Curtea de Justiție a Uniunii Europene (CJUE) precizează că operatorul unei piețe online are calitatea de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile publicate pe platforma sa. În acest context, acesta trebuie în special să identifice, înainte de publicare, anunțurile care conțin date sensibile și să verifice dacă autorul anunțului este într-adevăr persoana ale cărei date figurează în respectivul anunț sau dacă acesta a primit consimțământul explicit al acestei persoane.
Potrivit CJUR, dreptul Uniunii obligă operatorul unei piețe online să își asume responsabilitatea în ceea ce privește datele cu caracter personal cuprinse în anunțurile publicate pe platforma sa, în conformitate cu RGPD. Acesta trebuie în special să implementeze măsuri tehnice și organizatorice adecvate pentru a identifica, înainte de publicare, anunțurile care conțin date sensibile și pentru a verifica faptul că autorul anunțului este într-adevăr persoana ale cărei date figurează în anunțul respectiv. În caz contrar, operatorul trebuie să refuze publicarea anunțului, cu excepția situației în care autorul anunțului poate demonstra că această persoană și-a dat consimțământul explicit pentru această publicare sau că aceasta intră sub incidența uneia dintre celelalte excepții prevăzute de RGPD. În plus, operatorul trebuie să implementeze măsuri în vederea împiedicării copierii și publicării ilicite pe alte site-uri internet a unor astfel de anunțuri publicate pe platforma sa. De asemenea, acesta nu poate să se sustragă de la aceste obligații invocând Directiva 2000/31/CE, care conține printre altele articole referitoare la situații în care furnizorii de servicii ale societății informaționale pot fi exonerați de răspundere.
Russmedia Digital, o societate de drept român, este proprietara site-ului internet www.publi24.ro. Acest site este o piață online pe care pot fi publicate anunțuri, gratuit sau contra cost. Aceste anunțuri privesc printre altele vânzarea de bunuri sau furnizarea de servicii în România. La 1 august 2018, o persoană neidentificată a publicat pe acest site un mesaj în care afirma că o femeie oferea servicii sexuale. Mesajul conținea fotografii ale acesteia, utilizate fără consimțământul său, precum și numărul său de telefon. Femeia a considerat că anunțul era fals și vătămător; prin urmare, ea a solicitat proprietarului site-ului să îl retragă. În decurs de o oră de la această solicitare, Russmedia Digital a eliminat postarea. Cu toate acestea, anunțul în cauză fusese deja diseminat pe alte site-uri internet, unde a rămas accesibil.
În aceste împrejurări, considerând că anunțul îi încălca dreptul la imagine, la onoare și la bună reputație, ca și la viață privată, precum și normele referitoare la prelucrarea datelor cu caracter personal, femeia a sesizat justiția română. Judecătoria Cluj-Napoca i-a dat câștig de cauză și a obligat Russmedia Digital să îi plătească 7.000 de euro cu titlu de daune morale. În apel, Tribunalul Specializat Cluj a exonerat însă societatea, calificând-o drept simplu furnizor de servicii de stocare-hosting, care nu este responsabil pentru conținutul publicat de utilizatorii săi.
În aceste condiții, victima a formulat recurs la Curtea de Apel Cluj. Această instanță a decis să sesizeze Curtea de Justiție pentru a obține clarificări cu privire la interpretarea dreptului Uniunii, în special cu privire la obligațiile care îi revin operatorului unei piețe online în temeiul RGPD, precum și cu privire la aspectul dacă acesta poate să se sustragă de la aceste obligații în temeiul exonerării de răspundere prevăzute de Directiva 2000/31 pentru furnizorii de servicii ale societății informaționale.
În hotărârea pronunțată astăzi, Curtea statuează că operatorul unei piețe online precum Russmedia Digital are calitatea de operator, în sensul RGPD, în ceea ce privește datele cu caracter personal cuprinse în anunțurile publicate pe piața sa online. Într-adevăr, chiar dacă anunțul este plasat de un utilizator, acest anunț este publicat pe internet și poate fi astfel accesat de utilizatorii de internet numai prin intermediul pieței online.
Prin urmare, operatorul unei piețe online trebuie, înainte de publicarea acestor anunțuri și prin intermediul unor măsuri tehnice și organizatorice adecvate, să le identifice pe cele care conțin date sensibile, precum cele în discuție în prezenta cauză, și să verifice dacă utilizatorul care urmează să plaseze un astfel de anunț este persoana ale cărei date sensibile figurează în acesta.
În caz contrar, acesta trebuie să verifice dacă persoana ale cărei date sunt publicate și-a dat consimțământul explicit pentru publicare. În lipsa acestui consimțământ, operatorul unei piețe online trebuie să refuze publicarea anunțului respectiv, cu excepția cazului în care aceasta intră sub incidența uneia dintre celelalte excepții prevăzute de RGPD. În plus, operatorul unei piețe online trebuie să depună toate eforturile pentru a împiedica copierea și publicarea ilicită pe alte site-uri internet a anunțurilor care conțin date sensibile publicate pe site-ul său.
În acest scop, acesta trebuie să implementeze măsuri de securitate tehnice și organizatorice adecvate.
În sfârșit, Curtea precizează că operatorul unei piețe online nu poate să se sustragă de la aceste obligații, care îi revin în temeiul RGPD, invocând exonerarea de răspundere prevăzută de Directiva 2000/31.