I.

Indledning

1.

De præjudicielle spørgsmål i den foreliggende sag vedrører bestemmelserne i direktiv 2000/31/EF  ( 2 ) og forordning (EU) 2016/679  ( 3 ).

2.

Spørgsmålene udspringer af en tvist mellem en fysisk person og en operatør af en onlinemarkedsplads, hvor der var blevet indrykket en annonce uden den pågældende persons samtykke og med angivelse af, at denne person tilbød seksuelle ydelser. Det særlige ved denne sag beror på den omstændighed, at den pågældende annonce indeholdt personoplysninger.

3.

Den forelæggende ret ønsker med sine spørgsmål, der vedrører databeskyttelsesforordningen, i denne forbindelse oplyst dels, om en operatør af en onlinemarkedsplads såsom den i hovedsagen omhandlede har tilsidesat sine forpligtelser i henhold til denne forordning, dels om en sådan operatør kan omfattes af den ansvarsfritagelse, der er fastsat i artikel 14, stk. 1, i direktiv 2000/31, med hensyn til en annonce, der er blevet indrykket på den pågældende onlinemarkedsplads. Den foreliggende anmodning om præjudiciel afgørelse giver således Domstolen lejlighed til at tage stilling til forholdet mellem de ordninger, der er indført ved disse to EU-retsakter.

II.

Retsforskrifter

A.

EU-retten

1.

Direktiv 2000/31

4.

I artikel 1 i direktiv 2000/31 med overskriften »Formål og anvendelsesområde« bestemmes i stk. 5 bl.a., at dette direktiv »ikke [finder] anvendelse på spørgsmål, der vedrører informationssamfundstjenester omfattet af direktiv 95/46/EF [ ( 4 )] og 97/66/EF [ ( 5 )]«.

5.

Dette direktivs artikel 12, 13 og 14, som optræder i afdeling 4 med overskriften »Formidleransvar for tjenesteydere« i direktivets kapitel II, der selv har overskriften »Principper«, omhandler leverandører af informationssamfundstjenester, der henholdsvis udøver ren videreformidling (»mere conduit«), caching eller oplagring (»hosting«). Disse bestemmelser fastlægger ligeledes de betingelser, hvorunder sådanne tjenesteydere er fritaget for ansvar for information, der stammer fra brugere af deres tjenester.

6.

I henhold til stk. 1 i direktivets artikel 14, der har overskriften »Oplagring (»Hosting«)«:

7.

I samme direktivs artikel 15 med overskriften »Ingen generel overvågningsforpligtelse« fastsættes følgende:

2.

Databeskyttelsesforordningen

8.

I databeskyttelsesforordningens artikel 2 med overskriften »Materielt anvendelsesområde« foreskrives i stk. 4:

9.

Forordningens artikel 4 med overskriften »Definitioner« er affattet således:

10.

I forordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmes:

11.

I samme forordnings artikel 6 med overskriften »Lovlig behandling« forlyder det i stk. 1:

12.

Databeskyttelsesforordningens artikel 7 med overskriften »Betingelser for samtykke« bestemmer i stk. 1:

13.

Denne forordnings artikel 24-26 optræder i afdeling 1 med overskriften »Generelle forpligtelser« i forordningens kapitel IV, der selv har overskriften »Dataansvarlig og databehandler«.

14.

Forordningens artikel 24 med overskriften »Den dataansvarliges ansvar« fastsætter i stk. 1:

15.

Forordningens artikel 25 med overskriften »Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger« har i stk. 1 og 2 følgende ordlyd:

16.

I databeskyttelsesforordningens artikel 26 med overskriften »Fælles dataansvarlige« angives i stk. 1:

B.

Rumænsk ret

17.

Artikel 11 i Legea nr. 365/2002 privind comerțul electronic (lov nr. 365/2002 om elektronisk handel) af 7. juni 2002  ( 6 ), som ændret ved Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (lov nr. 121/2006 om ændring og supplering af lov nr. 365/2002 om elektronisk handel) af 4. maj 2006  ( 7 ) (herefter »lov nr. 365/2002«), fastsætter:

18.

I denne lovs artikel 14 med overskriften »Permanent oplagring af information, oplagring/hosting« bestemmes:

III.

De faktiske omstændigheder i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen

19.

Russmedia Digital SRL (herefter »Russmedia«), der er et rumænsk selskab, er ejer af onlinemarkedspladsen www.publi24.ro, hvor der gratis eller mod betaling kan indrykkes reklameannoncer vedrørende navnlig salg af varer eller levering af tjenesteydelser fra forskellige steder i Rumænien.

20.

Den 1. august 2018 indrykkede en uidentificeret person på denne onlinemarkedsplads en annonce, hvis indhold var nedværdigende og ærekrænkende over for sagsøgeren i hovedsagen, for så vidt som det heraf fremgik, at sidstnævnte tilbød seksuelle ydelser (herefter »den omtvistede annonce«). Annoncen indeholdt billeder af sagsøgeren i hovedsagen, der var brugt uden dennes samtykke, og som stammede fra den konto, som den pågældende lovligt var indehaver af på et socialt netværk, samt den pågældendes telefonnummer. Der blev ikke, inden annoncen blev indrykket, foretaget nogen kontrol med hensyn til identiteten på den person, der indrykkede den. Da Russmedia blev kontaktet af sagsøgeren i hovedsagen, fjernede selskabet annoncen fra sin onlinemarkedsplads mindre end en time senere. Den samme annonce blev ikke desto mindre med angivelse af den oprindelige kilde lagt ud online af andre websteder med reklameindhold, hvor den stadig er tilgængelig.

21.

Sagsøgeren i hovedsagen var af den opfattelse, at den omtvistede annonce krænkede vedkommendes rettigheder, og anlagde derfor sag mod Russmedia.

22.

Judecătoria Cluj-Napoca (retten i første instans i Cluj-Napoca, Rumænien) gav sagsøgeren i hovedsagen medhold og pålagde på grundlag af artikel 253 i Codul Civil (den civile lovbog, Rumænien)  ( 8 ) Russmedia at betale sagsøgeren i hovedsagen et beløb på 7 000 EUR for den ikke-økonomiske skade, som denne var blevet forvoldt ved krænkelsen af dennes ret til sit eget image, ære og omdømme, krænkelsen af dennes ret til privatlivets fred og utilbørlig behandling af personoplysninger. Den nævnte ret fandt nemlig, at den omtvistede annonce udgjorde en tilsidesættelse af de forpligtelser, som Russmedia var pålagt i henhold til databeskyttelsesforordningen. Den samme ret fandt, at den omstændighed, at Russmedia havde givet tilladelse til indrykningen og dernæst onlineformidlingen af annoncen, i alvorlig grad havde krænket sagsøgeren i hovedsagens rettigheder.

23.

Tribunalul Specializat Cluj (den særlige domstol i Cluj, Rumænien) gav Russmedia medhold i den appel, som dette selskab havde iværksat, og fastslog, at det af sagsøgeren i hovedsagen anlagte søgsmål var ugrundet med den begrundelse, at det pågældende selskab ikke var ophavsmand til den omtvistede annonce. Den nævnte domstol fandt, at Russmedia kun leverede en tjeneste til oplagring af annoncer og ikke var aktivt involveret »med hensyn til indholdet« heraf, og at ansvarsfritagelsen i artikel 14, stk. 1, i lov nr. 365/2002 under disse omstændigheder fandt anvendelse.

24.

Ifølge Tribunalul Specializat Cluj (den særlige domstol i Cluj) fjernede Russmedia nemlig den omtvistede annonce fra sin onlinemarkedsplads mindre end en time efter, at sagsøgeren i hovedsagen havde kontaktet selskabet. Den nævnte domstol fandt, at Russmedia var fritaget for sit ansvar for den påberåbte skade, da selskabet ikke var ophavsmand til den pågældende annonce, og da det under henvisning til artikel 11, stk. 3, og artikel 14, stk. 1, litra b), i lov nr. 365/2002 havde blokeret annoncen, så snart det fik kendskab til, at den kunne krænke sagsøgeren i hovedsagens rettigheder.

25.

For så vidt angår den dataansvarliges forpligtelse til at kontrollere, inden en annonce indrykkes, om ophavsmanden til denne har ret til at bruge de personoplysninger, der er indeholdt heri, fandt Tribunalul Specializat Cluj (den særlige domstol i Cluj) dernæst, at artikel 11 i gennemførelsesbestemmelserne til lov nr. 365/2002, hvorefter en leverandør af informationssamfundstjenester ikke er forpligtet til at kontrollere den information, der oplagres  ( 9 ), fandt anvendelse.

26.

Endelig fandt Tribunalul Specializat Cluj (den særlige domstol i Cluj), at det ikke kunne foreholdes Russmedia at have undladt at træffe foranstaltninger for at forhindre, at den omtvistede annonce blev formidlet online. Ifølge den nævnte domstol bestod den leverede tjeneste i at indrykke annoncen, og foranstaltningerne med henblik på at hindre offentlighedens adgang til den blev truffet, så snart sagsøgeren i hovedsagen underrettede Russmedia. Den samme domstol fandt derfor, at lov nr. 365/2002, som fritager det pågældende selskab for sit ansvar for ikke-økonomisk skade forvoldt af indholdet af de annoncer, som brugere indrykkede på webstedet www.publi24.ro, fandt anvendelse i det foreliggende tilfælde.

27.

Sagsøgeren i hovedsagen har iværksat appel til prøvelse af denne afgørelse ved Curtea de Apel Cluj (appeldomstolen i Cluj, Rumænien), som er den forelæggende ret.

28.

Sagsøgeren i hovedsagen har i forbindelse med sin appel navnlig gjort gældende, at lov nr. 365/2002 ikke er en særlig lov i forhold til databeskyttelsesforordningen, og at Tribunalul Specializat Cluj (den særlige domstol i Cluj) derfor burde have undersøgt Russmedias ansvar på baggrund af bestemmelserne i denne forordning.

29.

Sagsøgeren i hovedsagen har derudover anført, at Russmedias rolle ikke var begrænset til at stille en specifik teknisk anordning vedrørende adgang til oplagrings-/hostingserveren til rådighed for kunderne. Ifølge sagsøgeren i hovedsagen spillede dette selskab også en styrende rolle ved at være involveret i indholdet af annoncerne med henblik på god informationsstyring. Som administrator af det pågældende websted oplagrede og behandlede selskabet indholdet af informationen. Behandlingen og oplagringen af oplysningerne samt tilrådighedsstillelsen heraf for offentligheden i en bestemt form indebar såvel en analyse af de oplysninger og informationer, der var indeholdt i annoncerne, som den nødvendige forvaltning af disse for at sikre let adgang hertil for offentligheden, hvilket viser, at det pågældende selskab var direkte involveret. Følgelig finder artikel 14 i lov nr. 365/2002 ikke anvendelse i det foreliggende tilfælde. Sagsøgeren i hovedsagen er endvidere af den opfattelse, at den ansvarsfritagelse, der er fastsat i den nævnte bestemmelse, ikke finder anvendelse, hvis der fastslås ansvar i henhold til andre administrative retsakter såsom databeskyttelsesforordningen, hvilket ifølge sagsøgeren i hovedsagen gælder i det foreliggende tilfælde.

30.

Den forelæggende ret har fastslået, at Tribunalul Specializat Cluj (den særlige domstol i Cluj) ikke havde undersøgt, om bestemmelserne i databeskyttelsesforordningen fandt anvendelse under de foreliggende omstændigheder, og har derfor taget appellen til følge, ophævet den appellerede dom og antaget sagen til realitetsbehandling med henblik på fornyet appelafgørelse.

31.

Den forelæggende ret har i denne forbindelse anført, at der efter dennes opfattelse ikke består nogen forpligtelse for operatører af onlinemarkedspladser til på forhånd at kontrollere annoncer, der indrykkes af brugere. Den har ikke desto mindre gjort opmærksom på, at ifølge dommen i sagen L’Oréal m.fl.  ( 10 ) kan alene en operatør af en onlinemarkedsplads, der ikke udøver en aktiv rolle bestående i at yde bistand med henblik på at optimere eller fremme salgsudbuddene, påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31. Endvidere kan en operatør af en onlinemarkedsplads i henhold til den nævnte dom  ( 11 ) ikke påberåbe sig denne ansvarsfritagelse, såfremt han har haft kendskab til forhold og omstændigheder, som normalt ville få en påpasselig erhvervsdrivende til at indse, at de omhandlede salgsudbud var ulovlige, og, i den udstrækning han var bevidst herom, ikke handlede øjeblikkeligt. Ud fra denne betragtning kan en pressevirksomhed, som råder over et websted, hvorpå det offentliggør den elektroniske version af en avis, i henhold til dommen i sagen Papasavvas m.fl.  ( 12 ) heller ikke påberåbe sig en sådan ansvarsfritagelse, når virksomheden har kendskab til de offentliggjorte informationer og udøver kontrol hermed.

32.

Den forelæggende ret har gjort gældende, at der i Domstolens praksis udelukkende henvises til tilbud, der var blevet offentliggjort online, og hvor tilbuddenes ulovlige karakter var fremgået af en undersøgelse af forhold og omstændigheder, som udtrykkeligt var blevet meddelt den dataansvarlige efter indrykningen af den pågældende annonce. Derimod har Domstolen ifølge den forelæggende ret aldrig haft lejlighed til at beskæftige sig med en situation som den, der er genstand for den foreliggende sag. Den særlige karakter ved hovedsagen beror nemlig på den omstændighed, at indholdet af den annonce, der var blevet indrykket af en uidentificeret bruger, på det tidspunkt, hvor sagen blev indbragt for domstolene, var åbenbart ulovligt og dybt skadeligt for den berørte person. Det var således ifølge den forelæggende ret ikke et krav, at den dataansvarlige var blevet underrettet, for at den eventuelt ulovlige karakter af den offentliggjorte information kunne fastslås og analyseres.

33.

Endvidere har den forelæggende ret henledt opmærksomheden på det forhold, at den omtvistede annonce, selv om den efter sagsøgeren i hovedsagens underretning blev fjernet fra Russmedias websted, hvor den oprindeligt var blevet indrykket, blev gengivet i sin helhed af flere andre websteder med alle sagsøgeren i hovedsagens oplysninger og billeder med angivelse af den oprindelige kilde, men uden beskyttende foranstaltninger for så vidt angår personoplysninger. Skaden blev således til en vedvarende skade og foreligger for nuværende stadig.

34.

Den forelæggende ret har desuden anført, at de seksuelle ydelser, der henvises til i den omtvistede annonce, og som sagsøgeren i hovedsagen angiveligt tilbyder, kan være forbundet med alvorlige lovovertrædelser, som straffes i medfør af straffeloven, såsom fremmelse og udnyttelse af prostitution og menneskehandel.

35.

Endelig har den forelæggende ret henledt opmærksomheden på det forhold, at Russmedia, henset til de generelle betingelser for brug af selskabets onlinemarkedsplads, ikke synes at handle som simpel passiv bruger af oplysningerne. Selskabet har nemlig angivet, at det ikke gør en ejendomsret gældende over det leverede eller offentliggjorte, uploadede eller transmitterede indhold, men bevarer retten til at bruge indholdet, herunder retten til at kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte, overdrage til partnere og slette dette indhold til enhver tid, selv uden nogen gyldig grund hertil.

36.

Under disse omstændigheder har Curtea de Apel Cluj (appeldomstolen i Cluj) ved afgørelse af 15. juni 2023, indgået til Domstolen den 3. august 2023, besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

37.

Den rumænske regering og Europa-Kommissionen har indgivet skriftlige indlæg. Sagsøgeren i hovedsagen og Kommissionen har været repræsenteret i retsmødet, som blev afholdt den 2. juli 2024.

IV.

Bedømmelse

38.

Med det første spørgsmål søges det at fastslå, om Russmedia kan påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31, mens det andet til det fjerde spørgsmål vedrører spørgsmålet om, hvorvidt det pågældende selskab har tilsidesat sine forpligtelser i henhold til databeskyttelsesforordningen.

39.

Domstolen har tidligere anført, at artikel 14, stk. 1, i direktiv 2000/31, som er genstand for det første spørgsmål, har til formål at begrænse de tilfælde, hvor udbydere af formidlingsydelser i henhold til gældende national ret på området kan ifalde ansvar  ( 13 ). Jeg er af den opfattelse, at ansvarsfritagelsen i den nævnte bestemmelse, henset til udviklingen i EU-retten på dette område, også skal finde anvendelse, når en tjenesteyder ifalder ansvar på grundlag af bestemmelserne i EU-retten eller nationale bestemmelser til gennemførelse af denne  ( 14 ).

40.

Det fremgår af forelæggelsesafgørelsen, at Russmedia i tvisten i hovedsagen kan ifalde ansvar som følge af en overtrædelse af databeskyttelsesforordningen  ( 15 ). Under disse omstændigheder kan det i princippet synes ønskeligt først at undersøge det andet til det fjerde spørgsmål, hvormed den forelæggende ret ønsker fastslået, om Russmedia har tilsidesat sine forpligtelser i henhold til databeskyttelsesforordningen. Af hensyn til bedømmelsens klarhed vil jeg imidlertid undersøge spørgsmålene i den rækkefølge, hvori de er forelagt. Jeg vil således indledningsvis undersøge det problem, der rejses i forelæggelsesafgørelsen, ud fra direktiv 2000/31, idet jeg efterfølgende vil undersøge det ud fra databeskyttelsesforordningen. Endelig vil jeg i den sidste del af min bedømmelse undersøge forholdet mellem den nævnte forordning og det nævnte direktiv.

41.

Samtlige præjudicielle spørgsmål vedrører nemlig det mere grundlæggende spørgsmål om forholdet mellem bestemmelserne i direktiv 2000/31 og bestemmelserne i databeskyttelsesforordningen. Jeg vil undersøge dette spørgsmål efter at have fastlagt de relevante bestemmelser i de to EU-retsakter, eftersom de retlige kvalifikationer i henhold til de kategorier, der er fastsat i disse retsakter, er centrale for de fire præjudicielle spørgsmål.

A.

Det første spørgsmål

42.

Med det første spørgsmål ønsker den forelæggende ret oplyst, om artikel 14, stk. 1, i direktiv 2000/31 skal fortolkes således, at en udbyder af en informationssamfundstjeneste, som består i at stille en onlinemarkedsplads til rådighed for brugere, hvor der gratis eller mod betaling kan indrykkes annoncer, kan omfattes af ansvarsfritagelsen i denne bestemmelse, også når den pågældende tjenesteudbyder gennem de generelle betingelser for brug af sin onlinemarkedsplads angiver, at denne ikke gør en ejendomsret gældende over indholdet, men bevarer retten til at bruge det leverede eller offentliggjorte, uploadede eller transmitterede indhold, herunder retten til at kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte, overdrage til partnere og slette dette indhold til enhver tid, selv uden en grund hertil.

43.

Jeg vil således undersøge dette spørgsmål (afsnit 1), hvormed det nærmere bestemt søges at afgøre, om Russmedia kan kvalificeres som en »tjenesteyder, der leverer formidlingsydelser«, og som i princippet kan påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31. For så vidt som den forelæggende ret også synes at udtrykke tvivl med hensyn til, hvorvidt de i denne bestemmelse fastsatte betingelser for ansvarsfritagelse i et konkret tilfælde, henset til den særlige karakter ved tvisten i hovedsagen, er opfyldt i det foreliggende tilfælde, vil jeg for fuldstændighedens skyld ligeledes undersøge dette spørgsmål (afsnit 2).

1.

Om begrebet »tjenesteyder, der leverer formidlingsydelser«

a)

Rækkevidden af og forudsætningerne for spørgsmålet

44.

Det er efter min opfattelse vigtigt at fremhæve såvel den forudsætning, hvorpå det første spørgsmål hviler, som rækkevidden af dette.

45.

Som jeg har anført  ( 16 ), fastsætter artikel 12, 13 og 14 i direktiv 2000/31 i denne henseende for det første en række ansvarsfritagelser, som finder anvendelse, når de tjenester, der ydes af leverandører af informationssamfundstjenester, vedrører henholdsvis ren videreformidling (»mere conduit«), caching og oplagring (»hosting«).

46.

Selv om der i det første spørgsmål henvises til disse tre bestemmelser, har den forelæggende ret ladet forstå, at Russmedia leverer en tjeneste, der består i oplagring/hosting af information, som leveres af brugere. Desuden synes artikel 14 i lov nr. 365/2002, hvis anvendelighed har været genstand for forhandling ved de nationale retter  ( 17 ), at være en gennemførelse af artikel 14 i direktiv 2000/31, som vedrører en oplagrings-/hostingtjeneste. Jeg er derfor af den opfattelse, at det første spørgsmål omhandler denne bestemmelse i EU-retten, og at den forelæggende rets foreløbige antagelse er, at den tjeneste, som Russmedia leverer, udgør en informationssamfundstjeneste og principielt består i oplagring/hosting af information, der leveres af brugere af selskabets onlinemarkedsplads.

47.

Hvad for det andet angår rækkevidden af det første spørgsmål tyder den forsigtige formulering heraf på, at den forelæggende ret ikke har taget stilling til, hvilken rolle Russmedia spiller i forbindelse med leveringen af selskabets oplagrings-/hostingtjeneste. Det fremgår nemlig af spørgsmålet, at konstateringen af, at Russmedias rolle er rent teknisk, følger af udtalelser fremsat af selskabet  ( 18 ). Selv om den forelæggende ret ikke synes at rejse tvivl om den pågældende udtalelse, vil jeg ikke desto mindre undersøge den nærmere, da dens rigtighed i høj grad er blevet bestridt af sagsøgeren i hovedsagen  ( 19 ).

48.

Endelig og for det tredje har den forelæggende ret anført, at Russmedia »ikke synes at handle som simpel passiv bruger af oplysningerne (tjenesteyder, der leverer formidlingsydelser), eftersom [selskabet] har angivet, at det ikke gør en ejendomsret gældende over det leverede eller offentliggjorte, uploadede eller transmitterede indhold, men bevarer retten til at bruge indholdet«. Formuleringen af det første spørgsmål afspejler denne bekymring fra den forelæggende rets side. Sigtet med spørgsmålet er nemlig at få oplyst, om »en udbyder [...], som stiller [en onlinemarkedsplads] til rådighed for brugere, men som gennem de generelle betingelser for brug af webstedet angiver, [at denne] bevarer retten til at bruge indholdet«, kan omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

49.

Angivelserne i forelæggelsesafgørelsen af, at Russmedias aktivitet udelukkende er teknisk eller passiv, henviser til Domstolens praksis, hvorefter ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31 kun vedrører det tilfælde, hvor den adfærd, som udbyderen udviser, begrænser sig til en »formidlingsydelse« i den betydning, hvori udtrykket er anvendt af lovgiver inden for rammerne af afdeling 4 i dette direktivs kapitel II. Det fremgår nemlig i denne henseende af 42. betragtning til samme direktiv, at de fritagelser for ansvar, der er fastlagt i direktivet, kun omfatter de tilfælde, hvor en informationssamfundstjenesteyders aktivitet udelukkende er teknisk, automatisk og passiv, hvilket indebærer, at denne tjenesteyder hverken har kendskab til eller kontrol over de informationer, der transmitteres eller oplagres  ( 20 ). Det er på baggrund af denne retspraksis, at det første spørgsmål skal undersøges.

b)

Hvilken rolle operatøren af en onlinemarkedsplads spiller

50.

Selv om den forelæggende ret ikke har givet detaljerede oplysninger om, hvorledes Russmedias onlinemarkedsplads fungerer, fremgår det, at dette selskab varetager opsætningen af annoncerne og gratis eller mod betaling indrykker dem på sin onlinemarkedsplads, hvor annoncerne inddeles i forskellige kategorier valgt af annoncørerne, og hvor øvrige brugere kan foretage søgninger ved hjælp af en almindelig søgemaskine og gruppere resultaterne. For at kunne indrykke en annonce online skal en annoncør registrere sig hos Russmedia. Den pågældendes identitet kontrolleres hverken på registreringstidspunktet eller på tidspunktet for indrykningen af annoncen. Der er her tale om den fremstilling af, hvorledes den pågældende onlinemarkedsplads fungerer, som fremgår af forelæggelsesafgørelsen, af parternes skriftlige indlæg og af indlæggene i retsmødet samt af mine egne undersøgelser. Det tilkommer den forelæggende ret at efterprøve, om denne fremstilling er korrekt, inden der træffes afgørelse i hovedsagen.

51.

I en sag, der involverede en operatør af en onlinemarkedsplads, præciserede Domstolen, at det for at efterprøve, om den pågældende operatør kan være fritaget for sit ansvar på grundlag af artikel 14 i direktiv 2000/31, skal undersøges, om han begrænser sig til at levere sine ydelser neutralt gennem en rent teknisk og automatisk behandling af de informationer, som hans kunder forsyner ham med, eller om han spiller en aktiv rolle, som giver ham kendskab til eller kontrol med disse oplysninger  ( 21 ).

52.

Domstolen fastslog i denne forbindelse, at den omstændighed alene, at operatøren af en onlinemarkedsplads lagrer salgsudbud på sin server, fastsætter betingelser for levering af sine ydelser, oppebærer betaling herfor og giver en række generelle oplysninger til sine klienter, ikke kan have til følge, at han ikke omfattes af de undtagelser fra ansvar, som er fastsat i direktiv 2000/31  ( 22 ).

53.

For så vidt angår én af de i artikel 14, stk. 1, i direktiv 2000/31 fastsatte betingelser for, at en tjenesteyder, der leverer formidlingsydelser, kan fritages for ansvar, og som jeg vender tilbage til senere  ( 23 ), har Domstolen desuden fastslået, at den omstændighed, at en operatør af en onlineplatform til deling af indhold foretager en automatiseret indeksering af det indhold, der uploades på denne platform, at den nævnte platform har en søgefunktion, og at den anbefaler videoer i forhold til brugernes profil eller præferencer, ikke er tilstrækkelig til at fastslå, at denne betingelse ikke er opfyldt  ( 24 ). Så meget desto mere kan denne omstændighed ligeledes ikke fratage en sådan operatør muligheden for at påberåbe sig ansvarsfritagelsen i denne bestemmelse. Spørgsmålet om, hvorvidt de i dette direktivs artikel 14, stk. 1, litra a) og b), fastsatte betingelser for ansvarsfritagelse er opfyldt, opstår nemlig kun, hvis den pågældende tjenesteyder kan kvalificeres som en »hostingudbyder, der påtager sig en neutral rolle«, for så vidt angår den information, som den pågældende oplagrer, og i princippet kan påberåbe sig denne fritagelse.

54.

Det fremgår således fra et tidligt tidspunkt, at Russmedia spiller en neutral rolle for så vidt angår information oplagret på anmodning af annoncørerne, og at dette selskab kan påberåbe sig fritagelsen i artikel 14, stk. 1, i direktiv 2000/31. Der er herefter anledning til at fjerne den forelæggende rets tvivl, som er afspejlet i formuleringen af det første spørgsmål, hvormed det nærmere bestemt søges afgjort, hvorvidt de generelle betingelser for brug af en onlinemarkedsplads eller de handlinger, som operatøren af denne markedsplads konkret foretager, skal tillægges en afgørende rolle ved undersøgelsen af, om den nævnte fritagelse finder anvendelse.

c)

Relevansen af de generelle betingelser for brug

55.

Jeg minder om, at Russmedia i overensstemmelse med de generelle betingelser for brug af selskabets onlinemarkedsplads ikke har gjort en ejendomsret gældende over indholdet, men har forbeholdt sig retten til at bruge det leverede eller offentliggjorte, uploadede eller transmitterede indhold, herunder retten til at kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte, overdrage til partnere og slette dette indhold til enhver tid, selv uden en grund hertil.

56.

Jeg noterer indledningsvis, at tvisten i hovedsagen ikke vedrører en skade, der var blevet forvoldt sagsøgeren i hovedsagen ved, at Russmedia var involveret i den omtvistede annonce, som var tilgængelig på selskabets onlinemarkedsplads. Der er således i det foreliggende tilfælde ikke tale om en situation, hvor skaden er et resultat af indhold, der er leveret af en bruger af en onlinemarkedsplads, og som er ændret eller behandlet af operatøren af denne markedsplads.

57.

Efter at have fastslået dette skal det anføres, at Russmedia under hensyntagen til de generelle betingelser for brug af selskabets onlinemarkedsplads ikke synes at have nogen forpligtelse over for annoncørerne for så vidt angår udarbejdelsen eller præsentationen af indholdet af de annoncer, der oplagres på anmodning af annoncørerne. Selskabet forbeholder sig derimod retten til at bruge denne information, selv uden en grund hertil.

58.

Selv om de generelle betingelser for brug af en onlinemarkedsplads kan fastlægge, hvorledes en informationssamfundstjeneste fungerer, og gøre det muligt at forstå, hvilken rolle en informationssamfundstjenesteyder spiller, kan de kontraktbestemmelser, som denne tjenesteyder uden at være forpligtet hertil kan handle efter for så vidt angår den oplagrede information, i så henseende ikke i sig selv være af afgørende betydning, når spørgsmålet om, hvorvidt den nævnte tjenesteyders rolle er neutral, opstår. Domstolen har nemlig i sin praksis henledt opmærksomheden på informationssamfundstjenesteyderens konkrete involvering i udarbejdelsen og præsentationen af den information, som leveres af brugere af tjenesten. Derimod skal der ved undersøgelsen af, om ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31 finder anvendelse, ses bort fra handlinger, som en tjenesteyder i henhold til de generelle betingelser for brug af sin platform har tilladelse til at foretage, men som den pågældende ikke i praksis foretager. I forbindelse med denne undersøgelse skal der med andre ord tages hensyn til de handlinger, som udbyderen af en sådan tjeneste konkret foretager.

59.

Mere specifikt har Domstolen fastslået, at såfremt operatøren af en onlinemarkedsplads yder bistand bestående i bl.a. at optimere eller fremme de omhandlede salgsudbud, skal det bemærkes, at han ikke har haft en neutral rolle i forholdet mellem sine kunder, der er sælgere, og potentielle købere, men har udøvet en aktiv rolle, som giver ham kendskab til eller kontrol over de lagrede informationer vedrørende disse salgsudbud  ( 25 ). På samme måde har Domstolen i det væsentlige fastslået, at en pressevirksomhed ikke kan påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31 for så vidt angår informationer, der er indeholdt i den elektroniske udgave af den trykte avis, som det pågældende selskab udgiver, da dette selskab i princippet har kendskab til de informationer, det offentliggør, og udøver en kontrol hermed  ( 26 ).

60.

Sammenfattende kan det anføres, at i de uddrag fra retspraksis, som jeg har henvist til ovenfor, indebar de nærmere bestemmelser for, hvorledes en onlinemarkedsplads fungerer, forudgående kendskab til og kontrol med den oplagrede information. Derimod er der, således som Kommissionen har påpeget i retsmødet, i det foreliggende tilfælde intet, der tyder på, at Russmedia er involveret i skabelsen, optimeringen eller præsentationen af annoncerne, eller at selskabet, inden annoncerne indrykkes, kontrollerer det individuelle indhold heraf. Den kontrol, som dette selskab kan udøve i henhold til de generelle betingelser for brug af dets onlinemarkedsplads, er udelukkende en mulighed og kan kun finde sted efterfølgende. Det fremgår i øvrigt, at Russmedia ikke har kendskab til den oplagrede information på en måde, der kan begrunde, at dette selskab skal udelukkes fra at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

61.

Som Kommissionen har påpeget, er generelle betingelser for brug af en platform, som svarer til Russmedias betingelser, desuden ikke usædvanlige for formidlingsydelser  ( 27 ). Det skal i denne forbindelse noteres, at den omstændighed, at en tjenesteyder, der leverer formidlingsydelser, forbeholder sig retten til at bruge information leveret af brugere af tjenesten, indgår som led i den vigtige rolle, som tjenesteydere, der leverer formidlingsydelser, spiller i bekæmpelsen af ulovligt onlineindhold.

62.

For at opfylde de i artikel 14, stk. 1, litra a) og b), i direktiv 2000/31 fastsatte betingelser for, at en tjenesteyder, der leverer formidlingsydelser, kan fritages for ansvar, skal en sådan tjenesteyder nemlig, så snart der opdages ulovligt indhold, reagere og fjerne eller blokere dette indhold. Tjenesteyderen kan, navnlig for at vise sin evne til at foretage en sådan handling, forbeholde sig retten til at fjerne sådant indhold til enhver tid.

63.

Under disse omstændigheder kan den omstændighed, at Russmedia i de generelle betingelser for brug af sin onlinemarkedsplads forbeholder sig retten til at bruge indhold, der oplagres på anmodning af brugere af tjenesten, ikke udelukke dette selskab fra at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

d)

Foreløbig konklusion

64.

Henset til det ovenstående foreslår jeg, at det første spørgsmål besvares med, at artikel 14, stk. 1, i direktiv 2000/31 skal fortolkes således, at en udbyder af en informationssamfundstjeneste, som består i at stille en onlinemarkedsplads til rådighed for brugere, hvor der gratis eller mod betaling kan indrykkes annoncer, kan omfattes af ansvarsfritagelsen i denne bestemmelse, også når den pågældende tjenesteudbyder gennem de generelle betingelser for brug af sin onlinemarkedsplads angiver, at denne ikke gør en ejendomsret gældende over indholdet, men bevarer retten til at bruge det leverede eller offentliggjorte, uploadede eller transmitterede indhold, herunder retten til at kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte, overdrage til partnere og slette dette indhold til enhver tid, selv uden en grund hertil, forudsat at tjenesteudbyderen ikke træffer foranstaltninger, hvorved den pågældende fortaber sin egenskab af neutral hostingudbyder.

65.

Det skal for fuldstændighedens skyld undersøges, om betingelserne for en sådan fritagelse, henset til den særlige karakter ved tvisten i hovedsagen, er opfyldt i det foreliggende tilfælde.

2.

Om betingelserne for, at en tjenesteyder, der leverer formidlingsydelser, kan fritages for ansvar

66.

I forelæggelsesafgørelsen fremhæves de særlige omstændigheder, der kendetegner den foreliggende sag, og som synes at være knyttet til de betingelser, der i henhold til artikel 14, stk. 1, i direktiv 2000/31 gælder for fritagelse for ansvar for den information, der oplagres. Den forelæggende ret har nemlig henledt Domstolens opmærksomhed på, at den omtvistede annonce er åbenbart ulovlig og dybt skadelig, og at den er tilgængelig på flere andre websteder, som har gengivet den.

a)

Den åbenbart ulovlige karakter af den oplagrede information

1)

Identifikation af åbenbart ulovligt indhold

67.

Den forelæggende ret har påpeget, at det ikke burde have været nødvendigt at meddele Russmedia det ulovlige indhold, for at gøre det muligt for selskabet at identificere og analysere, om den information, der blev offentliggjort, kunne være ulovlig. Ifølge den nævnte ret er indholdet af den omtvistede annonce nemlig åbenbart ulovligt og dybt skadeligt for sagsøgeren i hovedsagen. Den forelæggende ret synes dermed at tage udgangspunkt i den forudsætning, at Russmedia som følge af denne klart ulovlige karakter burde have haft kendskab til den pågældende annonce og det ulovlige indhold heraf. For at kunne omfattes af ansvarsfritagelsen burde Russmedia således – straks og uden at afvente anmodning herom – have fjernet annoncen eller hindret adgangen til den i overensstemmelse med artikel 14, stk. 1, litra b), i direktiv 2000/31.

68.

Artikel 14, stk. 1, litra a), i direktiv 2000/31 har til formål at fritage hostingudbyderen for sit ansvar for den oplagrede information, når den pågældende ikke har kendskab til den ulovlige aktivitet eller information. Såfremt en hostingudbyders ansvar påberåbes i forbindelse med et erstatningssøgsmål, såsom i det foreliggende tilfælde, træder en strengere betingelse for ansvarsfritagelse i anvendelse. I et sådant tilfælde udelukkes tjenesteyderen fra at kunne omfattes af ansvarsfritagelsen i dette direktivs artikel 14, stk. 1, såfremt han får kendskab til forhold eller omstændigheder, som ville have fået en påpasselig erhvervsdrivende til at opdage ulovlighederne, og ikke agerer som foreskrevet i direktivets artikel 14, stk. 1, litra b)  ( 28 ). Således som det kræves i direktiv 2000/31, skal den ulovlige karakter af aktiviteten eller informationen nemlig »fremgå«, eller denne skal med andre ord nemt kunne konstateres  ( 29 ).

69.

Tjenesteyderen kan imidlertid kun fortabe retten til at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31, såfremt den pågældende konkret får kendskab til forhold eller omstændigheder, som ville gøre det muligt for en påpasselig erhvervsdrivende objektivt at indse, at aktiviteten eller informationen er ulovlig. Uafhængigt af, om der er tale om et erstatningssøgsmål, er det nemlig ikke tilstrækkeligt, at leverandøren generelt er bevidst om, at dennes tjeneste ligeledes bruges til at dele ulovligt indhold. Tjenesteyderen skal have kendskab til forhold eller omstændigheder, der henviser til konkrete ulovlige aktiviteter og informationer  ( 30 ).

70.

Betingelsen i artikel 14, stk. 1, litra a), i direktiv 2000/31 er således ikke opfyldt, når tjenesteyderen på grundlag af information, som han råder over, indser eller er uvidende om, at de lagrede oplysninger er ulovlige, eller tager fejl med hensyn til disse oplysningers lovlighed. Mens den ulovlige karakter af en information eller aktivitet skal vurderes objektivt i henhold til kriteriet om den påpasselige erhvervsdrivende, skal kendskabet til forhold, der tyder på sådan ulovlighed, nemlig i princippet vurderes under hensyntagen til den information, som den pågældende tjenesteyder konkret råder over.

71.

Under disse omstændigheder kan det ikke formodes, at operatøren af en onlinemarkedsplads har kendskab til indholdet af enhver ulovlig og skadelig annonce. Desuden ville indførelsen af en sådan formodning være ensbetydende med at forpligte operatøren til aktivt at overvåge alle data vedrørende hver enkelt af sine annoncører for at identificere annoncer, der er åbenbart ulovlige og skadelige. En sådan overvågningsforpligtelse er efter min opfattelse vanskelig at forene med logikken i direktiv 2000/31.

72.

En sådan overvågningsforpligtelse indført »ad bagvejen« ville nemlig være i strid med artikel 15, stk. 1, i direktiv 2000/31, som fastsætter, at medlemsstaterne ikke må pålægge hostingudbyderne en generel forpligtelse til at overvåge den information, de oplagrer, eller en generel forpligtelse til aktivt at undersøge forhold eller omstændigheder, der tyder på ulovlig virksomhed. En hostingudbyder kan således ikke være forpligtet til generelt at overvåge den information, som han oplagrer, på grundlag af nationale foranstaltninger  ( 31 ).

73.

Følgelig kan betingelsen i artikel 14, stk. 1, litra a), i direktiv 2000/31 ikke anses for ikke at være opfyldt alene med den begrundelse, at en annonce, der er indrykket på en onlinemarkedsplads, er åbenbart ulovlig og dybt skadelig for den person, som er berørt af annoncen. For fuldstændighedens skyld skal det tilføjes, at der i direktiv 2000/31 ikke ses bort fra den situation, hvor en udbyder af en oplagrings-/hostingtjeneste anvender en forretningsmæssig eller organisatorisk model, som tilskynder til eller fremmer udbredelsen af ulovligt indhold.

2)

En platform, der er involveret i ulovlige handlinger

74.

Det skal anføres, at det af 44. betragtning til direktiv 2000/31 fremgår, at en tjenesteyder, der bevidst samarbejder med en tjenestemodtager om at begå ulovlige handlinger, overskrider grænserne for ren videreformidling eller caching, som er omhandlet i henholdsvis direktivets artikel 12 og 13. Den pågældende tjenesteyder kan derfor ikke omfattes af de ansvarsfritagelser, der er fastsat for denne type aktiviteter. Selv om denne betragtning ikke nævner oplagring/hosting, som er omhandlet i direktivets artikel 14, er der ingen grund til, at det samme ræsonnement ikke skulle gælde for denne aktivitet. Domstolen fastslog nemlig i YouTube og Cyando-dommen  ( 32 ), at en operatør af en onlineplatform, der ud over den blotte tilrådighedsstillelse af platformen bidrager til at give almenheden adgang til indhold i strid med ophavsretten, ikke kan anses for at være en neutral hostingudbyder, som kan omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

75.

I den nævnte dom syntes Domstolen med henblik på at afgøre, om en operatør gav almenheden en sådan adgang, indirekte at støtte sig på sin analyse af begrebet »overføringshandling« som omhandlet i direktiv 2001/29/EF  ( 33 ). I henhold til denne analyse, som er inspireret af Domstolens dom vedrørende delingsplatformen The Pirate Bay  ( 34 ), giver en operatør en sådan adgang, når han med fuldt kendskab til konsekvenserne af sine handlinger medvirker til ulovlig overføring af beskyttet indhold, som foretages af brugere af den pågældendes platform for at give andre internetbrugere adgang til sådant indhold. Ifølge Domstolen skal der for at afgøre, om dette er tilfældet, tages hensyn til samtlige forhold, der kendetegner den pågældende situation, og som gør det muligt direkte eller indirekte at drage konklusioner med hensyn til, hvorvidt operatørens medvirken til den ulovlige overføring af det nævnte indhold er bevidst eller ej.

76.

Hvis denne tilgang overføres til omstændighederne i den foreliggende sag, vil det være ensbetydende med, at operatøren af en onlinemarkedsplads, der har anvendt en forretningsmæssig og/eller organisatorisk model, som tilskynder brugerne af den pågældende platform til at udbrede åbenbart ulovligt og dybt skadeligt indhold, eller som fremmer og letter ubegrænset og ukontrolleret udbredelse af sådant indhold, vil fortabe sin egenskab af neutral hostingudbyder som omhandlet i artikel 14, stk. 1, i direktiv 2000/31. Der er imidlertid intet, der tyder på, at Russmedia har anvendt en sådan model.

3)

Udviklingen i EU-retten hvad angår moderation af onlineindhold

77.

Det kan hævdes, at den betragtning, hvorefter direktiv 2000/31 – principielt og med forbehold af usædvanlige omstændigheder  ( 35 ) – ikke forpligter udbydere af oplagrings-/hostingtjenester til at afsløre ethvert indhold, der er åbenbart ulovligt og dybt skadeligt, kan forekomme ufyldestgørende i betragtning af de risici, som udbredelsen af sådant indhold kan give anledning til med hensyn til rettighederne for sådanne udbyderes brugere og for tredjemand.

78.

Som jeg har noteret i anden sammenhæng  ( 36 ), er direktiv 2000/31 imidlertid et produkt af sin tid, og EU-lovgiver ønskede at indføre en grundordning, der specifikt beskytter den frie bevægelighed for informationssamfundstjenester. Direktivet begrænser sig derfor til at pålægge enhver leverandør af informationssamfundstjenester en række oplysningsforpligtelser  ( 37 ), uden at der sondres mellem de forskellige kategorier af oplagrings-/hostingtjenester. Dette direktiv er nemlig støttet på den logik, hvorefter medlemsstaterne inden for de grænser, der fastsættes i direktivet, indfører forpligtelser, som tjenesteydere etableret på deres territorier skal overholde. Navnlig er medlemsstaternes manøvremargin begrænset af det forbud mod at pålægge en generel overvågningsforpligtelse, som er fastsat i samme direktivs artikel 15.

79.

Den grundordning, der blev indført ved direktiv 2000/31, er gradvist blevet suppleret ved sektorspecifikke retsakter, som kræver indførelse af passende foranstaltninger for at beskytte visse kategorier af brugere mod specifikt indhold, såsom terrorrelateret indhold eller børnepornografisk indhold  ( 38 ).

80.

EU-lovgiver ændrede for nylig i vid udstrækning de retlige rammer, der gælder for onlineplatforme. Digital Services Act sondrer nemlig mellem platformenes forpligtelser ud fra visse kriterier og regulerer ligeledes i et vist omfang spørgsmålet om moderation af ulovligt indhold  ( 39 ). Den foreliggende sag er imidlertid ikke omfattet af disse nye retlige rammer, og Domstolen bør efter min opfattelse ikke gennem retspraksis indføre en forpligtelse, som ikke alene ikke er foreskrevet i direktiv 2000/31, der finder anvendelse på de faktiske omstændigheder i hovedsagen, men som ydermere er i strid med artikel 15 heri.

b)

Viderespredning af indholdet af indrykkede annoncer

81.

Et andet aspekt, som den forelæggende ret har henledt Domstolens opmærksomhed på, vedrører den omstændighed, at selv om Russmedia fjernede den omtvistede annonce fra sin onlinemarkedsplads, efter at sagsøgeren i hovedsagen havde anmodet herom, er annoncen stadig tilgængelig på flere andre websteder, som har overtaget den fra Russmedias onlinemarkedsplads med angivelse af den oprindelige kilde. Den forelæggende ret har ikke direkte forelagt et spørgsmål vedrørende denne omstændighed ud fra direktiv 2000/31. Den har derimod henvist hertil inden for rammerne af det fjerde spørgsmål, som vedrører de foranstaltninger, der kræves i henhold til databeskyttelsesforordningen for at sikre behandlingssikkerhed i forbindelse med personoplysninger. Den nævnte omstændighed er imidlertid som svar på Domstolens spørgsmål blevet drøftet af parterne i retsmødet i forbindelse med den betingelse for ansvarsfritagelse, der er fastsat i direktivets artikel 14, stk. 1, litra b). Under hensyntagen til disse betragtninger og med henblik på at give den forelæggende ret en hensigtsmæssig besvarelse vil jeg undersøge, hvorvidt betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31 er opfyldt, når hostingudbyderen efter at have fået kendskab til forhold eller omstændigheder, der gør det muligt let at fastslå, at den information, der oplagres, er ulovlig, straks fjerner den pågældende information fra sit websted, men informationen stadig er tilgængelig på andre websteder, som har overtaget den fra hostingudbyderens websted.

82.

Den forelæggende ret har i denne henseende ikke præciseret, om den omtvistede annonce er blevet viderespredt til operatørerne af andre websteder af Russmedia, eller om den er blevet kopieret af disse operatører, uden at Russmedia har haft kendskab hertil. Dette spørgsmål er blevet drøftet i retsmødet. Jeg vil med henblik på at give den forelæggende ret en hensigtsmæssig besvarelse undersøge disse to situationer.

1)

Partneres gengivelse af den omtvistede annonce

83.

Kommissionen har i retsmødet henvist til en situation, hvor Russmedia angiveligt i overensstemmelse med de generelle betingelser for brug af selskabets onlinemarkedsplads transmitterer annoncer, der er blevet indrykket på denne markedsplads, til partnere, som selskabet er kontraktmæssigt knyttet til, og som er opregnet på selskabets websted og dermed kendt af annoncørerne.

84.

Der kan sættes spørgsmålstegn ved, hvorvidt den tjeneste, som operatøren af en onlinemarkedsplads leverer, i et sådant tilfælde består i neutral oplagring/hosting af information oplagret på anmodning af en tjenestemodtager. Det skal nemlig erindres, at artikel 14, stk. 1, i direktiv 2000/31 kun finder anvendelse, hvis tjenesteyderen leverer en sådan tjeneste.

85.

Jeg noterer i denne henseende, at når operatøren af en onlinemarkedsplads på en individualiseret og/eller menneskeligt assisteret måde transmitterer information, der er leveret af en tjenestemodtager, til sine partnere, med henblik på, at disse offentliggør informationen på andre websteder, er den pågældende operatørs rolle beslægtet med den rolle, som en ophavsmand til informationen ville have. I et sådant tilfælde er jeg i tvivl om, hvorvidt denne operatørs tjeneste fuldt ud henhører under artikel 14, stk. 1, i direktiv 2000/31. Når derimod information oplagret på anmodning af en bruger gengives af operatørerne af andre websteder, og førstnævnte operatørs rolle i forbindelse med transmissionen er rent teknisk og automatiseret, kan det lægges til grund, at den nævnte bestemmelse fuldt ud finder anvendelse på denne operatør.

86.

Når dette er sagt, indeholder forelæggelsesafgørelsen ikke faktuelle oplysninger, som gør det muligt at afgøre, hvilken af disse to hypoteser der svarer til situationen i hovedsagen. Hvad vigtigere er, opstår spørgsmålet om, hvorvidt betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31 er opfyldt, kun, hvis Russmedia kan kvalificeres som en »hostingudbyder« som omhandlet i denne bestemmelse. Jeg vil derfor undersøge den betingelse, der er fastsat i dette direktivs artikel 14, stk. 1, litra b), idet jeg tager udgangspunkt i den forudsætning, at Russmedia er en hostingudbyder i denne bestemmelses forstand, og at den omtvistede annonce er blevet gengivet af dette selskabs partnere under de betingelser, som Kommissionen har nævnt i retsmødet  ( 40 ).

87.

I denne forbindelse fastsættes i artikel 14, stk. 1, litra b), i direktiv 2000/31 i ordlydsmæssig henseende, at hostingudbyderen for at være omfattet af ansvarsfritagelsen straks skal tage skridt til at fjerne den ulovlige information eller hindre adgangen til den. Denne bestemmelse begrænser sig således ikke til at angive, at hostingudbyderen skal fjerne ulovlig information eller hindre adgangen til den. Lovgiver har nemlig valgt en åben formulering, hvorefter en tjenesteudbyder i det væsentlige straks skal bringe en ulovlig handling, der foretages via eller på dennes tjeneste, til ophør.

88.

Formuleringen af denne betingelse kan ganske vist forstås således, at EU-lovgiver ikke havde til sigte at fastsætte konkrete resultater, der skulle opnås, men alene at sikre, at der blev iværksat bestræbelser i så henseende. Den åbne formulering af artikel 14, stk. 1, litra b), i direktiv 2000/31 overlader imidlertid en tjenesteyder en vis manøvremargin (»fjerne informationen eller hindre adgangen til den«), som gør det muligt for ham at vedtage en passende, forholdsmæssig og effektiv foranstaltning. En sådan fortolkning af denne bestemmelse gør sig gældende under hensyntagen til flere betragtninger til dette direktiv.

89.

Det fremgår nemlig af 46. betragtning til direktiv 2000/31, at fjernelsen af informationen skal foretages i overensstemmelse med »procedurer, der er fastlagt på nationalt plan med henblik herpå«, og at dette direktiv »[ikke] berører [...] medlemsstaternes mulighed for at fastsætte specifikke krav, som skal opfyldes straks, inden informationen fjernes, eller adgangen til den hindres«. Der er imidlertid intet, der tyder på, at der er blevet fastlagt sådanne procedurer og krav i den nationale lovgivning, som finder anvendelse.

90.

Under alle omstændigheder forlyder det i 41. betragtning til direktiv 2000/31, at dette direktiv skaber balance mellem de berørte interesser og indfører principper, som aftaler og normer inden for denne sektor kan baseres på. Hvad mere specifikt angår betingelsen i direktivets artikel 14, stk. 1, litra b), angives det i 46. betragtning hertil, at tjenesteyderen skal foretage fjernelsen af informationen eller hindringen af adgangen til den under overholdelse af ytringsfriheden. Domstolen har i denne henseende præciseret, at ansvarsfritagelsen i direktivets artikel 14, stk. 1, udgør et udtryk for den balance, som dette direktiv har til formål at indføre mellem de berørte interesser, herunder overholdelse af ytringsfriheden, der er sikret ved artikel 11 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«)  ( 41 ).

91.

Jeg udleder heraf, at for at betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31 kan anses for at være opfyldt, skal fjernelsen af den ulovlige information foretages under hensyntagen til behovet for at forene de krav, der er forbundet med beskyttelsen af disse forskellige rettigheder og frihedsrettigheder, og for at sikre en rimelig balance mellem disse.

92.

Dels er respekt for privatlivet i denne henseende, i lighed med overholdelsen af ytringsfriheden, der er sikret ved chartret, og som der henvises til i 46. betragtning til direktiv 2000/31, også sikret ved chartret i dettes artikel 7. Dels kan formålet om effektivt at beskytte en persons omdømme og ære i betragtning af behovet for at indføre en balance mellem de berørte interesser ikke opnås ved at pålægge hostingudbyderen en uforholdsmæssig streng forpligtelse  ( 42 ).

93.

Under disse omstændigheder skal en hostingudbyder, hvis tjeneste bruges til viderespredning af den information, som han oplagrer, til hans kontraktlige partnere, for at betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31 kan anses for at være opfyldt under overholdelse af de berørte interesser, træffe rimelige foranstaltninger for at sikre, at dette indhold i givet fald fjernes eller blokeres også af hans partnere. Der kan f.eks. indføjes en klausul herom i de kontrakter, der indgås med partnere.

2)

Tredjemands gengivelse af den omtvistede annonce

94.

Der er i retsmødet blevet drøftet ikke alene det tilfælde, hvor en annonce gengives af partnere til operatøren af en onlinemarkedsplads, men også det tilfælde, hvor en annonce, der er offentligt tilgængelig, gengives af tredjemand uden den pågældende operatørs viden og samtykke. Det spørgsmål, der er blevet drøftet, drejer sig om, hvorvidt operatøren af en onlinemarkedsplads, henset til de betragtninger, der er fremsat i punkt 91 i dette forslag til afgørelse, for at opfylde betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31 skal træffe foranstaltninger over for tredjemand. Dette spørgsmål skal besvares benægtende.

95.

Den betingelse, der er fastsat i artikel 14, stk. 1, litra b), i direktiv 2000/31, er nemlig støttet på den forestilling, at udbyderen af en oplagrings-/hostingtjeneste straks skal træffe alle de foranstaltninger, der står i hans magt, for at bringe en ulovlig handling, der foretages via eller på hans tjeneste, til ophør. Spørgsmålet om, hvorvidt denne betingelse er opfyldt, kan derimod ikke afhænge af foranstaltninger, der ligger uden for udbyderens kontrol.

96.

Uden at dette indskrænker betydningen af de supplerende bemærkninger, som jeg har fremsat ovenfor vedrørende de betingelser, der i henhold til artikel 14, stk. 1, i direktiv 2000/31 gælder, for at en tjenesteyder, der leverer formidlingsydelser, kan fritages for ansvar, fastholder jeg det forslag til besvarelse af det første spørgsmål, som jeg har fremført i punkt 64 i dette forslag til afgørelse.

B.

Det andet til det fjerde spørgsmål

97.

Med det andet til det fjerde spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 5, stk. 1, litra b) og f), artikel 6, stk. 1, litra a), artikel 7, artikel 24 og artikel 25 skal fortolkes således, at en udbyder af informationssamfundstjenester, hvis aktivitet består i oplagring/hosting af gratis eller betalte annoncer på et websted på anmodning af sine brugere, er forpligtet til på forhånd at kontrollere annoncørens identitet (det andet spørgsmål) og indholdet af de indrykkede annoncer (det tredje spørgsmål) samt at træffe sikkerhedsforanstaltninger for at forhindre og begrænse reproduktion eller viderespredning af indholdet af annoncer, der indeholder personoplysninger (det fjerde spørgsmål).

98.

Disse spørgsmål omhandler ligeledes databeskyttelsesforordningens artikel 2, stk. 4, og artikel 4, nr. 7) og 11), samt artikel 15 i direktiv 2000/31. Det er imidlertid for at give en hensigtsmæssig besvarelse af spørgsmålene tilstrækkeligt at fortolke de bestemmelser i databeskyttelsesforordningen, der er nævnt i det foregående punkt i dette forslag til afgørelse, og som fastlægger forpligtelser og ansvar for en aktør, der er involveret i behandling af personoplysninger.

99.

Desuden skal det med henblik på besvarelsen af disse spørgsmål indledningsvis fastlægges, i hvilken egenskab en sådan tjenesteyder er involveret i behandling af personoplysninger. Det andet til det fjerde spørgsmål synes i denne henseende at være støttet på den forudsætning, at Russmedia handlede i egenskab af »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7). Spørgsmålene omhandler nemlig denne bestemmelse og henviser til »en udbyder [...], som er dataansvarlig [for personoplysninger]«. Jeg nærer i lighed med Kommissionen tvivl med hensyn til en sådan retlig kvalifikation. For så vidt som kvalifikationen kan have betydning for besvarelsen af de præjudicielle spørgsmål, vil jeg derfor først se nærmere på den retlige kvalifikation af operatøren af en markedsplads ifølge de kategorier, der er fastsat i databeskyttelsesforordningen (afsnit 1), idet jeg dernæst vender tilbage til spørgsmålet om den pågældende operatørs forpligtelser og ansvar (afsnit 2).

1.

Retlige kvalifikationer

a)

Aktører, der er involveret i behandling af personoplysninger

100.

I databeskyttelsesforordningens artikel 4, nr. 7), defineres begrebet »dataansvarlig« som en person, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger. I forordningen nævnes en anden aktør, der er involveret i databehandling, nemlig »databehandleren«. Denne defineres i den nævnte forordnings artikel 4, nr. 8), som en person, der behandler personoplysninger på den dataansvarliges vegne.

101.

Kvalifikationen af en aktør, der er involveret i databehandling ifølge kategorierne i databeskyttelsesforordningen, bestemmer den pågældende aktørs forpligtelser og ansvar. Disse forpligtelser og dette ansvar defineres i de bestemmelser, der er omhandlet i det andet til det fjerde spørgsmål.

102.

Enhver behandling af personoplysninger skal nemlig være i overensstemmelse med de principper for databehandling, som fremgår af databeskyttelsesforordningens artikel 5, stk. 1, og opfylde de betingelser for lovlig behandling, som er opregnet i forordningens artikel 6. Det er den dataansvarlige, der påtager sig ansvaret for, at disse principper overholdes  ( 43 ), og som, hvis behandling er baseret på samtykke, skal kunne påvise, at den registrerede har givet samtykke til databehandling, således som det kræves i forordningens artikel 7, stk. 1. Efter samme ånd fastsætter forordningens artikel 24 og 25 generelle forpligtelser for den dataansvarlige til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre, at behandling er i overensstemmelse med samme forordning.

103.

Endvidere bestemmer den egenskab, som en aktør, der er involveret i behandling, handler i, ligeledes omfanget af den pågældendes ansvar for overtrædelser af databeskyttelsesforordningen.

104.

Det fremgår nemlig af databeskyttelsesforordningens artikel 82, stk. 2, første punktum, at »[e]nhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning«. Den dataansvarlige er ansvarlig ikke blot for enhver behandling af personoplysninger, der foretages af den pågældende selv, men også for behandling, der foretages på den pågældendes vegne  ( 44 ). I medfør af forordningens artikel 82, stk. 2, andet punktum, »[hæfter] [e]n databehandler [derimod] [...] kun for den skade, der er forvoldt af behandling, hvis [den] pågældende ikke har opfyldt forpligtelser i denne forordning, der er rettet specifikt mod databehandlere, eller hvis [den] pågældende har undladt at følge eller handlet i strid med den dataansvarliges lovlige instrukser«.

b)

Til hvilket formål og med hvilke hjælpemidler der må foretages behandling

105.

For at afgøre, om en enhed, der er involveret i behandling af personoplysninger, kan anses for at være dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), er det nødvendigt at undersøge, om den pågældende enhed til eget formål konkret har udøvet indflydelse på fastlæggelsen af formålene med og hjælpemidlerne til den pågældende behandling.

106.

Formålet med en behandling vedrører spørgsmålet om, hvorfor oplysningerne behandles  ( 45 ). Principielt er det den person, der har taget skridt til behandlingen, der træffer beslutning herom.

107.

De grundlæggende rammer for begrebet »hjælpemidler« er mindre klare og må fastlægges i sammenhæng med udviklingen i de økonomiske og teknologiske strukturer, inden for hvilke oplysningerne behandles. Overordnet set vedrører formålet med en behandling grunden til, at oplysningerne behandles, mens hjælpemidlerne er et udtryk for, hvorledes dette formål vil blive opnået. Fastlæggelsen af hjælpemidlerne består nemlig navnlig i en beslutning om, hvilke oplysninger der behandles  ( 46 ), hvem der kan få adgang til dem og hvorledes  ( 47 ), og, for så vidt som en sådan beslutning kan bringe behandlingsoperationerne til ophør, varigheden af behandlingen. Beslutninger med hensyn til de materielle eller digitale værktøjer eller medier  ( 48 ), ved hjælp af hvilke oplysningerne indsamles, præsenteres eller formidles, bidrager ligeledes til at fastlægge hjælpemidlerne til behandlingen.

108.

Den dataansvarlige er imidlertid ikke forpligtet til at fastlægge alle tekniske og organisatoriske aspekter af behandlingen. Beslutningen om at overdrage databehandlingen til en databehandler kan skyldes ikke alene et ønske om at lette den dataansvarliges arbejdsbyrde, men også det forhold, at den dataansvarlige ikke har den tekniske viden eller de nødvendige midler til at iværksætte behandlingen. En sådan fortolkning, hvis retning sættes af den økonomiske virkelighed, understøttes af bestemmelserne i databeskyttelsesforordningen.

109.

Selv om behandlingens formål i henhold til databeskyttelsesforordningens artikel 28, stk. 3, skal fastsættes i en kontrakt eller et andet retligt dokument, som en dataansvarlig overdrager behandlingen til en databehandler på grundlag af, behøver et sådant retsgrundlag nemlig ikke at give et udtømmende svar på, hvorledes oplysningerne vil blive behandlet. Det skal alene fastlægge genstanden for og varigheden af behandlingen, behandlingens karakter og formål samt typen af personoplysninger og kategorierne af registrerede. Dels er de følsomme spørgsmål, der er grundlæggende for behandlingens lovlighed, således forbeholdt den dataansvarlige. Dels kan, endog skal, en databehandler, selv om denne handler på vegne af en dataansvarlig og følger dennes instrukser, fastlægge de tekniske og organisatoriske foranstaltninger i forbindelse med behandlingen uden at overskride sin rolle som databehandler. Med andre ord er det, for at en person, der er involveret i behandling af data, kan gives status af dataansvarlig, ikke tilstrækkeligt, at den pågældende fastlægger, med hvilke ikke-væsentlige hjælpemidler der må foretages behandling.

110.

Det er på grundlag af de kriterier, der klarlægges i punkt 106-109 i dette forslag til afgørelse, at den forelæggende ret skal afgøre, om Russmedia kan anses for at være dataansvarlig. For at kunne forsyne den nationale ret med de elementer vedrørende fortolkningen af EU-retten, som kan hjælpe den med at afgøre den tvist, der verserer for den, vil jeg beskæftige mig nærmere med denne problemstilling.

c)

Operatøren af en onlinemarkedsplads og databeskyttelsesforordningen

111.

Jeg vil indledningsvis anføre, at behandling af personoplysninger, der er indeholdt i annoncer, som indrykkes på en onlinemarkedsplads, bør skelnes fra behandling af oplysninger vedrørende annoncører, der opretter en konto hos operatøren af den pågældende markedsplads for at indrykke deres annoncer. Oprettelse af en sådan konto og andre handlinger i forbindelse med oplysninger, der leveres af en annoncør, udgør behandlingsaktiviteter, som operatøren er ansvarlig for i henhold til databeskyttelsesforordningen. Nærmere bestemt beslutter operatøren, hvilke oplysninger der er påkrævet for at oprette en konto, og i forbindelse med gennemførelsen af proceduren til registrering af annoncører fastlægger operatøren formålet med behandling af disse oplysninger.

112.

Forelæggelsesafgørelsen rejser spørgsmålet om, hvorvidt operatøren af en onlinemarkedsplads ligeledes til eget formål udøver indflydelse på fastlæggelsen af formålene med og hjælpemidlerne til behandling af personoplysninger, der måtte være indeholdt i annoncer, som indrykkes på dennes onlinemarkedsplads.

113.

Hvad i denne henseende angår formålet med behandling af oplysninger, der er indeholdt i en annonce, som indrykkes online, er formålet med at indrykke en annonce på en onlinemarkedsplads i almindelighed at fremme afsætningen af et produkt eller en tjeneste, der udbydes af en annoncør, hos offentligheden. Dette formål fastlægges således af den pågældende annoncør. Derimod synes operatøren af onlinemarkedspladsen ikke til eget formål at udøve indflydelse på grunden til, at annoncerne indrykkes. Den foreliggende sag udgør en udmærket illustration af den særlige måde, hvorpå en onlinemarkedsplads fungerer. Den omtvistede annonce er nemlig blevet lagt ud online for at skade sagsøgeren i hovedsagen og ikke for at fremme afsætningen af en annoncørs tjeneste. Operatøren har ikke udøvet indflydelse på den beklagelige motivation, som ophavsmanden til annoncen har haft.

114.

Hvad angår fastlæggelsen af hjælpemidlerne til behandlingen er det annoncøren, der udøver indflydelse på, hvorledes oplysningerne behandles. Annoncøren beslutter nemlig, om der skal indgå oplysninger i annoncen, og i givet fald hvilke oplysninger. Det er derimod stærkt sandsynligt, at operatøren af en onlinemarkedsplads end ikke har kendskab til, at en annonce indeholder personoplysninger. Selv om operatøren ganske vist fastlægger opsætningen af annoncerne og andre tekniske og organisatoriske aspekter med hensyn til, hvorledes den pågældende onlinemarkedsplads fungerer, noterer jeg desuden, henset til det i punkt 109 i dette forslag til afgørelse anførte, at den nævnte operatørs indflydelse på fastlæggelsen af, med hvilke ikke-væsentlige hjælpemidler der må foretages behandling, imidlertid ikke indebærer, at operatøren skal anses for at være dataansvarlig.

115.

Operatøren af en onlinemarkedsplads såsom Russmedia synes således ikke til eget formål at udøve indflydelse på fastlæggelsen af formålet med og hjælpemidlerne til behandling af personoplysninger, der måtte være indeholdt i annoncer, som indrykkes på den pågældende onlinemarkedsplads. Såfremt operatøren er involveret i behandling af disse oplysninger, handler den pågældende i egenskab af databehandler på vegne af en annoncør og under dennes ansvar. Under disse omstændigheder skal brugerne af en oplagrings-/hostingtjeneste kvalificeres som »dataansvarlige« som omhandlet i databeskyttelsesforordningen  ( 49 ).

116.

Jeg skal under hensyntagen til den særlige karakter ved den foreliggende sag foretage enkelte yderligere præciseringer i forhold til de ovenfor anførte betragtninger.

117.

For det første skal det, uafhængigt af, hvorvidt en registreret i medfør af databeskyttelsesforordningen kan anses for at være den dataansvarlige vedrørende sine egne personoplysninger  ( 50 ), påpeges, at den person, der lagde den omtvistede annonce ud online, i det foreliggende tilfælde ikke selv var berørt af de oplysninger, der var indeholdt i annoncen.

118.

For det andet forbeholder Russmedia sig i medfør af de generelle betingelser for brug af sin onlinemarkedsplads retten til at bruge information oplagret på anmodning af annoncører. Selskabet kan kopiere, distribuere, transmittere, offentliggøre, reproducere, ændre, oversætte, overdrage til partnere og slette informationen til enhver tid, selv uden en grund hertil. Så snart der foretages en sådan handling i forbindelse med oplysninger, der er indeholdt i en annonce, kan selskabet anses for at være dataansvarlig med hensyn til en specifik behandlingsaktivitet med alle de forpligtelser og alt det ansvar, der følger heraf. En person kan nemlig være ansvarlig for behandlingsoperationer, vedrørende hvilke den pågældende fastlægger formål og hjælpemidler. Derimod og med forbehold for et eventuelt erstatningsansvar i henhold til national ret i denne henseende kan denne person ikke anses for at være den ansvarlige som omhandlet i databeskyttelsesforordningen for operationer, der indtræder før eller efter rækken af behandlinger, og vedrørende hvilke den pågældende hverken fastlægger formål eller hjælpemidler  ( 51 ).

119.

For det tredje svarer de betragtninger, som jeg har fremsat ovenfor, til den holdning, som »Artikel 29-Gruppen«  ( 52 ) gav udtryk for i sin udtalelse 1/2010 om begreberne »registeransvarlig« og »registerfører« af 16. februar 2010  ( 53 ). Ifølge denne arbejdsgruppe er en leverandør af internetadgang, som tilbyder oplagringstjenester, nemlig principielt registerføreren for de personoplysninger, der offentliggøres online af dennes kunder, som anvender denne leverandør til oplagring/hosting og vedligeholdelse af deres websteder. Hvis en sådan leverandør imidlertid foretager behandling af de oplysninger, som han oplagrer, til egne formål, er denne den registeransvarlige i forhold til de omhandlede behandlinger. Endvidere svarer denne holdning ligeledes til den holdning, som Det Europæiske Databeskyttelsesråd gav udtryk for i sine retningslinjer 07/2020 for begreberne dataansvarlig og databehandler i den generelle forordning om databeskyttelse, som blev vedtaget den 7. juli 2021  ( 54 ), og hvorefter en hostingudbyder, der ikke træffer beslutning om, hvorvidt de data, som denne oplagrer, er personoplysninger, og som ikke foretager anden behandling end oplagring på vegne af sin kunde, er databehandler.

120.

Med forbehold af den faktuelle efterprøvelse, som det påhviler den forelæggende ret at foretage, bør Domstolen således efter min opfattelse henlede den nævnte rets opmærksomhed på det hensigtsmæssige i at tage kvalifikationen af Russmedia op til fornyet overvejelse. Jeg er nemlig i lighed med Kommissionen af den opfattelse, at dette selskab spiller en rolle som databehandler og ikke som dataansvarlig med hensyn til de behandlingsaktiviteter, der følger af indrykningen af den omtvistede annonce. Jeg vil nu på grundlag af denne forudsætning undersøge det andet til det fjerde spørgsmål.

2.

Forpligtelser og ansvar for operatøren af en onlinemarkedsplads

a)

Det tilfælde, hvor operatøren af en onlinemarkedsplads anses for at være databehandler vedrørende behandling af oplysninger, der er indeholdt i annoncer

121.

I forbindelse med de forpligtelser og det ansvar, der påhviler operatøren af en onlinemarkedsplads i henhold til databeskyttelsesforordningen, er det relevant at sondre mellem på den ene side behandling af personoplysninger, der er indeholdt i annoncer, som indrykkes på den pågældende markedsplads, og på den anden side behandling af oplysninger vedrørende annoncører, der opretter en konto hos den pågældende operatør.

1)

Behandling af oplysninger, der er indeholdt i annoncer

122.

Såfremt Russmedia med hensyn til behandlingen af de personoplysninger, der var indeholdt i annoncerne, faktisk var databehandler, påhvilede det ikke dette selskab at kontrollere, om behandlingen var tilladt og lovlig. Som jeg har anført  ( 55 ), er det nemlig i medfør af de bestemmelser, der er omhandlet i det andet spørgsmål, den dataansvarlige, der påtager sig ansvaret for, at principperne for behandling af personoplysninger overholdes. Efter samme ånd er databehandleren i medfør af de bestemmelser, der er omhandlet i det tredje spørgsmål, heller ikke forpligtet til på forhånd at kontrollere indholdet af den information, der er genstand for behandlingsaktiviteterne.

123.

For så vidt angår det fjerde spørgsmål ønskes det med dette oplyst, om Russmedia burde have truffet sikkerhedsforanstaltninger for at forhindre eller begrænse reproduktion eller viderespredning af indholdet af de annoncer, der indeholdt personoplysninger. Dette spørgsmål vedrører fortolkningen af databeskyttelsesforordningens artikel 5, stk. 1, litra b) og f), artikel 24 og artikel 25. Ligeledes disse bestemmelser vedrører de forpligtelser, der påhviler den dataansvarlige og ikke databehandleren.

124.

Når dette er sagt, angiver databeskyttelsesforordningens artikel 32 den dataansvarliges og en eventuel databehandlers forpligtelser med hensyn til behandlingssikkerhed  ( 56 ).

125.

Nærmere bestemt fastsætter databeskyttelsesforordningens artikel 32, stk. 1, at den dataansvarlige og databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, som behandling udgør, idet der tages hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne, men også den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene. Ligeledes fremgår det af forordningens artikel 32, stk. 2, at der ved vurderingen af, hvilket sikkerhedsniveau der er passende, navnlig tages hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger.

126.

For så vidt som databeskyttelsesforordningens artikel 32, stk. 2, vedrører en databehandlers forpligtelser, forudsætter denne bestemmelse, at behandling af data i overensstemmelse med den dataansvarliges instrukser er tilladt og lovlig. En databehandler kan ikke være forpligtet til at kontrollere handlinger udført af den dataansvarlige, på hvis vegne den pågældende behandler data. Den pågældende skal derimod træffe foranstaltninger til sikring af behandlingssikkerhed i forbindelse med personoplysninger i forhold til indblanding fra tredjemand. Forordningens artikel 32, stk. 1, konkretiserer nemlig i det væsentlige princippet om integritet og princippet om fortrolighed i forordningens artikel 5, stk. 1, litra f)  ( 57 ). I henhold til disse principper skal oplysninger behandles af den dataansvarlige eller på den dataansvarliges vegne på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende oplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod tab.

127.

Hvis annoncer, der indrykkes på en onlinemarkedsplads, i overensstemmelse med de generelle betingelser for brug af den pågældende markedsplads kan gengives af operatører af andre websteder, som er opregnet på markedspladsen, og som dermed er kendt på forhånd af annoncørerne, bør databehandleren gennemføre foranstaltninger, der gør det muligt for denne at få fjernet slettede annoncer fra sin egen platform. Det kan nemlig vise sig, at behandlingen ikke eller ikke længere er lovlig, og den platform, hvorigennem viderespredning af en annonce foretages, bør være i stand til at bringe en overtrædelse af databeskyttelsesforordningen til ophør også hos platformens partnere. En sådan konklusion er i overensstemmelse med konklusionen om, at en udbyder af en oplagrings-/hostingtjeneste skal overholde betingelsen i artikel 14, stk. 1, litra b), i direktiv 2000/31  ( 58 ).

128.

I modsætning til, hvad den forelæggende ret synes at lægge til grund i det fjerde spørgsmål, er det til gengæld ikke min opfattelse, at en databehandler bør være forpligtet til at forhindre eller begrænse reproduktion eller viderespredning af annoncer, der indeholder personoplysninger. Det tilkommer ikke databehandleren at fastlægge, hvem der kan få adgang til disse oplysninger eller hvorledes.

2)

Behandling af oplysninger vedrørende annoncører

129.

Forpligtelser og ansvar for operatøren af en onlinemarkedsplads er af større betydning med hensyn til behandling af oplysninger vedrørende annoncører, der opretter en konto hos den pågældende operatør. I forbindelse med denne behandling er operatøren den dataansvarlige, og databeskyttelsesforordningens artikel 24 og 25 finder fuldt ud anvendelse på den pågældende  ( 59 ).

130.

Databeskyttelsesforordningens artikel 24 fastsætter en generel forpligtelse, der påhviler den dataansvarlige, til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre, at behandling af oplysninger er i overensstemmelse med denne forordning. Forordningens artikel 25 pålægger den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen at gennemføre passende tekniske og organisatoriske foranstaltninger, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i samme forordning og beskytte de registreredes rettigheder.

131.

Som det fremgår af databeskyttelsesforordningens artikel 24 og 25, skal de pågældende foranstaltninger svare til de risici, der er specifikke for den sammenhæng, hvori personoplysningerne behandles. Identificering af de specifikke risici og fastlæggelse af de passende midler skal ganske vist overlades til den forelæggende rets skøn, idet denne råder over alle de faktuelle oplysninger vedrørende alle de relevante kriterier med hensyn til disse bestemmelser, men jeg vil ikke desto mindre gerne give følgende yderligere præciseringer.

132.

Som anført i 75. betragtning til databeskyttelsesforordningen, kan databehandling medføre risici for fysiske personers rettigheder og frihedsrettigheder, navnlig hvis behandlingen kan give anledning til bl.a. identitetssvig, og hvis de registrerede kan blive forhindret i at udøve kontrol med deres personoplysninger. Identitetssvig begås nemlig i almindelighed med det formål at udføre svigagtige handlinger til skade for den registrerede eller for tredjemand. For så vidt angår onlineplatforme kan uansvarlig brug heraf desuden føre til en krænkelse af fysiske personers rettigheder, og udsigten til for den person, der er ansvarlig for krænkelsen, at kunne handle fuldkommen ustraffet, forværrer disse risici.

133.

Hvis den dataansvarlige administrerer en onlinemarkedsplads, der er tilgængelig for annoncører, som, når de bruger denne markedsplads, kan benytte en anden persons identitet til svigagtige formål, skal den dataansvarlige således gennemføre foranstaltninger, der gør det muligt for vedkommende at mindske denne risiko. For at opfylde kravene i databeskyttelsesforordningen og beskytte de registreredes rettigheder skal den dataansvarlige, således som det kræves i forordningens artikel 25, tage hensyn til denne risiko både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen.

134.

Under disse omstændigheder skal operatøren af en onlinemarkedsplads efter min opfattelse iværksætte tekniske eller organisatoriske foranstaltninger, der gør det muligt for den pågældende at kontrollere annoncørernes identitet. En sådan kontrol vil nemlig for det første begrænse risikoen for, at personoplysninger behandles ulovligt eller urimeligt i forhold til den registrerede, og vil for det andet gøre det muligt at bekæmpe uansvarlig brug af den pågældende onlinemarkedsplads, da der vil blive rejst tvivl om anonyme brugeres opfattelse af straffrihed.

135.

Jeg skal præcisere, at forudsætningen om anonym brug af internettet ikke udelukker kontrol af annoncørernes identitet. En annoncørs data kan ikke være tilgængelige for alle brugere af en platform. Dataene kan kontrolleres og opbevares udelukkende af den dataansvarlige, for at denne kan overholde sine forpligtelser i henhold til databeskyttelsesforordningen. Til brug for kontrol kan operatøren kræve, at der meddeles et telefonnummer, og bruge dette til at bekræfte registreringen. En sådan løsning er ikke usædvanlig for onlineplatforme.

136.

Det er korrekt, at en sådan foranstaltning ikke gør det muligt at udelukke enhver risiko for identitetssvig. Databeskyttelsesforordningen begrænser sig imidlertid til at pålægge den dataansvarlige at vedtage tekniske og organisatoriske foranstaltninger med henblik på i videst muligt omfang at undgå ethvert brud på persondatasikkerheden  ( 60 ). Der er således ikke tale om en resultatforpligtelse, men om en forpligtelse til at foretage sig noget. Det fremgår under alle omstændigheder af forelæggelsesafgørelsen, at Russmedia hverken på registreringstidspunktet eller på tidspunktet for indrykningen af den omtvistede annonce gennemførte foranstaltninger, der gjorde det muligt for selskabet at kontrollere identiteten på ophavsmanden til annoncen.

137.

Under disse omstændigheder foreslår jeg at besvare det andet til det fjerde spørgsmål med, at databeskyttelsesforordningens artikel 5, stk. 1, litra f), artikel 6, stk. 1, litra a), artikel 7, artikel 24 og artikel 25 skal fortolkes således, at en udbyder af informationssamfundstjenester, hvis aktivitet består i oplagring/hosting af gratis eller betalte annoncer på et websted på anmodning af sine brugere, handler i egenskab af databehandler med hensyn til personoplysninger, der er indeholdt i annoncer, som indrykkes på dennes onlinemarkedsplads. Den pågældende er i denne forbindelse ikke forpligtet til at kontrollere indholdet af de indrykkede annoncer eller at iværksætte sikkerhedsforanstaltninger for at forhindre eller begrænse reproduktion og viderespredning af indholdet af annoncer, hvis udgivelse denne formidler. Den pågældende skal ikke desto mindre gennemføre passende organisatoriske og tekniske foranstaltninger for at sikre behandlingssikkerhed over for tredjemand. En sådan udbyder handler derimod i egenskab af dataansvarlig med hensyn til personoplysninger vedrørende annoncører, der er registreret på dennes websted. Den pågældende er i denne forbindelse forpligtet til at kontrollere disse annoncørers identitet.

138.

Jeg vil nu for fuldstændighedens skyld, og såfremt Domstolen ikke måtte tilslutte sig min bedømmelse, kort undersøge forpligtelser og ansvar for en operatør af en onlinemarkedsplads, der anses for at være dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), med hensyn til personoplysninger, der er indeholdt i annoncer, som indrykkes på operatørens onlinemarkedsplads. Som jeg har anført  ( 61 ), synes det andet til det fjerde spørgsmål nemlig at være støttet på den forudsætning, at Russmedia handler i egenskab af »dataansvarlig«.

b)

Det tilfælde, hvor operatøren af en onlinemarkedsplads anses for at være dataansvarlig for oplysninger, der er indeholdt i annoncer

139.

Jeg noterer indledningsvis, at den omstændighed, at operatøren af en onlinemarkedsplads er dataansvarlig, ikke nødvendigvis betyder, at en annoncør på den pågældende onlinemarkedsplads ikke også kan anses for at være dataansvarlig  ( 62 ).

140.

Databeskyttelsesforordningen anerkender nemlig, at der kan være tale om et fælles ansvar, hvilket ikke nødvendigvis indebærer, at de forskellige operatører, der er involveret i behandlingen af personoplysninger, har et lige stort ansvar. Disse operatører kan tværtimod være involveret på forskellige stadier af behandlingen og i forskellig grad, således at niveauet af ansvar for hver af dem skal vurderes under hensyntagen til alle relevante omstændigheder i det konkrete tilfælde.

141.

Jeg vil imidlertid koncentrere mig om forpligtelser og ansvar for operatøren af en onlinemarkedsplads, for så vidt som der i det foreliggende tilfælde er tale om en sådan operatørs ansvar for behandling af personoplysninger, der er indeholdt i en annonce, som indrykkes på den pågældendes onlinemarkedsplads.

142.

Formålet med det andet og det tredje spørgsmål er at afgøre, om operatøren af et websted, inden en annonce indrykkes, er forpligtet til at kontrollere henholdsvis identiteten på den person, der indrykker annoncen, identiteten på den person, der er omhandlet af annoncen, og indholdet af de af brugere fremsendte annoncer.

143.

Jeg er i denne henseende ikke overbevist om, at operatøren af en onlinemarkedsplads er forpligtet til at sikre, at annoncøren faktisk er den person, der er berørt af de oplysninger, som er indeholdt i en annonce. En onlinemarkedsplads kan nemlig ligeledes bruges af en annoncør til at indrykke en annonce vedrørende en anden person.

144.

En dataansvarlig skal ikke desto mindre kontrollere, om personoplysningerne behandles på grundlag af den registreredes samtykke eller et andet legitimt grundlag, der er fastlagt ved lov. En sådan forpligtelse pålægges den dataansvarlige i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra a), artikel 6, stk. 1, og artikel 7, stk. 1.

145.

Hvis operatøren af en onlinemarkedsplads handler i egenskab af dataansvarlig, skal den pågældende således sikre, at den person, hvis oplysninger er indeholdt i en annonce, har givet samtykke til behandling. Logisk set skal den pågældende også kontrollere indholdet af enhver annonce, der indsendes af en annoncør, for at kontrollere, om annoncen indeholder personoplysninger.

146.

I henhold til princippet om rimelighed, som fremgår af databeskyttelsesforordningens artikel 5, stk. 1, litra a), skal den dataansvarlige ligeledes påse, at oplysningerne behandles rimeligt i forhold til den registrerede. Desuden skal den dataansvarlige i medfør af denne forordnings artikel 24 og 25 tillige gennemføre tekniske og organisatoriske foranstaltninger for at sikre, at behandling er i overensstemmelse med den nævnte forordning. Den dataansvarlige skal i denne forbindelse tage hensyn til de risici, der er specifikke for den sammenhæng, hvori oplysningerne behandles.

147.

Behandling af personoplysninger, der er offentligt tilgængelige i forbindelse med onlineaktivitet, kan medføre risici for fysiske personers rettigheder og frihedsrettigheder, navnlig materiel eller immateriel skade.

148.

Såfremt operatøren af en onlinemarkedsplads er ansvarlig for behandling af oplysninger, der er indeholdt i annoncer, som indrykkes på den pågældende markedsplads, skal operatøren kontrollere annoncerne, inden de offentliggøres online, kontrollere, om oplysningerne behandles på grundlag af den registreredes samtykke eller et andet legitimt grundlag, der er fastlagt ved lov, og indføre foranstaltninger til bekæmpelse af behandling, der er skadelig for de registrerede. Hvis operatøren ikke overholder disse principper, kan den pågældende i henhold til databeskyttelsesforordningens artikel 82 holdes ansvarlig for overtrædelser af denne forordning.

149.

Med det fjerde spørgsmål ønskes det oplyst, om operatøren af en onlinemarkedsplads skal iværksætte sikkerhedsforanstaltninger for at forhindre eller begrænse reproduktion og viderespredning af indholdet af annoncer, hvis udgivelse denne formidler.

150.

Hvis der i betragtning af den sammenhæng, hvori behandling foretages, er mulighed for, at annoncerne vil blive gengivet af andre websteder, og at personoplysningerne vil blive viderebehandlet på en måde, der er uforenelig med de formål, hvortil de blev indsamlet, kan den dataansvarlige påtænke at gennemføre sådanne foranstaltninger, som skal være passende. Jeg er imidlertid ikke overbevist om, at operatøren af en onlinemarkedsplads – hvilken ud fra operatørens og annoncørernes synspunkt får sin økonomiske betydning ved, at de annoncer, der indrykkes på markedspladsen, er offentligt tilgængelige – bør være forpligtet til at begrænse viderespredning af annoncerne. Det sædvanlige formål med at lægge indhold ud online er i almindelighed at gøre det tilgængeligt for alle internetbrugere, hvilket indebærer en form for viderespredning. Under alle omstændigheder burde den omtvistede annonce, henset til de betragtninger, som jeg har fremsat i punkt 148 i dette forslag til afgørelse, ikke have været indrykket på Russmedias onlinemarkedsplads uden den registreredes samtykke.

151.

Uden at indskrænke betydningen af ovenstående supplerende bemærkninger med hensyn til en dataansvarligs forpligtelser og ansvar fastholder jeg mit standpunkt, hvorefter operatøren af en onlinemarkedsplads er databehandler vedrørende personoplysninger, der er indeholdt i annoncer, som indrykkes på den pågældende markedsplads  ( 63 ). Der står under disse omstændigheder tilbage at undersøge forholdet mellem direktiv 2000/31 og databeskyttelsesforordningen.

C.

Forholdet mellem ordningen i direktiv 2000/31 og ordningen i databeskyttelsesforordningen

152.

Det andet og det tredje spørgsmål omhandler navnlig databeskyttelsesforordningens artikel 2, stk. 4, som vedrører forholdet mellem denne forordning og direktiv 2000/31. Endvidere omhandler disse spørgsmål både de bestemmelser i den nævnte forordning, som fastlægger en dataansvarligs forpligtelser og ansvar, og det nævnte direktivs artikel 15. Spørgsmålene synes dermed at forudsætte en samtidig anvendelse af databeskyttelsesforordningen og det nævnte direktiv.

153.

Inden jeg undersøger en sådan samtidig anvendelse af disse to EU-retlige instrumenter (afsnit 2), skal jeg dog anføre, at der består en vis spænding mellem den situation, der er omhandlet i det første spørgsmål, og den, der er omhandlet i det andet til det fjerde spørgsmål (afsnit 1).

1.

En neutral hostingudbyder i egenskab af dataansvarlig

154.

Jeg minder om, at det følger af min analyse, at Russmedia handlede i egenskab af databehandler vedrørende behandlingen af de personoplysninger, der var indeholdt i de annoncer, som blev indrykket på selskabets onlinemarkedsplads  ( 64 ). Den forelæggende rets foreløbige antagelse er derimod, at det nævnte selskab handlede i egenskab af dataansvarlig. På dette grundlag rejser forelæggelsesafgørelsen spørgsmålet om, hvorvidt operatøren af en onlinemarkedsplads kan bære to kasketter, nemlig som neutral hostingudbyder for information oplagret på anmodning af brugere af tjenesten som omhandlet i artikel 14, stk. 1, i direktiv 2000/31 og som dataansvarlig for personoplysninger, der er indeholdt i denne information. På den ene side tilsigtes det nemlig med det første spørgsmål at fastslå, om Russmedia er en tjenesteyder, der leverer formidlingsydelser, som omhandlet i afdeling 4 i dette direktivs kapitel II. På den anden side synes det andet til det fjerde spørgsmål at tage udgangspunkt i den forudsætning, at dette selskab skal kvalificeres som »dataansvarlig« som omhandlet i databeskyttelsesforordningen.

155.

Jeg er i denne henseende bevidst om, at Domstolen i sin praksis ikke har udelukket, at en dataansvarlig for personoplysninger som omhandlet i databeskyttelsesforordningen kan spille en neutral rolle for så vidt angår den information, der indeholder personoplysningerne, og omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31. Dette er ligeledes blevet noteret af retslitterære forfattere for så vidt angår national retspraksis  ( 65 ).

156.

Domstolen fandt ganske vist for det første i dommen i sagen Google Spain og Google, at en søgemaskineudbyder er dataansvarlig med hensyn til personoplysninger, der er indeholdt i oplysninger, som er offentliggjort eller lagt på internettet af tredjemand, og som den pågældende udbyder lokaliserer, indekserer og lagrer  ( 66 ). For det andet undersøgte Domstolen i dommen i sagen Google France og Google, hvorvidt udbyderen af samme søgemaskine kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31  ( 67 ). Sidstnævnte dom vedrørte imidlertid ikke driften af den nævnte søgemaskine, men en søge- og annonceringsydelse. Domstolen overlod desuden i sidstnævnte dom til den forelæggende ret at vurdere, om den pågældende udbyders rolle svarede til den, som en tjenesteyder, der leverer formidlingsydelser, har, som omhandlet i den nævnte bestemmelse  ( 68 ).

157.

Hvad endnu vigtigere er, kan en tjenesteyder, der leverer formidlingsydelser, i den betydning, hvori udtrykket er anvendt af lovgiver i afdeling 4 i kapitel II i direktiv 2000/31, således som jeg har anført  ( 69 ), for det første ikke spille en rolle, som giver den pågældende kendskab til eller kontrol over de oplysninger, der oplagres, og skal derfor begrænse sig til at levere sin tjeneste neutralt ved hjælp af en behandling, der udelukkende er teknisk. For det andet indebærer rollen som dataansvarlig, at formålet med og hjælpemidlerne til behandling af personoplysninger fastlægges, og navnlig at der øves indflydelse på, om der er oplysninger, som skal gøres til genstand for behandling såsom registrering, ændring eller formidling, og i givet fald på, hvorledes disse oplysninger fastlægges  ( 70 ). Udøvelse af en sådan indflydelse er uforenelig med den neutrale rolle, som en udbyder af en informationssamfundstjeneste for at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31 skal opretholde med hensyn til information, der oplagres på anmodning af brugere. På samme måde pålægger databeskyttelsesforordningen, således som jeg har redegjort for  ( 71 ), den dataansvarlige forpligtelser og ansvar, som kræver, at denne handler proaktivt. I det væsentlige skal den dataansvarlige for at overholde principperne for behandling af personoplysninger have kendskab til de pågældende oplysninger og udøve kontrol over disse. En sådan kontrol er heller ikke forenelig med den neutrale rolle, som en sådan tjenesteyder skal spille.

158.

Hvis for det første en oplagrings-/hostingtjeneste består i oplagring af information, som ud fra databeskyttelsesforordningen udgør personoplysninger, og hvis for det andet udbyderen af denne tjeneste anses for at være dataansvarlig som omhandlet i denne forordning, begrænser tjenesteudbyderens rolle sig således ikke til neutral oplagring af sådan information. Følgelig påtager udbyderen af en sådan tjeneste sig en aktiv rolle for så vidt angår informationen og er udelukket fra at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

159.

Den spænding, der består mellem den situation, som er omhandlet i det første spørgsmål, og den, som er omhandlet i det andet til det fjerde spørgsmål, understøtter den fortolkning af databeskyttelsesforordningen, hvorefter operatøren af en onlinemarkedsplads ikke handler i egenskab af dataansvarlig vedrørende personoplysninger, der er indeholdt i annoncer, som den pågældende oplagrer på anmodning af annoncørerne, men i egenskab af databehandler vedrørende disse oplysninger  ( 72 ).

160.

Jeg skal for fuldstændighedens skyld anføre, at jeg ikke kan udelukke, at EU-lovgiver har valgt ikke at udelukke muligheden for, at en hostingudbyder, der handler i egenskab af dataansvarlig, kan omfattes af en ansvarsfritagelse inden for rammerne af Digital Services Act. Selv om med denne forordning artikel 12-15 i direktiv 2000/31 udgik  ( 73 ), blev disse bestemmelser ikke desto mindre gengivet i den nævnte forordning, som fortolket af Domstolen. I denne forordning er i artikel 7 tilføjet, at »udbydere af formidlingstjenester [ikke] anses [...] for at være udelukket fra [...] ansvarsfritagelser [...], udelukkende fordi de i god tro og omhyggeligt gennemfører frivillige undersøgelser på eget initiativ [...] eller træffer de nødvendige foranstaltninger til at opfylde kravene i EU-retten og national ret, som er i overensstemmelse med EU-retten [...]«  ( 74 ). Den første del af denne bestemmelse om »foranstaltninger indført frivilligt af en tjenesteyder« har elementer til fælles med den praksis, som Domstolen tidligere har udviklet i henhold til direktiv 2000/31  ( 75 ). Den anden del om »foranstaltninger truffet for at opfylde kravene i EU-retten«, som blev tilføjet med selvsamme forordning, gør det muligt for en hostingudbyder at opfylde sine forpligtelser i henhold til databeskyttelsesforordningen og opretholde rollen som neutral tjenesteyder, der leverer formidlingsydelser. Imidlertid indeholder direktiv 2000/31 ingen bestemmelse herom, og der er ikke anledning til at indføre en sådan bestemmelse gennem fortolkning af dette direktiv.

161.

Der står tilbage af afgøre, om en aktør, der er involveret i behandling af personoplysninger i egenskab af databehandler, der kan ifalde ansvar for behandling af disse oplysninger i forbindelse med en overtrædelse af databeskyttelsesforordningen, kan påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

2.

Samtidig anvendelse af databeskyttelsesforordningen og direktiv 2000/31

162.

Det problem, der rejses i forelæggelsesafgørelsen, udspringer af den omstændighed, at information, der var blevet oplagret på anmodning af en tjenestemodtager, indeholdt personoplysninger, som var blevet behandlet i strid med databeskyttelsesforordningen. Deraf det spørgsmål, som parterne i hovedsagen strides om, og som længe har været debatteret i retslitteraturen  ( 76 ): Kan en aktør, der er involveret i behandling af personoplysninger, og som kan ifalde ansvar for en overtrædelse af databeskyttelsesforordningen, påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31?

163.

Jeg skal i denne forbindelse minde om, at i overensstemmelse med min analyse af disse to EU-retlige instrumenter kan en udbyder af en informationssamfundstjeneste, der er dataansvarlig for personoplysninger, som er indeholdt i information oplagret på anmodning af brugere af tjenesten, ikke påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31  ( 77 ). Den nedenfor følgende analyse har derfor alene til formål at afgøre, om en tjenesteudbyder, der handler i egenskab af databehandler vedrørende sådanne oplysninger, kan påberåbe sig en sådan fritagelse. Jeg gør opmærksom på, at min analyse af bestemmelserne i databeskyttelsesforordningen vil føre mig til at foreslå Domstolen at lægge til grund, at Russmedia handlede i egenskab af databehandler  ( 78 ).

164.

Det skal endvidere noteres, at den forelæggende ret ikke har præciseret, om Russmedia i tvisten i hovedsagen kan ifalde ansvar for en overtrædelse af databeskyttelsesforordningen i medfør af denne forordnings artikel 82 eller i medfør af reglerne om civilretligt ansvar i national ret. Tilsidesættelsen af en regel om beskyttelse af personoplysninger kan nemlig samtidigt medføre en tilsidesættelse af andre regler såsom reglerne om forbrugerbeskyttelse  ( 79 ) og om personlighedsrettigheder, og EU-lovgiver har ikke haft til hensigt at foretage en udtømmende harmonisering af de retsmidler, der er til rådighed i tilfælde af overtrædelse af bestemmelserne i databeskyttelsesforordningen  ( 80 ).

165.

Med hensyn til civilretligt ansvar indeholder såvel direktiv 2000/31 som databeskyttelsesforordningen under alle omstændigheder bestemmelser, der giver vejledning om forholdet mellem disse to EU-retlige retsakter.

a)

De relevante bestemmelser i direktiv 2000/31

166.

Artikel 1, stk. 5, litra b), i direktiv 2000/31 med overskriften »Formål og anvendelsesområde« fastsætter, at dette direktiv ikke finder anvendelse på spørgsmål, der vedrører informationssamfundstjenester omfattet af gældende EU-retlige regler om personoplysninger. Mere specifikt henviser denne bestemmelse til direktiv 95/46  ( 81 ) og direktiv 97/66  ( 82 ), som er blevet erstattet af henholdsvis databeskyttelsesforordningen  ( 83 ) og direktiv 2002/58/EF  ( 84 ).

167.

Det fremgår desuden af 14. betragtning til direktiv 2000/31, som vedrører den problemstilling, der er omhandlet i dette direktivs artikel 1, stk. 5, at for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger gælder alene bestemmelserne i direktiv 95/46 og direktiv 97/66, »som fuldt ud finder anvendelse på informationssamfundstjenester; disse direktiver opstiller allerede en [EU-]retlig ramme inden for personoplysninger, og det er derfor ikke nødvendigt at behandle dette spørgsmål i [direktiv 2000/31] for at sikre, at det indre marked fungerer efter hensigten, især med hensyn til den frie bevægelighed for personoplysninger mellem medlemsstaterne; [sidstnævnte] direktiv bør gennemføres og anvendes i fuld overensstemmelse med principperne om beskyttelse af personoplysninger«.

168.

Domstolen har allerede tidligere beskæftiget sig med fortolkningen af artikel 1, stk. 5, litra b), i direktiv 2000/31.

169.

For det første var der nemlig i Promusicae-dommen  ( 85 ) blevet rejst spørgsmålet, om EU-retten pålægger medlemsstaterne at fastsætte pligten til at videregive personoplysninger under en civil retssag med det formål at sikre den effektive beskyttelse af ophavsretten. I den pågældende sag havde den forelæggende ret henvist til flere direktiver, som efter dens opfattelse kunne have udgjort retsgrundlaget for en sådan forpligtelse.

170.

Domstolen fandt i denne henseende, at det følger af artikel 1, stk. 5, litra b), i direktiv 2000/31, at kravene forbundet med beskyttelsen af personoplysninger går forud for en sådan forpligtelse – forudsat, at denne er fastsat i dette direktiv  ( 86 ). Domstolen syntes således at tage højde for en samtidig anvendelse af nævnte direktiv og de EU-retlige instrumenter om beskyttelse af personoplysninger.

171.

For det andet undersøgte Domstolen i dommen i sagen La Quadrature du Net m.fl.  ( 87 ), hvorvidt direktiv 2000/31 er til hinder for en national lovgivning, der pålægger udbydere af adgang til offentlige onlinekommunikationstjenester og udbydere af hostingtjenester at foretage generel og udifferentieret lagring af de personoplysninger, som disse tjenester gør brug af. Den forelæggende ret lagde til grund, at dette spørgsmål er reguleret ved det nævnte direktiv, og at artikel 15 heri ikke i sig selv indfører et principielt forbud mod lagring af data, der vedrører skabelsen af indhold, som det kun undtagelsesvis er muligt at fravige  ( 88 ).

172.

Domstolen fastslog, at direktiv 2000/31 med hensyn til informationssamfundstjenester ikke finder anvendelse på området for beskyttelse af kommunikationshemmeligheden og af fysiske personer i forbindelse med behandlingen af personoplysninger, idet denne beskyttelse alt efter omstændighederne er reguleret ved direktiv 2002/58 eller databeskyttelsesforordningen  ( 89 ).

173.

Denne besvarelses kategoriske karakter beror på den sammenhæng, hvori besvarelsen blev givet.

174.

Dels skal det nemlig erindres, at 15. betragtning til direktiv 2000/31 specifikt omhandler fortrolig behandling af meddelelser, og at det heri nævnes, at »medlemsstaterne [i medfør af direktiv 97/66, hvortil der henvises i artikel 1, stk. 5, litra b), i direktiv 2000/31, skal] forbyde enhver form for opfangning eller overvågning af sådanne meddelelser af andre end afsenderen og modtageren, bortset fra tilfælde, hvor det er tilladt ifølge loven«. Direktiv 2002/58, som erstattede direktiv 97/66, bekræfter dette forbud og fastlægger de betingelser, hvorunder medlemsstaterne kan fastsætte undtagelser hertil. I medfør af databeskyttelsesforordningen er medlemsstaternes manøvremargin med hensyn til undtagelsesforanstaltninger i forbindelse med beskyttelse af personoplysninger på samme måde afgrænset i forordningens artikel 23.

175.

Dels angav Domstolen for at nå frem til den konklusion, der er anført i punkt 171 i dette forslag til afgørelse, at beskyttelsen af kommunikationshemmeligheden og beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger udelukkende er reguleret ved direktiv 2002/58 eller databeskyttelsesforordningen, »idet det præciseres, at den beskyttelse, som direktiv 2000/31 har til formål at sikre, under ingen omstændigheder kan berøre de krav, der følger af direktiv 2002/58 og [databeskyttelsesforordningen]«  ( 90 ).

176.

Det fremgår således dels af retspraksis vedrørende artikel 1, stk. 5, litra b), i direktiv 2000/31, at dette direktiv ikke finder anvendelse på spørgsmål, der er omfattet af en specifik regulering inden for rammerne af direktiv 2002/58 og databeskyttelsesforordningen. Dels finder direktiv 2000/31 og de EU-retlige regler, som gælder i forbindelse med personoplysninger, anvendelse samtidigt for så vidt angår ethvert andet spørgsmål, men kravene forbundet med beskyttelsen af personoplysninger går forud for bestemmelserne i dette direktiv.

b)

De relevante bestemmelser i databeskyttelsesforordningen

177.

Den fortolkning, som jeg har givet i punkt 176 i dette forslag til afgørelse, understøttes af databeskyttelsesforordningens artikel 2, stk. 4, hvoraf det fremgår, at denne forordning »ikke berører« anvendelsen af direktiv 2000/31, navnlig reglerne om formidleransvar for tjenesteydere, der er fastsat i artikel 12-15 i dette direktiv  ( 91 ).

178.

Selv om konstateringen af, at et retligt instrument eller en af bestemmelserne heri »ikke berører« anvendelsen af et andet instrument, inden for den EU-retlige terminologi kan føre til forskellige løsninger, præciseres det i databeskyttelsesforordningen, at denne ikke berører navnlig anvendelsen af de specifikke bestemmelser i direktiv 2000/31. EU-lovgiver har således ønsket at fremhæve den omstændighed, at den nævnte forordning ikke begrænser anvendelsesområdet for de specifikke bestemmelser i det nævnte direktiv. Det kan således ikke lægges til grund, at databeskyttelsesforordningen har forrang for direktiv 2000/31 med den begrundelse, at den er vedtaget efter dette.

c)

Afsluttende bemærkninger

179.

Henset til det ovenstående er både direktiv 2000/31, som fortolket af Domstolen  ( 92 ), og databeskyttelsesforordningen  ( 93 ) opbygget på en sådan måde, at de kan anvendes samtidigt på spørgsmål, der ikke er omfattet af en specifik regulering inden for rammerne af den nævnte forordning. Der står følgelig tilbage at afgøre, om databeskyttelsesforordningen indeholder en bestemmelse, der spiller en tilsvarende rolle som bestemmelsen i det nævnte direktivs artikel 14, stk. 1.

180.

I denne henseende foreskrives i databeskyttelsesforordningens artikel 82, stk. 3, at en dataansvarlig eller alt efter omstændighederne en databehandler er fritaget for ansvar for den skade, der er forvoldt af behandling, der overtræder denne forordning, »hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden«. I tilfælde af et brud på persondatasikkerheden begået af en »tredjemand« som omhandlet i forordningens artikel 4, nr. 10), kan den dataansvarlige eller databehandleren på grundlag af forordningens artikel 82, stk. 3, fritages for sit erstatningsansvar ved at bevise, at der ikke er nogen årsagsforbindelse mellem dennes eventuelle tilsidesættelse databeskyttelsesforpligtelsen og den skade, som den fysiske person har lidt  ( 94 ).

181.

Jeg er af den opfattelse, at databeskyttelsesforordningens artikel 82, stk. 3, ikke udgør en bestemmelse om ansvarsfritagelse, der spiller en tilsvarende rolle som bestemmelsen i artikel 14, stk. 1, i direktiv 2000/31.

182.

Artikel 14, stk. 1, i direktiv 2000/31 finder nemlig kun anvendelse, hvis en tjenesteyder, der leverer formidlingsydelser, i medfør af de regler, der gælder for den pågældende, kan holdes ansvarlig for information oplagret på anmodning af brugere af formidlingsydelsen. Spørgsmålet om, hvorvidt denne bestemmelse finder anvendelse, opstår derfor kun, hvis de betingelser, der i gældende regler er fastsat for denne tjenesteyders ansvar for den oplagrede information, er opfyldt. I denne henseende fastlægges de betingelser, der gælder for ret til erstatning i henhold til databeskyttelsesforordningens artikel 82, i denne bestemmelses stk. 1-3. Forordningens artikel 82, stk. 3, indfører alene en betingelse for et sådant erstatningsansvar  ( 95 ). Den dataansvarliges ansvar i henhold til den nævnte forordnings artikel 82 er nemlig betinget af, at der foreligger en fejl begået af denne, hvilket formodes, medmindre sidstnævnte kan bevise, at den pågældende ikke er skyld i den begivenhed, der medførte skaden som omhandlet i stk. 3  ( 96 ).

183.

En databehandler, som kan ifalde ansvar i henhold til databeskyttelsesforordningens artikel 82, er følgelig ikke udelukket fra at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

184.

Det skal imidlertid erindres, at en databehandler i medfør af databeskyttelsesforordningens artikel 82, stk. 2, andet punktum, kun kan ifalde ansvar, hvis den pågældende ikke har opfyldt forpligtelser i denne forordning, der er rettet specifikt mod databehandlere, eller hvis den pågældende har undladt at følge eller handlet i strid med den dataansvarliges lovlige instrukser. Derfor er forpligtelser og ansvar for en operatør af en onlinemarkedsplads, der handler i egenskab af databehandler vedrørende oplysninger, der er indeholdt i annoncer, som indrykkes på den pågældende operatørs platform, fremfor alt knyttet til den nævnte forordnings artikel 32  ( 97 ).

185.

Når dette er sagt, fremgår det, således som jeg allerede har anført, ikke klart, om Russmedia i tvisten i hovedsagen kan ifalde ansvar for en overtrædelse af databeskyttelsesforordningen i medfør af denne forordnings artikel 82 eller i medfør af nationale bestemmelser. Hvis der kan ifaldes ansvar for en overtrædelse af den nævnte forordning på grundlag af nationale bestemmelser (således at samme forordnings artikel 82, stk. 3, ikke finder anvendelse), er der desto mindre grund til at udelukke den pågældende enhed fra at kunne omfattes af ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31.

186.

Afslutningsvis er jeg af den opfattelse, at en aktør, der er involveret i behandling af personoplysninger i egenskab af databehandler, som kan ifalde ansvar for en overtrædelse af databeskyttelsesforordningen, kan påberåbe sig ansvarsfritagelsen i artikel 14, stk. 1, i direktiv 2000/31. Min konklusion vedrørende forholdet mellem disse to EU-retlige instrumenter ændrer således ikke ved mit forslag til besvarelse af de præjudicielle spørgsmål.

V.

Forslag til afgørelse

187.

Henset til samtlige ovenstående betragtninger foreslår jeg Domstolen at besvare de af Curtea de Apel Cluj (appeldomstolen i Cluj, Rumænien) forelagte præjudicielle spørgsmål således: