Concluziile avocatului general M. Szpunar prezentate la 6 februarie 2025.###

Întrebările preliminare din prezenta cauză privesc dispozițiile Directivei 2000/31/CE ( 2 ) și ale Regulamentului (UE) 2016/679 ( 3 ).

Aceste întrebări își au originea într‑un litigiu dintre o persoană fizică și operatorul unei piețe online pe care a fost publicat un anunț, fără consimțământul persoanei respective, care indica faptul că aceasta oferea servicii sexuale. Particularitatea cauzei menționate constă în faptul că anunțul în discuție conținea date cu caracter personal.

Prin intermediul întrebărilor formulate care privesc RGPD, instanța de trimitere urmărește să se stabilească în această privință, pe de o parte, dacă operatorul unei piețe online precum cel în discuție în litigiul principal a încălcat obligațiile care îi reveneau în temeiul acestui regulament și, pe de altă parte, dacă un astfel de operator poate beneficia de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31 în ceea ce privește un anunț publicat pe această piață online. Prezenta cerere de decizie preliminară oferă, așadar, Curții ocazia de a se pronunța cu privire la legătura dintre regimurile instituite prin aceste două acte de drept al Uniunii.

Articolul 1 din Directiva 2000/31, intitulat „Obiectiv și sferă de aplicare”, prevede la alineatul (5) printre altele că aceasta „nu se aplică în […] chestiunile referitoare la serviciile societății informaționale reglementate de Directivele 95/46/CE[ ( 4 )] și 97/66/CE[ ( 5 )]”.

Articolele 12, 13 și 14 din directiva menționată, care figurează în secțiunea 4, intitulată „Răspunderea furnizorilor de servicii intermediari”, din capitolul II din aceasta, intitulat la rândul său „Principii”, vizează un furnizor de servicii ale societății informaționale care desfășoară o activitate de „simplă transmitere” („mere conduit”), o stocare‑caching sau, respectiv, o activitate de stocare‑hosting. Aceste dispoziții stabilesc de asemenea condițiile în care astfel de furnizori sunt exonerați de răspundere pentru informațiile provenite de la utilizatorii serviciilor lor.

Potrivit articolului 14 alineatul (1) din directiva menționată, intitulat „Stocarea – hosting”: „Statele membre veghează ca, atunci când un serviciu al societății informaționale constă în stocarea informațiilor furnizate de un destinatar al serviciului, furnizorul acelui serviciu să nu fie responsabil pentru informațiile stocate la cererea unui destinatar al serviciului, cu condiția ca: (a) furnizorul să nu aibă cunoștință despre activitatea sau informația ilicită, iar în ceea ce privește acțiunile în daune, să nu aibă cunoștință de fapte sau circumstanțe din care să rezulte că activitatea sau informația este vădit ilicită sau (b) furnizorul, din momentul în care ia la cunoștință despre acestea, [să acționeze] prompt pentru a elimina informațiile sau pentru a bloca accesul la acestea.”

Articolul 15 din aceeași directivă, intitulat „Absența obligației generale în materie de supraveghere”, prevede: „(1) Statele membre nu trebuie să impună furnizorilor obligația generală de supraveghere a informațiilor pe care le transmit sau le stochează atunci când furnizează serviciile prevăzute la articolele 12, 13 și 14 și nici obligația generală de a căuta în mod activ fapte sau circumstanțe din care să rezulte că activitățile sunt ilicite. (2) Statele membre pot institui obligația furnizorilor de servicii ale societății informaționale de a informa prompt autoritățile publice competente despre presupuse activități ilicite pe care le‑ar desfășura destinatarii serviciilor lor ori despre presupuse informații ilicite pe care aceștia le‑ar furniza sau obligația de a comunica autorităților competente, la cererea acestora, informații care să permită identificarea destinatarilor serviciilor cu care au încheiat un acord de stocare – hosting.”

Articolul 2 din RGPD, intitulat „Domeniul de aplicare material”, prevede la alineatul (4): „Prezentul regulament nu aduce atingere aplicării [Directivei 2000/31], în special normelor privind răspunderea furnizorilor de servicii intermediari, prevăzute la articolele 12-15 din directiva menționată.”

Articolul 4 din acest regulament, intitulat „Definiții”, are următorul cuprins: „În sensul prezentului regulament: […] 7. «operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern; 8. «persoană împuternicită de operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului; […] 11. «consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate; […]”

Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede: „(1) Datele cu caracter personal sunt: (a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»); (b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri […] («limitări legate de scop»); […] (f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare («integritate și confidențialitate»). (2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

Articolul 6 din același regulament, intitulat „Legalitatea prelucrării”, prevede la alineatul (1): „Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții: (a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice; […]”

Articolul 7 din RGPD, intitulat „Condiții privind consimțământul”, prevede la alineatul (1): „În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.”

Articolele 24-26 din acest regulament figurează în secțiunea 1, intitulată „Obligații generale”, din capitolul IV din acesta, intitulat la rândul său „Operatorul și persoana împuternicită de operator”.

Articolul 24 din regulamentul menționat, intitulat „Responsabilitatea operatorului”, prevede la alineatul (1): „Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar.”

Articolul 25 din același regulament, intitulat „Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit”, prevede la alineatele (1) și (2): „(1) Având în vedere stadiul actual al tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate. (2) Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. În special, astfel de măsuri asigură că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane.”

Articolul 26 din RGPD, intitulat „Operatori asociați”, precizează la alineatul (1): „În cazul în care doi sau mai mulți operatori stabilesc în comun scopurile și mijloacele de prelucrare, aceștia sunt operatori asociați. Ei stabilesc într‑un mod transparent responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul prezentului regulament, în special în ceea ce privește exercitarea drepturilor persoanelor vizate și îndatoririle fiecăruia de furnizare a informațiilor prevăzute la articolele 13 și 14, prin intermediul unui acord între ei, cu excepția cazului și în măsura în care responsabilitățile operatorilor sunt stabilite în dreptul Uniunii sau în dreptul intern care se aplică acestora. Acordul poate să desemneze un punct de contact pentru persoanele vizate.”

Articolul 11 din Legea nr. 365/2002 privind comerțul electronic din 7 iunie 2002 ( 6 ), astfel cum a fost modificată prin Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic din 4 mai 2006 ( 7 ) (denumită în continuare „Legea nr. 365/2002”), prevede: „(1) Furnizorii de servicii sunt supuși dispozițiilor legale referitoare la răspunderea civilă, penală și contravențională, în măsura în care prin prezenta lege nu se dispune altfel. (2) Furnizorii de servicii răspund pentru informația furnizată de ei înșiși sau pe seama lor. (3) Furnizorii de servicii nu răspund pentru informația transmisă, stocată sau la care facilitează accesul, în condițiile prevăzute la articolele 12-15.”

Articolul 14 din această lege, intitulat „Stocarea permanentă a informației, stocarea‑hosting”, prevede: „(1) Dacă un serviciu al societății informaționale constă în stocarea informației furnizate de un destinatar al serviciului respectiv, furnizorul acelui serviciu nu răspunde pentru informația stocată la cererea unui destinatar, dacă este îndeplinită oricare dintre următoarele condiții: a) furnizorul de servicii nu are cunoștință despre faptul că activitatea sau informația stocată este nelegală și, în ceea ce privește acțiunile în daune, nu are cunoștință despre fapte sau circumstanțe din care să rezulte că activitatea sau informația în cauză ar putea vătăma drepturile unui terț; b) având cunoștință despre faptul că activitatea sau informația respectivă este nelegală ori despre fapte sau circumstanțe din care să rezulte că activitatea ori informația în cauza ar putea vătăma drepturile unui terț, furnizorul de servicii acționează rapid în vederea eliminării sau a blocării accesului la aceasta. (2) Prevederile alineatului (1) nu se aplică în situația în care destinatarul acționează sub autoritatea sau controlul furnizorului de servicii. (3) Prevederile acestui articol nu vor afecta posibilitatea autorității judiciare sau administrative de a cere furnizorului de servicii sa înceteze ori să prevină violarea datelor și, de asemenea, nu pot sa afecteze posibilitatea stabilirii unor proceduri guvernamentale de limitare sau întrerupere a accesului la informații.”

Russmedia Digital SRL (denumită în continuare „Russmedia”), o societate de drept român, este proprietara pieței online www.publi24.ro pe care pot fi publicate, gratuit sau contra cost, anunțuri publicitare privind printre altele vânzarea de bunuri sau furnizarea de servicii care provin din diferite localități din România.

La 1 august 2018, o persoană neidentificată a publicat pe această piață online un anunț al cărui conținut era denigrator și jignitor față de recurenta din litigiul principal, în măsura în care, conform anunțului respectiv, aceasta din urmă oferea servicii sexuale (denumit în continuare „anunțul în litigiu”). Anunțul menționat conținea fotografii ale recurentei din litigiul principal, utilizate fără acordul său, provenite din contul pe care ea îl deținea în mod legal pe o rețea socială, precum și numărul său de telefon. Înainte de publicarea acestui anunț nu a fost efectuată nicio verificare cu privire la identitatea persoanei care a postat anunțul respectiv. Contactată de recurenta din litigiul principal, Russmedia a procedat la eliminarea anunțului menționat de pe piața sa online în mai puțin de o oră. Însă același anunț a fost publicat online, indicându‑se sursa de origine, de alte site‑uri internet cu un conținut publicitar, pe care este accesibil și în prezent.

Întrucât a apreciat că anunțul în litigiu îi încălca drepturile, recurenta din litigiul principal a introdus o acțiune împotriva Russmedia.

Judecătoria Cluj‑Napoca (România) a admis această acțiune și, în temeiul articolului 253 din Codul civil ( 8 ), a obligat Russmedia la plata către recurenta din litigiul principal a sumei de 7000 de euro pentru prejudiciul moral care i‑a fost cauzat prin atingerea adusă dreptului său la imagine, onoare și bună reputație, prin încălcarea dreptului său la viață privată, precum și prin prelucrarea neconformă a datelor cu caracter personal. Astfel, această instanță a considerat că anunțul în litigiu constituia o încălcare a obligațiilor impuse Russmedia prin RGPD. Instanța menționată a apreciat că faptul că Russmedia a permis publicarea și ulterior răspândirea în mediul online a acestui anunț a adus o atingere gravă drepturilor recurentei din litigiul principal.

Tribunalul Specializat Cluj (România) a admis apelul declarat de Russmedia, statuând că acțiunea recurentei din litigiul principal nu era întemeiată pentru motivul că această societate nu era autorul anunțului în litigiu. Instanța menționată a considerat că Russmedia furniza doar un serviciu de stocare a anunțurilor, fără a fi implicată în mod activ „în legătură cu conținutul” acestora și că, în aceste împrejurări, era aplicabilă exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Legea nr. 365/2002.

Astfel, potrivit instanței de apel, Russmedia a procedat la eliminarea anunțului în litigiu de pe piața sa online în mai puțin de o oră după ce a fost contactată de recurenta din litigiul principal. Această instanță a considerat că Russmedia era exonerată de răspunderea pentru prejudiciile invocate din moment ce această societate nu era autorul anunțului respectiv și l‑a blocat, având în vedere articolul 11 alineatul (3) și articolul 14 alineatul (1) litera b) din Legea nr. 365/2002, de îndată ce a aflat că acesta era de natură a aduce atingere drepturilor recurentei din litigiul principal.

În ceea ce privește obligația operatorului de a verifica, anterior publicării unui anunț, dacă autorul acestuia are dreptul de a folosi datele cu caracter personal care figurează în acesta, instanța de apel a reținut în continuare că erau incidente dispozițiile articolului 11 din Normele metodologice pentru aplicarea Legii nr. 365/2002, potrivit căruia un furnizor de servicii ale societății informaționale nu are obligația de a monitoriza informațiile stocate ( 9 ).

În sfârșit, instanța de apel a considerat că nu se poate reproșa Russmedia faptul că nu a luat măsuri pentru împiedicarea răspândirii anunțului în litigiu în mediul online. În opinia sa, serviciul prestat consta în publicarea anunțului respectiv, iar măsurile de blocare a accesului publicului la acesta au fost luate de îndată ce recurenta din litigiul principal a alertat Russmedia. În consecință, această instanță a considerat că în cauză era aplicabilă Legea nr. 365/2002, care exonerează această societate de răspundere în legătură cu prejudiciile morale produse prin conținutul anunțurilor publicate pe site‑ul www.publi24.ro de către utilizatori.

Recurenta din litigiul principal a formulat recurs împotriva acestei hotărâri în fața Curții de Apel Cluj (România), instanța de trimitere.

În cadrul recursului formulat, recurenta din litigiul principal invocă printre altele faptul că Legea nr. 365/2002 nu este o lege specială față de RGPD și că, prin urmare, instanța de apel ar fi trebuit să analizeze răspunderea Russmedia din perspectiva prevederilor acestui regulament.

În plus, recurenta din litigiul principal arată că rolul Russmedia nu se limita la a furniza clienților dispozitivul tehnic specific de acces la serverul de găzduire. În opinia sa, această societate îndeplinea inclusiv un rol de administrare, prin intervenția la nivelul conținutului anunțurilor, în vederea unui bun management informațional. Societatea menționată, în calitate de administrator al site‑ului internet în cauză, ar stoca și ar prelucra conținutul informațional. Prelucrarea și stocarea datelor, precum și punerea acestora la dispoziția publicului într‑o anumită formă ar implica atât o analiză a datelor și a informațiilor cuprinse în anunțuri, cât și administrarea acestora, necesară pentru asigurarea unui acces facil publicului, ceea ce ar indica o implicare directă a acestei societăți. În consecință, articolul 14 din Legea nr. 365/2002 nu ar fi aplicabil în speță. Recurenta din litigiul principal apreciază în plus că exonerarea de răspundere prevăzută de această dispoziție nu se aplică în cazul în care răspunderea este stabilită în temeiul altor acte normative, precum RGPD, ceea ce, în opinia sa, este cazul în speță.

Instanța de trimitere a admis recursul, reținând că instanța de apel nu a analizat incidența dispozițiilor RGPD în împrejurările cauzei, a casat hotărârea atacată cu recurs și a reținut cauza pentru rejudecarea apelului.

În această privință, instanța de trimitere arată că, în opinia sa, nu există o obligație a operatorilor din piața online de a efectua o verificare prealabilă a anunțurilor publicate de către utilizatori. Aceasta subliniază totuși că, potrivit Hotărârii L’Oréal ș.a. ( 10 ), numai un operator al unei piețe online care nu joacă un rol activ reprezentat de acordarea de asistență constând în optimizarea prezentării ofertelor de vânzare sau în promovarea acestora se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. În plus, în conformitate cu această hotărâre ( 11 ), un operator al unei piețe online nu se poate prevala de această exonerare de răspundere în cazul în care a avut cunoștință de fapte sau de împrejurări pe baza cărora un operator economic diligent ar fi trebuit să remarce nelegalitatea ofertelor de vânzare în cauză și, în ipoteza unei astfel de cunoștințe, nu a acționat prompt. În această ordine de idei, în temeiul Hotărârii Papasavvas ( 12 ), nici o societate editoare de presă care dispune de un site internet pe care este publicată versiunea electronică a unui ziar nu se poate prevala de exonerarea de răspundere menționată, în măsura în care aceasta are cunoștință despre informațiile pe care le publică și exercită un control asupra acestora.

Instanța de trimitere arată că jurisprudența Curții face referire doar la ofertele postate online, al căror caracter nelegal rezulta în urma analizei unor fapte și împrejurări care au fost comunicate expres operatorului, ulterior publicării anunțului în cauză. În schimb, Curtea nu ar fi avut niciodată ocazia să analizeze o situație precum cea care face obiectul prezentei cauze. Într‑adevăr, specificul cauzei principale ține de faptul că conținutul anunțului publicat de către un utilizator neidentificat până la data sesizării instanței era în mod vădit ilegal și profund vătămător pentru persoana vizată. Astfel, potrivit instanței de trimitere, nu era necesară notificarea operatorului pentru a sesiza și analiza potențialul caracter ilicit al informației publicate.

Mai mult, instanța de trimitere atrage atenția asupra faptului că, deși, în urma notificării recurentei din litigiul principal, anunțul în litigiu a fost șters de pe site‑ul Russmedia, pe care a fost publicat inițial, el a fost preluat în întregime de multe alte site‑uri internet, cu toate datele și cu fotografiile recurentei din litigiul principal, cu precizarea sursei inițiale, neexistând măsuri de protecție privind datele personale. Prejudiciul a devenit astfel unul cu caracter de continuitate și se produce și în prezent.

Pe de altă parte, instanța de trimitere arată că serviciile sexuale menționate în anunțul în litigiu și pretins oferite de recurenta din litigiul principal pot fi asociate unor infracțiuni grave, incriminate de Codul penal, așa cum sunt proxenetismul și traficul de persoane.

În sfârșit, instanța de trimitere atrage atenția asupra faptului că, având în vedere termenii și condițiile de utilizare a pieței sale online, Russmedia nu are aparența unui simplu utilizator pasiv al datelor. Astfel, deși această societate nu pretinde un drept de proprietate asupra materialelor furnizate sau postate, încărcate sau trimise, ea ar păstra însă dreptul să utilizeze materialele, inclusiv să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără vreun motiv întemeiat în acest sens.

În aceste condiții, Curtea de Apel Cluj a hotărât, prin decizia din 15 iunie 2023, primită de Curte la 3 august 2023, să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) Articolele 12-14 din [Directiva 2000/31] se aplică și unui furnizor de servicii informaționale de tip stocare‑hosting care pune la dispoziția utilizatorilor un site pe care se pot publica anunțuri gratuite sau contra cost, care susține că rolul său în postarea anunțurilor utilizatorilor este unul pur tehnic (de a pune la dispoziție platforma), dar care prin intermediul termenilor și condițiilor de utilizare a site‑ului arată că nu pretinde un drept de proprietate asupra materialelor furnizate sau postate, încărcate sau trimise, păstrându‑și însă dreptul de a utiliza materialele, inclusiv să le copieze, distribuie, transmită, publice, reproducă, modifice, traducă, cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens? 2) În interpretarea articolului 2 alineatul (4), a articolului 4 punctele 7 și 11, a articolului 5 alineatul (1) litera (f), a articolului 6 alineatul (1) litera (a) și a articolelor 7, 24 și 25 din [RGPD] și a articolului 15 din Directiva 2000/31, un astfel de furnizor de servicii informaționale de tip stocare‑hosting, care este operator de date cu caracter personal, are obligația să verifice prealabil postării unui anunț dacă există identitate între persoana care postează anunțul și titularul datelor cu caracter personal la care se referă anunțul? 3) În interpretarea articolului 2 alineatul (4), a articolului 4 punctele 7 și 11, a articolului 5 alineatul (1) litera (f), a articolului 6 alineatul (1) litera (a) și a articolelor 7, 24 și 25 din [RGPD] și a articolului 15 din Directiva 2000/31, un astfel de furnizor de servicii informaționale de tip stocare‑hosting, care este operator de date cu caracter personal, are obligația de a verifica în prealabil conținutul anunțurilor expediate de către utilizatori, pentru a le elimina pe cele cu potențial caracter ilicit sau care pot afecta viața privată și de familie a unei persoane? 4) În interpretarea articolului 5 alineatul (1) literele (b) și (f) și a articolelor 24 și 25 din [RGPD] și a articolului 15 din Directiva 2000/31, un astfel de furnizor de servicii informaționale de tip stocare‑hosting, care este operator de date cu caracter personal, are obligația să implementeze măsuri de securitate de natură a împiedica sau limita copierea și redistribuirea conținutului anunțurilor postate prin intermediul acestuia?”

Guvernul român și Comisia Europeană au depus observații scrise. Recurenta din litigiul principal și Comisia au fost reprezentate la ședința care a avut loc la 2 iulie 2024.

Prima întrebare urmărește să se stabilească dacă Russmedia se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31, în timp ce a doua, a treia și a patra întrebare se referă la aspectul dacă această societate a încălcat obligațiile care i‑ar reveni în temeiul RGPD.

În trecut, Curtea a arătat că articolul 14 alineatul (1) din Directiva 2000/31, care face obiectul primei întrebări, urmărește să limiteze cazurile în care poate fi angajată răspunderea furnizorilor de servicii intermediari, în conformitate cu dreptul național aplicabil în domeniu ( 13 ). Apreciem că, ținând seama de evoluția dreptului Uniunii în acest domeniu, exonerarea de răspundere prevăzută de această dispoziție are vocația de a se aplica și atunci când răspunderea unui furnizor de servicii este angajată în temeiul dispozițiilor dreptului Uniunii sau al dispozițiilor naționale de transpunere a acestuia ( 14 ).

Decizia de trimitere lasă să se înțeleagă că, în litigiul principal, răspunderea Russmedia poate fi angajată ca urmare a unei încălcări a RGPD ( 15 ). În aceste condiții, ar putea părea de dorit a priori să se analizeze mai întâi a doua, a treia și a patra întrebare, prin intermediul cărora instanța de trimitere urmărește să se stabilească dacă Russmedia a încălcat obligațiile care i‑ar reveni în temeiul RGPD. Cu toate acestea, pentru claritatea analizei, vom examina întrebările în ordinea în care sunt adresate. Astfel, vom analiza mai întâi problema ridicată de decizia de trimitere din perspectiva Directivei 2000/31, pentru a trece ulterior la examinarea acestei probleme din perspectiva RGPD. În sfârșit, în ultima parte a analizei noastre vom examina interacțiunile dintre acest regulament și directiva menționată.

În realitate, toate întrebările preliminare privesc chestiunea fundamentală a legăturii dintre dispozițiile Directivei 2000/31 și cele ale RGPD. Vom examina această chestiune după identificarea dispozițiilor relevante ale acestor două acte de drept al Uniunii, întrucât calificările juridice, în funcție de categoriile prevăzute de acestea, se află în centrul celor patru întrebări preliminare.

Prin intermediul primei întrebări, instanța de trimitere urmărește să se stabilească dacă articolul 14 alineatul (1) din Directiva 2000/31 trebuie interpretat în sensul că un furnizor al unui serviciu al societății informaționale care constă în punerea la dispoziția utilizatorilor a unei piețe online pe care se pot publica anunțuri gratuite sau contra cost poate beneficia de exonerarea de răspundere prevăzută de această dispoziție și atunci când acest furnizor arată, prin intermediul termenilor și condițiilor de utilizare a pieței sale online, că nu pretinde un drept de proprietate asupra acestor materiale, păstrându‑și însă dreptul să utilizeze materialele furnizate, postate, încărcate sau trimise, inclusiv să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens.

Prin urmare, vom analiza această întrebare (secțiunea 1) care în esență urmărește să se stabilească dacă Russmedia poate fi calificată drept „furnizor intermediar” care se poate prevala a priori de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. În măsura în care instanța de trimitere pare să aibă îndoieli și cu privire la aspectul dacă, ținând seama de specificitatea litigiului principal, condițiile impuse de această dispoziție pentru exonerarea de răspundere într‑un caz concret sunt îndeplinite în speță, vom analiza și această chestiune din motive de exhaustivitate (secțiunea 2).

Apreciem că este important să subliniem atât premisa pe care se întemeiază prima întrebare, cât și conținutul acesteia.

În această privință, în primul rând, astfel cum am menționat ( 16 ), articolele 12, 13 și 14 din Directiva 2000/31 prevăd exceptări de la răspundere aplicabile atunci când serviciile furnizate de furnizorii de servicii ale societății informaționale privesc „simpla transmitere” („mere conduit”), stocarea‑caching și, respectiv, stocarea‑hosting.

Deși prima întrebare face referire la aceste trei dispoziții, instanța de trimitere lasă să se înțeleagă că Russmedia ar furniza un serviciu care constă în stocarea‑hosting a informațiilor furnizate de utilizatori. În plus, articolul 14 din Legea nr. 365/2002, a cărui aplicabilitate a fost dezbătută în fața instanțelor naționale ( 17 ), pare să constituie o transpunere a articolului 14 din Directiva 2000/31, care privește un serviciu de stocare‑hosting. Prin urmare, considerăm că prima întrebare se referă la această dispoziție a dreptului Uniunii și că ipoteza de lucru a instanței de trimitere este că serviciul furnizat de Russmedia constituie un serviciu al societății informaționale și constă, în principiu, în stocarea‑hosting a informațiilor furnizate de utilizatorii pieței sale online.

În al doilea rând, în ceea ce privește conținutul primei întrebări, formularea sa prudentă lasă să se înțeleagă că instanța de trimitere nu se pronunță cu privire la rolul jucat de Russmedia în prestarea serviciului său de stocare‑hosting. Astfel, din această întrebare reiese că constatarea potrivit căreia rolul Russmedia este pur tehnic rezultă din afirmațiile formulate de societatea respectivă ( 18 ). Deși instanța de trimitere nu pare să repună în discuție această afirmație, o vom analiza totuși, întrucât temeinicia sa este puternic contestată de recurenta din litigiul principal ( 19 ).

În sfârșit, în al treilea rând, instanța de trimitere arată că Russmedia „nu are aparența unui simplu utilizator pasiv al datelor (furnizor intermediar), deoarece, deși [această societate] nu pretinde un drept de proprietate asupra materialelor furnizate sau postate, încărcate sau trimise, își păstrează însă dreptul de a utiliza materialele [respective]”. Formularea primei întrebări reflectă această preocupare a instanței de trimitere. Astfel, această întrebare urmărește să se stabilească dacă un „furnizor […] care pune la dispoziția utilizatorilor [o piață online], dar care prin intermediul termenilor și condițiilor de utilizare a site‑ului arată că [păstrează] însă dreptul de a utiliza materialele” poate beneficia de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31.

Mențiunile din decizia de trimitere privind caracterul pur tehnic sau pasiv al activității Russmedia fac trimitere la jurisprudența Curții potrivit căreia exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31 privește numai cazul în care comportamentul furnizorului se limitează la cel al unui „furnizor intermediar”, în sensul urmărit de legiuitor în cadrul secțiunii 4 din capitolul II din această directivă. Astfel, în această privință, din considerentul (42) al directivei menționate reiese că derogările în materie de răspundere prevăzute de aceasta acoperă numai cazurile în care activitatea furnizorului de servicii în cadrul societății informaționale prezintă un caracter pur tehnic, automat și pasiv, ceea ce presupune că acest furnizor nici nu cunoaște, nici nu controlează informațiile transmise sau stocate ( 20 ). În lumina acestei jurisprudențe trebuie analizată prima întrebare.

Deși instanța de trimitere nu furnizează informații detaliate cu privire la funcționarea pieței online a Russmedia, se pare că această societate definește punerea în pagină a anunțurilor și le publică gratuit sau contra cost pe piața sa online, unde anunțurile sunt grupate în diferite categorii alese de utilizatorii care publică anunțuri și unde ceilalți utilizatori pot să efectueze căutări cu ajutorul unui simplu motor de căutare și să clasifice rezultatele. Pentru a putea publica un anunț online, un utilizator care publică anunțuri trebuie să se înregistreze la Russmedia. Identitatea sa nu este verificată nici la momentul înregistrării sale, nici la momentul publicării anunțului. Aceasta este imaginea funcționării respectivei piețe online așa cum reiese din decizia de trimitere, din observațiile scrise ale părților și din cele prezentate în ședință, precum și din propriile noastre cercetări. Revine instanței de trimitere sarcina de a verifica exactitatea acestor observații înainte de a se pronunța în litigiul principal.

Într‑o cauză care implică operatorul unei piețe online, Curtea a precizat că, pentru a verifica dacă acest operator poate fi exonerat de răspundere în temeiul articolului 14 din Directiva 2000/31, trebuie să se examineze dacă acesta se limitează la o furnizare neutră a serviciului său prin intermediul unei prelucrări pur tehnice și automate a datelor furnizate de clienții săi sau dacă joacă un rol activ de natură să îi confere o cunoaștere sau un control al acestor date ( 21 ).

În această privință, Curtea a statuat că simplul fapt că operatorul unei piețe online stochează pe serverul său ofertele de vânzare, stabilește modalitatea de prestare a serviciului său, este remunerat pentru acesta și acordă clienților săi informații de ordin general nu poate avea ca efect să îl priveze de derogările în materie de răspundere prevăzute de Directiva 2000/31 ( 22 ).

În plus, în ceea ce privește una dintre condițiile impuse de articolul 14 alineatul (1) din Directiva 2000/31 pentru exonerarea de răspundere a unui furnizor intermediar, asupra cărora vom reveni mai târziu ( 23 ), Curtea a stabilit că împrejurarea că un operator al unei platforme de partajare de conținuturi online realizează o indexare automată a conținuturilor încărcate pe această platformă, că platforma menționată conține o funcție de căutare și că aceasta recomandă materiale video în funcție de profilul sau de preferințele utilizatorilor nu poate fi suficientă pentru a considera că această condiție nu este îndeplinită ( 24 ). A fortiori, această împrejurare nu poate nici să priveze un asemenea operator de posibilitatea de a se prevala de exonerarea de răspundere prevăzută de această dispoziție. Astfel, problema dacă sunt îndeplinite condițiile impuse de articolul 14 alineatul (1) literele (a) și (b) din această directivă pentru exonerarea de răspundere se ridică numai dacă furnizorul în cauză poate fi calificat drept „furnizor de servicii de stocare‑hosting care își asumă un rol neutru” în ceea ce privește informațiile pe care le stochează și poate, a priori, să se prevaleze de această exonerare.

Prin urmare, se pare, la prima vedere, că Russmedia joacă un rol neutru în ceea ce privește informațiile stocate la cererea utilizatorilor care publică anunțuri și că ea se poate prevala de exonerarea prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. Trebuie să se înlăture în continuare îndoielile instanței de trimitere, reflectate în formularea primei întrebări, care în esență urmărește să se stabilească dacă, în cadrul examinării aplicabilității acestei exonerări, trebuie să se acorde un rol predominant termenilor și condițiilor de utilizare a unei piețe online sau acțiunilor întreprinse efectiv de operatorul acesteia.

Reamintim că, în conformitate cu termenii și condițiile de utilizare a pieței sale online, Russmedia, fără a pretinde că are un drept de proprietate asupra acestor materiale, își rezervă dreptul să utilizeze materialele furnizate, postate, încărcate sau trimise, inclusiv să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens.

Observăm de la bun început că litigiul principal nu privește un prejudiciu cauzat recurentei din litigiul principal prin intervenția Russmedia în anunțul în litigiu care era accesibil pe piața sa online. În speță, nu este vorba, așadar, despre o situație în care prejudiciul ar rezulta din conținutul furnizat de utilizatorul unei piețe online și modificat sau manipulat de operatorul acesteia.

În aceste condiții, trebuie să se observe că, având în vedere termenii și condițiile de utilizare a pieței sale online, Russmedia nu pare să aibă nicio obligație față de utilizatorii care publică anunțuri în ceea ce privește elaborarea sau prezentarea conținutului anunțurilor stocate la cererea acestora. În schimb, societatea respectivă își rezervă dreptul de a utiliza informațiile menționate, chiar fără a avea nevoie de un motiv în acest sens.

În această privință, deși termenii și condițiile de utilizare a unei piețe online pot determina funcționarea unui serviciu al societății informaționale și pot permite înțelegerea rolului jucat de furnizorul său, aranjamentele contractuale potrivit cărora acest furnizor poate întreprinde o acțiune în ceea ce privește informațiile stocate, fără a fi obligat să facă acest lucru, nu pot, în sine, să fie decisive atunci când se ridică problema dacă rolul furnizorului menționat este neutru. Astfel, în jurisprudența sa, Curtea atrage atenția asupra participării efective a furnizorului unui serviciu al societății informaționale la elaborarea și la prezentarea informațiilor furnizate de utilizatorii serviciului. În schimb, cu ocazia examinării aplicabilității exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31, trebuie ignorate acțiunile pe care un furnizor este autorizat să le întreprindă în temeiul termenilor și condițiilor de utilizare a platformei sale, dar pe care acesta nu le pune în aplicare în practică. Cu alte cuvinte, în cadrul acestei examinări, trebuie luate în considerare acțiunile întreprinse efectiv de furnizorul unui astfel de serviciu.

Mai concret, Curtea a considerat că, în cazul în care operatorul unei piețe online acordă asistență, care constă în special în optimizarea prezentării ofertelor de vânzare în cauză sau în promovarea acestor oferte, trebuie să se considere că acesta a ocupat nu o poziție neutră între clientul vânzător vizat și potențialii cumpărători, ci a jucat un rol activ, de natură să îi confere o cunoaștere sau un control al datelor referitoare la aceste oferte ( 25 ). De asemenea, Curtea a statuat în esență că o societate editoare de presă nu se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31 în ceea ce privește informațiile cuprinse în ediția electronică a versiunii imprimate a ziarului publicat de societatea respectivă, întrucât aceasta are, în principiu, cunoștință despre informațiile pe care le publică și exercită un control asupra acestora ( 26 ).

Pe scurt, în fragmentele din jurisprudență pe care tocmai le‑am menționat, modalitățile de funcționare a unei piețe online implicau cunoașterea și controlul ex ante al informațiilor stocate. În schimb, în speță, astfel cum a observat Comisia în ședință, nimic nu indică faptul că Russmedia intervine în crearea, în optimizarea sau în prezentarea anunțurilor sau că aceasta controlează conținutul lor individual înainte de publicarea lor. Controlul pe care această societate îl putea exercita în temeiul termenilor și condițiilor de utilizare a pieței sale online are doar un caracter potențial și ex post. Pe de altă parte, rezultă că Russmedia nu are cunoștință de informațiile stocate, de natură să justifice excluderea acestei societăți de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31.

În plus, astfel cum a observat Comisia, termenii și condițiile de utilizare a unei platforme, similari celor ai Russmedia, nu sunt neobișnuiți pentru serviciile de intermediere ( 27 ). Trebuie să se observe în această privință că împrejurarea că un furnizor intermediar își rezervă dreptul de a utiliza informațiile furnizate de utilizatorii serviciului său se înscrie în rolul important jucat de furnizorii intermediari în combaterea conținutului ilicit online.

Astfel, pentru a îndeplini condițiile impuse pentru exonerarea de răspundere a unui furnizor intermediar, prevăzute la articolul 14 alineatul (1) literele (a) și (b) din Directiva 2000/31, furnizorul intermediar trebuie să reacționeze și să elimine sau să blocheze acest conținut din momentul descoperirii unui conținut ilicit. Acest furnizor poate, printre altele pentru a evidenția capacitatea sa de a întreprinde o asemenea acțiune, să își rezerve dreptul de a elimina conținutul menționat în orice moment.

În aceste condiții, faptul că, în termenii și condițiile de utilizare a pieței sale online, Russmedia își rezervă dreptul de a utiliza conținuturile stocate la cererea utilizatorilor serviciului său nu este de natură să excludă această societate de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31.

Ținând seama de cele ce precedă, propunem să se răspundă la prima întrebare că articolul 14 alineatul (1) din Directiva 2000/31 trebuie interpretat în sensul că un furnizor al unui serviciu al societății informaționale care constă în punerea la dispoziția utilizatorilor a unei piețe online pe care se publică anunțuri gratuite sau contra cost poate beneficia de exonerarea de răspundere, prevăzută de această dispoziție, și atunci când acesta arată, prin intermediul termenilor și condițiilor de utilizare a pieței sale online, că nu pretinde un drept de proprietate asupra acestor materiale, păstrându‑și însă dreptul să utilizeze materialele furnizate, postate, încărcate sau trimise, inclusiv să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens, cu condiția ca acest furnizor să nu ia măsuri care să determine pierderea calității sale de furnizor de servicii de stocare‑hosting neutru.

Din motive de exhaustivitate, trebuie să se examineze dacă, ținând seama de specificitatea litigiului principal, condițiile impuse pentru această exonerare sunt îndeplinite în speță.

Decizia de trimitere evidențiază particularitățile prezentei cauze care par a fi legate de condițiile impuse de articolul 14 alineatul (1) din Directiva 2000/31 pentru exonerarea de răspundere pentru informațiile stocate. Astfel, instanța de trimitere atrage atenția Curții asupra caracterului vădit ilegal și profund vătămător al anunțului în litigiu, precum și asupra disponibilității acestui anunț pe multe alte site‑uri internet care l‑au preluat.

Instanța de trimitere observă că, pentru a permite Russmedia să identifice și să analizeze potențialul caracter ilicit al informației publicate, nu ar fi trebuit să fie necesar să i se notifice acestei societăți conținutul ilicit. Astfel, potrivit acestei instanțe, conținutul anunțului în litigiu este vădit ilegal și profund vătămător pentru recurenta din litigiul principal. Instanța de trimitere pare, așadar, să pornească de la premisa că, având în vedere acest caracter în mod clar ilicit, Russmedia ar fi trebuit să aibă cunoștință de acest anunț și de conținutul său ilegal. Prin urmare, pentru a putea beneficia de exonerarea de răspundere, Russmedia ar fi trebuit – prompt și fără a aștepta o cerere în acest sens – să elimine anunțul menționat sau să blocheze accesul la acesta, în conformitate cu articolul 14 alineatul (1) litera (b) din Directiva 2000/31.

Articolul 14 alineatul (1) litera (a) din Directiva 2000/31 urmărește să exonereze furnizorul de servicii de stocare‑hosting de răspunderea sa pentru informațiile stocate atunci când nu are cunoștință despre activitatea sau informația ilicită. În cazul în care răspunderea unui furnizor de servicii de stocare‑hosting este invocată în cadrul unei acțiuni în despăgubire, precum în speță, devine aplicabilă o condiție mai strictă de exonerare de răspundere. Într‑o asemenea situație, furnizorul este exclus de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din această directivă atunci când a luat cunoștință de fapte sau circumstanțe pe baza cărora un operator economic diligent ar fi trebuit să constate nelegalitatea în cauză și nu a acționat în conformitate cu articolul 14 alineatul (1) litera (b) din directiva menționată ( 28 ). Astfel, după cum impune Directiva 2000/31, caracterul ilicit al activității sau al informației trebuie să fie „vădit” sau, cu alte cuvinte, trebuie să fie ușor de identificat ( 29 ).

Însă furnizorul nu poate pierde beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31 decât cu condiția să fi luat efectiv cunoștință de fapte sau circumstanțe pe baza cărora caracterul ilicit al activității sau al informației poate fi constatat în mod obiectiv de un operator economic diligent. Astfel, indiferent dacă este vorba despre o acțiune în despăgubire, nu este suficient ca furnizorul să fie conștient, în general, de faptul că serviciul său este utilizat și pentru a partaja conținuturi ilicite. Furnizorul trebuie să aibă cunoștință de fapte sau circumstanțe referitoare la activități și la informații ilicite concrete ( 30 ).

Prin urmare, condiția prevăzută la articolul 14 alineatul (1) litera (a) din Directiva 2000/31 nu este îndeplinită atunci când, pe baza informațiilor de care dispune, furnizorul constată sau nu cunoaște caracterul ilicit al datelor stocate ori se află în eroare cu privire la legalitatea acestor date. Astfel, deși caracterul ilicit al unei informații sau al unei activități trebuie evaluat în mod obiectiv, potrivit criteriului operatorului economic diligent, cunoașterea unor fapte care dovedesc această nelegalitate este evaluată în principiu ținând seama de informațiile disponibile efectiv furnizorului în cauză.

În aceste condiții, nu se poate prezuma că operatorul unei piețe online are cunoștință de conținutul oricărui anunț ilicit și vătămător. În plus, introducerea unei astfel de prezumții ar echivala cu obligarea acestui operator să supravegheze în mod activ toate datele fiecăruia dintre utilizatorii săi care publică anunțuri, pentru a identifica anunțuri care sunt vădit ilicite și vătămătoare. Considerăm că o asemenea obligație de supraveghere este dificil de conciliat cu logica Directivei 2000/31.

Astfel, o asemenea obligație de supraveghere, introdusă „pe ușa din spate”, ar fi incompatibilă cu articolul 15 alineatul (1) din Directiva 2000/31, care prevede că statele membre nu trebuie să impună furnizorilor de servicii de stocare‑hosting obligația generală de supraveghere a informațiilor pe care le stochează și nici obligația generală de a căuta în mod activ fapte sau circumstanțe din care să rezulte că activitățile sunt ilicite. Așadar, un furnizor de servicii de stocare‑hosting nu poate fi obligat, în temeiul unor măsuri naționale, să supravegheze, în general, informațiile pe care le stochează ( 31 ).

Prin urmare, condiția prevăzută la articolul 14 alineatul (1) litera (a) din Directiva 2000/31 nu poate fi considerată neîndeplinită numai pentru motivul că un anunț publicat pe o piață online este vădit ilicit și profund vătămător pentru persoana vizată de acest anunț. Din motive de exhaustivitate, adăugăm că Directiva 2000/31 nu ignoră situația în care furnizorul unui serviciu de stocare‑hosting adoptă un model economic sau organizațional care incită sau promovează difuzarea de conținuturi ilicite.

Este necesar să se arate că, potrivit considerentului (44) al Directivei 2000/31, un furnizor de servicii care colaborează în mod deliberat cu unul dintre destinatarii serviciului său în scopul de a întreprinde acțiuni ilicite depășește activitățile de „simplă transmitere” sau de stocare‑caching prevăzute la articolul 12 și, respectiv, la articolul 13 din această directivă. Prin urmare, acest furnizor nu poate beneficia de derogările în materie de răspundere prevăzute pentru acest tip de activități. Deși acest considerent nu menționează activitatea de stocare‑hosting prevăzută la articolul 14 din directiva menționată, nu există niciun motiv pentru care același raționament să nu se aplice acestei activități. Astfel, în Hotărârea YouTube și Cyando ( 32 ), Curtea a statuat că un operator al unei platforme online care contribuie, dincolo de simpla punere la dispoziție a platformei, la permiterea accesului public la conținuturi cu încălcarea dreptului de autor nu poate fi considerat un furnizor de servicii de stocare‑hosting neutru care poate beneficia de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31.

În hotărârea menționată, pentru a stabili dacă un operator permitea un astfel de acces public, Curtea a părut să se întemeieze, în mod indirect, pe analiza sa referitoare la noțiunea de „act de comunicare”, în sensul Directivei 2001/29/CE ( 33 ). În conformitate cu această analiză, inspirată de hotărârea sa care privea platforma de partajare The Pirate Bay ( 34 ), un operator permite un astfel de acces atunci când intervine în comunicarea ilicită a unor conținuturi protejate, efectuată de utilizatori ai platformei sale, pe deplin conștient de consecințele comportamentului său, pentru a permite celorlalți utilizatori de internet accesul la asemenea conținuturi. Potrivit Curții, pentru a stabili dacă aceasta este situația, trebuie să se țină seama de ansamblul elementelor care caracterizează situația în cauză și care permit să se ajungă, direct sau indirect, la concluzii cu privire la caracterul intenționat sau nu al intervenției operatorului în comunicarea ilicită a conținuturilor menționate.

Dacă se transpune această abordare în împrejurările speței, acest lucru ar însemna că operatorul unei piețe online care a adoptat un model economic și/sau organizațional ce incită utilizatorii platformei sale să difuzeze conținuturi vădit ilicite și profund vătămătoare sau ce promovează și facilitează difuzarea nelimitată și necontrolată a unor astfel de conținuturi ar pierde calitatea de furnizor de servicii de stocare‑hosting neutru în sensul articolului 14 alineatul (1) din Directiva 2000/31. Însă nimic nu indică faptul că Russmedia ar fi adoptat un astfel de model.

S‑ar putea susține că aprecierea potrivit căreia Directiva 2000/31, în principiu și sub rezerva unor împrejurări excepționale ( 35 ), nu obligă furnizorii de servicii de stocare‑hosting să detecteze orice conținut vădit ilicit și profund vătămător poate părea nesatisfăcătoare, ținând seama de riscurile pe care difuzarea unui astfel de conținut le poate genera în ceea ce privește drepturile utilizatorilor lor și ale terților.

Totuși, așa cum am observat într‑un alt context ( 36 ), Directiva 2000/31 este produsul epocii sale, iar legiuitorul Uniunii urmărea să instituie un sistem de bază care să protejeze în mod specific libera circulație a serviciilor societății informaționale. Prin urmare, această directivă se limitează să impună obligații de informare oricărui furnizor de servicii ale societății informaționale ( 37 ), fără a face distincție între diferitele categorii de servicii de stocare‑hosting. Astfel, directiva menționată se bazează pe logica potrivit căreia, în limitele pe care ea le fixează, statele membre instituie obligații pe care furnizorii stabiliți pe teritoriile lor trebuie să le respecte. În special, marja de manevră a statelor membre este limitată de interdicția care le este impusă de a institui o obligație generală în materie de supraveghere, prevăzută la articolul 15 din aceeași directivă.

Sistemul de bază instituit prin Directiva 2000/31 a fost completat treptat prin acte sectoriale care impun stabilirea unor măsuri adecvate pentru a proteja anumite categorii de utilizatori de conținuturi specifice, precum conținuturile cu caracter terorist sau de pornografie infantilă ( 38 ).

Recent, legiuitorul Uniunii a modificat în mare măsură cadrul juridic aplicabil platformelor online. Astfel, Digital Services Act diferențiază obligațiile platformelor în funcție de anumite criterii și reglementează de asemenea într‑o anumită măsură problema moderării conținutului ilicit ( 39 ). Cu toate acestea, prezenta cauză nu este vizată de acest nou cadru juridic, iar Curtea nu ar trebui, în opinia noastră, să introducă pe cale jurisprudențială o obligație care nu numai că nu este prevăzută de Directiva 2000/31 aplicabilă situației de fapt din litigiul principal, dar este în plus în contradicție cu articolul 15 din aceasta.

Un alt aspect asupra căruia instanța de trimitere atrage atenția Curții privește împrejurarea că, deși Russmedia a eliminat anunțul în litigiu de pe piața sa online în urma cererii recurentei din litigiul principal, acest anunț este accesibil și în prezent pe multe alte site‑uri internet care l‑au preluat de pe piața online a Russmedia, cu indicarea sursei originare. Instanța de trimitere nu adresează în mod direct o întrebare cu privire la această împrejurare din perspectiva Directivei 2000/31. În schimb, ea face referire la aceasta în cadrul celei de a patra întrebări, care privește măsurile impuse de RGPD pentru a asigura securitatea prelucrării datelor cu caracter personal. Totuși, în ședință, ca răspuns la întrebările Curții, împrejurarea menționată a fost dezbătută de părți în contextul condiției exonerării de răspundere prevăzute la articolul 14 alineatul (1) litera (b) din această directivă. Având în vedere aceste considerații și pentru a oferi instanței de trimitere un răspuns util, vom analiza problema dacă condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 este îndeplinită atunci când, după ce a luat cunoștință de fapte sau circumstanțe care permit să se stabilească cu ușurință caracterul ilicit al informației stocate, furnizorul de servicii de stocare‑hosting elimină prompt informația respectivă de pe site‑ul său internet, dar aceasta este accesibilă și în prezent pe alte site‑uri internet care au preluat‑o de pe site‑ul acestui furnizor de servicii de stocare‑hosting.

În această privință, instanța de trimitere nu precizează dacă anunțul în litigiu a fost redistribuit operatorilor altor site‑uri internet de Russmedia sau dacă a fost copiat de aceștia fără ca Russmedia să fi avut cunoștință de acest lucru. Acest aspect a făcut obiectul unei dezbateri în cadrul ședinței. Pentru a oferi un răspuns util instanței de trimitere, vom examina cele două situații menționate.

În ședință, Comisia a făcut aluzie la o situație în care, în conformitate cu termenii și condițiile de utilizare a pieței sale online, Russmedia ar transmite partenerilor cu care are o relație contractuală, enumerați pe site‑ul său și, prin urmare, cunoscuți de utilizatorii care publică anunțuri, anunțuri care au fost publicate pe piața sa online.

Se poate ridica problema dacă, într‑o astfel de situație, serviciul furnizat de operatorul unei piețe online constă într‑o stocare‑hosting neutră a informațiilor stocate la cererea unui destinatar al serviciului său. Astfel, nu se poate pierde din vedere faptul că articolul 14 alineatul (1) din Directiva 2000/31 se aplică numai dacă furnizorul furnizează un asemenea serviciu.

În această privință, observăm că atunci când operatorul unei piețe online transmite, în mod individualizat și/sau asistat uman, informații furnizate de un destinatar al serviciului său către partenerii săi, pentru ca aceștia să le publice pe alte site‑uri internet, rolul său se aseamănă cu cel al unui promotor al acestor informații. Într‑o asemenea situație, avem îndoieli cu privire la faptul că serviciul acestui operator intră pe deplin sub incidența articolului 14 alineatul (1) din Directiva 2000/31. În schimb, atunci când informațiile stocate la cererea unui utilizator sunt preluate de operatorii altor site‑uri internet, iar rolul operatorului respectiv în această transmitere este pur tehnic și automatizat, s‑ar putea considera că dispoziția menționată îi este pe deplin aplicabilă.

În aceste condiții, decizia de trimitere nu conține elemente de fapt care să permită să se determine care dintre cele două ipoteze menționate corespunde situației din cauza principală. Și mai important, problema dacă este îndeplinită condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 se ridică numai dacă Russmedia poate fi calificată drept „furnizor de servicii de stocare‑hosting”, în sensul dispoziției respective. Prin urmare, vom analiza condiția prevăzută la articolul 14 alineatul (1) litera (b) din această directivă pornind de la premisa că Russmedia este un furnizor de servicii de stocare‑hosting, în sensul dispoziției respective, și că anunțul în litigiu a fost preluat de partenerii acestei societăți în condițiile menționate de Comisie în ședință ( 40 ).

În această privință, pe plan textual, articolul 14 alineatul (1) litera (b) din Directiva 2000/31 prevede că, pentru a beneficia de exonerarea de răspundere, furnizorul de servicii de stocare‑hosting trebuie să acționeze prompt pentru a elimina informațiile ilicite sau pentru a bloca accesul la acestea. Astfel, dispoziția menționată nu se limitează să indice că furnizorul de servicii de stocare‑hosting trebuie să elimine sau să blocheze accesul la o informație ilicită. Într‑adevăr, legiuitorul a ales o formulare deschisă potrivit căreia în esență un furnizor trebuie să pună capăt prompt unei activități ilicite, realizate prin intermediul sau cu privire la serviciul său.

Desigur, formularea acestei condiții ar putea fi înțeleasă în sensul că legiuitorul Uniunii nu urmărea să stabilească rezultate concrete care trebuie atinse, ci numai să se depună eforturi în această privință. Totuși, formularea deschisă a articolului 14 alineatul (1) litera (b) din Directiva 2000/31 lasă de asemenea o anumită marjă de manevră unui furnizor („a elimina informațiile sau […] a bloca accesul la acestea”) care îi permite să adopte o măsură adecvată, proporțională și efectivă. O asemenea interpretare a acestei dispoziții se impune având în vedere mai multe considerente ale directivei menționate.

Astfel, considerentul (46) al Directivei 2000/31 enunță că înlăturarea informațiilor trebuie realizată în conformitate cu „proceduril[e] stabilite în acest sens la nivel național” și că această directivă „nu afectează posibilitatea statelor membre de a defini cerințe specifice care trebuie îndeplinite prompt înainte de înlăturarea informațiilor sau de blocarea accesului la acestea”. Însă nimic nu sugerează că asemenea proceduri și cerințe au fost stabilite de legislația națională aplicabilă.

În orice caz, considerentul (41) al Directivei 2000/31 enunță că aceasta echilibrează diferitele interese existente și stabilește principiile care pot sta la baza standardelor și a acordurilor adoptate în domeniu. În ceea ce privește mai precis condiția prevăzută la articolul 14 alineatul (1) litera (b) din directiva menționată, considerentul (46) al acesteia enunță că furnizorul trebuie să procedeze la înlăturarea informațiilor sau la blocarea accesului la acestea cu respectarea principiului libertății de exprimare. Curtea a precizat, în această privință, că exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din directiva menționată constituie expresia echilibrului pe care aceasta urmărește să îl instituie între diferitele interese existente, printre care figurează respectarea libertății de exprimare garantate prin articolul 11 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”) ( 41 ).

Deducem de aici că, pentru ca condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 să fie considerată îndeplinită, eliminarea informației ilicite trebuie să se efectueze cu respectarea concilierii necesare a cerințelor legate de protecția diferitelor drepturi și libertăți menționate și a unui just echilibru între acestea.

În această privință, pe de o parte, la fel ca respectarea libertății de exprimare garantate de cartă și menționate în considerentul (46) al Directivei 2000/31, respectarea vieții private este de asemenea garantată de cartă la articolul 7 din aceasta. Pe de altă parte, ținând seama de necesitatea de a institui un echilibru între interesele existente, obiectivul care constă în protejarea în mod eficient a reputației și a onoarei unei persoane nu poate fi urmărit prin intermediul unei obligații excesive impuse furnizorului serviciilor de stocare‑hosting ( 42 ).

În aceste condiții, pentru ca condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 să fie considerată îndeplinită cu respectarea drepturilor existente, un furnizor de servicii de stocare‑hosting al cărui serviciu este utilizat pentru redistribuirea informațiilor pe care le stochează către partenerii săi contractuali ar trebui să ia măsuri rezonabile pentru a se asigura că acest conținut este, după caz, eliminat sau blocat și de către partenerii săi. De exemplu, ar putea fi inclusă o clauză în acest sens în contractele încheiate cu acești parteneri.

În ședință nu s‑a discutat numai situația în care un anunț este preluat de parteneri ai operatorului unei piețe online, ci și cea în care un anunț accesibil publicului este preluat de terți fără știrea și fără consimțământul acestui operator. Problema dezbătută era dacă, ținând seama de considerațiile prezentate la punctul 91 din prezentele concluzii, pentru a îndeplini condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31, operatorul unei piețe online trebuie să ia măsuri față de terți. Răspunsul la această întrebare trebuie să fie unul negativ.

Astfel, condiția prevăzută la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 se întemeiază pe ideea că furnizorul unui serviciu de stocare‑hosting trebuie să ia prompt toate măsurile aflate la dispoziția sa pentru a pune capăt unei activități ilicite, realizată prin intermediul sau cu privire la serviciul său. În schimb, aspectul dacă respectiva condiție este îndeplinită nu poate depinde de măsuri care scapă controlului său.

Fără a aduce atingere considerațiilor suplimentare pe care tocmai le‑am prezentat cu privire la condițiile impuse de articolul 14 alineatul (1) din Directiva 2000/31 pentru exonerarea de răspundere a unui furnizor intermediar, ne menținem propunerea de răspuns la prima întrebare, formulată la punctul 64 din prezentele concluzii.

Prin intermediul celei de a doua, al celei de a treia și al celei de a patra întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (1) literele (b) și (f), articolul 6 alineatul (1) litera (a) și articolele 7, 24 și 25 din RGPD trebuie interpretate în sensul că un furnizor de servicii ale societății informaționale a cărui activitate constă în stocarea‑hosting pe un site internet a unor anunțuri gratuite sau cu plată la cererea utilizatorilor săi are obligația să verifice în prealabil identitatea persoanei care publică anunțuri (a doua întrebare) și conținutul anunțurilor publicate (a treia întrebare), precum și să ia măsuri de securitate pentru a împiedica sau a limita copierea sau redistribuirea conținutului anunțurilor care conțin date cu caracter personal (a patra întrebare).

Aceste întrebări vizează de asemenea articolul 2 alineatul (4), articolul 4 punctele 7 și 11 din RGPD, precum și articolul 15 din Directiva 2000/31. Însă, pentru a răspunde în mod util la aceste întrebări, este suficient să se interpreteze dispozițiile RGPD menționate la punctul precedent din prezentele concluzii, care stabilesc obligațiile și responsabilitățile unui actor implicat în prelucrarea datelor cu caracter personal.

În plus, pentru a răspunde la aceste întrebări, trebuie să se stabilească, cu titlu introductiv, în ce calitate este implicat un astfel de furnizor în prelucrarea datelor cu caracter personal. În această privință, a doua, a treia și a patra întrebare par să se întemeieze pe premisa potrivit căreia Russmedia a acționat în calitate de „operator”, în sensul articolului 4 punctul 7 din RGPD. Astfel, ele vizează această dispoziție și fac referire la „un furnizor […] care este operator de date cu caracter personal”. Asemenea Comisiei, avem îndoieli cu privire la o astfel de calificare juridică. Prin urmare, în măsura în care aceasta poate avea incidență asupra răspunsurilor la întrebările preliminare, vom analiza mai întâi calificarea juridică a operatorului unei piețe în funcție de categoriile prevăzute de RGPD (secțiunea 1), pentru a reveni ulterior asupra problemei privind obligațiile și responsabilitățile acestui operator (secțiunea 2).

Articolul 4 punctul 7 din RGPD definește noțiunea de „operator” ca vizând persoana care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. Acest regulament menționează un alt actor implicat în prelucrarea datelor, și anume „persoana împuternicită de operator”. Acesta este definit la articolul 4 punctul 8 din regulamentul respectiv ca fiind persoana care prelucrează datele cu caracter personal în numele operatorului.

Calificarea unui actor implicat în prelucrarea datelor în funcție de categoriile prevăzute de RGPD determină obligațiile și responsabilitățile actorului respectiv. Aceste obligații și responsabilități sunt definite de dispozițiile vizate de a doua, a treia și a patra întrebare.

Astfel, orice prelucrare a datelor cu caracter personal trebuie să fie conformă cu principiile legate de prelucrarea datelor, prevăzute la articolul 5 alineatul (1) din RGPD, și să îndeplinească condițiile de legalitate a prelucrării enumerate la articolul 6 din acesta. Operatorul este cel care își asumă responsabilitatea pentru respectarea acestor principii ( 43 ) și care, atunci când prelucrarea se bazează pe consimțământ, trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor, astfel cum impune articolul 7 alineatul (1) din acest regulament. În același sens, articolele 24 și 25 din regulamentul menționat prevăd obligații generale care revin operatorului de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta că prelucrarea se efectuează în conformitate cu același regulament.

Pe de altă parte, calitatea în care acționează un actor implicat în prelucrare determină de asemenea întinderea răspunderii sale pentru încălcările RGPD.

Astfel, potrivit articolului 82 alineatul (2) prima teză din RGPD, „[o]rice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă [acest] regulament”. Operatorul este responsabil nu numai pentru orice prelucrare de date cu caracter personal pe care o efectuează el însuși, ci și pentru cea efectuată în numele său ( 44 ). În schimb, în temeiul articolului 82 alineatul (2) a doua teză din regulamentul menționat, „[p]ersoana împuternicită de operator este răspunzătoare pentru prejudiciul cauzat de prelucrare numai în cazul în care nu a respectat obligațiile din [același] regulament care revin în mod specific persoanelor împuternicite de operator sau a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului”.

Pentru a stabili dacă o entitate implicată în prelucrarea datelor cu caracter personal poate fi considerată operator, în sensul articolului 4 punctul 7 din RGPD, trebuie să se examineze dacă această entitate a exercitat efectiv o influență, în scopuri proprii, asupra stabilirii scopurilor și a mijloacelor acestei prelucrări.

Scopul unei prelucrări se referă la întrebarea de ce sunt prelucrate datele ( 45 ). În principiu, persoana care este la originea prelucrării este cea care decide cu privire la acest lucru.

Contururile conceptului de „mijloace” sunt mai puțin clare și trebuie determinate în contextul evoluției structurilor economice și tehnologice în care sunt prelucrate datele. În general, dacă scopul unei prelucrări se referă la motivul pentru care sunt prelucrate datele, mijloacele răspund la întrebarea cum va fi atins acest obiectiv. Astfel, stabilirea mijloacelor constă în special în a decide ce date sunt prelucrate ( 46 ), cine poate avea acces la acestea și în ce mod ( 47 ) și, în măsura în care o asemenea decizie poate pune capăt operațiunilor de prelucrare, durata prelucrării. Luarea deciziilor cu privire la instrumentele sau la suporturile materiale sau digitale ( 48 ) cu ajutorul cărora sunt colectate, prezentate sau difuzate datele contribuie de asemenea la stabilirea mijloacelor de prelucrare.

Cu toate acestea, operatorul nu este obligat să stabilească orice aspect tehnic și organizatoric al prelucrării. Decizia de a încredința prelucrarea datelor unei persoane împuternicite de operator poate rezulta nu numai din dorința de a ușura volumul de muncă al operatorului, ci și din faptul că acesta nu dispune de cunoștințele tehnice sau de mijloacele necesare pentru a organiza prelucrarea. O astfel de interpretare, ghidată de realitatea economică, este confirmată de dispozițiile RGPD.

Astfel, deși, în temeiul articolului 28 alineatul (3) din RGPD, un contract sau un alt act juridic pe baza căruia un operator încredințează prelucrarea unei persoane împuternicite de operator trebuie să stabilească scopul prelucrării, un asemenea temei juridic nu trebuie să răspundă în mod exhaustiv la întrebarea cum vor fi prelucrate datele. El trebuie să stabilească numai obiectul și durata prelucrării, natura și scopul acesteia, precum și tipul de date cu caracter personal și categoriile de persoane vizate. Așadar, pe de o parte, aspectele sensibile care sunt fundamentale pentru legalitatea prelucrării sunt rezervate operatorului. Pe de altă parte, deși o persoană împuternicită de operator acționează în numele unui operator și urmează instrucțiunile sale, aceasta poate sau chiar trebuie să stabilească măsurile tehnice și organizatorice privind prelucrarea, fără a‑și depăși rolul de persoană împuternicită de operator. Cu alte cuvinte, stabilirea mijloacelor neesențiale ale prelucrării nu este suficientă pentru a acorda statutul de operator unei persoane implicate în prelucrarea datelor.

Pe baza criteriilor stabilite la punctele 106-109 din prezentele concluzii, instanța de trimitere va trebui să decidă dacă Russmedia poate fi considerată operator. Pentru a furniza instanței naționale elementele de interpretare proprii dreptului Uniunii care îi vor fi utile pentru soluționarea litigiului cu care este sesizată vom analiza această problematică.

Cu titlu introductiv, observăm că prelucrarea datelor cu caracter personal cuprinse în anunțurile publicate pe o piață online trebuie diferențiată de prelucrarea datelor utilizatorilor care publică anunțuri, care creează un cont la operatorul acestei piețe în vederea publicării anunțurilor lor. Crearea unui astfel de cont și celelalte acțiuni referitoare la datele furnizate de un utilizator care publică anunțuri constituie operațiuni de prelucrare pentru care acest operator este responsabil în raport cu RGPD. În esență operatorul pieței online decide ce date sunt necesare pentru înregistrarea unui cont și, în cadrul punerii în aplicare a acestei proceduri de înregistrare a utilizatorilor care publică anunțuri, el stabilește scopul prelucrării lor.

Decizia de trimitere ridică problema dacă operatorul unei piețe online exercită de asemenea o influență, pentru finalități proprii, asupra stabilirii scopurilor și a mijloacelor de prelucrare a datelor cu caracter personal cuprinse eventual în anunțurile publicate pe piața sa online.

În această privință, în ceea ce privește scopul prelucrării datelor cuprinse într‑un anunț postat online, publicarea unui anunț pe o piață online urmărește în general să promoveze în rândul publicului produsul sau serviciul oferit de un utilizator care publică anunțuri. Prin urmare, acest scop este stabilit de utilizatorul în cauză care publică anunțuri. În schimb, operatorul acestei piețe online nu pare să exercite o influență, pentru finalități proprii, asupra motivului pentru care sunt publicate aceste anunțuri. Cauza care ne preocupă constituie o ilustrare perfectă a acestei specificități a funcționării unei piețe online. Astfel, anunțul în litigiu nu a fost publicat online pentru a promova serviciul unui utilizator care publică anunțuri, ci pentru a aduce prejudicii recurentei din litigiul principal. Operatorul pieței online nu a exercitat nicio influență asupra motivației regretabile a autorului acestui anunț.

În ceea ce privește stabilirea mijloacelor de prelucrare, utilizatorul care publică anunțuri este cel care exercită o influență asupra răspunsului la întrebarea cum sunt prelucrate datele. Astfel, utilizatorul care publică anunțuri decide dacă unele date sunt incluse în anunț și, dacă este cazul, care sunt acestea. În schimb, este foarte probabil ca operatorul unei piețe online nici măcar să nu aibă cunoștință de faptul că un anunț conține date cu caracter personal. În plus, deși este adevărat că acest operator stabilește punerea în pagină a anunțurilor și alte aspecte tehnice și organizatorice privind funcționarea acestei piețe online, arătăm, ținând seama de observațiile pe care le‑am prezentat la punctul 109 din prezentele concluzii, că influența operatorului menționat asupra stabilirii mijloacelor neesențiale ale prelucrării nu implică totuși că acesta trebuie considerat operator.

Astfel, operatorul unei piețe online precum Russmedia nu pare să exercite o influență, pentru finalități proprii, asupra stabilirii scopului și a mijloacelor de prelucrare a datelor cu caracter personal cuprinse eventual în anunțurile postate pe această piață online. Deși operatorul respectiv este implicat în prelucrarea acestor date, el acționează în calitate de persoană împuternicită de operator, în numele unui utilizator care publică anunțuri și sub răspunderea sa. În aceste împrejurări, utilizatorii unui serviciu de stocare‑hosting trebuie să fie calificați drept „operatori” în sensul RGPD ( 49 ).

Având în vedere specificitatea prezentei cauze, trebuie făcute câteva precizări suplimentare cu privire la considerațiile pe care tocmai le‑am prezentat.

În primul rând, independent de aspectul dacă, în temeiul RGPD, o persoană vizată poate fi considerată operator în ceea ce privește propriile date cu caracter personal ( 50 ), trebuie să se observe că, în speță, persoana care a publicat online anunțul în litigiu nu era ea însăși vizată de datele cuprinse în acest anunț.

În al doilea rând, în temeiul termenilor și condițiilor de utilizare a pieței sale online, Russmedia își rezervă dreptul de a utiliza informațiile stocate la cererea utilizatorilor care publică anunțuri. Ea poate să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens. Odată ce o asemenea acțiune este inițiată în privința datelor cuprinse într‑un anunț, această societate ar putea fi considerată operator în ceea ce privește o operațiune de prelucrare specifică, cu toate obligațiile și responsabilitățile care decurg din aceasta. Astfel, o persoană poate fi operator pentru operațiunile de prelucrare cărora le stabilește scopurile și mijloacele. În schimb și fără a aduce atingere unei eventuale responsabilități civile prevăzute de dreptul național în această privință, această persoană nu poate fi considerată operator, în sensul RGPD, pentru unele operațiuni anterioare sau ulterioare din lanțul de prelucrare cărora nu le stabilește nici scopurile, nici mijloacele ( 51 ).

În al treilea rând, considerațiile pe care tocmai le‑am formulat corespund poziției Grupului de lucru „Articolul 29” ( 52 ) din Avizul nr. 1/2010 privind conceptele de „operator” și „persoană împuternicită de către operator” din 16 februarie 2010 ( 53 ). Astfel, potrivit acestui grup de lucru, un furnizor de acces la internet care oferă servicii de stocare este în principiu o persoană împuternicită în ceea ce privește datele personale publicate online de către clienții săi care recurg la acest furnizor pentru găzduirea și întreținerea site‑ului lor internet. Totuși, dacă un astfel de furnizor prelucrează datele pe care le stochează în scopuri personale, acesta are rolul de operator cu privire la operațiunile de prelucrare vizate. În plus, această poziție corespunde de asemenea celei a Comitetului european pentru protecția datelor din Orientările 07/2020 privind conceptele de operator și persoană împuternicită de operator în cadrul RGPD, adoptate la 7 iulie 2021 ( 54 ), potrivit cărora un furnizor de servicii de găzduire care nu stabilește dacă datele pe care le găzduiește sunt date cu caracter personal și nici nu prelucrează date în alt mod decât stocându‑le în numele clientului său este o persoană împuternicită de operator.

Așadar, sub rezerva verificărilor factuale care trebuie efectuate de instanța de trimitere, Curtea ar trebui, în opinia noastră, să atragă atenția acestei instanțe asupra oportunității de a reconsidera calificarea Russmedia. Astfel, asemenea Comisiei, apreciem că această societate nu are un rol de operator, ci de persoană împuternicită de operator în ceea ce privește operațiunile de prelucrare care rezultă din publicarea anunțului în litigiu. Pe baza acestei premise vom examina în continuare a doua, a treia și a patra întrebare.

În contextul obligațiilor și al responsabilităților care revin operatorului unei piețe online în temeiul RGPD, este relevant să se distingă între, pe de o parte, prelucrarea datelor cu caracter personal cuprinse în anunțurile publicate pe această piață și, pe de altă parte, prelucrarea datelor utilizatorilor care publică anunțuri, care creează un cont la acest operator.

În cazul în care, în ceea ce privește prelucrarea datelor cu caracter personal cuprinse în anunțuri, Russmedia era într‑adevăr o persoană împuternicită de operator, nu îi revenea obligația de a verifica dacă prelucrarea era autorizată și legală. Astfel, așa cum am arătat ( 55 ), în temeiul dispozițiilor vizate de a doua întrebare, operatorul este cel care își asumă responsabilitatea pentru respectarea principiilor legate de prelucrarea datelor cu caracter personal. În același sens, în temeiul dispozițiilor vizate de a treia întrebare, persoana împuternicită de operator nu este obligată nici să verifice în prealabil conținutul informațiilor care fac obiectul operațiunilor de prelucrare.

În ceea ce privește a patra întrebare, aceasta urmărește să se stabilească dacă Russmedia ar fi trebuit să ia măsuri de securitate pentru a împiedica sau a limita copierea sau redistribuirea conținutului anunțurilor care conțin date cu caracter personal. Această întrebare privește interpretarea articolului 5 alineatul (1) literele (b) și (f) și a articolelor 24 și 25 din RGPD. Dispozițiile menționate se referă, la rândul lor, la obligațiile care revin nu persoanei împuternicite de operator, ci operatorului.

În aceste condiții, articolul 32 din RGPD precizează obligațiile operatorului și ale unei eventuale persoane împuternicite de acesta în ceea ce privește securitatea prelucrării ( 56 ).

Mai precis, articolul 32 alineatul (1) din RGPD prevede că operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prezentat de prelucrare, luând în considerare stadiul actual al dezvoltării, costurile implementării, natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul. De asemenea, articolul 32 alineatul (2) din acest regulament prevede că la evaluarea nivelului adecvat de securitate se ține seama în special de riscurile prezentate de prelucrare, generate în special, în mod accidental sau ilegal, de distrugerea, de pierderea, de modificarea, de divulgarea neautorizată sau de accesul neautorizat la datele cu caracter personal.

În măsura în care articolul 32 alineatul (2) din RGPD se referă la obligațiile unei persoane împuternicite de operator, această dispoziție presupune că prelucrarea datelor în conformitate cu instrucțiunile operatorului este autorizată și legală. O persoană împuternicită de operator nu poate fi obligată să controleze acțiunile operatorului în numele căruia prelucrează date. În schimb, ea trebuie să adopte măsuri pentru asigurarea securității prelucrării datelor cu caracter personal împotriva ingerinței terților. Astfel, articolul 32 alineatul (1) din acest regulament concretizează în esență principiile integrității și confidențialității menționate la articolul 5 alineatul (1) litera (f) din acesta ( 57 ). În conformitate cu principiile respective, datele sunt prelucrate de operator sau în numele acestuia într‑un mod care asigură securitatea adecvată a datelor menționate, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii.

În cazul în care anunțurile postate pe o piață online pot fi preluate de operatorii altor site‑uri, în conformitate cu termenii și condițiile de utilizare a pieței respective, enumerați pe site‑ul acesteia și, prin urmare, cunoscuți în prealabil de utilizatorii care publică anunțuri, persoana împuternicită de operator ar trebui să pună în aplicare măsuri care să îi permită să provoace eliminarea anunțurilor șterse de pe propria platformă. Astfel, se poate dovedi că prelucrarea nu este sau nu mai este legală, iar platforma prin intermediul căreia se efectuează redistribuirea unui anunț ar trebui să fie în măsură să pună capăt unei încălcări a RGPD și la partenerii săi. Un asemenea rezultat este coerent cu cel care privește respectarea de către un furnizor al unui serviciu de stocare‑hosting a condiției prevăzute la articolul 14 alineatul (1) litera (b) din Directiva 2000/31 ( 58 ).

În schimb, contrar a ceea ce pare să aibă în vedere instanța de trimitere în cadrul celei de a patra întrebări, considerăm că o persoană împuternicită de operator nu ar trebui să fie obligată să împiedice sau să limiteze copierea sau redistribuirea anunțurilor care conțin date cu caracter personal. Persoana împuternicită de operator nu are competența de a stabili cine poate avea acces la acestea și în ce mod.

Obligațiile și responsabilitățile operatorului unei piețe online sunt mai importante în ceea ce privește prelucrarea datelor utilizatorilor care publică anunțuri care creează un cont la operatorul respectiv. În cadrul acestei prelucrări, operatorul pieței online este operator, iar articolele 24 și 25 din RGPD îi sunt pe deplin aplicabile ( 59 ).

Articolul 24 din RGPD prevede o obligație generală care revine operatorului de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta că prelucrarea datelor se efectuează în conformitate cu acest regulament. Articolul 25 din regulamentul menționat impune operatorului, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, să pună în aplicare măsuri tehnice și organizatorice adecvate care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele aceluiași regulament și a proteja drepturile persoanelor vizate.

Astfel cum reiese din articolele 24 și 25 din RGPD, măsurile în cauză trebuie să răspundă riscurilor specifice contextului în care sunt prelucrate datele cu caracter personal. Identificarea riscurilor specifice și stabilirea mijloacelor adecvate trebuie, desigur, să fie lăsate la aprecierea instanței de trimitere, care dispune de toate elementele de fapt legate de ansamblul criteriilor relevante în raport cu aceste dispoziții, dar am dori totuși să adăugăm următoarele precizări.

Așa cum enunță considerentul (75) al RGPD, prelucrarea datelor poate genera riscuri pentru drepturile și libertățile persoanelor fizice, în special în cazurile în care, printre altele, aceasta poate conduce la o fraudă a identității și în cazul în care persoanele vizate ar putea fi împiedicate să își exercite controlul asupra datelor lor cu caracter personal. Astfel, în general, o identitate este uzurpată cu scopul de a efectua acțiuni frauduloase, în detrimentul persoanei vizate sau al terților. În plus, în ceea ce privește platformele online, utilizarea lor iresponsabilă poate conduce la o încălcare a drepturilor persoanelor fizice, iar perspectiva, în ceea ce privește persoana responsabilă de această încălcare, de a putea acționa cu deplină impunitate agravează aceste riscuri.

Prin urmare, dacă operatorul administrează o piață online accesibilă utilizatorilor ce publică anunțuri care, la momentul utilizării acestei piețe, pot uzurpa identitatea unei alte persoane în scopuri frauduloase, el trebuie să pună în aplicare măsuri care să îi permită să reducă acest risc. Astfel cum impune articolul 25 din RGPD, pentru a îndeplini cerințele acestui regulament și a proteja drepturile persoanei vizate, acest risc trebuie să fie luat în considerare de operator atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine.

În aceste condiții, operatorul unei piețe online trebuie, în opinia noastră, să prevadă măsuri tehnice sau organizatorice care să îi permită să verifice identitatea utilizatorilor care publică anunțuri. Astfel, o asemenea verificare, pe de o parte, ar limita riscul unei prelucrări ilegale sau inechitabile a datelor cu caracter personal față de persoana vizată și, pe de altă parte, ar permite combaterea utilizării iresponsabile a acestei piețe online, întrucât aceasta ar repune în discuție sentimentul de impunitate al utilizatorilor anonimi.

Trebuie să precizăm că postulatul utilizării anonime a internetului nu exclude verificarea identității utilizatorilor care publică anunțuri. Datele unui utilizator care publică anunțuri nu pot fi accesibile oricărui utilizator al unei platforme. Ele pot fi verificate și păstrate numai de către operator, pentru ca acesta să se poată conforma obligațiilor care îi revin în temeiul RGPD. Cu titlu de verificare, operatorul pieței online poate să solicite comunicarea unui număr de telefon și să utilizeze acest număr pentru a confirma înregistrarea. O astfel de soluție nu este neobișnuită pentru platformele online.

Este adevărat că o asemenea măsură nu permite eliminarea oricărui risc de uzurpare a identității. Totuși, RGPD se limitează să impună operatorului să adopte măsuri tehnice și organizatorice destinate să evite, în măsura posibilului, orice atingere adusă datelor cu caracter personal ( 60 ). Prin urmare, nu este vorba despre o obligație de rezultat, ci despre o obligație de mijloace. În orice caz, decizia de trimitere lasă să se înțeleagă că Russmedia nu a pus în aplicare nicio măsură care să îi permită să efectueze un control al identității autorului anunțului în litigiu la momentul înregistrării sau al publicării acestui anunț.

În aceste condiții, propunem să se răspundă la a doua, la a treia și la a patra întrebare că articolul 5 alineatul (1) litera (f), articolul 6 alineatul (1) litera (a) și articolele 7, 24 și 25 din RGPD trebuie interpretate în sensul că un furnizor de servicii ale societății informaționale a cărui activitate constă în stocarea‑hosting pe un site internet a unor anunțuri gratuite sau cu plată la cererea utilizatorilor săi acționează în calitate de persoană împuternicită de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile postate pe piața sa online. În acest cadru, el nu are obligația să verifice conținutul anunțurilor publicate sau să implementeze măsuri de securitate de natură a împiedica sau a limita copierea și redistribuirea conținutului anunțurilor postate prin intermediul acestuia. El trebuie totuși să pună în aplicare măsuri organizatorice și tehnice adecvate pentru a asigura securitatea prelucrării față de terți. În schimb, un astfel de furnizor acționează în calitate de operator în ceea ce privește datele cu caracter personal ale utilizatorilor care publică anunțuri înregistrați pe site‑ul său internet. În acest cadru, el are obligația să verifice identitatea acestor utilizatori care publică anunțuri.

Vom examina în continuare pe scurt, din motive de exhaustivitate și în ipoteza în care Curtea nu ar subscrie la analiza noastră, obligațiile și responsabilitățile operatorului unei piețe online considerat operator, în sensul articolului 4 punctul 7 din RGPD, în ceea ce privește datele cu caracter personal cuprinse în anunțurile postate pe piața sa online. Astfel, așa cum am menționat ( 61 ), a doua, a treia și a patra întrebare par să se întemeieze pe premisa potrivit căreia Russmedia acționează în calitate de „operator”.

Cu titlu introductiv, observăm că faptul că operatorul unei piețe online este operator nu înseamnă neapărat că un utilizator care publică anunțuri pe această piață online nu poate, la rândul său, să fie considerat operator ( 62 ).

Astfel, RGPD recunoaște existența unei răspunderi comune care nu înseamnă neapărat o răspundere echivalentă a diferiților operatori vizați de prelucrarea datelor cu caracter personal. Dimpotrivă, acești operatori pot fi implicați în diferite stadii ale prelucrării și în diferite grade, astfel încât nivelul de răspundere a fiecăruia dintre ei trebuie să fie evaluat ținând seama de toate împrejurările pertinente ale speței.

Ne vom concentra totuși asupra obligațiilor și a responsabilităților operatorului unei piețe online în măsura în care în speță este în discuție răspunderea unui astfel de operator pentru prelucrarea datelor cu caracter personal cuprinse într‑un anunț postat pe piața sa online.

A doua și a treia întrebare urmăresc să se stabilească dacă operatorul unui site internet are obligația să verifice, prealabil postării unui anunț, identitatea persoanei care postează anunțul și pe cea a persoanei vizate de acesta, precum și, respectiv, conținutul anunțurilor expediate de utilizatori.

În această privință, nu suntem convinși că operatorul unei piețe online este obligat să se asigure că utilizatorul care publică anunțuri este într‑adevăr persoana vizată de datele cuprinse într‑un anunț. Astfel, o piață online poate fi utilizată și de un utilizator pentru a publica un anunț referitor la o altă persoană.

Însă un operator trebuie să verifice dacă prelucrarea datelor cu caracter personal se bazează pe consimțământul persoanei vizate sau se întemeiază pe un alt motiv legitim prevăzut de lege. O asemenea obligație îi este impusă de articolul 5 alineatul (1) litera (a), de articolul 6 alineatul (1) și de articolul 7 alineatul (1) din RGPD.

Astfel, dacă operatorul unei piețe online acționează în calitate de operator, acesta trebuie să se asigure că persoana ale cărei date sunt cuprinse într‑un anunț și‑a dat consimțământul pentru prelucrare. În mod logic, el trebuie de asemenea să controleze conținutul oricărui anunț prezentat de un utilizator care publică anunțuri, pentru a verifica dacă acesta conține date cu caracter personal.

În conformitate cu principiul echității prevăzut la articolul 5 alineatul (1) litera (a) din RGPD, operatorul trebuie să se asigure de asemenea că datele sunt prelucrate în mod echitabil față de persoana vizată. În plus, în temeiul articolelor 24 și 25 din acest regulament, el trebuie de asemenea să pună în aplicare măsuri tehnice și organizatorice pentru a garanta că prelucrarea se efectuează în conformitate cu regulamentul menționat. În acest sens, el trebuie să ia în considerare riscurile specifice contextului în care sunt prelucrate datele.

Prelucrarea datelor cu caracter personal accesibile publicului într‑un mediu online poate genera riscuri pentru drepturile și libertățile persoanelor fizice și în special daune sau un prejudiciu moral.

Atunci când operatorul unei piețe online este operator în ceea ce privește datele cuprinse în anunțurile postate pe această piață, el trebuie să controleze anunțurile înainte de publicarea lor online, să verifice dacă prelucrarea lor se bazează pe consimțământul persoanei vizate sau se întemeiază pe un alt motiv legitim prevăzut de lege și să introducă măsuri împotriva prelucrării prejudiciabile pentru persoanele vizate. În cazul în care nu respectă aceste principii, el poate fi considerat răspunzător pentru încălcările regulamentului menționat, în conformitate cu articolul 82 din RGPD.

A patra întrebare urmărește să se stabilească dacă operatorul unei piețe online trebuie să implementeze măsuri de securitate de natură a împiedica sau a limita copierea și redistribuirea conținutului anunțurilor postate prin intermediul acesteia.

În cazul în care, ținând seama de contextul în care se realizează prelucrarea, există posibilitatea ca anunțurile să fie preluate de alte site‑uri și ca datele cu caracter personal să fie prelucrate ulterior într‑un mod incompatibil cu scopurile pentru care au fost colectate, operatorul ar putea avea în vedere punerea în aplicare a unor astfel de măsuri, care trebuie să fie adecvate. Or, nu suntem convinși că operatorul unei piețe online, a cărei rațiune economică, din punctul de vedere al acestui operator și al utilizatorilor care publică anunțuri, rezultă din faptul că anunțurile care sunt postate pe piața respectivă sunt accesibile publicului, ar trebui să fie obligat să limiteze redistribuirea acestora. În plus, obiectivul obișnuit al publicării online a unui conținut este în general de a‑l face accesibil tuturor utilizatorilor de internet, ceea ce implică o formă de redistribuire. În orice caz, ținând seama de considerațiile pe care le‑am prezentat la punctul 148 din prezentele concluzii, anunțul în litigiu nu ar fi trebuit să fie publicat pe piața online a Russmedia fără consimțământul persoanei vizate.

Fără a aduce atingere considerațiilor suplimentare care precedă, referitoare la obligațiile și la responsabilitățile unui operator, ne menținem poziția potrivit căreia operatorul unei piețe online este o persoană împuternicită de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile postate pe această piață ( 63 ). În aceste condiții, rămâne să se examineze legătura dintre Directiva 2000/31 și RGPD.

A doua și a treia întrebare privesc printre altele articolul 2 alineatul (4) din RGPD, care se referă la legătura dintre acest regulament și Directiva 2000/31. În plus, ele vizează atât dispozițiile regulamentului menționat care stabilesc obligațiile și responsabilitățile unui operator, cât și articolul 15 din această directivă. Prin urmare, aceste întrebări par să presupună aplicarea paralelă a RGPD și a directivei menționate.

Trebuie totuși să arătăm, înainte de a analiza o astfel de aplicare paralelă a acestor două instrumente ale dreptului Uniunii (secțiunea 2), că există o anumită tensiune între ipoteza vizată de prima întrebare și cea vizată de a doua, a treia și a patra întrebare (secțiunea 1).

Amintim că din analiza noastră rezultă că Russmedia acționa în calitate de persoană împuternicită de operator în ceea ce privește prelucrarea datelor cu caracter personal cuprinse în anunțurile publicate pe piața sa online ( 64 ). În schimb, ipoteza de lucru a instanței de trimitere este că această societate acționa în calitate de operator. În aceste condiții, decizia de trimitere ridică problema dacă operatorul unei piețe online poate purta două pălării, și anume cea de furnizor de servicii de stocare‑hosting neutru în ceea ce privește informațiile stocate la cererea utilizatorilor serviciului său, în sensul articolului 14 alineatul (1) din Directiva 2000/31, și cea de operator în ceea ce privește datele cu caracter personal cuprinse în aceste informații. Astfel, pe de o parte, prima întrebare urmărește să se stabilească dacă Russmedia este un furnizor intermediar, în sensul secțiunii 4 din capitolul II din această directivă. Pe de altă parte, a doua, a treia și a patra întrebare par să pornească de la premisa că această societate trebuie calificată drept „operator”, în sensul RGPD.

În această privință, suntem conștienți că, în jurisprudența sa, Curtea nu a exclus posibilitatea ca un operator în ceea ce privește datele cu caracter personal în sensul RGPD să joace un rol neutru în ceea ce privește informațiile care conțin aceste date și să beneficieze de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. O astfel de observație a fost făcută și de autorii doctrinei în ceea ce privește jurisprudențele naționale ( 65 ).

Desigur, într‑o primă etapă, Curtea a considerat, în Hotărârea Google Spain și Google, că operatorul unui motor de căutare este un operator în ceea ce privește datele cu caracter personal cuprinse în informațiile publicate sau introduse pe internet de către terți, care sunt găsite, indexate și stocate de acest operator al unui motor de căutare ( 66 ). Într‑o a doua etapă, în Hotărârea Google France și Google, Curtea a analizat problema dacă operatorul aceluiași motor de căutare putea beneficia de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31 ( 67 ). Însă această a doua hotărâre nu privea operarea motorului de căutare menționat, ci un serviciu de referențiere. În plus, în această hotărâre, Curtea a lăsat instanței de trimitere sarcina de a aprecia dacă rolul exercitat de acest operator al unui motor de căutare corespundea celui al unui furnizor intermediar, în sensul acestei dispoziții ( 68 ).

Și mai important, pe de o parte, astfel cum am arătat ( 69 ), un furnizor intermediar, în sensul urmărit de legiuitor în secțiunea 4 din capitolul II din Directiva 2000/31, nu poate juca un rol care i‑ar conferi o cunoaștere sau un control al datelor stocate și, prin urmare, trebuie să se limiteze la o furnizare neutră a serviciului său prin intermediul unei prelucrări pur tehnice. Pe de altă parte, rolul operatorului implică stabilirea scopului și a mijloacelor de prelucrare a datelor cu caracter personal și printre altele exercitarea unei influențe asupra aspectului dacă unele date fac obiectul unor operațiuni de prelucrare precum înregistrarea, modificarea sau diseminarea și, dacă este cazul, asupra determinării acestor date ( 70 ). Exercitarea unei astfel de influențe este incompatibilă cu rolul neutru pe care trebuie să îl păstreze un furnizor al unui serviciu al societății informaționale în ceea ce privește informațiile stocate la cererea utilizatorilor, pentru a putea beneficia de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. În plus, astfel cum am explicat ( 71 ), RGPD stabilește în sarcina operatorului obligații și responsabilități care îi impun să acționeze în mod proactiv. În esență, pentru a respecta principiile legate de prelucrarea datelor cu caracter personal, operatorul trebuie să aibă cunoștință de datele vizate și să exercite un control asupra acestora. Un asemenea control nu este conciliabil nici cu rolul neutru al unui astfel de furnizor.

Astfel, dacă, pe de o parte, un serviciu de stocare‑hosting constă într‑o stocare a informațiilor care, din punctul de vedere al RGPD, constituie date cu caracter personal și dacă, pe de altă parte, furnizorul acestui serviciu este considerat operator, în sensul acestui regulament, atunci rolul acestui furnizor nu se limitează la o stocare neutră a unor asemenea informații. În consecință, furnizorul unui astfel de serviciu își asumă un rol activ în ceea ce privește aceste informații și este exclus de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31.

Tensiunea care există între ipoteza vizată de prima întrebare și cea vizată de a doua, a treia și a patra întrebare confirmă interpretarea RGPD potrivit căreia operatorul unei piețe online nu acționează în calitate de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile pe care le stochează la cererea utilizatorilor care publică anunțuri, ci în calitate de persoană împuternicită de operator cu privire la aceste date ( 72 ).

Din motive de exhaustivitate, arătăm că nu putem exclude ca legiuitorul Uniunii să fi ales să nu înlăture posibilitatea ca un furnizor de servicii de stocare‑hosting care acționează în calitate de operator să poată beneficia de exonerarea de răspundere în cadrul Digital Services Act. Astfel, deși acest regulament a eliminat articolele 12-15 din Directiva 2000/31 ( 73 ), dispozițiile respective au fost totuși preluate în acesta, astfel cum au fost interpretate de Curte. Regulamentul menționat adaugă la articolul 7 că „[f]urnizorii de servicii intermediare nu sunt considerați neeligibili pentru a beneficia de exonerarea de răspundere […] pentru simplul motiv că efectuează, cu bună‑credință și diligență, investigații voluntare din proprie inițiativă […] ori pentru că iau măsurile necesare pentru a se conforma cerințelor de drept al Uniunii și de drept intern care este conform cu dreptul Uniunii” ( 74 ). Prima componentă a acestei dispoziții referitoare la „măsurile introduse în mod voluntar de către un furnizor” prezintă elemente comune cu jurisprudența Curții care a fost dezvoltată deja în temeiul Directivei 2000/31 ( 75 ). A doua componentă, referitoare la „măsurile luate pentru a se conforma cerințelor de drept al Uniunii”, adăugată de același regulament, ar permite unui furnizor de servicii de stocare‑hosting să îndeplinească obligațiile care îi sunt impuse de RGPD și să păstreze rolul de furnizor intermediar neutru. Totuși, Directiva 2000/31 nu conține nicio clauză în acest sens și nu trebuie să se introducă o asemenea clauză pe calea interpretării acestei directive.

Rămâne să se stabilească dacă un actor implicat în prelucrarea datelor cu caracter personal în calitate de persoană împuternicită de operator, a cărui răspundere pentru prelucrarea acestor date poate fi angajată pentru o încălcare a RGPD, se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31.

Problema ridicată de decizia de trimitere își are originea în faptul că o informație stocată la cererea unui destinatar al serviciului conținea date cu caracter personal a căror prelucrare a fost efectuată cu încălcarea RGPD. De unde și problema care este dezbătută de părțile din litigiul principal și care, de mult timp, face obiectul unor dezbateri doctrinare ( 76 ): un actor implicat în prelucrarea datelor cu caracter personal, a cărui răspundere poate fi angajată pentru o încălcare a RGPD, se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31?

În această privință, trebuie să observăm că, în conformitate cu analiza noastră cu privire la aceste două instrumente ale dreptului Uniunii, furnizorul unui serviciu al societății informaționale care este operator în ceea ce privește datele cu caracter personal cuprinse în informațiile stocate la cererea utilizatorilor acestui serviciu nu se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31 ( 77 ). În consecință, analiza care urmează urmărește să stabilească numai dacă un furnizor care acționează în calitate de persoană împuternicită de operator în ceea ce privește astfel de date se poate prevala de această exonerare. Dorim să amintim că analiza noastră cu privire la dispozițiile RGPD ne determină să propunem Curții să considere că Russmedia a acționat în calitate de persoană împuternicită de operator ( 78 ).

În plus, este necesar să se arate că instanța de trimitere nu precizează dacă, în litigiul principal, răspunderea Russmedia poate fi angajată pentru o încălcare a RGPD în temeiul articolului 82 din acest regulament sau în temeiul normelor privind răspunderea civilă prevăzută de dreptul național. Astfel, încălcarea unei norme privind protecția datelor cu caracter personal poate determina simultan încălcarea altor norme, precum cele în materie de protecție a consumatorilor ( 79 ), și a unor drepturi referitoare la personalitate, iar legiuitorul Uniunii nu a intenționat să realizeze o armonizare exhaustivă a căilor de atac disponibile în cazul încălcării dispozițiilor RGPD ( 80 ).

În orice caz, în ceea ce privește răspunderea civilă, atât Directiva 2000/31, cât și RGPD conțin dispoziții care furnizează indicații cu privire la legătura dintre aceste două acte ale dreptului Uniunii.

Articolul 1 alineatul (5) litera (b) din Directiva 2000/31, intitulat „Obiectiv și sferă de aplicare”, prevede că această directivă nu se aplică în chestiunile referitoare la serviciile societății informaționale reglementate de normele dreptului Uniunii aplicabile în materie de date cu caracter personal. Mai concret, această dispoziție se referă la Directivele 95/46 și 97/66, care au fost înlocuite de RGPD ( 81 ) și, respectiv, de Directiva 2002/58/CE ( 82 ).

În plus, considerentul (14) al Directivei 2000/31, care privește problematica vizată la articolul 1 alineatul (5) din aceasta, enunță că protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este reglementată numai de Directivele 95/46 și 97/66, „care se aplică pe deplin serviciilor societății informaționale. Aceste directive stabilesc deja un cadru juridic [al Uniunii] în domeniul datelor cu caracter personal și, prin urmare, nu este necesar să se reglementeze această chestiune în [Directiva 2000/31] pentru a asigura buna funcționare a pieței interne, în special libera circulație a datelor cu caracter personal între statele membre. Punerea în aplicare a [acestei din urmă] directive trebuie făcută respectând principiile referitoare la protecția datelor cu caracter personal”.

În trecut, Curtea a analizat deja interpretarea articolului 1 alineatul (5) litera (b) din Directiva 2000/31.

Astfel, într‑o primă etapă, în Hotărârea Promusicae ( 83 ), s‑a ridicat problema dacă dreptul Uniunii impune statelor membre să prevadă obligația de a divulga, în vederea asigurării protecției efective a dreptului de autor, date cu caracter personal în cadrul unei proceduri civile. În această cauză, instanța de trimitere a făcut referire la mai multe directive care, în opinia sa, ar fi putut constitui temeiul juridic al unei astfel de obligații.

În această privință, Curtea a considerat că din articolul 1 alineatul (5) litera (b) din Directiva 2000/31 rezultă că o astfel de obligație, presupunând că este prevăzută de această directivă, nu poate aduce atingere exigențelor referitoare la protecția datelor cu caracter personal ( 84 ). Prin urmare, Curtea a părut să aibă în vedere aplicarea paralelă a directivei menționate și a instrumentelor dreptului Uniunii referitoare la protecția datelor cu caracter personal.

Într‑o a doua etapă, Curtea a analizat, în Hotărârea La Quadrature du Net ș.a. ( 85 ), problema dacă Directiva 2000/31 se opune unei reglementări naționale care impune furnizorilor de acces la servicii de comunicații publice online și furnizorilor de servicii de stocare‑hosting stocarea generalizată și nediferențiată a datelor cu caracter personal aferente acestor servicii. Instanța de trimitere considera că problema respectivă era reglementată de directiva menționată și că articolul 15 din aceasta nu instituia, în sine, o interdicție de principiu de stocare a datelor referitoare la crearea de conținut, de la care s‑ar putea deroga numai în mod excepțional ( 86 ).

Curtea a considerat că Directiva 2000/31 nu se aplică în materie de protecție a confidențialității comunicațiilor și a persoanelor fizice în raport cu prelucrarea datelor cu caracter personal în cadrul serviciilor societății informaționale, această protecție fiind, după caz, reglementată de Directiva 2002/58 sau de RGPD ( 87 ).

Natura categorică a acestui răspuns ține de contextul în care a fost dat acest răspuns.

Astfel, pe de o parte, nu se poate pierde din vedere faptul că considerentul (15) al Directivei 2000/31 vizează în mod specific confidențialitatea comunicărilor și precizează că, în conformitate cu Directiva 97/66, menționată la articolul 1 alineatul (5) litera (b) din Directiva 2000/31, „statele membre trebuie să interzică orice fel de interceptare sau supraveghere a comunicărilor de către altcineva decât expeditorii sau destinatarii, în afara cazului în care aceste activități sunt autorizate legal”. Directiva 2002/58, care a înlocuit Directiva 97/66, confirmă această interdicție și stabilește condițiile în care statele membre pot deroga de la aceasta. De asemenea, în temeiul RGPD, marja de manevră a statelor membre în ceea ce privește măsurile derogatorii referitoare la protecția datelor cu caracter personal este limitată la articolul 23 din acest regulament.

Pe de altă parte, pentru a ajunge la concluzia amintită la punctul 171 din prezentele concluzii, Curtea a arătat că protecția confidențialității comunicațiilor, precum și a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este reglementată numai de Directiva 2002/58 sau de RGPD, „cu precizarea că protecția pe care urmărește să o asigure Directiva 2000/31 nu poate în orice caz să aducă atingere cerințelor care rezultă din Directiva 2002/58 și din [RGPD]” ( 88 ).

Astfel, pe de o parte, jurisprudența referitoare la articolul 1 alineatul (5) litera (b) din Directiva 2000/31 lasă să se înțeleagă că această directivă nu se aplică aspectelor care fac obiectul unei reglementări specifice în cadrul Directivei 2002/58 și al RGPD. Pe de altă parte, Directiva 2000/31 și normele dreptului Uniunii aplicabile în materie de date cu caracter personal se aplică în paralel în ceea ce privește orice alt aspect, însă dispozițiile acestei directive nu pot aduce atingere cerințelor referitoare la protecția unor astfel de date.

Interpretarea pe care am dat‑o la punctul 176 din prezentele concluzii este confirmată de articolul 2 alineatul (4) din RGPD, care prevede că acest regulament „nu aduce atingere” aplicării Directivei 2000/31, în special normelor privind răspunderea furnizorilor de servicii intermediari prevăzute la articolele 12-15 din această directivă ( 89 ).

Deși, în terminologia dreptului Uniunii, constatarea că un instrument juridic sau una dintre dispozițiile sale „nu aduce atingere” aplicării unui alt instrument poate conduce la soluții diferite, RGPD precizează că el nu aduce atingere aplicării în special a dispozițiilor specifice ale Directivei 2000/31. Legiuitorul Uniunii a dorit, așadar, să pună accentul pe faptul că acest regulament nu limitează domeniul de aplicare al dispozițiilor specifice ale directivei respective. Astfel, nu se poate considera că RGPD are prioritate față de Directiva 2000/31 pentru motivul că a fost adoptat ulterior acesteia.

Ținând seama de cele ce precedă, atât Directiva 2000/31, astfel cum a fost interpretată de Curte ( 90 ), cât și RGPD ( 91 ) sunt structurate astfel încât să permită aplicarea lor paralelă în privința aspectelor care nu fac obiectul unei reglementări specifice în cadrul acestui regulament. Prin urmare, rămâne să se stabilească dacă RGPD conține o clauză care îndeplinește un rol comparabil cu cel al articolului 14 alineatul (1) din această directivă.

În această privință, articolul 82 alineatul (3) din RGPD prevede că operatorul sau persoana împuternicită de operator, după caz, este exonerat(ă) de răspundere pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă acest regulament „dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul”. În cazul unei încălcări a securității datelor cu caracter personal săvârșite de o „parte terță”, în sensul articolului 4 punctul 10 din regulamentul menționat, operatorul sau persoana împuternicită de operator se poate exonera de răspunderea sa, în temeiul articolului 82 alineatul (3) din același regulament, prin dovedirea faptului că nu există nicio legătură de cauzalitate între eventuala încălcare a obligației de protecție a datelor și prejudiciul suferit de persoana fizică ( 92 ).

Considerăm că articolul 82 alineatul (3) din RGPD nu constituie o clauză de exonerare de răspundere care ar îndeplini un rol comparabil cu cel al articolului 14 alineatul (1) din Directiva 2000/31.

Astfel, articolul 14 alineatul (1) din Directiva 2000/31 se aplică numai în cazul în care un furnizor intermediar poate fi considerat responsabil, în temeiul normelor care îi sunt aplicabile, pentru informațiile stocate la cererea utilizatorilor serviciului său de intermediere. Prin urmare, problema aplicabilității acestei dispoziții se ridică numai dacă sunt îndeplinite condițiile privind răspunderea acestui furnizor pentru informațiile stocate, prevăzute de normele aplicabile. În această privință, condițiile dreptului la despăgubiri prevăzut la articolul 82 din RGPD sunt stabilite la alineatele (1)-(3) ale acestui articol. Articolul 82 alineatul (3) din regulamentul menționat introduce doar o condiție a acestei răspunderi ( 93 ). Astfel, angajarea răspunderii operatorului, în temeiul articolului 82 din regulamentul menționat, este condiționată de existența unei culpe săvârșite de acesta, care este prezumată, cu excepția cazului în care acesta din urmă dovedește că nu este răspunzător în niciun fel pentru evenimentul care a cauzat prejudiciul, în sensul alineatului (3) ( 94 ).

O persoană împuternicită de operator a cărei răspundere poate fi angajată în temeiul articolului 82 din RGPD nu este, așadar, exclusă de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31.

Totuși, nu se poate pierde din vedere faptul că răspunderea unei persoane împuternicite de operator poate fi angajată în temeiul articolului 82 alineatul (2) a doua teză din RGPD numai dacă nu a respectat obligațiile din acest regulament care revin în mod specific persoanelor împuternicite de operator sau dacă a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului. Prin urmare, obligațiile și responsabilitățile unui operator al unei piețe online care acționează în calitate de persoană împuternicită de operator în ceea ce privește datele cuprinse în anunțurile publicate pe platforma sa sunt legate în principal de articolul 32 din regulamentul menționat ( 95 ).

În aceste condiții, astfel cum am menționat deja, nu este clar dacă, în litigiul principal, răspunderea Russmedia pentru o încălcare a RGPD poate fi angajată în temeiul articolului 82 din acest regulament sau în temeiul dispozițiilor naționale. Dacă răspunderea pentru o încălcare a regulamentului menționat poate fi angajată în temeiul dispozițiilor naționale [astfel încât articolul 82 alineatul (3) din același regulament nu s‑ar aplica], există și mai puține motive pentru a exclude entitatea în cauză de la beneficiul exonerării de răspundere prevăzute la articolul 14 alineatul (1) din Directiva 2000/31.

În concluzie, considerăm că un actor implicat în prelucrarea datelor cu caracter personal în calitate de persoană împuternicită de operator, a cărui răspundere poate fi angajată pentru o încălcare a RGPD, se poate prevala de exonerarea de răspundere prevăzută la articolul 14 alineatul (1) din Directiva 2000/31. Concluzia noastră referitoare la legătura dintre aceste două instrumente ale dreptului Uniunii nu este, așadar, susceptibilă să modifice propunerile noastre de răspunsuri la întrebările preliminare.

Având în vedere ansamblul considerațiilor care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Curtea de Apel Cluj (România) după cum urmează: 1) Articolul 14 alineatul (1) din Directiva 2000/31/CE a Parlamentului European și a Consiliului din 8 iunie 2000 privind anumite aspecte juridice ale serviciilor societății informaționale, în special ale comerțului electronic, pe piața internă (directiva privind comerțul electronic) trebuie interpretat în sensul că un furnizor al unui serviciu al societății informaționale care constă în punerea la dispoziția utilizatorilor a unei piețe online pe care se publică anunțuri gratuite sau contra cost poate beneficia de exonerarea de răspundere, prevăzută de această dispoziție, și atunci când acesta arată, prin intermediul termenilor și condițiilor de utilizare a pieței sale online, că nu pretinde un drept de proprietate asupra acestor materiale, păstrându‑și însă dreptul să utilizeze materialele furnizate, postate, încărcate sau trimise, inclusiv să le copieze, să le distribuie, să le transmită, să le publice, să le reproducă, să le modifice, să le traducă, să le cesioneze unor parteneri și să le șteargă oricând, chiar fără a avea nevoie de un motiv în acest sens, cu condiția ca acest furnizor să nu ia măsuri care să determine pierderea calității sale de furnizor de servicii de stocare‑hosting neutru. 2) Articolul 5 alineatul (1) litera (f), articolul 6 alineatul (1) litera (a) și articolele 7, 24 și 25 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că un furnizor de servicii ale societății informaționale a cărui activitate constă în stocarea‑hosting pe un site internet a unor anunțuri gratuite sau cu plată la cererea utilizatorilor săi acționează în calitate de persoană împuternicită de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile postate pe piața sa online. În acest cadru, el nu trebuie să verifice conținutul anunțurilor publicate sau să implementeze măsuri de securitate de natură a împiedica sau a limita copierea și redistribuirea conținutului anunțurilor postate prin intermediul acestuia. El trebuie totuși să pună în aplicare măsuri organizatorice și tehnice adecvate pentru a asigura securitatea prelucrării față de terți. În schimb, el acționează în calitate de operator în ceea ce privește datele cu caracter personal ale utilizatorilor care publică anunțuri înregistrați pe site‑ul său internet. În acest cadru, el trebuie să verifice identitatea acestor utilizatori care publică anunțuri.

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL MACIEJ SZPUNAR

prezentate la 6 februarie 2025 ( 1 )