovi povinnosti, ktoré od neho vyžadujú aktívne konanie. Na to, aby sa dodržali zásady týkajúce sa spracúvania osobných údajov, prevádzkovateľ musí v podstate poznať dotknuté údaje a kontrolovať ich. Takáto kontrola nie je zlučiteľná ani s neutrálnou úlohou takéhoto poskytovateľa.

158.

Ak teda na jednej strane hostingová služba spočíva v ukladaní informácií, ktoré z hľadiska GDPR predstavujú osobné údaje, a na druhej strane sa poskytovateľ tejto služby považuje za prevádzkovateľa v zmysle tohto nariadenia, úloha tohto poskytovateľa sa neobmedzuje na neutrálne ukladanie takýchto informácií. V dôsledku toho poskytovateľ takejto služby preberá aktívnu úlohu, pokiaľ ide o tieto informácie, a je vylúčený z oslobodenia od zodpovednosti stanoveného v článku 14 ods. 1 smernice 2000/31.

161.

Zostáva určiť, či sa subjekt zapojený do spracúvania osobných údajov ako sprostredkovateľ, ktorému môže vzniknúť zodpovednosť za spracúvanie týchto údajov pre porušenie GDPR, môže dovolávať oslobodenia od zodpovednosti stanovenej v článku 14 ods. 1 smernice 2000/31.

2.

Súbežné uplatňovanie nariadenia GDPR a smernice 2000/31

162.

Problém nastolený v návrhu na začatie prejudiciálneho konania vychádza zo skutočnosti, že informácia uložená na žiadosť príjemcu služby obsahovala osobné údaje, ktoré boli spracované v rozpore s GDPR. Z toho vyplýva otázka, nastolená medzi účastníkmi konania vo veci samej a ktorá je už dlho predmetom akademickej diskusie ( 76 ): môže sa subjekt zapojený do spracúvania osobných údajov, ktorý môže byť zodpovedný za porušenie smernice GDPR, dovolávať oslobodenia od zodpovednosti stanoveného v článku 14 ods. 1 smernice 2000/31?

a)

O relevantných ustanoveniach smernice 2000/31

166.

Článok 1 ods. 5 písm. b) smernice 2000/31, s názvom „Cieľ a rozsah“, stanovuje, že táto smernica sa nevzťahuje na otázky týkajúce sa služieb informačnej spoločnosti, na ktoré sa vzťahujú uplatniteľné právne predpisy Únie v oblasti osobných údajov. Konkrétnejšie, toto ustanovenie odkazuje na smernice 95/46 a 97/66, ktoré boli nahradené nariadením GDPR ( 81 ) a smernicou 2002/58/ES ( 82 ).

167.

Okrem toho odôvodnenie 14 smernice 2000/31, ktoré sa týka problematiky uvedenej v jej článku 1 ods. 5, stanovuje, že ochrana fyzických osôb pri spracovaní osobných údajov je upravená výlučne smernicami 95/46 a 97/66, „ktoré sú v plnom rozsahu uplatniteľné aj na služby informačnej spoločnosti; tieto smernice už ustanovili právny rámec [Únie] v oblasti osobných údajov a preto nie je potrebné zaoberať sa v [smernici 2000/31] touto otázkou s cieľom zabezpečiť hladké fungovanie vnútorného trhu, najmä voľného pohybu osobných údajov medzi členskými štátmi; vykonávanie a uplatňovanie tejto smernice by mali byť plne v súlade so zásadami súvisiacimi s ochranou osobných údajov“.

171.

V druhom rade sa Súdny dvor v rozsudku La Quadrature du Net a i. ( 85 ) zaoberal otázkou, či smernica 2000/31 bráni vnútroštátnej právnej úprave, ktorá ukladá poskytovateľom prístupu verejnosti ku komunikačným službám online a poskytovateľom hostingových služieb povinnosť všeobecne a nediferencovane uchovávať osobné údaje súvisiace s týmito službami. Vnútroštátny súd sa domnieval, že na túto otázku sa vzťahuje táto smernica a že jej článok 15 sám osebe nestanovuje zásadný zákaz uchovávania údajov týkajúcich sa tvorby obsahu, od ktorého by sa bolo možné odchýliť len výnimočne. ( 86 )

172.

Súdny dvor konštatoval, že smernica 2000/31 nie je uplatniteľná v oblasti ochrany dôvernosti komunikácie a jednotlivcov v súvislosti so spracovaním osobných údajov v rámci služieb informačnej spoločnosti, pričom táto ochrana sa podľa okolností riadi smernicou 2002/58 alebo GDPR. ( 87 )

173.

Kategorická povaha tejto odpovede sa týka kontextu, v ktorom bola táto odpoveď poskytnutá.

b)

O relevantných ustanoveniach GDPR

177.

Výklad, ktorý som poskytol v bode 176 vyššie, je podporený článkom 2 ods. 4 GDPR, ktorý stanovuje, že týmto nariadením „nie je dotknuté“ uplatňovanie smernice 2000/31, najmä pravidiel týkajúcich sa zodpovednosti poskytovateľov služieb informačnej spoločnosti stanovených v článkoch 12 až 15 tejto smernice. ( 89 )

178.

Hoci v terminológii práva Únie konštatovanie, že právnym nástrojom alebo niektorým z jeho ustanovení „nie je dotknuté“ uplatňovanie iného nástroja, môže viesť k odlišným riešeniam, GDPR spresňuje, že jeho uplatňovaním nie sú dotknuté najmä osobitné ustanovenia smernice 2000/31. Normotvorca Únie chcel teda zdôrazniť skutočnosť, že toto nariadenie neobmedzuje pôsobnosť osobitných ustanovení tejto smernice. Nemožno sa teda domnievať, že GDPR má prednosť pred smernicou 2000/31 z dôvodu, že bolo prijaté po tejto smernici.

181.

Domnievam sa, že článok 82 ods. 3 GDPR nepredstavuje ustanovenie o vylúčení zodpovednosti, ktoré by plnilo úlohu porovnateľnú s úlohou článku 14 ods. 1 smernice 2000/31.

182.

Článok 14 ods. 1 smernice 2000/31 sa totiž uplatňuje len vtedy, ak poskytovateľ sprostredkovateľských služieb môže byť zodpovedný podľa pravidiel, ktoré sa na neho vzťahujú, za informácie uložené na žiadosť používateľov jeho sprostredkovateľskej služby. Otázka uplatniteľnosti tohto ustanovenia teda vzniká len vtedy, ak sú splnené podmienky zodpovednosti tohto poskytovateľa za uložené informácie stanovené uplatniteľnými pravidlami. V tejto súvislosti sú podmienky práva na náhradu škody stanoveného v článku 82 GDPR stanovené v odsekoch 1 až 3 tohto článku. Článok 82 ods. 3 tohto nariadenia stanovuje len jednu podmienku tejto zodpovednosti. ( 93 ) Vznik zodpovednosti prevádzkovateľa podľa článku 82 uvedeného nariadenia je totiž podmienený existenciou jeho zavinenia , ktoré sa predpokladá, pokiaľ prevádzkovateľ nepreukáže, že za udalosť, ktorá spôsobila škodu, nenesie žiadnu zodpovednosť v zmysle odseku 3. ( 94 )

183.

Sprostredkovateľ, ktorého zodpovednosť môže vzniknúť na základe článku 82 GDPR, teda nie je vyňatý z možnosti uplatniť oslobodenie od zodpovednosti stanovené v článku 14 ods. 1 smernice 2000/31.

V. Návrh

187.

Vzhľadom na všetky predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré položil Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko), takto:

1.

Článok 14 ods. 1 smernice 2000/31/ES Európskeho parlamentu a Rady z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode),

sa má vykladať v tom zmysle, že:

( 1 ) Jazyk prednesu: francúzština.

( 2 ) Smernica Európskeho parlamentu a Rady z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) ( Ú. v. ES L 178, 2000, s. 1 ; Mim. vyd. 13/025, s. 399).

( 3 ) Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).

( 4 ) Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355).

( 5 ) Smernica Európskeho parlamentu a Rady z 15. decembra 1997 o spracovaní osobných údajov a ochrane súkromia v sektore telekomunikácií [ neoficiálny preklad ] ( Ú. v. ES L 24, 1998, s. 1 ).

( 6 ) Monitorul Oficial al României , časť I, č. 483 z 5. júla 2002.

( 13 ) Pozri rozsudok z 23. marca 2010, Google France a Google ( C‑236/08 až C‑238/08 , EU:C:2010:159 , bod 107 ).

( 14 ) Pozri, pokiaľ ide o ustanovenia, ktorými sa preberá právo Únie, WILMAN, F.: The Responsibility of Online Intermediaries for Illegal User Content in the EU and the US . In: Edward Elgar, Cheltenham‑Northampton, 2020, s. 18, bod 2.18. Pozri tiež, pokiaľ ide o samotné právo Únie, odôvodnenie 17. nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2065 z 19. októbra 2022 o jednotnom trhu s digitálnymi službami a o zmene smernice 2000/31/ES (akt o digitálnych službách) ( Ú. v. EÚ L 277, 2022, s. 1 ) (ďalej len „Digital Services Act“).

( 15 ) Podľa prvostupňového súdu totiž protiprávnosť konaní pripisovaných spoločnosti Russmedia vyplývala z porušenia GDPR. Rovnako diskusia medzi účastníkmi konania pred súdom druhého stupňa a vnútroštátnym súdom sa týka otázky, či sa možno odvolávať na článok 14 ods. 1 smernice 2000/31 na účely oslobodenia poskytovateľa služieb od jeho zodpovednosti za porušenie tohto nariadenia. Pozri bod 28 vyššie.

( 16 ) Pozri bod 5 vyššie.

( 17 ) Pozri bod 29 vyššie.

( 18 ) Russmedia tak tvrdila, že „jeho úloha pri uverejňovaní inzerátov používateľov je čisto technická (sprístupnenie platformy)“.

( 25 ) Pozri rozsudok L’Oréal a i. (bod 116).

( 26 ) Rozsudok z 11. septembra 2014, Papasavvas a i. ( C‑291/13 , EU:C:2014:2209 , bod 45 ).

( 27 ) Napríklad ako Komisia uviedla na pojednávaní, podobné ustanovenie sa objavilo vo všeobecných podmienkach používania platformy na zdieľanie videí, o ktoré išlo v rozsudku YouTube a Cyando (bod 30). Okrem toho Komisia vo svojich písomných pripomienkach uviedla, že všeobecné podmienky používania internetového obchodu spoločnosti Russmedia sa nezdajú byť podstatne odlišné od podmienok prevádzkovateľa spornej platformy vo veci, v ktorej bol vydaný rozsudok L’Oréal a i.

( 28 ) Pozri v tomto zmysle rozsudok L’Oréal a i. (bod 122) a rozsudok YouTube a Cyando (bod 115).

( 29 ) Pozri v tomto zmysle rozsudok YouTube a Cyando (bod 113).

( 30 ) Pozri v tomto zmysle rozsudok YouTube a Cyando (body 111 a 112).

( 37 ) Pozri články 5 až 7 a 10 smernice 2000/31.

( 38 ) Pozri napríklad článok 5 nariadenia Európskeho parlamentu a Rady (EÚ) 2021/784 z 29. apríla 2021 o riešení šírenia teroristického obsahu online ( Ú. v. EÚ L 172, 2021, s. 79 ), ako aj článok 28b smernice Európskeho parlamentu a Rady 2010/13/EÚ z 10. marca 2010 o koordinácii niektorých ustanovení upravených zákonom, iným právnym predpisom alebo správnym opatrením v členských štátoch týkajúcich sa poskytovania audiovizuálnych mediálnych služieb (smernica o audiovizuálnych mediálnych službách) ( Ú. v. EÚ L 95, 2010, s. 1 ), zmenená smernicou Európskeho parlamentu a Rady (EÚ) 2018/1808 zo 14. novembra 2018 ( Ú. v. EÚ L 303, 2018, s. 69 ).

( 39 ) Pozri článok 35 ods. 1 písm. c) Digital Services Act.

( 40 ) Pozri bod 83 vyššie.

( 41 ) Pozri v tomto zmysle rozsudok YouTube a Cyando (bod 113).

( 42 ) Pozri v tomto zmysle rozsudok z 3. októbra 2019, Glawischnig‑Piesczek ( C‑18/18 , EU:C:2019:821 , bod 44 ).

( 49 ) Pozri v tomto zmysle VAN DER SLOOT, B.: Welcome to the Jungle: The Liability of Internet Intermediaries for Privacy Violations in Europe. In: Jipitec , zv. 6, č. 3, 2015, s. 217.

( 50 ) Pozri k tejto problematike HELBERGER, N., a VAN HOBOKEN, J.: Little Brother Is Tagging You – Legal and Policy Implications of Amateur Data Controllers. In: Computer Law International (CRi) , vol. 4, 2010, s. 101 a nasl., ako aj FINCK, M.: Cobwebs of Control: The Two Imaginations of the Data Controller in EU Law. In: International Data Privacy Law , zv. 11, č. 4, 2021, s. 338 až 341.

( 51 ) Pozri v tomto zmysle rozsudok z 29. júla 2019, Fashion ID ( C‑40/17 , EU:C:2019:629 , bod 74 ).

( 52 ) Nadobudnutím účinnosti GDPR bola táto pracovná skupina nahradená Európskym výborom pre ochranu údajov (pozri článok 68 a článok 94 ods. 2 tohto nariadenia).

( 53 ) Dostupné na tejto internetovej adrese: https://ec.europa.eu/justice/article‑29/documentation/opinion‑recommendation/files/2010/wp169_sk.pdf, s. 27.

( 54 ) Dostupné na tejto internetovej adrese: https://www.edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_sk.pdf, bod 40.

( 61 ) Pozri bod 99 vyššie.

( 62 ) V súvislosti s touto otázkou pozri bod 115 vyššie.

( 63 ) Pozri bod 137 vyššie.

( 64 ) Pozri bod 120 vyššie.

( 65 ) Pozri v tomto zmysle KELLER D.: The Right Tools: Europe’s Intermediary Liability Laws and the EU 2016 General Data Protection Regulation. In: Berkeley Technology Law Journal , 2018, zv. 33, č. 1, s. 373.

( 66 ) Pozri rozsudok z 13. mája 2014, Google Spain a Google ( C‑131/12 , EU:C:2014:317 ).

( 73 ) Pozri článok 89 Digital Services Act.

( 74 ) Kurzívou zvýraznil generálny advokát.

( 75 ) Pozri v tomto zmysle rozsudok YouTube a Cyando (bod 115).

( 76 ) Podľa niektorých predstaviteľov právnej náuky sa oslobodenie od zodpovednosti stanovené v článku 14 ods. 1 smernice 2000/31 uplatňuje kumulatívne s GDPR. Pozri v tomto zmysle KELLER D.: The Right Tools: Europe’s Intermediary Liability Laws and the EU 2016 General Data Protection Regulation. In: Berkeley Technology Law Journal , 2018, zv. 33, č. 1, s. 371, a SARTOR, G.: Providers’ Liabilities in the New EU Data Protection Regulation: A Threat to Internet Freedoms? In: International Data Privacy Law , 2013, zv. 3, č. 1, s. 5 a 8. Iní autori zastávajú názor, že tieto dva systémy sa neprekrývajú. Pozri v tomto zmysle RIORDAN, J.: The Liability of Internet Intermediaries . In: Oxford: Oxford University Press, s. 383 a 384.

( 77 ) Pozri bod 157 vyššie.

( 78 ) Pozri bod 120 vyššie.

( 85 ) Rozsudok zo 6. októbra 2020 ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 193 ).

( 86 ) Pozri v tomto zmysle rozsudky zo 6. októbra 2020, La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 194 ).

( 87 ) Pozri rozsudok zo 6. októbra 2020La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 212 ).

( 88 ) Pozri rozsudok zo 6. októbra 2020La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 200 ).

( 89 ) Pozri tiež odôvodnenie 21 GDPR.

( 90 ) Pozri bod 176 vyššie.