–

za X: I. Kis, avocată,

–

za rumunskou vládu: E. Gane, L. Ghiţă a R. I. Haţieganu, jako zmocněnkyně,

–

za Evropskou komisi: L. Armati, H. Kranenborg, P.-J. Loewenthal a L. Nicolae, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu článků 12 až 15 směrnice Evropského parlamentu a Rady 2000/31/ES ze dne 8. června 2000 o některých právních aspektech služeb informační společnosti, zejména elektronického obchodu, na vnitřním trhu („směrnice o elektronickém obchodu“) (Úř. věst. 2000, L 178, s. 1; Zvl. vyd. 13/295, s. 399), a čl. 2 odst. 4, čl. 4 bodů 7 a 11, čl. 5 odst. 1 písm. b) a f), čl. 6 odst. 1 písm. a) a článků 7, 24 a 25 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi fyzickou osobou X na straně jedné a společnostmi Russmedia Digital SRL a Inform Media Press SRL (dále jen společně „Russmedia“) na straně druhé ve věci žaloby na náhradu nehmotné újmy, která žalobkyni v původním řízení vznikla v důsledku protiprávního zpracování jejích osobních údajů, jakož i porušení jejího práva k podobizně, na zachování cti a soukromí.

3

Body 14, 42, 46 a 52 odůvodnění směrnice 2000/31 znějí takto:

[…]

[…]

[…]

4

Článek 1 směrnice 2000/31, nadepsaný „Cíl a oblast působnosti“, stanoví:

„1.   Cílem této směrnice je přispět k řádnému fungování vnitřního trhu tím, že zajistí volný pohyb služeb informační společnosti mezi členskými státy.

[…]

5.   Tato směrnice se nevztahuje na:

[…]

b) otázky týkající se služeb informační společnosti upravené ve směrnicích [95/46] a [97/66];

[…]“

5

Oddíl 4 kapitoly II směrnice 2000/31, nadepsaný „Odpovědnost poskytovatelů zprostředkovatelských služeb“, zahrnovala ve znění použitelném na spor v původním řízení články 12 až 15. Články 12 a 13 této směrnice v souladu se svými nadpisy upravovaly „[p]rostý přenos“ a „[u]kládání do vyrovnávací paměti (‚caching‘)“.

6

Článek 14 uvedené směrnice, nadepsaný „Shromažďování informací“, stanovil:

„1.   Členské státy zajistí, aby v případě služby informační společnosti spočívající v ukládání informací poskytovaných příjemcem služby nebyl poskytovatel služby odpovědný za informace ukládané na žádost příjemce, pokud:

2.   Odstavec 1 se nepoužije, pokud je příjemce závislý na poskytovateli nebo podléhá jeho dohledu.

3.   Tímto článkem není dotčena možnost soudního nebo správního orgánu požadovat od poskytovatele služby v souladu s právním řádem členských států, aby ukončil protiprávní jednání nebo mu předešel, ani možnost členských států zavést postupy, které umožní odstranění nebo znemožní přístup k informaci.“

7

Článek 15 téže směrnice, nadepsaný „Neexistence obecné povinnosti dohledu“, v odstavcích 1 a 2 stanovil:

„1.   Členské státy neukládají poskytovatelům služeb uvedených v článcích 12, 13 a 14 obecnou povinnost dohlížet na jimi přenášené nebo ukládané informace nebo obecnou povinnost aktivně vyhledávat skutečnosti a okolnosti poukazující na protiprávní činnost.

2.   Členské státy mohou poskytovatelům služeb informační společnosti uložit povinnost, aby neprodleně informovali příslušné orgány veřejné moci o pravděpodobných protiprávních činnostech vykonávaných poskytovateli služeb nebo o protiprávních informacích, které tito poskytovatelé, poskytují, nebo aby sdělili příslušným orgánům veřejné moci na jejich žádost informace, na jejichž základě lze zjistit totožnost příjemců jejich služeb, s nimiž uzavřeli dohodu o shromažďování informací.“

8

Body 4, 10, 39, 51, 74, 75, 78 a 85 odůvodnění GDPR uvádějí:

[…]

[…]

[…]

[…]

[…]

[…]

9

Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

10

Článek 2 uvedeného nařízení, nadepsaný „Věcná působnost“, v odstavci 4 stanoví:

„Tímto nařízením není dotčeno uplatňování směrnice [2000/31], zejména pokud jde o pravidla týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb uvedená v článcích 12 až 15 uvedené směrnice.“

11

Článek 4 téhož nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

12

Kapitola II GDPR, nadepsaná „Zásady“, obsahuje články 5 až 9.

13

Článek 5 tohoto nařízení, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[…]

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

14

Článek 6 uvedeného nařízení, nadepsaný „Zákonnost zpracování“, v odstavci 1 prvním pododstavci stanoví:

„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

15

Článek 7 téhož nařízení, nadepsaný „Podmínky vyjádření souhlasu“, v odstavci 1 stanoví:

„Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.“

16

Článek 9 GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:

„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

[…]“

17

Článek 13 tohoto nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 písm. a) stanoví:

„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

18

Článek 14 uvedeného nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, v odstavci 1 písm. a) stanoví:

„Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

19

V kapitole III téhož nařízení, nadepsané „Práva subjektu údajů“, článek 17 tohoto nařízení, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, v odstavcích 1 a 2 stanoví:

„1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

[…]

d) osobní údaje byly zpracovány protiprávně;

[…]

2.   Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.“

20

Kapitola IV GDPR, nadepsaná „Správce a zpracovatel“, obsahuje v oddíle 1, nadepsaném „Obecné povinnosti“, mimo jiné články 24 až 26.

21

Článek 24 tohoto nařízení, nadepsaný „Odpovědnost správce“, v odstavci 1 stanoví:

„S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“

22

Článek 25 uvedeného nařízení, nadepsaný „Záměrná a standardní ochrana osobních údajů“, v odstavcích 1 a 2 stanoví:

„1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavede správce jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je provádět zásady ochrany údajů, jako je minimalizace údajů, účinným způsobem a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů.

2.   Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob.“

23

Článek 26 téhož nařízení, nadepsaný „Společní správci“, v odstavci 1 stanoví:

„Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci. Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění povinností podle tohoto nařízení, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článcích 13 a 14, pokud tuto odpovědnost správců nestanoví právo Unie nebo členského státu, které se na správce vztahuje. V ujednání může být určeno kontaktní místo pro subjekty údajů.“

24

Článek 32 GDPR, nadepsaný „Zabezpečení zpracování“, stanoví:

„1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, případně včetně:

2.   Při posuzování vhodné úrovně bezpečnosti se zohlední zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených nebo jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim.

3.   Jedním z prvků, jimiž lze doložit soulad s požadavky stanovenými v odstavci 1 tohoto článku, je dodržování schváleného kodexu chování uvedeného v článku 40 nebo uplatňování schváleného mechanismu pro vydávání osvědčení uvedeného v článku 42.

4.   Správce a zpracovatel přijmou opatření pro zajištění toho, aby jakákoliv fyzická osoba, která jedná z pověření správce nebo zpracovatele a má přístup k osobním údajům, zpracovávala tyto osobní údaje pouze na pokyn správce, pokud jí jejich zpracování již neukládá právo Unie nebo členského státu.“

25

Článek 82 tohoto nařízení, nadepsaný „Právo na náhradu újmy a odpovědnost“, v odstavcích 1 až 3 stanoví:

„1.   Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.

2.   Správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. Zpracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi.

3.   Správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.“

26

Článek 94 téhož nařízení stanoví:

„1.   Směrnice [95/46] se zrušuje s účinkem ode dne 25. května 2018.

2.   Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení. […]“

27

Článek 11 Legea nr. 365/2002 privind comerțul electronic (zákon č. 365/2002 o elektronickém obchodu) ze dne 7. června 2002 (Monitorul Oficial al României, část I, č. 483 ze dne 5. července 2002) ve znění Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (zákon č. 121/2006, kterým se mění a doplňuje zákon č. 365/2002 o elektronickém obchodu) ze dne 4. května 2006 (Monitorul Oficial al României, část I, č. 403 ze dne 10. května 2006) (dále jen „zákon č. 365/2002“), stanoví:

„1.   Na poskytovatele služeb se vztahují právní předpisy o občanskoprávní a trestněprávní odpovědnosti a odpovědnosti za přestupky, pokud tento zákon nestanoví jinak.

2.   Poskytovatelé služeb jsou odpovědní za informace, které poskytli sami nebo svým jménem.

3.   Poskytovatelé služeb neodpovídají za informace přenášené, ukládané nebo zpřístupňované za podmínek stanovených v článcích 12 až 15.“

28

Článek 14 zákona č. 365/2002, nadepsaný „Trvalé ukládání informací, úložiště-hosting“, stanoví:

„1.   Pokud služba informační společnosti spočívá v ukládání informací poskytnutých příjemcem dané služby, poskytovatel této služby neodpovídá za informace uložené na žádost příjemce, pokud je splněna jedna z těchto podmínek:

2.   Odstavec 1 se nepoužije, pokud je příjemce závislý na poskytovateli služeb nebo podléhá jeho dohledu.

3.   Ustanoveními tohoto článku není dotčena možnost soudního nebo správního orgánu požadovat po poskytovateli služeb, aby ukončil porušování ochrany údajů nebo aby takovému porušování zabránil, ani možnost zavést vládní postupy za účelem omezení nebo přerušení přístupu k informacím.“

29

Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (prováděcí pravidla k zákonu č. 365/2002 o elektronickém obchodu), schválené Hotărârea Guvernului č. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (rozhodnutí vlády č. 1.308, kterým se schvalují prováděcí pravidla k zákonu č. 365/2002 o elektronickém obchodu), ze dne 20. listopadu 2002 (Monitorul Oficial al României, část I, č. 877 ze dne 5. prosince 2002), stanoví v čl. 11 odst. 1:

„Poskytovatelé služeb informační společnosti, kteří nabízejí služby uvedené v článcích 12 až 15 [zákona č. 365/2002], nejsou povinni kontrolovat informace, které přenášejí nebo ukládají, ani nejsou povinni aktivně vyhledávat údaje týkající se činností nebo informací, které se v oblasti jimi poskytovaných služeb informační společnosti jeví jako protiprávní.“

30

Russmedia Digital, společnost založená podle rumunského práva, je vlastníkem internetových stránek www.publi24.ro, on-line tržiště, na němž mohou být bezplatně nebo za úplatu zveřejňovány reklamní inzeráty zejména o prodeji zboží nebo poskytování služeb v Rumunsku.

31

Žalobkyně v původním řízení tvrdí, že dne 1. srpna 2018 zveřejnila neidentifikovaná třetí osoba na těchto internetových stránkách nepravdivý a škodlivý inzerát, který ji prezentoval jako osobu nabízející sexuální služby. Inzerát obsahoval mimo jiné fotografie žalobkyně v původním řízení použité bez jejího souhlasu a její telefonní číslo. Tento inzerát byl následně doslovně převzat na jiné internetové stránky s reklamním obsahem, kde byl zpřístupněn on-line s uvedením zdroje původu. Když byla společnost Russmedia Digital kontaktována žalobkyní v původním řízení, odstranila o necelou hodinu později uvedený inzerát ze svých internetových stránek. Tentýž inzerát však zůstal dostupný na jiných internetových stránkách, které jej převzaly.

32

Vzhledem k tomu, že žalobkyně v původním řízení měla za to, že inzerát dotčený ve věci v původním řízení porušuje její práva k podobizně, na čest a dobrou pověst, jakož i na soukromí stejně jako pravidla týkající se zpracování osobních údajů, podala proti společnosti Russmedia žalobu k Judecătoria Cluj-Napoca (soud prvního stupně v Kluži-Napoce, Rumunsko). Uvedený soud uložil společnosti Russmedia povinnost zaplatit žalobkyni v původním řízení náhradu škody ve výši 7000 eur z titulu nemajetkové újmy způsobené zásahem do práva k podobizně, práva na zachování cti a dobré pověsti, jakož i porušením práva na soukromí a nesprávným zpracováním osobních údajů.

33

Společnost Russmedia podala proti tomuto rozsudku odvolání. Tribunalul Specializat Cluj (specializovaný soud v Kluži, Rumunsko) tomuto odvolání vyhověl, když rozhodl, že žaloba žalobkyně v původním řízení není opodstatněná, neboť inzerát dotčený ve věci v původním řízení nepocházel od společnosti Russmedia, která poskytovala pouze hostingovou službu pro tento inzerát bez aktivní účasti společnosti Russmedia na jeho obsahu. Proto se na tuto společnost uplatní zproštění odpovědnosti upravené v čl. 14 odst. 1 písm. b) zákona č. 365/2002. Pokud jde o zpracování osobních údajů, měl uvedený soud za to, že poskytovatel služeb informační společnosti není povinen kontrolovat informace, které předává, ani aktivně vyhledávat údaje týkající se podle všeho protiprávních činností nebo informací. Uvedený soud v tomto ohledu rozhodl, že společnosti Russmedia nelze vytýkat, že nepřijala opatření, která by zabránila on-line šíření nactiutrhačného inzerátu dotčeného ve věci v původním řízení, jelikož tento inzerát na žádost žalobkyně v původním řízení neprodleně odstranila.

34

Žalobkyně v původním řízení podala proti tomuto rozsudku kasační opravný prostředek ke Curtea de Apel Cluj (Odvolací soud v Kluži, Rumunsko), jelikož měla za to, že Tribunalul Specializat Cluj (Specializovaný soud v Kluži) vycházel z nesprávného výkladu zákona č. 365/2002. Žalobkyně v původním řízení zejména tvrdí, že vzhledem k tomu, že tento zákon není zvláštním zákonem ve vztahu k GDPR, měl uvedený soud posoudit použitelnost tohoto nařízení na daný případ. Kromě toho žalobkyně v původním řízení uvádí, že společnost Russmedia neposkytovala pouze specifické technické prostředky pro přístup zákazníků k hostingovému serveru. Podle žalobkyně v původním řízení tato společnost plnila rovněž správcovskou úlohu, neboť zasahovala do obsahu inzerátů, aby zajistila řádnou správu informací. Uvedená společnost jakožto provozovatel dotčených internetových stránek podle žalobkyně v původním řízení ukládá a zpracovává obsah informací. Ukládání údajů, jakož i jejich zpřístupnění veřejnosti v určité podobě zahrnuje podle jejího názoru analýzu údajů a informací obsažených v inzerátech. Tyto skutečnosti prokazují podle žalobkyně v původním řízení přímé zapojení společnosti Russmedia do správy a šíření obsahu inzerátů. Proto se ustanovení článku 14 zákona č. 365/2002 podle jejího názoru nepoužijí.

35

Žalobkyně v původním řízení mimoto tvrdí, že takový poskytovatel není zproštěn odpovědnosti, pokud je odpovědnost založena jinými právními nástroji, jako je GDPR. Společnost Russmedia podle žalobkyně v původním řízení zveřejnila osobní údaje žalobkyně v původním řízení bez jejího souhlasu a prostřednictvím svých internetových stránek umožňuje komukoli zaslat jakýkoli druh inzerátů, zejména inzeráty, které nezaručují bezpečnost osobních údajů a znemožňují definitivní vymazání údajů zveřejněných on-line.

36

Společnost Russmedia tvrdí, že řešení přijaté Tribunalul Specializat Cluj (Specializovaný soud v Kluži) je správné. Žalobkyně v původním řízení podle ní neprokázala, v čem GDPR představuje zvláštní pravidlo, které brání použití příslušných ustanovení zákona č. 365/2002.

37

Curtea de Apel Cluj (Odvolací soud v Kluži), který je předkládajícím soudem a v projednávané věci rozhoduje jako soud rozhodující o kasačním opravném prostředku, jehož rozhodnutí je konečné, považuje za nezbytné určit zejména meze zproštění odpovědnosti takového poskytovatele služeb informační společnosti, jako je společnost Russmedia, na základě směrnice 2000/31.

38

Předkládající soud s odkazem na relevantní judikaturu Soudního dvora konstatuje, že i když v souladu s touto judikaturou neexistuje povinnost provozovatelů on-line tržišť ověřit dopředu informace nebo inzeráty vložené inzerujícími uživateli, nic to nemění na tom, že zproštění odpovědnosti těchto provozovatelů je vázáno na splnění podmínek. V souladu s rozsudkem ze dne 12. července 2011, L’Oréal a další (C‑324/09, EU:C:2011:474), se provozovatel on-line služeb podle předkládajícího soudu nemůže dovolávat zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31, jestliže byl seznámen se skutečnostmi nebo okolnostmi, na základě nichž by hospodářský subjekt postupující s řádnou péčí musel konstatovat protiprávnost dotčených nabídek k prodeji, a v případě takového seznámení se, nejednal neprodleně v souladu s čl. 14 odst. 1 písm. b) této směrnice. Stejně tak z rozsudku ze dne 11. září 2014, Papasavvas (C‑291/13, EU:C:2014:2209), podle předkládajícího soudu vyplývá, že omezení občanskoprávní odpovědnosti upravená v článcích 12 až 14 směrnice 2000/31 se netýkají případu společnosti disponující internetovou stránkou, na které je zveřejňována elektronická verze deníku, je-li tato společnost, která je financována příjmy plynoucími z reklamy šířené na této stránce, obeznámena se zveřejněnými informacemi a vykonává nad nimi kontrolu.

39

Předkládající soud nicméně zdůrazňuje, že citovaná judikatura odkazuje pouze na nabídky vložené na internetové stránky, jejichž protiprávnost vyplynula z analýzy skutečností a okolností, které byly správci výslovně sděleny po zveřejnění dotčeného inzerátu. Soudní dvůr podle předkládajícího soudu dosud neměl příležitost zkoumat situaci, jako je situace v původním řízení, v níž byl obsah zveřejněného inzerátu zjevně protiprávní a pro dotyčnou osobu značně škodlivý.

40

Předkládající soud si v této souvislosti klade otázku, zda platforma musí obdržet oznámení, aby byla povinna vymazat zjevně protiprávní a závažně škodlivý obsah. V projednávané věci byl inzerát dotčený ve věci v původním řízení zveřejněn bez ověření totožnosti inzerujícího uživatele a zjevně bez získání souhlasu žalobkyně v původním řízení.

41

Ostatně i když byl inzerát dotčený ve věci v původním řízení z původní internetové stránky vymazán po oznámení žalobkyně v původním řízení, obsah tohoto inzerátu, včetně kontaktních údajů a jejích fotografií, byl v úplnosti převzat na několika jiných internetových stránkách s uvedením zdroje původu. Újma vzniklá žalobkyni v původním řízení se tedy podle předkládajícího soudu stala trvalou a v současné době k ní stále dochází. Předkládající soud v tomto ohledu zdůrazňuje, že údajně nabízené sexuální služby mohou být spojeny se závažnými trestnými činy, jako je kuplířství a obchodování s lidmi, které se trestají podle Codul penal (trestní zákoník).

42

Předkládající soud upřesňuje, že v souladu se všeobecnými podmínkami pro používání on-line tržiště provozovaného společností Russmedia si však tato společnost, aniž si nárokuje obsah zveřejněných inzerátů, vyhrazuje právo používat tento obsah, včetně jeho rozmnoženin, a právo jej šířit, přenášet, zveřejňovat, rozmnožovat, upravovat, překládat, předávat partnerům a kdykoliv jej vymazat, i když k tomu nemá právoplatný důvod.

43

Za těchto okolností se Curtea de Apel Cluj (Odvolací soud v Kluži) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

44

Podle ustálené judikatury platí, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU přísluší Soudnímu dvoru poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z pohledu této logiky je na Soudním dvoru, aby případně přeformuloval otázky, které jsou mu položeny. Soudnímu dvoru v tomto ohledu přísluší, aby ze všech poznatků předložených vnitrostátním soudem, zejména z odůvodnění předkládacího rozhodnutí, vybral ty prvky unijního práva, které je s přihlédnutím k předmětu sporu třeba vyložit [v tomto smyslu viz rozsudky ze dne 29. listopadu 1978, Redmond, 83/78, EU:C:1978:214, bod 26; ze dne 28. listopadu 2000, Roquette Frères, C‑88/99, EU:C:2000:652, bod 18, a ze dne 30. dubna 2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, bod 78].

45

Společným cílem otázek předkládajícího soudu je určit, zda takový provozovatel on-line tržiště, jako je společnost Russmedia, který umožňuje svým uživatelům bezplatně nebo za úplatu anonymně umísťovat inzeráty na své on-line tržiště, porušil povinnosti, které pro něj vyplývají z GDPR, pokud inzerát zveřejněný na jeho on-line tržišti obsahuje osobní údaje, zejména citlivé, v rozporu s tímto nařízením, a dále zda se na takového provozovatele vztahují články 12 až 15 směrnice 2000/31 týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb.

46

Za účelem poskytnutí užitečné odpovědi na tyto otázky je třeba nejprve zkoumat druhou až čtvrtou otázku, jejichž cílem je určit, jaké povinnosti má na základě GDPR provozovatel on-line tržiště v takové situaci, jako je situace dotčená ve věci v původním řízení, a tyto otázky přeformulovat tak, že se týkají pouze výkladu tohoto nařízení. Poté bude zkoumána otázka, zda se takový provozovatel může dovolávat článků 12 až 15 směrnice 2000/31, která je v podstatě předmětem první otázky.

47

Předně je třeba na prvním místě uvést, že z žádosti o rozhodnutí o předběžné otázce vyplývá, že dotčený inzerát prezentoval žalobkyni v původním řízení jako osobu nabízející sexuální služby a že tento inzerát obsahoval mimo jiné její fotografie použité bez jejího souhlasu a její telefonní číslo.

48

Je nesporné, že takové informace jsou osobními údaji ve smyslu čl. 4 bodu 1 GDPR, který je definuje jako „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“, přičemž uvádí, že „identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“.

49

Podle ustálené judikatury totiž použití výrazu „veškeré informace“ v definici pojmu „osobní údaje“ uvedené v čl. 4 bodu 1 GDPR odráží cíl unijního normotvůrce přiznat tomuto pojmu široký význam, který potenciálně zahrnuje všechny druhy informací, a to jak objektivní, tak subjektivní, ve formě názoru nebo hodnocení pod podmínkou, že jsou „o“ dotčené osobě. Informace je o identifikované nebo identifikovatelné fyzické osobě, pokud vzhledem ke svému obsahu, účelu nebo účinku souvisí s identifikovatelnou osobou [rozsudek ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby), C‑710/23, EU:C:2025:231, bod 21 a citovaná judikatura].

50

Kromě toho článek 9 odst. 1 GDPR stanoví mezi těmito osobními údaji zvláštní režim ochrany pro zvláštní kategorie údajů, mezi něž patří údaje o sexuálním životě nebo sexuální orientaci fyzické osoby.

51

Soudní dvůr upřesnil, že účelem čl. 9 odst. 1 tohoto nařízení je zajistit zvýšenou ochranu proti zpracováním, která z důvodu zvláštní citlivosti údajů, jež jsou jejich předmětem, mohou zvláště závažným způsobem zasáhnout do základních práv na respektování soukromého života a na ochranu osobních údajů zaručených v článcích 7 a 8 Listiny (rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 41 a citovaná judikatura).

52

Taková zvýšená ochrana přitom nutně vyžaduje širokou definici takových „citlivých údajů“. Soudní dvůr rozhodl, že se čl. 9 odst. 1 GDPR použije na zpracování, které se netýká pouze údajů, jež jsou ze své podstaty citlivé a jichž se týká toto ustanovení, ale rovněž údajů, které odhalují informace této povahy nepřímo, na základě myšlenkového pochodu spočívajícího v dedukci nebo spojení souvislostí [rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromí soudců), C‑204/21, EU:C:2023:442, bod 344 a citovaná judikatura].

53

V rámci této široké definice nemůže nepravdivá a škodlivá povaha údajů o sexuálním životě nebo sexuální orientaci fyzické osoby takové údaje zbavit kvalifikace jako „citlivých údajů“ ve smyslu čl. 9 odst. 1 GDPR.

54

Na druhém místě je třeba konstatovat, že dotčené zpracování spočívá ve zveřejnění tohoto inzerátu, a tudíž těchto údajů na on-line tržišti společnosti Russmedia. Úkon spočívající v uvedení osobních údajů na internetové stránce totiž představuje zpracování ve smyslu čl. 4 bodu 2 GDPR (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 65 a citovaná judikatura).

55

Na třetím místě je třeba uvést, že druhá až čtvrtá otázka odkazují na skutečnost, že provozovatel dotčeného on-line tržiště je správcem osobních údajů. Osobní údaje, jejichž zveřejnění je předmětem sporu v původním řízení, byly přitom do dotčeného inzerátu podle všeho vloženy anonymním inzerujícím uživatelem, aniž měl tento provozovatel konkrétní vliv na obsah tohoto inzerátu a aniž si byl vědom jeho nepravdivé a škodlivé povahy. Za těchto okolností je třeba vyjasnit pojmy „správce“ ve smyslu čl. 4 bodu 7 GDPR a „společní správci“ ve smyslu článku 26 GDPR.

56

Článek 4 bod 7 GDPR definuje pojem „správce“ široce jako fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů.

57

V souladu s cílem nařízení GDPR je cílem této široké definice zajistit účinnou ochranu základních svobod a práv fyzických osob a zejména vysokou úroveň ochrany práva každého na ochranu osobních údajů, které se ho týkají (rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 29 a citovaná judikatura).

58

Každou fyzickou nebo právnickou osobu, která pro vlastní účely ovlivňuje zpracování takových údajů, a v důsledku toho se podílí na určování účelů a prostředků tohoto zpracování, lze považovat za správce odpovědného za uvedené zpracování (rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 30 a citovaná judikatura).

59

Mimoto vzhledem k tomu, že se pojmem „správce“ rozumí subjekt, který „sám nebo společně s jinými“ určuje účel a prostředky zpracování osobních údajů, jak je výslovně stanoveno v čl. 4 bodu 7 GDPR, neodkazuje tento pojem nutně na jediný subjekt a může se týkat více subjektů, které se na tomto zpracování podílejí, a tudíž se na každého z nich vztahují použitelná ustanovení pro ochranu údajů (v tomto smyslu viz rozsudek ze dne 29. července 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 67 a citovaná judikatura).

60

Článek 26 GDPR, který spadá do rámce definice „správce“ uvedené v čl. 4 bodě 7 tohoto nařízení, v podstatě stanoví, že pokud dva nebo více správců společně stanoví účely a prostředky zpracování, musí být považováni za „společné správce“ tohoto zpracování.

61

Taková společná odpovědnost nutně nevyžaduje existenci společných rozhodnutí, pokud jde o určení účelů a prostředků zpracování dotčených osobních údajů. Soudní dvůr totiž rozhodl, že účast na stanovení těchto účelů a prostředků zpracování může mít různou podobu; tato účast může být výsledkem jak společného rozhodnutí přijatého společně dvěma či více subjekty, tak konvergujících rozhodnutí, která se musí doplňovat, aby každé z nich mělo konkrétní účinek na stanovení uvedených účelů a prostředků (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 43).

62

V tomto ohledu společná odpovědnost několika subjektů za totéž zpracování podle čl. 4 bodu 7 GDPR nepředpokládá, že bude mít každý z nich přístup k dotčeným osobním údajům (rozsudky ze dne 29. července 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 69 a citovaná judikatura, jakož i ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 42).

63

Z téhož hlediska Soudní dvůr upřesnil, že z existence společné odpovědnosti nelze nezbytně dovozovat, že jednotlivé subjekty nesou rovnocennou odpovědnost za totéž zpracování osobních údajů. Naopak tyto subjekty mohou být zapojeny v různých fázích tohoto zpracování a v různé míře, takže míru odpovědnosti každého z nich je třeba hodnotit s přihlédnutím ke všem relevantním okolnostem projednávané věci (v tomto smyslu viz rozsudky ze dne 10. července 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, bod 66 a citovaná judikatura, jakož i ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 42).

64

V projednávané věci je nesporné, že na inzerujícího uživatele, který umístil nepravdivý a škodlivý inzerát obsahující osobní údaje žalobkyně v původním řízení na on-line tržiště provozované společností Russmedia, je třeba nahlížet tak, že primárně stanovil účely a prostředky zpracování těchto údajů, a tudíž spadá pod pojem „správce“ ve smyslu čl. 4 bodu 7 GDPR.

65

Je však prokázáno, že tento inzerát byl zveřejněn na internetu a tak zpřístupněn uživatelům internetu pouze prostřednictvím on-line tržiště provozovaného společností Russmedia.

66

I když z judikatury citované v bodě 58 tohoto rozsudku vyplývá, že osobu lze kvalifikovat jako „správce“ osobních údajů pouze tehdy, pokud toto zpracování ovlivňuje pro vlastní účely, je třeba konstatovat, že tomu tak může být zejména v případě, že provozovatel on-line tržiště zveřejní dotčené osobní údaje pro komerční nebo reklamní účely, které jdou nad rámec pouhého poskytnutí služby, kterou poskytuje inzerujícímu uživateli.

67

V projednávané věci z předkládacího rozhodnutí vyplývá, že společnost Russmedia zveřejňuje inzeráty na svém on-line tržišti pro vlastní obchodní účely. V tomto ohledu všeobecné podmínky pro používání tohoto tržiště poskytují společnosti Russmedia velkou volnost při využívání informací zveřejněných na uvedeném tržišti. Konkrétně si společnost Russmedia podle informací předkládajícího soudu vyhrazuje právo používat zveřejněný obsah, šířit jej, přenášet, rozmnožovat, upravovat, překládat, předávat jej partnerům a kdykoli jej vymazat, i když k tomu nemá „právoplatný důvod“. Společnost Russmedia tedy nezveřejňuje osobní údaje obsažené v inzerátech pouze či výlučně jménem inzerujících uživatelů, nýbrž tyto údaje sama zpracovává a může je využívat k vlastním reklamním a obchodním účelům.

68

Je tak třeba mít za to, že společnost Russmedia ovlivnila pro vlastní účely zveřejnění osobních údajů žalobkyně v původním řízení na internetu, a z tohoto důvodu se podílela na určení účelů tohoto zveřejnění, a tedy dotčeného zpracování.

69

Toto konstatování není zpochybněno skutečností, že se společnost Russmedia zjevně nepodílela na určení nepravdivého a škodlivého účelu, který zveřejněním inzerátu dotčeného v původním řízení sledoval inzerující uživatel. Společnost Russmedia se totiž podílela na určení účelu zpracování spočívajícího ve zpřístupnění osobních údajů obsažených v inzerátu dotčeném ve věci v původním řízení uživatelům internetu za účelem zhodnocení těchto zveřejnění. Kromě toho společnost Russmedia tím, že umožňuje anonymní umístění inzerátů na jejím on-line tržišti, usnadnila zveřejnění takových údajů bez souhlasu subjektu údajů.

70

Mimoto se společnost Russmedia tím, že inzerujícímu uživateli zpřístupnila své on-line tržiště, které sloužilo ke zveřejnění inzerátu dotčeného ve věci v původním řízení, podílela na určení prostředků tohoto zveřejnění.

71

Soudní dvůr již totiž v podstatě rozhodl, že na určení prostředků zpracování se podílí fyzická nebo právnická osoba, která rozhodujícím způsobem ovlivňuje shromažďování a předávání osobních údajů, nebo osoba, která ovlivňuje zpracování takových údajů svou činností spočívající v nastavení parametrů zpracování v závislosti na svých cílech správy nebo propagace svých činností (v tomto smyslu viz rozsudky ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, bod 36, a ze dne 29. července 2019, Fashion ID, C‑40/17, EU:C:2019:629, bod 78). Totéž platí, co se týče vyhledávače, pokud jeho činnost hraje rozhodující úlohu v celkovém šíření osobních údajů, jelikož tato činnost tyto údaje veřejně zpřístupňuje on-line organizovaným a agregovaným způsobem [v tomto smyslu viz rozsudek ze dne 8. prosince 2022, Google (Odstranění odkazu na údajně nepravdivý obsah), C‑460/20, EU:C:2022:962, bod 50 a citovaná judikatura].

72

Je tedy třeba konstatovat, že pokud takový provozovatel on-line tržiště, jako je společnost Russmedia, stanoví parametry pro šíření inzerátů, které mohou obsahovat osobní údaje v závislosti na dotčených příjemcích, určuje prezentaci, dobu trvání tohoto šíření nebo rubriky strukturující zveřejněné informace, nebo organizuje pořadí, které určí způsoby takového šíření, přispívá k určení základních prostředků zveřejnění dotčených osobních údajů, čímž rozhodujícím způsobem ovlivňuje jejich celkové šíření.

73

V tomto ohledu obsah všeobecných podmínek pro používání dotčeného on-line tržiště může poskytnout indicie prokazující, že provozovatel tohoto tržiště rozhodujícím způsobem ovlivňuje dotčené zpracování osobních údajů a určuje tak prostředky tohoto zpracování. Podle všeho je tomu tak v případě všeobecných podmínek pro používání on-line tržiště společnosti Russmedia, v nichž si tato společnost vyhrazuje zejména právo šířit, přenášet, zveřejňovat, vymazat nebo také rozmnožovat informace obsažené v inzerátech, včetně osobních údajů v nich obsažených.

74

V každém případě se provozovatel on-line tržiště nemůže zprostit odpovědnosti jakožto správce osobních údajů z důvodu, že on sám nebyl tím, kdo určuje obsah dotčeného inzerátu zveřejněného na tomto tržišti. Bylo by totiž v rozporu nejen s jasným zněním, ale i s cílem čl. 4 bodu 7 GDPR, kterým je zajistit prostřednictvím široké definice pojmu „správce“ účinnou a úplnou ochranu subjektů údajů, vyloučit z této definice takového provozovatele pouze z tohoto důvodu.

75

Je tudíž třeba konstatovat, že předkládající soud správně založil druhou až čtvrtou otázku na předpokladu, že v takové situaci, jako je situace dotčená ve věci v původním řízení, je provozovatel on-line tržiště správcem osobních údajů obsažených v inzerátu zveřejněném na tomto on-line tržišti ve smyslu čl. 4 bodu 7 GDPR.

76

Na tyto otázky je třeba odpovědět ve světle všech předcházejících úvodních poznámek.

77

Podstatou druhé a třetí otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda čl. 5 odst. 2 a články 24 až 26 GDPR musí být vykládány v tom smyslu, že provozovatel on-line tržiště jakožto správce osobních údajů ve smyslu čl. 4 bodu 7 GDPR obsažených v inzerátech zveřejněných na jeho on-line tržišti, je před zveřejněním inzerátů povinen identifikovat inzeráty, které obsahují citlivé údaje ve smyslu čl. 9 odst. 1 GDPR, ověřit, zda inzerujícím uživatelem, který hodlá zveřejnit takový inzerát, je osoba, jejíž citlivé údaje jsou uvedeny v tomto inzerátu, a pokud tomu tak není, odmítnout jeho zveřejnění bez výslovného souhlasu subjektu údajů, pokud by takové zveřejnění mohlo vést k závažnému porušení práv tohoto subjektu na respektování soukromého života a na ochranu jeho osobních údajů zaručených v článcích 7 a 8 Listiny.

78

Z článku 1 odst. 2 nařízení GDPR ve spojení s body 4 a 10 jeho odůvodnění ostatně vyplývá, že cílem tohoto nařízení je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů, přičemž toto právo je rovněž uznáno v článku 8 Listiny a úzce souvisí s právem na respektování soukromého života zakotveným v jejím článku 7 (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 61 a citovaná judikatura).

79

Za tímto účelem zaprvé kapitola II GDPR stanoví zásady zpracování osobních údajů, které musí správce dodržovat. Konkrétně veškeré zpracování osobních údajů musí být v souladu se zásadami pro zpracování údajů a podmínkami pro zákonnost jejich zpracování stanovenými v článcích 5 a 6 tohoto nařízení (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 62 a citovaná judikatura).

80

V tomto ohledu čl. 5 odst. 1 písm. a) GDPR stanoví, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Článek 5 odst. 1 písm. d) tohoto nařízení doplňuje, že zpracovávané osobní údaje musí být přesné a v případě potřeby aktualizované. Musí být přijata veškerá rozumná opatření, aby byly osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, bezodkladně vymazány nebo opraveny. Článek 5 odst. 1 písm. f) uvedeného nařízení stanoví, že osobní údaje musí být zpracovávány způsobem, který zajistí náležité zabezpečení těchto údajů, včetně jejich ochrany před neoprávněným či protiprávním zpracováním.

81

Pokud jde o podmínky pro zákonnost zpracování, Soudní dvůr rozhodl, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Zpracování musí spadat pod jeden z případů upravených v tomto ustanovení (v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 25 a citovaná judikatura).

82

Podle čl. 6 odst. 1 prvního pododstavce písm. a) GDPR je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu. Článek 7 odst. 1 tohoto nařízení uvádí, že v takovém případě musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 uvedeného nařízení, může být takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) téhož nařízení (rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 26 a citovaná judikatura).

83

Vedle těchto zásad a podmínek existují zvláštní požadavky na citlivé údaje, jak jsou definovány v čl. 9 odst. 1 GDPR a jejichž zpracování je v zásadě zakázáno (v tomto smyslu viz rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 73).

84

Od tohoto zákazu se lze odchýlit pouze tehdy, pokud je splněna jedna z výjimek stanovených v čl. 9 odst. 2 písm. a) až j) tohoto nařízení. Mezi těmito výjimkami, které musí být vykládány restriktivně, čl. 9 odst. 2 písm. a) uvedeného nařízení stanoví, že zákaz zpracování citlivých údajů se nepoužije, pokud subjekt údajů udělil výslovný souhlas se zpracováním svých citlivých osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že tento zákaz nemůže být subjektem údajů zrušen.

85

Zadruhé kapitola IV GDPR upřesňuje rozsah povinností, které má správce osobních údajů na základě zásady odpovědnosti stanovené v čl. 5 odst. 2 GDPR.

86

Podle tohoto ustanovení odpovídá správce za dodržení odstavce 1 tohoto článku a musí být schopen doložit, že dodržuje každou ze zásad uvedených v tomto odstavci 1, přičemž nese v tomto ohledu důkazní břemeno [rozsudek ze dne 4. května 2023, Bundesrepublik Deutschland (Elektronická soudní schránka), C‑60/22, EU:C:2023:373, bod 53 a citovaná judikatura].

87

Tato zásada odpovědnosti je konkretizována zejména v článku 24 GDPR (v tomto smyslu viz rozsudek ze dne 25. ledna 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 43 a citovaná judikatura). Uvedený článek vyžaduje, aby s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob správce zavedl vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením.

88

Článek 5 odst. 2 a článek 24 GDPR ukládají správcům osobních údajů obecné povinnosti týkající se odpovědnosti a dodržování předpisů. Vyžadují, aby správce přijal vhodná opatření, která zabrání případnému porušování pravidel GDPR pro zajištění práva na ochranu údajů [v tomto smyslu viz rozsudek ze dne 27. října 2022, Proximus (Veřejné elektronické účastnické seznamy), C‑129/21, EU:C:2022:833, bod 81].

89

Z tohoto hlediska čl. 25 odst. 1 GDPR vyžaduje, aby správce zavedl vhodná technická a organizační opatření, a to jak v době určení prostředků pro zpracování, tak v době zpracování samotného, jejichž účelem je provádět zásady ochrany údajů účinným způsobem a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektu údajů. Kromě toho tento čl. 25 odst. 2 týkající se standardní ochrany údajů zejména stanoví, že vhodná technická a organizační opatření, která musí správce za tímto účelem zavést, zajistí, aby osobní údaje nebyly standardně bez zásahu subjektu údajů zpřístupněny neomezenému počtu fyzických osob.

90

Pokud jsou zpracovávané osobní údaje citlivými údaji ve smyslu čl. 9 odst. 1 GDPR, musí správce při určování vhodných opatření ve smyslu článků 24 a 25 tohoto nařízení zohlednit skutečnost, že porušení zásad stanovených v kapitole II uvedeného nařízení, pokud jde o zpracování takových údajů, může představovat zvlášť závažný zásah do základních práv na respektování soukromého života a na ochranu osobních údajů zaručených v článcích 7 a 8 Listiny.

91

Druhou a třetí otázku, jak byly přeformulovány v bodě 77 tohoto rozsudku, je třeba přezkoumat s ohledem na všechna tato upřesnění.

92

Pokud jde v první řadě o otázku, zda provozovatel on-line tržiště musí před zveřejněním identifikovat inzeráty, které obsahují citlivé údaje ve smyslu čl. 9 odst. 1 GDPR, je třeba připomenout, jak vyplývá z bodů 64 a 75 tohoto rozsudku, že tento provozovatel a inzerující uživatel, který umístil takový inzerát na toto on-line tržiště, musí být považováni za společné správce ve smyslu článku 26 tohoto nařízení, pokud je dotčený inzerát na tomto tržišti zveřejněn.

93

Z toho vyplývá, že jak tento provozovatel, tak tento inzerující uživatel jsou povinni zajistit dodržování povinností vyplývajících z čl. 5 odst. 2, jakož i z článků 24 a 25 GDPR. Zejména musí být schopni prokázat, že osobní údaje obsažené v dotčeném inzerátu jsou zveřejněny zákonným způsobem, tj. že subjekt údajů s takovým zveřejněním souhlasil, ledaže by se mohli dovolávat jiné podmínky stanovené v čl. 6 odst. 1 GDPR. Pokud jsou dotčené osobní údaje citlivými údaji ve smyslu čl. 9 odst. 1 GDPR, musí být souhlas s takovým zveřejněním výslovný, jak vyplývá z bodu 84 tohoto rozsudku. Stejně tak podle zásady přesnosti uvedené v čl. 5 odst. 1 písm. d) GDPR musí být správci schopni prokázat, že dotčené osobní údaje jsou přesné.

94

K určení, jaká jsou konkrétně vhodná technická a organizační opatření, která je provozovatel on-line tržiště jakožto společný správce osobních údajů povinen zavést podle článků 24 a 25 GDPR, aby se ujistil a byl schopen prokázat, že zveřejnění citlivých údajů obsažených v inzerátu bude provedeno v souladu s tímto nařízením, je třeba uvést, že z těchto ustanovení vyplývá, že vhodnost takových opatření musí být posouzena konkrétně s přihlédnutím k povaze, rozsahu, kontextu a účelům daného zpracování a k pravděpodobnosti a závažnosti rizik pro práva a svobody subjektu údajů, která jsou pro toto zpracování specifická (v tomto smyslu viz rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 96).

95

V tomto ohledu je třeba uvést, že zveřejnění osobních údajů na on-line tržišti s sebou nese významná rizika pro práva a svobody subjektu údajů, jelikož na úložišti jsou tyto údaje v zásadě zpřístupňovány všem uživatelům internetu. Kromě toho, jakmile jsou uvedené údaje zveřejněny na on-line tržišti, mohou být zkopírovány a rozmnožovány na jiných internetových stránkách, takže pro subjekt údajů může být obtížné, ne-li nemožné, dosáhnout jejich účinného výmazu z internetu.

96

Rizika spojená s takovým zveřejněním jsou o to závažnější, jedná-li se o citlivé údaje ve smyslu čl. 9 odst. 1 GDPR. Jak výslovně uvádí bod 51 odůvodnění GDPR, osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práv a svobody (v tomto smyslu viz rozsudek ze dne 4. října 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 75). Zpracování takových údajů, jak bylo uvedeno v bodě 90 tohoto rozsudku, může představovat zvlášť závažný zásah do základních práv na respektování soukromého života a na ochranu osobních údajů zaručených v článcích 7 a 8 Listiny. Kromě toho míra pravděpodobnosti porušení těchto práv zveřejněním inzerátu obsahujícího citlivé údaje je velmi vysoká, pokud inzerující uživatel sám není subjektem údajů a pokud on-line tržiště umožňuje umisťovat takové inzeráty anonymně.

97

Pokud tedy provozovatel takového on-line tržiště, jako je on-line tržiště dotčené ve věci v původním řízení, ví nebo by měl vědět, že inzeráty obsahující citlivé údaje ve smyslu čl. 9 odst. 1 GDPR obecně mohou být zveřejňovány inzerujícími uživateli na jeho on-line tržišti, je tento provozovatel jakožto správce tohoto zpracování povinen už při koncipování své služby zavést vhodná technická a organizační opatření k identifikaci takových inzerátů před jejich zveřejněním a být schopen ověřit, zda jsou citlivé údaje, které obsahují, zveřejněny v souladu se zásadami uvedenými v kapitole II tohoto nařízení. Jak totiž vyplývá zejména z čl. 25 odst. 1 uvedeného nařízení, povinnost zavést taková opatření má nejen v okamžiku zpracování, ale již v okamžiku určení prostředků pro zpracování, a tedy ještě před tím, než jsou citlivé údaje zveřejněny na jeho on-line tržišti v rozporu s těmito zásadami, přičemž cílem této povinnosti je právě zabránit takovému porušení.

98

Pokud jde v druhé řadě o otázku, zda provozovatel on-line tržiště jakožto správce citlivých údajů obsažených v inzerátech zveřejněných na jeho internetových stránkách společně s inzerujícím uživatelem musí ověřit totožnost tohoto inzerujícího uživatele před zveřejněním, je třeba připomenout, že z čl. 9 odst. 1 a odst. 2 písm. a) GDPR vyplývá, že zveřejnění takových údajů je zakázáno, ledaže subjekt údajů dal výslovný souhlas se zveřejněním dotčených údajů na tomto on-line tržišti nebo je splněna některá z dalších výjimek stanovených v tomto čl. 9 odst. 2 písm. b) až j), což podle všeho není případ projednávané věci.

99

V tomto ohledu platí, že i když skutečnost, že subjekt údajů umístí inzerát obsahující jeho citlivé údaje na on-line tržiště, může představovat výslovný souhlas ve smyslu čl. 9 odst. 2 písm. a) GDPR, takový souhlas chybí, je-li tento inzerát umístěn třetí osobou, ledaže tato osoba může prokázat, že subjekt údajů udělil výslovný souhlas se zveřejněním uvedeného inzerátu na dotčeném on-line tržišti. Aby tedy provozovatel tržiště mohl zajistit a prokázat, že jsou splněny požadavky stanovené v čl. 9 odst. 2 písm. a) GDPR, je povinen před zveřejněním takového inzerátu ověřit, zda inzerující uživatel, který hodlá zveřejnit tento inzerát, je osobou, jejíž citlivé údaje se v tomto inzerátu objevují, což předpokládá, že je zjištěna totožnost tohoto inzerujícího uživatele.

100

Kromě toho z čl. 13 odst. 1 písm. a) a čl. 14 odst. 1 písm. a) GDPR vyplývá, že správci osobních údajů musí subjektu údajů v každém případě poskytnout svou totožnost a kontaktní údaje.

101

Konečně je třeba poznamenat, že článek 26 GDPR ukládá společným správcům téhož zpracování osobních údajů povinnost transparentním ujednáním vymezit své podíly na odpovědnosti za plnění povinností podle tohoto nařízení. Taková povinnost by přitom byla nesplnitelná, kdyby jeden ze správců tohoto zpracování mohl zůstat anonymní vůči druhému.

102

Z výše uvedeného vyplývá, že provozovatel on-line tržiště má jako osoba odpovědná za zveřejnění citlivých údajů obsažených v inzerátu zveřejněném na svém on-line tržišti společně s inzerujícím uživatelem povinnost zjistit totožnost tohoto inzerujícího uživatele a ověřit, zda je tímto inzerujícím uživatelem osoba, jejíž citlivé údaje jsou v tomto inzerátu obsaženy.

103

V tomto ohledu, jak v podstatě uvedl generální advokát v bodě 132 svého stanoviska, z bodu 75 odůvodnění GDPR vyplývá, že zpracování osobních údajů může zejména v případě zneužití identity představovat riziko pro práva a svobody subjektů údajů, které by z toho důvodu mohly být zbaveny možnosti kontrolovat své osobní údaje. Obecně totiž ke zneužití identity dochází za účelem uskutečnění podvodného jednání k újmě subjektu údajů nebo třetích osob.

104

Za těchto podmínek a rovněž s ohledem na úvahy uvedené v bodech 95 a 96 tohoto rozsudku musí provozovatel on-line tržiště k tomu, aby mohl zajistit a prokázat, že citlivé údaje obsažené v inzerátech jsou zpracovávány v souladu s požadavky GDPR, podle článků 24 a 25 tohoto nařízení zavést vhodná technická a organizační opatření, která mu umožní nejen zjistit, ale rovněž ověřit totožnost inzerujících uživatelů před zveřejněním těchto inzerátů, a to zejména aby určil, zda je tento inzerující uživatel osobou, jejíž citlivé údaje jsou uvedeny ve zmíněných inzerátech. Taková opatření musí zejména umožnit, jak uvedl generální advokát v bodě 134 svého stanoviska, omezení rizika protiprávního zpracování osobních údajů subjektů údajů a boj proti nekalému používání takového on-line tržiště tím, že naruší pocit beztrestnosti, a podněcuje tak inzerující uživatele, aby při zveřejňování inzerátů obsahujících osobní údaje dodržovali požadavky GDPR.

105

Konečně pokud jde v třetí řadě o otázku, zda provozovatel on-line tržiště musí odmítnout zveřejnění inzerátu obsahujícího citlivé údaje, pokud se po takovém ověření totožnosti inzerujícího uživatele, který hodlá zveřejnit tento inzerát, ukáže, že tento inzerující uživatel není osobou, jejíž citlivé údaje jsou obsaženy v uvedeném inzerátu, je třeba konstatovat, že z bodů 98 a 99 tohoto rozsudku vyplývá, že v takovém případě nelze vyloučit, že k tomuto zveřejnění dojde v rozporu se zákazem zpracování takových údajů stanoveným v čl. 9 odst. 1 GDPR. Pokud tedy tento inzerující uživatel nemůže právně dostačujícím způsobem prokázat, že subjekt údajů udělil výslovný souhlas se zveřejněním dotčených údajů na tomto on-line tržišti ve smyslu tohoto čl. 9 odst. 2 písm. a), nebo že je splněna některá z ostatních výjimek stanovených v uvedeném čl. 9 odst. 2 písm. b) až j), musí provozovatel tohoto on-line tržiště zveřejnění dotčeného inzerátu odmítnout, což musí zajistit zavedením vhodných technických a organizačních opatření.

106

S ohledem na všechny výše uvedené důvody je třeba na druhou a třetí otázku odpovědět tak, že čl. 5 odst. 2, jakož i články 24 až 26 GDPR musí být vykládány v tom smyslu, že provozovatel on-line tržiště jakožto správce osobních údajů ve smyslu čl. 4 bodu 7 GDPR obsažených v inzerátech zveřejněných na jeho on-line tržišti je povinen před zveřejněním inzerátů a prostřednictvím vhodných technických a organizačních opatření

107

Podstatou čtvrté otázky je, zda je provozovatel on-line tržiště jakožto správce povinen zavést bezpečnostní opatření, která mohou zabránit reprodukci a dalšímu šíření inzerátů obsahujících citlivé údaje, které byly zveřejněny na jeho on-line tržišti, nebo je omezit.

108

V projednávané věci z žádosti o rozhodnutí o předběžné otázce vyplývá, že nepravdivý a škodlivý inzerát dotčený ve věci v původním řízení byl převzat na jiné internetové stránky s reklamním obsahem, které jej zveřejnily s uvedením zdroje původu, a dále že ve všeobecných obchodních podmínkách svého on-line tržiště si společnost Russmedia vyhrazuje zejména právo předávat obsah na něm zveřejněných inzerátů a postupovat tyto inzeráty partnerům. V tomto ohledu předkládající soud neupřesňuje, zda společnost Russmedia dobrovolně předala tento inzerát na tyto jiné internetové stránky, nebo alespoň prostřednictvím smluv povolila toto zveřejnění, nebo zda je naopak uvedené zveřejnění výsledkem kopie původního inzerátu, kterou společnost Russmedia neschválila.

109

Pokud by byla prokázána první část této alternativy, představovalo by toto předání nové zpracování osobních údajů, za které by byla odpovědná společnost Russmedia ve smyslu čl. 4 bodu 7 GDPR. Toto zacházení musí být odlišeno od zveřejnění nepravdivého a škodlivého inzerátu dotčeného ve věci v původním řízení inzerujícím uživatelem na jejím on-line tržišti.

110

Je totiž třeba rozlišovat mezi jednotlivými zpracováními osobních údajů v rámci téhož řetězce operací, aby se zohlednila nutnost individuálně posoudit u každé osoby, kterou lze kvalifikovat jako správce osobních údajů, míru odpovědnosti, která jí může být přičítána. To vyplývá ze skutečnosti, že k tomu, aby mohla být fyzická nebo právnická osoba považována za společného správce, musí samostatně splňovat definici „správce“ uvedenou v čl. 4 bodě 7 GDPR (rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 41 a citovaná judikatura).

111

Z toho vyplývá, že pokud k následnému předání osobních údajů dochází v rámci smluv o šíření mezi provozovatelem on-line tržiště, na němž byly původně zveřejněny dotčené osobní údaje, a provozovateli jiných internetových stránek, je prvně jmenovaný provozovatel v zásadě jediným správcem zpracování, které toto předání představuje. V každém případě jsou všichni správci povinni samostatně nebo společně dodržovat všechny povinnosti vyplývající z GDPR.

112

Po těchto upřesněních je třeba čtvrtou otázku chápat v tom smyslu, že se týká případu, kdy společnost Russmedia nepřevedla nepravdivý a škodlivý inzerát dotčený ve věci v původním řízení na jiné internetové stránky s reklamním obsahem, a toto následné zveřejnění tedy neschválila.

113

Dále je třeba uvést, že tato otázka se v podstatě týká i rozsahu povinnosti zabezpečení, kterou musí správce osobních údajů dodržovat. Předmětem článku 32 GDPR je přitom konkrétně zabezpečení zpracování. Konkretizuje a upřesňuje specifický aspekt požadavků stanovených v článku 24 tohoto nařízení, který společně s čl. 5 odst. 2 uvedeného nařízení obecně definuje odpovědnost správce.

114

Za těchto okolností je třeba mít za to, že podstatou čtvrté otázky předkládajícího soudu je, zda musí být článek 32 GDPR vykládán v tom smyslu, že provozovatel on-line tržiště jakožto správce ve smyslu čl. 4 bodu 7 tohoto nařízení, pokud jde o osobní údaje obsažené v inzerátech zveřejněných na jeho on-line tržišti, je povinen zavést bezpečnostní opatření umožňující zabránit tomu, aby byly inzeráty na něm zveřejněné a obsahující citlivé údaje ve smyslu čl. 9 odst. 1 uvedeného nařízení zkopírovány a protiprávně zveřejněny na jiných internetových stránkách.

115

Článek 32 odst. 1 nařízení GDPR stanoví, že s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku.

116

Článek 32 odst. 2 tohoto nařízení stanoví, že při posuzování vhodné úrovně zabezpečení se zohlední zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění osobních údajů, nebo neoprávněný přístup k nim.

117

Soudní dvůr rozhodl, že odkaz v čl. 32 odst. 1 a 2 GDPR na „úroveň zabezpečení odpovídající danému riziku“ a „vhodn[ou] úrov[eň] zabezpečení“ svědčí o tom, že toto nařízení zavádí režim řízení rizik a nijak neusiluje o odstranění rizik porušení zabezpečení osobních údajů (rozsudek ze dne 14. prosince 2023, Nacionalna agencia za prichodite, C‑340/21, EU:C:2023:986, bod 29).

118

Ze znění článku 32 GDPR ve spojení s článkem 24 tohoto nařízení tedy vyplývá, že tento článek 32 pouze ukládá správci povinnost zavést technická a organizační opatření, jejichž cílem je v co největším možném rozsahu zabránit jakémukoliv porušení zabezpečení osobních údajů. Vhodnost takových opatření musí být posouzena konkrétně, přičemž se prověří, zda byla tato opatření tímto správcem zavedena s přihlédnutím k jednotlivým kritériím stanoveným v uvedených článcích a potřebám ochrany údajů, které jsou specificky spojeny s dotyčným zpracováním, jakož i rizikům plynoucím z tohoto zpracování (v tomto smyslu viz rozsudek ze dne 14. prosince 2023, Nacionalna agencia za prichodite, C‑340/21, EU:C:2023:986, bod 30).

119

V tomto ohledu je třeba pro určení konkrétního rizika, které představuje dotčené zpracování, zohlednit případnou citlivou povahu zpracovávaných osobních údajů. Jak je totiž připomenuto v bodech 51 a 90 tohoto rozsudku, zvýšená ochrana stanovená v čl. 9 odst. 1 GDPR pro určité kategorie údajů z důvodu jejich zvláštní citlivosti spočívá v tom, že zpracování takových údajů může představovat zvlášť závažný zásah do základních práv na respektování soukromého života a na ochranu osobních údajů zaručených v článcích 7 a 8 Listiny (v tomto smyslu viz rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 41 a citovaná judikatura).

120

Jakmile je však inzerát obsahující osobní údaje on-line a je již globálně přístupný, šíření těchto údajů s sebou nese zejména riziko ztráty kontroly nad dotčenými osobními údaji, která pokud k ní dojde, zbavuje veškerého užitečného účinku práva a záruky stanovené GDPR ve prospěch subjektu údajů, mezi něž patří především právo na výmaz stanovené v článku 17 tohoto nařízení.

121

Pokud jsou tedy citlivé údaje zveřejněny on-line, je správce podle článku 32 GDPR povinen přijmout veškerá technická a organizační opatření k zajištění úrovně bezpečnosti, která může účinně zabránit tomu, aby došlo ke ztrátě kontroly nad těmito údaji.

122

Z tohoto důvodu musí správce zvážit zejména veškeré dostupné technologické prostředky za současného stavu technických poznatků, které by mohly zablokovat kopie či replikace obsahu on-line.

123

Je však třeba ještě upřesnit, že články 24 a 32 GDPR nelze chápat v tom smyslu, že neoprávněné šíření osobních údajů původně zveřejněných on-line postačuje k učinění závěru, že opatření přijatá dotyčným správcem nejsou vhodná ve smyslu těchto ustanovení, aniž tomuto správci umožňují prokázat opak (rozsudek ze dne 14. prosince 2023, Nacionalna agencia za prichodite, C‑340/21, EU:C:2023:986, bod 31).

124

V projednávané věci z předkládacího rozhodnutí vyplývá, že navzdory vymazání nepravdivého a škodlivého inzerátu dotčeného ve věci v původním řízení na on-line tržišti společnosti Russmedia je tento inzerát stále přístupný on-line na jiných internetových stránkách a žalobkyně v původním řízení podle všeho nemůže dosáhnout jeho výmazu.

125

Je přitom patrné, že tato ztráta kontroly má původ v původním protiprávním zveřejnění nepravdivého a škodlivého inzerátu dotčeného ve věci v původním řízení v rozporu s požadavky stanovenými GDPR. Společnost Russmedia byla v každém případě povinna zavést vhodná technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající riziku podle článku 32 GDPR a co nejvíce blokovat veškeré kopie tohoto inzerátu. Bude na předkládajícím soudu, aby ověřil, zda tomu tak bylo.

126

S ohledem na všechny výše uvedené důvody je třeba na čtvrtou otázku odpovědět tak, že článek 32 GDPR musí být vykládán v tom smyslu, že provozovatel on-line tržiště jakožto správce osobních údajů ve smyslu čl. 4 bodu 7 tohoto nařízení obsažených v inzerátech zveřejněných na jeho on-line tržišti je povinen zavést technická a organizační bezpečnostní opatření, jež mohou zabránit tomu, aby byly inzeráty na něm zveřejněné, které obsahují citlivé údaje ve smyslu čl. 9 odst. 1 uvedeného nařízení, zkopírovány a protiprávně zveřejněny na jiných internetových stránkách.

127

Jak bylo uvedeno v bodech 45 a 46 tohoto rozsudku, předkládající soud se dále táže, zda se provozovatel on-line tržiště jakožto správce osobních údajů ve smyslu čl. 4 bodu 7 GDPR obsažených v inzerátech zveřejněných na jeho on-line tržišti může v souvislosti s porušením povinností, které vyplývají z čl. 5 odst. 2, jakož i z článků 24 až 26 a 32 tohoto nařízení a jsou konstatovány v bodech 106 a 126 tohoto rozsudku, dovolávat článků 12 až 15 směrnice 2000/31 týkajících se odpovědnosti poskytovatelů zprostředkovatelských služeb.

128

Vyvstává tedy otázka vztahu mezi těmito dvěma nástroji unijního práva. Zejména je třeba určit, zda mohou články 12 až 15 směrnice 2000/31 zasahovat do režimu odpovědnosti stanoveného GDPR.

129

V tomto ohledu je třeba uvést, že čl. 1 odst. 5 písm. b) směrnice 2000/31 upřesňuje, že se tato směrnice nevztahuje na otázky týkající se služeb informační společnosti upravené ve směrnicích 95/46 a 97/66.

130

Toto ustanovení bylo Soudním dvorem vyloženo v tom smyslu, že otázky související s ochranou důvěrného charakteru sdělení a osobních údajů musí být posouzeny podle GDPR, které nahradilo směrnici 95/46, a podle směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), která nahradila směrnici 97/66, přičemž ochrana, kterou má zajistit směrnice 2000/31, nemůže být v žádném případě na újmu požadavkům vyplývajícím z GDPR a ze směrnice 2002/58 (rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 200, jakož i citovaná judikatura).

131

Z toho zejména vyplývá, že případný prospěch z osvobození stanoveného v čl. 14 odst. 1 směrnice 2000/31, kterého by se provozovatel on-line tržiště mohl dovolávat, pokud jde o informace umístěné na jeho internetových stránkách, nemůže být v rozporu s režimem GDPR, který se vztahuje na takového provozovatele, stejně jako na jakéhokoli jiného provozovatele, který spadá do působnosti tohoto nařízení.

132

Totéž platí pro článek 15 směrnice 2000/31, podle kterého členské státy nemohou poskytovatelům služeb uvedených mimo jiné v článku 14 zmíněné směrnice uložit obecnou povinnost dohledu. Kromě toho povinnost provozovatele on-line tržiště splnit požadavky vyplývající z GDPR nemůže být v žádném případě kvalifikována jako taková obecná povinnost dohledu.

133

Článek 2 odst. 4 GDPR stanoví, že tímto nařízením není dotčeno uplatňování směrnice 2000/31/ES, zejména pokud jde o pravidla týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb uvedená v článcích 12 až 15 uvedené směrnice.

134

Tento čl. 2 odst. 4 musí být chápán v tom smyslu, že skutečnost, že provozovatel je nositelem povinností stanovených v GDPR, automaticky nevylučuje, že se tento provozovatel může dovolávat článků 12 až 15 směrnice 2000/31 v jiných záležitostech než těch týkajících se ochrany osobních údajů.

135

Z výkladu čl. 1 odst. 5 písm. b) směrnice 2000/31 ve spojení s čl. 2 odst. 4 GDPR tedy vyplývá, že ustanovení této směrnice, zejména články 12 až 15, nemohou zasahovat do režimu tohoto nařízení.

136

S ohledem na všechny výše uvedené důvody je třeba na první otázku odpovědět tak, že čl. 1 odst. 5 písm. b) směrnice 2000/31 a čl. 2 odst. 4 GDPR musí být vykládány v tom smyslu, že provozovatel on-line tržiště jakožto správce osobních údajů ve smyslu čl. 4 bodu 7 GDPR obsažených v inzerátech zveřejněných na jeho on-line tržišti se nemůže v souvislosti s porušením povinností vyplývajících z čl. 5 odst. 2, jakož i z článků 24 až 26 a 32 tohoto nařízení dovolávat článků 12 až 15 této směrnice týkajících se odpovědnosti poskytovatelů zprostředkovatelských služeb.

137

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: