–

X ved avocată I. Kis,

–

den rumænske regering ved E. Gane, L. Ghiţă og R.I. Haţieganu, som befuldmægtigede,

–

Europa-Kommissionen ved L. Armati, H. Kranenborg, P.-J. Loewenthal og L. Nicolae, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 12-15 i Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester, navnlig elektronisk handel, i det indre marked (»direktivet om elektronisk handel«) (EFT 2000, L 178, s. 1) samt af artikel 2, stk. 4, artikel 4, nr. 7) og 11), artikel 5, stk. 1, litra b) og f), artikel 6, stk. 1, litra a), og artikel 7, 24 og 25 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem på den ene side en fysisk person, X, og på den anden side Russmedia Digital SRL og Inform Media Press SRL (herefter samlet »Russmedia«) vedrørende et søgsmål om erstatning for den immaterielle skade, som appellanten i hovedsagen har lidt som følge af den ulovlige behandling af hendes personoplysninger og krænkelsen af hendes ret til sit eget billede, ære og privatliv.

3

Følgende fremgår af 14., 42., 46. og 52. betragtning til direktiv 2000/31:

[...]

[...]

[...]

4

Artikel 1 i direktiv 2000/31 med overskriften »Formål og anvendelsesområde« bestemmer følgende:

»1.   Dette direktiv har til formål at bidrage til et velfungerende indre marked ved at sikre fri bevægelighed for informationssamfundstjenester mellem medlemsstaterne.

[...]

5.   Dette direktiv finder ikke anvendelse på:

[...]

b) spørgsmål, der vedrører informationssamfundstjenester omfattet af direktiv [95/46] og [97/66]

[...]«

5

Afdeling 4 i kapitel II i direktiv 2000/31 med overskriften »Formidleransvar for tjenesteydere« indeholdt i den affattelse, der finder anvendelse i tvisten i hovedsagen, direktivets artikel 12-15. Artikel 12 og 13 vedrørte i overensstemmelse med disse artiklers respektive overskrifter »[r]en videreformidling (»Mere conduit«)« og »[c]aching«.

6

Det nævnte direktivs artikel 14 med overskriften »Oplagring (»Hosting«)« fastsatte følgende:

»1.   Medlemsstaterne sikrer, at tjenesteyderen i tilfælde af levering af en informationssamfundstjeneste, som består i oplagring af information leveret af en tjenestemodtager, ikke pådrager sig ansvar for information oplagret på anmodning af en tjenestemodtager, forudsat:

2.   Stk. 1 finder ikke anvendelse, når tjenestemodtageren handler under tjenesteyderens myndighed eller kontrol.

3.   Denne artikel berører ikke en domstols eller en administrativ myndigheds muligheder for i overensstemmelse med medlemsstaternes retssystemer at kræve, at en tjenesteyder bringer en overtrædelse til ophør eller forhindrer den, eller medlemsstaternes muligheder for at fastlægge procedurer for at fjerne information eller hindre adgangen til den.«

7

Samme direktivs artikel 15 med overskriften »Ingen generel overvågningsforpligtelse« fastsatte følgende i stk. 1 og 2:

»1.   Med hensyn til levering af de i artikel 12, 13 og 14 omhandlede tjenester må medlemsstaterne ikke pålægge tjenesteyderne en generel forpligtelse til at overvåge den information, de fremsender eller oplagrer, eller en generel forpligtelse til aktivt at undersøge forhold eller omstændigheder, der tyder på ulovlig virksomhed.

2.   Medlemsstaterne kan kræve, at leverandører af informationssamfundstjenester straks underretter de kompetente offentlige myndigheder om påståede ulovlige aktiviteter, der udøves, eller information, der leveres af deres tjenestemodtagere, eller at de på anmodning giver de kompetente myndigheder oplysninger, som gør det muligt at identificere de tjenestemodtagere, de har oplagringsaftaler med.«

8

Følgende fremgår af 4., 10., 39., 51., 74., 75., 78. og 85. betragtning til databeskyttelsesforordningen:

[...]

[...]

[...]

[...]

[...]

[...]

9

Databeskyttelsesforordningens artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

10

Den nævnte forordnings artikel 2 med overskriften »Materielt anvendelsesområde« fastsætter følgende i stk. 4:

»Denne forordning berører ikke anvendelsen af direktiv [2000/31], navnlig reglerne om formidleransvar for tjenesteydere, der er fastsat i artikel 12-15 i nævnte direktiv.«

11

Samme forordnings artikel 4 med overskriften »Definitioner« er affattet således:

»I denne forordning forstås ved:

[...]

[...]

[...]«

12

Databeskyttelsesforordningens kapitel II med overskriften »Principper« indeholder bl.a. artikel 5-9.

13

Denne forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter følgende:

»1.   Personoplysninger skal:

[...]

[...]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

14

Den nævnte forordnings artikel 6 med overskriften »Lovlig behandling« bestemmer følgende i stk. 1, første afsnit:

»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

15

Samme forordnings artikel 7 med overskriften »Betingelser for samtykke« bestemmer følgende i stk. 1:

»Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.«

16

Databeskyttelsesforordningens artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« bestemmer følgende:

»1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

[...]«

17

Denne forordnings artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter følgende i stk. 1, litra a):

»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

18

Den nævnte forordnings artikel 14 med overskriften »Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede«, bestemmer følgende i stk. 1, litra a):

»Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

19

I samme forordnings kapitel III med overskriften »Den registreredes rettigheder« fastsætter artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« følgende i stk. 1 og 2:

»1.   Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

[...]

d) Personoplysningerne er blevet behandlet ulovligt.

[...]

2.   Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.«

20

Databeskyttelsesforordningens kapitel IV med overskriften »Dataansvarlig og databehandler« indeholder i afdeling 1 med overskriften »Generelle forpligtelser« bl.a. artikel 24-26.

21

Denne forordnings artikel 24 med overskriften »Den dataansvarliges ansvar« fastsætter følgende i stk. 1:

»Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.«

22

Den nævnte forordnings artikel 25 med overskriften »Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger« fastsætter følgende i stk. 1 og 2:

»1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder.

2.   Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles. Denne forpligtelse gælder den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.«

23

Samme forordnings artikel 26 med overskriften »Fælles dataansvarlige« bestemmer følgende i stk. 1:

»Hvis to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling, er de fælles dataansvarlige. De fastlægger på en gennemsigtig måde deres respektive ansvar for overholdelse af forpligtelserne i henhold til denne forordning, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 13 og 14, ved hjælp af en ordning mellem dem, medmindre og i det omfang de dataansvarliges respektive ansvar er fastlagt i EU-ret eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. I ordningen kan der udpeges et kontaktpunkt for registrerede.«

24

Databeskyttelsesforordningens artikel 32 med overskriften »Behandlingssikkerhed« er affattet således:

»1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant:

2.   Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.

3.   Overholdelse af en godkendt adfærdskodeks som omhandlet i artikel 40 eller en godkendt certificeringsmekanisme som omhandlet i artikel 42 kan bruges som et element til at påvise overholdelse af kravene i nærværende artikels stk. 1.

4.   Den dataansvarlige og databehandleren tager skridt til at sikre, at enhver fysisk person, der udfører arbejde for den dataansvarlige eller databehandleren, og som får adgang til personoplysninger, kun behandler disse efter instruks fra den dataansvarlige, medmindre behandling kræves i henhold til EU-retten eller medlemsstaternes nationale ret.«

25

Denne forordnings artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« fastsætter følgende i stk. 1-3:

»1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.

2.   Enhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning. En databehandler hæfter kun for den skade, der er forvoldt af behandling, hvis pågældende ikke har opfyldt forpligtelser i denne forordning, der er rettet specifikt mod databehandlere, eller hvis pågældende har undladt at følge eller handlet i strid med den dataansvarliges lovlige instrukser.

3.   En dataansvarlig eller databehandler er fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.«

26

Samme forordnings artikel 94 bestemmer følgende:

»1.   Direktiv [95/46] ophæves med virkning fra den 25. maj 2018.

2.   Henvisninger til det ophævede direktiv gælder som henvisninger til denne forordning. [...]«

27

Artikel 11 i Legea nr. 365/2002 privind comerțul electronic (lov nr. 365/2002 om elektronisk handel) af 7. juni 2002 (Monitorul Oficial al României, del I, nr. 483 af 5.7.2002), som ændret ved Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (lov nr. 121/2006 om ændring og supplering af lov nr. 365/2002 om elektronisk handel) af 4. maj 2006 (Monitorul Oficial al României, del I, nr. 403 af 10.5.2006) (herefter »lov nr. 365/2002«), fastsætter følgende:

»1.   Tjenesteyderne er underlagt lovbestemmelserne om civilretligt og strafferetligt ansvar samt ansvar for administrative overtrædelser, medmindre andet er fastsat i denne lov.

2.   Tjenesteyderne er ansvarlige for den information, der leveres af dem selv eller på deres vegne.

3.   Tjenesteyderne er ikke ansvarlige for den information, der transmitteres eller oplagres, eller som de giver adgang til under de betingelser, der er fastsat i artikel 12-15.«

28

Artikel 14 i lov nr. 365/2002 med overskriften »Permanent opbevaring af information, oplagring/hosting« bestemmer følgende:

»1.   Når en informationssamfundstjeneste består i oplagring af information leveret af en tjenestemodtager, pådrager den, der yder denne tjeneste, sig ikke ansvar for den information, der er oplagret på anmodning af en tjenestemodtager, hvis en af følgende betingelser er opfyldt:

2.   Stk. 1 finder ikke anvendelse, når tjenestemodtageren handler under tjenesteyderens myndighed eller kontrol.

3.   Bestemmelserne i denne artikel berører ikke en retslig eller administrativ myndigheds muligheder for at kræve, at en tjenesteyder bringer et brud på datasikkerheden til ophør eller forhindrer et sådant brud, eller muligheden for at fastlægge statslige procedurer med henblik på at begrænse eller afbryde adgang til informationen.«

29

Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (gennemførelsesbestemmelser til lov nr. 365/2002 om elektronisk handel), godkendt ved Hotărârea Guvernului nr. 1308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (regeringsbeslutning nr. 1308 om godkendelse af gennemførelsesbestemmelserne til lov nr. 365/2002 om elektronisk handel), af 20. november 2002 (Monitorul Oficial al României, del I, nr. 877 af 5.12.2002), fastsætter følgende i artikel 11, stk. 1:

»Leverandører af informationssamfundstjenester, der leverer de i artikel 12-15 i lov [nr. 365/2002] omhandlede tjenester, har ikke pligt til at kontrollere den information, de transmitterer eller oplagrer, eller til aktivt at undersøge oplysninger vedrørende aktiviteter eller informationer, som synes at være ulovlige, på området for de informationssamfundstjenester, de leverer.«

30

Russmedia Digital, der er et rumænsk selskab, er ejer af webstedet www.publi24.ro, der er en onlinemarkedsplads, hvor der gratis eller mod betaling kan offentliggøres reklameannoncer vedrørende bl.a. salg af varer eller levering af tjenesteydelser i Rumænien.

31

Appellanten i hovedsagen har gjort gældende, at en ukendt tredjemand den 1. august 2018 offentliggjorde en usand og krænkende annonce på dette websted, hvori hun blev fremstillet, som om hun tilbød seksuelle ydelser. Annoncen indeholdt bl.a. billeder af appellanten i hovedsagen, der var brugt uden hendes samtykke, og hendes telefonnummer. Nøjagtig den samme annonce blev herefter gengivet på andre websteder med reklameindhold, hvor den blev lagt ud online med angivelse af den oprindelige kilde. Appellanten i hovedsagen kontaktede Russmedia Digital, der fjernede annoncen fra sit websted mindre end en time efter modtagelsen af anmodningen herom. Samme annonce kunne imidlertid fortsat ses på andre websteder, der havde gengivet den.

32

Appellanten i hovedsagen fandt, at den i hovedsagen omhandlede annonce krænkede hendes ret til sit eget billede, ære og omdømme samt til privatliv og ligeledes tilsidesatte reglerne om behandling af personoplysninger, og hun anlagde derfor et søgsmål mod Russmedia ved Judecătoria Cluj-Napoca (retten i første instans i Cluj-Napoca, Rumænien). Denne ret pålagde Russmedia at betale en erstatning på 7000 EUR til appellanten i hovedsagen for den immaterielle skade, som hun var blevet forvoldt ved krænkelsen af hendes ret til sit eget billede, ære og omdømme samt ved tilsidesættelsen af hendes ret til privatliv og ved den ulovlige behandling af hendes personoplysninger.

33

Russmedia appellerede denne dom. Tribunalul Specializat Cluj (den særlige domstol i Cluj, Rumænien) gav Russmedia medhold i appellen og fastslog, at appellanten i hovedsagens søgsmål var ugrundet, eftersom den i hovedsagen omhandlede annonce ikke stammede fra Russmedia, der alene udbyd en hostingtjeneste for denne annonce, uden at Russmedia spillede en aktiv rolle hvad angår dens indhold. Den ansvarsfritagelse, der er fastsat i artikel 14, stk. 1, litra b), i lov nr. 365/2002, fandt derfor anvendelse på selskabet. Hvad angår behandlingen af personoplysninger fandt denne domstol, at en leverandør af informationssamfundstjenester ikke har pligt til at kontrollere den information, vedkommende transmitterer, eller til aktivt at undersøge oplysninger vedrørende aktiviteter eller informationer, som synes at være ulovlige. Den fastslog i denne henseende, at Russmedia ikke kunne kritiseres for ikke at have truffet foranstaltninger med henblik på at forhindre onlineformidling af den i hovedsagen omhandlede ærekrænkende annonce, eftersom selskabet hurtigt havde fjernet den efter anmodning fra appellanten i hovedsagen.

34

Appellanten i hovedsagen har iværksat appel til prøvelse af denne dom ved Curtea de Apel Cluj (appeldomstolen i Cluj, Rumænien), idet hun er af den opfattelse, at Tribunalul Specializat Cluj (den særlige domstol i Cluj) støttede sig på en fejlagtig fortolkning af lov nr. 365/2002. Appellanten i hovedsagen har bl.a. gjort gældende, at eftersom denne lov ikke er en særlig lov i forhold til databeskyttelsesforordningen, burde denne domstol have undersøgt, om databeskyttelsesforordningen fandt anvendelse i det foreliggende tilfælde. Desuden stillede Russmedia ikke bare en specifik teknisk anordning for adgang til hostingserveren til rådighed for sine kunder. Selskabet havde også en styrende rolle ved at være involveret i indholdet af annoncerne med henblik på god informationsstyring. Som operatør af det i hovedsagen omhandlede websted oplagrede og behandlede dette selskab indholdet af informationen. Oplagringen af oplysningerne og tilrådighedsstillelsen heraf for offentligheden i en bestemt form indebar en analyse af de oplysninger og informationer, der var indeholdt i annoncerne. Disse elementer viser, at Russmedia var direkte involveret i styringen og formidlingen af indholdet af annoncerne. Følgelig finder bestemmelserne i artikel 14 i lov nr. 365/2002 ikke anvendelse.

35

Appellanten i hovedsagen har i øvrigt gjort gældende, at ansvarsfritagelsen for en sådan tjenesteyder ikke finder anvendelse, hvis ansvaret fastslås i henhold til andre regelfastsættende retsakter, såsom databeskyttelsesforordningen. Russmedia offentliggjorde appellanten i hovedsagens personoplysninger uden hendes samtykke og tillod gennem driften af sit websted alle og enhver at lægge annoncer af enhver art på webstedet, herunder annoncer, der ikke sikrede persondatasikkerheden, således at det blev umuligt varigt at slette de oplysninger, der blev offentliggjort online.

36

Russmedia har for sin del anført, at den løsning, som Tribunalul Specializat Cluj (den særlige domstol i Cluj) valgte, er korrekt. Appellanten i hovedsagen har ikke forklaret, hvordan databeskyttelsesforordningen skulle udgøre en særregel, der er til hinder for anvendelsen af de relevante bestemmelser i lov nr. 365/2002.

37

Curtea de Apel Cluj (appeldomstolen i Cluj), som er den forelæggende ret, og som skal træffe afgørelse i denne sag som appelinstans, hvis afgørelse er endelig, er af den opfattelse, at det er nødvendigt at fastlægge bl.a. grænserne for ansvarsfritagelsen for en leverandør af informationssamfundstjenester, såsom Russmedia, i henhold til direktiv 2000/31.

38

Den forelæggende ret har under henvisning til Domstolens relevante praksis konstateret, at selv om operatører af onlinemarkedspladser i henhold til denne praksis ikke har pligt til at foretage en forudgående kontrol af de oplysninger eller annoncer, som annoncørerne lægger på, forholder det sig ikke desto mindre således, at ansvarsfritagelsen for disse annoncører er betinget. I henhold til dom af 12. juli 2011, L’Oréal m.fl. (C-324/09, EU:C:2011:474), kan en operatør af onlinetjenester således ikke påberåbe sig den ansvarsfritagelse, der er fastsat i artikel 14, stk. 1, i direktiv 2000/31, såfremt den pågældende har haft kendskab til forhold eller omstændigheder, som normalt ville få en påpasselig erhvervsdrivende til at indse, at de pågældende salgsudbud var ulovlige, og i den udstrækning, operatøren var bevidst herom, ikke har handlet øjeblikkeligt i henhold til dette direktivs artikel 14, stk. 1, litra b). Det fremgår også af dom af 11. september 2014, Papasavvas (C-291/13, EU:C:2014:2209), at de begrænsninger af det civilretlige ansvar, som er anført i artikel 12-14 i direktiv 2000/31, ikke omfatter tilfældet med et selskab, der råder over et websted, hvorpå det offentliggør den elektroniske version af en avis, idet dette selskab, der modtager vederlag fra midler opnået gennem reklamer, der bliver vist på webstedet, har kendskab til de offentliggjorte informationer og udøver kontrol hermed.

39

Den forelæggende ret har dog fremhævet, at der i denne praksis udelukkende henvises til tilbud lagt på et websted, hvis ulovlige karakter fremgår af en undersøgelse af forhold og omstændigheder, som udtrykkeligt er blevet meddelt den dataansvarlige efter offentliggørelsen af den pågældende annonce. Domstolen har således endnu ikke haft lejlighed til at undersøge en situation som den i hovedsagen omhandlede, hvor indholdet af den offentliggjorte annonce var åbenbart ulovligt og dybt krænkende for den berørte person.

40

Den forelæggende ret ønsker i denne sammenhæng oplyst, om det er nødvendigt, at en platform modtager en anmeldelse, for at den er forpligtet til at fjerne åbenbart ulovligt og dybt krænkende indhold. I det foreliggende tilfælde blev den i hovedsagen omhandlede annonce offentliggjort, uden at annoncørens identitet blev kontrolleret, og klart uden at der blev indhentet samtykke fra appellanten i hovedsagen.

41

Selv om den i hovedsagen omhandlede annonce blev fjernet fra det oprindelige websted efter en anmeldelse fra appellanten i hovedsagen, var indholdet af denne annonce, herunder hendes kontaktoplysninger og fotografier, i øvrigt blevet gengivet i sin helhed på talrige andre websteder med angivelse af den oprindelige kilde. Den skade, som appellanten i hovedsagen har lidt, er derfor blevet varig og viser sig fortsat i dag. Den forelæggende ret har i denne henseende fremhævet, at de seksuelle ydelser, som hævdedes tilbudt, kan være forbundet med alvorlige lovovertrædelser, der straffes i medfør af Codul penal (straffelov), såsom rufferi og menneskehandel.

42

Den forelæggende ret har præciseret, at Russmedia i overensstemmelse med de generelle betingelser for brug af selskabets onlinemarkedsplads ikke har gjort en ejendomsret gældende over indholdet af de offentliggjorte annoncer, men dog har forbeholdt sig ret til at bruge dette indhold, herunder kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte og overdrage det til partnere samt slette det til enhver tid, selv uden gyldig grund hertil.

43

Under disse omstændigheder har Curtea de Apel Cluj (appeldomstolen i Cluj, Rumænien) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

44

Det fremgår af fast retspraksis, at det som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer denne at give den nationale ret et hensigtsmæssigt svar, som sætter den i stand til at afgøre den tvist, der verserer for den. Ud fra denne synsvinkel påhviler det Domstolen efter omstændighederne at omformulere de spørgsmål, der forelægges den. Det tilkommer herved Domstolen ud fra samtlige de oplysninger, der er fremlagt af den nationale ret, navnlig af forelæggelsesafgørelsens præmisser, at udlede de EU-retlige elementer, som det under hensyn til sagens genstand er nødvendigt at fortolke (jf. i denne retning dom af 29.11.1978, Redmond,83/78, EU:C:1978:214, præmis 26, af 28.11.2000, Roquette Frères,C-88/99, EU:C:2000:652, præmis 18, og af 30.4.2024, M.N. (EncroChat),C-670/22, EU:C:2024:372, præmis 78).

45

Den forelæggende rets spørgsmål tager samlet sigte på en afgørelse af dels, om operatøren af en onlinemarkedsplads, såsom Russmedia, der giver sine brugere mulighed for anonymt at indrykke annoncer på sin onlinemarkedsplads, gratis eller mod betaling, tilsidesætter sine forpligtelser i henhold til databeskyttelsesforordningen, når en annonce offentliggjort på onlinemarkedspladsen indeholder personoplysninger, bl.a. følsomme personoplysninger, i strid med denne forordning, dels om artikel 12-15 i direktiv 2000/31 om formidleransvar for tjenesteydere finder anvendelse på en sådan operatør.

46

Med henblik på at give den forelæggende ret et hensigtsmæssigt svar på disse spørgsmål skal det andet til det fjerde spørgsmål – hvormed det søges afgjort, hvilke forpligtelser der i henhold til databeskyttelsesforordningen påhviler operatøren af en onlinemarkedsplads i en situation som den i hovedsagen omhandlede – undersøges først, idet disse spørgsmål skal omformuleres, således at de kun vedrører fortolkningen af denne forordning. Herefter vil det blive undersøgt, om en sådan operatør kan påberåbe sig artikel 12-15 i direktiv 2000/31, hvilket i det væsentlige er genstanden for det første spørgsmål.

47

Indledningsvis bemærkes for det første, at det fremgår af anmodningen om præjudiciel afgørelse, at den omhandlede annonce fremstillede appellanten i hovedsagen, som om hun tilbød seksuelle ydelser, og at denne annonce bl.a. indeholdt fotografier af hende, der blev anvendt uden hendes samtykke, samt hendes telefonnummer.

48

Det står fast, at sådanne informationer udgør personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), der definerer »enhver form for information om en identificeret eller identificerbar fysisk person« som personoplysninger, idet det præciseres, at der »ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet«.

49

Ifølge fast retspraksis afspejler anvendelsen af udtrykket »enhver form for information« i definitionen af begrebet »personoplysninger« i databeskyttelsesforordningens artikel 4, nr. 1), nemlig EU-lovgivers hensigt om at give begrebet en bred betydning, således at det potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er »om« den pågældende person. En information er om en identificeret eller identificerbar fysisk person, hvis den på grund af sit indhold, formål eller virkning er knyttet til en identificerbar person (dom af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person),C-710/23, EU:C:2025:231, præmis 21 og den deri nævnte retspraksis).

50

Desuden er der i databeskyttelsesforordningens artikel 9, stk. 1, blandt disse personoplysninger fastsat en særlig beskyttelsesordning for særlige kategorier af personoplysninger, herunder oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering.

51

Domstolen har præciseret, at formålet med databeskyttelsesforordningens artikel 9, stk. 1, består i at sikre en øget beskyttelse mod behandlinger, der som følge af de behandlede oplysningers særlig følsomme karakter kan udgøre et særlig alvorligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8 (dom af 21.12.2023, Krankenversicherung Nordrhein,C-667/21, EU:C:2023:1022, præmis 41 og den deri nævnte retspraksis).

52

En sådan øget beskyttelse kræver nødvendigvis en bred definition af sådanne »følsomme oplysninger«. Domstolen har således fastslået, at databeskyttelsesforordningens artikel 9, stk. 1, finder anvendelse på behandling, der vedrører ikke alene de egentligt følsomme oplysninger, som denne bestemmelse vedrører, men også oplysninger, som indirekte gennem en intellektuel refleksion i form af sammenstilling eller deduktion afslører informationer af denne art (dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 344 og den deri nævnte retspraksis).

53

Inden for rammerne af denne brede definition kan den usande og krænkende karakter af oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering ikke betyde, at sådanne oplysninger mister deres kvalificering som »følsomme oplysninger« som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1.

54

For det andet skal det fastslås, at den i hovedsagen omhandlede behandling består i offentliggørelse af denne annonce og dermed af disse oplysninger på Russmedias onlinemarkedsplads. En aktivitet, der består i at stille personoplysninger til rådighed på et websted, udgør nemlig en behandling som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2) (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija,C-184/20, EU:C:2022:601, præmis 65 og den deri nævnte retspraksis).

55

For det tredje bemærkes, at det andet til det fjerde spørgsmål henviser til den omstændighed, at operatøren af den i hovedsagen omhandlede onlinemarkedsplads er ansvarlig for behandlingen af personoplysninger. Det fremgår dog, at de personoplysninger, hvis offentliggørelse er genstand for tvisten i hovedsagen, blev indsat i den pågældende annonce af en anonym annoncør, uden at operatøren havde konkret indflydelse på indholdet af denne annonce, og uden at vedkommende var klar over, at den havde en usand og krænkende karakter. På denne baggrund skal der anføres nogle præciseringer vedrørende begreberne »dataansvarlig« og »fælles dataansvarlige« som omhandlet i henholdsvis databeskyttelsesforordningens artikel 4, nr. 7), og artikel 26.

56

I databeskyttelsesforordningens artikel 4, nr. 7), defineres begrebet »dataansvarlig« bredt som en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.

57

Formålet med denne brede definition er – i overensstemmelse med databeskyttelsesforordningens formål – at sikre en effektiv beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder samt at sikre et højt beskyttelsesniveau for enhver persons ret til beskyttelse af personoplysninger vedrørende vedkommende (dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949 præmis 29 og den deri nævnte retspraksis).

58

Enhver fysisk eller juridisk person, der til eget formål øver indflydelse på behandlingen af sådanne oplysninger og grundet den omstændighed deltager i fastlæggelsen af formålene med og hjælpemidlerne til denne behandling, kan således anses for dataansvarlig (dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949 præmis 30 og den deri nævnte retspraksis).

59

Da det desuden er udtrykkeligt bestemt i databeskyttelsesforordningens artikel 4, nr. 7), at begrebet »dataansvarlig« omfatter det organ, der »alene eller sammen med andre« afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger, henviser dette begreb ikke nødvendigvis til et enkelt organ og kan vedrøre flere aktører, som deltager i denne behandling, og derfor er de alle undergivet de anvendelige bestemmelser om databeskyttelse (jf. i denne retning dom af 29.7.2019, Fashion ID,C-40/17, EU:C:2019:629, præmis 67 og den deri nævnte retspraksis).

60

Databeskyttelsesforordningens artikel 26, der indgår i definitionen af »dataansvarlig« i denne forordnings artikel 4, nr. 7), fastsætter i det væsentlige, at hvis to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling, skal de kvalificeres som »fælles dataansvarlige«.

61

Et sådant fælles dataansvar kræver ikke nødvendigvis, at der foreligger fælles beslutninger vedrørende fastlæggelsen af formålene med og hjælpemidlerne til behandling af de pågældende personoplysninger. Domstolen har nemlig fastslået, at deltagelse i fastlæggelsen af disse formål og disse hjælpemidler kan antage forskellige former, idet den kan følge af såvel en fælles beslutning truffet af to eller flere enheder som af sådanne enheders konvergerende beslutninger, der supplerer hinanden på en sådan måde, at de har en mærkbar indvirkning på fastlæggelsen af de nævnte formål og hjælpemidler (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949, præmis 43).

62

I denne henseende forudsætter et fælles ansvar for flere aktører for den samme behandling i henhold til databeskyttelsesforordningens artikel 4, nr. 7), ikke, at hver af disse har adgang til de omhandlede personoplysninger (dom af 29.7.2019, Fashion ID,C-40/17, EU:C:2019:629, præmis 69 og den deri nævnte retspraksis, og af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949, præmis 42).

63

Ud fra samme synspunkt har Domstolen præciseret, at tilstedeværelsen af et fælles ansvar ikke nødvendigvis indebærer, at de forskellige operatører, som er omfattet af en behandling af personoplysninger, har samme ansvar. De forskellige operatører kan tværtimod være ansvarlige for behandlingen af personoplysninger på forskellige niveauer og i forskelligt omfang, således at den enkeltes ansvarsniveau skal vurderes under hensyntagen til samtlige relevante omstændigheder i sagen (jf. i denne retning dom af 10.7.2018, Jehovan todistajat,C-25/17, EU:C:2018:551, præmis 66 og den deri nævnte retspraksis, og af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949, præmis 42).

64

I det foreliggende tilfælde står det fast, at den annoncør, der indrykkede den usande og krænkende annonce med personoplysninger vedrørende appellanten i hovedsagen på Russmedias onlinemarkedsplads, skal anses for hovedsageligt at have fastlagt formålene med og hjælpemidlerne til behandling af disse oplysninger, og denne annoncør er dermed omfattet af begrebet »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7).

65

Det er imidlertid godtgjort, at denne annonce alene blev offentliggjort på internettet og således gjort tilgængelig for internetbrugerne takket være Russmedias onlinemarkedsplads.

66

Selv om det fremgår af den retspraksis, der er nævnt i denne doms præmis 58, at en person kun kan kvalificeres som »dataansvarlig« for personoplysninger, hvis vedkommende til eget formål øver indflydelse på denne behandling, skal det dog fastslås, at dette bl.a. kan være tilfældet, når operatøren af en onlinemarkedsplads offentliggør de pågældende personoplysninger med et kommercielt eller reklamemæssigt formål, der går ud over den blotte levering af den tjenesteydelse, som operatøren yder annoncøren.

67

I det foreliggende tilfælde fremgår det af forelæggelsesafgørelsen, at Russmedia offentliggør annoncer på sin onlinemarkedsplads til egne kommercielle formål. I denne henseende giver de generelle betingelser for brug af denne markedsplads Russmedia stor frihed til at udnytte den information, der offentliggøres herpå. Ifølge de oplysninger, som den forelæggende ret har givet, forbeholder Russmedia sig navnlig ret til at bruge det offentliggjorte indhold, til at distribuere, transmittere, reproducere, ændre, oversætte og overdrage det til partnere og til at slette det til enhver tid, også uden »gyldig grund« hertil. Russmedia offentliggør således ikke eller ikke alene de personoplysninger, der er indeholdt i annoncerne, på vegne af annoncørerne, men behandler og kan udnytte disse oplysninger til egne reklamemæssige og kommercielle formål.

68

Det må således lægges til grund, at Russmedia til egne formål har øvet indflydelse på offentliggørelsen på internettet af appellanten i hovedsagens personoplysninger og derfor har deltaget i fastlæggelsen af formålene med denne offentliggørelse og dermed den omhandlede behandling.

69

Denne konstatering drages ikke i tvivl af den omstændighed, at det er åbenbart, at Russmedia ikke har deltaget i fastlæggelsen af det usande og krænkende formål, som annoncøren har tilsigtet gennem offentliggørelsen af den i hovedsagen omhandlede annonce. Russmedia har nemlig deltaget i fastlæggelsen af det formål med behandlingen, der består i at gøre de personoplysninger, der er indeholdt i den i hovedsagen omhandlede annonce, tilgængelige for internetbrugerne med henblik på at udnytte offentliggørelsen. Russmedia har i øvrigt ved at tillade, at annoncer indrykkes anonymt på selskabets onlinemarkedsplads, gjort det lettere at offentliggøre sådanne oplysninger uden den registreredes samtykke.

70

Desuden har Russmedia ved at stille sin onlinemarkedsplads, der er blevet anvendt til at offentliggøre den i hovedsagen omhandlede annonce, til rådighed for annoncøren, deltaget i fastlæggelsen af hjælpemidlerne til denne offentliggørelse.

71

Domstolen har nemlig allerede i det væsentlige fastslået, at en fysisk eller juridisk person, som på afgørende vis har indflydelse på indsamlingen og transmissionen af personoplysninger, eller som ved at foretage en indstilling, der er afhængig af den pågældendes mål for forvaltning af og reklame for sine aktiviteter, har indflydelse på behandlingen af personoplysningerne, deltager i fastlæggelsen af hjælpemidlerne til behandlingen (jf. i denne retning dom af 5.6.2018, Wirtschaftsakademie Schleswig-Holstein,C-210/16, EU:C:2018:388, præmis 36, og af 29.7.2019, Fashion ID,C-40/17, EU:C:2019:629, præmis 78). Det samme gælder for så vidt angår en søgemaskine, når dennes aktivitet spiller en afgørende rolle for den globale formidling af personoplysninger, idet denne aktivitet gør oplysningerne offentligt tilgængelige online i systematiseret og sammenlagt form (jf. i denne retning dom af 8.12.2022, Google (Fjernelse af links til et angiveligt urigtigt indhold),C-460/20, EU:C:2022:962, præmis 50 og den deri nævnte retspraksis).

72

Det skal derfor fastslås, at når operatøren af en onlinemarkedsplads såsom Russmedia fastsætter parametrene for formidlingen af annoncer, der kan indeholde personoplysninger, i forhold til den tilsigtede målgruppe, bestemmer annoncens udformning, varigheden af formidlingen eller de rubrikker, der strukturerer den offentliggjorte information, eller organiserer den klassificering, der afgør en sådan formidlings former, deltager den pågældende i fastlæggelsen af de væsentligste hjælpemidler til offentliggørelse af de pågældende personoplysninger, idet vedkommende således på afgørende vis øver indflydelse på den globale formidling af disse.

73

I denne henseende kan indholdet af de generelle betingelser for brug af den pågældende onlinemarkedsplads udgøre indicier, der godtgør, at operatøren af denne markedsplads har afgørende indflydelse på den pågældende behandling af personoplysninger og således fastlægger hjælpemidlerne til denne behandling. Dette synes at være tilfældet for de generelle betingelser for brug af Russmedias onlinemarkedsplads, hvori dette selskab bl.a. forbeholder sig ret til at distribuere, transmittere, offentliggøre, slette eller endog reproducere den information, der er indeholdt i annoncerne, herunder personoplysningerne heri.

74

Under alle omstændigheder kan operatøren af en onlinemarkedsplads ikke unddrage sig sit ansvar som dataansvarlig for personoplysninger med den begrundelse, at vedkommende ikke selv har fastlagt indholdet af den omhandlede annonce, der er offentliggjort på denne markedsplads. Det ville nemlig være i strid med ikke blot den klare ordlyd, men også formålet med databeskyttelsesforordningens artikel 4, nr. 7) – der består i ved hjælp af en bred definition af begrebet »dataansvarlig« at sikre en effektiv og fuldstændig beskyttelse af de registrerede – at udelukke en sådan operatør fra denne definition alene af denne grund.

75

Det skal derfor fastslås, at det er med rette, at den forelæggende ret har baseret det andet til det fjerde spørgsmål på den forudsætning, at operatøren af onlinemarkedspladsen i en situation som den i hovedsagen omhandlede er ansvarlig for behandlingen af de personoplysninger, der er indeholdt i en annonce offentliggjort på denne onlinemarkedsplads, som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7).

76

Det er i lyset af samtlige ovenstående indledende bemærkninger, at disse spørgsmål skal besvares.

77

Den forelæggende ret ønsker med det andet og det tredje spørgsmål, der skal behandles samlet, nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24-26 skal fortolkes således, at operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer offentliggjort på dennes onlinemarkedsplads, har pligt til inden offentliggørelsen at identificere de annoncer, der indeholder følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, at kontrollere, at den annoncør, der vil indrykke en sådan annonce, er den person, hvis følsomme oplysninger fremgår af annoncen, og, hvis dette ikke er tilfældet, at nægte at offentliggøre annoncen uden den registreredes udtrykkelige samtykke, for så vidt som en sådan offentliggørelse kan medføre en alvorlig krænkelse af denne persons ret til respekt for privatlivet og til beskyttelse af sine personoplysninger som sikret ved chartrets artikel 7 og 8.

78

I henhold til databeskyttelsesforordningens artikel 1, stk. 2, sammenholdt med fjerde og tiende betragtning hertil, har denne forordning bl.a. til formål at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af personoplysninger, idet denne ret ligeledes er fastsat i chartrets artikel 8 og er tæt knyttet til retten til respekt for privatlivet, som er fastsat i chartrets artikel 7 (jf. i denne retning dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija,C-184/20, EU:C:2022:601, præmis 61 og den deri nævnte retspraksis).

79

Med henblik herpå fastsætter databeskyttelsesforordningens kapitel II for det første de principper for behandlingen af personoplysninger, som den dataansvarlige skal overholde. Enhver behandling af personoplysninger skal navnlig overholde de principper for behandling af oplysninger og for lovlig behandling, der er fastsat i denne forordnings artikel 5 og 6 (jf. i denne retning dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija,C-184/20, EU:C:2022:601, præmis 62 og den deri nævnte retspraksis).

80

I henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal personoplysninger behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. I denne forordnings artikel 5, stk. 1, litra d), er det tilføjet, at de personoplysninger, der behandles, skal være korrekte og om nødvendigt ajourførte. Der skal således tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges. Forordningens artikel 5, stk. 1, litra f), bestemmer, at personoplysninger skal behandles på en måde, der sikrer tilstrækkelig sikkerhed for disse oplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling.

81

Hvad angår betingelserne for lovlig behandling fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, således som Domstolen har fastslået, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. Behandlingen skal således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (jf. i denne retning dom af 9.1.2025, Mousse,C-394/23, EU:C:2025:2, præmis 25 og den deri nævnte retspraksis).

82

I medfør af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger navnlig lovlig, hvis og i det omfang den registrerede har givet samtykke til et eller flere specifikke formål. I denne forordnings artikel 7, stk. 1, er det præciseret, at den dataansvarlige i så fald skal kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i forordningens artikel 4, nr. 11), kan en sådan behandling alligevel være begrundet, hvis den opfylder et af de krav om nødvendighed, der er omtalt i forordningens artikel 6, stk. 1, første afsnit, litra b)-f) (dom af 9.1.2025, Mousse,C-394/23, EU:C:2025:2, præmis 26 og den deri nævnte retspraksis).

83

Foruden disse principper og betingelser gælder der særlige krav vedrørende følsomme oplysninger som defineret i databeskyttelsesforordningens artikel 9, stk. 1, som det principielt er forbudt at behandle (jf. i denne retning dom af 21.12.2023, Krankenversicherung Nordrhein,C-667/21, EU:C:2023:1022, præmis 73).

84

Dette forbud kan kun fraviges, hvis en af undtagelserne i denne forordnings artikel 9, stk. 2, litra a)-j), finder anvendelse. Blandt disse undtagelser, der skal fortolkes strengt, fastsætter forordningens artikel 9, stk. 2, litra a), at forbuddet mod behandling af følsomme oplysninger ikke finder anvendelse, hvis den registrerede har givet udtrykkeligt samtykke til behandling af sine følsomme personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at dette forbud ikke kan hæves ved den registreredes samtykke.

85

For det andet præciserer databeskyttelsesforordningens kapitel IV rækkevidden af de forpligtelser, der påhviler den dataansvarlige i henhold til princippet om ansvarlighed i databeskyttelsesforordningens artikel 5, stk. 2.

86

I henhold til denne bestemmelse er den dataansvarlige ansvarlig for overholdelsen af denne artikels stk. 1 og skal kunne påvise, at vedkommende overholder alle de principper, der er fastsat i nævnte stk. 1, idet bevisbyrden herfor således påhviler den pågældende (dom af 4.5.2023, Bundesrepublik Deutschland (Domstolenes elektroniske postkasse), C-60/22, EU:C:2023:373, præmis 53 og den deri nævnte retspraksis).

87

Dette princip om ansvarlighed er bl.a. konkretiseret i databeskyttelsesforordningens artikel 24 (jf. i denne retning dom af 25.1.2024, MediaMarktSaturn,C-687/21, EU:C:2024:72, præmis 43 og den deri nævnte retspraksis). Denne bestemmelse kræver, at den dataansvarlige under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandlingen er i overensstemmelse med denne forordning.

88

Databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 pålægger således den dataansvarlige for personoplysninger generelle forpligtelser med hensyn til ansvar og efterlevelse. Disse bestemmelser kræver navnlig, at den dataansvarlige træffer passende foranstaltninger med henblik på at forebygge eventuelle tilsidesættelser af de regler, der er fastsat i databeskyttelsesforordningen med henblik på at sikre retten til databeskyttelse (jf. i denne retning dom af 27.10.2022, Proximus (Offentligt tilgængelige elektroniske telefonnummerfortegnelser),C-129/21, EU:C:2022:833, præmis 81).

89

På denne baggrund kræver databeskyttelsesforordningens artikel 25, stk. 1, at den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen gennemfører passende tekniske og organisatoriske foranstaltninger, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder. Desuden fastsætter artikel 25, stk. 2, om databeskyttelse gennem standardindstillinger bl.a., at de passende tekniske og organisatoriske foranstaltninger, som den dataansvarlige skal gennemføre i dette øjemed, gennem standardindstillinger skal sikre, at personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.

90

Når de personoplysninger, der behandles, er følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, skal den dataansvarlige med henblik på at afgøre, hvilke foranstaltninger der er passende som omhandlet i denne forordnings artikel 24 og 25, bl.a. tage hensyn til den omstændighed, at en tilsidesættelse af de principper, der er fastsat i forordningens kapitel II, med hensyn til behandling af sådanne oplysninger kan udgøre et særlig alvorligt indgreb i de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret i chartrets artikel 7 og 8.

91

Det er i lyset af samtlige disse præciseringer, at det andet og det tredje spørgsmål, som omformuleret i denne doms præmis 77, skal behandles.

92

Hvad for det første angår spørgsmålet om, hvorvidt operatøren af en onlinemarkedsplads skal identificere de annoncer, der indeholder følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, inden de offentliggøres, bemærkes, at som det fremgår af denne doms præmis 64 og 75, skal denne operatør og den annoncør, der har indrykket en sådan annonce på denne onlinemarkedsplads, anses for fælles dataansvarlige som omhandlet i forordningens artikel 26, når den pågældende annonce offentliggøres dér.

93

Det følger heraf, at såvel denne operatør som denne annoncør har pligt til at sikre overholdelsen af de forpligtelser, der følger af databeskyttelsesforordningens artikel 5, stk. 2, samt artikel 24 og 25. De skal navnlig kunne påvise, at personoplysningerne i den pågældende annonce offentliggøres lovligt, dvs. at den registrerede har givet sit samtykke til en sådan offentliggørelse, medmindre de kan påberåbe sig en anden betingelse i databeskyttelsesforordningens artikel 6, stk. 1. Når de pågældende personoplysninger er følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, skal samtykket til offentliggørelsen, således som det fremgår af denne doms præmis 84, være udtrykkeligt. På samme måde skal de dataansvarlige ifølge princippet om rigtighed, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra d), kunne påvise, at de pågældende personoplysninger er korrekte.

94

Med henblik på at fastlægge, hvilke passende tekniske og organisatoriske foranstaltninger operatøren af en onlinemarkedsplads i sin egenskab af fælles dataansvarlig for behandlingen af personoplysninger specifikt har pligt til at gennemføre i henhold til databeskyttelsesforordningens artikel 24 og 25 for at sikre og være i stand til at påvise, at offentliggørelsen af følsomme oplysninger i en annonce foretages i overensstemmelse med denne forordning, bemærkes, at det fremgår af disse bestemmelser, at spørgsmålet om, hvorvidt foranstaltningerne er passende, skal vurderes konkret under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt til sandsynligheden for og alvoren af risiciene for den registreredes specifikke rettigheder og frihedsrettigheder (jf. i denne retning dom af 21.12.2023, Krankenversicherung Nordrhein,C-667/21, EU:C:2023:1022, præmis 96).

95

I denne henseende bemærkes, at offentliggørelse af personoplysninger på en onlinemarkedsplads indebærer betydelige risici for den registreredes rettigheder og frihedsrettigheder, eftersom den i princippet gør disse oplysninger tilgængelige for alle internetbrugere. Når oplysningerne først er offentliggjort på en onlinemarkedsplads, kan de desuden kopieres og gengives på andre websteder, således at det kan blive vanskeligt hvis ikke umuligt for den registrerede at få dem effektivt slettet fra internettet.

96

De risici, der er forbundet med en sådan offentliggørelse, er endnu mere alvorlige, når der er tale om følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1. Som udtrykkeligt anført i 51. betragtning til databeskyttelsesforordningen bør personoplysninger, der i kraft af deres karakter er særlig følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for disse rettigheder og frihedsrettigheder (jf. i denne retning dom af 4.10.2024, Lindenapotheke,C-21/23, EU:C:2024:846, præmis 75). Behandling af sådanne oplysninger kan, således som det er anført i denne doms præmis 90, udgøre et særlig alvorligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8. Desuden er graden af sandsynlighed for en tilsidesættelse af disse rettigheder ved offentliggørelse af en annonce, der indeholder følsomme oplysninger, meget høj, når annoncøren ikke selv er den registrerede, og når onlinemarkedspladsen tillader, at sådanne annoncer indrykkes anonymt.

97

For så vidt som operatøren af en onlinemarkedsplads som den i hovedsagen omhandlede ved eller burde vide, at annoncer, der indeholder følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, generelt kan blive offentliggjort af annoncører på operatørens onlinemarkedsplads, er denne operatør som dataansvarlig derfor forpligtet til gennem designet af sin tjeneste at gennemføre passende tekniske og organisatoriske foranstaltninger til at identificere sådanne annoncer inden offentliggørelsen og således være i stand til at kontrollere, at de følsomme oplysninger, som de indeholder, er blevet offentliggjort under overholdelse af de principper, der er fastsat i denne forordnings kapitel II. Som det bl.a. fremgår af forordningens artikel 25, stk. 1, påhviler forpligtelsen til at gennemføre sådanne foranstaltninger nemlig ikke blot operatøren på tidspunktet for behandlingen, men allerede på tidspunktet for fastlæggelsen af midlerne til behandling og dermed endda inden offentliggørelsen af følsomme oplysninger på dennes onlinemarkedsplads i strid med disse principper, idet denne forpligtelse netop har til formål at forebygge sådanne tilsidesættelser.

98

Hvad for det andet angår spørgsmålet om, hvorvidt operatøren af en onlinemarkedsplads i sin egenskab af ansvarlig, i fællesskab med annoncøren, for behandlingen af de følsomme oplysninger, der er indeholdt i de annoncer, der offentliggøres på dennes websted, inden offentliggørelsen skal kontrollere denne annoncørs identitet, bemærkes, at det følger af databeskyttelsesforordningens artikel 9, stk. 1, sammenholdt med artikel 9, stk. 2, litra a), at offentliggørelse af sådanne oplysninger er forbudt, medmindre den registrerede har givet udtrykkeligt samtykke til, at de pågældende oplysninger offentliggøres på denne onlinemarkedsplads, eller en af de andre undtagelser, der er fastsat i artikel 9, stk. 2, litra b)-j), gør sig gældende, hvilket dog ikke synes at være tilfældet i den foreliggende sag.

99

Selv om den omstændighed, at en registreret indrykker en annonce, der indeholder følsomme oplysninger om vedkommende, på en onlinemarkedsplads, kan udgøre et udtrykkeligt samtykke som omhandlet i databeskyttelsesforordningens artikel 9, stk. 2, litra a), foreligger der ikke et sådant samtykke, når annoncen indrykkes af en tredjemand, medmindre denne tredjemand kan påvise, at den registrerede har givet udtrykkeligt samtykke til offentliggørelsen af annoncen på den pågældende onlinemarkedsplads. For at kunne sikre og for at være i stand til at påvise, at de krav, der er fastsat i databeskyttelsesforordningens artikel 9, stk. 2, litra a), er overholdt, har operatøren af onlinemarkedspladsen følgelig pligt til inden offentliggørelsen af en sådan annonce at kontrollere, om den annoncør, der vil indrykke annoncen, er den person, hvis følsomme oplysninger fremgår af annoncen, hvilket forudsætter, at oplysning om denne annoncørs identitet indsamles.

100

Det fremgår desuden af databeskyttelsesforordningens artikel 13, stk. 1, litra a), og artikel 14, stk. 1, litra a), at de dataansvarlige for personoplysninger under alle omstændigheder skal oplyse den registrerede om deres identitet og give denne deres kontaktoplysninger.

101

Endelig bemærkes, at databeskyttelsesforordningens artikel 26 pålægger de fælles dataansvarlige for den samme behandling af personoplysninger at fastlægge deres respektive ansvar for overholdelse af forpligtelserne i henhold til denne forordning på en gennemsigtig måde. Det ville være umuligt at opfylde en sådan forpligtelse, hvis den ene af de dataansvarlige kunne forblive anonym over for den anden.

102

Det følger således af det ovenstående, at operatøren af en onlinemarkedsplads i sin egenskab af ansvarlig, i fællesskab med annoncøren, for offentliggørelsen af følsomme oplysninger i en annonce, der er offentliggjort på operatørens onlinemarkedsplads, har pligt til at indsamle oplysning om denne annoncørs identitet og til at kontrollere, at denne er den person, hvis følsomme oplysninger fremgår af annoncen.

103

Som generaladvokaten i det væsentlige har anført i punkt 132 i forslaget til afgørelse, fremgår det i denne henseende af 75. betragtning til databeskyttelsesforordningen, at behandling af personoplysninger, bl.a. i tilfælde af identitetstyveri, kan medføre risici for de registreredes rettigheder og frihedsrettigheder, og de kan af denne grund blive forhindret i at udøve kontrol over deres personoplysninger. Identitetssvig begås nemlig i almindelighed med det formål at udføre svigagtige handlinger til skade for den registrerede eller tredjemand.

104

Under disse omstændigheder, og henset ligeledes til betragtningerne i denne doms præmis 95 og 96, skal operatøren af en onlinemarkedsplads for at være i stand til at sikre og påvise, at de følsomme oplysninger, der er indeholdt i annoncer, behandles i overensstemmelse med databeskyttelsesforordningens krav, i henhold til denne forordnings artikel 24 og 25 fastsætte passende tekniske og organisatoriske foranstaltninger, der gør det muligt for operatøren ikke alene at indsamle oplysning om annoncørens identitet, men også at kontrollere denne identitet, inden disse annoncer offentliggøres, og dette bl.a. med henblik på at kunne afgøre, om annoncøren er den person, hvis følsomme oplysninger fremgår af annoncerne. Sådanne foranstaltninger skal, således som generaladvokaten har anført i punkt 134 i forslaget til afgørelse, bl.a. gøre det muligt at begrænse risikoen for, at de registreredes personoplysninger behandles ulovligt, og bekæmpe urimelig brug af en sådan onlinemarkedsplads ved at bekæmpe opfattelsen af straffrihed og således tilskynde annoncører til at overholde databeskyttelsesforordningens krav, når de offentliggør annoncer med personoplysninger.

105

Endelig skal det hvad for det tredje angår spørgsmålet om, hvorvidt operatøren af en onlinemarkedsplads skal nægte at offentliggøre en annonce, der indeholder følsomme oplysninger, når det – efter en sådan kontrol af identiteten på den annoncør, der vil indrykke denne annonce – viser sig, at denne ikke er den person, hvis følsomme oplysninger fremgår af annoncen, fastslås, at det følger af denne doms præmis 98 og 99, at det i et sådant tilfælde ikke kan udelukkes, at denne offentliggørelse sker i strid med det forbud mod behandling af sådanne oplysninger, der er fastsat i databeskyttelsesforordningens artikel 9, stk. 1. Medmindre denne annoncør i tilstrækkelig grad kan godtgøre, at den registrerede har givet udtrykkeligt samtykke til, at de pågældende oplysninger offentliggøres på denne onlinemarkedsplads, som omhandlet i forordningens artikel 9, stk. 2, litra a), eller at en af de andre undtagelser, der er fastsat i artikel 9, stk. 2, litra b)-j), finder anvendelse, skal operatøren af denne onlinemarkedsplads følgelig afvise at offentliggøre den pågældende annonce, hvilket vedkommende skal sikre ved at gennemføre passende tekniske og organisatoriske foranstaltninger.

106

Henset til samtlige ovenstående betragtninger skal det andet og det tredje spørgsmål besvares med, at databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24-26 skal fortolkes således, at operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i denne forordnings artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer offentliggjort på dennes onlinemarkedsplads, har pligt til, inden offentliggørelsen af annoncerne og ved hjælp af passende tekniske og organisatoriske foranstaltninger,

107

Med det fjerde spørgsmål ønskes det nærmere bestemt oplyst, om en operatør af en onlinemarkedsplads i sin egenskab af dataansvarlig har pligt til at iværksætte sikkerhedsforanstaltninger for at forhindre eller begrænse kopiering og viderespredning af annoncer med følsomme oplysninger, som er blevet offentliggjort på operatørens onlinemarkedsplads.

108

I det foreliggende tilfælde fremgår det af anmodningen om præjudiciel afgørelse, at den i hovedsagen omhandlede usande og krænkende annonce for det første er blevet gengivet på andre websteder med reklameindhold, der har offentliggjort den med angivelse af den oprindelige kilde, og at Russmedia i de generelle betingelser for brug af sin onlinemarkedsplads for det andet bl.a. forbeholder sig ret til at transmittere indholdet af annoncerne på denne markedsplads og til at overdrage det til partnere. Den forelæggende ret har i denne henseende ikke præciseret, om Russmedia frivilligt har overført denne annonce til disse andre websteder eller i det mindste gennem aftaler har tilladt disse offentliggørelser, eller om de derimod stammer fra kopier af den oprindelige annonce, som Russmedia ikke har tilladt.

109

Hvis det fastslås, at der er tale om den første del af dette alternativ, vil denne transmission udgøre en ny behandling af personoplysninger, som Russmedia vil være dataansvarlig for som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7). Denne behandling skal holdes ude fra annoncørens offentliggørelse af den i hovedsagen omhandlede usande og krænkende annonce på Russmedias onlinemarkedsplads.

110

Der skal nemlig sondres mellem de forskellige behandlinger af personoplysninger, der hører til den samme kæde af aktiviteter, således at der tages hensyn til nødvendigheden af for hver person, der kan kvalificeres som dataansvarlig for personoplysninger, at foretage en individuel vurdering af, hvilket ansvarsniveau der kan pålægges den pågældende. Dette skyldes, at en fysisk eller juridisk person for at kunne anses for at være fælles dataansvarlig selvstændigt skal leve op til den definition af »dataansvarlig«, der er fastsat i databeskyttelsesforordningens artikel 4, nr. 7) (dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949, præmis 41 og den deri nævnte retspraksis).

111

Det følger heraf, at hvis en videregivelse af personoplysningerne foretages inden for rammerne af formidlingsaftaler mellem operatøren af den onlinemarkedsplads, hvor de omhandlede personoplysninger oprindeligt er blevet offentliggjort, og operatører af andre websteder, er førstnævnte operatør i princippet den eneste dataansvarlige for den behandling, som denne videregivelse udgør. Under alle omstændigheder har enhver dataansvarlig, alene eller i fællesskab, pligt til at opfylde alle de forpligtelser, der følger af databeskyttelsesforordningen.

112

Efter disse præciseringer skal det fjerde spørgsmål forstås således, at det vedrører en situation, hvor Russmedia ikke har overført den i hovedsagen omhandlede usande og krænkende annonce til andre websteder med reklameindhold og således ikke har givet tilladelse til disse efterfølgende offentliggørelser.

113

Det bemærkes ligeledes, at dette spørgsmål i det væsentlige vedrører rækkevidden af den sikkerhedsforpligtelse, som en dataansvarlig skal overholde. Databeskyttelsesforordningens artikel 32 tager imidlertid specifikt sigte på behandlingssikkerhed. Den konkretiserer og præciserer et specifikt aspekt af de krav, der er fastsat i denne forordnings artikel 24, som sammen med artikel 5, stk. 2, generelt fastsætter den dataansvarliges ansvar.

114

På denne baggrund må det lægges til grund, at den forelæggende ret med det fjerde spørgsmål nærmere bestemt ønsker oplyst, om databeskyttelsesforordningens artikel 32 skal fortolkes således, at operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i denne forordnings artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer, der offentliggøres på dennes onlinemarkedsplads, har pligt til at gennemføre sikkerhedsforanstaltninger for at forhindre, at annoncer offentliggjort på denne markedsplads, der indeholder følsomme oplysninger som omhandlet i forordningens artikel 9, stk. 1, kopieres og ulovligt offentliggøres på andre websteder.

115

Databeskyttelsesforordningens artikel 32, stk. 1, fastsætter, at den dataansvarlige og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

116

Denne forordnings artikel 32, stk. 2, fastsætter, at der ved vurderingen af, hvilket sikkerhedsniveau der er passende, navnlig skal tages hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysningerne.

117

Domstolen har fastslået, at henvisningen i databeskyttelsesforordningens artikel 32, stk. 1 og 2, til »et sikkerhedsniveau, der passer til disse risici« og et »sikkerhedsniveau, der er passende« vidner om, at der med denne forordning indføres en risikostyringsordning, og at det på ingen måde hævdes, at risiciene for brud på persondatasikkerheden fjernes (dom af 14.12.2023, Natsionalna agentsia za prihodite,C-340/21, EU:C:2023:986, præmis 29).

118

Det fremgår således af affattelsen af databeskyttelsesforordningens artikel 32, sammenholdt med denne forordnings artikel 24, at artikel 32 begrænser sig til at pålægge den dataansvarlige at vedtage tekniske og organisatoriske foranstaltninger med henblik på i videst muligt omfang at undgå ethvert brud på persondatasikkerheden. Spørgsmålet om, hvorvidt sådanne foranstaltninger er passende, skal vurderes konkret, idet det skal undersøges, om den dataansvarlige har gennemført disse foranstaltninger under hensyntagen til de forskellige kriterier, der er omhandlet i disse artikler, og til de behov for databeskyttelse, der specifikt er forbundet med den pågældende behandling, samt til de risici, som denne behandling indebærer (jf. i denne retning dom af 14.12.2023, Natsionalna agentsia za prihodite,C-340/21, EU:C:2023:986, præmis 30).

119

I denne henseende skal der med henblik på at fastlægge den konkrete risiko, som den pågældende behandling udgør, tages hensyn til den eventuelle følsomme karakter af de behandlede personoplysninger. Som anført i denne doms præmis 51 og 90 skyldes den øgede beskyttelse, der er fastsat i databeskyttelsesforordningens artikel 9, stk. 1, for visse kategorier af oplysninger grundet deres særlig følsomme karakter, nemlig, at behandlingen af sådanne oplysninger kan udgøre et særlig alvorligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8 (jf. i denne retning dom af 21.12.2023, Krankenversicherung Nordrhein,C-667/21, EU:C:2023:1022, præmis 41 og den deri nævnte retspraksis).

120

Når først en annonce, der indeholder personoplysninger, er online og således allerede tilgængelig på globalt plan, indebærer udbredelsen af disse oplysninger under disse omstændigheder bl.a. en risiko for tab af kontrol over de pågældende personoplysninger, som, når den indtræffer, fratager de rettigheder og garantier, som er fastsat i databeskyttelsesforordningen til fordel for den registrerede, og som navnlig omfatter den ret til sletning, der er fastsat i denne forordnings artikel 17, enhver effektiv virkning.

121

Når følsomme oplysninger offentliggøres online, har den dataansvarlige i henhold til databeskyttelsesforordningens artikel 32 også pligt til at træffe alle tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der effektivt kan forhindre, at der opstår tab af kontrol over disse oplysninger.

122

I denne henseende skal den dataansvarlige bl.a. overveje alle tilgængelige tekniske foranstaltninger på det aktuelle tekniske niveau, der kan blokere kopiering og gengivelse af onlineindhold.

123

Det skal dog endvidere præciseres, at databeskyttelsesforordningens artikel 24 og 32 ikke kan forstås således, at en ulovlig udbredelse af personoplysninger, der først er offentliggjort online, er tilstrækkelig til at konkludere, at de foranstaltninger, som den pågældende dataansvarlige har truffet, ikke var passende som omhandlet i disse bestemmelser, uden at det overhovedet gøres muligt for sidstnævnte at føre bevis for det modsatte (dom af 14.12.2023, Natsionalna agentsia za prihodite,C-340/21, EU:C:2023:986, præmis 31).

124

I det foreliggende tilfælde fremgår det af forelæggelsesafgørelsen, at selv om den i hovedsagen omhandlede usande og krænkende annonce er blevet slettet fra Russmedias onlinemarkedsplads, er den stadig tilgængelig online på andre websteder, tilsyneladende uden at appellanten i hovedsagen kan få den slettet.

125

Det fremgår imidlertid, at dette tab af kontrol skyldes den ulovlige første offentliggørelse af den i hovedsagen omhandlede usande og krænkende annonce i strid med de krav, der er fastsat i databeskyttelsesforordningen. Russmedia var under alle omstændigheder i henhold til databeskyttelsesforordningens artikel 32 forpligtet til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passede til risiciene, og for så vidt muligt at blokere enhver kopi af denne annonce. Det tilkommer den forelæggende ret at efterprøve, om dette skete.

126

Henset til samtlige ovenstående betragtninger skal det fjerde spørgsmål besvares med, at databeskyttelsesforordningens artikel 32 skal fortolkes således, at operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i denne forordnings artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer offentliggjort på dennes onlinemarkedsplads, har pligt til at gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger for at forhindre, at annoncer offentliggjort på denne markedsplads, der indeholder følsomme oplysninger som omhandlet i forordningens artikel 9, stk. 1, kopieres og ulovligt offentliggøres på andre websteder.

127

Som anført i denne doms præmis 45 og 46 ønsker den forelæggende ret endvidere oplyst, om operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer offentliggjort på dennes markedsplads, i forhold til en tilsidesættelse af de forpligtelser, der følger af denne forordnings artikel 5, stk. 2, samt artikel 24-26 og 32, og som er fastslået i denne doms præmis 106 og 126, kan påberåbe sig artikel 12-15 i direktiv 2000/31 om formidleransvar.

128

Dermed opstår spørgsmålet om forholdet mellem disse to EU-retlige instrumenter. Det skal navnlig afgøres, om artikel 12-15 i direktiv 2000/31 kan gribe ind i den ansvarsordning, der er fastsat ved databeskyttelsesforordningen.

129

I denne henseende bemærkes for det første, at det i artikel 1, stk. 5, litra b), i direktiv 2000/31 er præciseret, at dette direktiv ikke finder anvendelse på spørgsmål, der vedrører informationssamfundstjenester omfattet af direktiv 95/46 og 97/66.

130

Domstolen har fortolket denne bestemmelse således, at de spørgsmål, der vedrører beskyttelsen af kommunikationshemmeligheden og af personoplysninger, skal vurderes i lyset af databeskyttelsesforordningen og Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37), som har erstattet henholdsvis direktiv 95/46 og direktiv 97/66, idet det præciseres, at den beskyttelse, som direktiv 2000/31 har til formål at sikre, under ingen omstændigheder kan berøre de krav, der følger af databeskyttelsesforordningen og direktiv 2002/58 (dom af 6.10.2020, La Quadrature du Net m.fl.,C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 200 og den deri nævnte retspraksis).

131

Det følger navnlig heraf, at en eventuel indrømmelse af den fritagelse i henhold til artikel 14, stk. 1, i direktiv 2000/31, som operatøren af en onlinemarkedsplads kan påberåbe sig med hensyn til de oplysninger, der oplagres på dennes websted, ikke kan gribe ind i den ordning i databeskyttelsesforordningen, der finder anvendelse på en sådan operatør og på enhver anden erhvervsdrivende, der er omfattet af denne forordnings anvendelsesområde.

132

Det samme gælder for artikel 15 i direktiv 2000/31, hvorefter medlemsstaterne med hensyn til levering af bl.a. de i dette direktivs artikel 14 omhandlede tjenester ikke må pålægge tjenesteyderne en generel overvågningsforpligtelse. I øvrigt kan forpligtelsen for operatøren af en onlinemarkedsplads til at overholde de krav, der følger af databeskyttelsesforordningen, under alle omstændigheder ikke kvalificeres som en sådan generel overvågningsforpligtelse.

133

For det andet fastsætter databeskyttelsesforordningens artikel 2, stk. 4, at denne forordning ikke berører anvendelsen af direktiv 2000/31, navnlig dette direktivs artikel 12-15 om formidleransvar for tjenesteydere.

134

Denne artikel 2, stk. 4, skal forstås således, at den omstændighed, at en erhvervsdrivende har forpligtelser, der er fastsat i databeskyttelsesforordningen, ikke automatisk udelukker, at denne erhvervsdrivende kan påberåbe sig artikel 12-15 i direktiv 2000/31 med hensyn til andre spørgsmål end dem, der vedrører beskyttelsen af personoplysninger.

135

Det følger således af artikel 1, stk. 5, litra b), i direktiv 2000/31, sammenholdt med databeskyttelsesforordningens artikel 2, stk. 4, at dette direktivs bestemmelser, navnlig artikel 12-15, ikke kan gribe ind i denne forordnings ordning.

136

Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at artikel 1, stk. 5, litra b), i direktiv 2000/31 og databeskyttelsesforordningens artikel 2, stk. 4, skal fortolkes således, at operatøren af en onlinemarkedsplads i sin egenskab af dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), for de personoplysninger, der er indeholdt i annoncer offentliggjort på dennes markedsplads, i forhold til en tilsidesættelse af de forpligtelser, der følger af denne forordnings artikel 5, stk. 2, samt artikel 24-26 og 32, ikke kan påberåbe sig dette direktivs artikel 12-15 om formidleransvar.

137

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret: