1.

De prejudiciële vragen in deze zaak betreffen de bepalingen van richtlijn 2000/31/EG ( 2 ) en verordening (EU) 2016/679 ( 3 ).

2.

Deze vragen zijn gerezen in een geding tussen een natuurlijke persoon en de exploitant van een onlinemarktplaats waarop zonder toestemming van die natuurlijke persoon een advertentie is gepubliceerd waarin stond dat de betrokkene seksuele diensten aanbood. Het bijzondere van deze zaak is dat de betrokken advertentie persoonsgegevens bevatte.

3.

Met zijn vragen, die betrekking hebben op de AVG, wenst de verwijzende rechter in dit verband om te beginnen te vernemen of de exploitant van een onlinemarktplaats als die in het hoofdgeding de krachtens deze verordening op hem rustende verplichtingen niet is nagekomen, en voorts of een dergelijke exploitant in aanmerking komt voor de in artikel 14, lid 1, van richtlijn 2000/31 bedoelde vrijstelling van aansprakelijkheid voor een op deze onlinemarktplaats gepubliceerde advertentie. Het onderhavige verzoek om een prejudiciële beslissing biedt het Hof dus de mogelijkheid om zich uit te spreken over de verhouding tussen de bij deze twee handelingen van Unierecht ingevoerde regelingen.

4.

Artikel 1 van richtlijn 2000/31 („Doel en toepassingsgebied”) bepaalt in lid 5 ervan met name dat deze richtlijn „niet van toepassing op: [...] kwesties in verband met diensten van de informatiemaatschappij die onder richtlijn 95/46/EG[ ( 4 )] en richtlijn 97/66/EG[ ( 5 )] vallen”.

5.

De artikelen 12, 13 en 14 van deze richtlijn, die zijn opgenomen in afdeling 4 („Aansprakelijkheid van dienstverleners die als tussenpersoon optreden”) van hoofdstuk II („Beginselen”) ervan, hebben betrekking op een verlener van diensten van de informatiemaatschappij die respectievelijk een loutere „mere conduit”‑activiteit (doorgeefluik), een vorm van opslag die bekendstaat als „caching” of een hostingactiviteit uitvoert. Deze bepalingen leggen ook vast onder welke voorwaarden dergelijke dienstverleners zijn vrijgesteld van aansprakelijkheid voor informatie die afkomstig is van gebruikers van hun diensten.

6.

Artikel 14, lid 1, van deze richtlijn, met als opschrift „Hosting” („host”‑diensten), luidt:

„De lidstaten zorgen ervoor dat, wanneer een dienst van de informatiemaatschappij bestaat in de opslag van de door een afnemer van de dienst verstrekte informatie, de dienstverlener niet aansprakelijk is voor de op verzoek van de afnemer van de dienst opgeslagen informatie, op voorwaarde dat:

of

7.

Artikel 15 van deze richtlijn („Geen algemene toezichtverplichting”) bepaalt het volgende:

„1.   Met betrekking tot de levering van de in de artikelen 12, 13 en 14 bedoelde diensten leggen de lidstaten de dienstverleners geen algemene verplichting op om toe te zien op de informatie die zij doorgeven of opslaan, noch om actief te zoeken naar feiten of omstandigheden die op onwettige activiteiten duiden.

2.   De lidstaten kunnen voorschrijven dat dienstverleners de bevoegde autoriteiten onverwijld in kennis dienen te stellen van vermeende onwettige activiteiten of informatie door afnemers van hun dienst, alsook dat zij de bevoegde autoriteiten op hun verzoek informatie dienen te verstrekken waarmee de afnemers van hun dienst met wie zij opslagovereenkomsten hebben gesloten, kunnen worden geïdentificeerd.”

8.

Artikel 2 AVG („Materieel toepassingsgebied”) bepaalt in lid 4 ervan het volgende:

„Deze verordening laat de toepassing van [richtlijn 2000/31], en met name van de regels in de artikelen 12 tot en met 15 van die richtlijn betreffende de aansprakelijkheid van dienstverleners die als tussenpersoon optreden onverlet.”

9.

Artikel 4 van deze verordening („Definities”) luidt als volgt:

„Voor de toepassing van deze verordening wordt verstaan onder:

[...]

[...]

[...]”

10.

Artikel 5 van deze verordening („Beginselen inzake verwerking van persoonsgegevens”) luidt:

„1.   Persoonsgegevens moeten:

[...]

2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

11.

Artikel 6 („Rechtmatigheid van de verwerking”) bepaalt in lid 1 ervan, het volgende:

„De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

[...]”

12.

Artikel 7 AVG („Voorwaarden voor toestemming”) bepaalt in lid 1 ervan als volgt:

„Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.”

13.

De artikelen 24 tot en met 26 van deze verordening staan in afdeling 1 („Algemene verplichtingen”) van hoofdstuk IV („Verwerkingsverantwoordelijke en verwerker”) van die verordening.

14.

Artikel 24 van die verordening („Verantwoordelijkheid van de verwerkingsverantwoordelijke”) bepaalt in lid 1 ervan het volgende:

„Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.”

15.

Artikel 25 van die verordening („Gegevensbescherming door ontwerp en door standaardinstellingen”) luidt in de leden 1 en 2 ervan als volgt:

„1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.

2.   De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.”

16.

Artikel 26 AVG („Gezamenlijke verwerkingsverantwoordelijken”) luidt in lid 1 ervan als volgt:

„Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.”

17.

Artikel 11 van Lege nr. 365/2002 privind comerțul electronic (wet nr. 365/2002 betreffende onlinehandel) van 7 juni 2002 ( 6 ), zoals gewijzigd bij Lege nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (wet nr. 121/2006 tot wijziging en aanvulling van wet nr. 365/2002 betreffende onlinehandel) van 4 mei 2006 ( 7 ) (hierna „wet nr. 365/2002”) luidt:

„1.   Dienstverleners zijn onderworpen aan de wettelijke bepalingen inzake civiele en strafrechtelijke aansprakelijkheid en aansprakelijkheid voor administratieve overtredingen, tenzij in deze wet anders is bepaald.

2.   Dienstverleners zijn aansprakelijk voor informatie die door henzelf of namens hen wordt verstrekt.

3.   Dienstverleners zijn niet aansprakelijk voor informatie die wordt doorgegeven, opgeslagen of waartoe zij toegang verschaffen onder de voorwaarden van de artikelen 12 tot en met 15.”

18.

Artikel 14 van deze wet („Permanente opslag van informatie en opslag voor hosting”) bepaalt het volgende:

„1.   Wanneer een dienst van de informatiemaatschappij bestaat in de opslag van de door een afnemer van de dienst verstrekte informatie, is de dienstverlener niet aansprakelijk voor de op verzoek van de afnemer van de dienst opgeslagen informatie, op voorwaarde dat:

2.   Lid 1 is niet van toepassing wanneer de ontvanger op gezag of onder toezicht van de dienstverlener handelt.

3.   De bepalingen van dit artikel doen geen afbreuk aan de mogelijkheid voor een gerechtelijke of administratieve instantie om van de dienstverlener te eisen dat hij de inbreuk in verband met gegevens beëindigt of voorkomt, of om overheidsprocedures vast te stellen om de toegang tot informatie te beperken of te onderbreken.”

19.

Russmedia Digital SRL (hierna: „Russmedia”), een vennootschap naar Roemeens recht, is de eigenaar van de onlinemarktplaats www.publi24.ro, waarop het mogelijk is om kosteloos of tegen betaling advertenties te plaatsen betreffende met name de verkoop van goederen of het verrichten van diensten vanuit verschillende plaatsen in Roemenië.

20.

Op 1 augustus 2018 heeft een onbekende op deze onlinemarktplaats een advertentie geplaatst met een voor verzoekster in het hoofdgeding denigrerende en beledigende inhoud, aangezien laatstgenoemde volgens de advertentie seksuele diensten aanbood (hierna: „litigieuze advertentie”). Deze advertentie bevatte, zonder dat zij hiervoor toestemming had gegeven, foto’s van verzoekster in het hoofdgeding die afkomstig waren van een door haar aangehouden wettig account bij een sociaal netwerk en haar telefoonnummer. De identiteit van de persoon die de advertentie plaatste, werd niet gecontroleerd vóór de plaatsing ervan. Toen Russmedia door verzoekster in het hoofdgeding werd benaderd, heeft zij deze advertentie minder dan een uur later van haar onlinemarktplaats verwijderd. Dezelfde advertentie werd echter, met vermelding van de oorspronkelijke bron, al snel overgenomen door andere reclamewebsites, waarop die nog steeds toegankelijk is.

21.

Van mening zijnde dat de litigieuze advertentie inbreuk maakte op haar rechten, heeft verzoekster in het hoofdgeding een vordering ingesteld tegen Russmedia.

22.

De Judecătorie Cluj‑Napoca (rechter in eerste aanleg Cluj‑Napoca, Roemenië) heeft deze vordering toegewezen en, op basis van artikel 253 van het burgerlijk wetboek ( 8 ), Russmedia veroordeeld tot betaling van 7000 EUR aan verzoekster in het hoofdgeding ter vergoeding van de immateriële schade die zij had geleden door de schending van haar portretrecht, haar recht op eer en goede naam en haar recht op een persoonlijke levenssfeer en de onrechtmatige verwerking van haar persoonsgegevens. Deze rechter heeft namelijk geoordeeld dat de litigieuze advertentie een niet-nakoming vormde van de verplichtingen die de AVG aan Russmedia oplegt. Hij was van oordeel dat het feit dat Russmedia toestemming had gegeven voor de plaatsing en de daaropvolgende onlineverspreiding van die advertentie, de rechten van verzoekster in het hoofdgeding ernstig had aangetast.

23.

De Tribunal Specializat Cluj (bijzondere rechter Cluj, Roemenië) heeft het hoger beroep van Russmedia toegewezen en verklaard dat de vordering van verzoekster in het hoofdgeding ongegrond was op grond dat Russmedia niet de auteur van de litigieuze advertentie was. Deze rechter was van oordeel dat Russmedia enkel een dienst verleende voor de opslag van de advertenties, zonder actief betrokken te zijn „bij de inhoud” van deze advertenties, en dat in deze omstandigheden de vrijstelling van aansprakelijkheid van artikel 14, lid 1, van wet nr. 365/2002 van toepassing was.

24.

Volgens de rechter in hoger beroep heeft Russmedia de litigieuze advertentie namelijk minder dan een uur nadat zij door verzoekster in het hoofdgeding was benaderd, van haar onlinemarktplaats verwijderd. Deze rechter was van oordeel dat Russmedia was vrijgesteld van aansprakelijkheid voor de gevorderde schade, aangezien deze onderneming niet de auteur van de betrokken advertentie was en deze advertentie, gelet op artikel 11, lid 3, en artikel 14, lid 1, onder b), van wet nr. 365/2002, had geblokkeerd zodra zij had vernomen dat deze inbreuk kon maken op de rechten van verzoekster in het hoofdgeding.

25.

Wat betreft de verplichting van de verwerkingsverantwoordelijke om vóór de plaatsing van een advertentie te controleren of de auteur ervan het recht heeft om de daarin opgenomen persoonsgegevens te gebruiken, heeft de rechter in hoger beroep vervolgens verklaard dat artikel 11 van de uitvoeringsvoorschriften van wet nr. 365/2002, volgens hetwelk een verlener van diensten van de informatiemaatschappij niet verplicht is om de opgeslagen informatie te controleren ( 9 ), van toepassing was.

26.

Tot slot heeft de rechter in hoger beroep verklaard dat Russmedia niet kan worden verweten dat zij geen maatregelen heeft genomen om de onlineverspreiding van de litigieuze advertentie te verhinderen. Volgens deze rechter bestond de verleende dienst in de publicatie van die advertentie en werden de maatregelen om de toegang van het publiek tot die advertentie te blokkeren genomen zodra Russmedia door verzoekster in het hoofdgeding was gewaarschuwd. Bijgevolg komt de rechter in hoger beroep tot het oordeel dat wet nr. 365/2002 die deze onderneming vrijstelt van aansprakelijkheid voor immateriële schade die wordt veroorzaakt door de inhoud van door gebruikers op de website www.publi24.ro gepubliceerde advertenties, in casu van toepassing was.

27.

Verzoekster in het hoofdgeding heeft tegen deze beslissing hogere voorziening ingesteld bij de Curte de Apel Cluj (rechter in tweede aanleg Cluj, Roemenië), de verwijzende rechter.

28.

In het kader van haar hogere voorziening betoogt verzoekster in het hoofdgeding met name dat wet nr. 365/2002 geen lex specialis is ten opzichte van de AVG en dat de rechter in hoger beroep de aansprakelijkheid van Russmedia dus ook in het licht van die verordening had moeten onderzoeken.

29.

Voorts betoogt verzoekster in het hoofdgeding dat de rol van Russmedia niet beperkt was tot het verstrekken van de specifieke technische faciliteiten voor toegang tot de hostingserver aan de klanten. Volgens haar speelde deze onderneming ook een beheersrol door in te grijpen in de inhoud van advertenties om een goed beheer van de informatie te verzekeren. Als exploitant van de betrokken website heeft Russmedia de inhoud van de informatie opgeslagen en verwerkt. De verwerking en de opslag van de gegevens en de terbeschikkingstelling ervan aan het publiek in een bepaalde vorm impliceert zowel een analyse van de gegevens en de informatie in de advertenties als het beheer van die advertenties. Die analyse en dat beheer zijn noodzakelijk om het publiek een gemakkelijke toegang te garanderen, wat wijst op een rechtstreekse betrokkenheid van die onderneming. Bijgevolg is artikel 14 van wet nr. 365/2002 in casu niet van toepassing. Verzoekster in het hoofdgeding is voorts van mening dat de vrijstelling van aansprakelijkheid waarin die bepaling voorziet, niet van toepassing is wanneer de aansprakelijkheid is vastgesteld op grond van andere regelgevende handelingen, zoals de AVG, wat volgens haar in casu het geval is.

30.

De verwijzende rechter heeft de hogere voorziening toegewezen – op grond dat de rechter in hoger beroep niet was nagegaan of in de omstandigheden van de onderhavige zaak de bepalingen van de AVG van toepassing waren –, het arrest waartegen hogere voorziening was ingesteld vernietigd, en de zaak aangehouden voor een nieuwe beoordeling van het hoger beroep.

31.

Dienaangaande preciseert de verwijzende rechter dat er volgens hem voor de exploitanten van onlinemarktplaatsen geen verplichting bestaat om de door de gebruikers geplaatste advertenties vooraf te controleren. Hij herinnert er evenwel aan dat volgens het arrest L’Oréal e.a. ( 10 ) alleen een exploitant van een onlinemarktplaats die geen actieve rol speelt bestaande in het verlenen van bijstand om de presentatie van de te koop aangeboden producten te optimaliseren of om deze te promoten, zich kan beroepen op de in artikel 14, lid 1, van richtlijn 2000/31 opgenomen vrijstelling van aansprakelijkheid. Bovendien kan de exploitant van een onlinemarktplaats zich volgens dit arrest ( 11 ) niet op deze vrijstelling van aansprakelijkheid beroepen wanneer hij kennis heeft gehad van feiten of omstandigheden op grond waarvan een behoedzame marktdeelnemer de onwettigheid van de betrokken verkoopaanbiedingen had moeten vaststellen en hij, ingeval hij deze kennis had, niet prompt heeft gehandeld. In dezelfde geest kan, volgens het arrest Papasavvas ( 12 ), een persbedrijf dat een internetsite heeft waarop de onlineversie van een krant wordt gepubliceerd, zich niet op de genoemde vrijstelling van aansprakelijkheid beroepen wanneer het kennis heeft van de gepubliceerde informatie en er controle over uitoefent.

32.

De verwijzende rechter merkt op dat de rechtspraak van het Hof enkel betrekking heeft op aanbiedingen die op een website zijn geplaatst en waarvan het onwettige karakter is gebleken uit een analyse van de feiten en omstandigheden die na de publicatie van de betrokken advertentie uitdrukkelijk aan de verwerkingsverantwoordelijke zijn meegedeeld. Het Hof is daarentegen nooit in de gelegenheid gesteld zich te buigen over een situatie als die in het onderhavige geval. Het specifieke karakter van het hoofdgeding bestaat namelijk erin dat de inhoud van de advertentie die was geplaatst door een gebruiker die niet was geïdentificeerd op het moment dat de zaak voor de rechter werd gebracht, duidelijk onrechtmatig en zeer schadelijk voor de betrokkene was. Volgens de verwijzende rechter was kennisgeving aan de verwerkingsverantwoordelijke dus niet nodig om na te gaan en te analyseren of de gepubliceerde informatie mogelijk onwettig was.

33.

Voorts merkt de verwijzende rechter op dat hoewel de litigieuze advertentie na de kennisgeving van verzoekster in het hoofdgeding is verwijderd van de website van Russmedia, waarop die aanvankelijk was geplaatst, zij in haar geheel is overgenomen door talrijke andere websites, met alle gegevens en foto’s van verzoekster in het hoofdgeding, met vermelding van de oorspronkelijke bron, zonder enige beschermingsmaatregel met betrekking tot persoonsgegevens. De schade is daardoor blijvend geworden en doet zich nog steeds voor.

34.

Bovendien wijst de verwijzende rechter erop dat de in de gepubliceerde advertentie vermelde seksuele diensten die verzoekster in het hoofdgeding zou aanbieden in verband kunnen worden gebracht met ernstige feiten die in het wetboek van strafrecht strafbaar zijn gesteld, zoals het optreden als souteneur en mensenhandel.

35.

Tot slot merkt de verwijzende rechter op dat, volgens de gebruiksvoorwaarden van het door Russmedia geëxploiteerde onlineplatform, deze onderneming niet het voorkomen heeft van een louter passieve gebruiker van gegevens. Hoewel deze onderneming geen eigendomsrecht opeist op het geleverde, geposte, geüploade of ingezonden materiaal, behoudt zij zich namelijk wel het recht voor om het materiaal te gebruiken, onder meer door het te kopiëren, verspreiden, verzenden, publiceren, reproduceren, wijzigen of vertalen, aan partners over te dragen of op enigerlei moment te wissen, zonder dat daar een reden voor nodig is.

36.

In die omstandigheden heeft de Curte de Apel Cluj, bij beslissing van 15 juni 2023, ingekomen bij het Hof op 3 augustus 2023, de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen gesteld:

37.

De Roemeense regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Verzoekster in het hoofdgeding en de Commissie waren vertegenwoordigd op de op 2 juli 2024 gehouden terechtzitting.

38.

Met zijn eerste vraag wenst de verwijzende rechter te vernemen of Russmedia zich kan beroepen op de vrijstelling van aansprakelijkheid als bedoeld in artikel 14, lid 1, van richtlijn 2000/31, terwijl hij met zijn tweede tot en met vierde vraag wenst te vernemen of deze onderneming heeft nagelaten de verplichtingen na te komen die op haar rusten krachtens de AVG.

39.

In het verleden heeft het Hof verklaard dat artikel 14, lid 1, van richtlijn 2000/31, waarop de eerste vraag betrekking heeft, tot doel heeft de gevallen te beperken waarin overeenkomstig het toepasselijke nationale recht de dienstverlener die als tussenpersoon optreedt aansprakelijk kan worden gesteld. ( 13 ) Ik ben van mening dat, gelet op de ontwikkeling van het Unierecht op dit gebied, de in deze bepaling opgenomen vrijstelling van aansprakelijkheid ook moet gelden wanneer de aansprakelijkheid van de dienstverlener is gebaseerd op de bepalingen van het Unierecht of op de nationale bepalingen tot omzetting van ervan. ( 14 )

40.

De verwijzingsbeslissing doet vermoeden dat Russmedia in het hoofdgeding aansprakelijk kan worden gesteld wegens inbreuk op de AVG. ( 15 ) In die omstandigheden zou het a priori wenselijk kunnen lijken om eerst de tweede tot en met de vierde vraag te analyseren, waarmee de verwijzende rechter wil vaststellen of Russmedia heeft nagelaten haar verplichtingen uit hoofde van de AVG na te komen. Omwille van de duidelijkheid zal ik de vragen echter onderzoeken in de volgorde waarin zij zijn gesteld. Ik zal het in de verwijzingsbeslissing opgeworpen vraagstuk dus eerst analyseren vanuit het oogpunt van richtlijn 2000/31 en vervolgens vanuit het oogpunt van de AVG. Ten slotte zal ik in het laatste deel van mijn analyse de wisselwerking tussen die verordening en die richtlijn onderzoeken.

41.

Alle prejudiciële vragen hebben namelijk betrekking op de meer fundamentele vraag hoe de bepalingen van richtlijn 2000/31 zich verhouden tot die van de AVG. Ik zal deze vraag onderzoeken nadat ik de relevante bepalingen van deze twee handelingen van Unierecht heb geïdentificeerd, aangezien de juridische kwalificaties volgens de daarin bepaalde categorieën de kern van de vier prejudiciële vragen vormen.

42.

Met zijn eerste vraag wenst de verwijzende rechter te vernemen of artikel 14, lid 1, van richtlijn 2000/31 aldus moet worden uitgelegd dat een verlener van een dienst van de informatiemaatschappij die bestaat in het ter beschikking van gebruikers stellen van een onlinemarktplaats waarop gratis of tegen betaling advertenties kunnen worden gepubliceerd, ook in aanmerking komt voor de in deze bepaling opgenomen vrijstelling van aansprakelijkheid wanneer deze dienstverlener in de gebruiksvoorwaarden van zijn onlinemarktplaats vermeldt dat hij weliswaar geen aanspraak maakt op de eigendom van dit materiaal, maar zich niettemin het recht voorbehoudt om gebruik te maken van het geleverde, geposte, geüploade of ingezonden materiaal, onder meer door het te kopiëren, verspreiden, verzenden, publiceren, reproduceren, wijzigen of vertalen, aan partners over te dragen of op enigerlei moment te wissen, zonder dat daar een reden voor nodig is.

43.

Dit is dus de vraag die ik zal onderzoeken (punt 1) en die in wezen tot doel heeft vast te stellen of Russmedia kan worden aangemerkt als een „dienstverlener die als tussenpersoon optreedt” en die zich a priori kan beroepen op de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet. Aangezien de verwijzende rechter ook lijkt te betwijfelen of, gelet op de specifieke aard van het hoofdgeding, in casu is voldaan aan de in deze bepaling gestelde voorwaarden voor vrijstelling van aansprakelijkheid in een concreet geval, zal ik volledigheidshalve ook deze vraag onderzoeken (punt 2).

44.

Mijns inziens is het van belang om zowel de premisse waarop de eerste vraag berust als de reikwijdte ervan te belichten.

45.

Dienaangaande voorzien, in de eerste plaats, zoals gezegd ( 16 ), de artikelen 12, 13 en 14 van richtlijn 2000/31 in uitzonderingen op de aansprakelijkheid die van toepassing zijn wanneer de diensten van verleners van diensten van de informatiemaatschappij respectievelijk een louter „mere conduit” (doorgeefluik), de vorm van opslag die bekendstaat als „caching” of hosting betreffen.

46.

Hoewel in de eerste vraag naar deze drie bepalingen wordt verwezen, suggereert de verwijzende rechter dat Russmedia een dienst verleent die bestaat in het hosten van door gebruikers verstrekte informatie. Bovendien lijkt artikel 14 van wet nr. 365/2002, waarvan de toepasselijkheid voor de nationale rechterlijke instanties is besproken ( 17 ), een omzetting te zijn van artikel 14 van richtlijn 2000/31 dat betrekking heeft op een hostingdienst. Ik ben derhalve van mening dat de eerste vraag betrekking heeft op deze bepaling van het Unierecht en dat de verwijzende rechter ervan is uitgegaan dat de door Russmedia aangeboden dienst een dienst van de informatiemaatschappij is en in beginsel bestaat in het hosten van door gebruikers van haar onlinemarktplaats verstrekte informatie.

47.

Wat betreft, in de tweede plaats, de reikwijdte van de eerste vraag, kan uit de terughoudende formulering ervan worden afgeleid dat de verwijzende rechter zich niet uitspreekt over de rol die Russmedia heeft gespeeld bij de verlening van haar hostingdienst. Uit deze vraag blijkt namelijk dat de vaststelling dat de rol van Russmedia louter technisch is, is gebaseerd op de verklaringen van deze onderneming. ( 18 ) Hoewel de verwijzende rechter geen vragentekens bij deze verklaringen lijkt te plaatsen, zal ik er toch op ingaan, aangezien de gegrondheid ervan door verzoekster in het hoofdgeding sterk wordt betwist. ( 19 )

48.

Ten slotte, en in de derde plaats, merkt de verwijzende rechter op dat Russmedia „geen louter passieve gebruiker van de gegevens (doorgeefluik) lijkt te zijn omdat [deze onderneming] geen eigendomsrecht opeist op het geleverde, geposte, geüploade of ingezonden materiaal maar zich wel het recht voorbehoudt om [dit] materiaal op enig moment te gebruiken”. Uit de formulering van de eerste vraag valt op te maken dat dit een aandachtspunt van de verwijzende rechter is. Deze vraag strekt er namelijk toe te vernemen of „een hostingaanbieder die gebruikers een [onlinemarktplaats] ter beschikking stelt [...], welke hostingaanbieder echter via de gebruiksvoorwaarden van de website aangeeft dat hij [...] zich wel het recht voorbehoudt om dat materiaal te gebruiken” in aanmerking kan komen voor de in artikel 14, lid 1, van richtlijn 2000/31 opgenomen vrijstelling van aansprakelijkheid.

49.

De vermeldingen in de verwijzingsbeslissing van het louter technische of passieve karakter van de activiteit van Russmedia verwijzen naar de rechtspraak van het Hof volgens welke de in artikel 14, lid 1, van richtlijn 2000/31 opgenomen vrijstelling van aansprakelijkheid alleen betrekking heeft op gevallen waarin het gedrag van de verlener van de dienst binnen de perken blijft van dat van een „dienstverlener die als tussenpersoon optreedt” in de zin die de wetgever in afdeling 4 van hoofdstuk II van deze richtlijn daaraan heeft willen geven. Dienaangaande volgt uit overweging 42 van richtlijn 2000/31 namelijk dat de in deze richtlijn opgenomen vrijstellingen van de aansprakelijkheid uitsluitend gelden voor gevallen waarin de activiteit van de aanbieder van diensten van de informatiemaatschappij een louter technisch, automatisch en passief karakter heeft, hetgeen inhoudt dat deze aanbieder noch kennis noch controle heeft over de informatie die wordt doorgegeven of opgeslagen. ( 20 ) Het is in het licht van deze rechtspraak dat de eerste vraag moet worden geanalyseerd.

50.

Hoewel de verwijzende rechter geen gedetailleerde informatie over de werking van de onlinemarktplaats van Russmedia verstrekt, lijkt het erop dat deze onderneming de lay‑out van de advertenties bepaalt en deze gratis of tegen betaling plaatst op haar onlinemarktplaats, waar de advertenties zijn gegroepeerd in verschillende categorieën die door de adverterende gebruikers zijn gekozen en waar andere gebruikers zoekopdrachten kunnen uitvoeren met behulp van een eenvoudige zoekmachine en de resultaten kunnen rangschikken. Om een advertentie online te plaatsen, moet een adverteerder zich registreren bij Russmedia. Zijn identiteit wordt niet gecontroleerd, noch op het moment van registratie, noch op het moment van plaatsing van de advertentie. Dit is de wijze van functioneren van deze onlinemarktplaats die naar voren komt uit de verwijzingsbeslissing, de schriftelijke opmerkingen van de partijen en de opmerkingen ter terechtzitting, alsmede uit mijn eigen onderzoek. Het staat aan de verwijzende rechter om de juistheid van deze verklaringen te verifiëren alvorens in het hoofdgeding te beslissen.

51.

In een zaak waarbij de exploitant van een onlinemarktplaats betrokken was, heeft het Hof verklaard dat, om na te gaan of deze exploitant uit hoofde van artikel 14 van richtlijn 2000/31 kan worden vrijgesteld van de aansprakelijkheid, moet worden onderzocht of hij zich beperkt tot een neutrale levering van zijn dienst door middel van een louter technische en automatische verwerking van de gegevens die hem door zijn klanten zijn verstrekt, dan wel of hij een actieve rol heeft waardoor hij kennis heeft van of controle heeft over die gegevens. ( 21 )

52.

Dienaangaande heeft het Hof geoordeeld dat het enkele feit dat de exploitant van een onlinemarktplaats de verkoopaanbiedingen op zijn server opslaat, bepaalt hoe zijn dienst wordt verleend, daarvoor een vergoeding ontvangt en algemene inlichtingen aan zijn klanten verstrekt, er niet toe kan leiden dat hij zich niet kan beroepen op de in richtlijn 2000/31 opgenomen vrijstellingen van aansprakelijkheid. ( 22 )

53.

Voorts heeft het Hof, met betrekking tot een van de voorwaarden van artikel 14, lid 1, van richtlijn 2000/31 voor de vrijstelling van aansprakelijkheid van een dienstverlener die als tussenpersoon optreedt – op welke voorwaarden ik later zal terugkomen (punt 66) ( 23 ) – vastgesteld dat de omstandigheid dat de exploitant van een platform voor het online delen van inhoud een geautomatiseerde indexering van de op dat platform geüploade inhoud verricht, dat dit platform een zoekfunctie heeft en dat het video’s aanbeveelt op basis van het profiel of de voorkeuren van de gebruikers, niet kan volstaan om te oordelen dat deze voorwaarde niet is vervuld. ( 24 ) A fortiori kan deze omstandigheid een dergelijke exploitant evenmin de mogelijkheid ontnemen om zich op de in deze bepaling opgenomen vrijstelling van aansprakelijkheid te beroepen. De vraag of aan de voorwaarden voor vrijstelling van aansprakelijkheid van artikel 14, lid 1, onder a) en b), van deze richtlijn is voldaan, rijst namelijk enkel indien de betrokken dienstverlener kan worden omschreven als een „host die een neutrale rol speelt” met betrekking tot de informatie die hij opslaat, en zich a priori op deze vrijstelling kan beroepen.

54.

Op het eerste gezicht lijkt het er dus op dat Russmedia een neutrale rol speelt met betrekking tot de op verzoek van de adverterende gebruikers opgeslagen informatie en dat zij zich op de vrijstelling van artikel 14, lid 1, van richtlijn 2000/31 kan beroepen. Thans dient de twijfel van de verwijzende rechter te worden weggenomen die tot uiting komt in de bewoordingen van de eerste vraag die in wezen ertoe strekt om na te gaan of bij het onderzoek van de toepasselijkheid van deze vrijstelling een doorslaggevende rol moet worden toegekend aan de gebruiksvoorwaarden van een onlinemarktplaats of aan de handelingen die de exploitant van deze marktplaats daadwerkelijk verricht.

55.

In herinnering zij gebracht dat, overeenkomstig de gebruikersvoorwaarden voor haar onlinemarktplaats, Russmedia weliswaar geen eigendomsrecht opeist op het hierop aanwezige materiaal, maar zich wel het recht voorbehoudt om het materiaal te gebruiken, onder meer door het te kopiëren, verspreiden, verzenden, publiceren, reproduceren, wijzigen of vertalen, aan partners over te dragen of op enigerlei moment te wissen, zonder dat daar een reden voor nodig is.

56.

Om te beginnen merk ik op dat het hoofdgeding geen betrekking heeft op schade die verzoekster in het hoofdgeding heeft geleden door de tussenkomst van Russmedia in de litigieuze advertentie die op haar onlinemarktplaats toegankelijk was. In casu is er dus geen sprake van een situatie waarin de schade voortvloeit uit inhoud die door de gebruiker van een onlinemarktplaats is verstrekt en door de exploitant ervan is gewijzigd of gemanipuleerd.

57.

Dit gezegd zijnde, moet worden vastgesteld dat Russmedia, gelet op de gebruiksvoorwaarden van haar onlinemarktplaats, jegens de gebruikers van advertenties geen enkele verplichting lijkt te hebben met betrekking tot de voorbereiding of de presentatie van de inhoud van de op hun verzoek opgeslagen advertenties. Wel behoudt deze onderneming zich het recht voor om deze informatie te gebruiken, zonder dat daar een reden voor nodig is.

58.

Hoewel de gebruiksvoorwaarden van een onlinemarktplaats bepalend kunnen zijn voor de werking van een dienst van de informatiemaatschappij en inzicht kunnen verschaffen in de rol van de dienstverlener, kan de contractuele regeling volgens welke deze dienstverlener kan optreden met betrekking tot de opgeslagen informatie zonder daartoe verplicht te zijn, op zich niet doorslaggevend zijn voor de vraag of de rol van deze dienstverlener neutraal is. In zijn rechtspraak wijst het Hof namelijk op de daadwerkelijke deelneming van de verlener van een dienst van de informatiemaatschappij aan de voorbereiding en de presentatie van de door de gebruikers van de dienst verstrekte informatie. Bij het onderzoek of de in artikel 14, lid 1, van richtlijn 2000/31 opgenomen vrijstelling van aansprakelijkheid van toepassing is, moeten daarentegen handelingen die een dienstverlener krachtens de gebruiksvoorwaarden van zijn platform mag verrichten, maar die hij in de praktijk niet uitvoert, buiten beschouwing worden gelaten. Met andere woorden, in het kader van dit onderzoek moet rekening worden gehouden met de handelingen die de verlener van een dergelijke dienst daadwerkelijk verricht.

59.

Meer concreet heeft het Hof geoordeeld dat wanneer een exploitant van een onlinemarktplaats bijstand verleent die er onder meer in bestaat om de wijze waarop de verkoopaanbiedingen worden getoond te optimaliseren of deze aanbiedingen te bevorderen, ervan moet worden uitgegaan dat hij geen neutrale positie tussen de betrokken klant‑verkoper en de potentiële kopers heeft ingenomen, maar dat hij een actieve rol heeft gespeeld waardoor hij kennis van of controle over de gegevens betreffende die offertes heeft gekregen. ( 25 ) Evenzo heeft het Hof in wezen geoordeeld dat een krantenuitgever zich niet kan beroepen op de in artikel 14, lid 1, van richtlijn 2000/31 opgenomen vrijstelling van aansprakelijkheid voor informatie in de elektronische editie van de papieren versie van de door hem uitgegeven krant, omdat hij in beginsel weet welke informatie hij publiceert en hij daarover controle uitoefent. ( 26 )

60.

Samenvattend kan worden gesteld dat in de zojuist genoemde rechtspraak de wijze van functioneren van een onlinemarktplaats gepaard ging met kennis en controle vooraf van de opgeslagen informatie. Zoals de Commissie ter terechtzitting heeft opgemerkt, wijst in het onderhavige geval daarentegen niets erop dat Russmedia een rol speelt bij het opstellen, optimaliseren of presenteren van de advertenties, of dat het de individuele inhoud ervan controleert voordat deze worden geplaatst. De controle die deze onderneming kon uitoefenen op grond van de gebruiksvoorwaarden van zijn onlinemarktplaats is slechts een mogelijke controle achteraf. Bovendien blijkt Russmedia niet op de hoogte te zijn van de opgeslagen informatie, wat zou rechtvaardigen dat deze onderneming niet van aansprakelijkheid als bedoeld in artikel 14, lid 1, van richtlijn 2000/31 kan worden vrijgesteld.

61.

Bovendien zijn, zoals de Commissie heeft opgemerkt, de gebruiksvoorwaarden van een platform zoals dat van Russmedia niet ongebruikelijk voor dienstverleners die als tussenpersoon optreden. ( 27 ) Het is in dit verband belangrijk om op te merken dat de omstandigheid dat een dienstverlener die als tussenpersoon optreedt zich het recht voorbehoudt om gebruik te maken van informatie die door gebruikers van zijn dienst wordt verstrekt, in overeenstemming is met de belangrijke rol die dienstverleners die als tussenpersoon optreden, spelen in de strijd tegen onwettige online‑inhoud.

62.

Om te voldoen aan de in artikel 14, lid 1, onder a) en b), van richtlijn 2000/31 gestelde voorwaarden voor vrijstelling van aansprakelijkheid, moet een dienstverlener die als tussenpersoon optreedt namelijk reageren en onwettige inhoud verwijderen of blokkeren zodra deze wordt ontdekt. Deze dienstverlener kan, met name om aan te tonen dat hij in staat is dergelijke maatregelen te treffen, zich het recht voorbehouden dergelijke inhoud te allen tijde te verwijderen.

63.

In die omstandigheden kan het feit dat Russmedia zich in de gebruiksvoorwaarden van haar onlinemarktplaats het recht voorbehoudt om gebruik te maken van de op verzoek van de gebruikers van haar dienst opgeslagen inhoud, niet tot gevolg hebben dat deze onderneming niet in aanmerking komt voor de in artikel 14, lid 1, van richtlijn 2000/31 bedoelde vrijstelling van aansprakelijkheid.

64.

Gelet op het voorgaande stel ik voor om op de eerste vraag te antwoorden dat artikel 14, lid 1, van richtlijn 2000/31 aldus moet worden uitgelegd dat een verlener van een dienst van de informatiemaatschappij die bestaat in het ter beschikking stellen aan gebruikers van een onlinemarktplaats waarop gratis of tegen betaling advertenties worden geplaatst, ook in aanmerking kan komen voor de in die bepaling opgenomen vrijstelling van aansprakelijkheid wanneer hij in de gebruiksvoorwaarden van zijn onlinemarktplaats vermeldt dat hij weliswaar geen aanspraak maakt op de eigendom van dergelijk materiaal, maar zich niettemin het recht voorbehoudt om gebruik te maken van het geleverde, geposte, geüploade of ingezonden materiaal, onder meer door het te kopiëren, verspreiden, verzenden, publiceren, reproduceren, wijzigen of vertalen, aan partners over te dragen of op enigerlei moment te wissen, zonder dat daar een reden voor nodig is, op voorwaarde dat deze dienstverlener geen maatregelen neemt die ertoe leiden dat hij zijn neutrale hostingstatus verliest.

65.

Volledigheidshalve moet worden nagegaan of, gelet op de specifieke aard van het hoofdgeding, in casu is voldaan aan de voorwaarden voor deze vrijstelling.

66.

In de verwijzingsbeslissing wordt gewezen op de bijzondere kenmerken van de onderhavige zaak die verband lijken te houden met de voorwaarden waaraan artikel 14, lid 1, van richtlijn 2000/31 de vrijstelling van aansprakelijkheid voor opgeslagen informatie onderwerpt. De verwijzende rechter vestigt namelijk de aandacht van het Hof op het duidelijk onwettige en zeer schadelijke karakter van de litigieuze advertentie en op de beschikbaarheid van deze advertentie op talrijke andere websites die deze hebben overgenomen.

67.

De verwijzende rechter merkt op dat het, om Russmedia in staat te stellen het mogelijk onwettige karakter van gepubliceerde informatie vast te stellen en te analyseren, niet nodig had moeten zijn om deze onderneming in kennis te stellen van de onwettige inhoud. Volgens deze rechter was de inhoud van de litigieuze advertentie immers duidelijk onrechtmatig en zeer schadelijk voor verzoekster in het hoofdgeding. De verwijzende rechter lijkt er dus van uit te gaan dat Russmedia, gelet op dit duidelijk onwettige karakter, op de hoogte had moeten zijn van deze advertentie en de onrechtmatige inhoud ervan. Om voor vrijstelling van aansprakelijkheid in aanmerking te komen, had Russmedia deze advertentie dus – prompt en zonder een daartoe strekkend verzoek af te wachten – moeten verwijderen of de toegang daartoe onmogelijk moeten maken, overeenkomstig artikel 14, lid 1, onder b), van richtlijn 2000/31.

68.

Artikel 14, lid 1, onder a), van richtlijn 2000/31 beoogt de hostingaanbieder vrij te stellen van aansprakelijkheid voor de opgeslagen informatie wanneer hij geen kennis heeft van de onwettige activiteit of informatie. Wanneer de aansprakelijkheid van een hostingaanbieder wordt ingeroepen in het kader van een schadevordering, zoals in het onderhavige geval, geldt een strengere voorwaarde voor vrijstelling van aansprakelijkheid. In een dergelijk geval is de dienstverlener uitgesloten van de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van de richtlijn voorziet wanneer hij kennis heeft gekregen van feiten of omstandigheden op grond waarvan een behoedzame marktdeelnemer de onwettigheid in kwestie had moeten vaststellen en niet overeenkomstig artikel 14, lid 1, onder b), van deze richtlijn heeft gehandeld. ( 28 ) Zoals richtlijn 2000/31 namelijk vereist, moet het onwettige karakter van de activiteit of informatie „duidelijk” blijken, dat wil zeggen gemakkelijk vast te stellen zijn. ( 29 )

69.

Niettemin kan de dienstverlener het voordeel van de vrijstelling van aansprakelijkheid van artikel 14, lid 1, van richtlijn 2000/31 enkel verliezen wanneer hij daadwerkelijk kennis heeft gekregen van feiten of omstandigheden op grond waarvan de onwettige aard van de activiteit of de informatie objectief kan worden vastgesteld door een behoedzame marktdeelnemer. Ongeacht of de vordering betrekking heeft op schadevergoeding, is het namelijk niet voldoende dat de dienstverlener in het algemeen kennis heeft van het feit dat zijn dienst ook wordt gebruikt om onwettige inhoud te delen. De dienstverlener moet kennis hebben van feiten of omstandigheden die betrekking hebben op concrete onwettige activiteiten en informatie. ( 30 )

70.

Aan de voorwaarde van artikel 14, lid 1, onder a), van richtlijn 2000/31 is dus niet voldaan wanneer de dienstverlener op basis van de hem ter beschikking staande informatie de onwettigheid van de opgeslagen gegevens vaststelt of zich daarvan niet bewust is, dan wel zich vergist ten aanzien van de wettigheid van die gegevens. Hoewel de onwettigheid van een gegeven of een activiteit objectief moet worden beoordeeld, volgens het criterium van de behoedzame marktdeelnemer, wordt de kennis van de feiten waaruit deze onwettigheid blijkt in beginsel beoordeeld door rekening te houden met de informatie waarover de betrokken dienstverlener daadwerkelijk beschikt.

71.

In deze omstandigheden kan niet worden verondersteld dat de exploitant van een onlinemarktplaats op de hoogte is van de inhoud van iedere onwettige en schadelijke advertentie. Bovendien zou de invoering van een dergelijke veronderstelling erop neerkomen dat van de exploitant wordt geëist dat hij actief toezicht houdt op alle gegevens van elk van zijn adverterende gebruikers om advertenties te identificeren die duidelijk onwettig en schadelijk zijn. Een dergelijke toezichtsverplichting lijkt mij moeilijk verenigbaar met de logica van richtlijn 2000/31.

72.

Het invoeren van een dergelijke toezichtsverplichting „via de achterdeur” zou namelijk onverenigbaar zijn met artikel 15, lid 1, van richtlijn 2000/31, waarin wordt bepaald dat de lidstaten hostingproviders geen algemene verplichting mogen opleggen om toe te zien op de informatie die zij opslaan, noch om actief te zoeken naar feiten of omstandigheden die op onwettige activiteiten duiden. Aan een hostingprovider kan dus niet, op basis van nationale maatregelen, de verplichting worden opgelegd om in het algemeen toe te zien op de door hem opgeslagen informatie. ( 31 )

73.

Bijgevolg kan niet worden aangenomen dat de voorwaarde van artikel 14, lid 1, onder a), van richtlijn 2000/31 niet is vervuld op grond dat een op een onlinemarktplaats gepubliceerde advertentie kennelijk onwettig is en voor de betrokkene zeer schadelijk is. Volledigheidshalve voeg ik hieraan toe dat richtlijn 2000/31 niet voorbijgaat aan de situatie waarin een verlener van hostingdiensten een bedrijfs‑ of organisatiemodel hanteert dat aanzet tot of bevorderlijk is voor de verspreiding van onwettige inhoud.

74.

Opgemerkt moet worden dat in overweging 44 van richtlijn 2000/31 staat te lezen dat een dienstverlener die met opzet met een van zijn afnemers van de dienst samenwerkt om onwettige handelingen te verrichten, verder gaat dan „mere conduit” of „caching”, als bedoeld in respectievelijk de artikelen 12 en 13 van deze richtlijn. Deze dienstverlener kan zich dan ook niet beroepen op de voor die activiteiten vastgestelde vrijstelling van de aansprakelijkheid. Hoewel in deze overweging geen melding wordt gemaakt van de in artikel 14 van de richtlijn bedoelde hostingactiviteit, is er geen reden waarom dezelfde redenering niet op die activiteit van toepassing zou zijn. Het Hof heeft namelijk in het arrest YouTube en Cyando ( 32 ) verklaard dat een exploitant van een elektronisch platform die niet louter dit platform ter beschikking stelt maar er daarnaast toe bijdraagt dat het publiek in strijd met het auteursrecht toegang wordt gegeven tot inhoud, niet kan worden beschouwd als een neutrale hostingprovider die in aanmerking kan komen voor de in artikel 14, lid 1, van richtlijn 2000/31 bedoelde vrijstelling van aansprakelijkheid.

75.

In dit arrest leek het Hof zich, om te bepalen of een exploitant het publiek een dergelijke toegang verschafte, indirect te baseren op zijn analyse van het begrip „mededelingshandeling” in de zin van richtlijn 2001/29/EG ( 33 ). Volgens deze analyse – die was ingegeven door zijn arrest betreffende The Pirate Bay ( 34 ), een onlineplatform voor de uitwisseling van bestanden – verschaft een exploitant een dergelijke toegang wanneer hij met volledige kennis van de gevolgen van zijn handelwijze intervenieert in de door gebruikers van zijn platform verrichte onwettige mededeling van beschermde inhoud om andere internetgebruikers toegang te verlenen tot die inhoud. Volgens het Hof moet, om vast te stellen of dit het geval is, rekening worden gehouden met alle elementen die de betrokken situatie kenmerken en waaruit rechtstreeks of indirect conclusies kunnen worden getrokken over het al dan niet weloverwogen karakter van zijn interventie in de onwettige mededeling van die inhoud.

76.

Indien deze benadering wordt toegepast op de omstandigheden van de onderhavige zaak, zou dit betekenen dat de exploitant van een onlinemarktplaats die een economisch en/of organisatorisch model heeft ingevoerd dat de gebruikers van zijn platform aanmoedigt om duidelijk onrechtmatige en zeer schadelijke inhoud te verspreiden of dat de onbeperkte en ongecontroleerde verspreiding van dergelijke inhoud bevordert en vergemakkelijkt, de status van neutrale hostingprovider in de zin van artikel 14, lid 1, van richtlijn 2000/31 verliest. Aanwijzingen dat Russmedia een dergelijk model heeft ingevoerd, zijn er evenwel niet.

77.

Aangevoerd zou kunnen worden dat de overweging dat richtlijn 2000/31, in beginsel en behoudens uitzonderlijke omstandigheden ( 35 ), hostingproviders niet verplicht om duidelijk onwettige en zeer schadelijke inhoud op te sporen, onbevredigend kan lijken, gezien de risico’s die de verspreiding van dergelijke inhoud met zich kan brengen voor de rechten van hun gebruikers en derden.

78.

Zoals ik in een andere context heb opgemerkt ( 36 ), is richtlijn 2000/31 evenwel een voortbrengsel van de betreffende periode, en heeft de wetgever van de Unie beoogd een basisregeling in te voeren die specifiek het vrije verkeer van diensten van de informatiemaatschappij binnen de Unie beschermt. Bijgevolg legt deze richtlijn louter informatieverplichtingen op aan elke aanbieder van diensten van de informatiemaatschappij ( 37 ), zonder enig onderscheid te maken tussen de verschillende categorieën van hostingdiensten. Deze richtlijn is namelijk gebaseerd op de gedachte dat de lidstaten, binnen de grenzen die zij stelt, verplichtingen invoeren waaraan de op hun grondgebied gevestigde dienstverleners moeten voldoen. De speelruimte van de lidstaten wordt met name beperkt door het in artikel 15 van de richtlijn neergelegde verbod om een algemene toezichtverplichting op te leggen.

79.

De door richtlijn 2000/31 in het leven geroepen basisregeling is geleidelijk aangevuld met sectorspecifieke handelingen die passende maatregelen voorschrijven om bepaalde categorieën gebruikers te beschermen tegen specifieke inhoud, zoals terroristische inhoud of kinderpornografie. ( 38 )

80.

De Uniewetgever heeft recentelijk het rechtskader voor onlineplatforms grotendeels gewijzigd. De Digital Services Act differentieert namelijk de verplichtingen van de platforms volgens bepaalde criteria en regelt ook, tot op zekere hoogte, de kwestie van de moderatie van onwettige inhoud. ( 39 ) De onderhavige zaak valt echter niet onder dit nieuwe rechtskader en het Hof mag mijns inziens niet via de rechtspraak een verplichting invoeren die niet alleen niet is opgenomen in richtlijn 2000/31 die van toepassing is op de feiten van het hoofdgeding, maar ook in strijd is met artikel 15 van die richtlijn.

81.

Een ander aspect waarop de verwijzende rechter de aandacht van het Hof vestigt, betreft de omstandigheid dat, hoewel Russmedia de litigieuze advertentie naar aanleiding van het verzoek van verzoekster in het hoofdgeding van haar onlinemarktplaats heeft verwijderd, deze advertentie nog steeds toegankelijk is op talrijke andere internetsites die deze van de onlinemarktplaats van Russmedia hebben overgenomen, met vermelding van de oorspronkelijke bron. De verwijzende rechter stelt niet rechtstreeks een vraag over deze omstandigheid vanuit het oogpunt van richtlijn 2000/31, maar verwijst ernaar in het kader van zijn vierde vraag, die betrekking heeft op de door de AVG vereiste maatregelen om de beveiliging van de verwerking van persoonsgegevens te waarborgen. Ter terechtzitting hebben partijen in antwoord op de vragen van het Hof echter dezelfde omstandigheid besproken in het kader van de in artikel 14, lid 1, onder b), van deze richtlijn neergelegde voorwaarde voor vrijstelling van aansprakelijkheid. In het licht van deze overwegingen en om de verwijzende rechter een nuttig antwoord te geven, zal ik onderzoeken of aan de in artikel 14, lid 1, onder b), van richtlijn 2000/31 gestelde voorwaarde is voldaan wanneer de hostingprovider, nadat hij kennis heeft gekregen van feiten of omstandigheden waaruit gemakkelijk kan worden afgeleid dat de opgeslagen informatie onwettig is, deze prompt van zijn website verwijdert, maar deze informatie nog wel toegankelijk is op andere websites die deze van de site van deze hostingprovider hebben overgenomen.

82.

In dit verband preciseert de verwijzende rechter niet of de litigieuze advertentie door Russmedia aan de exploitanten van andere internetsites is doorgezonden dan wel of zij door hen zonder medeweten van Russmedia is overgenomen. Dit punt is ter terechtzitting besproken. Om de verwijzende rechter een nuttig antwoord te geven, zal ik deze twee scenario’s onderzoeken.

83.

Ter terechtzitting heeft de Commissie verwezen naar een situatie waarin Russmedia, in overeenstemming met de gebruiksvoorwaarden van haar onlinemarktplaats, advertenties die op haar onlinemarktplaats zijn gepubliceerd, doorstuurt naar partners waarmee zij contractueel verbonden is die op haar site vermeld staan en derhalve bekend zijn bij de adverterende gebruikers.

84.

De vraag kan rijzen of in een dergelijk geval de door de exploitant van een onlinemarktplaats verrichte dienst bestaat in het neutraal hosten van op verzoek van een afnemer van zijn dienst opgeslagen informatie. Er mag namelijk niet uit het oog worden verloren dat artikel 14, lid 1, van richtlijn 2000/31 alleen van toepassing is indien de dienstverlener een dergelijke dienst verleent.

85.

Dienaangaande merk ik op dat wanneer de exploitant van een onlinemarktplaats de door een afnemer van zijn dienst verstrekte informatie op geïndividualiseerde wijze en/of met menselijke hulp aan zijn partners doorgeeft, zodat zij deze informatie op andere internetsites kunnen publiceren, zijn rol vergelijkbaar is met die van een bevorderaar van die informatie. In een dergelijk geval betwijfel ik of de dienst van de exploitant volledig binnen de werkingssfeer van artikel 14, lid 1, van richtlijn 2000/31 valt. Wanneer daarentegen de op verzoek van een gebruiker opgeslagen informatie door de exploitanten van andere websites wordt overgenomen en de rol van deze exploitant hierbij louter technisch en geautomatiseerd van aard is, zou kunnen worden aangenomen dat deze bepaling volledig op hem van toepassing is.

86.

Dit gezegd zijnde, bevat de verwijzingsbeslissing evenwel geen feitelijke gegevens aan de hand waarvan kan worden vastgesteld welke van deze twee hypothesen met de situatie in het hoofdgeding overeenstemt. Nog belangrijker is dat de vraag of aan de voorwaarde van artikel 14, lid 1, onder b), van richtlijn 2000/31 is voldaan, slechts rijst indien Russmedia kan worden aangemerkt als „hostingprovider” in de zin van deze bepaling. Ik zal bij de analyse van de in artikel 14, lid 1, onder b), van deze richtlijn gestelde voorwaarde dus uitgaan van de veronderstelling dat Russmedia een „hostingprovider” in de zin van deze bepaling is en dat de litigieuze advertentie door de partners van deze onderneming is overgenomen in de door de Commissie ter terechtzitting genoemde omstandigheden. ( 40 )

87.

Wat betreft de bewoordingen ervan bepaalt artikel 14, lid 1, onder b), van richtlijn 2000/31 dat, om in aanmerking te komen voor de vrijstelling van aansprakelijkheid, de hostingprovider prompt moet handelen om de onwettige informatie te verwijderen of de toegang daartoe onmogelijk te maken. Deze bepaling schrijft dus niet enkel voor dat de hostingprovider de onwettige informatie moet verwijderen of de toegang daartoe onmogelijk moet maken. De wetgever heeft namelijk gekozen voor een open formulering die in wezen inhoudt dat een dienstverlener prompt een einde moet maken aan een onwettige activiteit die via of op zijn dienstenplatform wordt uitgevoerd.

88.

Weliswaar kan de formulering van deze voorwaarde aldus worden opgevat dat de wetgever van de Unie er niet naar heeft gestreefd concrete te bereiken resultaten vast te leggen maar er alleen voor heeft willen zorgen dat in dat opzicht inspanningen werden geleverd. De open formulering van artikel 14, lid 1, onder b), van richtlijn 2000/31 laat een dienstverlener echter ook een zekere manoeuvreerruimte („de informatie te verwijderen of de toegang daartoe onmogelijk te maken”), zodat hij een passende, evenredige en doeltreffende maatregel kan treffen. Gelet op verschillende overwegingen van de richtlijn dringt een dergelijke lezing van deze bepaling zich op.

89.

In overweging 46 van richtlijn 2000/31 staat namelijk te lezen dat de verwijdering van informatie dient te geschieden met inachtneming van „daarvoor vastgestelde procedures op nationaal niveau” en dat deze richtlijn „geen afbreuk [mag] doen aan de mogelijkheid voor de lidstaten om specifieke eisen te stellen waaraan onverwijld dient te worden voldaan eer er informatie wordt verwijderd of ontoegankelijk wordt gemaakt”. Niets wijst er echter op dat dergelijke procedures en vereisten zijn vastgelegd in de toepasselijke nationale wetgeving.

90.

In elk geval vermeldt overweging 41 van richtlijn 2000/31 dat deze richtlijn een evenwicht tot stand brengt tussen de verschillende betrokken belangen en beginselen vastlegt waarop sectorale overeenkomsten en normen kunnen worden gebaseerd. Wat meer bepaald de voorwaarde van artikel 14, lid 1, onder b), van deze richtlijn betreft, staat in overweging 46 te lezen dat de dienstverlener de informatie moet verwijderen of de toegang ertoe onmogelijk moet maken met inachtneming van het beginsel van vrijheid van meningsuiting. Het Hof heeft dienaangaande verklaard dat de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van de richtlijn voorziet de uitdrukking vormt van het evenwicht dat deze richtlijn beoogt tot stand te brengen tussen de verschillende betrokken belangen, waaronder de vrijheid van meningsuiting die wordt gewaarborgd door artikel 11 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”). ( 41 )

91.

Ik leid hieruit af dat slechts aan de voorwaarde van artikel 14, lid 1, onder b), van richtlijn 2000/31 is voldaan indien bij de verwijdering van de onwettige informatie de vereisten inzake de bescherming van deze verschillende rechten en vrijheden met elkaar worden verzoend en een billijk evenwicht daartussen tot stand wordt gebracht.

92.

In dit verband wordt, naast de eerbiediging van de vrijheid van meningsuiting die door het Handvest wordt gewaarborgd en waarnaar in overweging 46 van richtlijn 2000/31 wordt verwezen, ook de eerbiediging van het privéleven door artikel 7 van het Handvest gewaarborgd. Voorts kan, gezien de noodzaak om een evenwicht te vinden tussen de belangen die op het spel staan, de doelstelling van een doeltreffende bescherming van de reputatie en de eer van een persoon niet worden nagestreefd door de hostingprovider een excessieve verplichting op te leggen. ( 42 )

93.

In deze omstandigheden kan slechts worden aangenomen dat de voorwaarde van artikel 14, lid 1, onder b), van richtlijn 2000/31 is vervuld met inachtneming van de betrokken rechten indien een hostingprovider wiens verleende dienst wordt gebruikt voor de doorgifte van de door hem opgeslagen informatie aan zijn contractuele partners, redelijke maatregelen treft om ervoor te zorgen dat deze inhoud in voorkomend geval ook door zijn partners wordt verwijderd of geblokkeerd. Een beding van deze strekking zou bijvoorbeeld kunnen worden opgenomen in de overeenkomsten met deze partners.

94.

Ter terechtzitting is niet alleen van gedachten gewisseld over de situatie waarin een advertentie wordt overgenomen door partners van de exploitant van een onlinemarktplaats, maar ook over de situatie waarin een voor het publiek toegankelijke advertentie wordt overgenomen door derden, zonder medeweten of toestemming van de exploitant. Het ging hierbij om de vraag of, gelet op de overwegingen in punt 91 van deze conclusie, de exploitant van een onlinemarktplaats maatregelen jegens derden moet treffen om te voldoen aan de voorwaarde van artikel 14, lid 1, onder b), van richtlijn 2000/31. Deze vraag moet ontkennend worden beantwoord.

95.

De in artikel 14, lid 1, onder b), van richtlijn 2000/31 gestelde voorwaarde is namelijk gebaseerd op de gedachte dat de verlener van een hostingdienst prompt alle maatregelen moet treffen die in zijn macht liggen om een einde te maken aan een onwettige activiteit die via of op zijn dienstenplatform wordt verricht. Of aan die voorwaarde is voldaan, mag echter niet afhangen van maatregelen waarop hij geen invloed heeft.

96.

Onverminderd de aanvullende opmerkingen die ik zojuist heb gemaakt over de voorwaarden waaraan artikel 14, lid 1, van richtlijn 2000/31 de vrijstelling van aansprakelijkheid van een dienstverlener die als tussenpersoon optreedt onderwerpt, handhaaf ik mijn in overweging gegeven antwoord op de eerste vraag dat in punt 64 van deze conclusie is uiteengezet.

97.

Met zijn tweede tot en met vierde vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder b) en f), artikel 6, lid 1, onder a), en de artikelen 7, 24 en 25 AVG aldus moeten worden uitgelegd dat een verlener van diensten van de informatiemaatschappij wiens activiteit bestaat in het op verzoek van zijn gebruikers op een internetsite plaatsen van gratis of betaalde advertenties, verplicht is om vooraf de identiteit van de adverteerder (tweede vraag) en de inhoud van de gepubliceerde advertenties te controleren (derde vraag) en om beveiligingsmaatregelen te treffen om het kopiëren of herverspreiden van de inhoud van advertenties die persoonsgegevens bevatten te voorkomen of beperken (vierde vraag).

98.

Deze vragen hebben ook betrekking op artikel 2, lid 4, artikel 4, punten 7 en 11, AVG en artikel 15 van richtlijn 2000/31. Om een nuttig antwoord op deze vragen te kunnen geven, is het echter voldoende om de in het vorige punt van deze conclusie genoemde bepalingen van de AVG uit te leggen, die de verplichtingen en verantwoordelijkheden bepalen van een actor die betrokken is bij de verwerking van persoonsgegevens.

99.

Om die vragen te kunnen beantwoorden, moet bovendien allereerst worden vastgesteld in welke hoedanigheid een dergelijke dienstverlener betrokken is bij de verwerking van persoonsgegevens. In dat verband lijken de tweede tot en met de vierde vraag ervan uit te gaan dat Russmedia is opgetreden als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG. Zij verwijzen namelijk naar die bepaling en maken melding van „een dienstverlener [...] die verantwoordelijk is voor de verwerking van persoonsgegevens”. Net als de Commissie heb ik mijn twijfels over een dergelijke juridische kwalificatie. Daarom zal ik, aangezien dit van invloed kan zijn op de antwoorden op de prejudiciële vragen, om te beginnen ingaan op de juridische kwalificatie van de exploitant van een marktplaats volgens de categorieën waarin de AVG voorziet (punt 1), alvorens terug te komen op de vraag naar de verplichtingen en verantwoordelijkheden van die exploitant (punt 2).

100.

Artikel 4, punt 7, AVG definieert het begrip „verwerkingsverantwoordelijke” als een persoon die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Deze verordening vermeldt een andere actor die betrokken is bij de verwerking van gegevens, te weten de „verwerker”. Deze wordt in artikel 4, punt 8, van die verordening gedefinieerd als de persoon die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

101.

De kwalificatie van een actor die betrokken is bij gegevensverwerking volgens de categorieën waarin de AVG voorziet, bepaalt de verplichtingen en verantwoordelijkheden van die actor. Deze verplichtingen en verantwoordelijkheden worden vastgelegd in de bepalingen waarnaar in de tweede tot en met de vierde vraag wordt verwezen.

102.

Elke verwerking van persoonsgegevens moet namelijk voldoen aan de beginselen met betrekking tot gegevensverwerking zoals uiteengezet in artikel 5, lid 1, AVG en aan de voorwaarden voor rechtmatige verwerking zoals uiteengezet in artikel 6 van die verordening. Het is de verwerkingsverantwoordelijke die de verantwoordelijkheid draagt voor de naleving van deze beginselen ( 43 ) en die, wanneer de verwerking is gebaseerd op toestemming, moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de gegevensverwerking, zoals artikel 7, lid 1, van deze verordening voorschrijft. In dezelfde geest leggen de artikelen 24 en 25 van die verordening de verwerkingsverantwoordelijke algemene verplichtingen op om passende technische en organisatorische maatregelen te treffen om te waarborgen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd.

103.

Bovendien bepaalt de hoedanigheid waarin een bij de verwerking betrokken actor handelt ook de omvang van zijn aansprakelijkheid voor inbreuken op de AVG.

104.

Ingevolge artikel 82, lid 2, eerste volzin, AVG is namelijk „[e]lke verwerkingsverantwoordelijke die bij verwerking [...] betrokken [is], [...] aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening”. De verwerkingsverantwoordelijke is niet alleen verantwoordelijk voor elke verwerking van persoonsgegevens die hij zelf uitvoert, maar ook voor de verwerking die namens hem wordt uitgevoerd. ( 44 ) Daar staat tegenover dat ingevolge artikel 82, lid 2, tweede volzin, van deze verordening „[e]en verwerker [...] slechts aansprakelijk [is] voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld”.

105.

Om te bepalen of een entiteit die betrokken is bij de verwerking van persoonsgegevens kan worden beschouwd als een verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG moet worden nagegaan of die entiteit voor eigen doeleinden daadwerkelijk invloed heeft uitgeoefend op de vaststelling van het doel van en de middelen voor die verwerking.

106.

Het doel van een verwerking betreft de vraag waarom de gegevens worden verwerkt. ( 45 ) In beginsel wordt dit bepaald door de persoon die het initiatief tot de verwerking heeft genomen.

107.

De contouren van het begrip „middelen” zijn minder duidelijk en moeten worden bepaald in de context van de ontwikkeling van de economische en technologische structuren waarin de gegevens worden verwerkt. Terwijl de doelstelling van een verwerking in het algemeen betrekking heeft op de reden waarom de gegevens worden verwerkt, geven de middelen antwoord op de vraag hoe dit doel zal worden bereikt. Het vaststellen van de middelen bestaat namelijk met name uit het beslissen welke gegevens worden verwerkt ( 46 ), wie er toegang toe heeft en hoe ( 47 ) en, voor zover een dergelijke beslissing een einde kan maken aan de verwerking, de duur van de verwerking. Beslissingen over de instrumenten of het materiaal of de digitale media ( 48 ) waarmee gegevens worden verzameld, gepresenteerd of verspreid, dragen ook bij aan het vaststellen van de middelen voor verwerking.

108.

De verwerkingsverantwoordelijke is echter niet verplicht om alle technische en organisatorische aspecten van de verwerking vast te stellen. De beslissing om de gegevensverwerking toe te vertrouwen aan een verwerker kan niet alleen voortvloeien uit de wens om de werklast van de verwerkingsverantwoordelijke te verlichten, maar ook uit het feit dat de verwerkingsverantwoordelijke niet beschikt over de technische kennis of de noodzakelijke middelen om de verwerking te organiseren. Een dergelijke uitlegging, die is ingegeven door de economische realiteit, wordt bevestigd door de bepalingen van de AVG.

109.

Het is namelijk zo dat ingevolge artikel 28, lid 3, AVG, een overeenkomst of andere rechtshandeling, op basis waarvan een verwerkingsverantwoordelijke de verwerking toevertrouwt aan een verwerker, weliswaar het doel van de verwerking moet omschrijven maar een dergelijke rechtsgrondslag hoeft geen uitputtend antwoord te geven op de vraag hoe de gegevens zullen worden verwerkt. Die rechtsgrondslag hoeft alleen het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen te omschrijven. Enerzijds zijn gevoelige kwesties die fundamenteel zijn voor de rechtmatigheid van de verwerking dus voorbehouden aan de verwerkingsverantwoordelijke. Anderzijds kan en moet een verwerker, hoewel hij optreedt namens een verwerkingsverantwoordelijke en diens instructies opvolgt, de technische en organisatorische maatregelen voor de verwerking vaststellen, zonder de grenzen van zijn rol als verwerker te overschrijden. Met andere woorden, het feit dat een persoon die betrokken is bij gegevensverwerking de niet‑essentiële middelen voor de verwerking vaststelt, is niet voldoende om hem de status van verwerkingsverantwoordelijke te verlenen.

110.

De verwijzende rechter zal op basis van de in de punten 106 tot en met 109 van deze conclusie uiteengezette criteria moeten beslissen of Russmedia als een verwerkingsverantwoordelijke kan worden beschouwd. Ik zal dit vraagstuk onderzoeken teneinde de nationale rechter de Unierechtelijke uitleggingselementen aan te reiken die hem van nut zullen zijn bij de beslechting van het bij hem aanhangige geding.

111.

Vooraf merk ik op dat de verwerking van persoonsgegevens in advertenties die op een onlinemarktplaats worden gepubliceerd, moet worden onderscheiden van de verwerking van de gegevens van adverterende gebruikers die een account aanmaken bij de exploitant van die marktplaats met het oog op de publicatie van hun advertenties. Het aanmaken van een dergelijk account en andere handelingen met betrekking tot de gegevens die door een adverterende gebruiker worden verstrekt, vormen verwerkingen waarvoor die exploitant krachtens de AVG verantwoordelijk is. In wezen beslist de exploitant welke gegevens nodig zijn om een account te registreren en bepaalt hij bij het inrichten van deze procedure voor het registreren van advertentiegebruikers het doel waarvoor deze gegevens worden verwerkt.

112.

In de verwijzingsbeslissing wordt de vraag opgeworpen of de exploitant van een onlinemarktplaats voor zijn eigen doeleinden ook invloed uitoefent op de vaststelling van het doel van en de middelen voor de verwerking van persoonsgegevens in de op zijn onlinemarktplaats gepubliceerde advertenties.

113.

Wat betreft het doel van de verwerking van de gegevens in een online gepubliceerde advertentie, de publicatie van een advertentie op een onlinemarktplaats is over het algemeen bedoeld om voor het product of de dienst die door een adverterende gebruiker wordt aangeboden bij het publiek reclame te maken. Dit doel wordt dus bepaald door de betrokken adverterende gebruiker. De exploitant van die onlinemarktplaats lijkt daarentegen geen invloed te hebben, voor zijn eigen doeleinden, op de reden van publicatie van die advertenties. De onderhavige zaak is een perfecte illustratie van de specifieke wijze waarop een onlinemarktplaats functioneert. De litigieuze advertentie werd immers niet online geplaatst om reclame te maken voor de dienst van een adverterende gebruiker, maar om verzoekster in het hoofdgeding schade te berokkenen. De exploitant heeft geen invloed uitgeoefend op de betreurenswaardige beweegredenen van de opsteller van die advertentie.

114.

Waar het gaat om het vaststellen van de middelen van een verwerking, is het de adverterende gebruiker die invloed heeft op het antwoord op de vraag hoe de gegevens worden verwerkt. De adverterende gebruiker bepaalt namelijk of gegevens in de advertentie worden opgenomen en zo ja, welke gegevens. Aan de andere kant is het zeer waarschijnlijk dat de exploitant van een onlinemarktplaats niet eens weet dat een advertentie persoonsgegevens bevat. Ook is het waar dat die exploitant de opmaak van de advertenties en andere technische en organisatorische aspecten van de werking van die onlinemarktplaats bepaalt, maar ik merk op, in het licht van mijn overwegingen in punt 109 van deze conclusie, dat de invloed van die exploitant op de vaststelling van de niet‑essentiële middelen van verwerking evenwel niet impliceert dat hij als een verwerkingsverantwoordelijke moet worden beschouwd.

115.

De exploitant van een onlinemarktplaats, zoals Russmedia, lijkt geen enkele invloed voor eigen doeleinden uit te oefenen op de vaststelling van de doelstelling van en de middelen voor de verwerking van persoonsgegevens in de op die onlinemarktplaats gepubliceerde advertenties. Is deze exploitant betrokken bij de verwerking van deze gegevens, dan handelt hij als verwerker, namens een advertentiegebruiker en onder diens verantwoordelijkheid. In deze omstandigheden moeten de gebruikers van een hostingdienst worden gekwalificeerd als „verwerkingsverantwoordelijken” in de zin van de AVG. ( 49 )

116.

Gezien de specifieke aard van deze zaak dient een aantal aanvullende preciseringen te worden toegevoegd aan de zojuist door mij geformuleerde overwegingen.

117.

In de eerste plaats is het, los van de vraag of een betrokkene op grond van de AVG kan worden beschouwd als de verwerkingsverantwoordelijke met betrekking tot zijn eigen persoonsgegevens ( 50 ), belangrijk om op te merken dat in het onderhavige geval de gegevens in de litigieuze advertentie geen betrekking hadden op de persoon die deze gegevens online heeft gezet.

118.

In de tweede plaats behoudt Russmedia zich op grond van de gebruiksvoorwaarden van haar onlinemarktplaats het recht voor om de op verzoek van adverterende gebruikers opgeslagen informatie te gebruiken. Zij mag de informatie kopiëren, verspreiden, verzenden, publiceren, reproduceren, wijzigen of vertalen, aan partners overdragen en op enigerlei moment wissen, zonder dat daar een reden voor nodig is. Zodra een dergelijke actie is ondernomen met betrekking tot de gegevens in een advertentie, kan deze onderneming worden beschouwd als verwerkingsverantwoordelijke met betrekking tot een specifieke verwerking, met alle verplichtingen en verantwoordelijkheden die dit met zich meebrengt. Een persoon kan immers verantwoordelijk zijn voor verwerkingen waarvan hij het doel en de middelen bepaalt. Daarentegen kan die persoon, onverminderd een eventuele civielrechtelijke aansprakelijkheid waarin het nationale recht in dit verband voorziet, niet worden geacht, in de zin van de AVG, verantwoordelijk te zijn voor verwerkingen die vroeg of laat in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststelt. ( 51 )

119.

In de derde plaats komen de zojuist door mij geformuleerde overwegingen overeen met het standpunt van de werkgroep „Artikel 29” ( 52 ), in haar advies 1/2010 van 16 februari 2010 over de begrippen „voor de verwerking verantwoordelijke” en „verwerker”. ( 53 ) Volgens de werkgroep is een internetprovider die opslagdiensten aanbiedt in beginsel namelijk een verwerker van de persoonsgegevens die online worden gepubliceerd door zijn klanten die deze provider gebruiken voor hosting en onderhoud van hun website. Als een dergelijke provider de gegevens die hij opslaat echter verder verwerkt voor eigen doeleinden, is hij voor die specifieke verwerking de voor de verwerking verantwoordelijke. Bovendien komt dit standpunt ook overeen met dat van het Europees Comité voor gegevensbescherming in zijn richtsnoeren 07/2020 over de begrippen „verwerkingsverantwoordelijke” en „verwerker” in de AVG, welke richtsnoeren zijn aangenomen op 7 juli 2021 ( 54 ), volgens welke een hostingprovider die niet bepaalt of de gegevens die hij host persoonsgegevens zijn en geen andere verwerking uitvoert dan opslag namens zijn klant, een verwerker is.

120.

Onder voorbehoud van de feitelijke verificaties die de verwijzende rechter dient te verrichten, dient het Hof mijns inziens dus de aandacht van deze rechter te vestigen op de wenselijkheid om de kwalificatie van Russmedia te herzien. Net als de Commissie ben ik namelijk van mening dat deze onderneming niet als verwerkingsverantwoordelijke maar als verwerker optreedt met betrekking tot de verwerkingen die voortvloeien uit de publicatie van de litigieuze advertentie. Op basis van deze premisse zal ik nu de tweede tot en met de vierde vraag onderzoeken.

121.

In de context van de verplichtingen en verantwoordelijkheden van de exploitant van een onlinemarktplaats onder het regime van de AVG moet een onderscheid worden gemaakt tussen, enerzijds, de verwerking van persoonsgegevens in de op die marktplaats gepubliceerde advertenties en, anderzijds, de verwerking van de gegevens van adverterende gebruikers die een account aanmaken bij die exploitant.

122.

Zou Russmedia wat betreft de verwerking van de persoonsgegevens in de advertenties feitelijk een verwerker zijn, dan zou het niet aan haar staan om na te gaan of de verwerking geoorloofd en wettig is. Zoals ik heb aangegeven ( 55 ), is het krachtens de in de tweede vraag genoemde bepalingen namelijk de verwerkingsverantwoordelijke die verantwoordelijk is voor de naleving van de beginselen betreffende de verwerking van persoonsgegevens. In dezelfde geest is de verwerker, volgens de bepalingen waarnaar in de derde vraag wordt verwezen, evenmin verplicht om de inhoud van de verwerkte informatie vooraf te controleren.

123.

De vierde vraag strekt ertoe vast te stellen of Russmedia beveiligingsmaatregelen had moeten treffen om het kopiëren of herverspreiden van de inhoud van de advertenties die persoonsgegevens bevatten, te voorkomen of te beperken. Deze vraag betreft de uitlegging van artikel 5, lid 1, onder b) en f), en de artikelen 24 en 25 AVG. Ook deze bepalingen hebben betrekking op de verplichtingen die niet op de verwerker maar op de verwerkingsverantwoordelijke rusten.

124.

Dit gezegd zijnde, preciseert artikel 32 AVG de verplichtingen van de verwerkingsverantwoordelijke en een eventuele verwerker met betrekking tot de beveiliging van deze verwerking. ( 56 )

125.

Meer in het bijzonder bepaalt artikel 32, lid 1, AVG dat de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten, maar ook met de aard, de omvang, de context en de verwerkingsdoeleinden en de risico’s. Evenzo wordt in artikel 32, lid 2, van deze verordening bepaald dat bij de beoordeling van het passende beveiligingsniveau met name rekening wordt gehouden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.

126.

Aangezien artikel 32, lid 2, AVG betrekking heeft op de verplichtingen van een verwerker, veronderstelt die bepaling dat de verwerking van gegevens volgens de instructies van de verwerkingsverantwoordelijke toegestaan en rechtmatig is. Van een verwerker kan niet worden verlangd dat hij toezicht houdt op de handelingen van de verwerkingsverantwoordelijke namens wie hij gegevens verwerkt. Wel moet hij maatregelen treffen om de verwerking van persoonsgegevens te beveiligen tegen inmenging door derden. Artikel 32, lid 1, van deze verordening concretiseert namelijk de beginselen van integriteit en vertrouwelijkheid van artikel 5, lid 1, onder f), ervan. ( 57 ) Overeenkomstig deze beginselen moeten de gegevens door de verwerkingsverantwoordelijke of namens hem op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen verlies.

127.

Als advertenties die op een onlinemarktplaats zijn geplaatst, kunnen worden overgenomen door de exploitanten van andere sites, in overeenstemming met de gebruiksvoorwaarden van die marktplaats die op die marktplaats zijn vermeld en dus vooraf bekend zijn bij de adverterende gebruikers, zou de verwerker maatregelen moeten treffen die hem in staat stellen om de verwijderde advertenties van zijn eigen platform te laten verwijderen. Het kan immers blijken dat de verwerking niet of niet langer rechtmatig is en het platform via hetwelk de herverspreiding van een advertentie gebeurt, zou ook bij zijn partners een einde moeten kunnen maken aan een inbreuk op de AVG. Een dergelijk resultaat is in lijn met dat betreffende de naleving van de in artikel 14, lid 1, onder b), van richtlijn 2000/31 gestelde voorwaarde door een hostingprovider. ( 58 )

128.

Anders dan de verwijzende rechter in de vierde vraag voor ogen lijkt te hebben, lijkt mij daarentegen niet van een bewerker te mogen worden verlangd dat hij het kopiëren of herverspreiden van advertenties met persoonsgegevens voorkomt of beperkt. Het staat niet aan de bewerker om te bepalen wie toegang heeft tot die gegevens en op welke wijze.

129.

De verplichtingen en verantwoordelijkheden van de exploitant van een onlinemarktplaats zijn groter met betrekking tot de verwerking van gegevens van adverterende gebruikers die een account aanmaken bij die exploitant. In het kader van deze verwerking is de exploitant de verwerkingsverantwoordelijke en zijn de artikelen 24 en 25 AVG volledig van toepassing op hem. ( 59 )

130.

Artikel 24 AVG legt de verwerkingsverantwoordelijke de algemene verplichting op om passende technische en organisatorische maatregelen te treffen om te waarborgen dat de verwerking van gegevens in overeenstemming met deze verordening wordt uitgevoerd. Artikel 25 van de verordening schrijft voor dat de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen treft die zijn opgesteld met als doel de gegevensbeschermingsbeginselen op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.

131.

Zoals blijkt uit de artikelen 24 en 25 AVG, moeten de betrokken maatregelen beantwoorden aan de risico’s die eigen zijn aan de context waarin de persoonsgegevens worden verwerkt. De identificatie van de specifieke risico’s en de vaststelling van de passende middelen moeten weliswaar worden overgelaten aan de beoordeling van de verwijzende rechter die beschikt over alle feitelijke elementen betreffende alle relevante criteria met betrekking tot die bepalingen, maar ik zou niettemin de volgende verduidelijkingen willen aandragen.

132.

Zoals in overweging 75 AVG staat te lezen kan persoonsgegevensverwerking leiden tot risico’s voor de rechten en vrijheden van natuurlijke personen, met name wanneer deze verwerking kan resulteren in identiteitsdiefstal en wanneer de betrokkenen worden verhinderd controle over hun persoonsgegevens uit te oefenen. Over het algemeen wordt een identiteit namelijk misbruikt om frauduleuze handelingen te verrichten, ten nadele van de betrokken persoon of derden. Bovendien kan in het geval van onlineplatforms onverantwoord gebruik leiden tot een schending van de rechten van natuurlijke personen, en het vooruitzicht dat de persoon die verantwoordelijk is voor deze schending straffeloos kan handelen, maakt deze risico’s nog groter.

133.

Als de verwerkingsverantwoordelijke een onlinemarktplaats exploiteert die toegankelijk is voor adverterende gebruikers die zich bij het gebruik van die marktplaats voor frauduleuze doeleinden als een andere persoon kunnen voordoen, moet hij dus maatregelen treffen om dat risico te beperken. Zoals artikel 25 AVG voorschrijft moet de verwerkingsverantwoordelijke, om aan de vereisten van deze verordening te voldoen en de rechten van de betrokkene te beschermen, met dit risico rekening houden, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf.

134.

In deze omstandigheden moet de exploitant van een onlinemarktplaats mijns inziens voorzien in technische of organisatorische maatregelen waarmee hij de identiteit van de adverterende gebruikers kan controleren. Een dergelijke controle zou namelijk, om te beginnen, het risico van onrechtmatige of oneerlijke verwerking van persoonsgegevens met betrekking tot de betrokkene beperken en, voorts, het onverantwoorde gebruik van de onlinemarktplaats tegengaan, aangezien anonieme gebruikers niet langer het gevoel zouden hebben straffeloos te blijven.

135.

Ik moet erop wijzen dat het algemene gegeven dat het internet anoniem wordt gebruikt er niet aan in de weg staat dat de identiteit van adverterende gebruikers wordt gecontroleerd. De gegevens van een adverterende gebruiker kunnen niet toegankelijk zijn voor elke gebruiker van een platform. Zij mogen alleen worden gecontroleerd en opgeslagen door de verwerkingsverantwoordelijke zodat deze kan voldoen aan zijn verplichtingen op grond van de AVG. Voor controledoeleinden kan de exploitant een telefoonnummer vragen en dit gebruiken om de registratie te bevestigen. Een dergelijke oplossing is niet ongebruikelijk voor onlineplatforms.

136.

Het is waar dat een dergelijke maatregel niet alle risico’s van identiteitsdiefstal kan uitsluiten. De AVG verplicht de verwerkingsverantwoordelijke evenwel enkel om technische en organisatorische maatregelen vast te stellen om elke inbreuk in verband met persoonsgegevens zoveel mogelijk te voorkomen. ( 60 ) Dit is dus geen resultaatsverbintenis, maar een inspanningsverbintenis. Hoe dan ook blijkt uit de verwijzingsbeslissing dat Russmedia geen maatregelen heeft genomen om de identiteit van de auteur van de litigieuze advertentie te controleren op het moment van registratie of publicatie van die advertentie.

137.

In deze omstandigheden stel ik voor om op de tweede tot en met de vierde vraag te antwoorden dat artikel 5, lid 1, onder f), artikel 6, lid 1, onder a), en de artikelen 7, 24 en 25 AVG aldus moeten worden uitgelegd dat een verlener van diensten van de informatiemaatschappij wiens activiteit bestaat in het op verzoek van zijn gebruikers op een internetsite plaatsen van gratis of betaalde advertenties, handelt als een verwerker met betrekking tot de persoonsgegevens die zijn vervat in de op zijn onlinemarktplaats gepubliceerde advertenties. In dit kader is hij niet verplicht om de inhoud van de gepubliceerde advertenties te controleren of om beveiligingsmaatregelen te treffen die het kopiëren en herverspreiden van de inhoud van de advertenties die door hem worden gepubliceerd, kunnen voorkomen of beperken. Hij moet echter passende organisatorische en technische maatregelen treffen om de veiligheid van de verwerking ten opzichte van derden te garanderen. Een dergelijke dienstverlener treedt daarentegen op als verwerkingsverantwoordelijke met betrekking tot de persoonsgegevens van adverterende gebruikers die op zijn website zijn geregistreerd. In deze context is hij verplicht om de identiteit van deze adverterende gebruikers te controleren.

138.

Voor de volledigheid en voor het geval het Hof mijn analyse niet deelt, zal ik nu kort ingaan op de verplichtingen en verantwoordelijkheden van de exploitant van een onlinemarktplaats die wordt beschouwd als een verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG met betrekking tot de persoonsgegevens in de advertenties die op zijn onlinemarktplaats zijn geplaatst. Zoals ik al heb opgemerkt ( 61 ), lijken de tweede tot en met de vierde vraag namelijk te zijn gebaseerd op de vooronderstelling dat Russmedia optreedt als „verwerkingsverantwoordelijke”.

139.

Vooraf merk ik op dat het feit dat de exploitant van een onlinemarktplaats een verwerkingsverantwoordelijke is, niet noodzakelijkerwijs betekent dat een adverterende gebruiker van die onlinemarktplaats niet ook als een verwerkingsverantwoordelijke kan worden beschouwd. ( 62 )

140.

De AVG erkent namelijk het bestaan van een gezamenlijke verantwoordelijkheid die zich niet noodzakelijkerwijs vertaalt in een gelijkwaardige verantwoordelijkheid van de verschillende marktdeelnemers die bij de verwerking van persoonsgegevens betrokken zijn. Integendeel, deze marktdeelnemers kunnen in verschillende stadia van de verwerking en in verschillende mate betrokken zijn, zodat de mate van verantwoordelijkheid van elk van hen moet worden beoordeeld met inachtneming van alle relevante omstandigheden van het betrokken geval.

141.

Ik zal mij evenwel concentreren op de verplichtingen en verantwoordelijkheden van de exploitant van een onlinemarktplaats voor zover het in deze zaak gaat om de aansprakelijkheid van een dergelijke exploitant voor de verwerking van persoonsgegevens in een advertentie die op zijn onlinemarktplaats is geplaatst.

142.

De tweede en de derde vraag strekken ertoe om na te gaan of de exploitant van een internetsite verplicht is om, voordat hij een advertentie publiceert, de identiteit te controleren van de persoon die de advertentie plaatst en van de persoon op wie de advertentie is gericht, evenals de inhoud van de advertenties die door gebruikers worden verzonden.

143.

Dienaangaande ben ik er niet van overtuigd dat de exploitant van een onlinemarktplaats zich ervan moet vergewissen dat de adverterende gebruiker daadwerkelijk de persoon is op wie de gegevens in een advertentie betrekking hebben. Een onlinemarktplaats kan immers ook door een adverterende gebruiker worden gebruikt om een advertentie met betrekking tot een andere persoon te publiceren.

144.

Een verwerkingsverantwoordelijke moet echter nagaan of de verwerking van persoonsgegevens is gebaseerd op de toestemming van de betrokkene of op een andere gerechtvaardigde grondslag die in de wet is vastgelegd. Een dergelijke verplichting wordt hem opgelegd door artikel 5, lid 1, onder a), artikel 6, lid 1, en artikel 7, lid 1, AVG.

145.

Als de exploitant van een onlinemarktplaats dus optreedt als de verwerkingsverantwoordelijke, moet hij ervoor zorgen dat de persoon van wie de gegevens in een advertentie staan, toestemming heeft gegeven voor de verwerking. Logischerwijs moet hij ook de inhoud van elke advertentie controleren die door een adverterende gebruiker wordt ingediend, om na te gaan of deze persoonsgegevens bevat.

146.

Overeenkomstig het behoorlijkheidsbeginsel van artikel 5, lid 1, onder a), AVG moet de verwerkingsverantwoordelijke er ook voor zorgen dat de gegevens behoorlijk worden verwerkt ten opzichte van de betrokkene. Daarnaast moet de verwerkingsverantwoordelijke op grond van de artikelen 24 en 25 van deze verordening ook technische en organisatorische maatregelen treffen om ervoor te zorgen dat de verwerking in overeenstemming met de verordening wordt uitgevoerd. Daarbij moet hij rekening houden met de risico’s die eigen zijn aan de context waarin de gegevens worden verwerkt.

147.

De verwerking van voor het publiek toegankelijke persoonsgegevens in een onlineomgeving kan risico’s inhouden voor de rechten en vrijheden van natuurlijke personen en met name leiden tot materiële of immateriële schade.

148.

Wanneer de exploitant van een onlinemarktplaats verantwoordelijk is voor de verwerking van gegevens in advertenties die op die marktplaats zijn geplaatst, moet hij de advertenties controleren voordat ze online worden gepubliceerd, nagaan of de verwerking ervan gebaseerd is op de toestemming van de betrokkene of op een andere gerechtvaardigde grondslag waarin de wet voorziet, en maatregelen invoeren tegen verwerking die schadelijk is voor de betrokkenen. Als hij deze uitgangspunten niet naleeft, kan hij overeenkomstig artikel 82 AVG aansprakelijk worden gesteld voor inbreuken op deze verordening.

149.

De vierde vraag is of de exploitant van een onlinemarktplaats beveiligingsmaatregelen moet treffen om het kopiëren en herverspreiden van de inhoud van de via hem gepubliceerde advertenties te voorkomen of te beperken.

150.

Als, gezien de context waarin de verwerking plaatsvindt, de mogelijkheid bestaat dat de advertenties door andere sites worden overgenomen en de persoonsgegevens verder worden verwerkt op een manier die onverenigbaar is met de doeleinden waarvoor ze zijn verzameld, zou de verwerkingsverantwoordelijke kunnen overwegen om dergelijke maatregelen die passend moeten zijn ten uitvoer te leggen. Ik ben er echter niet van overtuigd dat de exploitant van een onlinemarktplaats die vanuit het oogpunt van de exploitant en de adverterende gebruikers zijn economische bestaansredenen ontleent aan het feit dat de daar gepubliceerde advertenties voor het publiek toegankelijk zijn, verplicht zou moeten worden om de herverspreiding van die advertenties te beperken. Bovendien is het gebruikelijke doel van het online plaatsen van inhoud over het algemeen om deze toegankelijk te maken voor alle internetgebruikers, hetgeen een vorm van herverspreiding impliceert. Gelet op de overwegingen in punt 148 van deze conclusie, had de litigieuze advertentie hoe dan ook niet zonder toestemming van de betrokkene op de onlinemarktplaats van Russmedia mogen worden gepubliceerd.

151.

Onverminderd de bovenstaande aanvullende opmerkingen over de verplichtingen en verantwoordelijkheden van een verwerkingsverantwoordelijke, blijf ik erbij dat de exploitant van een onlinemarktplaats een verwerker is van de persoonsgegevens in de advertenties die op die marktplaats worden geplaatst. ( 63 ) In deze omstandigheden rest nog na te gaan hoe richtlijn 2000/31 en de AVG zich tot elkaar verhouden.

152.

De tweede en de derde vraag draaien met name om artikel 2, lid 4, AVG, dat betrekking heeft op de verhouding tussen deze verordening en richtlijn 2000/31. Voorts hebben zij zowel betrekking op de bepalingen van deze verordening die de verplichtingen en verantwoordelijkheden van een verwerkingsverantwoordelijke bepalen, als op artikel 15 van deze richtlijn. Deze vragen lijken dus uit te gaan van de parallelle toepassing van de AVG en voornoemde richtlijn.

153.

Alvorens in te gaan op een dergelijke parallelle toepassing van deze twee Unierechtelijke instrumenten (punt 2), moet ik er echter op wijzen dat er tussen de aanname in de eerste vraag en die in de tweede tot en met de vierde vraag een zekere spanning bestaat (punt 1).

154.

Ik breng in herinnering dat uit mijn analyse volgt dat Russmedia als verwerker handelde wat betreft de verwerking van persoonsgegevens in de op haar onlinemarktplaats gepubliceerde advertenties. ( 64 ) De verwijzende rechter gaat daarentegen ervan uit dat deze onderneming heeft opgetreden als de verwerkingsverantwoordelijke. In die omstandigheden rijst in de verwijzingsbeslissing de vraag of de exploitant van een onlinemarktplaats twee petten kan dragen, namelijk die van neutrale hostingprovider van de op verzoek van een afnemer van zijn dienst opgeslagen informatie in de zin van artikel 14, lid 1, van richtlijn 2000/31 en die van verantwoordelijke voor de verwerking van de in die informatie vervatte persoonsgegevens. Met de eerste vraag wordt namelijk beoogd vast te stellen of Russmedia een dienstverlener is die als tussenpersoon optreedt in de zin van afdeling 4 van hoofdstuk II van deze richtlijn. De tweede tot en met de vierde vraag lijken daarentegen ervan uit te gaan dat deze onderneming moet worden aangemerkt als een „verwerkingsverantwoordelijke” in de zin van de AVG.

155.

In dit verband ben ik mij ervan bewust dat het Hof in zijn rechtspraak niet heeft uitgesloten dat een verwerkingsverantwoordelijke voor persoonsgegevens in de zin van de AVG een neutrale rol kan spelen met betrekking tot de informatie die deze gegevens bevat en in aanmerking komt voor de vrijstelling van aansprakelijkheid waarin is voorzien in artikel 14, lid 1, van richtlijn 2000/31. Een dergelijke opmerking is ook gemaakt in de rechtsleer met betrekking tot de nationale rechtspraak. ( 65 )

156.

Het is juist dat het Hof in het arrest Google Spain en Google aanvankelijk heeft geoordeeld dat de exploitant van een zoekmachine een verwerkingsverantwoordelijke is voor persoonsgegevens die zijn opgenomen in door derden gepubliceerde of op internet gepubliceerde informatie die door deze exploitant wordt gelokaliseerd, geïndexeerd en bewaard. ( 66 ) Vervolgens heeft het Hof in het arrest Google France en Google onderzocht of de exploitant van diezelfde zoekmachine in aanmerking kwam voor de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet. ( 67 ) Dit tweede arrest had echter geen betrekking op de exploitatie van die zoekmachine, maar op een zoekmachineadvertentiedienst. Bovendien heeft het Hof het in dit arrest aan de nationale rechter overgelaten om te bepalen of de rol van deze exploitant overeenkwam met die van een dienstverlener die als tussenpersoon optreedt in de zin van deze bepaling. ( 68 )

157.

Belangrijker nog is dat, zoals ik heb aangegeven ( 69 ), een dienstverlener die als tussenpersoon optreedt in de door de wetgever in afdeling 4 van hoofdstuk II van richtlijn 2000/31 bedoelde zin geen rol kan spelen die hem kennis van of controle over de opgeslagen gegevens verschaft en zich dus moet beperken tot de neutrale verlening van zijn dienst door middel van een zuiver technische verwerking. Voorts impliceert de rol van de verwerkingsverantwoordelijke dat hij het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt en, in het bijzonder, invloed uitoefent op de vraag of gegevens worden onderworpen aan verwerkingshandelingen zoals registratie, wijziging of verspreiding en, zo ja, op de bepaling van die gegevens. ( 70 ) De uitoefening van een dergelijke invloed is onverenigbaar met de neutrale rol die een verlener van een dienst van de informatiemaatschappij ten aanzien van de op verzoek van gebruikers opgeslagen informatie moet behouden om in aanmerking te komen voor de in artikel 14, lid 1, van richtlijn 2000/31 bedoelde vrijstelling van aansprakelijkheid. Evenzo legt de AVG, zoals ik heb uiteengezet ( 71 ), verplichtingen en verantwoordelijkheden op aan verantwoordelijken voor gegevensverwerking die hen tot proactief handelen verplichten. Om te voldoen aan de beginselen met betrekking tot de verwerking van persoonsgegevens, moet de verwerkingsverantwoordelijke in wezen op de hoogte zijn van de betreffende gegevens en er controle over uitoefenen. Een dergelijke controle valt evenmin te verenigen met de neutrale rol van een dergelijke dienstverlener.

158.

Als een hostingdienst bestaat uit de opslag van informatie die, uit het oogpunt van de AVG, persoonsgegevens vormt en, voorts, de verlener van die dienst wordt beschouwd als een verwerkingsverantwoordelijke in de zin van die verordening, is de rol van die dienstverlener dus niet beperkt tot de neutrale opslag van die informatie. Bijgevolg neemt de verlener van een dergelijke dienst een actieve rol op zich met betrekking tot dergelijke informatie en komt hij niet in aanmerking voor de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet.

159.

Het spanningsveld tussen de aanname waarnaar in de eerste vraag wordt verwezen en die waarnaar in de tweede tot en met de vierde vraag wordt verwezen, bevestigt de uitlegging van de AVG volgens welke de exploitant van een onlinemarktplaats niet optreedt als een verwerkingsverantwoordelijke voor de persoonsgegevens in de advertenties die hij opslaat op verzoek van de adverterende gebruikers, maar als een verwerker van die gegevens. ( 72 )

160.

Volledigheidshalve merk ik op dat ik niet kan uitsluiten dat de Uniewetgever ervoor heeft gekozen om de mogelijkheid open te laten dat een hostingprovider die optreedt als verwerkingsverantwoordelijke voor gegevens, in aanmerking komt voor de vrijstelling van aansprakelijkheid op grond van de Digital Services Act. Hoewel die verordening de artikelen 12 tot en met 15 van richtlijn 2000/31 heeft geschrapt ( 73 ), zijn deze bepalingen namelijk toch hierin opgenomen, zoals uitgelegd door het Hof. Artikel 7 van deze verordening voegt daaraan toe dat „[a]anbieders van tussenhandeldiensten [...] niet [worden] geacht te zijn uitgesloten van [...] aansprakelijkheidsvrijstellingen louter omdat zij te goeder trouw en zorgvuldig vrijwillige onderzoeken op eigen initiatief uitvoeren [...], of omdat zij de nodige maatregelen nemen voor de naleving van de vereisten van het Unierecht en het met het Unierecht in overeenstemming zijnde nationale recht”. ( 74 ) Het eerste deel van deze bepaling, dat betrekking heeft op „maatregelen die vrijwillig door een dienstverlener worden genomen”, heeft elementen gemeen met de rechtspraak van het Hof die reeds in het kader van richtlijn 2000/31 is ontwikkeld. ( 75 ) Het tweede deel, met betrekking tot „maatregelen voor de naleving van de vereisten van het Unierecht”, dat door dezelfde verordening is toegevoegd, zou een hostingprovider in staat stellen om te voldoen aan de verplichtingen die hem door de AVG worden opgelegd en zijn rol als neutrale dienstverlener die als tussenpersoon optreedt te behouden. Richtlijn 2000/31 bevat echter geen bepaling van die strekking en het is niet nodig om er via een uitlegging van die richtlijn één in op te nemen.

161.

Rest de vraag of een actor die als verwerker betrokken is bij de verwerking van persoonsgegevens en wiens verantwoordelijkheid voor de verwerking van die gegevens kan worden ingeroepen voor een inbreuk op de AVG, zich kan beroepen op de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet.

162.

Het door de verwijzingsbeslissing opgeworpen probleem komt voort uit het feit dat de op verzoek van een afnemer van de dienst opgeslagen informatie persoonsgegevens bevatte die in strijd met de AVG waren verwerkt. Vandaar de vraag tussen de partijen in het hoofdgeding, waarover in de rechtsleer reeds lang wordt gedebatteerd ( 76 ): kan een bij de verwerking van persoonsgegevens betrokken actor die aansprakelijk kan worden gesteld voor een inbreuk op de AVG, zich beroepen op de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet?

163.

Dienaangaande moet ik vaststellen dat in overeenstemming met mijn analyse van deze twee Unierechtelijke instrumenten de verlener van een dienst van de informatiemaatschappij die de verwerkingsverantwoordelijke is voor de persoonsgegevens die zijn opgenomen in de op verzoek van de gebruikers van die dienst opgeslagen informatie, zich niet kan beroepen op de in artikel 14, lid 1, van richtlijn 2000/31 bedoelde vrijstelling van aansprakelijkheid. ( 77 ) Bijgevolg is de analyse die volgt uitsluitend bedoeld om te bepalen of een dienstverlener die als verwerker van dergelijke gegevens optreedt, zich op deze vrijstelling kan beroepen. Ik wijs erop dat mijn analyse van de bepalingen van de AVG mij ertoe brengt het Hof in overweging te geven te oordelen dat Russmedia als verwerker heeft gehandeld. ( 78 )

164.

Bovendien moet worden opgemerkt dat de verwijzende rechter niet preciseert of Russmedia in het hoofdgeding aansprakelijk kan worden gesteld voor een inbreuk op de AVG op grond van artikel 82 van deze verordening dan wel op grond van de regels inzake civielrechtelijke aansprakelijkheid waarin het nationale recht voorziet. De schending van een regel inzake de bescherming van persoonsgegevens kan namelijk tegelijkertijd leiden tot de schending van andere regels, zoals de regels inzake consumentenbescherming ( 79 ) en de persoonlijkheidsrechten, en de Uniewetgever heeft niet de bedoeling gehad om tot een uitputtende harmonisatie van de rechtsmiddelen in geval van inbreuk op de bepalingen van de AVG over te gaan. ( 80 )

165.

Wat de wettelijke aansprakelijkheid betreft, bevat zowel richtlijn 2000/31 als de AVG in elk geval bepalingen die aanknopingspunten bieden bij de beantwoording van de vraag hoe deze twee Unierechtelijke handelingen zich tot elkaar verhouden.

166.

Artikel 1, lid 5, onder b), van richtlijn 2000/31 („Doel en toepassingsgebied”) bepaalt dat deze richtlijn niet van toepassing is op kwesties in verband met diensten van de informatiemaatschappij die onder de regels van het Unierecht vallen die van toepassing zijn op persoonsgegevens. Meer concreet verwijst deze bepaling naar richtlijn 95/46 en richtlijn 97/66, die zijn vervangen door respectievelijk de AVG ( 81 ) en richtlijn 2002/58/EG ( 82 ).

167.

Voorts staat in overweging 14 van richtlijn 2000/31 die betrekking heeft op de in artikel 1, lid 5, van die richtlijn bedoelde kwestie, te lezen dat de bescherming van individuen met betrekking tot de verwerking van persoonsgegevens alleen geregeld is bij richtlijnen 95/46 en 97/66 „die volledig van toepassing zijn op diensten van de informatiemaatschappij. Die richtlijnen vormen reeds een [...] wettelijk kader [van de Unie] op het gebied van persoonsgegevens, en het is daarom niet nodig die kwestie in [richtlijn 2000/31] op te nemen om een soepele werking van de interne markt te garanderen, met name wat betreft het vrije verkeer van persoonsgegevens tussen lidstaten. [Laatstgenoemde] richtlijn moet worden uitgevoerd en toegepast met volledige inachtneming van de beginselen inzake de bescherming van persoonsgegevens.”

168.

Het Hof heeft zich eerder gebogen over de uitlegging van artikel 1, lid 5, onder b), van richtlijn 2000/31.

169.

Om te beginnen is namelijk in het arrest Promusicae ( 83 ) de vraag gerezen of het Unierecht voorschrijft dat de lidstaten ter verzekering van de doeltreffende bescherming van het auteursrecht de verplichting moeten opleggen om persoonsgegevens in het kader van een civiele procedure mee te delen. In die zaak verwees de verwijzende rechter naar verschillende richtlijnen die volgens hem de rechtsgrondslag voor een dergelijke verplichting hadden kunnen vormen.

170.

Dienaangaande heeft het Hof geoordeeld dat uit artikel 1, lid 5, onder b), van richtlijn 2000/31 blijkt dat een dergelijke verplichting, gesteld dat deze richtlijn hierin voorziet, geen afbreuk mag doen aan de vereisten inzake de bescherming van persoonsgegevens. ( 84 ) Het Hof leek dus de parallelle toepassing van deze richtlijn en de instrumenten van het Unierecht met betrekking tot de bescherming van persoonsgegevens voor ogen te hebben.

171.

Vervolgens heeft het Hof zich, in het arrest La Quadrature du Net e.a. ( 85 ), gebogen over de vraag of richtlijn 2000/31 zich verzet tegen een nationale regeling waarbij aanbieders die het publiek online toegang verlenen tot communicatiediensten en aanbieders van opslagdiensten een verplichting tot algemene en ongedifferentieerde bewaring van met die diensten verband houdende persoonsgegevens wordt opgelegd. De verwijzende rechter was van oordeel dat deze vraag onder deze richtlijn valt en dat artikel 15 ervan als zodanig geen principieel verbod op het bewaren van gegevens inzake de creatie van inhoud invoert waarvan slechts bij wijze van uitzondering kan worden afgeweken. ( 86 )

172.

Het Hof heeft verklaard dat richtlijn 2000/31 niet van toepassing is op de bescherming van het vertrouwelijke karakter van communicatie en van natuurlijke personen in verband met de verwerking van persoonsgegevens in het kader van de diensten van de informatiemaatschappij, aangezien deze bescherming, naargelang van het geval, wordt beheerst door richtlijn 2002/58 of de AVG. ( 87 )

173.

De categorische aard van dit antwoord houdt verband met de context waarin het werd gegeven.

174.

Ten eerste mag namelijk niet uit het oog worden verloren dat overweging 15 van richtlijn 2000/31 specifiek betrekking heeft op de vertrouwelijkheid van berichten en – overeenkomstig richtlijn 97/66, die in artikel 1, lid 5, onder b), van richtlijn 2000/31 wordt genoemd – vermeldt dat „de lidstaten iedere vorm van onderschepping of bewaking van deze berichten door andere personen dan de verzender en de adressaat [moeten] verbieden, tenzij dit wettelijk toegestaan is”. Richtlijn 2002/58, die in de plaats is gekomen van richtlijn 97/66, bevestigt dit verbod en stelt de voorwaarden vast waaronder de lidstaten ervan mogen afwijken. Op dezelfde manier wordt de manoeuvreerruimte van de lidstaten met betrekking tot afwijkingen in verband met de bescherming van persoonsgegevens krachtens de AVG beperkt door artikel 23 van deze verordening.

175.

Ten tweede heeft het Hof, om tot de in punt 171 van deze conclusie in herinnering gebrachte slotsom te komen, verklaard dat de bescherming van het vertrouwelijke karakter van communicatie en van natuurlijke personen wat betreft de verwerking van persoonsgegevens uitsluitend wordt beheerst door richtlijn 2002/58 of door de AVG, „waarbij moet worden aangetekend dat de bescherming die richtlijn 2000/31 beoogt te verzekeren, hoe dan ook geen afbreuk mag doen aan de vereisten die voortvloeien uit richtlijn 2002/58 en [de AVG]”. ( 88 )

176.

Zo blijkt uit de rechtspraak betreffende artikel 1, lid 5, onder b), van richtlijn 2000/31, om te beginnen, dat deze richtlijn niet van toepassing is op aangelegenheden die het voorwerp vormen van een specifieke regeling krachtens richtlijn 2002/58 en de AVG. Voorts zijn richtlijn 2000/31 en de regels van het Unierecht inzake persoonsgegevens parallel van toepassing op alle andere aangelegenheden, maar de bepalingen van deze richtlijn mogen geen afbreuk doen aan de vereisten inzake de bescherming van dergelijke gegevens.

177.

Mijn uitlegging in punt 176 van deze conclusie wordt bevestigd door artikel 2, lid 4, AVG, dat bepaalt dat de toepassing van deze verordening de toepassing van richtlijn 2000/31, en met name de regels in de artikelen 12 tot en met 15 van die richtlijn betreffende de aansprakelijkheid van dienstverleners die als tussenpersoon optreden, „onverlet” laat. ( 89 )

178.

Hoewel in de terminologie van het Unierecht de vaststelling dat een rechtsinstrument of een van de bepalingen ervan de toepassing van een ander instrument „onverlet” laat tot verschillende oplossingen kan leiden, specificeert de AVG dat zij met name de specifieke bepalingen van richtlijn 2000/31 onverlet laat. De Uniewetgever heeft daarom willen benadrukken dat deze verordening de reikwijdte van de specifieke bepalingen van die richtlijn niet beperkt. De AVG kan dus niet geacht worden voorrang te hebben op richtlijn 2000/31 op grond van het feit dat die verordening werd aangenomen na die richtlijn.

179.

Gelet op het voorgaande is zowel richtlijn 2000/31, zoals uitgelegd door het Hof ( 90 ), als de AVG ( 91 ) zodanig van opzet dat zij parallel kunnen worden toegepast op aangelegenheden die niet het voorwerp van een specifieke regeling uit hoofde van die verordening uitmaken. Derhalve moet nog worden nagegaan of de AVG een bepaling bevat die een vergelijkbare rol vervult als die van artikel 14, lid 1, van die richtlijn.

180.

In dit verband bepaalt artikel 82, lid 3, AVG dat een verwerkingsverantwoordelijke of een verwerker, naargelang van het geval, wordt vrijgesteld van aansprakelijkheid voor schade veroorzaakt door een verwerking die een inbreuk op die verordening vormt „indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit”. In geval van een inbreuk in verband met persoonsgegevens door een „derde” in de zin van artikel 4, punt 10, van de verordening, kan de verwerkingsverantwoordelijke of de verwerker op grond van artikel 82, lid 3, van de verordening van zijn aansprakelijkheid worden vrijgesteld door te bewijzen dat er geen causaal verband bestaat tussen zijn eventuele niet-nakoming van de verplichting tot gegevensbescherming en de door de natuurlijke persoon geleden. ( 92 )

181.

Mijns inziens voorziet artikel 82, lid 3, AVG niet in een uitsluiting van de aansprakelijkheid met een vergelijkbare rol als die van artikel 14, lid 1, van richtlijn 2000/31.

182.

Artikel 14, lid 1, van richtlijn 2000/31 is immers alleen van toepassing indien een dienstverlener die als tussenpersoon optreedt volgens de op hem toepasselijke regels aansprakelijk kan worden gesteld voor informatie die op verzoek van gebruikers van zijn als tussenpersoon verleende dienst is opgeslagen. De vraag of deze bepaling van toepassing is, rijst dus enkel indien is voldaan aan de voorwaarden voor de aansprakelijkheid van de dienstverlener die als tussenpersoon optreedt voor de opgeslagen informatie, zoals bepaald in de toepasselijke regels. In dit verband worden de voorwaarden voor het recht op schadevergoeding waarin artikel 82 AVG voorziet, bepaald in de leden 1 tot en met 3 van dat artikel. Artikel 82, lid 3, van de verordening introduceert slechts één voorwaarde voor deze aansprakelijkheid. ( 93 ) Voor de aansprakelijkheid van de verwerkingsverantwoordelijke uit hoofde van artikel 82 AVG geldt namelijk de voorwaarde dat er bij hem sprake is van schuld, hetgeen wordt vermoed, tenzij de verwerkingsverantwoordelijke bewijst dat het schadeveroorzakende feit hem op geen enkele wijze kan worden toegerekend, in de zin van lid 3. ( 94 )

183.

Een verwerker die op grond van artikel 82 AVG aansprakelijk kan worden gesteld, is derhalve niet uitgesloten van het voordeel van de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet.

184.

In gedachten moet evenwel worden gehouden dat een verwerker slechts aansprakelijk kan worden gesteld op grond van artikel 82, lid 2, tweede volzin, AVG wanneer hij niet heeft voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke heeft gehandeld. De verplichtingen en verantwoordelijkheden van een exploitant van een onlinemarktplaats die als verwerker optreedt met betrekking tot de gegevens in de advertenties die op zijn platform worden gepubliceerd, houden daarom in de eerste plaats verband met artikel 32 van deze verordening. ( 95 )

185.

Dit gezegde zijnde, is het, zoals ik reeds heb opgemerkt, niet duidelijk of de aansprakelijkheid van Russmedia voor een inbreuk op de AVG in het hoofdgeding kan worden gebaseerd op artikel 82 van deze verordening dan wel op nationale bepalingen. Indien de aansprakelijkheid voor een inbreuk op deze verordening kan worden gebaseerd op nationale bepalingen (zodat artikel 82, lid 3, AVG niet van toepassing zou zijn), zijn er nog minder redenen om de betrokken entiteit uit te sluiten van het voordeel van de vrijstelling van aansprakelijkheid waarin artikel 14, lid 1, van richtlijn 2000/31 voorziet.

186.

Samengevat ben ik van mening dat een actor die als verwerker betrokken is bij de verwerking van persoonsgegevens en die aansprakelijk kan worden gesteld voor een inbreuk op de AVG zich kan beroepen op de vrijstelling van aansprakelijkheid waarin is voorzien bij artikel 14, lid 1, van richtlijn 2000/31. Mijn slotsom inzake de verhouding tussen deze twee instrumenten van Unierecht kan derhalve niet van invloed zijn op mijn in overweging gegeven antwoorden op de prejudiciële vragen.

187.

Gelet op al het voorgaande geef ik het Hof in overweging de prejudiciële vragen van de Curte de Apel Cluj te beantwoorden als volgt: