–

za X I. Kis, avocată,

–

za romunsko vlado E. Gane, L. Ghiţă in R. I. Haţieganu, agentke,

–

za Evropsko komisijo L. Armati, H. Kranenborg, P.‑J. Loewenthal in L. Nicolae, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago členov od 12 do 15 Direktive 2000/31/ES Evropskega parlamenta in Sveta z dne 8. junija 2000 o nekaterih pravnih vidikih storitev informacijske družbe, zlasti elektronskega poslovanja na notranjem trgu (Direktiva o elektronskem poslovanju) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 25, str. 399) ter člena 2(4), člena 4, točki 7 in 11, člena 5(1)(b) in (f), člena 6(1)(a) ter členov 7, 24 in 25 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1; v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med fizično osebo X ter družbama Russmedia Digital SRL in Inform Media Press SRL (v nadaljevanju: skupaj: Russmedia) glede odškodninske tožbe za nepremoženjsko škodo, ki je tožeči stranki v postopku v glavni stvari nastala zaradi nezakonite obdelave njenih osebnih podatkov ter kršitve njene pravice do osebne podobe, časti in zasebnega življenja.

3

V uvodnih izjavah 14, 42, 46 in 52 Direktive 2000/31 je navedeno:

[…]

[…]

[…]

4

Člen 1 Direktive 2000/31, naslovljen „Cilji in področje uporabe“, določa:

„1.   Cilj te direktive je prispevati k pravilnemu delovanju notranjega trga z zagotavljanjem prostega pretoka storitev informacijske družbe med državami članicami.

[…]

5.   Ta direktiva se ne uporablja za:

[…]

(b) vprašanja v zvezi s storitvami informacijske družbe, ki jih zajemata Direktivi [95/46] in [97/66];

[…].“

5

Oddelek 4 Poglavja II Direktive 2000/31, naslovljen „Odgovornost posrednih ponudnikov storitev“, je v različici, ki se je uporabljala za spor o glavni stvari, vključevala člene od 12 do 15 te direktive. Člena 12 in 13 te direktive se v skladu z njunima naslovoma nanašata na „[i]zključni prenos“ in na „[s]hranjevanje v predpomnilniku“.

6

Člen 14 navedene direktive, naslovljen „Gostiteljstvo“, je določal:

„1.   Države članice zagotovijo, da ponudnik storitve, če se storitev informacijske družbe nanaša na shranjevanje podatkov, ki jih zagotovi prejemnik storitve, ni odgovoren za podatek, ki ga je shranil na zahtevo prejemnika storitve, pod pogojem, da:

2.   Odstavek 1 se ne uporabi, če prejemnik storitve ukrepa v okviru pooblastil ali pod nadzorom ponudnika.

3.   Ta člen ne posega v možnost, da sodišče ali upravni organ skladno s pravnimi sistemi držav članic od ponudnika storitve zahteva ustavitev ali preprečitev kršitve, in tudi ne v možnost, da države članice določijo postopke, ki urejajo odstranitev ali onemogočenje dostopa do podatkov.“

7

Člen 15 te direktive, naslovljen „Brez splošne obveznosti za nadzor“, je določal:

„1.   Države članice ponudnikom glede opravljanja storitev iz členov 12, 13 in 14 ne predpišejo splošne obveznosti za nadzor podatkov pri njihovem prenosu ali shranjevanju, pa tudi ne za dejavno raziskovanje okoliščin, na podlagi katerih se domneva, da gre za nezakonito dejavnost.

2.   Države članice lahko določijo, da morajo ponudniki storitev informacijske družbe nemudoma obvestiti pristojne organe o domnevnih nezakonitih dejavnostih ali podatkih prejemnikov njihove storitve ali da morajo pristojnim organom na zahtevo sporočiti podatke, na podlagi katerih je možno identificirati prejemnike njihove storitve, s katerimi so sklenili dogovore o shranjevanju.“

8

V uvodnih izjavah 4, 10, 39, 51, 74, 75, 78 in 85 SUVP je navedeno:

[…]

[…]

[…]

[…]

[…]

[…]

9

Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:

„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“

10

Člen 2 navedene uredbe, naslovljen „Področje uporabe“, v odstavku 4 določa:

„Ta uredba ne posega v uporabo Direktive [2000/31], zlasti v uporabo pravil o odgovornosti posrednih ponudnikov storitev iz členov 12 do 15 navedene direktive.“

11

Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…]

[…].“

12

Poglavje II SUVP, naslovljeno „Načela“, vključuje člene od 5 do 9 te uredbe.

13

Člen 5 te uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki so:

[…]

[…]

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

14

Člen 6 navedene uredbe, naslovljen „Zakonitost obdelave“, v odstavku 1 določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

15

Člen 7 SUVP, naslovljen „Pogoji za privolitev“, v odstavku 1 določa:

„Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.“

16

Člen 9 SUVP, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„1.   Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

2.   Odstavek 1 se ne uporablja, če velja eno od naslednjega:

[…].“

17

Člen 13 te uredbe, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1(a) določa:

„Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

18

Člen 14 SUVP, naslovljen „Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo“, v odstavku 1(a) določa:

Kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije:

19

V poglavju III SUVP, naslovljenem „Pravice posameznika, na katerega se nanašajo osebni podatki“, člen 17 te uredbe, naslovljen „Pravica do izbrisa (‚pravica do pozabe‘)“, v odstavkih 1 in 2 določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

[…]

(d) osebni podatki so bili obdelani nezakonito;

[…]

2.   Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.“

20

Poglavje IV SUVP, naslovljeno „Upravljavec in obdelovalec“, v oddelku 1, naslovljenem „Splošne obveznosti“, med drugim vsebuje člene od 24 do 26 te uredbe.

21

Člen 24 navedene uredbe, naslovljen „Odgovornost upravljavca“, v odstavku 1 določa:

„Ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo. Ti ukrepi se pregledajo in dopolnijo, kjer je to potrebno.“

22

Člen 25 navedene uredbe, naslovljen „Vgrajeno in privzeto varstvo podatkov“, v odstavkih 1 in 2 določa:

„1.   Ob upoštevanju najnovejšega tehnološkega razvoja, stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki so povezana z obdelavo in se razlikujejo po verjetnosti in resnosti, upravljavec tako v času določanja sredstev obdelave kot tudi v času same obdelave izvaja ustrezne tehnične in organizacijske ukrepe, kot je psevdonimizacija, ki so oblikovani za učinkovito izvajanje načel varstva podatkov, kot je načelo najmanjšega obsega podatkov, ter v obdelavo vključi potrebne zaščitne ukrepe, da se izpolnijo zahteve te uredbe in zaščitijo pravice posameznikov, na katere se nanašajo osebni podatki.

2.   Upravljavec izvede ustrezne tehnične in organizacijske ukrepe, s katerimi zagotovi, da se privzeto obdelajo samo osebni podatki, ki so potrebni za vsak poseben namen obdelave. Ta obveznost velja za količino zbranih osebnih podatkov, obseg njihove obdelave, obdobje njihove hrambe in njihovo dostopnost. S takšnimi ukrepi se zagotovi zlasti, da osebni podatki niso samodejno dostopni nedoločenemu številu posameznikov brez posredovanja zadevnega posameznika.“

23

Člen 26 navedene uredbe, naslovljen „Skupni upravljavci“, v odstavku 1 določa:

„Dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, so skupni upravljavci. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki.“

24

Člen 32 SUVP, naslovljen „Varnost obdelave“, določa:

„1.   Ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno:

2.   Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani.

3.   Zavezanost k odobrenemu kodeksu ravnanja iz člena 40 ali izvajanje odobrenega mehanizma certificiranja iz člena 42 se lahko uporabi kot element, s katerim se izkaže izpolnjevanje zahtev iz odstavka 1 tega člena.

4.   Upravljavec in obdelovalec zagotovita, da katera koli fizična oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca, ki ima dostop do osebnih podatkov, slednjih ne sme obdelati brez navodil upravljavca, razen če to od nje zahteva pravo Unije ali pravo države članice.“

25

Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavkih od 1 do 3 določa:

„1.   Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.

2.   Vsak upravljavec, vključen v obdelavo, je odgovoren za škodo, ki jo povzroči obdelava, ki krši to uredbo. Obdelovalec je odgovoren za škodo, ki jo povzroči obdelava le, kadar ne izpolnjuje obveznosti iz te uredbe, ki so posebej naslovljene na obdelovalce, ali kadar je prekoračil zakonita navodila upravljavca ali ravnal v nasprotju z njimi.

3.   Upravljavec ali obdelovalec je izvzet od odgovornosti iz odstavka 2, če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.“

26

Člen 94 iste uredbe določa:

„1.   Direktiva [95/46] se razveljavi z učinkom od 25. maja 2018.

2.   Sklicevanja na razveljavljeno direktivo se štejejo kot sklicevanja na to uredbo. […]“

27

Člen 11 Legea nr. 365/2002 privind comerțul electronic (zakon št. 365/2002 o elektronskem poslovanju) z dne 7. junija 2002 (Monitorul Oficial al României, del I, št. 483 z dne 5. julija 2002), kakor je bil spremenjen z Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (zakon št. 121/2006 o spremembi in dopolnitvi zakona št. 365/2002 o elektronskem poslovanju) z dne 4. maja 2006 (Monitorul Oficial al României, del I, št. 403 z dne 10. maja 2006), (v nadaljevanju: zakon št. 365/2002), določa:

„1.   Če ni v tem zakonu določeno drugače, za ponudnike storitev veljajo zakonske določbe, ki urejajo nastanek civilne in kazenske odgovornosti ter odgovornosti za prekrške.

2.   Ponudniki storitev so odgovorni za informacije, ki jih zagotovijo sami ali se zagotovijo v njihovem imenu.

3.   Ponudniki storitev niso odgovorni za informacije, ki jih prenašajo ali shranjujejo oziroma do katerih zagotavljajo dostop pod pogoji, določenimi v členih od 12 do 15.“

28

Člen 14 zakona št. 365/2002, naslovljen „Trajna hramba informacij, shranjevanje informacij – gostovanje“, določa:

„1.   Če storitev informacijske družbe zajema shranjevanje informacij, ki jih zagotovi prejemnik te storitve, ponudnik navedene storitve ni odgovoren za informacije, ki jih je shranil na zahtevo prejemnika, če je izpolnjen eden od teh pogojev:

2.   Odstavek 1 se ne uporabi, če prejemnik ukrepa v okviru pooblastil ali pod nadzorom ponudnika storitev.

3.   Določbe tega člena ne posegajo v možnost sodnega ali upravnega organa, da od ponudnika storitev zahteva končanje kršitve varstva podatkov ali da prepreči tako kršitev, ali v možnost uvedbe vladnih postopkov za omejitev ali prekinitev dostopa do informacij.“

29

Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (pravila za izvajanje zakona št. 365/2002 o elektronskem poslovanju), odobrena z Hotărârea Guvernului št. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (sklep vlade št. 1.308 o odobritvi pravil za izvajanje zakona št. 365/2002 o elektronskem poslovanju) z dne 20. novembra 2002 (Monitorul Oficial al României, del I, št. 877 z dne 5. decembra 2002), v členu 11(1), določajo:

„Ponudnikom storitev informacijske družbe, ki zagotavljajo storitve iz členov od 12 do 15 zakona [št. 365/2002] pri prenosu ali shranjevanju informacij ni treba opravljati nadzora nad temi informacijami, prav tako pa jim ni treba dejavno raziskovati podatkov v zvezi z domnevno nezakonitimi dejavnostmi ali informacijami na področju storitev informacijske družbe, ki jih zagotavljajo.“

30

Russmedia Digital, družba romunskega prava, je lastnica spletnega mesta www.publi24.ro, spletne tržnice, na kateri se lahko brezplačno ali proti plačilu objavijo oglasi, ki se med drugim nanašajo na prodajo blaga ali opravljanje storitev v Romuniji.

31

Tožeča stranka v postopku v glavni stvari trdi, da je neidentificirana tretja oseba 1. avgusta 2018 na tem spletnem mestu objavila lažni in škodljiv oglas, ki jo prikazuje kot osebo, ki ponuja spolne storitve. Oglas je med drugim vseboval fotografije tožeče stranke v postopku v glavni stvari, ki so bile uporabljene brez njenega soglasja, in njeno telefonsko številko. Ta oglas je bil nato dobesedno povzet na drugih spletnih mestih z oglaševalsko vsebino, na katerih je bil objavljen, z navedbo vira izvora. Družba Russmedia Digital, na katero se je obrnila tožeča stranka v postopku v glavni stvari, je navedeni oglas s svojega spletnega mesta odstranila manj kot eno uro po prejemu zahteve. Vendar naj bi isti oglas ostal na voljo na drugih spletnih mestih, ki so ga povzela.

32

Ker je tožeča stranka v postopku v glavni stvari menila, da oglas iz postopka v glavni stvari krši njene pravice do osebne podobe, časti in ugleda ter do zasebnosti ter pravila o obdelavi osebnih podatkov, je pri Judecătoria Cluj‑Napoca (prvostopenjsko sodišče v Cluju‑Napoci, Romunija) vložila tožbo proti družbi Russmedia. To sodišče je družbi Russmedia naložilo, naj tožeči stranki plača odškodnino v višini 7000 EUR za nepremoženjsko škodo, nastalo zaradi kršitve pravice do osebne podobe, časti in ugleda ter zaradi kršitve pravice do spoštovanja njenega zasebnega življenja in nezakonite obdelave njenih osebnih podatkov.

33

Družba Russmedia je zoper to sodbo vložilo pritožbo. Tribunalul Specializat Cluj (specializirano sodišče v Cluju, Romunija) je tej pritožbi ugodilo in presodilo, da tožba tožeče stranke v postopku v glavni stvari ni utemeljena, ker avtorica oglasa iz postopka v glavni stvari ni bila družba Russmedia, ki je zagotavljala le storitev gostovanja tega oglasa, ne da bi družba Russmedia dejavno sodelovala pri njegovi vsebini. Zato naj bi se zanjo uporabljala oprostitev odgovornosti iz člena 14(1)(b) zakona št. 365/2002. V zvezi z obdelavo osebnih podatkov je to sodišče menilo, da ponudniku storitev informacijske družbe ni treba niti nadzorovati informacij, ki jih posreduje, niti aktivno iskati podatkov v zvezi z dejavnostmi ali informacijami, ki so očitno nezakonite. V zvezi s tem je razsodilo, da družbi Russmedia ni mogoče očitati, da ni sprejela ukrepov za preprečitev spletnega razširjanja obrekljivega oglasa iz postopka v glavni stvari, saj je ta oglas na zahtevo tožeče stranke v postopku v glavni stvari hitro izbrisala.

34

Ta je zoper to sodbo vložila pritožbo pri Curtea de Apel Cluj (višje sodišče v Cluju, Romunija), ker je menila, da se je Tribunalul Specializat Cluj (specializirano sodišče v Cluju) oprlo na napačno razlago zakona št. 365/2002. Tožeča stranka v postopku v glavni stvari med drugim trdi, da ta zakon v razmerju do SUVP ni specialen zakon, zato bi moralo to sodišče preučiti uporabo te uredbe v obravnavanem primeru. Poleg tega naj vloga družbe Russmedia ne bi bila zgolj svojim strankam zagotoviti poseben tehnični pripomoček za dostop do gostiteljskega strežnika. Imela naj bi tudi upravljavsko vlogo, saj zaradi dobrega upravljanja z informacijami posega v vsebino. Ta družba naj bi kot upravljavec zadevnega spletnega mesta shranjevala in obdelovala vsebino informacij. Shranjevanje podatkov in njihovo dajanje na voljo javnosti v določeni obliki naj bi zahtevala analizo podatkov in informacij iz oglasov. Ti elementi naj bi dokazovali neposredno vpletenost družbe Russmedia v upravljanje in razširjanje vsebine oglasov. Zato naj se določbe člena 14 zakona št. 365/2002 ne bi uporabljale.

35

Poleg tega tožeča stranka v postopku v glavni stvari trdi, da se oprostitev odgovornosti takega ponudnika ne uporablja, če je odgovornost ugotovljena na podlagi drugih predpisov, kot je SUVP. Družba Russmedia naj bi osebne podatke tožeče stranke iz postopka v glavni stvari objavila brez njenega soglasja in naj bi z delovanjem svojega spletnega mesta omogočila, da vsakdo objavlja katero koli vrsto oglasov, vključno z oglasi, ki naj ne bi zagotavljali varnosti osebnih podatkov, kar naj bi onemogočilo dokončni izbris podatkov, objavljenih na spletu.

36

Družba Russmedia pa trdi, da je rešitev, ki jo je sprejelo Tribunalul Specializat Cluj (specializirano sodišče v Cluju), pravilna. Tožeča stranka v postopku v glavni stvari naj ne bi dokazala, zakaj je SUVP specialno pravilo, ki preprečuje uporabo upoštevnih določb zakona št. 365/2002.

37

Curtea de Apel Cluj (višje sodišče v Cluju), ki je predložitveno sodišče in ki v tej zadevi odloča kot pritožbeno sodišče, katerega odločitev je dokončna, meni, da je treba med drugim določiti meje oprostitve odgovornosti ponudnika storitev informacijske družbe, kot je družba Russmedia, na podlagi Direktive 2000/31.

38

Predložitveno sodišče ob sklicevanju na upoštevno sodno prakso Sodišča ugotavlja, da čeprav v skladu s to sodno prakso za upravljavce spletnih tržnic ne obstaja obveznost, da predhodno preverijo informacije ali oglase, ki jih objavijo uporabniki oglaševalci, pa je oprostitev odgovornosti teh upravljavcev pogojena. Tako se v skladu s sodbo z dne 12. julija 2011, L’Oréal in drugi (C‑324/09, EU:C:2011:474), upravljavec spletnih storitev ne more sklicevati na oprostitev odgovornosti iz člena 14(1) Direktive 2000/31, če je vedel za dejstva ali okoliščine, na podlagi katerih bi moral skrben gospodarski subjekt ugotoviti nezakonitost zadevnih ponudb za prodajo, in če v primeru takega poznavanja ni takoj ukrepal v skladu s členom 14(1)(b) te direktive. Prav tako naj bi iz sodbe z dne 11. septembra 2014, Papasavvas (C‑291/13, EU:C:2014:2209), izhajalo, da se omejitve civilne odgovornosti iz členov od 12 do 14 Direktive 2000/31 ne nanašajo na primer družbe, ki ima spletno mesto, na katerem je objavljena elektronska različica časopisa, ker ta družba, ki je plačana iz dohodkov od komercialnega oglaševanja na tem spletnem mestu, pozna objavljene informacije in nad njimi izvaja nadzor.

39

Vendar predložitveno sodišče poudarja, da se navedena sodna praksa Sodišča nanaša le na ponudbe, objavljene na spletnem mestu, katerih nezakonitost izhaja iz preučitve dejstev in okoliščin, o katerih je bil upravljavec izrecno obveščen po objavi zadevnega oglasa. Tako naj Sodišče še ne bi imelo priložnosti preučiti položaja, kakršen je ta v postopku v glavni stvari, v katerem je bila vsebina objavljenega oglasa očitno nezakonita in močno škodljiva za zadevno osebo.

40

Predložitveno sodišče se v tem okviru sprašuje, ali mora platforma prejeti prijavo, da bi morala izbrisati očitno nezakonito in hudo škodljivo vsebino. V obravnavanem primeru naj bi bil oglas iz postopka v glavni stvari objavljen brez preverjanja identitete uporabnika oglaševalca in očitno brez pridobitve soglasja tožeče stranke v postopku v glavni stvari.

41

Poleg tega, čeprav je bil oglas iz postopka v glavni stvari izbrisan z izvornega spletnega mesta po obvestilu tožeče stranke v postopku v glavni stvari, naj bi bila vsebina tega oglasa, vključno s kontaktnimi podatki in fotografijami tožeče stranke, v celoti povzeta na številnih drugih spletnih mestih, pri čemer je bil naveden prvotni vir. Škoda, ki jo je utrpela tožeča stranka v postopku v glavni stvari, naj bi torej postala trajna in še vedno traja. Predložitveno sodišče v zvezi s tem poudarja, da so domnevno ponujene spolne storitve lahko povezane s hudimi kaznivimi dejanji, ki se kaznujejo s Codul penal (kazenski zakonik), kot sta zvodništvo in trgovina z ljudmi.

42

Predložitveno sodišče pojasnjuje, da čeprav družba Russmedia v skladu s splošnimi pogoji uporabe spletne tržnice, ki jo upravlja, v zvezi z vsebino objavljenih oglasov ne uveljavlja lastninske pravice, pa si ta družba vseeno pridržuje pravico do uporabe te vsebine, vključno s pravico do kopiranja, distribuiranja, prenašanja, objavljanja, reproduciranja, spreminjanja, prevajanja in dajanja te vsebine na voljo partnerjem ter njene odstranitve kadar koli, tudi brez utemeljenega razloga za to.

43

V teh okoliščinah je Curtea de Apel Cluj (višje sodišče v Cluju) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

44

V skladu z ustaljeno sodno prakso je v okviru sodelovanja med nacionalnimi sodišči in Sodiščem, uvedenega s členom 267 PDEU, naloga Sodišča dati nacionalnemu sodišču koristen odgovor, ki mu omogoča rešitev spora, o katerem odloča. Sodišče sme za to po potrebi preoblikovati vprašanja, ki so mu bila predložena. V zvezi s tem mora iz vseh elementov, ki jih je predložilo nacionalno sodišče, in zlasti iz obrazložitve predložitvene odločbe razbrati elemente prava Unije, ki jih je treba razložiti ob upoštevanju predmeta spora (glej v tem smislu sodbe z dne 29. novembra 1978, Redmond, 83/78, EU:C:1978:214, točka 26; z dne 28. novembra 2000, Roquette Frères, C‑88/99, EU:C:2000:652, točka 18, in z dne 30. aprila 2024, M. N. (EncroChat), C‑670/22, EU:C:2024:372, točka 78).

45

Skupni namen vprašanj predložitvenega sodišča je ugotoviti, prvič, ali je upravljavec spletne tržnice, kot je družba Russmedia, ki svojim uporabnikom omogoča, da na njeni spletni tržnici objavljajo brezplačne ali plačljive oglase, kršil obveznosti, ki jih ima na podlagi SUVP, kadar oglas, objavljen na njegovi spletni tržnici, vsebuje osebne podatke, zlasti občutljive podatke, kar je v nasprotju s to uredbo, in drugič, ali se členi od 12 do 15 Direktive 2000/31, ki se nanašajo na odgovornost posrednih ponudnikov storitev, uporabljajo za takega upravljavca.

46

Za koristen odgovor na ta vprašanja je treba najprej preučiti drugo, tretje in četrto vprašanje, katerih namen je ugotoviti, katere obveznosti so na podlagi SUVP naložene upravljavcu spletne tržnice v položaju, kakršen je ta v postopku v glavni stvari, in sicer tako, da se ta vprašanja preoblikujejo tako, da se nanašajo le na razlago te uredbe. Nato bo preučeno, ali se tak upravljavec lahko sklicuje na člene od 12 do 15 Direktive 2000/31, kar je v bistvu predmet prvega vprašanja.

47

Najprej je treba poudariti, na prvem mestu, da je iz predloga za sprejetje predhodne odločbe razvidno, da je bila tožeča stranka v postopku v glavni stvari v zadevnem oglasu predstavljena kot ponudnik spolnih storitev in da je ta oglas med drugim vseboval fotografije tožeče stranke, ki so bile uporabljene brez njenega soglasja, in njeno telefonsko številko.

48

Ni sporno, da so take informacije osebni podatki v smislu člena 4, točka 1, SUVP, ki kot take opredeljuje „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“, pri čemer pojasnjuje, da je „določljiv posameznik […] tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika“.

49

Namreč, v skladu z ustaljeno sodno prakso uporaba izraza „katera koli informacija“ v opredelitvi pojma „osebni podatki“ iz člena 4, točka 1, SUVP, odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki potencialno zajema vse vrste informacij, tako objektivne kot subjektivne, v obliki mnenj ali presoj, če se te „nanašajo“ na zadevnega posameznika. Informacija se nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo (sodba z dne 3. aprila 2025, Ministerstvo zdravotnictví (Podatki o zastopniku pravne osebe), C‑710/23, EU:C:2025:231, točka 21 in navedena sodna praksa).

50

Poleg tega člen 9(1) SUVP med temi osebnimi podatki določa posebno ureditev varstva za posebne vrste podatkov, med katerimi so podatki v zvezi s spolnim življenjem ali spolno usmerjenostjo posameznika.

51

Sodišče je pojasnilo, da je namen člena 9(1) te uredbe zagotoviti večje varstvo pred obdelavami, ki lahko zaradi posebne občutljivosti podatkov, ki so predmet teh obdelav, pomenijo posebno hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine (sodba z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 41 in navedena sodna praksa).

52

Za tako povečano varstvo pa je nujno potrebna široka opredelitev takih „občutljivih podatkov“. Tako je Sodišče razsodilo, da se člen 9(1) SUVP ne uporablja le za obdelavo podatkov, ki so sami po sebi občutljivi, na katere se nanaša ta določba, ampak tudi podatkov, ki posredno, kot rezultat miselne operacije sklepanja ali primerjanja, razkrivajo tovrstne informacije (sodba z dne 5. junija 2023, Komisija/Poljska (Neodvisnost in zasebno življenje sodnikov), C‑204/21, EU:C:2023:442, točka 344 in navedena sodna praksa).

53

V okviru te široke opredelitve dejstvo, da so podatki o spolnem življenju ali spolni usmerjenosti posameznika neresnični ali škodljivi, ne more biti takšno, da bi bila na njegovi podlagi tem podatkom odvzeta opredelitev „občutljivih podatkov“ v smislu člena 9(1) SUVP.

54

Na drugem mestu je treba ugotoviti, da obdelava iz postopka v glavni stvari zajema objavo tega oglasa in s tem teh podatkov na spletni tržnici družbe Russmedia. Dejanje, s katerim se na spletno stran vnesejo osebni podatki, namreč pomeni obdelavo v smislu člena 4, točka 2, SUVP (sodba z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, točka 65 in navedena sodna praksa).

55

Na tretjem mestu je treba poudariti, da se drugo, tretje in četrto vprašanje nanašajo na dejstvo, da je upravljavec zadevne spletne tržnice upravljavec osebnih podatkov. Očitno pa je, da je osebne podatke, katerih objava je predmet spora o glavni stvari, v zadevni oglas vključil anonimni uporabnik oglaševalec, ne da bi ta upravljavec konkretno vplival na vsebino tega oglasa in ne da bi se zavedal njegove lažne in škodljive narave. V teh okoliščinah je treba pojasniti pojma „upravljavec“ in „skupni upravljavci“ v smislu člena 4, točka 7, SUVP, oziroma člena 26 te uredbe.

56

Člen 4, točka 7, SUVP pojem „upravljavec“ opredeljuje široko, tako da pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov.

57

Cilj te široke opredelitve je v skladu s ciljem SUVP zagotoviti učinkovito varstvo temeljnih pravic in svoboščin fizičnih oseb ter zagotoviti visoko raven varstva pravice vsakogar do varstva osebnih podatkov, ki se nanašajo nanj (sodba z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 29 in navedena sodna praksa).

58

Tako je mogoče vsako fizično ali pravno osebo, ki zaradi lastnih ciljev vpliva na obdelavo takih podatkov in zato sodeluje pri določitvi namenov in sredstev te obdelave, šteti za upravljavca navedene obdelave (sodba z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 30 in navedena sodna praksa).

59

Poleg tega, ker pojem „upravljavec“ pomeni telo, ki „samo ali skupaj z drugimi“ določa namene in sredstva obdelave osebnih podatkov, kot je to izrecno določeno v členu 4, točka 7, SUVP, ta določba ne napotuje nujno na enotno telo in se lahko nanaša na več akterjev, udeleženih pri tej obdelavi, pri čemer torej za vsakega od njih veljajo predpisi, ki se uporabljajo na področju varstva podatkov (glej v tem smislu sodbo z dne 29. julija 2019, Fashion ID, C‑40/17, EU:C:2019:629, točka 67 in navedena sodna praksa).

60

Člen 26 SUVP, ki spada v okvir opredelitve „upravljavca“ iz člena 4, točka 7, te uredbe, v bistvu določa, da če dva ali več upravljavcev skupaj določi namene in sredstva obdelave, jih je treba šteti za „skupne upravljavce“ te obdelave.

61

Takšno skupno upravljanje ne zahteva nujno obstoja skupnih odločitev o določitvi namenov in sredstev obdelave zadevnih osebnih podatkov. Sodišče je namreč razsodilo, da ima lahko sodelovanje pri določitvi teh namenov in sredstev različne oblike, pri čemer lahko to sodelovanje izhaja tako iz skupne odločitve, ki jo skupaj sprejmeta dva ali več subjektov, kot iz konvergentnih odločitev, ki se dopolnjujejo tako, da ima vsaka od njih konkreten učinek na določitev navedenih namenov in navedenih sredstev (glej v tem smislu sodbo z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 43).

62

V zvezi s tem skupno upravljanje več subjektov za isto obdelavo na podlagi člena 4, točka 7, SUVP ne predpostavlja, da ima vsak od njih dostop do zadevnih osebnih podatkov (sodbi z dne 29. julija 2019, Fashion ID, C‑40/17, EU:C:2019:629, točka 69 in navedena sodna praksa, in z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 42).

63

S tega vidika je Sodišče pojasnilo, da obstoj skupnega upravljanja ne pomeni nujno, da so različni subjekti za isto obdelavo osebnih podatkov enako odgovorni. Nasprotno, ti subjekti so lahko udeleženi v različnih fazah te obdelave in v različnih obsegih, tako da je treba raven odgovornosti vsakega od njih oceniti ob upoštevanju vseh upoštevnih okoliščin posameznega primera (glej v tem smislu sodbi z dne 10. julija 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, točka 66 in navedena sodna praksa, in z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 42).

64

V obravnavanem primeru ni sporno, da je treba za uporabnika oglaševalca, ki je lažni in škodljivi oglas, ki vsebuje osebne podatke tožeče stranke iz postopka v glavni stvari, objavil na spletni tržnici, ki jo upravlja družba Russmedia, šteti, da je primarno določil namene in sredstva obdelave teh podatkov in da zato spada pod pojem „upravljavec“ v smislu člena 4, točka 7, SUVP.

65

Vendar je bilo ugotovljeno, da je bil ta oglas objavljen na internetu in je tako uporabnikom interneta postal dostopen le prek spletne tržnice, ki jo upravlja družba Russmedia.

66

Čeprav iz sodne prakse, navedene v točki 58 te sodbe, izhaja, da je osebo mogoče opredeliti za „upravljavca“ osebnih podatkov le, če na to obdelavo vpliva zaradi lastnih ciljev, je treba vseeno ugotoviti, da je to med drugim lahko podano, kadar upravljavec spletne tržnice zadevne osebne podatke objavi za komercialne ali oglaševalske namene, ki presegajo zgolj opravljanje storitve, ki jo zagotavlja uporabniku oglaševalcu.

67

V obravnavanem primeru je iz predložitvene odločbe razvidno, da družba Russmedia na svoji spletni tržnici objavlja oglase za lastne komercialne namene. V zvezi s tem splošni pogoji uporabe te tržnice družbi Russmedia zagotavljajo veliko svobode pri uporabi informacij, objavljenih na navedeni tržnici. Natančneje, družba Russmedia si v skladu z navedbami predložitvenega sodišča pridržuje pravico do uporabe objavljenih vsebin, njihove distribucije, prenosa, reproduciranja, spreminjanja, prevoda, dajanja teh vsebin na voljo partnerjem, ter odstranitve teh vsebin v katerem koli trenutku, ne da bi za to potrebovala „poseben razlog“. Družba Russmedia torej osebnih podatkov iz oglasov ne objavlja oziroma jih ne objavlja le v imenu uporabnikov oglaševalcev, temveč te podatke obdeluje in lahko uporabi za lastne oglaševalske in komercialne namene.

68

Tako je treba ugotoviti, da je družba Russmedia zaradi lastnih ciljev vplivala na objavo osebnih podatkov tožeče stranke iz postopka v glavni stvari na spletu in je zato sodelovala pri določitvi namenov te objave in torej zadevne obdelave.

69

Te ugotovitve ne omaje dejstvo, da družba Russmedia očitno ni sodelovala pri določitvi lažnega in škodljivega namena, ki ga je želel uporabnik oglaševalec doseči z objavo oglasa iz postopka v glavni stvari. Družba Russmedia je namreč sodelovala pri določitvi namena obdelave, ki je uporabnikom interneta omogočiti dostop do osebnih podatkov iz oglasa iz postopka v glavni stvari, da bi se te objave uporabile. Poleg tega je družba Russmedia z omogočanjem anonimne objave oglasov na svoji spletni tržnici olajšala objavo takih podatkov brez privolitve posameznika, na katerega se nanašajo osebni podatki.

70

Poleg tega je družba Russmedia s tem, da je uporabniku oglaševalcu dala na voljo svojo spletno tržnico, ki je bila uporabljena za objavo oglasa iz postopka v glavni stvari, sodelovala pri določitvi sredstev te objave.

71

Sodišče je namreč v bistvu že razsodilo, da pri določitvi sredstev obdelave sodeluje fizična ali pravna oseba, ki odločilno vpliva na zbiranje in posredovanje osebnih podatkov, ali oseba, ki z izbiro nastavitev glede na svoje cilje upravljanja ali pospeševanja svojih dejavnosti vpliva na obdelavo takih podatkov (glej v tem smislu sodbi z dne 5. junija 2018, Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, točka 36, in z dne 29. julija 2019, Fashion ID, C‑40/17, EU:C:2019:629, točka 78). Enako velja za iskalnik, kadar ima njegovo delovanje odločilno vlogo pri globalnem širjenju osebnih podatkov, ker to delovanje omogoča, da so ti javno dostopni na spletu na organiziran in zbirni način (glej v tem smislu sodbo z dne 8. decembra 2022, Google (Odstranitev povezav do domnevno netočne vsebine), C‑460/20, EU:C:2022:962, točka 50 in navedena sodna praksa).

72

Zato je treba ugotoviti, da kadar upravljavec spletne tržnice, kakršen je družba Russmedia, določa nastavitve za širjenje oglasov, ki lahko vsebujejo osebne podatke, glede na zadevne prejemnike, določi predstavitev, trajanje tega širjenja ali rubrike, v okviru katerih so strukturirane objavljene informacije, ali celo organizira razvrstitev, s katero bodo določeni načini takega širjenja, sodeluje pri določitvi bistvenih sredstev za objavo zadevnih osebnih podatkov, s čimer odločilno vpliva na celotno širjenje teh podatkov.

73

V zvezi s tem lahko vsebina splošnih pogojev uporabe zadevne spletne tržnice zagotovi indice, ki dokazujejo, da upravljavec te spletne tržnice odločilno vpliva na zadevno obdelavo osebnih podatkov in tako določa sredstva te obdelave. Zdi se, da to velja za splošne pogoje uporabe spletne tržnice družbe Russmedia, v katerih si ta družba pridržuje zlasti pravico do distribucije, prenosa, objave, izbrisa ali reproduciranja informacij iz oglasov, vključno z osebnimi podatki, ki jih ti oglasi vsebujejo.

74

Upravljavec spletne tržnice se nikakor ne more izogniti svoji odgovornosti kot oseba, ki je upravljavec osebnih podatkov, s sklicevanjem na to, da ni sam določil vsebine zadevnega oglasa, objavljenega na tej spletni tržnici. Bilo bi namreč v nasprotju ne le z jasnim besedilom, ampak tudi s ciljem člena 4, točka 7, SUVP, ki je s široko opredelitvijo pojma „upravljavec“ zagotoviti učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki, če bi bil tak upravljavec iz te opredelitve izključen zgolj iz tega razloga.

75

Zato je treba ugotoviti, da je predložitveno sodišče drugo, tretje in četrto vprašanje pravilno oprlo na predpostavko, da je v položaju, kakršen je ta v postopku v glavni stvari, upravljavec spletne tržnice upravljavec osebnih podatkov iz oglasa, objavljenega na tej spletni tržnici, v smislu člena 4, točka 7, SUVP.

76

Na ta vprašanja je treba odgovoriti ob upoštevanju vseh zgornjih uvodnih ugotovitev.

77

Predložitveno sodišče z drugim in tretjim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 5(2) in člene od 24 do 26 SUVP razlagati tako, da upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, SUVP – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, mora pred objavo oglasov identificirati tiste, ki vsebujejo občutljive podatke v smislu člena 9(1) SUVP, preveriti, ali je uporabnik oglaševalec, ki namerava objaviti tak oglas, oseba, katere občutljivi podatki so v tem oglasu, in če ni tako, objavo tega oglasa ob neobstoju izrecne privolitve posameznika, na katerega se nanašajo osebni podatki, zavrniti, če bi taka objava lahko povzročila hudo kršitev pravic te osebe do spoštovanja zasebnega življenja in varstva njenih osebnih podatkov, zagotovljenih s členoma 7 in 8 Listine.

78

V skladu s členom 1(2) SUVP v povezavi z uvodnima izjavama 4 in 10 je namen te uredbe med drugim zagotoviti visoko raven varstva svoboščin in temeljnih pravic posameznikov pri obdelavi osebnih podatkov, ta pravica pa je priznana tudi v členu 8 Listine in je tesno povezana s pravico do spoštovanja zasebnega življenja iz člena 7 te listine (glej v tem smislu sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, točka 61 in navedena sodna praksa).

79

Za to so, prvič, v poglavju II SUVP navedena načela, ki urejajo obdelavo osebnih podatkov, ki jih mora upravljavec spoštovati. Zlasti mora biti vsaka obdelava osebnih podatkov v skladu z načeli v zvezi z obdelavo podatkov in pogoji zakonite obdelave, navedenimi v členih 5 in 6 te uredbe (glej v tem smislu sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, točka 62 in navedena sodna praksa).

80

V skladu s členom 5(1)(a) SUVP morajo biti osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo. Člen 5(1)(d) te uredbe dodaja, da morajo biti obdelani osebni podatki točni in po potrebi posodobljeni. Tako je treba sprejeti vse ustrezne ukrepe za zagotovitev, da se netočni osebni podatki nemudoma izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo. Člen 5(1)(f) navedene uredbe določa, da se osebni podatki obdelujejo na način, ki zagotavlja ustrezno varnost teh podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo.

81

Kar zadeva pogoje za zakonitost obdelave, člen 6(1), prvi pododstavek, SUVP, kot je razsodilo Sodišče, določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. Obdelava mora torej ustrezati enemu od primerov, določenih v tej določbi (glej v tem smislu sodbo z dne 9. januarja 2025, Mousse, C‑394/23, EU:C:2025:2, točka 25 in navedena sodna praksa).

82

Natančneje, v skladu s členom 6(1), prvi pododstavek, točka (a), SUVP je obdelava osebnih podatkov zakonita le takrat, kadar je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov v enega ali več določenih namenov. Člen 7(1) te uredbe določa, da mora biti v tem primeru upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. Če take privolitve ni ali če ta privolitev ni bila dana prostovoljno, izrecno, informirano in nedvoumno v smislu člena 4, točka 11, te uredbe, je taka obdelava vseeno lahko utemeljena, če izpolnjuje eno od zahtev glede potrebnosti iz člena 6(1), prvi pododstavek, točke od (b) do (f), te uredbe (sodba z dne 9. januarja 2025, Mousse, C‑394/23, EU:C:2025:2, točka 26 in navedena sodna praksa).

83

Tem načelom in pogojem je treba dodati posebne zahteve za občutljive podatke, kakor so opredeljeni v členu 9(1) SUVP in katerih obdelava je načeloma prepovedana (glej v tem smislu sodbo z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 73).

84

Od te prepovedi je mogoče odstopiti le, če je izpolnjena ena od izjem iz člena 9(2), od (a) do (j), te uredbe. Med temi izjemami, ki jih je treba razlagati ozko, člen 9(2)(a) navedene uredbe določa, da se prepoved obdelave občutljivih podatkov ne uporablja, če je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil v obdelavo svojih občutljivih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, od te prepovedi ne sme odstopiti.

85

Drugič, v poglavju IV SUVP je pojasnjen obseg obveznosti, ki jih ima upravljavec osebnih podatkov na podlagi načela odgovornosti iz člena 5(2) SUVP.

86

V skladu s to določbo je upravljavec odgovoren za spoštovanje odstavka 1 tega člena in mora biti zmožen dokazati, da spoštuje vsa načela iz tega odstavka 1, pri čemer sam nosi dokazno breme (sodba z dne 4. maja 2023, Bundesrepublik Deutschland (Elektronski predal sodišča), C‑60/22, EU:C:2023:373, točka 53 in navedena sodna praksa).

87

To načelo odgovornosti je konkretizirano zlasti v členu 24 SUVP (glej v tem smislu sodbo z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 43 in navedena sodna praksa). S tem členom se zahteva, da upravljavec ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo.

88

Tako člen 5(2) in člen 24 SUVP upravljavcu osebnih podatkov nalagata splošne obveznosti odgovornosti in skladnosti. Od tega upravljavca zahtevata, da sprejme ustrezne ukrepe za preprečevanje morebitnih kršitev pravil, določenih v SUVP za zagotovitev pravice do varstva podatkov (glej v tem smislu sodbo z dne 27. oktobra 2022, Proximus (Javni elektronski imeniki), C‑129/21, EU:C:2022:833, točka 81).

89

S tega vidika člen 25(1) SUVP upravljavcu nalaga, da tako v času določanja sredstev obdelave kot tudi v času same obdelave izvaja ustrezne tehnične in organizacijske ukrepe, ki so oblikovani za učinkovito izvajanje načel varstva podatkov, ter v obdelavo vključi potrebne zaščitne ukrepe, da se izpolnijo zahteve te uredbe in zaščitijo pravice posameznikov, na katere se nanašajo osebni podatki. Poleg tega ta člen 25(2), ki se nanaša na privzeto varstvo podatkov, med drugim določa, da ustrezni tehnični in organizacijski ukrepi, ki jih mora upravljavec za to izvesti, zagotavljajo, da osebni podatki niso samodejno dostopni nedoločenemu številu posameznikov brez posredovanja zadevnega posameznika.

90

Kadar so osebni podatki, ki se obdelujejo, občutljivi podatki v smislu člena 9(1) SUVP, mora upravljavec, da bi ugotovil, kateri so ustrezni ukrepi v smislu členov 24 in 25 te uredbe, med drugim upoštevati, da kršitev načel iz poglavja II navedene uredbe v zvezi z obdelavo takih podatkov lahko pomeni posebej hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine.

91

Glede na vsa ta pojasnila je treba preučiti drugo in tretje vprašanje, kakor sta bili preoblikovani v točki 77 te sodbe.

92

Na prvem mestu, v zvezi z vprašanjem, ali mora upravljavec spletne tržnice pred objavo oglasov identificirati tiste, ki vsebujejo občutljive podatke v smislu člena 9(1) SUVP, je treba opozoriti, kot je razvidno iz točk 64 in 75 te sodbe, da je treba tega upravljavca in uporabnika oglaševalca, ki je tak oglas objavil na tej spletni tržnici, šteti za skupna upravljavca v smislu člena 26 te uredbe, kadar je zadevni oglas objavljen na tej tržnici.

93

Iz tega sledi, da morata tako ta upravljavec kot ta uporabnik oglaševalec zagotoviti spoštovanje obveznosti, ki izhajajo iz člena 5(2) ter členov 24 in 25 SUVP. Zlasti morajo biti sposobni dokazati, da so osebni podatki iz zadevnega oglasa objavljeni zakonito, to je, da je posameznik, na katerega se nanašajo osebni podatki, privolil v tako objavo, razen če se lahko sklicujejo na drug pogoj iz člena 6(1) SUVP. Kadar so zadevni osebni podatki občutljivi podatki v smislu člena 9(1) SUVP, mora biti privolitev v tako objavo, kot je razvidno iz točke 84 te sodbe, izrecna. Prav tako morajo biti v skladu z načelom točnosti iz člena 5(1)(d) SUVP upravljavci sposobni dokazati, da so zadevni osebni podatki točni.

94

Da bi se ugotovilo, kateri so posebej ustrezni tehnični in organizacijski ukrepi, ki jih mora upravljavec spletne tržnice kot skupni upravljavec osebnih podatkov v skladu s členoma 24 in 25 SUVP izvesti, da se prepriča in da je zmožen dokazati, da bo objava občutljivih podatkov v oglasu opravljena v skladu s to uredbo, je treba poudariti, da iz teh določb izhaja, da je treba ustreznost takih ukrepov presojati konkretno, ob upoštevanju narave, obsega, okoliščin in namenov zadevne obdelave ter stopnje verjetnosti in resnosti tveganj za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (glej v tem smislu sodbo z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 96).

95

V zvezi s tem je treba poudariti, da objava osebnih podatkov na spletni tržnici pomeni znatno tveganje za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, saj ti podatki načeloma postanejo dostopni vsem uporabnikom interneta. Poleg tega se lahko navedeni podatki po objavi na spletni tržnici kopirajo in reproducirajo na drugih spletnih mestih, tako da se lahko izkaže, da je za posameznika, na katerega se nanašajo osebni podatki, težko ali celo nemogoče doseči njihov dejanski izbris z interneta.

96

Tveganja, povezana s tako objavo, so še toliko resnejša, če gre za občutljive podatke v smislu člena 9(1) SUVP. Kot je izrecno navedeno v uvodni izjavi 51 SUVP, si osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, zaslužijo posebno varstvo, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine (glej v tem smislu sodbo z dne 4. oktobra 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, točka 75). Obdelava takih podatkov lahko, kot je bilo navedeno v točki 90 te sodbe, pomeni posebej hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine. Poleg tega je stopnja verjetnosti kršitve teh pravic z objavo oglasa, ki vsebuje občutljive podatke, zelo visoka, če uporabnik oglaševalec sam ni posameznik, na katerega se nanašajo osebni podatki, in kadar spletna tržnica omogoča anonimno objavo takih oglasov.

97

Ker torej upravljavec spletne tržnice, kakršna je ta v postopku v glavni stvari, ve ali bi moral vedeti, da lahko uporabniki oglaševalci na splošno oglase, ki vsebujejo občutljive podatke v smislu člena 9(1) SUVP, objavijo na njegovi spletni tržnici, je ta upravljavec kot upravljavec te obdelave zavezan, da že ob zasnovi svoje storitve izvede ustrezne tehnične in organizacijske ukrepe za identifikacijo takih oglasov pred njihovo objavo in tako lahko preveri, ali so občutljivi podatki, ki jih vsebujejo, objavljeni v skladu z načeli iz poglavja II te uredbe. Kot namreč izhaja zlasti iz člena 25(1) navedene uredbe, ima upravljavec spletne tržnice obveznost izvajanja takih ukrepov ne le ob obdelavi, ampak že ob določitvi sredstev obdelave in torej še preden so občutljivi podatki objavljeni na njegovi spletni tržnici v nasprotju s temi načeli, pri čemer je namen te obveznosti prav preprečevanje takih kršitev.

98

Na drugem mestu, glede vprašanja, ali mora upravljavec spletne tržnice, ki je skupaj z uporabnikom oglaševalcem upravljavec občutljivih podatkov iz oglasov, objavljenih na njegovem spletnem mestu, preveriti identiteto tega uporabnika oglaševalca pred objavo, je treba opozoriti, da iz člena 9(1) v povezavi s členom 9(2)(a) SUVP izhaja, da je objava takih podatkov prepovedana, razen če je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil, da se zadevni podatki objavijo na tej spletni tržnici, ali če je izpolnjena katera od drugih izjem iz tega člena 9(2), od (b) do (j), za kar pa se zdi, da v obravnavani zadevi ni tako.

99

Iz tega naslova, čeprav to, da posameznik, na katerega se nanašajo osebni podatki, objavi oglas, ki vsebuje njegove občutljive podatke, na spletni tržnici, lahko pomeni izrecno privolitev v smislu člena 9(2)(a) SUVP, taka privolitev ni podana, če oglas objavi tretja oseba, razen če lahko ta oseba dokaže, da je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil v objavo navedenega oglasa na zadevni spletni tržnici. Zato mora upravljavec te tržnice, da se lahko prepriča in da lahko dokaže, da so zahteve iz člena 9(2)(a) SUVP izpolnjene, pred objavo takega oglasa preveriti, ali je uporabnik oglaševalec, ki ga namerava namestiti, oseba, katere občutljivi podatki so v tem oglasu, kar pomeni, da je treba pridobiti identiteto tega uporabnika oglaševalca.

100

Poleg tega iz člena 13(1)(a) in člena 14(1)(a) SUVP izhaja, da morajo upravljavci osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, vsekakor zagotoviti svojo identiteto in kontaktne podatke.

101

Nazadnje, ugotoviti je treba, da člen 26 SUVP skupne upravljavce iste obdelave osebnih podatkov zavezuje, da pregledno opredelijo svoje obveznosti, da se zagotovi spoštovanje zahtev iz te uredbe. Taka obveznost pa bi se izkazala za nemogočo, če bi eden od upravljavcev lahko ostal anonimen v razmerju do drugega.

102

Iz navedenega tako izhaja, da mora upravljavec spletne tržnice kot oseba, ki je skupaj z uporabnikom oglaševalcem odgovorna za objavo občutljivih podatkov iz oglasa, objavljenega na njegovi spletni tržnici, pridobiti identiteto tega uporabnika oglaševalca in preveriti, ali je ta uporabnik oseba, katere občutljivi podatki so v tem oglasu.

103

V zvezi s tem je, kot je generalni pravobranilec v bistvu navedel v točki 132 sklepnih predlogov, iz uvodne izjave 75 SUVP razvidno, da lahko zlasti v primeru zlorabe identitete obdelava osebnih podatkov povzroči tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ki jim je zato mogoče preprečiti izvajanje nadzora nad njihovimi osebnimi podatki. Na splošno se namreč identiteta ukrade zaradi uresničitve goljufij v škodo posameznika, na katerega se nanašajo osebni podatki, ali tretje osebe.

104

V teh okoliščinah in ob upoštevanju tudi preudarkov iz točk 95 in 96 te sodbe mora upravljavec spletne tržnice, da bi se lahko prepričal in dokazal, da se občutljivi podatki v oglasih obdelujejo v skladu z zahtevami iz SUVP, na podlagi členov 24 in 25 te uredbe določiti ustrezne tehnične in organizacijske ukrepe, ki mu ne omogočajo le, da pred objavo teh oglasov pridobi, ampak tudi preveri identiteto uporabnikov oglaševalcev, in to zlasti zato, da bi lahko ugotovil, ali je ta uporabnik oseba, katere občutljivi podatki so v navedenih oglasih. Taki ukrepi morajo zlasti omogočiti, kot je generalni pravobranilec navedel v točki 134 sklepnih predlogov, da se omeji tveganje nezakonite obdelave osebnih podatkov posameznikov, na katere se nanašajo osebni podatki, in da se prepreči nepoštena uporaba take spletne tržnice, s čimer se omeji občutek nekaznovanosti in da so uporabniki oglaševalci tako spodbujeni, da pri objavljanju oglasov, ki vsebujejo osebne podatke, ravnajo v skladu z zahtevami SUVP.

105

Nazadnje, na tretjem mestu, v zvezi z vprašanjem, ali mora upravljavec spletne tržnice zavrniti objavo oglasa, ki vsebuje občutljive podatke, če se – po takem preverjanju identitete uporabnika oglaševalca, ki namerava objaviti ta oglas – izkaže, da ta ni oseba, katere občutljivi podatki so navedeni v navedenem oglasu, je treba ugotoviti, da iz točk 98 in 99 te sodbe izhaja, da v takem primeru ni mogoče izključiti, da je bila s to objavo kršena prepoved obdelave takih podatkov iz odstavka 1 člena 9 SUVP. Zato mora upravljavec zadevne spletne tržnice – razen če lahko ta oglaševalski uporabnik pravno zadostno dokaže, da je posameznik, na katerega se nanašajo osebni podatki, izrecno privolil v objavo zadevnih podatkov na tej spletni tržnici v smislu odstavka 2(a) tega člena 9 ali da je izpolnjena katera od drugih izjem iz odstavka 2, od (b) do (j), navedenega člena 9 – zavrniti objavo zadevnega oglasa, kar mora zagotoviti z izvajanjem ustreznih tehničnih in organizacijskih ukrepov.

106

Glede na vse zgoraj navedene razloge je treba na drugo in tretje vprašanje odgovoriti, da je treba člen 5(2) in člene od 24 do 26 SUVP razlagati tako, da mora upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, SUVP – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, pred objavo oglasov z ustreznimi tehničnimi in organizacijskimi ukrepi:

107

Četrto vprašanje se v bistvu nanaša na to, ali mora upravljavec spletne tržnice kot upravljavec osebnih podatkov izvajati varnostne ukrepe, ki preprečujejo ali omejujejo kopiranje in ponovno distribuiranje oglasov, ki vsebujejo občutljive podatke, ki so bili objavljeni na njegovi spletni tržnici.

108

V obravnavanem primeru je iz predloga za sprejetje predhodne odločbe razvidno, prvič, da je bil lažni in škodljivi oglas iz postopka v glavni stvari povzet na drugih spletnih mestih z oglaševalsko vsebino, ki so ga objavila z navedbo vira izvora, in drugič, da si družba Russmedia med drugim pridržuje pravico prenašati vsebine oglasov, objavljenih na tej spletni tržnici, in jih prepustiti partnerjem. V zvezi s tem predložitveno sodišče ni navedlo, ali je družba Russmedia ta oglas prostovoljno prenesla na ta druga spletna mesta ali vsaj s pogodbami dovolila te objave, ali pa so, nasprotno, navedene objave izhajale iz kopij prvotnega oglasa, ki jih družba Russmedia ni odobrila.

109

Če bi bil prvi del te alternative dokazan, bi to posredovanje pomenilo novo obdelavo osebnih podatkov, za katero bi bila družba Russmedia odgovorna v smislu člena 4, točka 7, SUVP. To obdelavo bi bilo treba razlikovati od objave zavajajočega in škodljivega oglasa iz postopka v glavni stvari uporabnika oglaševalca na spletni tržnici te družbe.

110

Razlikovati je namreč treba med različnimi obdelavami osebnih podatkov, ki spadajo v isto verigo postopkov, da bi se upoštevala potreba po posamični presoji ravni odgovornosti, ki se ji lahko pripiše, za vsako osebo, ki jo je mogoče opredeliti kot upravljavca osebnih podatkov. To je povezano z dejstvom, da mora fizična ali pravna oseba, da bi jo bilo mogoče šteti za skupnega upravljavca, samostojno ustrezati opredelitvi „upravljavca“ iz člena 4, točka 7, SUVP (sodba z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 41 in navedena sodna praksa).

111

Iz tega sledi, da če se nadaljnji prenos osebnih podatkov opravi v okviru pogodb o razširjanju med upravljavcem spletne tržnice, na katerih so bili prvotno objavljeni zadevni osebni podatki, in upravljavci drugih spletnih mest, je ta prvi upravljavec načeloma edini upravljavec obdelave, ki jo pomeni ta prenos. Vsekakor mora vsak upravljavec sam ali skupaj izpolnjevati vse obveznosti, ki izhajajo iz SUVP.

112

Po teh pojasnilih je treba četrto vprašanje razumeti tako, da se nanaša na primer, v katerem družba Russmedia lažnega in škodljivega oglasa iz postopka v glavni stvari ni prenesla na druga spletna mesta z oglaševalsko vsebino in torej teh poznejših objav ni odobrila.

113

Poleg tega je treba tudi ugotoviti, da se to vprašanje v bistvu nanaša na obseg obveznosti varnosti, ki jo mora spoštovati upravljavec osebnih podatkov. Naslov člena 32 SUVP pa je posebej varnost obdelave. Konkretizira in natančneje določa posebni vidik zahtev iz člena 24 te uredbe, ki s členom 5(2) navedene uredbe na splošno določa odgovornost upravljavca.

114

V teh okoliščinah je treba šteti, da predložitveno sodišče s četrtim vprašanjem v bistvu sprašuje, ali je treba člen 32 SUVP razlagati tako, da mora upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, te uredbe – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, izvajati varnostne ukrepe, s katerimi je mogoče preprečiti, da bi se na njej objavljeni oglasi, ki vsebujejo občutljive podatke v smislu člena 9(1) navedene uredbe, kopirali in nezakonito objavili na drugih spletnih mestih.

115

Člen 32(1) SUVP določa, da ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje.

116

Člen 32(2) te uredbe določa, da je treba pri določanju ustrezne ravni varnosti upoštevati zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov.

117

Sodišče je razsodilo, da sklicevanje v členu 32(1) in (2) SUVP na „raven varnosti glede na tveganje“ in „ustrezno raven varnosti glede na tveganje“ kaže na to, da ta uredba vzpostavlja ureditev obvladovanja tveganj in da nikakor ni namenjena odpravi tveganj za kršitve varstva osebnih podatkov (sodba z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točka 29).

118

Tako je iz besedila člena 32 SUVP v povezavi s členom 24 te uredbe razvidno, da ta člen 32 upravljavcu zgolj nalaga sprejetje tehničnih in organizacijskih ukrepov, katerih namen je, da se v največji možni meri prepreči kakršna koli kršitev osebnih podatkov. Ustreznost takih ukrepov je treba presojati konkretno, tako da se preuči, ali je ta upravljavec te ukrepe izvajal ob upoštevanju različnih meril iz omenjenih členov, potreb po varstvu podatkov, ki so povezane posebej z zadevno obdelavo, in tveganj, ki zaradi obdelave nastajajo (glej v tem smislu sodbo z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točka 30).

119

V zvezi s tem je treba za določitev konkretnega tveganja, ki ga pomeni zadevna obdelava, upoštevati morebitno občutljivost osebnih podatkov, ki se obdelujejo. Kot je bilo namreč opozorjeno v točkah 51 in 90 te sodbe, se povečano varstvo, določeno v členu 9(1) SUVP za nekatere kategorije podatkov, zaradi njihove posebne občutljivosti nanaša na dejstvo, da lahko obdelava takih podatkov pomeni posebej hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine (glej v tem smislu sodbo z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 41 in navedena sodna praksa).

120

Vendar ko je oglas, ki vsebuje osebne podatke, na spletu in je tako že na splošno dostopen, širjenje teh podatkov med drugim pomeni tveganje izgube nadzora nad zadevnimi osebnimi podatki, zaradi česar se, če se to zgodi, pravicam in zaščitnim ukrepom, ki so določeni v SUVP v korist posameznika, na katerega se nanašajo osebni podatki, med katerimi je predvsem pravica do izbrisa iz člena 17 te uredbe, odvzame polni učinek.

121

Kadar se občutljivi podatki objavijo na spletu, mora torej upravljavec v skladu s členom 32 SUVP sprejeti vse tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ki bi lahko učinkovito preprečila izgubo nadzora nad temi podatki.

122

Zato mora upravljavec med drugim preučiti vse tehnične ukrepe, ki so na voljo glede na tehnično znanje, s katerim bi bilo mogoče blokirati kopiranje in reproduciranje spletnih vsebin.

123

Vendar je treba še pojasniti, da členov 24 in 32 SUVP ni mogoče razumeti tako, da nezakonito širjenje osebnih podatkov, ki so bili prvotno objavljeni na spletu, zadostuje za ugotovitev, da ukrepi, ki jih je sprejel zadevni upravljavec, niso bili ustrezni v smislu teh določb, ne da bi ta upravljavec lahko predložil nasprotni dokaz (sodba z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točka 31).

124

V obravnavanem primeru je iz predložitvene odločbe razvidno, da je kljub izbrisu lažnega in škodljivega oglasa iz postopka v glavni stvari na spletni tržnici družbe Russmedia ta oglas še vedno dostopen na spletu na drugih spletnih mestih, ne da bi tožeča stranka v postopku v glavni stvari, kot se zdi, lahko dosegla njegov izbris.

125

Očitno pa je, da je ta izguba nadzora posledica nezakonite prvotne objave lažnega in škodljivega oglasa iz postopka v glavni stvari, kar je v nasprotju z zahtevami iz SUVP. Družba Russmedia je bila vsekakor dolžna izvesti ustrezne tehnične in organizacijske ukrepe, da bi zagotovila raven varnosti, ki ustreza tveganju, v skladu s členom 32 SUVP in čim bolj blokirati kakršno koli kopiranje tega obvestila. Predložitveno sodišče bo moralo preveriti, ali to drži.

126

Glede na vse zgoraj navedene razloge je treba na četrto vprašanje odgovoriti, da je treba člen 32 SUVP razlagati tako, da mora upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, te uredbe – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, izvajati ustrezne tehnične in organizacijske varnostne ukrepe, s katerimi je mogoče preprečiti, da bi se na njej objavljeni oglasi, ki vsebujejo občutljive podatke v smislu člena 9(1) navedene uredbe, kopirali in nezakonito objavili na drugih spletnih mestih.

127

Kot je bilo navedeno v točkah 45 in 46 te sodbe, želi predložitveno sodišče še izvedeti, ali se lahko upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, SUVP – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, v zvezi s kršitvijo obveznosti, ki izhajajo iz člena 5(2) ter členov od 24 do 26 in 32 te uredbe ter so bile ugotovljene v točkah 106 in 126 te sodbe, sklicuje na člene od 12 do 15 Direktive 2000/31, ki se nanašajo na odgovornost posrednih ponudnikov storitev.

128

Zato se postavlja vprašanje o razmerju med tema dvema instrumentoma prava Unije. Zlasti je treba ugotoviti, ali lahko členi od 12 do 15 Direktive 2000/31 posegajo v ureditev odgovornosti iz SUVP.

129

V zvezi s tem je treba poudariti, prvič, da člen 1(5)(b) Direktive 2000/31 določa, da se ta direktiva ne uporablja za vprašanja v zvezi s storitvami informacijske družbe, ki jih urejata direktivi 95/46 in 97/66.

130

Sodišče je to določbo razlagalo tako, da je treba vprašanja v zvezi z varstvom zaupnosti sporočil in osebnih podatkov presojati glede na SUVP in Direktivo 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514), ki sta nadomestili Direktivo 95/46 oziroma Direktivo 97/66, pri čemer je treba pojasniti, da varstvo, ki se želi zagotoviti z Direktivo 2000/31, nikakor ne sme posegati v zahteve, ki izhajajo iz SUVP in Direktive 2002/58 (sodba z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 200 in navedena sodna praksa).

131

Iz tega zlasti izhaja, da morebitna upravičenost do oprostitve iz člena 14(1) Direktive 2000/31, na katero bi se upravljavec spletne tržnice lahko skliceval v zvezi z informacijami, ki gostujejo na njegovem spletnem mestu, ne more posegati v ureditev SUVP, ki se uporablja za takega upravljavca in za vse druge gospodarske subjekte, ki spadajo na področje uporabe te uredbe.

132

Enako velja za člen 15 Direktive 2000/31, v skladu s katerim države članice ponudnikom v zvezi z opravljanjem storitev iz člena 14 navedene direktive ne smejo naložiti splošne obveznosti nadzora. Poleg tega obveznosti upravljavca spletne tržnice, da izpolni zahteve, ki izhajajo iz SUVP, nikakor ni mogoče opredeliti kot tako splošno obveznost nadzora.

133

Na drugi strani člen 2(4) SUVP določa, da ta uredba ne posega v uporabo Direktive 2000/31 in zlasti v uporabo pravil o odgovornosti posrednih ponudnikov storitev iz členov od 12 do 15 te direktive.

134

Ta člen 2(4) je treba razumeti tako, da dejstvo, da je gospodarski subjekt nosilec obveznosti iz SUVP, ne izključuje samodejno možnosti, da se lahko ta subjekt sklicuje na člene od 12 do 15 Direktive 2000/31 v zvezi z vprašanji, ki niso povezana z varstvom osebnih podatkov.

135

Iz člena 1(5)(b) Direktive 2000/31 v povezavi s členom 2(4) SUVP tako izhaja, da določbe te direktive, zlasti njeni členi od 12 do 15, ne smejo posegati v ureditev iz te uredbe.

136

Glede na vse zgoraj navedene razloge je treba na prvo vprašanje odgovoriti, da je treba člen 1(5)(b) Direktive 2000/31 in člen 2(4) SUVP razlagati tako, da se upravljavec spletne tržnice kot upravljavec – v smislu člena 4, točka 7, SUVP – osebnih podatkov iz oglasov, objavljenih na njegovi spletni tržnici, v zvezi s kršitvijo obveznosti iz člena 5(2) ter členov od 24 do 26 in 32 te uredbe ne more sklicevati na člene od 12 do 15 te direktive, ki se nanašajo na odgovornost posrednih ponudnikov storitev.

137

Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo: