1.

Předběžné otázky v projednávané věci se týkají ustanovení směrnice 2000/31/ES ( 2 ) a nařízení (EU) 2016/679 ( 3 ).

2.

Tyto otázky vyvstaly ve sporu mezi fyzickou osobou a provozovatelem on-line tržiště, na němž byl bez souhlasu fyzické osoby zveřejněn inzerát, ve kterém bylo uvedeno, že tato fyzická osoba nabízí sexuální služby. Zvláštnost této věci spočívá v tom, že předmětný inzerát obsahoval osobní údaje.

3.

Svými otázkami, které se týkají GDPR, se předkládající soud v tomto kontextu snaží zjistit jednak, zda provozovatel on-line tržiště, jako je tržiště dotčené ve věci v původním řízení, nesplnil své povinnosti vyplývající z tohoto nařízení, a jednak to, zda se na takového provozovatele může vztahovat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31, pokud jde o inzerát zveřejněný na tomto on-line tržišti. Tato žádost o rozhodnutí o předběžné otázce tak poskytuje Soudnímu dvoru možnost rozhodnout o vztahu mezi režimy stanovenými těmito dvěma akty unijního práva.

4.

Článek 1 směrnice 2000/31, nadepsaný „Cíl a oblast působnosti“, v odstavci 5 mimo jiné stanoví, že se tato směrnice „nevztahuje na […] otázky týkající se služeb informační společnosti upravené ve směrnicích 95/46/ES[ ( 4 )] a 97/66/ES[ ( 5 )]“.

5.

Články 12, 13 a 14 této směrnice, které byly uvedeny v oddíle 4, nadepsaném „Odpovědnost poskytovatelů zprostředkovatelských služeb“, kapitoly II, která je nadepsána „Zásady“, se týkaly poskytovatelů služeb informační společnosti, kteří vykonávali prostý přenos, ukládání do vyrovnávací paměti („caching“) nebo činnost shromažďování informací. Tato ustanovení rovněž určovala podmínky, za kterých byli poskytovatelé těchto služeb zproštěni odpovědnosti za informace poskytnuté uživateli jejich služeb.

6.

Článek 14 odst. 1 uvedené směrnice, nadepsaný „Shromažďování informací“, stanovil:

„Členské státy zajistí, aby v případě služby informační společnosti spočívající v ukládání informací poskytovaných příjemcem služby nebyl poskytovatel služby odpovědný za informace ukládané na žádost příjemce, pokud:

7.

Článek 15 téže směrnice, nadepsaný „Neexistence obecné povinnosti dohledu“, stanovil:

„1.   Členské státy neukládají poskytovatelům služeb uvedených v článcích 12, 13 a 14 obecnou povinnost dohlížet na jimi přenášené nebo ukládané informace nebo obecnou povinnost aktivně vyhledávat skutečnosti a okolnosti poukazující na protiprávní činnost.

2.   Členské státy mohou poskytovatelům služeb informační společnosti uložit povinnost, aby neprodleně informovali příslušné orgány veřejné moci o pravděpodobných protiprávních činnostech vykonávaných poskytovateli služeb [příjemci jejich služeb] nebo o protiprávních informacích, které tito poskytovatelé, poskytují, [příjemci poskytují] nebo aby sdělili příslušným orgánům veřejné moci na jejich žádost informace, na jejichž základě lze zjistit totožnost příjemců jejich služeb, s nimiž uzavřeli dohodu o shromažďování informací.“

8.

Článek 2 GDPR, nadepsaný „Věcná působnost“, v odstavci 4 stanoví:

„Tímto nařízením není dotčeno uplatňování [směrnice 2000/31], zejména pokud jde o pravidla týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb uvedená v článcích 12 až 15 uvedené směrnice.“

9.

Článek 4 tohoto nařízení, nadepsaný „Definice“, zní:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

10.

Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

11.

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, v odstavci 1 stanoví:

„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]“

12.

Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, v odstavci 1 uvádí:

„Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.“

13.

Články 24 až 26 tohoto nařízení se nacházejí v oddíle 1, nadepsaném „Obecné povinnosti“, kapitoly IV tohoto nařízení, nadepsané „Správce a zpracovatel“.

14.

Článek 24 uvedeného nařízení, nadepsaný „Odpovědnost správce“, v odstavci 1 stanoví:

„S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“

15.

Článek 25 téhož nařízení, nadepsaný „Záměrná a standardní ochrana osobních údajů“, v odstavcích 1 a 2 stanoví:

„1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavede správce jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je provádět zásady ochrany údajů, jako je minimalizace údajů, účinným způsobem a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů.

2.   Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka [dotyčné fyzické osoby] zpřístupněny neomezenému počtu fyzických osob.“

16.

Článek 26 GDPR, nadepsaný „Společní správci“, v odstavci 1 stanoví:

„Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci. Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění povinností podle tohoto nařízení, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článcích 13 a 14, pokud tuto odpovědnost správců nestanoví právo Unie nebo členského státu, které se na správce vztahuje. V ujednání může být určeno kontaktní místo pro subjekty údajů.“

17.

Článek 11 Legea nr. 365/2002 privind comerțul electronic (zákon č. 365/2002 o elektronickém obchodu) ze dne 7. června 2002 ( 6 ), ve znění Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (zákon č. 121/2006, kterým se mění a doplňuje zákon č. 365/2002 o elektronickém obchodu) ze dne 4. května 2006 ( 7 ) (dále jen „zákon č. 365/2002“), stanoví:

„1.   Na poskytovatele služeb se vztahují právní předpisy o občanskoprávní a trestněprávní odpovědnosti a odpovědnosti za přestupky, pokud tento zákon nestanoví jinak.

2.   Poskytovatelé služeb jsou odpovědní za informace, které poskytli sami nebo svým jménem.

3.   Poskytovatelé služeb neodpovídají za informace přenášené, ukládané nebo zpřístupňované za podmínek stanovených v článcích 12 až 15.“

18.

Článek 14 tohoto zákona, nadepsaný „Trvalé ukládání informací, úložiště-hosting“, stanoví:

„1.   Pokud služba informační společnosti spočívá v ukládání informací poskytnutých příjemcem dané služby, poskytovatel této služby neodpovídá za informace uložené na žádost příjemce, pokud je splněna jedna z těchto podmínek:

2.   Ustanovení odstavce 1 se nepoužijí, pokud příjemce jedná z pověření poskytovatele služeb nebo pod jeho dohledem.

3.   Ustanoveními tohoto článku není dotčena možnost soudního nebo správního orgánu požadovat po poskytovateli služeb, aby ukončil porušování ochrany údajů nebo aby takovému porušování zabránil, ani možnost zahájit vládní postup za účelem omezení nebo přerušení přístupu k informacím.“

19.

Russmedia Digital SRL (dále jen „Russmedia“), společnost založená podle rumunského práva, je vlastníkem on-line tržiště www.publi24.ro, na němž mohou být bezplatně nebo za úplatu zveřejňovány inzeráty týkající se zejména prodeje zboží nebo poskytování služeb z různých lokalit v Rumunsku.

20.

Dne 1. srpna 2018 zveřejnila neidentifikovaná osoba na tomto on-line tržišti inzerát, jehož obsah byl znevažující a urážlivý vůči navrhovatelce v původním řízení, neboť v něm bylo uvedeno, že nabízí sexuální služby (dále jen „sporný inzerát“). Tento inzerát obsahoval fotografie navrhovatelky v původním řízení, použité bez jejího souhlasu, pocházející z účtu, který měla legálně na sociální síti, jakož i její telefonní číslo. Totožnost osoby, která tento inzerát na dané on-line tržiště vložila, nebyla před jeho zveřejněním ověřena. Když byla společnost Russmedia kontaktována navrhovatelkou v původním řízení, odstranila inzerát ze svého on-line tržiště o necelou hodinu později. Tentýž inzerát však byl s uvedením původního zdroje umístěn on-line na jiných internetových stránkách s reklamním obsahem, na nichž je stále přístupný.

21.

Vzhledem k tomu, že navrhovatelka v původním řízení měla za to, že sporný inzerát porušuje její práva, podala proti společnosti Russmedia žalobu.

22.

Judecătoria Cluj-Napoca (Soud prvního stupně v Kluži-Napoce, Rumunsko) vyhověl této žalobě a na základě článku 253 občanského zákoníku ( 8 ) uložil společnosti Russmedia povinnost zaplatit navrhovatelce v původním řízení částku 7000 eur z titulu nemajetkové újmy, která jí byla způsobena zásahem do jejího práva k podobizně, na čest a dobrou pověst, porušením práva na soukromí a nesprávným zpracováním osobních údajů. Tento soud měl totiž za to, že sporný inzerát představuje porušení povinností, které společnosti Russmedia ukládá GDPR. Uvedený soud dospěl k závěru, že skutečnost, že společnost Russmedia povolila zveřejnění a následné šíření tohoto inzerátu na internetu, vážně porušila práva navrhovatelky v původním řízení.

23.

Tribunalul Specializat Cluj (Specializovaný soud v Kluži, Rumunsko) vyhověl odvolání podanému společností Russmedia a rozhodl, že žaloba navrhovatelky v původním řízení není opodstatněná, neboť tato společnost nebyla autorem sporného inzerátu. Tento soud měl za to, že společnost Russmedia poskytovala pouze službu pro uložení inzerátů, aniž se aktivně podílela „na obsahu“ těchto inzerátů, a že za těchto okolností se uplatní zproštění odpovědnosti stanovené v čl. 14 odst. 1 zákona č. 365/2002.

24.

Podle odvolacího soudu společnost Russmedia odstranila sporný inzerát ze svého on-line tržiště méně než hodinu poté, co ji kontaktovala navrhovatelka v původním řízení. Tento soud rozhodl, že společnost Russmedia je zproštěna odpovědnosti za uplatňovanou škodu, jelikož nebyla autorem dotčeného inzerátu a zablokovala jej s ohledem na čl. 11 odst. 3 a čl. 14 odst. 1 písm. b) zákona č. 365/2002, jakmile se dozvěděla, že může porušit práva navrhovatelky v původním řízení.

25.

Pokud jde o povinnost správce ověřit před zveřejněním inzerátu, zda má autor inzerátu právo používat osobní údaje v něm obsažené, odvolací soud rozhodl, že se použije článek 11 metodických pravidel pro uplatňování zákona č. 365/2002, podle kterého poskytovatel služeb informační společnosti není povinen kontrolovat ukládané informace ( 9 ).

26.

Odvolací soud konečně rozhodl, že společnosti Russmedia nelze vytýkat, že nepřijala opatření, která by zabránila on-line šíření sporného inzerátu. Podle jeho názoru spočívala poskytovaná služba ve zveřejnění tohoto inzerátu a opatření k zablokování přístupu veřejnosti, k němu byla přijata, jakmile navrhovatelka v původním řízení upozornila společnost Russmedia. Odvolací soud tedy rozhodl, že se v projednávané věci uplatní zákon č. 365/2002, který zprošťuje tuto společnost odpovědnosti za nemajetkovou újmu způsobenou obsahem inzerátů zveřejněných uživateli na stránkách www.publi24.ro.

27.

Navrhovatelka v původním řízení podala proti tomuto rozhodnutí kasační opravný prostředek ke Curtea de Apel Cluj (Odvolací soud v Kluži, Rumunsko), který je předkládajícím soudem.

28.

Navrhovatelka v původním řízení v kasačním opravném prostředku mimo jiné tvrdí, že zákon č. 365/2002 není zvláštním zákonem ve vztahu k GDPR, a proto měl odvolací soud posoudit odpovědnost společnosti Russmedia s ohledem na ustanovení tohoto nařízení.

29.

Kromě toho navrhovatelka v původním řízení uvádí, že úloha společnosti Russmedia se neomezovala na poskytování specifických technických prostředků pro přístup zákazníků k hostingovému serveru. Podle navrhovatelky v původním řízení tato společnost plnila rovněž správcovskou úlohu, neboť zasahovala do obsahu inzerátů, aby zajistila řádnou správu informací. Uvedená společnost jakožto provozovatel dotčených internetových stránek ukládá a zpracovává obsah informací. Zpracování a ukládání údajů, jakož i jejich zpřístupnění veřejnosti v určité podobě předpokládá jak analýzu údajů a informací obsažených v inzerátech, tak jejich správu, která je nezbytná k zajištění snadného přístupu veřejnosti, což svědčí o přímém zapojení této společnosti. V důsledku toho se článek 14 zákona č. 365/2002 v projednávané věci nepoužije. Navrhovatelka v původním řízení má rovněž za to, že zproštění odpovědnosti stanovené v tomto ustanovení se nepoužije, pokud je odpovědnost založena jinými právními nástroji, jako je GDPR, což je podle ní případ v projednávané věci.

30.

Předkládající soud vyhověl kasačnímu opravnému prostředku a konstatoval, že se odvolací soud nezabýval použitelností ustanovení GDPR na projednávanou věc, zrušil napadený rozsudek a vrátil věc k dalšímu řízení o odvolání.

31.

V tomto ohledu předkládající soud uvádí, že podle jeho názoru neexistuje povinnost provozovatelů on-line tržišť provádět předchozí ověření inzerátů zveřejněných uživateli. Připomíná však, že podle rozsudku L’Oréal a další ( 10 ) se může na zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31 odvolávat pouze provozovatel on-line tržiště, který nehraje aktivní roli spočívající v poskytování pomoci za účelem optimalizace prezentace nabídek k prodeji nebo jejich propagace. V souladu s uvedeným rozsudkem ( 11 ) se navíc provozovatel on-line tržiště nemůže dovolávat tohoto zproštění odpovědnosti, jestliže byl seznámen se skutečnostmi nebo okolnostmi, na základě nichž by hospodářský subjekt postupující s řádnou péčí musel konstatovat protiprávnost dotčených nabídek k prodeji, a v případě takového seznámení se, nejednal neprodleně. Stejně tak se podle rozsudku Papasavvas ( 12 ) nemůže vydavatelská společnost disponující internetovou stránkou, na které je zveřejňována elektronická verze deníku, dovolávat uvedeného zproštění odpovědnosti, pokud jsou jí známy zveřejněné informace a vykonává nad nimi kontrolu.

32.

Předkládající soud uvádí, že judikatura Soudního dvora se týká pouze on-line nabídek, jejichž protiprávnost vyplynula z analýzy skutečností a okolností, které byly správci výslovně sděleny po vložení dotčeného inzerátu. Naproti tomu Soudní dvůr nikdy neměl příležitost zabývat se takovou situací, jako je situace, která je předmětem projednávané věci. Specifičnost věci v původním řízení totiž spočívá v tom, že obsah inzerátu zveřejněného uživatelem, který nebyl v okamžiku předložení věci soudu identifikován, byl zjevně protiprávní a značně poškozoval subjekt údajů. Podle předkládajícího soudu nebylo oznámení správci nezbytné k tomu, aby bylo možné zjistit a analyzovat případnou protiprávní povahu zveřejněné informace.

33.

Kromě toho předkládající soud upozorňuje na skutečnost, že ačkoli byl sporný inzerát po oznámení navrhovatelky v původním řízení odstraněn z internetových stránek Russmedia, na nichž byl původně zveřejněn, byl v plném rozsahu reprodukován na mnoha jiných internetových stránkách, a to se všemi údaji a fotografiemi navrhovatelky v původním řízení, s uvedením původního zdroje, aniž byla přijata jakákoli opatření na ochranu osobních údajů. Újma se tedy stala trvalou újmou a v současné době k ní stále dochází.

34.

Předkládající soud dále uvádí, že sexuální služby uvedené ve sporném inzerátu a údajně nabízené navrhovatelkou v původním řízení mohou být spojeny se závažnými protiprávními činy, jako je kuplířství a obchodování s lidmi, které jsou trestnými činy podle trestního zákoníku.

35.

Konečně předkládající soud upozorňuje na skutečnost, že podle podmínek používání on-line tržiště společnosti Russmedia se tento provozovatel nejeví jako pouhý pasivní uživatel údajů. Ačkoli si tato společnost nenárokuje vlastnické právo k poskytnutému nebo vloženému, nahranému nebo zaslanému obsahu, ponechává si právo obsah používat, včetně práva jej kopírovat, šířit, přenášet, zveřejňovat, reprodukovat, upravovat, překládat, předávat partnerům a kdykoli jej odstranit, a to i bez udání důvodu.

36.

Za těchto okolností Curtea de Apel Cluj (Odvolací soud v Kluži) rozhodnutím ze dne 15. června 2023, které bylo doručeno Soudnímu dvoru dne 3. srpna 2023, přerušil řízení a položil Soudnímu dvoru následující předběžné otázky:

37.

Písemná vyjádření předložily rumunská vláda a Evropská komise. Navrhovatelka v původním řízení a Komise byly zastoupeny na jednání, které se konalo dne 2. července 2024.

38.

Cílem první otázky je určit, zda se společnost Russmedia může dovolávat zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31, zatímco druhá až čtvrtá otázka se týkají toho, zda tato společnost porušila povinnosti, které pro ni vyplývají z GDPR.

39.

Soudní dvůr v minulosti uvedl, že čl. 14 odst. 1 směrnice 2000/31, který je předmětem první otázky, má za cíl omezit případy, kdy lze v souladu s vnitrostátním právem použitelným v dané věci uplatnit odpovědnost poskytovatelů zprostředkovatelských služeb ( 13 ). Domnívám se, že vzhledem k vývoji unijního práva v této oblasti by se zproštění odpovědnosti stanovené v tomto ustanovení mělo použít i v případě, kdy je poskytovatel služeb činěn odpovědným na základě unijního práva nebo vnitrostátních předpisů, které unijní právo provádějí ( 14 ).

40.

Z předkládacího rozhodnutí vyplývá, že ve věci v původním řízení může být společnost Russmedia považována za odpovědnou z důvodu porušení GDPR ( 15 ). Za těchto okolností se může zdát žádoucí a priori posoudit nejprve druhou až čtvrtou otázku, kterými se předkládající soud snaží zjistit, zda společnost Russmedia nesplnila své povinnosti vyplývající z GDPR. V zájmu přehlednosti však budu zkoumat otázky v pořadí, v jakém jsou položeny. Nejprve tedy rozeberu problém nastolený předkládacím rozhodnutím z hlediska směrnice 2000/31 a poté tento problém přezkoumám z hlediska GDPR. Konečně v poslední části svého posouzení se budu zabývat vzájemným vztahem mezi tímto nařízením a touto směrnicí.

41.

Všechny předběžné otázky se týkají zásadnější otázky vztahu mezi ustanoveními směrnice 2000/31 a ustanoveními GDPR. Touto otázkou se budu zabývat poté, co určím relevantní ustanovení těchto dvou aktů unijního práva, neboť právní kvalifikace podle kategorií v nich stanovených tvoří jádro čtyř předběžných otázek.

42.

Podstatou první otázky předkládajícího soudu je, zda musí být čl. 14 odst. 1 směrnice 2000/31 vykládán v tom smyslu, že se na poskytovatele služby informační společnosti, která spočívá ve tom, že je uživatelům zpřístupněno on-line tržiště, na němž mohou být bezplatně nebo za úplatu zveřejněny inzeráty, může vztahovat zproštění odpovědnosti stanovené v tomto ustanovení i v případě, že poskytovatel ve všeobecných podmínkách používání on-line tržiště uvádí, že ačkoli si nenárokuje vlastnické právo k tomuto obsahu, ponechává si právo poskytnutý, vložený, nahraný nebo přenesený obsah používat, včetně práva jej kopírovat, šířit, přenášet, zveřejňovat, reprodukovat, upravovat, překládat, předávat partnerům a kdykoli jej odstranit, a to i bez udání důvodu.

43.

Budu tedy posuzovat tuto otázku (oddíl 1), jejímž cílem je v podstatě určit, zda lze společnost Russmedia kvalifikovat jako „poskytovatele zprostředkovatelských služeb“, který se a priori může dovolávat zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31. Vzhledem k tomu, že předkládající soud má zřejmě také pochybnosti o tom, zda jsou s ohledem na specifičnost sporu v původním řízení v projednávané věci splněny podmínky, kterým toto ustanovení podřizuje zproštění odpovědnosti v konkrétním případě, posoudím pro úplnost i tuto otázku (oddíl 2).

44.

Domnívám se, že je důležité zdůraznit jak předpoklad, z něhož vychází první otázka, tak její rozsah.

45.

V tomto ohledu zaprvé, jak jsem již uvedl ( 16 ), články 12, 13 a 14 směrnice 2000/31 stanovily výjimky z odpovědnosti použitelné v případě, kdy se služby poskytované poskytovateli služeb informační společnosti týkají prostého přenosu, ukládání do vyrovnávací paměti („caching“) a shromažďování informací.

46.

Ačkoli první otázka odkazuje na tato tři ustanovení, předkládající soud naznačuje, že společnost Russmedia poskytuje službu spočívající ve shromažďování informací poskytovaných uživateli. Kromě toho článek 14 zákona č. 365/2002, jehož použitelnost byla diskutována před vnitrostátními soudy ( 17 ), podle všeho provádí článek 14 směrnice 2000/31, který se týká hostingové služby. Mám tedy za to, že první otázka se týká tohoto ustanovení unijního práva a předběžná hypotéza předkládajícího soudu spočívá v tom, že služba poskytovaná společností Russmedia představuje službu informační společnosti a v zásadě spočívá ve shromažďování informací poskytovaných uživateli jejího on-line tržiště.

47.

Zadruhé, pokud jde o rozsah první otázky, z její opatrné formulace vyplývá, že se předkládající soud nevyjadřuje k úloze společnosti Russmedia při poskytování hostingové služby. Z této otázky je zřejmé, že konstatování, že úloha společnosti Russmedia je čistě technická, vychází z prohlášení této společnosti ( 18 ). Ačkoli předkládající soud toto tvrzení patrně nezpochybňuje, přesto se jím budu zabývat, neboť jeho opodstatněnost je navrhovatelkou v původním řízení důrazně zpochybňována ( 19 ).

48.

Konečně zatřetí předkládající soud uvádí, že společnost Russmedia „se nejeví jako pouhý pasivní uživatel údajů (zprostředkovatel), neboť [tato společnost] si sice nenárokuje vlastnické právo k poskytnutému nebo vloženému, nahranému nebo přenesenému obsahu, nicméně si ponechává právo [tento] obsah používat“. Znění první otázky odráží tuto obavu předkládajícího soudu. Cílem této otázky je totiž zjistit, zda „se na poskytovatele […], který zpřístupňuje uživatelům [on-line tržiště], avšak který prostřednictvím všeobecných podmínek používání stránek uvádí, [že] si ponechává právo obsah používat“, může vztahovat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31.

49.

Zmínky o čistě technické nebo pasivní povaze činnosti společnosti Russmedia v předkládacím rozhodnutí odkazují na judikaturu Soudního dvora, podle níž se zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31 týká pouze případu, kdy se jednání poskytovatele omezuje na jednání „poskytovatele zprostředkovatelských služeb“ ve smyslu zamýšleném normotvůrcem v rámci oddílu 4 kapitoly II této směrnice. Z bodu 42 odůvodnění uvedené směrnice totiž v tomto ohledu vyplývá, že odchylky v oblasti odpovědnosti stanovené touto směrnicí se vztahují pouze na případy, v nichž má činnost poskytovatele služeb informační společnosti čistě technickou, automatickou a pasivní podobu, což znamená, že poskytovatel nezná ani nekontroluje přenášené či ukládané informace ( 20 ). Právě s ohledem na výše uvedenou judikaturu je třeba posoudit první otázku.

50.

I když předkládající soud neposkytuje podrobné informace o fungování on-line tržiště společnosti Russmedia, tato společnost podle všeho určuje umístění inzerátů a zveřejňuje je zdarma nebo za úplatu na svém on-line tržišti, kde jsou inzeráty seskupeny do různých kategorií zvolených inzerujícími uživateli a kde mohou ostatní uživatelé vyhledávat pomocí jednoduchého vyhledávače a třídit výsledky. Aby mohl inzerující uživatel zveřejnit inzerát on-line, musí se zaregistrovat u společnosti Russmedia. Jeho totožnost není ověřována ani v okamžiku registrace, ani v okamžiku zveřejnění inzerátu. Takový je obraz fungování tohoto on-line tržiště, který vyplývá z předkládacího rozhodnutí, písemných vyjádření zúčastněných a vyjádření předložených na jednání, jakož i z mých vlastních rešerší. Předkládajícímu soudu přísluší ověřit správnost těchto vyjádření před přijetím rozhodnutí ve sporu v původním řízení.

51.

Ve věci, která se týkala provozovatele on-line tržiště, upřesnil Soudní dvůr, že za účelem ověření, zda tento provozovatel může být zproštěn odpovědnosti podle článku 14 směrnice 2000/31, je třeba posoudit, zda se omezuje na neutrální poskytování své služby prostřednictvím čistě technického a automatického zpracování dat poskytovaných jeho zákazníky nebo hraje aktivní roli takové povahy, že by bylo možné konstatovat, že tato data zná nebo kontroluje ( 21 ).

52.

V tomto ohledu Soudní dvůr rozhodl, že pouhá skutečnost, že provozovatel on-line tržiště ukládá na svůj server nabídky k prodeji, stanoví podmínky poskytování své služby, dostává za tuto službu úplatu a zákazníkům poskytuje informace obecné povahy, nemůže mít za následek, že se na něj nebudou vztahovat výjimky v oblasti odpovědnosti stanovené ve směrnici 2000/31 ( 22 ).

53.

Dále, pokud jde o jednu z podmínek, kterými čl. 14 odst. 1 směrnice 2000/31 podmiňuje zproštění odpovědnosti poskytovatele zprostředkovatelských služeb, k níž se vrátím později ( 23 ), uvedl Soudní dvůr, že okolnost, že provozovatel platformy pro sdílení obsahů on-line provádí automatizovanou indexaci obsahů nahraných na tuto platformu, že uvedená platforma zahrnuje funkci vyhledávání a doporučuje videa v závislosti na profilu nebo preferencích uživatelů, nemůže postačovat k tomu, aby bylo možné mít za to, že tato podmínka není splněna ( 24 ). A fortiori, tato okolnost nemůže takového provozovatele zbavit možnosti dovolávat se zproštění odpovědnosti stanoveného v tomto ustanovení. Otázka, zda jsou splněny podmínky pro zproštění odpovědnosti stanovené v čl. 14 odst. 1 písm. a) a b) této směrnice, vyvstává pouze tehdy, pokud lze dotčeného poskytovatele služeb označit za „poskytovatele hostingu, který zastává neutrální úlohu“ ve vztahu k informacím, které ukládá, a může se a priori dovolávat tohoto zproštění odpovědnosti.

54.

Na první pohled společnost Russmedia podle všeho zastává neutrální roli ve vztahu k informacím ukládaným na žádost inzerujících uživatelů, a může se tedy dovolávat zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31. Nyní je třeba rozptýlit pochybnosti předkládajícího soudu, které se odrážejí ve formulaci první otázky, jež v podstatě směřuje k určení, zda při zkoumání použitelnosti tohoto zproštění odpovědnosti mají hrát převažující roli všeobecné podmínky používání on-line tržiště nebo činnosti skutečně prováděné provozovatelem tohoto tržiště.

55.

Připomínám, že společnost Russmedia si ve všeobecných podmínkách používání svého on-line tržiště vyhrazuje právo používat poskytnutý, vložený, nahraný nebo přenesený obsah, včetně práva jej kopírovat, šířit, přenášet, zveřejňovat, reprodukovat, upravovat, překládat, předávat partnerům a kdykoli jej odstranit, a to i bez udání důvodu.

56.

Úvodem poznamenávám, že spor v původním řízení se netýká újmy způsobené navrhovatelce v původním řízení zásahem společnosti Russmedia do sporného inzerátu, který byl dostupný na jejím on-line tržišti. V projednávané věci se tedy nejedná o situaci, ve které by újma vyplývala z obsahu poskytnutého uživatelem on-line tržiště a upraveného nebo zmanipulovaného provozovatelem tržiště.

57.

Po tomto konstatování je však třeba poznamenat, že podle všeobecných podmínek používání on-line tržiště společnosti Russmedia nemá tento provozovatel patrně žádnou povinnost vůči inzerujícím uživatelům, pokud jde o tvorbu nebo prezentaci obsahu inzerátů uložených na jejich žádost. Tato společnost si naproti tomu vyhrazuje právo tyto informace použít, a to i bez jakéhokoli důvodu v tomto smyslu.

58.

V tomto ohledu je třeba uvést, že i když všeobecné podmínky používání on-line tržiště mohou určovat fungování služby informační společnosti a umožnit pochopení role, kterou zastává její poskytovatel, smluvní ujednání, na jejichž základě může tento poskytovatel přijmout opatření týkající se ukládaných informací, aniž by k tomu byl povinen, nemohou být sama o sobě rozhodující, pokud jde o otázku, zda je role tohoto poskytovatele neutrální. Soudní dvůr ve své judikatuře upozorňuje na účinnou účast poskytovatele služby informační společnosti na tvorbě a prezentaci informací poskytovaných uživateli této služby. Naproti tomu při posuzování použitelnosti zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31 je třeba nepřihlížet k činnostem, které je poskytovatel služeb oprávněn provádět podle všeobecných podmínek používání své platformy, ale které v praxi neprovádí. Jinými slovy, v rámci tohoto posouzení je třeba zohlednit činnosti skutečně prováděné poskytovatelem takové služby.

59.

Soudní dvůr konkrétně rozhodl, že pokud provozovatel on-line tržiště poskytuje pomoc, která spočívala zejména v optimalizaci prezentace dotčených nabídek k prodeji nebo propagaci těchto nabídek, je třeba mít za to, že nezaujímal neutrální postavení ve vztahu mezi dotčeným zákazníkem-prodávajícím a potenciálními kupujícími, ale hrál aktivní roli takové povahy, že by bylo možné konstatovat, že tato data týkající se těchto nabídek zná nebo kontroluje ( 25 ). Stejně tak Soudní dvůr v podstatě rozhodl, že vydavatelská společnost se nemůže dovolávat zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31, pokud jde o informace obsažené v elektronickém vydání papírové verze deníku vydávaného touto společností, neboť tato společnost v zásadě zná informace, které publikuje, a vykonává nad nimi kontrolu ( 26 ).

60.

Stručně řečeno, v pasážích judikatury, které jsem právě zmínil, způsob fungování on-line tržiště implikoval znalost a kontrolu uložených informací ex ante. Naproti tomu v projednávané věci, jak poznamenala Komise na jednání, nic nenasvědčuje tomu, že by společnost Russmedia zasahovala do vytváření, optimalizace nebo prezentace inzerátů nebo že by kontrolovala jejich individuální obsah před zveřejněním. Kontrola, kterou tato společnost mohla vykonávat na základě všeobecných podmínek používání svého on-line tržiště, má pouze potenciální a ex post povahu. Navíc společnost Russmedia patrně nemá žádné povědomí o ukládaných informacích, jež by bylo důvodem pro to, aby se na tuto společnost nevztahovalo zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31.

61.

Jak Komise navíc uvedla, všeobecné podmínky používání platformy podobné všeobecným podmínkám společnosti Russmedia nejsou u zprostředkovatelských služeb nijak neobvyklé ( 27 ). V této souvislosti je důležité poznamenat, že skutečnost, že si poskytovatel zprostředkovatelských služeb vyhrazuje právo používat informace poskytnuté uživateli jeho služby, je v souladu s důležitou úlohou, kterou poskytovatelé zprostředkovatelských služeb zastávají v boji proti protiprávnímu obsahu na internetu.

62.

Pro splnění podmínek pro zproštění odpovědnosti zprostředkovatele služeb stanovených v čl. 14 odst. 1 písm. a) a b) směrnice 2000/31 totiž musí poskytovatel zprostředkovatelských služeb reagovat a odstranit nebo zablokovat obsah, jakmile je protiprávní obsah zjištěn. Tento poskytovatel si může vyhradit právo kdykoli uvedený obsah odstranit, aby mimo jiné poukázal na své právo tak učinit.

63.

Za těchto okolností skutečnost, že si společnost Russmedia ve všeobecných podmínkách používání svého on-line tržiště vyhrazuje právo používat obsah uložený na žádost uživatelů její služby, nemůže být důvodem pro to, aby se na tuto společnost nevztahovalo zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31.

64.

S ohledem na výše uvedené navrhuji odpovědět na první otázku tak, že čl. 14 odst. 1 směrnice 2000/31 musí být vykládán v tom smyslu, že na poskytovatele služby informační společnosti spočívající v tom, že uživatelům je zpřístupněno on-line tržiště, na které mohou být bezplatně nebo za úplatu vkládány inzeráty, se může vztahovat zproštění odpovědnosti stanovené v tomto ustanovení i v případě, že tento poskytovatel ve všeobecných podmínkách používání on-line tržiště uvádí, že ačkoli si nenárokuje vlastnické právo k tomuto obsahu, ponechává si právo poskytnutý, vložený, nahraný nebo přenesený obsah používat, včetně práva jej kopírovat, šířit, přenášet, zveřejňovat, reprodukovat, upravovat, překládat, předávat partnerům a kdykoli jej odstranit, a to i bez udání důvodu, za podmínky, že tento poskytovatel nepřijme opatření, která by ho zbavila postavení neutrálního poskytovatele hostingu.

65.

Pro úplnost je třeba posoudit, zda jsou s ohledem na specifičnost sporu v původním řízení podmínky, kterým podléhá toto zproštění odpovědnosti, v projednávané věci splněny.

66.

Předkládací rozhodnutí zdůrazňuje specifika projednávané věci, která se zdají být spojena s podmínkami, kterým čl. 14 odst. 1 směrnice 2000/31 podřizuje zproštění odpovědnosti za ukládané informace. Předkládající soud totiž upozorňuje Soudní dvůr na zjevně protiprávní a značně škodlivou povahu sporného inzerátu, jakož i na dostupnost tohoto inzerátu na mnoha dalších internetových stránkách, které jej převzaly.

67.

Předkládající soud poznamenává, že k tomu, aby společnost Russmedia mohla identifikovat a analyzovat případnou protiprávní povahu zveřejněné informace, nemělo by být nutné informovat tuto společnost o protiprávním obsahu. Podle tohoto soudu je totiž obsah sporného inzerátu zjevně protiprávní a značně poškozuje navrhovatelku v původním řízení. Předkládající soud patrně vychází z předpokladu, že společnost Russmedia si musela být vědoma inzerátu a jeho protiprávního obsahu z důvodu jeho zjevně protiprávní povahy. Aby se společnost Russmedia mohla dovolávat zproštění odpovědnosti, měla tedy v souladu s čl. 14 odst. 1 písm. b) směrnice 2000/31 neprodleně a bez čekání na žádost stáhnout tento inzerát nebo k němu znemožnit přístup.

68.

Cílem čl. 14 odst. 1 písm. a) směrnice 2000/31 je zprostit poskytovatele hostingu odpovědnosti za ukládané informace, pokud mu nebyla známa protiprávní činnost nebo informace. Je-li odpovědnost poskytovatele hostingu uplatňována v rámci nároku na náhradu škody, jako je tomu v projednávané věci, uplatní se přísnější podmínka zproštění odpovědnosti. V takovém případě se na poskytovatele služeb nevztahuje zproštění odpovědnosti podle čl. 14 odst. 1 uvedené směrnice, pokud se dozvěděl o skutečnostech nebo okolnostech, na základě nichž by musel hospodářský subjekt postupující s řádnou péčí konstatovat protiprávnost, a nejednal v souladu s čl. 14 odst. 1 písm. b) uvedené směrnice ( 28 ). Podle požadavků směrnice 2000/31 musí být protiprávní povaha činnosti nebo informace „zjevná“ nebo jinými slovy snadno identifikovatelná ( 29 ).

69.

Poskytovatel služeb však nemůže ztratit možnost být zproštěn odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31, pokud se skutečně nedozvěděl o skutečnostech nebo okolnostech, na jejichž základě může hospodářský subjekt postupující s řádnou péčí objektivně konstatovat protiprávní povahu činnosti nebo informace. Ať už se jedná o nárok na náhradu škody, nestačí, aby si byl poskytovatel obecně vědom toho, že jeho služba je využívána také ke sdílení protiprávního obsahu. Poskytovatel si musí být vědom skutečností a okolností týkajících se konkrétních protiprávních činností a informací ( 30 ).

70.

Podmínka stanovená v čl. 14 odst. 1 písm. a) směrnice 2000/31 tedy není splněna, pokud poskytovatel na základě informací, které má k dispozici, zjistí protiprávní povahu uložených údajů nebo si takové povahy není vědom nebo se mýlí, pokud jde o protiprávnost těchto údajů. Zatímco protiprávní povaha informace nebo činnosti musí být posuzována objektivně, podle kritéria hospodářského subjektu postupujícího s řádnou péčí, znalost skutečností odhalujících takovou protiprávnost se v zásadě posuzuje s přihlédnutím k informacím, které má dotyčný poskytovatel služeb skutečně k dispozici.

71.

Za těchto podmínek nelze předpokládat, že provozovatel on-line tržiště zná obsah každého protiprávního a škodlivého inzerátu. Zavedení takové domněnky by navíc znamenalo, že by tento provozovatel musel aktivně sledovat všechny údaje každého svého inzerujícího uživatele, aby mohl identifikovat inzeráty, které jsou zjevně protiprávní a škodlivé. Taková povinnost dohledu je dle mého názoru obtížně slučitelná s logikou směrnice 2000/31.

72.

Taková povinnost dohledu zavedená „zadními vrátky“ by totiž byla neslučitelná s čl. 15 odst. 1 směrnice 2000/31, který stanoví, že členské státy nesmí poskytovatelům hostingu ukládat obecnou povinnost dohlížet na jimi přenášené nebo ukládané informace nebo obecnou povinnost aktivně vyhledávat skutečnosti a okolnosti poukazující na protiprávní činnost. Poskytovatel hostingu tedy nemůže být povinen obecně sledovat informace, které ukládá, na základě vnitrostátních opatření ( 31 ).

73.

Podmínku stanovenou v čl. 14 odst. 1 písm. a) směrnice 2000/31 tedy nelze považovat za splněnou pouze z toho důvodu, že inzerát zveřejněný na on-line tržišti je zjevně protiprávní a značně poškozuje osobu dotčenou tímto inzerátem. Pro úplnost dodávám, že směrnice 2000/31 nepřehlíží situaci, kdy poskytovatel hostingové služby využívá ekonomický nebo organizační model, který podněcuje nebo podporuje šíření protiprávního obsahu.

74.

Je třeba uvést, že bod 44 odůvodnění směrnice 2000/31 uvádí, že poskytovatel služeb, který úmyslně spolupracuje s jedním z příjemců svých služeb, aby se dopouštěl protiprávního jednání, poskytuje více než prostý přenos nebo ukládání do vyrovnávací paměti, které jsou uvedeny v článcích 12 a 13 této směrnice. Na tohoto poskytovatele se tedy nemohou vztahovat výjimky v oblasti odpovědnosti stanovené pro tento druh činností. I když tento bod odůvodnění nezmiňuje činnost shromažďování informací uvedenou v článku 14 uvedené směrnice, neexistuje žádný důvod, proč by se na tuto činnost nevztahovala stejná argumentace. Soudní dvůr totiž v rozsudku YouTube a Cyando ( 32 ) rozhodl, že provozovatele on-line platformy, který nad rámec pouhého zpřístupnění platformy přispívá ke zpřístupnění obsahů v rozporu s autorským právem veřejnosti, nelze považovat za neutrálního poskytovatele hostingu, na kterého se může vztahovat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31.

75.

Soudní dvůr se v uvedeném rozsudku při určování, zda provozovatel poskytl veřejnosti takový přístup, podle všeho nepřímo opíral o posouzení pojmu „sdělování“ ve smyslu směrnice 2001/29/ES ( 33 ). Podle tohoto posouzení, inspirovaném rozsudkem ohledně platformy pro sdílení The Pirate Bay ( 34 ), provozovatel poskytuje takový přístup, pokud zasahuje do protiprávního sdělování chráněného obsahu uživateli své platformy s plnou znalostí důsledků svého jednání, aby umožnil ostatním uživatelům internetu přístup k takovému obsahu. Podle Soudního dvora je pro určení, zda se jedná o takový případ, důležité zohlednit všechny faktory, které charakterizují dotčenou situaci a umožňují přímo, či nepřímo vyvodit závěry, zda provozovatel úmyslně zasáhl do protiprávního sdělování tohoto obsahu, či nikoli.

76.

Pokud by byl tento přístup přenesen na okolnosti projednávané věci, znamenalo by to, že provozovatel on-line tržiště, který využívá ekonomický nebo organizační model, který podporuje uživatele jeho platformy v šíření zjevně protiprávního a značně škodlivého obsahu nebo který podporuje a usnadňuje neomezené a nekontrolované šíření takového obsahu, by ztratil postavení neutrálního poskytovatele hostingu ve smyslu čl. 14 odst. 1 směrnice 2000/31. Nic však nenasvědčuje tomu, že by společnost Russmedia takový model využívala.

77.

Lze namítnout, že úvaha, podle které směrnice 2000/31 v zásadě a s výhradou výjimečných okolností ( 35 ) neukládá poskytovatelům hostingových služeb povinnost odhalovat zjevně protiprávní a značně škodlivý obsah, se může jevit jako neuspokojivá vzhledem k rizikům, která šíření takového obsahu může vyvolat s ohledem na práva jejich uživatelů a třetích osob.

78.

Jak jsem však uvedl v jiném kontextu ( 36 ), směrnice 2000/31 je plodem své doby a unijní normotvůrce se snažil zavést základní režim, který konkrétním způsobem ochrání volný pohyb služeb informační společnosti. Tato směrnice tedy pouze ukládá informační povinnosti každému poskytovateli služeb informační společnosti ( 37 ), aniž rozlišuje mezi jednotlivými kategoriemi hostingových služeb. Uvedená směrnice totiž spočívá na logice, podle které v mezích, které stanoví, zavedou členské státy povinnosti, které musí poskytovatelé usazení na jejich území dodržovat. Manévrovací prostor členských států je totiž omezen zákazem uložení obecné povinnosti dohledu stanoveným v článku 15 téže směrnice.

79.

Základní režim zavedený směrnicí 2000/31 byl postupně doplňován odvětvovými akty, které vyžadují zavedení vhodných opatření na ochranu určitých kategorií uživatelů konkrétního obsahu, jako je obsah teroristický nebo dětská pornografie ( 38 ).

80.

V nedávné době unijní normotvůrce podstatně změnil právní rámec vztahující se na on-line platformy. Digital Services Act rozlišuje povinnosti platforem podle určitých kritérií a do jisté míry upravuje i otázku moderování protiprávního obsahu ( 39 ). Tento nový právní rámec se však projednávané věci netýká a Soudní dvůr by podle mého názoru neměl soudní cestou zavádět povinnost, která nejenže není stanovena směrnicí 2000/31 použitelnou na skutkový stav věci v původním řízení, ale je mimoto v rozporu s článkem 15 této směrnice.

81.

Další aspekt, na který předkládající soud upozorňuje, se týká skutečnosti, že ačkoli společnost Russmedia na žádost navrhovatelky v původním řízení stáhla sporný inzerát ze svého on-line tržiště, tento inzerát je stále přístupný na mnoha jiných internetových stránkách, které jej převzaly z on-line tržiště společnosti Russmedia, a to s uvedením původního zdroje. Předkládající soud nepokládá přímo otázku týkající se této okolnosti z hlediska směrnice 2000/31. Odkazuje však na ni v rámci čtvrté otázky, která se týká opatření požadovaných GDPR k zajištění bezpečnosti zpracování osobních údajů. Na jednání však zúčastnění v reakci na otázky Soudního dvora uvedenou okolnost rozebírali v souvislosti s podmínkou pro zproštění odpovědnosti stanovenou v čl. 14 odst. 1 písm. b) této směrnice. S ohledem na tyto úvahy a s cílem poskytnout předkládajícímu soudu užitečnou odpověď se budu zabývat otázkou, zda je splněna podmínka stanovená v čl. 14 odst. 1 písm. b) směrnice 2000/31, pokud poté, co se poskytovatel hostingu dozví o skutečnostech nebo okolnostech, které umožňují snadno zjistit protiprávní povahu uložených informací, tyto informace neprodleně odstraní ze svých internetových stránek, avšak jsou stále přístupné na jiných internetových stránkách, které je převzaly ze stránek tohoto poskytovatele hostingu.

82.

V tomto ohledu poznamenávám, že předkládající soud neupřesňuje, zda sporný inzerát společnost Russmedia dále šířila provozovatelům jiných internetových stránek anebo ji tito provozovatelé zkopírovali bez vědomí společnosti Russmedia. Tento bod byl diskutován na jednání. S cílem poskytnout předkládajícímu soudu užitečnou odpověď se budu zabývat těmito dvěma aspekty.

83.

Na jednání Komise poukázala na situaci, kdy společnost Russmedia v souladu s podmínkami používání on-line tržiště předává inzeráty, které byly zveřejněny na jejím on-line tržišti, svým smluvním partnerům, kteří jsou uvedeni na jejích stránkách, a jsou tedy inzerujícím uživatelům známi.

84.

Může vyvstat otázka, zda v takovém případě spočívá služba poskytovaná provozovatelem on-line tržiště v neutrálním shromažďování informací ukládaných na žádost příjemce jeho služby. Je totiž třeba mít na paměti, že čl. 14 odst. 1 směrnice 2000/31 se použije pouze tehdy, pokud poskytovatel služby poskytuje takovou službu.

85.

V tomto ohledu uvádím, že pokud provozovatel on-line tržiště předává informace poskytnuté příjemcem jeho služby svým partnerům, a to individualizovaným způsobem nebo s lidskou pomocí, aby je mohli zveřejnit na jiných internetových stránkách, je jeho úloha podobná úloze propagátora těchto informací. V takovém případě mám pochybnosti o tom, zda služba tohoto provozovatele plně spadá do působnosti čl. 14 odst. 1 směrnice 2000/31. Naproti tomu, pokud jsou informace uložené na žádost uživatele převzaty provozovateli jiných internetových stránek a je-li úloha uvedeného provozovatele při tomto přenosu čistě technická a automatizovaná, lze mít za to, že se na něj toto ustanovení vztahuje v plném rozsahu.

86.

Předkládací rozhodnutí však neobsahuje skutkové okolnosti umožňující určit, který z těchto dvou případů odpovídá situaci ve věci v původním řízení. Ještě důležitější je, že otázka, zda je splněna podmínka stanovená v čl. 14 odst. 1 písm. b) směrnice 2000/31, vyvstává pouze tehdy, pokud lze společnost Russmedia kvalifikovat jako „poskytovatele hostingu“ ve smyslu tohoto ustanovení. Budu tedy posuzovat podmínku stanovenou v čl. 14 odst. 1 písm. b) této směrnice na základě předpokladu, že společnost Russmedia je poskytovatelem hostingu ve smyslu tohoto ustanovení a sporný inzerát byl převzat partnery této společnosti za podmínek, které Komise uvedla na jednání ( 40 ).

87.

Pokud jde o znění čl. 14 odst. 1 písm. b) směrnice 2000/31, toto ustanovení stanoví, že k tomu, aby měl poskytovatel hostingu nárok na zproštění odpovědnosti, musí, jakmile se o protiprávních informacích dozvěděl, jednat s cílem odstranit tyto informace nebo k nim znemožnit přístup. Toto ustanovení se tedy neomezuje na uvedení toho, že poskytovatel hostingu musí odstranit nebo zablokovat přístup k protiprávním informacím. Normotvůrce totiž zvolil otevřenou formulaci, podle níž musí poskytovatel v podstatě neprodleně zamezit protiprávní činnosti uskutečňované prostřednictvím nebo v rámci jeho služby.

88.

Je pravda, že formulaci této podmínky lze chápat v tom smyslu, že unijní normotvůrce neměl v úmyslu stanovit konkrétní výsledky, jichž má být dosaženo, ale pouze to, aby bylo v tomto ohledu vynaloženo úsilí. Nicméně otevřená formulace čl. 14 odst. 1 písm. b) směrnice 2000/31 ponechává rovněž poskytovateli („odstranit tyto informace nebo k nim znemožnit přístup“) určitý manévrovací prostor, který mu umožňuje přijmout vhodné, přiměřené a účinné opatření. Takový výklad tohoto ustanovení je nutný s ohledem na několik bodů odůvodnění této směrnice.

89.

Bod 46 odůvodnění směrnice 2000/31 uvádí, že informace musí být odstraněna v souladu s „postupy stanoven[ými] na vnitrostátní úrovni“ a touto směrnicí „nejsou dotčeny možnosti členských států vymezit zvláštní požadavky, které je třeba neprodleně splnit před odstraněním informací nebo znemožněním přístupu k nim“. Nic však nenasvědčuje tomu, že by takové postupy a požadavky byly stanoveny příslušnými vnitrostátními předpisy.

90.

Bod 41 odůvodnění směrnice 2000/31 každopádně uvádí, že tato směrnice vytváří rovnováhu mezi různými zájmy a stanoví zásady, na nichž se mohou zakládat dohody a normy přijaté podniky. Pokud jde konkrétně o podmínku stanovenou v čl. 14 odst. 1 písm. b) této směrnice, bod 46 jejího odůvodnění uvádí, že poskytovatel musí tyto informace odstranit nebo znemožnit k nim přístup v souladu se zásadou svobody projevu. Soudní dvůr v tomto ohledu upřesnil, že zproštění odpovědnosti stanovené v čl. 14 odst. 1 uvedené směrnice je vyjádřením rovnováhy, kterou má tato směrnice zavést mezi různými dotčenými zájmy, mezi něž patří respektování svobody projevu, které je zaručeno článkem 11 Listiny základních práv Evropské unie (dále jen „Listina“) ( 41 ).

91.

Z toho vyvozuji, že k tomu, aby byla podmínka stanovená v čl. 14 odst. 1 písm. b) směrnice 2000/31 považována za splněnou, je třeba při odstranění protiprávní informace respektovat potřebu sladit požadavky na ochranu těchto různých práv a svobod a dosáhnout spravedlivé rovnováhy mezi nimi.

92.

V tomto ohledu je třeba uvést, že podobně jako respektování svobody projevu zaručené Listinou a zmíněné v bodě 46 odůvodnění směrnice 2000/31 je respektování soukromého života rovněž zaručeno Listinou v jejím článku 7. Dále, vzhledem k nutnosti zajistit rovnováhu mezi dotčenými zájmy nelze cíle spočívajícího v účinné ochraně dobré pověsti a cti osob dosáhnout tím, že bude poskytovateli hostingu uložena nepřiměřená povinnost ( 42 ).

93.

K tomu, aby byla podmínka stanovená v čl. 14 odst. 1 písm. b) směrnice 2000/31 tedy považována za splněnou při dodržení dotčených práv, musí poskytovatel hostingu, jehož služba je využívána k dalšímu šíření jím ukládaných informací jeho smluvním partnerům, přijmout přiměřená opatření, aby zajistil, že tento obsah bude případně jeho partnery odstraněn nebo zablokován. Například by mohla být ve smlouvách uzavřených s těmito partnery obsažena doložka za tímto účelem.

94.

Na jednání byl diskutován nejen případ, kdy je inzerce převzata partnery provozovatele on-line tržiště, ale rovněž případ, kdy je veřejně přístupná inzerce převzata třetími osobami bez vědomí a souhlasu tohoto provozovatele. Diskutovanou otázkou bylo, zda s ohledem na úvahy uvedené v bodě 91 tohoto stanoviska musí provozovatel on-line tržiště ke splnění podmínky stanovené v čl. 14 odst. 1 písm. b) směrnice 2000/31 přijmout opatření vůči třetím osobám. Na tuto otázku je třeba odpovědět záporně.

95.

Podmínka stanovená v čl. 14 odst. 1 písm. b) směrnice 2000/31 totiž vychází z myšlenky, že poskytovatel hostingové služby musí neprodleně přijmout veškerá opatření, která jsou v jeho moci, aby zamezil protiprávní činnosti prováděné prostřednictvím nebo v rámci jeho služby. Naproti tomu otázka, zda je tato podmínka splněna, nemůže záviset na opatřeních, která jsou mimo jeho kontrolu.

96.

Aniž jsou dotčeny další poznámky, které jsem právě uvedl k podmínkám, kterým čl. 14 odst. 1 směrnice 2000/31 podřizuje zproštění odpovědnosti poskytovatele zprostředkovatelských služeb, trvám na své navrhované odpovědi na první otázku, která je uvedena v bodě 64 tohoto stanoviska.

97.

Podstatou druhé až čtvrté otázky předkládajícího soudu je, zda musí být čl. 5 odst. 1 písm. b) a f), čl. 6 odst. 1 písm. a) a články 7, 24 a 25 GDPR vykládány v tom smyslu, že poskytovatel služeb informační společnosti, jehož činnost spočívá v poskytování hostingu pro bezplatné nebo placené inzeráty na žádost uživatelů jeho internetových stánek, je povinen předem ověřit totožnost inzerenta (druhá otázka) a obsah zveřejněných inzerátů (třetí otázka), jakož i přijmout bezpečnostní opatření, aby zabránil nebo omezil reprodukci a další šíření obsahu inzerátů obsahujících osobní údaje (čtvrtá otázka).

98.

Tyto otázky se týkají rovněž čl. 2 odst. 4, čl. 4 bodů 7 a 11 GDPR, jakož i článku 15 směrnice 2000/31. Za účelem užitečné odpovědi na tyto otázky však stačí vyložit ustanovení GDPR uvedená v předchozím bodě tohoto stanoviska, která určují povinnosti a odpovědnost subjektu zapojeného do zpracování osobních údajů.

99.

Kromě toho je pro zodpovězení těchto otázek nutné nejprve určit, v jakém postavení se takový poskytovatel služeb podílí na zpracování osobních údajů. V tomto ohledu mám za to, že druhá až čtvrtá otázka vycházejí z předpokladu, že společnost Russmedia jednala jako „správce“ ve smyslu čl. 4 bodu 7 GDPR. Odkazují totiž na toto ustanovení a na „poskytovatele […], který je správcem osobních údajů“. Stejně jako Komise mám pochybnosti o takové právní kvalifikaci. Vzhledem k tomu, že tato otázka může mít vliv na odpovědi na předběžné otázky, budu se nejprve zabývat právní kvalifikací provozovatele tržiště podle kategorií stanovených GDPR (oddíl 1), a poté se vrátím k otázce povinností a odpovědnosti tohoto provozovatele (oddíl 2).

100.

Článek 4 bod 7 GDPR definuje pojem „správce“ jako osobu, která sama nebo společně s jinými určuje účely a prostředky zpracování osobních údajů. Toto nařízení zmiňuje další subjekt zapojený do zpracování údajů, a to „zpracovatele“. Ten je v čl. 4 bodě 8 uvedeného nařízení definován jako osoba, která zpracovává osobní údaje pro správce.

101.

Kvalifikace subjektu zapojeného do zpracování údajů podle kategorií stanovených GDPR určuje povinnosti a odpovědnost tohoto subjektu. Tyto povinnosti a odpovědnost jsou definovány ustanoveními uvedenými ve druhé až čtvrté otázce.

102.

Jakékoli zpracování osobních údajů musí být v souladu se zásadami zpracování údajů stanovenými v čl. 5 odst. 1 GDPR a musí splňovat podmínky zákonnosti zpracování stanovené v článku 6 GDPR. Odpovědnost za dodržování těchto zásad ( 43 ) přebírá správce a v případě, že je zpracování založeno na souhlasu, musí být schopen doložit, že subjekt údajů udělil souhlas se zpracováním údajů, jak vyžaduje čl. 7 odst. 1 tohoto nařízení. Ve stejném duchu články 24 a 25 uvedeného nařízení stanoví obecné povinnosti správce zavést vhodná technická a organizační opatření k zajištění toho, aby zpracování bylo prováděno v souladu s tímtéž nařízením.

103.

Kromě toho je pro rozsah odpovědnosti za porušení GDPR rozhodující i to, v jakém postavení subjekt zapojený do zpracování jedná.

104.

Podle čl. 82 odst. 2 první věty GDPR „[s]právce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení“. Správce je odpovědný nejenom za zpracování osobních údajů, které provádí sám, ale i za zpracování osobních údajů, které je prováděno pro něj ( 44 ). Naopak čl. 82 odst. 2 druhá věta uvedeného nařízení stanoví, že „[z]pracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi“.

105.

Za účelem určení, zda lze subjekt zapojený do zpracování osobních údajů považovat za správce ve smyslu čl. 4 bodu 7 GDPR, je třeba posoudit, zda tento subjekt pro vlastní potřeby skutečně ovlivnil rozhodnutí o určení účelů a prostředků tohoto zpracování.

106.

Účel zpracování se týká otázky, proč jsou údaje zpracovávány ( 45 ). V zásadě o tom rozhoduje osoba, která je původcem zpracování.

107.

Obrysy pojmu „prostředky“ jsou méně jasné a musí být určeny v kontextu měnících se ekonomických a technologických struktur, v nichž se údaje zpracovávají. Obecně řečeno, zatímco účel zpracování se týká důvodu, pro který jsou údaje zpracovávány, prostředky odpovídají na otázku, jak bude tohoto cíle dosaženo. Určení prostředků zahrnuje zejména v rozhodnutí o tom, jaké údaje se zpracovávají ( 46 ), kdo k nim může mít přístup a jak ( 47 ) a, pokud takové rozhodnutí může ukončit zpracování, také rozhodnutí o době trvání zpracování. Rozhodnutí o fyzických nebo digitálních nástrojích či nosičích ( 48 ) používaných ke shromažďování, prezentaci nebo šíření údajů rovněž pomáhají určit způsoby zpracování.

108.

Správce však není povinen určit každý technický a organizační aspekt zpracování. Rozhodnutí svěřit zpracování údajů zpracovateli může vyplývat nejen ze snahy ulehčit správci od pracovní zátěže, ale také ze skutečnosti, že správce nemá technické znalosti nebo potřebné prostředky k organizaci zpracování. Takový výklad, který je veden hospodářskou realitou, je potvrzen ustanoveními GDPR.

109.

Ačkoli podle čl. 28 odst. 3 GDPR musí smlouva nebo jiný právní akt, na jehož základě správce pověřuje zpracováním zpracovatele, vymezovat účel zpracování, nemusí takový právní základ vyčerpávajícím způsobem odpovídat na otázku, jak budou údaje zpracovávány. Stačí, když určí předmět a dobu trvání zpracování, povahu a účel zpracování, typ osobních údajů a kategorie subjektů údajů. Citlivé otázky, které mají zásadní význam pro zákonnost zpracování, jsou tudíž vyhrazeny správci. A ačkoli zpracovatel jedná jménem správce a řídí se jeho pokyny, může, a dokonce musí, určit technická a organizační opatření pro zpracování, aniž překračuje svou roli zpracovatele. Jinými slovy, určení nepodstatných prostředků zpracování nepostačuje k tomu, aby bylo osobě zapojené do zpracování údajů přiznáno postavení správce.

110.

Právě na základě kritérií uvedených v bodech 106 a 109 tohoto stanoviska musí předkládající soud rozhodnout, zda lze společnost Russmedia považovat za správce. S cílem poskytnout vnitrostátnímu soudu prvky výkladu unijního práva, které pro něj budou užitečné pro vyřešení sporu, který mu byl předložen, se budu touto problematikou dále zabývat.

111.

Úvodem podotýkám, že zpracování osobních údajů obsažených v inzerátech zveřejněných na on-line tržišti je třeba odlišovat od zpracování údajů inzerujících uživatelů, kteří si u provozovatele tohoto tržiště vytvoří účet za účelem zveřejňování svých inzerátů. Vytvoření takového účtu a další úkony týkající se údajů poskytnutých inzerujícím uživatelem představují zpracování, za které je tento provozovatel odpovědný s ohledem na GDPR. Provozovatel v podstatě rozhoduje o tom, jaké údaje jsou nutné k registraci účtu, a při nastavování tohoto postupu registrace pro inzerující uživatele určuje účel jejich zpracování.

112.

Předkládací rozhodnutí nastoluje otázku, zda provozovatel on-line tržiště rovněž ovlivňuje pro vlastní potřeby rozhodnutí o určení účelu a prostředků zpracování osobních údajů případně obsažených v inzerátech zveřejněných na jeho on-line tržišti.

113.

V tomto ohledu, pokud jde o účel zpracování údajů obsažených v inzerátu vloženém na internetových stránkách, je zveřejnění inzerátu na on-line tržišti obecně určeno k propagaci výrobku nebo služby nabízené inzerujícím uživatelem veřejnosti. Tento účel je tedy určen dotčeným inzerujícím uživatelem. Nezdá se však, že by provozovatel tohoto on-line tržiště ovlivňoval pro vlastní potřeby to, z jakého důvodu jsou tyto inzeráty zveřejňovány. Projednávaná věc je dokonalou ilustrací této specifičnosti fungování on-line tržiště. Sporný inzerát totiž nebyl zpřístupněn on-line za účelem propagace služby inzerujícího uživatele, ale proto, aby navrhovatelce v původním řízení vznikla újma. Provozovatel neměl žádný vliv na politováníhodnou motivaci autora tohoto inzerátu.

114.

Pokud jde o určení prostředků zpracování, je to inzerující uživatel, kdo má vliv na odpověď na otázku, jak jsou údaje zpracovávány. Inzerující uživatel totiž rozhoduje, zda jsou údaje zahrnuty v inzerátu, a případně jaké. Naproti tomu je velmi pravděpodobné, že provozovatel on-line tržiště ani nevěděl o tom, že inzerát obsahuje osobní údaje. Dále je sice pravda, že tento provozovatel určuje uspořádání inzerátů a další technické a organizační aspekty fungování tohoto on-line tržiště, ale s ohledem na poznámky, které jsem uvedl v bodě 109 tohoto stanoviska, uvádím, že vliv tohoto provozovatele na určení jiných než podstatných prostředků zpracování neznamená, že by měl být považován za správce.

115.

Provozovatel on-line tržiště, jako je společnost Russmedia, tak patrně neovlivňuje pro vlastní potřeby rozhodnutí o určení účelu a prostředků zpracování osobních údajů případně obsažených v inzerátech vložených na toto on-line tržiště. Pokud se tento provozovatel podílí na zpracování těchto údajů, jedná jako zpracovatel, jménem inzerujícího uživatele a na jeho odpovědnost. Za těchto okolností musí být uživatelé služeb hostingu kvalifikováni jako „správci“ ve smyslu GDPR ( 49 ).

116.

S ohledem na specifičnost projednávané věci je třeba uvést několik doplňujících upřesnění k úvahám, které jsem právě uvedl.

117.

Zaprvé bez ohledu na otázku, zda podle GDPR může být subjekt údajů považován za správce vlastních osobních údajů ( 50 ), je třeba poznamenat, že v projednávané věci osoba, která sporný inzerát umístila na internet, nebyla sama dotčena údaji obsaženými v tomto inzerátu.

118.

Zadruhé si společnost Russmedia na základě všeobecných podmínek používání on-line tržiště vyhrazuje právo využívat informace ukládané na žádost inzerujících uživatelů. Může je kopírovat, distribuovat, přenášet, zveřejňovat, reprodukovat, upravovat, překládat, předávat partnerům a kdykoli je odstranit, a to i bez udání důvodu. Jakmile je takový krok učiněn v souvislosti s údaji obsaženými v inzerátu, může být tato společnost považována za správce s ohledem na konkrétní operaci zpracování se všemi povinnostmi a odpovědností, které z toho vyplývají. Osoba může být správcem pro operace zpracování, pro které sama určuje účely a prostředky. Naproti tomu, a aniž je v této souvislosti dotčena případná občanskoprávní odpovědnost stanovená vnitrostátním právem, nelze uvedenou fyzickou nebo právnickou osobu považovat za správce ve smyslu GDPR v souvislosti s předchozími nebo pozdějšími operacemi v postupu zpracování, při kterých neurčuje účely ani prostředky ( 51 ).

119.

Zatřetí úvahy, které jsem právě uvedl, odpovídají postoji pracovní skupiny zřízené podle článku 29 ( 52 ) v jejím stanovisku č. 1/2010 ze dne 16. února 2010 k pojmům „správce“ a „zpracovatel“ ( 53 ). Podle pracovní skupiny je internetový poskytovatel zajišťující hostingové služby v zásadě zpracovatelem osobních údajů zveřejněných na internetu jeho zákazníky, kteří využívají tohoto poskytovatele pro hostování a údržbu svých internetových stránek. Pokud však takový poskytovatel zpracovává údaje, které ukládá, pro vlastní účely, je pro tato konkrétní zpracování správcem. Tento postoj je navíc v souladu s postojem Evropského výboru pro ochranu osobních údajů v Pokynech 07/2020 k pojmům „správce“ a „zpracovatele“ v GDPR, přijatých dne 7. července 2021 ( 54 ), podle nichž je poskytovatel hostingu, který neurčuje, zda údaje, jež uchovává, jsou osobními údaji, ani nezpracovává údaje jménem svého klienta jiným způsobem, než je jejich uložení, zpracovatelem.

120.

S výhradou ověření skutkového stavu, které musí provést předkládající soud, by tedy Soudní dvůr měl podle mého názoru upozornit tento soud na to, že je vhodné opětovně posoudit kvalifikaci společnosti Russmedia. Stejně jako Komise se totiž domnívám, že tato společnost nejedná jako správce, ale jako zpracovatel, pokud jde o operace zpracování související se zveřejněním sporného inzerátu. Na základě tohoto předpokladu se nyní budu zabývat druhou až čtvrtou otázkou.

121.

V souvislosti s povinnostmi a odpovědností, které má provozovatel on-line tržiště podle GDPR, je třeba rozlišovat mezi zpracováním osobních údajů obsažených v inzerátech zveřejněných na tomto tržišti na jedné straně a zpracováním údajů inzerujících uživatelů, kteří si u tohoto provozovatele vytvoří účet, na straně druhé.

122.

Pokud byla společnost Russmedia skutečně zpracovatelem osobních údajů obsažených v inzerátech, nebylo její povinností kontrolovat, zda je zpracování oprávněné a zákonné. Jak jsem totiž již uvedl ( 55 ), podle ustanovení uvedených ve druhé otázce nese odpovědnost za dodržování zásad týkajících se zpracování osobních údajů správce. Ve stejném duchu se podle ustanovení uvedených ve třetí otázce od zpracovatele rovněž nevyžaduje, aby předem kontroloval obsah informací, které jsou předmětem zpracování.

123.

Pokud jde o čtvrtou otázku, jejím cílem je určit, zda společnost Russmedia měla přijmout bezpečnostní opatření k zabránění nebo omezení reprodukce a dalšího šíření obsahu inzerátů obsahujících osobní údaje. Tato otázka se týká výkladu čl. 5 odst. 1 písm. b) a f) a článků 24 a 25 GDPR. Tato ustanovení se rovněž týkají povinností, které nemá zpracovatel, ale správce.

124.

Článek 32 GDPR však upřesňuje povinnosti správce a případného zpracovatele, pokud jde o zabezpečení tohoto zpracování ( 56 ).

125.

Konkrétně čl. 32 odst. 1 GDPR stanoví, že správce a zpracovatel provedou vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování, jakož i k rizikům. Stejně tak čl. 32 odst. 2 tohoto nařízení stanoví, že při posuzování vhodné úrovně bezpečnosti se zohlední zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění osobních údajů nebo neoprávněný přístup k nim.

126.

V rozsahu, v němž se čl. 32 odst. 2 GDPR týká povinností zpracovatele, předpokládá toto ustanovení, že zpracování údajů v souladu s pokyny správce je oprávněné a zákonné. Po zpracovateli nelze požadovat, aby kontroloval činnost správce, jehož jménem údaje zpracovává. Naproti tomu musí přijmout opatření k zajištění bezpečnosti zpracování osobních údajů proti zásahům třetích osob. Článek 32 odst. 1 GDPR konkretizuje zásady integrity a důvěrnosti stanovené v čl. 5 odst. 1 písm. f) tohoto nařízení ( 57 ). V souladu s těmito zásadami musí být údaje zpracovávány správcem nebo jeho jménem tak, aby bylo zajištěno odpovídající zabezpečení údajů, včetně ochrany před neoprávněným nebo nezákonným zpracováním a před ztrátou.

127.

Pokud mohou být inzeráty vložené na on-line tržiště převzaty provozovateli jiných stránek v souladu s všeobecnými podmínkami používání tohoto tržiště, které jsou na něm uvedeny, a tudíž jsou inzerujícím uživatelům předem známy, měl by zpracovatel zavést opatření, která mu umožní dosáhnout odstranění inzerátů odstraněných z jeho vlastní platformy. Může se totiž ukázat, že zpracování nebylo nebo již není zákonné, a platforma, jejímž prostřednictvím je inzerát dále šířen, by měla mít možnost zamezit porušování GDPR i u svých partnerů. Takový výsledek je v souladu s výsledkem týkajícím se splnění podmínky stanovené v čl. 14 odst. 1 písm. b) směrnice 2000/31 ze strany poskytovatele hostingových služeb ( 58 ).

128.

Na rozdíl od toho, co patrně uvádí předkládající soud ve čtvrté otázce, se však nedomnívám, že by zpracovatel měl být povinen zabránit nebo omezit reprodukci a další šíření inzerátů obsahujících osobní údaje. Zpracovateli nepřísluší určovat, kdo a jakým způsobem může mít k těmto údajům přístup.

129.

Povinnosti a odpovědnost provozovatele on-line tržiště jsou větší, pokud jde o zpracování údajů inzerujících uživatelů, kteří si u tohoto provozovatele vytvoří účet. V souvislosti s tímto zpracováním je provozovatel správcem údajů a plně se na něj vztahují články 24 a 25 GDPR ( 59 ).

130.

Článek 24 GDPR stanoví obecnou povinnost správce zavést vhodná technická a organizační opatření, aby zajistil, že zpracování údajů je prováděno v souladu s tímto nařízením. Článek 25 GDPR vyžaduje, aby správce zavedl vhodná technická a organizační opatření, a to jak při určování prostředků zpracování, tak při samotném zpracování, s cílem účinně provádět zásady ochrany údajů a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů.

131.

Jak vyplývá z článků 24 a 25 GDPR, dotčená opatření musí odpovídat rizikům specifickým pro kontext, v němž jsou osobní údaje zpracovávány. Identifikace konkrétních rizik a určení vhodných prostředků musí být samozřejmě ponecháno na posouzení předkládajícího soudu, který má s ohledem na tato ustanovení k dispozici všechny podklady týkající se všech relevantních kritérií, nicméně bych rád doplnil následující.

132.

Jak je uvedeno v bodě 75 odůvodnění GDPR, zpracování údajů může představovat riziko pro práva a svobody fyzických osob, zejména v případech, kdy by mohlo mimo jiné vést ke zneužití identity a kdy by subjekty údajů mohly být zbaveny možnosti kontrolovat své osobní údaje. Obecně je totiž identita zneužita s cílem provést podvodné kroky k újmě subjektu údajů nebo třetích osob. V případě on-line platforem může navíc jejich nezodpovědné používání vést k porušování práv fyzických osob a možnost toho, že osoba odpovědná za toto porušování bude moci jednat beztrestně, tato rizika ještě zvyšuje.

133.

Pokud tedy správce spravuje on-line tržiště přístupné inzerujícím uživatelům, kteří mohou při využívání tohoto tržiště zneužít totožnost jiné osoby k podvodným účelům, musí přijmout opatření, která mu umožní toto riziko snížit. Jak vyžaduje článek 25 GDPR, ke splnění požadavků tohoto nařízení a k ochraně práv subjektu údajů musí být toto riziko správcem zohledněno jak v době určení prostředků pro zpracování, tak v době zpracování samotného.

134.

Za těchto podmínek musí provozovatel on-line tržiště podle mého názoru stanovit technická nebo organizační opatření, která mu umožní ověřit totožnost inzerujících uživatelů. Takové ověření by jednak omezilo riziko protiprávního nebo neoprávněného zpracování osobních údajů ve vztahu k subjektu údajů a jednak by umožnilo bojovat proti nezodpovědnému využívání tohoto on-line tržiště, neboť by narušilo pocit beztrestnosti anonymních uživatelů.

135.

Chtěl bych zdůraznit, že předpoklad anonymního používání internetu nevylučuje ověřování totožnosti inzerujících uživatelů. K údajům inzerujícího uživatele nesmí mít přístup žádný uživatel platformy. Mohou být ověřovány a uchovávány pouze správcem, aby mohl splnit povinnosti, které pro něj vyplývají z GDPR. Pro účely ověření si provozovatel může vyžádat telefonní číslo a použít ho k potvrzení registrace. Takové řešení není pro on-line platformy neobvyklé.

136.

Je pravda, že takové opatření neumožňuje vyloučit veškeré riziko zneužití identity. GDPR však správci pouze ukládá povinnost zavést technická a organizační opatření, jejichž cílem je v co největším možném rozsahu zabránit jakémukoliv porušení zabezpečení osobních údajů ( 60 ). Nejedná se tedy o povinnost týkající se výsledku, ale o povinnost týkající se prostředků. V každém případě z předkládacího rozhodnutí vyplývá, že společnost Russmedia nezavedla žádné opatření, které by jí umožnilo ověřit totožnost autora sporného inzerátu v okamžiku nahrání nebo zveřejnění tohoto inzerátu.

137.

Za těchto okolností navrhuji odpovědět na druhou až čtvrtou otázku tak, že čl. 5 odst. 1 písm. f), čl. 6 odst. 1 písm. a) a články 7, 24 a 25 GDPR musí být vykládány v tom smyslu, že poskytovatel služeb informační společnosti, jehož činnost spočívá v poskytování hostingu pro bezplatné nebo placené inzeráty na žádost uživatelů jeho internetových stránek, jedná jako zpracovatel ve vztahu k osobním údajům obsaženým v inzerátech vložených na jeho on-line tržiště. V tomto rámci není povinen kontrolovat obsah zveřejňovaných inzerátů ani provádět bezpečnostní opatření, aby zabránil nebo omezil reprodukci a další šíření obsahu inzerátů, které jsou jeho prostřednictvím zveřejněny. Musí nicméně zavést vhodná organizační a technická opatření k zajištění bezpečnosti zpracování ve vztahu ke třetím osobám. Takový poskytovatel naproti tomu jedná jako správce, pokud jde o osobní údaje inzerujících uživatelů registrovaných na jeho internetových stránkách. V tomto rámci je povinen ověřit totožnost těchto inzerujících uživatelů.

138.

Pro úplnost a pro případ, že by Soudní dvůr s mým posouzením nesouhlasil, nyní stručně posoudím povinnosti a odpovědnost provozovatele on-line tržiště, který je považován za správce ve smyslu čl. 4 bodu 7 GDPR, pokud jde o osobní údaje obsažené v inzerátech vložených na jeho on-line tržiště. Jak jsem totiž již uvedl ( 61 ), druhá až čtvrtá otázka patrně vycházejí z předpokladu, že společnost Russmedia jedná jako „správce“.

139.

Úvodem podotýkám, že skutečnost, že provozovatel on-line tržiště je správcem, nutně neznamená, že za správce nelze považovat i uživatele, který je inzerentem tohoto on-line tržiště ( 62 ).

140.

GDPR totiž uznává existenci společné odpovědnosti, která však nemusí nutně znamenat, že jednotliví provozovatelé, jichž se zpracování osobních údajů týká, nesou stejný podíl odpovědnosti. Naopak, tito provozovatelé mohou být zapojeni v různých fázích tohoto zpracování a v různé míře, takže míru odpovědnosti každého z nich je třeba hodnotit s přihlédnutím ke všem relevantním okolnostem projednávané věci.

141.

Zaměřím se však na povinnosti a odpovědnost provozovatele on-line tržiště, neboť v projednávané věci jde o odpovědnost takového provozovatele za zpracování osobních údajů obsažených v inzerátu vloženém na jeho on-line tržiště.

142.

Cílem druhé a třetí otázky je určit, zda je provozovatel internetových stránek povinen před zveřejněním inzerátu ověřit totožnost osoby, která inzerát vkládá, a totožnost osoby, na kterou se inzerce vztahuje, jakož i obsah inzerátů zaslaných uživateli.

143.

V tomto ohledu nejsem přesvědčen o tom, že provozovatel on-line tržiště je povinen ujistit se o tom, že inzerující uživatel je skutečně osobou, které se údaje obsažené v inzerátu týkají. On-line tržiště totiž může být využíváno i inzerujícím uživatelem pro zveřejnění inzerátu týkajícího se jiné osoby.

144.

Správce však musí ověřit, zda je zpracování osobních údajů založeno na souhlasu subjektu údajů nebo na jiném zákonem stanoveném legitimním základě. Takovou povinnost mu ukládá čl. 5 odst. 1 písm. a), čl. 6 odst. 1 a čl. 7 odst. 1 GDPR.

145.

Pokud tedy provozovatel on-line tržiště jedná jako správce, musí se ujistit, že osoba, jejíž údaje jsou obsaženy v inzerátu, souhlasila se zpracováním. Logicky musí rovněž kontrolovat obsah každého inzerátu předloženého inzerujícím uživatelem, aby ověřil, zda obsahuje osobní údaje.

146.

V souladu se zásadou korektnosti stanovenou v čl. 5 odst. 1 písm. a) GDPR musí správce rovněž zajistit, aby údaje byly ve vztahu k subjektu údajů zpracovávány korektně. Kromě toho musí podle článků 24 a 25 GDPR zavést technická a organizační opatření, aby zajistil, že zpracování je prováděno v souladu s tímto nařízením. Přitom musí zohlednit rizika specifická pro kontext, v němž jsou údaje zpracovávány.

147.

Zpracování veřejně přístupných osobních údajů v on-line prostředí může vést k ohrožení práv a svobod fyzických osob, a zejména k hmotné, nebo nehmotné újmě.

148.

Pokud je provozovatel on-line tržiště správcem údajů obsažených v inzerátech vložených na toto tržiště, musí zkontrolovat inzeráty před jejich zveřejněním on-line, ověřit, zda je jejich zpracování založeno na souhlasu subjektu údajů nebo na jiném zákonem stanoveném legitimním základě, a zavést opatření proti zpracování, které subjekty údajů poškozuje. Pokud nedodržuje tyto zásady, může být činěn odpovědným za porušení GDPR v souladu s článkem 82 tohoto nařízení.

149.

Podstatou čtvrté otázky je, zda provozovatel on-line tržiště musí přijmout bezpečnostní opatření, aby zabránil nebo omezil reprodukci a další šíření obsahu inzerátů, které jsou jeho prostřednictvím zveřejněny.

150.

Pokud s ohledem na kontext, v němž je zpracování prováděno, existuje možnost, že inzeráty budou převzaty jinými stránkami a osobní údaje jsou dále zpracovávány způsobem neslučitelným s účely, pro které byly shromážděny, může správce zvážit zavedení takových opatření, která však musí být vhodná. Nejsem však přesvědčen o tom, že by provozovatel on-line tržiště, které z pohledu provozovatele a inzerujících uživatelů odvozuje svůj ekonomický smysl od skutečnosti, že inzeráty na ně vložené jsou veřejně přístupné, měl být povinen zamezit dalšímu šíření těchto inzerátů. Kromě toho obvyklým účelem umístění obsahu on-line je jeho zpřístupnění všem uživatelům internetu, což předpokládá určitou formu dalšího šíření. V každém případě s ohledem na úvahy, které jsem uvedl v bodě 148 tohoto stanoviska, neměl být sporný inzerát zveřejněn na on-line tržišti společnosti Russmedia bez souhlasu subjektu údajů.

151.

Aniž jsou dotčeny výše uvedené doplňující poznámky k povinnostem a odpovědnosti správce, trvám na svém stanovisku, že provozovatel on-line tržiště je zpracovatelem osobních údajů obsažených v inzerátech vložených na toto tržiště ( 63 ). Za těchto okolností zbývá posoudit vztah mezi směrnicí 2000/31 a GDPR.

152.

Druhá a třetí otázka se týkají zejména čl. 2 odst. 4 GDPR, který se týká vztahu mezi tímto nařízením a směrnicí 2000/31. Kromě toho se týkají jak ustanovení tohoto nařízení, která stanoví povinnosti a odpovědnost správce, tak článku 15 uvedené směrnice. Tyto otázky tedy patrně předpokládají souběžné uplatňování GDPR a uvedené směrnice.

153.

Než se však budu zabývat souběžným uplatňováním těchto dvou nástrojů unijního práva (oddíl 2), musím uvést, že mezi předpokladem uvedeným v první otázce a předpokladem uvedeným ve druhé až čtvrté otázce (oddíl 1) existují jisté rozpory.

154.

Připomínám, že z mého posouzení vyplývá, že společnost Russmedia jednala jako zpracovatel, pokud jde o zpracování osobních údajů obsažených v inzerátech umístěných na jejím on-line tržišti ( 64 ). Naproti tomu předkládající soud vychází z předběžného předpokladu, že tato společnost jednala jako správce. Za těchto okolností vznáší předkládací rozhodnutí otázku, zda provozovatel on-line tržiště může mít dvojí funkci, a sice funkci neutrálního poskytovatele hostingu pro informace ukládané na žádost uživatelů jeho služby ve smyslu čl. 14 odst. 1 směrnice 2000/31 a funkci správce osobních údajů obsažených v těchto informacích. Cílem první otázky je totiž zjistit, zda je společnost Russmedia poskytovatelem zprostředkovatelských služeb ve smyslu oddílu 4 kapitoly II této směrnice. Druhá až čtvrtá otázka patrně vycházejí z předpokladu, že tato společnost musí být kvalifikována jako „správce“ ve smyslu GDPR.

155.

V tomto ohledu jsem si vědom, že Soudní dvůr ve své judikatuře nevyloučil, že správce osobních údajů ve smyslu GDPR může hrát neutrální úlohu, pokud jde o informace obsahující tyto údaje, a může se na něj vztahovat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31. Tuto poznámku učinili i autoři právní nauky v souvislosti s vnitrostátní judikaturou ( 65 ).

156.

Soudní dvůr sice nejprve v rozsudku Google Spain a Google rozhodl, že provozovatel vyhledávače je správcem osobních údajů obsažených v informacích zveřejněných nebo umístěných na internetu třetími osobami, které tento provozovatel vyhledává, indexuje a ukládá ( 66 ). Dále v rozsudku Google France a Google Soudní dvůr posuzoval, zda provozovatel téhož vyhledávače může využít zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31 ( 67 ). Tento druhý rozsudek se však netýkal fungování vyhledávače, ale optimalizace pro vyhledávače. Soudní dvůr v tomto rozsudku navíc ponechal na předkládajícím soudu, aby určil, zda úloha, kterou tento provozovatel hraje, odpovídá úloze poskytovatele zprostředkovatelské služby ve smyslu uvedeného ustanovení ( 68 ).

157.

Důležitější je, jak jsem již uvedl ( 69 ), že poskytovatel zprostředkovatelských služeb ve smyslu zamýšleném normotvůrcem v rámci oddílu 4 kapitoly II směrnice 2000/31 nemůže zastávat roli, která by mu umožňovala znát nebo kontrolovat ukládané údaje, a musí se proto omezit na neutrální poskytování své služby prostřednictvím čistě technického zpracování. Kromě toho role správce spočívá v určování účelu a prostředků zpracování osobních údajů, a zejména v ovlivnění toho, zda údaje podléhají operacím zpracování, jako je zaznamenávání, úprava nebo šíření, a případně i v určování těchto údajů ( 70 ). Uplatnění takového vlivu je neslučitelné s neutrální rolí, kterou musí poskytovatel služby informační společnosti zastávat, pokud jde o informace ukládané na žádost uživatelů, aby se na něho mohlo vztahovat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31. Stejně tak, jak jsem již vysvětlil ( 71 ), GDPR ukládá správci povinnosti a odpovědnost, které vyžadují, aby jednal proaktivně. Aby mohl dodržet zásady týkající se zpracování osobních údajů, musí správce v podstatě znát dotčené údaje a mít nad nimi kontrolu. Takovou kontrolu již nelze sladit s neutrální rolí poskytovatele těchto služeb.

158.

Pokud tedy hostingová služba spočívá v ukládání informací, které z hlediska GDPR představují osobní údaje, a pokud je poskytovatel této služby považován za správce ve smyslu tohoto nařízení, úloha poskytovatele se neomezuje na neutrální ukládání takových informací. Proto poskytovatel takové služby přebírá aktivní úlohu ve vztahu k těmto informacím a nevztahuje se na něj zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31.

159.

Rozpor mezi předpokladem uvedeným v první otázce a předpokladem uvedeným ve druhé až čtvrté otázce potvrzuje výklad GDPR, podle kterého provozovatel on-line tržiště nejedná v postavení správce osobních údajů obsažených v inzerátech, které ukládá na žádost inzerujících uživatelů, ale v postavení zpracovatele těchto údajů ( 72 ).

160.

Pro úplnost uvádím, že nemohu vyloučit, že se unijní normotvůrce rozhodl ponechat možnost, aby se na poskytovatele hostingu jednajícího jako správce vztahovalo zproštění odpovědnosti v rámci Digital Services Act. Toto nařízení sice zrušilo články 12 až 15 směrnice 2000/31 ( 73 ), avšak tato ustanovení byla do nařízení převzata, jak je vykládá Soudní dvůr. Článek 7 uvedeného nařízení dodává, že „[p]oskytovatelé zprostředkovatelských služeb se nepokládají za nezpůsobilé pro zproštění odpovědnosti […] pouze z toho důvodu, že v dobré víře a s náležitou péčí provádějí dobrovolná vyšetřování z vlastního podnětu […] nebo že přijímají nezbytná opatření k zajištění souladu s požadavky práva Unie a vnitrostátního práva, které je v souladu s právem Unie“ ( 74 ). První část tohoto ustanovení, která se týká „opatření zavedených dobrovolně poskytovatelem služeb“, má společné prvky s judikaturou Soudního dvora, která již byla vytvořena na základě směrnice 2000/31 ( 75 ). Druhá část, týkající se „opatření přijatých k zajištění souladu s požadavky práva Unie“, doplněná tímto nařízením, poskytovateli hostingu umožňuje plnit povinnosti, které mu ukládá GDPR, a zachovat si roli neutrálního poskytovatele zprostředkovatelských služeb. Směrnice 2000/31 však žádné ustanovení v tomto smyslu neobsahuje a není namístě jej zavádět výkladem této směrnice.

161.

Zbývá určit, zda se subjekt, který se podílí na zpracování osobních údajů jako zpracovatel a jehož odpovědnost za zpracování údajů může být spojena s porušením GDPR, může dovolávat zproštění odpovědnosti stanovené v čl. 14 odst. 1 směrnice 2000/31.

162.

Problém nastolený v předkládacím rozhodnutí vychází ze skutečnosti, že informace ukládané na žádost příjemce služby obsahovaly osobní údaje, jejichž zpracování bylo provedeno v rozporu s GDPR. Z toho vyplývá otázka, která je předmětem sporu mezi účastníky původního řízení a je již dlouho předmětem akademické debaty ( 76 ): může se subjekt zapojený do zpracování osobních údajů, který může být činěn odpovědným za porušení GDPR, dovolávat zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31?

163.

V tomto ohledu musím konstatovat, že podle mého posouzení těchto dvou nástrojů unijního práva se poskytovatel služby informační společnosti, který je správcem osobních údajů obsažených v informacích ukládaných na žádost uživatelů této služby, nemůže dovolávat zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31 ( 77 ). Následující posouzení má proto za cíl pouze určit, zda se poskytovatel služeb, který jedná jako zpracovatel těchto údajů, může dovolávat tohoto zproštění. Připomínám, že na základě svého posouzení ustanovení GDPR navrhuji Soudnímu dvoru, aby určil, že společnost Russmedia jednala jako zpracovatel ( 78 ).

164.

Kromě toho je třeba uvést, že předkládající soud neupřesňuje, zda ve sporu v původním řízení může být založena odpovědnost společnosti Russmedia za porušení GDPR na základě článku 82 tohoto nařízení anebo na základě pravidel občanskoprávní odpovědnosti stanovených vnitrostátním právem. Porušení pravidla týkajícího se ochrany osobních údajů totiž může současně vést k porušení jiných pravidel, jako jsou pravidla týkající se ochrany spotřebitele ( 79 ) a osobnostních práv, a unijní normotvůrce neměl v úmyslu provést úplnou harmonizaci prostředků právní ochrany dostupných v případě porušení ustanovení GDPR ( 80 ).

165.

V každém případě, pokud jde o občanskoprávní odpovědnost, jak směrnice 2000/31, tak GDPR obsahují ustanovení, která poskytují vodítko ohledně vztahu mezi těmito dvěma akty unijního práva.

166.

Článek 1 odst. 5 písm. b) směrnice 2000/31, nadepsaný „Cíl a oblast působnosti“, stanoví, že se tato směrnice nevztahuje na otázky týkající se služeb informační společnosti upravené pravidly unijního práva použitelnými na osobní údaje. Konkrétně toto ustanovení odkazuje na směrnice 95/46 a 97/66, které byly nahrazeny GDPR ( 81 ) a směrnicí 2002/58/ES ( 82 ).

167.

Kromě toho bod 14 odůvodnění směrnice 2000/31, který se týká problematiky uvedené v čl. 1 odst. 5 této směrnice, uvádí, že ochrana fyzických osob při zpracování osobních údajů je výhradně upravena směrnicemi 95/46 a 97/66, „které se plně uplatní pro služby informační společnosti. Tyto směrnice již vytvářejí právní rámec [Unie] pro oblast osobních údajů a není tedy nezbytné pro zajištění řádného fungování vnitřního trhu, a zejména volného pohybu osobních údajů mezi členskými státy, upravovat tuto otázku v [směrnici 2000/31]. Provádění a uplatňování této směrnice musí být v souladu se zásadami ochrany osobních údajů“.

168.

Soudní dvůr se již v minulosti zabýval výkladem čl. 1 odst. 5 písm. b) směrnice 2000/31.

169.

Nejprve totiž v rozsudku Promusicae ( 83 ) vyvstala otázka, zda unijní právo ukládá členským státům povinnost zpřístupnit osobní údaje v rámci občanskoprávního řízení za účelem zajištění účinné ochrany autorského práva. V této věci předkládající soud odkázal na několik směrnic, které podle jeho názoru mohly představovat právní základ takové povinnosti.

170.

V tomto ohledu Soudní dvůr uvedl, že z čl. 1 odst. 5 písm. b) směrnice 2000/31 vyplývá, že taková povinnost, i když je stanovena touto směrnicí, nemůže působit újmu požadavkům týkajícím se ochrany osobních údajů ( 84 ). Soudní dvůr tedy zřejmě předpokládal souběžné uplatňování uvedené směrnice a nástrojů unijního práva týkajících se ochrany osobních údajů.

171.

Dále v rozsudku La Quadrature du Net a další ( 85 ) Soudní dvůr posuzoval, zda směrnice 2000/31 brání takové vnitrostátní právní úpravě, která poskytovatelům veřejných komunikačních služeb on-line a poskytovatelům hostingových služeb ukládá plošné a nerozlišující uchovávání osobních údajů souvisejících s těmito službami. Předkládající soud měl za to, že tato otázka je upravena touto směrnicí a že její článek 15 sám o sobě nezavádí zásadní zákaz uchovávání údajů týkajících se vytváření obsahu, od něhož by bylo možné se odchýlit pouze výjimečně ( 86 ).

172.

Soudní dvůr rozhodl, že směrnice 2000/31 se nevztahuje na oblast ochrany důvěrnosti komunikace a fyzických osob v souvislosti se zpracováním osobních údajů v rámci služeb informační společnosti, jelikož tato ochrana je upravena – podle okolností – směrnicí 2002/58 nebo GDPR ( 87 ).

173.

Kategoričnost této odpovědi je dána kontextem, v němž byla uvedena.

174.

Nelze totiž přehlédnout, že bod 15 odůvodnění směrnice 2000/31 se výslovně týká důvěrnosti komunikace a stanoví, že v souladu se směrnicí 97/66, na kterou odkazuje čl. 1 odst. 5 písm. b) směrnice 2000/31, „zakazují členské státy všechny typy protiprávního zadržování nebo sledování komunikace jinými osobami, než je odesílatel a příjemce, ledaže jsou tyto činnosti podle práva povolené“. Směrnice 2002/58, která nahradila směrnici 97/66, tento zákaz potvrzuje a stanoví podmínky, za nichž se od něj mohou členské státy odchýlit. Stejně tak v rámci GDPR je manévrovací prostor členských států, pokud jde o odchylná opatření týkající se ochrany osobních údajů, omezen článkem 23 tohoto nařízení.

175.

Kromě toho Soudní dvůr při vyvození závěru připomenutého v bodě 171 tohoto stanoviska uvedl, že ochrana důvěrnosti komunikace a fyzických osob v souvislosti se zpracováním osobních údajů je upravena pouze směrnicí 2002/58 nebo GDPR, „přičemž ochrana, kterou má zajistit směrnice 2000/31, nemůže v žádném případě působit újmu požadavkům vyplývajícím ze směrnice 2002/58 a [GDPR]“ ( 88 ).

176.

Z judikatury týkající se čl. 1 odst. 5 písm. b) směrnice 2000/31 tudíž vyplývá, že se tato směrnice nevztahuje na otázky, které jsou předmětem zvláštní právní úpravy podle směrnice 2002/58 a GDPR. Kromě toho se směrnice 2000/31 a pravidla unijního práva použitelná na osobní údaje uplatní souběžně, pokud jde o jakoukoli jinou záležitost, avšak ustanoveními této směrnice nesmí být dotčeny požadavky týkající se ochrany těchto údajů.

177.

Výklad, který jsem podal v bodě 176 tohoto stanoviska, je podpořen čl. 2 odst. 4 GDPR, který stanoví, že tímto nařízením „není dotčeno“ uplatňování směrnice 2000/31, zejména pokud jde o pravidla týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb uvedená v článcích 12 až 15 této směrnice ( 89 ).

178.

Ačkoli v terminologii unijního práva může konstatování, že se určitý právní nástroj nebo některé z jeho ustanovení použije, „aniž je dotčen“ jiný nástroj, vést k odlišným řešením, GDPR upřesňuje, že se použije, aniž jsou dotčena zejména zvláštní ustanovení směrnice 2000/31. Unijní normotvůrce tedy chtěl zdůraznit, že toto nařízení neomezuje oblast působnosti zvláštních ustanovení této směrnice. Nelze tedy mít za to, že GDPR má přednost před směrnicí 2000/31 z důvodu, že bylo přijato po této směrnici.

179.

S ohledem na výše uvedené jsou jak směrnice 2000/31, jak je vykládána Soudním dvorem ( 90 ), tak GDPR ( 91 ) strukturovány tak, aby umožňovaly jejich souběžné uplatnění na otázky, které nejsou předmětem zvláštní právní úpravy v rámci tohoto nařízení. Zbývá tedy určit, zda GDPR obsahuje ustanovení, které plní úlohu srovnatelnou s čl. 14 odst. 1 této směrnice.

180.

V tomto ohledu čl. 82 odst. 3 GDPR stanoví, že správce nebo zpracovatel jsou zproštěni odpovědnosti za újmu způsobenou zpracováním, které představuje porušení tohoto nařízení, „pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla“. V případě porušení zabezpečení osobních údajů „třetí stranou“ ve smyslu čl. 4 bodu 10 uvedeného nařízení se tak správce nebo zpracovatel může zprostit odpovědnosti na základě čl. 82 odst. 3 tohoto nařízení tím, že prokáže, že neexistuje žádná příčinná souvislost mezi jeho případným porušením povinnosti ochrany údajů a újmou způsobenou fyzické osobě ( 92 ).

181.

Mám za to, že čl. 82 odst. 3 GDPR nepředstavuje ustanovení o zproštění odpovědnosti, které plní úlohu srovnatelnou s úlohou čl. 14 odst. 1 směrnice 2000/31.

182.

Článek 14 odst. 1 směrnice 2000/31 se totiž použije pouze v případě, že poskytovatel zprostředkovatelských služeb může být podle pravidel, která se na něj vztahují, činěn odpovědným za informace ukládané na žádost uživatelů jeho zprostředkovatelské služby. Otázka použitelnosti tohoto ustanovení tedy vyvstává pouze tehdy, jsou-li splněny podmínky odpovědnosti tohoto poskytovatele za ukládané informace stanovené platnými pravidly. V tomto ohledu jsou podmínky práva na náhradu újmy stanoveného v článku 82 GDPR stanoveny v odstavcích 1 až 3 tohoto článku. Článek 82 odst. 3 tohoto nařízení zavádí pouze jednu podmínku této odpovědnosti ( 93 ). Vznik odpovědnosti správce na základě článku 82 uvedeného nařízení je totiž podmíněn existencí jeho zavinění, které se předpokládá, ledaže tento správce prokáže, že ve smyslu odstavce 3 nenese žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla ( 94 ).

183.

Není tudíž vyloučeno, aby se na zpracovatele, který může být činěn odpovědným podle článku 82 GDPR, vztahovalo zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31.

184.

Je však třeba mít na paměti, že zpracovatel může být činěn odpovědným podle čl. 82 odst. 2 druhé věty GDPR pouze v případě, kdy nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi. Povinnosti a odpovědnost provozovatele on-line tržiště, který jedná jako zpracovatel, pokud jde o údaje obsažené v inzerátech zveřejněných na jeho platformě, jsou tedy primárně spojeny s článkem 32 tohoto nařízení ( 95 ).

185.

Není však jasné, jak jsem již uvedl, zda ve sporu v původním řízení může být odpovědnost společnosti Russmedia za porušení GDPR založena na základě článku 82 tohoto nařízení nebo na základě vnitrostátních předpisů. Pokud může být odpovědnost za porušení GDPR založena na vnitrostátních předpisech (takže by se nepoužil čl. 82 odst. 3 téhož nařízení), je ještě méně důvodné, aby se na dotčený subjekt nevztahovalo zproštění odpovědnosti podle čl. 14 odst. 1 směrnice 2000/31.

186.

Závěrem mám za to, že subjekt zapojený do zpracování osobních údajů jako zpracovatel, který může být činěn odpovědným za porušení GDPR, se může dovolávat zproštění odpovědnosti stanoveného v čl. 14 odst. 1 směrnice 2000/31. Můj závěr týkající se vztahu mezi těmito dvěma nástroji unijního práva tedy nemůže změnit můj návrh odpovědí na předběžné otázky.

187.

S ohledem na všechny výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Curtea de Apel Cluj (Odvolací soud v Kluži, Rumunsko) následovně: