1.

Las cuestiones prejudiciales que se plantean en el presente asunto se refieren a disposiciones de la Directiva 2000/31/CE ( 2 ) y del Reglamento (UE) 2016/679. ( 3 )

2.

Estas cuestiones tienen su origen en un litigio entre una persona física y el operador de un mercado en línea donde se publicó un anuncio sin el consentimiento de esa persona, en el que se afirmaba que esta ofrecía servicios sexuales. La particularidad de este asunto radica en que el anuncio en cuestión contenía datos personales.

3.

Mediante sus cuestiones prejudiciales referidas al RGPD, el órgano jurisdiccional remitente desea, a este respecto, que se elucide, por una parte, si el operador de un mercado en línea como el que es objeto del procedimiento principal ha incumplido las obligaciones que le incumben en virtud de dicho Reglamento y, por otra parte, si tal operador puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31 por lo que respecta a un anuncio publicado en ese mercado en línea. Por consiguiente, la presente petición de decisión prejudicial brinda al Tribunal de Justicia la oportunidad de pronunciarse sobre la articulación entre los regímenes instaurados por estos dos actos del Derecho de la Unión.

4.

El artículo 1 de la Directiva 2000/31, que lleva por epígrafe «Objetivo y ámbito de aplicación», establece en su apartado 5 que la Directiva «no se aplicará […] a cuestiones relacionadas con servicios de la sociedad de la información incluidas en las Directivas 95/46/CE [ ( 4 )] y 97/66/CE [ ( 5 )]».

5.

Los artículos 12, 13 y 14 de dicha Directiva, que figuran en la sección 4 —que lleva por epígrafe «Responsabilidad de los prestadores de servicios intermediarios»— del capítulo II de la Directiva —cuyo epígrafe es «Principios»—, se refieren a los servicios de la sociedad de la información consistentes, respectivamente, en actividades de mera transmisión, en la llamada memoria tampón (caching) o en el alojamiento de datos. Estas disposiciones determinan asimismo las condiciones con arreglo a las cuales dichos prestadores de servicios quedan exonerados de responsabilidad en relación con la información procedente de los usuarios de sus servicios.

6.

En virtud del artículo 14, apartado 1, de la citada Directiva, cuyo epígrafe es «Alojamiento de datos»:

«Los Estados miembros garantizarán que, cuando se preste un servicio de la sociedad de la información consistente en almacenar datos facilitados por el destinatario del servicio, el prestador de servicios no pueda ser considerado responsable de los datos almacenados a petición del destinatario, a condición de que:

7.

El artículo 15 de esta misma Directiva, que lleva por epígrafe «Inexistencia de obligación general de supervisión», establece lo siguiente:

«1.   Los Estados miembros no impondrán a los prestadores de servicios una obligación general de supervisar los datos que transmitan o almacenen, ni una obligación general de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas, respecto de los servicios contemplados en los artículos 12, 13 y 14.

2.   Los Estados miembros podrán establecer obligaciones tendentes a que los prestadores de servicios de la sociedad de la información comuniquen con prontitud a las autoridades públicas competentes los presuntos datos ilícitos o las actividades ilícitas llevadas a cabo por destinatarios de su servicio o la obligación de comunicar a las autoridades competentes, a solicitud de estas, información que les permita identificar a los destinatarios de su servicio con los que hayan celebrado acuerdos de almacenamiento.»

8.

El artículo 2 del RGPD, que lleva por epígrafe «Ámbito de aplicación material», establece en su apartado 4:

«El presente Reglamento se entenderá sin perjuicio de la aplicación de la Directiva [2000/31], en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15.»

9.

El artículo 4 del citado Reglamento, cuyo epígrafe es «Definiciones», está redactado en los siguientes términos:

«A efectos del presente Reglamento se entenderá por:

[…]

[…]

[…]».

10.

El artículo 5 del mismo Reglamento, bajo el epígrafe «Principios relativos al tratamiento», dispone lo siguiente:

«1.   Los datos personales serán:

[…]

2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»

11.

El artículo 6 del mismo Reglamento, que lleva por epígrafe «Licitud del tratamiento», establece lo siguiente en su apartado 1:

«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

[…]».

12.

El artículo 7 del RGPD, cuyo epígrafe es «Condiciones para el consentimiento», dispone en su apartado 1:

«Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.»

13.

Los artículos 24 a 26 de dicho Reglamento figuran en la sección 1 —«Obligaciones generales»— del capítulo IV de este —«Responsable del tratamiento y encargado del tratamiento»—.

14.

El artículo 24 del Reglamento, cuyo epígrafe es «Responsabilidad del responsable del tratamiento», preceptúa lo siguiente en su apartado 1:

«Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento[,] así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.»

15.

El artículo 25 del mismo Reglamento, bajo el epígrafe «Protección de datos desde el diseño y por defecto», establece en sus apartados 1 y 2:

«1.   Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

2.   El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.»

16.

El artículo 26 del RGPD, cuyo epígrafe es «Corresponsables del tratamiento», precisa lo siguiente en su apartado 1:

«Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.»

17.

El artículo 11 de la Legea nr. 365/2002 privind comerțul electronic (Ley n.o 365/2002 relativa al Comercio Electrónico), de 7 de junio de 2002, ( 6 ) en su versión modificada por la Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (Ley n.o 121/2006 por la que se modifica y completa la Ley n.o 365/2002 relativa al Comercio Electrónico), de 4 de mayo de 2006 ( 7 ) (en lo sucesivo, «Ley n.o 365/2002»), establece lo siguiente:

«1.   Salvo disposición en contrario en la presente Ley, los prestadores de servicios estarán sujetos a las disposiciones legales en materia de responsabilidad civil, penal y administrativa.

2.   Los prestadores de servicios serán responsables de los datos facilitados por ellos mismos o en su nombre.

3.   Los prestadores de servicios no serán responsables de los datos que transmitan, almacenen o pongan a disposición para su acceso en las condiciones establecidas en los artículos 12 a 15.»

18.

El artículo 14 de dicha Ley, que lleva por epígrafe «Conservación permanente de datos, alojamiento de datos», dispone lo siguiente:

«1.   Cuando el servicio de la sociedad de la información consista en almacenar datos facilitados por el destinatario del servicio en cuestión, el prestador de dicho servicio no será responsable de los datos almacenados a petición de un destinatario, siempre que se cumpla alguna de las siguientes condiciones:

2.   Las disposiciones del apartado 1 no se aplicarán cuando el destinatario actúe bajo la autoridad o el control del prestador de servicios.

3.   Las disposiciones del presente artículo no obstarán para que una autoridad judicial o administrativa exija al prestador de servicios que ponga fin a una infracción o la impida ni para que los Estados miembros establezcan procedimientos gubernamentales destinados a limitar o interrumpir el acceso a los datos.»

19.

Russmedia Digital SRL (en lo sucesivo, «Russmedia»), una sociedad de Derecho rumano, es titular del mercado en línea www.publi24.ro en el que pueden publicarse, de forma gratuita o mediante pago, anuncios relativos, en particular, a la venta de productos o a la prestación de servicios procedentes de distintos lugares de Rumanía.

20.

El 1 de agosto de 2018, una persona no identificada publicó en dicho mercado en línea un anuncio con contenido denigrante y vejatorio hacia la recurrente en el procedimiento principal, dado que en él se afirmaba que esta ofrecía servicios sexuales (en lo sucesivo, «anuncio objeto del litigio»). En el anuncio aparecían fotografías de la recurrente en el procedimiento principal, utilizadas sin su consentimiento, tomadas de la cuenta de la que era titular legítima en una red social, así como su número de teléfono. Con carácter previo a la publicación del anuncio, no se llevó a cabo verificación alguna de la identidad de la persona que lo publicó. Menos de una hora después de que la recurrente en el procedimiento principal se pusiera en contacto con Russmedia, esta retiró el anuncio de su mercado en línea. Sin embargo, ese mismo anuncio fue reproducido, con indicación de la fuente de origen, en otras páginas de Internet con contenido publicitario en las que sigue estando accesible.

21.

Al considerar que el anuncio objeto del litigio vulneraba sus derechos, la recurrente en el procedimiento principal presentó una demanda contra Russmedia.

22.

La Judecătoria Cluj-Napoca (Tribunal de Primera Instancia de Cluj-Napoca, Rumanía) estimó dicha demanda y, sobre la base del artículo 253 del Codul civil (Código Civil), ( 8 ) condenó a Russmedia a pagar a la recurrente en el procedimiento principal 7000 euros en concepto de daños morales por el perjuicio causado por la vulneración del derecho al honor, a la imagen y a la buena reputación y del derecho a la vida privada de la demandante, así como por el tratamiento no conforme de datos personales. En efecto, dicho órgano jurisdiccional consideró que el anuncio objeto del litigio constituye un incumplimiento de las obligaciones que el RGPD impone a Russmedia. Estimó que el hecho de que Russmedia hubiera autorizado la publicación y posterior difusión en línea del referido anuncio había vulnerado gravemente los derechos de la recurrente en el procedimiento principal.

23.

Russmedia impugnó esta resolución ante el Tribunalul Specializat Cluj (Tribunal Especializado de Cluj, Rumanía), que estimó el recurso de apelación al considerar que la demanda formulada por la recurrente en el procedimiento principal era infundada, dado que dicha sociedad no es la autora del anuncio objeto del litigio. En primer término, el referido órgano jurisdiccional declaró que Russmedia se había limitado a prestar un servicio de almacenamiento de anuncios, sin estar activamente involucrada «en cuanto al contenido» de estos, y que, en esas circunstancias, era aplicable la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Ley n.o 365/2002.

24.

Así, según el tribunal de apelación, Russmedia retiró el anuncio objeto del litigio de su mercado en línea menos de una hora después de ser contactada por la recurrente en el procedimiento principal. Dicho órgano jurisdiccional declaró que, a la luz de los artículos 11, apartado 3, y 14, apartado 1, letra b), de la Ley n.o 365/2002, Russmedia estaba exenta de responsabilidad por los daños reclamados puesto que dicha sociedad no es la autora del anuncio en cuestión e impidió el acceso a este en cuanto supo que podía vulnerar los derechos de la recurrente en el procedimiento principal.

25.

En segundo término y por lo que se refiere a la obligación a cargo del responsable del tratamiento de verificar, con carácter previo a la publicación de un anuncio, si su autor tiene derecho a utilizar los datos personales que contiene, el tribunal de apelación consideró que era aplicable el artículo 11 del Reglamento de Aplicación de la Ley n.o 365/2002, según el cual los prestadores de servicios de la sociedad de la información no están obligados a verificar los datos almacenados. ( 9 )

26.

Por último, el tribunal de apelación declaró que no cabe reprochar a Russmedia que no tomara medidas para impedir la difusión en línea del anuncio objeto del litigio. Según la recurrente en el procedimiento principal, el servicio prestado consistió en publicar dicho anuncio y las medidas para impedir el acceso a este se adoptaron en cuanto la recurrente en el procedimiento principal alertó a Russmedia. En consecuencia, el tribunal de apelación consideró que era aplicable en ese asunto la Ley n.o 365/2002, que exime a la referida sociedad de responsabilidad por los daños morales causados por el contenido de los anuncios publicados por los usuarios en el sitio de Internet www.publi24.ro.

27.

La recurrente en el procedimiento principal interpuso recurso de casación contra esta resolución ante la Curtea de Apel Cluj (Tribunal Superior de Cluj, Rumanía), órgano jurisdiccional remitente.

28.

En su recurso de casación, la recurrente en el procedimiento principal alega, en particular, que la Ley n.o 365/2002 no es una norma especial con respecto al RGPD y que, por consiguiente, el tribunal de apelación debió haber examinado la responsabilidad de Russmedia a la luz de las disposiciones de dicho Reglamento.

29.

Además, la recurrente en el procedimiento principal sostiene que el papel desempeñado por Russmedia no se limita a proporcionar a los clientes los medios técnicos específicos de acceso al servidor de alojamiento de datos. En su opinión, esa empresa también desempeña un papel gestor mediante la intervención en el contenido de los anuncios, en aras de una gestión adecuada de la información. Según la recurrente en el procedimiento principal, la mencionada sociedad, como gestora del sitio de Internet de que se trata, lleva a cabo el almacenamiento y el tratamiento de la información. Considera asimismo que el tratamiento y almacenamiento de los datos y la puesta de estos a disposición del público con un formato o diseño determinado conlleva tanto un análisis de los datos e información contenidos en los anuncios como su gestión, necesaria para garantizar un fácil acceso público a ellos, lo cual es indicativo de una implicación directa de dicha sociedad. La recurrente en el procedimiento principal sostiene que, en consecuencia, el artículo 14 de la Ley n.o 365/2002 no es aplicable en el presente asunto. Asimismo, opina que la exención de responsabilidad contemplada en dicha disposición no se aplica cuando la responsabilidad debe deducirse de otros actos normativos como el RGPD, lo que, en su opinión, sucede en el presente asunto.

30.

El órgano jurisdiccional remitente estimó el recurso de casación, al considerar que el tribunal de apelación no examinó la aplicabilidad de las disposiciones del RGPD en las circunstancias del presente asunto, casó la sentencia recurrida y decidió conocer del procedimiento con miras al pronunciamiento de una nueva resolución en apelación.

31.

A este respecto, el órgano jurisdiccional remitente señala que, a su juicio, los operadores de los mercados en línea no tienen ninguna obligación de llevar a cabo una verificación previa de los anuncios publicados por los usuarios. Sin embargo, apunta que, según la sentencia dictada en el asunto L’Oréal y otros, ( 10 ) solo puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31 el operador de un mercado en línea que no asuma un papel activo consistente en prestar asistencia para optimizar la presentación de las ofertas de venta o promoverlas. Además, de conformidad con dicha sentencia, ( 11 ) el operador de un mercado en línea no puede acogerse a esta exención de responsabilidad cuando haya tenido conocimiento de hechos o circunstancias a partir de los cuales un operador económico diligente hubiera debido constatar el carácter ilícito de las ofertas de venta en cuestión y, en caso de adquirir tal conocimiento, no haya actuado con prontitud. En este sentido, con arreglo a la sentencia dictada en el asunto Papasavvas, ( 12 ) una sociedad editora de prensa que dispone de un sitio de Internet en el que se publica la versión digital de un periódico tampoco puede acogerse a esta exención de responsabilidad, desde el momento en que tiene conocimiento de la información publicada y ejerce un control sobre ella.

32.

El órgano jurisdiccional remitente indica que la jurisprudencia del Tribunal de Justicia solo se refiere a las ofertas publicadas en línea cuyo carácter ilícito se desprende del análisis de hechos y circunstancias que habían sido expresamente comunicados al responsable del tratamiento después de que se publicara el anuncio en cuestión. En cambio, el Tribunal de Justicia nunca ha tenido ocasión de examinar una situación como la del presente asunto. La particularidad del asunto principal consiste en que el contenido del anuncio publicado por un usuario que no había sido identificado en el momento en que se sometió el asunto al juez competente era, sin duda alguna, ilícito y gravemente ofensivo para la persona en cuestión. Así, según el órgano jurisdiccional remitente, no era necesario remitir una notificación al responsable del tratamiento para que se llevaran a cabo un control y un análisis del posible carácter ilícito de la información publicada.

33.

Además, el órgano jurisdiccional remitente llama la atención sobre el hecho de que el anuncio objeto del litigio, pese a haber sido suprimido a raíz de la notificación de la recurrente en el procedimiento principal del sitio de Internet de Russmedia en el que había sido inicialmente publicado, fue reproducido íntegramente en muchas otras páginas de Internet con todos los datos y fotografías de esa recurrente, con indicación de la fuente de origen, sin ninguna medida de protección de los datos personales. Por consiguiente, los daños persistieron y siguen produciéndose.

34.

Por otro lado, el órgano jurisdiccional remitente señala que los servicios sexuales mencionados en el anuncio objeto del litigio y supuestamente ofrecidos por la recurrente en el procedimiento principal pueden relacionarse con delitos graves tipificados por el Codul penal (Código Penal), tales como el proxenetismo y la trata de seres humanos.

35.

Por último, el órgano jurisdiccional remitente pone de relieve el hecho de que, habida cuenta de las condiciones de uso de su mercado en línea, Russmedia no parece ser un mero usuario pasivo de los datos. En efecto, si bien esta sociedad no sostiene tener un derecho de propiedad sobre los materiales proporcionados o publicados, cargados o enviados, se reserva el derecho a utilizar dichos materiales, en particular el derecho a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos, cederlos a socios comerciales y eliminarlos en cualquier momento, incluso sin necesidad de justificarlo.

36.

En estas circunstancias, la Curtea de Apel Cluj (Tribunal Superior de Cluj), mediante resolución de 15 de junio de 2023, recibida en el Tribunal de Justicia el 3 de agosto de 2023, decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

37.

Han presentado observaciones escritas el Gobierno rumano y la Comisión Europea. La recurrente en el procedimiento principal y la Comisión estuvieron representadas en la vista celebrada el 2 de julio de 2024.

38.

La primera cuestión prejudicial tiene por objeto determinar si Russmedia puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31, mientras que las cuestiones prejudiciales segunda a cuarta se refieren a si dicha sociedad ha incumplido las obligaciones que le incumben en virtud del RGPD.

39.

En el pasado, el Tribunal de Justicia ha indicado que el artículo 14, apartado 1, de la Directiva 2000/31, que es objeto de la primera cuestión prejudicial, pretende restringir los casos en los que, conforme al Derecho nacional aplicable en la materia, puede generarse la responsabilidad de los prestadores de servicios intermediarios. ( 13 ) En mi opinión, habida cuenta de la evolución del Derecho de la Unión en este ámbito, la exención de responsabilidad contemplada en dicha disposición está destinada a aplicarse también cuando la responsabilidad de un prestador se genera sobre la base de lo dispuesto en el Derecho de la Unión o de las medidas nacionales de transposición correspondientes. ( 14 )

40.

De la resolución de remisión se deduce que, en el procedimiento principal, Russmedia puede incurrir en responsabilidad como consecuencia de una infracción del RGPD. ( 15 ) En estas circunstancias, a priori puede parecer conveniente analizar en primer lugar las cuestiones prejudiciales segunda a cuarta, mediante las cuales el órgano jurisdiccional remitente pretende determinar si Russmedia incumplió las obligaciones que le incumben en virtud del RGPD. Sin embargo, en pro de la claridad del análisis, examinaré las cuestiones en el orden en que están planteadas. Así pues, analizaré, para empezar, el problema planteado por la resolución de remisión desde el prisma de la Directiva 2000/31, para, a continuación, examinar este problema desde la perspectiva del RGPD. Finalmente, en la última parte de mi análisis, examinaré las interacciones entre este Reglamento y la citada Directiva.

41.

En efecto, todas las cuestiones prejudiciales se refieren a la cuestión más fundamental de la relación entre las disposiciones de la Directiva 2000/31 y las del RGPD. Examinaré esta cuestión después de identificar las disposiciones pertinentes de estos dos actos del Derecho de la Unión, puesto que las calificaciones jurídicas, según las categorías que estos contemplan, constituyen el núcleo de las cuatro cuestiones prejudiciales.

42.

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente solicita que se dilucide si el artículo 14, apartado 1, de la Directiva 2000/31 debe interpretarse en el sentido de que un prestador de un servicio de la sociedad de la información consistente en poner a disposición de los usuarios un mercado electrónico en el que pueden publicarse anuncios de forma gratuita o mediante pago puede acogerse a la exención de responsabilidad contemplada en la citada disposición también cuando dicho prestador señala, en los términos y condiciones de uso de su mercado en línea, que, aunque no sostiene tener un derecho de propiedad sobre los materiales proporcionados o publicados, cargados o enviados, se reserva el derecho a utilizar dichos materiales, en particular el derecho a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos o cederlos a socios comerciales y a eliminarlos en cualquier momento, incluso sin necesidad de justificarlo.

43.

Analizaré, pues, esta cuestión (sección 1) que, en esencia, tiene por objeto que se determine si puede considerarse que Russmedia es un «prestador de servicios intermediario» que puede, a priori, acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. En pro de la exhaustividad, en la medida en que el órgano jurisdiccional remitente también parece albergar dudas sobre si, habida cuenta de las particularidades del asunto principal, se cumplen en el caso de autos los requisitos a los que dicha disposición supedita la exención de responsabilidad, analizaré también esta cuestión (sección 2).

44.

Me parece importante hacer hincapié tanto en la premisa en que se basa la primera cuestión prejudicial como en el alcance de esta.

45.

A este respecto, en primer lugar, como ya he señalado, ( 16 ) los artículos 12, 13 y 14 de la Directiva 2000/31 prevén exenciones de responsabilidad aplicables cuando los servicios prestados por los prestadores de servicios de la sociedad de la información consisten, respectivamente, en las actividades de mera transmisión, en la forma de almacenamiento denominada memoria tampón o «caching» y en el alojamiento de datos.

46.

Si bien la primera cuestión prejudicial se refiere a estas tres disposiciones, el órgano jurisdiccional remitente sugiere que Russmedia presta un servicio consistente en alojar información facilitada por los usuarios. Además, el artículo 14 de la Ley n.o 365/2002, cuya aplicabilidad se debatió ante las instancias nacionales, ( 17 ) parece ser una transposición del artículo 14 de la Directiva 2000/31, que se refiere al servicio de alojamiento de datos. Por consiguiente, considero que la primera cuestión prejudicial se refiere a esta disposición del Derecho de la Unión y que la hipótesis de trabajo de la que parte el órgano jurisdiccional remitente es que el servicio prestado por Russmedia constituye un servicio de la sociedad de la información y consiste, en principio, en alojar la información facilitada por los usuarios de su mercado en línea.

47.

En segundo lugar, por lo que respecta al alcance de la primera cuestión prejudicial, su formulación ponderada sugiere que el órgano jurisdiccional remitente no se pronuncia sobre el papel desempeñado por Russmedia en la prestación de su servicio de alojamiento de datos. En efecto, de dicha cuestión se desprende que la apreciación de que el papel de Russmedia es meramente técnico resulta de las afirmaciones formuladas por dicha sociedad. ( 18 ) Aunque el órgano jurisdiccional remitente no parece ponerlas en tela de juicio, abordaré estas afirmaciones, dado que la recurrente en el procedimiento principal niega de plano su fundamento. ( 19 )

48.

Por último, en tercer lugar, el órgano jurisdiccional remitente indica que Russmedia «no parece ser un mero usuario pasivo de los datos (proveedor intermediario), puesto que, a pesar de que [esta sociedad] no sostiene tener un derecho de propiedad sobre los materiales proporcionados o publicados, cargados o enviados, se reserva el derecho a utilizar [dichos] materiales». La formulación de la primera cuestión prejudicial refleja esta preocupación del órgano jurisdiccional remitente. En efecto, esta cuestión tiene por objeto elucidar si puede acogerse a la exención de responsabilidad contemplada en el apartado 1 del artículo 14 de la Directiva 2000/31 «un proveedor de servicios […] que pone [un mercado en línea] a disposición de los usuarios […], pero que en los términos y condiciones de uso del sitio de Internet señala que […] se reserva el derecho a utilizar los materiales».

49.

Las referencias en la resolución de remisión al carácter meramente técnico o pasivo de la actividad de Russmedia remiten al criterio jurisprudencial del Tribunal de Justicia según el cual la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31 solo cubre los supuestos en los que el comportamiento del prestador de servicios se ciña al de un «prestador de servicios intermediario» en el sentido que el legislador ha querido dar a esta expresión en la sección 4 del capítulo II de dicha Directiva. En efecto, a este respecto, del considerando 42 de la citada Directiva se desprende que las exenciones de responsabilidad contempladas en ella solo se aplican a aquellos casos en que la actividad del prestador de servicios de la sociedad de la información tiene naturaleza meramente técnica, automática y pasiva, lo que implica que el prestador no tiene conocimiento ni control de la información transmitida o almacenada. ( 20 ) La primera cuestión prejudicial debe analizarse a la luz de este criterio jurisprudencial.

50.

Aunque el órgano jurisdiccional remitente no facilita información detallada sobre el funcionamiento del mercado en línea de Russmedia, parece que esta sociedad define el formato de los anuncios y los publica, a título gratuito u oneroso, en su mercado en línea, en el que los anuncios se agrupan en distintas categorías escogidas por los usuarios anunciantes y en el que otros usuarios pueden realizar búsquedas mediante un sencillo motor de búsqueda y clasificar los resultados. Para poder publicar un anuncio en línea, el usuario anunciante debe registrarse en Russmedia. Su identidad no se verifica ni en el momento del registro ni en el de la publicación del anuncio. Esta es la imagen del funcionamiento de este mercado en línea que cabe extraer de la resolución de remisión, de los escritos de las partes y de los presentados en la vista, así como de mis propias pesquisas. Corresponde al órgano jurisdiccional nacional comprobar la exactitud de estas observaciones antes de pronunciarse en el procedimiento principal.

51.

En un asunto relativo al operador de un mercado en línea, el Tribunal de Justicia declaró que, para determinar si dicho operador puede quedar exento de responsabilidad en virtud del artículo 14 de la Directiva 2000/31, es necesario examinar si se limita a realizar una prestación neutra de su servicio mediante un tratamiento meramente técnico y automático de los datos facilitados por sus clientes o bien desempeña un papel activo que le permite adquirir conocimiento o control de tales datos. ( 21 )

52.

A este respecto, el Tribunal de Justicia ha considerado que el mero hecho de que el operador de un mercado en línea almacene en su servidor ofertas de venta, determine las condiciones de su servicio, sea remunerado por el mismo y dé información general a sus clientes no puede implicar que se le excluya de las exenciones de responsabilidad previstas por la Directiva 2000/31. ( 22 )

53.

Además, el Tribunal de Justicia declaró, por lo que respecta a uno de los requisitos a los que el artículo 14, apartado 1, de la Directiva 2000/31 supedita la exención de responsabilidad de un prestador de servicios intermediario, sobre los que volveré más adelante, ( 23 ) que el hecho de que el operador de una plataforma de intercambio de contenidos en línea proceda a una indexación automatizada de contenidos subidos a esa plataforma y de que esta contenga una función de búsqueda y recomiende vídeos en función del perfil o de las preferencias de los usuarios no puede bastar para considerar que no se cumple dicho requisito. ( 24 ) Con mayor razón, este hecho tampoco puede privar a tal operador de la posibilidad de acogerse a la exención de responsabilidad contemplada en la referida disposición. En efecto, la cuestión de si se cumplen los requisitos a los que el artículo 14, apartado 1, letras a) y b), de la citada Directiva supedita la exención de responsabilidad solo se plantea si el prestador de servicios de que se trate puede calificarse de «prestador de servicios de alojamiento de datos neutro» en relación con los datos que almacena y puede, a priori, acogerse a dicha exención.

54.

Por consiguiente, a primera vista, parece que Russmedia desempeña un papel neutro en relación con los datos almacenados a petición de los usuarios anunciantes y que puede acogerse a la exención establecida en el artículo 14, apartado 1, de la Directiva 2000/31. Procede ahora disipar las dudas del órgano jurisdiccional remitente, reflejadas en el enunciado de la primera cuestión prejudicial, que, en esencia, tiene por objeto que se elucide si, al examinar la aplicabilidad de dicha exención, debe atribuirse un papel preponderante a los términos y condiciones de uso de un mercado en línea o a las medidas efectivamente adoptadas por el operador de dicho mercado.

55.

A modo de recordatorio, de conformidad con los términos y condiciones de uso de su mercado en línea, Russmedia, sin sostener que tiene derecho de propiedad alguno sobre los materiales proporcionados, publicados, descargados o enviados, se reserva el derecho a utilizarlos, en particular el derecho a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos o cederlos a socios comerciales y a eliminarlos en cualquier momento, incluso sin necesidad de justificarlo.

56.

Para empezar, he de señalar que el presente asunto no se refiere a ningún perjuicio ocasionado a la recurrente en el procedimiento principal por la intervención de Russmedia en el anuncio objeto del litigio que era accesible en su mercado en línea. El caso que nos ocupa no se refiere, por tanto, a una situación en la que el daño resulta de un contenido proporcionado por el usuario de un mercado en línea y modificado o manipulado por el operador de ese mercado.

57.

Aclarada esta cuestión, procede observar que, habida cuenta de los términos y condiciones de uso de su mercado en línea, Russmedia no parece tener ninguna obligación para con los usuarios anunciantes en cuanto atañe a la elaboración o presentación del contenido de los anuncios almacenados a petición de estos. En cambio, esta empresa se reserva el derecho a utilizar esta información, incluso sin necesidad de justificarlo.

58.

A este respecto, si bien los términos y condiciones de uso de un mercado en línea pueden determinar el funcionamiento de un servicio de la sociedad de la información y aclarar el papel desempeñado por su prestador, las estipulaciones contractuales en virtud de las cuales dicho prestador tiene la opción, que no la obligación, de tomar alguna medida con respecto a la información almacenada no pueden ser por sí solas decisivas cuando se plantea la cuestión de si ese prestador desempeña un papel neutro. En su jurisprudencia, el Tribunal de Justicia llama la atención sobre la participación efectiva del prestador de un servicio de la sociedad de la información en la elaboración y presentación de la información facilitada por los usuarios del servicio. En cambio, al examinar la aplicabilidad de la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31, no deben tenerse en cuenta las medidas que un prestador de servicios está autorizado a llevar a cabo en virtud de los términos y condiciones de uso de su plataforma, pero que no ejecuta en la práctica. Dicho de otro modo, en este examen, deben tenerse en cuenta las medidas efectivamente adoptadas por el prestador de ese servicio.

59.

Más concretamente, el Tribunal de Justicia ha declarado que, cuando el operador de un mercado en línea presta una asistencia consistente, entre otras cosas, en optimizar la presentación de las ofertas de venta en cuestión o en promover tales ofertas, cabe considerar que no ha ocupado una posición neutra entre el correspondiente cliente vendedor y los potenciales compradores, sino que ha desempeñado un papel activo que le permite adquirir conocimiento o control de los datos relativos a esas ofertas. ( 25 ) Del mismo modo, el Tribunal General ha considerado, en esencia, que una sociedad editora de prensa no puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31 por lo que respecta a la información contenida en la versión digital del periódico publicado por dicha sociedad, puesto que esta tiene conocimiento, en principio, de la información que publica y ejerce un control sobre esta. ( 26 )

60.

En resumen, en los pasajes de la jurisprudencia que acabo de mencionar, las modalidades de funcionamiento de un mercado en línea implicaban el conocimiento y el control ex ante de la información almacenada. En cambio, en el presente asunto, como observó la Comisión en la vista, nada indica que Russmedia intervenga en la creación, optimización o presentación de los anuncios ni que controle sus respectivos contenidos específicos antes de publicarlos. El control que esta empresa podía ejercer en virtud de los términos y condiciones de uso de su mercado en línea es meramente potencial y ex post. Por otro lado, resulta que Russmedia no tiene un conocimiento de la información almacenada que permita justificar que dicha sociedad no pueda acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

61.

Además, como ha observado la Comisión, no es inusual que los servicios intermediarios dispongan de términos y condiciones de uso de plataformas semejantes a los de Russmedia. ( 27 ) A este respecto, es importante señalar que el hecho de que un prestador de servicios intermediario se reserve el derecho a utilizar la información facilitada por los usuarios de su servicio está en consonancia con el importante papel que desempeñan los prestadores de servicios intermediarios en la lucha contra los contenidos ilícitos en línea.

62.

En efecto, para cumplir los requisitos de exención de responsabilidad del prestador de servicios intermediario, establecidos en el artículo 14, apartado 1, letras a) y b), de la Directiva 2000/31, el prestador intermediario debe reaccionar y retirar los contenidos o bloquear el acceso a ellos en cuanto se descubran contenidos ilícitos. Dicho prestador de servicios puede, en particular para demostrar su capacidad de adoptar tales medidas, reservarse el derecho a suprimir esos contenidos en cualquier momento.

63.

En estas circunstancias, el hecho de que Russmedia se reserve, en los términos y condiciones de uso de su mercado en línea, el derecho a utilizar los contenidos almacenados a petición de los usuarios de su servicio no permite excluir que dicha sociedad pueda acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

64.

A la luz de cuanto antecede, propongo que se responda a la primera cuestión prejudicial que el artículo 14, apartado 1, de la Directiva 2000/31 debe interpretarse en el sentido de que un prestador de un servicio de la sociedad de la información consistente en poner a disposición de los usuarios un mercado electrónico en el que pueden publicarse anuncios de forma gratuita o mediante pago puede acogerse a la exención de responsabilidad contemplada en la citada disposición también cuando dicho prestador señala, en los términos y condiciones de uso de su mercado en línea, que, aunque no sostenga tener un derecho de propiedad sobre los materiales proporcionados o publicados, cargados o enviados, se reserva el derecho a utilizar dichos materiales, en particular el derecho a copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos o cederlos a socios comerciales y a eliminarlos en cualquier momento, incluso sin necesidad de justificarlo, siempre que tal prestador de servicios no tome medidas que supongan para él la pérdida de su condición de prestador neutro de servicios de alojamiento.

65.

En aras de la exhaustividad, procede examinar si, habida cuenta de las particularidades del asunto principal, se cumplen en el caso de autos los requisitos a los que está sujeta dicha exención.

66.

La resolución de remisión pone de relieve las particularidades del presente asunto, que parecen estar asociadas a los requisitos a los que el artículo 14, apartado 1, de la Directiva 2000/31 supedita la exención de responsabilidad de la información almacenada. En efecto, el órgano jurisdiccional remitente llama la atención del Tribunal de Justicia sobre el carácter manifiestamente ilícito y gravemente ofensivo del anuncio objeto del litigio y sobre la disponibilidad de dicho anuncio en muchas otras páginas de Internet en las que fue reproducido.

67.

El órgano jurisdiccional remitente señala que, para que Russmedia pudiera identificar y analizar el posible carácter ilícito de la información publicada, no debería haber sido necesario notificar a dicha sociedad el contenido ilícito. En efecto, según dicho órgano jurisdiccional, el contenido del anuncio objeto del litigio es manifiestamente ilícito y gravemente ofensivo para la recurrente en el procedimiento principal. El órgano jurisdiccional remitente parece, por lo tanto, partir de la premisa de que, debido a ese carácter claramente ilícito, Russmedia debería haber tenido conocimiento de ese anuncio y de su contenido ilícito. Así pues, para acogerse a la exención de responsabilidad, Russmedia —con prontitud y sin esperar a que se le presentara una solicitud a tal efecto— debería haber retirado dicho anuncio o haber hecho imposible el acceso a este, de conformidad con el artículo 14, apartado 1, letra b), de la Directiva 2000/31.

68.

El artículo 14, apartado 1, letra a), de la Directiva 2000/31 tiene por objeto eximir al prestador de servicios de alojamiento de datos de responsabilidad respecto de la información almacenada cuando no tenga conocimiento de la actividad o la información ilícitas. Cuando se invoca la responsabilidad de un prestador de servicios de alojamiento de datos en el contexto de una demanda por daños y perjuicios, como sucede en el presente asunto, resulta aplicable un requisito más riguroso para la exención de responsabilidad. En tal caso, el prestador de servicios no pude acogerse a la exención de responsabilidad prevista en el artículo 14, apartado 1, de dicha Directiva cuando haya tenido conocimiento de hechos o circunstancias a partir de los cuales un operador económico diligente hubiera debido constatar ese carácter ilícito de conformidad con lo establecido en el apartado 1, letra b), del artículo 14 de la citada Directiva. ( 28 ) En efecto, tal como exige la Directiva 2000/31, el carácter ilícito de la actividad o de la información debe «revelarse» o, en otras palabras, ser fácilmente identificable. ( 29 )

69.

Sin embargo, solo se puede negar que el prestador de servicios se acoja a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31 cuando haya tenido conocimiento efectivo de hechos o circunstancias a partir de los cuales un operador económico diligente pueda deducir objetivamente el carácter ilícito de la actividad o de la información. En efecto, independientemente de la cuestión de que la demanda sea o no por daños y perjuicios, no basta con que el prestador sea consciente, con carácter general, de que su servicio también se utiliza para intercambiar contenidos ilícitos. El prestador de servicios debe tener conocimiento de hechos o circunstancias referidos a actividades e informaciones ilícitas concretas. ( 30 )

70.

Por consiguiente, el requisito establecido en el artículo 14, apartado 1, letra a), de la Directiva 2000/31 no se cumple cuando, sobre la base de la información de que dispone, el prestador de servicios constata u obvia el carácter ilícito de los datos almacenados o se equivoca en cuanto a su licitud. En efecto, mientras que el carácter ilícito de una información o de una actividad debe apreciarse de forma objetiva, atendiendo al criterio del operador económico diligente, el conocimiento de hechos reveladores de tal ilicitud se aprecia, en principio, teniendo en cuenta la información de que dispone efectivamente el prestador de servicios en cuestión.

71.

En estas circunstancias, no se puede presumir el conocimiento, por parte del operador de un mercado en línea, del contenido de todo anuncio ilícito y ofensivo. Además, introducir tal presunción equivaldría a obligar a dicho operador a supervisar de forma activa todos los datos de cada uno de sus usuarios anunciantes con el fin de identificar los anuncios manifiestamente ilícitos y ofensivos. A mi parecer, tal obligación de supervisión resulta difícilmente conciliable con la lógica de la Directiva 2000/31.

72.

En efecto, una obligación de supervisión de este tipo, introducida «por la puerta de atrás», sería incompatible con el artículo 15, apartado 1, de la Directiva 2000/31, que establece que los Estados miembros no impondrán a los prestadores de servicios de alojamiento de datos una obligación general de supervisar los datos que almacenen ni una obligación general de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas. Por lo tanto, el prestador de servicios de alojamiento de datos no puede estar obligado a supervisar, en general, los datos que almacena en virtud de medidas nacionales. ( 31 )

73.

Así pues, el requisito establecido en el artículo 14, apartado 1, letra a), de la Directiva 2000/31 no puede considerarse incumplido por el mero hecho de que un anuncio publicado en un mercado en línea sea manifiestamente ilícito y gravemente ofensivo para la persona afectada por dicho anuncio. En aras de la exhaustividad, debo añadir que la Directiva 2000/31 no olvida la situación en la que el prestador de un servicio de alojamiento de datos adopta un modelo empresarial u organizativo que fomenta o promueve la difusión de contenidos ilícitos.

74.

Procede señalar que el considerando 44 de la Directiva 2000/31 enuncia que un prestador de servicios que colabore deliberadamente con uno de los destinatarios de su servicio a fin de cometer actos ilegales rebasa las actividades de mero transporte (mere conduit) o la forma de almacenamiento automático, provisional y temporal, denominada «memoria tampón» (caching), a que se refieren, respectivamente, los artículos 12 y 13 de dicha Directiva. Por consiguiente, ese prestador de servicios no puede acogerse a las exenciones de responsabilidad contempladas para dichas actividades. Aun cuando el citado considerando no menciona la actividad de almacenamiento de datos, a la cual se refiere el artículo 14 de la citada Directiva, nada impide que este mismo razonamiento se aplique a dicha actividad. En efecto, el Tribunal de Justicia declaró, en la sentencia YouTube y Cyando, ( 32 ) que un operador de una plataforma en línea que contribuye, más allá de la mera puesta a disposición de la plataforma, a dar acceso al público a contenidos que vulneran los derechos de autor no puede ser considerado un anfitrión neutro que puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

75.

En la citada sentencia, parece que, para determinar si un operador proporcionaba tal acceso al público, el Tribunal de Justicia se basó indirectamente en su análisis relativo al concepto de «acto de comunicación» en el sentido de la Directiva 2001/29/CE. ( 33 ) Conforme a dicho análisis, inspirado en su sentencia relativa a la plataforma de intercambio The Pirate Bay, ( 34 ) un operador proporciona tal acceso cuando interviene en la comunicación ilícita de contenidos protegidos, efectuada por usuarios de su plataforma, con pleno conocimiento de las consecuencias de su comportamiento, con el fin de dar acceso a esos contenidos a otros internautas. Según el Tribunal de Justicia, para determinar si este es el caso, es importante que se tengan en cuenta todos los elementos que caractericen la situación de que se trate y que permitan extraer, directa o indirectamente, conclusiones sobre el carácter deliberado o no de la intervención del operador en la comunicación ilícita de dichos contenidos.

76.

La extrapolación de este planteamiento a las circunstancias del presente asunto implicaría, para el operador de un mercado en línea que haya adoptado un modelo económico u organizativo que incite a los usuarios de su plataforma a difundir contenidos manifiestamente ilícitos y gravemente ofensivos o que fomente y facilite la difusión ilimitada e incontrolada de tales contenidos, la pérdida de la condición de prestador de servicios de alojamiento de datos neutro en el sentido del artículo 14, apartado 1, de la Directiva 2000/31. Sin embargo, nada indica que Russmedia haya adoptado tal modelo.

77.

Cabría argumentar que la consideración según la cual la Directiva 2000/31, en principio y siempre que no concurran circunstancias excepcionales, ( 35 ) no obliga a los prestadores de servicios de alojamiento de datos a detectar cualquier contenido manifiestamente ilícito y gravemente ofensivo no resulta muy convincente, habida cuenta de los riesgos que la difusión de tal contenido puede generar en lo que respecta a los derechos de sus usuarios y de terceros.

78.

Sin embargo, como observé en otro contexto, ( 36 ) la Directiva 2000/31 es hija de su época y la intención del legislador era establecer un régimen básico que protegiera específicamente la libre circulación de servicios de la sociedad de la información dentro de la Unión. Así pues, dicha Directiva se limita a imponer obligaciones de información al prestador de servicios de la sociedad de la información, ( 37 ) sin distinguir entre las distintas categorías de servicios de alojamiento de datos. En efecto, la citada directiva responde a la lógica de que, dentro de los límites fijados por ella, los Estados miembros establecen una serie de obligaciones que los prestadores de servicios establecidos en sus territorios deben cumplir. En particular, el margen de maniobra de que disponen los Estados miembros está limitado por la prohibición que les impone el artículo 15 de esa misma Directiva de establecer una obligación general de supervisión.

79.

El régimen básico instaurado por la Directiva 2000/31 se ha ido completando gradualmente mediante actos sectoriales que exigen la aplicación de medidas apropiadas para proteger a determinadas categorías de usuarios frente a contenidos específicos, como los contenidos de carácter terrorista o la pornografía infantil. ( 38 )

80.

Recientemente, el legislador de la Unión ha modificado sustancialmente el marco jurídico aplicable a las plataformas en línea. En efecto, el Reglamento de Servicios Digitales distingue las obligaciones de las plataformas en función de determinados criterios y también regula, en cierta medida, la cuestión de la moderación de contenidos ilícitos. ( 39 ) Sin embargo, el presente asunto no se ve afectado por ese nuevo marco jurídico y, en mi opinión, el Tribunal de Justicia no debería introducir por la vía jurisprudencial una obligación que no solo no está prevista por la Directiva 2000/31 aplicable a los hechos del litigio principal, sino que además es contraria al artículo 15 de esta.

81.

Otro aspecto sobre el que el órgano jurisdiccional remitente llama la atención del Tribunal de Justicia se refiere al hecho de que, aunque Russmedia retirara el anuncio objeto del litigio de su mercado en línea a raíz de la solicitud presentada por la recurrente en el procedimiento principal, la reproducción de dicho anuncio, tomado del mercado en línea de Russmedia, permanece accesible en muchos otros sitios de Internet, con indicación de la fuente original. El órgano jurisdiccional remitente no plantea directamente una cuestión sobre esta circunstancia desde el prisma de la Directiva 2000/31. En cambio, ese órgano jurisdiccional hace referencia a ella en su cuarta cuestión prejudicial, que versa sobre las medidas exigidas por el RGPD para garantizar la seguridad del tratamiento de los datos personales. Sin embargo, en la vista, en respuesta a las preguntas formuladas por el Tribunal de Justicia, las partes debatieron acerca de dicha circunstancia en el contexto del requisito para la exención de responsabilidad contemplada en el artículo 14, apartado 1, letra b), de dicha Directiva. A la luz de estas consideraciones y con el fin de proporcionar al órgano jurisdiccional remitente una respuesta útil, examinaré la cuestión de si se cumple el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31 cuando, tras adquirir conocimiento de hechos o circunstancias que permiten determinar fácilmente el carácter ilícito de la información almacenada, el prestador de servicios de alojamiento de datos retira rápidamente esa información de su sitio de Internet, pero esta sigue siendo accesible en otras páginas de Internet que la han tomado del sitio de dicho prestador de servicios.

82.

A este respecto, el órgano jurisdiccional remitente no ha precisado si Russmedia redistribuyó el anuncio objeto del litigio a los operadores de otros sitios de Internet o bien si estos lo copiaron sin el conocimiento de Russmedia. Este extremo fue objeto de debate en la vista. Con el fin de proporcionar una respuesta útil al órgano jurisdiccional remitente, examinaré estos dos supuestos.

83.

En la vista, la Comisión hizo alusión a una situación en la que, según dicha institución, Russmedia, de conformidad con los términos y condiciones de uso de su mercado en línea, transmite los anuncios publicados en su mercado en línea a los socios comerciales con los que tiene una relación contractual, enumerados en su sitio de Internet y, por consiguiente, conocidos por los usuarios anunciantes.

84.

Puede plantearse la cuestión de si, en tal caso, el servicio prestado por el operador de un mercado en línea consiste en un alojamiento de datos neutro de la información almacenada a petición de un destinatario de su servicio. En efecto, no hay que olvidar que el artículo 14, apartado 1, de la Directiva 2000/31 solo se aplica si el prestador de servicios presta tal servicio.

85.

A este respecto, procede observar que, cuando el operador de un mercado en línea transmite a sus socios comerciales, de forma personalizada o con intervención humana, información facilitada por un destinatario de su servicio para que dichos socios la publiquen en otros sitios de Internet, su papel se asemeja al de un patrocinador de esta información. En tal caso, dudo que el servicio de ese operador esté plenamente comprendido en el ámbito de aplicación del artículo 14, apartado 1, de la Directiva 2000/31. En cambio, cabe considerar que la citada disposición es enteramente aplicable a dicho operador cuando la información almacenada a petición de un usuario es reproducida por operadores de otros sitios de Internet y el papel que desempeña el operador en esta transmisión es meramente técnico y automatizado.

86.

Dicho esto, la resolución de remisión no contiene ningún elemento fáctico que permita determinar cuál de estas dos hipótesis corresponde a la situación del litigio principal. Más importante aún, la cuestión de si se cumple el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31 solo se plantea si Russmedia puede ser considerada un «prestador de servicios de alojamiento de datos» en el sentido de dicha disposición. Por consiguiente, analizaré el requisito establecido en el artículo 14, apartado 1, letra b), de dicha Directiva partiendo de la base de que Russmedia es un prestador de servicios de alojamiento de datos en el sentido de esta disposición y de que el anuncio objeto del litigio fue reproducido por los socios comerciales de dicha sociedad en las condiciones indicadas por la Comisión en la vista. ( 40 )

87.

A este respecto, desde el punto de vista literal, el artículo 14, apartado 1, letra b), de la Directiva 2000/31 establece que, para beneficiarse de la exención de responsabilidad, el prestador de servicios de alojamiento de datos debe actuar con prontitud para retirar los datos ilícitos o hacer que el acceso a ellos sea imposible. Así pues, esta disposición no se limita a indicar que el prestador de servicios de alojamiento de datos debe retirar o bloquear el acceso a la información ilícita. En efecto, el legislador escogió una formulación abierta según la cual, en esencia, un prestador de servicios debe poner fin con prontitud a una actividad ilícita realizada a través de su servicio o en el marco de su ejecución.

88.

Ciertamente, la formulación de este requisito podría entenderse en el sentido de que el legislador de la Unión no pretendía establecer los resultados concretos que debían alcanzarse, sino simplemente garantizar que se desplegaran esfuerzos a este respecto. Sin embargo, la formulación abierta del artículo 14, apartado 1, letra b), de la Directiva 2000/31 también deja al prestador de servicios cierto margen de maniobra («retirar los datos o hacer que el acceso a ellos sea imposible») que le permite adoptar una medida apropiada, proporcionada y efectiva. Tal interpretación de esta disposición se impone a la luz de diversos considerandos de la citada Directiva.

89.

En efecto, el considerando 46 de la Directiva 2000/31 enuncia que la retirada de datos habrá de llevarse a cabo respetando «los procedimientos establecidos a tal fin a nivel nacional» y que dicha Directiva «no afecta a la posibilidad de que los Estados miembros establezcan requisitos específicos que deberán cumplirse con prontitud antes de que retiren los datos de que se trate o se impida el acceso a los mismos». Sin embargo, nada sugiere que la normativa nacional aplicable haya establecido tales procedimientos y requisitos.

90.

En cualquier caso, el considerando 41 de la Directiva 2000/31 enuncia que esta logra un justo equilibrio entre los diferentes intereses en presencia y establece principios sobre los que pueden basarse acuerdos y normas industriales. Por lo que se refiere más concretamente al requisito establecido en el artículo 14, apartado 1, letra b), de dicha Directiva, en el considerando 46 de esta se afirma que el prestador de servicios debe retirar los datos o impedir el acceso a ellos respetando el principio de la libertad de expresión. A este respecto, el Tribunal de Justicia ha precisado que la exención de responsabilidad prevista en el artículo 14, apartado 1, de la Directiva constituye la expresión del equilibrio que esta pretende alcanzar entre los diferentes intereses en juego, entre los que figura el respeto de la libertad de expresión garantizada por el artículo 11 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»). ( 41 )

91.

De ello deduzco que, para que se considere cumplido el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31, la retirada de la información debe llevarse a cabo respetando la necesaria conciliación de las exigencias relacionadas con la protección de los distintos derechos y principios y el justo equilibrio entre ellos.

92.

A este respecto, por una parte, al igual que el respeto de la libertad de expresión está garantizado por la Carta y mencionado en el considerando 46 de la Directiva 2000/31, el respeto de la vida privada también está garantizado por la Carta en su artículo 7. Por otra parte, habida cuenta de la necesidad de alcanzar un equilibrio entre los intereses en juego, el objetivo consistente en proteger eficazmente la reputación y el honor de una persona no puede perseguirse mediante una obligación excesiva impuesta al prestador de servicios de alojamiento de datos. ( 42 )

93.

En estas circunstancias, para que el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31 se considere cumplido respetándose los derechos en juego, un prestador de servicios de alojamiento de datos cuyo servicio se utilice para redistribuir entre sus socios contractuales los datos almacenados que almacena debe tomar medidas razonables para garantizar que, si procede, también sus socios retiren o bloqueen ese contenido. Por ejemplo, podría incluirse una cláusula a tal efecto en los contratos celebrados con dichos socios.

94.

En la vista, no solo se debatió el supuesto en el que un anuncio es reproducido por socios comerciales del operador de un mercado en línea, sino también la hipótesis de que un anuncio accesible al público sea reproducido por terceros sin que el operador lo sepa ni haya dado su consentimiento. La cuestión debatida era si, habida cuenta de las consideraciones expuestas en el punto 91 de las presentes conclusiones, el operador de un mercado en línea debe adoptar medidas frente a terceros para cumplir el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31. Procede responder negativamente a esta cuestión.

95.

En efecto, el requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31 se basa en la idea de que el prestador de un servicio de alojamiento de datos debe adoptar con prontitud todas las medidas a su alcance para poner fin a una actividad ilícita realizada a través de su servicio o en el marco de su ejecución. En cambio, la cuestión de si este requisito se cumple no puede depender de medidas que escapen al control de dicho prestador de servicios.

96.

Sin perjuicio de las observaciones adicionales que acabo de formular sobre los requisitos a los que el artículo 14, apartado 1, de la Directiva 2000/31 supedita la exención de responsabilidad de un prestador de servicios intermediario, mantengo mi propuesta de respuesta a la primera cuestión prejudicial, indicada en el punto 64 de las presentes conclusiones.

97.

Mediante sus cuestiones prejudiciales segunda a cuarta, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 5, apartado 1, letras b) y f), 6, apartado 1, letra a), y 7, 24 y 25 del RGPD deben interpretarse en el sentido de que un prestador de servicios de la sociedad de la información cuya actividad consiste en alojar en un sitio de Internet anuncios gratuitos o de pago a petición de sus usuarios está obligado a verificar previamente la identidad del anunciante (segunda cuestión prejudicial) y el contenido de los anuncios publicados (tercera cuestión prejudicial) y a tomar medidas de seguridad que puedan impedir o limitar la copia y redistribución del contenido de los anuncios que contengan datos personales (cuarta cuestión prejudicial).

98.

Estas cuestiones se refieren asimismo a los artículos 2, apartado 4, y 4, puntos 7 y 11, del RGPD y al artículo 15 de la Directiva 2000/31. Sin embargo, para dar una respuesta útil a estas cuestiones, basta con interpretar las disposiciones del RGPD mencionadas en el punto anterior de las presentes conclusiones, que determinan las obligaciones y responsabilidades de los agentes que participan la operación de tratamiento de datos personales.

99.

Además, para responder a estas cuestiones, procede determinar, con carácter preliminar, en qué condición participa tal prestador de servicios en la operación de tratamiento de datos personales. A este respecto, las cuestiones prejudiciales segunda a cuarta parecen basarse de la premisa de que Russmedia actuó como «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD. En efecto, aluden a esta disposición y se refieren a un «prestador de servicios […] que es responsable del tratamiento de datos personales». Al igual que la Comisión, albergo dudas sobre tal calificación jurídica. Así pues, en la medida en que esta puede incidir en las respuestas que haya de darse a las cuestiones prejudiciales, abordaré en primer lugar la calificación jurídica del operador de un mercado según las categorías previstas por el RGPD (sección 1), para retomar a continuación la cuestión de las obligaciones y responsabilidades de ese operador (apartado 2).

100.

El artículo 4, punto 7, del RGPD define el concepto de «responsable del tratamiento» o «responsable» como la persona que, sola o junto con otros, determine los fines y medios del tratamiento de datos personales. El citado Reglamento menciona a otro agente que participa en la operación de tratamiento, a saber, el «encargado del tratamiento» o «encargado». Esta figura se define en el punto 8 del citado artículo 4 del Reglamento como la persona que trate datos personales por cuenta del responsable del tratamiento.

101.

La calificación de un agente que participa en la operación de tratamiento según las categorías previstas por el RGPD determina las obligaciones y las responsabilidades de dicho agente. Estas obligaciones y responsabilidades se encuentran definidas en las disposiciones citadas en las cuestiones segunda a cuarta.

102.

En efecto, todo tratamiento de datos personales debe respetar los principios relativos al tratamiento, enunciados en el artículo 5, apartado 1, del RGPD, y cumplir los requisitos de licitud enumerados en el artículo 6 de dicho Reglamento. El responsable del tratamiento es quien asume la responsabilidad del cumplimiento de estos principios ( 43 ) y quien, cuando el tratamiento se base en el consentimiento, debe ser capaz de demostrar que el interesado consintió el tratamiento de sus datos, tal como exige el artículo 7, apartado 1, del Reglamento. En ese sentido, los artículos 24 y 25 del citado Reglamento imponen al responsable del tratamiento la obligación general de aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es conforme con ese Reglamento.

103.

Por otro lado, la condición en que actúa un agente que participa en la operación de tratamiento también determina el alcance de su responsabilidad por las infracciones del RGPD.

104.

En efecto, a tenor del artículo 82, apartado 2, primera frase, del RGPD, «cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por [este] Reglamento». El responsable del tratamiento es responsable no solo por cualquier tratamiento de datos personales que efectúe él mismo, sino también por el que se realice por su cuenta. ( 44 ) En cambio, en virtud de la segunda frase de la citada disposición, «un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del [mismo] Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable».

105.

Para determinar si una entidad que participa en la operación de tratamiento de datos personales puede ser considerada responsable del tratamiento en el sentido del artículo 4, punto 7, del RGPD, es preciso examinar si dicha entidad ha influido efectivamente, con sus propios objetivos, en la determinación de los fines y los medios de dicho tratamiento.

106.

Para elucidar los fines del tratamiento, se ha de saber por qué son tratados los datos. ( 45 ) En principio, esos fines los determina la persona que da inicio al tratamiento.

107.

Las lindes del término «medios» son más difusas y deben determinarse en el contexto de las cambiantes estructuras económicas y tecnológicas en las que son tratados los datos. En términos generales, si bien los fines de un tratamiento guardan relación con el motivo por el que son tratados los datos, los medios responden a la cuestión de cómo se alcanzarán esos fines. En efecto, la determinación de los medios consiste, en particular, en decidir qué datos van a ser tratados, ( 46 ) quién puede acceder a ellos y cómo ( 47 ) y, en la medida en que tal decisión pueda poner fin a las operaciones de tratamiento, cuánto tiempo durará el tratamiento. Las decisiones relativas a las herramientas o a los soportes físicos o digitales ( 48 ) utilizados para recoger, presentar o difundir los datos también contribuyen a determinar los medios de la operación de tratamiento.

108.

Sin embargo, el responsable del tratamiento no está obligado a determinar todos los aspectos técnicos y organizativos de la operación de tratamiento. La decisión de encomendar la operación de tratamiento de datos a un encargado del tratamiento puede obedecer no solo al deseo de aliviar la carga de trabajo del responsable del tratamiento, sino también al hecho de que este no disponga de los conocimientos técnicos o de los medios necesarios para organizar dicha operación. Tal interpretación, orientada por la realidad económica, queda corroborada por las disposiciones del RGPD.

109.

En efecto, si bien en virtud del artículo 28, apartado 3, del RGPD, un contrato u otro acto jurídico con arreglo al cual un responsable del tratamiento encomienda la operación de tratamiento a un encargado del tratamiento debe establecer la finalidad de dicha operación, tal base jurídica no tiene por qué responder exhaustivamente a la cuestión de cómo se tratarán los datos. Solo debe determinar el objeto y la duración del tratamiento, la naturaleza y la finalidad de este y el tipo de datos personales y las categorías de interesados. Así, por una parte, las cuestiones sensibles que son cruciales para la licitud del tratamiento están reservadas al responsable del tratamiento. Por otra parte, aun cuando un encargado del tratamiento actúe por cuenta de un responsable del tratamiento y siga sus instrucciones, puede, y debe, determinar las medidas técnicas y organizativas del tratamiento, sin extralimitarse en su función de encargado del tratamiento. Dicho de otro modo, la determinación de los medios no esenciales del tratamiento no basta para atribuir la condición de responsable del tratamiento a una persona que participa en la operación de tratamiento de datos.

110.

El órgano jurisdiccional remitente deberá determinar si Russmedia puede ser considerada responsable del tratamiento sobre la base de los criterios expuestos en los puntos 106 a 109 de las presentes conclusiones. Con el fin de proporcionar al juez nacional los elementos de interpretación del Derecho de la Unión que le serán útiles para resolver el litigio del que conoce, abordaré el análisis de esta problemática.

111.

Con carácter preliminar, he de observar que es preciso trazar una distinción entre el tratamiento de los datos personales contenidos en los anuncios publicados en un mercado en línea y el tratamiento de los datos de los usuarios anunciantes que crean una cuenta en el sitio de Internet del operador de dicho mercado con el fin de publicar sus anuncios. La creación de esa cuenta y las demás actuaciones relativas a los datos facilitados por un usuario anunciante constituyen operaciones de tratamiento de las que dicho operador es responsable con arreglo al RGPD. En esencia, el operador decide qué datos son necesarios para registrar una cuenta y, al establecer este procedimiento de registro de los usuarios anunciantes, determina los fines del tratamiento de esos datos.

112.

La resolución de remisión plantea la cuestión de si el operador de un mercado en línea también influye, con sus propios objetivos, en la determinación de los fines y los medios del tratamiento de los datos personales que puedan contener los anuncios publicados en su mercado en línea.

113.

A este respecto, por lo que se refiere a los fines del tratamiento de los datos contenidos en un anuncio publicado en línea, la publicación de un anuncio en un mercado en línea tiene generalmente por objeto dar a conocer al público el producto o servicio ofrecido por un usuario anunciante. Por consiguiente, esos fines son determinados por el usuario anunciante de que se trate. En cambio, el operador de ese mercado en línea no parece influir, con sus propios fines, en el motivo por el que se publican tales anuncios. El caso que nos ocupa ilustra perfectamente esta particularidad del funcionamiento de un mercado en línea. Así, el anuncio objeto del litigio no se publicó en línea para dar a conocer el servicio de un usuario anunciante, sino para ocasionar un perjuicio a la recurrente en el procedimiento principal. El operador no influyó en la lamentable motivación del autor de dicho anuncio.

114.

En cuanto a la determinación de los medios del tratamiento, es el usuario anunciante quien influye en la respuesta a la cuestión de cómo se tratan los datos. De hecho, el usuario anunciante decide si se incluyen datos en el anuncio y, en su caso, qué datos se incluyen. En cambio, es muy probable que el operador de un mercado en línea ni siquiera sea consciente de que un anuncio contiene datos personales. Además, si bien es cierto que dicho operador determina el formato de los anuncios y otros aspectos técnicos y organizativos del funcionamiento de ese mercado en línea, debo señalar, habida cuenta de las observaciones que he formulado en el punto 109 de las presentes conclusiones, que la influencia de ese operador en la determinación de los medios no esenciales del tratamiento no implica que este deba ser considerado responsable del tratamiento.

115.

Así, el operador de un mercado en línea, como Russmedia, no parece influir, con sus propios objetivos, en la determinación de los fines y los medios del tratamiento de los datos personales que puedan contener los anuncios publicados en dicho mercado en línea. Si ese operador participa en el tratamiento de esos datos, actúa como encargado del tratamiento, por cuenta de un usuario anunciante y bajo su responsabilidad. En estas circunstancias, los usuarios de un servicio de alojamiento deben ser calificados de «responsables del tratamiento» en el sentido del RGPD. ( 49 )

116.

Habida cuenta de las particularidades del presente asunto, es preciso añadir una serie de precisiones a las consideraciones que acabo de exponer.

117.

En primer lugar, con independencia de que, de conformidad con el RGPD, un interesado pueda ser considerado responsable del tratamiento de sus propios datos personales, ( 50 ) es importante observar que, en el presente asunto, los datos contenidos en el anuncio objeto del litigio no se refieren a la persona que puso en línea dicho anuncio.

118.

En segundo lugar, en virtud de los términos y condiciones de uso de su mercado en línea, Russmedia se reserva el derecho a utilizar los datos almacenados a petición de los usuarios anunciantes. Puede copiarlos, distribuirlos, transmitirlos, publicarlos, reproducirlos, modificarlos, traducirlos, cederlos a socios comerciales y eliminarlos en cualquier momento, incluso sin necesidad de justificarlo. Una vez adoptada una medida de este tipo en relación con los datos contenidos en un anuncio, dicha sociedad podría ser considerada responsable del tratamiento por lo que se refiere a una operación de tratamiento específica, con todas las obligaciones y responsabilidades que ello conlleva. En efecto, una persona puede ser responsable de las operaciones de tratamiento cuyos fines y medios determina. En cambio, y sin perjuicio de la responsabilidad civil que se le pueda atribuir en virtud del Derecho nacional a este respecto, no se le puede considerar responsable, en el sentido del RGPD, de operaciones anteriores o posteriores de la cadena de tratamiento cuyos fines y medios no determine. ( 51 )

119.

En tercer lugar, las consideraciones que acabo de exponer se corresponden con la posición adoptada por el Grupo de Trabajo del Artículo 29 ( 52 ) en su Dictamen 1/2010 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento», de 16 de febrero de 2010. ( 53 ) En efecto, según dicho Grupo de Trabajo, un proveedor de acceso a Internet que presta servicios de almacenamiento de datos es, en principio, un encargado del tratamiento de datos personales publicados en línea por sus clientes, que utilizan dicho proveedor para el alojamiento y mantenimiento de su sitio web. Si, en cambio, ese mismo proveedor trata los datos que almacena para sus propios fines, se convierte en el responsable del tratamiento de los datos en lo relativo a las operaciones de tratamiento correspondientes. Además, esta posición se corresponde también con la expresada por el Comité Europeo de Protección de Datos en sus Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas el 7 de julio de 2021, ( 54 ) según las cuales el prestador de servicios de alojamiento de datos que no determina si los datos que aloja son datos personales ni trata datos en un modo diferente al mero almacenamiento en sus servidores por cuenta de su cliente es un encargado del tratamiento.

120.

Así pues, sin perjuicio de las comprobaciones fácticas que corresponde efectuar al órgano jurisdiccional remitente, el Tribunal de Justicia debería, en mi opinión, llamar la atención de dicho órgano jurisdiccional sobre la oportunidad de reconsiderar la calificación de Russmedia. En efecto, al igual que la Comisión, considero que esta empresa no desempeña la función de responsable del tratamiento, sino la de encargado del tratamiento en lo relativo a las operaciones de tratamiento derivadas de la publicación del anuncio objeto del litigio. Partiendo de esta premisa, paso a examinar las cuestiones prejudiciales segunda a cuarta.

121.

En el contexto de las obligaciones y responsabilidades que incumben al operador de un mercado en línea con arreglo al RGPD, es pertinente trazar una distinción entre, por una parte, el tratamiento de los datos personales contenidos en los anuncios publicados en dicho mercado y, por otra, el tratamiento de los datos de los usuarios anunciantes que crean una cuenta en el sitio de Internet de dicho operador.

122.

En el supuesto de que Russmedia fuera efectivamente encargado del tratamiento en lo relativo al tratamiento de los datos personales contenidos en los anuncios, no le incumbía verificar si el tratamiento estaba autorizado y era lícito. En efecto, como ya he indicado, ( 55 ) en virtud de las disposiciones a que se refiere la segunda cuestión prejudicial, el responsable del tratamiento de los datos es el responsable del cumplimiento de los principios relativos al tratamiento de datos personales. En este sentido, en virtud de las disposiciones mencionadas en la tercera cuestión prejudicial, el encargado del tratamiento tampoco está obligado a verificar previamente el contenido de los datos sometidos a las operaciones de tratamiento.

123.

En cuanto a la cuarta cuestión prejudicial, esta trata de determinar si Russmedia debería haber adoptado medidas de seguridad para impedir o restringir la copia o redistribución del contenido de los anuncios que contienen datos personales. Esta cuestión se refiere a la interpretación de los artículos 5, apartado 1, letras b) y f), 24 y 25 del RGPD. También estas disposiciones versan sobre las obligaciones que no incumben al encargado del tratamiento, sino al responsable del tratamiento.

124.

Dicho esto, el artículo 32 del RGPD especifica cuáles son las obligaciones del responsable y, en su caso, del encargado del tratamiento en relación con la seguridad de este. ( 56 )

125.

Más concretamente, el artículo 32, apartado 1, del RGPD dispone que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento, teniendo en cuenta tanto el estado de la técnica y los costes de aplicación como la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos. Del mismo modo, el artículo 32, apartado 2, de dicho Reglamento preceptúa que, al evaluar la adecuación del nivel de seguridad, se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos.

126.

En la medida en que el artículo 32, apartado 2, del RGPD se refiere a las obligaciones del encargado del tratamiento, esta disposición presupone que está autorizado y es lícito el tratamiento de datos que se lleve a cabo atendiendo a las instrucciones del responsable del tratamiento. No se puede obligar al encargado del tratamiento a que controle los actos del responsable del tratamiento por cuya cuenta trata los datos. En cambio, dicho encargado del tratamiento debe tomar medidas para garantizar la seguridad del tratamiento de datos personales frente a injerencias de terceros. En efecto, el artículo 32, apartado 1, del citado Reglamento concreta, en esencia, los principios de integridad y confidencialidad enunciados en el artículo 5, apartado 1, letra f), de este. ( 57 ) De conformidad con estos principios, los datos deben ser tratados por el responsable del tratamiento o por cuenta de este de modo que se garantice un nivel de seguridad adecuado de esos datos incluyendo, en particular, la protección contra el tratamiento no autorizado o ilícito de estos y contra su pérdida.

127.

Si, de conformidad con los términos y condiciones de uso de un mercado en línea, los anuncios publicados en ese mercado pueden ser reproducidos por los operadores de otros sitios nombrados en él y, por ende, conocidos de antemano por los usuarios anunciantes, el encargado del tratamiento debe aplicar medidas que le permitan propiciar la retirada de los anuncios suprimidos de su propia plataforma. En efecto, podría suceder que el tratamiento no fuera lícito o dejara de serlo, en cuyo caso la plataforma utilizada para la redistribución de un anuncio debería ser capaz de lograr que también sus socios comerciales pusieran fin a una infracción del RGPD. Tal resultado es coherente con el que se deriva del cumplimiento del requisito establecido en el artículo 14, apartado 1, letra b), de la Directiva 2000/31 por un prestador de un servicio de alojamiento de datos. ( 58 )

128.

En cambio, contrariamente a lo que parece contemplar el órgano jurisdiccional remitente en la cuarta cuestión prejudicial, no me parece que un encargado del tratamiento tenga la obligación de impedir o restringir la copia o la redistribución de anuncios que contengan datos personales. No corresponde al encargado del tratamiento determinar quién puede tener acceso a ellos y de qué manera.

129.

Las obligaciones y responsabilidades del operador de un mercado en línea adquieren mayor relevancia cuando se trata del tratamiento de datos de los usuarios anunciantes que crean una cuenta en dicho operador. En el marco de esta operación de tratamiento, el operador es el responsable del tratamiento y los artículos 24 y 25 del RGPD le son plenamente aplicables. ( 59 )

130.

El artículo 24 del RGPD impone al responsable del tratamiento la obligación general de aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con dicho Reglamento. El artículo 25 del citado Reglamento obliga al responsable del tratamiento a aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, las medidas técnicas y organizativas apropiadas concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del mismo Reglamento y proteger los derechos de los interesados.

131.

Como se desprende de los artículos 24 y 25 del RGPD, las medidas en cuestión deben atender a los riesgos específicos del contexto en el que se traten los datos personales. Si bien es cierto que la apreciación relativa a la identificación de los riesgos específicos y la determinación de los medios apropiados debe dejarse en manos del órgano jurisdiccional remitente, que conoce todos los elementos fácticos atinentes a los criterios que deben tenerse en cuenta a la luz de dichas disposiciones, quisiera añadir, no obstante, las siguientes precisiones.

132.

Como se indica en el considerando 75 del RGPD, el tratamiento de datos puede entrañar riesgos para los derechos y libertades de las personas físicas, en particular cuando, entre otros supuestos, pueda dar lugar a una usurpación de identidad y en los casos en los que se impida a los interesados ejercer el control sobre sus datos personales. En general, una identidad se usurpa con el objetivo de cometer actos fraudulentos en perjuicio del interesado o de terceros. Además, en cuanto atañe a las plataformas en línea, su uso irresponsable puede dar lugar a una vulneración de los derechos de las personas físicas y la perspectiva, desde la óptica del infractor, de poder actuar con total impunidad agrava estos riesgos.

133.

En consecuencia, si el responsable del tratamiento gestiona un mercado en línea al que tienen acceso los usuarios anunciantes que, al utilizarlo, pueden suplantar la identidad de otra persona con fines fraudulentos, debe aplicar medidas que le permitan mitigar este riesgo. Como exige el artículo 25 del RGPD, para cumplir los requisitos del RGPD y proteger los derechos del interesado, el responsable del tratamiento debe tener en cuenta este riesgo tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento.

134.

En estas circunstancias, el operador de un mercado en línea debe, a mi juicio, tomar medidas técnicas u organizativas que le permitan verificar la identidad de los usuarios anunciantes. En efecto, tal verificación, por una parte, limitaría el riesgo de que los datos personales fueran tratados de manera ilícita o desleal en relación con el interesado y, por otra, permitiría luchar contra el uso irresponsable de ese mercado en línea, ya que mermaría la sensación de impunidad de los usuarios anónimos.

135.

Debo señalar que el postulado del uso de Internet bajo el anonimato no excluye la verificación de la identidad de los usuarios anunciantes. Los datos de un usuario anunciante no pueden ser accesibles para cualquier usuario de una plataforma. Únicamente el responsable del tratamiento puede verificarlos y conservarlos para poder cumplir con sus obligaciones en virtud del RGPD. A efectos de la verificación, el operador puede exigir que se le comunique un número de teléfono y utilizarlo para confirmar el registro. Tal solución no es inusual en las plataformas en línea.

136.

Es cierto que tal medida no permite erradicar por completo el riesgo de usurpación de identidad. Sin embargo, el RGPD se limita a obligar al responsable del tratamiento a tomar medidas técnicas y organizativas destinadas a evitar, en la medida de lo posible, cualquier violación de la seguridad de los datos personales. ( 60 ) Por consiguiente, no se trata de una obligación de resultado, sino de una obligación de medios. En cualquier caso, de la resolución de remisión se infiere que Russmedia no aplicó ninguna medida que le permitiera comprobar la identidad del autor del anuncio objeto del litigio en el momento del registro o de la publicación de dicho anuncio.

137.

En estas circunstancias, propongo responder a las cuestiones prejudiciales segunda a cuarta que los artículos 5, apartado 1, letra f), 6, apartado 1, letra a), 7, 24 y 25 del RGPD deben interpretarse en el sentido de que un prestador de servicios de la sociedad de la información cuya actividad consiste en alojar en un sitio de Internet anuncios gratuitos o de pago a petición de sus usuarios actúa como encargado del tratamiento por lo que respecta a los datos personales contenidos en los anuncios publicados en su mercado en línea. En este contexto, no está obligado a verificar el contenido de los anuncios publicados ni a aplicar medidas de seguridad que puedan impedir o limitar la copia y redistribución del contenido de los anuncios publicados a través de sus servicios. Sin embargo, debe aplicar medidas organizativas y técnicas apropiadas para garantizar la seguridad del tratamiento frente a terceros. En cambio, tal prestador de servicios actúa como responsable del tratamiento en lo relativo a los datos personales de los usuarios anunciantes registrados en su sitio de Internet. En este contexto, está obligado a verificar la identidad de estos.

138.

A continuación, en aras de la exhaustividad y en caso de que el Tribunal de Justicia no compartiera mi análisis, examinaré brevemente las obligaciones y responsabilidades del operador de un mercado en línea considerado responsable del tratamiento, en el sentido del artículo 4, punto 7, del RGPD, en lo relativo a los datos personales contenidos en los anuncios publicados en su mercado en línea. En efecto, como ya he observado, ( 61 ) las cuestiones prejudiciales segunda a cuarta parecen basarse en la premisa de que Russmedia actúa como «responsable del tratamiento».

139.

Con carácter preliminar, he de observar que el hecho de que el operador de un mercado en línea sea un responsable del tratamiento no implica necesariamente que un usuario anunciante de ese mercado en línea no pueda ser considerado también responsable del tratamiento. ( 62 )

140.

En efecto, el RGPD reconoce la existencia de una responsabilidad compartida que no se traduce necesariamente en una responsabilidad equivalente de los distintos operadores afectados por el tratamiento de datos personales. Por el contrario, estos operadores pueden participar en distintas fases del tratamiento y en distinto grado, por lo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto.

141.

Sin embargo, me centraré en las obligaciones y responsabilidades del operador de un mercado en línea en la medida en que, en el presente asunto, se examina la responsabilidad que se deriva para tal operador del tratamiento de los datos personales contenidos en un anuncio publicado en su mercado en línea.

142.

Las cuestiones prejudiciales segunda y tercera tienen por objeto determinar si el operador de un sitio de Internet está obligado a verificar con carácter previo a la publicación de un anuncio, respectivamente, la identidad de la persona que publica el anuncio y de la persona a la que se refiere ese anuncio y el contenido de los anuncios enviados por los usuarios.

143.

A este respecto, no estoy convencido de que el operador de un mercado en línea esté obligado a cerciorarse de que el usuario del anuncio es efectivamente el titular de los datos contenidos en un anuncio. En efecto, un mercado en línea también puede ser utilizado por un usuario anunciante para publicar un anuncio relativo a otra persona.

144.

Sin embargo, el responsable del tratamiento debe comprobar si el tratamiento de los datos personales se basa en el consentimiento del interesado o en otra base legítima establecida por la ley. Tal obligación le viene impuesta por los artículos 5, apartado 1, letra a), 6, apartado 1, y 7, apartado 1, del RGPD.

145.

Así pues, si el operador de un mercado en línea actúa en calidad de responsable del tratamiento de datos, debe cerciorarse de que la persona cuyos datos figuran en un anuncio ha dado su consentimiento al tratamiento. Lógicamente, también debe supervisar el contenido de todo anuncio remitido por un usuario anunciante con el fin de comprobar si contiene datos personales.

146.

De conformidad con el principio de lealtad a que se refiere el artículo 5, apartado 1, letra a), del RGPD, el responsable del tratamiento también debe garantizar que los datos sean tratados de manera leal en relación con el interesado. Además, en virtud de los artículos 24 y 25 de dicho Reglamento, también debe aplicar medidas técnicas y organizativas para garantizar que el tratamiento se lleve a cabo de conformidad con ese mismo Reglamento. Al hacerlo, debe tener en cuenta los riesgos específicos presentes en el contexto en el que se traten los datos.

147.

El tratamiento de datos personales públicamente accesibles en un entorno en línea puede entrañar riesgos para los derechos y libertades de las personas físicas y, en particular, perjuicios materiales o inmateriales.

148.

Cuando el operador de un mercado en línea es responsable del tratamiento de los datos contenidos en los anuncios publicados en ese mercado, debe comprobar los anuncios con carácter previo a su publicación en línea, verificar si el tratamiento de esos datos se basa en el consentimiento del interesado o en otra base legítima prevista por la normativa e introducir medidas contra el tratamiento perjudicial para los interesados. Si no respeta estos principios, puede ser considerado responsable de las infracciones del RGPD de conformidad con el artículo 82 de este.

149.

La cuarta cuestión prejudicial tiene por objeto elucidar si el operador de un mercado en línea debe tomar medidas de seguridad que puedan impedir o limitar la copia y redistribución del contenido de los anuncios publicados a través de sus servicios.

150.

Si, habida cuenta del contexto en el que se lleva a cabo el tratamiento, existe la posibilidad de que los anuncios sean reproducidos por otros sitios de Internet y de que los datos personales sean tratados ulteriormente de manera incompatible con los fines para los que fueron recogidos, el responsable del tratamiento podría contemplar la aplicación de tales medidas, que deben ser apropiadas. Pues bien, no estoy seguro de que el operador de un mercado en línea cuyo sentido económico, desde la perspectiva tanto del operador como de los usuarios anunciantes, radica en que el público pueda acceder a los anuncios publicados en ese mercado deba estar obligado a limitar la redistribución de esos anuncios. Además, normalmente, el objetivo de publicar contenidos en línea es proporcionar a todos los internautas acceso a ellos, lo que implica una forma de redistribución. En cualquier caso, habida cuenta de las consideraciones que he formulado en el punto 148 de las presentes conclusiones, el anuncio objeto del litigio no debería haberse publicado en el mercado en línea de Russmedia sin el consentimiento de la interesada.

151.

Sin perjuicio de las observaciones adicionales que se acaban de exponer en relación con las obligaciones y responsabilidades de un responsable del tratamiento, mantengo mi postura de que el operador de un mercado en línea es un encargado del tratamiento de los datos personales contenidos en los anuncios publicados en dicho mercado. ( 63 ) En estas circunstancias, queda por examinar la articulación entre la Directiva 2000/31 y el RGPD.

152.

Las cuestiones prejudiciales segunda y tercera se refieren, en particular, al artículo 2, apartado 4, del RGPD, que se refiere a la relación entre este Reglamento y la Directiva 2000/31. Además, aluden tanto a las disposiciones de dicho Reglamento por las que se determinan las obligaciones y responsabilidades del responsable del tratamiento como al artículo 15 de la citada Directiva. Parece, por consiguiente, que estas cuestiones presuponen la aplicación simultánea del RGPD y de la citada Directiva.

153.

Sin embargo, antes de abordar tal aplicación simultánea de estos dos instrumentos del Derecho de la Unión (sección 2), debo señalar que existe cierta tensión entre el supuesto a que se refiere la primera cuestión prejudicial y el evocado en las cuestiones prejudiciales segunda a cuarta (apartado 1).

154.

A modo de recordatorio, de mi análisis resulta que Russmedia actuó como encargado del tratamiento en lo relativo a los datos personales contenidos en los anuncios publicados en su mercado en línea. ( 64 ) En cambio, la hipótesis de trabajo del órgano jurisdiccional remitente es que dicha sociedad actuaba como responsable del tratamiento. En estas circunstancias, la resolución de remisión plantea la cuestión de si el operador de un mercado en línea puede desempeñar una doble función, a saber, la de prestador neutro de servicios de alojamiento de los datos almacenados a petición de los usuarios de su servicio, en el sentido del artículo 14, apartado 1, de la Directiva 2000/31, y la de responsable del tratamiento de los datos personales contenidos en dicha información. En efecto, por una parte, la primera cuestión tiene por objeto determinar si Russmedia es un prestador de servicios intermediario en el sentido de la sección 4 del capítulo II de esta Directiva. Por otra parte, las cuestiones prejudiciales segunda a cuarta parecen partir de la premisa de que la referida sociedad debe ser calificada de «responsable del tratamiento» en el sentido del RGPD.

155.

A este respecto, soy consciente de que, en su jurisprudencia, el Tribunal de Justicia no ha descartado la posibilidad de que un responsable del tratamiento de datos personales en el sentido del RGPD pueda desempeñar un papel neutro en relación con la información que contenga tales datos y acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. Esta observación también ha sido formulada por diversos autores de la doctrina respecto a la jurisprudencia nacional. ( 65 )

156.

Ciertamente, en un primer tiempo, el Tribunal de Justicia consideró, en la sentencia dictada en el asunto Google Spain y Google, que el gestor de un motor de búsqueda es responsable del tratamiento en lo relativo a sus actividades de localización, indexación y almacenamiento de los datos personales contenidos en la información publicada o incluida en Internet por terceros. ( 66 ) En un segundo tiempo, en la sentencia recaída en el asunto Google France y Google, el Tribunal de Justicia abordó la cuestión de si el operador de ese mismo motor de búsqueda podía acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. ( 67 ) Sin embargo, esta segunda sentencia no se refería a la gestión de dicho motor de búsqueda, sino a un servicio de referenciación. Además, en dicha sentencia, el Tribunal de Justicia dejó en manos del órgano jurisdiccional nacional la tarea de apreciar si el papel desempeñado por dicho operador correspondía al de un prestador de servicios intermediario en el sentido de la citada disposición. ( 68 )

157.

Lo más importante es que, por una parte, como he indicado, ( 69 ) un prestador de servicios intermediario, en el sentido que el legislador quiso dar a esta expresión en la sección 4 del capítulo II de la Directiva 2000/31, no puede desempeñar un papel que le otorgue el conocimiento o el control de los datos almacenados y debe, por consiguiente, limitarse a una prestación neutra de su servicio mediante un tratamiento meramente técnico. Por otra parte, el papel de responsable del tratamiento implica determinar la finalidad y los medios del tratamiento de los datos personales y, en particular, influir en la cuestión de si se someten o no unos datos a operaciones de tratamiento como el registro, la modificación o la difusión y, en su caso, en la determinación de dichos datos. ( 70 ) El ejercicio de tal influencia es incompatible con el papel neutro que debe conservar el prestador de un servicio de la sociedad de la información respecto de los datos almacenados a petición de los usuarios para poder acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. Del mismo modo, como he explicado anteriormente, ( 71 ) el RGPD impone al responsable del tratamiento una serie de obligaciones y responsabilidades que le exigen actuar de manera proactiva. En esencia, para cumplir los principios relativos al tratamiento de datos personales, el responsable del tratamiento debe tener conocimiento de los datos en cuestión y ejercer un control sobre ellos. Este control tampoco es conciliable con el papel neutro de tal prestador de servicios.

158.

Así pues, si, por una parte, un servicio de alojamiento consiste en el almacenamiento de datos que, desde el punto de vista del RGPD, constituyen datos personales y, por otra, el prestador de ese servicio es considerado responsable del tratamiento en el sentido de dicho Reglamento, entonces el papel desempeñado por él no se limita al almacenamiento neutro de tales datos. En consecuencia, el prestador de tal servicio asume un papel activo en lo relativo a dichos datos y queda excluido del beneficio de la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

159.

La tensión existente entre el supuesto a que se refiere la primera cuestión prejudicial y el evocado en las cuestiones prejudiciales segunda a cuarta corrobora la interpretación del RGPD según la cual el operador de un mercado en línea no actúa en calidad de responsable del tratamiento en relación con los datos personales contenidos en los anuncios que almacena a petición de los usuarios anunciantes, sino en calidad de encargado del tratamiento de dichos datos. ( 72 )

160.

En aras de la exhaustividad, señalaré que no puedo desechar la idea de que el legislador de la Unión decidiera no excluir la posibilidad de que un prestador de servicios de alojamiento que actúe como responsable del tratamiento de datos pueda acogerse a la exención de responsabilidad contemplada en el Reglamento de Servicios Digitales. En efecto, aunque dicho Reglamento suprimió los artículos 12 a 15 de la Directiva 2000/31, ( 73 ) estas disposiciones fueron reproducidas en él, tal como las interpreta el Tribunal de Justicia. El citado Reglamento añade en su artículo 7 que «no se considerará que los prestadores de servicios intermediarios no reúnen las condiciones para acogerse a las exenciones de responsabilidad […] por la única razón de que realicen, de buena fe y de modo diligente, investigaciones por iniciativa propia de forma voluntaria […] o [adopten] las medidas necesarias para cumplir los requisitos del Derecho de la Unión y del Derecho nacional en cumplimiento del Derecho de la Unión». ( 74 ) La primera parte de esta disposición referida a las «medidas adoptadas de forma voluntaria por un prestador de servicios» presenta elementos comunes con la jurisprudencia del Tribunal de Justicia ya desarrollada en el contexto de la Directiva 2000/31. ( 75 ) La segunda parte, relativa a las «medidas adoptadas para cumplir los requisitos del Derecho de la Unión», añadida por este mismo Reglamento, permite al prestador de servicios de alojamiento de datos cumplir las obligaciones que le impone el RGPD y conservar el papel de prestador de servicios intermediario neutro. Sin embargo, la Directiva 2000/31 no contiene precepto alguno en este sentido y no procede introducirlo mediante la interpretación de dicha Directiva.

161.

Queda por determinar si un agente que participa en el tratamiento de datos personales como encargado del tratamiento, que puede incurrir en responsabilidad en relación con el tratamiento de dichos datos por infracción del RGPD, puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

162.

El problema planteado por la resolución de remisión deriva del hecho de que la información almacenada a petición de un destinatario del servicio contenía datos personales que habían sido tratados infringiendo el RGPD. De ahí la cuestión que enfrenta a las partes en el procedimiento principal y que, desde hace mucho tiempo, es objeto de debate entre los académicos: ( 76 ) ¿puede un agente que participa en el tratamiento de datos personales, al que se le puede exigir responsabilidad por infracción del RGPD, acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31?

163.

A este respecto, debo observar que, según mi análisis de estos dos instrumentos del Derecho de la Unión, el prestador de un servicio de la sociedad de la información que es responsable del tratamiento de los datos personales contenidos en los datos almacenados a petición de los usuarios de ese servicio no puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. ( 77 ) En consecuencia, el siguiente análisis solo tiene por objeto determinar si un prestador de servicios que actúa como encargado del tratamiento de tales datos puede acogerse a dicha exención. Quisiera recordar que mi análisis de las disposiciones del RGPD me conduce a proponer al Tribunal de Justicia que considere que Russmedia actuó como encargado del tratamiento. ( 78 )

164.

Además, cabe señalar que el órgano jurisdiccional remitente no precisa si, en el procedimiento principal, Russmedia puede ser considerado responsable de una infracción del RGPD en virtud del artículo 82 de dicho Reglamento o en virtud de las normas establecidas por el Derecho nacional en materia de responsabilidad civil. En efecto, la infracción de una norma relativa a la protección de datos personales puede implicar simultáneamente la infracción de otras normas, como las relativas a la protección de los consumidores ( 79 ) y a los derechos de la persona, y el legislador de la Unión no pretendió proceder a una armonización exhaustiva de las vías de recurso disponibles en caso de infracción de las disposiciones del RGPD. ( 80 )

165.

En cualquier caso, por lo que respecta a la responsabilidad civil, tanto la Directiva 2000/31 como el RGPD contienen disposiciones que orientan sobre la articulación entre estos dos actos del Derecho de la Unión.

166.

El artículo 1 de la Directiva 2000/31, que lleva por epígrafe «Objetivo y ámbito de aplicación», establece en su apartado 5, letra b), que la Directiva no se aplicará a cuestiones relacionadas con servicios de la sociedad de la información incluidas en las normas del Derecho de la Unión aplicables en materia de datos personales. Más concretamente, esta disposición se refiere a las Directivas 95/46 y 97/66, que han sido sustituidas, respectivamente, por el RGPD ( 81 ) y por la Directiva 2002/58/CE. ( 82 )

167.

Además, el considerando 14 de la Directiva 2000/31, que versa sobre la problemática contemplada en el artículo 1, apartado 5, de esta, enuncia que la protección de las personas físicas con respecto al tratamiento de datos personales se rige únicamente por las Directivas 95/46 y 97/66, «que son enteramente aplicables a los servicios de la sociedad de la información. Dichas Directivas establecen ya un marco jurídico [de la Unión] en materia de datos personales y, por tanto, no es necesario abordar este aspecto en la [Directiva 2000/31] para garantizar el correcto funcionamiento del mercado interior, en particular la libre circulación de datos personales entre Estados miembros. La aplicación y ejecución de [esta última] debe respetar plenamente los principios relativos a la protección de datos personales».

168.

El Tribunal de Justicia ya ha examinado la interpretación del artículo 1, apartado 5, letra b), de la Directiva 2000/31.

169.

En efecto, en un primer tiempo, en la sentencia dictada en el asunto Promusicae, ( 83 ) se planteó la cuestión de si el Derecho de la Unión exige a los Estados miembros a imponer el deber de comunicar datos personales en el marco de un procedimiento civil con objeto de garantizar una protección efectiva de los derechos de autor. En dicho asunto, el tribunal remitente se refirió a varias directivas que, en su opinión, podrían haber constituido la base jurídica de tal obligación.

170.

A este respecto, el Tribunal de Justicia consideró que del artículo 1, apartado 5, letra b), de la Directiva 2000/31 resulta que tal obligación, aunque estuviera prevista por dicha Directiva, no puede ir en perjuicio de las exigencias relativas a la protección de los datos personales. ( 84 ) Por consiguiente, parece que el Tribunal de Justicia contempló la aplicación simultánea de dicha Directiva y de los instrumentos del Derecho de la Unión relativos a la protección de datos personales.

171.

En un segundo tiempo, el Tribunal de Justicia abordó, en la sentencia dictada en el asunto La Quadrature du Net y otros, ( 85 ) la cuestión de si la Directiva 2000/31 se opone a que una legislación nacional que impone a los proveedores de acceso a los servicios de comunicación al público en línea y a los proveedores de servicios de almacenamiento la obligación de proceder a la conservación generalizada e indiferenciada de los datos de carácter personal correspondientes a estos servicios. El órgano jurisdiccional remitente consideraba que esta cuestión se rige por la citada Directiva y que su artículo 15 no establece, por sí solo, una prohibición de principio de conservar los datos relativos a la creación de contenido, a la que únicamente cabría establecer excepciones. ( 86 )

172.

El Tribunal de Justicia declaró que la Directiva 2000/31 no es aplicable en materia de protección de la confidencialidad de las comunicaciones y de las personas físicas en lo que respecta al tratamiento de los datos de carácter personal en el marco de los servicios de la sociedad de la información, puesto que dicha protección está regulada, según el caso, por la Directiva 2002/58 o por el RGPD. ( 87 )

173.

El carácter tajante de esta respuesta se debe al contexto en el que se dio.

174.

En efecto, por una parte, no se puede pasar por alto que el considerando 15 de la Directiva 2000/31 se refiere específicamente a la confidencialidad de las comunicaciones y enuncia que, de conformidad con la Directiva 97/66, mencionada en el artículo 1, apartado 5, letra b), de la Directiva 2000/31, «los Estados miembros deben prohibir cualquier forma de interceptar o vigilar esas comunicaciones por parte de cualquier persona que no sea su remitente o su destinatario salvo que esté legalmente autorizada». La Directiva 2002/58, que sustituyó a la Directiva 97/66, confirma esta prohibición y establece las condiciones en las que los Estados miembros pueden establecer excepciones a lo dispuesto en ella. Del mismo modo, en el contexto del RGPD, el margen de maniobra de que disponen los Estados miembros por lo que respecta al establecimiento de excepciones en materia de protección de datos personales está limitado por el artículo 23 de dicho Reglamento.

175.

Por otra parte, para alcanzar la conclusión recordada en el punto 171 de las presentes conclusiones, el Tribunal de Justicia declaró que la protección de la confidencialidad de las comunicaciones y de las personas físicas en lo que respecta al tratamiento de datos personales se rige únicamente por la Directiva 2002/58 o por el RGPD, «habida cuenta de que la protección que tiene por objeto garantizar la Directiva 2000/31 no puede, en cualquier caso, ir en perjuicio de las exigencias resultantes de la Directiva 2002/58 y del [RGPD]». ( 88 )

176.

Así, por un lado, la jurisprudencia relativa al artículo 1, apartado 5, letra b), de la Directiva 2000/31 sugiere que dicha Directiva no se aplica a las cuestiones que son objeto de una regulación específica en virtud de la Directiva 2002/58 y del RGPD. Por otro lado, la Directiva 2000/31 y las normas del Derecho de la Unión aplicables en materia de datos personales se aplican de manera simultánea en lo tocante a cualquier otra cuestión, pero las disposiciones de dicha Directiva no pueden ir en perjuicio de las exigencias atinentes a la protección de tales datos.

177.

La interpretación dada en el punto 176 de las presentes conclusiones queda corroborada por el artículo 2, apartado 4, del RGPD, que establece que dicho Reglamento se entenderá «sin perjuicio» de la aplicación de la Directiva 2000/31, en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15. ( 89 )

178.

Si bien en la terminología del Derecho de la Unión la constatación de que un instrumento jurídico o una de sus disposiciones se entiende «sin perjuicio» de la aplicación de otro instrumento puede conducir a soluciones diferentes, el RGPD precisa que este se aplica sin perjuicio, en particular, de las disposiciones específicas de la Directiva 2000/31. Por consiguiente, el legislador de la Unión quiso enfatizar que dicho Reglamento no limita el ámbito de aplicación de las disposiciones específicas de la citada Directiva. Así pues, no puede considerarse que el RGPD prevalezca sobre la Directiva 2000/31 por haber sido adoptado con posterioridad a esta Directiva.

179.

Habida cuenta de todas las consideraciones anteriores, tanto la Directiva 2000/31, tal como la interpreta el Tribunal de Justicia, ( 90 ) como el RGPD ( 91 ) están estructurados de tal forma que permiten su aplicación simultánea a cuestiones no reguladas de manera específica en el marco de dicho Reglamento. Por consiguiente, queda por determinar si el RGPD contiene una disposición que cumpla una función comparable a la del artículo 14, apartado 1, de la citada Directiva.

180.

A este respecto, el artículo 82, apartado 3, del RGPD establece que el responsable o el encargado del tratamiento, según proceda, estará exento de responsabilidad por los daños y perjuicios ocasionados en caso de que la operación de tratamiento no cumpla lo dispuesto por dicho Reglamento «si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios». En caso de violación de la seguridad de los datos personales por parte de un «tercero», en el sentido del artículo 4, punto 10, de dicho Reglamento, el responsable del tratamiento puede quedar exonerado de responsabilidad, al amparo del artículo 82, apartado 3, del RGPD, si demuestra que no existe relación de causalidad entre su eventual incumplimiento de la obligación de proteger los datos y los daños y perjuicios sufridos por la persona física. ( 92 )

181.

Considero que el artículo 82, apartado 3, del RGPD no constituye una disposición de exención de responsabilidad que cumpla una función comparable a la del artículo 14, apartado 1, de la Directiva 2000/31.

182.

En efecto, el artículo 14, apartado 1, de la Directiva 2000/31 solo se aplica si el prestador de servicios intermediario puede ser considerado responsable, en virtud de las normas que le sean aplicables, de los datos almacenados a petición de los usuarios de su servicio intermediario. Por consiguiente, la cuestión de la aplicabilidad de esta disposición solo se plantea si se cumplen los requisitos establecidos por la normativa aplicable para considerar a dicho prestador de servicios responsable de los datos almacenados. A este respecto, los requisitos del derecho a indemnización contemplado en el artículo 82 del RGPD se determinan en los apartados 1 a 3 de este artículo. El artículo 82, apartado 3, de dicho Reglamento solo establece un requisito relativo a esta responsabilidad. ( 93 ) En efecto, el nacimiento de la responsabilidad del responsable del tratamiento en virtud del artículo 82 del citado Reglamento está supeditado a la existencia de culpa por parte de este, la cual se presume a menos que este demuestre que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios, en el sentido del apartado 3. ( 94 )

183.

Un encargado del tratamiento que puede incurrir en responsabilidad en virtud del artículo 82 del RGPD no está, por consiguiente, excluido del beneficio de la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

184.

No obstante, no hay que olvidar que el encargado del tratamiento solo puede incurrir en responsabilidad en virtud del artículo 82, apartado 2, del RGPD cuando no haya cumplido con las obligaciones establecidas en el Reglamento que incumben específicamente al encargado del tratamiento o cuando este haya actuado al margen o en contra de las instrucciones legales del responsable. Por consiguiente, las obligaciones y responsabilidades del operador de un mercado en línea que actúa como encargado del tratamiento por lo que respecta a los datos contenidos en los anuncios publicados en su plataforma están vinculadas principalmente al artículo 32 del citado Reglamento. ( 95 )

185.

Dicho esto, como ya he indicado, no está claro si, en el procedimiento principal, Russmedia puede incurrir en responsabilidad por infracción del RGPD en virtud del artículo 82 de dicho Reglamento o de las disposiciones nacionales. Si se le puede exigir responsabilidad por infracción de dicho Reglamento sobre la base de las disposiciones nacionales pertinentes (de modo que no se aplicaría el artículo 82, apartado 3, del mismo Reglamento), existen aún menos motivos para excluir a la entidad en cuestión del beneficio de la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31.

186.

Para concluir, considero que un agente que participa en el tratamiento de datos personales como encargado del tratamiento, que puede incurrir en responsabilidad por infracción del RGPD, puede acogerse a la exención de responsabilidad contemplada en el artículo 14, apartado 1, de la Directiva 2000/31. Por consiguiente, mi conclusión sobre la articulación entre estos dos instrumentos del Derecho de la Unión no modifica las respuestas que propongo a las cuestiones prejudiciales.

187.

Habida cuenta de todas las consideraciones anteriores, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por la Curtea de Apel Cluj (Tribunal Superior de Cluj, Rumanía) del siguiente modo: