C-492/23

62023CJ0492

ROZSUDOK

SÚDNEHO DVORA (veľká komora)

z 2. decembra 2025 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Zodpovednosť prevádzkovateľa online trhoviska za uverejňovanie osobných údajov obsiahnutých v inzerátoch umiestnených na jeho online trhovisku používateľmi, ktorí sú inzerentmi – Článok 5 ods. 2 – Zásada zodpovednosti – Článok 26 – Spoločná zodpovednosť s týmito používateľmi inzerentmi – Článok 9 ods. 1 a článok 9 ods. 2 písm. a) – Inzeráty obsahujúce citlivé údaje – Zákonnosť spracúvania – Súhlas – Články 24, 25 a 32 – Povinnosti prevádzkovateľa – Predbežná identifikácia inzerátov obsahujúcich takéto údaje – Predbežné overenie totožnosti používateľa inzerenta – Odmietnutie uverejnenia nezákonných inzerátov – Bezpečnostné opatrenia, ktoré bránia kopírovaniu inzerátov a ich uverejňovaniu na iných internetových stránkach – Elektronický obchod – Smernica 2000/31/ES – Články 12 až 15 – Možnosť takéhoto prevádzkovateľa dovolávať sa v súvislosti s porušením týchto povinností oslobodenia od zodpovednosti sprostredkovateľa služieb informačnej spoločnosti“

Vo veci C‑492/23,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko) z 15. júna 2023 a doručený Súdnemu dvoru 3. augusta 2023, ktorý súvisí s konaním:

generálny advokát: M. Szpunar,

tajomník: R. Şereş, referentka,

so zreteľom na písomnú časť konania a po pojednávaní z 2. júla 2024,

so zreteľom na pripomienky, ktoré predložili:

–

X, v zastúpení: I. Kis, avocată,

Rozsudok

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článkov 12 až 15 smernice 2000/31/ES Európskeho parlamentu a Rady z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) ( Ú. v. ES L 178, 2000, s. 1 ; Mim. vyd. 13/025, s. 399), ako aj článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. b) a f), článku 6 ods. 1 písm. a) a článkov 7, 24 a 25 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi fyzickou osobou, pani X, na jednej strane a spoločnosťami Russmedia Digital SRL a Inform Media Press SRL (ďalej spoločne len „Russmedia“) na druhej strane vo veci žaloby o náhradu nemajetkovej ujmy, ktorú žalobkyňa vo veci samej utrpela z dôvodu nezákonného spracúvania jej osobných údajov, ako aj z dôvodu porušenia jej práva na osobné zobrazenie, česť a na súkromný život.

Právny rámec

…

(42)

Výnimky zo zodpovednosti ustanovené v tejto smernici sa vzťahujú len na prípady, kde činnosť poskytovateľa služieb informačnej spoločnosti je obmedzená na technický proces prevádzky a poskytovania prístupu ku komunikačnej sieti, prostredníctvom ktorej sa prenášajú alebo dočasne uchovávajú informácie sprístupnené tretím stranám s jediným účelom, zabezpečiť, aby bol prenos efektívnejší, táto činnosť má výlučne technickú, automatickú a pasívnu povahu, ktorá znamená, že poskytovateľ služieb informačnej spoločnosti nemá ani nepozná, ani nemá kontrolu nad informáciami, ktoré sú prenášané alebo uchovávané.

…

(46)

Ak chce poskytovateľ služby informačnej služby, ktorá pozostáva z uchovávania informácií, využiť výhody vyplývajúce z obmedzenia zodpovednosti, musí po skutočnom dozvedení sa o nezákonných činnostiach alebo po ich uvedomení si rýchlo konať, aby príslušné informácie odstránil alebo znemožnil prístup k nim; odstránenie alebo znemožnenie prístupu sa musí urobiť pri súčasnom dodržaní zásady slobody prejavu alebo postupov ustanovených za týmto účelom na národnej úrovni; táto smernica nemá vplyv na možnosť členských štátov ustanoviť špecifické požiadavky, ktoré musia byť splnené ešte pred odstránením informácií alebo pred znemožnením prístupu k nim.

…

5. Dohovor [Táto smernica – neoficiálny preklad ] sa nevzťahuje na:

…

b) otázky týkajúce sa služieb informačnej spoločnosti, na ktoré sa vzťahujú smernice [95/46] a [97/66];

…“

5

alebo

b)

poskytovateľ, po zistení alebo uvedomení si týchto skutočností, koná promptne, aby odstránil alebo znemožnil prístup k informáciám.

2. Odsek 1 sa neuplatní, ak príjemca služby koná na základe právomoci od poskytovateľa alebo pod jeho vedením.

3. Tento článok nemá vplyv na možnosť súdu alebo správneho orgánu požiadať poskytovateľa služieb, v súlade s právnymi systémami členských štátov, aby ukončil alebo predchádzal porušovaniu predpisov, a nemá vplyv ani na možnosť členských štátov, aby začali konanie, ktoré by nariadilo odstránenie alebo znemožnenie prístupu k informáciám.“

7

„(4)

Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v [Charte základných práv Európskej únie, ďalej len ‚Charta‘], ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.

…

(10)

S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …

…

…

(74)

Mali by sa stanoviť povinnosti a zodpovednosť prevádzkovateľa v súvislosti s akýmkoľvek spracúvaním osobných údajov, ktoré vykonáva sám alebo ktoré sa vykonáva v jeho mene. Prevádzkovateľ by mal byť najmä povinný prijať primerané a účinné opatrenia a vedieť preukázať súlad spracovateľských činností s týmto nariadením vrátane účinnosti opatrení. V uvedených opatreniach by sa mala zohľadniť povaha, rozsah, kontext a účel spracúvania a riziko pre práva a slobody fyzických osôb.

(75)

Riziká pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä: ak spracúvanie môže viesť k… krádeži totožnosti alebo podvodu [zneužitiu totožnosti – neoficiálny preklad ],… poškodeniu dobrého mena,… ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo im bolo bránené v kontrole nad svojimi osobnými údajmi;…

…

Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

10

Článok 2 uvedeného nariadenia s názvom „Vecná pôsobnosť“ v odseku 4 stanovuje:

„Týmto nariadením preto nie je dotknuté uplatňovanie smernice [2000/31], najmä pravidlá týkajúce sa zodpovednosti poskytovateľov služieb informačnej spoločnosti uvedené v článkoch 12 až 15 uvedenej smernice.“

11

…

7)

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;

…

11)

‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;

a)

spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b)

získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi… (‚obmedzenie účelu‘);

…

d)

Článok 6 uvedeného nariadenia s názvom „Zákonnosť spracúvania“, v odseku 1 prvom pododseku stanovuje:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

a)

dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;

b)

spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;

f)

spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osob[o]u dieťa.“

15

Článok 7 toho istého nariadenia s názvom „Podmienky vyjadrenia súhlasu“ v odseku 1 stanovuje:

„Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.“

16

17

Článok 13 tohto nariadenia, nazvaný „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 písm. a) stanovuje:

„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

a)

totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa.“

18

„1. Dotknutá osoba má tiež právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:

…

d) osobné údaje sa spracúvali nezákonne;

…

2. Ak prevádzkovateľ zverejnil osobné údaje a podľa odseku 1 je povinný vymazať osobné údaje, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópiu alebo repliky.“

20

„1. So zreteľom na najnovšie poznatky. náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, prevádzkovateľ v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania prijme primerané technické a organizačné opatrenia, ako je napríklad pseudonymizácia, ktoré sú určené na účinné zavedenie zásad ochrany údajov, ako je minimalizácia údajov, a začlení do spracúvania nevyhnutné záruky s cieľom splniť požiadavky tohto nariadenia a chrániť práva dotknutých osôb.

2. Prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu [dotknutej – neoficiálny preklad ] fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.“

23

Článok 26 toho istého nariadenia, nazvaný „Spoloční prevádzkovatelia“, v odseku 1 stanovuje:

„Ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, sú spoločnými prevádzkovateľmi. Transparentne určia svoje príslušné zodpovednosti za plnenie povinností podľa tohto nariadenia, najmä pokiaľ ide o vykonávanie práv dotknutej osoby, a svoje povinnosti poskytovať informácie uvedené v článkoch 13 a 14, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti prevádzkovateľov určené právom Únie alebo právom členského štátu, ktorému prevádzkovatelia podliehajú. V dohode sa môže určiť kontaktné miesto pre dotknuté osoby.“

schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb;

c)

schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;

d)

proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.

2. Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.

3. Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.“

26

Článok 94 toho istého nariadenia uvádza:

„1. Smernica [95/46] sa zrušuje s účinnosťou od 25. mája 2018.

2. Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie. …“

Rumunské právo

Článok 14 zákona č. 365/2002 nazvaný „Trvalé uchovávanie informácií, hosting“ stanovuje:

„1. Ak služba informačnej spoločnosti spočíva v uchovávaní informácií poskytnutých príjemcom tejto služby, poskytovateľ tejto služby nezodpovedá za informácie uložené na žiadosť príjemcu, ak je splnená jedna z týchto podmienok:

a)

poskytovateľ služby si nie je vedomý toho, že činnosť alebo uchovávané informácie sú nezákonné, a pokiaľ ide o nároky na náhradu škody, nie sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že by predmetná činnosť alebo informácie mohli poškodiť práva tretej osoby;

b)

ak si je poskytovateľ služby vedomý skutočnosti, že predmetná činnosť alebo informácie sú nezákonné, alebo sú mu známe skutočnosti alebo okolnosti, z ktorých vyplýva, že predmetná činnosť alebo informácie by mohli poškodiť práva tretej osoby, poskytovateľ služby bezodkladne koná s cieľom ich odstrániť alebo znemožniť k nim prístup.

30

Russmedia Digital, spoločnosť založená podľa rumunského práva, je vlastníkom internetovej stránky www.publi24.ro, ktorá je online trhoviskom, na ktorom sa môžu uverejňovať inzertné oznamy týkajúce sa najmä predaja tovaru alebo poskytovania služieb v Rumunsku, a to bezplatne alebo za odplatu.

31

Žalobkyňa vo veci samej tvrdí, že 1. augusta 2018 neidentifikovaná tretia osoba uverejnila na tejto internetovej stránke nepravdivý a škodlivý inzerát, v ktorom ju prezentovala ako osobu ponúkajúcu sexuálne služby. Inzerát obsahoval najmä fotografie žalobkyne vo veci samej, ktoré boli použité bez jej súhlasu, ako aj jej telefónne číslo. Tento inzerát bol následne identicky prevzatý na iných internetových stránkach s reklamným obsahom, kde bol uverejnený online, s uvedením pôvodného zdroja. Russmedia Digital, ktorú kontaktovala žalobkyňa vo veci samej, odstránila uvedený inzerát zo svojej internetovej stránky menej ako hodinu po doručení žiadosti. Ten istý inzerát však zostal dostupný na iných internetových stránkach, ktoré ho prevzali.

32

Keďže žalobkyňa vo veci samej sa domnievala, že predmetný inzerát, o ktorý ide vo veci samej, porušil jej práva na osobné zobrazenie, česť a dobrú povesť, ako aj na súkromný život, rovnako ako pravidlá týkajúce sa spracúvania osobných údajov, podala žalobu proti spoločnosti Russmedia na Judecătoria Cluj‑Napoca (Súd prvej inštancie Kluž‑Napoca, Rumunsko). Tento súd uložil spoločnosti Russmedia povinnosť zaplatiť jej náhradu škody vo výške 7000 eur z dôvodu nemajetkovej ujmy spôsobenej zásahom do práva na osobné zobrazenie, cti a dobrej povesti, ako aj porušením práva na rešpektovanie jej súkromného života a nezákonným spracúvaním jej osobných údajov.

Žalobkyňa podala proti tomuto rozsudku odvolanie na Curtea de Apel Cluj (Odvolací súd Kluž, Rumunsko), pričom sa domnievala, že Tribunalul Specializat Cluj (Špecializovaný vyšší súd Kluž, Rumunsko) vychádzal z nesprávneho výkladu zákona č. 365/2002. Žalobkyňa vo veci samej najmä tvrdí, že vzhľadom na to, že tento zákon nie je osobitným zákonom vo vzťahu k GDPR, mal tento súd preskúmať uplatniteľnosť tohto nariadenia v prejednávanej veci. Okrem toho Russmedia sa neobmedzuje na to, že svojim zákazníkom poskytuje osobitné technické zariadenie na prístup k hostingovému serveru. Zohráva tiež riadiacu úlohu tým, že zasahuje na úrovni obsahu s cieľom riadnej správy informácií. Táto spoločnosť ako prevádzkovateľ internetovej stránky dotknutej vo veci samej uchováva a spracúva obsah informácie. Uchovávanie údajov, ako aj ich sprístupnenie verejnosti v určitej forme si vyžaduje analýzu údajov a informácií obsiahnutých v inzerátoch. Tieto skutočnosti preukazujú priamu účasť spoločnosti Russmedia na správe a šírení obsahu inzerátov. V dôsledku toho ustanovenia článku 14 zákona č. 365/2002 nie sú uplatniteľné.

35

Okrem toho žalobkyňa vo veci samej tvrdí, že oslobodenie takéhoto poskytovateľa od zodpovednosti sa neuplatňuje, ak je zodpovednosť stanovená na základe iných regulačných aktov, akým je GDPR. Russmedia uverejnila osobné údaje žalobkyne vo veci samej bez jej súhlasu a prostredníctvom svojej internetovej stránky umožnila komukoľvek uverejniť akýkoľvek druh inzerátov, najmä inzerátov, ktoré nezaručujú bezpečnosť osobných údajov, čím znemožnila trvalé vymazanie údajov uverejnených online.

Vnútroštátny súd s odkazom na relevantnú judikatúru Súdneho dvora konštatuje, že hoci v súlade s touto judikatúrou neexistuje povinnosť prevádzkovateľov online trhovísk vykonať predchádzajúce overenie informácií alebo inzerátov uverejnených používateľmi inzerentmi, nič to nemení na tom, že oslobodenie týchto prevádzkovateľov od zodpovednosti je podmienené. V súlade s rozsudkom z 12. júla 2011, L’Oréal a i. ( C‑324/09 , EU:C:2011:474 ), sa tak prevádzkovateľ online služieb nemôže dovolávať oslobodenia od zodpovednosti stanovenej v článku 14 ods. 1 smernice 2000/31, ak vedel o skutočnostiach alebo okolnostiach, na základe ktorých by obozretný hospodársky subjekt musel konštatovať protiprávnosť predmetných ponúk na predaj, a v prípade takejto vedomosti nekonal promptne v súlade s článkom 14 ods. 1 písm. b) tejto smernice. Rovnako z rozsudku z 11. septembra 2014, Papasavvas ( C‑291/13 , EU:C:2014:2209 ), vyplýva, že obmedzenia občianskoprávnej zodpovednosti upravené v článkoch 12 až 14 smernice 2000/31 nezahŕňajú prípad spoločnosti, ktorá disponuje internetovou stránkou, na ktorej sa uverejňuje elektronická verzia denníka, keďže táto spoločnosť, ktorá je navyše odmeňovaná z platenej reklamy, ktorá sa objavuje na tejto internetovej stránke, pozná uverejňované informácie a má nad nimi kontrolu.

39

Vnútroštátny súd však zdôrazňuje, že uvedená judikatúra odkazuje len na ponuky uverejnené na internetovej stránke, ktorých protiprávnosť vyplýva z analýzy skutočností a okolností výslovne oznámených prevádzkovateľovi po uverejnení dotknutého inzerátu. Súdny dvor tak ešte nemal príležitosť preskúmať situáciu, o akú ide vo veci samej, v ktorej bol obsah uverejneného inzerátu zjavne nezákonný a hlboko škodlivý pre dotknutú osobu.

43

Za týchto podmienok Curtea de Apel Cluj (Odvolací súd Kluž) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:

„1.

Vzťahujú sa články 12 až 14 smernice [2000/31] aj na poskytovateľa služieb [informačnej spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý užívateľom poskytuje stránku, na ktorej je možné zverejňovať bezplatné alebo platené inzeráty a ktorého úloha pri uverejňovaní inzerátov užívateľov je podľa jeho vlastného tvrdenia výlučne technická (sprístupnenie platformy), ktorý však prostredníctvom všeobecných podmienok používania stránky uvádza, že si nenárokuje vlastnícke právo k poskytovanému alebo uverejnenému, nahrávanému alebo prenášanému obsahu, pričom si ale zachováva právo tento obsah používať, vrátane jeho kopírovania, distribúcie, prenosu, zverejňovania, reprodukovania, úpravy, prekladu, postúpenia partnerom a odstraňovania v akomkoľvek čase, a to aj bez potreby príslušného dôvodu?

2.

Je takýto poskytovateľ služieb informačnej [spoločnosti] typu úložiska informácií – ‚hostingu‘, ktorý je prevádzkovateľom spracúvania osobných údajov, podľa výkladu článku 2 ods. 4, článku 4 bodov 7 a 11, článku 5 ods. 1 písm. f), článku 6 ods. 1 písm. a), článkov 7, 24 a 25 [GDPR] a článku 15 smernice 2000/31 povinný pred uverejnením inzerátu overiť, či je osoba uverejňujúca inzerát totožná s nositeľom osobných údajov, na ktorého sa uvedený inzerát vzťahuje?

Podľa ustálenej judikatúry v rámci spolupráce medzi vnútroštátnymi súdmi a Súdnym dvorom zakotvenej v článku 267 ZFEÚ prislúcha Súdnemu dvoru poskytnúť vnútroštátnemu súdu odpoveď potrebnú na rozhodnutie vo veci, ktorá mu bola predložená. Z tohto pohľadu Súdnemu dvoru prináleží v prípade potreby preformulovať otázky, ktoré sú mu položené. V tejto súvislosti mu prináleží zo všetkých skutočností, ktoré poskytol vnútroštátny súd, a najmä z odôvodnenia rozhodnutia vnútroštátneho súdu, zistiť ustanovenia práva Únie, ktoré si so zreteľom na predmet sporu vyžadujú výklad [pozri v tomto zmysle rozsudky z 29. novembra 1978, Redmond, 83/78 , EU:C:1978:214 , bod 26 ; z 28. novembra 2000, Roquette Frères, C‑88/99 , EU:C:2000:652 , bod 18 , a z 30. apríla 2024, M. N. (EncroChat), C‑670/22 , EU:C:2024:372 , bod 78 ].

45

Cieľom otázok vnútroštátneho súdu je spoločne určiť na jednej strane, či prevádzkovateľ online trhoviska, akým je Russmedia, ktorý umožňuje svojim používateľom anonymne umiestňovať inzeráty na svojom online trhovisku bezplatne alebo za odplatu, porušil povinnosti, ktoré mu vyplývajú z GDPR, ak inzerát uverejnený na jeho online trhovisku obsahuje najmä citlivé osobné údaje v rozpore s týmto nariadením, a na druhej strane, či sa články 12 až 15 smernice 2000/31 týkajúce sa zodpovednosti sprostredkovateľov uplatňujú na takéhoto prevádzkovateľa.

46

S cieľom poskytnúť užitočnú odpoveď na tieto otázky treba v prvom rade preskúmať druhú až štvrtú otázku, ktorých cieľom je určiť, aké sú povinnosti, ktoré má podľa GDPR prevádzkovateľ online trhoviska v situácii, o akú ide vo veci samej, a to tak, že sa tieto otázky preformulujú spôsobom, aby sa týkali len výkladu tohto nariadenia. V druhom rade sa preskúma, či sa takýto prevádzkovateľ môže odvolávať na články 12 až 15 smernice 2000/31, čo je v podstate predmetom prvej otázky.

49

Podľa ustálenej judikatúry použitie výrazu „akékoľvek informácie“ v definícii pojmu „osobné údaje“ uvedeného v článku 4 bode 1 GDPR odráža cieľ normotvorcu Únie priznať tomuto pojmu široký význam, ktorý potenciálne zahŕňa všetky druhy informácií, tak objektívnych, ako aj subjektívnych, vo forme názoru alebo hodnotení, pod podmienkou, že sa „týkajú“ dotknutej osoby. Informácia sa týka identifikovanej alebo identifikovateľnej fyzickej osoby, ak pre jej obsah, účel alebo účinok súvisí s identifikovateľnou osobou [rozsudok z 3. apríla 2025, Ministerstvo zdravotnictví (Údaje týkajúce sa zástupcu právnickej osoby), C‑710/23 , EU:C:2025:231 , bod 21 a citovaná judikatúra].

50

Okrem toho medzi týmito osobnými údajmi článok 9 ods. 1 GDPR stanovuje osobitný režim ochrany pre osobitné kategórie údajov, medzi ktoré patria údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

51

Súdny dvor spresnil, že účelom článku 9 ods. 1 tohto nariadenia je zaručiť zvýšenú ochranu proti spracúvaniu, ktoré z dôvodu osobitnej citlivosti údajov, ktoré sú jeho predmetom, môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov, zaručených článkami 7 a 8 Charty (rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21 , EU:C:2023:1022 , bod 41 a citovaná judikatúra).

55

V treťom rade treba uviesť, že druhá až štvrtá otázka odkazujú na skutočnosť, že prevádzkovateľ online trhoviska dotknutého vo veci samej je prevádzkovateľom spracúvania osobných údajov. Zdá sa však, že osobné údaje, ktorých uverejnenie je predmetom sporu vo veci samej, boli do predmetného inzerátu vložené anonymným používateľom inzerentom bez toho, aby tento prevádzkovateľ mal konkrétny vplyv na obsah tohto inzerátu, a bez toho, aby si bol vedomý jeho nepravdivej a škodlivej povahy. Za týchto podmienok treba objasniť pojmy „prevádzkovateľ“ a „spoloční prevádzkovatelia“ v zmysle článku 4 bodu 7 GDPR a článku 26 GDPR.

56

Článok 4 bod 7 GDPR definuje pojem „prevádzkovateľ“ široko ako fyzickú alebo právnickú osobu, orgán verejnej moci, agentúru alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov.

57

Cieľ tejto širokej definície spočíva v súlade s cieľom GDPR v zabezpečení účinnej ochrany základných práv a slobôd fyzických osôb, ako aj najmä vysokej úrovne ochrany práva každej osoby na ochranu osobných údajov, ktoré sa jej týkajú (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 29 a citovaná judikatúra).

61

Takáto spoločná zodpovednosť nevyhnutne nevyžaduje existenciu spoločných rozhodnutí, pokiaľ ide o určenie účelov a prostriedkov spracúvania dotknutých osobných údajov. Súdny dvor už totiž rozhodol, že účasť na určení týchto účelov a prostriedkov môže mať rôzne formy, pričom táto účasť môže vyplývať tak zo spoločného rozhodnutia prijatého dvoma alebo viacerými subjektmi, ako aj zo zbiehajúcich sa rozhodnutí, ktoré sa dopĺňajú tak, aby každé z nich malo konkrétny účinok na určenie uvedených účelov a prostriedkov (pozri v tomto zmysle rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 43 ).

62

V tejto súvislosti spoločná zodpovednosť viacerých subjektov za to isté spracúvanie podľa článku 4 bodu 7 GDPR nepredpokladá, aby mal každý z nich prístup k dotknutým osobným údajom (rozsudky z 29. júla 2019, Fashion ID, C‑40/17 , EU:C:2019:629 , bod 69 a citovaná judikatúra, ako aj z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 42 ).

63

Z toho istého hľadiska Súdny dvor spresnil, že existencia spoločnej zodpovednosti neznamená nevyhnutne rovnakú zodpovednosť rôznych subjektov za to isté spracúvanie osobných údajov. Naopak, tieto subjekty môžu byť zapojené do tohto spracúvania v rôznych fázach a stupňoch, takže mieru zodpovednosti každého z nich treba hodnotiť z hľadiska všetkých relevantných okolností prejednávanej veci (pozri v tomto zmysle rozsudky z 10. júla 2018, Jehovan todistajat, C‑25/17 , EU:C:2018:551 , bod 66 a citovanú judikatúru, ako aj z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 42 ).

67

V prejednávanej veci z rozhodnutia vnútroštátneho súdu vyplýva, že Russmedia uverejňuje inzeráty na svojom online trhovisku na vlastné obchodné účely. V tejto súvislosti všeobecné podmienky používania tohto online trhoviska poskytujú spoločnosti Russmedia veľkú slobodu využívať informácie uverejnené na uvedenom trhovisku. Konkrétne si Russmedia podľa informácií vnútroštátneho súdu vyhradzuje právo používať uverejnený obsah, distribuovať ho, prenášať ho, reprodukovať ho, meniť ho, prekladať, postúpiť ho partnerom a kedykoľvek ho vymazať bez toho, aby na to potrebovala „platný dôvod“. Russmedia teda neuverejňuje osobné údaje obsiahnuté v inzerátoch alebo nie len na účet používateľov inzerentov, ale spracúva a môže tieto údaje zhodnocovať na svoje vlastné reklamné a obchodné účely.

68

Treba sa teda domnievať, že Russmedia ovplyvnila na vlastné účely uverejnenie osobných údajov žalobkyne vo veci samej na internete a z tohto dôvodu sa podieľala na určení účelov tohto uverejnenia, a teda predmetného spracúvania.

69

Toto konštatovanie nie je spochybnené skutočnosťou, že Russmedia sa zjavne nezúčastňovala na určení nepravdivého a škodlivého účelu sledovaného používateľom inzerentom prostredníctvom uverejnenia inzerátu, o ktorý ide vo veci samej. Russmedia sa totiž podieľala na určení účelu spracúvania spočívajúceho v sprístupnení osobných údajov obsiahnutých v inzeráte, o ktorý ide vo veci samej, užívateľom internetu s cieľom zhodnotiť tieto publikácie. Okrem toho Russmedia tým, že umožnila anonymné umiestnenie inzerátov na jej online trhovisku, uľahčila uverejnenie takýchto údajov bez súhlasu dotknutej osoby.

73

V tejto súvislosti obsah všeobecných podmienok používania dotknutého online trhoviska môže poskytnúť indície ukazujúce, či prevádzkovateľ tohto online trhoviska rozhodujúcim spôsobom ovplyvňuje posudzované spracúvanie osobných údajov, a teda určuje prostriedky tohto spracúvania. Zdá sa, že to isté platí pre všeobecné podmienky používania online trhoviska spoločnosti Russmedia, v ktorých si táto spoločnosť vyhradzuje najmä právo distribuovať, prenášať, uverejňovať, vymazávať alebo reprodukovať informácie obsiahnuté v inzerátoch, vrátane osobných údajov, ktoré obsahujú.

74

V každom prípade prevádzkovateľ online trhoviska sa nemôže vyhnúť svojej zodpovednosti ako prevádzkovateľ spracúvania osobných údajov z dôvodu, že sám neurčil obsah predmetného inzerátu uverejneného na tomto trhovisku. Bolo by totiž v rozpore nielen s jasným znením, ale aj s cieľom článku 4 bodu 7 GDPR, ktorým je prostredníctvom širokej definície pojmu „prevádzkovateľ“ zabezpečiť účinnú a úplnú ochranu dotknutých osôb, vylúčiť takéhoto prevádzkovateľa z tejto definície len z tohto jediného dôvodu.

75

Treba preto konštatovať, že vnútroštátny súd správne založil svoju druhú až štvrtú otázku na predpoklade, že v situácii, o akú ide vo veci samej, je prevádzkovateľ online trhoviska zodpovedný za spracúvanie osobných údajov obsiahnutých v inzeráte uverejnenom na tomto online trhovisku v zmysle článku 4 bodu 7 GDPR.

Podľa článku 1 ods. 2 nariadenia GDPR v spojení s jeho odôvodneniami 4 a 10 je cieľom tohto nariadenia najmä zaručiť vysokú úroveň ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov, pričom toto právo je uznané aj v článku 8 Charty a úzko súvisí s právom na rešpektovanie súkromného života zakotveným v jej článku 7 (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20 , EU:C:2022:601 , bod 61 a citovanú judikatúru).

79

Na tento účel po prvé kapitola II GDPR stanovuje zásady, ktorými sa riadi spracúvanie osobných údajov, ktoré musí prevádzkovateľ dodržiavať. Konkrétne každé spracúvanie osobných údajov musí byť v súlade so zásadami týkajúcimi sa spracúvania údajov a podmienkami zákonnosti spracúvania vymenovanými v článkoch 5 a 6 tohto nariadenia (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20 , EU:C:2022:601 , bod 62 a citovanú judikatúru).

80

Podľa článku 5 ods. 1 písm. a) GDPR musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Článok 5 ods. 1 písm. d) tohto nariadenia dodáva, že spracúvané osobné údaje musia byť správne a podľa potreby aktualizované. Musia sa teda prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia. Článok 5 ods. 1 písm. f) uvedeného nariadenia stanovuje, že osobné údaje musia byť spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť týchto údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním.

84

Od tohto zákazu sa možno odchýliť len vtedy, ak je splnená niektorá z výnimiek stanovených v článku 9 ods. 2 písm. a) až j) tohto nariadenia. Medzi týmito výnimkami, ktoré sa majú vykladať reštriktívne, článok 9 ods. 2 písm. a) uvedeného nariadenia stanovuje, že zákaz spracúvania citlivých údajov sa neuplatňuje, ak dotknutá osoba vyjadrila výslovný súhlas so spracúvaním svojich citlivých osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že tento zákaz nemôže dotknutá osoba zrušiť.

85

Po druhé kapitola IV GDPR spresňuje rozsah povinností, ktoré má prevádzkovateľ spracúvania osobných údajov na základe zásady zodpovednosti uvedenej v článku 5 ods. 2 GDPR.

86

Podľa znenia tohto ustanovenia je prevádzkovateľ zodpovedný za súlad s odsekom 1 tohto článku a musí vedieť preukázať, že dodržiava každú zo zásad uvedených v tomto odseku 1, pričom v tejto súvislosti nesie dôkazné bremeno [rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka), C‑60/22 , EU:C:2023:373 , bod 53 a citovaná judikatúra].

90

Ak sú osobné údaje, ktoré sa spracúvajú, citlivými údajmi v zmysle článku 9 ods. 1 GDPR, prevádzkovateľ musí najmä na účely určenia vhodných opatrení v zmysle článkov 24 a 25 tohto nariadenia zohľadniť skutočnosť, že porušenie zásad stanovených v kapitole II uvedeného nariadenia, pokiaľ ide o spracúvanie takýchto údajov, môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty.

91

Práve vzhľadom na všetky tieto spresnenia treba preskúmať druhú a tretiu otázku, ako boli preformulované v bode 77 tohto rozsudku.

92

Pokiaľ ide v prvom rade o otázku, či prevádzkovateľ online trhoviska musí pred ich uverejnením identifikovať inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR, treba pripomenúť, ako vyplýva z bodov 64 a 75 tohto rozsudku, že tento prevádzkovateľ a používateľ inzerent, ktorý umiestnil takýto inzerát na toto online trhovisko, sa musia považovať za spoločných prevádzkovateľov v zmysle článku 26 tohto nariadenia, ak je na tomto trhovisku dotknutý inzerát uverejnený.

96

Riziká spojené s takýmto uverejnením sú o to závažnejšie, ak ide o citlivé údaje v zmysle článku 9 ods. 1 GDPR. Ako sa výslovne uvádza v odôvodnení 51 GDPR, osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , bod 75 ). Ako je uvedené v bode 90 tohto rozsudku, spracúvanie takýchto údajov môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty. Okrem toho stupeň pravdepodobnosti porušenia týchto práv uverejnením inzerátu obsahujúceho citlivé údaje je veľmi vysoký, ak používateľ inzerent nie je sám dotknutou osobou a online trhovisko umožňuje umiestňovanie takýchto inzerátov anonymne.

97

99

V tejto súvislosti platí, že hoci skutočnosť, že dotknutá osoba umiestni na online trhovisko inzerát obsahujúci jej citlivé údaje, môže predstavovať výslovný súhlas v zmysle článku 9 ods. 2 písm. a) GDPR, takýto súhlas chýba, ak je táto inzercia umiestnená treťou osobou, s výnimkou toho, že by táto osoba mohla preukázať, že dotknutá osoba vyjadrila svoj výslovný súhlas s uverejnením uvedeného inzerátu na predmetnom online trhovisku. Preto na to, aby sa prevádzkovateľ tohto online trhoviska mohol uistiť a mohol preukázať, že požiadavky stanovené v článku 9 ods. 2 písm. a) GDPR sú splnené, je povinný pred uverejnením takéhoto inzerátu overiť, či používateľ inzerent, ktorý sa chystá umiestniť tento inzerát, je osobou, ktorej citlivé údaje sú uvedené v tomto inzeráte, čo predpokladá zhromaždenie totožnosti tohto používateľa inzerenta.

100

Okrem toho z článku 13 ods. 1 písm. a) a článku 14 ods. 1 písm. a) GDPR vyplýva, že prevádzkovatelia spracúvania osobných údajov musia dotknutej osobe v každom prípade poskytnúť svoju totožnosť a kontaktné údaje.

101

Napokon treba poznamenať, že článok 26 GDPR ukladá spoločným prevádzkovateľom pri rovnakom spracúvaní osobných údajov povinnosť transparentne určiť svoje príslušné zodpovednosti s cieľom zabezpečiť dodržiavanie požiadaviek stanovených v tomto nariadení. Takáto povinnosť by sa však ukázala ako nemožná, ak by jeden z prevádzkovateľov tohto spracúvania mohol zostať anonymný voči druhému prevádzkovateľovi.

Za týchto podmienok a vzhľadom aj na úvahy uvedené v bodoch 95 a 96 tohto rozsudku musí prevádzkovateľ online trhoviska na to, aby bol schopný ubezpečiť sa a preukázať, že citlivé údaje obsiahnuté v inzerátoch sa spracúvajú v súlade s požiadavkami GDPR, podľa článkov 24 a 25 tohto nariadenia stanoviť primerané technické a organizačné opatrenia, ktoré mu umožnia nielen zhromaždiť, ale aj overiť totožnosť používateľov inzerentov pred uverejnením týchto inzerátov, a to najmä s cieľom určiť, či je tento inzerent osobou, ktorej citlivé údaje sa nachádzajú v uvedených inzerátoch. Ako uviedol generálny advokát v bode 134 svojich návrhov, takéto opatrenia musia najmä umožniť obmedziť riziko nezákonného spracúvania osobných údajov dotknutých osôb a bojovať proti nezodpovednému využívaniu takéhoto internetového obchodu tým, že obmedzia pocit beztrestnosti, a tým motivujú používateľov inzerentov, aby pri uverejňovaní inzerátov obsahujúcich osobné údaje dodržiavali požiadavky GDPR.

105

–

overiť, či používateľ inzerent, ktorý sa chystá umiestniť takýto inzerát, je osoba, ktorej citlivé údaje sú uvedené v tomto inzeráte, a ak to tak nie je,

–

odmietnuť uverejnenie tohto inzerátu, pokiaľ tento používateľ inzerent nemôže preukázať, že dotknutá osoba udelila svoj výslovný súhlas s uverejnením predmetných údajov na tomto online trhovisku v zmysle tohto článku 9 ods. 2 písm. a) alebo že je splnená niektorá z ďalších výnimiek stanovených v uvedenom článku 9 ods. 2 písm. b) až j).

O štvrtej otázke

107

Treba totiž rozlišovať medzi rôznymi operáciami spracúvania osobných údajov, ktoré patria do toho istého reťazca operácií, aby sa zohľadnila potreba individuálne posúdiť v prípade každej osoby, ktorú možno kvalifikovať ako prevádzkovateľa spracúvania osobných údajov, úroveň zodpovednosti, ktorá jej môže byť pripísaná. Dôvodom je skutočnosť, že na to, aby sa fyzická alebo právnická osoba mohla považovať za spoločného prevádzkovateľa, musí samostatne spĺňať definíciu „prevádzkovateľa“ uvedenú v článku 4 bode 7 GDPR (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 41 a citovaná judikatúra).

111

Z toho vyplýva, že hoci k neskoršiemu prenosu osobných údajov dochádza v rámci zmlúv o šírení medzi prevádzkovateľom online trhoviska, na ktorom boli pôvodne uverejnené posudzované osobné údaje, a prevádzkovateľmi iných internetových stránok, tento prvý prevádzkovateľ je v zásade jediným prevádzkovateľom zodpovedným za spracúvanie, ktoré predstavuje tento prenos. V každom prípade každý prevádzkovateľ je sám alebo spoločne povinný dodržiavať všetky povinnosti, ktoré vyplývajú z GDPR.

112

Po týchto spresneniach treba štvrtú otázku chápať v tom zmysle, že sa týka prípadu, keď Russmedia nepreniesla nepravdivý a škodlivý inzerát, o ktorý ide vo veci samej, na iné internetové stránky s reklamným obsahom, a teda nepovolila tieto následné uverejnenia.

113

Článok 32 ods. 2 tohto nariadenia stanovuje, že pri posudzovaní primeranej úrovne bezpečnosti sa musí prihliadať predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, alebo neoprávneného prístupu k takýmto údajom.

117

Súdny dvor rozhodol, že odkaz uvedený v článku 32 ods. 1 a 2 GDPR na „úroveň bezpečnosti primeranú tomuto riziku“ a „primeranú úroveň bezpečnosti“ svedčí o tom, že toto nariadenie zavádza systém riadenia rizík a vôbec sa nesnaží odstrániť riziká porušenia osobných údajov (rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21 , EU:C:2023:986 , bod 29 ).

118

Zo znenia článku 32 GDPR v spojení s článkom 24 tohto nariadenia tak vyplýva, že tento článok 32 sa obmedzuje na uloženie povinnosti prevádzkovateľovi prijať technické a organizačné opatrenia určené na to, aby sa v čo najväčšej možnej miere predišlo akémukoľvek porušeniu osobných údajov. Primeranosť takýchto opatrení sa musí konkrétne posúdiť tak, že sa preskúma, či tieto opatrenia prijal tento prevádzkovateľ s prihliadnutím na jednotlivé kritériá stanovené v týchto článkoch a na potrebu ochrany údajov, ktoré sú osobitne vlastné dotknutému spracúvaniu, ako aj na riziká, ktoré toto spracúvanie prináša (pozri v tomto zmysle rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21 , EU:C:2023:986 , bod 30 ).

119

Z tohto dôvodu musí prevádzkovateľ zvážiť najmä všetky technické opatrenia, ktoré sú dostupné pri súčasnom stave technických poznatkov, ktoré by mohli zablokovať kopírovanie a reprodukciu obsahu online.

123

Treba však ešte spresniť, že články 24 a 32 GDPR nemožno chápať v tom zmysle, že neoprávnené šírenie osobných údajov, ktoré boli pôvodne uverejnené online, stačí na vyvodenie záveru, že opatrenia prijaté dotknutým prevádzkovateľom neboli primerané v zmysle týchto ustanovení, bez toho, aby sa tomuto prevádzkovateľovi umožnilo predložiť dôkaz o opaku (rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21 , EU:C:2023:986 , bod 31 ).

124

V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že napriek vymazaniu nepravdivého a škodlivého inzerátu, o ktorý ide vo veci samej, z online trhoviska spoločnosti Russmedia je tento inzerát stále dostupný online na iných internetových stránkach podľa všetkého bez toho, aby žalobkyňa vo veci samej mohla dosiahnuť jeho vymazanie.

125

128

Vzniká teda otázka vzťahu týchto dvoch nástrojov práva Únie. Konkrétne treba určiť, či články 12 až 15 smernice 2000/31 môžu zasahovať do režimu zodpovednosti stanoveného v GDPR.

129

V tejto súvislosti treba na jednej strane uviesť, že článok 1 ods. 5 písm. b) smernice 2000/31 spresňuje, že táto smernica sa nevzťahuje na otázky týkajúce sa služieb informačnej spoločnosti, na ktoré sa vzťahujú smernice 95/46 a 97/66.

130

Súdny dvor vyložil toto ustanovenie v tom zmysle, že otázky týkajúce sa ochrany dôvernosti komunikácie a osobných údajov tak treba posudzovať z hľadiska GDPR a smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) ( Ú. v. ES L 201, 2002, s. 37 ; Mim. vyd. 13/029, s. 514), ktoré v príslušnom poradí nahradili smernicu 95/46 a smernicu 97/66, pričom je potrebné spresniť, že ochrana, ktorú má zabezpečiť smernica 2000/31, nemôže v žiadnom prípade porušovať požiadavky vyplývajúce z GDPR a zo smernice 2002/58 (rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 200 , ako aj citovaná judikatúra).

134

Tento článok 2 ods. 4 sa má chápať v tom zmysle, že skutočnosť, že prevádzkovateľ je nositeľom povinností stanovených v GDPR, automaticky nevylučuje, že tento prevádzkovateľ sa môže odvolávať na články 12 až 15 smernice 2000/31 v iných otázkach, než sú otázky týkajúce sa ochrany osobných údajov.

135

Z výkladu článku 1 ods. 5 písm. b) smernice 2000/31 v spojení s článkom 2 ods. 4 GDPR tak vyplýva, že ustanovenia tejto smernice, najmä jej články 12 až 15, nemôžu zasahovať do režimu tohto nariadenia.

136

Vzhľadom na všetky predchádzajúce dôvody treba na prvú otázku odpovedať tak, že článok 1 ods. 5 písm. b) smernice 2000/31 a článok 2 ods. 4 GDPR sa majú vykladať v tom zmysle, že prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 GDPR, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, sa nemôže v súvislosti s porušením povinností vyplývajúcich z článku 5 ods. 2, ako aj článkov 24 až 26 a 32 tohto nariadenia odvolávať na články 12 až 15 tejto smernice, týkajúce sa zodpovednosti poskytovateľov sprostredkovateľských služieb.

sa majú vykladať v tom zmysle, že:

prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 tohto nariadenia spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, je pred uverejnením inzerátov povinný prostredníctvom primeraných technických a organizačných opatrení,

–

identifikovať inzeráty, ktoré obsahujú citlivé údaje v zmysle článku 9 ods. 1 GDPR,

–

overiť, či používateľ inzerent, ktorý sa chystá umiestniť takýto inzerát, je osoba, ktorej citlivé údaje sú uvedené v tomto inzeráte, a ak to tak nie je,

3.

Článok 1 ods. 5 písm. b) smernice Európskeho parlamentu a Rady 2000/31/ES z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) a článok 2 ods. 4 nariadenia 2016/679,

sa majú vykladať v tom zmysle, že:

prevádzkovateľ online trhoviska ako prevádzkovateľ v zmysle článku 4 bodu 7 nariadenia 2016/679, spracúvajúci osobné údaje obsiahnuté v inzerátoch uverejnených na jeho online trhovisku, sa nemôže v súvislosti s porušením povinností vyplývajúcich z článku 5 ods. 2, ako aj článkov 24 až 26 a 32 tohto nariadenia odvolávať na články 12 až 15 tejto smernice, týkajúce sa zodpovednosti poskytovateľov sprostredkovateľských služieb.

Podpisy

( *1 ) Jazyk konania: rumunčina.