I.

Въведение

1.

Преюдициалните въпроси по настоящото дело се отнасят до разпоредбите на Директива 2000/31/ЕО ( 2 ) и на Регламент (ЕС) 2016/679 ( 3 ).

2.

В основата на тези въпроси е спор между физическо лице и оператор на електронен пазар, на който без съгласието на физическото лице е публикувана обява, в която се посочва, че това лице предлага сексуални услуги. Особеното при това дело е, че въпросната обява е съдържала лични данни.

3.

С въпросите си, които се отнасят до ОРЗД, запитващата юрисдикция иска да се установи в това отношение, от една страна, дали оператор на електронен пазар като разглеждания в главното производство е нарушил задълженията си по този регламент, и от друга страна, дали такъв оператор може да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност по отношение на публикувана на този електронен пазар обява. Следователно настоящото преюдициално запитване дава възможност на Съда да се произнесе по връзката между режимите, установени с тези два акта на правото на Съюза.

II.

Правна уредба

А.

Правото на Съюза

1.

Директива 2000/31

4.

Член 1 от Директива 2000/31 е озаглавен „Цел и приложно поле“ и параграф 5 от него гласи по-специално, че тази директива „не се прилага за [...] въпроси, които се отнасят до услуги на информационното общество, които са предмет на Директиви 95/46/CE [ ( 4 )] и 97/66/CE [ ( 5 )]“.

5.

Глава II от тази директива е озаглавена „Принципи“ и съдържа раздел 4, който от своя страна е озаглавен „Отговорност на междинни доставчици на услуга“ и съдържа членове 12, 13 и 14, които се отнасят до доставчици на услуги на информационното общество, които извършват съответно обикновен пренос, форма на съхраняване, наречена „кеширане“ или съхраняване на информация. Тези разпоредби определят и условията, при които такива доставчици са освободени от отговорност за информацията, предоставена от потребителите на техните услуги.

6.

Съгласно член 14, параграф 1 от посочената директива, озаглавен „Съхраняване на информация“:

7.

Член 15 от същата директива, озаглавен „Отсъствие на общо задължение за контрол“, предвижда:

2.

ОРЗД

8.

Член 2 от ОРЗД е озаглавен „Материален обхват“ и параграф 4 от него гласи:

9.

Член 4 от този регламент е озаглавен „Определения“ и гласи:

10.

Член 5 от посочения регламент е озаглавен „Принципи, свързани с обработването на лични данни“ и предвижда:

11.

Член 6 от същия регламент, озаглавен „Законосъобразност на обработването“, предвижда в параграф 1:

12.

Член 7 от ОРЗД е озаглавен „Условия за даване на съгласие“ и параграф 1 от него предвижда:

13.

Глава IV от този регламент е озаглавена „Администратор и обработващ лични данни“ и съдържа раздел 1, който от своя страна е озаглавен „Общи задължения“ и съдържа членове 24—26.

14.

Член 24 от посочения регламент е озаглавен „Отговорност на администратора“ и параграф 1 от него предвижда:

15.

Член 25 от същия регламент е озаглавен „Защита на данните на етапа на проектирането и по подразбиране“ и параграфи 1 и 2 от него гласят:

16.

Член 26 от ОРЗД е озаглавен „Съвместни администратори“ и параграф 1 от него уточнява:

Б.

Румънското право

17.

Член 11 от Legea nr. 365/2002 privind comerțul electronic (Закон № 365/2002 за електронната търговия) от 7 юни 2002 г. ( 6 ), изменен с Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (Закон № 121/2006 за изменение и допълнение на Закон № 365/2002 за електронната търговия) от 4 май 2006 г. ( 7 ) (наричан по-нататък „Закон № 365/2002“), предвижда:

18.

Член 14 от този закон, озаглавен „Постоянно съхраняване на информация, съхранение-хостинг“, гласи:

III.

Фактите в основата на спора в главното производство, преюдициалните въпроси и производството пред Съда

19.

Russmedia Digital SRL (наричано по-нататък „Russmedia“) е учредено по румънското право дружество, което е собственик на електронния пазар www.publi24.ro, на който могат да се публикуват безплатни или платени обяви, по-специално за продажбата на стоки или предоставянето на услуги от различни населени места в Румъния.

20.

На 1 август 2018 г. неустановено лице публикува на този електронен пазар обява, чието съдържание е унизително и обидно за жалбоподателката в главното производство, тъй като в обявата се посочва, че последната предлага сексуални услуги (наричана по-нататък „спорната обява“). Тази обява е съдържала снимки на жалбоподателката в главното производство от законно притежавания от нея профил в социална мрежа, използвани без нейно съгласие, както и нейния телефонен номер. Преди публикуването на обявата не е извършена проверка на самоличността на лицето, което я е публикувало. След като жалбоподателката в главното производство се свързва с Russmedia, то премахва обявата от своя електронен пазар по-малко от час по-късно. Същата обява обаче е публикувана онлайн, като е посочен първоначалният източник, от други уебсайтове с рекламно съдържание, на които тя все още е достъпна.

21.

Като счита, че спорната обява нарушава правата ѝ, жалбоподателката в главното производство предявява иск срещу Russmedia.

22.

Judecătoria Cluj-Napoca (Първоинстанционен съд, Клуж-Напока, Румъния) уважава този иск и на основание член 253 от Гражданския кодекс ( 8 ) осъжда Russmedia да заплати на жалбоподателката в главното производство 7 000 EUR за неимуществени вреди, причинени ѝ от нарушението на правото ѝ на изображение, на чест и на добро име и на правото ѝ на неприкосновеност на личния живот, както и от неправомерното обработване на личните ѝ данни. Всъщност този съд счита, че спорната обява представлява нарушение на задълженията на Russmedia по ОРЗД. Посоченият съд приема, че като е позволило публикуването и последващото разпространение по интернет на тази обява, Russmedia е нарушило сериозно правата на жалбоподателката в главното производство.

23.

Tribunalul Specializat Cluj (Специализиран съд Клуж, Румъния) уважава жалбата на Russmedia, като постановява, че искът на жалбоподателката в главното производство е неоснователен, тъй като това дружество не е автор на спорната обява. Този съд приема, че Russmedia само е предоставило услуга за съхраняване на обявите, без да е активно ангажирано „по отношение на съдържанието“ им, и че при тези обстоятелства е приложимо освобождаването от отговорност, предвидено в член 14, параграф 1 от Закон № 365/2002.

24.

Всъщност според въззивния съд Russmedia е премахнало спорната обява от своя електронен пазар по-малко от час, след като жалбоподателката в главното производство се е свързала с него. Този съд счита, че Russmedia е освободено от отговорност за твърдените вреди, тъй като това дружество не е автор на въпросната обява и я е блокирало съгласно член 11, параграф 3 и член 14, параграф 1, буква b) от Закон № 365/2002 веднага след като е узнало, че тя може да наруши правата на жалбоподателката в главното производство.

25.

По-нататък, що се отнася до задължението на администратора на лични данни да провери преди публикуването на обява дали нейният автор има право да използва съдържащите се в нея лични данни, въззивният съд приема, че е приложим член 11 от Правилата за прилагане на Закон № 365/2002, според който доставчик на услуги на информационното общество не е длъжен да контролира съхраняваната информация ( 9 ).

26.

Накрая, въззивният съд приема, че Russmedia не може да бъде упреквано за това, че не е предприело мерки, за да предотврати разпространяването на спорната обява по интернет. Според него предоставената услуга се състои в публикуването на тази обява и мерките за блокиране на достъпа на потребителите до нея са взети веднага след като жалбоподателката в главното производство е предупредила Russmedia. Ето защо този съд приема, че в настоящия случай е приложим Закон № 365/2002, който освобождава това дружество от отговорност за неимуществените вреди, причинени от съдържанието на обявите, публикувани на уебсайта www.publi24.ro от потребителите.

27.

Жалбоподателката в главното производство обжалва това решение пред Curtea de Apel Cluj (Апелативен съд Клуж, Румъния) — запитващата юрисдикция.

28.

В жалбата си жалбоподателката в главното производство твърди по-специално, че Закон № 365/2002 не е специален закон по отношение на ОРЗД и поради това въззивният съд е трябвало да разгледа отговорността на Russmedia в светлината на разпоредбите на този регламент.

29.

Освен това жалбоподателката в главното производство посочва, че ролята на Russmedia не се е ограничавала до предоставянето на клиентите на специфичните технически средства за достъп до сървъра за хостване. Според нея това дружество е изпълнявало и управленска роля, като се е намесвало на ниво съдържание на обявите с цел добро управление на информацията. Посоченото дружество, в качеството си на оператор на въпросния уебсайт, съхранявало и обработвало съдържанието на информацията. Обработването и съхраняването на данните, както и предоставянето им под някаква форма на обществеността предполагало както анализ на данните и информацията, съдържащи се в обявите, така и управлението на последните, необходимо, за да се гарантира лесен публичен достъп, което показвало пряко участие на това дружество. Следователно член 14 от Закон № 365/2002 не бил приложим в настоящия случай. Жалбоподателката в главното производство счита освен това, че предвиденото в тази разпоредба освобождаване от отговорност не се прилага, ако отговорността е установена съгласно други нормативни актове, като например ОРЗД, какъвто според нея е настоящият случай.

30.

Запитващата юрисдикция уважава жалбата, като приема, че въззивният съд не е разгледал приложимостта на разпоредбите на ОРЗД към обстоятелствата по делото, отменя решението по въззивната жалба и решава да се произнесе отново по делото като въззивна инстанция.

31.

В това отношение запитващата юрисдикция посочва, че според нея операторите на електронни пазари не са длъжни да извършват предварителна проверка на публикуваните от потребителите обяви. Въпреки това тя посочва, че съгласно решение L’Oréal и др. ( 10 ) само оператор на електронен пазар, който няма активна роля, състояща се в оказване на съдействие за оптимизиране на представянето на предложенията за продажба или за тяхното рекламиране, може да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност. Освен това съгласно това решение ( 11 ) оператор на електронен пазар не може да се ползва от посоченото освобождаване от отговорност, ако е бил запознат с факти или обстоятелства, въз основа на които полагащият дължимата грижа икономически оператор би трябвало да установи незаконността на съответните предложения за продажба и в случай на такова запознаване, не е действал експедитивно. В този ред на мисли съгласно решение Papasavvas ( 12 ) медийно дружество издател, разполагащо с уебсайт, на който е публикувано електронното издание на вестник, също не може да се ползва от това освобождаване от отговорност, доколкото то е наясно с публикуваната информация и упражнява контрол върху нея.

32.

Запитващата юрисдикция уточнява, че практиката на Съда се отнася само до публикувани онлайн предложения, чиято незаконосъобразност произтича от анализа на фактите и обстоятелствата, които са били изрично съобщени на администратора след публикуването на съответната обява. За сметка на това според нея Съдът никога не е имал повод да анализира положение като разглежданото в настоящото дело. Всъщност особеностите на делото в главното производство се дължат на факта, че съдържанието на обявата, публикувана от неустановен към момента на сезирането на съда потребител, е било явно незаконосъобразно и силно вредоносно за субекта на данните. Ето защо според запитващата юрисдикция уведомяването на администратора не е било необходимо, за да се установи и анализира незаконния характер на публикуваната информация.

33.

Освен това запитващата юрисдикция обръща внимание на обстоятелството, че макар след уведомяването от страна на жалбоподателката в главното производство спорната обява да е била заличена от уебсайта на Russmedia, на който първоначално е била публикувана, тя е била възпроизведена изцяло от множество други уебсайтове, с всички данни и снимки на жалбоподателката в главното производство, като е посочен първоначалният източник, без каквито и да било мерки за защита на личните данни. Поради това вредите са станали постоянни и продължават да настъпват.

34.

Освен това запитващата юрисдикция отбелязва, че посочените в спорната обява сексуални услуги, за които се твърди, че се предлагат от жалбоподателката в главното производство, могат да бъдат свързани с тежки престъпления, наказуеми по Наказателния кодекс, като сводничество и трафик на хора.

35.

Накрая запитващата юрисдикция обръща внимание на обстоятелството, че с оглед на общите условия за ползване на неговия електронен пазар Russmedia не се явява просто пасивен потребител на данните. Всъщност, макар това дружество да не претендира за право на собственост върху предоставеното или публикувано, качено или предадено съдържание, то все пак си запазва правото да използва съдържанието, включително правото да го копира, разпространява, предава, публикува, възпроизвежда, променя, превежда, преотстъпва на партньори и да го премахва по всяко време, дори без да има основателна причина за това.

36.

При тези обстоятелства с акт от 15 юни 2023 г., постъпил в секретариата на Съда на 3 август 2023 г., Curtea de Apel Cluj (Апелативен съд Клуж, Румъния) решава да спре производството и да отправи до Съда следните преюдициални въпроси:

37.

Писмени становища представят румънското правителство и Европейската комисия. Жалбоподателката в главното производство и Комисията са представлявани в съдебното заседание, проведено на 2 юли 2024 г.

IV.

Анализ

38.

С първият въпрос се цели да се установи дали Russmedia може да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност, докато вторият, третият и четвъртият въпрос се отнасят до това дали това дружество е нарушило задълженията си по ОРЗД.

39.

Съдът вече е посочил, че с член 14, параграф 1 от Директива 2000/31, който е предмет на първия въпрос, се цели да ограничат случаите, в които в съответствие с приложимото в тази област национално право може да бъде ангажирана отговорността на междинните доставчици на услуги ( 13 ). Считам, че предвид развитието на правото на Съюза в тази област предвиденото в тази разпоредба освобождаване от отговорност следва да се прилага и когато отговорността на доставчика на услуги е ангажирана въз основа на разпоредбите на правото на Съюза или въз основа на националните разпоредби, с които то е транспонирано ( 14 ).

40.

От акта за преюдициално запитване личи, че отговорността на Russmedia може да бъде ангажирана в главното производство поради нарушение на ОРЗД ( 15 ). При това положение може да изглежда желателно да се анализират първо вторият, третия и четвъртият въпрос, с които запитващата юрисдикция иска да установи дали Russmedia е нарушило задълженията си по ОРЗД. С оглед яснота на анализа обаче ще разгледам въпросите в реда, в който са поставени. Ето защо ще започна с анализ на повдигнатия в акта за преюдициално запитване проблем от гледна точка на Директива 2000/31, а след това ще го разгледам в светлината на ОРЗД. Накрая, в последната част на моя анализ, ще разгледам взаимодействието между този регламент и тази директива.

41.

Всъщност и четирите преюдициални въпроса се отнасят до по-основния въпрос за връзката между разпоредбите на Директива 2000/31 и тези на ОРЗД. Ще разгледам този въпрос, след като установя релевантните разпоредби на тези два акта на правото на Съюза, тъй като правните квалификации според предвидените в тях категории са в основата на четирите преюдициални въпроса.

А.

По първия въпрос

42.

С първия си въпрос запитващата юрисдикция иска да се установи дали член 14, параграф 1 от Директива 2000/31 трябва да се тълкува в смисъл, че доставчик на услуга на информационното общество, състояща се в предоставяне на потребителите на електронен пазар, на който могат да се публикуват безплатни или платени обяви, може да се ползва от предвиденото в тази разпоредба освобождаване от отговорност и когато чрез общите условия за ползване на електронния пазар този доставчик посочва, че макар да не претендира за право на собственост върху предоставеното или публикувано, качено или пренасяно съдържание, той си запазва правото да използва това съдържание, включително да го копира, разпространява, предава, публикува, възпроизвежда, променя, превежда, преотстъпва на партньори и премахва по всяко време, дори без да има основание за това.

43.

Ето защо ще анализирам този въпрос (раздел 1), чиято цел по същество е да се определи дали Russmedia може да бъде класифицирано като „междинен доставчик“, който a priori може да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаването от отговорност. Доколкото запитващата юрисдикция, изглежда, има съмнения и относно това дали в настоящия случай, с оглед на особеностите на спора в главното производство, са изпълнени условията, с които тази разпоредба обвързва освобождаването от отговорност, от съображения за изчерпателност ще анализирам и този въпрос (раздел 2).

1.

Понятието „междинен доставчик“

а)

Обхват и предпоставки на въпроса

44.

Смятам, че е важно да се изтъкне както предпоставката, на която се основава първият въпрос, така и неговият обхват.

45.

В това отношение, на първо място, както вече посочих ( 16 ), членове 12, 13 и 14 от Директива 2000/31 предвиждат освобождаване от отговорност, приложимо, когато предоставяните от доставчиците на информационното общество услуги се отнасят съответно до обикновен пренос, форма на съхраняване, наречена „кеширане“ или съхраняване на информация.

46.

Въпреки че първият въпрос се отнася до тези три разпоредби, запитващата юрисдикция изглежда счита, че Russmedia предоставя услуга, състояща се в съхраняване на предоставена от потребителите информация. Освен това член 14 от Закон № 365/2002, чиято приложимост е обсъждана пред националните юрисдикции ( 17 ), изглежда транспонира член 14 от Директива 2000/31, който се отнася до хостинг услуга. Ето защо считам, че първият въпрос се отнася до тази разпоредба на правото на Съюза, а работната хипотеза на запитващата юрисдикция е, че предоставяната от Russmedia услуга е услуга на информационното общество и по принцип се състои в съхраняване на информацията, предоставена от потребителите на неговия електронен пазар.

47.

На второ място, що се отнася до обхвата на първия въпрос, неговата предпазлива формулировка подсказва, че запитващата юрисдикция не се произнася по ролята, която Russmedia изпълнява при предоставянето на хостинг услугата си. Всъщност от този въпрос е видно, че констатацията за чисто техническата роля на Russmedia, произтича от твърденията на това дружество ( 18 ). Въпреки че запитващата юрисдикция изглежда не поставя под въпрос това твърдение, аз все пак ще го разгледам, тъй като неговата основателност е категорично оспорена от жалбоподателката в главното производство ( 19 ).

48.

Накрая, на трето място, запитващата юрисдикция уточнява, че Russmedia „не се явява просто пасивен потребител на данните (междинен доставчик), тъй като, макар [това дружество] да не претендира за право на собственост върху предоставеното или публикувано, качено или предадено съдържание, то все пак си запазва правото да използва [това съдържание]“. Формулировката на първия въпрос отразява тази загриженост на запитващата юрисдикция. Всъщност целта на този въпрос е да се установи дали „доставчик на услуги […], който предоставя на потребителите [електронен пазар], но който чрез общите условия за ползване на сайта посочва, [че] си запазва правото да използва това съдържание“, може да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31.

49.

Посочването в акта за преюдициално запитване на чисто техническия или пасивен характер на дейността на Russmedia препраща към практиката на Съда, съгласно която предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност се отнася само до случаите, когато поведението на доставчика на услуги се свежда до това на „междинен доставчик“ в смисъла, предвиден от законодателя на Съюза в глава II, раздел 4 от тази директива. Всъщност в това отношение от съображение 42 от посочената директива е видно, че предвиденото в нея освобождаване от отговорност обхваща само случаите, при които дейността на доставчика на услуги в рамките на информационното общество има чисто технически, автоматичен и пасивен характер, което означава, че този доставчик „няма нито познания, нито контрол върху пренасяната или съхранявана информация ( 20 ). Именно с оглед на тази съдебна практика трябва да се анализира първият преюдициален въпрос.

б)

Ролята на оператора на електронен пазар

50.

Въпреки че запитващата юрисдикция не предоставя подробна информация относно функционирането на електронния пазар на Russmedia, изглежда, че това дружество определя оформлението на обявите и ги публикува безвъзмездно или срещу заплащане на своя електронен пазар, където те са обединени в различни категории, избрани от потребителите податели на обяви, и където други потребители могат да извършват търсене с помощта на обикновена търсачка и да класират резултатите. За да може да публикува обява в интернет, потребителят подател на обява трябва да се регистрира в уебсайта на Russmedia. Неговата самоличност не се проверява нито към момента на регистрацията, нито към момента на публикуването на обявата. Така функционира този електронен пазар според описанието в акта за преюдициално запитване, според информацията в писмените становища на страните и в становищата, представени в съдебното заседание, както и според собственото ми проучване. Запитващата юрисдикция следва да провери точността на тази информация, преди да се произнесе в главното производство.

51.

В дело, отнасящо се до оператор на електронен пазар, Съдът е уточнил, че за да се провери дали този оператор може да бъде освободен от отговорност на основание член 14 от Директива 2000/31, е необходимо да се провери дали той се ограничава до неутрална доставка на услугата чрез чисто техническа и автоматична обработка на предоставените от неговите клиенти данни, или му има активна роля, позволяваща му да се запознае с тези данни или да ги контролира ( 21 ).

52.

В това отношение Съдът е постановил, че само фактът, че оператор на електронен пазар съхранява на сървъра си предложения за продажба, определя условията за доставка на услугите си, получава заплащане за тях и дава обща информация на клиентите си, не може да доведе до лишаването му от възможността да се ползва от изключенията във връзка с отговорността, предвидени в Директива 2000/31 ( 22 ).

53.

Освен това, що се отнася до едно от условията, с които член 14, параграф 1 от Директива 2000/31 обвързва освобождаването от отговорност на междинен доставчик, които ще разгледам по-късно ( 23 ), Съдът е установил, че обстоятелството, че оператор на интернет платформа за споделяне на съдържание извършва автоматизирано индексиране на каченото на платформата съдържание, че посочената платформа съдържа функция за търсене и че препоръчва видеоклипове в зависимост от профила или предпочитанията на потребителите, не е достатъчно, за да се приеме, че това условие не е изпълнено ( 24 ). A fortiori това обстоятелство не може да лиши такъв оператор от възможността да се позове на предвиденото в тази разпоредба освобождаване от отговорност. Всъщност въпросът дали са изпълнени условията за освобождаване от отговорност по член 14, параграф 1, букви а) и б) от тази директива се поставя само ако съответният доставчик на услуги може да се квалифицира като „доставчик на хостинг услуга, който има неутрална роля“ по отношение на съхраняваната от него информация и може a priori да се позове на това освобождаване.

54.

Следователно изглежда, че Russmedia играе неутрална роля по отношение на информацията, съхранявана по искане на потребителите податели на обяви, и че може да се позове на предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване. Тук следва да се разсеят съмненията на запитващата юрисдикция, отразени във формулировката на първия въпрос, който по същество има за цел да се установи дали при разглеждането на приложимостта на това освобождаване решаващо значение имат общите условия за ползване на електронния пазар или действително предприетите от оператора на този пазар действия.

в)

Значението на общите условия за ползване

55.

Припомням, че съгласно общите условия за ползване на електронния пазар Russmedia, без да претендира за право на собственост върху предоставеното или публикувано, качено или пренасяно съдържание, си запазва правото да използва това съдържание, включително да го копира, разпространява, предава, публикува, възпроизвежда, променя, превежда, преотстъпва на партньори и премахва по всяко време, дори без да има основание за това.

56.

В самото начало отбелязвам, че спорът в главното производство не се отнася до вреди, причинени на жалбоподателката в главното производство от намесата на Russmedia в спорната обява, достъпна на неговия електронен пазар. Следователно в настоящия случай не става въпрос за положение, при което вредите произтичат от съдържанието, предоставено от потребител на електронен пазар и изменено или манипулирано от оператора на този пазар.

57.

След това уточнение трябва да се отбележи, че предвид общите условия за ползване на електронния му пазар Russmedia, изглежда, няма никакво задължение към потребителите податели на обяви по отношение на изготвянето или представянето на съдържанието на съхраняваните по тяхно искане обяви. От друга страна, това дружество си запазва правото да използва тази информация, дори без да има основание за това.

58.

В това отношение, въпреки че общите условия за ползване на електронен пазар могат да определят функционирането на услуга на информационното общество и да позволят да се разбере ролята, която играе нейният доставчик, договорно споразумение, съгласно което този доставчик може да предприеме действие във връзка със съхраняваната информация, без да е задължен да го прави, само по себе си не може да бъдат решаващо, за да се отговори на въпроса дали ролята на този доставчик е неутрална. Всъщност в практиката си Съдът обръща внимание на ефективното участие на доставчика на услуга на информационното общество в изготвянето и представянето на предоставената от потребителите на услугата информация. От друга страна, при разглеждането на приложимостта на предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност следва да не се вземат предвид действията, които доставчикът на услуги има право да извършва съгласно общите условия за използване на своята платформа, но които на практика не извършва. С други думи, при това разглеждане следва да се вземат предвид действията, които доставчикът на такава услуга действително е предприел.

59.

По-конкретно Съдът е приел, че когато оператор на електронен пазар оказва съдействие, което се изразява в оптимизиране на представянето на разглежданите предложения за продажба или в рекламиране на тези предложения, следва да се приеме, че той не е бил в неутрална позиция между съответния клиент продавач и потенциалните купувачи, а в резултат на активната роля, която е имал, е могъл да се запознае или да контролира данните относно тези предложения ( 25 ). Освен това Съдът е постановил по същество, че медийно дружество издател не може да се позове на предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност, що се отнася до информацията, съдържаща се в електронното издание на публикувания от това дружество вестник, тъй като то по принцип е наясно с публикуваната от него информация и упражнява контрол върху нея ( 26 ).

60.

В обобщение в цитираната по-горе съдебна практика условията за функциониране на електронен пазар са включвали предварително запознаване със съхраняваната информация и контрол над нея. За разлика от това в настоящия случай, както отбеляза Комисията в съдебното заседание, нищо не сочи, че Russmedia се намесва в създаването, оптимизирането или представянето на обявите или че контролира индивидуалното им съдържание преди публикуването им. Контролът, който това дружество би могло да упражнява съгласно общите условия за ползване на своя електронен пазар, има само потенциален и последващ характер. Освен това изглежда, че Russmedia не е запознато със съхраняваната информация, така че да се обоснове лишаването на това дружество от правото да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност.

61.

Освен това, както отбелязва Комисията, общите условия за ползване на платформа като тези на Russmedia не са необичайни в областта на посредническите услуги ( 27 ). В това отношение е важно да се отбележи, че обстоятелството, че междинен доставчик си запазва правото да използва информацията, предоставена от потребителите на неговата услуга, се вписва във важната роля, която междинните доставчици играят в борбата с незаконното онлайн съдържание.

62.

Всъщност, за да бъдат изпълнени условията за освобождаване на междинния доставчик от отговорност по член 14, параграф 1, букви а) и б) от Директива 2000/31, междинният доставчик трябва да реагира и да премахне или блокира това съдържание веднага след като узнае за него. Именно за да подчертае способността си да предприеме такова действие, този доставчик може да си запази правото да премахне посоченото съдържание по всяко време.

63.

При това положение обстоятелството, че чрез общите условия за ползване на своя електронен пазар Russmedia си запазва правото да използва съдържанието, съхранявано по искане на потребителите на неговата услуга, не може да лиши това дружество от правото да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност.

г)

Междинно заключение

64.

С оглед на гореизложеното предлагам на първия въпрос да се отговори, че член 14, параграф 1 от Директива 2000/31 трябва да се тълкува в смисъл, че доставчик на услуга на информационното общество, състояща се в предоставяне на потребителите на електронен пазар, на който се публикуват безплатни или платени обяви, може да се ползва от предвиденото в тази разпоредба освобождаване от отговорност и когато чрез общите условия за ползване на електронния пазар той посочва, че макар да не претендира за право на собственост върху предоставеното или публикувано, качено или пренасяно съдържание, той си запазва правото да използва това съдържание, включително да го копира, разпространява, предава, публикува, възпроизвежда, променя, превежда, преотстъпва на партньори и премахва по всяко време, дори без да има основание за това, при условие че този доставчик не предприема мерки, които да го лишат от качеството му на неутрален доставчик на хостинг услуги.

65.

От съображения за изчерпателност следва да се провери дали с оглед на особеностите на спора в главното производство в настоящия случай са изпълнени условията, от които зависи това освобождаване.

2.

Условията от които зависи освобождаването на междинен доставчик от отговорност

66.

В акта за преюдициално запитване се изтъкват особеностите на настоящото дело, които, изглежда, са свързани с условията, с които член 14, параграф 1 от Директива 2000/31 обвързва освобождаването от отговорност за съхраняваната информация. Всъщност запитващата юрисдикция обръща внимание на Съда върху очевидно незаконосъобразния и силно вредоносен характер на спорната обява, както и върху достъпа до тази обява на множество други уебсайтове, които са я възпроизвели.

а)

Явно незаконосъобразният характер на съхраняваната информация

1)

Установяването на явно незаконно съдържание

67.

Запитващата юрисдикция отбелязва, че за да може Russmedia да установи и анализира евентуалния незаконосъобразен характер на публикуваната информация, не е било необходимо това дружество да бъде уведомено за незаконното съдържание. Всъщност според тази юрисдикция съдържанието на спорната обява е очевидно незаконно и силно вредоносно за жалбоподателката в главното производство. Следователно запитващата юрисдикция изглежда изхожда от предпоставката, че поради този явно незаконосъобразен характер Russmedia е трябвало да е запознато с тази обява и с нейното незаконно съдържание. Следователно, за да се ползва от освобождаването от отговорност, Russmedia е трябвало — незабавно и без да чака искане в този смисъл — да премахне тази обява или да блокира достъпа до нея в съответствие с член 14, параграф 1, буква б) от Директива 2000/31.

68.

Целта на член 14, параграф 1, буква а) от Директива 2000/31 е да се освободи от отговорност доставчикът на хостинг услуги за съхраняваната информация, когато той няма сведения за незаконната дейност или информация. Когато, както е в настоящия случай, отговорността на доставчика на хостинг услуги е ангажирана в рамките на иск за обезщетение за вреди, се прилага по-строго условие за освобождаване от отговорност. В такъв случай на доставчика се отнема възможността да се ползва от предвиденото в член 14, параграф 1 от тази директива освобождаване от отговорност, ако е бил запознат с факти или обстоятелства, въз основа на които полагащи дължимата грижа икономически оператор би трябвало да установи въпросната незаконност, и не е действал в съответствие с член 14, параграф 1, буква б) от посочената директива ( 28 ). Всъщност, както изисква Директива 2000/31, незаконността на дейността или информацията трябва да е „видна“, т.е. да е лесно установима ( 29 ).

69.

Доставчикът на услуги обаче може да загуби възможността да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност само ако действително е узнал факти или обстоятелства, въз основа на които незаконният характер на дейността или информацията може да бъде обективно установен от полагащ дължимата грижа икономически оператор. Всъщност, независимо дали става въпрос за иск за обезщетение за вреди, не е достатъчно доставчикът по принцип да съзнава факта, че услугата му се използва и за споделяне на незаконно съдържание. Доставчикът на услуги трябва да е запознат с фактите или обстоятелствата, свързани с конкретни незаконни дейности и информация ( 30 ).

70.

Следователно предвиденото в член 14, параграф 1, буква а) от Директива 2000/31 условие не е изпълнено, когато въз основа на информацията, с която разполага, доставчикът на услуги е установил или е не е съзнавал незаконния характер на съхраняваните данни или се е заблудил относно тяхната законност. Всъщност, докато незаконният характер на дадена информация или дейност трябва да се прецени обективно, съгласно критерия за полагащ дължимата грижа икономически оператор узнаването на фактите, разкриващи тази незаконност, по принцип се преценява, като се вземе предвид информацията, с която действително разполага съответният доставчик.

71.

При тези обстоятелства не може да се презумира, че операторът на електронен пазар е запознат със съдържанието на всяка незаконна и увреждаща обява. Освен това въвеждането на подобна презумпция би означавало този оператор да бъде задължен да следи активно всички данни на всеки от своите потребители податели, за да установи кои обяви са очевидно незаконни и увреждащи. Подобно задължение за контрол ми се струва трудно съвместимо с логиката на Директива 2000/31.

72.

Всъщност такова задължение за контрол, въведено „през задната врата“, би било несъвместимо с член 15, параграф 1 от Директива 2000/31, който предвижда, че държавите членки не налагат на доставчиците на хостинг услуги общо задължение да контролират информацията, която съхраняват, нито общо задължение да търсят активно факти или обстоятелства за незаконна дейност. Следователно от доставчик на хостинг услуги не може да се изисква да контролира общо информацията, която съхранява, въз основа на национални мерки ( 31 ).

73.

Следователно условието, предвидено в член 14, параграф 1, буква а) от Директива 2000/31, не може да се счита за неизпълнено само поради това, че обява, публикувана в електронен пазар, е явно незаконна и силно вредоносна за засегнатото от тази обява лице. От съображения за изчерпателност ще добавя, че Директива 2000/31 обхваща и положението, при което доставчикът на хостинг услуги възприема бизнес или организационен модел, който подбужда или насърчава разпространението на незаконно съдържание.

2)

Платформа, участваща в незаконни дейности

74.

Следва да се отбележи, че съгласно съображение 44 от Директива 2000/31 доставчик на услуги, който съзнателно сътрудничи на някой от получателите на неговата услуга за извършване на незаконни действия, излиза извън дейностите на „обикновен пренос“ или „кеширане“, посочени съответно в членове 12 и 13 от тази директива. Следователно този доставчик на услуги не може да се ползва от освобождаването от отговорност, предвидено за този вид дейност. Въпреки че в това съображение не се споменава дейността по съхраняване на информация, посочена в член 14 от тази директива, няма причина същите съображения да не се приложат и към тази дейност. Всъщност в Решение по дело YouTube и Cyando ( 32 ) Съдът приема, че оператор на онлайн платформа, който извън самото предоставяне на платформата допринася за предоставяне на публичен достъп до съдържание в нарушение на авторското право, не може да се счита за неутрален доставчик на услуги, който може да се ползва от предвиденото в член 14, параграф 1 от Директива 2000/31 освобождаване от отговорност.

75.

В посоченото решение, за да определи дали оператор предоставя такова съдържание, Съдът, изглежда, непряко се основава на своя анализ на понятието „акт на разгласяване“ по смисъла на Директива 2001/29/ЕО ( 33 ). Съгласно този анализ, основан на решението, отнасящо се до платформата за споделяне The Pirate Bay ( 34 ), оператор предоставя такъв достъп, когато, осъзнавайки напълно последиците от поведението си, се намесва в извършеното от потребители на платформата му незаконно разгласяване на защитено съдържание, за да предостави на другите интернет потребители достъп до него. Според Съда, за да се прецени дали това е така, е от значение да се вземат предвид всички обстоятелства, които характеризират разглежданото положение и позволяват пряко или косвено да се направят изводи за умишления или неумишления характер на намесата на оператора в незаконното разгласяване на посоченото съдържание.

76.

Ако този подход се приложи към обстоятелствата по настоящото дело, това би означавало, че оператор на електронен пазар, който е възприел бизнес и/или организационен модел, подтикващ потребителите на неговата платформа да разпространяват явно незаконно и силно вредоносно съдържание или насърчаващ и улесняващ неограниченото и неконтролирано разпространение на такова съдържание, губи качеството на неутрален доставчик на хостинг услуги по смисъла на член 14, параграф 1 от Директива 2000/31. Нищо обаче не сочи, че Russmedia е възприело такъв модел.

3)

Развитието на правото на ЕС в областта на модерирането на достъпното онлайн съдържание

77.

Би могло да се твърди, че съображението, че Директива 2000/31, по принцип и без да се засягат определени изключителни обстоятелства ( 35 ), не задължава доставчиците на хостинг услуги да установяват явно незаконно и силно вредоносно съдържание, може да изглежда незадоволително, като се имат предвид рисковете, които разпространението на такова съдържание може да породи с оглед на правата на техните потребители и на трети лица.

78.

Въпреки това, както отбелязвам в друг контекст ( 36 ), Директива 2000/31 е в крак с времето си и намерението на законодателя на Съюза е било да въведе основен режим, който защитава по специфичен начин свободното движение на услугите на информационното общество. Следователно тази директива само налага на всеки доставчик на услуги на информационното общество задължения за предоставяне на информация ( 37 ), без да прави разграничение между различните категории хостинг услуги. Всъщност тази директива се основава на логиката, че в определената от нея рамка държавите членки въвеждат задължения, които установените на тяхна територия доставчици на услуги трябва да спазват. По-конкретно свободата на действие на държавите членки е ограничена от забраната за налагане на общо задължение за контрол, предвидено в член 15 от същата директива.

79.

Основният режим, установен с Директива 2000/31, постепенно е допълнен със секторни актове, изискващи прилагането на подходящи мерки за защита на определени категории потребители от специфично съдържание, като например съдържание с терористичен характер или съдържание, показващо детска порнография ( 38 ).

80.

Неотдавна законодателят на Съюза измени в значителна степен правната рамка, приложима към онлайн платформите. Всъщност Digital Services Act разграничава задълженията на платформите в зависимост от някои критерии и също така урежда в известна степен въпроса за модерирането на незаконното съдържание ( 39 ). Тази нова правна рамка обаче не се отнася до настоящото дело и според мен Съдът не би трябвало да въведе чрез съдебната практика задължение, което не само не е предвидено в Директива 2000/31, приложима към фактите в главното производство, но освен това противоречи на член 15 от нея.

б)

По-нататъшното разпространение на съдържанието на публикуваните обяви

81.

Друг аспект, на който запитващата юрисдикция обръща внимание на Съда, се отнася до обстоятелството, че макар Russmedia да е премахнало спорната обява от своя електронен пазар след искането на жалбоподателката в главното производство, тази обява все още е достъпна в множество други уебсайтове, които са я възпроизвели от електронния пазар на Russmedia, като са посочили първоначалния източник. Запитващата юрисдикция не поставя пряко въпрос относно това обстоятелство от гледна точка на Директива 2000/31. Тази юрисдикция обаче го споменава в четвъртия си въпрос, който се отнася до изискваните от ОРЗД мерки за гарантиране сигурността на обработването на лични данни. Въпреки това в съдебното заседание, в отговор на въпроси на Съда, посоченото обстоятелство е обсъдено от страните в контекста на условието за освобождаване от отговорност по член 14, параграф 1, буква б) от тази директива. С оглед на тези съображения и за да се даде полезен отговор на запитващата юрисдикция, ще анализирам въпроса дали условието по член 14, параграф 1, буква б) от Директива 2000/31 е изпълнено, в случай, при който — след като се е запознал с фактите или обстоятелствата, които позволяват лесно да се установи незаконният характер на съхраняваната информация — доставчикът на хостинг услуги незабавно е премахнал тази информация от своя уебсайт, но тя все още е достъпна на други уебсайтове, които са я възпроизвели от сайта на този доставчик.

82.

В това отношение запитващата юрисдикция не уточнява дали спорната обява е била разпространена от Russmedia сред операторите на други интернет сайтове или е била възпроизведена от тях без знанието на Russmedia. Този въпрос бе обсъден в съдебното заседание. За да се даде полезен отговор на запитващата юрисдикция, ще разгледам тези два случая.

1)

Възпроизвеждане на спорната обява от партньори

83.

В съдебното заседание Комисията споменава положение, при което Russmedia, в съответствие с общите условия за използване на своя електронен пазар, препраща публикувани на този електронен пазар обяви на партньори, с които е договорно свързано, изброени в неговия сайт и следователно известни на потребителите податели на обяви.

84.

Може да възникне въпросът дали в такъв случай услугата, предоставяна от оператор на електронен пазар, се състои в неутрално съхраняване на информация по искане на получател на неговата услуга. Всъщност не трябва да се забравя, че член 14, параграф 1 от Директива 2000/31 се прилага само ако доставчикът предоставя такава услуга.

85.

В това отношение отбелязвам, че когато операторът на електронен пазар пренася по индивидуализиран начин и/или с човешка помощ информация, предоставена от получател на неговата услуга, към своите партньори, за да могат те да я публикуват на други уебсайтове, неговата роля е сходна с тази на лице, насърчаващо разпространението на тази информация. В такъв случай се съмнявам, че услугата на този оператор попада изцяло в приложното поле на член 14, параграф 1 от Директива 2000/31. Обратно, когато информацията, съхранявана по искане на потребител, е възпроизведена от операторите на други уебсайтове и ролята на посочения оператор в този пренос е чисто техническа и автоматизирана, може да се счита, че тази разпоредба е напълно приложима към него.

86.

В акта за преюдициално запитване обаче не се съдържат никакви фактически обстоятелства, които да позволят да се определи коя от тези две хипотези съответства на положението в главното производство. Още по-важно е, че въпросът дали е изпълнено условието по член 14, параграф 1, буква б) от Директива 2000/31 възниква само ако Russmedia може да бъде квалифицирано като „доставчик на хостинг услуги“ по смисъла на тази разпоредба. Ето защо ще анализирам условието по член 14, параграф 1, буква б) от тази директива, изхождайки от предпоставката, че Russmedia е доставчик на хостинг услуги по смисъла на тази разпоредба и че спорната обява е била възпроизведена от партньорите на това дружество при условията, посочени от Комисията в съдебното заседание ( 40 ).

87.

В това отношение от граматическа гледна точка член 14, параграф 1, буква б) от Директива 2000/31 предвижда, че за да се ползва от освобождаването от отговорност, доставчикът на хостинг услуги трябва да действа експедитивно за премахването или блокирането на достъпа до незаконната информация. Следователно в тази разпоредба не се посочва само че доставчикът на хостинг услуги трябва да премахне или да блокира достъпа до незаконна информация. Всъщност законодателят е избрал широка формулировка, според която по същество доставчикът трябва експедитивно да прекрати незаконна дейност, извършвана чрез или в рамките на неговата услуга.

88.

Формулировката на това условие може несъмнено да се тълкува в смисъл, че законодателят на Съюза е възнамерявал не да определи конкретните резултати, които трябва да бъдат постигнати, а само да гарантира, че са положени усилия в това отношение. Широката формулировка на член 14, параграф 1, буква б) от Директива 2000/31 оставя и известна свобода на действие на доставчика („действа […] за отстраняването или блокирането на достъпа до информацията“), която му позволява да предприеме подходяща, пропорционална и ефективна мярка. Такъв прочит на тази разпоредба се налага с оглед на няколко съображения от тази директива.

89.

Всъщност съображение 46 от Директива 2000/31 гласи, че премахването на информацията трябва да се извършва в съответствие с „процедурите, установени за тази цел на национално равнище“ и че тази директива „не засяга възможността на държавите членки да установят специфични изисквания, които трябва да се изпълняват експедитивно преди премахването или блокирането на информация“. Нищо обаче не сочи, че такива процедури и изисквания са били установени в приложимото национално законодателство.

90.

При всяко положение съображение 41 от Директива 2000/31 гласи, че последната балансира различните заложени интереси и установява принципи, които могат да послужат за основа на нормите и споразуменията, приети от предприятията. Що се отнася по-конкретно до условието, предвидено в член 14, параграф 1, буква б) от тази директива, съображение 46 от нея предвижда, че доставчикът трябва да премахне информацията или да блокира достъпа до нея при съблюдаване на принципа за свобода на изразяване на мнение. В това отношение Съдът е уточнил, че предвиденото в член 14, параграф 1 от посочената директива освобождаване от отговорност е израз на равновесието, което тя цели да установи между различните засегнати интереси, сред които е и зачитането на свободата на изразяване на мнение, гарантирано в член 11 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) ( 41 ).

91.

От това стигам до извода, че за да се счита за изпълнено предвиденото в член 14, параграф 1, буква б) от Директива 2000/31 условие, премахването на незаконната информация трябва да се извърши при спазване на необходимото съвместяване на изискванията, свързани със защитата на тези различни права и свободи, и на справедлив баланс между тях.

92.

В това отношение, от една страна, подобно на зачитането на свободата на изразяване на мнение, което е гарантирано от Хартата и посочено в съображение 46 от Директива 2000/31, зачитането на личния живот също е гарантирано от Хартата, в член 7 от нея. От друга страна, с оглед на необходимостта от установяване на баланс между засегнатите интереси целта за ефективна защита на доброто име и честта на дадено лице не може да се постига чрез налагане на прекомерно задължение на доставчика на хостинг услуги ( 42 ).

93.

При това положение, за да се счита, че условието по член 14, параграф 1, буква б) от Директива 2000/31 е изпълнено при зачитане на съответните права, доставчикът на хостинг услуги, чиято услуга се използва за разпространението на съхраняваната от него информация до неговите договорни партньори, следва да предприеме разумни мерки, така че това съдържание да бъде премахнато или блокирано и от партньорите му. Например в сключените с тези партньори договори може да бъде добавена клауза в този смисъл.

2)

Възпроизвеждането на спорната обява от трети лица

94.

В съдебното заседание бе обсъден не само случаят на възпроизвеждане на обява от партньори на оператора на електронен пазар, но и този на възпроизвеждане на публично достъпна обява от трети лица без знанието и без съгласието на оператора. Обсъжданият въпрос е дали с оглед на съображенията, изложени в точка 91 от настоящото заключение, операторът на електронен пазар трябва да предприеме мерки спрямо трети лица, за да изпълни условието по член 14, параграф 1, буква б) от Директива 2000/31. На този въпрос трябва да се отговори отрицателно.

95.

Всъщност условието по член 14, параграф 1, буква б) от Директива 2000/31 се основава на идеята, че доставчикът на хостинг услуги трябва незабавно да предприеме всички мерки, които са в неговите правомощия, за да прекрати незаконна дейност, извършвана чрез или в рамките на неговата услуга. Отговорът на въпроса дали това условие е изпълнено обаче не може да зависи от мерки, които са извън неговия контрол.

96.

Без да се засягат гореизложените допълнителни бележки относно условията, установени от член 14, параграф 1 от Директива 2000/31 за освобождаването от отговорност на междинния доставчик, поддържам предложения от мен отговор на първия въпрос, изложен в точка 64 от настоящото заключение.

Б.

По втория, третия и четвъртия въпрос

97.

С втория, третия и четвъртия си въпрос запитващата юрисдикция иска по същество да се установи дали член 5, параграф 1, букви б) и е), член 6, параграф 1, буква а) и член 7, 24 и 25 от ОРЗД трябва да се тълкуват в смисъл, че доставчик на услуги на информационното общество, чиято дейност се състои в съхраняването на уебсайт на безплатни или платени обяви по искане на своите потребители, е длъжен предварително да провери самоличността на подателя на обява (втори въпрос) и съдържанието на публикуваните обяви (трети въпрос), както и да вземе защитни мерки, за да предотврати или ограничи възпроизвеждането или разпространението на съдържанието на обявите, включващи лични данни (четвърти въпрос).

98.

Тези въпроси се отнасят и до член 2, параграф 4, член 4, точки 7 и 11 от ОРЗД и член 15 от Директива 2000/31. За да се даде полезен отговор на тези въпроси обаче е достатъчно да се тълкуват посочените в предходната точка от настоящото заключение разпоредби на ОРЗД, които определят задълженията и отговорностите на участник в обработването на лични данни.

99.

Освен това, за да се отговори на тези въпроси, в самото начало следва да се определи в какво качество такъв доставчик участва в обработването на лични данни. В това отношение вторият, третият и четвъртият въпрос, изглежда, се основават на предпоставката, че Russmedia е действало като „администратор“ по смисъла на член 4, параграф 7 от ОРЗД. Всъщност в тях са посочени както тази разпоредба, така и „доставчик […], който е администратор на лични данни“. Подобно на Комисията и аз имам съмнения относно подобна правна квалификация. Ето защо, доколкото тя може да има значение за отговорите на преюдициалните въпроси, ще разгледам най-напред правната квалификация на оператор на електронен пазар в зависимост от предвидените в ОРЗД категории (раздел 1), след което ще се върна към въпроса за задълженията и отговорностите на този оператор (раздел 2).

1.

По правните квалификации

а)

Участниците в обработването на лични данни

100.

В член 4, точка 7 от ОРЗД понятието „администратор“ е дефинирано като отнасящо се до лице, което само или съвместно с други определя целите и средствата за обработването на лични данни. В Регламента се посочва още един участник в обработването на данни, а именно „обработващият лични данни“. Той е дефиниран в член 4, точка 8 от посочения регламент като лице, което обработва лични данни от името на администратора.

101.

Квалификацията на участник в обработването на данни според предвидените в ОРЗД категории определя задълженията и отговорностите на този участник. Тези задължения и отговорности се определят от разпоредбите, посочени във втория, третия и четвъртия въпрос.

102.

Всъщност всяко обработване на лични данни трябва да е в съответствие със закрепените в член 5, параграф 1 от ОРЗД принципи във връзка с обработването на данните и да отговаря на условията за законност на обработването, изброени в член 6 от него. Администраторът е този, който отговаря за спазването на тези принципи ( 43 ) и който, когато обработването се извършва въз основа на съгласие, трябва да е в състояние да докаже, че субектът на данните е дал съгласие за обработването на данните, както се изисква в член 7, параграф 1 от този регламент. В същия дух членове 24 и 25 от посочения регламент предвиждат общи задължения за администратора да въведе подходящи технически и организационни мерки, за да гарантира, че обработването се извършва в съответствие с този регламент.

103.

Освен това качеството, в което действа даден участник в обработването, определя и обхвата на неговата отговорност за нарушения на ОРЗД.

104.

Всъщност съгласно член 82, параграф 2, първо изречение от ОРЗД „[а]дминистраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава [този] регламент“. Администраторът носи отговорност за обработването на лични данни не само когато самият той го е извършил, а и когато то е извършено от негово име ( 44 ). За разлика от това съгласно член 82, параграф 2, второ изречение от посочения регламент „[о]бработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по [същия] регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях“.

б)

Целта и средствата на обработването

105.

За да се определи дали участник в обработването на лични данни може да се счита за администратор по смисъла на член 4, точка 7 от ОРЗД, следва да се провери дали този субект действително е оказал за собствени цели влияние върху определянето на целите и средствата на обработването на данните.

106.

Целта на обработването е свързана с въпроса за причината за обработването на данните ( 45 ). Тя се определя по принцип от лицето, което е в основата на обработването.

107.

Обхватът на понятието „средства“ не е толкова ясен и трябва да се определи в контекста на променящите се икономически и технологични структури за обработване на данни. Най-общо казано, докато целта на дадено обработване е свързана с причината, поради която се обработват данните, средствата отговарят на въпроса как ще бъде постигната тази цел. Всъщност определянето на средствата се състои по-специално в това да се реши какви данни се обработват ( 46 ), кой може да има достъп до тях и по какъв начин ( 47 ), както и каква е продължителността на обработването, доколкото такова решение може да сложи край на операциите по обработване. Вземането на решения относно инструментите или физическите или цифрови носители ( 48 ), с които се събират, представят или разпространяват данни, също допринася за определяне на средствата за обработване.

108.

Администраторът обаче не е длъжен да определя всеки технически и организационен аспект на обработването. Решението за възлагане на обработването на данни на обработващ данни може да е резултат не само от желанието да се облекчи натовареността на администратора, но и от факта, че той не разполага с необходимите технически познания или средства, за да организира обработването. Такова тълкуване, основано на икономическата действителност, се потвърждава от разпоредбите на ОРЗД.

109.

Всъщност, въпреки че съгласно член 28, параграф 3 от ОРЗД договорът или друг правен акт, въз основа на който администраторът възлага обработването на данни на обработващ лични данни, трябва да определя целта на обработването, това правно основание не трябва да дава изчерпателен отговор на въпроса как ще бъдат обработвани данните. То трябва само да определи предмета, продължителността, естеството и целта на обработването, вида лични данни и категориите субекти на данни. Така, от една страна, чувствителните въпроси, които са от основно значение за законосъобразността на обработването, са запазени за администратора на данни. От друга страна, въпреки че действа от името на администратора и следва указанията му, обработващият лични данни може и дори трябва да определя техническите и организационните мерки за обработването, без да надхвърля ролята си на обработващ лични данни. С други думи, определянето на средствата от второстепенна важност за обработването не е достатъчно за да се квалифицира лице, участващо в обработването на данни, като администратор.

110.

Именно въз основа на изведените в точки 106—109 от настоящото заключение критерии запитващата юрисдикция трябва да реши дали Russmedia може да се счита за администратор. За да предоставя на националния съд насоки за тълкуване на правото на Съюза, които ще му бъдат полезни за решаването на спора, с който е сезиран, ще разгледам тази проблематика.

в)

Операторът на електронен пазар и ОРЗД

111.

В самото начало отбелязвам, че обработването на лични данни, съдържащи се в публикувани на електронен пазар обяви, трябва да се разграничи от обработването на данните на потребителите податели, които създават акаунт при оператора на този пазар, за да публикуват своите обяви. Създаването на такъв акаунт и останалите действия, свързани с данните, предоставени от потребител подател, представляват операции по обработване, по отношение на които този оператор е администратор съгласно ОРЗД. По същество операторът решава какви данни са необходими за регистриране на акаунт, като при въвеждането на тази процедура за регистриране на потребители податели на обяви определя целта на обработването им.

112.

В акта за преюдициално запитване се поставя въпросът дали операторът на електронен пазар упражнява за собствени цели влияние върху определянето на целите и средствата за обработването на личните данни, които евентуално се съдържат в обявите, публикувани на неговия електронен пазар.

113.

В това отношение, що се отнася до целта на обработването на данните, съдържащи се в онлайн обява, публикуването на обява на електронен пазар по принцип има за цел да рекламира сред обществеността продукта или услугата, предлагани от потребител подател. Следователно тази цел се определя от съответния потребител подател на обява. За сметка на това операторът на този електронен пазар изглежда не упражнява за собствени цели влияние върху определянето на причината, поради която се публикуват тези обяви. Настоящото дело е отличен пример за тази особеност на функционирането на електронните пазари. Всъщност спорната обява е била публикувана онлайн не за да се популяризира услугата на потребител подател на обява, а за да се навреди на жалбоподателката в главното производство. Операторът не е оказал влияние върху укоримата мотивация на автора на тази обява.

114.

Що се отнася до определянето на средствата за обработване, от потребителя подател на обява зависи отговора на въпроса как се обработват данните. Всъщност потребителят подател решава дали в обявата ще бъдат включени данни и евентуално какви. За сметка на това е много вероятно операторът на електронен пазар дори да не знае, че дадена обява съдържа лични данни. Освен това, макар да е вярно, че този оператор определя оформлението на обявите и други технически и организационни аспекти на функционирането на електронния пазар, отбелязвам, че с оглед на съображенията, които представих в точка 109 от настоящото заключение, влиянието на посочения оператор върху определянето на средствата от второстепенна важност за обработването не означава, че той трябва да се счита за администратор.

115.

Следователно оператор на електронен пазар като Russmedia изглежда не упражнява за собствени цели влияние върху определянето на целта и средствата на обработването на личните данни, които евентуално се съдържат в публикуваните на този електронен пазар обяви. Ако този оператор участва в обработването на тези данни, той действа в качеството на обработващ лични данни от името на потребителя подател на обява и под негово ръководство. При тези обстоятелства потребителите на хостинг услуга трябва да бъдат квалифицирани като „администратори“ по смисъла на ОРЗД ( 49 ).

116.

С оглед на спецификата на настоящото дело следва да се добавят няколко допълнителни пояснения към съображенията, които току-що изложих.

117.

На първо място, независимо от това дали по силата на ОРЗД субект на данни може да се счита за администратор на собствените си лични данни ( 50 ), важно е да се отбележи, че в настоящия случай лицето, което е публикувало спорната обява онлайн, не е било субект на съдържащите се в тази обява данни.

118.

На второ място, съгласно общите условия за ползване на електронния му пазар Russmedia си запазва правото да използва информацията, съхранявана по искане на потребителите податели на обяви. То може да ги копира, разпространява, предава, публикува, възпроизвежда, променя, превежда, преотстъпва на партньори и да ги премахва по всяко време, дори без да има основание за това. След предприемането на такова действие по отношение на данните, съдържащи се в дадена обява, това дружество може да се счита за администратор, що се отнася до конкретна операция по обработване с всички произтичащи от това задължения и отговорности. Всъщност определено лице може да носи отговорност за операциите по обработване, на които то определя целите и средствата. От друга страна, и без да се засяга предвидената в това отношение от националното право гражданска отговорност, въпросното лице не може да отговаря като администратор по смисъла на ОРЗД за предходните или последващите операции по веригата, по отношение на които не определя нито целите, нито средствата ( 51 ).

119.

На трето място, изложените по-горе съображения съответстват на позицията на работната група по член 29 ( 52 ) в нейното Становище 1/2010 относно понятията „администратор на лични данни“ и „лице, което обработва данните“, от 16 февруари 2010 г. ( 53 ) Всъщност според тази работна група доставчик на достъп до интернет, който предлага услуги за уебхостинг, по принцип е лице, обработващо лични данни, публикувани онлайн от неговите клиенти, които използват тази услуга за своя уебхостинг и неговото поддържане. Ако този доставчик обаче обработва съхраняваните от него данни за собствени цели, тогава той е администратор на лични данни по отношение на съответните операции по обработване. Освен това тази позиция съответства и на позицията на Европейския комитет по защита на данните в неговите Насоки 07/2020 относно понятията „администратор“ и „обработващ лични данни“ в ОРЗД, приети на 7 юли 2021 г. ( 54 ), според които доставчик на хостинг услуги, който не определя дали данните, които съхранява, са лични данни, нито обработва данните по друг начин, освен да ги съхранява от името на своя клиент, е обработващ лични данни.

120.

Следователно, без да се засягат фактическите проверки, които трябва да извърши запитващата юрисдикция, Съдът според мен следва да обърне внимание на тази юрисдикция върху възможността да преразгледа квалификацията на Russmedia. Всъщност, подобно на Комисията, считам, че по отношение на операциите по обработване, произтичащи от публикуването на спорната обява, това дружество действа не като администратор, а като обработващ лични данни. Въз основа на тази предпоставка по-нататък ще разгледам втория, третия и четвъртия въпрос.

2.

Задълженията и отговорностите на оператора на електронен пазар

а)

Случаят, при който операторът на електронен пазар се счита за обработващ лични данни по отношение на обработването на данни, съдържащи се в обявите

121.

В контекста на задълженията и отговорностите на оператора на електронен пазар съгласно ОРЗД е уместно да се направи разграничение между, от една страна, обработването на личните данни, съдържащи се в публикуваните на този пазар обяви, и от друга страна, обработването на данните на потребителите податели на обяви, които създават акаунт при този оператор.

1)

Обработването на данни, съдържащи се в обявите

122.

В хипотезата, при която Russmedia действително е било обработващ лични данни по отношение на обработването на личните данни, съдържащи се в обявите, то не е било длъжно да проверява дали обработването е било разрешено и законно. Всъщност, както вече отбелязах ( 55 ), съгласно разпоредбите, посочени във втория въпрос, администраторът на данни е този, който отговаря за спазването на принципите, свързани с обработването на лични данни. По същия начин, съгласно разпоредбите, посочени в третия въпрос, обработващият лични данни не е длъжен и да проверява предварително съдържанието на информацията, която се обработва.

123.

Що се отнася до четвъртия въпрос, той има за цел да се установи дали Russmedia е трябвало да предприеме защитни мерки, за да предотврати или ограничи възпроизвеждането и разпространението на съдържанието на обявите, включващи лични данни. Този въпрос се отнася до тълкуването на член 5, параграф 1, букви б) и е) и членове 24 и 25 от ОРЗД. Тези разпоредби се отнасят също до задълженията, но не на обработващия лични данни, а на администратора.

124.

От друга страна, член 32 от ОРЗД уточнява задълженията на администратора и евентуално на обработващия лични данни по отношение на сигурността на обработването ( 56 ).

125.

По-конкретно член 32, параграф 1 от ОРЗД гласи, че администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с рисковете от обработването ниво на сигурност, като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете. Освен това член 32, параграф 2 от този регламент гласи, че при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, в частност от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до такива лични данни.

126.

Доколкото член 32, параграф 2 от ОРЗД се отнася до задълженията на обработващия лични данни, тази разпоредба предполага, че обработването на данни в съответствие с инструкциите на администратора е разрешено и законно. От обработващия лични данни не може да се изисква да контролира действията на администратора, от чието име обработва данните. Той обаче трябва да приеме мерки, които да гарантират сигурността на обработването на лични данни срещу намесата от страна на трети лица. Всъщност член 32, параграф 1 от този регламент конкретизира по същество принципите на цялостност и поверителност, прогласени в член 5, параграф 1, буква е) от него ( 57 ). Съгласно тези принципи данните трябва да се обработват от администратора или от негово име по начин, който гарантира подходящо ниво на сигурност на тези данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу загуба.

127.

Ако обяви, публикувани на електронен пазар, могат да бъдат възпроизведени в съответствие с общите условия за ползване на този пазар от операторите на други сайтове, които са посочени в него и следователно са предварително известни на потребителите податели на обяви, обработващият лични данни следва да приложи мерки, които да доведат до премахването на отстранените от собствената му платформа обяви. Всъщност може да се окаже, че обработването не е или вече не е законно, и платформата, чрез която се извършва разпространението на дадена обява, следва да е в състояние да прекрати нарушение на ОРЗД и сред своите партньори. Такъв резултат е в съответствие със спазването от страна на доставчик на хостинг услуги на условието по член 14, параграф 1, буква б) от Директива 2000/31 ( 58 ).

128.

От друга страна, противно на това, което националният съд изглежда предвижда в четвъртия въпрос, не считам, че обработващият лични данни следва да бъде задължен да предотврати или ограничи възпроизвеждането или разпространението на обяви, съдържащи лични данни. Не е задължение на обработващия лични данни да определя кой и как може да има достъп до тях.

2)

Обработване на данните на потребителите податели на обяви

129.

Задълженията и отговорностите на оператора на електронен пазар са по-големи по отношение на обработването на данните на потребителите податели на обяви, които създават акаунт при този оператор. При това обработване операторът е администратор и членове 24 и 25 от ОРЗД са напълно приложими за него ( 59 ).

130.

Член 24 от ОРЗД предвижда общо задължение за администратора да въведе подходящи технически и организационни мерки, за да гарантира, че обработването се извършва в съответствие с този регламент. Член 25 от посочения регламент налага на администратора да въведе, както към момента на определянето на средствата за обработване, така и към момента на самото обработване, подходящи технически и организационни мерки, които са разработени с оглед на ефективното прилагане на принципите за защита на данните и интегриране на необходимите гаранции в процеса на обработване, за да се спазят изискванията на същия регламент и да се осигури защита на правата на субектите на данни.

131.

Както следва от членове 24 и 25 от ОРЗД, въпросните мерки трябва да отговарят на рисковете, специфични за контекста, в който се обработват личните данни. Въпреки че установяването на специфичните рискове и определянето на подходящите средства несъмнено са от компетентността на запитващата юрисдикция, която разполага с фактическите обстоятелства относно всички релевантни критерии с оглед на тези разпоредби, все пак бих искал да добавя следните уточнения.

132.

Както гласи съображение 75 от ОРЗД, от обработването на данни може да произтича риск за правата и свободите на физическите лица, по-специално когато то може да породи кражба на самоличност и когато субектите на данни могат да бъдат възпрепятствани да упражняват контрол върху своите лични данни. Всъщност целта на кражбата на самоличност по принцип е извършване на измамни действия във вреда на субекта на данни или на трети лица. Освен това, що се отнася до онлайн платформите, безотговорното им използване може да доведе до нарушаване на правата на физическите лица, а възможността отговорното за нарушението лице да действа безнаказано увеличава този риск.

133.

Следователно, ако администраторът управлява електронен пазар, достъпен за потребители податели на обяви, които при използването му могат да откраднат самоличността на друго лице с цел измама, той трябва да приложи мерки, за да намали този риск. В съответствие с установеното в член 25 от ОРЗД, за да се спазят изискванията на този регламент и да се осигури защита на правата на субектите на данните, този риск трябва да бъде взет предвид от администратора както към момента на определянето на средствата за обработване, така и към момента на самото обработване.

134.

Според мен при това положение операторът на електронен пазар трябва да предвиди технически или организационни мерки, които да му позволят да проверява самоличността на потребителите податели на обяви. Всъщност такава проверка, от една страна, би ограничила риска от незаконосъобразно или недобросъвестно обработване на личните данни по отношение на субекта на данните, и от друга страна, би позволила да се води борба с безотговорното използване на този електронен пазар, тъй като би разклатила чувството за безнаказаност на анонимните потребители.

135.

Трябва да уточня, че правилото за анонимно използване на интернет не изключва проверката на самоличността на потребителите податели на обяви. Данните на потребител подател на обява не могат да бъдат достъпни за всеки потребител на дадена платформа. Те могат да бъдат проверявани и съхранявани само от администратора, за да може той да изпълнява задълженията си по ОРЗД. Като проверка операторът може да изиска да му бъде предоставен телефонен номер, който да използва за потвърждаване на регистрацията. Подобно решение не е необичайно за онлайн платформите.

136.

Вярно е, че подобна мярка не отстранява напълно риска от кражба на самоличност. ОРЗД обаче се ограничава до това да задължи администратора да приеме технически и организационни мерки, предназначени, доколкото е възможно, да се избегне всяко нарушение на сигурността на лични данни ( 60 ). Следователно не става въпрос за задължение за резултат, а за задължение за действие. Във всеки случай от акта за преюдициално запитване може да се заключи, че Russmedia не е приложило никаква мярка, която да му позволи да провери самоличността на автора на спорната обява към момента на регистрацията или на публикуването на тази обява.

137.

При тези обстоятелства предлагам на втория, третия и четвъртия въпрос да се отговори, че член 5, параграф 1, буква е), член 6, параграф 1, буква а) и членове 7, 24 и 25 от ОРЗД трябва да се тълкуват в смисъл, че доставчик на услуги на информационното общество, чиято дейност се състои в съхраняването на уебсайт на безплатни или платени обяви по искане на своите потребители, действа като обработващ лични данни по отношение на личните данни, съдържащи се в обявите, публикувани на неговия електронен пазар. В този контекст той не е длъжен да проверява съдържанието на публикуваните обяви или да прилага защитни мерки, така че да предотвратява или ограничава възпроизвеждането и разпространението на съдържанието на публикуваните чрез него обяви. Въпреки това той трябва да прилага подходящи организационни и технически мерки, за да гарантира сигурността на обработването по отношение на трети лица. Такъв доставчик на услуги обаче действа като администратор по отношение на личните данни на потребителите податели на обяви, регистрирани на неговия уебсайт. В този контекст той е длъжен да проверява самоличността на тези потребители податели на обяви.

138.

От съображения за изчерпателност и в случай че Съдът не възприеме моя анализ, по-долу ще разгледам накратко задълженията и отговорностите на оператора на електронен пазар, считан за администратор — по смисъла на член 4, параграф 7 от ОРЗД — по отношение на личните данни, съдържащи се в обявите, публикувани на неговия електронен пазар. Всъщност, както посочих ( 61 ), вторият, третият и четвъртият въпрос, изглежда, се основават на предпоставката, че Russmedia действа като „администратор“.

б)

Случаят, при който операторът на електронен пазар се счита за администратор по отношение на обработването на данни, съдържащи се в обяви

139.

В самото начало отбелязвам, че дори операторът на електронен пазар да е администратор, това не означава непременно, че потребителят подател на обява на този електронен пазар не може също да се счита за такъв ( 62 ).

140.

Всъщност ОРЗД признава наличието на съвместна отговорност, която не се изразява непременно в равна отговорност на различните оператори, свързани с обработването на лични данни. Тъкмо обратното, тези оператори могат да участват на различни етапи от обработването и в различна степен, поради което степента на отговорността на всеки от тях трябва да се преценява с оглед на всички релевантни обстоятелства по случая.

141.

Все пак ще разгледам задълженията и отговорностите на оператора на електронен пазар, доколкото предмет на настоящото дело е отговорността на такъв оператор за обработването на лични данни, съдържащи се в обява, публикувана на неговия електронен пазар.

142.

С вторият и третия въпрос се цели да се установи дали оператор на интернет сайт е длъжен преди публикуването на обява да провери съответно самоличността на публикуващото обявата лице и на лицето, за което тя се отнася, както и съдържанието на изпратените от потребителите обяви.

143.

В това отношение не съм убеден, че операторът на електронен пазар е длъжен да се увери, че потребителят подател на обява действително е субектът на съдържащите се в дадена обява данни. Всъщност даден електронен пазар може да се използва от потребител подател и за да публикува обява, свързана с друго лице.

144.

При все това администраторът трябва да провери дали обработването на личните данни се извършва въз основа на съгласието на субекта на данните или на друго легитимно основание, установено по законодателен път. Такова задължение му е наложено с член 5, параграф 1, буква а), член 6, параграф 1 и член 7, параграф 1 от ОРЗД.

145.

Следователно, ако операторът на електронен пазар действа като администратор, той трябва да се увери, че лицето, чиито данни се съдържат в дадена обява, е дало съгласието си за обработването. Логично е той да провери и съдържанието на всяка обява, подадена от потребител, за наличие на лични данни.

146.

В съответствие с принципа на добросъвестност, предвиден в член 5, параграф 1, буква а) от ОРЗД, администраторът трябва също така да гарантира, че данните се обработват добросъвестно по отношение на субекта на данните. Освен това съгласно членове 24 и 25 от този регламент той трябва да приложи технически и организационни мерки, за да гарантира, че обработването се извършва в съответствие с посочения регламент. При това трябва да отчита рисковете, специфични за контекста, в който се обработват данните.

147.

Обработването на публично достъпни лични данни в онлайн среда може да породи рискове за правата и свободите на физическите лица, и по-специално имуществени или неимуществени вреди.

148.

Когато операторът на електронен пазар е администратор на данните, съдържащи се в публикуваните на този пазар обяви, той трябва да контролира обявите преди публикуването им онлайн, да провери дали обработването им се извършва въз основа на съгласието на съответния субект на данни или на друго легитимно основание, установено по законодателен път, и да въведе мерки срещу обработване, което е увреждащо за субектите на данните. Ако не спазва тези принципи, може да носи отговорност за нарушенията на този регламент в съответствие с член 82 от ОРЗД.

149.

Четвъртият въпрос цели да се установи дали операторът на електронен пазар трябва да прилага защитни мерки, така че да предотвратява или ограничава възпроизвеждането и разпространението на съдържанието на публикуваните чрез него обяви.

150.

Ако с оглед на контекста, в който се извършва обработването, съществува вероятност обявите да бъдат възпроизведени от други сайтове и личните данни да бъдат обработвани по-нататък по начин, несъвместим с целите, за които са били събрани, администраторът би могъл да предвиди прилагането на такива мерки, които трябва да са подходящи. Не съм убеден обаче, че операторът на електронен пазар, чийто икономически смисъл от гледна точка на оператора и на потребителите податели на обяви произтича от факта, че публикуваните там обяви са публично достъпни, следва да бъде задължен да ограничи разпространението им. Освен това обичайната цел на публикуването на съдържание онлайн по принцип е то да бъде достъпно за всички потребители на интернет, което предполага определена форма на разпространение. Във всеки случай с оглед на съображенията, които представих в точка 148 от настоящото заключение, спорната обява не е трябвало да бъде публикувана на електронния пазар на Russmedia без съгласието на субекта на данните.

151.

Без да се засягат изложените по-горе допълнителни бележки относно задълженията и отговорностите на оператор на електронен пазар, поддържам позицията си, че операторът на електронен пазар е обработващ личните данни, съдържащи се в публикуваните на този електронен пазар обяви ( 63 ). При това положение остава да се разгледа връзката между Директива 2000/31 и ОРЗД.

В.

Връзката между режима на Директива 2000/31 и този на ОРЗД

152.

Вторият и третият въпрос се отнасят по-специално до член 2, параграф 4 от ОРЗД, в който се посочва връзката между този регламент и Директива 2000/31. Освен това те се отнасят както до разпоредбите на този регламент, които определят задълженията и отговорностите на администратора, така и до член 15 от посочената директива. Следователно тези въпроси изглежда предполагат успоредното прилагане на ОРЗД и на посочената директива.

153.

Преди обаче да разгледам подобно успоредно прилагане на тези два акта на правото на Съюза (раздел 2), трябва да отбележа, че съществува известно противоречие между хипотезата, посочена в първия въпрос, и тази, посочена във втория, третия и четвъртия въпрос (раздел 1).

1.

Неутрален доставчик на хостинг услуги като администратор на данни

154.

Припомням, че от анализа ми следва, че Russmedia е действало като обработващ лични данни по отношение на личните данни, съдържащи се в публикуваните на неговия електронен пазар обяви ( 64 ). Обратно, работната хипотеза на запитващата юрисдикция е, че това дружество е действало като администратор. При тези обстоятелства в акта за преюдициално запитване се поставя въпросът дали операторът на електронен пазар може да има две квалификации, а именно на неутрален доставчик на хостинг услуги — по смисъла на член 14, параграф 1 от Директива 2000/31 — по отношение на информацията, съхранявана по искане на потребителите на неговата услуга, и на администратор на съдържащите се в тази информация лични данни. Всъщност, от една страна, първият въпрос има за цел да се установи дали Russmedia е междинен доставчик по смисъла на глава II, раздел 4 от тази директива. От друга страна, вторият, третият и четвъртият въпрос, изглежда, се основават на предпоставката, че това дружество трябва да бъде квалифицирано като „администратор“ по смисъла на ОРЗД.

155.

В това отношение съм наясно, че в практиката си Съдът не е изключил възможността администратор на лични данни по смисъла на ОРЗД да играе неутрална роля по отношение на информацията, съдържаща тези данни, и да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31. Такъв коментар е направен и от автори в правната литература във връзка с националните съдебни практики ( 65 ).

156.

Вярно е, че в решение Google Spain и Google, Съдът най-напред е приел, че лице, което управлява интернет търсачка, е администратор по отношение на личните данни, съдържащи се в публикувана или въведена в интернет от трети лица информация, която е качена, индексирана и съхранявана от този оператор ( 66 ). След това, в решение Google France и Google, Съдът е разгледал въпроса дали лицето, управляващо същата търсачка, може да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31 ( 67 ). Второто решение обаче се отнася не до управлението на посочената интернет търсачка, а до услуга по каталогизиране в интернет. Нещо повече, в това решение Съдът е оставил на запитващата юрисдикция да прецени дали ролята, която този оператор играе, съответства на тази на междинен доставчик по смисъла на тази разпоредба ( 68 ).

157.

Както вече посочих ( 69 ), още по-важно е, от една страна, че междинен доставчик по смисъла, предвиден от законодателя в глава II, раздел 4 от Директива 2000/31, не може да играе роля, която да му даде възможност да се запознае със съхраняваните данни или да ги контролира, и следователно трябва да се ограничи до неутрална доставка на услугата си чрез чисто техническа обработка. От друга страна, ролята на администратора включва определяне на целта и средствата за обработване на личните данни, и по-специално упражняване на влияние върху това дали данните подлежат на операции по обработване като записване, промяна или разпространяване и евентуално върху определянето на тези данни ( 70 ). Упражняването на такова влияние е несъвместимо с неутралната роля, която доставчик на услуги на информационното общество трябва да запази по отношение на съхраняваната по искане на потребителите информацията, за да може да се ползва от освобождаването от отговорност, предвидено в член 14, параграф 1 от Директива 2000/31. Също така, както вече обясних ( 71 ), ОРЗД налага на администратора задължения и отговорности, които изискват от него да действа проактивно. По същество, за да се спазят принципите, свързани с обработването на лични данни, администраторът трябва да е запознат със съответните данни и да упражнява контрол върху тях. Такъв контрол също не е съвместим с неутралната роля на такъв доставчик.

158.

Така, ако, от една страна, дадена хостинг услуга се състои в съхраняването на информация, която от гледна точка на ОРЗД съдържа лични данни, и от друга страна, доставчикът на тази услуга се счита за администратор по смисъла на този регламент, ролята на този доставчик не се ограничава до неутралното съхраняване на такава информация. Следователно доставчикът на такава услуга играе активна роля по отношение на тази информация и е изключен от възможността да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31.

159.

Противоречието между хипотезата, посочена в първия въпрос, и посочената във втория, третия и четвъртия въпрос, потвърждава тълкуването на ОРЗД в смисъл, че операторът на електронен пазар действа не като администратор по отношение на личните данни, съдържащи се в обявите, които съхранява по искане на потребителите податели на обяви, а като обработващ тези данни ( 72 ).

160.

От съображения за изчерпателност отбелязвам, че не мога да изключа възможността законодателят на Съюза да е решил да не отхвърля възможността доставчик на хостинг услуги, действащ като администратор, да се ползва от освобождаването от отговорност съгласно Digital Services Act. Всъщност, въпреки че разпоредбите на членове 12—15 от Директива 2000/31 ( 73 ) са заличени с този регламент, те все пак са възпроизведени в него, както са тълкувани от Съда. В член 7 от посочения регламент се отбелязва още, че „[н]е се счита за недопустимо освобождаването от отговорност на доставчиците на посреднически услуги […] само защото извършват, с дължимата грижа и добросъвестно, доброволни разследвания по собствена инициатива […] или предприемат необходимите мерки за спазване на изискванията на правото на Съюза и националното право, в съответствие с правото на Съюза“ ( 74 ). Първата част от тази разпоредба, отнасяща се до „доброволно въведените от доставчик мерки“ има общи елементи с практиката на Съда, развита още при действието на Директива 2000/31 ( 75 ). Втората част, отнасяща се до „мерките, взети за спазване на изискванията на правото на Съюза“, добавена със същия регламент, би позволила на доставчик на хостинг услуги да изпълни наложените му от ОРЗД задължения и да запази ролята си на неутрален междинен доставчик. Директива 2000/31 обаче не съдържа разпоредба в този смисъл и не е необходимо да се въвежда такава чрез тълкуването ѝ.

161.

Остава да се определи дали участник в обработването на лични данни в качеството на обработващ лични данни, чиято отговорност за обработването на тези данни може да бъде ангажирана за нарушение на ОРЗД, може да се ползва от освобождаването от отговорност, предвидено в член 14, параграф 1 от Директива 2000/31.

2.

Успоредно прилагане на ОРЗД и на Директива 2000/31

162.

Проблемът, повдигнат от акта за преюдициално запитване, произтича от факта, че информация, съхранявана по искане на получател на услугата, съдържа лични данни, които са обработени в нарушение на ОРЗД. Това поражда въпроса, който противопоставя страните в главното производство и който отдавна е предмет на разисквания в доктрината ( 76 ): може ли участник в обработването на лични данни, чиято отговорност може да бъде ангажирана за нарушение на ОРЗД, да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31?

163.

В това отношение трябва да отбележа, че съгласно моя анализ на тези два акта на правото на Съюза доставчикът на услуга на информационното общество, който е администратор на личните данни, съдържащи се в информацията, съхранявана по искане на потребителите на тази услуга, не може да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31 ( 77 ). Следователно анализът по-долу има за цел единствено да определи дали доставчик, който действа като обработващ такива данни, може да се ползва от това освобождаване. Държа да припомня, че анализът ми на разпоредбите на ОРЗД ме кара да предложа на Съда да приеме, че Russmedia е действало като обработващ лични данни ( 78 ).

164.

Освен това следва да се отбележи, че запитващата юрисдикция не уточнява дали в главното производство отговорността на Russmedia може да бъде ангажирана за нарушение на ОРЗД по силата на член 82 от този регламент или на правилата за гражданска отговорност съгласно националното право. Всъщност нарушението на норма, отнасяща се до защитата на личните данни, може едновременно да доведе до нарушение на други норми като тези в областта на защитата на потребителите ( 79 ) и на правата, свързани с личността, като законодателят на Съюза не е искал да осъществи изчерпателна хармонизация на средствата за защита, възможни в случай на нарушаване на разпоредбите на ОРЗД ( 80 ).

165.

Във всеки случай, що се отнася до гражданската отговорност, както в Директива 2000/31, така и в ОРЗД се съдържат разпоредби, които дават насоки относно връзката между тези два акта на правото на Съюза.

а)

По относимите разпоредби на Директива 2000/31

166.

Член 1, параграф 5, буква б) от Директива 2000/31, озаглавен „Цел и приложно поле“, предвижда, че тази директива не се прилага за въпроси, които се отнасят до услуги на информационното общество, обхванати от правилата на правото на Съюза, приложими към личните данни. По-конкретно в тази разпоредба се посочват директиви 95/46 и 97/66, които са заменени съответно с ОРЗД ( 81 ) и с Директива 2002/58/ЕО ( 82 ).

167.

Освен това съображение 14 от Директива 2000/31, което се отнася до проблематиката, посочена в член 1, параграф 5 от нея, гласи, че защитата на лицата по отношение на обработката на лични данни е уредена единствено от Директиви 95/46 и 97/66, „които са напълно приложими за услугите на информационното общество; тези директиви вече са установили правната рамка на [Съюза] в областта на личните данни и, следователно, не е необходимо този въпрос да бъде включван в [Директива 2000/31], за да се гарантира безпрепятственото функциониране на вътрешния пазар, и по-специално свободното движение на лични данни между държавите членки; изпълнението и прилагането на [последната] директива следва да се осъществява в пълно съответствие с принципите за защита на личните данни“.

168.

Съдът вече е разгледал тълкуването на член 1, параграф 5, буква б) от Директива 2000/31.

169.

Всъщност в решение Promusicae ( 83 ) Съдът най-напред повдига въпроса дали правото на ЕС налага на държавите членки да предвидят задължение за разкриване на лични данни в рамките на гражданско производство, за да осигурят ефективна защита на авторското право. В това дело запитващата юрисдикция се позовава на няколко директиви, които според нея биха могли да представляват правно основание за такова задължение.

170.

В това отношение Съдът е приел, че от член 1, параграф 5, буква б) от Директива 2000/31 следва, че подобно задължение, дори да се предположи, че е предвидено в тази директива, не може да засяга изискванията, свързани със защитата на личните данни ( 84 ). Следователно Съдът, изглежда, е изхождал от успоредното прилагане на посочената директива и актовете на правото на Съюза относно защитата на личните данни.

171.

След това в решение La Quadrature du Net и др. ( 85 ) Съдът е разгледал въпроса дали Директива 2000/31 допуска национална правна уредба, която задължава доставчиците на достъп до публични съобщителни услуги в интернет и доставчиците на хостинг услуги да съхраняват общо и неизбирателно личните данни, свързани с тези услуги. Запитващата юрисдикция е приела, че този въпрос се урежда от посочената директива и че член 15 от нея не въвежда сам по себе си принципна забрана за запазване на данни, свързани със създаването на съдържание, от която може само в краен случай да се допуска изключение ( 86 ).

172.

Съдът е приел, че Директива 2000/31 не е приложима в областта на защитата на поверителността на съобщенията и на физическите лица при обработването на лични данни в рамките на услугите на информационното общество, тъй като тази защита според случая се урежда от Директива 2002/58 или от ОРЗД ( 87 ).

173.

Категоричността на този отговор се дължи на контекста, в който е даден.

174.

Всъщност, от една страна, не трябва да се забравя, че съображение 15 от Директива 2000/31 се отнася конкретно до конфиденциалността на съобщенията и предвижда, че съгласно Директива 97/66, посочена в член 1, параграф 5, буква б) от Директива 2000/31 „държавите членки трябва да забраняват всякакъв вид засичания или контрол върху такива съобщения от други лица, освен от изпращачите и получателите, с изключение на случаите, когато това е разрешено от закона“. Директива 2002/58, която заменя Директива 97/66 потвърждава тази забрана и определя условията, при които държавите членки могат да се отклоняват от нея. По същия начин съгласно ОРЗД свободата на действие на държавите членки по отношение на дерогиращите мерки, свързани със защитата на личните данни, е определена в член 23 от този регламент.

175.

От друга страна, за да стигне до извода, припомнен в точка 171 от настоящото заключение, Съдът уточнява, че защитата на поверителността на съобщенията и на физическите лица при обработването на лични данни се урежда единствено от Директива 2002/58 или от ОРЗД, „като следва да се уточни, че защитата, която Директива 2000/31 цели да осигури, при всички положения не може да засяга изискванията, произтичащи от Директива 2002/58 и от [ОРЗД]“ ( 88 ).

176.

Следователно, от една страна, съдебната практика относно член 1, параграф 5, буква б) от Директива 2000/31 сочи, че тази директива не се прилага към въпроси, които са предмет на специална уредба в рамките на Директива 2002/58 и ОРЗД. От друга страна, Директива 2000/31 и правилата на правото на Съюза, приложими към личните данни, се прилагат успоредно по отношение на всеки друг въпрос, но разпоредбите на тази директива не могат да засягат изискванията, свързани със защитата на такива данни.

б)

По релевантните разпоредби на ОРЗД

177.

Тълкуването, което дадох в точка 176 от настоящото заключение, се потвърждава от член 2, параграф 4 от ОРЗД, който предвижда, че този регламент „не засяга“ прилагането на Директива 2000/31, и по-специално правилата относно отговорността на междинните доставчици на услуги, предвидени в членове 12—15 от тази директива ( 89 ).

178.

Макар че в терминологията на правото на Съюза констатацията, че даден правен акт или една от неговите разпоредби „не засяга“ приложението на друг акт, може да доведе до различни решения, ОРЗД уточнява, че не засяга приложението по-конкретно на специални разпоредби на Директива 2000/31. Следователно законодателят на Съюза е искал да подчертае, че този регламент не ограничава приложното поле на специалните разпоредби на тази директива. Поради това не може да се приеме, че ОРЗД има предимство пред Директива 2000/31, поради това че е приет след нея.

в)

Заключителни бележки

179.

С оглед на изложеното, и Директива 2000/31, както е тълкувана от Съда ( 90 ), и ОРЗД ( 91 ) са структурирани така, че да е възможно успоредното им прилагане към въпроси, които не са предмет на специална уредба в този регламент. Следователно остава да се определи дали ОРЗД съдържа разпоредба, чиято роля е сравнима с тази на член 14, параграф 1 от посочената директива.

180.

В това отношение член 82, параграф 3 от ОРЗД предвижда, че администраторът или обработващият лични данни, според случая, се освобождава отговорността за вреда, причинена от обработване, което нарушава този регламент, „ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата“. При нарушение на сигурността на лични данни, извършено от „трето лице“ по смисъла на член 4, точка 10 от посочения регламент, администраторът или обработващият лични данни може да се освободи от отговорност на основание член 82, параграф 3 от същия регламент, като докаже, че не е налице никаква причинно-следствена връзка между евентуалното нарушение от негова страна на задължението за защита на данните и претърпените от физическото лице вреди ( 92 ).

181.

Считам, че член 82, параграф 3 от ОРЗД не представлява разпоредба за освобождаване от отговорност, чиято роля е сравнима с тази на член 14, параграф 1 от Директива 2000/31.

182.

Всъщност член 14, параграф 1 от Директива 2000/31 се прилага само ако междинният доставчик, съгласно приложимите към него правила, може да носи отговорност за информацията, съхранявана по искане на потребителите на неговата посредническа услуга. Следователно въпросът за приложимостта на тази разпоредба възниква само ако са изпълнени предвидените в приложимите правила условия, при които този доставчик на услуги носи отговорност за съхраняваната информация. В това отношение условията за правото на обезщетение по член 82 от ОРЗД са определени в параграфи 1—3 от този член. Член 82, параграф 3 от този регламент въвежда само условие за освобождаване от отговорност ( 93 ). Всъщност ангажирането на отговорността на администратора по член 82 от посочения регламент е обусловено от неговата вина, която се презумира, освен ако последният докаже, че по никакъв начин не е отговорен за събитието, причинило вредите, по смисъла на параграф 3 ( 94 ).

183.

Поради това обработващият лични данни, чиято отговорност може да бъде ангажирана на основание член 82 от ДРЗП, не е изключен от възможността да се ползва от освобождаването от отговорност, предвидено в член 14, параграф 1 от Директива 2000/31.

184.

Не трябва обаче да се забравя, че отговорността на обработващия лични данни може да бъде ангажирана съгласно член 82, параграф 2, второ изречение от ОРЗД само когато не е изпълнил задълженията по този регламент, установени специално за обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях. Следователно задълженията и отговорностите на оператор на електронен пазар, действащ като обработващ лични данни по отношение на данните, съдържащи се в обявите, публикувани на неговата платформа, са свързани преди всичко с член 32 от посочения регламент ( 95 ).

185.

Както обаче вече споменах, не става ясно дали в главното производство отговорността на Russmedia за нарушение на ОРЗД може да бъде ангажирана съгласно член 82 от този регламент или по силата на националните разпоредби. Ако отговорността за нарушение на посочения регламент може да бъде ангажирана въз основа на национални разпоредби (при което член 82, параграф 3 от същия регламент не би бил приложим), основанията за изключване на съответния субект от правото да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31, са още по-малко.

186.

В заключение считам, че участник в обработването на лични данни в качеството на обработващ лични данни, чиято отговорност може да бъде ангажирана за нарушение на ОРЗД, може да се ползва от освобождаването от отговорност по член 14, параграф 1 от Директива 2000/31. Следователно заключението ми относно връзката между тези два акта на правото на Съюза не може да промени предложените от мен отговори на преюдициалните въпроси.

V.

Заключение

187.

С оглед на всички изложени по-горе съображения предлагам на Съда да отговори на поставените от Curtea de Apel Cluj (Апелативен съд Клуж, Румъния) преюдициални въпроси по следния начин: