I.

Wprowadzenie

1.

Pytania prejudycjalne w niniejszej sprawie dotyczą przepisów dyrektywy 2000/31/WE ( 2 ) i rozporządzenia (UE) 2016/679 ( 3 ).

2.

Źródłem tych pytań jest spór między osobą fizyczną a operatorem internetowej platformy handlowej, na której bez zgody tej osoby opublikowano ogłoszenie oferujące jej usługi seksualne. Specyfika tej sprawy polega na tym, że to ogłoszenie zawierało dane osobowe.

3.

Poprzez swoje pytania, które dotyczą RODO, sąd odsyłający dąży w tym względzie do ustalenia, po pierwsze, czy operator internetowej platformy handlowej taki jak ten, którego dotyczy spór w postępowaniu głównym, naruszył obowiązki ciążące na nim na mocy tego rozporządzenia, a po drugie, czy taki operator może skorzystać z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31 w odniesieniu do ogłoszenia opublikowanego na tej internetowej platformie handlowej. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym daje zatem Trybunałowi sposobność wypowiedzenia się w przedmiocie związku między systemami ustanowionymi przez te dwa akty prawa Unii.

II.

Ramy prawne

A.

Prawo Unii

1.

Dyrektywa 2000/31

4.

Artykuł 1 dyrektywy 2000/31, zatytułowany „Cel i zakres”, w ust. 5 stanowi między innymi, że dyrektywa ta nie ma zastosowania „do zagadnień odnoszących się do usług społeczeństwa informacyjnego objętych dyrektywami 95/46/WE[ ( 4 )] oraz 97/66/WE[ ( 5 )]”.

5.

Artykuły 12, 13 i 14 tej dyrektywy, które znajdują się w sekcji 4, zatytułowanej „Odpowiedzialność usługodawców będących pośrednikami”, rozdziału II, zatytułowanego „Zasady”, dotyczą dostawców usług społeczeństwa informacyjnego prowadzących działalność polegającą, odpowiednio, na zwykłym przekazie, na formie przechowania zwanej „cachingiem” lub na hostingu. Przepisy te określają również warunki, na jakich tacy dostawcy są zwolnieni z odpowiedzialności za informacje pochodzące od użytkowników ich usług.

6.

Artykuł 14 wspomnianej dyrektywy, zatytułowany „Hosting”, stanowi w ust. 1:

7.

Artykuł 15 tej dyrektywy, zatytułowany „Brak ogólnego obowiązku w zakresie nadzoru” przewiduje:

2.

RODO

8.

Artykuł 2 RODO, zatytułowany „Materialny zakres stosowania”, stanowi w ust. 4:

9.

Artykuł 4 tego rozporządzenia, zatytułowany „Definicje”, brzmi następująco:

10.

Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, przewiduje:

11.

Artykuł 6 wspomnianego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1:

12.

Artykuł 7 RODO, zatytułowany „Warunki wyrażenia zgody”, stanowi w ust. 1:

13.

Artykuły 24–26 tego rozporządzenia znajdują się w sekcji 1, zatytułowanej „Obowiązki ogólne”, rozdziału IV, zatytułowanego z kolei „Administrator i podmiot przetwarzający”.

14.

Artykuł 24 rzeczonego rozporządzenia, zatytułowany „Obowiązki administratora”, przewiduje w ust. 1:

15.

Artykuł 25 wspomnianego rozporządzenia, zatytułowany „Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych”, stanowi w ust. 1 i 2:

16.

Artykuł 26 RODO, zatytułowany „Współadministratorzy”, stanowi w ust. 1:

B.

Prawo rumuńskie

17.

Artykuł 11 Legea nr. 365/2002 privind comerțul electronic (ustawy nr 365/2002 o handlu elektronicznym) z dnia 7 czerwca 2002 r. ( 6 ), zmienionej Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (ustawą nr 121/2006 o zmianie i uzupełnieniu ustawy nr 365/2002 o handlu elektronicznym) z dnia 4 maja 2006 r. ( 7 ) (zwanej dalej „ustawą nr 365/2002”), przewiduje:

18.

Artykuł 14 tej ustawy, zatytułowany „Stałe przechowywanie informacji, hosting”, stanowi:

III.

Okoliczności faktyczne w postępowaniu głównym, pytania prejudycjalne i postępowanie przed Trybunałem

19.

Russmedia Digital SRL (zwana dalej „Russmedią” lub spółką „Russmedia”), spółka prawa rumuńskiego, jest właścicielką internetowej platformy handlowej www.publi24.ro, na której można publikować bezpłatne lub płatne ogłoszenia reklamowe dotyczące w szczególności sprzedaży towarów lub świadczenia usług z różnych miejscowości w Rumunii.

20.

W dniu 1 sierpnia 2018 r. niezidentyfikowana osoba opublikowała na tej platformie internetowej ogłoszenie, którego treść była dyskredytująca i obraźliwa w stosunku do powódki w postępowaniu głównym, ponieważ wskazano w nim, że oferowała ona usługi seksualne (zwane dalej „spornym ogłoszeniem”). Ogłoszenie to zawierało zdjęcia powódki w postępowaniu głównym, wykorzystane bez jej zgody, pochodzące z konta, które zgodnie z prawem posiadała ona na portalu społecznościowym, oraz numer jej telefonu. Przed publikacją tego ogłoszenia nie przeprowadzono żadnej weryfikacji tożsamości osoby, która je zamieściła. Russmedia, z którą skontaktowała się powódka w postępowaniu głównym, usunęła to ogłoszenie ze swojej internetowej platformy handlowej niecałą godzinę później. Jednakże to samo ogłoszenie, ze wskazaniem źródła pochodzenia, zostało zamieszczone online przez inne strony internetowe z treściami reklamowymi, na których jest ono nadal dostępne.

21.

Powódka w postępowaniu głównym, uznawszy, że sporne ogłoszenie narusza jej prawa, wniosła powództwo przeciwko Russmedii.

22.

Judecătoria Cluj-Napoca (sąd pierwszej instancji w Klużu-Napoce, Rumunia) uwzględnił to powództwo i na podstawie art. 253 kodeksu cywilnego ( 8 ) zasądził od Russmedii na rzecz powódki w postępowaniu głównym kwotę 7000 EUR tytułem zadośćuczynienia za krzywdę wyrządzoną jej wskutek naruszenia jej prawa do wizerunku, czci i dobrego imienia, naruszenia jej prawa do życia prywatnego oraz niezgodnego z prawem przetwarzania danych osobowych. Sąd ten uznał bowiem, że sporne ogłoszenie stanowiło naruszenie obowiązków nałożonych na spółkę Russmedia w RODO. Wspomniany sąd stwierdził, że okoliczność, iż Russmedia zezwoliła na publikację, a następnie rozpowszechnianie tego ogłoszenia online, rażąco naruszyła prawa powódki w postępowaniu głównym.

23.

Tribunalul Specializat Cluj (sąd wyspecjalizowany w Klużu, Rumunia) uwzględnił apelację wniesioną przez spółkę Russmedia, orzekając, że powództwo powódki w postępowaniu głównym jest bezzasadne, ponieważ spółka ta nie była autorem spornego ogłoszenia. Sąd ten uznał, że Russmedia świadczyła jedynie usługę przechowywania ogłoszeń, nie będąc aktywnie zaangażowana „w ich treść”, oraz że w tych okolicznościach miało zastosowanie zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 ustawy nr 365/2002.

24.

Zdaniem sądu apelacyjnego Russmedia usunęła bowiem sporne ogłoszenie ze swojej internetowej platformy handlowej niecałą godzinę po tym, jak skontaktowała się z nią powódka w postępowaniu głównym. Sąd ten stwierdził, że Russmedia jest zwolniona z odpowiedzialności za podnoszone szkody, ponieważ spółka ta nie była autorem omawianego ogłoszenia i zablokowała je – mając na uwadze art. 11 ust. 3 i art. 14 ust. 1 lit. b) ustawy nr 365/2002 – gdy tylko dowiedziała się o tym, że może ono naruszać prawa powódki w postępowaniu głównym.

25.

Co się tyczy ciążącego na administratorze obowiązku sprawdzenia przed publikacją ogłoszenia, czy autor tego ogłoszenia ma prawo do wykorzystania zawartych w nim danych osobowych, sąd apelacyjny uznał następnie, że zastosowanie znajduje w tym przypadku art. 11 przepisów wykonawczych dotyczących stosowania ustawy nr 365/2002, zgodnie z którym dostawca usług społeczeństwa informacyjnego nie jest zobowiązany do kontrolowania przechowywanych informacji ( 9 ).

26.

Wreszcie sąd apelacyjny stwierdził, że nie można zarzucać Russmedii, iż ta nie podjęła działań w celu uniemożliwienia rozpowszechniania spornego ogłoszenia w Internecie. Zdaniem tego sądu świadczona usługa polegała na opublikowaniu tego ogłoszenia, a środki mające na celu zablokowanie publicznego dostępu do tego ogłoszenia zostały podjęte, gdy tylko powódka w postępowaniu głównym zawiadomiła spółkę Russmedia. W konsekwencji sąd ten uznał, że w niniejszej sprawie ma zastosowanie ustawa nr 365/2002, która zwalnia tę spółkę z odpowiedzialności za szkody niemajątkowe spowodowane treścią ogłoszeń opublikowanych na stronie internetowej www.publi24.ro przez użytkowników.

27.

Powódka w postępowaniu głównym zaskarżyła to orzeczenie do Curtea de Apel Cluj (sądu apelacyjnego w Klużu, Rumunia), który jest sądem odsyłającym.

28.

W ramach swojego środka zaskarżenia powódka w postępowaniu głównym podnosi w szczególności, że ustawa nr 365/2002 nie jest lex specialis w stosunku do RODO i że w związku z tym sąd apelacyjny powinien był zbadać odpowiedzialność Russmedii w świetle przepisów tego rozporządzenia.

29.

Ponadto powódka w postępowaniu głównym wskazuje, że rola Russmedii nie ograniczała się do dostarczania klientom konkretnego rozwiązania technicznego umożliwiającego dostęp do serwera hostingowego. Jej zdaniem spółka ta odgrywała również rolę administratora, podejmując działania na poziomie treści ogłoszeń w celu właściwego zarządzania informacjami. Wspomniana spółka jako administrator odnośnej strony internetowej przechowuje i przetwarza treść informacji. Przetwarzanie i przechowywanie danych oraz ich publiczne udostępnianie w określonej formie wymaga zarówno analizy danych i informacji zawartych w ogłoszeniach, jak i zarządzania nimi, niezbędnego do zapewnienia łatwego publicznego dostępu, co wskazuje na bezpośrednie zaangażowanie tej spółki. W konsekwencji art. 14 ustawy nr 365/2002 nie znajduje zastosowania w niniejszej sprawie. Powódka w postępowaniu głównym uważa ponadto, że zwolnienie z odpowiedzialności przewidziane w tym przepisie nie ma zastosowania, jeżeli odpowiedzialność została ustalona na podstawie innych aktów prawnych, takich jak RODO, co jej zdaniem ma miejsce w niniejszej sprawie.

30.

Sąd odsyłający uwzględnił środek zaskarżenia, uznawszy, że sąd apelacyjny nie zbadał możliwości zastosowania przepisów RODO w okolicznościach niniejszej sprawy, uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania w postępowaniu apelacyjnym.

31.

W tym względzie sąd odsyłający wskazuje, że jego zdaniem operatorzy internetowych platform handlowych nie mają obowiązku przeprowadzenia uprzedniej weryfikacji ogłoszeń publikowanych przez użytkowników. Podnosi on jednak, że zgodnie z wyrokiem L’Oréal i in. ( 10 ) jedynie operator internetowej platformy handlowej, który nie odgrywa czynnej roli polegającej na udzielaniu wsparcia w celu optymalizacji prezentacji ofert sprzedaży lub ich promocji, może powołać się na zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31. Ponadto zgodnie z tym wyrokiem ( 11 ) operator internetowej platformy handlowej nie może powoływać się na to zwolnienie z odpowiedzialności, jeżeli wiedział o stanie faktycznym lub okolicznościach, na podstawie których przedsiębiorca wykazujący należytą staranność powinien stwierdzić bezprawność danych ofert sprzedaży, i w przypadku posiadania takiej wiedzy nie podjął niezwłocznie działań. W tym duchu, zgodnie z wyrokiem Papasavvas ( 12 ), spółka będąca wydawcą prasowym, dysponującym stroną internetową, na której publikowana jest elektroniczna wersja dziennika, również nie może powoływać się na wspomniane zwolnienie z odpowiedzialności, w przypadku gdy ma ona wiedzę o publikowanych informacjach i sprawuje nad nimi kontrolę.

32.

Sąd odsyłający wskazuje, że orzecznictwo Trybunału odnosi się jedynie do ofert umieszczonych online, których niezgodność z prawem wynikała z analizy stanu faktycznego i okoliczności, które zostały wyraźnie przekazane administratorowi po opublikowaniu danego ogłoszenia. Natomiast Trybunał nigdy nie miał sposobności pochylenia się nad sytuacją taką jak ta będąca przedmiotem niniejszej sprawy. Specyfika sprawy w postępowaniu głównym wynika bowiem z faktu, że treść ogłoszenia opublikowanego przez niezidentyfikowanego użytkownika w chwili wniesienia sprawy do sądu była oczywiście niezgodna z prawem i poważnie szkodliwa dla odnośnej osoby. W związku z tym zdaniem sądu odsyłającego powiadomienie administratora nie było konieczne do zareagowania i zbadania ewentualnego bezprawnego charakteru opublikowanej informacji.

33.

Ponadto sąd odsyłający zwraca uwagę na fakt, że sporne ogłoszenie, mimo iż na skutek zgłoszenia powódki w postępowaniu głównym zostało usunięte ze strony Russmedii, na której je pierwotnie opublikowano, zostało w całości powielone na wielu innych stronach internetowych, wraz ze wszystkimi danymi i zdjęciami powódki w postępowaniu głównym i ze wskazaniem pierwotnego źródła, bez podjęcia środków ochrony dotyczących danych osobowych. W związku z tym krzywda powódki utrwaliła się i nadal się utrzymuje.

34.

Ponadto sąd odsyłający wskazuje, że usługi seksualne wymienione w spornym ogłoszeniu i jakoby oferowane przez powódkę w postępowaniu głównym mogą być związane z poważnymi przestępstwami, podlegającymi karze na mocy kodeksu karnego, takimi jak stręczycielstwo i handel ludźmi.

35.

Wreszcie sąd odsyłający zwraca uwagę na fakt, że biorąc pod uwagę ogólne warunki korzystania z internetowej platformy handlowej Russmedii, spółka ta nie wydaje się jedynie biernym użytkownikiem danych. O ile bowiem nie rości sobie ona prawa własności do przekazywanych lub publikowanych, zamieszczanych lub przesyłanych treści, o tyle zachowuje jednak prawo do korzystania z treści, w tym do ich kopiowania, rozpowszechniania, przesyłania, publikowania, zwielokrotniania, modyfikowania, tłumaczenia, cedowania na partnerów i usunięcia ich w dowolnej chwili, nawet bez żadnego uzasadnionego powodu.

36.

W tych okolicznościach Curtea de Apel Cluj (sąd apelacyjny w Klużu), postanowieniem z dnia 15 czerwca 2023 r., które wpłynęło do Trybunału w dniu 3 sierpnia 2023 r., postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

37.

Uwagi na piśmie zostały przedstawione przez rząd rumuński i Komisję Europejską. Powódka w postępowaniu głównym i Komisja były reprezentowane na rozprawie, która odbyła się w dniu 2 lipca 2024 r.

IV.

Analiza

38.

Pytanie pierwsze ma na celu ustalenie, czy Russmedia może powoływać się na zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31, a pytania od drugiego do czwartego dotyczą kwestii, czy spółka ta naruszyła obowiązki ciążące na niej na mocy RODO.

39.

W przeszłości Trybunał wskazał, że art. 14 ust. 1 dyrektywy 2000/31, będący przedmiotem pytania pierwszego, ma na celu ograniczenie przypadków, w których zgodnie ze znajdującym zastosowanie prawem krajowym mogłaby zrodzić się odpowiedzialność usługodawców będących pośrednikami ( 13 ). Jestem zdania, że biorąc pod uwagę ewolucję prawa Unii w tej dziedzinie, zwolnienie z odpowiedzialności przewidziane w tym przepisie ma zastosowanie również wtedy, gdy usługodawca ponosi odpowiedzialność na podstawie przepisów prawa Unii lub przepisów krajowych transponujących to prawo ( 14 ).

40.

Z postanowienia odsyłającego wynika, że w sporze w postępowaniu głównym odpowiedzialność Russmedii może zrodzić się z tytułu naruszenia RODO ( 15 ). W tych okolicznościach może wydawać się a priori pożądane zbadanie w pierwszej kolejności pytań od drugiego do czwartego, w których sąd odsyłający zmierza do ustalenia, czy Russmedia naruszyła obowiązki ciążące na niej na mocy RODO. Jednakże w celu zapewnienia jasności analizy przeanalizuję pytania w kolejności, w jakiej zostały zadane. W związku z tym przeanalizuję najpierw kwestię podniesioną w postanowieniu odsyłającym pod kątem dyrektywy 2000/31, a następnie przejdę do zbadania jej w świetle RODO. Wreszcie w ostatniej części mojej analizy zbadam interakcje między tym rozporządzeniem a tą dyrektywą.

41.

Wszystkie pytania prejudycjalne dotyczą bowiem bardziej zasadniczej kwestii związku między przepisami dyrektywy 2000/31 a przepisami RODO. Przeanalizuję tę kwestię po zidentyfikowaniu właściwych przepisów tych dwóch aktów prawa Unii, ponieważ kwalifikacje prawne, zgodnie z przewidzianymi w nich kategoriami, leżą u sedna czterech pytań prejudycjalnych.

A.

W przedmiocie pytania pierwszego

42.

Poprzez pytanie pierwsze sąd odsyłający dąży do ustalenia, czy art. 14 ust. 1 dyrektywy 2000/31 należy interpretować w ten sposób, że dostawca usługi społeczeństwa informacyjnego polegającej na udostępnianiu użytkownikom internetowej platformy handlowej, na której mogą być publikowane bezpłatne lub płatne ogłoszenia, może skorzystać z przewidzianego w tym przepisie zwolnienia z odpowiedzialności również wtedy, gdy usługodawca ten poprzez ogólne warunki korzystania z jego internetowej platformy handlowej wskazuje, że nie rości sobie prawa własności do tych treści, choć zachowuje prawo do korzystania z przekazanych, publikowanych, zamieszczanych lub przesyłanych treści, w tym do ich kopiowania, rozpowszechniania, przesyłania, publikowania, zwielokrotniania, modyfikowania, tłumaczenia, cedowania na partnerów i usunięcia ich w dowolnej chwili, nawet bez konieczności wskazania powodu w tym względzie.

43.

Przeanalizuję zatem to pytanie (sekcja 1), które zmierza w istocie do ustalenia, czy Russmedia może zostać uznana za „usługodawcę będącego pośrednikiem”, mogącego a priori powołać się na zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31. Ponieważ wydaje się, że sąd odsyłający również wyraża wątpliwości co do tego, czy ze względu na specyfikę sporu w postępowaniu głównym przesłanki, od których przepis ten uzależnia zwolnienie z odpowiedzialności w konkretnym przypadku, są w niniejszej sprawie spełnione, dla pełności wywodu zbadam również tę kwestię (sekcja 2).

1.

Pojęcie „usługodawcy będącego pośrednikiem”

a)

Zakres i założenia pytania

44.

Wydaje mi się, że należy wyróżnić zarówno założenia, na których opiera się pytanie pierwsze, jak i jego zakres.

45.

W tym względzie w pierwszej kolejności, jak już wspomniałem ( 16 ), art. 12, 13 i 14 dyrektywy 2000/31 przewidują wyjątki odpowiedzialności mające zastosowanie w sytuacji, gdy usługi świadczone przez dostawców usług społeczeństwa informacyjnego dotyczą, odpowiednio, zwykłego przekazu, formy przechowania zwanej „cachingiem” i hostingu.

46.

Chociaż pytanie pierwsze odnosi się do tych trzech przepisów, to sąd odsyłający sugeruje, że Russmedia świadczy usługę polegającą na hostingu informacji dostarczanych przez użytkowników. Ponadto wydaje się, że art. 14 ustawy nr 365/2002, którego zastosowanie było przedmiotem dyskusji przed sądami odsyłającymi ( 17 ), stanowi transpozycję art. 14 dyrektywy 2000/31, dotyczącego usługi hostingu. Uważam zatem, że pytanie pierwsze dotyczy tego przepisu prawa Unii i że robocze założenie sądu odsyłającego jest takie, iż usługa świadczona przez spółkę Russmedia stanowi usługę społeczeństwa informacyjnego i polega co do zasady na hostingu informacji dostarczanych przez użytkowników jej internetowej platformy handlowej.

47.

W drugiej kolejności, jeśli chodzi o zakres pytania pierwszego, jego ostrożne sformułowania sugeruje, że sąd odsyłający nie wypowiada się na temat roli odgrywanej przez spółkę Russmedia w świadczeniu przez nią usługi hostingu. Z pytania tego wynika bowiem, że stwierdzenie, iż rola Russmedii ma charakter czysto techniczny, wynika z twierdzeń sformułowanych przez tę spółkę ( 18 ). Chociaż wydaje się, że sąd odsyłający nie podważa tego twierdzenia, odniosę się jednak do niego, ponieważ jego zasadność powódka w postępowaniu głównym zdecydowanie kwestionuje ( 19 ).

48.

Wreszcie w trzeciej kolejności sąd odsyłający wskazuje, że Russmedia „nie wydaje się jedynie biernym użytkownikiem danych O ile bowiem nie rości sobie ona prawa własności do przekazywanych lub publikowanych, zamieszczanych lub przesyłanych treści, o tyle zachowuje jednak prawo do korzystania z [tych] treści”. Sposób sformułowania pytania pierwszego odzwierciedla tę wątpliwość sądu odsyłającego. Pytanie to zmierza bowiem do ustalenia, czy „[usługodawca], który udostępnia użytkownikom [internetową platformę handlową], ale który poprzez ogólne warunki korzystania ze strony wskazuje, że […] zachowuje jednak prawo do korzystania z […] treści”, może korzystać ze zwolnienia od odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

49.

Zawarte w postanowieniu odsyłającym wzmianki o czysto technicznym lub biernym charakterze działalności Russmedii odnoszą się do orzecznictwa Trybunału, zgodnie z którym zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31 dotyczy wyłącznie przypadku, w którym działanie usługodawcy ogranicza się do roli „usługodawcy będącego pośrednikiem” w zamierzonym przez prawodawcę znaczeniu tego terminu w ramach sekcji 4 rozdziału II tej dyrektywy. W tym zakresie z motywu 42 wspomnianej dyrektywy wynika bowiem, że ustanowione w niej wyłączenia w dziedzinie odpowiedzialności obejmują jedynie przypadki, w których działalność podmiotu świadczącego usługi społeczeństwa informacyjnego przybiera charakter czysto techniczny, automatyczny i bierny, który zakłada, że wspomniany podmiot nie posiada wiedzy o przekazywanych lub przechowywanych informacjach ani kontroli nad nimi ( 20 ). To w świetle tego właśnie orzecznictwa należy analizować pierwsze pytanie prejudycjalne.

b)

Rola operatora internetowej platformy handlowej

50.

Chociaż sąd odsyłający nie przedstawił szczegółowych informacji na temat funkcjonowania internetowej platformy handlowej Russmedii, wydaje się, że spółka ta określa układ ogłoszeń i publikuje je bezpłatnie lub odpłatnie na swojej internetowej platformie handlowej, na której ogłoszenia są pogrupowane w różnych kategoriach wybranych przez użytkowników (reklamodawców) i na której inni użytkownicy mogą przeprowadzać wyszukiwania za pomocą prostej wyszukiwarki i segregować wyniki na kategorie. Aby móc opublikować reklamę internetową, użytkownik (reklamodawca) musi zarejestrować się w Russmedii. Jego tożsamość nie jest sprawdzana ani w momencie rejestracji, ani w momencie publikacji ogłoszenia. Taki obraz funkcjonowania tej internetowej platformy handlowej wyłania się z postanowienia odsyłającego, z uwag na piśmie stron oraz uwag przedstawionych na rozprawie, a także z moich własnych analiz. Do sądu krajowego należy, przed wydaniem przez niego rozstrzygnięcia w postępowaniu głównym, sprawdzenie prawidłowości tych spostrzeżeń.

51.

W sprawie dotyczącej operatora internetowej platformy handlowej Trybunał wyjaśnił, że w celu sprawdzenia, czy operator ten może zostać zwolniony z odpowiedzialności na podstawie art. 14 dyrektywy 2000/31, należy zbadać, czy ogranicza się on do neutralnego świadczenia swojej usługi w drodze czysto technicznego i automatycznego przetwarzania danych dostarczonych przez jego klientów, czy też odgrywa czynną rolę, która może pozwolić mu na powzięcie wiedzy o tych danych lub na sprawowanie nad nimi kontroli ( 21 ).

52.

W tym względzie Trybunał orzekł, że sam fakt, iż operator internetowej platformy handlowej przechowuje na swoim serwerze oferty sprzedaży, określa warunki jego funkcjonowania, jest za to wynagradzany i udziela swym klientom informacji o charakterze ogólnym, nie może prowadzić jeszcze do pozbawienia skuteczności przewidzianych dyrektywą 2000/31 odstępstw w zakresie odpowiedzialności ( 22 ).

53.

Ponadto, co się tyczy jednej z przesłanek, od których art. 14 ust. 1 dyrektywy 2000/31 uzależnia zwolnienie z odpowiedzialności usługodawcy będącego pośrednikiem i do których wrócę później ( 23 ), Trybunał stwierdził, iż okoliczność, że operator internetowej platformy do udostępniania treści dokonuje automatycznej indeksacji treści zamieszczonych na tej platformie, że platforma ta zawiera funkcję wyszukiwania i że rekomenduje ona filmy na podstawie profilu lub ustawień użytkowników, nie wystarczy, aby uznać, że przesłanka ta nie została spełniona ( 24 ). A fortiori okoliczność ta nie może również pozbawić takiego operatora możliwości powołania się na przewidziane w tym przepisie zwolnienie z odpowiedzialności. Pytanie, czy przesłanki, od których art. 14 ust. 1 lit. a) i b) tej dyrektywy uzależnia zwolnienie z odpowiedzialności, są spełnione, pojawia się bowiem tylko wtedy, gdy dany usługodawca może zostać uznany za „dostawcę usług hostingowych, który odgrywa neutralną rolę” w odniesieniu do przechowywanych przez niego informacji i gdy może on a priori powoływać się na to zwolnienie.

54.

Na pierwszy rzut oka wydaje się zatem, że Russmedia odgrywa neutralną rolę w odniesieniu do informacji przechowywanych na żądanie użytkowników (reklamodawców) i że może ona powołać się na zwolnienie przewidziane w art. 14 ust. 1 dyrektywy 2000/31. Należy teraz rozwiać wątpliwości sądu odsyłającego odzwierciedlone w sformułowaniu pytania pierwszego, które zmierza w istocie do ustalenia, czy przy badaniu możliwości zastosowania tego zwolnienia dominującą rolę należy przyznać ogólnym warunkom korzystania z internetowej platformy handlowej, czy też działaniom faktycznie podejmowanym przez jej operatora.

c)

Znaczenie ogólnych warunków korzystania

55.

Dla przypomnienia, Russmedia, zgodnie z ogólnymi warunkami korzystania z jej internetowej platformy handlowej, nie roszcząc sobie prawa własności do tych treści, zachowuje prawo do korzystania z przekazanych, publikowanych, zamieszczanych lub przesyłanych treści, w tym do ich kopiowania, rozpowszechniania, przesyłania, publikowania, zwielokrotniania, modyfikowania, tłumaczenia, cedowania na partnerów i usunięcia ich w dowolnej chwili, nawet bez konieczności wskazania powodu w tym względzie.

56.

Na wstępie pragnę zauważyć, że spór w postępowaniu głównym nie dotyczy krzywdy wyrządzonej powódce w postępowaniu głównym w wyniku udziału Russmedii w spornym ogłoszeniu, które było dostępne na jej internetowej platformie handlowej. W niniejszej sprawie nie chodzi zatem o sytuację, w której krzywda wynikałaby z treści dostarczonej przez użytkownika internetowej platformy handlowej, zmienionej lub zmanipulowanej przez jego operatora.

57.

W związku z tym należy zauważyć, że wydaje się, iż Russmedia, ze względu na ogólne warunki korzystania z jej internetowej platformy handlowej, nie ma żadnego obowiązku wobec użytkowników (reklamodawców) w zakresie opracowywania lub prezentacji treści reklam przechowywanych na ich żądanie. Natomiast spółka ta zastrzega sobie prawo do korzystania z tych informacji, nawet bez konieczności wskazania powodów w tym względzie.

58.

W tym zakresie, chociaż ogólne warunki korzystania z internetowej platformy handlowej mogą określać funkcjonowanie usługi społeczeństwa informacyjnego i pozwalać na zrozumienie roli, jaką odgrywa jej dostawca, to ustalenia umowne, zgodnie z którymi ów dostawca może podjąć działania w odniesieniu do przechowywanych informacji, nie będąc do tego zobowiązany, nie mogą same w sobie być decydujące, gdy powstaje pytanie, czy rola tego dostawcy jest neutralna. Trybunał w swoim orzecznictwie zwraca bowiem uwagę na rzeczywisty udział dostawcy usług społeczeństwa informacyjnego w opracowywaniu i prezentacji informacji dostarczanych przez użytkowników usługi. Natomiast przy badaniu możliwości zastosowania przewidzianego w art. 14 ust. 1 dyrektywy 2000/31 zwolnienia z odpowiedzialności należy pominąć działania, do których podjęcia dostawca jest uprawniony na podstawie ogólnych warunków korzystania z jego platformy, lecz których nie wprowadza w życie w praktyce. Innymi słowy, w ramach tego badania należy wziąć pod uwagę działania rzeczywiście podjęte przez dostawcę takiej usługi.

59.

Dokładniej rzecz ujmując, Trybunał uznał, że jeżeli operator internetowej platformy handlowej udziela wsparcia, które polega w szczególności na optymalizacji prezentacji danych ofert sprzedaży lub na ich promocji, to należy stwierdzić, że nie zachowuje on neutralnej pozycji między danym klientem (sprzedającym) a potencjalnymi nabywcami, lecz odgrywa czynną rolę, która może pozwolić mu na powzięcie wiedzy o danych dotyczących poszczególnych ofert lub na sprawowanie nad nimi kontroli ( 25 ). Podobnie Trybunał orzekł w istocie, że spółka będąca wydawcą prasowym nie może powoływać się na zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31 w odniesieniu do informacji zawartych w publikowanej przez nią na jej stronie internetowej elektronicznej wersji dziennika, ponieważ ma ona co do zasady wiedzę na temat publikowanych przez siebie informacji i sprawuje nad nimi kontrolę ( 26 ).

60.

Podsumowując, w cytowanych powyżej fragmentach orzecznictwa warunki funkcjonowania internetowej platformy handlowej pociągały za sobą ex ante wiedzę o przechowywanych informacjach i kontrolę nad nimi. Natomiast w niniejszej sprawie, jak zauważyła Komisja podczas rozprawy, nic nie wskazuje na to, by Russmedia ingerowała w tworzenie, optymalizację lub prezentację ogłoszeń lub by sprawdzała ich indywidualne treści przed ich publikacją. Kontrola, jaką ta spółka może sprawować zgodnie z ogólnymi warunkami korzystania z jej internetowej platformy handlowej, ma jedynie charakter potencjalny i ex post. Wydaje się ponadto, że Russmedia nie miała o przechowywanych informacjach wiedzy, która uzasadniałaby wyłączenie tej spółki z możliwości skorzystania ze zwolnienia z odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

61.

Dodatkowo, jak zwróciła uwagę Komisja, ogólne warunki korzystania z platformy podobne do ogólnych warunków Russmedii nie są nietypowe dla usług pośrednictwa ( 27 ). W tym względzie należy zauważyć, że okoliczność, iż usługodawca będący pośrednikiem zastrzega sobie prawo do korzystania z informacji przekazanych przez użytkowników jego usługi, wpisuje się w ważną rolę odgrywaną przez usługodawców będących pośrednikami w zwalczaniu bezprawnych treści w Internecie.

62.

Aby bowiem usługodawca będący pośrednikiem mógł spełnić przewidziane w art. 14 ust. 1 lit. a) i b) dyrektywy 2000/31 przesłanki wyłączenia jego odpowiedzialności, musi on zareagować i usunąć lub zablokować bezprawną treść niezwłocznie po jej wykryciu. Usługodawca ten może, w szczególności w celu wykazania swojej zdolności do podjęcia takiego działania, zastrzec sobie prawo do usunięcia wspomnianej treści w dowolnym momencie.

63.

W tych okolicznościach fakt, że Russmedia, poprzez ogólne warunki korzystania z jej internetowej platformy handlowej, zastrzega sobie prawo do korzystania z treści przechowywanych na żądanie użytkowników jej usługi, nie może wykluczyć tej spółki z korzystania z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

d)

Wnioski wstępne

64.

W świetle powyższego proponuję, aby odpowiedź na pytanie pierwsze brzmiała, że art. 14 ust. 1 dyrektywy 2000/31 należy interpretować w ten sposób, iż dostawca świadczący usługę społeczeństwa informacyjnego polegającą na udostępnieniu użytkownikom internetowej platformy handlowej, na której są publikowane bezpłatne lub płatne ogłoszenia, może skorzystać z przewidzianego w tym przepisie zwolnienia z odpowiedzialności również wtedy, gdy poprzez ogólne warunki korzystania z jego internetowej platformy handlowej wskazuje on, że nie rości sobie prawa własności do tych treści, choć zachowuje prawo do korzystania z przekazanych, publikowanych, zamieszczanych lub przesyłanych treści, w tym do ich kopiowania, rozpowszechniania, przesyłania, publikowania, zwielokrotniania, modyfikowania, tłumaczenia, cedowania na partnerów i usunięcia ich w dowolnej chwili, nawet bez konieczności wskazania powodu w tym względzie, pod warunkiem że dostawca ten nie podejmie działań prowadzących do utraty statusu neutralnego dostawcy usług hostingowych.

65.

Dla pełności wywodu należy zbadać, czy z uwagi na specyfikę sporu w postępowaniu głównym przesłanki, od których uzależnione jest to zwolnienie, są w niniejszej sprawie spełnione.

2.

Przesłanki wyłączenia odpowiedzialności usługodawcy będącego pośrednikiem

66.

W postanowieniu odsyłającym podkreślono szczególne cechy niniejszej sprawy, które wydają się związane z przesłankami, od których art. 14 ust. 1 dyrektywy 2000/31 uzależnia zwolnienie z odpowiedzialności za przechowywane informacje. Sąd odsyłający zwraca bowiem uwagę Trybunału na oczywiście niezgodny z prawem i głęboko szkodliwy charakter spornego ogłoszenia, a także na dostępność tego ogłoszenia na wielu innych stronach internetowych, które je powieliły.

a)

Oczywiście niezgodny z prawem charakter przechowywanych informacji

1)

Identyfikacja treści rażąco niezgodnych z prawem

67.

Sąd odsyłający zauważa, że powiadomienie Russmedii o tym, iż opublikowana informacja zawiera bezprawne treści, nie powinno być konieczne, aby spółka ta sama mogła zidentyfikować ów ewentualny bezprawny charakter i dokonać jego analizy. Zdaniem tego sądu treść spornego ogłoszenia jest bowiem oczywiście niezgodna z prawem i głęboko szkodliwa dla powódki w postępowaniu głównym. Wydaje się zatem, że sąd odsyłający wychodzi z założenia, iż ze względu na ten wyraźnie niezgodny z prawem charakter Russmedia powinna była mieć wiedzę o tym ogłoszeniu i o jego bezprawnej treści. Zatem aby móc skorzystać ze zwolnienia z odpowiedzialności, Russmedia powinna była – niezwłocznie i bez oczekiwania na stosowne żądanie – usunąć wspomniane ogłoszenie lub uniemożliwić do niego dostęp zgodnie z art. 14 ust. 1 lit. b) dyrektywy 2000/31.

68.

Artykuł 14 ust. 1 lit. a) dyrektywy 2000/31 ma na celu zwolnienie dostawcy usług hostingowych z odpowiedzialności za przechowywane informacje, jeżeli nie ma on wiedzy o bezprawnym charakterze działalności lub informacji. W przypadku gdy odpowiedzialność dostawcy usług hostingowych jest przywoływana w ramach powództwa o odszkodowanie, jak w niniejszej sprawie, zastosowanie znajduje surowsza przesłanka zwolnienia z odpowiedzialności. W takim przypadku usługodawca nie ma możliwości skorzystania ze zwolnienia z odpowiedzialności przewidzianego w art. 14 ust. 1 tej dyrektywy, jeżeli wiedział on o stanie faktycznym lub okolicznościach, na podstawie których przedsiębiorca wykazujący należytą staranność powinien był stwierdzić ową bezprawność i nie podjął działania zgodnie z art. 14 ust. 1 lit. b) tej dyrektywy ( 28 ). Jak bowiem wymaga dyrektywa 2000/31, bezprawny charakter działalności lub informacji musi być „oczywisty” lub, innymi słowy, łatwy do zidentyfikowania ( 29 ).

69.

Niemniej jednak usługodawca może utracić możliwość skorzystania z przewidzianego w art. 14 ust. 1 dyrektywy 2000/31 zwolnienia z odpowiedzialności jedynie pod warunkiem, że rzeczywiście wiedział on o stanie faktycznym lub okolicznościach, na podstawie których przedsiębiorca wykazujący należytą staranność może obiektywnie stwierdzić bezprawny charakter działalności lub informacji. Niezależnie bowiem od tego, czy chodzi o powództwo o odszkodowanie, nie wystarczy, by dostawca był ogólnie świadomy faktu, że jego usługa jest również wykorzystywana do udostępniania bezprawnych treści. Usługodawca musi znać stan faktyczny i okoliczności związane z konkretnymi działaniami i informacjami o bezprawnym charakterze ( 30 ).

70.

Przesłanka przewidziana w art. 14 ust. 1 lit. a) dyrektywy 2000/31 nie jest zatem spełniona, gdy na podstawie informacji, którymi dysponuje, usługodawca stwierdza lub pomija bezprawny charakter przechowywanych danych bądź mylnie ocenia zgodność z prawem tych danych. Podczas gdy bezprawny charakter informacji lub działalności należy bowiem oceniać w sposób obiektywny, według kryterium przedsiębiorcy wykazującego należytą staranność, znajomość faktów świadczących o tej niezgodności z prawem jest co do zasady oceniana w oparciu o informacje rzeczywiście dostępne danemu usługodawcy.

71.

W tych okolicznościach nie można domniemywać, że operator internetowej platformy handlowej jest świadomy treści każdego niezgodnego z prawem i szkodliwego ogłoszenia. Ponadto wprowadzenie takiego domniemania oznaczałoby zobowiązanie tego operatora do czynnego monitorowania wszystkich danych każdego z jego użytkowników (reklamodawców) w celu zidentyfikowania ogłoszeń, które są rażąco niezgodne z prawem i szkodliwe. Taki obowiązek nadzoru wydaje mi się trudny do pogodzenia z logiką dyrektywy 2000/31.

72.

Taki obowiązek nadzoru, wprowadzony „tylnymi drzwiami”, byłby bowiem niezgodny z art. 15 ust. 1 dyrektywy 2000/31, przewidującym, że państwa członkowskie nie nakładają na dostawców usług hostingowych ogólnego obowiązku nadzorowania informacji, które przechowują, ani ogólnego obowiązku aktywnego poszukiwania faktów i okoliczności wskazujących na bezprawną działalność. Dostawca usług hostingowych nie może zatem na podstawie środków krajowych być zobowiązany do generalnego monitorowania informacji, które przechowuje ( 31 ).

73.

Nie można zatem uznać, że przesłanka przewidziana w art. 14 ust. 1 lit. a) dyrektywy 2000/31 nie została spełniona ze względu na to, że ogłoszenie opublikowane na internetowej platformie handlowej jest oczywiście niezgodne z prawem i głęboko szkodliwe dla osoby, której ogłoszenie to dotyczy. W trosce o kompletność wywodu dodam, że dyrektywa 2000/31 nie pomija sytuacji, w której dostawca usługi hostingowej przyjmuje model gospodarczy lub organizacyjny zachęcający do rozpowszechniania bezprawnych treści lub promujący ich rozpowszechnianie.

2)

Platforma zaangażowana w niezgodną z prawem działalność

74.

Należy zauważyć, że motyw 44 dyrektywy 2000/31 stanowi, iż usługodawca, który współpracuje rozmyślnie z jednym ze swoich usługobiorców w celu bezprawnego działania, wykracza poza działalność „zwykłego przekazu” lub „buforowania” [„cachingu”], o których mowa, odpowiednio, w art. 12 i 13 tej dyrektywy. W konsekwencji ten usługodawca nie może korzystać z wyłączeń odpowiedzialności przewidzianych dla tego typu działalności. Chociaż motyw ten nie wspomina o działalności w zakresie hostingu, o której mowa w art. 14 tej dyrektywy, nie ma powodu, aby to samo rozumowanie nie miało zastosowania do tej działalności. Trybunał orzekł bowiem w wyroku YouTube i Cyando ( 32 ), że operatora platformy internetowej, który w inny sposób niż poprzez samo udostępnienie tej platformy przyczynia się do publicznego udostępniania treści z naruszeniem prawa autorskiego, nie można uznać za neutralnego dostawcę usług hostingowych, który może korzystać z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

75.

W wyroku tym, w celu ustalenia, czy operator przyczyniał się do takiego udostępniania, Trybunał zdawał się pośrednio opierać na swojej analizie pojęcia czynności „udostępniania” w rozumieniu dyrektywy 2001/29/WE ( 33 ). Zgodnie z tą analizą, zainspirowaną jego wyrokiem, który dotyczył platformy wymiany online The Pirate Bay ( 34 ), operator przyczynia się do takiego udostępniania, jeżeli uczestniczy on w bezprawnym udostępnianiu treści chronionych przez użytkowników jego platformy z pełną świadomością skutków swojego działania, mając za cel udzielenie innym internautom dostępu do takich treści. Zdaniem Trybunału w celu ustalenia, czy ma to miejsce, należy uwzględnić wszystkie okoliczności charakteryzujące daną sytuację i pozwalające na wyciągnięcie, bezpośrednio lub pośrednio, wniosków co do zamierzonego charakteru uczestnictwa operatora w bezprawnym udostępnianiu tych treści.

76.

Gdyby zastosować to podejście do okoliczności niniejszej sprawy, oznaczałoby to, że operator internetowej platformy handlowej, który przyjął model gospodarczy lub organizacyjny zachęcający użytkowników jego platformy do rozpowszechniania treści oczywiście bezprawnych i głęboko szkodliwych lub który promuje i ułatwia nieograniczone i niekontrolowane rozpowszechnianie takich treści, traci status neutralnego dostawcy usług hostingowych w rozumieniu art. 14 ust. 1 dyrektywy 2000/31. Jednakże nic nie wskazuje na to, by Russmedia przyjęła taki model.

3)

Ewolucja prawa Unii w zakresie moderowania treści dostępnych w Internecie

77.

Można by uznać, że stwierdzenie, iż dyrektywa 2000/31, co do zasady i z zastrzeżeniem wyjątkowych okoliczności ( 35 ), nie zobowiązuje podmiotów świadczących usługi hostingowe do wykrycia wszelkich treści oczywiście niezgodnych z prawem i głęboko szkodliwych, może wydawać się niezadowalające, biorąc pod uwagę zagrożenia, jakie może stwarzać rozpowszechnianie takich treści w świetle praw ich użytkowników i osób trzecich.

78.

Jednakże, jak zauważyłem w innym kontekście ( 36 ), dyrektywa 2000/31 jest znakiem swoich czasów, a prawodawca Unii dążył do ustanowienia podstawowego systemu, który chroni w sposób szczególny swobodę przepływu usług społeczeństwa informacyjnego. W związku z tym dyrektywa ta ogranicza się do nałożenia obowiązków informacyjnych na każdego dostawcę usług społeczeństwa informacyjnego ( 37 ), nie dokonując rozróżnienia między różnymi kategoriami usług przechowywania i hostingu. Wspomniana dyrektywa opiera się bowiem na logice, zgodnie z którą w określonych w niej granicach państwa członkowskie ustanawiają obowiązki, których usługodawcy mający siedzibę na ich terytorium muszą przestrzegać. W szczególności zakres swobody państw członkowskich jest ograniczony nałożonym na nie zakazem nakładania ogólnego obowiązku w zakresie nadzoru, przewidzianym w art. 15 tej dyrektywy.

79.

Podstawowy system ustanowiony dyrektywą 2000/31 był stopniowo uzupełniany aktami sektorowymi, które wymagają wprowadzenia odpowiednich środków w celu ochrony niektórych kategorii użytkowników przed konkretnymi treściami, takimi jak treści o charakterze terrorystycznym lub pornografia dziecięca ( 38 ).

80.

Niedawno prawodawca Unii zmienił w znacznym stopniu ramy prawne mające zastosowanie do platform internetowych. Digital Services Act różnicuje bowiem obowiązki platform w zależności od pewnych kryteriów i reguluje również w pewnym stopniu kwestię moderowania treści niezgodnych z prawem ( 39 ). Jednakże te nowe ramy prawne nie dotyczą niniejszej sprawy, a Trybunał nie powinien moim zdaniem wprowadzać w drodze orzecznictwa obowiązku, który nie tylko nie jest przewidziany w dyrektywie 2000/31, mającej zastosowanie do stanu faktycznego w postępowaniu głównym, ale też jest sprzeczny z art. 15 tej dyrektywy.

b)

Rozpowszechnienie treści opublikowanych ogłoszeń

81.

Kolejny aspekt, na który sąd odsyłający zwraca uwagę Trybunału, dotyczy okoliczności, że chociaż Russmedia usunęła sporne ogłoszenie ze swojej internetowej platformy handlowej na skutek żądania powódki w postępowaniu głównym, ogłoszenie to jest nadal dostępne na wielu innych stronach internetowych, które powieliły je z internetowej platformy handlowej Russmedii, ze wskazaniem pierwotnego źródła. Sąd odsyłający nie stawia bezpośrednio pytania dotyczącego tej okoliczności pod kątem dyrektywy 2000/31. Sąd ten odnosi się natomiast do tej kwestii w ramach pytania czwartego, które dotyczy środków wymaganych przez RODO w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych. Jednakże na rozprawie, w odpowiedzi na pytania Trybunału, ta sama okoliczność była przedmiotem dyskusji stron w kontekście przesłanki wyłączenia odpowiedzialności przewidzianej w art. 14 ust. 1 lit. b) tej dyrektywy. W świetle powyższych rozważań, i w celu udzielenia sądowi odsyłającemu użytecznej odpowiedzi, przeanalizuję kwestię, czy przesłanka przewidziana w art. 14 ust. 1 lit. b) dyrektywy 2000/31 jest spełniona, jeżeli dostawca usług hostingowych, zapoznawszy się ze stanem faktycznym lub z okolicznościami pozwalającymi na łatwe ustalenie bezprawnego charakteru przechowywanych informacji, niezwłocznie usuwa tę informację ze swojej strony internetowej, ale jest ona nadal dostępna na innych stronach internetowych, które powieliły ją ze strony tego dostawcy usług hostingowych.

82.

W tym względzie sąd odsyłający nie precyzuje, czy Russmedia rozpowszechniła sporne ogłoszenie wśród operatorów innych stron internetowych, czy też powielili je oni bez wiedzy Russmedii, co było przedmiotem dyskusji podczas rozprawy. W celu udzielenia sądowi odsyłającemu użytecznej odpowiedzi zbadam te dwa przypadki.

1)

Powielenie spornego ogłoszenia przez partnerów

83.

Na rozprawie Komisja odniosła się do sytuacji, w której Russmedia, zgodnie z ogólnymi warunkami korzystania ze swojej internetowej platformy handlowej, przekazuje opublikowane na tej platformie ogłoszenia partnerom, z którymi jest związana umownie i którzy są wymienieni na jej stronie internetowej, a zatem są znani użytkownikom (reklamodawcom).

84.

Można zadać sobie pytanie, czy w takim przypadku usługa świadczona przez operatora internetowej platformy handlowej polega na neutralnym przechowywaniu informacji na żądanie usługobiorcy. Nie można bowiem zapominać, że art. 14 ust. 1 dyrektywy 2000/31 ma zastosowanie tylko wtedy, gdy dostawca świadczy taką usługę.

85.

W tym względzie pragnę zauważyć, że gdy operator internetowej platformy handlowej przekazuje swoim partnerom w sposób zindywidualizowany lub wspomagany przez człowieka informacje dostarczone przez usługobiorcę, aby mogli oni opublikować je na innych stronach internetowych, jego rola jest podobna do roli promotora tych informacji. W takim przypadku mam wątpliwości co do tego, czy usługa tego operatora jest w pełni objęta zakresem stosowania art. 14 ust. 1 dyrektywy 2000/31. Natomiast w przypadku gdy informacje przechowywane na wniosek użytkownika są powielane przez operatorów innych stron internetowych, a rola tego operatora w tej transmisji jest czysto techniczna i zautomatyzowana, można uznać, że przepis ten ma do niego w pełni zastosowanie.

86.

Z uwagi na to postanowienie odsyłające nie zawiera okoliczności faktycznych pozwalających na ustalenie, która z tych dwóch sytuacji odpowiada sytuacji rozpatrywanej w postępowaniu głównym. Co ważniejsze, kwestia, czy przesłanka przewidziana w art. 14 ust. 1 lit. b) dyrektywy 2000/31 jest spełniona, pojawia się tylko wtedy, gdy Russmedia może zostać uznana za „dostawcę usług hostingowych” w rozumieniu tego przepisu. Przeanalizuję zatem przesłankę określoną w art. 14 ust. 1 lit. b) tej dyrektywy, wychodząc z założenia, że Russmedia jest dostawcą usług hostingowych w rozumieniu tego przepisu i że sporne ogłoszenie zostało powielone przez partnerów tej spółki na warunkach wskazanych przez Komisję na rozprawie ( 40 ).

87.

W tym względzie na płaszczyźnie językowej art. 14 ust. 1 lit. b) dyrektywy 2000/31 przewiduje, że aby skorzystać ze zwolnienia z odpowiedzialności, dostawca usług hostingowych powinien niezwłocznie podjąć działania w celu usunięcia informacji o bezprawnym charakterze lub uniemożliwienia dostępu do nich. Przepis ten nie ogranicza się zatem do wskazania, że dostawca usług hostingowych powinien usunąć lub zablokować dostęp do bezprawnych informacji. Prawodawca wybrał bowiem otwarte sformułowanie, zgodnie z którym dostawca powinien w istocie niezwłocznie zakończyć bezprawną działalność prowadzoną za pośrednictwem lub w ramach swoich usług.

88.

Prawdą jest, że sformułowanie tej przesłanki można by rozumieć w ten sposób, że prawodawca Unii zmierzał nie do ustalenia konkretnych rezultatów, które należy osiągnąć, lecz wyłącznie do podjęcia wysiłków w tym zakresie. Jednakże otwarte sformułowanie art. 14 ust. 1 lit. b) dyrektywy 2000/31 pozostawia również pewien zakres swobody usługodawcy („usunięcie informacji lub uniemożliwienie dostępu do nich”) umożliwiający mu przyjęcie odpowiedniego, proporcjonalnego i skutecznego środka. Taka wykładnia tego przepisu jest konieczna w świetle kilku motywów tej dyrektywy.

89.

Otóż w myśl motywu 46 dyrektywy 2000/31 usunięcie informacji powinno odbywać się zgodnie z „procedurami ustanowionymi w tym celu na poziomie krajowym”, a dyrektywa ta „nie ma wpływu na możliwość państw członkowskich ustalania wymagań szczególnych, które muszą być natychmiast spełnione, zanim informacje zostaną usunięte lub uniemożliwi się do nich dostęp”. Jednakże nic nie wskazuje na to, że takie procedury i wymogi zostały ustanowione w odpowiednich przepisach krajowych.

90.

W każdym razie w motywie 41 dyrektywy 2000/31 wskazano, że ustanawia ona równowagę między różnymi interesami oraz ustanawia zasady, które mogą służyć za podstawę norm i umów branżowych. Co się tyczy w szczególności przesłanki przewidzianej w art. 14 ust. 1 lit. b) tej dyrektywy, według jej motywu 46 usługodawca usuwa informacje lub uniemożliwia dostęp do nich w poszanowaniu zasady wolności wyrażania opinii. Trybunał wyjaśnił w tym względzie, że zwolnienie z odpowiedzialności przewidziane w art. 14 ust. 1 wspomnianej dyrektywy jest wyrazem równowagi, którą dyrektywa stara się osiągnąć między różnymi wchodzącymi w grę interesami, w tym poszanowaniem wolności wypowiedzi, zagwarantowanej w art. 11 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”) ( 41 ).

91.

Wnioskuję z tego, że aby przesłanka przewidziana w art. 14 ust. 1 lit. b) dyrektywy 2000/31 została uznana za spełnioną, usunięcie informacji o bezprawnym charakterze powinno nastąpić z poszanowaniem koniecznego pogodzenia wymogów związanych z ochroną poszczególnych praw i wolności oraz odpowiedniej równowagi między nimi.

92.

W tym względzie, po pierwsze, poszanowanie życia prywatnego, podobnie jak poszanowanie wolności wypowiedzi zagwarantowanej w Karcie i wspomnianej w motywie 46 dyrektywy 2000/31, jest również zagwarantowane w Karcie, w jej art. 7. Po drugie, biorąc pod uwagę konieczność ustanowienia równowagi między wchodzącymi w grę interesami, cel polegający na skutecznej ochronie dobrego imienia i czci danej osoby nie może zostać osiągnięty za pomocą nadmiernego obowiązku nałożonego na dostawcę usług hostingowych ( 42 ).

93.

W tych okolicznościach, aby przesłanka przewidziana w art. 14 ust. 1 lit. b) dyrektywy 2000/31 została uznana za spełnioną z poszanowaniem wchodzących w grę praw, dostawca usług hostingowych, którego usługa jest wykorzystywana do rozpowszechnienia informacji, które przechowuje on swoim partnerom umownym, powinien podjąć rozsądne środki w celu zapewnienia, by jego partnerzy w stosownym wypadku usunęli tę treść lub zablokowali do niej dostęp. Klauzulę w tym zakresie można na przykład zawrzeć w umowach zawieranych z tymi partnerami.

2)

Powielenie spornego ogłoszenia przez osoby trzecie

94.

Podczas rozprawy omówiono nie tylko przypadek, w którym partnerzy operatora internetowej platformy handlowej powielili ogłoszenie, lecz również przypadek, w którym osoby trzecie, bez wiedzy i bez zgody tego operatora, powieliły publicznie dostępne ogłoszenie. Roztrząsana kwestia dotyczyła tego, czy w świetle rozważań przedstawionych w pkt 91 niniejszej opinii, aby spełnić przesłankę przewidzianą w art. 14 ust. 1 lit. b) dyrektywy 2000/31, operator internetowej platformy handlowej musi podjąć działania wobec osób trzecich. Na to pytanie należy udzielić odpowiedzi przeczącej.

95.

Przesłanka określona w art. 14 ust. 1 lit. b) dyrektywy 2000/31 opiera się bowiem na założeniu, że podmiot świadczący usługę hostingową powinien niezwłocznie podjąć wszelkie środki, do których jest uprawniony, aby zakończyć bezprawną działalność prowadzoną za pośrednictwem lub w ramach jego usługi. Natomiast kwestia, czy przesłanka ta została spełniona, nie może zależeć od środków pozostających poza jego kontrolą.

96.

Bez uszczerbku dla dodatkowych uwag, które właśnie przedstawiłem na temat przesłanek, od których art. 14 ust. 1 dyrektywy 2000/31 uzależnia zwolnienie usługodawcy będącego pośrednikiem, podtrzymuję moją propozycję odpowiedzi na pytanie pierwsze, przedstawioną w pkt 64 niniejszej opinii.

B.

W przedmiocie pytań od drugiego do czwartego

97.

Poprzez pytania od drugiego do czwartego sąd odsyłający dąży w istocie do ustalenia, czy art. 5 ust. 1 lit. b) i f), art. 6 ust. 1 lit. a) oraz art. 7, 24 i 25 RODO należy interpretować w ten sposób, że dostawca usług społeczeństwa informacyjnego, którego działalność polega na hostingu na stronie internetowej bezpłatnych lub płatnych ogłoszeń na żądanie jej użytkowników, ma obowiązek uprzedniego sprawdzenia tożsamości reklamodawcy (pytanie drugie) i treści opublikowanych ogłoszeń (pytanie trzecie), a także podjęcia środków bezpieczeństwa w celu uniemożliwienia i ograniczenia kopiowania lub rozpowszechniania treści ogłoszeń zawierających dane osobowe (pytanie czwarte).

98.

Pytania te dotyczą również art. 2 ust. 4, art. 4 pkt 7 i 11 RODO oraz art. 15 dyrektywy 2000/31. W celu udzielenia użytecznej odpowiedzi na te pytania wystarczy jednak dokonać wykładni przepisów RODO, o których mowa w poprzednim punkcie niniejszej opinii, określających obowiązki i odpowiedzialność podmiotu zaangażowanego w przetwarzanie danych osobowych.

99.

Ponadto w celu udzielenia odpowiedzi na te pytania należy na wstępie ustalić, w jakim charakterze taki usługodawca uczestniczy w przetwarzaniu danych osobowych. W tym względzie wydaje się, że pytania od drugiego do czwartego opierają się na założeniu, że Russmedia działała w charakterze „administratora” w rozumieniu art. 4 pkt 7 RODO. Dotyczą one bowiem tego przepisu i odnoszą się do „dostawcy […], który jest administratorem danych osobowych”. Podobnie jak Komisja, mam wątpliwości co do takiej kwalifikacji prawnej. W związku z tym, ponieważ ta kwalifikacja może mieć wpływ na odpowiedzi na pytania prejudycjalne, przeanalizuję najpierw kwalifikację prawną operatora internetowej platformy handlowej według kategorii przewidzianych w RODO (sekcja 1), a następnie powrócę do kwestii obowiązków i odpowiedzialności tego operatora (sekcja 2).

1.

W przedmiocie kwalifikacji prawnych

a)

Podmioty zaangażowane w przetwarzanie danych osobowych

100.

Artykuł 4 pkt 7 RODO definiuje pojęcie „administratora” jako podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Rozporządzenie to wymienia inny podmiot zaangażowany w przetwarzanie danych, a mianowicie „podmiot przetwarzający”. Został on zdefiniowany w art. 4 pkt 8 tego rozporządzenia jako podmiot, który przetwarza dane osobowe w imieniu administratora.

101.

Kwalifikacja podmiotu zaangażowanego w przetwarzanie danych według kategorii przewidzianych w RODO określa obowiązki i zakres odpowiedzialności tego podmiotu. Te obowiązki i ta odpowiedzialność są określone w przepisach, o których mowa w pytaniach od drugiego do czwartego.

102.

Każde przetwarzanie danych osobowych musi być bowiem zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 ust. 1 RODO i musi spełniać warunki zgodności przetwarzania z prawem wymienione w art. 6 tego rozporządzenia. To administrator danych odpowiada za przestrzeganie tych zasad ( 43 ), i jeżeli przetwarzanie odbywa się na podstawie zgody, to musi on być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie danych, jak wymaga tego art. 7 ust. 1 tego rozporządzenia. W tym samym duchu art. 24 i 25 wspomnianego rozporządzenia przewidują spoczywające na administratorze ogólne obowiązki wdrożenia środków technicznych i organizacyjnych odpowiednich do zapewnienia, by przetwarzanie to odbywało się zgodnie z tym rozporządzeniem.

103.

Ponadto charakter, w jakim działa podmiot zaangażowany w przetwarzanie danych, określa również zakres jego odpowiedzialności za naruszenia RODO.

104.

Zgodnie bowiem z art. 82 ust. 2 zdanie pierwsze RODO „[k]ażdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym przepisy tego rozporządzenia”. Administrator danych jest odpowiedzialny nie tylko za każde przetwarzanie danych osobowych, którego sam dokonuje, lecz również za przetwarzanie dokonywane w jego imieniu ( 44 ). Natomiast zgodnie z art. 82 ust. 2 zdanie drugie tego rozporządzenia „[p]odmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które niniejsze rozporządzenie nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom”.

b)

Cel i sposoby przetwarzania danych

105.

W celu ustalenia, czy podmiot zaangażowany w przetwarzanie danych osobowych można uznać za administratora w rozumieniu art. 4 pkt 7 RODO, należy zbadać, czy podmiot ten rzeczywiście wywiera wpływ dla własnych interesów na określanie celów i sposobów tego przetwarzania.

106.

Cel przetwarzania dotyczy powodów, dla których dane są przetwarzane ( 45 ). Zasadniczo decyduje o tym osoba, która zainicjowała przetwarzanie.

107.

Zarys koncepcji „sposobów” jest mniej jasny; należy je określić w kontekście ewolucji struktur gospodarczych i technologicznych, w których dane są przetwarzane. Ogólnie rzecz biorąc, jeżeli cel przetwarzania dotyczy powodu, dla którego dane są przetwarzane, to sposoby odpowiadają na pytanie, jak ten cel zostanie osiągnięty. Określenie sposobów polega bowiem w szczególności na zadecydowaniu, jakie dane są przetwarzane ( 46 ), kto może mieć do nich dostęp oraz w jaki sposób ( 47 ), oraz, w zakresie, w jakim taka decyzja może położyć kres czynności przetwarzania, na ustaleniu czasu ich przetwarzania. Podejmowanie decyzji w odniesieniu do narzędzi lub nośników materialnych lub cyfrowych ( 48 ), za pomocą których dane są gromadzone, przedstawiane lub rozpowszechniane, przyczynia się również do określenia sposobów przetwarzania.

108.

Administrator danych nie jest jednak zobowiązany do określania każdego aspektu technicznego i organizacyjnego przetwarzania danych. Decyzja o powierzeniu przetwarzania danych podmiotowi przetwarzającemu może wynikać nie tylko z chęci odciążenia administratora, ale również z faktu, że nie posiada on wiedzy technicznej lub środków niezbędnych do zorganizowania przetwarzania. Taka wykładnia, oparta na realiach gospodarczych, znajduje potwierdzenie w przepisach RODO.

109.

O ile bowiem zgodnie z art. 28 ust. 3 RODO umowa lub inny akt prawny, na podstawie którego administrator powierza przetwarzanie podmiotowi przetwarzającemu, musi określać cel przetwarzania, o tyle taka podstawa prawna nie musi zawierać wyczerpującej odpowiedzi na pytanie, w jaki sposób dane będą przetwarzane. Powinna ona określać jedynie przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, jak również rodzaj danych osobowych i kategorie osób, których dane dotyczą. Tak więc, po pierwsze, newralgiczne kwestie, które mają zasadnicze znaczenie dla zgodności z prawem przetwarzania danych, są zastrzeżone dla administratora danych. Po drugie, chociaż podmiot przetwarzający działa w imieniu administratora i wykonuje jego instrukcje, może on, a nawet powinien określić środki techniczne i organizacyjne przetwarzania, nie wykraczając poza rolę podmiotu przetwarzającego. Innymi słowy, określenie nieobowiązkowych sposobów przetwarzania danych nie wystarczy, aby przyznać status administratora danych osobie uczestniczącej w przetwarzaniu danych.

110.

To na podstawie kryteriów przedstawionych w pkt 106–109 niniejszej opinii sąd odsyłający powinien rozstrzygnąć, czy spółkę Russmedia można uznać za administratora danych. W celu dostarczenia sądowi krajowemu elementów wykładni prawa Unii, które będą użyteczne dla rozstrzygnięcia zawisłego przed nim sporu, rozważę tę kwestię.

c)

Operator internetowej platformy handlowej i RODO

111.

Na wstępie pragnę zauważyć, że przetwarzanie danych osobowych zawartych w ogłoszeniach opublikowanych na internetowej platformie handlowej należy odróżnić od przetwarzania danych użytkowników (reklamodawców), którzy tworzą konto u operatora tej platformy w celu publikowania ich ogłoszeń. Utworzenie takiego konta i inne działania dotyczące danych dostarczonych przez użytkownika (reklamodawcę) stanowią czynności przetwarzania, za które ów operator jest odpowiedzialny w świetle RODO. Operator decyduje w istocie o tym, jakie dane są niezbędne do zarejestrowania konta, a przy ustanawianiu tego procesu rejestracji użytkowników (reklamodawców) określa cel przetwarzania tych danych.

112.

Postanowienie odsyłające dotyczy kwestii, czy operator internetowej platformy handlowej wywiera również wpływ dla własnych interesów na określanie celów i sposobów przetwarzania danych osobowych, które mogą być zawarte w ogłoszeniach opublikowanych na jego internetowej platformie handlowej.

113.

W tym względzie, co się tyczy celu przetwarzania danych zawartych w ogłoszeniu zamieszczonym online, publikacja ogłoszenia na internetowej platformie handlowej ma zasadniczo na celu publiczną reklamę towaru lub usługi oferowanych przez użytkownika (reklamodawcę). Cel ten jest zatem określany przez danego użytkownika (reklamodawcę). Natomiast nie wydaje się, aby operator tej internetowej platformy handlowej wywierał wpływ dla własnych interesów na powód, dla którego ogłoszenia te są publikowane. Rozpatrywana sprawa stanowi doskonałą ilustrację tej specyfiki funkcjonowania internetowej platformy handlowej. Sporne ogłoszenie zostało bowiem zamieszczone w Internecie nie w celu promocji usługi użytkownika (reklamodawcy), lecz w celu zaszkodzenia powódce w postępowaniu głównym. Operator nie wywierał wpływu na godną ubolewania motywację autora tego ogłoszenia.

114.

Jeśli chodzi o określenie sposobów przetwarzania, to właśnie użytkownik (reklamodawca) wywiera wpływ na odpowiedź na pytanie, w jaki sposób dane są przetwarzane. Użytkownik (reklamodawca) decyduje bowiem, czy dane są zawarte w ogłoszeniu, a jeśli tak, to jakie. Jest natomiast bardzo prawdopodobne, że operator internetowej platformy handlowej nie wie nawet o tym, że ogłoszenie zawiera dane osobowe. Ponadto, choć prawdą jest, że operator ten ustala układ ogłoszeń oraz inne techniczne i organizacyjne aspekty funkcjonowania tej internetowej platformy handlowej, to pragnę zauważyć, biorąc pod uwagę spostrzeżenia, które przedstawiłem w pkt 109 niniejszej opinii, że wpływ wspomnianego operatora na określenie nieobowiązkowych sposobów przetwarzania nie oznacza jednak, że należy go uznać za administratora danych.

115.

W związku z tym wydaje się, że operator internetowej platformy handlowej, taki jak Russmedia, nie wywiera wpływu dla własnych interesów na określenie celu i sposobów przetwarzania danych osobowych, które mogą być zawarte w ogłoszeniach zamieszczonych na tej internetowej platformie handlowej. Jeżeli ów operator jest zaangażowany w przetwarzanie tych danych, to działa on w charakterze podmiotu przetwarzającego w imieniu użytkownika (reklamodawcy) i na jego odpowiedzialność. W tych okolicznościach użytkowników usługi hostingowej należy uznać za „administratorów danych” w rozumieniu RODO ( 49 ).

116.

Mając na względzie specyfikę niniejszej sprawy, należy poczynić kilka dodatkowych wyjaśnień co do powyższych rozważań.

117.

W pierwszej kolejności, niezależnie od kwestii, czy pod rządami RODO osobę, której dane dotyczą, można uznać za administratora jej własnych danych osobowych ( 50 ), należy zauważyć, że w niniejszym przypadku osoba, która zamieściła w Internecie sporne ogłoszenie, sama nie jest osobą, której dotyczą dane zawarte w tym ogłoszeniu.

118.

W drugiej kolejności Russmedia, zgodnie z ogólnymi warunkami korzystania z jej internetowej platformy handlowej, zastrzega sobie prawo do korzystania z przechowywanych informacji na żądanie użytkowników (reklamodawców). Może je kopiować, rozpowszechniać, przesyłać, publikować, zwielokrotniać, modyfikować, tłumaczyć, cedować na partnerów i usuwać je w dowolnej chwili, nawet bez konieczności wskazania powodu w tym względzie. Po podjęciu takiego działania w odniesieniu do danych zawartych w ogłoszeniu spółka ta mogłaby zostać uznana za administratora danych w odniesieniu do konkretnej czynności przetwarzania, wraz ze wszystkimi wynikającymi z niej obowiązkami i odpowiedzialnością. Dany podmiot może bowiem być administratorem czynności przetwarzania danych, których cele i sposoby określa. Natomiast, bez uszczerbku dla ewentualnej odpowiedzialności cywilnej przewidzianej w tym względzie przez prawo krajowe, podmiotu tego nie można uznać za administratora w rozumieniu RODO w odniesieniu do wcześniejszych lub późniejszych operacji łańcucha przetwarzania, których celów ani środków ona nie określa ( 51 ).

119.

W trzeciej kolejności przedstawione przeze mnie rozważania odpowiadają stanowisku Grupy Roboczej „Artykułu 29” ( 52 ), zawartemu w jej opinii nr 1/2010 w sprawie pojęć „administrator danych” i „[podmiot] przetwarzający”, przyjętej w dniu 16 lutego 2010 r. ( 53 ). Zdaniem tej grupy roboczej dostawca usług internetowych, który świadczy usługi hostingu, jest zasadniczo przetwarzającym w przypadku danych osobowych publikowanych online przez jego klientów, na rzecz których świadczy on usługi w zakresie hostingu i prowadzenia strony internetowej. Jeżeli jednak taki dostawca przetwarza do własnych celów dane, które przechowuje, to staje się on administratorem danych w odniesieniu do tego określonego działania w zakresie przetwarzania danych. Ponadto stanowisko to odpowiada również stanowisku Europejskiej Rady Ochrony Danych zawartemu w jej wytycznych 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego zawartych w RODO, przyjętych w dniu 7 lipca 2021 r. ( 54 ), zgodnie z którymi dostawca usług hostingowych, który nie określa, czy dane, które udostępnia, są danymi osobowymi, i nie przetwarza ich w inny sposób niż przechowywanie w imieniu swojego klienta, jest podmiotem przetwarzającym.

120.

Tym samym, z zastrzeżeniem ustaleń faktycznych, których dokonanie należy do sądu odsyłającego, Trybunał powinien moim zdaniem zwrócić uwagę tego sądu na możliwość ponownego rozważenia kwalifikacji Russmedii. Podobnie jak Komisja jestem bowiem zdania, że spółka ta odgrywa rolę nie administratora danych, lecz podmiotu przetwarzającego w odniesieniu do czynności przetwarzania wynikających z publikacji spornego ogłoszenia. Na podstawie tego założenia przeanalizuję teraz pytania od drugiego do czwartego.

2.

Obowiązki i odpowiedzialność operatora internetowej platformy handlowej

a)

Przypadek, gdy operatora internetowej platformy handlowej uznaje się za podmiot przetwarzający w odniesieniu do przetwarzania danych zawartych w ogłoszeniach

121.

W kontekście obowiązków i odpowiedzialności spoczywających na operatorze internetowej platformy handlowej zgodnie z RODO należy dokonać rozróżnienia pomiędzy z jednej strony przetwarzaniem danych osobowych zawartych w ogłoszeniach publikowanych na tej platformie a z drugiej strony przetwarzaniem danych użytkowników (reklamodawców), którzy tworzą konto u tego operatora.

1)

Przetwarzanie danych zawartych w ogłoszeniach

122.

W przypadku gdy, w odniesieniu do przetwarzania danych osobowych zawartych w ogłoszeniach, Russmedia rzeczywiście była podmiotem przetwarzającym dane, nie była ona zobowiązana do sprawdzenia, czy przetwarzanie danych było dozwolone i zgodne z prawem. Jak już bowiem wskazałem ( 55 ), zgodnie z przepisami, o których mowa w pytaniu drugim, to administrator danych ponosi odpowiedzialność za przestrzeganie zasad dotyczących przetwarzania danych osobowych. W tym samym duchu, zgodnie z przepisami, o których mowa w pytaniu trzecim, podmiot przetwarzający nie jest również zobowiązany do uprzedniego sprawdzenia treści informacji będących przedmiotem czynności przetwarzania.

123.

Jeśli chodzi o pytanie czwarte, zmierza ono do ustalenia, czy Russmedia powinna była podjąć środki bezpieczeństwa w celu uniemożliwienia i ograniczenia kopiowania lub rozpowszechniania treści ogłoszeń zawierających dane osobowe. Pytanie to dotyczy wykładni art. 5 ust. 1 lit. b) i f) oraz art. 24 i 25 RODO. Również te przepisy dotyczą obowiązków ciążących nie na podmiocie przetwarzającym, lecz na administratorze.

124.

Niemniej jednak art. 32 RODO określa obowiązki administratora i ewentualnego podmiotu przetwarzającego w zakresie bezpieczeństwa tego przetwarzania ( 56 ).

125.

W szczególności art. 32 ust. 1 RODO stanowi, że administrator i podmiot przetwarzający powinni wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku związanemu z tym przetwarzaniem, uwzględniając stan wiedzy technicznej, koszty wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko. Podobnie art. 32 ust. 2 tego rozporządzenia stanowi, że oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, zwłaszcza wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, z utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

126.

Ponieważ art. 32 ust. 2 RODO dotyczy obowiązków podmiotu przetwarzającego, przepis ten zakłada, że przetwarzanie danych zgodnie z instrukcjami administratora jest dozwolone i zgodne z prawem. Podmiot przetwarzający nie może być zobowiązany do kontrolowania działań administratora, w imieniu którego przetwarza dane. Powinien on natomiast przyjąć środki mające na celu zagwarantowanie bezpieczeństwa przetwarzania danych osobowych przed ingerencją osób trzecich. Artykuł 32 ust. 1 tego rozporządzenia konkretyzuje bowiem zasadniczo zasady integralności i poufności określone w art. 5 ust. 1 lit. f) wspomnianego rozporządzenia ( 57 ). Zgodnie z tymi zasadami dane muszą być przetwarzane przez administratora lub w jego imieniu w sposób zapewniający odpowiednie bezpieczeństwo tych danych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą.

127.

Jeżeli ogłoszenia zamieszczane na internetowej platformie handlowej mogą zostać, zgodnie z jej ogólnymi warunkami korzystania, powielone przez wymienionych na tej platformie operatorów innych stron internetowych, a zatem znanych uprzednio użytkownikom (reklamodawcom), to podmiot przetwarzający powinien wdrożyć środki umożliwiające mu wycofanie usuniętych ogłoszeń z jego własnej platformy. Może się bowiem okazać, że przetwarzanie nie jest lub przestało być zgodne z prawem, a platforma, za pośrednictwem której rozpowszechniono ogłoszenie, powinna być w stanie położyć kres naruszeniu RODO również wśród swoich partnerów. Taki rezultat jest spójny z rezultatem dotyczącym przestrzegania przez podmiot świadczący usługę hostingową przesłanki przewidzianej w art. 14 ust. 1 lit. b) dyrektywy 2000/31 ( 58 ).

128.

Natomiast wbrew temu, co wydaje się sugerować sąd odsyłający w pytaniu czwartym, nie wydaje mi się, aby podmiot przetwarzający powinien być zobowiązany do uniemożliwienia lub ograniczenia kopiowania lub rozpowszechniania ogłoszeń zawierających dane osobowe. To nie do podmiotu przetwarzającego należy ustalenie, kto i w jaki sposób może mieć do nich dostęp.

2)

Przetwarzanie danych użytkowników (reklamodawców)

129.

Obowiązki i odpowiedzialność operatora internetowej platformy handlowej mają większe znaczenie w odniesieniu do przetwarzania danych użytkowników (reklamodawców), którzy tworzą konto u tego operatora. W ramach tego przetwarzania operator jest administratorem danych, a art. 24 i 25 RODO mają do niego w pełni zastosowanie ( 59 ).

130.

Artykuł 24 RODO nakłada na administratora ogólny obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić, by przetwarzanie danych odbywało się zgodnie z tym rozporządzeniem. Artykuł 25 wspomnianego rozporządzenia nakłada na administratora danych obowiązek wdrożenia – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania – odpowiednich środków technicznych i organizacyjnych, zaprojektowanych w celu skutecznej realizacji zasad ochrony danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi tego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

131.

Jak wynika z art. 24 i 25 RODO, owe środki muszą odpowiadać szczególnym rodzajom ryzyka związanym z kontekstem, w którym dane osobowe są przetwarzane. Określenie szczególnych rodzajów ryzyka i określenie właściwych środków należy wprawdzie pozostawić ocenie sądu odsyłającego, który dysponuje wszystkimi okolicznościami faktycznymi dotyczącymi wszystkich istotnych kryteriów w świetle tych przepisów, jednak chciałbym dodać następujące wyjaśnienia.

132.

Jak wskazano w motywie 75 RODO, z przetwarzania danych może wynikać ryzyko naruszenia praw lub wolności osób fizycznych, w szczególności jeżeli przetwarzanie może poskutkować kradzieżą tożsamości lub jeżeli osoby, których dane dotyczą, mogą zostać pozbawione możliwości sprawowania kontroli nad swoimi danymi osobowymi. Ogólnie rzecz biorąc, tożsamość kradnie się w celu przeprowadzenia oszukańczych działań na niekorzyść danej osoby lub osób trzecich. Ponadto, jeżeli chodzi o platformy internetowe, nieodpowiedzialne korzystanie z nich może prowadzić do naruszenia praw osób fizycznych, a w przypadku osoby odpowiedzialnej za to naruszenie perspektywa bezkarności zwiększa te ryzyka.

133.

W związku z tym, jeżeli administrator prowadzi internetową platformę handlową dostępną dla użytkowników (reklamodawców), którzy przy korzystaniu z niego mogą ukraść tożsamość innej osoby w celu popełnienia przestępstwa, to powinien on zastosować środki umożliwiające mu ograniczenie tego ryzyka. Jak stanowi art. 25 RODO, aby spełnić wymogi tego rozporządzenia i chronić prawa osoby, której dane dotyczą, administrator powinien brać pod uwagę to ryzyko zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania.

134.

W tych okolicznościach operator internetowej platformy handlowej powinien moim zdaniem przewidzieć środki techniczne i organizacyjne umożliwiające mu weryfikację tożsamości użytkowników (reklamodawców). Taka weryfikacja, po pierwsze, ograniczyłaby bowiem ryzyko niezgodnego z prawem lub nieuczciwego przetwarzania danych osobowych w odniesieniu do osoby, której dane dotyczą, a po drugie, pozwoliłaby walczyć z nieodpowiedzialnym korzystaniem z tej internetowej platformy handlowej, ponieważ podważyłaby poczucie bezkarności anonimowych użytkowników.

135.

Muszę wyjaśnić, że założenie anonimowego korzystania z Internetu nie wyklucza weryfikacji tożsamości użytkowników (reklamodawców). Dane użytkownika (reklamodawcy) nie mogą być dostępne dla żadnego użytkownika platformy. Mogą one być weryfikowane i przechowywane wyłącznie przez administratora, tak aby mógł on wywiązać się ze swoich obowiązków wynikających z RODO. W celu weryfikacji operator może zażądać podania numeru telefonu i wykorzystać go do potwierdzenia rejestracji. Takie rozwiązanie nie jest nietypowe dla platform internetowych.

136.

Prawdą jest, że taki środek nie pozwala na wyeliminowanie wszelkiego ryzyka kradzieży tożsamości. RODO ogranicza się jednak do nałożenia na administratora obowiązku przyjęcia środków technicznych i organizacyjnych mających na celu zapobieganie, na ile to możliwe, wszelkiemu naruszeniu ochrony danych osobowych ( 60 ). Nie chodzi zatem o zobowiązanie rezultatu, lecz o obowiązek starannego działania. W każdym razie postanowienie odsyłające sugeruje, że Russmedia nie wdrożyła żadnego środka umożlwiającego jej kontrolę tożsamości autora spornego ogłoszenia w chwili wprowadzania lub publikacji tego ogłoszenia.

137.

W tych okolicznościach proponuję, aby na pytania od drugiego do czwartego odpowiedzieć, że art. 5 ust. 1 lit. f), art. 6 ust. 1 lit. a) oraz art. 7, 24 i 25 RODO należy interpretować w ten sposób, że dostawca usług społeczeństwa informacyjnego, którego działalność polega na hostingu na stronie internetowej bezpłatnych lub płatnych ogłoszeń na żądanie jej użytkowników, działa w charakterze podmiotu przetwarzającego w odniesieniu do danych osobowych zawartych w ogłoszeniach zamieszczonych na jego internetowej platformie handlowej. W tych ramach nie jest on zobowiązany do weryfikowania treści opublikowanych ogłoszeń ani do stosowania zabezpieczeń mających na celu uniemożliwienie lub ograniczenie powielania i rozpowszechniania treści ogłoszeń publikowanych za jego pośrednictwem. Musi on jednak wdrożyć odpowiednie środki organizacyjne i techniczne w celu zapewnienia bezpieczeństwa przetwarzania wobec osób trzecich. Natomiast taki dostawca działa w charakterze administratora danych w odniesieniu do danych osobowych użytkowników (reklamodawców) zarejestrowanych na jego stronie internetowej. W tych ramach jest on zobowiązany do zweryfikowania tożsamości tych użytkowników (reklamodawców).

138.

W trosce o kompletność wywodu i na wypadek, gdyby Trybunał nie zgodził się z moją analizą, przeanalizuję teraz pokrótce obowiązki i odpowiedzialność operatora internetowej platformy handlowej uznanego za administratora w rozumieniu art. 4 pkt 7 RODO w odniesieniu do danych osobowych zawartych w ogłoszeniach zamieszczonych na jego internetowej platformie handlowej. Jak już bowiem wspomniałem ( 61 ), wydaje się, że pytania od drugiego do czwartego opierają się na założeniu, że Russmedia działała w charakterze „administratora”.

b)

Przypadek, gdy operatora internetowej platformy handlowej uznaje się za administratora danych zawartych w ogłoszeniach

139.

Na wstępie pragnę zauważyć, że okoliczność, iż operator internetowej platformy handlowej jest administratorem danych, niekoniecznie oznacza, że użytkownika (reklamodawcy) tej platformy również nie można uznać za administratora danych ( 62 ).

140.

RODO uznaje bowiem istnienie współadministrowania, które niekoniecznie przekłada się na równoważną odpowiedzialność różnych podmiotów zaangażowanych w przetwarzanie danych osobowych. Wręcz przeciwnie, podmioty te mogą być zaangażowane na różnych etapach tego przetwarzania i w różnym stopniu, tak że poziom odpowiedzialności każdego z nich należy oceniać przy uwzględnieniu wszystkich istotnych okoliczności danej sprawy.

141.

Skupię się jednak na obowiązkach i odpowiedzialności operatora internetowej platformy handlowej, ponieważ w niniejszej sprawie chodzi o odpowiedzialność takiego operatora za przetwarzanie danych osobowych zawartych w ogłoszeniu opublikowanym na jego internetowej platformie handlowej.

142.

Pytania drugie i trzecie mają na celu ustalenie, czy operator strony internetowej jest zobowiązany do sprawdzenia, przed opublikowaniem ogłoszenia, odpowiednio, tożsamości osoby, która zamieszcza ogłoszenie, i tożsamości osoby, której to ogłoszenie dotyczy, a także treści ogłoszeń wysyłanych przez użytkowników.

143.

W tym względzie nie jestem przekonany, że operator internetowej platformy handlowej jest zobowiązany upewnić się, że użytkownik (reklamodawca) jest rzeczywiście osobą, której dotyczą dane zawarte w ogłoszeniu. Internetowa platforma handlowa może być bowiem również używana przez użytkownika (reklamodawcę) w celu opublikowania ogłoszenia dotyczącego innej osoby.

144.

Administrator powinien jednak sprawdzić, czy przetwarzanie danych osobowych odbywa się na podstawie zgody osoby, której dane dotyczą, czy też opiera się na innej uzasadnionej podstawie przewidzianej prawem. Taki obowiązek nakłada na niego art. 5 ust. 1 lit. a), art. 6 ust. 1 i art. 7 ust. 1 RODO.

145.

Tym samym, jeżeli operator internetowej platformy handlowej działa w charakterze administratora danych, to powinien on upewnić się, że osoba, której dane są zawarte w ogłoszeniu, wyraziła zgodę na ich przetwarzanie. Logicznie rzecz biorąc, powinien on również kontrolować treść każdego ogłoszenia zamieszczanego przez użytkownika (reklamodawcę), aby sprawdzić, czy zawiera ono dane osobowe.

146.

Zgodnie z zasadą rzetelności przewidzianą w art. 5 ust. 1 lit. a) RODO administrator powinien również zapewnić, aby dane były przetwarzane rzetelnie w odniesieniu do osoby, której dane dotyczą. Ponadto zgodnie z art. 24 i 25 tego rozporządzenia powinien on również wdrożyć środki techniczne i organizacyjne, aby zapewnić, by przetwarzanie odbywało się zgodnie z tym rozporządzeniem. Czyniąc to, administrator powinien wziąć pod uwagę ryzyko specyficzne dla kontekstu, w jakim dane są przetwarzane.

147.

Z przetwarzania danych osobowych publicznie dostępnych w środowisku internetowym może wynikać ryzyko naruszenia praw lub wolności osób, a w szczególności szkody lub krzywdy.

148.

W przypadku gdy operator internetowej platformy handlowej jest administratorem danych zawartych w ogłoszeniach zamieszczonych na tej platformie, powinien on kontrolować ogłoszenia przed ich opublikowaniem w Internecie, sprawdzić, czy przetwarzanie danych odbywa się na podstawie zgody osoby, której dane dotyczą, czy też opiera się na innej uzasadnionej podstawie przewidzianej prawem, oraz wprowadzić środki zapobiegające szkodliwemu przetwarzaniu danych osób, których dane dotyczą. Jeżeli operator nie przestrzega tych zasad, to może on zostać pociągnięty do odpowiedzialności za naruszenia tego rozporządzenia zgodnie z art. 82 RODO.

149.

Pytanie czwarte zmierza do ustalenia, czy operator internetowej platformy handlowej powinien stosować zabezpieczenia mające na celu uniemożliwienie lub ograniczenie powielania i rozpowszechniania treści ogłoszeń publikowanych za jego pośrednictwem.

150.

Jeżeli, biorąc pod uwagę kontekst, w jakim odbywa się przetwarzanie, istnieje możliwość, że ogłoszenia zostaną powielone na innych stronach internetowych, a dane osobowe będą dalej przetwarzane w sposób niezgodny z celami, dla których zostały zebrane, to administrator może rozważyć zastosowanie takich środków, które powinny być odpowiednie. Nie jestem jednak przekonany, czy operator internetowej platformy handlowej, który z punktu widzenia operatora i użytkowników (reklamodawców) czerpie korzyści gospodarcze z faktu, że ogłoszenia, które są zamieszczane na tej platformie, są publicznie dostępne, powinien być zobowiązany do ograniczenia ich rozpowszechniania. Ponadto zwykłym celem umieszczenia treści w Internecie jest zazwyczaj udostępnienie ich wszystkim użytkownikom Internetu, co wiąże się z pewną formą rozpowszechniania. W każdym razie, biorąc pod uwagę rozważania, które przedstawiłem w pkt 148 niniejszej opinii, sporne ogłoszenie nie powinno było zostać opublikowane na internetowej platformie handlowej Russmedii bez zgody osoby, której dane dotyczą.

151.

Bez uszczerbku dla powyższych dodatkowych uwag dotyczących obowiązków i odpowiedzialności administratora podtrzymuję moje stanowisko, zgodnie z którym operator internetowej platformy handlowej jest podmiotem przetwarzającym dane osobowe zawarte w ogłoszeniach zamieszczonych na tej platformie ( 63 ). W tych okolicznościach pozostaje zbadać związek między dyrektywą 2000/31 a RODO.

C.

W przedmiocie związku między systemem dyrektywy 2000/31 a systemem RODO

152.

Pytania drugie i trzecie odnoszą się w szczególności do art. 2 ust. 4 RODO, który dotyczy związku między tym rozporządzeniem a dyrektywą 2000/31. Ponadto wymieniono w nich zarówno przepisy tego rozporządzenia, które określają obowiązki i odpowiedzialność administratora danych, jak i art. 15 tej dyrektywy. Wydaje się zatem, że pytania te zakładają równoległe stosowanie RODO i wspomnianej dyrektywy.

153.

Zanim przejdę do takiego równoległego stosowania tych dwóch instrumentów prawa Unii (sekcja 2), muszę jednak zauważyć, że istnieje pewien rodzaj napięcia między hipotezą, o której mowa w pytaniu pierwszym, a hipotezą, o której mowa w pytaniach od drugiego do czwartego (sekcja 1).

1.

Neutralny dostawca usług hostingowych jako administrator danych

154.

Dla przypomnienia, z mojej analizy wynika, że Russmedia działała w charakterze podmiotu przetwarzającego w zakresie przetwarzania danych osobowych zawartych w ogłoszeniach opublikowanych na jej internetowej platformie handlowej ( 64 ). Natomiast z roboczego założenia sądu odsyłającego wynika, że spółka ta działała w charakterze administratora danych. W tych okolicznościach postanowienie odsyłające podnosi kwestię, czy operator internetowej platformy handlowej może występować w dwóch rolach, a mianowicie w roli dostawcy usług hostingowych informacji przechowywanych na żądanie użytkowników jego usługi, w rozumieniu art. 14 ust. 1 dyrektywy 2000/31, oraz w roli administratora danych osobowych zawartych w tych informacjach. Z jednej strony pytanie pierwsze ma bowiem na celu ustalenie, czy Russmedia jest usługodawcą będącym pośrednikiem w rozumieniu sekcji 4 rozdziału II tej dyrektywy. Z drugiej strony pytania od drugiego do czwartego wydają się wychodzić z założenia, że spółkę tę należy uznać za „administratora” w rozumieniu RODO.

155.

W tym względzie mam świadomość, że w swoim orzecznictwie Trybunał nie wykluczył, iż administrator danych osobowych w rozumieniu RODO może odgrywać neutralną rolę w odniesieniu do informacji zawierających te dane i korzystać z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31. Taką uwagę poczyniono również w doktrynie w odniesieniu do orzecznictwa krajowego ( 65 ).

156.

Prawdą jest, że w pierwszej kolejności Trybunał uznał w wyroku Google Spain i Google, iż operator wyszukiwarki internetowej jest administratorem danych osobowych zawartych w informacjach opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, które to informacje są lokalizowane, indeksowane i przechowywane przez tego operatora ( 66 ). W drugiej kolejności w wyroku Google France i Google Trybunał zajął się kwestią, czy operator tej samej wyszukiwarki internetowej może skorzystać z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31 ( 67 ). Jednakże ten drugi wyrok nie dotyczył działania wspomnianej wyszukiwarki, lecz usługi odsyłania. Ponadto w wyroku tym Trybunał pozostawił sądowi odsyłającemu ocenę, czy rola odgrywana przez tego operatora odpowiada roli usługodawcy będącego pośrednikiem w rozumieniu tego przepisu ( 68 ).

157.

Co ważniejsze, z jednej strony, jak już wskazałem ( 69 ), usługodawca będący pośrednikiem, w zamierzonym przez prawodawcę w sekcji 4 rozdziału II dyrektywy 2000/31 znaczeniu tego terminu, nie może odgrywać roli, która pozwoliłaby mu na powzięcie wiedzy o przechowywanych danych lub na sprawowanie nad nimi kontroli, a zatem powinien ograniczyć się do neutralnego świadczenia swojej usługi w drodze czysto technicznego przetwarzania. Z drugiej strony rola administratora danych wymaga określenia celu i sposobów przetwarzania danych osobowych, a w szczególności wywierania wpływu na to, czy dane są przedmiotem czynności przetwarzania, takich jak rejestracja, zmiana lub rozpowszechnianie, a w stosownym przepadku – określenia tych danych ( 70 ). Wywieranie takiego wpływu jest niezgodne z neutralną rolą, jaką musi zachować dostawca świadczący usługę społeczeństwa informacyjnego w odniesieniu do informacji przechowywanych na żądanie użytkowników, aby móc skorzystać z wyłączenia odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31. Podobnie, jak już wyjaśniłem ( 71 ), RODO nakłada na administratora obowiązki i odpowiedzialność, które wymagają od niego proaktywnego działania. Zasadniczo, aby przestrzegać zasad dotyczących przetwarzania danych osobowych, administrator danych powinien mieć wiedzę o danych osobowych i powinien sprawować nad nimi kontrolę. Takiej kontroli również nie da się pogodzić z neutralną rolą takiego usługodawcy.

158.

Tak więc jeżeli, po pierwsze, usługa hostingu polega na przechowywaniu informacji, które z punktu widzenia RODO stanowią dane osobowe, a po drugie, dostawcę tej usługi uznaje się za administratora w rozumieniu tego rozporządzenia, to rola tego dostawcy nie ogranicza się do neutralnego przechowywania takich informacji. W konsekwencji dostawca takiej usługi odgrywa czynną rolę w odniesieniu do tych informacji i jest wyłączony z możliwości skorzystania ze zwolnienia z odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

159.

Napięcie między hipotezą, o której mowa w pytaniu pierwszym, a hipotezą, o której mowa w pytaniach od drugiego do czwartego, potwierdza wykładnię RODO, zgodnie z którą operator internetowej platformy handlowej działa nie w charakterze administratora danych w odniesieniu do danych osobowych zawartych w ogłoszeniach, które przechowuje na żądanie użytkowników (reklamodawców), lecz w charakterze podmiotu przetwarzającego te dane ( 72 ).

160.

Dla pełności wywodu pragnę wskazać, że nie mogę wykluczyć, iż prawodawca Unii postanowił nie pozbawiać dostawcy usług hostingowych działającego w charakterze administratora danych możliwości skorzystania ze zwolnienia z odpowiedzialności w ramach Digital Services Act. O ile bowiem rozporządzenie to uchyliło art. 12–15 dyrektywy 2000/31 ( 73 ), o tyle przepisy te zostały w nim powtórzone, zgodnie z ich wykładnią dokonaną przez Trybunał. Wspomniane rozporządzenie dodaje w art. 7, że „[d]ostawców usług pośrednich nie można uznać za nieuprawnionych do skorzystania z wyłączeń odpowiedzialności, […] tylko z tego powodu, że w dobrej wierze i z należytą starannością prowadzą z własnej inicjatywy dobrowolne czynności sprawdzające lub podejmują inne […] niezbędne środki, aby spełnić wymogi prawa Unii i prawa krajowego zgodnego z prawem Unii, w tym wymogi określone w niniejszym rozporządzeniu” ( 74 ). Pierwsza część tego przepisu, dotycząca „środków wprowadzonych dobrowolnie przez dostawcę”, zawiera elementy wspólne z orzecznictwem Trybunału, które zostało już rozwinięte pod rządami dyrektywy 2000/31 ( 75 ). Część druga, dotycząca „środków podejmowanych, aby spełnić wymogi prawa Unii”, dodana przez to samo rozporządzenie, umożliwia dostawcy usług hostingowych wypełnienie obowiązków nałożonych na niego przez RODO i utrzymanie roli neutralnego usługodawcy będącego pośrednikiem. Dyrektywa 2000/31 nie zawiera jednak warunku w tym zakresie i nie ma potrzeby wprowadzania takiego warunku w drodze wykładni tej dyrektywy.

161.

Pozostaje ustalić, czy podmiot uczestniczący w przetwarzaniu danych osobowych jako podmiot przetwarzający, który może zostać pociągnięty do odpowiedzialności z tytułu tego przetwarzania za naruszenie RODO, może powoływać się na wyłączenie odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31.

2.

Równoległe stosowanie RODO i dyrektywy 2000/31

162.

Problem podniesiony w postanowieniu odsyłającym wynika z faktu, że informacja przechowywana na żądanie usługobiorcy zawierała dane osobowe, które przetworzono z naruszeniem RODO. Stąd pytanie, które dzieli strony postępowania głównego i które od dawna jest przedmiotem dyskusji w doktrynie ( 76 ): czy podmiot uczestniczący w przetwarzaniu danych osobowych, który ponosi odpowiedzialność za naruszenie RODO, może powołać się na wyłączenie odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31?

163.

W tym względzie należy zauważyć, że zgodnie z moją analizą tych dwóch instrumentów prawa Unii podmiot świadczący usługę społeczeństwa informacyjnego, który jest administratorem danych osobowych zawartych w informacjach przechowywanych na żądanie użytkowników tej usługi, nie może powoływać się na wyłączenie odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31 ( 77 ). W konsekwencji celem poniższej analizy jest wyłącznie ustalenie, czy usługodawca działający w charakterze podmiotu przetwarzającego takie dane może powołać się na to zwolnienie. Pragnę przypomnieć, że moja analiza przepisów RODO prowadzi mnie do zaproponowania Trybunałowi, aby uznał, że Russmedia działała jako podmiot przetwarzający ( 78 ).

164.

Ponadto należy zauważyć, że sąd odsyłający nie precyzuje, czy w sporze w postępowaniu głównym odpowiedzialność Russmedii może powstać z tytułu naruszenia RODO na podstawie art. 82 tego rozporządzenia, czy też na podstawie przepisów dotyczących odpowiedzialności cywilnej przewidzianych w prawie krajowym. Naruszenie przepisu dotyczącego ochrony danych osobowych może bowiem jednocześnie prowadzić do naruszenia innych przepisów, takich jak przepisy dotyczące ochrony konsumentów ( 79 ) i dóbr osobistych, a prawodawca Unii nie zamierzał dokonywać wyczerpującej harmonizacji środków odwoławczych dostępnych w przypadku naruszenia przepisów RODO ( 80 ).

165.

W każdym razie, jeśli chodzi o odpowiedzialność cywilną, zarówno dyrektywa 2000/31, jak i RODO zawierają przepisy, które dostarczają wskazówek co do związku między tymi dwoma aktami prawa Unii.

a)

W przedmiocie właściwych przepisów dyrektywy 2000/31

166.

Artykuł 1 dyrektywy 2000/31, zatytułowany „Cel i zakres”, przewiduje w ust. 5 lit. b), że dyrektywa ta nie ma zastosowania do zagadnień odnoszących się do usług społeczeństwa informacyjnego objętych przepisami prawa Unii mającymi zastosowanie do danych osobowych. Dokładniej rzecz ujmując, przepis ten odnosi się do dyrektyw 95/46 i 97/66, które zostały zastąpione, odpowiednio, przez RODO ( 81 ) i dyrektywę 2002/58/WE ( 82 ).

167.

Ponadto z motywu 14 dyrektywy 2000/31, dotyczącego problematyki, o której mowa w jej art. 1 ust. 5, wynika, że ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest regulowana wyłącznie dyrektywami 95/46 i 97/66, „które mają pełne zastosowanie do usług społeczeństwa informacyjnego. Dyrektywy te stanowią już [ramy prawne Unii] w dziedzinie danych osobowych, dlatego nie jest konieczne obejmowanie tego zagadnienia [dyrektywą 2000/31] w celu zapewnienia sprawnego funkcjonowania rynku wewnętrznego, w szczególności swobodnego przepływu danych osobowych między państwami członkowskimi. Wykonanie i stosowanie [tej] dyrektywy powinny być całkowicie zgodne z zasadami odnoszącymi się do ochrony danych osobowych”.

168.

W przeszłości Trybunał zajmował się już wykładnią art. 1 ust. 5 lit. b) dyrektywy 2000/31.

169.

W pierwszej kolejności w wyroku Promusicae ( 83 ) pojawiło się bowiem pytanie, czy prawo Unii nakłada na państwa członkowskie obowiązek wprowadzenia obowiązku ujawnienia danych osobowych w ramach postępowania cywilnego w celu zapewnienia skutecznej ochrony praw autorskich. W sprawie tej sąd odsyłający powołał się na szereg dyrektyw, które jego zdaniem mogły stanowić podstawę prawną takiego obowiązku.

170.

W tym względzie Trybunał uznał, że z art. 1 ust. 5 lit. b) dyrektywy 2000/31 wynika, iż obowiązek taki, przy założeniu, że jest przewidziany w tej dyrektywie, nie może naruszać wymogów związanych z ochroną danych osobowych ( 84 ). Wydaje się zatem, że Trybunał rozważał równoległe stosowanie tej dyrektywy i instrumentów prawa Unii dotyczących ochrony danych osobowych.

171.

W drugiej kolejności w wyroku La Quadrature du Net i in. ( 85 ) Trybunał zajął się kwestią, czy dyrektywa 2000/31 stoi na przeszkodzie przepisom krajowym nakładającym na dostawców dostępu do usług internetowej komunikacji publicznej i na dostawców usług hostingowych obowiązek uogólnionego i niezróżnicowanego zatrzymywania danych osobowych dotyczących tych usług. Sąd odsyłający uznał, że kwestię tę reguluje ta dyrektywa, której art. 15 nie wprowadza sam w sobie zasadniczego zakazu zatrzymywania danych dotyczących tworzenia treści, od którego można jedynie odstąpić w drodze wyjątku ( 86 ).

172.

Trybunał uznał, że dyrektywa 2000/31 nie ma zastosowania w dziedzinie ochrony poufności porozumiewania się i osób fizycznych w związku z przetwarzaniem danych osobowych w ramach usług społeczeństwa informacyjnego, ponieważ ochrona ta jest, w zależności od przypadku, regulowana przez dyrektywę 2002/58 lub przez RODO ( 87 ).

173.

Kategoryczny charakter tej odpowiedzi wynika z kontekstu, w jakim została ona udzielona.

174.

Po pierwsze bowiem, nie można zapominać, że motyw 15 dyrektywy 2000/31 odnosi się konkretnie do tajemnicy komunikacji i przewiduje, że zgodnie z dyrektywą 97/66, o której mowa w art. 1 ust. 5 lit. b) dyrektywy 2000/31, „państwa członkowskie muszą zakazać wszystkich rodzajów niedozwolonego podsłuchu lub nadzorowania takiego porozumiewania się przez osoby inne niż nadawcy i odbiorcy, z wyjątkiem przypadków, gdy taka działalność jest prawnie dozwolona”. Dyrektywa 2002/58, która zastąpiła dyrektywę 97/66, potwierdza ten zakaz i określa warunki, na jakich państwa członkowskie mogą odstąpić od tego zakazu. Podobnie pod rządami RODO zakres swobody państw członkowskich w odniesieniu do odstępstw dotyczących ochrony danych osobowych jest ograniczony w art. 23 tego rozporządzenia.

175.

Po drugie, aby dojść do wniosku przypomnianego w pkt 171 niniejszej opinii, Trybunał wskazał, że ochrona poufności porozumiewania się oraz osób fizycznych w związku z przetwarzaniem danych osobowych jest regulowana wyłącznie dyrektywą 2002/58 lub RODO, „przy czym ochrona, jaką ma zapewnić dyrektywa 2000/31, w żadnym wypadku nie może naruszać wymogów wynikających z dyrektywy 2002/58 i z [RODO]” ( 88 ).

176.

Orzecznictwo dotyczące art. 1 ust. 5 lit. b) dyrektywy 2000/31 sugeruje zatem, po pierwsze, że dyrektywa ta nie ma zastosowania do kwestii, które są przedmiotem szczególnego uregulowania w ramach dyrektywy 2002/58 i RODO. Po drugie, dyrektywa 2000/31 i przepisy prawa Unii mające zastosowanie do danych osobowych mają zastosowanie równolegle do wszelkich innych kwestii, lecz przepisy tej dyrektywy nie mogą naruszać wymogów związanych z ochroną takich danych.

b)

W przedmiocie właściwych przepisów RODO

177.

Wykładnia, której dokonałem w pkt 176 niniejszej opinii, znajduje potwierdzenie w art. 2 ust. 4 RODO, który przewiduje, że rozporządzenie to stosuje się „bez uszczerbku” dla stosowania dyrektywy 2000/31, w szczególności przepisów dotyczących odpowiedzialności usługodawców będących pośrednikami, przewidzianych w art. 12–15 tej dyrektywy ( 89 ).

178.

Chociaż w terminologii prawa Unii stwierdzenie, że dany instrument prawny lub jeden z jego przepisów ma zastosowanie „bez uszczerbku” dla innego instrumentu, może prowadzić do różnych rozwiązań, RODO uściśla, że ma ono zastosowanie bez uszczerbku w szczególności dla konkretnych przepisów dyrektywy 2000/31. Prawodawca Unii chciał zatem położyć nacisk na fakt, że rozporządzenie to nie ogranicza zakresu stosowania konkretnych przepisów tej dyrektywy. Nie można zatem uznać, że RODO ma pierwszeństwo przed dyrektywą 2000/31 ze względu na to, że zostało ono przyjęte po tej dyrektywie.

c)

Uwagi końcowe

179.

W świetle powyższego zarówno dyrektywa 2000/31, zgodnie z jej wykładnią dokonaną przez Trybunał ( 90 ), jak i RODO ( 91 ) są ukształtowane w sposób umożliwiający ich równoległe stosowanie do kwestii, które nie są przedmiotem szczególnych uregulowań w ramach tego rozporządzenia. Pozostaje zatem ustalić, czy RODO zawiera przepis, który pełni rolę porównywalną z rolą art. 14 ust. 1 tej dyrektywy.

180.

W tym względzie art. 82 ust. 3 RODO stanowi, że administrator lub podmiot przetwarzający, stosownie do okoliczności, zostają zwolnieni z takiej odpowiedzialności, „jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania szkody”. W przypadku naruszenia ochrony danych osobowych przez „osobę trzecią” w rozumieniu art. 4 pkt 10 tego rozporządzenia administrator lub podmiot przetwarzający mogą zwolnić się z odpowiedzialności na podstawie art. 82 ust. 3 rzeczonego rozporządzenia poprzez udowodnienie, że nie istnieje żaden związek przyczynowy między owym ewentualnym naruszeniem obowiązku ochrony danych a szkodą poniesioną przez osobę fizyczną ( 92 ).

181.

Uważam, że art. 82 ust. 3 RODO nie stanowi klauzuli wyłączającej odpowiedzialność, która pełni rolę porównywalną z rolą art. 14 ust. 1 dyrektywy 2000/31.

182.

Artykuł 14 ust. 1 dyrektywy 2000/31 ma bowiem zastosowanie tylko wtedy, gdy usługodawca będący pośrednikiem może zostać pociągnięty do odpowiedzialności, zgodnie z mającymi do niego zastosowanie przepisami, za informacje przechowywane na żądanie użytkowników jego usługi pośrednictwa. Kwestia możliwości zastosowania tego przepisu powstaje zatem tylko wtedy, gdy spełnione są przewidziane w obowiązujących przepisach przesłanki odpowiedzialności tego usługodawcy za przechowywane informacje. W tym względzie przesłanki prawa do odszkodowania przewidzianego w art. 82 RODO zostały określone w ust. 1–3 tego artykułu. Artykuł 82 ust. 3 tego rozporządzenia wprowadza jedynie jedną z przesłanek tej odpowiedzialności ( 93 ). Powstanie odpowiedzialności administratora danych na podstawie art. 82 wspomnianego rozporządzenia jest bowiem uzależnione od istnienia jego winy, której istnienie domniemywa się, chyba że administrator ten udowodni, iż nie można mu w żaden sposób przypisać okoliczności, która spowodowała szkodę, w rozumieniu ust. 3 ( 94 ).

183.

Podmiot przetwarzający, który może zostać pociągnięty do odpowiedzialności na podstawie art. 82 RODO, nie jest zatem wyłączony z możliwości skorzystania ze zwolnienia z odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

184.

Jednakże nie można zapominać, że podmiot przetwarzający może zostać pociągnięty do odpowiedzialności na podstawie art. 82 ust. 2 zdanie drugie RODO, wyłącznie gdy nie dopełnił on obowiązków, które rozporządzenie to nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom. Obowiązki i odpowiedzialność operatora internetowej platformy handlowej, który działa jako podmiot przetwarzający dane zawarte w ogłoszeniach opublikowanych na jego platformie, są zatem przede wszystkim związane z art. 32 tego rozporządzenia ( 95 ).

185.

Niemniej jednak, jak już wspomniałem, nie jest jasne, czy w sporze w postępowaniu głównym Russmedia może zostać pociągnięta do odpowiedzialności za naruszenie RODO na podstawie art. 82 tego rozporządzenia, czy też na podstawie przepisów krajowych. Skoro odpowiedzialność za naruszenie tego rozporządzenia może powstać na podstawie przepisów krajowych (w związku z czym art. 82 ust. 3 tego rozporządzenia nie ma zastosowania), to tym bardziej istnieją powody wykluczenia danego podmiotu z możliwości skorzystania ze zwolnienia z odpowiedzialności przewidzianego w art. 14 ust. 1 dyrektywy 2000/31.

186.

Podsumowując, uważam, że podmiot uczestniczący w przetwarzaniu danych osobowych jako podmiot przetwarzający, który może zostać pociągnięty do odpowiedzialności za naruszenie RODO, może powołać się na wyłączenie odpowiedzialności przewidziane w art. 14 ust. 1 dyrektywy 2000/31. Mój wniosek dotyczący związku między tymi dwoma aktami prawa Unii nie może zatem zmienić moich propozycji odpowiedzi na pytania prejudycjalne.

V.

Wnioski

187.

W świetle całości powyższych rozważań proponuję, aby Trybunał odpowiedział na pytania prejudycjalne przedstawione przez Curtea de Apel Cluj (sąd apelacyjny w Klużu, Rumunia) w następujący sposób: