I.

Bevezetés

1.

A jelen ügyben előzetes döntéshozatalra előterjesztett kérdések a 2000/31/EK irányelv ( 2 ) és az (EU) 2016/679 rendelet ( 3 ) rendelkezéseire vonatkoznak.

2.

E kérdések egy természetes személy és egy online piac üzemeltetője közötti jogvitából erednek, amely online piacon e személy hozzájárulása nélkül olyan hirdetést tettek közzé, amelyben az szerepelt, hogy e személy szexuális szolgáltatásokat nyújt. Ezen ügy sajátossága abban rejlik, hogy a szóban forgó hirdetés személyes adatokat tartalmazott.

3.

A GDPR‑ra vonatkozó kérdéseivel az előterjesztő bíróság e tekintetben egyrészt azt kívánja meghatározni, hogy egy online piacnak az alapeljárásban szereplőhöz hasonló üzemeltetője megsértette‑e az e rendeletből eredő kötelezettségeit, másrészt pedig azt, hogy az ilyen üzemeltető a 2000/31 irányelv 14. cikkének (1) bekezdése alapján mentesülhet‑e a felelősség alól az ezen online piacon közzétett hirdetés tekintetében. A jelen előzetes döntéshozatal iránti kérelem tehát alkalmat ad a Bíróságnak arra, hogy állást foglaljon az e két uniós jogi aktussal kialakított rendszerek közötti kapcsolatról.

II.

Jogi háttér

A.

Az uniós jog

1.

A 2000/31 irányelv

4.

A 2000/31 irányelvnek „Az irányelv célja és alkalmazási köre” című 1. cikkének (5) bekezdése többek között úgy rendelkezik, hogy az irányelv „nem alkalmazható […] az információs társadalommal összefüggő szolgáltatásokkal kapcsolatos, a 95/46/EK[ ( 4 )] és a 97/66/EK irányelvben[ ( 5 )] szabályozott kérdésekre”.

5.

Az irányelv „Elvek” című II. fejezetének „A közvetítő szolgáltatók felelőssége” című 4. szakaszában szereplő 12., 13. és 14. cikke az információs társadalommal összefüggő szolgáltatást nyújtó olyan szolgáltatóra vonatkozik, amely egyszerű továbbítási tevékenységet, gyorsítótárolóban történő rögzítést (caching), illetve tárhelyszolgáltatási tevékenységet végez. E rendelkezések meghatározzák azokat a feltételeket is, amelyek mellett az ilyen szolgáltatók mentesülnek a szolgáltatásaik felhasználóitól származó információkért való felelősség alól.

6.

Az említett irányelv „Tárhelyszolgáltatás” című 14. cikkének (1) bekezdése értelmében:

7.

Ugyanezen irányelvnek „Az általános nyomon követési kötelezettség hiánya” című 15. cikke a következőket írja elő:

2.

A GDPR

8.

A GDPR „Tárgyi hatály” című 2. cikkének (4) bekezdése így rendelkezik:

9.

E rendelet „Fogalommeghatározások” című 4. cikkének a szövege a következő:

10.

Az említett rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:

11.

Ugyanezen rendeletnek „Az adatkezelés jogszerűsége” című 6. cikke az (1) bekezdésében a következőket írja elő:

12.

A GDPR „A hozzájárulás feltételei” című 7. cikkének (1) bekezdése a következőképpen rendelkezik:

13.

E rendelet 24–26. cikke a rendelet „Az adatkezelő és az adatfeldolgozó” című IV. fejezetének „Általános kötelezettségek” című 1. szakaszában szerepel.

14.

Az említett rendeletnek „Az adatkezelő feladatai” című 24. cikke az (1) bekezdésében a következőket írja elő:

15.

Ugyanezen rendelet „Beépített és alapértelmezett adatvédelem” című 25. cikkének (1) és (2) bekezdése kimondja:

16.

A GDPR „Közös adatkezelők” című 26. cikkének (1) bekezdése a következőket rögzíti:

B.

A román jog

17.

A 2006. május 4‑i Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény módosításáról és kiegészítéséről szóló 121/2006. sz. törvény) ( 6 ) által módosított, 2002. június 7‑i Legea nr. 365/2002 privind comerțul electronic (az elektronikus kereskedelemről szóló 365/2002. sz. törvény) ( 7 ) (a továbbiakban: 365/2002. sz. törvény) 11. cikke a következőket írja elő:

18.

E törvénynek a „Tartós információtárolás, tárhelyszolgáltatás” című 14. cikke a következőképpen rendelkezik:

III.

Az alapeljárás alapjául szolgáló tényállás, az előzetes döntéshozatalra előterjesztett kérdések és a Bíróság előtti eljárás

19.

A Russmedia Digital SRL (a továbbiakban: Russmedia) román jog szerinti társaság a tulajdonosa a www.publi24.ro online piacnak, amelyen ingyenesen vagy fizetés ellenében közzétehetők többek között különböző romániai településekről származó áruk értékesítésére vagy szolgáltatások nyújtására vonatkozó hirdetések.

20.

2018. augusztus 1‑jén egy azonosítatlan személy ezen az online piacon az alapeljárás felperesére nézve lejárató és sértő tartalmú hirdetést tett közzé, amennyiben abban az szerepelt, hogy az az alapeljárás felperese szexuális szolgáltatásokat kínál (a továbbiakban: vitatott hirdetés). E hirdetés tartalmazta az alapeljárás felperesének egy közösségi hálózaton jogszerűen fenntartott fiókjából származó, a hozzájárulása nélkül felhasznált fényképeit, valamint telefonszámát. A hirdetés közzététele előtt nem került sor a hirdetést közzétevő személy személyazonosságának ellenőrzésére. A Russmedia, amellyel az alapeljárás felperese kapcsolatba lépett, az említett hirdetést kevesebb, mint egy órával később eltávolította az online piacáról. Ugyanezen hirdetést azonban – az eredeti forrás feltüntetésével – más reklámtartalmú internetes oldalak is közzétették, amelyeken az még mindig hozzáférhető.

21.

Az alapeljárás felperese, mivel úgy ítélte meg, hogy a vitatott hirdetés sérti a jogait, keresetet indított a Russmedia ellen.

22.

A Judecătoria Cluj‑Napoca (kolozsvári helyi bíróság, Románia) helyt adott e keresetnek, és a Codul civil (polgári törvénykönyv) 253. cikke ( 8 ) alapján arra kötelezte a Russmediát, hogy fizessen meg az alapeljárás felperesének 7000 eurót a képmáshoz fűződő jogának, a becsülethez és jóhírnévhez való jogának, valamint a magánélethez való jogának megsértésével, továbbá a személyes adatok nem megfelelő kezelésével okozott nem vagyoni kár címén. E bíróság ugyanis úgy ítélte meg, hogy a vitatott hirdetés a GDPR alapján a Russmediát terhelő kötelezettségek megsértésének minősül. Az említett bíróság úgy vélte, hogy azzal, hogy a Russmedia engedélyezte e hirdetés közzétételét, majd online terjesztését, súlyosan megsértette az alapeljárás felperesének jogait.

23.

A Tribunalul Specializat Cluj (kolozsvári különös hatáskörű törvényszék, Románia) helyt adott a Russmedia által benyújtott fellebbezésnek, megállapítva, hogy az alapeljárás felperesének keresete nem megalapozott, mivel nem e társaság volt a vitatott hirdetés szerzője. E bíróság úgy ítélte meg, hogy a Russmedia csak a hirdetések tárolására irányuló szolgáltatást nyújtott anélkül, hogy aktívan befolyásolta volna a hirdetések „tartalmát”, és hogy e körülmények között a 365/2002. sz. törvény 14. cikkének (1) bekezdésében előírt, felelősség alóli mentesség alkalmazandó.

24.

A fellebbviteli bíróság szerint ugyanis a Russmedia kevesebb, mint egy órával azt követően, hogy az alapeljárás felperese kapcsolatba lépett vele, eltávolította a hirdetést az online piacáról. E bíróság úgy ítélte meg, hogy a Russmedia mentesül a hivatkozott károkért való felelősség alól, mivel nem e társaság volt az érintett hirdetés szerzője, és a 365/2002. sz. törvény 11. cikkének (3) bekezdésére és 14. cikke (1) bekezdésének b) pontjára tekintettel a hirdetést letiltotta, amint tudomást szerzett arról, hogy az sértheti az alapeljárás felperesének jogait.

25.

Ami az adatkezelő azon kötelezettségét illeti, hogy a hirdetés közzététele előtt ellenőrizze, hogy annak szerzője jogosult‑e az abban szereplő személyes adatok felhasználására, a fellebbviteli bíróság továbbá úgy ítélte meg, hogy a 365/2002. sz. törvény végrehajtási rendelkezéseinek 11. cikke alkalmazandó, amely szerint az információs társadalommal összefüggő szolgáltatásokat nyújtó szolgáltató nem köteles ellenőrizni a tárolt információkat. ( 9 )

26.

Végül a fellebbviteli bíróság úgy ítélte meg, hogy nem róható fel a Russmediának, hogy nem hozott intézkedéseket a vitatott hirdetés online terjesztésének megakadályozása érdekében. Álláspontja szerint a nyújtott szolgáltatás e hirdetés közzétételéből állt, és amint az alapeljárás felperese tájékoztatta a Russmediát, az intézkedéseket hozott az e hirdetéshez való nyilvános hozzáférés megszüntetésére. Következésképpen e bíróság úgy ítélte meg, hogy a jelen ügyben alkalmazni kell a 365/2002. sz. törvényt, amely mentesíti e társaságot a felhasználók által a www.publi24.ro oldalon közzétett hirdetések tartalmával okozott nem vagyoni kárért való felelősség alól.

27.

Az alapeljárás felperese ezen ítélettel szemben felülvizsgálati kérelmet terjesztett elő a Curtea de Apel Clujhoz (kolozsvári ítélőtábla, Románia), a kérdést előterjesztő bírósághoz.

28.

Felülvizsgálati kérelmében az alapeljárás felperese többek között arra hivatkozik, hogy a 365/2002. sz. törvény nem különös törvény a GDPR‑hoz képest, és ezért a fellebbviteli bíróságnak e rendelet rendelkezései szempontjából kellett volna vizsgálnia a Russmedia felelősségét.

29.

Ezenkívül az alapeljárás felperese rámutat arra, hogy a Russmedia szerepe nem korlátozódott arra, hogy az ügyfelek rendelkezésére bocsássa a tárhelyszerverhez való hozzáférés sajátos technikai eszközét. Álláspontja szerint e társaság kezelői szerepet is játszott azáltal, hogy az információk megfelelő kezelése céljából beavatkozott a hirdetések tartalmába. Az említett társaság a szóban forgó honlap üzemeltetőjeként tárolja és kezeli az információ tartalmát. Az adatok kezelése és tárolása, valamint a nyilvánosság számára bizonyos formában történő hozzáférhetővé tétele magában foglalja mind a hirdetésekben szereplő adatok és információk elemzését, mind azok kezelését, mivel ez a nyilvánosság könnyű hozzáférésének biztosításához szükséges, ami e társaság közvetlen részvételét mutatja. Következésképpen a 365/2002. sz. törvény 14. cikke a jelen ügyben nem alkalmazható. Az alapeljárás felperese továbbá úgy véli, hogy az e rendelkezésben foglalt, a felelősség alóli mentesség nem alkalmazható, ha a felelősség más szabályozási jellegű jogi aktusok, például a GDPR alapján áll fenn, amiről véleménye szerint a jelen ügyben szó van.

30.

A kérdést előterjesztő bíróság helyt adott a felülvizsgálati kérelemnek, mivel úgy ítélte meg, hogy a fellebbviteli bíróság nem vizsgálta meg a GDPR rendelkezéseinek a jelen ügy körülményei közötti alkalmazhatóságát, hatályon kívül helyezte a fellebbezés tárgyában hozott ítéletet, és a fellebbezés újbóli elbírálása érdekében folytatta az eljárást.

31.

E tekintetben a kérdést előterjesztő bíróság jelzi, hogy álláspontja szerint az online piacok üzemeltetői nem kötelesek előzetesen ellenőrizni a felhasználók által közzétett hirdetéseket. Rámutat ugyanakkor arra, hogy a L’Oréal és társai ítélet ( 10 ) szerint a 2000/31 irányelv 14. cikkének (1) bekezdésében foglalt, a felelősség alóli mentességre az online piacnak csak olyan üzemeltetője hivatkozhat, aki nem játszik tevőleges szerepet, amely abban áll, hogy segítséget nyújt az eladási ajánlatok megjelenítésének optimalizálása vagy azok elősegítése céljából. Ezenkívül ezen ítéletnek ( 11 ) megfelelően az online piac üzemeltetője nem hivatkozhat e felelősség alóli mentességre, amennyiben tudomása volt azon tényekről vagy körülményekről, amelyek alapján valamely gondosan eljáró gazdasági szereplőnek fel kellett volna ismernie az eladási ajánlat jogszerűtlenségét, és ezek ismeretében nem cselekedett haladéktalanul. E gondolatmenetet követve a Papasavvas ítélet ( 12 ) értelmében egy sajtókiadó társaság, amely olyan weboldallal rendelkezik, amelyen elektronikus formátumban tesznek közzé valamely újságot, sem hivatkozhat az említett felelősség alóli mentességre, mivel e társaságnak tudomása van a közzétett információkról, és ellenőrzi azokat.

32.

A kérdést előterjesztő bíróság jelzi, hogy a Bíróság ítélkezési gyakorlata csak olyan, online közzétett ajánlatokra hivatkozik, amelyek jogellenessége a szóban forgó hirdetés közzétételét követően az üzemeltetővel kifejezetten közölt tények és körülmények elemzéséből eredt. Ezzel szemben a Bíróságnak soha nem volt alkalma arra, hogy a jelen ügy tárgyát képezőhöz hasonló helyzettel foglalkozzon. Az alapügy sajátossága ugyanis abban áll, hogy a bírósághoz fordulás időpontjában azonosítatlan felhasználó által közzétett hirdetés tartalma nyilvánvalóan jogellenes és az érintett személyre nézve rendkívül sérelmes volt. Így a kérdést előterjesztő bíróság szerint a közzétett információ esetleges jogellenességének megállapításához és elemzéséhez nem volt szükség az adatkezelő értesítésére.

33.

Ezenkívül a kérdést előterjesztő bíróság felhívja a figyelmet arra, hogy jóllehet a vitatott hirdetést az alapeljárás felperese általi értesítést követően törölték a Russmedia honlapjáról, amelyen azt eredetileg közzétették, azt számos más honlap – az eredeti forrás megjelölésével – teljes egészében átvette, az alapeljárás felperesének valamennyi adatával és fényképével együtt, a személyes adatokra vonatkozó védelmi intézkedések nélkül. A sérelem tehát tartóssá vált, és jelenleg is folyamatos.

34.

Egyébiránt a kérdést előterjesztő bíróság megjegyzi, hogy a vitatott hirdetésben hivatkozott és az alapeljárás felperese által állítólagosan kínált szexuális szolgáltatások a Codul penal (büntető törvénykönyv) által büntetett olyan súlyos bűncselekményekkel hozhatók összefüggésbe, mint a prostitúció elősegítése és a kerítés, valamint az emberkereskedelem.

35.

Végül a kérdést előterjesztő bíróság felhívja a figyelmet arra, hogy az online piaca használatára vonatkozó általános feltételekre tekintettel a Russmedia nem tűnik az adatok egyszerű passzív felhasználójának. Ugyanis, bár e társaság nem tart igényt a szolgáltatott vagy közzétett, feltöltött vagy terjesztett tartalmak tulajdonjogára, megőrzi a tartalom bármely időpontban, akár alapos indok nélkül történő felhasználásának jogát, beleértve a tartalom másolásához, terjesztéséhez, továbbításához, közzétételéhez, többszörözéséhez, módosításához, fordításához, partnernek történő átengedéséhez és eltávolításához való jogot.

36.

E körülmények között határozott úgy a Curtea de Apel Cluj (kolozsvári ítélőtábla), hogy a Bíróság Hivatalához 2023. augusztus 3‑án érkezett, 2023. június 15‑i határozatával az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

37.

A román kormány és az Európai Bizottság nyújtott be írásbeli észrevételeket. A 2024. július 2‑i tárgyaláson az alapeljárás felperese és a Bizottság képviseltette magát.

IV.

Elemzés

38.

Az első kérdés annak megállapítására irányul, hogy a Russmedia hivatkozhat‑e a 2000/31 irányelv 14. cikkének (1) bekezdésében foglalt, felelősség alóli mentességre, a második, harmadik és negyedik kérdés pedig arra, hogy e társaság megsértette‑e a GDPR alapján őt terhelő kötelezettségeket.

39.

A Bíróság korábban rámutatott, hogy a 2000/31 irányelv 14. cikke (1) bekezdésének, amely az első kérdés tárgyát képezi, a célja azon esetek körének korlátozása, amelyekben a közvetítő szolgáltatók felelőssége – az adott területen alkalmazandó nemzeti szabályokkal összhangban – megállapítható. ( 13 ) Úgy vélem, hogy az uniós jog e területen bekövetkezett fejlődésére tekintettel az e rendelkezésben foglalt, felelősség alóli mentességet akkor is alkalmazni kell, ha a szolgáltató felelősségét az uniós jog rendelkezései vagy az azt átültető nemzeti rendelkezések alapján állapítják meg. ( 14 )

40.

Az előzetes döntéshozatalra utaló határozat arra enged következtetni, hogy megállapítható lehet a Russmedia felelőssége a GDPR megsértése miatt. ( 15 ) E körülmények között a priori kívánatosnak tűnhet először a második, harmadik és negyedik kérdést elemezni, amelyekkel a kérdést előterjesztő bíróság azt kívánja megállapítani, hogy a Russmedia megsértette‑e a GDPR alapján őt terhelő kötelezettségeket. Az elemzés egyértelműsége érdekében azonban a kérdéseket az előterjesztésük sorrendjében fogom vizsgálni. Így az előzetes döntéshozatalra utaló határozatban felvetett problémát legelőször a 2000/31 irányelv szempontjából elemzem, majd ezt követően rátérek e problémának a GDPR szempontjából történő vizsgálatára. Végül elemzésem utolsó részében megvizsgálom az e rendelet és a fenti irányelv közötti kölcsönhatásokat.

41.

Valamennyi előzetes döntéshozatalra előterjesztett kérdés ugyanis a 2000/31 irányelv és a GDPR rendelkezései közötti kapcsolat alapvetőbb kérdésére vonatkozik. E kérdést e két uniós jogi aktus releváns rendelkezéseinek azonosítását követően vizsgálom meg, mivel az előzetes döntéshozatalra előterjesztett négy kérdés középpontjában az azok által előírt kategóriák szerinti jogi minősítés áll.

A.

Az első kérdésről

42.

Első kérdésével az előterjesztő bíróság azt kívánja megtudni, hogy úgy kell‑e értelmezni a 2000/31 irányelv 14. cikkének (1) bekezdését, hogy e rendelkezés alapján akkor is mentesülhet a felelősség alól az információs társadalommal összefüggő olyan szolgáltatást nyújtó szolgáltató, amely szolgáltatás abban áll, hogy online piacot bocsát a felhasználók rendelkezésére, amelyen ingyenes vagy fizetett hirdetések tehetők közzé, ha e szolgáltató az online piac általános felhasználási feltételei révén rögzíti, hogy nem tart igényt a szolgáltatott vagy közzétett, letöltött vagy továbbított tartalmak tulajdonjogára, ugyanakkor megőrzi a tartalom bármely időpontban, akár alapos indok nélkül történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát.

43.

Elemezni fogom tehát ezt a kérdést (1. szakasz), amely lényegében annak meghatározására irányul, hogy a Russmedia „közvetítő szolgáltatónak” minősíthető‑e, amely a priori hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességre. Mivel úgy tűnik, hogy a kérdést előterjesztő bíróság azzal kapcsolatban is kétségeit fejezi ki, hogy az alapeljárás sajátosságára tekintettel a jelen ügyben teljesülnek‑e azok a feltételek, amelyektől e rendelkezés a felelősség alóli mentességet függővé teszi, a teljesség kedvéért ezt a kérdést is elemezni fogom (2. szakasz).

1.

A „közvetítő szolgáltató” fogalmáról

a)

A kérdés terjedelme és előfeltevései

44.

Fontosnak tartom kiemelni mind az első kérdés alapjául szolgáló előfeltevést, mind e kérdés terjedelmét.

45.

E tekintetben elsősorban, amint azt említettem, ( 16 ) a 2000/31 irányelv 12., 13. és 14. cikke a felelősség alóli kivételeket ír elő, amelyek akkor alkalmazandók, ha az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltatók szolgáltatásai egyszerű továbbításra, gyorsítótárolóban történő rögzítésre (caching), illetve tárhelyszolgáltatásra vonatkoznak.

46.

Bár az első kérdés e három rendelkezésre hivatkozik, a kérdést előterjesztő bíróság arra utal, hogy a Russmedia olyan szolgáltatást nyújt, amely a felhasználók által szolgáltatott információk számára történő tárhelyszolgáltatásban áll. Ezenkívül úgy tűnik, hogy a 365/2002. sz. törvény 14. cikke, amelynek alkalmazhatóságát a nemzeti bíróságok előtt vitatták, ( 17 ) a 2000/31 irányelv tárhelyszolgáltatásra vonatkozó 14. cikke átültetését képezi. Úgy vélem tehát, hogy az első kérdés az uniós jog e rendelkezésére vonatkozik, és a kérdést előterjesztő bíróság munkahipotézise az, hogy a Russmedia által nyújtott szolgáltatás az információs társadalommal összefüggő szolgáltatásnak minősül, és főszabály szerint az online piacának felhasználói által szolgáltatott információk számára történő tárhelybiztosításban áll.

47.

Másodsorban, ami az első kérdés terjedelmét illeti, annak óvatos megfogalmazása arra enged következtetni, hogy a kérdést előterjesztő bíróság nem foglal állást a Russmedia által a tárhelyszolgáltatásának nyújtásában játszott szerepről. E kérdésből ugyanis kitűnik, hogy az megállapítás, hogy a Russmedia szerepe tisztán technikai jellegű, az e társaság által megfogalmazott állításokból következik. ( 18 ) Bár úgy tűnik, hogy a kérdést előterjesztő bíróság nem vonja kétségbe ezt az állítást, foglalkozni fogok vele, mivel megalapozottságát az alapeljárás felperese határozottan vitatja. ( 19 )

48.

Végül harmadsorban, a kérdést előterjesztő bíróság rámutat arra, hogy a Russmedia „nem tűnik az adatok egyszerű passzív felhasználójának (közvetítő szolgáltató), mivel bár [e társaság] nem tart igényt a szolgáltatott vagy közzétett, feltöltött vagy terjesztett tartalmak tulajdonjogára, […] megőrzi a tartalom […] felhasználásának jogát”. Az első kérdés megfogalmazása a kérdést előterjesztő bíróság ezen aggályát tükrözi. E kérdés ugyanis arra irányul, hogy a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentesség vonatkozhat‑e arra a „szolgáltatóra […], amely [online piacot] bocsát a felhasználók rendelkezésére, […] és aki […] a honlap általános felhasználási feltételei révén […] rögzíti, hogy […] ugyanakkor […] megőrzi a tartalom […] felhasználásának jogát”.

49.

Az előzetes döntéshozatalra utaló határozatban szereplő, a Russmedia tevékenységének tisztán technikai vagy passzív jellegére való hivatkozások a Bíróság azon ítélkezési gyakorlatára utalnak, amely szerint a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt felelősség alóli mentesség kizárólag arra az esetre vonatkozik, amikor a szolgáltató magatartása a „közvetítő szolgáltató” tevékenységére korlátozódik a jogalkotó szándéka szerint ezen irányelv II. fejezetének 4. szakaszában meghatározott értelemben. E tekintetben ugyanis az említett irányelv (42) preambulumbekezdéséből kitűnik, hogy az ezen irányelvben szabályozott felelősség alóli mentességek kizárólag azon esetekre vonatkoznak, amelyekben az információs társadalommal összefüggő szolgáltatás nyújtójának tevékenysége tisztán technikai, automatikus és passzív jellegű, ami azt is jelenti, hogy e szolgáltatásnyújtónak sem tudomása nincs a továbbított, illetve tárolt adatról, se nem ellenőrzi azt az adatot. ( 20 ) Az első kérdést ezen ítélkezési gyakorlat fényében kell elemezni.

b)

Az online piac üzemeltetője által játszott szerep

50.

Noha a kérdést előterjesztő bíróság nem szolgál részletes információkkal a Russmedia online piacának működéséről, úgy tűnik, hogy e társaság meghatározza a hirdetések elrendezését, és azokat ingyenesen vagy fizetés ellenében közzéteszi az online piacán, ahol a hirdetéseket a hirdető felhasználók által kiválasztott különböző kategóriákba sorolják, és ahol a többi felhasználó egyszerű keresőmotor segítségével keresést végezhet, és az eredményeket rendezheti. A hirdető felhasználónak ahhoz, hogy online hirdetést tehessen közzé, regisztrálnia kell a Russmediánál. Személyazonosságát sem a regisztráláskor, sem a hirdetés közzétételekor nem ellenőrzik. Az előzetes döntéshozatalra utaló határozatból, a felek írásbeli észrevételeiből és a tárgyaláson előadott észrevételekből, valamint saját kutatásaimból ez a kép rajzolódik ki ezen online piac működéséről. A kérdést előterjesztő bíróság feladata, hogy az alapeljárásban való határozathozatal előtt megvizsgálja ezen észrevételek helytállóságát.

51.

Egy online piac üzemeltetőjét érintő ügyben a Bíróság kifejtette, hogy annak vizsgálata érdekében, hogy ezen üzemeltető mentesülhet‑e a felelőssége alól a 2000/31 irányelv 14. cikke alapján, meg kell vizsgálni, hogy szolgáltatásának semleges nyújtására szorítkozik‑e az ügyfelei által szolgáltatott adatok tisztán technikai és automatikus kezelése révén, vagy olyan tevőleges szerepet játszik, amelynek révén ismeri vagy ellenőrzi az említett adatokat. ( 21 )

52.

E tekintetben a Bíróság megállapította, hogy önmagában az a tény, hogy valamely online piac üzemeltetője az eladásra való felkínálásokat a szerverén tárolja, meghatározza szolgáltatásának feltételeit, azért díjazásban részesül, és általános felvilágosítást ad ügyfelei részére, nem járhat azzal a hatással, hogy megfosztja őt a 2000/31 irányelvben előírt, felelősséggel kapcsolatos mentességektől. ( 22 )

53.

Ezenkívül, ami azon feltételek egyikét illeti, amelyektől a 2000/31 irányelv 14. cikkének (1) bekezdése a közvetítő szolgáltató felelősség alóli mentesülését függővé teszi – amelyekre később visszatérek –, ( 23 ) a Bíróság kimondta, hogy az a körülmény, hogy valamely online tartalommegosztó platform üzemeltetője az e platformra feltöltött tartalmak tekintetében automatizált indexelést végez, hogy az említett platform keresőfunkciót foglal magában, és a felhasználók profiljától vagy preferenciáitól függően videókat kínál, nem elegendő annak megállapításához, hogy e feltétel nem teljesül. ( 24 ) E körülmény még kevésbé alkalmas arra, hogy megfossza az ilyen üzemeltetőt attól a lehetőségtől, hogy az e rendelkezésben előírt, felelősség alóli mentességre hivatkozzon. Az a kérdés ugyanis, hogy teljesülnek‑e azok a feltételek, amelyektől ezen irányelv 14. cikke (1) bekezdésének a) és b) pontja a felelősség alóli mentességet függővé teszi, csak akkor merül fel, ha az érintett szolgáltató az általa tárolt információk tekintetében „semleges szerepet játszó tárhelyszolgáltatónak” minősíthető, és a priori hivatkozhat e mentességre.

54.

Első ránézésre tehát úgy tűnik, hogy a Russmedia semleges szerepet játszik a hirdető felhasználók kérésére tárolt információk tekintetében, és hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt mentességre. Most el kell oszlatni a kérdést előterjesztő bíróságnak az első kérdés megfogalmazásában tükröződő kétségeit, amely kérdés lényegében annak meghatározására irányul, hogy e mentesség alkalmazhatóságának vizsgálata során az online piac általános felhasználási feltételeinek vagy az üzemeltető által ténylegesen megtett intézkedéseknek kell‑e meghatározó szerepet tulajdonítani.

c)

Az általános felhasználási feltételek relevanciája

55.

Emlékeztetőül, az online piaca általános felhasználási feltételeinek megfelelően a Russmedia, noha nem tart igényt e tartalmak tulajdonjogára, akár alapos indok hiányában is fenntartja magának a szolgáltatott vagy közzétett, letöltött vagy továbbított tartalom bármely időpontban történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát.

56.

Kiindulásként megjegyzem, hogy az alapeljárás nem az alapeljárás felperesének azzal okozott kárra vonatkozik, hogy a Russmedia beavatkozott a vitatott hirdetésbe, amely az online piacán elérhető volt. A jelen ügyben tehát nem olyan helyzetről van szó, amelyben a kár az online piac felhasználója által szolgáltatott és az online piac üzemeltetője által módosított vagy manipulált tartalomból eredne.

57.

Ennek megállapítását követően meg kell jegyezni, hogy a Russmedia online piacának általános felhasználási feltételeire tekintettel úgy tűnik, hogy a Russmediát semmilyen kötelezettség nem terheli a hirdető felhasználókkal szemben a hirdető felhasználók kérésére tárolt hirdetések tartalmának kidolgozását vagy megjelenítését illetően. Ezzel szemben e társaság akár alapos indok hiányában is fenntartja magának az ezen információk felhasználására vonatkozó jogot.

58.

E tekintetben, noha valamely online piac általános felhasználási feltételei meghatározhatják az információs társadalommal összefüggő szolgáltatás működését, és lehetővé tehetik az e szolgáltatást nyújtó szolgáltató által játszott szerep megértését, azon szerződéses szabályok, amelyek szerint e szolgáltató a tárolt információkat illetően intézkedéseket hozhat, anélkül hogy erre köteles lenne, önmagukban nem lehetnek döntőek azon kérdést illetően, hogy az említett szolgáltató szerepe semleges‑e. A Bíróság ugyanis az ítélkezési gyakorlatában felhívja a figyelmet az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltatónak a szolgáltatás igénybe vevői által szolgáltatott információk kidolgozásában és megjelenítésében való tényleges részvételére. Ezzel szemben a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentesség alkalmazhatóságának vizsgálata során figyelmen kívül kell hagyni azokat az intézkedéseket, amelyeket a szolgáltató a platformja használatának feltételei alapján megtehet, de amelyeket a gyakorlatban nem hajt végre. Másként fogalmazva, e vizsgálat keretében az ilyen szolgáltatást nyújtó szolgáltató által ténylegesen meghozott intézkedéseket kell figyelembe venni.

59.

Konkrétabban, a Bíróság úgy ítélte meg, hogy amennyiben valamely online piac üzemeltetője olyan segítséget nyújt, amely különösen a szóban forgó eladásra való felkínálások megjelenítésének optimalizálálásában vagy azok elősegítésében áll, meg kell állapítani, hogy nem foglalt el semleges pozíciót az érintett eladóként tevékenykedő ügyfelei és a lehetséges vásárlók között, hanem olyan tevőleges szerepet játszott, amelynek révén ismerte vagy ellenőrizte az ilyen felkínálásokkal kapcsolatos adatokat. ( 25 ) Hasonlóképpen, a Bíróság megállapította, hogy egy sajtókiadó társaság nem hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességre az általa közzétett nyomtatott újság elektronikus kiadásában szereplő információk tekintetében, mivel főszabály szerint tudomása van az általa közzétett információkról, és ellenőrzi azokat. ( 26 )

60.

Összefoglalva, az ítélkezési gyakorlatból származó, fent említett szövegrészekben az online piac működési módja magában foglalta a tárolt információk ismeretét és előzetes ellenőrzését. Ezzel szemben a jelen ügyben, amint azt a Bizottság a tárgyaláson megjegyezte, semmi nem utal arra, hogy a Russmedia beavatkozik a hirdetések létrehozásába, optimalizálásába vagy megjelenítésébe, vagy hogy a közzétételük előtt ellenőrzi azok egyedi tartalmát. Az az ellenőrzés, amelyet e társaság az online piacának általános felhasználási feltételei alapján gyakorolhatott, csupán potenciális és utólagos jellegű. Egyébiránt úgy tűnik, hogy a Russmediának nem volt tudomása a tárolt információkról, ami igazolhatná e társaságnak a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességből való kizárását.

61.

Ezenkívül, amint azt a Bizottság megjegyezte, a valamely platformra vonatkozó, a Russmediáéhoz hasonló általános felhasználási feltételek a közvetítői szolgáltatások esetében nem szokatlanok. ( 27 ) E tekintetben meg kell jegyezni, hogy az a körülmény, hogy a közvetítő szolgáltató fenntartja magának a szolgáltatásának felhasználói által szolgáltatott információk felhasználásának jogát, a közvetítő szolgáltatók által a jogellenes online tartalmak elleni küzdelemben játszott fontos szerep keretébe illeszkedik.

62.

A 2000/31 irányelv 14. cikke (1) bekezdésének a) és b) pontjában előírt azon feltételek teljesítése érdekében ugyanis, amelyektől a közvetítő szolgáltató felelősség alóli mentesülése függ, a közvetítő szolgáltatónak reagálnia kell, és a jogellenes tartalom észlelését követően el kell távolítania, vagy le kell tiltania e tartalmat. E szolgáltató, többek között az ilyen intézkedés meghozatalára való képességének igazolása érdekében, fenntarthatja magának a jogot arra, hogy az említett tartalmat bármikor eltávolítsa.

63.

E körülmények között az a tény, hogy a Russmedia az online piacának általános felhasználási feltételei révén fenntartja magának a jogot arra, hogy a szolgáltatása felhasználóinak kérésére tárolt tartalmakat felhasználja, nem zárhatja ki, hogy e társaság a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességben részesüljön.

d)

Közbenső következtetés

64.

A fentiekre tekintettel azt javaslom, hogy a Bíróság az első kérdésre azt a választ adja, hogy a 2000/31 irányelv 14. cikkének (1) bekezdését úgy kell értelmezni, hogy az információs társadalommal összefüggő olyan szolgáltatást nyújtó szolgáltató, amely abban áll, hogy online piacot bocsát a felhasználók rendelkezésére, amelyen ingyenes vagy fizetett hirdetések tehetők közzé, e rendelkezés alapján akkor is mentesülhet a felelősség alól, ha az online piaca általános felhasználási feltételei révén rögzíti, hogy nem tart igényt szolgáltatott vagy közzétett, letöltött vagy továbbított tartalmak tulajdonjogára, ugyanakkor megőrzi a tartalom bármely időpontban, akár alapos indok nélkül történő felhasználásának jogát, beleértve a tartalom másolásának, terjesztésének, továbbításának, nyilvánosságra hozatalának, sokszorosításának, módosításának, fordításának, partnerek részére történő átengedésének és eltávolításának jogát, feltéve, hogy e szolgáltató nem hoz olyan intézkedéseket, amelyek következtében elveszíti semleges tárhelyszolgáltatói minőségét.

65.

A teljesség kedvéért meg kell vizsgálni, hogy az alapeljárás sajátosságára tekintettel a jelen ügyben teljesülnek‑e ezen mentesség feltételei.

2.

A közvetítő szolgáltató felelősség alóli mentesülésének feltételeiről

66.

Az előzetes döntéshozatalra utaló határozat hangsúlyozza a jelen ügy sajátosságait, amelyek – úgy tűnik – kapcsolódnak azokhoz a feltételekhez, amelyektől a 2000/31 irányelv 14. cikkének (1) bekezdése a tárolt információkért való felelősség alóli mentességet függővé teszi. A kérdést előterjesztő bíróság ugyanis felhívja a Bíróság figyelmét a vitatott hirdetés nyilvánvalóan jogellenes és rendkívül sérelmes jellegére, valamint arra, hogy e hirdetés számos, azt átvevő egyéb honlapon is elérhető.

a)

A tárolt információk nyilvánvalóan jogellenes jellege

1)

A nyilvánvalóan jogellenes tartalom azonosítása

67.

A kérdést előterjesztő bíróság megjegyzi, hogy ahhoz, hogy a Russmedia azonosíthassa és elemezhesse a közzétett információ esetleges jogellenességét, nem lett volna szükség e társaságnak a jogellenes tartalomról való értesítésére. E bíróság szerint ugyanis a vitatott hirdetés tartalma nyilvánvalóan jogellenes, és az alapeljárás felperesére nézve rendkívül sérelmes. Úgy tűnik tehát, hogy a kérdést előterjesztő bíróság abból az előfeltevésből indul ki, hogy ezen egyértelműen jogellenes jelleg miatt a Russmediának tudomással kellett volna bírnia e hirdetésről és annak jogellenes tartalmáról. Így ahhoz, hogy mentesülhessen a felelősség alól, a Russmediának a 2000/31 irányelv 14. cikke (1) bekezdése b) pontjának megfelelően – haladéktalanul és az erre irányuló kérés megvárása nélkül – el kellett volna távolítania az említett hirdetést, vagy meg kellett volna szüntetnie az ahhoz való hozzáférést.

68.

A 2000/31 irányelv 14. cikke (1) bekezdésének a) pontja arra irányul, hogy mentesítse a tárhelyszolgáltatót a tárolt információkért való felelőssége alól akkor, ha nincs tudomása jogellenes tevékenységről vagy információról. Ha a tárhelyszolgáltató felelősségére kártérítési kereset keretében hivatkoznak, mint a jelen ügyben is, a felelősség alóli mentességre vonatkozó szigorúbb feltétel válik alkalmazandóvá. Ilyen esetben a szolgáltató nem mentesülhet a felelősség alól az irányelv 14. cikkének (1) bekezdése alapján, ha tudomást szerzett olyan tényekről vagy körülményekről, amelyek alapján a gondosan eljáró gazdasági szereplőnek meg kellett volna állapítania a szóban forgó jogellenességet, és nem az említett irányelv 14. cikke (1) bekezdése b) pontjának megfelelően járt el. ( 28 ) Ugyanis, amint azt a 2000/31 irányelv megköveteli, a tevékenység vagy információ jogellenes jellegének „nyilvánvalónak”, vagy más szóval könnyen azonosíthatónak kell lennie. ( 29 )

69.

Mindazonáltal a szolgáltató csak akkor veszítheti el a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességet, ha ténylegesen tudomást szerzett olyan tényekről vagy körülményekről, amelyek alapján a gondos gazdasági szereplő objektíven megállapíthatja a tevékenység vagy információ jogellenességét. Attól függetlenül ugyanis, hogy kártérítési keresetről van‑e szó, nem elegendő, ha a szolgáltató általános jelleggel tudatában van annak, hogy szolgáltatását jogellenes tartalmak megosztására is használják. A szolgáltatónak konkrét jogellenes tevékenységekkel és információkkal kapcsolatos tényekről vagy körülményekről kell tudomással bírnia. ( 30 )

70.

A 2000/31 irányelv 14. cikke (1) bekezdésének a) pontjában előírt feltétel tehát nem teljesül, ha a szolgáltató a rendelkezésére álló információk alapján megállapítja vagy figyelmen kívül hagyja a tárolt adatok jogellenességét, vagy téved ezen adatok jogszerűségét illetően. Míg ugyanis valamely információ vagy tevékenység jogellenességét objektív módon, a gondos gazdasági szereplő kritériuma alapján kell értékelni, az e jogellenességre utaló tényekről való tudomást főszabály szerint az érintett szolgáltató számára ténylegesen rendelkezésre álló információk figyelembevételével kell értékelni.

71.

E körülmények között nem vélelmezhető, hogy az online piac üzemeltetője tudomással bír minden jogellenes és sérelmes hirdetés tartalmáról. Ezenkívül az ilyen vélelem bevezetése arra kötelezné ezen üzemeltetőt, hogy aktívan nyomon kövesse a hirdető felhasználói adatainak összességét annak érdekében, hogy azonosítsa azokat a hirdetéseket, amelyek nyilvánvalóan jogellenesek és sérelmesek. Az ilyen nyomonkövetési kötelezettség álláspontom szerint nehezen egyeztethető össze a 2000/31 irányelv logikájával.

72.

Az ilyen – „kiskapun” keresztül bevezetett – nyomonkövetési kötelezettség ugyanis összeegyeztethetetlen lenne a 2000/31 irányelv 15. cikkének (1) bekezdésével, amely kimondja, hogy a tagállamok nem állapíthatnak meg a tárhelyszolgáltatókat terhelő olyan általános kötelezettséget, amely szerint az általuk tárolt információkat nyomon kellene követniük, sem olyan általános kötelezettséget, amely szerint jogellenes tevékenységre utaló tényeket vagy körülményeket kellene kivizsgálniuk. Így a tárhelyszolgáltató nemzeti intézkedések alapján nem kötelezhető arra, hogy általános jelleggel kövesse nyomon az általa tárolt információkat. ( 31 )

73.

Ennélfogva nem tekinthető úgy, hogy a 2000/31 irányelv 14. cikke (1) bekezdésének a) pontjában előírt feltétel nem teljesül azon az alapon, hogy egy, valamely online piacon közzétett hirdetés nyilvánvalóan jogellenes és az e hirdetéssel érintett személyre nézve rendkívül sérelmes. A teljesség kedvéért hozzáteszem, hogy a 2000/31 irányelv nem hagyja figyelmen kívül azt a helyzetet, amikor a tárhelyszolgáltató olyan üzleti vagy szervezeti modellt fogad el, amely ösztönzi vagy előmozdítja a jogellenes tartalmak terjesztését.

2)

Jogellenes tevékenységekben érintett platform

74.

Meg kell állapítani, hogy a 2000/31 irányelv (44) preambulumbekezdése kimondja, hogy az a szolgáltató, aki, illetőleg amely szolgáltatásának egyik igénybe vevőjével jogellenes cselekedetek elkövetése céljából szándékosan együttműködik, túllép az ezen irányelv 12., illetve 13. cikkében említett „egyszerű továbbítás” és a gyorsítótárolóban történő rögzítés (caching) tevékenységein. Ennek eredményeképpen e szolgáltatóra nem vonatkozhat az e tevékenységekre megállapított, felelősség alóli mentesség. Bár e preambulumbekezdés nem említi az ezen irányelv 14. cikke szerinti tárhelyszolgáltatást, semmi nem indokolja, hogy ugyanez az érvelés ne vonatkozzon erre a tevékenységre. A Bíróság ugyanis a YouTube és Cyando ítéletben ( 32 ) kimondta, hogy az olyan üzemeltető, aki a platform egyszerű rendelkezésre bocsátásán túl közreműködik abban, hogy tartalmakat a szerzői jog megsértésével a nyilvánosság számára hozzáférhetővé tegyenek, nem tekinthető semleges tárhelyszolgáltatónak, amely a 2000/31 irányelv 14. cikkének (1) bekezdése alapján a felelősség alól mentesülhet.

75.

Úgy tűnik, hogy a fent említett az ítéletben a Bíróság annak meghatározása érdekében, hogy valamely üzemeltető a nyilvánosság számára történő hozzáférhetővé tételt végez‑e, közvetett módon a 2001/29/EK irányelv ( 33 ) értelmében vett „közvetítési cselekmény” fogalmára vonatkozó elemzésére támaszkodott. Ezen – a Bíróságnak a The Pirate Bay megosztó platformra vonatkozó ítélete ( 34 ) ihlette – elemzés szerint valamely üzemeltető ilyen hozzáférhetővé tételt végez, ha a védett tartalmaknak a platformja felhasználói általi jogellenes közvetítésében annak teljes tudatában vesz részt, hogy magatartása milyen következményekkel jár azzal, hogy más internethasználóknak hozzáférést biztosít az ilyen tartalmakhoz. A Bíróság szerint annak meghatározása érdekében, hogy ez a helyzet áll‑e fenn, figyelembe kell venni a szóban forgó helyzetet jellemző összes olyan körülményt, amelyek alapján közvetlenül vagy közvetve következtetések vonhatók le az üzemeltetőnek az említett tartalmak jogellenes közvetítésébe való beavatkozása szándékos vagy nem szándékos jellegéről.

76.

E megközelítésnek a jelen ügy körülményeire való alkalmazása azt jelentené, hogy elveszíti a 2000/31 irányelv 14. cikkének (1) bekezdése értelmében vett semleges tárhelyszolgáltatói minőséget az online piac azon üzemeltetője, amely olyan üzleti, illetve szervezeti modellt fogadott el, amely arra ösztönzi a platformja felhasználóit, hogy nyilvánvalóan jogellenes és rendkívül sérelmes tartalmakat terjesszenek, vagy előmozdítja és megkönnyíti az ilyen tartalmak korlátlan és ellenőrizetlen terjesztését. Semmi nem utal azonban arra, hogy a Russmedia ilyen modellt fogadott volna el.

3)

Az online elérhető tartalmak moderálására vonatkozó uniós jog fejlődése

77.

Lehet azzal érvelni, hogy az a megfontolás, amely szerint a 2000/31 irányelv főszabály szerint és kivételes körülményektől eltekintve ( 35 ) nem kötelezi a tárhelyszolgáltatókat arra, hogy minden nyilvánvalóan jogellenes és rendkívül sérelmes tartalmat észleljenek, kevéssé kielégítőnek tűnhet, figyelemmel azokra a kockázatokra, amelyekkel az ilyen tartalom terjesztése a felhasználóik és harmadik felek jogaira nézve járhat.

78.

Ugyanakkor, amint azt más összefüggésben megjegyeztem, ( 36 ) a 2000/31 irányelv a maga korának terméke volt, és az uniós jogalkotó egy olyan alaprendszert kívánt bevezetni, amely kifejezetten az információs társadalommal összefüggő szolgáltatások szabad mozgásának nyújt védelmet. Ennélfogva ezen irányelv arra szorítkozik, hogy tájékoztatási kötelezettségeket írjon elő az információs társadalommal összefüggő szolgáltatásokat nyújtó valamennyi szolgáltató számára, ( 37 ) anélkül hogy különbséget tenne a tárhelyszolgáltatások különböző kategóriái között. Az említett irányelv ugyanis azon a logikán alapul, amely szerint a tagállamok az irányelv által meghatározott korlátok között olyan kötelezettségeket állapítanak meg, amelyeket a területükön letelepedett szolgáltatóknak tiszteletben kell tartaniuk. Közelebbről, a tagállamok mozgásterét behatárolja az általános nyomon követési kötelezettség megállapítására vonatkozóan az ugyanazon irányelv 15. cikkében számukra előírt tilalom.

79.

A 2000/31 irányelvvel bevezetett alaprendszert fokozatosan kiegészítették olyan ágazati jogi aktusok, amelyek megfelelő intézkedések meghozatalát írják elő a felhasználók bizonyos kategóriáinak meghatározott tartalmakkal, így például a terrorista vagy gyermekpornográfiát ábrázoló tartalmakkal szembeni védelme érdekében. ( 38 )

80.

A közelmúltban az uniós jogalkotó jelentősen módosította az online platformokra alkalmazandó jogi keretet. A digitális szolgáltatásokról szóló rendelet ugyanis bizonyos kritériumok szerint differenciálja a platformok kötelezettségeit, és bizonyos mértékig a jogellenes tartalmak moderálásának kérdését is szabályozza. ( 39 ) Mindazonáltal a jelen ügyet ez az új jogi keret nem érinti, és a Bíróságnak véleményem szerint nem kellene bírói úton olyan kötelezettséget bevezetnie, amely nem csupán nem szerepel az alapügy tényállására alkalmazandó 2000/31 irányelvben, hanem ráadásul ellentétes annak 15. cikkével.

b)

A közzétett hirdetések tartalmának továbbterjesztése

81.

Egy másik szempont, amelyre a kérdést előterjesztő bíróság felhívja a Bíróság figyelmét, arra a körülményre vonatkozik, hogy bár a Russmedia az alapeljárás felperesének kérését követően eltávolította a vitatott hirdetést az online piacáról, e hirdetés még mindig elérhető számos más honlapon, amelyek azt – az eredeti forrás megjelölésével – a Russmedia online piacáról átvették. A kérdést előterjesztő bíróság a 2000/31 irányelv szempontjából közvetlenül nem tesz fel kérdést e körülményre vonatkozóan. Ellenben a negyedik kérdésében, amely a GDPR által a személyes adatok kezelése biztonságának biztosítása érdekében megkövetelt intézkedésekre vonatkozik, hivatkozik arra. Mindazonáltal a tárgyaláson a Bíróság kérdéseire válaszolva a felek megvitatták a fenti körülményt az ezen irányelv 14. cikke (1) bekezdésének b) pontjában előírt, felelősség alóli mentességre vonatkozó feltétel összefüggésében. E megfontolásokra tekintettel, és annak érdekében, hogy a kérdést előterjesztő bíróság számára hasznos választ lehessen adni, elemezni fogom azt a kérdést, hogy teljesül‑e a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltétel, ha a tárhelyszolgáltató azt követően, hogy a tárolt információ jogellenességének könnyű megállapítását lehetővé tevő tényekről vagy körülményekről szerzett tudomást, haladéktalanul eltávolítja ezt az információt a honlapjáról, de az továbbra is hozzáférhető más olyan honlapokon, amelyek azt e tárhelyszolgáltató honlapjáról átvették.

82.

E tekintetben a kérdést előterjesztő bíróság nem pontosítja, hogy a vitatott hirdetést a Russmedia terjesztette‑e tovább más honlapok üzemeltetői felé, vagy ez utóbbiak lemásolták azt anélkül, hogy arról a Russmedia tudomást szerzett volna. Ez a kérdés a tárgyaláson vita tárgyát képezte. Annak érdekében, hogy a kérdést előterjesztő bíróság számára hasznos választ lehessen adni, mindkét esetet megvizsgálom.

1)

A vitatott hirdetés partnerek általi átvétele

83.

A tárgyaláson a Bizottság egy olyan helyzetre utalt, amelyben a Russmedia az online piaca általános felhasználási feltételeinek megfelelően a honlapján felsorolt, és így a hirdető felhasználók által ismert azon partnereknek továbbítja az online piacán közzétett hirdetéseket, amelyekkel szerződéses kapcsolatban áll.

84.

Felmerülhet a kérdés, hogy ilyen esetben az online piac üzemeltetője által nyújtott szolgáltatás a szolgáltatás igénybe vevőjének kérésére tárolt információk semleges tárolását jelenti‑e. Nem szabad ugyanis szem elől téveszteni, hogy a 2000/31 irányelv 14. cikkének (1) bekezdése csak akkor alkalmazandó, ha a szolgáltató ilyen szolgáltatást nyújt.

85.

E tekintetben megjegyzem, hogy amikor valamely online piac üzemeltetője a szolgáltatásának igénybe vevője által szolgáltatott információkat egyedi jelleggel és/vagy emberi közreműködéssel továbbítja a partnereinek annak érdekében, hogy azok más honlapokon is közzétegyék azokat, a szerepe ezen információk népszerűsítőjének szerepéhez hasonlít. Ilyen esetben kétségeim vannak a tekintetben, hogy ezen üzemeltető szolgáltatása teljes mértékben a 2000/31 irányelv 14. cikke (1) bekezdésének hatálya alá tartozik‑e. Ezzel szemben, ha a felhasználó kérésére tárolt információkat más honlapok üzemeltetői veszik át, és az említett üzemeltetőnek az e továbbításban játszott szerepe tisztán technikai jellegű és automatizált, úgy tekinthető, hogy ez a rendelkezés teljes mértékben alkalmazandó rá.

86.

Mindezek rögzítését követően, az előzetes döntéshozatalra utaló határozat nem tartalmaz olyan ténybeli elemeket, amelyek lehetővé tennék annak meghatározását, hogy e két eset közül melyik felel meg az alapügyben szereplő helyzetnek. Még fontosabb, hogy az a kérdés, hogy a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltétel teljesül‑e, csak akkor merül fel, ha a Russmedia az e rendelkezés értelmében vett „tárhelyszolgáltatónak” minősíthető. Az ezen irányelv 14. cikke (1) bekezdésének b) pontjában meghatározott feltételt tehát azon előfeltevésből kiindulva fogom elemezni, hogy a Russmedia az e rendelkezés értelmében vett tárhelyszolgáltató, és hogy a vitatott hirdetést e társaság partnerei a Bizottság által a tárgyaláson említett feltételek mellett vették át. ( 40 )

87.

E tekintetben a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontja a szövegét tekintve azt írja elő, hogy a felelősség alóli mentesülés érdekében a tárhelyszolgáltatónak haladéktalanul intézkednie kell a jogellenes információ eltávolításáról vagy az ahhoz való hozzáférés megszüntetéséről. Így e rendelkezés nem szorítkozik annak kijelentésére, hogy a tárhelyszolgáltatónak el kell távolítania a jogellenes információt vagy meg kell szüntetnie az ahhoz való hozzáférést. A jogalkotó ugyanis nyitott megfogalmazást választott, amely szerint lényegében a szolgáltatónak haladéktalanul véget kell vetnie a szolgáltatásán keresztül végzett jogellenes tevékenységnek.

88.

Kétségtelen, hogy e feltétel megfogalmazását lehet úgy érteni, hogy az uniós jogalkotó nem elérendő konkrét eredményeket kívánt meghatározni, hanem kizárólag azt, hogy e tekintetben erőfeszítéseket tegyenek. Mindazonáltal a 2000/31 irányelv 14. cikke (1) bekezdése b) pontjának nyitott megfogalmazása bizonyos mozgásteret is biztosít a szolgáltató számára („az információ eltávolítás[a] vagy az ahhoz való hozzáférés megszüntetés[e]”), lehetővé téve számára, hogy megfelelő, arányos és hatékony intézkedést fogadjon el. E rendelkezést ezen irányelv több preambulumbekezdésére tekintettel is így kell értelmezni.

89.

A 2000/31 irányelv (46) preambulumbekezdése ugyanis kimondja, hogy az információk eltávolítását „az e célból nemzeti szinten megállapított eljárásoknak a figyelembevételével kell elvégezni”, valamint, hogy ez az irányelv „nem érinti a tagállamok lehetőségét arra, hogy olyan különös követelményeket állapítsanak meg, amelyeknek az adat eltávolítását, illetve az ahhoz való hozzáférés megszüntetését megelőzően haladéktalanul meg kell felelni”. Semmi nem utal azonban arra, hogy az alkalmazandó nemzeti jogszabályok ilyen eljárásokat és követelményeket állapítottak volna meg.

90.

Mindenesetre a 2000/31 irányelv (41) preambulumbekezdése kimondja, hogy az irányelv megvalósítja az érdekek egyensúlyát, és meghatározza azokat az elveket, amelyeken ágazati megállapodások és szabványok alapulhatnak. Ami pontosabban az ezen irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltételt illeti, az irányelv (46) preambulumbekezdése kimondja, hogy a szolgáltatónak az eltávolítást, illetve a hozzáférés megszüntetését a véleménynyilvánítás szabadsága elvének a figyelembevételével kell elvégeznie. A Bíróság e tekintetben tisztázta, hogy az említett irányelv 14. cikkének (1) bekezdésében előírt felelősség alóli mentesség az érdekek olyan egyensúlyának kifejeződését képezi, amelyet ezen irányelv meg kíván valósítani, és amely érdekek között szerepel az Európai Unió Alapjogi Chartájának (a továbbiakban: Charta) 11. cikke által biztosított véleménynyilvánítás szabadságának tiszteletben tartása. ( 41 )

91.

Ebből azt a következtetést vonom le, hogy ahhoz, hogy a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltételt teljesítettnek lehessen tekinteni, a jogellenes információ eltávolítását az e különböző jogok és szabadságok védelméhez kapcsolódó követelmények szükségszerű összeegyeztetésének, valamint az azok közötti megfelelő egyensúlynak a tiszteletben tartásával kell elvégezni.

92.

E tekintetben egyrészt a Charta által biztosított és a 2000/31 irányelv (46) preambulumbekezdésében említett véleménynyilvánítás szabadságának tiszteletben tartásához hasonlóan a Charta – a 7. cikkében – a magánélet tiszteletben tartását is biztosítja. Másrészt, figyelembe véve a szóban forgó érdekek közötti egyensúly megteremtésének szükségességét, a személyek becsületének és jó hírnevének hatékony védelmére irányuló cél nem valósítható meg a tárhelyszolgáltatóval szemben előírt túlzott kötelezettség révén. ( 42 )

93.

E körülmények között ahhoz, hogy úgy lehessen tekinteni, hogy a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltételnek a szóban forgó jogok tiszteletben tartása mellett eleget tettek, azon tárhelyszolgáltatónak, amelynek szolgáltatását az általa tárolt információknak a szerződéses partnerei részére történő továbbterjesztésére használják, észszerű intézkedéseket kell hoznia annak biztosítása érdekében, hogy e tartalmat adott esetben a partnerei is eltávolítsák vagy letiltsák. Például erre vonatkozó kikötés szerepelhet az e partnerekkel kötött szerződésekben.

2)

A vitatott hirdetés harmadik felek általi átvétele

94.

A tárgyaláson nem csupán azt az esetet vitatták meg, amikor a hirdetést az online piac üzemeltetőjének partnerei veszik át, hanem azt is, amikor a nyilvánosan hozzáférhető hirdetést harmadik felek ezen üzemeltető tudta és hozzájárulása nélkül veszik át. A vitatott kérdés az volt, hogy a jelen indítvány 91. pontjában ismertetett megfontolásokra figyelemmel az online piac üzemeltetőjének ahhoz, hogy megfeleljen a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltételnek, harmadik felekkel szemben kell‑e intézkedéseket hoznia. Erre a kérdésre nemleges választ kell adni.

95.

A 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában meghatározott feltétel ugyanis azon az elgondoláson alapul, hogy a tárhelyszolgáltatónak haladéktalanul meg kell tennie minden lehetséges intézkedést annak érdekében, hogy véget vessen a szolgáltatásán keresztül végzett jogellenes tevékenységnek. Ellenben az, hogy e feltétel teljesül‑e, nem függhet általa nem befolyásolható intézkedésektől.

96.

Azon kiegészítő megjegyzések sérelme nélkül, amelyeket a 2000/31 irányelv 14. cikkének (1) bekezdése által a közvetítő szolgáltató felelősség alóli mentesülése érdekében előírt feltételekre vonatkozóan ismertettem, fenntartom a jelen indítvány 64. pontjában ismertetett, az első kérdésre adandó válaszra vonatkozó javaslatomat.

B.

A második, harmadik és negyedik kérdésről

97.

Második, harmadik és negyedik kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 5. cikke (1) bekezdésének b) és f) pontját, 6. cikke (1) bekezdésének a) pontját, valamint 7., 24. és 25. cikkét úgy kell‑e értelmezni, hogy az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltató, amelynek tevékenysége a felhasználók kérésére ingyenes vagy fizetett hirdetéseknek valamely honlapon való tárolásából áll, köteles előzetesen ellenőrizni a hirdető személyazonosságát (második kérdés) és a közzétett hirdetések tartalmát (harmadik kérdés), valamint biztonsági intézkedéseket alkalmazni a személyes adatokat tartalmazó hirdetések tartalma sokszorosításának vagy továbbterjesztésének megakadályozására vagy korlátozására (negyedik kérdés).

98.

E kérdések a GDPR 2. cikkének (4) bekezdésére, 4. cikkének 7. és 11. pontjára, valamint a 2000/31 irányelv 15. cikkére is vonatkoznak. Ahhoz azonban, hogy e kérdésekre hasznos választ lehessen adni, elegendő a GDPR‑nak a jelen indítvány előző pontjában említett rendelkezéseit értelmezni, amelyek meghatározzák a személyes adatok kezelésében részt vevő szereplők kötelezettségeit és felelősségét.

99.

Ezenkívül e kérdések megválaszolása érdekében előzetesen meg kell határozni, hogy az ilyen szolgáltató milyen minőségben vesz részt a személyes adatok kezelésében. E tekintetben úgy tűnik, hogy a második, harmadik és negyedik kérdés azon az előfeltevésen alapul, hogy a Russmedia a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelőként” járt el. E kérdések ugyanis erre a rendelkezésre vonatkoznak, és „személyesadat‑kezelőnek minősülő […] szolgáltató[ra]” hivatkoznak. A Bizottsághoz hasonlóan kétségeim vannak e jogi minősítést illetően. Ennélfogva, mivel ez befolyásolhatja az előzetes döntéshozatalra előterjesztett kérdésekre adott válaszokat, megvizsgálom a piac üzemeltetőjének a GDPR‑ban előírt kategóriák szerinti jogi minősítését (1. szakasz), majd rátérek ezen üzemeltető kötelezettségeinek és felelősségének kérdésére (2. szakasz).

1.

A jogi minősítésekről

a)

A személyes adatok kezelésében részt vevő szereplők

100.

A GDPR 4. cikkének 7. pontja úgy határozza meg az „adatkezelő” fogalmát, hogy az kiterjed arra a személyre, aki a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. E rendelet egy, az adatkezelésben részt vevő másik szereplőről is említést tesz, tudniillik az „adatfeldolgozóról”. Ezt az említett rendelet 4. cikkének 8. pontja úgy határozza meg, mint azt a személyt, aki az adatkezelő nevében személyes adatokat kezel.

101.

Az adatkezelésben részt vevő valamely szereplőnek a GDPR‑ban előírt kategóriák szerinti minősítése meghatározza e szereplő kötelezettségeit és felelősségét. E kötelezettségeket és felelősséget a második, harmadik és negyedik kérdésben említett rendelkezések állapítják meg.

102.

A személyes adatok bármely kezelésének meg kell ugyanis felelnie a GDPR 5. cikkének (1) bekezdésében foglalt, az adatkezelésre vonatkozó elveknek, és meg kell felelnie az említett rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételeknek. Ezen elvek tiszteletben tartásáért az adatkezelő felelős, ( 43 ) és ha az adatkezelés hozzájáruláson alapul, képesnek kell lennie annak igazolására, hogy az érintett az adatkezeléshez hozzájárult, amint azt e rendelet 7. cikkének (1) bekezdése megköveteli. Ugyanebben az értelemben az említett rendelet 24. és 25. cikke arra vonatkozó általános kötelezettségeket ír elő az adatkezelő számára, hogy megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítása céljából, hogy az adatkezelés ugyanezen rendelettel összhangban történik.

103.

Egyébiránt az, hogy az adatkezelésben részt vevő valamely szereplő milyen minőségben jár el, a GDPR megsértéséért fennálló felelősségének terjedelmét is meghatározza.

104.

A GDPR 82. cikke (2) bekezdése első mondata értelmében ugyanis „[a]z adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott”. Az adatkezelő nemcsak az általa, hanem a nevében végzett bármely személyesadat‑kezelésért is felelős. ( 44 ) Ezzel szemben az említett rendelet 82. cikke (2) bekezdésének második mondata értemében „[a]z adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be az [ugyanezen] rendeletben meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el”.

b)

Az adatkezelés céljai és eszközei

105.

Annak megállapítása érdekében, hogy a személyes adatok kezelésében részt vevő valamely jogalany a GDPR 4. cikkének 7. pontja értelmében vett adatkezelőnek tekinthető‑e, meg kell vizsgálni, hogy saját célból ténylegesen befolyást gyakorolt‑e ezen adatkezelés céljainak és eszközeinek meghatározására.

106.

Az adatkezelés célja ahhoz a kérdéshez kapcsolódik, hogy miért kezelik az adatokat. ( 45 ) Erről főszabály szerint az a személy dönt, akitől az adatkezelés ered.

107.

Az „eszközök” fogalmának körvonalai kevésbé egyértelműek, és azokat az adatkezelés gazdasági és technológiai struktúráinak fejlődésével összefüggésben kell meghatározni. Általánosságban, ha az adatkezelés célja az adatok kezelésének okára vonatkozik, akkor az eszközök arra a kérdésre válaszolnak, hogy ezt a célt hogyan fogják elérni. Az eszközök meghatározása ugyanis különösen annak eldöntésében áll, hogy mely adatokat kezelik, ( 46 ) ki férhet hozzá azokhoz és hogyan, ( 47 ) valamint – amennyiben az ilyen döntés véget vethet az adatkezelési műveleteknek – a kezelés időtartamát. Az adatok gyűjtéséhez, bemutatásához vagy terjesztéséhez használt eszközökre vagy fizikai vagy digitális hordozókra vonatkozó döntések meghozatala ( 48 ) szintén hozzájárul az adatkezelés eszközeinek meghatározásához.

108.

Az adatkezelő azonban nem köteles meghatározni az adatkezelés minden technikai és szervezési vonatkozását. Azon döntés, hogy az adatkezelést adatfeldolgozóra bízzák, nemcsak az adatkezelő munkaterhének enyhítésére irányuló szándékból eredhet, hanem abból is, hogy az adatkezelő nem rendelkezik az adatkezelés megszervezéséhez szükséges technikai ismeretekkel vagy eszközökkel. Ezt a – gazdasági valóság által vezérelt – értelmezést megerősítik a GDPR rendelkezései.

109.

Ugyanis, bár a GDPR 28. cikkének (3) bekezdése értelmében a szerződésnek vagy más jogi aktusnak, amelynek alapján az adatkezelő az adatkezelést adatfeldolgozóra bízza, meg kell határoznia az adatkezelés célját, az ilyen jogalapnak nem kell kimerítő jelleggel választ adnia arra a kérdésre, hogy az adatokat hogyan fogják kezelni. Annak csak az adatkezelés tárgyát és időtartamát, annak jellegét és célját, valamint a személyes adatok típusát és az érintettek kategóriáit kell meghatároznia. Így egyrészt az adatkezelés jogszerűsége szempontjából alapvető fontosságú, kényes kérdések az adatkezelő számára vannak fenntartva. Másrészt, noha az adatfeldolgozó az adatkezelő nevében jár el és annak utasításait követi, meghatározhatja, sőt meg kell határoznia az adatkezelésre vonatkozó technikai és szervezési intézkedéseket anélkül, hogy adatfeldolgozói szerepén túlterjeszkedne. Másként fogalmazva, az adatkezelés nem alapvető eszközeinek meghatározása nem elegendő ahhoz, hogy az adatkezelésben részt vevő valamely személy adatkezelői jogállást kapjon.

110.

A kérdést előterjesztő bíróságnak a jelen indítvány 106–109. pontjában kifejtett szempontok alapján kell eldöntenie, hogy a Russmedia adatkezelőnek tekinthető‑e. Annak érdekében, hogy a nemzeti bíróság számára meg lehessen adni az uniós jog értelmezésének azon elemeit, amelyek hasznosak lesznek számára az előtte folyamatban lévő jogvita megoldásához, megvizsgálom ezt a kérdéskört.

c)

Az online piac üzemeltetője és a GDPR

111.

Előzetesen megjegyzem, hogy a valamely online piacon közzétett hirdetésekben szereplő személyes adatok kezelését meg kell különböztetni azon hirdető felhasználók adatainak kezelésétől, akik hirdetéseik közzététele érdekében fiókot hoznak létre e piac üzemeltetőjénél. Az ilyen fiók létrehozása és a hirdető felhasználó által szolgáltatott adatokkal kapcsolatos egyéb intézkedések olyan adatkezelési műveleteknek minősülnek, amelyekért a GDPR alapján ezen üzemeltető felelős. Lényegében az üzemeltető dönti el, hogy milyen adatokra van szükség egy fiók regisztrálásához, és a hirdető felhasználók regisztrálására irányuló ezen eljárás lefolytatása során meghatározza ezen adatok kezelésének célját.

112.

Az előzetes döntéshozatalra utaló határozat azt a kérdést veti fel, hogy az online piac üzemeltetője saját célból befolyást gyakorol‑e az online piacán közzétett hirdetésekben esetlegesen szereplő személyes adatok kezelése céljainak és eszközeinek meghatározására is.

113.

E tekintetben, ami az online közzétett hirdetésben szereplő adatok kezelésének célját illeti, a hirdetés online piacon történő közzététele általános jelleggel arra irányul, hogy a hirdető felhasználó által kínált terméket vagy szolgáltatást a nyilvánosság körében népszerűsítse. Ezt a célt tehát az érintett hirdető felhasználó határozza meg. Ezzel szemben úgy tűnik, hogy ezen online piac üzemeltetője saját célból nem gyakorol befolyást e hirdetések közzétételének okára. A jelen ügy tökéletesen szemlélteti az online piac működésének e sajátosságát. A vitatott hirdetést ugyanis nem valamely hirdető felhasználó szolgáltatásának népszerűsítése céljából tették közzé online, hanem azért, hogy az alapeljárás felperesének kárt okozzanak. Az üzemeltető nem gyakorolt befolyást e hirdetés szerzőjének sajnálatos motivációjára.

114.

Az adatkezelés eszközeinek meghatározását illetően a hirdető felhasználó gyakorol befolyást az arra a kérdésre adandó válaszra, hogy az adatokat hogyan kezelik. A hirdető felhasználó dönti ugyanis el, hogy szerepelnek‑e adatok a hirdetésben, és ha igen, mely adatok. Ezzel szemben igen valószínű, hogy az online piac üzemeltetője még csak nem is bír tudomással arról, hogy valamely hirdetés személyes adatokat tartalmaz. Ezenkívül, bár igaz, hogy ezen üzemeltető határozza meg a hirdetések elrendezését, valamint ezen online piac működésének egyéb technikai és szervezési vonatkozásait, a jelen indítvány 109. pontjában ismertetett észrevételekre figyelemmel megjegyzem, hogy az említett üzemeltetőnek az adatkezelés nem alapvető eszközeinek meghatározására gyakorolt befolyása mindazonáltal nem jelenti azt, hogy őt adatkezelőnek kellene tekinteni.

115.

Ily módon úgy tűnik, hogy egy online piacnak a Russmediához hasonló üzemeltetője saját célból nem gyakorol befolyást az ezen online piacon közzétett hirdetésekben esetlegesen szereplő személyes adatok kezelése céljának és eszközeinek meghatározására. Ha az üzemeltető részt vesz az ilyen adatok kezelésében, adatfeldolgozóként jár el, a hirdető felhasználó nevében és annak felelőssége mellett. E körülmények között a tárhelyszolgáltatás felhasználóit kell a GDPR értelmében vett „adatkezelőnek” minősíteni. ( 49 )

116.

A jelen ügy sajátosságára tekintettel néhány további pontosítást kell tenni az általam kifejtett megfontolásokkal kapcsolatban.

117.

Elsősorban, függetlenül attól, hogy a GDPR alapján az érintett a saját személyes adatai tekintetében adatkezelőnek tekinthető‑e, ( 50 ) meg kell jegyezni, hogy a jelen ügyben a vitatott hirdetésben szereplő adatok nem magát az e hirdetést online közzétevő személyt érintették.

118.

Másodsorban, az online piacának általános felhasználási feltételei értelmében a Russmedia fenntartja magának a jogot, hogy a hirdető felhasználók kérésére tárolt információkat felhasználja. Azokat – akár alapos indok nélkül is – bármely időpontban lemásolhatja, terjesztheti, továbbíthatja, nyilvánosságra hozhatja, sokszorosíthatja, módosíthatja, lefordíthatja, partnerek részére átengedheti és eltávolíthatja. Ha a valamely hirdetésben szereplő adatok tekintetében ilyen intézkedésre kerül sor, úgy e társaság egy adott adatkezelési művelet tekintetében adatkezelőnek tekinthető, az ebből eredő valamennyi kötelezettséggel és felelősséggel együtt. Valamely személy ugyanis csak az olyan adatkezelési műveletek tekintetében minősíthető adatkezelőnek, amelyek céljait és eszközeit ő határozza meg. Ezzel szemben – a nemzeti jog szerinti esetleges polgári jogi felelősséget nem érintve – ez a személy nem tekinthető a GDPR értelmében adatkezelőnek az adatkezelési lánc olyan korábbi vagy későbbi műveletei tekintetében, amelyek céljait és eszközeit nem ő határozza meg. ( 51 )

119.

Harmadsorban, az általam kifejtett megfontolások megfelelnek a 29. cikk szerinti munkacsoport ( 52 ) által az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló, 2010. február 16‑i 1/2010. sz. véleményében ( 53 ) kifejtett álláspontnak. E munkacsoport szerint ugyanis egy tárhelyszolgáltatást nyújtó internetszolgáltató elvileg adatfeldolgozó az – az internetszolgáltatót a weboldaluk tárhelyeként és fenntartására használó – ügyfelei által online közzétett személyes adatok vonatkozásában. Ha azonban az internetszolgáltató a saját céljaira tovább kezeli a weboldalakon található adatokat, akkor e konkrét adatkezelésekre vonatkozóan ő az adatkezelő. Ez az álláspont megegyezik továbbá az Európai Adatvédelmi Testületnek az adatkezelő és adatfeldolgozó általános adatvédelmi rendelet szerinti fogalmáról szóló, 2021. július 7‑én elfogadott 07/2020. sz. iránymutatásában ( 54 ) foglalt álláspontjával is, amely szerint az a tárhelyszolgáltató, amely nem határozza meg, hogy az általa tárolt adatok személyes adatok‑e, és az adatokat az ügyfele nevében történő tároláson kívül más módon nem kezeli, adatfeldolgozónak minősül.

120.

Ily módon – a kérdést előterjesztő bíróság által elvégzendő ténybeli vizsgálatok függvényében – véleményem szerint a Bíróságnak fel kell hívnia e bíróság figyelmét annak lehetőségére, hogy felülvizsgálja a Russmedia minősítését. A Bizottsághoz hasonlóan ugyanis úgy vélem, hogy e társaság a vitatott hirdetés közzétételéből eredő adatkezelési műveleteket illetően nem adatkezelői, hanem adatfeldolgozói szerepet tölt be. Ezen előfeltevés alapján fogom most megvizsgálni a második, harmadik és negyedik kérdést.

2.

Az online piac üzemeltetőjének kötelezettségei és felelőssége

a)

Az az eset, ha az online piac üzemeltetője a hirdetésekben szereplő adatok kezelése tekintetében adatfeldolgozónak minősül

121.

Az online piac üzemeltetőjét a GDPR értelmében terhelő kötelezettségek és felelősség összefüggésében fontos különbséget tenni egyrészt az e piacon közzétett hirdetésekben szereplő személyes adatok kezelése, másrészt pedig az ezen üzemeltetőnél fiókot létrehozó hirdető felhasználók adatainak kezelése között.

1)

A hirdetésekben szereplő adatok kezelése

122.

Abban az esetben, ha a hirdetésekben szereplő személyes adatok kezelését illetően a Russmedia valóban adatfeldolgozó volt, nem kellett megvizsgálnia, hogy az adatkezelés megengedett és jogszerű volt‑e. Amint ugyanis arra rámutattam, ( 55 ) a második kérdésben említett rendelkezések értelmében az adatkezelő felelős a személyes adatok kezelésére vonatkozó elvek tiszteletben tartásáért. Hasonlóképpen, a harmadik kérdésben említett rendelkezések értelmében az adatfeldolgozó nem köteles előzetesen ellenőrizni az adatkezelési műveletek tárgyát képező információk tartalmát sem.

123.

Ami a negyedik kérdést illeti, az annak megállapítására irányul, hogy a Russmediának biztonsági intézkedéseket kellett volna‑e hoznia a személyes adatokat tartalmazó hirdetések tartalma sokszorosításának vagy továbbterjesztésének megakadályozására vagy korlátozására. Ez a kérdés a GDPR 5. cikke (1) bekezdése b) és f) pontjának, valamint 24. és 25. cikkének értelmezésére vonatkozik. E rendelkezések szintén olyan kötelezettségekre vonatkoznak, amelyek nem az adatfeldolgozót, hanem az adatkezelőt terhelik.

124.

Mindemellett a GDPR 32. cikke pontosítja az adatkezelőnek és az esetleges adatfeldolgozónak ezen adatkezelés biztonságával kapcsolatos kötelezettségeit. ( 56 )

125.

Pontosabban a GDPR 32. cikkének (1) bekezdése úgy rendelkezik, hogy az adatkezelő és az adatfeldolgozó megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy az adatkezelés jelentette kockázat mértékének megfelelő szintű adatbiztonságot garantálja, figyelembe véve a tudomány és technológia állását és a megvalósítás költségeit, továbbá az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint a kockázatokat. Hasonlóképpen e rendelet 32. cikkének (2) bekezdése kimondja, hogy a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.

126.

Amennyiben a GDPR 32. cikkének (2) bekezdése az adatfeldolgozó kötelezettségeivel foglalkozik, e rendelkezés azt feltételezi, hogy az adatkezelő utasításai szerinti adatkezelés megengedett és jogszerű. Az adatfeldolgozó nem kötelezhető arra, hogy ellenőrizze azon adatkezelő tevékenységét, akinek a nevében adatokat kezel. Ezzel szemben hoznia kell olyan intézkedéseket, amelyek célja, hogy harmadik felek beavatkozásával szemben garantálják a személyes adatok kezelésének biztonságát. E rendelet 32. cikkének (1) bekezdés ugyanis lényegében az integritás és a bizalmas jelleg e rendelet 5. cikke (1) bekezdésének f) pontjában szereplő elveit konkretizálja. ( 57 ) Ezen elvek értelmében az adatoknak az adatkezelő által vagy nevében történő kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen ezen adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével és elvesztésével szembeni védelmet is ideértve.

127.

Ha a valamely online piacon közzétett hirdetéseket e piac általános felhasználási feltételeinek megfelelően – ott felsorolt, tehát a hirdető felhasználók által előzetesen ismert – más honlapok üzemeltetői átvehetik, az adatfeldolgozónak olyan intézkedéseket kell végrehajtania, amelyek lehetővé teszik számára, hogy elérje a saját platformjáról törölt hirdetések eltávolítását. Előfordulhat ugyanis, hogy az adatkezelés nem vagy már nem jogszerű, és annak a platformnak, amelyen keresztül a hirdetések továbbterjesztésére sor kerül, képesnek kell lennie arra, hogy partnereinél is véget vessen a GDPR megsértésének. Ez az eredmény összhangban áll azzal az eredménnyel, amelyre a 2000/31 irányelv 14. cikke (1) bekezdésének b) pontjában előírt feltételnek a tárhelyszolgáltató általi tiszteletben tartását illetően jutottam. ( 58 )

128.

Ezzel szemben – ellentétben azzal, amit a kérdést előterjesztő bíróság a negyedik kérdésben felvázolni látszik – számomra nem tűnik úgy, hogy az adatfeldolgozó köteles lenne megakadályozni vagy korlátozni a személyes adatokat tartalmazó hirdetések sokszorosítását vagy továbbterjesztését. Nem az adatfeldolgozó feladata annak meghatározása, hogy ezekhez ki és hogyan férhet hozzá.

2)

A hirdető felhasználók adatainak kezelése

129.

Az online piac üzemeltetőjének kötelezettségei és felelőssége jelentősebb az adott üzemeltetőnél fiókot létrehozó hirdető felhasználók adatainak kezelését illetően. Ezen adatkezelés keretében az üzemeltető az adatkezelő, és a GDPR 24. és 25. cikke teljes mértékben alkalmazandó rá. ( 59 )

130.

A GDPR 24. cikke arra vonatkozó általános kötelezettséget ír elő az adatkezelő számára, hogy megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítása céljából, hogy az adatkezelés e rendelettel összhangban történik. Az említett rendelet 25. cikke arra kötelezi az adatkezelőt, hogy mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket hajtson végre, amelyek célja egyrészt az adatvédelmi elvek hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

131.

Amint az a GDPR 24. és 25. cikkéből kitűnik, a szóban forgó intézkedéseknek meg kell felelniük a személyes adatok kezelésének körülményeire jellemző sajátos kockázatoknak. Kétségtelen, hogy a konkrét kockázatok azonosítását és a megfelelő eszközök meghatározását a kérdést előterjesztő bíróság mérlegelésére kell bízni, amely bíróság az e rendelkezésekre tekintettel releváns szempontok összességére vonatkozó valamennyi ténybeli elemmel rendelkezik, mindazonáltal a következő pontosításokat szeretném hozzátenni.

132.

Amint azt a GDPR (75) preambulumbekezdése kimondja, a személyes adatok kezeléséből a természetes személyek jogait és szabadságait érintő kockázatok származhatnak, különösen, ha az adatkezelésből személyazonosság‑lopás fakadhat. valamint, ha az érintettek nem rendelkezhetnek saját személyes adataik felett. A személyazonosság‑lopásra ugyanis általában azzal a céllal kerül sor, hogy az érintett személy vagy harmadik felek kárára csalárd cselekményeket kövessenek el. Ezenkívül, ami az online platformokat illeti, azok felelőtlen használata a természetes személyek jogainak megsértéséhez vezethet, és az e jogsértésért felelős személy számára annak kilátása, hogy büntetlenül járhat el, növeli ezeket a kockázatokat.

133.

Ennélfogva, ha az adatkezelő a hirdető felhasználók számára elérhető online piacot kezel, amely felhasználók e piac használata során csalárd célból személyazonosság‑lopást követhetnek el, olyan intézkedéseket kell végrehajtania, amelyek lehetővé teszik számára e kockázat csökkentését. Amint azt a GDPR 25. cikke megköveteli, az e rendeletben foglalt követelmények teljesítése és az érintettek jogainak védelme érdekében az adatkezelőnek ezt a kockázatot mind az adatkezelés módjának meghatározásakor, mind pedig maga az adatkezelés során figyelembe kell vennie.

134.

E körülmények között az online piac üzemeltetőjének véleményem szerint olyan technikai vagy szervezési intézkedéseket kell előírnia, amelyek lehetővé teszik számára a hirdető felhasználók személyazonosságának ellenőrzését. Az ilyen ellenőrzés ugyanis egyrészt korlátozná a személyes adatok jogellenes vagy tisztességtelen kezelésének kockázatát az érintett személy tekintetében, másrészt pedig lehetővé tenné az ezen online piac felelőtlen használata elleni küzdelmet, mivel az anonim felhasználók nem éreznék büntethetetlennek magukat.

135.

Pontosítani kell, hogy az internet anonim használatának feltételezése nem zárja ki a hirdető felhasználók személyazonosságának ellenőrzését. A hirdető felhasználó adatai nem lehetnek hozzáférhetőek a platform minden felhasználója számára. Azokat kizárólag az adatkezelő ellenőrizheti és tárolhatja annak érdekében, hogy eleget tudjon tenni a GDPR szerinti kötelezettségeinek. Ellenőrzésként az üzemeltető kérheti telefonszám közlését, és a telefonszámot felhasználhatja a regisztráció megerősítésére. Az ilyen megoldás nem szokatlan az online platformok esetében.

136.

Igaz, hogy egy ilyen intézkedés nem teszi lehetővé a személyazonosság‑lopás minden kockázatának kiküszöbölését. A GDPR azonban annak előírására szorítkozik, hogy az adatkezelő olyan technikai és szervezési intézkedéseket fogadjon el, amelyek célja a személyes adatok megsértésének a lehető legnagyobb mértékben történő elkerülése. ( 60 ) Nem eredménykötelezettségről, hanem gondossági kötelezettségről van tehát szó. Mindenesetre az előzetes döntéshozatalra utaló határozat arra enged következtetni, hogy a Russmedia semmilyen intézkedést nem hajtott végre, amely lehetővé tette volna számára a vitatott hirdetés szerzője személyazonosságának e hirdetés regisztrálásának vagy közzétételének időpontjában történő ellenőrzését.

137.

E körülmények között azt javaslom, hogy a Bíróság a második, harmadik és negyedik kérdésre azt a választ adja, hogy a GDPR 5. cikke (1) bekezdésének f) pontját, 6. cikke (1) bekezdésének a) pontját, valamint 7., 24. és 25. cikkét úgy kell értelmezni, hogy az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltató, amelynek tevékenysége a felhasználói kérésére ingyenes vagy fizetett hirdetéseknek egy honlapon történő tárolásában áll, adatfeldolgozóként jár el az online piacán közzétett hirdetésekben szereplő személyes adatok tekintetében. Ennek keretében nem köteles ellenőrizni a közzétett hirdetések tartalmát, vagy biztonsági intézkedéseket alkalmazni a rajta keresztül közzétett hirdetések tartalma sokszorosításának és továbbterjesztésének megakadályozására vagy korlátozására. Mindazonáltal megfelelő szervezési és technikai intézkedéseket kell végrehajtania az adatkezelés harmadik felekkel szembeni biztonságának garantálása érdekében. Ezzel szemben az ilyen szolgáltató adatkezelőként jár el a honlapján regisztrált hirdető felhasználók személyes adatait illetően. Ennek keretében köteles ellenőrizni e hirdető felhasználók személyazonosságát.

138.

A teljesség kedvéért és arra az esetre, ha a Bíróság nem értene egyet az elemzésemmel, a következőkben röviden megvizsgálom valamely online piac – a GDPR 4. cikkének 7. pontja értelmében vett adatkezelőnek tekintett – üzemeltetőjének az online piacán közzétett hirdetésekben szereplő személyes adatokat illetően fennálló kötelezettségeit és felelősségét. Amint azt említettem ugyanis, ( 61 ) úgy tűnik, hogy a második, harmadik és negyedik kérdés azon az előfeltevésen alapul, hogy a Russmedia „adatkezelőként” jár el.

b)

Az az eset, ha az online piac üzemeltetője a hirdetésekben szereplő adatok kezelése tekintetében adatkezelőnek minősül

139.

Előzetesen megjegyzem, hogy az a tény, hogy valamely online piac üzemeltetője adatkezelő, nem jelenti szükségképpen azt, hogy ezen online piac hirdető felhasználója nem tekinthető szintén adatkezelőnek. ( 62 )

140.

A GDPR ugyanis elismeri a közös felelősség fennállását, amely nem feltétlenül jelenti a személyesadat‑kezeléssel érintett különböző gazdasági szereplők azonos mértékű felelősségét. Éppen ellenkezőleg, mivel ezek a gazdasági szereplők az adatkezelés eltérő szakaszaiban és különböző mértékben vehetnek részt, adatkezelői felelősségük mértékét az ügy valamennyi releváns körülményének figyelembevételével kell értékelni.

141.

Mindazonáltal az online piac üzemeltetőjének kötelezettségeire és felelősségére fogok összpontosítani, mivel a jelen ügyben az ilyen üzemeltetőnek az online piacán közzétett hirdetésben szereplő személyes adatok kezeléséért való felelősségéről van szó.

142.

A második és a harmadik kérdés annak meghatározására irányul, hogy egy honlap üzemeltetője a hirdetés közzététele előtt köteles‑e ellenőrizni, hogy a hirdetést közzé tevő személy azonos‑e azzal a személlyel, akire a hirdetés vonatkozik, továbbá köteles‑e ellenőrizni a felhasználók által feladott hirdetések tartalmát.

143.

E tekintetben nem vagyok meggyőződve arról, hogy az online piac üzemeltetője köteles meggyőződni arról, hogy a hirdető felhasználó valóban a hirdetésben szereplő adatok által érintett személy. Az online piacot ugyanis a hirdető felhasználó arra is használhatja, hogy egy másik személyre vonatkozó hirdetést tegyen közzé.

144.

Az adatkezelőnek mindazonáltal ellenőriznie kell, hogy a személyes adatok kezelése az érintett hozzájárulásán alapul‑e, vagy valamely egyéb, jogszabály által megállapított alappal rendelkezik‑e. Ilyen kötelezettséget ír elő számára a GDPR 5. cikke (1) bekezdésének a) pontja, 6. cikkének (1) bekezdése és 7. cikkének (1) bekezdése.

145.

Ily módon, ha az online piac üzemeltetője adatkezelőként jár el, meg kell győződnie arról, hogy az a személy, akinek adatai a hirdetésben szerepelnek, hozzájárult az adatkezeléshez. Logikusan a hirdető felhasználó által feladott valamennyi hirdetés tartalmát is meg kell vizsgálnia annak ellenőrzése érdekében, hogy az tartalmaz‑e személyes adatokat.

146.

A tisztességes eljárás GDPR 5. cikke (1) bekezdésének a) pontjában foglalt elvének megfelelően az adatkezelőnek azt is biztosítania kell, hogy az adatokat az érintett vonatkozásában tisztességesen kezeljék. Ezenkívül e rendelet 24. és 25. cikke értelmében technikai és szervezési intézkedéseket is végre kell hajtania annak biztosítása érdekében, hogy az adatkezelés az említett rendeletnek megfelelően történjen. Ennek során figyelembe kell vennie az adatkezelés körülményeire jellemző sajátos kockázatokat.

147.

Az online környezetben nyilvánosan hozzáférhető személyes adatok kezeléséből a természetes személyek jogait és szabadságait érintő kockázatok származhatnak, így különösen kár vagy nem vagyoni kár következhet be.

148.

Amennyiben egy online piac üzemeltetője adatkezelő az e piacon közzétett hirdetésekben szereplő adatok tekintetében, a hirdetések online közzététele előtt meg kell vizsgálnia azokat, ellenőriznie kell, hogy az adatkezelés az érintett hozzájárulásán alapul‑e, vagy valamely egyéb, jogszabály által megállapított alappal rendelkezik‑e, és az érintettekre nézve sérelmes adatkezelés elleni intézkedéseket kell hoznia. Amennyiben nem tartja tiszteletben ezeket az elveket, a GDPR 82. cikkével összhangban felelősségre vonható e rendelet megsértéséért.

149.

A negyedik kérdés arra irányul, hogy egy online piac üzemeltetőjének biztonsági intézkedéseket kell‑e alkalmaznia a rajta keresztül közzétett hirdetések tartalma sokszorosításának és továbbterjesztésének megakadályozására vagy korlátozására.

150.

Amennyiben az adatkezelés körülményeire figyelemmel fennáll annak lehetősége, hogy a hirdetéseket más honlapok is átveszik és a személyes adatokat később a gyűjtésük céljaival össze nem egyeztethető módon kezelik, az adatkezelő mérlegelheti ilyen intézkedések végrehajtását, amelyeknek megfelelőnek kell lenniük. Márpedig nem vagyok meggyőződve arról, hogy egy online piac üzemeltetője, amely piac gazdasági értelme az üzemeltető és a hirdető felhasználók szempontjából abból ered, hogy az ott közzétett hirdetések nyilvánosan hozzáférhetők, köteles lenne korlátozni azok továbbterjesztését. Ezenkívül valamely tartalom online közzétételének szokásos célja általában az, hogy azt valamennyi internetfelhasználó számára hozzáférhetővé tegyék, ami egyfajta továbbterjesztést is magában foglal. Mindenesetre a jelen indítvány 148. pontjában ismertetett megfontolásokra figyelemmel a vitatott hirdetést az érintett hozzájárulása nélkül nem lehetett volna közzétenni a Russmedia online piacán.

151.

Az adatkezelő kötelezettségeire és felelősségére vonatkozó fenti kiegészítő megjegyzések sérelme nélkül fenntartom azt az álláspontomat, amely szerint az online piac üzemeltetője az e piacon közzétett hirdetésekben szereplő személyes adatok tekintetében adatfeldolgozó. ( 63 ) E körülmények között meg kell még vizsgálni a 2000/31 irányelv és a GDPR közötti kapcsolatot.

C.

A 2000/31 irányelv rendszere és a GDPR rendszere közötti kapcsolatról

152.

A második és a harmadik kérdés többek között a GDPR 2. cikkének (4) bekezdésére irányul, amely az e rendelet és a 2000/31 irányelv közötti kapcsolatra vonatkozik. Ezenkívül e kérdések mind az említett rendeletnek az adatkezelő kötelezettségeit és felelősségét meghatározó rendelkezéseire, mind pedig ezen irányelv 15. cikkére vonatkoznak. Úgy tűnik tehát, hogy ezek a kérdések a GDPR és az említett irányelv párhuzamos alkalmazását feltételezik.

153.

Mielőtt rátérnék e két uniós jogi eszköz ilyen párhuzamos alkalmazására (2. szakasz), rá kell mutatnom, hogy bizonyos feszültség áll fenn az első kérdésben említett eset és a második, harmadik és negyedik kérdésben említett eset között (1. szakasz).

1.

A semleges tárhelyszolgáltató mint adatkezelő

154.

Emlékeztetőül, elemzésemből az következik, hogy a Russmedia az online piacán közzétett hirdetésekben szereplő személyes adatok kezelését illetően adatfeldolgozóként járt el. ( 64 ) A kérdést előterjesztő bíróság munkahipotézise ezzel szemben az, hogy e társaság adatkezelőként járt el. E körülmények között az előzetes döntéshozatalra utaló határozat felveti azt a kérdést, hogy egy online piac üzemeltetője betölthet‑e két szerepet, nevezetesen a 2000/31 irányelv 14. cikkének (1) bekezdése értelmében vett, a szolgáltatásának felhasználói kérésére tárolt információk semleges tárhelyszolgáltatójának szerepét és az ezen információkban szereplő személyes adatok tekintetében az adatkezelő szerepét. Egyrészt ugyanis az első kérdés annak megállapítására irányul, hogy a Russmedia az ezen irányelv II. fejezetének 4. szakasza értelmében vett közvetítő szolgáltató‑e. Másrészt úgy tűnik, hogy a második, harmadik és negyedik kérdés abból az előfeltevésből indul ki, hogy e társaságot a GDPR értelmében vett „adatkezelőnek” kell minősíteni.

155.

E tekintetben tudatában vagyok annak, hogy a Bíróság ítélkezési gyakorlatában nem zárta ki, hogy a GDPR értelmében vett személyesadat‑kezelő semleges szerepet tölthessen be az ezen adatokat tartalmazó információk tekintetében, és a 2000/31 irányelv 14. cikkének (1) bekezdése alapján mentesülhessen a felelősség alól. Ilyen észrevételt a jogi szakirodalomban is tettek a nemzeti ítélkezési gyakorlatokat illetően. ( 65 )

156.

Kétségtelen, hogy a Bíróság először is a Google Spain és Google ítéletben megállapította, hogy egy keresőmotor üzemeltetője adatkezelőnek minősül a harmadik fél által az interneten közzétett vagy megosztott, az ezen üzemeltető által felkutatott, indexelt és tárolt információkban szereplő személyes adatok tekintetében. ( 66 ) Másodszor, a Google France és Google ítéletben a Bíróság azzal a kérdéssel foglalkozott, hogy ugyanezen keresőmotor üzemeltetője mentesülhet‑e a felelősség alól a 2000/31 irányelv 14. cikkének (1) bekezdése alapján. ( 67 ) Ez az ítélet azonban nem az említett keresőmotor üzemeltetésére vonatkozott, hanem reklámszolgáltatásra. Ezenkívül ebben az ítéletben a Bíróság a kérdést előterjesztő bíróságra bízta annak értékelését, hogy az ezen üzemeltető által betöltött szerep megfelel‑e az e rendelkezés értelmében vett közvetítő szolgáltató szerepének. ( 68 )

157.

Még fontosabb egyrészt, hogy – amint arra rámutattam ( 69 ) – a jogalkotó szándéka szerint a 2000/31 irányelv II. fejezetének 4. szakaszában meghatározott értelemben vett közvetítő szolgáltató nem játszhat olyan szerepet, amely a tárolt adatok ismeretét vagy ellenőrzését biztosítaná számára, tehát szolgáltatásának semleges történő nyújtására kell szorítkoznia azáltal, hogy tisztán technikai adatkezelést végez. Másrészt az adatkezelői szerep magában foglalja a személyes adatok kezelése céljának és eszközeinek meghatározását, és különösen azt, hogy befolyást gyakorolnak arra, hogy az adatok olyan adatkezelési műveletek tárgyát képezik‑e, mint a rögzítés, megváltoztatás vagy terjesztés, valamint adott esetben befolyást gyakorolnak ezen adatok meghatározására. ( 70 ) Az ilyen befolyás gyakorlása összeegyeztethetetlen azzal a semleges szereppel, amelyet az információs társadalommal összefüggő szolgáltatás nyújtójának a felhasználók kérésére tárolt információkat illetően fenn kell tartania ahhoz, hogy a 2000/31 irányelv 14. cikkének (1) bekezdése alapján a felelősség alól mentesülhessen. Hasonlóképpen, amint azt kifejtettem, ( 71 ) a GDPR olyan kötelezettségeket és felelősséget ró az adatkezelőre, amelyek megkövetelik, hogy proaktív módon járjon el. Lényegében a személyes adatok kezelésére vonatkozó elvek tiszteletben tartása érdekében az adatkezelőnek ismernie kell az érintett adatokat, és ellenőriznie kell azokat. Ez az ellenőrzés szintén nem egyeztethető össze az ilyen szolgáltató semleges szerepével.

158.

Így, ha egyrészt a tárhelyszolgáltatás olyan információk tárolásából áll, amelyek a GDPR szempontjából személyes adatoknak minősülnek, és másrészt e szolgáltatás nyújtója e rendelet értelmében adatkezelőnek minősül, e szolgáltató szerepe nem korlátozódik az ilyen információk semleges tárolására. Következésképpen az ilyen szolgáltatás nyújtója ezen információk tekintetében tevőleges szerepet játszik, és nem mentesülhet a felelősség alól a 2000/31 irányelv 14. cikkének (1) bekezdése alapján.

159.

Az első kérdésben, illetve és a második, harmadik és negyedik kérdésben szereplő eset közötti feszültség alátámasztja a GDPR azon értelmezését, amely szerint az online piac üzemeltetője nem adatkezelőként jár el az általa a hirdető felhasználók kérésére tárolt hirdetésekben szereplő személyes adatok tekintetében, hanem adatfeldolgozóként. ( 72 )

160.

A teljesség kedvéért jelzem, hogy nem tudom kizárni, hogy az uniós jogalkotó úgy döntött, hogy nem zárja ki annak lehetőségét, hogy egy adatkezelőként eljáró tárhelyszolgáltató a digitális szolgáltatásokról szóló rendelet keretében mentesüljön a felelősség alól. Ugyanis, bár e rendelet hatályon kívül helyezte a 2000/31 irányelv 12–15. cikkét, ( 73 ) a Bíróság által értelmezett e rendelkezéseket átvették abba. Az említett rendelet 7. cikkében hozzáteszi, hogy „[a] közvetítő szolgáltatóktól nem tagadható meg a […] felelősség alóli mentesülés kizárólag azon az alapon, hogy jóhiszeműen és kellő gondossággal eljárva önkéntes, saját kezdeményezésű vizsgálatokat [folytatnak] […], vagy az uniós jog és az uniós joggal összhangban álló nemzeti jog követelményeinek – beleértve az e rendeletben foglalt követelményeket – való megfeleléshez szükséges intézkedéseket hoznak”. ( 74 ) E rendelkezésnek a „szolgáltató által önkéntesen hozott intézkedésekre” vonatkozó első része közös elemeket mutat a Bíróságnak a 2000/31 irányelv alapján már alatt kialakított ítélkezési gyakorlatával. ( 75 ) Az „uniós jog követelményeinek való megfelelés érdekében hozott intézkedésekre” vonatkozó, ugyanezen rendelet által beiktatott második rész lehetővé tenné egy tárhelyszolgáltató számára, hogy eleget tegyen a GDPR által rá rótt kötelezettségeknek, és fenntartsa a semleges közvetítő szolgáltatói szerepet. Mindazonáltal a 2000/31 irányelv nem tartalmaz ilyen értelmű rendelkezést, és nincs helye annak, hogy azt ezen irányelv értelmezése útján bevezessük.

161.

Azt kell még meghatározni, hogy a személyes adatok kezelésében adatfeldolgozóként részt vevő valamely szereplő, amelynek az ezen adatok kezeléséért való felelőssége megállapítható a GDPR megsértése miatt, hivatkozhat‑e a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességre.

2.

A GDPR és a 2000/31 irányelv párhuzamos alkalmazása

162.

Az előzetes döntéshozatalra utaló határozat által felvetett probléma abból ered, hogy a szolgáltatás igénybe vevőjének kérésére tárolt információ olyan személyes adatokat tartalmazott, amelyeket a GDPR megsértésével kezeltek. Ezért merül fel a kérdés, amely az alapeljárás felei között vitatott, és amely a jogtudományban régóta vita tárgyát képezi: ( 76 ) hivatkozhat‑e a 2000/31 irányelv 14. cikkének (1) bekezdése szerinti, felelősség alóli mentességre a személyes adatok kezelésében részt vevő olyan szereplő, amelynek megállapítható a GDPR megsértése miatti felelőssége?

163.

E tekintetben meg kell jegyeznem, hogy az e két uniós jogi eszközre vonatkozó elemzésemnek megfelelően az információs társadalommal összefüggő szolgáltatást nyújtó szolgáltató, amely az e szolgáltatás felhasználóinak kérésére tárolt információkban szereplő személyes adatok tekintetében az adatkezelő, nem hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességre. ( 77 ) Következésképpen az alábbi elemzés kizárólag annak meghatározására irányul, hogy az ilyen adatok adatfeldolgozójaként eljáró szolgáltató hivatkozhat‑e erre a mentességre. Emlékeztetek arra, hogy a GDPR rendelkezéseire vonatkozó elemzésem alapján azt javaslom a Bíróságnak, hogy állapítsa meg, hogy a Russmedia adatfeldolgozóként járt el. ( 78 )

164.

Ezenkívül rá kell mutatni, hogy a kérdést előterjesztő bíróság nem pontosítja, hogy az alapeljárásban megállapítható‑e a Russmediának a GDPR megsértése miatti felelőssége e rendelet 82. cikke vagy a polgári jogi felelősségre vonatkozóan a nemzeti jogban előírt szabályok alapján. A személyes adatok védelmére vonatkozó valamely szabály megsértése ugyanis egyidejűleg más, így például a fogyasztóvédelemre ( 79 ) vagy a személyiségi jogokra vonatkozó szabályok megsértését is eredményezheti, és az uniós jogalkotó nem kívánta kimerítően harmonizálni a GDPR rendelkezéseinek megsértése esetén nyitva álló jogorvoslati lehetőségeket. ( 80 )

165.

Mindenesetre, ami a polgári jogi felelősséget illeti, mind a 2000/31 irányelv, mind pedig a GDPR tartalmaz olyan rendelkezéseket, amelyek útmutatással szolgálnak e két uniós jogi aktus közötti kapcsolatra vonatkozóan.

a)

A 2000/31 irányelv releváns rendelkezéseiről

166.

A 2000/31 irányelv „Az irányelv célja és alkalmazási köre” című 1. cikke (5) bekezdésének b) pontja előírja, hogy ez az irányelv nem alkalmazható az információs társadalommal összefüggő szolgáltatásokkal kapcsolatos, az uniós jog személyes adatokra vonatkozó szabályainak hatálya alá tartozó kérdésekre. Konkrétabban ez a rendelkezés a 95/46 irányelvre és a 97/66 irányelvre hivatkozik, amelyek helyébe a GDPR ( 81 ) és a 2002/58 irányelv ( 82 ) lépett.

167.

Ezenkívül a 2000/31 irányelv (14) preambulumbekezdése, amely az irányelv 1. cikkének (5) bekezdésében említett problematikára vonatkozik, kimondja, hogy a személyesadat‑kezelés vonatkozásában a természetes személyek védelmét kizárólag a 95/46 irányelv és a 97/66 irányelv szabályozza, „amelyek teljes egészében alkalmazandóak az információs társadalommal összefüggő szolgáltatásokra; ezek az irányelvek már meghatároznak egy [uniós] jogi keretet a személyes adatok terén és ennélfogva nem szükséges [a 2000/31] irányelvben ezzel a témával foglalkozni ahhoz, hogy a belső piac zavartalan működése, különösen a személyes adatoknak a tagállamok közötti szabad mozgása biztosítható legyen; ezen irányelv végrehajtása és alkalmazása során teljes mértékben a személyes adatok védelmére vonatkozó elvekkel összhangban kell eljárni […]”.

168.

A Bíróság korábban már foglalkozott a 2000/31 irányelv 1. cikke (5) bekezdése b) pontjának értelmezésével.

169.

Először is a Promusicae ítéletben ( 83 ) az a kérdés merült fel, hogy az uniós jog megköveteli‑e a tagállamoktól, hogy a szerzői jog hatékony védelmének biztosítása céljából írják elő a személyes adatok polgári eljárás keretében történő közlésének kötelezettségét. Ebben az ügyben a kérdést előterjesztő bíróság több olyan irányelvre hivatkozott, amelyek szerinte ilyen kötelezettség jogalapját képezhették.

170.

E tekintetben a Bíróság úgy ítélte meg, hogy a 2000/31 irányelv 1. cikke (5) bekezdésének b) pontjából az következik, hogy az ilyen kötelezettség – feltéve, hogy azt a fenti irányelv előírja – nem sértheti a személyes adatok védelméhez kapcsolódó követelményeket. ( 84 ) Úgy tűnik tehát, hogy a Bíróság ezen irányelv és a személyes adatok védelmére vonatkozó uniós jogi eszközök párhuzamos alkalmazását vázolta fel.

171.

Másodszor a Bíróság a La Quadrature du Net és társai ítéletben ( 85 ) azzal a kérdéssel foglalkozott, hogy a 2000/31 irányelvvel ellentétes‑e az olyan nemzeti szabályozás, amely a nyilvános online hírközlési szolgáltatásokhoz való hozzáférést nyújtókat és a tárhelyszolgáltatókat az e szolgáltatásokhoz kapcsolódó személyes adatok általános és különbségtétel nélküli megőrzésére kötelezi. A kérdést előterjesztő bíróság úgy vélte, hogy ezt a kérdést ez az irányelv szabályozza, és hogy annak 15. cikke önmagában véve nem vezet be a tartalom létrehozására vonatkozó adatok megőrzésére olyan elvi tilalmat, amelytől csak kivételesen lehetne eltérni. ( 86 )

172.

A Bíróság úgy ítélte meg, hogy a 2000/31 irányelv nem alkalmazható az információs társadalommal összefüggő szolgáltatások keretében a közlések és a természetes személyek titkosságának a személyesadat‑kezeléssel kapcsolatos védelme terén, mivel azt az esettől függően a 2002/58 irányelv vagy a GDPR szabályozza. ( 87 )

173.

E válasz kategorikus jellege azon összefüggésből ered, amelyben e választ adták.

174.

Egyrészt ugyanis nem szabad szem elől téveszteni, hogy a 2000/31 irányelv (15) preambulumbekezdése kifejezetten a közlések titkosságára vonatkozik, és rögzíti, hogy a 97/66 irányelvnek megfelelően – amelyet a 2000/31 irányelv 1. cikke (5) bekezdésének b) pontja említ – „a tagállamoknak meg kell tiltaniuk, hogy az ilyen közléseket a feladókon és a címzetteken kívül bárki lehallgassa vagy nyomon kövesse, kivéve ha ilyen tevékenységre jogszerű felhatalmazása van”. A 2002/58 irányelv, amely a 97/66 irányelv helyébe lépett, megerősíti ezt a tilalmat, és meghatározza azokat a feltételeket, amelyek mellett a tagállamok attól eltérhetnek. Hasonlóképpen, a GDPR hatálya alatt a tagállamoknak a személyes adatok védelmére vonatkozó, eltérést engedő intézkedésekkel kapcsolatos mozgásterét e rendelet 23. cikke korlátozza.

175.

Másrészt a jelen indítvány 171. pontjában felidézett következtetés levonása érdekében a Bíróság jelezte, hogy a közlések titkosságát, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmét kizárólag a 2002/58 irányelv vagy a GDPR szabályozza, „azzal a pontosítással, hogy a 2000/31 irányelv által biztosítani kívánt védelem semmi esetre sem sértheti a 2002/58 irányelvből és a [GDPR‑ból] eredő követelményeket”. ( 88 )

176.

Így egyrészt a 2000/31 irányelv 1. cikke (5) bekezdésének b) pontjára vonatkozó ítélkezési gyakorlat arra enged következtetni, hogy ez az irányelv nem alkalmazandó azon kérdésekre, amelyek a 2002/58 irányelv és a GDPR keretében különös szabályozás tárgyát képezik. Másrészt a 2000/31 irányelv és a személyes adatokra alkalmazandó uniós jogi szabályok minden más kérdést illetően párhuzamosan alkalmazandók, de ezen irányelv rendelkezései nem sérthetik az ilyen adatok védelméhez kapcsolódó követelményeket.

b)

A GDPR releváns rendelkezéseiről

177.

A jelen indítvány 176. pontjában általam kifejtett értelmezést megerősíti a GDPR 2. cikkének (4) bekezdése, amely előírja, hogy e rendelet „nem érinti” a 2000/31 irányelv alkalmazását, különösen az ezen irányelv 12–15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat. ( 89 )

178.

Bár az uniós jog terminológiájában az a megállapítás, hogy valamely jogi eszköz vagy annak valamely rendelkezése „nem érint” egy másik eszközt, eltérő megoldásokhoz vezethet, a GDPR pontosítja, hogy az nem érinti különösen a 2000/31 irányelv meghatározott rendelkezéseit. Az uniós jogalkotó tehát azt kívánta hangsúlyozni, hogy e rendelet nem korlátozza ezen irányelv meghatározott rendelkezéseinek hatályát. Így nem tekinthető úgy, hogy a GDPR elsőbbséget élvez a 2000/31 irányelvvel szemben azon az alapon, hogy azt ezen irányelvet követően fogadták el.

c)

Záró megjegyzések

179.

A fentiekre tekintettel mind a Bíróság által értelmezett 2000/31 irányelv, ( 90 ) mind pedig a GDPR ( 91 ) oly módon épül fel, hogy lehetővé teszik azoknak az e rendelet keretében különös szabályozás tárgyát nem képező kérdésekre történő párhuzamos alkalmazását. Azt kell tehát még meghatározni, hogy a GDPR tartalmaz‑e olyan rendelkezést, amely az ezen irányelv 14. cikkének (1) bekezdéséhez hasonló szerepet tölt be.

180.

E tekintetben a GDPR 82. cikkének (3) bekezdése úgy rendelkezik, hogy az adatkezelő, illetve az adatfeldolgozó mentesül az olyan kárért való felelősség alól, amelyet az e rendeletet sértő adatkezelés okozott, „ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség”. A személyes adatok említett rendelet 4. cikkének 10. pontja értelmében vett „harmadik fél” általi megsértése esetén az adatkezelő, illetve az adatfeldolgozó ugyanezen rendelet 82. cikkének (3) bekezdése alapján mentesülhet a felelőssége alól annak bizonyításával, hogy nincs okozati összefüggés az adatvédelmi kötelezettség megsértése és a természetes személy által elszenvedett kár között. ( 92 )

181.

Úgy vélem, hogy a GDPR 82. cikkének (3) bekezdése nem képez a felelősség alóli mentességre vonatkozó olyan rendelkezést, amely a 2000/31 irányelv 14. cikkének (1) bekezdéséhez hasonló szerepet tölt be.

182.

A 2000/31 irányelv 14. cikkének (1) bekezdése ugyanis csak akkor alkalmazandó, ha a közvetítő szolgáltató a rá alkalmazandó szabályok alapján felelősségre vonható a közvetítő szolgáltatása felhasználóinak kérésére tárolt információkért. E rendelkezés alkalmazhatóságának kérdése tehát csak akkor merül fel, ha teljesülnek az e szolgáltatónak a tárolt információkért való felelősségére vonatkozó, az alkalmazandó szabályokban előírt feltételek. E tekintetben a GDPR 82. cikkében előírt kártérítéshez való jog feltételeit e cikk (1)–(3) bekezdése határozza meg. E rendelet 82. cikkének (3) bekezdése e felelősségnek csak egy feltételét vezeti be. ( 93 ) Az adatkezelő említett rendelet 82. cikke szerinti felelősségének megállapításához ugyanis az adatkezelő által elkövetett kötelességszegés fennállása szükséges, amelyet vélelmezni kell, kivéve ha ez utóbbi a (3) bekezdés értelmében bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség. ( 94 )

183.

Azon adatfeldolgozó esetében tehát, amelynek felelőssége a GDPR 82. cikke alapján megállapítható, nem kizárt a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentesség.

184.

Nem szabad azonban szem elől téveszteni, hogy az adatfeldolgozó felelőssége a GDPR 82. cikke (2) bekezdésének második mondata értelmében csak abban az esetben állapítható meg, ha nem tartotta be az e rendeletben meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el. Valamely online piac – a platformján közzétett hirdetésekben szereplő adatok tekintetében adatfeldolgozóként eljáró – üzemeltetőjének kötelezettségei és felelőssége tehát főként az említett rendelet 32. cikkéhez kapcsolódik. ( 95 )

185.

Mindemellett, amint azt már említettem, nem egyértelmű, hogy az alapeljárásban megállapítható‑e a Russmediának a GDPR megsértéséért való felelőssége e rendelet 82. cikke vagy a nemzeti rendelkezések alapján. Bár az említett rendelet megsértéséért való felelősség a nemzeti rendelkezések alapján is megállapítható lehet (és így ugyanezen rendelet 82. cikkének (3) bekezdése nem lenne alkalmazandó), még kevésbé indokolt az érintett jogalanyt kizárni a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességből.

186.

Következésképpen úgy vélem, hogy a személyes adatok kezelésében adatfeldolgozóként részt vevő valamely szereplő, amelynek megállapítható a GDPR megsértése miatti felelőssége, hivatkozhat a 2000/31 irányelv 14. cikkének (1) bekezdésében előírt, felelősség alóli mentességre. Az e két uniós jogi eszköz közötti kapcsolatra vonatkozó következtetésem tehát nem változtathat az előzetes döntéshozatalra előterjesztett kérdésekre adandó válaszokra vonatkozó javaslataimon.

V.

Végkövetkeztetés

187.

A fenti megfontolások összességére tekintettel javaslom, hogy a Bíróság a Curtea de Apel Cluj (kolozsvári ítélőtábla, Románia) által előzetes döntéshozatalra előterjesztett kérdésekre a következőképpen válaszoljon: