TSUE: platforma internetowa nie ucieknie od odpowiedzialności z RODO za treści ogłoszeń
15% rabatu na subskrypcję 360 dni w Judykatura.pl – tylko do 15.12.2025 r.
Sprawa jaka trafiła do TSUE dotyczyła opublikowania na pewnym rumuńskim portalu z ogłoszeniami treści sugerującej, że pewna osoba świadczy usługi seksualne.
Jak można się domyśleć ogłoszenie nie pochodziło od tej osoby.
Osoba ta zarzucała nielegalne wykorzystanie jej danych osobowych, w tym jej wizerunku oraz techniczne umożliwienie powielania takiego ogłoszenia przez innych wydawców internetowych.
Co ważne operator do którego zgłosiła swoje żądanie obywatelka usuną ogłoszenie w mniej niż godzinę, ale nie miał już wpływu na to jak długo jest ono wyświetlane w portalach, które je skopiowały.
Sąd I instancji zasądził na rzecz obywatelki 7000 euro za krzywdę wyrządzoną “wskutek naruszenia prawa do wizerunku, czci i dobrego imienia, a także naruszenia prawa do poszanowania życia prywatnego i wskutek niezgodnego z prawem przetwarzania danych osobowych powódki’.
Jednakże Tribunalul Specializat Cluj (sąd wyspecjalizowany w Klużu, Rumunia) uwzględnił tę apelację, orzekając, że powództwo powódki w postępowaniu głównym było bezzasadne, ponieważ ogłoszenie rozpatrywane w postępowaniu głównym nie pochodziło od Russmedii, która świadczyła jedynie usługę hostingu tego ogłoszenia, bez aktywnego zaangażowania Russmedii w jego treść.
Takie zwolnienie zawiera także nasza krajowa ustawa w art. 14:
Nie ponosi odpowiedzialności za przechowywane dane ten, kto udostępniając zasoby systemu teleinformatycznego w celu przechowywania danych przez usługobiorcę nie wie o bezprawnym charakterze danych lub związanej z nimi działalności, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej wiadomości o bezprawnym charakterze danych lub związanej z nimi działalności niezwłocznie uniemożliwi dostęp do tych danych.
Obywatelka nie poddała się i zaskarżyła ten wyrok do Curtea de Apel Cluj (sądu apelacyjnego w Klużu, Rumunia), uznając, że Tribunalul Specializat Cluj (sąd wyspecjalizowany w Klużu) oparł się na błędnej wykładni ustawy.
To właśnie ten Sąd jako sąd odsyłający zadał Trybunałowi kilka pytań:
„1) Czy art. 12–14 [dyrektywy 2000/31] mają również zastosowanie do dostawcy usług [społeczeństwa informacyjnego], takich jak usługi przechowywania i hostingu, który udostępnia użytkownikom stronę internetową, na której mogą być publikowane bezpłatne lub płatne ogłoszenia, który to dostawca utrzymuje, że jego rola w publikowaniu ogłoszeń użytkowników ma charakter czysto techniczny (udostępnianie platformy), a poprzez ogólne warunki korzystania z tej strony internetowej wskazuje, że nie rości sobie prawa własności do przekazywanych lub publikowanych, zamieszczanych lub przesyłanych treści, choć zachowuje jednak prawo do korzystania z treści, w tym do ich kopiowania, rozpowszechniania, przesyłania, publikowania, zwielokrotniania, modyfikowania, tłumaczenia, cedowania na partnerów i usunięcia ich w dowolnej chwili, nawet bez konieczności wskazania powodu w tym względzie?
2) Czy art. 2 ust. 4, art. 4 pkt 7 i 11, art. 5 ust. 1 lit. f), art. 6 ust. 1 lit. a) i art. 7, 24 i 25 [RODO] oraz art. 15 [dyrektywy 2000/31] należy interpretować w ten sposób, że wspomniany dostawca usług [społeczeństwa informacyjnego], takich jak usługi przechowywania i hostingu, który jest administratorem danych osobowych, jest zobowiązany do zweryfikowania przed opublikowaniem ogłoszenia, czy istnieje tożsamość między osobą publikującą ogłoszenie a właścicielem danych osobowych, do którego odnosi się ogłoszenie?
3) Czy art. 2 ust. 4, art. 4 pkt 7 i 11, art. 5 ust. 1 lit. f), art. 6 ust. 1 lit. a) i art. 7, 24 i 25 [RODO] oraz art. 15 [dyrektywy 2000/31] należy interpretować w ten sposób, że wspomniany dostawca usług [społeczeństwa informacyjnego], takich jak usługi przechowywania i hostingu, który jest administratorem danych osobowych, jest zobowiązany do zweryfikowania z wyprzedzeniem treści ogłoszeń przesyłanych przez użytkowników w celu wykluczenia tych ogłoszeń, których charakter może być bezprawny lub które mogą naruszać życie prywatne i rodzinne danej osoby?
4) Czy art. 5 ust. 1 lit. b) i f), art. 24 i 25 [RODO] oraz art. 15 [dyrektywy 2000/31] należy interpretować w ten sposób, że wspomniany dostawca usług [społeczeństwa informacyjnego], takich jak usługi przechowywania i hostingu, który jest administratorem danych osobowych, jest zobowiązany do stosowania zabezpieczeń mających na celu uniemożliwienie lub ograniczenie powielania i rozpowszechniania treści ogłoszeń publikowanych za jego pośrednictwem?”.
15% rabatu na subskrypcję 360 dni w Judykatura.pl – tylko do 15.12.2025 r.
1) Artykuł 5 pkt 2 oraz art. 24–26 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) należy interpretować w ten sposób, że:
operator internetowej platformy handlowej, jako administrator – w rozumieniu art. 4 pkt 7 tego rozporządzenia – danych osobowych zawartych w ogłoszeniach publikowanych na jego internetowej platformie handlowej, ma obowiązek przed opublikowaniem ogłoszeń, za pomocą odpowiednich środków technicznych i organizacyjnych
– zidentyfikować ogłoszenia zawierające dane wrażliwe w rozumieniu art. 9 ust. 1 wspomnianego rozporządzenia,
– dokonać weryfikacji, czy użytkownik będący reklamodawcą zamierzający zamieścić takie ogłoszenie jest osobą, której dane wrażliwe znajdują się w tym ogłoszeniu, a jeśli tak nie jest,
– odmówić opublikowania tego ogłoszenia, chyba że ów użytkownik będący reklamodawcą może wykazać, iż osoba, której dane dotyczą, wyraziła wyraźną zgodę na opublikowanie rozpatrywanych danych na tej internetowej platformie handlowej, zgodnie z art. 9 ust. 2 lit. a), lub że zachodzi jeden z pozostałych wyjątków przewidzianych we wspomnianym art. 9 ust. 2 lit. b)–j).
2) Artykuł 32 rozporządzenia 2016/679 należy interpretować w ten sposób, że:
operator internetowej platformy handlowej, jako administrator – w rozumieniu art. 4 pkt 7 tego rozporządzenia – danych osobowych zawartych w ogłoszeniach publikowanych na jego internetowej platformie handlowej, ma obowiązek stosować odpowiednie zabezpieczenia techniczne i organizacyjne, aby uniemożliwić kopiowanie i niezgodne z prawem publikowanie w innych witrynach internetowych opublikowanych na tej platformie ogłoszeń zawierających dane wrażliwe w rozumieniu art. 9 ust. 1 wspomnianego rozporządzenia.
3) Artykuł 1 ust. 5 lit. b) dyrektywy 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym) oraz art. 2 ust. 4 rozporządzenia 2016/679 należy interpretować w ten sposób, że:
operator internetowej platformy handlowej, jako administrator – w rozumieniu art. 4 pkt 7 RODO – danych osobowych zawartych w ogłoszeniach publikowanych na jego internetowej platformie handlowej, nie może powoływać się w odniesieniu do naruszenia obowiązków wynikających z art. 5 ust. 2 oraz art. 24–26 i 32 tego rozporządzenia na art. 12–15 dyrektywy 2000/31, dotyczące odpowiedzialności usługodawców będących pośrednikami.
15% rabatu na subskrypcję 360 dni w Judykatura.pl – tylko do 15.12.2025 r.
Powyższe orzeczenie niesie za sobą ogrom istotnych konsekwencji, a TSUE tak je argumentował:
Należy zatem stwierdzić, że gdy operator internetowej platformy handlowej taki jak Russmedia ustala parametry rozpowszechniania ogłoszeń mogących zawierać dane osobowe zależnie od zamierzonych odbiorców, określa sposób prezentacji, czas trwania tego rozpowszechniania lub rubryki strukturyzujące publikowane informacje lub też organizuje ranking, który określi zasady takiego rozpowszechniania, to uczestniczy on w określeniu istotnych sposobów opublikowania odnośnych danych osobowych, wpływając tym samym w sposób decydujący na ogólne rozpowszechnianie tych danych.
W każdym razie operator internetowej platformy handlowej nie może zwolnić się z odpowiedzialności, jako administrator danych osobowych, na tej podstawie, że sam nie określił treści ogłoszenia opublikowanego na tej platformie handlowej. Sprzeczne nie tylko z jasnym brzmieniem, lecz również z celem art. 4 pkt 7 RODO, polegającym na zapewnieniu, poprzez szeroką definicję pojęcia „administratora”, skutecznej i pełnej ochrony osób, których dane dotyczą, byłoby bowiem wyłączenie z tej definicji takiego operatora z tego tylko powodu.
Należy zatem stwierdzić, że sąd odsyłający słusznie oparł pytania od drugiego do czwartego na założeniu, że w sytuacji takiej jak rozpatrywana w postępowaniu głównym operator internetowej platformy handlowej jest administratorem danych osobowych zawartych w ogłoszeniu opublikowanym na tej internetowej platformie handlowej w rozumieniu art. 4 pkt 7 RODO.
15% rabatu na subskrypcję 360 dni w Judykatura.pl – tylko do 15.12.2025 r.