I 

Johdanto

1.

Nyt käsiteltävässä asiassa esitetyt ennakkoratkaisukysymykset koskevat direktiivin 2000/31/EY ( 2 ) ja asetuksen (EU) 2016/679 ( 3 ) säännöksiä.

2.

Kysymykset liittyvät oikeusriitaan, jossa vastakkain ovat luonnollinen henkilö ja sellaisen verkkomarkkinapaikan ylläpitäjä, jolla julkaistiin ilman mainitun henkilön suostumusta ilmoitus, jonka mukaan hän tarjoaa seksipalveluja. Erityistä tässä asiassa on se, että ilmoituksessa oli henkilötietoja.

3.

Ennakkoratkaisua pyytänyt tuomioistuin on esittänyt yleistä tietosuoja-asetusta koskevia kysymyksiä, joilla se pyrkii selvittämään tässä yhteydessä yhtäältä, onko pääasiassa kyseessä olevan kaltainen verkkomarkkinapaikan ylläpitäjä laiminlyönyt kyseisen asetuksen mukaisia velvollisuuksiaan, ja toisaalta, voidaanko tällaiseen verkkomarkkinapaikan ylläpitäjään soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista kyseisellä verkkomarkkinapaikalla julkaistun ilmoituksen osalta. Nyt käsiteltävän ennakkoratkaisupyynnön yhteydessä unionin tuomioistuimella on siis tilaisuus ottaa kantaa kyseisillä kahdella unionin toimella käyttöön otettujen järjestelmien keskinäiseen suhteeseen.

II 

Asiaa koskevat oikeussäännöt

A 

Unionin oikeus

1. 

Direktiivi 2000/31

4.

Direktiivin 2000/31 1 artiklan, jonka otsikko on ”Tavoite ja soveltamisala”, 5 kohdassa säädetään muun muassa, ettei kyseistä direktiiviä sovelleta ”direktiivien 95/46/EY[ ( 4 )] ja 97/66/EY[ ( 5 )] soveltamisalaan kuuluviin tietoyhteiskunnan palveluihin liittyviin kysymyksiin”.

5.

Direktiivin II luvun, jonka otsikko on ”Periaatteet”, 4 jaksoon, jonka otsikko on “Välittäjinä toimivien palvelun tarjoajien vastuu”, kuuluvissa 12, 13 ja 14 artiklassa säädetään tietoyhteiskunnan palvelujen tarjoajasta, joka – tässä artiklojen järjestyksessä – harjoittaa joko pelkkää siirtotoimintaa (mere conduit), välimuistiin tallentamis- (caching) tai säilytystoimintaa (hosting). Kyseisissä säännöksissä säädetään myös edellytyksistä, joiden täyttyessä tällaiset palveluntarjoajat vapautetaan vastuusta palvelujensa käyttäjiltä peräisin olevien tietojen osalta.

6.

Direktiivin 14 artiklan, jonka otsikko on ”Säilytys (’hosting’)”, 1 kohdassa säädetään seuraavaa:

7.

Direktiivin 15 artiklassa, jonka otsikko on ”Yleisen valvontavelvollisuuden puuttuminen”, säädetään seuraavaa:

2. 

Yleinen tietosuoja-asetus

8.

Yleisen tietosuoja-asetuksen 2 artiklan, jonka otsikko on ”Aineellinen soveltamisala”, 4 kohdassa säädetään seuraavaa:

9.

Asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

10.

Asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:

11.

Saman asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 kohdassa säädetään seuraavaa:

12.

Yleisen tietosuoja-asetuksen 7 artiklan, jonka otsikko on ”Suostumuksen edellytykset”, 1 kohdassa säädetään seuraavaa:

13.

Asetuksen 24–26 artikla ovat osa asetuksen IV luvun, jonka otsikko on ”Rekisterinpitäjä ja henkilötietojen käsittelijä”, 1 jaksoa, jonka otsikko on ”Yleiset velvollisuudet”.

14.

Asetuksen 24 artiklan, jonka otsikko on ”Rekisterinpitäjän vastuu”, 1 kohdassa säädetään seuraavaa:

15.

Asetuksen 25 artiklan, jonka otsikko on ”Sisäänrakennettu ja oletusarvoinen tietosuoja”, 1 ja 2 kohdassa säädetään seuraavaa:

16.

Asetuksen 26 artiklan, jonka otsikko on ”Yhteisrekisterinpitäjät”, 1 artiklassa säädetään seuraavaa:

B 

Romanian oikeus

17.

Sähköisestä kaupankäynnistä 7.6.2002 annetun lain nro 365/2002 (Legea nr. 365/2002 privind comerțul electronic), ( 6 ) sellaisena kuin se on muutettuna sähköisestä kaupankäynnistä annetun lain nro 365/2002 muuttamisesta ja täydentämisestä 4.5.2006 annetulla lailla nro 121/2006 (Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic; jäljempänä laki nro 365/2002), ( 7 ) 11 §:ssä säädetään seuraavaa:

18.

Lain 14 §:ssä, jonka otsikko on ”Tietojen pysyvä säilyttäminen, hosting”, säädetään seuraavaa:

III 

Pääasian taustalla olevat tosiseikat, ennakkoratkaisukysymykset ja menettely unionin tuomioistuimessa

19.

Romanian oikeuden mukaan perustettu yhtiö Russmedia Digital SRL (jäljempänä Russmedia), omistaa verkkomarkkinapaikan www.publi24.ro, jolla voidaan julkaista ilmaiseksi tai maksua vastaan mainoksia, jotka koskevat etenkin tavaroiden tai palvelujen myymistä eri puolilta Romaniaa.

20.

Tuntematon henkilö julkaisi 1.8.2018 kyseisellä verkkomarkkinapaikalla ilmoituksen, jonka sisältö oli pääasian valittajaa halventava ja loukkaava, koska ilmoituksen mukaan valittaja tarjosi seksipalveluja (jäljempänä riidanalainen ilmoitus). Ilmoituksessa oli ilman pääasian valittajan suostumusta käytettyjä valokuvia pääasian valittajasta, jotka olivat peräisin hänen laillisesti käyttämältään sosiaalisen median tililtään, ja pääasian valittajan puhelinnumero. Ennen ilmoituksen julkaisemista ei mitenkään tarkistettu ilmoituksen lähettäneen henkilön henkilöllisyyttä. Pääasian valittaja otti yhteyttä Russmediaan, joka poisti ilmoituksen verkkomarkkinapaikaltaan alle tuntia myöhemmin. Useampi eri internetsivu, joilla julkaistaan mainoksia, on kuitenkin ottanut kyseisen ilmoituksen sivustolleen ja maininnut sen alkuperän, ja se on edelleenkin saatavilla kyseisillä internetsivuilla.

21.

Pääasian valittaja katsoi, että riidanalaisella ilmoituksella loukattiin hänen oikeuksiaan, joten hän nosti kanteen Russmediaa vastaan.

22.

Judecătoria Cluj-Napoca (Cluj-Napocan ensimmäisen asteen tuomioistuin, Romania) hyväksyi kanteen ja velvoitti Russmedian siviilikoodeksin (Codul Civil) 253 §:n nojalla ( 8 ) maksamaan pääasian valittajalle 7 000 euroa henkisestä kärsimyksestä, joka aiheutui siitä, että hänen oikeuttaan omaan kuvaansa, hänen kunniaansa ja hänen mainettaan sekä hänen oikeuttaan yksityisyyteen loukattiin, ja siitä, että hänen henkilötietojaan käsiteltiin lainvastaisesti. Kyseinen tuomioistuin nimittäin katsoi, että riidanalaisen ilmoituksen julkaisemisen yhteydessä Russmedia laiminlöi yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Kyseinen tuomioistuin katsoi, että pääasian valittajan oikeuksia loukattiin vakavasti, kun Russmedia salli kyseisen ilmoituksen julkaisemisen ja tämän jälkeen kyseisen ilmoituksen levittämisen verkossa.

23.

Tribunalul Specializat Cluj (Clujn erikoistunut tuomioistuin, Romania) hyväksyi Russmedian kyseisestä tuomiosta tekemän valituksen ja katsoi, että pääasian valittajan kanne oli perusteeton, koska kyseinen yhtiö ei ollut riidanalaisen ilmoituksen tekijä. Kyseinen tuomioistuin katsoi, että Russmedia tarjosi ainoastaan ilmoitusten tallentamispalvelua eikä se vaikuttanut aktiivisesti ilmoitusten sisältöön ja että näissä olosuhteissa siihen oli sovellettava lain nro 365/2002 14 §:n 1 momentissa säädettyä vastuusta vapauttamista.

24.

Asiaa toisena asteen käsitelleen tuomioistuimen mukaan Russmedia nimittäin poisti riidanalaisen ilmoituksen verkkomarkkinapaikaltaan alle tunnin kuluttua siitä, kun pääasian valittaja otti siihen yhteyttä. Kyseinen tuomioistuin katsoi, että Russmedia on vapautettava vastuustaan vaadittujen vahinkojen korvaamisen osalta, koska kyseinen yhtiö ei ollut kyseisen ilmoituksen tekijä ja koska se esti pääsyn kyseiseen ilmoitukseen lain nro 365/2002 11 §:n 3 momentissa ja 14 §:n 1 momentin b kohdassa tarkoitetulla tavalla heti, kun se sai tietää, että kyseisellä ilmoituksella ehkä loukattiin pääasian valittajan oikeuksia.

25.

Asiaa toisena asteena käsitellyt tuomioistuin katsoi tämän jälkeen siltä osin kuin on kyse rekisterinpitäjän velvollisuudesta tarkistaa ennen ilmoituksen julkaisemista, onko ilmoituksen tekijällä oikeutta käyttää ilmoituksessa mainittuja henkilötietoja, että asiassa on sovellettava lain nro 365/2002 soveltamissääntöjen 11 §:ää, jonka mukaan tietoyhteiskunnan palveluntarjoajalla ei ole velvollisuutta valvoa palveluun tallennettujen tietojen sisältöä. ( 9 )

26.

Asiaa toisena asteena käsitellyt tuomioistuin katsoi vielä, ettei Russmediaa vastaan voida vedota siihen, ettei se ollut ryhtynyt toimenpiteisiin estääkseen riidanalaisen ilmoituksen levittämisen verkossa. Kyseisen tuomioistuimen mukaan Russmedian tarjoama palvelu muodostui ilmoituksen julkaisemisesta ja Russmedia toteutti toimenpiteet estääkseen yleisön pääsyn kyseiseen ilmoitukseen heti pääasian valittajan ilmoitettua sille ilmoituksesta. Näin ollen kyseinen tuomioistuin katsoi, että asiassa on sovellettava lakia nro 365/2002, jonka nojalla kyseinen yhtiö ei ole vastuussa henkisestä kärsimyksestä, jota käyttäjien verkkosivustolla www.publi24.ro julkaisemien ilmoitusten sisällöllä aiheutetaan.

27.

Pääasian valittaja valitti kyseisestä ratkaisusta Curtea de Apel Clujiin (Clujin ylioikeus, Romania), joka on esittänyt tämän ennakkoratkaisupyynnön.

28.

Valituksessaan pääasian valittaja esittää muun muassa, ettei laki nro 365/2002 ole erityislaki suhteessa yleiseen tietosuoja-asetukseen ja että näin ollen asiaa toisena asteena käsitelleen tuomioistuimen olisi pitänyt tarkastella Russmedian vastuuta kyseisen asetuksen säännösten valossa.

29.

Pääasian valittaja esittää lisäksi, ettei Russmedian roolina ollut ainoastaan tarjota asiakkailleen erityistä teknistä järjestelyä, jonka välityksellä asiakkailla on pääsy host-palvelimelle. Pääasian valittajan mukaan kyseisen yhtiön rooliin kuuluu myös toimiminen hallinnoivana ylläpitäjänä, joka puuttuu ilmoitusten sisältöön hyvän tiedonhallinnan nimissä. Kyseisen internetsivuston hallinnoivana ylläpitäjänä kyseinen yhtiö tallentaa ja käsittelee tietojen sisältöä. Tietojen käsitteleminen ja tallentaminen ja niiden saattaminen yleisön saataville tietyssä muodossa edellyttävät paitsi ilmoituksiin sisältyvien tietojen analysoimista myös tietojen hallinnointia, joka on välttämätöntä, jotta yleisön olisi helppo tutustua tietoihin, ja tämä tarkoittaa, että yhtiö osallistuu välittömästi ilmoitusten julkaisemiseen. Näin ollen nyt käsiteltävässä asiassa ei voida soveltaa lain nro 365/2002 14 §:ää. Pääasian valittaja katsoo myös, ettei kyseisessä säännöksessä säädettyä vastuusta vapauttamista sovelleta, jos vastuu osoitetaan muiden säädösten, kuten esimerkiksi yleisen tietosuoja-asetuksen, perusteella, kuten pääasian valittajan mukaan on tässä asiassa.

30.

Ennakkoratkaisua pyytänyt tuomioistuin on hyväksynyt valituksen, koska asiaa toisena asteena käsitellyt tuomioistuin ei ollut tarkastellut yleisen tietosuoja-asetuksen säännösten soveltamista nyt käsiteltävän asian olosuhteissa, on kumonnut valituksenalaisen tuomion ja pitänyt asian vireillä voidakseen antaa siinä uuden ratkaisun aiemmasta muutoksenhausta.

31.

Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin toteaa, että sen näkemyksen mukaan verkkomarkkinapaikan ylläpitäjillä ei ole velvollisuutta tarkistaa etukäteen käyttäjien julkaisemien ilmoitusten sisältöä. Se toteaa kuitenkin, että tuomion L’Oréal ym. ( 10 ) mukaan ainoastaan verkkomarkkinapaikan ylläpitäjä, jolla ei ole aktiivista roolia siinä mielessä, että se auttaisi myyntitarjousten esityksen optimoinnissa tai näiden tarjousten edistämisessä, voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen. Kyseisen tuomion mukaan on lisäksi niin, ( 11 ) että verkkomarkkinapaikan ylläpitäjä ei voi vedota kyseiseen vastuusta vapauttamiseen, jos sillä oli tiedossaan tosiasioita tai olosuhteita, joiden perusteella huolellisen talouden toimijan olisi pitänyt todeta asianomaisten myyntitarjousten laittomuus, ja jos se ei niistä tietoisena toiminut viipymättä. Vastaavasti tuomion Papasavvas ( 12 ) mukaan lehdenkustannustoimintaa harjoittava yhtiö, jolla on internetsivusto, jolla julkaistaan sanomalehden sähköinen versio, ei myöskään voi vedota kyseiseen vastuusta vapauttamiseen, jos kyseinen yhtiö tuntee julkaistut tiedot ja valvoo niitä.

32.

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että unionin tuomioistuimen oikeuskäytännössä viitataan ainoastaan verkossa julkaistuihin tarjouksiin, joiden laittomuus ilmeni sellaisista tosiasioista tai olosuhteista, jotka oli nimenomaisesti ilmoitettu rekisterinpitäjälle asianomaisen ilmoituksen julkaisemisen jälkeen. Unionin tuomioistuin ei sen sijaan ole koskaan tarkastellut nyt käsiteltävässä asiassa kyseessä olevan kaltaista tilannetta. Pääasiassa erityistä on nimittäin se, että tuomioistuinmenettelyn vireillepanoajankohtana tuntemattoman käyttäjän julkaiseman ilmoituksen sisältö oli yksiselitteisesti laiton ja erittäin vahingollinen rekisteröidylle. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan julkaistujen tietojen havaitseminen ja niiden mahdollisen lainvastaisuuden arvioiminen ei siis edellyttänyt ilmoituksen tekemistä rekisterinpitäjälle.

33.

Ennakkoratkaisua pyytänyt tuomioistuin kiinnittää lisäksi huomiota siihen, että vaikka pääasian valittajan tekemän ilmoituksen jälkeen riidanalainen ilmoitus poistettiin Russmedian internetsivuilta, joilla se alun perin julkaistiin, kyseinen ilmoitus on esitetty kokonaisuudessaan, mukaan lukien kaikki pääasian valittajat tiedot ja valokuvat ja maininnalla ilmoituksen alkuperästä, lukuisilla muilla internetsivustoilla ilman henkilötietojen suojaamiseksi toteutettuja toimenpiteitä. Aiheutetusta vahingosta on siis tullut pysyvää ja sitä aiheutetaan edelleenkin.

34.

Ennakkoratkaisua pyytänyt tuomioistuin lisää, että riidanalaisessa ilmoituksessa mainitut seksipalvelut, joita pääasian valittaja väitetysti tarjoaa, voivat liittyä vakaviin rikoksiin, joiden rangaistavuudesta säädetään rikoslaissa, kuten esimerkiksi paritukseen tai ihmiskauppaan.

35.

Ennakkoratkaisua pyytänyt tuomioistuin viittaa vielä siihen, että verkkomarkkinapaikkansa käyttöehtojen perusteella Russmediaa ei ilmeisesti voida pitää pelkkänä passiivisena tietojen käyttäjänä. Näin on siksi, että vaikka kyseinen yhtiö ei vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon, sillä on kuitenkin oikeus käyttää aineistoa, mukaan lukien oikeus kopioida, jaella, siirtää, julkaista, jäljentää, muokata, kääntää, luovuttaa yhteistyökumppaneille ja poistaa milloin tahansa aineistoa, myös ilman pätevää syytä näin toimimiselle.

36.

Tässä tilanteessa Curtea de Apel Cluj on 15.6.2023 tekemällään päätöksellä, joka saapui unionin tuomioistuimeen 3.8.2023, päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

37.

Kirjallisia huomautuksia ovat esittäneet Romanian hallitus ja Euroopan komissio. Pääasian valittaja ja komissio olivat edustettuina istunnossa, joka pidettiin 2.7.2024.

IV 

Asian tarkastelu

38.

Ensimmäisellä kysymyksellä pyritään selvittämään, voiko Russmedia vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen, kun taas toinen, kolmas ja neljäs kysymys koskevat sitä, onko kyseinen yhtiö laiminlyönyt yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan.

39.

Unionin tuomioistuin on aiemmin todennut, että direktiivin 2000/31 14 artiklan 1 kohdan, jota ensimmäinen kysymys koskee, tarkoituksena on rajoittaa niitä tilanteita, joissa asiassa sovellettavan kansallisen oikeuden mukaan voidaan vedota välittäjinä toimivien palveluntarjoajien vastuuseen. ( 13 ) Kun otetaan huomioon unionin oikeuden kehitys tällä alalla, kyseisessä säännöksessä säädettyä vastuusta vapauttamista on mielestäni tarkoitus soveltaa myös silloin, kun palveluntarjoajan vastuu syntyisi unionin oikeuden säännösten tai sen kansallisten täytäntöönpanosäännösten perusteella. ( 14 )

40.

Ennakkoratkaisupyynnössä annetaan ymmärtää, että pääasian oikeudenkäynnissä Russmedian vastuu voi perustua myös yleisen tietosuoja-asetuksen rikkomiseen. ( 15 ) Tässä tilanteessa voisi näyttää lähtökohtaisesti asianmukaiselta arvioida ensiksi toista, kolmatta ja neljättä kysymystä, joilla ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään, onko Russmedia laiminlyönyt yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Esitykseni selkeyden nimissä tarkastelen kuitenkin ennakkoratkaisukysymyksiä niiden esittämisjärjestyksessä. Tarkastelen siis aluksi ennakkoratkaisua pyytäneen tuomioistuimen esiin tuomaa ongelmaa direktiivin 2000/31 näkökulmasta, ja tämän jälkeen käsittelen samaa ongelmaa yleisen tietosuoja-asetuksen näkökulmasta. Esitykseni viimeisessä osassa käsittelen vielä kyseisen asetuksen ja kyseisen direktiivin keskinäisiä vaikutuksia.

41.

Kaikissa esitetyissä ennakkoratkaisukysymyksissä on nimittäin kyse siitä perustavanlaatuisemmasta kysymyksestä, millainen on direktiivin 2000/31 ja yleisen tietosuoja-asetuksen säännösten välinen suhde. Tarkastelen tätä kysymystä todettuani, millä kyseisten kahden unionin toimen säännöksillä on merkitystä tässä asiassa, koska kyseisissä toimissa säädettyjen luokittelujen mukaiset oikeudelliset luonnehdinnat ovat esitettyjen neljän ennakkoratkaisukysymyksen ytimessä.

A 

Ensimmäinen kysymys

42.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään, onko direktiivin 2000/31 14 artiklan 1 kohtaa tulkittava siten, että tietoyhteiskunnan palveluntarjoajaan, joka tarjoaa käyttäjien käyttöön verkkomarkkinapaikkaa, jolla voidaan julkaista ilmoituksia ilmaiseksi tai maksua vastaan, voidaan soveltaa kyseisessä säännöksessä säädettyä vastuusta vapauttamista myös siinä tapauksessa, että kyseinen palveluntarjoaja toteaa verkkomarkkinapaikkansa käyttöehdoissa, ettei se vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon mutta että sillä on kuitenkin oikeus käyttää aineistoa, mukaan lukien sen kopiointi, jakelu, siirto, julkaiseminen, jäljentäminen, muokkaaminen, kääntäminen, luovuttaminen yhteistyökumppaneille ja poistaminen milloin tahansa, myös ilman syytä.

43.

Tarkastelen siis tätä kysymystä (1 jakso), jolla pyritään lähinnä selvittämään, voidaanko Russmediaa pitää välittäjänä toimivana palveluntarjoajana, joka voisi lähtökohtaisesti vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen. Koska ennakkoratkaisua pyytänyt tuomioistuin vaikuttaa myös olevan pääasian erityispiirteiden vuoksi epävarma siitä, täyttyvätkö nyt käsiteltävässä asiassa kyseisessä säännöksessä säädetyt edellytykset sille, että vastuusta vapauttamista voidaan soveltaa yksittäistapauksessa, käsittelen täydellisyyden nimissä myös tätä kysymystä (2 jakso).

1. 

Välittäjänä toimivan palveluntarjoajan käsite

a) 

Kysymyksen ulottuvuus ja oletukset

44.

Mielestäni on tärkeää tuoda esiin sekä oletus, johon ensimmäinen kysymys perustuu, että kysymyksen ulottuvuus.

45.

Tästä on todettava yhtäältä, että kuten jo mainitsin, ( 16 ) direktiivin 2000/31 12, 13 ja 14 artiklassa säädetään sellaisia poikkeuksista vastuusta, joita sovelletaan, jos tietoyhteiskunnan palvelujen tarjoajan suorittamat palvelut ovat tässä järjestyksessä joko pelkkää siirtotoimintaa (mere conduit), välimuistiin tallentamis- (caching) tai säilytys- eli hosting-toimintaa.

46.

Vaikka ensimmäisessä kysymyksessä viitataan kyseisiin kolmeen säännökseen, ennakkoratkaisua pyytänyt tuomioistuin antaa ymmärtää, että Russmedia tarjoaa hosting-palvelua, joka muodostuu käyttäjien toimittamien tietojen säilyttämisestä palvelimilla. Muutenkin lain nro 365/2002 14 §:ää, jonka soveltamisesta tässä asiassa on kiistelty kansallisissa elimissä, ( 17 ) on nähtävästi pidettävä direktiivin 2000/31 14 artiklan täytäntöönpanosäännöksenä, ja kyseisessä artiklassa säädetään hosting-palveluista. Katson näin ollen, että ensimmäinen kysymys koskee tätä unionin oikeuden säännöstä ja että ennakkoratkaisua pyytänyt tuomioistuin olettaa tässä vaiheessa, että Russmedian tarjoamaa palvelua on pidettävä tietoyhteiskunnan palveluna, joka muodostuu lähinnä sen verkkomarkkinapaikan käyttäjien toimittamien tietojen säilyttämisestä (hosting).

47.

Ensimmäisen kysymyksen ulottuvuudesta on todettava toiseksi, että sen varovaisen muotoilun perusteella ennakkoratkaisua pyytänyt tuomioistuin ei ilmeisesti ota kantaa Russmedian rooliin kyseisen hosting-palvelun tarjoamisessa. Kyseisen kysymyksen perusteella toteamus, jonka mukaan Russmedialla on ainoastaan tekninen rooli, perustuu nimittäin kyseisen yhtiön väitteisiin. ( 18 ) Vaikka ennakkoratkaisua pyytänyt tuomioistuin ei vaikuta kyseenalaistavan tätä väitettä, tulen kuitenkin käsittelemään sitä, koska pääasian valittaja on vahvasti sitä mieltä, ettei väite pidä paikkaansa. ( 19 )

48.

Vielä on kolmanneksi todettava, että ennakkoratkaisua pyytäneen tuomioistuimen mukaan Russmedia ei vaikuta olevan ”pelkkä passiivinen tietojen käyttäjä (välittäjänä toimiva palveluntarjoaja), sillä vaikka [kyseinen yhtiö] ei vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon, sillä on kuitenkin oikeus käyttää aineistoa”. Ensimmäisen kysymyksen muotoilussa näkyy tämä ennakkoratkaisua pyytäneen tuomioistuimen pohtima seikka. Kyseisellä kysymyksellä tiedustellaan nimittäin, voidaanko palveluntarjoajaan, ”joka tarjoaa käyttäjille [verkkomarkkinapaikan, mutta] joka sivuston käyttöehdoissaan ilmoittaa, että – – sillä on kuitenkin oikeus käyttää aineistoa” soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

49.

Kun ennakkoratkaisupyynnössä viitataan Russmedian toiminnan puhtaasti tekniseen tai passiiviseen luonteeseen, siinä viitataan unionin tuomioistuimen oikeuskäytäntöön, jonka mukaan direktiivin 2000/31 14 artiklan 1 kohdassa säädetty vastuusta vapauttaminen koskee ainoastaan tapauksia, joissa palveluntarjoajan toiminta rajoittuu lainsäätäjän kyseisen direktiivin II luvun 4 jaksossa tarkoittaman välittäjänä toimivan palveluntarjoajan toimintaan. Tämän osalta direktiivin 2000/31 johdanto-osan 42 perustelukappaleesta ilmenee, että kyseisessä direktiivissä säädetyt vastuuta koskevat poikkeukset koskevat ainoastaan tapauksia, joissa tietoyhteiskunnan palvelun tarjoajan toiminta on luonteeltaan puhtaasti teknistä, automaattista ja passiivista, mikä merkitsee sitä, että kyseinen palvelun tarjoaja ei tunne siirrettäviä tai tallennettavia tietoja eikä valvo niitä. ( 20 ) Ensimmäistä ennakkoratkaisukysymystä on tarkasteltava tämän oikeuskäytännön valossa.

b) 

Verkkomarkkinapaikan ylläpitäjän rooli

50.

Vaikka ennakkoratkaisua pyytänyt tuomioistuin ei ole toimittanut yksityiskohtaisia tietoja Russmedian verkkomarkkinapaikan toimintatavasta, vaikuttaa siltä, että kyseinen yhtiö määrittää, missä kohtaa sivua ilmoitukset näkyvät, ja julkaisee ne ilmaiseksi tai maksua vastaan verkkomarkkinapaikallaan, jossa ilmoitukset ryhmitellään eri luokkiin ilmoituksen jättävän käyttäjän valinnan mukaan ja jolla muut käyttäjät voivat etsiä ilmoituksia yksinkertaisen hakutoiminnon avustuksella ja rajata tuloksia luokan mukaan. Voidakseen julkaista ilmoituksen verkossa ilmoituksen jättävän käyttäjän on rekisteröidyttävä Russmedian palveluun. Käyttäjän henkilöllisyyttä ei tarkisteta rekisteröitymisen yhteydessä tai ilmoituksen julkaisemisen yhteydessä. Tämä kuvaus kyseisen verkkomarkkinapaikan toimintatavasta perustuu ennakkoratkaisupyyntöön, asianosaisten ja osapuolten huomautuksiin ja istunnossa esitettyihin huomautuksiin sekä omaan tutkimustyöhöni. On ennakkoratkaisua pyytäneen tuomioistuimen tehtävä tarkistaa näiden huomautusten paikkansapitävyys ennen kuin se antaa ratkaisun pääasiassa.

51.

Asiassa, jossa oli kyse verkkomarkkinapaikan ylläpitäjästä, unionin tuomioistuin on todennut, että kun ratkaistaan, voidaanko tällainen ylläpitäjä vapauttaa vastuusta direktiivin 2000/31 14 artiklan nojalla, on tutkittava, suorittaako se palvelun neutraalisti käsittelemällä täysin teknisesti ja automaattisesti asiakkaidensa toimittamia tietoja vai onko sillä aktiivinen rooli, jonka vuoksi se tuntee tallennetut tiedot tai valvoo niitä. ( 21 )

52.

Tästä unionin tuomioistuin on katsonut, että pelkästään se, että verkkomarkkinapaikan ylläpitäjä tallentaa palvelimelleen myyntitarjoukset, vahvistaa palvelunsa yksityiskohtaiset säännöt, saa palvelustaan korvauksen ja antaa yleisluonteisia neuvoja asiakkailleen, ei voi merkitä sitä, että siltä evätään direktiivissä 2000/31 säädetyt vastuuta koskevat poikkeukset. ( 22 )

53.

Toisesta direktiivin 2000/31 14 artiklan 1 kohdan mukaisista edellytyksistä sille, että välittäjänä toimivaan palveluntarjoajaan sovelletaan vastuusta vapauttamista, joihin edellytyksiin palaan jäljempänä, ( 23 ) unionin tuomioistuin on lisäksi todennut, että vain sen perusteella, että verkossa olevan sisällönjakoalustan ylläpitäjä indeksoi automaattisesti kyseiselle alustalle ladattuja sisältöjä, että mainittu alusta sisältää hakutoiminnon ja että siinä suositellaan videoita käyttäjien profiilin ja mieltymysten mukaan, ei voida katsoa, ettei kyseinen edellytys täyty. ( 24 ) Näin ollen on varsinkin niin, ettei tällainen palveluntarjoaja voi myöskään menettää mahdollisuuttaan vedota kyseisessä säännöksessä säädettyyn vastuusta vapauttamiseen näiden seikkojen perusteella. Kysymys siitä, täyttyvätkö kyseisen direktiivin 14 artiklan 1 kohdan a tai b alakohdan mukaiset edellytykset vastuusta vapauttamiselle, tulee nimittäin esiin ainoastaan siinä tapauksessa, että kyseistä palveluntarjoajaa voidaan pitää ”hosting-palvelun tarjoajana, jonka rooli on neutraali” tallentamiensa tietojen osalta ja että se siis voi lähtökohtaisesti vedota kyseiseen vapautukseen.

54.

Alustavasti vaikuttaa siis siltä, että Russmedian rooli on ilmoituksia jättävien käyttäjien pyynnöstä tallennettujen tietojen kannalta neutraali ja että se voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vapautukseen. Seuraavaksi on hälvennettävä ensimmäisen ennakkoratkaisukysymyksen muotoilusta ilmenevää ennakkoratkaisua pyytäneen tuomioistuimen epävarmuutta siltä osin kuin se lähinnä pyrkii määrittämään, onko kyseisen vapautuksen sovellettavuuden tarkastelun yhteydessä annettava enemmän painoarvoa verkkomarkkinapaikan käyttöehdoille vai verkkomarkkinapaikan ylläpitäjän tosiasiallisesti toteuttamille toimille.

c) 

Käyttöehtojen merkitys

55.

Muistutan, että Russmedian verkkomarkkinapaikan käyttöehtojen mukaan se ei vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon, mutta sillä on kuitenkin oikeus käyttää aineistoa, mukaan lukien oikeus kopioida, jaella, siirtää, julkaista, jäljentää, muokata, kääntää, luovuttaa yhteistyökumppaneille ja poistaa milloin tahansa aineistoa, myös ilman syytä.

56.

Huomautan aluksi, ettei pääasiassa ole kyse vahingosta, joka olisi aiheutunut pääasian valittajalle Russmedian riidanalaiseen ilmoitukseen, joka oli saatavilla Russmedian verkkomarkkinapaikalla, kohdistuneesta toimesta. Tässä tapauksessa ei siis ole kyse tilanteesta, jossa vahinko olisi aiheutunut verkkomarkkinapaikan käyttäjän toimittamasta sisällöstä, jota verkkomarkkinapaikan ylläpitäjä olisi muuttanut tai manipuloinut.

57.

Tämän todettuani huomautan, että Russmedian verkkomarkkinapaikan käyttöehtojen perusteella kyseisellä yhtiöllä ei ilmeisesti ole mitään velvollisuuksia ilmoituksen jättäviä käyttäjiä kohtaan kyseisten käyttäjien pyynnöstä tallennettujen ilmoitusten sisällön laatimisen tai esittämisen osalta. Kyseinen yhtiö varaa sen sijaan oikeuden käyttää kyseisiä tietoja, myös ilman syytä.

58.

Tästä on todettava, että vaikka verkkomarkkinapaikan käyttöehtojen mukaan voi määräytyä tietoyhteiskunnan palvelun toimintatapa ja niiden perusteella voidaan hahmottaa palveluntarjoajan rooli, sopimusmuotoiluilla, joiden nojalla kyseinen palveluntarjoaja voi toteuttaa tietyn toimen tallennettujen tietojen osalta olematta kuitenkaan velvollinen toimimaan niin, ei voi sinänsä olla ratkaisevaa merkitystä, kun tarkastellaan kysymystä siitä, onko kyseisen palveluntarjoajan rooli neutraali. Unionin tuomioistuin kiinnittää oikeuskäytännössään nimittäin huomiota tietoyhteiskunnan palveluntarjoajan tosiasialliseen osallistumiseen palvelun käyttäjien toimittamien tietojen laatimiseen ja esittämiseen. Kun sitä vastoin tutkitaan, voidaanko direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista soveltaa, on jätettävä huomiotta toimet, jotka palveluntarjoaja alustansa käyttöehtojen mukaan voi toteuttaa mutta joita se ei käytännössä toteuta. Toisin sanoen kyseisen kysymyksen arvioinnin yhteydessä on otettava huomioon tällaisen palvelun tarjoajan tosiasiallisesti toteuttamat toimet.

59.

Tarkemmin sanottuna unionin tuomioistuin on katsonut, että kun verkkomarkkinapaikan ylläpitäjä antaa apua, joka muodostuu muun muassa kyseessä olevien myyntitarjousten esityksen optimoinnista tai näiden tarjousten edistämisestä, on katsottava, että sillä ei ole neutraalia asemaa asianomaisen asiakkaanaan olevan myyjän ja mahdollisten ostajien välillä, vaan sillä on aktiivinen rooli, jonka vuoksi se tuntee näitä tarjouksia koskevat tiedot tai valvoo niitä. ( 25 ) Vastaavasti unionin tuomioistuin on lähinnä katsonut, että lehdenkustannustoimintaa harjoittava yhtiö ei voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen niiden tietojen osalta, jotka näkyvät kyseisen yhtiön julkaiseman paperisen sanomalehden sähköisessä versiossa, koska lähtökohtaisesti kyseinen yhtiö tuntee julkaisemansa tiedot ja valvoo niitä. ( 26 )

60.

Yhteenvetona totean, että juuri mainitsemissani otteissa oikeuskäytännöstä verkkomarkkinapaikan toiminnan yksityiskohdista seurasi, että ylläpitäjä tiesi tallennetuista tiedoista ja valvoi niitä etukäteen. Nyt käsiteltävässä asiassa, kuten komissio totesi istunnossa, mikään ei sen sijaan viittaa siihen, että Russmedia osallistuisi ilmoitusten luomiseen, optimointiin tai esittämiseen tai että se valvoisi yksittäisten ilmoitusten sisältöä ennen niiden julkaisemista. Verkkomarkkinapaikkansa käyttöehtojen nojalla kyseisen yhtiön harjoittama valvonta on luonteeltaan vain potentiaalista ja jälkikäteen harjoitettua. Muutenkin vaikuttaa siltä, ettei Russmedia tunne sen palvelimille tallennettuja tietoja tavalla, jonka perusteella kyseiseltä yhtiöltä voitaisiin evätä direktiivin 2000/31 14 artiklan 1 kohdassa säädetty vastuusta vapauttaminen.

61.

Kuten komissio on huomauttanut, Russmedian käyttämien kaltaiset alustan käyttöehdot eivät myöskään ole epätyypillisiä välityspalveluille. ( 27 ) Tästä on huomattava, että välittäjänä toimivan palveluntarjoajan varaama oikeus käyttää palvelunsa käyttäjien toimittamia tietoja liittyy välittäjinä toimivien palveluntarjoajien merkittävään rooliin laittomien verkkosisältöjen torjunnassa.

62.

Täyttääkseen direktiivin 2000/31 14 artiklan 1 kohdan a tai b alakohdan mukaiset edellytykset sille, että välittäjänä toimivaan palveluntarjoajaan voidaan soveltaa vastuusta vapauttamista, välittäjänä toimivan palveluntarjoajan on nimittäin reagoitava laittomaan sisältöön ja poistettava se tai estettävä pääsy siihen heti, kun se saa siitä tiedon. Muun muassa tuodakseen esiin sen, että se voi toimia edellä kuvatulla tavalla, välittäjänä toimiva palveluntarjoaja voi varata itselleen oikeuden poistaa sisältöjä milloin tahansa.

63.

Näin ollen se, että verkkomarkkinapaikkansa käyttöehdoissa Russmedia varaa itselleen oikeuden käyttää palvelunsa käyttäjien pyynnöstä tallennettuja sisältöjä, ei voi merkitä, ettei kyseiseen yhtiöön voida soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

d) 

Väliaikainen ratkaisuehdotus

64.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa ensimmäiseen kysymykseen, että direktiivin 2000/31 14 artiklan 1 kohtaa on tulkittava siten, että tietoyhteiskunnan palveluntarjoajaan, joka tarjoaa käyttäjien käyttöön verkkomarkkinapaikkaa, jolla julkaistaan ilmoituksia ilmaiseksi tai maksua vastaan, voidaan soveltaa kyseisessä säännöksessä säädettyä vastuusta vapauttamista myös siinä tapauksessa, että kyseinen palveluntarjoaja toteaa verkkomarkkinapaikkansa käyttöehdoissa, ettei se vaadi omistusoikeutta tarjottuun tai julkaistuun, ladattuun tai lähetettyyn aineistoon mutta että sillä on kuitenkin oikeus käyttää aineistoa, mukaan lukien sen kopiointi, jakelu, siirto, julkaiseminen, jäljentäminen, muokkaaminen, kääntäminen, luovuttaminen yhteistyökumppaneille ja poistaminen milloin tahansa, myös ilman syytä, kunhan kyseinen palveluntarjoaja ei toteuta toimenpiteitä, joiden vuoksi sitä ei voida luonnehtia neutraaliksi hosting-palvelun tarjoajaksi.

65.

Täydellisyyden nimissä on syytä tutkia, täyttyvätkö kyseisen vapautuksen soveltamisedellytykset nyt käsiteltävässä asiassa, kun otetaan huomioon pääasian erityispiirteet.

2. 

Edellytykset, joiden täyttyessä välittäjänä toimiva palveluntarjoaja on vapautettava vastuusta

66.

Ennakkoratkaisupyynnössä korostetaan nyt käsiteltävän asian erityispiirteitä, jotka näyttävät liittyvän direktiivin 2000/31 14 artiklan 1 kohdassa säädettyihin edellytyksiin, joiden täyttyessä sovelletaan vapautusta tallennettujen tietojen perusteella syntyvästä vastuusta. Ennakkoratkaisua pyytänyt tuomioistuin korostaa unionin tuomioistuimelle nimittäin sitä, että riidanalainen ilmoitus oli ilmeisen lainvastainen ja erittäin vahingollinen ja että se on saatavilla lukuisilla muilla internetsivuilla, jotka ovat toisintaneet sen.

a) 

Tallennettujen tietojen ilmeinen laittomuus

1) 

Ilmeisen laittoman sisällön havaitseminen

67.

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, ettei julkaistujen tietojen havaitsemisen ja niiden mahdollisen laittomuuden arvioimisen olisi tullut edellyttää Russmedialle tehtyä ilmoitusta kyseisestä laittomasta sisällöstä. Kyseisen tuomioistuimen mukaan riidanalaisen ilmoituksen sisältö on nimittäin ilmeisen laitonta ja erittäin vahingollista pääasian valittajan kannalta. Ennakkoratkaisua pyytänyt tuomioistuin vaikuttaa siis katsovan lähtökohtaisesti, että kyseisen sisällön selvän laittomuuden vuoksi Russmedian olisi pitänyt tietää ilmoituksesta ja sen laittomasta sisällöstä. Jotta Russmediaan voitaisiin soveltaa vastuusta vapauttamista, sen olisi siis tullut – viipymättä ja odottamatta tätä koskevaa pyyntöä – poistaa kyseinen ilmoitus tai estää pääsy siihen direktiivin 2000/31 14 artiklan 1 kohdan b alakohdan mukaisesti.

68.

Direktiivin 2000/31 14 artiklan 1 kohdan a alakohdan tarkoituksena on vapauttaa hosting-palvelun tarjoaja vastuusta tallennettujen tietojen osalta, kun se ei tiedä laittomasta toiminnasta tai tiedoista. Kun hosting-palvelun tarjoajan vastuuseen vedotaan vahingonkorvausvaatimuksen yhteydessä, kuten on tässä asiassa, vastuusta vapauttamiseen sovelletaan toista, tiukempaa edellytystä. Tässä tilanteessa palveluntarjoajaan ei voida soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista, jos se on saanut tietoonsa tosiasioita tai olosuhteita, joiden perusteella huolellisen talouden toimijan olisi pitänyt todeta kyseinen laittomuus eikä se ole toiminut direktiivin 14 artiklan 1 kohdan b alakohdassa edellytetyllä tavalla. ( 28 ) Kuten direktiivissä 2000/31 edellytetään, toiminnan tai tietojen laittomuuden on nimittäin oltava ilmeistä eli toisin sanoen sen on oltava helposti tunnistettavissa. ( 29 )

69.

Palveluntarjoajalta voidaan kuitenkin evätä direktiivin 2000/31 14 artiklan 1 kohdan mukainen vastuuvapautus vain sillä edellytyksellä, että se on tosiasiallisesti saanut tietoonsa tosiasioita tai olosuhteita, joiden perusteella huolellinen talouden toimija voi objektiivisesti todeta toiminnan tai tietojen laittomuuden. Riippumatta siitä, onko kyse vahingonkorvausvaatimuksesta, ei nimittäin riitä, että palveluntarjoaja on yleisesti tietoinen siitä, että sen palvelua käytetään myös laittomien sisältöjen jakamiseen. Palveluntarjoajan on oltava tietoinen tosiasioista tai olosuhteista, jotka liittyvät konkreettiseen laittomaan toimintaan tai konkreettisiin laittomiin tietoihin. ( 30 )

70.

Direktiivin 2000/31 14 artiklan 1 kohdan a alakohdassa säädetty edellytys ei siis täyty silloin, kun palveluntarjoaja tiedossaan olevien seikkojen perusteella toteaa tai jättää huomiotta tallentamiensa tietojen laittomuuden tai erehtyy pitämään kyseisiä tietoja lainmukaisina. Näin on siksi, että tietojen tai toiminnan laittomuutta on arvioitava objektiivisesti huolellista talouden toimijaa koskevan arviointiperusteen perusteella, kun taas sitä, onko palveluntarjoaja tiennyt laittomuutta ilmentävistä seikoista, arvioidaan lähtökohtaisesti kyseisen palveluntarjoajan saatavilla tosiasiallisesti olleiden tietojen perusteella.

71.

Näin ollen ei voida olettaa, että verkkomarkkinapaikan ylläpitäjä olisi tietoinen kaikkien laittomien ja vahingollisten ilmoitusten sisällöstä. Muutenkin ottamalla käyttöön tällainen olettama tällainen palveluntarjoaja velvoitettaisiin valvomaan aktiivisesti kaikkia ilmoituksia jättävien käyttäjiensä tietoja sellaisten ilmoitusten havaitsemiseksi, jotka ovat ilmeisen laittomia ja vahingollisia. Tällainen valvontavelvollisuus olisi mielestäni vaikeasti sovitettavissa yhteen direktiivin 2000/31 logiikan kanssa.

72.

Tällainen ”takaoven kautta” käyttöön otettu valvontavelvollisuus olisi nimittäin ristiriidassa direktiivin 2000/31 15 artiklan 1 kohdan kanssa, jonka mukaan jäsenvaltiot eivät saa asettaa hosting-palvelun tarjoajille yleistä velvoitetta valvoa tallentamiaan tietoja eivätkä yleistä velvoitetta pyrkiä aktiivisesti saamaan selville laitonta toimintaa osoittavia tosiasioita tai olosuhteita. Kansallisella toimenpiteellä hosting-palvelun tarjoajalle ei siis voida asettaa yleistä velvoitetta valvoa tallentamiaan tietoja. ( 31 )

73.

Näin ollen direktiivin 2000/31 14 artiklan 1 kohdan a alakohdassa säädetyn edellytyksen ei voida katsoa jäävän täyttymättä sillä perusteella, että verkkomarkkinapaikalla julkaistu ilmoitus on ilmeisen laiton ja erittäin vahingollinen henkilölle, jota kyseinen ilmoitus koskee. Täydellisyyden nimissä lisään, ettei direktiivissä 2000/31 ole unohdettu tilannetta, jossa hosting-palvelun tarjoajan liiketoiminta- tai organisaatiomalli kannustaa levittämään laittomia sisältöjä tai edistää tällaista toimintaa.

2) 

Alusta, joka osallistuu laittomaan toimintaan

74.

On huomattava, että direktiivin 2000/31 johdanto-osan 44 perustelukappaleessa todetaan, että palveluntarjoajan, joka tarkoituksellisesti tekee yhteistyötä palvelun vastaanottajan kanssa toteuttaakseen laittomia toimia, ei voida katsoa toimivan direktiivin 12 artiklassa tarkoitetun ”pelkän siirtotoiminnan” tai direktiivin 13 artiklassa tarkoitetun ”välimuistiin tallentamisen” puitteissa. Tällainen palveluntarjoaja ei siten voi omaksi hyväkseen vedota tällaista toimintaa varten vahvistettuihin vastuuta koskeviin poikkeuksiin. Vaikka kyseisessä perustelukappaleessa ei mainita mainitun direktiivin 14 artiklassa tarkoitettua hosting-toimintaa, ei ole mitään syytä, jonka vuoksi kyseistä päättelyä ei voitaisi soveltaa kyseiseen toimintaan. Unionin tuomioistuin on nimittäin katsonut tuomiossaan YouTube ja Cyando, ( 32 ) ettei verkkoalustan ylläpitäjää, joka pelkän alustan käyttöön antamisen lisäksi myös myötävaikuttaa siihen, että yleisölle annetaan pääsy sisältöihin tekijänoikeuden vastaisesti, voida pitää neutraalina hosting-palvelun tarjoajana, johon voidaan soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

75.

Kun unionin tuomioistuin arvioi kyseisessä tuomiossaan sitä, antoiko ylläpitäjä yleisölle tällaisen pääsyn sisältöihin, se näyttää tukeutuneen välillisesti direktiivissä 2001/29/EY ( 33 ) tarkoitettua yleisölle välittämisen käsitettä koskevaan analyysiinsa. Kyseisen unionin tuomioistuimen The Pirate Bay ‑jakoalustaa koskevaan tuomioon ( 34 ) perustuvan analyysin mukaan ylläpitäjä antaa yleisölle pääsyn sisältöihin, kun se osallistuu alustansa käyttäjien suorittamaan suojattujen sisältöjen laittomaan välittämiseen täysin tietoisena menettelynsä seurauksista antaakseen muille internetin käyttäjille pääsyn tällaisiin sisältöihin. Unionin tuomioistuin on todennut, että kun ratkaistaan, onko tästä kyse, on otettava huomioon kaikki kyseessä olevalle tilanteelle ominaiset seikat, joiden perusteella voidaan tehdä suoraan tai välillisesti päätelmiä siitä, onko ylläpitäjän osallistuminen mainittujen sisältöjen laittomaan välittämiseen tarkoituksellista vai ei.

76.

Kun tätä lähestymistapaa sovelletaan nyt käsiteltävän asian olosuhteisissa, on katsottava, että verkkomarkkinapaikan ylläpitäjää, jonka liiketoiminta- tai organisaatiomalli kannustaa sen alustan käyttäjiä levittämään ilmeisen laittomia ja erittäin vahingollisia sisältöjä tai edistää ja helpottaa tällaisten sisältöjen levittämistä rajoituksetta ja ilman valvontaa, ei voida pitää direktiivin 2000/31 14 artiklan 1 kohdassa tarkoitettuna neutraalina hosting-palvelun tarjoajana. Mikään ei kuitenkaan viittaa siihen, että Russmedian liiketoiminta- tai organisaatiomalli olisi tällainen.

3) 

Verkossa saatavilla olevien sisältöjen moderointia koskevan unionin oikeuden kehitys

77.

Voidaan väittää, että kun otetaan huomioon ilmeisen laittoman ja erittäin vahingollisen sisällön levittämisestä mahdollisesti aiheutuvat riskit hosting-palvelujen käyttäjien ja kolmansien osapuolten oikeuksille, sitä, että poikkeuksellisia olosuhteita lukuun ottamatta ( 35 ) direktiivissä 2000/31 ei lähtökohtaisesti aseteta hosting-palvelun tarjoajille velvollisuutta havaita ilmeisen laiton ja erittäin vahingollinen sisältö, voidaan pitää epätyydyttävänä.

78.

Kuten olen kuitenkin toisessa yhteydessä huomauttanut, ( 36 ) direktiivi 2000/31 on oman aikansa tuote ja antamalla kyseisen direktiivin unionin lainsäätäjän tarkoituksena oli luoda perusjärjestelmä, jolla suojataan etenkin tietoyhteiskunnan palvelujen vapaata liikkumista. Näin ollen kyseisessä direktiivissä asetetaan ainoastaan kaikkiin tietoyhteiskunnan palveluntarjoajiin sovellettavia tiedonantovelvollisuuksia erottelematta erilaisten hosting-palvelujen ryhmiä toisistaan. ( 37 ) Näin on siksi, että kyseinen direktiivi perustuu logiikkaan, jonka mukaan on jäsenvaltioiden tehtävä määrittää kyseisellä direktiivillä asetetuissa rajoissa velvollisuudet, joita niiden alueelle sijoittautuneiden palveluntarjoajien on noudatettava. Jäsenvaltioiden liikkumavaraa rajoitetaan etenkin kyseisen direktiivin 15 artiklassa säädetyllä kiellolla, jonka mukaan jäsenvaltiot eivät voi asettaa yleistä valvontavelvollisuutta.

79.

Direktiivillä 2000/31 käyttöön otettua perusjärjestelmää on hiljalleen täydennetty alakohtaisilla säädöksillä, joissa edellytetään asianmukaisten toimenpiteiden toteuttamista tiettyjen käyttäjäryhmien suojaamiseksi tietyiltä sisällöiltä, kuten esimerkiksi terroristisilta sisällöiltä tai lapsipornolta. ( 38 )

80.

Unionin lainsäätäjä on viime aikoina muuttanut merkittävästi verkkoalustoihin sovellettavia oikeussääntöjä. Digipalvelusäädöksessä nimittäin erotellaan alustojen velvollisuudet tiettyjen arviointiperusteiden mukaan ja siinä säännellään myös tietyssä määrin laittoman sisällön moderointia. ( 39 ) Nyt käsiteltävässä asiassa ei kuitenkaan sovelleta kyseisiä uusia oikeussääntöjä eikä unionin tuomioistuimen mielestäni tule oikeuskäytännössään vahvistaa velvollisuutta, josta ei säädetä pääasian tosiseikkoihin sovellettavassa direktiivissä 2000/31 ja joka on lisäksi ristiriidassa kyseisen direktiivin 15 artiklan kanssa.

b) 

Julkaistujen ilmoitusten sisällön edelleen jakeleminen

81.

Ennakkoratkaisua pyytänyt tuomioistuin on korostanut unionin tuomioistuimelle myös sitä seikkaa, että vaikka Russmedia poisti riidanalaisen ilmoituksen verkkomarkkinapaikaltaan pääasian valittajan pyynnöstä, kyseinen ilmoitus on edelleenkin saatavilla lukuisilla muilla internetsivustoilla, jotka ovat saaneet kyseisen ilmoituksen Russmedian verkkomarkkinapaikalta ja lisänneet siihen viittauksen ilmoituksen alkuperästä. Ennakkoratkaisua pyytänyt tuomioistuin ei ole suoraan esittänyt kysymystä, joka koskisi tämän seikan arviointia direktiivin 2000/31 näkökulmasta. Se viittaa siihen sen sijaan neljännessä kysymyksessään, joka koskee henkilötietojen käsittelyn turvallisuuden takaamiseksi yleisen tietosuoja-asetuksen nojalla vaadittavia toimenpiteitä. Vastauksena unionin tuomioistuimen esittämiin kysymyksiin asianosaiset ja osapuolet kuitenkin keskustelivat tästä seikasta istunnossa mainitun direktiivin 14 artiklan 1 kohdan b alakohdassa säädetyn vastuusta vapauttamista koskevan edellytyksen yhteydessä. Näin ollen ja hyödyllisen vastauksen antamiseksi ennakkoratkaisua pyytäneelle tuomioistuimelle tarkastelen kysymystä siitä, täyttyykö direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetty edellytys, kun hosting-palvelun tarjoaja, joka on saanut tietoonsa tosiasioita tai olosuhteita, joiden perusteella tallennettujen tietojen laittomuus on helposti todettavissa, poistaa kyseiset tiedot viipymättä internetsivuiltaan, mutta ne ovat edelleenkin saatavilla muilla internetsivuilla, jotka ovat saaneet ne kyseisen hosting-palvelun tarjoajan internetsivuilta.

82.

Tästä on todettava, ettei ennakkoratkaisua pyytänyt tuomioistuin mainitse, onko Russmedia edelleenvälittänyt riidanalaisen ilmoituksen muiden internetsivujen ylläpitäjille vai ovatko kyseiset ylläpitäjät kopioineet kyseisen ilmoituksen Russmedian tästä tietämättä. Kyseisestä seikasta keskusteltiin istunnossa. Hyödyllisen vastauksen antamiseksi ennakkoratkaisua pyytäneelle tuomioistuimelle tarkastelen molempia tilanteita.

1) 

Riidanalaisen ilmoituksen toisintaminen yhteistyökumppanien toimesta

83.

Istunnossa komissio viittasi tilanteeseen, jossa Russmedia välittää verkkomarkkinapaikkansa käyttöehtojen mukaisesti sopimussuhteisille yhteistyökumppaneilleen, jotka se luettelee internetsivustollaan ja joista ilmoituksen jättävät käyttäjät siis ovat tietoisia, sen verkkomarkkinapaikalla julkaistuja ilmoituksia.

84.

Voidaan kysyä, voidaanko verkkomarkkinapaikan ylläpitäjän tässä tilanteessa tarjoamaa palvelua pitää palvelun vastaanottajan pyynnöstä tallennettujen tietojen neutraalina hosting-palveluna. On nimittäin pidettävä mielessä, että direktiivin 2000/31 14 artiklan 1 kohtaa sovelletaan ainoastaan siinä tapauksessa, että palveluntarjoajan palvelussa on kyse tällaisesta palvelusta.

85.

Tässä yhteydessä huomautan, että kun verkkomarkkinapaikan ylläpitäjä välittää yksittäin ja/tai ihmisen avustuksella palvelunsa vastaanottajan toimittamia tietoja yhteistyökumppaneilleen, jotta ne julkaisisivat kyseiset tiedot toisilla internetsivustoilla, sen rooliin näyttää liittyvän kyseisten tietojen näkyvyyden edistämistä. Tässä tilanteessa en ole varma, että kyseisen ylläpitäjän suorittama palvelu kuuluu selvästi direktiivin 2000/31 14 artiklan 1 kohdan soveltamisalaan. Sen sijaan silloin, kun toisten internetsivujen ylläpitäjät toisintavat käyttäjän pyynnöstä tallennetut tiedot ja kun ensin mainitun ylläpitäjän rooli tietojen siirtämisessä on täysin tekninen ja automatisoitu, voidaan varauksetta katsoa, että kyseistä säännöstä voidaan soveltaa siihen.

86.

Tämän selvennyksen jälkeen on todettava, ettei ennakkoratkaisupyynnössä esitetä tosiseikkoja, joiden perusteella voitaisiin määrittää, kummasta näistä tilanteista pääasiassa on kyse. Tätäkin tärkeämpää on huomata, että kysymys siitä, täyttyykö direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetty edellytys, tule esiin ainoastaan siinä tapauksessa, että Russmedia voidaan luokitella kyseisessä säännöksessä tarkoitetuksi hosting-palvelun tarjoajaksi. Näin ollen tarkastelen kyseisen direktiivin 14 artiklan 1 kohdan b alakohdassa säädettyä edellytystä siitä lähtökohdasta, että Russmedia on kyseisessä säännöksessä tarkoitettu hosting-palvelun tarjoaja ja että kyseisen yhtiön yhteistyökumppanit ovat toisintaneet riidanalaisen ilmoituksen komission istunnossa mainitsemissa olosuhteissa. ( 40 )

87.

Tästä on todettava säännöksen sanamuodon osalta, että direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetään, että vastuusta vapauttamisen soveltaminen hosting-palvelun tarjoajaan edellyttää, että se toimii viipymättä poistaakseen laittomat tiedot tai estääkseen pääsyn niihin. Kyseisessä säännöksessä ei siis vain todeta, että hosting-palvelun tarjoajan on poistettava laittomat tiedot tai estettävä pääsy niihin. Lainsäätäjä on nimittäin päättänyt käyttää avointa sanamuotoa, jonka mukaan palveluntarjoajan on lähinnä lopetettava viipymättä palvelunsa välityksellä tai palvelussaan harjoitettu laiton toiminta.

88.

Tämän edellytyksen sanamuoto voitaisiin toki ymmärtää siten, että unionin lainsäätäjän tarkoituksena ei ole vahvistaa konkreettisia tuloksia, jotka on saavutettava, vaan ainoastaan edellyttää, että kyseisten tulosten saavuttamiseksi ryhdytään toimiin. Direktiivin 2000/31 14 artiklan 1 kohdan b alakohdan avoimella sanamuodolla palveluntarjoajalle jätetään kuitenkin myös jonkin verran liikkumavaraa (”poistaakseen laittomat tiedot tai estääkseen pääsyn niihin”), jonka nojalla palveluntarjoaja voi toteuttaa asianmukaisen, oikeasuhteisen ja tehokkaan toimenpiteen. Tällainen tulkinta kyseisestä säännöksestä on omaksuttava, kun otetaan huomioon useampi kyseisen direktiivin johdanto-osan perustelukappale.

89.

Direktiivin 2000/31 johdanto-osan 46 perustelukappaleessa nimittäin todetaan, että tietojen poistaminen on toteutettava ”noudattamalla – – kansallisia menettelytapoja”, eikä direktiivi ”vaikuta jäsenvaltioiden mahdollisuuteen vahvistaa erityisiä vaatimuksia, jotka on viipymättä täytettävä ennen tietojen poistoa tai” pääsyn estämistä niihin. Mikään ei kuitenkaan viittaa siihen, että sovellettavassa kansallisessa lainsäädännössä olisi säädetty tällaisia menettelytapoja tai vaatimuksia.

90.

Joka tapauksessa direktiivin 2000/31 johdanto-osan 41 perustelukappaleessa todetaan, että direktiivillä pyritään erilaisten etujen väliseen tasapainoon, ja sillä luodaan periaatteet, joihin toimialan sopimukset ja standardit voivat perustua. Direktiivin johdanto-osan 46 perustelukappaleessa todetaan erityisesti direktiivin 14 artiklan 1 kohdan b alakohdassa säädetystä edellytyksestä, että palveluntarjoajan on poistettava tiedot tai estettävä pääsy niihin noudattamalla sananvapauden periaatetta. Unionin tuomioistuin on todennut tästä, että direktiivin 14 artiklan 1 kohdassa säädetyllä vastuusta vapauttamisella ilmaistaan tasapainoa, joka kyseisellä direktiivillä pyritään luomaan niiden kyseessä olevien erilaisten etujen välillä, joihin kuuluu Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 11 artiklassa taatun sananvapauden kunnioittaminen. ( 41 )

91.

Päättelen tästä, että jotta direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetyn edellytyksen voidaan katsoa täyttyvän, laittomien tietojen poistamisen yhteydessä on otettava huomioon tarve sovittaa yhteen kyseisten eri oikeuksien ja vapauksien suojaan liittyvät vaatimukset ja löydettävä oikeudenmukainen tasapaino niiden välillä.

92.

Tästä on todettava yhtäältä, että perusoikeuskirjassa taatun ja direktiivin 2000/31 johdanto-osan 46 perustelukappaleessa mainitun sananvapauden noudattamisen tavoin myös yksityiselämän kunnioittaminen taataan perusoikeuskirjassa, nimittäin sen 7 artiklassa. Kun toisaalta otetaan huomioon tarve löytää oikeudenmukainen tasapaino eri asiaan liittyvien intressien välillä, henkilön maineen ja kunnian tehokasta suojaamista koskevaa tavoitetta ei voida tavoitella hosting-palvelun tarjoajalle asetettavan ylimitoitetun velvoitteen avulla. ( 42 )

93.

Jotta siis direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetyn edellytyksen voidaan katsoa täyttyvän ilman, että asiaan liittyviä intressejä loukataan, hosting-palvelun tarjoajan, jonka palvelua käytetään sen tallentamien tietojen edelleen jakelemiseen sen sopimussuhteisille yhteistyökumppaneille, on toteutettava kohtuullisia toimenpiteitä varmistuakseen siitä, että tarvittaessa myös sen yhteiskumppanit poistavat kyseisen sisällön tai estävät pääsyn siihen. Tätä koskeva sopimusehto voidaan esimerkiksi ottaa yhteistyökumppanien kanssa tehtäviin sopimuksiin.

2) 

Riidanalaisen ilmoituksen toisintaminen kolmansien toimesta

94.

Istunnossa keskusteltiin paitsi tilanteesta, jossa verkkomarkkinapaikan ylläpitäjän yhteistyökumppanit toisintavat ilmoituksen, myös tilanteesta, jossa kolmannet osapuolet toisintavat ilmoituksen, joka on yleisön saatavilla, kyseisen ylläpitäjän tietämättä ja ilman sen suostumusta. Keskustelu koski sitä, onko verkkomarkkinapaikan ylläpitäjän ryhdyttävä toimenpiteisiin kolmansien osapuolten suhteen täyttääkseen direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädetyn edellytyksen, kun otetaan huomioon tämän ratkaisuehdotuksen 91 kohdassa mainitut näkökohdat. Tähän kysymykseen on vastattava kieltävästi.

95.

Direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa vahvistettu edellytys perustuu nimittäin ajatukseen siitä, että hosting-palvelun tarjoajan on viipymättä toteutettava kaikki käytettävissään olevat toimenpiteet lopettaakseen palvelunsa välityksellä tai palvelussaan harjoitettu laiton toiminta. Tämän edellytyksen täyttyminen ei sitä vastoin voi riippua toimenpiteistä, joihin se ei voi vaikuttaa.

96.

Huolimatta juuri esittämistäni lisähuomautuksista, jotka koskevat direktiivin 2000/31 14 artiklan 1 kohdassa säädettyjä edellytyksiä, joita sovelletaan välittäjänä toimivan palveluntarjoajan vapauttamiseen vastuusta, pitäydyn ensimmäistä ennakkoratkaisukysymystä koskevassa ratkaisuehdotuksessani, jonka esitin tämän ratkaisuehdotuksen 64 kohdassa.

B 

Toinen, kolmas ja neljäs kysymys

97.

Toisella, kolmannella ja neljännellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b ja f alakohtaa, 6 artiklan 1 kohdan a alakohtaa sekä 7, 24 ja 25 artiklaa tulkittava siten, että tietoyhteiskunnan palveluntarjoajan, jonka toiminta muodostuu ilmaisten tai maksullisten ilmoitusten säilyttämisestä (hosting) internetsivustolla käyttäjien pyynnöstä, on tarkistettava etukäteen ilmoituksen tekijän henkilöllisyys (toinen kysymys) ja julkaistujen ilmoitusten sisältö (kolmas kysymys) sekä toteutettava turvatoimenpiteitä estääkseen tai rajoittaakseen henkilötietoja sisältävien ilmoitusten sisällön kopioimista tai edelleen jakelemista (neljäs kysymys).

98.

Nämä kysymykset koskevat myös yleisen tietosuoja-asetuksen 2 artiklan 4 kohtaa, 4 artiklan 7 ja 11 alakohtaa sekä direktiivin 2000/31 15 artiklaa. Hyödyllisen vastauksen antamiseksi näihin kysymyksiin on kuitenkin riittävää tulkita tämän ratkaisuehdotuksen edellisessä kohdassa mainittuja yleisen tietosuoja-asetuksen säännöksiä, joissa määritetään henkilötietojen käsittelyyn osallistuvan toimijan velvollisuudet ja vastuut.

99.

Vastauksen antamiseksi näihin kysymyksiin on myös aluksi määritettävä, missä ominaisuudessa tällainen palveluntarjoaja osallistuu henkilötietojen käsittelyyn. Tästä on todettava, että toinen, kolmas ja neljäs kysymys näyttävät perustuvan oletukseen, jonka mukaan Russmedia on toiminut yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä. Kyseiset kysymykset koskevat nimittäin kyseisen säännöksen tulkintaa ja niissä viitataan palveluntarjoajaan, ”joka on henkilötietojen rekisterinpitäjä”. Komission tavoin pidän tätä oikeudellista luokittelua kyseenalaisena. Näin ollen – siltä osin kuin sillä voi olla merkitystä ennakkoratkaisukysymyksiin annettavien vastausten kannalta – tarkastelen ensin verkkomarkkinapaikan ylläpitäjän oikeudellista luokittelua yleisessä tietosuoja-asetuksessa säädettyihin luokkiin (jakso 1) ja palaan tämän jälkeen tällaisen ylläpitäjän velvollisuuksia ja vastuita koskevaan kysymykseen (2 jakso).

1. 

Oikeudelliset luokittelut

a) 

Toimijat, jotka osallistuvat henkilötietojen käsittelyyn

100.

Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädetyn määritelmän mukaan rekisterinpitäjän käsitteellä tarkoitetaan henkilöä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Asetuksessa säädetään toisestakin toimijasta, joka osallistuu henkilötietojen käsittelyyn, nimittäin henkilötietojen käsittelijästä. Asetuksen 4 artiklan 8 alakohdassa säädetyn määritelmän mukaan tällä tarkoitetaan henkilöä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun.

101.

Henkilötietojen käsittelyyn osallistuvan toimijan velvollisuudet ja vastuut määräytyvät sen mukaan, mihin yleisessä tietosuoja-asetuksessa säädettyyn luokkaan se luokitellaan. Kyseiset velvollisuudet ja vastuut määritetään toisessa, kolmannessa ja neljännessä kysymyksessä tarkoitetuissa säännöksissä.

102.

Henkilötietojen käsittelyssä on nimittäin aina noudatettava yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita ja henkilötietojen käsittelyn on aina täytettävä asetuksen 6 artiklassa luetellut käsittelyn lainmukaisuuden edellytykset. Rekisterinpitäjä vastaa mainittujen periaatteiden noudattamisesta, ( 43 ) ja jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn, kuten asetuksen 7 artiklan 1 kohdassa edellytetään. Vastaavasti asetuksen 24 ja 25 artiklassa säädetään yleisluonteisia velvollisuuksia, joita sovelletaan rekisterinpitäjään ja joiden mukaan sen on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa, että henkilötietoja käsitellään kyseisen asetuksen mukaisesti.

103.

Henkilötietojen käsittelyyn osallistuvan toimijan luokittelun mukaan määräytyy lisäksi myös se, kuinka kattavasti se on vastuussa yleisen tietosuoja-asetuksen rikkomisesta.

104.

Yleisen tietosuoja-asetuksen 82 artiklan 2 kohdan ensimmäisessä virkkeessä säädetään nimittäin, että ”kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu [kyseistä] asetusta”. Rekisterinpitäjä on vastuussa paitsi mistä tahansa itse suorittamastaan henkilötietojen käsittelystä myös sen lukuun suoritetusta henkilötietojen käsittelystä. ( 44 ) Yleisen tietosuoja-asetuksen 82 artiklan 2 kohdan toisessa virkkeessä säädetään sen sijaan, että ”henkilötietojen käsittelijä on vastuussa käsittelystä aiheutuneesta vahingosta vain, jos se ei ole noudattanut nimenomaisesti henkilötietojen käsittelijöille osoitettuja [kyseisen] asetuksen velvoitteita tai jos se on toiminut rekisterinpitäjän lainmukaisen ohjeistuksen ulkopuolella tai sen vastaisesti”.

b) 

Henkilötietojen käsittelyn tarkoitukset ja keinot

105.

Kun ratkaistaan, voidaanko henkilötietojen käsittelyyn osallistuvaa yksikköä pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä, on tutkittava, onko kyseinen yksikkö tosiasiallisesti vaikuttanut henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen omien tarkoitusperiensä mukaisesti.

106.

Henkilötietojen käsittelyn tarkoitus liittyy siihen, miksi henkilötietoja käsitellään. ( 45 ) Lähtökohtaisesti kyseisestä tarkoituksesta päättää henkilö, joka tekee aloitteen tietojen käsittelemisestä.

107.

Henkilötietojen käsittelyn keinojen käsitteen merkitys on vähemmän selvä ja se on määritettävä niiden taloudellisten ja teknisten rakenteiden, joissa henkilötietoja käsitellään, kehityksen asiayhteydessä. Yleistasolla on katsottava, että jos henkilötietojen käsittelyn tarkoitus liittyy syyhyn, jonka vuoksi tietoja käsitellään, henkilötietojen käsittelyn keinoilla vastataan kysymykseen siitä, miten kyseiseen tavoitteeseen on tarkoitus päästä. Kun nimittäin määritellään henkilötietojen käsittelyn keinot, päätetään etenkin siitä, mitä tietoja käsitellään, ( 46 ) kenellä on pääsy tietoihin ja miten hänellä on pääsy niihin ( 47 ) ja – siltä osin kuin tällaisella päätöksellä voidaan lopettaa henkilötietojen käsitteleminen – kuinka kauan henkilötietoja käsitellään. Sellaisista aineellisista tai digitaalisista työkaluista tai alustoista päättäminen, ( 48 ) joiden avulla tiedot kerätään, tietoja esitetään tai tietoja levitetään, on niin ikään osa henkilötietojen käsittelyn keinojen määrittämistä.

108.

Rekisterinpitäjän ei kuitenkaan tarvitse määrittää kaikkia henkilötietojen käsittelyn teknisiä ja organisatorisia piirteitä. Päätös henkilötietojen käsittelyn antamisesta henkilötietojen käsittelijän tehtäväksi voi perustua paitsi haluun keventää rekisterinpitäjän työtaakkaa myös siihen, ettei rekisterinpitäjällä ole henkilötietojen käsittelyn organisoimisen edellyttämää teknistä osaamista tai keinoja. Yleisen tietosuoja-asetuksen säännökset tukevat tällaista taloudellisiin todellisuuksiin perustuvaa tulkintaa.

109.

Vaikka yleisen tietosuoja-asetuksen 28 artiklan 3 kohdan mukaan sopimuksessa tai muussa oikeudellisessa asiakirjassa, jonka perusteella rekisterinpitäjä antaa käsittelyn henkilötietojen käsittelijän tehtäväksi, on nimittäin määritettävä käsittelyn tarkoitus, tällaisessa oikeusperustassa ei ole vastattava tyhjentävästi kysymykseen siitä, miten tietoja käsitellään. Siinä on määritettävä ainoastaan henkilötietojen käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät. Siten yhtäältä arkaluonteiset kysymykset, jotka ovat keskeisiä käsittelyn lainmukaisuuden kannalta, jäävät rekisterinpitäjän ratkaistaviksi. Toisaalta on niin, että vaikka henkilötietojen käsittelijä toimii rekisterinpitäjän lukuun ja noudattaa sen ohjeita, se voi ja sen on määritettävä henkilötietojen käsittelyssä sovellettavat tekniset ja organisatoriset toimenpiteet astumatta henkilötietojen käsittelijän roolin ulkopuolelle. Toisin sanoen henkilötietojen käsittelyn muiden kuin keskeisten keinojen määrittäminen ei riitä perusteeksi katsoa, että henkilötietojen käsittelyyn osallistuvaa henkilöä on pidettävä rekisterinpitäjänä.

110.

Ennakkoratkaisua pyytäneen tuomioistuimen on otettava huomioon tämän ratkaisuehdotuksen 106–109 kohdassa esitetyt arviointiperusteet ja ratkaistava niiden perusteella, voidaanko Russmediaa pitää rekisterinpitäjänä. Käsittelen tätä kysymystä voidakseni esittää kansalliselle tuomioistuimelle ne unionin oikeuden tulkintaa koskevat seikat, joista on hyötyä sen käsiteltävänä olevan oikeusriidan ratkaisemisen yhteydessä.

c) 

Verkkomarkkinapaikan ylläpitäjä ja yleinen tietosuoja-asetus

111.

Huomautan aluksi, että verkkomarkkinapaikalla julkaistuun ilmoitukseen sisältyvien henkilötietojen käsittely on erotettava kyseisen verkkomarkkinapaikan ilmoituksia jättävien käyttäjien henkilötietojen käsittelystä, sillä nämä perustavat käyttäjätilin verkkomarkkinapaikan ylläpitäjän palveluun voidakseen julkaista ilmoituksensa. Tällaisen käyttäjätilin perustaminen ja muut ilmoituksen jättävän käyttäjän syöttämiä henkilötietoja koskevat toimet ovat henkilötietojen käsittelyä, josta kyseinen rekisterinpitäjä vastaa yleisen tietosuoja-asetuksen nojalla. Ylläpitäjä päättää käytännössä, mitkä tiedot ovat tarpeellisia käyttäjätilin rekisteröimistä varten ja määrittää henkilötietojen käsittelyn tarkoituksen, kun se luo kyseisen menettelyn, jota ilmoituksia jättävät käyttäjät käyttävät rekisteröitymiseen.

112.

Ennakkoratkaisupyynnön perusteella tulee esiin kysymys siitä, vaikuttaako verkkomarkkinapaikan ylläpitäjä henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen omien tarkoitusperiensä mukaisesti myös silloin, kun on kyse henkilötiedoista, joita mahdollisesti esitetään kyseisellä verkkomarkkinapaikalla julkaistuissa ilmoituksissa.

113.

Tässä yhteydessä on todettava verkossa julkaistuun ilmoitukseen sisältyvien henkilötietojen käsittelyn tarkoituksesta, että yleensä verkkomarkkinapaikalla julkaistun ilmoituksen tarkoituksena on mainostaa yleisölle tuotetta tai palvelua, jota ilmoituksen jättänyt käyttäjä tarjoaa. Tämän tarkoituksen määrittää siis asianomainen ilmoituksen jättävä käyttäjä. Sitä vastoin ei näytä siltä, että verkkomarkkinapaikan ylläpitäjä vaikuttaisi omien tarkoitusperiensä mukaisesti siihen, miksi tällainen ilmoitus julkaistaan. Nyt käsiteltävä asia on täydellinen esimerkki tästä verkkomarkkinapaikan toimintaan liittyvästä erityispiirteestä. Riidanalaista ilmoitusta ei nimittäin ladattu verkkoon tarkoituksessa mainostaa ilmoituksen jättäneen käyttäjän tarjoamaa palvelua vaan tarkoituksessa aiheuttaa vahinkoa pääasian valittajalle. Palvelun ylläpitäjä ei vaikuttanut ilmoituksen tekijän ikäviin syihin toimia tällä tavalla.

114.

Henkilötietojen käsittelyn keinojen määrittämisen osalta nimenomaan ilmoituksen jättävä käyttäjä vaikuttaa siihen, miten kyseisiä tietoja käsitellään. Ilmoituksen jättävä käyttäjä nimittäin päättää, kirjataanko henkilötietoja ilmoitukseen ja jos kyllä, mitä henkilötietoja siihen kirjataan. On sitä vastoin erittäin todennäköistä, ettei verkkomarkkinapaikan ylläpitäjä edes tiedä, että ilmoituksessa on henkilötietoja. Vaikka kyseinen ylläpitäjä määrittää, missä kohtaa sivua ilmoitukset näkyvät ja muita teknisiä ja organisatorisia kyseisen verkkomarkkinapaikan toimintatapaan liittyviä seikkoja, huomautan vielä tämän ratkaisuehdotuksen 109 kohdassa esittämieni huomautusten perusteella, ettei siitä, että kyseinen ylläpitäjä vaikuttaa henkilötietojen käsittelyn muiden kuin keskeisten keinojen määrittämiseen, kuitenkaan seuraa, että kyseistä ylläpitäjää olisi pidettävä rekisterinpitäjänä.

115.

Russmedian kaltainen verkkomarkkinapaikan ylläpitäjä ei siis näytä vaikuttavan omien tarkoitusperiensä mukaisesti kyseisellä verkkomarkkinapaikalla julkaistuun ilmoitukseen mahdollisesti sisältyvien henkilötietojen käsittelyn tarkoituksen tai keinojen määrittämiseen. Vaikka kyseinen ylläpitäjä osallistuu kyseisten henkilötietojen käsittelyyn, sen on katsottava toimivan henkilötietojen käsittelijänä ilmoituksen jättävän käyttäjän lukuun ja kyseisen käyttäjän vastuulla. Tässä tilanteessa hosting-palvelun käyttäjiä on pidettävä yleisessä tietosuoja-asetuksessa tarkoitettuina rekisterinpitäjinä. ( 49 )

116.

Nyt käsiteltävän asian erityispiirteiden perusteella on vielä syytä täsmentää juuri esittämiäni pohdintoja.

117.

Ensinnäkin riippumatta siitä, voidaanko rekisteröityä pitää yleisen tietosuoja-asetuksen soveltamisalalla omien henkilötietojensa rekisterinpitäjänä, ( 50 ) on huomattava, että tässä asiassa riidanalaisen ilmoituksen verkossa julkaissut henkilö ei ollut henkilö, jonka henkilötietoja ilmoituksessa oli.

118.

Toiseksi on todettava, että verkkomarkkinapaikkansa käyttöehtojen mukaan Russmedia varaa itselleen oikeuden käyttää ilmoituksen jättävien käyttäjien pyynnöstä tallennettuja tietoja. Russmedia voi kopioida, jaella, siirtää, julkaista, jäljentää, muokata, kääntää, luovuttaa yhteistyökumppaneille ja poistaa tiedot milloin tahansa, myös ilman syytä. Sen jälkeen, kun yhtiö on aloittanut tällaisen toimen ilmoitukseen sisältyvien henkilötietojen osalta, sitä voitaneen pitää rekisterinpitäjänä tietyn henkilötietojen käsittelytoimen osalta kaikkine tähän liittyvine velvollisuuksineen ja vastuineen. Henkilö voi nimittäin olla rekisterinpitäjänä vastuussa sellaisesta henkilötietojen käsittelystä, jonka osalta se määrittelee tarkoituksen ja keinot. Kyseistä henkilöä ei sen sijaan voida pitää yleisessä tietosuoja-asetuksessa tarkoitettuna rekisterinpitäjänä käsittelyketjun edeltävistä vaiheista tai sen myöhemmistä vaiheista, joiden osalta se ei määrittele tarkoitusta eikä keinoja, sanotun kuitenkaan rajoittamatta kansallisessa oikeudessa säädettyä mahdollista siviilioikeudellista vastuuta tältä osin. ( 51 )

119.

Kolmanneksi on todettava, että juuri esittämäni pohdinnat vastaavat rekisterinpitäjän ja henkilötietojen käsittelijän käsitteistä 16.2.2010 annetussa 29 artiklan mukaisen työryhmän lausunnossa 1/2010 esitettyä kantaa. ( 52 )  ( 53 ) Kyseisen työryhmän mukaan internet-yhteyden tarjoajaa, joka tarjoaa myös hosting-palvelua, pidetään nimittäin lähtökohtaisesti asiakkaidensa verkossa julkaisemien henkilötietojen käsittelijänä, sillä sen asiakkaat käyttävät tarjottua palvelua internetsivustojensa tallentamiseen ja ylläpitämiseen. Jos hosting-palveluntarjoaja sen sijaan käsittelee sen palvelimille tallennettuja tietoja omiin tarkoituksiinsa, se toimii kyseisten henkilötietojen käsittelyjen yhteydessä rekisterinpitäjänä. Lisään, että tämä kanta vastaa myös rekisterinpitäjän ja henkilötietojenkäsittelijän käsitteistä yleisessä tietosuoja-asetuksessa 7.7.2021 annetuissa Euroopan tietosuojaneuvoston suuntaviivoissa 07/2020 esitettyä kantaa, ( 54 ) sillä kyseisten suuntaviivojen mukaan hosting-palveluntarjoajaa, joka ei määritä, ovatko sen ylläpitämät tiedot henkilötietoja, eikä käsittele tietoja muulla tavoin kuin tallentamalla ne palvelimilleen asiakkaansa pyynnöstä, on pidettävä henkilötietojen käsittelijänä.

120.

Näin ollen katson, että jollei ennakkoratkaisua pyytäneen tuomioistuimen tosiseikkoja koskevista tarkistuksista muuta seuraa, unionin tuomioistuimen on kiinnitettävä kyseisen tuomioistuimen huomio mahdollisuuteen arvioida Russmedian oikeudellista luokittelua uudelleen. Komission tavoin en nimittäin pidä kyseistä yhtiötä rekisterinpitäjänä vaan henkilötietojen käsittelijänä riidanalaisen ilmoituksen julkaisemiseen liittyvän henkilötietojen käsittelyn osalta. Seuraavaksi käsittelen toista, kolmatta ja neljättä ennakkoratkaisukysymystä tämän lähtökohdan perusteella.

2. 

Verkkomarkkinapaikan ylläpitäjän velvollisuudet ja vastuut

a) 

Tilanne, jossa verkkomarkkinapaikan ylläpitäjää pidetään henkilötietojen käsittelijänä ilmoituksiin sisältyvien henkilötietojen käsittelyn osalta

121.

Kun tarkastellaan verkkomarkkinapaikan ylläpitäjään sovellettavia yleisessä tietosuoja-asetuksessa säädettyjä velvollisuuksia ja vastuita, on erotettava toisistaan yhtäältä verkkomarkkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen käsittely ja toisaalta sellaisten ilmoituksia jättävien käyttäjien henkilötietojen käsittely, jotka perustavat käyttäjätilin kyseisen ylläpitäjän palveluun.

1) 

Ilmoituksiin sisältyvien henkilötietojen käsittely

122.

Jos Russmediaa on itse asiassa pidettävä henkilötietojen käsittelijänä ilmoituksiin sisältyvien henkilötietojen käsittelyn osalta, sillä ei ole ollut velvollisuutta tarkistaa, oliko henkilötietojen käsittely luvallista tai lainmukaista. Kuten nimittäin jo totesin, ( 55 ) toisessa ennakkoratkaisukysymyksessä mainittujen säännösten mukaan nimenomaan rekisterinpitäjä on vastuussa henkilötietojen käsittelyä koskevien periaatteiden noudattamisesta. Vastaavasti kolmannessa ennakkoratkaisukysymyksessä mainittujen säännösten mukaan henkilötietojen käsittelijällä ei myöskään ole velvollisuutta tarkistaa etukäteen sen käsittelemien tietojen sisältöä.

123.

Neljännen ennakkoratkaisukysymyksen osalta on todettava, että sillä pyritään selvittämään, olisiko Russmedian tullut toteuttaa turvatoimenpiteitä estääkseen tai rajoittaakseen henkilötietoja sisältävien ilmoitusten sisällön kopioimista tai edelleen jakelemista. Tämä kysymys koskee yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b ja f alakohdan sekä 24 ja 25 artiklan tulkintaa. Näissäkin säännöksissä säädetään rekisterinpitäjän eikä henkilötietojen käsittelijän velvollisuuksista.

124.

Yleisen tietosuoja-asetuksen 32 artiklassa puolestaan täsmennetään käsittelyn turvallisuutta koskevat rekisterinpitäjän ja mahdollisen henkilötietojen käsittelijän velvollisuudet. ( 56 )

125.

Tarkemmin sanottuna yleisen tietosuoja-asetuksen 32 artiklan 1 kohdan mukaan rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava henkilötietojen käsittelyyn liittyvää riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet ja tässä yhteydessä niiden on otettava huomioon uusin teknologia ja toteuttamiskustannukset, mutta myös käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä riskit. Vastaavasti yleisen tietosuoja-asetuksen 32 artiklan 2 kohdassa säädetään, että asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.

126.

Siltä osin kuin yleisen tietosuoja-asetuksen 32 artiklan 2 kohdassa säädetään henkilötietojen käsittelijän velvollisuuksista, sen ennakko-olettamana on, että henkilötietojen käsittely rekisterinpitäjän ohjeiden mukaisesti on luvallista ja lainmukaista. Henkilötietojen käsittelijällä ei voi olla velvollisuutta valvoa sen rekisterinpitäjän toimintaa, jonka lukuun se käsittelee tietoja. Sen on sitä vastoin toteutettava toimenpiteitä, joiden tarkoituksena on taata henkilötietojen käsittelyn turvallisuus suhteessa kolmansiin osapuoliin. Yleisen tietosuoja-asetuksen 32 artiklan 1 kohdassa konkretisoidaan nimittäin lähinnä kyseisen asetuksen 5 artiklan 1 kohdan f alakohdassa vahvistetut eheyden ja luottamuksellisuuden periaatteet. ( 57 ) Kyseisten periaatteiden mukaan rekisterinpitäjän tai henkilötietojen käsittelijän, joka toimii sen lukuun, on käsiteltävä henkilötietoja tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä häviämiseltä.

127.

Jos verkkomarkkinapaikan käyttöehtojen mukaan verkkomarkkinapaikalla mainittujen muiden sivustojen ylläpitäjät, joista ilmoituksen jättävät käyttäjät siis ovat etukäteen tietoisia, voivat toisintaa kyseisellä markkinapaikalla julkaistuja ilmoituksia, henkilötietojen käsittelijän on toteutettava toimenpiteitä, joiden avulla se voi saada sen omalta alustalta poistetut ilmoitukset poistettua myös kyseisiltä sivustoilta. Voi nimittäin osoittautua, ettei henkilötietojen käsittely ollut alkujaan tai ei enää ole lainmukaista, ja alustan, jonka välityksellä ilmoitusta jaellaan edelleen, on kyettävä lopettamaan yleisen tietosuoja-asetuksen rikkominen myös muiden yhteistyökumppaniensa toimesta. Tällainen lopputulos on johdonmukainen siihen lopputulokseen nähden, joka on tarkoitus saavuttaa, kun hosting-palvelun tarjoaja noudattaa direktiivin 2000/31 14 artiklan 1 kohdan b alakohdassa säädettyä edellytystä. ( 58 )

128.

Toisin kuin ennakkoratkaisua pyytänyt tuomioistuin näyttää neljännessä kysymyksessä alustavasti tulkitsevan, mielestäni henkilötietojen käsittelijällä ei sitä vastoin ole velvollisuutta estää tai rajoittaa henkilötietoja sisältävien ilmoitusten kopiointia tai edelleen jakelemista. Ei ole henkilötietojen käsittelijän tehtävä määrittää, kenellä on pääsy ilmoitukseen ja millä tavalla.

2) 

Ilmoituksia jättävien käyttäjien henkilötietojen käsittely

129.

Verkkomarkkinapaikan ylläpitäjällä on enemmän velvollisuuksia ja vastuita, kun se käsittelee sellaisten ilmoituksia jättävien käyttäjien henkilötietoja, jotka perustavat käyttäjätilin sen tarjoamaan palveluun. Tämän henkilötietojen käsittelyn yhteydessä verkkomarkkinapaikan ylläpitäjä on rekisterinpitäjä ja on selvää, että siihen sovelletaan yleisen tietosuoja-asetuksen 24 ja 25 artiklaa. ( 59 )

130.

Yleisen tietosuoja-asetuksen 24 artiklassa säädetään rekisterinpitäjän yleisestä velvollisuudesta toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet sen varmistamiseksi, että tietoja käsitellään kyseisen asetuksen mukaisesti. Asetuksen 25 artiklassa edellytetään, että rekisterinpitäjä toteuttaa sekä käsittelyn keinojen määrittämisen että itse käsittelyn yhteydessä asianmukaiset tekniset ja organisatoriset toimenpiteet tietosuojaperiaatteiden tehokasta täytäntöönpanoa varten, jotta tarvittavat suojatoimet saataisiin sisällytettyä käsittelyn osaksi ja jotta käsittely vastaisi kyseisen asetuksen vaatimuksia ja rekisteröityjen oikeuksia suojattaisiin.

131.

Yleisen tietosuoja-asetuksen 24 ja 25 artiklasta ilmenee, että kyseisillä toimenpiteillä on vastattava henkilötietojen käsittelyn asiayhteyteen erityisesti liittyviin riskeihin. Kyseisten erityisten riskien yksilöiminen ja asianmukaisten keinojen määrittäminen on toki jätettävä ennakkoratkaisua pyytäneelle tuomioistuimelle, sillä kyseisellä tuomioistuimella on tiedossaan kaikki tosiseikat, joilla on merkitystä kaikkien kyseisten säännösten kannalta merkityksellisten arviointiperusteiden soveltamiseksi. Haluan kuitenkin esittää seuraavat täsmennykset.

132.

Kuten yleisen tietosuoja-asetuksen johdanto-osan 75 perustelukappaleessa todetaan, henkilötietojen käsittelystä voi aiheutua luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvia riskejä erityisesti muun muassa silloin, kun käsittely saattaa johtaa identiteettivarkauteen tai kun rekisteröityjä saatetaan estää valvomasta omia henkilötietojaan. Identiteettivarkauden tarkoituksena on nimittäin yleensä vilpillisten toimien toteuttaminen rekisteröidyn tai kolmannen osapuolen vahingoksi. Verkkoalustojen vastuuttomalla käytöllä voidaan lisäksi loukata luonnollisten henkilöiden oikeuksia, ja näitä riskejä pahentaa vaara siitä, että oikeudenloukkauksesta vastuussa oleva henkilö saattaa uskoa voivansa toimia täysin rangaistuksetta.

133.

Jos rekisterinpitäjä siis hallinnoi verkkomarkkinapaikkaa, jota ilmoituksen jättävät käyttäjät voivat käyttää toisen henkilön identiteetin varastamiseen vilpillisin tarkoitusperin, se on toteutettava toimenpiteitä pienentääkseen tätä riskiä. Yleisen tietosuoja-asetuksen 25 artiklan nojalla rekisterinpitäjän on kyseisen asetuksen mukaisten vaatimusten noudattamiseksi ja rekisteröityjen oikeuksien suojaamiseksi otettava kyseinen riski huomioon sekä käsittelyn keinojen määrittämisen että itse käsittelyn yhteydessä.

134.

Tässä tilanteessa verkkomarkkinapaikan ylläpitäjän on mielestäni toteutettava teknisiä ja organisatorisia toimenpiteitä voidakseen tarkistaa ilmoituksia jättävien käyttäjien henkilöllisyyden. Tällaisella tarkistuksella nimittäin yhtäältä rajoitetaan riskiä rekisteröidyn henkilötietojen lainvastaisesta tai epälojaalista käsittelystä ja toisaalta sillä voidaan ehkäistä kyseisen verkkomarkkinapaikan vastuutonta käyttöä, koska se on omiaan horjuttamaan anonyymien käyttäjien rankaisemattomuuden tunnetta.

135.

Minun on täsmennettävä, ettei internetin lähtökohtaisesti anonyymistä käytöstä seuraa, ettei ilmoituksia jättävien käyttäjien henkilöllisyyttä voitaisi tarkistaa. Ilmoituksen jättävän käyttäjän henkilötiedot eivät voi olla kaikkien alustan käyttäjien saatavilla. Ainoastaan rekisterinpitäjä voi tarkistaa ja säilyttää kyseiset tiedot voidakseen noudattaa yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Osana tarkistusta ylläpitäjä voi vaatia käyttäjää ilmoittamaan puhelinnumeron ja käyttää sitä rekisteröinnin varmistamiseen. Tällainen ratkaisu ei ole epätavanomainen verkkoalustoilla.

136.

On totta, ettei tällaisella toimenpiteellä voida poistaa identiteettivarkausriskiä kokonaisuudessaan. Yleisessä tietosuoja-asetuksessa kuitenkin ainoastaan velvoitetaan rekisterinpitäjä toteuttamaan teknisiä ja organisatorisia toimenpiteitä, joiden tarkoituksena on mahdollisimman pitkälle välttää henkilötietojen tietoturvaloukkaukset. ( 60 ) Siinä ei siis aseteta velvollisuutta saavuttaa tietty tulos vaan velvollisuus käyttää tiettyjä keinoja. Ennakkoratkaisupyynnössä annetaan joka tapauksessa ymmärtää, ettei Russmedia ollut toteuttanut mitään toimenpiteitä voidakseen tarkistaa riidanalaisen ilmoituksen tekijän henkilöllisyyden sillä hetkellä, kun kyseinen henkilö rekisteröityi käyttäjäksi tai kun hän julkaisi kyseisen ilmoituksen.

137.

Näin ollen ehdotan, että unionin tuomioistuin vastaa toiseen, kolmanteen ja neljänteen ennakkoratkaisukysymykseen, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohtaa, 6 artiklan 1 kohdan a alakohtaa sekä 7, 24 ja 25 artiklaa on tulkittava siten, että tietoyhteiskunnan palveluntarjoaja, jonka toiminta muodostuu ilmaisten tai maksullisten ilmoitusten säilyttämisestä (hosting) internetsivustolla käyttäjien pyynnöstä, on henkilötietojen käsittelijä sen verkkomarkkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen käsittelyssä. Tässä yhteydessä sillä ei ole velvollisuutta tarkistaa julkaistujen ilmoitusten sisältöä tai toteuttaa turvatoimenpiteitä estääkseen tai rajoittaakseen sen välityksellä julkaistujen ilmoitusten sisällön kopiointia tai edelleen jakelemista. Sen on kuitenkin toteutettava asianmukaisia organisatorisia ja teknisiä toimenpiteitä, joiden tarkoituksena on taata henkilötietojen käsittelyn turvallisuus suhteessa kolmansiin osapuoliin. Tällainen palveluntarjoaja on sen sijaan rekisterinpitäjä, kun se käsittelee sellaisten ilmoituksen jättävien käyttäjien henkilötietoja, jotka ovat rekisteröityneet sen internetsivuston käyttäjiksi. Tässä yhteydessä sillä on velvollisuus tarkistaa kyseisten ilmoituksia jättävien käyttäjien henkilöllisyys.

138.

Tarkastelen seuraavaksi lyhyesti, täydellisyyden nimissä ja siltä varalta, ettei unionin tuomioistuin yhdy analyysiini, yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä pidetyn verkkomarkkinapaikan ylläpitäjän velvollisuuksia ja vastuita sen verkkomarkkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen osalta. Kuten jo mainitsin, ( 61 ) toinen, kolmas ja neljäs kysymys näyttävät nimittäin perustuvan oletukseen, jonka mukaan Russmediaa on pidettävä rekisterinpitäjänä kyseisten tietojen osalta.

b) 

Tilanne, jossa verkkomarkkinapaikan ylläpitäjää pidetään rekisterinpitäjänä ilmoituksiin sisältyvien henkilötietojen käsittelyn osalta

139.

Huomautan aluksi, ettei verkkomarkkinapaikan ylläpitäjän toimimisesta rekisterinpitäjänä välttämättä seuraa, ettei kyseisen verkkomarkkinapaikan ilmoituksen jättävää käyttäjää voitaisi niin ikään pitää rekisterinpitäjänä. ( 62 )

140.

Yleisen tietosuoja-asetuksen perusteella rekisterinpitäjinä voidaan nimittäin toimia yhdessä eikä tämä välttämättä merkitse, että henkilötietojen käsittelyyn osallistuvien eri toimijoiden vastuu rekisterinpitäjinä olisi samanlaista. Kyseiset toimijat voivat päinvastoin osallistua henkilötietojen käsittelyyn sen eri vaiheissa ja eriasteisesti, joten kunkin tällaisen toimijan vastuun kattavuutta on arvioitava kaikkien yksittäistapaukseen liittyvien merkityksellisten olosuhteiden perusteella.

141.

Käsittelen kuitenkin verkkomarkkinapaikan ylläpitäjän velvollisuuksia ja vastuita ennen kaikkea siltä osin kuin nyt käsiteltävässä asiassa on kyse tällaisen ylläpitäjän vastuusta, joka perustuu sen verkkomarkkinapaikalla julkaistuun ilmoitukseen sisältyvien henkilötietojen käsittelemiseen.

142.

Toisella ja kolmannella ennakkoratkaisukysymyksellä pyritään selvittämään, onko internetsivuston ylläpitäjän tarkistettava ennen ilmoituksen julkaisemista tässä järjestyksessä yhtäältä ilmoituksen lähettäjän ja sen henkilön henkilöllisyys, jota ilmoitus koskee, ja toisaalta käyttäjien lähettämien ilmoitusten sisältö.

143.

Tästä on todettava, etten ole vakuuttunut siitä, että verkkomarkkinapaikan ylläpitäjällä olisi velvollisuus varmistua siitä, että ilmoituksen jättävä käyttäjä tosiaan on rekisteröity, jonka henkilötietoja ilmoituksessa käytetään. Verkkomarkkinapaikkaa voi nimittäin käyttää myös ilmoituksen jättävä käyttäjä, joka julkaisee toista henkilöä koskevan ilmoituksen.

144.

Rekisterinpitäjän on kuitenkin tarkistettava, perustuuko henkilötietojen käsittely rekisteröidyn suostumukseen vai muuhun laissa säädettyyn, hyväksyttävään perusteeseen. Tällaisesta rekisterinpitäjän velvollisuudesta säädetään yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa, 6 artiklan 1 kohdassa ja 7 artiklan 1 kohdassa.

145.

Jos verkkomarkkinapaikan ylläpitäjä siis toimii rekisterinpitäjänä, sen on varmistuttava siitä, että henkilö, jonka henkilötietoja ilmoituksessa on, on suostunut henkilötietojensa käsittelyyn. Sen on loogisesti myös tutkittava ilmoituksia jättävien käyttäjien kaikkien ilmoitusten sisältö tarkistaakseen, onko ilmoituksessa henkilötietoja.

146.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa säädetyn lojaliteettiperiaatteen nojalla rekisterinpitäjän on myös huolehdittava siitä, että henkilötietojen käsittely on lojaalia rekisteröityä kohtaan. Kyseisen asetuksen 24 ja 25 artiklan nojalla sen on myös toteutettava teknisiä ja organisatorisia toimenpiteitä varmistuakseen henkilötietojen käsittelemisestä kyseisen asetuksen mukaisesti. Tässä yhteydessä sen on otettava huomioon henkilötietojen käsittelyn asiayhteyteen erityisesti liittyvät riskit.

147.

Julkisesti verkossa saatavilla olevien henkilötietojen käsittelystä voi aiheutua luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvia riskejä ja etenkin aineellisia vahinkoja tai henkistä kärsimystä.

148.

Kun verkkomarkkinapaikan ylläpitäjää pidetään kyseisellä markkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen käsittelyn osalta rekisterinpitäjänä, sen on tarkistettava ilmoitukset ennen niiden julkaisemista verkossa, tarkistettava, perustuuko henkilötietojen käsittely rekisteröidyn suostumukseen tai muuhun laissa säädettyyn, hyväksyttävään perusteeseen, ja otettava käyttöön toimenpiteitä ehkäistäkseen henkilötietojen käsittelyä rekisteröityjen vahingoksi. Jos se ei noudata näitä periaatteita, sen voidaan katsoa olevan vastuussa kyseisen asetuksen rikkomisesta yleisen tietosuoja-asetuksen 82 artiklan nojalla.

149.

Neljännellä ennakkoratkaisukysymyksellä tiedustellaan, onko verkkomarkkinapaikan ylläpitäjän toteutettava turvatoimenpiteitä estääkseen tai rajoittaakseen sen välityksellä julkaistujen ilmoitusten sisällön kopioimista tai edelleen jakelemista.

150.

Jos henkilötietojen käsittelyn asiayhteydessä on mahdollista, että muut internetsivut toisintavat ilmoitukset ja että henkilötietoja käsitellään myöhemmin tavalla, joka ei sovi yhteen niiden keräämistarkoituksen kanssa, rekisterinpitäjä voi harkita tällaisten toimenpiteiden toteuttamista, joiden on oltava asianmukaisia. En kuitenkaan ole vakuuttunut siitä, että sellaisen verkkomarkkinapaikan ylläpitäjällä, joka ylläpitäjän ja ilmoituksia jättävien käyttäjien näkökulmasta on taloudellisesti hyödyllinen, koska sillä julkaistut ilmoitukset ovat julkisia, on velvollisuus rajoittaa ilmoitusten edelleen jakelemista. Muutenkin tavanomaisesti sisältöä ladataan verkkoon yleensä siinä tarkoituksessa, että se olisi kaikkien internetin käyttäjien käytettävissä, mitä on pidettävä edelleen jakelemisen muotona. Joka tapauksessa on niin, että kun otetaan huomioon tämän ratkaisuehdotuksen 148 kohdassa esittämäni pohdinnat, riidanalaista ilmoitusta ei olisi tullut julkaista Russmedian verkkomarkkinapaikalla ilman rekisteröidyn suostumusta.

151.

Huolimatta edellä esittämistäni lisähuomautuksista, jotka koskevat rekisterinpitäjän velvollisuuksia ja vastuita, pysyn kannassani, jonka mukaan verkkomarkkinapaikan ylläpitäjää on pidettävä henkilötietojen käsittelijänä kyseisellä markkinapaikalla julkaistuihin ilmoituksiin sisältyvien henkilötietojen osalta. ( 63 ) Näin ollen enää on tarkasteltava vain direktiivin 2000/31 ja yleisen tietosuoja-asetuksen välistä suhdetta.

C 

Direktiivissä 2000/31 ja yleisessä tietosuoja-asetuksessa säädettyjen järjestelmien keskinäinen suhde

152.

Toinen ja kolmas kysymys koskevat muun muassa yleisen tietosuoja-asetuksen 2 artiklan 4 kohtaa, jossa säädetään kyseisen asetuksen ja direktiivin 2000/31 välisestä suhteesta. Kyseiset kysymykset koskevat lisäksi paitsi kyseisen aseuksen säännöksiä, joissa säädetään rekisterinpitäjän velvollisuuksista ja vastuista, myös kyseisen direktiivin 15 artiklaa. Näin ollen kyseisten kysymysten ennakko-oletuksena lienee, että yleistä tietosuoja-asetusta ja mainittua direktiiviä sovelletaan rinnakkain.

153.

Ennen kuin tarkastelen kyseisten kahden unionin oikeuden toimen soveltamista tällä tavalla rinnakkain (2 jakso) minun on kuitenkin huomautettava, että ensimmäisessä ennakkoratkaisukysymyksessä tarkoitetun tilanteen ja toisessa, kolmannessa ja neljännessä ennakkoratkaisukysymyksessä tarkoitetun tilanteen suhde on tietyllä tavalla jännitteinen (1 jakso).

1. 

Neutraali hosting-palvelun tarjoaja rekisterinpitäjänä

154.

Muistutan, että suorittamani analyysin perusteella Russmedia osallistui sen verkkomarkkinapaikalla julkaistuissa ilmoituksissa olleiden henkilötietojen käsittelyyn henkilötietojen käsittelijänä. ( 64 ) Ennakkoratkaisua pyytänyt tuomioistuin olettaa sitä vastoin tässä vaiheessa, että kyseinen yhtiö osallistui käsittelyyn rekisterinpitäjänä. Näin ollen ennakkoratkaisupyynnön perusteella tulee esiin kysymys siitä, voiko verkkomarkkinapaikan ylläpitäjä istua kahdella tuolilla eli voiko se olla sekä palvelunsa käyttäjien pyynnöstä tallennettujen tietojen osalta direktiivin 2000/31 14 artiklan 1 kohdassa tarkoitettu neutraali hosting-palvelun tarjoaja että kyseisiin tietoihin sisältyvien henkilötietojen rekisterinpitäjä. On nimittäin niin, että yhtäältä ensimmäisessä ennakkoratkaisukysymyksessä pyritään selvittämään, onko Russmediaa pidettävä kyseisen direktiivin II luvun 4 jaksossa tarkoitettuna välittäjänä toimivana palveluntarjoajana. Toisaalta toinen, kolmas ja neljäs kysymys ilmeisesti perustuvat oletukseen siitä, että kyseistä yhtiötä on pidettävä yleisessä tietosuoja-asetuksessa tarkoitettuna rekisterinpitäjänä.

155.

Tässä yhteydessä on todettava, että olen tietoinen siitä, ettei unionin tuomioistuin ole oikeuskäytännössään katsonut, ettei yleisessä tietosuoja-asetuksessa tarkoitetun rekisterinpitäjän rooli henkilötietoja sisältävien tietojen osalta voisi olla siten neutraali, että siihen voidaan soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista. Myös oikeuskirjallisuudessa on esitetty vastaava huomio eri jäsenvaltioiden kansallisen oikeuskäytännön osalta. ( 65 )

156.

Ensinnäkin unionin tuomioistuin on toki todennut tuomiossaan Google Spain ja Google, että hakukoneen ylläpitäjää on pidettävä henkilötietojen rekisterinpitäjänä sivullisten internetissä julkaisemien tai siihen liittämien henkilötietojen osalta, kun se löytää, indeksoi ja tallentaa niitä. ( 66 ) Toiseksi tuomiossaan Google France ja Google unionin tuomioistuin on analysoinut kysymystä siitä, voitiinko kyseisen hakukoneen ylläpitäjään soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista. ( 67 ) Viimeksi mainittu tuomio ei kuitenkaan koskenut kyseisen hakukoneen ylläpitämistä vaan indeksointipalvelua. Muutenkin kyseisessä tuomiossaan unionin tuomioistuin jätti ennakkoratkaisua pyytäneen tuomioistuimen tehtäväksi arvioida, voitiinko ylläpitäjää pitää kyseisessä säännöksessä tarkoitettuna välittäjänä toimivana palveluntarjoajana. ( 68 )

157.

Vielä tärkeämpää on huomata yhtäältä, kuten jo totesin, ( 69 ) että lainsäätäjän direktiivin 2000/31 II luvun 4 jaksossa tarkoittaman välittäjänä toimivan palveluntarjoajan rooli ei saa olla sellainen, että se tuntee tallennetut tiedot tai valvoo niitä, ja siten sen toiminnan on rajoituttava palvelun suorittamiseen neutraalisti käsittelemällä tietoja täysin teknisesti. Toisaalta rekisterinpitäjän rooliin kuuluu henkilötietojen käsittelyn tarkoituksen ja keinojen määrittäminen ja etenkin vaikuttaminen siihen, käsitelläänkö tietoja esimerkiksi kirjaamalla ne, muuttamalla niitä tai levittämällä niitä, ja mahdollisesti myös siihen, mitä henkilötietoja käsitellään. ( 70 ) Tällaisen vaikutusvallan käyttäminen on ristiriidassa sen neutraalin roolin kanssa, jossa tietoyhteiskunnan palveluntarjoajan on pysyttävä käyttäjiensä pyynnöstä tallennettujen tietojen osalta, jotta siihen voidaan soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista. Vastaavasti, kuten jo totesin, ( 71 ) yleisessä tietosuoja-asetuksessa rekisterinpitäjälle asetetaan velvollisuuksia ja vastuita, jotka edellyttävät rekisterinpitäjältä ennakoivaa toimintaa. Henkilötietojen käsittelyä koskevien periaatteiden noudattaminen edellyttää rekisterinpitäjältä käytännössä, että se tietää henkilötiedoista ja valvoo niitä. Myöskään tällainen valvonta ei sovi yhteen tällaisen palveluntarjoajan neutraalin roolin kanssa.

158.

Jos siis yhtäältä hosting-palvelu muodostuu sellaisten tietojen tallentamisesta, joita pidetään yleisen tietosuoja-asetuksen näkökulmasta henkilötietoina, ja jos toisaalta kyseisen palvelun tarjoajaa pidetään yleisessä tietosuoja-asetuksessa tarkoitettuna rekisterinpitäjänä, kyseisen palveluntarjoajan rooli ei voi rajoittua tällaisten tietojen neutraaliin tallentamiseen. Näin ollen tällaisen palvelun tarjoajalla on aktiivinen rooli kyseisten tietojen osalta, eikä siihen voida soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

159.

Ensimmäisessä kysymyksessä tarkoitetun tilanteen ja toisessa, kolmannessa ja neljännessä kysymyksessä tarkoitetun tilanteen välinen jännite tukee yleisen tietosuoja-asetuksen tulkintaa, jonka mukaan verkkomarkkinapaikan ylläpitäjä ei toimi ilmoituksia jättävien käyttäjiensä pyynnöstä tallentamiinsa ilmoituksiin sisältyvien henkilötietojen osalta rekisterinpitäjänä vaan henkilötietojen käsittelijänä. ( 72 )

160.

Täydellisyyden nimissä huomautan, että voi olla, että unionin lainsäätäjä on katsonut, että rekisterinpitäjänä toimivaan hosting-palvelun tarjoajaan voidaan soveltaa digipalvelusäädöksen mukaista vastuusta vapauttamista. Vaikka kyseisellä asetuksella nimittäin kumottiin direktiivin 2000/13 12–15 artikla, ( 73 ) niiden sisältö kuitenkin toistetaan kyseisessä asetuksessa, sellaisina kuin unionin tuomioistuin niitä on tulkinnut. Kyseisen asetuksen 7 artiklassa lisätään, että ”välityspalvelujen tarjoajia ei voida katsoa soveltumattomiksi – – vastuuta koskeviin poikkeuksiin pelkästään sen vuoksi, että ne suorittavat vilpittömässä mielessä ja huolellisesti vapaaehtoisia oma-aloitteisia tutkimuksia tai toteuttavat muita toimenpiteitä – –noudattaakseen unionin oikeuden ja unionin oikeutta noudattaen annetun kansallisen lainsäädännön vaatimuksia”. ( 74 ) Kyseisen säännöksen ensimmäisessä osassa, joka koskee ”palveluntarjoajan vapaa-ehtoisia oma-aloitteisia toimenpiteitä”, näkyvät tietyt unionin tuomioistuimen oikeuskäytännössä jo direktiivin 2000/31 soveltamisalalla kehitetyt näkökohdat. ( 75 ) Säännöksen toisen osan, joka koskee ”toimenpiteitä, jotka palveluntarjoaja toteuttaa noudattaakseen unionin oikeuden vaatimuksia” ja joka on kyseiselle asetuksella oma lisäyksensä, nojalla hosting-palvelun tarjoaja voisi täyttää yleisen tietosuoja-asetuksen mukaiset velvollisuutensa menettämättä neutraalin välittäjänä toimivan palveluntarjoajan rooliaan. Direktiivissä 2000/31 ei kuitenkaan ole tällaista säännösmuotoilua eikä sitä ole syytä ottaa käyttöön tulkitsemalla kyseistä direktiiviä.

161.

Vielä on ratkaistava, voiko henkilötietojen käsittelyyn henkilötietojen käsittelijänä osallistunut toimija, jonka vastuu henkilötietojen käsittelystä voi perustua yleisen tietosuoja-asetuksen rikkomiseen, vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen.

2. 

Yleisen tietosuoja-asetuksen ja direktiivin 2000/31 soveltaminen rinnakkain

162.

Ennakkoratkaisupyynnössä esiin tuotu ongelma perustuu siihen, että palvelun vastaanottajan pyynnöstä tallennetut tiedot sisälsivät henkilötietoja, joita käsiteltiin yleisen tietosuoja-asetuksen vastaisesti. Tämän vuoksi on tullut esiin kysymys, josta pääasian asianosaiset riitelevät ja josta on jo kauan keskusteltu oikeuskirjallisuudessa: ( 76 ) voiko henkilötietojen käsittelyyn osallistunut toimija, jonka vastuuseen voidaan vedota yleisen tietosuoja-asetuksen rikkomisen perusteella, vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen?

163.

Tästä minun on huomautettava, että kyseistä kahta unionin tointa koskevan analyysini mukaan tietoyhteiskunnan palveluntarjoaja, jota on pidettävä palvelun käyttäjien pyynnöstä tallennettuihin tietoihin sisältyvien henkilötietojen rekisterinpitäjänä, ei voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen. ( 77 ) Näin ollen jäljempänä esittämäni analyysi koskee ainoastaan sitä kysymystä, voiko palveluntarjoaja, joka toimii tällaisten henkilötietojen käsittelijänä, vedota kyseiseen vapauttamiseen. Muistutan, että yleisen tietosuoja-asetuksen säännöksiä koskevan analyysini perusteella ehdotan, että unionin tuomioistuin katsoo Russmedian osallistuneen henkilötietojen käsittelyyn henkilötietojen käsittelijänä. ( 78 )

164.

On lisättävä, ettei ennakkoratkaisua pyytänyt tuomioistuin täsmennä, perustuuko Russmedian mahdollinen vastuu yleisen tietosuoja-asetuksen rikkomisesta pääasiassa kyseisen asetuksen 82 artiklaan vai kansallisen oikeuden siviilioikeudellista vastuuta koskeviin sääntöihin. Henkilötietojen suojaa koskevan säännön rikkominen voi nimittäin samanaikaisesti johtaa muiden sääntöjen – kuten esimerkiksi kuluttajansuojaa koskevien sääntöjen – rikkomiseen ( 79 ) tai henkilöoikeuksien loukkaamiseen, eikä unionin lainsäätäjän tarkoituksena ole ollut yhdenmukaistaa tyhjentävästi oikeussuojakeinoja, jotka ovat käytettävissä yleisen tietosuoja-asetuksen säännösten rikkomisen varalta. ( 80 )

165.

Siviilioikeudellisen vastuun osalta sekä direktiivissä 2000/31 että yleisessä tietosuoja-asetuksessa on joka tapauksessa säännöksiä, jotka antavat viitteitä siitä, millainen on kyseisten kahden unionin toimen välinen suhde.

a) 

Direktiivin 2000/31 merkitykselliset säännökset

166.

Direktiivin 2000/31 1 artiklan, jonka otsikko on ”Tavoite ja soveltamisala”, 5 kohdan b alakohdassa säädetään, ettei kyseistä direktiiviä sovelleta tietoyhteiskunnan palveluihin liittyviin kysymyksiin, joista säädetään henkilötietojen käsittelyä koskevissa unionin oikeuden säännöissä. Tarkemmin ottaen kyseisessä säännöksessä viitataan direktiiviin 95/46 ja 97/66, jotka on tässä järjestyksessä korvattu yleisellä tietosuoja-asetuksella ( 81 ) ja direktiivillä 2002/58/EY. ( 82 )

167.

On myös lisättävä, että direktiivin 2000/31 johdanto-osan 14 perustelukappaleessa, joka koskee sen 1 artiklan 5 kohdassa tarkoitettua problematiikkaa, todetaan, että luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä säännellään yksinomaan direktiivillä 95/46 ja direktiivillä 97/66, ”joita sovelletaan täysimääräisesti tietoyhteiskunnan palveluihin. Näillä direktiiveillä on jo luotu henkilötietoja koskevat [unionin] oikeudelliset puitteet, eikä – – direktiivissä [2000/13] ole näin ollen tarpeen käsitellä tätä kysymystä sisämarkkinoiden moitteettoman toiminnan ja erityisesti jäsenvaltioiden välisen henkilötietojen vapaan liikkuvuuden varmistamiseksi. [Kyseisen] direktiivin täytäntöönpanossa ja soveltamisessa olisi noudatettava kaikilta osin henkilötietojen suojaa koskevia periaatteita – –”.

168.

Unionin tuomioistuin on aiemmin jo tarkastellut direktiivin 2000/31 1 artiklan 5 kohdan b alakohdan tulkintaa.

169.

Ensinnäkin tuomiossa Promusicae ( 83 ) käsiteltiin nimittäin kysymystä siitä, edellytetäänkö unionin oikeudessa, että jäsenvaltiot säätävät velvollisuudesta paljastaa henkilötietoja siviiliprosessin yhteydessä tekijänoikeuden tehokkaan suojan varmistamiseksi. Kyseisen tuomion taustalla olleessa asiassa ennakkoratkaisua pyytänyt tuomioistuin viittasi lukuisiin direktiiveihin, jotka sen mukaan olisivat voineet olla tällaisen velvollisuuden oikeusperustoja.

170.

Tästä yhteisöjen tuomioistuin totesi, että direktiivin 2000/31 1 artiklan 5 kohdan b alakohdasta seuraa, ettei tällaisella velvollisuudella, jos siitä säädettäisiin kyseisessä direktiivissä, voitaisi rajoittaa henkilötietojen suojaan liittyviä vaatimuksia. ( 84 ) Yhteisöjen tuomioistuin siis ilmeisesti piti mahdollisena, että kyseistä direktiiviä ja henkilötietojen suojaa koskevia unionin oikeuden välineitä sovellettaisiin rinnakkain.

171.

Toiseksi on todettava, että unionin tuomioistuin tarkasteli tuomiossaan La Quadrature du Net ym. ( 85 ) kysymystä siitä, onko direktiivi 2000/31 esteenä kansalliselle säännöstölle, jonka mukaan yhteyttä yleisölle tarkoitettuihin verkkoviestintäpalveluihin tarjoavien toimijoiden ja hosting-palvelujen tarjoajien on säilytettävä yleisesti ja erotuksetta kyseisiin palveluihin liittyvät henkilötiedot. Kyseisen tuomion taustalla olleessa asiassa ennakkoratkaisua pyytänyt tuomioistuin katsoi, että tähän kysymykseen sovelletaan direktiiviä 2000/31 eikä sen 15 artiklassa sellaisenaan oteta käyttöön sisällön luomiseen liittyvien tietojen säilyttämistä koskevaa periaatteellista kieltoa, josta voitaisiin poiketa ainoastaan poikkeuksellisesti. ( 86 )

172.

Unionin tuomioistuin katsoi, ettei direktiiviä 2000/31 sovelleta viestinnän luottamuksellisuuden suojaan ja yksilöiden suojeluun henkilötietojen käsittelyssä tietoyhteiskunnan palvelujen yhteydessä, koska tätä suojaa säännellään tapauksen mukaan direktiivillä 2002/58 tai yleisellä tietosuoja-asetuksella. ( 87 )

173.

Tämän vastauksen ehdottomuus liittyy asiayhteyteen, jossa se annettiin.

174.

Yhtäältä ei nimittäin pidä unohtaa, että direktiivin 2000/31 johdanto-osan 15 perustelukappaleessa viitataan nimenomaisesti viestinnän luottamuksellisuuteen ja siinä todetaan, että direktiivin 2000/31 1 artiklan 5 kohdan b alakohdassa mainitun direktiivin 97/66 perusteella ”jäsenvaltioiden on kiellettävä kaikenlainen muu kuin lähettäjien tai vastaanottajien suorittama sähköisen viestinnän kuuntelu tai valvonta, jollei tämä ole laillisesti sallittua”. Direktiivissä 2002/58, jolla direktiivi 97/66 on korvattu, vahvistetaan tämä kielto ja määritellään edellytykset, joiden täyttyessä jäsenvaltiot voivat poiketa siitä. Samoin yleisen tietosuoja-asetuksen soveltamisalalla asetuksen 23 artiklassa rajataan jäsenvaltioiden liikkumavaraa rajoittaa henkilötietojen suojaa toimenpiteillä, joissa säädetään poikkeuksista.

175.

Toisaalta on huomattava, että ennen kuin unionin tuomioistuin päätyi tämän ratkaisuehdotuksen 171 kohdassa esitettyyn päätelmään, se totesi, että viestinnän luottamuksellisuuden ja henkilötietojen suojaan liittyviä kysymyksiä säännellään ainoastaan direktiivissä 2002/58 ja yleisessä tietosuoja-asetuksessa, ”ja suojalla, joka direktiivillä 2000/31 pyritään varmistamaan, ei saada missään tapauksessa rajoittaa direktiivistä 2002/58 ja [yleisestä tietosuoja-]asetuksesta – – johtuvia vaatimuksia”. ( 88 )

176.

Näin ollen direktiivin 2000/31 1 artiklan 5 kohdan b alakohtaa koskevan oikeuskäytännön perusteella näyttää yhtäältä siltä, ettei kyseistä direktiiviä sovelleta kysymyksiin, joita direktiivissä 2002/58 ja yleisessä tietosuoja-asetuksessa säädetyt erityissäännökset koskevat. Toiseksi direktiiviä 2000/31 ja unionin oikeuden henkilötietoja koskevia sääntöjä sovelletaan rinnakkain kaikkiin muihin kysymyksiin, mutta kyseisen direktiivin säännöksillä ei voida rajoittaa henkilötietojen suojaan liittyviä vaatimuksia.

b) 

Yleisen tietosuoja-asetuksen merkitykselliset säännökset

177.

Tämän ratkaisuehdotuksen 176 kohdassa esittämäni tulkinta saa tukea yleisen tietosuoja-asetuksen 2 artiklan 4 kohdasta, jonka mukaan kyseisellä ”asetuksella ei rajoiteta” direktiivin 2000/31 soveltamista etenkään niiltä osin kuin on kyse tuon direktiivin 12–15 artiklassa säädetyistä välittäjinä toimivien palveluntarjoajien vastuuta koskevista säännöistä. ( 89 )

178.

Vaikka unionin oikeuden terminologiassa toteamus siitä, että oikeudellista välinettä tai jotakin sen säännöstä sovelletaan, ”sanotun kuitenkaan rajoittamatta” toisen välineen soveltamista, voi johtaa erilaisiin ratkaisuihin, yleisessä tietosuoja-asetuksessa täsmennetään, että kyseistä asetusta sovelletaan rajoittamatta etenkään tiettyjen direktiivin 2000/31 säännösten soveltamista. Unionin lainsäätäjä on siis halunnut korostaa, ettei yleisellä tietosuoja-asetuksella rajoiteta tiettyjen kyseisen direktiivin säännösten soveltamisalaa. Näin ollen yleiselle tietosuoja-asetukselle ei voida antaa etusijaa direktiiviin 2000/31 nähden sillä perusteella, että se on annettu kyseisen direktiivin jälkeen.

c) 

Loppuhuomautukset

179.

Edellä esitetyn perusteella sekä direktiivin 2000/31, sellaisena kuin unionin tuomioistuin on sitä tulkinnut, ( 90 ) että yleisen tietosuoja-asetuksen ( 91 ) rakenne on sellainen, että kyseisiä säädöksiä voidaan soveltaa rinnakkain kysymyksiin, joiden osalta kyseisessä asetuksessa ei ole erityissäännöksiä. Vielä on siis ratkaistava, onko yleisessä tietosuoja-asetuksessa sääntöä, jolla olisi direktiivin 2000/31 14 artiklan 1 kohdan tehtävään vertautuva tehtävä.

180.

Tästä on todettava, että yleisen tietosuoja-asetuksen 82 artiklan 3 kohdassa säädetään, että rekisterinpitäjä tai tapauksen mukaan henkilötietojen käsittelijä on vapautettava vastuusta sellaisen vahingon osalta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta, ”jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta”. Kun henkilötietojen suojan loukkaamiseen on syyllistynyt asetuksen 4 artiklan 10 alakohdassa tarkoitettu kolmas osapuoli, rekisterinpitäjä tai henkilötietojen käsittelijä voi kyseisen asetuksen 82 artiklan 3 kohdan nojalla vapautua vastuustaan osoittamalla, ettei sen tällaisen mahdollisen tietosuojavelvoitteen laiminlyönnin ja luonnollisen henkilön kärsimän vahingon välillä ole minkäänlaista syy-yhteyttä. ( 92 )

181.

Mielestäni yleisen tietosuoja-asetuksen 82 artiklan 3 kohtaa ei voida pitää vastuusta vapauttamista koskevana sääntönä, jolla olisi direktiivin 2000/31 14 artiklan 1 kohdan tehtävään vertautuva tehtävä.

182.

Näin on siksi, että direktiivin 2000/31 14 artiklan 1 kohtaa sovelletaan ainoastaan, jos välittäjänä toimivan palveluntarjoajan voidaan siihen sovellettavien sääntöjen perusteella katsoa olevan vastuussa välityspalvelunsa käyttäjien pyynnöstä tallentamistaan tiedoista. Kysymys siitä, voidaanko kyseistä säännöstä soveltaa, tulee siis esiin vain siinä tapauksessa, että asiassa sovellettavissa säännöissä säädetyt edellytykset kyseisen palveluntarjoajan tallennettuja tietoja koskevan vastuun syntymiselle täyttyvät. Tästä on todettava, että yleisen tietosuoja-asetuksen 82 artiklan 1–3 kohdassa säädetään edellytyksistä, joiden täyttyessä vahingonkärsijällä on oikeus korvaukseen. Asetuksen 82 artiklan 3 kohdassa säädetään vain eräästä kyseisen vastuun syntymisen edellytyksestä. ( 93 ) Kyseiseen 82 artiklaan perustuvan rekisterinpitäjän korvausvastuun syntymisen edellytyksenä on nimittäin sen tuottamus, joka on olettamana, ellei rekisterinpitäjä 82 artiklan 3 kohdassa tarkoitetulla tavalla osoita, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. ( 94 )

183.

Henkilötietojen käsittelijään, jonka vastuu voi syntyä yleisen tietosuoja-asetuksen 82 artiklan nojalla, voidaan siis soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

184.

Ei kuitenkaan pidä unohtaa, että henkilötietojen käsittelijä voi olla vastuussa yleisen tietosuoja-asetuksen 82 artiklan 2 kohdan toisen virkkeen nojalla vain, jos se ei ole noudattanut nimenomaisesti henkilötietojen käsittelijöille osoitettuja kyseisen asetuksen velvoitteita tai jos se on toiminut rekisterinpitäjän lainmukaisen ohjeistuksen ulkopuolella tai sen vastaisesti. Sellaisen verkkomarkkinapaikan ylläpitäjän velvollisuudet ja vastuut, joka toimii alustallaan julkaistuihin ilmoituksiin sisältyvien henkilötietojen käsittelijänä, liittyvät siten ennen kaikkea kyseisen asetuksen 32 artiklaan. ( 95 )

185.

Kuten olen jo maininnut, pääasian osalta ei kuitenkaan ole selvää, perustuuko Russmedian mahdollinen vastuu yleisen tietosuoja-asetuksen rikkomisesta kyseisen asetuksen 82 artiklaan vai kansallisiin säännöksiin. Jos vastuu kyseisen asetuksen rikkomisesta voi syntyä kansallisten säännösten perusteella (mistä seuraa, ettei asetuksen 82 artiklan 3 kohtaa sovelleta), ei varsinkaan ole perusteita katsoa, ettei kyseiseen yksikköön voida soveltaa direktiivin 2000/31 14 artiklan 1 kohdassa säädettyä vastuusta vapauttamista.

186.

Päätelmänäni totean, että mielestäni toimija, joka osallistuu henkilötietojen käsittelyyn henkilötietojen käsittelijänä, joka voi olla vastuussa yleisen tietosuoja-asetuksen rikkomisesta, voi vedota direktiivin 2000/31 14 artiklan 1 kohdassa säädettyyn vastuusta vapauttamiseen. Päätelmäni kyseisten kahden unionin toimen välisestä suhteesta ei siis voi vaikuttaa vastauksiin, joita ehdotan annettavaksi ennakkoratkaisukysymyksiin.

V 

Ratkaisuehdotus

187.

Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Curtea de Apel Clujin esittämiin ennakkoratkaisukysymyksiin seuraavasti: