–

X képviseletében I. Kis avocată,

–

a román kormány képviseletében E. Gane, L. Ghiţă és R. I. Haţieganu, meghatalmazotti minőségben,

–

az Európai Bizottság képviseletében L. Armati, H. Kranenborg, P.‑J. Loewenthal és L. Nicolae, meghatalmazotti minőségben,

1

Az előzetes döntéshozatal iránti kérelem a belső piacon az információs társadalommal összefüggő szolgáltatások, különösen az elektronikus kereskedelem egyes jogi vonatkozásairól szóló, 2000. június 8‑i 2000/31/EK európai parlamenti és tanácsi irányelv (Elektronikus kereskedelemről szóló irányelv) (HL 2000. L 178., 1. o.; magyar nyelvű különkiadás 13. fejezet, 25. kötet, 399. o.) 12–15. cikkének, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 2. cikke (4) bekezdésének, 4. cikke 7. és 11. pontjának, 5. cikke (1) bekezdése b) és f) pontjának, 6. cikke (1) bekezdésének a) pontjának, valamint 7., 24. és 25. cikkének értelmezésére irányul.

2

E kérelmet egy természetes személy, X, valamint a Russmedia Digital SRL és az Inform Media Press SRL (a továbbiakban együtt: Russmedia) között az alapeljárás felperesét a személyes adatainak jogellenes kezelése, valamint a képmáshoz, a becsülethez és a magánélethez való jogának megsértése miatt ért nem vagyoni kár megtérítése iránti kereset tárgyában folyamatban lévő jogvita keretében terjesztették elő.

A jogi háttér

Az uniós jog

A 2000/31 irányelv

3

A 2000/31 irányelv (14), (42), (46) és (52) preambulumbekezdése értelmében:

4

A 2000/31 irányelvnek „Az irányelv célja és alkalmazási köre” című 1. cikke a következőképpen rendelkezik:

5

A 2000/31 irányelv II. fejezetének „A közvetítő szolgáltatók felelőssége” című 4. szakaszának az alapügyre alkalmazandó változata tartalmazta ezen irányelv 12–15. cikkét. Az irányelv 12. és 13. cikke a címüknek megfelelően az „[e]gyszerű továbbításra” és a „[g]yorsítótárolóban történő rögzítésre (caching)” vonatkozott.

6

Az említett irányelv „Tárhelyszolgáltatás” című 14. cikke a következőket írja elő:

7

Ugyanezen irányelv „Az általános nyomon követési kötelezettség hiánya” című 15. cikkének (1) és (2) bekezdése a következőket írta elő:

A GDPR

8

A GDPR (4), (10), (39), (51), (74), (75), (78) és (85) preambulumbekezdése értelmében:

9

E rendelet „Tárgy” című 1. cikkének (2) bekezdése az alábbiak szerint rendelkezik:

10

Az említett rendelet „Tárgyi hatály” című 2. cikkének (4) bekezdése a következőképpen rendelkezik:

11

Ugyanezen rendelet „Fogalommeghatározások” című 4. cikkének a szövege a következő:

12

A GDPR „Elvek” című II. fejezete tartalmazza e rendelet 5–9. cikkét.

13

E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:

14

Az említett rendelet „Az adatkezelés jogszerűsége” című 6. cikkének (1) bekezdése a következőket írja elő:

15

Ugyanezen rendelet „A hozzájárulás feltételei” című 7. cikkének (1) bekezdése az alábbiak szerint rendelkezik:

16

A GDPR „A személyes adatok különleges kategóriáinak kezelése” című 9. cikke a következőképpen rendelkezik:

17

E rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 13. cikke (1) bekezdésének a) pontja a következőket írja elő:

18

Az általános adatvédelmi rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg” című 14. cikke (1) bekezdésének a) pontja a következőképpen rendelkezik:

19

Ugyanezen rendeletnek „Az érintett jogai” című III. fejezetében foglalt, „A törléshez való jog (»Az elfeledtetéshez való jog«)” című 17. cikkének (1) és (2) bekezdése a következőket írja elő:

20

A GDPR‑nak „Az adatkezelő és az adatfeldolgozó” című IV. fejezetének az „Általános kötelezettségek” című 1. szakasza tartalmazza többek között a 24–26. cikket.

21

E rendelet „Az adatkezelő feladatai” című 24. cikkének (1) bekezdése az alábbiak szerint rendelkezik:

22

Ugyanezen rendelet „Beépített és alapértelmezett adatvédelem” című 25. cikkének (1) és (2) bekezdése a következőket írja elő:

23

Ugyanezen rendelet „Közös adatkezelők” című 26. cikkének (1) bekezdése az alábbiak szerint rendelkezik:

24

A GDPR‑nak „Az adatkezelés biztonsága” című 32. cikke értelmében:

25

E rendelet „A kártérítéshez való jog és a felelősség” című 82. cikkének (1)–(3) bekezdése az alábbiak szerint rendelkezik:

26

Ugyanezen rendelet 94. cikke a következőképpen rendelkezik:

A román jog

27

A 2006. május 4‑i Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény módosításáról és kiegészítéséről szóló 121/2006. sz. törvény; Monitorul Oficial al României, I. rész, 2006. május 10‑i 403. szám) által módosított, 2002. június 7‑i Legea nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény; Monitorul Oficial al României, I. rész, 2002. július 5‑i 483. szám; a továbbiakban: 365/2002. sz. törvény) 11. cikke a következőket írja elő:

28

A 365/2002 törvénynek a „Tartós információtárolás, tárhelyszolgáltatás” című 14. cikke a következőképpen rendelkezik:

29

A Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény végrehajtási szabályainak jóváhagyásáról szóló, 2002. november 20‑i 1.308. sz. kormányhatározat) által jóváhagyott Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény végrehajtási szabályai; Monitorul Oficial al României, I. rész, 2002. december 5‑i 877. szám) 11. cikkének (1) bekezdése a következőképpen rendelkezik:

Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések

30

A román jog szerint létrehozott Russmedia Digital társaság tulajdonosa a www.publi24.ro internetes oldalnak, amely egy olyan online piactér, amelyen többek között áruk értékesítésére vagy szolgáltatások nyújtására vonatkozó hirdetések ingyenesen vagy ellenérték fejében közzétehetők.

31

Az alapeljárás felperese arra hivatkozik, hogy 2018. augusztus 1‑jén egy nem azonosított harmadik személy őt szexuális szolgáltatásokat nyújtóként feltüntető, hamis tartalmú, sértő hirdetést tett közzé ezen az internetes oldalon. A hirdetésben szerepeltek többek között az alapeljárás felperesének a hozzájárulása nélkül felhasznált fényképei és a telefonszáma is. Ezt a hirdetést ezt követően változatlan formában más, reklámtartalmú internetes oldalakon is átvették, ahol azt az eredeti forrás feltüntetésével tették közzé. Az alapeljárás felperesének megkeresésére a Russmedia Digital a kérés kézhezvételét követően kevesebb mint egy órán belül eltávolította a hirdetést a honlapjáról. A hirdetés azonban továbbra is elérhető maradt más internetes oldalakon, amelyek azt átvették.

32

Az alapeljárás felperese, mivel úgy ítélte meg, hogy az alapügyben szóban forgó hirdetés sérti a képmáshoz, a becsülethez, a jóhírnévhez és a magánélethez való jogát, valamint a személyes adatok kezelésére vonatkozó szabályokat, keresetet indított a Russmediával szemben a Judecătoria Cluj‑Napoca (kolozsvári helyi bíróság, Románia) előtt. Ez a bíróság arra kötelezte a Russmediát, hogy fizessen az alapeljárás felperese számára 7000 euró összegű kártérítést a képmáshoz, a becsülethez, a jóhírnévhez és a magánélethez való jogának megsértésével, valamint a személyes adatainak jogellenes kezelésével okozott nem vagyoni kár címén.

33

A Russmedia fellebbezést nyújtott be ezen ítélet ellen. A Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék, Románia) helyt adott a fellebbezésnek, és megállapította, hogy az alapeljárás felperesének keresete nem megalapozott, mivel az alapügyben szóban forgó hirdetés nem a Russmediától származott, amely a hirdetés tekintetében csak tárhelyszolgáltatást nyújtott, és annak tartalmát illetően nem működött közre tevékenyen. Következésképpen a 365/2002. sz. törvény 14. cikke (1) bekezdésének b) pontjában előírt felelősség alóli mentesség alkalmazandó rá. A személyes adatok kezelését illetően e bíróság úgy ítélte meg, hogy az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltató nem köteles az általa továbbított információkat ellenőrizni és nem köteles aktívan rákeresni a láthatólag jogellenes tevékenységekre vagy információkra vonatkozó adatokra. E tekintetben úgy ítélte meg, hogy nem róható fel a Russmediának, hogy nem tett intézkedéseket az alapügyben szóban forgó rágalmazó hirdetés online terjesztésének megakadályozására, mivel az alapeljárás felperesének kérésére gyorsan törölte ezt a hirdetést.

34

Ez utóbbi felülvizsgálati kérelmet nyújtott be ezen ítélettel szemben a Curtea de Apel Clujhoz (kolozsvári ítélőtábla, Románia), mivel úgy vélte, hogy a Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék) a 365/2002. sz. törvény téves értelmezésére támaszkodott. Az alapeljárás felperese többek között arra hivatkozik, hogy mivel ez a törvény a GDPR‑hoz képest nem minősül különös jognak, e bíróságnak meg kellett volna vizsgálnia e rendelet jelen ügyben való alkalmazhatóságát. A Russmedia szerepe továbbá nem korlátozódott arra, hogy az ügyfelek rendelkezésére bocsássa a tárhelyszerverhez való hozzáférés sajátos technikai eszközét. Álláspontja szerint a társaság adatkezelői szerepet is játszott azáltal, hogy az információk megfelelő kezelése céljából beavatkozott a tartalomba. A társaság a szóban forgó honlap üzemeltetőjeként tárolja és kezeli az információ tartalmát. Az adatok tárolása, valamint bizonyos formában a nyilvánosság számára történő hozzáférhetővé tétele magában foglalja a hirdetésekben szereplő adatok és információk elemzését is. Ezek azt bizonyítják, hogy a Russmedia közvetlenül részt vett a hirdetések tartalmának kezelésében és terjesztésében. Következésképpen a 365/2002. sz. törvény 14. cikkében foglalt rendelkezések a jelen ügyben nem alkalmazhatók.

35

Az alapeljárás felperese továbbá arra hivatkozik, hogy az ilyen szolgáltató felelősség alóli mentessége nem alkalmazható, ha a felelősséget más rendeleti jellegű jogi aktusok, például a GDPR alapján állapítják meg. A Russmedia az alapeljárás felperesének személyes adatait annak hozzájárulása nélkül tette közzé, és internetes oldalának működtetésével lehetővé tette, hogy bárki bármilyen típusú hirdetést tegyen közzé, így például olyanokat is, amelyek nem garantálják a személyes adatok biztonságát, mivel az interneten közzétett adatok nem törölhetők véglegesen.

36

A Russmedia a maga részéről azt állítja, hogy a Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék) által elfogadott megoldás helyes. Az alapeljárás felperese nem bizonyította, hogy a GDPR mennyiben minősül olyan különös szabálynak, amely kizárja a 365/2002. sz. törvény releváns rendelkezéseinek alkalmazását.

37

A kérdést előterjesztő bíróságként eljáró és a jelen ügyben felülvizsgálati eljárásban jogerős határozatot hozó Curtea de Apel Cluj (kolozsvári ítélőtábla), szükségesnek tartja többek között az információs társadalommal összefüggő szolgáltatásokat nyújtó, a Russmediához hasonló szolgáltató 2000/31 irányelv szerinti felelősség alóli mentességét behatároló korlátok meghatározását.

38

A Bíróság releváns ítélkezési gyakorlatára hivatkozva a kérdést előterjesztő bíróság megállapítja, hogy bár ezen ítélkezési gyakorlatnak megfelelően az online piacterek üzemeltetői nem kötelesek előzetesen ellenőrizni a hirdetők által meghirdetett információkat vagy hirdetéseket, ez attól még az ezen üzemeltetők felelősség alóli mentességének feltétele. Így tehát a 2011. július 12‑i L’Oréal és társai ítéletnek (C‑324/09, EU:C:2011:474) megfelelően az online szolgáltatások üzemeltetője nem hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt felelősség alóli mentességre, amennyiben tudomása volt olyan tényekről vagy körülményekről, amelyek alapján a gondosan eljáró gazdasági szereplőnek fel kellett volna ismernie az eladási ajánlat jogszerűtlenségét, és ezek ismeretében nem cselekedett haladéktalanul az irányelv 14. cikke (1) bekezdése b) pontjának megfelelően. Hasonlóképpen, a 2014. szeptember 11‑i Papasavvas ítéletből (C‑291/13, EU:C:2014:2209) kitűnik, hogy a 2000/31 irányelv 12–14. cikkében foglalt polgári jogi felelősségkorlátozás nem vonatkozik az olyan társaság esetére, amely olyan weboldallal rendelkezik, amelyen elektronikus formátumban tesznek közzé egy újságot, mivel a társaságnak – amelynek bevétele származik az ezen a weboldalon közvetített kereskedelmi reklámokból – tudomása van a közzétett információkról és kezeli azokat.

39

A kérdést előterjesztő bíróság ugyanakkor hangsúlyozza, hogy az említett ítélkezési gyakorlat csak olyan, weboldalon közzétett ajánlatokra hivatkozik, amelyek jogellenessége a szóban forgó hirdetés közzétételét követően az üzemeltetővel kifejezetten közölt tények és körülmények elemzéséből ered. A Bíróságnak így tehát még nem volt alkalma megvizsgálni az alapügyben szereplőhöz hasonló olyan tényállást, amelyben a közzétett hirdetés tartalma nyilvánvalóan jogellenes és súlyosan sértő az érintett személyre nézve.

40

A kérdést előterjesztő bíróság ebben az összefüggésben arra keresi a választ, hogy ahhoz, hogy egy platform köteles legyen törölni a nyilvánvalóan jogellenes és súlyosan sértő tartalmat, szükséges‑e, hogy bejelentést kapjon. A jelen ügyben az alapügyben szóban forgó hirdetést a hirdető személyazonosságának ellenőrzése nélkül, és egyértelműen az alapeljárás felperesének hozzájárulása nélkül tették közzé.

41

Végezetül, noha az alapügy tárgyát képező hirdetést az alapeljárás felperesének bejelentését követően törölték az eredeti honlapról, a hirdetés tartalmát, beleértve az alapeljárás felperesének elérhetőségi adatait és fényképeit, számos más weboldalon az eredeti forrás megjelölésével teljes egészében átvették. Az alapeljárás felperesének okozott kár tehát állandósult és jelenleg is fennáll. A kérdést előterjesztő bíróság e tekintetben emlékeztet arra, hogy az állítólagosan kínált szexuális szolgáltatások a Codul penal (büntető törvénykönyv) által büntetendő súlyos bűncselekményekkel, így például kerítéssel és emberkereskedelemmel hozhatók összefüggésbe.

42

A kérdést előterjesztő bíróság pontosítja, hogy a Russmedia által működtetett online piactér használatára vonatkozó általános feltételeknek megfelelően a Russmedia, noha nem tart igényt a közzétett hirdetések tartalma feletti tulajdonjogra, akár alapos indok hiányában is fenntartja magának e tartalmak bármely időpontban történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát.

43

E körülmények között a Curtea de Apel Clujhoz (kolozsvári ítélőtábla, Románia) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

Az előzetes döntéshozatalra előterjesztett kérdésekről

44

Az állandó ítélkezési gyakorlat szerint a nemzeti bíróságok és a Bíróság között az EUMSZ 267. cikkel bevezetett együttműködés keretében a Bíróság feladata, hogy a nemzeti bíróságnak az előtte folyamatban lévő ügy eldöntéséhez hasznos választ adjon. Ennek érdekében adott esetben a Bíróságnak át kell fogalmaznia az elé terjesztett kérdéseket. E tekintetben a Bíróságnak kell a nemzeti bíróság által szolgáltatott információk összessége és különösen az előzetes döntéshozatalra utaló végzés indokolása alapján meghatározni az uniós jog azon rendelkezéseit, amelyeknek az értelmezése a jogvita tárgyára figyelemmel szükséges (lásd ebben az értelemben: 1978. november 29‑i Redmond ítélet, 83/78, EU:C:1978:214, 26. pont; 2000. november 28‑i Roquette Frères ítélet, C‑88/99, EU:C:2000:652, 18. pont; 2024. április 30‑i M. N. (EncroChat) ítélet, C‑670/22, EU:C:2024:372, 78. pont).

45

A kérdést előterjesztő bíróság kérdései összességében annak eldöntésére irányulnak, hogy egyrészt egy online piactér Russmediához hasonló üzemeltetője, amely lehetővé teszi felhasználói számára, hogy online piacterén ingyenesen vagy díjazás ellenében hirdetéseket tegyenek közzé, megsértette‑e a GDPR‑ból eredő kötelezettségeit, amennyiben az online piacterén közzétett hirdetés e rendeletet megsértve személyes, ezen belül különleges adatokat tartalmaz, másrészt pedig hogy a 2000/31 irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikke alkalmazható‑e az ilyen üzemeltetőre.

46

Ahhoz, hogy e kérdésekre hasznos választ lehessen adni, először a második, harmadik és negyedik kérdést kell megvizsgálni, amelyek annak megállapítására irányulnak, hogy a GDPR értelmében milyen kötelezettségek terhelik az online piactér üzemeltetőjét az alapügyben szóban forgóhoz hasonló helyzetben, és úgy kell átfogalmazni ezeket a kérdéseket, hogy azok kizárólag e rendelet értelmezésére vonatkozzanak. Másodszor azt a kérdést fogom megvizsgálni, hogy az ilyen üzemeltető hivatkozhat‑e a 2000/31 irányelv 12–15. cikkére, ami lényegében az első kérdés tárgyát képezi.

A GDPR értelmezésére vonatkozó, második, harmadik és negyedik kérdésről

Előzetes észrevételek

47

Elöljáróban először is meg kell állapítani, hogy az előzetes döntéshozatal iránti kérelemben foglaltak szerint a szóban forgó hirdetés az alapeljárás felperesét szexuális szolgáltatásokat nyújtó személyként tüntette fel, és többek között hozzájárulása nélkül használt fényképeit, valamint telefonszámát tartalmazta.

48

Márpedig nem vitatott, hogy a személyes adatok ilyen információnak minősülnek a GDPR 4. cikkének 1. pontja értelmében, amely ilyenként határozza meg az „azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ[t]; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható”.

49

Az állandó ítélkezési gyakorlat szerint a „bármely információ” kifejezésnek a „személyes adat” GDPR 4. cikkének 1. pontjában szereplő fogalmának meghatározásában való használata az uniós jogalkotó azon célját tükrözi, hogy e fogalomnak tág jelentést adjon, amely potenciálisan magában foglal mindenfajta – akár objektív, akár vélemény vagy értékelés formájában megjelenő – információt, feltéve hogy az a szóban forgó személyre „vonatkoz[ik]”. Az információ akkor vonatkozik egy azonosított vagy azonosítható természetes személyre, ha az információ a tartalmánál, céljánál vagy hatásánál fogva egy azonosítható személyhez kapcsolódik (2025. április 3‑i Ministerstvo zdravotnictví [Jogi személy képviselőjére vonatkozó adatok] ítélet, C‑710/23, EU:C:2025:231, 21. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

50

Ezenkívül e személyes adatok között a GDPR 9. cikkének (1) bekezdése különleges védelmi rendszert ír elő az adatok különleges kategóriáira vonatkozóan, amelyek között szerepelnek a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok is.

51

A Bíróság pontosította, hogy a rendelet 9. cikke (1) bekezdésének célja az olyan adatkezelésekkel szembeni fokozott védelem biztosítása, amelyek a tárgyukat képező adatok különleges érzékenysége miatt a Charta 7. és 8. cikkében biztosított, a magánélet tiszteletben tartásához és a személyes adatok védelméhez való alapvető jogba való különösen súlyos beavatkozást jelenthetnek (2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

52

Az ilyen fokozott védelem szükségszerűen megköveteli az ilyen „különleges adatok” tág meghatározását. Így a Bíróság kimondta, hogy a GDPR 9. cikkének (1) bekezdése nem csupán az e rendelkezés tárgyát képező, jellegüknél fogva különleges adatok kezelésére vonatkozik, hanem az olyan adatok kezelésére is, amelyek közvetve, következtetés levonása vagy információk összevetése útján teszik lehetővé ilyen információk felfedését (2023. június 5‑i Bizottság kontra Lengyelország [A bírák függetlensége és magánélete] ítélet, C‑204/21, EU:C:2023:442, 344. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

53

E tág meghatározás keretében a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó adatok hamis és sértő jellege nem foszthatja meg az ilyen adatokat a GDPR 9. cikkének (1) bekezdése értelmében vett „különleges adatoknak” minősítésüktől.

54

Másodszor meg kell állapítani, hogy a szóban forgó adatkezelés e hirdetésnek és következésképpen ezen adatoknak a Russmedia online piacterén való közzétételéből áll. A személyes adatok weboldalon való feltüntetéséből álló művelet ugyanis a GDPR 4. cikkének 2. pontja értelmében vett adatkezelésnek minősül (2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 65. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

55

Harmadszor meg kell állapítani, hogy a második, harmadik és negyedik kérdés arra utal, hogy a szóban forgó online piactér üzemeltetője felelős a személyes adatok kezeléséért. Márpedig úgy tűnik, hogy azokat a személyes adatokat, amelyek közzététele az alapeljárás tárgyát képezi, egy névtelen hirdető-felhasználó tette be a szóban forgó hirdetésbe, az üzemeltető pedig nem gyakorolt konkrét befolyást a hirdetés tartalmára, és nem volt tudomása annak hamis és sértő voltáról. E körülmények között tisztázni kell az „adatkezelőnek” és a „közös adatkezelőnek” a GDPR 4. cikkének 7. pontja, illetve 26. cikke értelmében vett fogalmát.

56

A GDPR 4. cikkének 7. pontja tágan határozza meg az „adatkezelő” fogalmát, így az kiterjed azon természetes vagy jogi személyre, hatóságra, intézményre vagy bármely más szervre, amely önállóan vagy másokkal együtt meghatározza a személyes adatok kezelésének céljait és eszközeit.

57

E tág meghatározás célja a GDPR céljával összhangban a természetes személyek alapvető jogai és szabadságai hatékony védelmének, valamint többek között a bármely személyt megillető, a rá vonatkozó személyes adatok védelméhez való jog magas szintű védelmének biztosítása (2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

58

Így az a természetes vagy jogi személy, aki vagy amely a személyes adatok kezelésére saját célból befolyást gyakorol, és emiatt részt vesz az adatkezelés céljainak és eszközeinek meghatározásában, adatkezelőnek minősíthető (2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 30. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

59

Továbbá, mivel – ahogyan ezt a GDPR 4. cikkének 7. pontja kifejezetten előírja – az „adatkezelő” fogalma arra a szervre vonatkozik, amely „önállóan vagy másokkal együtt” meghatározza a személyes adatok kezelésének céljait és eszközeit, ez a fogalom nem feltétlenül egyetlen szervre utal, hanem több, az adatkezelésben részt vevő szereplőt is érinthet, és így mindegyikükre vonatkoznak a személyes adatok védelmére vonatkozó rendelkezések (lásd ebben az értelemben: 2019. július 29‑i Fashion ID ítélet, C‑40/17, EU:C:2019:629, 67. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

60

A GDPR 26. cikke, amely az „adatkezelő” e rendelet 4. cikkének 7. pontjában szereplő meghatározásának keretébe illeszkedik, lényegében azt írja elő, hogy ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok „közös adatkezelőknek” minősülnek.

61

Az ilyen közös adatkezeléshez nem feltétlenül szükséges az, hogy az érintett személyes adatok kezelése céljainak és eszközeinek meghatározására vonatkozóan közös döntést hozzanak. A Bíróság ugyanis úgy ítélte meg, hogy az adatkezelés céljainak és eszközeinek meghatározásában való részvétel különböző formákban nyilvánulhat meg: következhet két vagy több jogalany által hozott közös döntésből, vagy e jogalanyok egybehangzó döntéseiből, amelyek kiegészítik egymást oly módon, hogy mindegyiknek konkrét hatása legyen az említett célok és eszközök meghatározására (2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 43. pont).

62

E tekintetben az ugyanazon adatkezelés tekintetében több szereplőnek a GDPR 4. cikkének 7. pontja szerinti együttes felelőssége fennállásának nem előfeltétele, hogy mindegyik adatkezelő hozzáférjen az érintett személyes adatokhoz (2019. július 29‑i Fashion ID ítélet, C‑40/17, EU:C:2019:629, 69. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 42. pont).

63

Ugyanebből a szempontból a Bíróság pontosította, hogy a közös felelősség fennállása nem feltétlenül jelenti a személyesadat‑kezeléssel érintett különböző gazdasági szereplők azonos mértékű felelősségét. Éppen ellenkezőleg, mivel e szereplők az adatkezelés eltérő szakaszaiban és különböző mértékben vehetnek részt, a felelősségük mértékét a jelen ügyre jellemző valamennyi releváns körülmény figyelembevételével kell értékelni (lásd ebben az értelemben: 2018. július 10‑i Jehovan todistajat ítélet, C‑25/17, EU:C:2018:551, 66. pont; 2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 42. pont).

64

A jelen ügyben nem vitatott, hogy azt a hirdető-felhasználót, aki az alapeljárás felperesének személyes adatait tartalmazó, hamis és sértő hirdetést a Russmedia által működtetett online piactérre feltette, úgy kell tekinteni, mint aki elsődlegesen meghatározta ezen adatok kezelésének céljait és eszközeit, és ennélfogva a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelő” fogalma alá tartozik.

65

Mindemellett megállapítást nyert, hogy ezt a hirdetést csak a Russmedia által működtetett online piactérnek köszönhetően tették közzé az interneten, és ezáltal hozzáférhetővé az internetfelhasználók számára.

66

Márpedig, bár a jelen ítélet 58. pontjában hivatkozott ítélkezési gyakorlatból kitűnik, hogy valamely személy csak akkor minősíthető a személyes adatok „adatkezelőjének”, ha saját célból gyakorol befolyást az adatkezelésre, meg kell állapítani, hogy ez lehet a helyzet többek között akkor, ha az online piactér üzemeltetője az érintett személyes adatokat olyan kereskedelmi vagy reklámcélokból teszi közzé, amelyek túlmutatnak a hirdető-felhasználójának nyújtott egyszerű szolgáltatáson.

67

A jelen ügyben az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a Russmedia online piacterén saját üzleti célból tesz közzé hirdetéseket. E tekintetben az online piactér általános használati feltételei nagy szabadságot biztosítanak a Russmedia számára az online piactéren közzétett információk hasznosítására. Közelebbről, a kérdést előterjesztő bíróság tájékoztatása szerint a Russmedia fenntartja magának a jogot a közzétett tartalmak felhasználására, terjesztésére, továbbítására, többszörözésére, módosítására, lefordítására, partnerek részére történő átengedésére és eltávolítására, akár „alapos indok” hiányában is. A Russmedia tehát a hirdetésekben szereplő személyes adatokat nem, vagy nem kizárólag a hirdető-felhasználók nevében teszi közzé, hanem ezeket az adatokat saját kereskedelmi és reklámcéljaira kezeli és használhatja fel.

68

Meg kell tehát állapítani, hogy a Russmedia saját célból befolyást gyakorolt az alapeljárás felperese személyes adatainak az interneten való közzétételére, és ezáltal részt vett e közzététel, és így a szóban forgó adatkezelés céljainak meghatározásában.

69

Ezt a megállapítást nem kérdőjelezi meg az a tény, hogy a Russmedia nyilvánvalóan nem vett részt a hirdető által az alapügyben szóban forgó hirdetés közzététele révén elérni kívánt hamis és sértő cél meghatározásában. A Russmedia ugyanis részt vett az adatkezelés azon céljának meghatározásában, hogy a szóban forgó hirdetésben szereplő személyes adatokat a közzététel felhasználása érdekében hozzáférhetővé tegye az internetfelhasználók számára. Egyébiránt a Russmedia azáltal, hogy lehetővé tette a hirdetéseknek az online piacterén történő anonim elhelyezését, megkönnyítette az ilyen adatoknak az érintett hozzájárulása nélküli közzétételét.

70

Ezenkívül a Russmedia azáltal, hogy az alapügyben szóban forgó hirdetés közzétételéhez használt online piacterét a hirdető rendelkezésére bocsátotta, részt vett e közzététel eszközeinek meghatározásában.

71

A Bíróság ugyanis lényegében már kimondta, hogy az adatkezelés eszközeinek meghatározásában az a természetes vagy jogi személy vesz részt, aki vagy amely meghatározó módon befolyásolja a személyes adatok gyűjtését és továbbítását, illetve aki vagy amely a tevékenységeinek irányítási vagy reklámozási céljai alapján történő beállításai révén befolyásolja az ilyen adatok kezelését (lásd ebben az értelemben: 2018. június 5‑i Wirtschaftsakademie Schleswig‑Holstein ítélet, C‑210/16, EU:C:2018:388, 36. pont; 2019. július 29‑i Fashion ID ítélet, C‑40/17, EU:C:2019:629, 78. pont). Ugyanez a helyzet a keresőmotort illetően, ha annak tevékenysége döntő szerepet játszik a személyes adatok globális terjesztésében, mivel e tevékenység ezeket az adatokat szervezett és összesített módon online nyilvánosan hozzáférhetővé teszi (lásd ebben az értelemben: 2022. december 8‑i Google [Állítólagosan valótlan tartalomra mutató linkek törlése] ítélet, C‑460/20, EU:C:2022:962, 50. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

72

Meg kell tehát állapítani, hogy amikor egy online piactér Russmediához hasonló üzemeltetője az érintett címzettek függvényében határozza meg az esetlegesen személyes adatokat tartalmazó hirdetések terjesztési beállításait, akkor meghatározza a terjesztés megjelenítését, időtartamát, illetve a közzétett információkat strukturáló címsorokat, sőt akár megszervezi az ilyen terjesztés módjait meghatározó osztályozást, részt vesz az érintett személyes adatok közzétételére vonatkozó alapvető eszközök meghatározásában, és ily módon meghatározó módon befolyásolja ezen adatok globális terjesztését.

73

E tekintetben az érintett online piactér használatára vonatkozó általános feltételek tartalma arra utaló valószínűsítő körülményekkel szolgálhat, hogy az online piactér üzemeltetője meghatározó módon befolyásolja a szóban forgó személyes adatok kezelését, és így meghatározza ezen adatkezelés eszközeit. Úgy tűnik, hogy ez a helyzet a Russmedia online piactere használatára vonatkozó általános feltételek esetében, amelyekben a társaság többek között fenntartja magának a jogot a hirdetésekben szereplő információk és azokban szereplő személyes adatok terjesztésére, továbbítására, közzétételére, eltávolítására vagy többszörözésére.

74

Mindenesetre az online piactér üzemeltetője nem mentesülhet a személyes adatok kezelőjeként fennálló felelőssége alól azzal az indokkal, hogy nem maga határozta meg az online piactéren közzétett, szóban forgó hirdetés tartalmát. Ha ugyanis az ilyen üzemeltetőt pusztán ezen ok miatt kizárnák e fogalommeghatározásból, az nemcsak az egyértelmű megfogalmazással, hanem a GDPR 4. cikke 7. pontjának azon céljával is ellentétes lenne, hogy az „adatkezelő” fogalmának tág meghatározása révén biztosítsa az érintettek hatékony és teljes védelmét.

75

Következésképpen meg kell állapítani, hogy a kérdést előterjesztő bíróság helyesen alapította második, harmadik és negyedik kérdését arra az előfeltevésre, hogy olyan helyzetben, mint amelyről az alapügyben szó van, az online piactér üzemeltetője a GDPR 4. cikkének 7. pontja értelmében az online piactéren közzétett hirdetésben szereplő személyes adatok kezelője.

76

A fenti megfontolások összességére tekintettel kell megválaszolni ezeket a kérdéseket.

A második és a harmadik kérdésről

77

Együttesen vizsgálandó második és harmadik kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 5. cikkének (2) bekezdését, valamint 24–26. cikkét úgy kell‑e értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles a közzétételük előtt azonosítania azokat a hirdetéseket, amelyek a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak, valamint köteles megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet, az érintett kifejezett hozzájárulása hiányában meg kell tagadnia a hirdetés közzétételét, amennyiben a közzététel súlyosan sértheti e személynek a magánélet tiszteletben tartásához és a személyes adatainak védelméhez fűződő, a Charta 7. és 8. cikkében biztosított jogait.

78

A GDPR (4) és (10) preambulumbekezdésével összefüggésben értelmezett 1. cikkének (2) bekezdése értelmében a rendelet célja többek között a természetes személyek alapvető jogai és szabadságai magas szintű védelmének biztosítása a személyes adatok kezelése tekintetében, amely jogot a Charta 8. cikke is elismeri, és amely szorosan kapcsolódik a magánélet tiszteletben tartásához való, a Charta 7. cikkében foglalt joghoz (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 61. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

79

E célból először is a GDPR II. fejezete meghatározza a személyes adatok kezelésére vonatkozó elveket, amelyeket az adatkezelőnek tiszteletben kell tartania. Közelebbről, a személyes adatok kezelésének meg kell felelnie az e rendelet 5. és 6. cikkében felsorolt, adatkezelésre vonatkozó elveknek és az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 62. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

80

A GDPR 5. cikke (1) bekezdésének a) pontja értelmében a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. E rendelet 5. cikke (1) bekezdésének d) pontja alapján a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük. Így minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljaira figyelemmel pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék. Az említett rendelet 5. cikke (1) bekezdésének f) pontja úgy rendelkezik, hogy a személyes adatokat oly módon kell kezelni, hogy biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével szembeni védelmet is ideértve.

81

Ami az adatkezelés jogszerűségének feltételeit illeti, amint azt a Bíróság megállapította, az általános adatvédelmi rendelet 6. cikke (1) bekezdésének első albekezdése kimerítő és korlátozó jelleggel sorolja fel azokat az eseteket, amelyekben a személyes adatok kezelése jogszerűnek tekinthető. Az adatkezelésnek így tehát az e rendelkezésben előírt esetek valamelyikébe kell tartoznia (lásd ebben az értelemben: 2025. január 9‑i Mousse ítélet, C‑394/23, EU:C:2025:2, 25. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

82

Közelebbről, a GDPR 6. cikke (1) bekezdése első albekezdésének a) pontja értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. E rendelet 7. cikkének (1) bekezdése pontosítja, hogy ebben az esetben az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. Ilyen hozzájárulás hiányában, vagy ha e hozzájárulást nem önkéntesen, konkrétan, megfelelő tájékoztatás alapján és egyértelműen adták meg az említett rendelet 4. cikkének 11. pontja értelmében, az ilyen adatkezelés mindazonáltal akkor is indokolt, ha megfelel az ugyanezen rendelet 6. cikke (1) bekezdése első albekezdésének b)–f) pontjában említett szükségességi követelmények valamelyikének (2025. január 9‑i Mousse ítélet, C‑394/23, EU:C:2025:2, 26. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

83

Ezen elvekhez és feltételekhez hozzáadódnak a GDPR 9. cikkének (1) bekezdésében meghatározott különleges adatokra – amelyek kezelése főszabály szerint tilos – vonatkozó sajátos követelmények (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 73. pont).

84

Ettől a tilalomtól csak akkor lehet eltérni, ha a rendelet 9. cikke (2) bekezdésének a)–j) pontjában előírt kivételek valamelyike teljesül. E kivételek között, amelyeket szigorúan kell értelmezni, az említett rendelet 9. cikke (2) bekezdésének a) pontja előírja, hogy a különleges adatok kezelésének tilalma nem alkalmazandó, ha az érintett kifejezett hozzájárulását adta különleges személyes adatainak egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy e tilalom nem oldható fel az érintett hozzájárulásával.

85

Másodszor, a GDPR IV. fejezete pontosítja az adatkezelőt a GDPR 5. cikkének (2) bekezdésében foglalt elszámoltathatóság elve alapján terhelő kötelezettségek terjedelmét.

86

E rendelkezés értelmében az adatkezelő felelős az e cikk (1) bekezdésének való megfelelésért, továbbá képesnek kell lennie annak igazolására, hogy tiszteletben tartja az ezen (1) bekezdésben rögzített összes elvet, így ennek bizonyítása rá hárul (2023. május 4‑i Bundesrepublik Deutschland [Elektronikus igazságügyi fiók] ítélet, C‑60/22, EU:C:2023:373, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

87

Az elszámoltathatóság elvét többek között a GDPR 24. cikke konkretizálja (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 43. pont, valamint az ott hivatkozott ítélkezési gyakorlat). E cikk megköveteli, hogy az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik.

88

Amint arra a főtanácsnok az indítványának 67. pontjában rámutatott, a GDPR 5. cikkének (2) bekezdése és 24. cikke általános elszámoltathatósági és megfelelési kötelezettséget ír elő a személyes adatok kezelőivel szemben. E rendelkezések megkövetelik az adatkezelőktől, hogy hozzanak az adatvédelemhez való jog biztosítása érdekében a GDPR által előírt szabályok esetleges megsértésének megelőzésére irányuló megfelelő intézkedéseket (lásd ebben az értelemben: 2022. október 27‑i Proximus [Nyilvános telefonkönyvek] ítélet, C‑129/21, EU:C:2022:833, 81. pont).

89

A GDPR 25. cikkének (1) bekezdése arra kötelezi az adatkezelőt, hogy mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket hajtson végre, amelyek célja egyrészt az adatvédelmi elvek hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. Ezenkívül az alapértelmezett adatvédelemről szóló 25. cikk (2) bekezdése többek között előírja, hogy az adatkezelő által e célból végrehajtandó megfelelő technikai és szervezési intézkedések biztosítják, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

90

Amennyiben a kezelt személyes adatok a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatoknak minősülnek, az adatkezelőnek a rendelet 24. és 25. cikke értelmében vett megfelelő intézkedések meghatározása érdekében figyelembe kell vennie többek között azt, hogy a rendelet II. fejezetében az ilyen adatok kezelésével kapcsolatban meghatározott elvek megsértése különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez való, a Charta 7. és 8. cikkében biztosított alapvető jogokba.

91

Mindezen pontosításokra tekintettel kell megvizsgálni a jelen ítélet 77. pontjában átfogalmazott második és harmadik kérdést.

92

Ami először is azt a kérdést illeti, hogy az online piactér üzemeltetőjének a közzétételük előtt azonosítania kell‑e a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmazó hirdetéseket, emlékeztetni kell arra, hogy – amint az a jelen ítélet 64. és 75. pontjából is kitűnik – az üzemeltetőt és az ilyen hirdetést az online piactéren elhelyező hirdető-felhasználót a rendelet 26. cikke értelmében vett közös adatkezelőknek kell tekinteni, amennyiben az érintett hirdetést ott közzéteszik.

93

Ebből az következik, hogy mind ezen üzemeltető, mind pedig ezen hirdető köteles biztosítani a GDPR 5. cikkének (2) bekezdéséből, valamint 24. és 25. cikkéből eredő kötelezettségek tiszteletben tartását. Képesnek kell lenniük különösen annak bizonyítására, hogy az érintett hirdetésben szereplő személyes adatokat jogszerűen teszik közzé, vagyis hogy az érintett hozzájárult az ilyen közzétételhez, kivéve ha a GDPR 6. cikkének (1) bekezdésében előírt valamely másik feltételre hivatkozhatnak. Amennyiben az érintett személyes adatok a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatnak minősülnek, az ilyen közzétételhez való hozzájárulásnak – amint az a jelen ítélet 84. pontjából kitűnik – kifejezettnek kell lennie. Hasonlóképpen, a GDPR 5. cikke (1) bekezdésének d) pontjában foglalt pontosság elve szerint az adatkezelőknek képesnek kell lenniük annak bizonyítására, hogy az érintett személyes adatok pontosak.

94

Annak meghatározása érdekében, hogy konkrétan melyek azok a megfelelő technikai és szervezési intézkedések, amelyeket az online piactér üzemeltetőjének mint a személyes adatok közös adatkezelőjének a GDPR 24. és 25. cikke alapján végre kell hajtania annak biztosítása és bizonyítása céljából, hogy a hirdetésben szereplő különleges adatok közzététele e rendelettel összhangban történik, meg kell állapítani, hogy e rendelkezésekből kitűnik, hogy az ilyen intézkedések megfelelőségét konkrétan kell értékelni, figyelembe véve a szóban forgó adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint az érintett jogaira és szabadságaira nézve fennálló kockázatok valószínűségének és súlyosságának mértékét (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 96. pont).

95

E tekintetben meg kell állapítani, hogy a személyes adatoknak az online piactéren történő közzététele jelentős kockázatot jelent az érintett jogaira és szabadságaira nézve, mivel ezeket az adatokat főszabály szerint bármely internetfelhasználó számára hozzáférhetővé teszi. Ezenkívül az online piactéren történő közzétételt követően az említett adatok másolhatók és többszörözhetők más weboldalakon, így az érintett számára nehéz, ha nem lehetetlen elérni, hogy az adatokat ténylegesen töröljék az internetről.

96

Az ilyen közzétételhez kapcsolódó kockázatok még súlyosabbak, ha a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokról van szó. Amint azt ugyanis ugyanezen rendelet (51) preambulumbekezdése kifejezetten kimondja, az alapvető jogok és szabadságok szempontjából a jellegüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel a kezelésük körülményei jelentős kockázatot hordozhatnak az alapvető jogokra és szabadságokra nézve (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 75. pont). Az ilyen adatok kezelése – amint az a jelen ítélet 90. pontjában is megállapításra került – különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított alapvető jogokba. Ezenkívül igen nagy a valószínűsége annak, hogy ezeket a jogokat különleges adatokat tartalmazó hirdetés közzététele révén megsértik, ha nem maga az érintett személy a hirdető-felhasználó, és ha az online piactér lehetővé teszi az ilyen hirdetések anonim elhelyezését.

97

Következésképpen, amennyiben az alapügyben szóban forgóhoz hasonló online piactér üzemeltetője tudja, illetve tudnia kellene, hogy általában véve a hirdetők az online piacterén a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmazó hirdetéseket tehetnek közzé, akkor az üzemeltető, mint adatkezelő, köteles, hogy a szolgáltatása megtervezésétől kezdve megfelelő technikai és szervezési intézkedéseket vezessen be arra, hogy az ilyen hirdetéseket a közzétételük előtt azonosítsa, és így képes legyen ellenőrizni, hogy az azokban szereplő különleges adatokat a rendelet II. fejezetében foglalt elveknek megfelelően teszik‑e közzé. Amint ugyanis többek között az említett rendelet 25. cikkének (1) bekezdéséből következik, az ilyen intézkedések végrehajtására vonatkozó kötelezettség nemcsak az adatkezelés időpontjában, hanem már az adatkezelés módjának meghatározásakor, tehát még azt megelőzően terheli, hogy ezen elvek megsértésével különleges adatokat tettek közzé online piacterén, mivel ez a kötelezettség éppen az ilyen jogsértések megelőzésére irányul.

98

Másodszor, ami azt a kérdést illeti, hogy az online piactér üzemeltetőjének mint a weboldalán közzétett hirdetésekben szereplő különleges adatok kezelőjének a hirdetővel együtt ellenőriznie kell‑e ezen hirdető személyazonosságát a közzététel előtt, emlékeztetni kell arra, hogy a GDPR 9. cikke (1) bekezdésének és (2) bekezdése a) pontjának együttes értelmezéséből az következik, hogy az ilyen adatok közzététele tilos, kivéve ha az érintett kifejezetten hozzájárult a szóban forgó adatoknak az említett online piactéren történő közzétételéhez, vagy ha a 9. cikk (2) bekezdésének b)–j) pontjában meghatározott többi kivétel valamelyike teljesül, ami azonban a jelen esetben nem áll fenn.

99

E tekintetben, bár az a tény, hogy az érintett a különleges adatait tartalmazó hirdetést egy online piactéren teszi közzé, a GDPR 9. cikke (2) bekezdésének a) pontja értelmében vett kifejezett hozzájárulásnak minősülhet, az ilyen hozzájárulás hiányzik, ha a hirdetést egy harmadik személy teszi fel, kivéve ha e személy bizonyítani tudja, hogy az érintett kifejezett hozzájárulását adta az említett hirdetésnek a szóban forgó online piactéren történő közzétételéhez. Következésképpen annak érdekében, hogy meggyőződhessen arról, és bizonyítani tudja, hogy a GDPR 9. cikke (2) bekezdésének a) pontjában előírt követelményeket tiszteletben tartották, a hirdetés üzemeltetője köteles ellenőrizni, hogy az ilyen hirdetést elhelyezni kívánó hirdető-felhasználó megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, ami feltételezi a hirdető-felhasználó személyazonosságának gyűjtését.

100

Ezenkívül a GDPR 13. cikke (1) bekezdésének a) pontjából és 14. cikke (1) bekezdésének a) pontjából kitűnik, hogy a személyes adatok kezelőinek minden esetben tájékoztatniuk kell az érintettet személyazonosságukról és elérhetőségi adataikról.

101

Végül meg kell jegyezni, hogy a GDPR 26. cikke arra kötelezi az ugyanazon személyesadat‑kezelés közös adatkezelőit, hogy az e rendeletben előírt követelményeknek való megfelelés biztosítása érdekében átlátható módon határozzák meg kötelezettségeiket. Márpedig az ilyen kötelezettség lehetetlennek bizonyulna, ha az egyik adatkezelő névtelen maradhatna a másikkal szemben.

102

A fentiekből tehát az következik, hogy az online piactér üzemeltetője – mint az online piacterén közzétett hirdetésben szereplő különleges adatok közzétételéért a felhasználó hirdetővel együtt felelős személy – köteles begyűjteni a hirdető-felhasználó személyazonosságát, és ellenőrizni, hogy ez utóbbi az a személy‑e, akinek különleges adatait a hirdetés tartalmazza.

103

E tekintetben, amint arra a főtanácsnok az indítványának 132. pontjában lényegében rámutatott, a GDPR (75) preambulumbekezdéséből kitűnik, hogy különösen a személyazonossággal való visszaélés esetén a személyes adatok kezelése kockázatot jelenthet az érintettek jogaira és szabadságaira nézve, akik emiatt akadályoztatva vannak abban, hogy a személyes adataik felett ellenőrzést gyakoroljanak. A személyazonossággal való visszaélésre ugyanis általában azzal a céllal kerül sor, hogy az érintett személy vagy harmadik személy kárára csalárd cselekményeket kövessenek el.

104

E körülmények között, figyelembe véve a jelen ítélet 95. és 96. pontjában szereplő megfontolásokat is, az online piactér üzemeltetőjének annak érdekében, hogy meggyőződhessen és bizonyítani tudja, hogy a hirdetésekben szereplő különleges adatokat a GDPR követelményeinek megfelelően kezelik, a rendelet 24. és 25. cikke alapján olyan megfelelő technikai és szervezési intézkedéseket kell végrehajtania, amelyek révén nemcsak be tudja gyűjteni, hanem ellenőrizni is tudja a hirdetések közzététele előtt a hirdetők személyazonosságát, és így azt is meg tudja állapítani, hogy megegyezik‑e azzal a személlyel, akinek különleges adatai az említett hirdetésekben szerepelnek. Az ilyen intézkedésekkel többek között – amint arra a főtanácsnok az indítványának 134. pontjában rámutatott – lehetővé kell tenni az érintettek személyes adatai jogellenese kezelése kockázatának korlátozását és az ilyen online piactér tisztességtelen használata elleni küzdelmet azáltal, hogy csökkentik a büntetlenség érzését, és arra ösztönzik a hirdetőket, hogy a személyes adatokat tartalmazó hirdetések közzététele során feleljenek meg a GDPR követelményeinek.

105

Végül harmadszor, ami azt a kérdést illeti, hogy az online piactér üzemeltetőjének meg kell‑e tagadnia a különleges adatokat tartalmazó hirdetés közzétételét, ha – a hirdetés elhelyezésére készülő hirdető személyazonosságának ilyen ellenőrzését követően – bebizonyosodik, hogy a hirdető-felhasználó nem egyezik meg azzal a személlyel, akinek különleges adatait az említett hirdetésben szerepelnek, meg kell állapítani, hogy a jelen ítélet 98. és 99. pontjából az következik, hogy ilyen esetben nem zárható ki, hogy erre a közzétételre az ilyen adatok kezelésére vonatkozóan a GDPR 9. cikkének (1) bekezdésében előírt tilalom megsértésével kerül sor. Következésképpen, hacsak a hirdető-felhasználó nem tudja jogilag megkövetelt módon bizonyítani, hogy az érintett a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül, az online piactér üzemeltetőjének meg kell tagadnia a szóban forgó hirdetés közzétételét, amit megfelelő technikai és szervezési intézkedések végrehajtásával kell biztosítania.

106

A fenti indokok összességére tekintettel a második és a harmadik kérdésre azt a választ kell adni, hogy a GDPR 5. cikkének (2) bekezdését és 24–26. cikkét úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles a megfelelő technikai és szervezési intézkedések végrehajtásával a közzétételük előtt

–

azonosítani azokat a hirdetéseket, amelyek a GDPR 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak,

–

megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet,

–

meg kell tagadnia a hirdetés közzétételét, kivéve ha a hirdető-felhasználó bizonyítani tudja, hogy az érintett személy a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül.

A negyedik kérdésről

107

A negyedik kérdés lényegében arra vonatkozik, hogy az online piactér üzemeltetője mint adatkezelő köteles‑e olyan biztonsági intézkedéseket végrehajtani, amelyek megakadályozzák vagy korlátozzák az online piacterén közzétett, különleges adatokat tartalmazó hirdetések sokszorosítását és továbbterjesztését.

108

A jelen ügyben az előzetes döntéshozatal iránti kérelemből kitűnik, hogy egyrészt az alapügyben szereplő, hamis és sértő hirdetést más reklámtartalmú weboldalakon is átvették, az eredeti forrás megjelölésével, másrészt pedig a Russmedia az általa működtetett online piactér használatára vonatkozó általános feltételekben fenntartja magának a jogot többek között arra, hogy az ott közzétett hirdetések tartalmát továbbítsa és partnerek részére átengedje. E tekintetben a kérdést előterjesztő bíróság nem pontosítja, hogy a Russmedia önként továbbította‑e ezt a hirdetést más weboldalakra, vagy legalábbis szerződéses úton engedélyezte‑e a közzétételeket, vagy éppen ellenkezőleg, az említett közzétételek az eredeti hirdetés Russmedia által nem engedélyezett másolataiból származnak.

109

Ha a fenti alternatíva első része bebizonyosodna, akkor ez a továbbítás a személyes adatok olyan új kezelésének minősülne, amely tekintetében a Russmedia a GDPR 4. cikkének 7. pontja értelmében adatkezelőnek minősül. Ezt az adatkezelést meg kell különböztetni az alapügyben szereplő, hamis és sértő hirdetésnek a hirdető-felhasználó által online piacterén történő közzétételétől.

110

Különbséget kell ugyanis tenni az ugyanazon műveleti lánchoz tartozó különböző személyesadat‑kezelési műveletek között annak figyelembevételéhez, hogy a személyes adatok kezelőjének minősíthető minden egyes személy esetében egyedileg kell értékelni a neki felróható felelősség mértékét. Ez abból fakad, hogy ahhoz, hogy egy természetes vagy jogi személy közös adatkezelőnek minősüljön, önállóan meg kell felelnie az „adatkezelő” fogalmának az általános adatvédelmi rendelet 4. cikkének 7. pontjában szereplő meghatározásának (2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

111

Ebből az következik, hogy amennyiben a személyes adatok későbbi továbbítására az azon online piactér üzemeltetője, amelyen a szóban forgó személyes adatokat eredetileg közzétették, és más weboldalak üzemeltetői közötti terjesztési szerződések alapján kerül sor, akkor elvileg az előbbi üzemeltető minősül a továbbítással megvalósuló adatkezelés kizárólagos adatkezelőjének. Mindenesetre minden adatkezelő – önállóan vagy másokkal együtt – köteles eleget tenni a GDPR‑ból eredő valamennyi kötelezettségnek.

112

E pontosításokat követően a negyedik kérdést úgy kell érteni, hogy az arra az esetre vonatkozik, amikor a Russmedia nem továbbította az alapügyben szóban forgó hamis és sértő hirdetést más reklámtartalmú weboldalakra, tehát nem engedélyezte a későbbi közzétételeket.

113

Meg kell továbbá jegyezni, hogy ez a kérdés lényegében a személyes adatok adatkezelője által betartandó biztonsági kötelezettség terjedelmére vonatkozik. Márpedig a GDPR 32. cikkének kifejezett célja az adatkezelés biztonsága. Ez a rendelkezés a rendelet 24. cikkében foglalt követelmények egy konkrét aspektusát konkretizálja és pontosítja, amely cikk az említett rendelet 5. cikkének (2) bekezdésével együtt általános jelleggel határozza meg az adatkezelő feladatait.

114

E körülmények között meg kell állapítani, hogy az előterjesztő bíróság negyedik kérdése lényegében arra irányul, hogy a GDPR 32. cikkét úgy kell‑e értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles megtenni azokat a biztonsági intézkedéseket, amelyekkel megakadályozható, hogy az online piacterén közzétett és az említett rendelet 9. cikkének (1) bekezdése értelmében különleges adatokat tartalmazó hirdetéseket lemásolják és jogellenesen közzétegyék más weboldalakon.

115

A GDPR 32. cikkének (1) bekezdése úgy rendelkezik, hogy az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja.

116

A rendelet 32. cikkének (2) bekezdése pedig előírja, hogy a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.

117

A Bíróság megállapította, hogy a GDPR 32. cikkének (1) és (2) bekezdésében szereplő, a „kockázat mértékének megfelelő szintű adatbiztonságra” és a „biztonság megfelelő szintjére” való hivatkozás arról tanúskodik, hogy e rendelet kockázatkezelési rendszert vezet be, és egyáltalán nem kívánja megszüntetni a személyes adatok megsértésének kockázatát (2023. december 14‑i Natsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 29. pont).

118

Így az RGPD 32. cikkének az említett rendelet 24. cikkével összefüggésben értelmezett szövegéből kitűnik, hogy a 32. cikk annak előírására szorítkozik, hogy az adatkezelő olyan technikai és szervezési intézkedéseket fogadjon el, amelyek célja a személyes adatok megsértésének a lehető legnagyobb mértékben történő elkerülése. Az ilyen intézkedések megfelelőségét konkrétan kell értékelni, megvizsgálva, hogy az adatkezelő ezen intézkedéseket az említett cikkekben szereplő különböző kritériumokat és sajátos adatvédelmi szükségleteit, valamint az ezen adatkezelésből eredő kockázatokat figyelembe véve hajtotta‑e végre (lásd ebben az értelemben: 2023. december 14‑i Natsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 30. pont).

119

E tekintetben az érintett adatkezelés által jelentett konkrét kockázat meghatározásához figyelembe kell venni a kezelt személyes adatok esetlegesen különleges jellegét. Amint ugyanis arra a jelen ítélet 51. és 90. pontja emlékeztet, a GDPR 9. cikkének (1) bekezdésében az adatok bizonyos kategóriái tekintetében ezen adatok különösen érzékeny jellege miatt előírt fokozott védelem abban áll, hogy az ilyen adatok kezelése különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított alapvető jogokba (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

120

Mindemellett, amint egy személyes adatokat tartalmazó hirdetés online és ezáltal már globálisan hozzáférhetővé válik, ezen adatok terjesztése különösen az érintett személyes adatok feletti ellenőrzés elvesztésének kockázatával jár, ami bekövetkezése esetén megfosztja hatékony érvényesülésétől a GDPR‑ban az érintett javára előírt jogokat és garanciákat, amelyek közül az első az e rendelet 17. cikkében előírt törléshez való jog.

121

Ezért, ha az érzékeny adatokat online közzéteszik, az adatkezelő a GDPR 32. cikke értelmében köteles minden olyan technikai és szervezési intézkedést megtenni, amely biztosítja azt a biztonsági szintet, amely alkalmas arra, hogy hatékonyan megakadályozza az adatok feletti ellenőrzés elvesztését.

122

Ennek érdekében az adatkezelőnek figyelembe kell vennie minden olyan, a műszaki ismeretek jelenlegi állása szerint rendelkezésre álló technikai intézkedést, amely alkalmas az online tartalom másolásának és többszörözésének megakadályozására.

123

Mindazonáltal pontosítani kell azt is, hogy a GDPR 24. és 32. cikkét nem lehet úgy értelmezni, hogy az eredetileg online közzétett személyes adatok jogellenes terjesztése anélkül is elegendő annak megállapításához, hogy az érintett adatkezelő által elfogadott intézkedések nem voltak e rendelkezések értelmében megfelelőek, hogy lehetővé tennék az utóbbi adatkezelő számára az ellenkező bizonyítását (2023. december 14‑i Natsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 31. pont).

124

A jelen ügyben az előzetes döntéshozatalra utaló határozatból kitűnik, hogy az alapügy tárgyát képező hamis és sértő hirdetésnek a Russmedia online piacteréről való törlése ellenére a hirdetés továbbra is elérhető online más weboldalakon, és úgy tűnik, hogy az alapeljárás felperese nem tudja elérni, hogy töröljék.

125

Márpedig úgy tűnik, hogy az ellenőrzés elvesztése az alapügyben szóban forgó hamis és sértő hirdetés jogellenes eredeti közzétételéből ered, ami sérti a GDPR‑ban előírt követelményeket. Mindenesetre a Russmedia köteles volt megfelelő technikai és szervezési intézkedéseket végrehajtani annak érdekében, hogy a GDPR 32. cikke alapján a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, és amennyire csak lehetséges, megakadályozza, hogy a hirdetést lemásolják. A kérdést előterjesztő bíróságnak kell vizsgálnia, hogy ez megtörtént‑e.

126

E körülmények között meg kell állapítani, hogy az előterjesztő bíróság negyedik kérdésére azt a választ kell adni, hogy a GDPR 32. cikkét úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője köteles megtenni azokat a megfelelő technikai és szervezési jellegű, biztonsági intézkedéseket, amelyekkel megakadályozható, hogy az online piacterén közzétett és az említett rendelet 9. cikkének (1) bekezdése értelmében különleges adatokat tartalmazó hirdetéseket lemásolják és jogellenesen közzétegyék más weboldalakon.

A 2000/31 irányelv értelmezésére vonatkozó, első kérdésről

127

Amint az a jelen ítélet 45. és 46. pontjában megállapításra került, a kérdést előterjesztő bíróság arra is keresi a választ, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője hivatkozhat‑e a rendelet 5. cikkének (2) bekezdéséből, valamint 24–26. és 32. cikkéből eredő, a jelen ítélet 106. és 126. pontjában megállapított kötelezettségek megsértésével szemben a 2000/31 irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikkére.

128

Felmerül tehát a kérdés, hogy milyen kapcsolat áll fenn e két uniós jogi aktus között. Különösen azt kell megállapítani, hogy a 2000/31 irányelv 12–15. cikke sértheti‑e a GDPR‑ban előírt felelősségi rendszert.

129

E tekintetben egyfelől meg kell jegyezni, hogy a 2000/31 irányelv 1. cikkének (5) bekezdése úgy rendelkezik, hogy az irányelv nem alkalmazható az információs társadalommal összefüggő szolgáltatásokkal kapcsolatos, a 95/46 és a 97/66 irányelvben szabályozott kérdésekre.

130

E rendelkezést a Bíróság úgy értelmezte, hogy a közlések és a személyes adatok titkosságának védelmével kapcsolatos kérdéseket a GDPR és az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelv (Elektronikus hírközlési adatvédelmi irányelv) (HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.) fényében kell értékelni, mivel ezek a 95/46 irányelv, illetve a 97/66 irányelv helyébe léptek, azzal a pontosítással, hogy a 2000/31 irányelv által biztosítani kívánt védelem semmi esetre sem sértheti a GDPR‑ból és a 2002/58 irányelvből eredő követelményeket (2020. október 6‑i La Quadrature du Net és társai ítélet, C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 200. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

131

Ebből különösen az következik, hogy a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt mentesség esetleges alkalmazása, amelyre az online piactér üzemeltetője a weboldalán tárolt információk tekintetében hivatkozhat, nem ütközhet a GDPR rendszerével, amely az ilyen üzemeltetőre, valamint az e rendelet hatálya alá tartozó bármely más gazdasági szereplőre is alkalmazandó.

132

Ugyanez vonatkozik a 2000/31 irányelv 15. cikkére is, amelynek értelmében a tagállamok nem állapíthatnak meg a szolgáltatókat terhelő általános nyomonkövetési kötelezettséget a többek között az említett irányelv 14. cikkében említett szolgáltatások nyújtása tekintetében. Egyébiránt az online piactér üzemeltetőjének azon kötelezettsége, hogy megfeleljen a GDPR‑ból eredő követelményeknek, semmi esetre sem minősíthető ilyen általános nyomonkövetési kötelezettségnek.

133

Másfelől a GDPR 2. cikkének (4) bekezdése úgy rendelkezik, hogy e rendelet nem érinti a 2000/31 irányelv alkalmazását, különösen az irányelv 12–15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat.

134

A 2. cikk (4) bekezdését úgy kell értelmezni, hogy az a tény, hogy valamely gazdasági szereplő a GDPR‑ban előírt kötelezettségek jogosultja, nem zárja ki automatikusan, hogy ez a gazdasági szereplő a személyes adatok védelmén kívüli más kérdésekben a 2000/31 irányelv 12–15. cikkére hivatkozhasson.

135

A 2000/31 irányelv 1. cikke (5) bekezdése b) pontjának és a GDPR 2. cikke (4) bekezdésének együttes értelmezéséből tehát az következik, hogy ezen irányelv rendelkezései, különösen annak 12–15. cikke nem ütközhetnek e rendelet rendszerével.

136

A fenti indokok összességére tekintettel az első kérdésre azt a választ kell adni, hogy a 2000/31 irányelv 1. cikke (5) bekezdésének b) pontját és a GDPR 2. cikkének (4) bekezdését úgy kell értelmezni, hogy az online piactér üzemeltetője mint az online piacterén közzétett hirdetésekben szereplő személyes adatoknak a GDPR 4. cikkének 7. pontja értelmében vett adatkezelője nem hivatkozhat az e rendelet 5. cikkének (2) bekezdéséből, valamint 24–26. és 32. cikkéből eredő kötelezettségek megsértésével szemben az ezen irányelvnek a közvetítő szolgáltatók felelősségére vonatkozó 12–15. cikkére.

A költségekről

137

Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.

1)

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 5. cikkének (2) bekezdését és 24–26. cikkét

–

azonosítani azokat a hirdetéseket, amelyek az említett rendelet 9. cikkének (1) bekezdése értelmében vett különleges adatokat tartalmaznak,

–

megvizsgálni, hogy az ilyen hirdetést elhelyezni kívánó hirdető‑felhasználó megegyezik‑e azzal a személlyel, akinek különleges adatai szerepelnek a hirdetésben, és amennyiben nem ez a helyzet,

–

meg kell tagadnia a hirdetés közzétételét, kivéve ha a hirdető‑felhasználó bizonyítani tudja, hogy az érintett személy a 9. cikk (2) bekezdésének a) pontja értelmében kifejezett hozzájárulását adta ahhoz, hogy a szóban forgó adatokat közzétegyék az online piactéren, vagy hogy az említett 9. cikk (2) bekezdésének b)–j) pontjában előírt bármely másik kivétel teljesül.

2)

A 2016/679 rendelet 32. cikkét

3)

A belső piacon az információs társadalommal összefüggő szolgáltatások, különösen az elektronikus kereskedelem egyes jogi vonatkozásairól szóló, 2000. június 8‑i 2000/31/EK európai parlamenti és tanácsi irányelv (Elektronikus kereskedelemről szóló irányelv) 1. cikke (5) bekezdésének b) pontját és a 2016/679 rendelet 2. cikkének (4) bekezdését