Förslag till avgörande av generaladvokat Szpunar – Mål C‑492/23 Russmedia Digital och Inform Media Press
I. Inledning
1. Tolkningsfrågorna i förevarande mål avser bestämmelserna i direktiv 2000/31/EG och förordning (EU) 2016/679.
2. Dessa frågor har uppkommit i en tvist mellan en fysisk person och en näringsidkare som driver en elektronisk marknadsplats där en annons hade publicerats, utan den personens samtycke, av vilken det framgick att hon erbjöd sexuella tjänster. Det som är utmärkande för förevarande mål är att annonsen i fråga innehöll personuppgifter.
3. Den hänskjutande domstolen har ställt sina frågor avseende dataskyddsförordningen för att få klarhet i dels huruvida en näringsidkare som driver en elektronisk marknadsplats, såsom den som är i fråga i det nationella målet, har åsidosatt sina skyldigheter enligt den förordningen, dels huruvida en sådan näringsidkare kan omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 när det gäller en annons som har publicerats på denna elektroniska marknadsplats. Förevarande begäran om förhandsavgörande ger således EU-domstolen tillfälle att uttala sig om förhållandet mellan de regelverk som har införts genom dessa båda unionsrättsakter.
II. Tillämpliga bestämmelser
A. Unionsrätt
1. Direktiv 2000/31
4. I artikel 1 i direktiv 2000/31, med rubriken ”Mål och tillämpningsområde”, föreskrivs i punkt 5 bland annat att det direktivet ”inte ska tillämpas på … frågor beträffande informationssamhällets tjänster som omfattas av direktiv 95/46/EG[] och direktiv 97/66/EG[]”.
5. Artiklarna 12, 13 och 14 i det direktivet, vilka återfinns i avsnitt 4, med rubriken ”Tjänstelevererande mellanhänders ansvar”, i kapitel II i detta, med rubriken ”Principer”, avser en leverantör av informationssamhällets tjänster som utför enbart vidarebefordran (”mere conduit”) respektive cachning eller värdtjänstverksamhet. I de bestämmelserna fastställs även villkoren för att sådana tjänsteleverantörer inte ska vara ansvariga för information som har tillhandahållits av användarna av deras tjänster.
6. Artikel 14.1 i det direktivet, med rubriken ”Värdtjänster”, har följande lydelse:
”Medlemsstaterna skall se till att en tjänsteleverantör som levererar någon av informationssamhällets tjänster bestående av lagring av information som tillhandahållits av tjänstemottagaren inte skall vara ansvarig för information som lagrats på begäran av en tjänstemottagare av tjänsten, under förutsättning att
eller
a) tjänsteleverantören inte hade kännedom om förekomsten av olaglig verksamhet eller olaglig information och, beträffande skadeståndsanspråk, inte var medveten om fakta eller omständigheter som gjort förekomsten av den olagliga verksamheten eller den olagliga informationen uppenbar,
b) tjänsteleverantören så snart han fått sådan kännedom eller blivit medveten om detta handlat utan dröjsmål för att avlägsna informationen eller göra den oåtkomlig.”
7. I artikel 15 i nämnda direktiv, med rubriken ”Avsaknad av allmän övervakningsskyldighet”, föreskrivs följande:
”1. Medlemsstaterna får inte ålägga tjänsteleverantörerna en allmän skyldighet att, i samband med tillhandahållande av sådana tjänster som avses i artiklarna 12, 13 och 14, övervaka den information de överför eller lagrar, och inte heller någon allmän skyldighet att aktivt efterforska fakta eller omständigheter som kan tyda på olaglig verksamhet.
2. Medlemsstaterna kan fastställa skyldigheter för leverantörer av informationssamhällets tjänster att omedelbart informera de behöriga myndigheterna om påstådda olagliga verksamheter som utförts eller olaglig information som tillhandahållits av mottagarna av deras tjänster eller att till behöriga myndigheter på deras begäran lämna information som gör det möjligt att identifiera de mottagare av deras tjänster med vilka de ingått lagringsavtal.”
2. Dataskyddsförordningen
8. I artikel 2 i dataskyddsförordningen, med rubriken ”Materiellt tillämpningsområde”, föreskrivs följande i punkt 4:
”Denna förordning påverkar inte tillämpningen av [direktiv 2000/31], särskilt bestämmelserna om tjänstelevererande mellanhänders ansvar i artiklarna 12 och 15 i det direktivet.”
9. Artikel 4 i den förordningen, med rubriken ”Definitioner”, har följande lydelse:
”I denna förordning avses med
…
7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,
8. personuppgiftsbiträde: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning,
…
11. samtycke av den registrerade: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne,
…”
10. I artikel 5 i nämnda förordning, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:
”1. Vid behandling av personuppgifter ska följande gälla:
a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål … (ändamålsbegränsning).
…
f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).
2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
11. I artikel 6 i samma förordning, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande i punkt 1:
”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
…”
12. I artikel 7 i dataskyddsförordningen, med rubriken ”Villkor för samtycke”, föreskrivs följande i punkt 1:
”Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.”
13. Artiklarna 24–26 i förordningen återfinns i avsnitt 1, med rubriken ”Allmänna skyldigheter”, i kapitel IV i förordningen, vilket har rubriken ”Personuppgiftsansvarig och personuppgiftsbiträde”.
14. I artikel 24 i förordningen, med rubriken ”Den personuppgiftsansvariges ansvar”, föreskrivs följande i punkt 1:
”Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.”
15. I artikel 25 i förordningen, med rubriken ”Inbyggt dataskydd och dataskydd som standard”, föreskrivs följande i punkterna 1 och 2:
”1. Med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas.
2. Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.”
16. I artikel 26 i dataskyddsförordningen, med rubriken ”Gemensamt personuppgiftsansvariga”, preciseras följande i punkt 1:
”Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de registrerade utses.”
B. Rumänsk rätt
17. I artikel 11 i Legea nr. 365/2002 privind comerțul electronic (lag nr 365/2002 om elektronisk handel) av den 7 juni 2002, i dess lydelse enligt Legea nr. 121/2006 pentru modificarea și completarea nr. 365/2002 privind comerțul electronic (lag nr 121/2006 om ändring och komplettering av lag nr 365/2002 om elektronisk handel) av den 4 maj 2006 (nedan kallad lag nr 365/2002), föreskrivs följande:
”1. Tjänsteleverantörer ska omfattas av de rättsliga bestämmelserna om civilrättsligt och straffrättsligt ansvar samt ansvar för administrativa överträdelser, såvida inte annat föreskrivs i denna lag.
2. Tjänsteleverantörer är ansvariga för den information som tillhandahålls av dem själva eller för deras räkning.
3. Tjänsteleverantörer är inte ansvariga för information som överförts eller lagrats eller som de ger tillgång till på de villkor som anges i artiklarna 12–15.”
18. I artikel 14 i den lagen, med rubriken ”Permanent lagring av information samt lagrings- och värdtjänster”, föreskrivs följande:
”1. När någon av informationssamhällets tjänster består av lagring av information som tillhandahållits av mottagaren av den aktuella tjänsten, ska leverantören av den tjänsten inte vara ansvarig för information som lagrats på begäran av en tjänstemottagare, under förutsättning att
a) tjänsteleverantören inte hade kännedom om förekomsten av olaglig verksamhet eller olaglig information och, beträffande skadeståndsanspråk, inte var medveten om fakta eller omständigheter av vilka det framgår att den aktuella verksamheten eller informationen kan inverka menligt på en tredje parts rättigheter, eller
b) tjänsteleverantören, så snart denne fått kännedom om att den aktuella verksamheten eller informationen är olaglig eller blivit medveten om fakta eller omständigheter av vilka det framgår att den aktuella verksamheten eller informationen kan inverka menligt på en tredje parts rättigheter, har handlat utan dröjsmål för att avlägsna informationen eller göra den oåtkomlig.
2. Punkt 1 är inte tillämplig om mottagaren handlar under tjänsteleverantörens ledning eller överinseende.
3. Bestämmelserna i denna artikel ska inte påverka möjligheten för en domstol eller administrativ myndighet att kräva att tjänsteleverantören upphör med eller förhindrar en personuppgiftsincident, och inte heller påverka möjligheten att inrätta statliga förfaranden för att begränsa eller avbryta tillgången till information.”
III. Bakgrunden till det nationella målet, tolkningsfrågorna och förfarandet vid domstolen
19. Russmedia Digital SRL (nedan kallat Russmedia) är ett bolag bildat enligt rumänsk rätt som äger den elektroniska marknadsplatsen www.publi24.ro. På denna marknadsplats kan reklamannonser om bland annat försäljning av varor eller tillhandahållande av tjänster från olika platser i Rumänien publiceras, antingen gratis eller mot betalning.
20. Den 1 augusti 2018 publicerade en oidentifierad person en annons på denna elektroniska marknadsplats. Annonsen hade ett nedsättande och kränkande innehåll gentemot klaganden i det nationella målet, eftersom det i den angavs att hon erbjöd sexuella tjänster (nedan kallad den omtvistade annonsen). I annonsen fanns bilder på klaganden i det nationella målet, vilka hade använts utan hennes samtycke och hämtats från ett konto som hon lagligen innehade på ett socialt nätverk, samt hennes telefonnummer. Ingen kontroll hade gjorts av identiteten på den person som lade ut denna annons före det att den publicerades. Klaganden i det nationella målet tog kontakt med Russmedia, som tog bort nämnda annons från sin elektroniska marknadsplats mindre än en timme senare. Samma annons hade emellertid lagts ut på nätet, med angivande av den ursprungliga källan, av andra webbplatser med reklaminnehåll, på vilka den finns tillgänglig än i dag.
21. Klaganden i det nationella målet ansåg att den omtvistade annonsen utgjorde en kränkning av hennes rättigheter och väckte talan mot Russmedia.
22. Judecătoria Cluj-Napoca (Förstainstansdomstolen i Cluj-Napoca, Rumänien) biföll talan och förpliktade Russmedia, med stöd av artikel 253 i grundlagen, att till klaganden i det nationella målet betala 7000 euro i ideellt skadestånd för den skada som hade orsakats av att klagandens rätt till bilder, heder och anseende samt hennes rätt till privatliv hade kränkts och på grund av att hennes personuppgifter hade behandlats på ett otillbörligt sätt. Judecătoria Cluj-Napoca fann nämligen att den omtvistade annonsen utgjorde ett åsidosättande av de skyldigheter som Russmedia har enligt dataskyddsförordningen. Judecătoria Cluj-Napoca ansåg att den omständigheten att Russmedia hade tillåtit publiceringen av annonsen och därefter spridningen av den på internet innebar ett allvarligt åsidosättande av klagandens rättigheter.
23. Tribunalul Specializat Cluj (Specialdomstolen i Cluj, Rumänien) biföll det överklagande som Russmedia hade ingett och slog fast att den talan som klaganden i det nationella målet hade väckt var ogrundad, eftersom bolaget inte var upphovsman till den omtvistade annonsen. Tribunalul Specializat Cluj ansåg att Russmedia endast hade tillhandahållit en tjänst för lagring av annonser, utan att aktivt ha befattat sig ”med deras innehåll”, och att det undantag från ansvar som föreskrivs i artikel 14.1 i lag nr 365/2002 var tillämpligt under dessa omständigheter.
24. Enligt domstolen i andra instans hade Russmedia nämligen avlägsnat den omtvistade annonsen från sin elektroniska marknadsplats mindre än en timme efter att ha kontaktats av klaganden i det nationella målet. Domstolen i andra instans ansåg att Russmedia inte var ansvarigt för den åberopade skadan, eftersom det bolaget inte var upphovsman till den aktuella annonsen och eftersom bolaget, med hänsyn tagen till artiklarna 11.3 och 14.1 b i lag nr 365/2002, hade blockerat den så fort bolaget fick kännedom om att den kunde inverka menligt på de rättigheter som klaganden i det nationella målet har.
25. Vad gäller den personuppgiftsansvariges skyldighet att, innan en annons publiceras, kontrollera huruvida upphovsmannen till denna har rätt att använda de personuppgifter som finns i den, ansåg domstolen i andra instans dessutom att artikel 11 i tillämpningsföreskrifterna till lag nr 365/2002, enligt vilken en leverantör av informationssamhällets tjänster inte är skyldig att kontrollera den information som lagras, inte var tillämplig.
26. Slutligen ansåg domstolen i andra instans att Russmedia inte kan klandras för att inte ha vidtagit några åtgärder för att förhindra att den omtvistade annonsen spreds på nätet. Domstolen i andra instans påpekade att den tillhandahållna tjänsten bestod i att publicera den annonsen och att åtgärder hade vidtagits för att hindra allmänheten från att få tillgång till denna så snart klaganden i det nationella målet hade underrättat Russmedia. Domstolen i andra instans ansåg följaktligen att lag nr 365/2002, enligt vilken det bolaget inte har något ansvar för den ideella skada som orsakats av innehållet i de annonser som användarna hade publicerat på webbplatsen www.publi24.ro, var tillämplig i förevarande fall.
27. Klaganden i det nationella målet överklagade det avgörandet i Curtea de Apel Cluj (Appellationsdomstolen i Cluj, Rumänien), som är den hänskjutande domstolen.
28. Klaganden i det nationella målet har i sitt överklagande bland annat hävdat att lag nr 365/2002 inte är någon speciallag i förhållande till dataskyddsförordningen och att domstolen i andra instans därför borde ha prövat Russmedias ansvar mot bakgrund av den förordningen.
29. Klaganden i det nationella målet har dessutom påpekat att Russmedias roll inte enbart var att förse kunderna med de specifika tekniska arrangemangen för att få tillgång till värdservern. Hon anser att bolaget även hade en förvaltande roll, genom att vara delaktigt på nivån för annonsernas innehåll, i syfte att uppnå en god informationshantering. Bolaget lagrar och behandlar informationens innehåll i egenskap av förvaltare av den aktuella webbplatsen. Behandlingen och lagringen av uppgifterna samt tillhandahållandet av dem för allmänheten i en viss form innebär att det görs dels en analys av uppgifterna och av den information som finns i annonserna, dels en hantering av dessa, för att kunna säkerställa att de blir lättillgängliga för allmänheten, vilket visar på en direkt delaktighet från bolagets sida. Artikel 14 i lag nr 365/2002 är följaktligen inte tillämplig i förevarande fall. Klaganden i det nationella målet anser dessutom att det undantag från ansvar som föreskrivs i den bestämmelsen inte är tillämpligt om ansvaret fastställs med stöd av andra regleringsakter, såsom den allmänna dataskyddsförordningen, vilket är fallet här enligt hennes mening.
30. Den hänskjutande domstolen biföll överklagandet, eftersom den ansåg att domstolen i andra instans inte hade prövat huruvida bestämmelserna i dataskyddsförordningen var tillämpliga under omständigheterna i förevarande fall, upphävde den överklagade domen och prövar nu själv målet för att meddela en ny dom.
31. Den hänskjutande domstolen anser i detta hänseende att det inte finns någon skyldighet för näringsidkare som driver elektroniska marknadsplatser att göra en förhandskontroll av de annonser som användarna publicerar. Den hänskjutande domstolen har emellertid påpekat att det, enligt domen i mål L’Oréal m.fl., endast är en näringsidkare som driver en elektronisk marknadsplats och som inte utövar en aktiv roll som består i att lämna hjälp för att optimera presentationen av försäljningserbjudandena eller att göra reklam för erbjudandena som kan åberopa det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Enligt den domen kan en näringsidkare som driver en elektronisk marknadsplats dessutom inte åberopa undantaget från ansvar om han eller hon hade kännedom om sådana fakta eller omständigheter som borde ha föranlett en försiktig näringsidkare att inse att de aktuella försäljningserbjudandena var olagliga och, för det fall han eller hon hade kännedom härom, inte handlat utan dröjsmål. I samma anda följer det av domen i mål Papasavvas att ett tidningsutgivningsbolag som har en webbplats på vilken den elektroniska versionen av en tidning publiceras inte heller kan åberopa nämnda undantag från ansvar, om bolaget har kännedom om de publicerade uppgifterna och har kontroll över dessa.
32. Den hänskjutande domstolen har påpekat att det i EU-domstolens praxis enbart hänvisas till erbjudanden som har lagts ut på nätet och vars olagliga karaktär har framgått av en analys av de fakta och omständigheter som den personuppgiftsansvarige uttryckligen informerades om, efter det att den aktuella annonsen hade publicerats. EU-domstolen har däremot aldrig haft tillfälle att pröva en sådan situation som den som är aktuell i förevarande mål. Det som är utmärkande för det nationella målet är nämligen att innehållet i den annons som en oidentifierad användare hade publicerat vid den tidpunkt då talan väcktes utan tvekan var olagligt och orsakade allvarlig skada för den registrerade. Enligt den hänskjutande domstolen var det således inte nödvändigt att underrätta den personuppgiftsansvarige för att fastställa och analysera huruvida den publicerade informationen var olaglig.
33. Den hänskjutande domstolen har dessutom påpekat att den omtvistade annonsen, även om den hade raderats från Russmedias webbplats, där den ursprungligen hade publicerats, efter det att Russmedia hade kontaktats av klaganden i det nationella målet, reproducerades i sin helhet på flera andra webbplatser, med samtliga uppgifter om och bilder på klaganden i det nationella målet och med angivande av den ursprungliga källan, utan att några skyddsåtgärder vidtogs beträffande personuppgifterna. Skadan har således blivit bestående och föreligger än i dag.
34. Den hänskjutande domstolen har vidare påpekat att de sexuella tjänster som har nämnts i den omtvistade annonsen och som klaganden i det nationella målet påstås erbjuda kan förknippas med grov brottslighet, enligt strafflagen, såsom medhjälp till och utnyttjande av prostitution och människohandel.
35. Den hänskjutande domstolen har slutligen påpekat att Russmedia inte tycks vara enbart en passiv användare av uppgifterna, med hänsyn till de allmänna användarvillkoren för sin elektroniska marknadsplats. Även om det bolaget inte gör anspråk på äganderätten till det innehåll som tillhandahålls eller publiceras, laddas upp eller vidarebefordras, innehar det nämligen icke desto mindre rätten att använda innehållet, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att ha någon som helst motiverad anledning till att göra detta.
36. Mot denna bakgrund meddelade Curtea de Apel Cluj (Appellationsdomstolen i Cluj) den 15 juni 2023 ett beslut, som inkom till EU-domstolen den 3 augusti 2023, om att vilandeförklara målet och hänskjuta följande frågor till EU-domstolen för förhandsavgörande:
”1) Är artiklarna 12–14 i [direktiv 2000/31] även tillämpliga på en leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster som tillhandahåller användarna en webbplats där annonser kan publiceras gratis eller mot betalning och som påstår sig ha en rent teknisk roll vid publiceringen av användarnas annonser (tillhandahåller plattformen), men som enligt de allmänna användarvillkoren för webbplatsen inte gör anspråk på äganderätten till det innehåll som tillhandahålls eller publiceras, laddas upp eller vidarebefordras, samtidigt som vederbörande icke desto mindre bibehåller rätten att använda innehållet, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta?
2) Ska artiklarna 2.4, 4.7, 4.11, 5.1 f, 6.1 a, 7, 24 och 25 i [den allmänna dataskyddsförordningen] tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att före publiceringen av en annons kontrollera huruvida den person som publicerar annonsen är densamma som personuppgifterna i annonsen avser?
3) Ska artiklarna 2.4, 4.7, 4.11, 5.1 f, 6.1 a, 7, 24 och 25 i [den allmänna dataskyddsförordningen] och artikel 15 i direktiv 2000/31/EG tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att först kontrollera innehållet i de annonser som användarna har skickat, för att utesluta annonser som kan vara olagliga eller som kan påverka en persons privat- och familjeliv?
4) Ska artiklarna 5.1 b och f, 24 och 25 i [den allmänna dataskyddsförordningen] och artikel 15 i direktiv 2000/31/EG tolkas så, att en sådan leverantör av informationssamhällets tjänster av typen lagrings- och värdtjänster, som är personuppgiftsansvarig, är skyldig att vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som publicerats via denne reproduceras eller sprids på nytt?”
37. Den rumänska regeringen och Europeiska kommissionen har inkommit med skriftliga yttranden. Klaganden i det nationella målet och kommissionen företräddes vid förhandlingen den 2 juli 2024.
IV. Bedömning
38. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida Russmedia kan åberopa det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31, medan den andra till den fjärde frågan avser huruvida det bolaget har åsidosatt sina skyldigheter enligt dataskyddsförordningen.
39. EU-domstolen har tidigare angett att artikel 14.1 i direktiv 2000/31, vilken är föremål för den första frågan, syftar till att begränsa de situationer där tjänstelevererande mellanhänder kan hållas ansvariga enligt tillämplig nationell rätt på området. Jag anser att, med beaktande av den utveckling som har skett av unionsrätten på detta område, ska det undantag från ansvar som föreskrivs i den bestämmelsen även tillämpas när en tjänstelevererande mellanhand kan hållas ansvarig på grundval av unionsrättsliga bestämmelser eller nationella bestämmelser som införlivar unionsrätten.
40. Det framgår av beslutet om hänskjutande att Russmedia, i det nationella målet, kan ådra sig skadeståndsansvar på grund av en överträdelse av dataskyddsförordningen. Under dessa omständigheter kan det i princip anses vara önskvärt att först pröva den andra till den fjärde frågan, som den hänskjutande domstolen har ställt för att få klarhet i huruvida Russmedia har åsidosatt sina skyldigheter enligt dataskyddsförordningen. För att analysen ska bli så tydlig som möjligt kommer jag emellertid att behandla frågorna i den ordning som de har ställts. Jag kommer således först att analysera det problem som har tagits upp i beslutet om hänskjutande mot bakgrund av direktiv 2000/31 och därefter undersöka det problemet mot bakgrund av dataskyddsförordningen. Slutligen kommer jag, i den sista delen av min analys, att undersöka samspelet mellan den förordningen och det direktivet.
41. Samtliga tolkningsfrågor rör nämligen den mer grundläggande frågan om förhållandet mellan bestämmelserna i direktiv 2000/31 och dataskyddsförordningens bestämmelser. Jag kommer att behandla denna fråga efter att ha identifierat de relevanta bestämmelserna i dessa båda unionsrättsakter, eftersom de rättsliga kvalificeringarna, enligt de kategorier som anges i dessa rättsakter, står i centrum för de fyra tolkningsfrågorna.
A. Den första frågan
42. Genom sin första fråga vill den hänskjutande domstolen få klarhet i huruvida artikel 14.1 i direktiv 2000/31 ska tolkas så, att en leverantör av en av informationssamhällets tjänster, som består i att tillhandahålla användarna en elektronisk marknadsplats där annonser kan publiceras gratis eller mot betalning, kan omfattas av det undantag från ansvar som föreskrivs i den bestämmelsen, även när den leverantören i de allmänna användarvillkoren för sin elektroniska marknadsplats anger att denne inte gör anspråk på äganderätten till detta innehåll, men icke desto mindre bibehåller rätten att använda det innehåll som tillhandahålls, publiceras, laddas upp eller vidarebefordras, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta.
43. Jag kommer således att analysera denna fråga (del 1) som, i huvudsak, syftar till att få det fastställt huruvida Russmedia kan betecknas som en ”tjänstelevererande mellanhand” som i princip kan åberopa det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Eftersom den hänskjutande domstolen även tycks hysa tvivel om huruvida de villkor som uppställs i den bestämmelsen för undantag från ansvar i ett konkret fall är uppfyllda i förevarande fall, med hänsyn till det nationella målets särskilda karaktär, kommer jag för fullständighetens skull att pröva även denna fråga (del 2).
1. Begreppet ”tjänstelevererande mellanhand”
a) Frågans räckvidd och de antaganden som ligger till grund för den
44. Enligt min mening är det viktigt att framhålla både det antagande som ligger till grund för den första frågan och frågans räckvidd.
45. För det första föreskrivs i artiklarna 12, 13 och 14 i direktiv 2000/31, såsom jag redan har påpekat, undantag från ansvar som är tillämpliga när de tjänster som tillhandahålls av leverantörer av informationssamhällets tjänster avser enbart vidarebefordran (”mere conduit”), cachning respektive värdtjänster.
46. Även om det hänvisas till dessa tre bestämmelser i den första frågan, har den hänskjutande domstolen emellertid angett att Russmedia tillhandahåller en värdtjänst för information som användarna har lämnat. Dessutom tycks artikel 14 i lag nr 365/2002, vars tillämplighet har diskuterats vid de nationella domstolarna, vara ett införlivande av artikel 14 i direktiv 2000/31, som avser värdtjänster. Jag anser således att den första frågan avser denna unionsrättsliga bestämmelse och att den hänskjutande domstolens arbetshypotes är att den tjänst som Russmedia tillhandahåller utgör en av informationssamhällets tjänster som, i princip, består i en värdtjänst för information som användarna av Russmedias elektroniska marknadsplats har tillhandahållit.
47. För det andra, vad gäller räckvidden av den första frågan, tyder dess försiktiga formulering på att den hänskjutande domstolen inte uttalar sig om den roll som Russmedia har i tillhandahållandet av sin värdtjänst. Det följer nämligen av den frågan att konstaterandet att Russmedia enbart har en teknisk roll följer av de påståenden som det bolaget har gjort. Även om den hänskjutande domstolen inte tycks ifrågasätta detta påstående, vill jag ändå undersöka detta, eftersom klaganden i det nationella målet kraftfullt har tillbakavisat det.
48. För det tredje har den hänskjutande domstolen avslutningsvis angett att Russmedia ”inte [tycks] enbart vara en passiv användare av uppgifterna (mellanhand), eftersom [det] bolaget, även om det inte gör anspråk på äganderätten till det innehåll som publiceras, laddas upp eller vidarebefordras, icke desto mindre innehar rätten att använda [detta innehåll]”. Formuleringen av den första frågan återspeglar denna farhåga från den hänskjutande domstolens sida. Den frågan har nämligen ställts för att få klarhet i huruvida ”en leverantör … som tillhandahåller användarna [en elektronisk marknadsplats], men som enligt de allmänna användarvillkoren för webbplatsen … icke desto mindre bibehåller rätten att använda innehållet” kan omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
49. Den omständigheten att det i beslutet om hänskjutande har nämnts att Russmedias verksamhet är av rent teknisk eller passiv natur innebär en hänvisning till EU-domstolens praxis, av vilken det framgår att det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 endast avser det fallet där leverantörens verksamhet begränsar sig till den som bedrivs av en ”tjänstelevererande mellanhand” i den mening som lagstiftaren har avsett i kapitel II avsnitt 4 i det direktivet. Det framgår nämligen i detta avseende av skäl 42 i nämnda direktiv att de undantag från ansvar som fastställs enligt detta endast omfattar fall där tjänsteleverantörens verksamhet inom ramen för informationssamhället är av rent teknisk, automatisk och passiv natur, vilket innebär att den tjänsteleverantören varken har kännedom om eller kontroll över vidarebefordrad eller lagrad information. Det är mot bakgrund av denna rättspraxis som den första frågan ska prövas.
b) Den roll som innehas av en näringsidkare som driver en elektronisk marknadsplats
50. Den hänskjutande domstolen har visserligen inte lämnat några detaljerade uppgifter om hur Russmedias elektroniska marknadsplats fungerar, men det förefaller som om det bolaget bestämmer hur annonserna ska utformas och publicerar dessa gratis eller mot betalning på sin elektroniska marknadsplats, där annonserna är indelade i olika kategorier som annonsörerna väljer och där andra användare kan göra sökningar med hjälp av en enkel sökmotor och rangordna resultaten. En annonsör måste registrera sig hos Russmedia för att kunna publicera en annons på nätet. Annonsörens identitet kontrolleras vare sig vid registreringen eller vid publiceringen av annonsen. Detta är den bild av hur den elektroniska marknadsplatsen fungerar som framgår av beslutet om hänskjutande, parternas skriftliga yttranden och de yttranden som avgavs vid förhandlingen samt av mina egna efterforskningar. Det ankommer på den hänskjutande domstolen att kontrollera riktigheten i dessa yttranden innan den meddelar sitt avgörande i det nationella målet.
51. I ett mål beträffande en näringsidkare som driver en elektronisk marknadsplats påpekade EU-domstolen att det, för att kontrollera huruvida den näringsidkaren kan befrias från sitt ansvar enligt artikel 14 i direktiv 2000/31, ska undersökas huruvida denne begränsar sig till att på ett neutralt sätt tillhandahålla sin tjänst genom en rent teknisk och automatisk behandling av uppgifter från kunderna eller huruvida denne utövar en aktiv roll som kan ge vederbörande kännedom om eller kontroll över de uppgifterna.
52. EU-domstolen slog härvidlag fast att enbart den omständigheten att den näringsidkare som driver en elektronisk marknadsplats lagrar försäljningserbjudandena på sin server, fastställer villkoren för sin tjänst, uppbär betalning för denna och ger allmänna upplysningar till sina kunder inte kan innebära att näringsidkaren ska nekas de undantag från ansvar som fastställts i direktiv 2000/31.
53. Vad gäller ett av de villkor som enligt artikel 14.1 i direktiv 2000/31 ska vara uppfyllda för att en tjänstelevererande mellanhand ska kunna undantas från ansvar, vilka jag kommer att återkomma till senare, har EU-domstolen dessutom slagit fast att den omständigheten att operatören av en plattform för delning av innehåll på internet gör en automatisk indexering av det innehåll som laddas upp på denna plattform, att nämnda plattform innehåller en sökfunktion och att den rekommenderar videoinspelningar med hänsyn till användarnas profil eller preferenser, inte räcker för att anse att det villkoret inte är uppfyllt. Den omständigheten kan i princip inte heller medföra att en sådan näringsidkare ska nekas det undantag som föreskrivs i den bestämmelsen. Frågan huruvida de villkor för undantag från ansvar som uppställs i artikel 14.1 a och b i det direktivet är uppfyllda uppkommer nämligen endast om den berörda tjänsteleverantören kan betecknas som en ”värdtjänstleverantör som har en neutral roll” med avseende på den information som denne lagrar och i princip kan åberopa detta undantag.
54. Vid första anblicken förefaller det således som om Russmedia har en neutral roll vad gäller den information som lagras på begäran av annonsörerna och att bolaget kan åberopa det undantag som föreskrivs i artikel 14.1 i direktiv 2000/31. Det är nu lämpligt att undanröja den hänskjutande domstolens tvivel som återspeglas i formuleringen av den första frågan, som i huvudsak avser huruvida de allmänna användarvillkoren för en elektronisk marknadsplats eller de åtgärder som faktiskt vidtas av den som driver denna ska tillmätas avgörande betydelse vid prövningen av huruvida detta undantag är tillämpligt.
c) De allmänna användarvillkorens betydelse
55. Det ska erinras om att Russmedia, enligt de allmänna användarvillkoren för sin elektroniska marknadsplats inte gör anspråk på äganderätten till innehållet, men förbehåller sig rätten att använda det innehåll som tillhandahålls, publiceras, laddas upp eller vidarebefordras, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta.
56. Jag vill inledningsvis påpeka att det nationella målet inte avser en skada som klaganden i det nationella målet har orsakats genom Russmedias ingrepp i den omtvistade annonsen, som fanns tillgänglig på det bolagets elektroniska marknadsplats. I förevarande fall rör det sig således inte om en situation där skadan följer av det innehåll som användaren av en elektronisk marknadsplats har tillhandahållit och som har ändrats eller manipulerats av den som driver den marknadsplatsen.
57. Efter detta klargörande ska det påpekas att Russmedia, med hänsyn till de allmänna användarvillkoren för dess elektroniska marknadsplats, inte tycks ha någon skyldighet gentemot annonsörerna vad gäller utformningen eller presentationen av innehållet i de annonser som lagras på deras begäran. Det bolaget förbehåller sig däremot rätten att använda den informationen, även utan att behöva ange något skäl till detta.
58. De allmänna användarvillkoren för en elektronisk marknadsplats kan visserligen ange hur en av informationssamhällets tjänster fungerar och göra det möjligt att förstå den roll som tjänsteleverantören innehar, men avtalsvillkor som innebär att den leverantören får vidta en åtgärd med avseende på den lagrade informationen, utan att vara skyldig att göra detta, kan emellertid inte i sig vara avgörande för frågan huruvida leverantören har en neutral roll. EU-domstolen har nämligen i sin rättspraxis framhållit det faktiska deltagandet av en leverantör av en tjänst i informationssamhället vid utformningen eller presentationen av den information som användarna av tjänsten tillhandahåller. Vid prövningen av huruvida det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 är tillämpligt ska det däremot bortses från de åtgärder som en tjänsteleverantör har rätt att vidta enligt de allmänna användarvillkoren för sin plattform, men som denne inte genomför i praktiken. Vid denna prövning ska med andra ord hänsyn tas till de åtgärder som leverantören av en sådan tjänst faktiskt har vidtagit.
59. EU-domstolen har närmare bestämt ansett att om den näringsidkare som driver en elektronisk marknadsplats däremot lämnat hjälp som bland annat bestått i att optimera presentationen av de aktuella försäljningserbjudandena eller att göra reklam för erbjudandena, ska vederbörande inte anses ha haft en neutral ställning mellan den berörda försäljningskunden och de potentiella köparna, utan ha utövat en aktiv roll som kan ge honom kännedom om eller kontroll över uppgifter som rör dessa erbjudanden. Vidare har EU-domstolen, i huvudsak, slagit fast att ett tidningsutgivningsbolag inte kan åberopa det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 vad gäller informationen i den elektroniska versionen av pappersupplagan av den tidning som det bolaget publicerar, eftersom bolaget i princip har kännedom om de uppgifter som det publicerar och kontroll över dessa.
60. Sammanfattningsvis följer det av de delar av rättspraxis som jag nyss har nämnt att det sätt på vilket en elektronisk marknadsplats fungerade innebar att tjänsteleverantören på förhand hade kännedom om och kontroll över den lagrade informationen. Såsom kommissionen påpekade vid förhandlingen finns det däremot inget i förevarande fall som tyder på att Russmedia ingriper i skapandet, optimeringen eller presentationen i annonserna eller kontrollerar deras enskilda innehåll innan de publiceras. Den kontroll som det bolaget kunde utöva i enlighet med de allmänna användarvillkoren för sin elektroniska marknadsplats är endast eventuell och av efterhandskaraktär. Det har vidare framkommit att Russmedia inte har någon kännedom om den lagrade informationen som skulle kunna motivera att det bolaget inte ska omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
61. Sådana allmänna användarvillkor för en plattform som Russmedias är dessutom inte ovanliga vad förmedlingstjänster beträffar, såsom kommissionen har påpekat. Det ska härvidlag påpekas att den omständigheten att en tjänstelevererande mellanhand förbehåller sig rätten att använda den information som användarna av dennes tjänst tillhandahåller ingår i den viktiga roll som tjänsteleverande mellanhänder spelar i kampen mot olagligt innehåll på nätet.
62. För att en tjänstelevererande mellanhand ska uppfylla villkoren för att undantas från ansvar enligt artikel 14.1 a och b i direktiv 2000/31, måste denne nämligen, så snart olagligt innehåll har upptäckts, vidta åtgärder och avlägsna eller blockera detta innehåll. Tjänsteleverantören kan förbehålla sig rätten att när som helst radera sådant innehåll, bland annat för att visa sin förmåga att vidta en sådan åtgärd.
63. Under dessa omständigheter kan det förhållandet att Russmedia, i de allmänna användarvillkoren för sin elektroniska marknadsplats, förbehåller sig rätten att använda det innehåll som lagrats på begäran av användarna av dennes tjänst inte medföra att det bolaget inte ska omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
d) Slutsats i denna del
64. Mot bakgrund av det ovan anförda föreslår jag att svaret på den första frågan blir att artikel 14.1 i direktiv 2000/31 ska tolkas så, att en leverantör av en av informationssamhällets tjänster, som består i att tillhandahålla användarna en elektronisk marknadsplats där annonser publiceras gratis eller mot betalning, kan omfattas av det undantag från ansvar som föreskrivs i den bestämmelsen även om denne, enligt användarvillkoren för sin elektroniska marknadsplats, inte gör anspråk på äganderätten till detta innehåll samtidigt som vederbörande icke desto mindre bibehåller rätten att använda det innehåll som tillhandahålls eller publiceras, laddas upp eller vidarebefordras, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta, under förutsättning att tjänsteleverantören inte vidtar några åtgärder som gör att denne förlorar sin ställning som neutral värdtjänstleverantör.
65. För fullständighetens skull ska det prövas huruvida villkoren för detta undantag är uppfyllda i förevarande fall, med hänsyn till det nationella målets särskilda karaktär.
2. Villkoren för att en tjänstelevererande mellanhand ska undantas från ansvar
66. I beslutet om hänskjutande framhålls de särskilda omständigheter i förevarande mål som förefaller ha samband med de villkor som enligt artikel 14.1 i direktiv 2000/31 gäller för att undantas från ansvar för lagrad information. Den hänskjutande domstolen har nämligen uppmärksammat EU-domstolen på det faktum att den omtvistade annonsen utan tvekan är olaglig och orsakar allvarlig skada samt att den annonsen finns på flera andra webbplatser som har reproducerat den.
a) Den lagrade informationens uppenbart olagliga karaktär
1) Identifiering av uppenbart olagligt innehåll
67. Den hänskjutande domstolen har påpekat att Russmedia inte borde ha behövt bli informerat om att innehållet var olagligt för att det bolaget skulle fastställa och analysera huruvida den publicerade informationen var olaglig. Enligt den hänskjutande domstolen är det nämligen uppenbart att den omtvistade annonsens innehåll är olagligt och orsakar allvarlig skada för klaganden i det nationella målet. Den hänskjutande domstolen tycks således utgå från antagandet att Russmedia, på grund av denna uppenbart olagliga karaktär, borde ha haft kännedom om den annonsen och dess olagliga innehåll. För att kunna undantas från ansvar borde Russmedia således – utan dröjsmål och utan att invänta en begäran därom – ha avlägsnat nämnda annons eller gjort den oåtkomlig, i enlighet med artikel 14.1 b i direktiv 2000/31.
68. Syftet med artikel 14.1 a i direktiv 2000/31 är att undanta en värdtjänstleverantör från ansvar för information som lagrats när denne inte hade kännedom om förekomsten av olaglig verksamhet eller olaglig information. När en värdtjänstleverantörs ansvar åberopas i samband med en skadeståndstalan, såsom i förevarande fall, ska det tillämpas ett striktare villkor för undantag från ansvar. I en sådan situation ska tjänsteleverantören inte omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i det direktivet, om denne var medveten om fakta eller omständigheter som borde ha föranlett en försiktig näringsidkare att inse att verksamheten eller informationen var olaglig och inte har agerat på så sätt som föreskrivs i artikel 14.1 b i det direktivet. Enligt direktiv 2000/31 krävs nämligen att den olagliga verksamheten eller informationen ska vara ”uppenbar” eller, med andra ord, lätt att identifiera.
69. Tjänsteleverantören kan emellertid endast gå miste om det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 om denne faktiskt hade kännedom om fakta eller omständigheter som kan föranleda en försiktig näringsidkare att objektivt konstatera att verksamheten eller informationen var olaglig. Oavsett om det är fråga om en skadeståndstalan eller inte är det nämligen inte tillräckligt att leverantören rent allmänt är medveten om att dennes tjänst även används för att dela olagligt innehåll. Tjänsteleverantören måste ha kännedom om fakta eller omständigheter som avser konkret olaglig verksamhet och information.
70. Villkoret i artikel 14.1 a i direktiv 2000/31 är således inte uppfyllt när tjänsteleverantören, på grundval av den information denne förfogar över, inser eller inte känner till att de lagrade uppgifterna är olagliga eller när denne misstar sig om huruvida de är lagliga. Samtidigt som det på ett objektivt sätt ska bedömas huruvida en uppgift eller verksamhet är olaglig, enligt kriteriet avseende en försiktig näringsidkare, ska kännedomen om fakta som visar att en uppgift eller verksamhet är olaglig i princip bedömas med beaktande av den information som den berörda tjänsteleverantören faktiskt har tillgång till.
71. Under dessa omständigheter kan det inte presumeras att en näringsidkare som driver en elektronisk marknadsplats känner till innehållet i alla olagliga och skadliga annonser. En sådan presumtion skulle dessutom innebära att den näringsidkaren är skyldig att aktivt övervaka alla uppgifter från var och en av sina annonsörer för att identifiera annonser som är uppenbart olagliga och skadliga. Enligt min mening är en sådan övervakningsskyldighet svår att förena med logiken i direktiv 2000/31.
72. En övervakningsskyldighet som införs ”bakvägen” skulle nämligen vara oförenlig med artikel 15.1 i direktiv 2000/31, där det föreskrivs att medlemsstaterna inte får ålägga värdtjänstleverantörer en allmän skyldighet att övervaka den information som de lagrar, och inte heller någon allmän skyldighet att aktivt efterforska fakta eller omständigheter som kan tyda på olaglig verksamhet. En värdtjänstleverantör kan således inte åläggas att på ett allmänt sätt övervaka information som denne lagrar på grundval av nationella bestämmelser.
73. Det kan följaktligen inte anses att villkoret i artikel 14.1 a i direktiv 2000/31 inte är uppfyllt enbart av det skälet att en annons som har publicerats på en elektronisk marknadsplats utan tvekan är olaglig och orsakar allvarlig skada för den person som berörs av den annonsen. För fullständighetens skull vill jag tillägga att direktiv 2000/31 inte bortser från en situation där en värdtjänstleverantör inför en affärs- eller organisationsmodell som uppmuntrar eller främjar spridning av olagligt innehåll.
2) En plattform som används inom ramen för olaglig verksamhet
74. I skäl 44 i direktiv 2000/31 anges att en tjänsteleverantör som avsiktligt samarbetar med någon av mottagarna av hans tjänst för att begå olagliga handlingar går utöver en verksamhet som består i enbart vidarebefordran eller cachning, som avses i artikel 12 respektive artikel 13 i det direktivet, och att denne därför inte får utnyttja de undantag från ansvar som har fastställts för den verksamheten. Även om värdtjänstverksamhet, i den mening som avses i artikel 14 i det direktivet, inte nämns i det skälet, finns det inget som hindrar att samma resonemang tillämpas på sådan verksamhet. I domen i mål YouTube och Cyando slog EU-domstolen nämligen fast att en operatör av en onlineplattform som, utöver att enbart göra plattformen tillgänglig, bidrar till att ge allmänheten tillgång till sådant innehåll på ett sätt som innebär intrång i upphovsrätten, inte kan anses vara en neutral värdtjänstleverantör som kan omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i nämnda direktiv 2000/31.
75. I nämnda dom föreföll det som om EU-domstolen, för att avgöra huruvida en operatör gav allmänheten en sådan tillgång, indirekt grundade sig på sin analys avseende begreppet överföring, i den mening som avses i direktiv 2001/29/EG. Enligt den analysen, för vilken inspiration hade hämtats från EU-domstolens dom om delningsplattformen The Pirate Bay, ger en operatör en sådan tillgång när denne har deltagit i den olagliga överföringen av skyddat innehåll som utförs av användare av dess plattform, med full insikt om konsekvenserna av sitt agerande, för att ge andra internetanvändare tillgång till sådant innehåll. För att avgöra huruvida så är fallet ska, enligt EU-domstolen, samtliga omständigheter som kännetecknar den aktuella situationen beaktas, utifrån vilka det är möjligt att direkt eller indirekt dra slutsatser om huruvida operatörens deltagande i den olagliga överföringen av nämnda innehåll är avsiktligt eller inte.
76. Om detta synsätt tillämpas på omständigheterna i förevarande fall, skulle detta innebära att en näringsidkare som driver en elektronisk marknadsplats och som har infört en affärs- och/eller organisationsmodell som uppmuntrar användarna av sin plattform att sprida innehåll som utan tvekan är olagligt och orsakar allvarlig skada eller som främjar och underlättar obegränsad och okontrollerad spridning av sådant innehåll förlorar sin ställning som neutral värdtjänstleverantör, i den mening som avses i artikel 14.1 i direktiv 2000/31. Det finns emellertid inget som tyder på att Russmedia har infört en sådan modell.
3) Utvecklingen av unionsrätten om moderering av innehåll på nätet
77. Det skulle kunna hävdas att övervägandet att direktiv 2000/31, i princip och med förbehåll för exceptionella omständigheter, inte förpliktar värdtjänstleverantörer att upptäcka allt innehåll som utan tvekan är olagligt och orsakar allvarlig skada kan framstå som föga tillfredsställande, med tanke på de risker som spridning av sådant innehåll kan medföra för användarnas och tredje parts rättigheter.
78. Såsom jag har påpekat i ett annat sammanhang, är direktiv 2000/31 emellertid är typiskt för sin tid, varvid unionslagstiftarens avsikt var att inrätta ett grundläggande system som särskilt skulle skydda den fria rörligheten för informationssamhällets tjänster. I det direktivet föreskrivs således endast en informationsskyldighet för alla leverantörer av informationssamhällets tjänster, utan att någon åtskillnad görs mellan olika kategorier av värdtjänster. Direktivet bygger nämligen på logiken att medlemsstaterna, inom de gränser som fastställs i direktivet, ska införa skyldigheter som de tjänsteleverantörer som är etablerade på deras territorier ska iaktta. Medlemsstaternas handlingsutrymme begränsas särskilt av förbudet mot att införa en allmän övervakningsskyldighet, vilket föreskrivs i artikel 15 i samma direktiv.
79. Det grundläggande system som har införts genom direktiv 2000/31 har successivt kompletterats med sektorsspecifika rättsakter, som kräver att lämpliga åtgärder vidtas för att skydda vissa kategorier av användare från visst innehåll, till exempel terrorisminnehåll eller barnpornografiskt innehåll.
80. Unionslagstiftaren har nyligen gjort betydande ändringar av den rättsliga ram som är tillämplig på onlineplattformar. I förordningen om digitala tjänster görs nämligen en åtskillnad mellan plattformar på grundval av vissa kriterier, och dessutom regleras frågan om moderering av olagligt innehåll i viss mån. Förevarande mål berörs emellertid inte av denna nya rättsliga ram och EU-domstolen bör, enligt min mening, inte självsvåldigt införa en skyldighet som inte föreskrivs i direktiv 2000/31, som är tillämpligt på omständigheterna i det nationella målet, och som dessutom strider mot artikel 15 i detta.
b) Det förhållandet att innehåll i publicerade annonser sprids på nytt
81. En annan aspekt som den hänskjutande domstolen har uppmärksammat EU-domstolen på är att, även om Russmedia tog bort den omtvistade annonsen från sin elektroniska marknadsplats efter det att klaganden i det nationella målet hade begärt detta, finns den annonsen dock fortfarande tillgänglig på ett flertal andra webbplatser som har reproducerat den från Russmedias elektroniska marknadsplats, med angivande av den ursprungliga källan. Den hänskjutande domstolen har inte ställt någon direkt fråga beträffande den omständigheten mot bakgrund av direktiv 2000/31. Den hänskjutande domstolen har däremot hänvisat till den inom ramen för sin fjärde fråga, som avser de åtgärder som krävs enligt dataskyddsförordningen för att säkerställa personuppgiftsbehandlingens säkerhet. Denna omständighet diskuterades emellertid av parterna vid förhandlingen, som svar på frågor från EU-domstolen, i samband med det villkor för undantag från ansvar som föreskrivs i artikel 14.1 b i det direktivet. Mot bakgrund av dessa överväganden och för att ge den hänskjutande domstolen ett användbart svar, kommer jag att analysera frågan huruvida villkoret i artikel 14.1 b i direktiv 2000/31 är uppfyllt om värdtjänstleverantören, efter att ha blivit medveten om fakta eller omständigheter som gör att det med lätthet kan fastställas att den lagrade informationen är olaglig, utan dröjsmål avlägsnar den informationen från sin webbplats, men den fortfarande finns tillgänglig på andra webbplatser som har reproducerat den från värdtjänstleverantörens webbplats.
82. Den hänskjutande domstolen har i detta avseende inte preciserat huruvida Russmedia har distribuerat den omtvistade annonsen vidare till operatörer av andra webbplatser eller huruvida den har kopierats av dessa utan att Russmedia haft kännedom om detta. Detta är en fråga som diskuterades vid förhandlingen. Jag kommer att undersöka dessa två typfall för att kunna ge den hänskjutande domstolen ett användbart svar.
1) Partners reproduktion av den omtvistade annonsen
83. Vid förhandlingen hänvisade kommissionen till en situation där Russmedia, i enlighet med användarvillkoren för sin elektroniska marknadsplats, vidarebefordrar annonser som har publicerats på denna till partner som Russmedia är bundet till genom avtal, som anges på Russmedias webbplats och som således är kända för annonsörerna.
84. Det kan ifrågasättas huruvida den tjänst som tillhandahålls av en näringsidkare som driver en elektronisk marknadsplats, i ett sådant fall, består i en neutral värdtjänst för information som lagrats på begäran av en tjänstemottagare av dennes tjänst. Det ska nämligen inte förglömmas att artikel 14.1 i direktiv 2000/31 endast är tillämplig om tjänsteleverantören tillhandahåller en sådan tjänst.
85. Jag vill härvidlag påpeka att när en näringsidkare som driver en elektronisk marknadsplats, på ett individualiserat sätt och/eller med mänsklig hjälp, vidarebefordrar information som har lämnats av en tjänstemottagare av näringsidkarens tjänst till sina partner, för att dessa ska publicera den på andra webbplatser, har näringsidkaren en liknande roll som upphovsmannen till den informationen. I ett sådant fall är det tveksamt huruvida den näringsidkarens tjänst fullt ut omfattas av tillämpningsområdet för artikel 14.1 i direktiv 2000/31. Den bestämmelsen kan däremot anses vara fullt tillämplig på tjänsten om den information som lagrats på begäran av en användare reproduceras av operatörer av andra webbplatser och om näringsidkaren har en rent teknisk och automatiserad roll i denna överföring.
86. Beslutet om hänskjutande innehåller emellertid inte några faktiska omständigheter som gör det möjligt att fastställa vilket av dessa båda typfall som motsvarar situationen i det nationella målet. Framför allt uppkommer frågan huruvida villkoret i artikel 14.1 b i direktiv 2000/31 är uppfyllt endast om Russmedia kan betecknas som en ”värdtjänstleverantör” i den mening som avses i den bestämmelsen. Jag kommer således att analysera villkoret i artikel 14.1 b i det direktivet utifrån antagandet att Russmedia är en värdtjänstleverantör, i den mening som avses i den bestämmelsen, och att den omtvistade annonsen har reproducerats av det bolagets partner på de villkor som kommissionen nämnde vid förhandlingen.
87. Vad gäller ordalydelsen föreskrivs, i detta hänseende, i artikel 14.1 b i direktiv 2000/31 att värdtjänstleverantören, för att omfattas av undantaget från ansvar, ska ha handlat utan dröjsmål för att avlägsna den olagliga informationen eller göra den oåtkomlig. I den bestämmelsen anges således inte endast att värdtjänstleverantören ska avlägsna eller blockera tillgången till olaglig information. Lagstiftaren har i själva verket valt en öppen formulering som i huvudsak innebär att en tjänsteleverantör utan dröjsmål ska stoppa en olaglig verksamhet som bedrivs via eller på dennes tjänst.
88. Det villkoret skulle visserligen kunna tolkas så, att unionslagstiftarens inte hade för avsikt att fastställa de konkreta resultat som ska uppnås, utan endast slå fast att ansträngningar ska göras i detta avseende. Genom den öppna formuleringen i artikel 14.1 b i direktiv 2000/31 ges emellertid en tjänsteleverantör även ett visst handlingsutrymme (”avlägsna informationen eller göra den oåtkomlig”) som gör det möjligt för denne att vidta en lämplig, proportionerlig och effektiv åtgärd. Det är på detta sätt som den bestämmelsen ska tolkas mot bakgrund av flera skäl i det direktivet.
89. I skäl 46 i direktiv 2000/31 anges nämligen att information ska avlägsnas i enlighet med ”förfaranden etablerade på nationell nivå för detta ändamål” och att det direktivet ”[inte] påverkar … medlemsstaternas möjligheter att fastställa särskilda krav som måste uppfyllas skyndsamt innan information avlägsnas eller görs oåtkomlig”. Det finns emellertid inget som tyder på att sådana förfaranden och krav ska ha fastställts i tillämplig nationell lagstiftning.
90. Det framgår under alla omständigheter av skäl 41 i direktiv 2000/31 att det direktivet skapar en balans mellan olika berörda intressen och fastställer de principer på vilka överenskommelser och normer inom branschen kan baseras. Vad mer specifikt gäller villkoret i artikel 14.1 b i det direktivet, anges i skäl 46 i detta att tjänsteleverantören ska avlägsna informationen eller göra den oåtkomlig med beaktande av principen om yttrandefrihet. EU-domstolen har i detta avseende påpekat att det undantag från ansvar som föreskrivs i artikel 14.1 i nämnda direktiv är ett uttryck för den jämvikt som direktivet syftar till att införa mellan de olika intressen som står på spel, däribland yttrandefriheten, som garanteras i artikel 11 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
91. Jag drar härav slutsatsen att, för att villkoret i artikel 14.1 b i direktiv 2000/31 ska anses vara uppfyllt, ska den olagliga informationen avlägsnas med iakttagande av den erforderliga sammanjämkning som ska göras av kraven på skydd för dessa olika rättigheter och friheter samt en rimlig avvägning mellan dem.
92. I detta hänseende gäller att, på samma sätt som iakttagandet av yttrandefriheten garanteras i stadgan och nämns i skäl 46 i direktiv 2000/31, garanteras även respekten för privatlivet i artikel 7 i stadgan. Med hänsyn till behovet av att införa en jämvikt mellan de intressen som står på spel, får syftet att effektivt skydda en persons anseende och heder emellertid inte uppnås genom att värdtjänstleverantören åläggs en alltför långtgående skyldighet.
93. Under dessa omständigheter och för att villkoret i artikel 14.1 b i direktiv 2000/31 ska anses vara uppfyllt samtidigt som de rättigheter som är aktuella iakttas, ska en värdtjänstleverantör vars tjänst används för att distribuera den information som denne lagrar vidare till sina avtalspartner vidta rimliga åtgärder för att säkerställa att detta innehåll, vid behov, avlägsnas eller blockeras även av värdtjänstleverantörens partner. Det skulle till exempel kunna tas med en klausul om detta i de avtal som ingås med dessa partner.
2) Tredje parts reproduktion av den omtvistade annonsen
94. Vid förhandlingen diskuterades inte enbart det fallet när en annons reproduceras av partner till en näringsidkare som driver en elektronisk marknadsplats, utan även det när en allmänt tillgänglig annons reproduceras av tredje part, utan näringsidkarens vetskap eller samtycke. Den fråga som behandlades var huruvida en näringsidkare som driver en elektronisk marknadsplats ska vidta åtgärder gentemot tredje part för att uppfylla villkoret i artikel 14.1 b i direktiv 2000/31, mot bakgrund övervägandena i punkt 91 i förevarande förslag till avgörande. Denna fråga ska besvaras nekande.
95. Villkoret i artikel 14.1 b i direktiv 2000/31 grundar sig nämligen på tanken att en värdtjänstleverantör utan dröjsmål ska vidta alla åtgärder som står i dennes makt för att stoppa olaglig verksamhet som bedrivs via eller på dennes tjänst. Frågan huruvida det villkoret är uppfyllt kan däremot inte vara beroende av åtgärder som ligger utanför värdtjänstleverantörens kontroll.
96. Utan att det påverkar de kompletterande anmärkningar som jag just har gjort beträffande de villkor som enligt artikel 14.1 i direktiv 2000/31 ska vara uppfyllda för att en tjänstelevererande mellanhand ska undantas från ansvar, står jag fast vid mitt föreslagna svar på den första frågan, vilket återfinns i punkt 64 i förevarande förslag till avgörande.
B. Den andra, den tredje och den fjärde frågan
97. Den hänskjutande domstolen har ställt den andra till den fjärde frågan för att, i huvudsak, få klarhet i huruvida artiklarna 5.1 b och f, 6.1 a, 7, 24 och 25 i den allmänna dataskyddsförordningen ska tolkas så, att en leverantör av informationssamhällets tjänster vars verksamhet består i att på en webbplats hysa annonser gratis eller mot betalning på begäran av sina användare är skyldig att först kontrollera annonsörens identitet (den andra frågan) och innehållet i de annonser som publiceras (den tredje frågan) samt att vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som innehåller personuppgifter reproduceras eller sprids på nytt (den fjärde frågan).
98. Dessa frågor avser även artiklarna 2.4, 4.7 och 4.11 i dataskyddsförordningen samt artikel 15 i direktiv 2000/31. För att ge ett användbart svar på dessa frågor räcker det emellertid att tolka dataskyddsförordningens bestämmelser, som nämns i föregående punkt i detta förslag till avgörande och som fastställer skyldigheterna och ansvaret för en aktör som deltar i behandling av personuppgifter.
99. För att besvara dessa frågor ska det dessutom först fastställas i vilken egenskap en sådan tjänsteleverantör deltar i behandlingen av personuppgifter. Den andra till den fjärde frågan förefaller i detta hänseende grunda sig på antagandet att Russmedia har handlat i egenskap av ”personuppgiftsansvarig”, i den mening som avses i artikel 4.7 i den allmänna dataskyddsförordningen. I de frågorna hänvisas det nämligen till den bestämmelsen och till ”en … leverantör … som är personuppgiftsansvarig”. I likhet med kommissionen är jag tveksam till en sådan rättslig kvalificering. Eftersom den kan ha betydelse för svaren på de frågor som har ställts för förhandsavgörande, kommer jag därför först att undersöka den rättsliga kvalificeringen av en näringsidkare som driver en marknadsplats enligt de kategorier som föreskrivs i dataskyddsförordningen (del 1) och därefter återkomma till frågan om den näringsidkarens skyldigheter och ansvar (del 2).
1. De rättsliga kvalificeringarna
a) Aktörer som behandlar personuppgifter
100. I artikel 4.7 i dataskyddsförordningen definieras begreppet personuppgiftsansvarig som en person som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. I den förordningen nämns en annan aktör som deltar i behandling av personuppgifter, nämligen ”personuppgiftsbiträdet”. En sådan aktör definieras i artikel 4.8 i nämnda förordning som en person som behandlar personuppgifter för den personuppgiftsansvariges räkning.
101. Kvalificeringen av en aktör som deltar i behandling av personuppgifter enligt de kategorier som föreskrivs i den allmänna dataskyddsförordningen avgör den aktörens skyldigheter och ansvar. Förevarande skyldigheter och ansvar fastställs i de bestämmelser som avses i den andra till den fjärde frågan.
102. All behandling av personuppgifter ska i själva verket ske i enlighet med de principer för behandling av uppgifter som anges i artikel 5.1 i dataskyddsförordningen och uppfylla de villkor för laglig behandling som anges i artikel 6 i denna. Det är den personuppgiftsansvarige som ansvarar för att de principerna iakttas och som, om behandlingen grundar sig på samtycke, ska kunna visa att den registrerade har samtyckt till behandling av uppgifterna, såsom krävs enligt artikel 7.1 i den förordningen. I samma anda föreskrivs i artiklarna 24 och 25 i nämnda förordning allmänna skyldigheter för den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs i enlighet med den förordningen.
103. Vidare avgör den egenskap i vilken aktör som deltar i behandlingen agerar också omfattningen av dennes ansvar för överträdelser av dataskyddsförordningen.
104. Enligt artikel 82.2 första meningen i dataskyddsförordningen ska nämligen ”[v]arje personuppgiftsansvarig som medverkat vid behandlingen … ansvara för skada som orsakats av behandling som strider mot denna förordning”. Den personuppgiftsansvarige ska anses ansvarig inte bara vid all behandling av personuppgifter som denne själv utför, utan även vid sådan behandling som utförs för dess räkning. I artikel 82.2 andra meningen i nämnda förordning föreskrivs däremot att ”[e]tt personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter i [den förordningen] som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar”.
b) Ändamålen och medlen för behandlingen
105. För att avgöra huruvida en enhet som deltar i behandling av personuppgifter kan anses vara personuppgiftsansvarig, i den mening som avses i artikel 4.7 i dataskyddsförordningen, måste det undersökas huruvida den enheten, för egna syften, faktiskt har inverkat på bestämmandet av ändamålen och medlen för behandlingen.
106. Behandlingsändamålet avser frågan om varför uppgifterna behandlas. Detta bestäms i princip av den person som har inlett behandlingen.
107. Ramarna för begreppet medel är mindre tydliga och måste fastställas mot bakgrund av utvecklingen av de ekonomiska och tekniska strukturer inom vilka uppgifterna behandlas. I stort sett gäller att medan ändamålet med en behandling rör skälet till att uppgifterna behandlas, ger medlen ett svar på frågan om hur detta syfte ska uppnås. Fastställandet av medlen består nämligen särskilt i att bestämma vilka uppgifter som ska behandlas, vem som kan få tillgång till dem och hur samt behandlingens varaktighet, i den mån ett sådant beslut kan innebära att behandlingsåtgärderna upphör. Medlen för behandlingen bestäms även genom beslut om vilka verktyg eller fysiska eller digitala hjälpmedel som ska användas för att samla in, förete eller sprida uppgifterna.
108. Den personuppgiftsansvarige är emellertid inte skyldig att fastställa alla tekniska och organisatoriska aspekter av behandlingen. Beslutet om att anförtro det åt ett personuppgiftsbiträde att behandla uppgifterna kan grunda sig på en önskan om att minska den personuppgiftsansvariges arbetsbörda, men även på det faktum att den personuppgiftsansvarige inte har den tekniska kunskap eller de medel som krävs för att organisera behandlingen. Denna tolkning, som styrs av den ekonomiska verkligheten, vinner stöd av dataskyddsförordningens bestämmelser.
109. Enligt artikel 28.3 i den allmänna dataskyddsförordningen ska visserligen behandlingens ändamål anges i ett avtal eller en annan rättsakt varigenom en personuppgiftsansvarig anförtror behandlingen åt ett personuppgiftsbiträde, men en sådan rättslig grund behöver dock inte ge ett uttömmande svar på frågan om hur uppgifterna kommer att behandlas. Den behöver endast ange föremålet för behandlingen, behandlingens varaktighet, art och ändamål samt typen av personuppgifter och kategorier av registrerade. Det ankommer således på den personuppgiftsansvarige att besluta i känsliga frågor som är grundläggande för att behandlingen ska vara laglig. Dessutom gäller att även om ett personuppgiftsbiträde agerar för en personuppgiftsansvarigs räkning och följer dennes anvisningar, kan eller till och med ska personuppgiftsbiträdet fastställa de tekniska och organisatoriska åtgärderna för behandlingen, utan att överskrida sin roll som personuppgiftsbiträde. Beslut om icke-väsentliga medel är med andra ord inte tillräckligt för att en person som deltar i behandlingen av uppgifter ska beviljas ställning som personuppgiftsansvarig.
110. Det är på grundval av de kriterier som anges i punkterna 106–109 i förevarande förslag till avgörande som den hänskjutande domstolen ska avgöra huruvida Russmedia kan anses vara personuppgiftsansvarig. Jag kommer att behandla denna problematik för att förse den nationella domstolen med de uppgifter om unionsrättens tolkning som den behöver för att avgöra det mål som är anhängigt vid den.
c) Näringsidkare som driver en elektronisk marknadsplats och dataskyddsförordningen
111. Jag vill inledningsvis påpeka att behandling av personuppgifter i annonser som publiceras på en elektronisk marknadsplats ska särskiljas från behandling av uppgifter från annonsörer som skapar ett konto hos den näringsidkare som driver denna marknadsplats för att publicera sina annonser. Skapandet av ett sådant konto och andra åtgärder avseende uppgifter som tillhandahålls av en annonsör utgör behandlingsåtgärder för vilka den aktuella näringsidkaren är ansvarig enligt dataskyddsförordningen. Det är, i huvudsak, näringsidkaren som avgör vilka uppgifter som är nödvändiga för att registrera ett konto och som bestämmer ändamålet med behandlingen av dem när det förfarandet för registrering av annonsörerna inrättas.
112. I beslutet om hänskjutande ställs frågan huruvida en näringsidkare som driver en elektronisk marknadsplats, för egna syften, även inverkar på bestämmandet av ändamålen och medlen för behandlingen av personuppgifter som eventuellt finns i de annonser som publiceras på näringsidkarens elektroniska marknadsplats.
113. Vad gäller ändamålet med behandlingen av de uppgifter som finns i en elektronisk annons, är syftet med att publicera en annons på en elektronisk marknadsplats i allmänhet att marknadsföra den produkt eller tjänst som en annonsör erbjuder bland allmänheten. Detta ändamål bestäms således av annonsören i fråga. Den näringsidkare som driver denna elektroniska marknadsplats förefaller däremot inte, för egna syften, inverka på skälet till att de annonserna publiceras. Förevarande mål är en perfekt illustration av detta specifika särdrag i en elektronisk marknadsplats funktion. Den omtvistade annonsen lades nämligen inte ut på internet för att marknadsföra en annonsörs tjänst, utan för att skada klaganden i det nationella målet. Näringsidkaren har inte haft någon inverkan på det beklagansvärda motivet hos den som har skapat den annonsen.
114. När det gäller fastställandet av medlen för behandlingen är det annonsören som inverkar på svaret på frågan hur uppgifterna behandlas. Annonsören bestämmer nämligen om uppgifter ska finnas med i annonsen och, om så är fallet, vilka. Det är däremot högst sannolikt att en näringsidkare som driver en elektronisk marknadsplats inte ens känner till att en annons innehåller personuppgifter. Även om det är riktigt att den näringsidkaren bestämmer layouten för annonserna och andra tekniska och organisatoriska aspekter av hur denna elektroniska marknadsplats fungerar, vill jag dessutom påpeka, med hänsyn till de överväganden som jag har gjort i punkt 109 i förevarande förslag till avgörande, att nämnda näringsidkares inverkan på fastställandet av de icke-väsentliga medlen för behandlingen emellertid inte innebär att denne ska anses vara personuppgiftsansvarig.
115. En näringsidkare som driver en elektronisk marknadsplats, såsom Russmedia, förefaller således inte, för sina egna syften, inverka på bestämmandet av ändamålet och medlen för behandlingen av de personuppgifter som eventuellt finns i de annonser som publiceras på denna elektroniska marknadsplats. Om näringsidkaren deltar i behandlingen av dessa uppgifter, agerar denne som personuppgiftsbiträde, för en personuppgiftsansvarigs räkning och under dennes ansvar. Under dessa omständigheter ska användarna av en värdtjänst anses vara som ”personuppgiftsansvariga”, i den mening som avses i den allmänna dataskyddsförordningen.
116. Med hänsyn till de särskilda omständigheterna i förevarande mål ska några ytterligare preciseringar göras av de överväganden som jag nyss har gjort.
117. Oberoende av huruvida en registrerad kan anses vara personuppgiftsansvarig för sina egna personuppgifter enligt den allmänna dataskyddsförordningen, ska det för det första påpekas att den person som lade ut den omtvistade annonsen i förevarande fall inte själv berördes av uppgifterna i den annonsen.
118. För det andra framgår det av Russmedias användarvillkor för sin elektroniska marknadsplats att det bolaget förbehåller sig rätten att använda den information som lagrats på annonsörernas begäran. Russmedia får kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort denna information när som helst, även utan att behöva ange något skäl till detta. När en sådan åtgärd har vidtagits med avseende på de uppgifter som finns i en annons, kan det bolaget anses vara personuppgiftsansvarig för en specifik behandlingsåtgärd, med alla de skyldigheter och allt det ansvar som detta medför. En person kan nämligen vara ansvarig för behandlingar för vilka den bestämt ändamålen och medlen. Däremot, och utan att det påverkar eventuellt civilrättsligt ansvar enligt nationell lagstiftning i detta avseende, kan denna person inte anses vara ansvarig, i den mening som avses i den allmänna dataskyddsförordningen, för de tidigare eller senare åtgärderna i den övergripande behandlingskedjan, som denna varken fastställer ändamålen eller medlen för.
119. För det tredje motsvarar de överväganden som jag nyss har gjort den ståndpunkt som artikel 29-arbetsgruppen intog i sitt yttrande 1/2010 om begreppen registeransvarig och registerförare av den 16 februari 2010. Enligt den arbetsgruppen är nämligen en internetleverantör av webbhotelltjänster i princip registerförare för de personuppgifter som offentliggörs online av de kunder som använder leverantören som värd för sin webbplats och för dess underhåll. Om en sådan leverantör däremot behandlar de uppgifter som denne lagrar för sina egna ändamål, blir denne registeransvarig för de aktuella behandlingsåtgärderna. Denna ståndpunkt överensstämmer för övrigt med den som Europeiska dataskyddsstyrelsen intog i sina riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, vilka antogs den 7 juli 2021 och av vilka det framgår att en värdtjänstleverantör som inte fastställer huruvida den information som denne är host för är personuppgifter och som inte heller behandlar data på något annat sätt än att lagra den för sin kunds räkning är ett personuppgiftsbiträde.
120. Med förbehåll för den prövning av de faktiska omständigheterna som det ankommer på den hänskjutande domstolen att göra, anser jag således att EU-domstolen bör uppmärksamma den hänskjutande domstolen på att Russmedias kvalificering bör omprövas. Jag anser nämligen, i likhet med kommissionen, att det bolaget inte agerar som personuppgiftsansvarig utan som personuppgiftsbiträde när det gäller de behandlingsåtgärder som följer av publiceringen av den omtvistade annonsen. Detta antagande ska nu ligga till grund för prövningen av den andra till den fjärde frågan.
2. Skyldigheter och ansvar för en näringsidkare som driver en elektronisk marknadsplats
a) Fallet där en näringsidkare som driver en elektronisk marknadsplats anses vara personuppgiftsbiträde när det gäller behandlingen av de uppgifter som finns i annonserna
121. När det gäller de skyldigheter och det ansvar som enligt dataskyddsförordningen åvilar en näringsidkare som driver en elektronisk marknadsplats, ska åtskillnad göras mellan, å ena sidan, behandling av personuppgifter i de annonser som publiceras på den marknadsplatsen och, å andra sidan, behandling av uppgifter från de annonsörer som skapar ett konto hos den näringsidkaren.
1) Behandling av uppgifter i annonser
122. För det fall Russmedia faktiskt var personuppgiftsbiträde när det gäller behandlingen av personuppgifterna i annonserna, var det bolaget inte skyldigt att kontrollera huruvida behandlingen var tillåten och laglig. Såsom jag redan har påpekat framgår det nämligen av de bestämmelser som avses i den andra frågan att det är den personuppgiftsansvarige som ansvarar för att principerna för behandling av personuppgifter iakttas. I samma anda är personuppgiftsbiträdet, enligt de bestämmelser som avses i den tredje frågan, inte heller skyldigt att först kontrollera innehållet i den information som behandlas.
123. Syftet med den fjärde frågan är att få klarhet i huruvida Russmedia borde ha vidtagit skyddsåtgärder för att förhindra eller motverka att innehållet i de annonser som innehåller personuppgifter reproduceras eller sprids på nytt. Denna fråga avser tolkningen av artiklarna 5.1 b och f, 24 och 25 i dataskyddsförordningen. De bestämmelserna rör även de skyldigheterna för den personuppgiftsansvarige och inte för personuppgiftsbiträdet.
124. Med hänsyn härtill anges i artikel 32 i dataskyddsförordningen vilka skyldigheter den personuppgiftsansvarige och ett eventuellt personuppgiftsbiträde har när det gäller säkerheten i samband med denna behandling.
125. I artikel 32.1 i dataskyddsförordningen föreskrivs närmare bestämt att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till den risk som behandlingen utgör, med beaktande av den senaste utvecklingen, genomförandekostnaderna men också behandlingens art, omfattning, sammanhang och ändamål samt riskerna. På samma sätt anges i artikel 32.2 i den förordningen att personuppgiftsansvariga och eventuella personuppgiftsbiträden är skyldiga att vid bedömningen av vilken säkerhetsnivå som är lämplig särskilt ska ta hänsyn till de risker som personuppgiftsbehandlingen medför, bland annat risken för att uppgifter förstörs, förloras eller ändras samt risken för obehörigt röjande av eller obehörig åtkomst till personuppgifter som skett på ett oavsiktligt eller olagligt sätt.
126. I den del artikel 32.2 i dataskyddsförordningen avser personuppgiftsbiträdens skyldigheter, förutsätter den bestämmelsen att uppgiftsbehandling i enlighet med den personuppgiftsansvariges anvisningar är tillåten och laglig. Ett personuppgiftsbiträde är inte skyldigt att kontrollera de åtgärder som vidtas av den personuppgiftsansvarige för vars räkning personuppgiftsbiträdet behandlar uppgifter. Personuppgiftsbiträdet ska däremot vidta åtgärder för att säkerställa att behandlingen av personuppgifterna är säker mot intrång från tredje man. Artikel 32.1 i den förordningen utgör i själva verket ett konkret uttryck för de principer om integritet och konfidentialitet som anges i artikel 5.1 f i denna. Enligt de principerna ska uppgifter behandlas av den personuppgiftsansvarige eller för dennes räkning på ett sätt som säkerställer lämplig säkerhet för de uppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust.
127. Om annonser som publiceras på en elektronisk marknadsplats får reproduceras av andra webbplatsoperatörer, enligt användarvillkoren för den marknadsplatsen, vilka anges på denna och således är i förväg kända bland annonsörerna, ska personuppgiftsbiträdet vidta åtgärder för att avlägsna de raderade annonserna från den egna plattformen. Det kan nämligen visa sig att behandlingen inte eller inte längre är laglig, och den plattform genom vilken en annons sprids på nytt ska kunna få en överträdelse av dataskyddsförordningen att upphöra även hos sina partner. Ett sådant resultat är förenligt med det som avser en värdtjänstleverantörs iakttagande av villkoret i artikel 14.1 b i direktiv 2000/31.
128. Jag anser däremot inte, i motsats till vad den hänskjutande domstolen tycks göra i den fjärde frågan, att ett personuppgiftsbiträde ska vara skyldigt att förhindra eller motverka att annonser som innehåller personuppgifter reproduceras eller sprids på nytt. Det ankommer inte på personuppgiftsbiträdet att bestämma vem som ska ha åtkomst till dessa och hur.
2) Behandling av annonsörernas uppgifter
129. De skyldigheter och det ansvar som åvilar en näringsidkare som driver en elektronisk marknadsplats är mer omfattande när det gäller behandling av uppgifter från de annonsörer som skapar ett konto hos den näringsidkaren. Inom ramen för en sådan behandling är näringsidkaren personuppgiftsansvarig och artiklarna 24 och 25 i dataskyddsförordningen fullt tillämpliga på denne.
130. I artikel 24 i dataskyddsförordningen föreskrivs en allmän skyldighet för den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen av uppgifterna utförs i enlighet med den förordningen. Enligt artikel 25 i nämnda förordning ska den personuppgiftsansvarige, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder som är utformade för ett effektivt genomförande av dataskyddsprinciper och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i den förordningen uppfylls och den registrerades rättigheter skyddas.
131. Såsom framgår av artiklarna 24 och 25 i dataskyddsförordningen ska åtgärderna i fråga svara mot de risker som är specifika för det sammanhang i vilket personuppgifterna behandlas. Även om det ankommer på den hänskjutande domstolen, som förfogar över samtliga uppgifter om de faktiska omständigheterna avseende alla relevanta kriterier mot bakgrund av de bestämmelserna, att bedöma identifieringen av särskilda risker och fastställandet av de lämpliga medlen, vill jag icke desto mindre göra följande förtydliganden.
132. Såsom anges i skäl 75 i dataskyddsförordningen kan behandling av personuppgifter medföra risker för fysiska personers rättigheter och friheter, i synnerhet om behandlingen kan leda till identitetsbedrägeri och om registrerade kan hindras att utöva kontroll över sina personuppgifter. En identitet missbrukas nämligen i allmänhet för att begå bedrägliga handlingar, till skada för den registrerade eller för tredje part. En oansvarig användning av onlineplattformar kan dessutom leda till en kränkning av fysiska personers rättigheter, och dessa risker förvärras av att den person som är ansvarig för en sådan kränkning kan agera ostraffat.
133. Om den personuppgiftsansvarige driver en elektronisk marknadsplats som är tillgänglig för annonsörer som, vid användning av den marknadsplatsen, kan tillskansa sig en annan persons identitet för bedrägliga ändamål, ska den personuppgiftsansvarige följaktligen vidta åtgärder för att minska den risken. Såsom krävs enligt artikel 25 i dataskyddsförordningen ska den personuppgiftsansvarige, för att uppfylla kraven i den förordningen och skydda de registrerades rättigheter, beakta denna risk såväl vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen.
134. Under dessa omständigheter måste en näringsidkare som driver en elektronisk marknadsplats, enligt min mening, vidta tekniska eller organisatoriska åtgärder som gör det möjligt för denne att kontrollera annonsörernas identitet. En sådan kontroll skulle nämligen dels begränsa risken för olaglig eller otillbörlig behandling av personuppgifter gentemot den registrerade, dels göra det möjligt att bekämpa oansvarig användning av denna elektroniska marknadsplats, eftersom den skulle motverka en känsla av straffrihet bland annonsörerna.
135. Jag vill påpeka att antagandet att internet används anonymt inte utesluter en kontroll av annonsörernas identitet. Uppgifter från en annonsör får inte vara tillgängliga för samtliga plattformsanvändare. De får endast kontrolleras och lagras av den personuppgiftsansvarige, så att denne kan fullgöra sina skyldigheter enligt dataskyddsförordningen. Som kontroll kan näringsidkaren kräva att ett telefonnummer anges och att detta används för att bekräfta registreringen. En sådan lösning är inte ovanlig för onlineplattformar.
136. Det är riktigt att risker för identitetsbedrägerier inte kan undanröjas helt och hållet med en sådan åtgärd. Dataskyddsförordningen innebär emellertid endast en skyldighet för den personuppgiftsansvarige att vidta tekniska och organisatoriska åtgärder för att i möjligaste mån undvika personuppgiftsincidenter. Det rör sig således inte om en skyldighet att uppnå ett visst resultat, utan om att agera på ett visst sätt. I vilket fall som helst framgår det av beslutet om hänskjutande att Russmedia inte vidtog någon åtgärd för att kunna kontrollera identiteten på upphovsmannen till den omtvistade annonsen när den annonsen registrerades eller publicerades.
137. Under dessa omständigheter föreslår jag att svaret på den andra till den fjärde frågan blir att artiklarna 5.1 f, 6.1 a, 7, 24 och 25 i dataskyddsförordningen ska tolkas så, att en leverantör av informationssamhällets tjänster vars verksamhet består i att på en webbplats hysa annonser gratis eller mot betalning på begäran av sina användare agerar som personuppgiftsbiträde med avseende på personuppgifterna i de annonser som publiceras på dennes elektroniska marknadsplats att leverantören i detta sammanhang inte är skyldig att kontrollera innehållet i de annonser som publiceras eller att vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som publicerats via denne reproduceras eller sprids på nytt, men att leverantören icke desto mindre ska vidta lämpliga organisatoriska och tekniska åtgärder för att säkerställa behandlingens säkerhet i förhållande till tredje part, och att en sådan leverantör däremot agerar som personuppgiftsansvarig med avseende på personuppgifter från annonsörer som är registrerade på dennes webbplats och i detta sammanhang är skyldig att kontrollera dessa annonsörers identitet.
138. Jag kommer nu, för fullständighetens skull och för det fall EU‑domstolen inte delar min bedömning, kortfattat att undersöka de skyldigheter och de ansvar som åvilar en näringsidkare som driver en elektronisk marknadsplats och som anses vara personuppgiftsansvarig, i den mening som avses i artikel 4.7 i dataskyddsförordningen, när det gäller personuppgifter i de annonser som publiceras på dennes elektroniska marknadsplats. Den andra till den fjärde frågan tycks nämligen, såsom jag har nämnt, grunda sig på antagandet att Russmedia agerar som ”personuppgiftsansvarig”.
b) Fallet där en näringsidkare som driver en elektronisk marknadsplats anses vara personuppgiftsansvarig för de uppgifter som finns i annonserna
139. Inledningsvis vill jag påpeka att den omständigheten att en näringsidkare som driver en elektronisk marknadsplats är personuppgiftsansvarig inte nödvändigtvis innebär att en annonsör på den elektroniska marknadsplatsen inte också kan anses vara personuppgiftsansvarig.
140. Enligt dataskyddsförordningen förekommer det nämligen ett gemensamt ansvar som inte nödvändigtvis behöver innebära att de olika aktörer som deltar i behandlingen av personuppgifter har ett likvärdigt ansvar. Tvärtom kan dessa aktörer vara involverade i olika skeden av behandlingen och i olika utsträckning, vilket innebär att deras respektive ansvar ska bedömas med beaktande av alla relevanta omständigheter i det enskilda fallet.
141. Jag kommer emellertid att inrikta mig på de skyldigheter och det ansvar som åvilar en näringsidkare som driver en elektronisk marknadsplats, eftersom det i förevarande fall är fråga om en sådan näringsidkares ansvar för behandlingen av personuppgifter i en annons som har publicerats på dennes elektroniska marknadsplats.
142. Den andra och den tredje frågan avser huruvida en näringsidkare som driver en webbplats är skyldig att, före publiceringen av en annons, kontrollera identiteten på den person som publicerar annonsen respektive på den person som annonsen avser samt innehållet i de annonser som användarna har skickat.
143. I detta avseende är jag inte övertygad om att en näringsidkare som driver en elektronisk marknadsplats är skyldig att försäkra sig om att annonsören faktiskt är den person som personuppgifterna i en annons avser. En elektronisk marknadsplats kan nämligen också användas av en annonsör för att publicera en annons som avser en annan person.
144. En personuppgiftsansvarig måste emellertid kontrollera huruvida personuppgifterna behandlas efter samtycke från den berörda registrerade eller på någon annan legitim grund som fastställts i lag. En personuppgiftsansvarig har en sådan skyldighet enligt artiklarna 5.1 a, 6.1 och 7.1 i dataskyddsförordningen.
145. Om en näringsidkare som driver en elektronisk marknadsplats agerar som personuppgiftsansvarig, ska denne således försäkra sig om att den person vars uppgifter finns i en annons har samtyckt till behandlingen. Logiskt sett ska denne även kontrollera innehållet i samtliga annonser som en annonsör lämnar in, för att verifiera huruvida den innehåller personuppgifter.
146. Enligt den korrekthetsprincip som föreskrivs i artikel 5.1 a i dataskyddsförordningen ska den personuppgiftsansvarige även säkerställa att uppgifterna behandlas på ett korrekt sätt i förhållande till den registrerade. Enligt artiklarna 24 och 25 i den förordningen ska den personuppgiftsansvarige dessutom genomföra tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs i enlighet med förordningen. Den personuppgiftsansvarige ska därvid beakta de risker som är specifika för det sammanhang i vilket uppgifterna behandlas.
147. Behandling av personuppgifter som är offentligt tillgängliga i en onlinemiljö kan medföra risker för fysiska personers rättigheter och friheter och i synnerhet skador eller immateriell skada.
148. När en näringsidkare som driver en elektronisk marknadsplats ansvarar för behandlingen av personuppgifter i en annons som publiceras på den marknadsplatsen, ska denne kontrollera annonserna innan de publiceras på nätet, kontrollera huruvida de behandlas efter samtycke från den berörda registrerade eller på någon annan legitim grund som fastställts i lag och införa åtgärder mot behandling som är skadlig för de registrerade. Om näringsidkaren inte iakttar dessa principer kan denne hållas ansvarig för överträdelser av den förordningen, i enlighet med artikel 82 i dataskyddsförordningen.
149. Den fjärde frågan har ställts för att få klarhet i huruvida en näringsidkare som driver en elektronisk marknadsplats måste vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som publicerats via denne reproduceras eller sprids på nytt.
150. Om det, med hänsyn till det sammanhang i vilket behandlingen utförs, finns en möjlighet att annonserna reproduceras av andra webbplatser och att personuppgifterna behandlas vidare på ett sätt som strider mot de ändamål för vilka de har samlats in, kan den personuppgiftsansvarige överväga att vidta sådana åtgärder, som måste vara lämpliga. Jag är emellertid inte övertygad om att en näringsidkare som driver en elektronisk marknadsplats, vars ekonomiska logik, ur näringsidkarens och annonsörernas synvinkel, bygger på att de annonser som publiceras på den är tillgängliga för allmänheten, bör vara skyldig att motverka att dessa sprids på nytt. Det sedvanliga syftet med att lägga ut ett innehåll på nätet är dessutom, i allmänhet, att göra detta tillgängligt för samtliga internetanvändare, vilket förutsätter att innehållet sprids på nytt i viss mån. Mot bakgrund av de överväganden som jag har gjort i punkt 148 i förevarande förslag till avgörande, borde den omtvistade annonsen i vilket fall som helst inte ha publicerats på Russmedias elektroniska marknadsplats utan den registrerades samtycke.
151. Utan att det påverkar de kompletterande anmärkningar som jag har gjort ovan när det gäller en personuppgiftsansvarigs skyldigheter och ansvar, vidhåller jag min ståndpunkt att en näringsidkare som driver en elektronisk marknadsplats är personuppgiftsbiträde för de personuppgifter som publiceras på den marknadsplatsen. Under dessa omständigheter återstår det att undersöka förhållandet mellan direktiv 2000/31 och dataskyddsförordningen.
C. Förhållandet mellan regelverket i direktiv 2000/31 och regelverket i dataskyddsförordningen
152. Den andra och den tredje frågan avser bland annat artikel 2.4 i dataskyddsförordningen, vilken rör förhållandet mellan den förordningen och direktiv 2000/31. Dessutom avser de både de bestämmelser i den förordningen som fastställer den personuppgiftsansvariges skyldigheter och ansvar och artikel 15 i det direktivet. I frågorna förefaller det således förutsättas att dataskyddsförordningen och direktivet ska tillämpas parallellt.
153. Innan jag undersöker en sådan parallell tillämpning av dessa båda unionsrättsliga instrument (del 2), vill jag emellertid påpeka att det finns en viss konflikt mellan den situation som avses i den första frågan och den som avses i den andra till den fjärde frågan (del 1).
1. En neutral värdtjänstleverantör som personuppgiftsansvarig
154. Det ska erinras om att det följer av min analys att Russmedia agerade som personuppgiftsbiträde när det gäller behandlingen av personuppgifterna i de annonser som hade publicerats på dess elektroniska marknadsplats. Den hänskjutande domstolens arbetshypotes är däremot att det bolaget agerade som personuppgiftsansvarig. Under dessa omständigheter tas det i beslutet om hänskjutande upp frågan huruvida en näringsidkare som driver en elektronisk marknadsplats kan sitta på dubbla stolar, nämligen att vara en neutral värdtjänstleverantör för information som lagras på begäran av användaren av dennes tjänst, i den mening som avses i artikel 14.1 i direktiv 2000/31, och ansvarig för behandlingen av de personuppgifter som finns i den informationen. Den första frågan syftar nämligen till att få klarhet i huruvida Russmedia är en tjänstelevererande mellanhand, i den mening som avses i kapitel II avsnitt 4 i det direktivet. Den andra till den fjärde frågan tycks däremot grunda sig på antagandet att det bolaget ska anses vara ”personuppgiftsansvarig”, i den mening som avses i dataskyddsförordningen.
155. Jag är medveten om att EU-domstolen i sin rättspraxis inte har uteslutit att en personuppgiftsansvarig i den mening som avses i dataskyddsförordningen kan spela en neutral roll när det gäller information som innehåller sådana uppgifter och omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Denna iakttagelse har också gjorts av författare i doktrinen vad gäller nationell rättspraxis.
156. I domen i mål Google Spain och Google fann EU-domstolen visserligen inledningsvis att en sökmotorleverantör är registeransvarig för personuppgifter som finns i information som har publicerats eller lagts ut på internet av tredje man och som lokaliseras, indexeras och lagras av den leverantören. I domen i mål Google France och Google prövade EU-domstolen därefter frågan huruvida leverantören av denna sökmotor kunde omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Denna andra dom avsåg emellertid inte leverantören av nämnda sökmotor, utan en söktjänst. I den domen överlät EU-domstolen det dessutom åt den hänskjutande domstolen att bedöma huruvida den leverantörens roll överensstämde med den som utövas av en tjänstelevererande mellanhand, i den mening som avses i den bestämmelsen.
157. Av än större vikt är, såsom jag redan har påpekat, att en tjänstelevererande mellanhand, i den mening som lagstiftaren har avsett i kapitel II avsnitt 4 i direktiv 2000/31, inte kan spela en roll som ger denne kännedom om eller kontroll över de lagrade uppgifterna och därför måste begränsa sig till att tillhandahålla sin tjänst på ett neutralt sätt genom en rent teknisk behandling. Rollen som personuppgiftsansvarig innebär däremot att besluta om ändamålet och medlen för behandlingen av personuppgifter och att inverka på huruvida uppgifterna ska bli föremål för behandlingsåtgärder som registrering, ändring eller spridning och, i förekommande fall, på fastställandet av vilka uppgifter dessa är. Utövandet av ett sådant inflytande är förenligt med den neutrala roll som en leverantör av en av informationssamhällets tjänster bör bibehålla, när det gäller information som lagrats på användarnas begäran, för att kunna omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Såsom jag redan har förklarat innebär dataskyddsförordningen dessutom att den personuppgiftsansvarige åläggs skyldigheter och ansvar som kräver att denne agerar proaktivt. För att iaktta principerna för behandling av personuppgifter måste den personuppgiftsansvarige i huvudsak ha kännedom om de berörda uppgifterna och utöva kontroll över dem. En sådan kontroll är inte heller förenlig med den neutrala roll som en sådan tjänsteleverantör ska ha.
158. Om en värdtjänst består i lagring av information som, enligt dataskyddsförordningen, utgör personuppgifter och om leverantören av denna tjänst anses vara personuppgiftsansvarig, i den mening som avses i den förordningen, är den leverantörens roll således inte begränsad till neutral lagring av sådan information. Den som tillhandahåller en sådan tjänst intar följaktligen en aktiv roll när det gäller den informationen och kan inte omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
159. Den konflikt som finns mellan den situation som avses i den första frågan och den som avses i den andra till den fjärde frågan ger stöd för att dataskyddsförordningen ska tolkas så, att en näringsidkare som driver en elektronisk marknadsplats inte agerar som personuppgiftsansvarig för personuppgifterna i de annonser som denne lagrar på annonsörernas begäran, utan som personuppgiftsbiträde för de uppgifterna.
160. Jag vill för fullständighetens skull påpeka att jag inte kan utesluta att unionslagstiftaren har valt att inte förhindra att en värdtjänstleverantör som agerar som personuppgiftsansvarig kan omfattas av undantaget från ansvar inom ramen för förordningen om digitala tjänster. Även om artiklarna 12–15 i direktiv 2000/31 utgick genom den förordningen, har de emellertid återgetts i förordningen, såsom de har tolkats av EU-domstolen. I den förordningen anges dessutom i artikel 7 att ”[e]nbart det faktum att leverantörer av förmedlingstjänster i god tro och aktsamt utför frivilliga undersökningar på eget initiativ … eller vidtar åtgärder som är nödvändiga för att uppfylla kraven i unionsrätten och nationell rätt, i överensstämmelse med unionsrätten, … innebär inte att de inte ska vara berättigade att omfattas av [undantagen] från ansvar …”. Den första delen av den bestämmelsen, som avser ”åtgärder som en leverantör frivilligt vidtar”, har gemensamma inslag med den rättspraxis som EU-domstolen redan har utvecklat med avseende på direktiv 2000/31. Den andra delen, som avser ”åtgärder som vidtas för att uppfylla kraven i unionsrätten” och som har lagts till genom den förordningen, innebär att en värdtjänstleverantör kan uppfylla sina skyldigheter enligt dataskyddsförordningen och bibehålla rollen som en neutral tjänstelevererande mellanhand. Direktiv 2000/31 innehåller emellertid inte någon bestämmelse med denna innebörd, och det finns ingen anledning att införa en sådan genom tolkning av det direktivet.
161. Det återstår att avgöra huruvida en aktör som deltar i behandling av personuppgifter i egenskap av personuppgiftsbiträde, vars ansvar för behandlingen av de uppgifterna kan åberopas för en överträdelse av dataskyddsförordningen, kan omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
2. Parallell tillämpning av dataskyddsförordningen och direktiv 2000/31
162. Det problem som tas upp i beslutet om hänskjutande beror på att information som hade lagrats på begäran av en tjänstemottagare innehöll personuppgifter som hade behandlats i strid med dataskyddsförordningen. Därav den fråga som är tvistig mellan parterna i det nationella målet och som sedan länge har varit föremål för diskussion i doktrinen: Kan en aktör som deltar i behandling av personuppgifter och som kan hållas ansvarig för en överträdelse av dataskyddsförordningen omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31?
163. Det ska härvidlag påpekas att, enligt min analys av dessa båda unionsrättsliga instrument, kan en leverantör av en av informationssamhällets tjänster som är ansvarig för behandlingen av de personuppgifter som finns i den information som lagrats på begäran av användarna av den tjänsten inte omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Syftet med nedanstående analys är följaktligen endast att avgöra huruvida en leverantör som agerar som ett personuppgiftsbiträde för sådana uppgifter kan omfattas av det undantaget. Jag vill erinra om att jag, på grundval av min analys av dataskyddsförordningens bestämmelser, föreslår att EU-domstolen ska slå fast att Russmedia har agerat som personuppgiftsbiträde.
164. Det ska dessutom påpekas att den hänskjutande domstolen inte har preciserat huruvida Russmedia, i det nationella målet, kan hållas ansvarigt för en överträdelse av dataskyddsförordningen enligt artikel 82 i den förordningen eller med stöd av de bestämmelser om civilrättsligt ansvar som föreskrivs i nationell rätt. Ett åsidosättande av en bestämmelse om skydd av personuppgifter kan nämligen samtidigt medföra ett åsidosättande av andra bestämmelser, till exempel bestämmelser om konsumentskydd och personlighetsskydd, och unionslagstiftarens avsikt har inte varit att genomföra en uttömmande harmonisering av de rättsmedel som står till buds vid överträdelser av bestämmelserna i dataskyddsförordningen.
165. Vad gäller civilrättsligt ansvar innehåller under alla omständigheter såväl direktiv 2000/31 som dataskyddsförordningen bestämmelser som ger vägledning om förhållandet mellan dessa båda unionsrättsakter.
a) Relevanta bestämmelser i direktiv 2000/31
166. I artikel 1 i direktiv 2000/31, med rubriken ”Mål och tillämpningsområde”, föreskrivs i punkt 5 b att det direktivet inte ska tillämpas på frågor beträffande informationssamhällets tjänster som omfattas av unionsrättsliga bestämmelser som är tillämpliga inom området för personuppgifter. I den bestämmelsen hänvisas det närmare bestämt till direktiv 95/46 och 97/66, som har ersatts av dataskyddsförordningen respektive direktiv 2002/58/EG.
167. Vidare anges i skäl 14 i direktiv 2000/31, som rör den problematik som avses i artikel 1.5 i detta, att skydd för enskilda personer med avseende på behandling av personuppgifter endast regleras av direktiven 95/46 och 97/66, ”som i sin helhet är tillämpliga på informationssamhällets tjänster. I dessa direktiv upprättas redan en [unionsrättslig] ram för personuppgifter, och denna fråga behöver därför inte behandlas i [direktiv 2000/31] för att säkerställa att den inre marknaden fungerar väl, i synnerhet den fria rörligheten för personuppgifter mellan medlemsstaterna. Genomförandet och tillämpningen av [det sistnämnda direktivet] bör stå i full överensstämmelse med principerna om skydd för personuppgifter.”
168. EU-domstolen har redan tidigare tolkat artikel 1.5 b i direktiv 2000/31.
169. I domen i mål Promusicae behandlades nämligen frågan huruvida unionsrätten innebär att medlemsstaterna är skyldiga att lämna ut personuppgifter i tvistemål, i syfte att skapa ett effektivt skydd för upphovsrätten. I det målet hänvisade den hänskjutande domstolen till flera direktiv som enligt den kunde utgöra rättslig grund för en sådan skyldighet.
170. EU-domstolen fann i det hänseendet att det framgår av artikel 1.5 b i direktiv 2000/31 att en sådan skyldighet, under förutsättning att den föreskrivs i det direktivet, inte får inverka på kraven som rör skydd för personuppgifter. EU-domstolen förefaller således anse att en parallell tillämpning av det direktivet och de unionsrättsliga instrumenten om skydd av personuppgifter är tänkbar.
171. I domen i mål La Quadrature du Net m.fl. prövade EU‑domstolen därefter frågan huruvida direktiv 2000/31 utgör hinder för en nationell lagstiftning enligt vilken leverantörer som tillhandahåller allmänheten tillgång till internetkommunikationstjänster och värdtjänstleverantörer är skyldiga att generellt och odifferentierat lagra personuppgifter förbundna med dessa tjänster. Den hänskjutande domstolen ansåg att den frågan reglerades av det direktivet och att artikel 15 i detta inte i sig inför ett principiellt förbud mot lagring av uppgifter om skapande av innehåll från vilket det endast i undantagsfall får göras avsteg.
172. EU-domstolen fann att direktiv 2000/31 inte är tillämpligt på skyddet för konfidentialitet vid kommunikationer och på skyddet för fysiska personer med avseende på behandlingen av personuppgifter i samband med informationssamhällets tjänster, då detta skydd, beroende på omständigheterna, regleras av direktiv 2002/58 eller av dataskyddsförordningen.
173. Den kategoriska karaktären hos detta svar beror på det sammanhang i vilket det svaret lämnades.
174. Det ska i själva verket inte förglömmas att skäl 15 i direktiv 2000/31 uttryckligen avser konfidentialiteten vid kommunikation och anger att enligt direktiv 97/66, som nämns i artikel 1.5 b i det förstnämnda direktivet, ”måste medlemsstaterna förbjuda alla andra än avsändarna och mottagarna att på något sätt fånga upp eller övervaka kommunikationen, utom när sådana åtgärder är lagligen tillåtna”. Direktiv 2002/58, som har ersatt direktiv 97/66, bekräftar detta förbud och fastställer villkoren för när medlemsstaterna får avvika från detta. Dessutom begränsas medlemsstaternas handlingsutrymme när det gäller att införa undantag med avseende på skydd av personuppgifter i artikel 23 i dataskyddsförordningen.
175. För att komma fram till den slutsats som det erinras om i punkt 171 i förevarande förslag till avgörande, har EU-domstolen dessutom påpekat att skyddet för konfidentialitet vid kommunikation och för enskilda personer med avseende på behandling av personuppgifter endast regleras i direktiv 2002/58 eller i dataskyddsförordningen och att det ”härvidlag [ska] preciseras att det skydd som direktiv 2000/31 är avsett att säkerställa under inga omständigheter får undergräva de krav som följer av direktiv 2002/58 och [dataskyddsförordningen]”.
176. Det framgår således av rättspraxis avseende artikel 1.5 b i direktiv 2000/31 att det direktivet inte är tillämpligt på frågor som är föremål för särskild reglering inom ramen för direktiv 2002/58 och dataskyddsförordningen och att direktiv 2000/31 och de unionsrättsliga bestämmelser som är tillämpliga inom området för personuppgifter däremot är parallellt tillämpliga i alla andra frågor, men att bestämmelserna i det direktivet inte får inverka på kraven på skydd av sådana uppgifter.
b) Relevanta bestämmelser i dataskyddsförordningen
177. Den tolkning som jag har gjort i punkt 176 i förevarande förslag till avgörande vinner stöd av artikel 2.4 i dataskyddsförordningen, där det föreskrivs att den förordningen ”inte påverkar” tillämpningen av direktiv 2000/31, särskilt bestämmelserna om tjänstelevererande mellanhänders ansvar i artiklarna 12–15 i det direktivet.
178. Även om konstaterandet i unionsrätten att en rättsakt eller någon av dess bestämmelser ”inte påverkar” tillämpningen av något annat instrument kan leda till olika lösningar, preciseras det i dataskyddsförordningen att den förordningen särskilt inte påverkar tillämpningen av specifika bestämmelser i direktiv 2000/31. Unionslagstiftaren har således velat betona att den förordningen inte begränsar tillämpningsområdet för de specifika bestämmelserna i det direktivet. Dataskyddsförordningen kan således inte anses ha företräde framför direktiv 2000/31 på den grunden att den antogs efter det direktivet.
c) Slutanmärkningar
179. Mot bakgrund av det ovan anförda är såväl direktiv 2000/31, såsom det har tolkats av EU-domstolen, som dataskyddsförordningen utformade på ett sådant sätt att de kan tillämpas parallellt på frågor som inte omfattas av någon särskild reglering inom ramen för den förordningen. Det återstår således att avgöra huruvida dataskyddsförordningen innehåller en bestämmelse som fyller en funktion som är jämförbar med funktionen hos artikel 14.1 i det direktivet.
180. I detta hänseende föreskrivs i artikel 82.3 i dataskyddsförordningen att en personuppgiftsansvarig eller ett personuppgiftsbiträde, beroende på omständigheterna, ska undgå ansvar för skada som orsakats av behandling som strider mot den förordningen ”om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan”. I fall där en personuppgiftsincident har ägt rum till följd av agerande från ”tredje part”, i den mening som avses i artikel 4.10 i nämnda förordning, kan den personuppgiftsansvarige eller personuppgiftsbiträdet befria sig från sitt ansvar med stöd av artikel 82.3 i den förordningen genom att visa att det inte finns något orsakssamband mellan dennes eventuella åsidosättande av sin skyldighet att skydda personuppgifter och den skada som den fysiska personen har lidit.
181. Jag anser att artikel 82.3 i dataskyddsförordningen inte utgör en bestämmelse om ansvarsfrihet som fyller en funktion som är jämförbar med funktionen hos artikel 14.1 i direktiv 2000/31.
182. Artikel 14.1 i direktiv 2000/31 är nämligen endast tillämplig om en tjänstelevererande mellanhand, enligt de bestämmelser som är tillämpliga på denne, kan hållas ansvarig för information som lagrats på begäran av användarna av dennes förmedlingstjänst. Frågan huruvida den bestämmelsen är tillämplig uppkommer således endast om villkoren för den tjänsteleverantörens ansvar för den lagrade informationen, vilka föreskrivs i de tillämpliga bestämmelserna, är uppfyllda. Villkoren för den rätt till ersättning som föreskrivs i artikel 82 i dataskyddsförordningen fastställs i detta hänseende i punkterna 1–3 i den artikeln. Genom artikel 82.3 i den förordningen införs endast ett villkor för detta ansvar. En förutsättning för att den personuppgiftsansvarige ska kunna hållas ansvarig med stöd av artikel 82 i nämnda förordning är nämligen att denne har begått ett fel, och att det föreligger en presumtion om sådant fel om den personuppgiftsansvarige inte visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan, i den mening som avses i punkt 3.
183. Ett personuppgiftsbiträde som kan hållas ansvarigt enligt artikel 82 i dataskyddsförordningen kan således omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
184. Det ska emellertid erinras om att ett personuppgiftsbiträde endast kan hållas ansvarigt enligt artikel 82.2 andra meningen i dataskyddsförordningen om denne inte har fullgjort de skyldigheter i den förordningen som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. De skyldigheter och det ansvar som åvilar en näringsidkare som driver en elektronisk marknadsplats och som agerar som personuppgiftsbiträde för uppgifter i annonser som publiceras på dennes plattform är således framför allt kopplade till artikel 32 i nämnda förordning.
185. Såsom jag redan har nämnt, är det emellertid inte uppenbart att Russmedia, i det nationella målet, kan hållas ansvarigt för en överträdelse av dataskyddsförordningen enligt artikel 82 i den förordningen eller med stöd av nationella bestämmelser. Om ansvar för en överträdelse av nämnda förordning kan tillskrivas med stöd av nationella bestämmelser (vilket innebär att artikel 82.3 i den förordningen inte är tillämplig), finns det än mindre skäl för att den berörda enheten inte ska kunna omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31.
186. Sammanfattningsvis anser jag att en aktör som deltar i behandling av personuppgifter i egenskap av personuppgiftsbiträde, som kan hållas ansvarigt för en överträdelse av dataskyddsförordningen, kan omfattas av det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31. Min slutsats om förhållandet mellan dessa båda unionsrättsliga instrument påverkar således inte de svar som jag föreslår på tolkningsfrågorna.
V. Förslag till avgörande
187. Mot bakgrund av ovanstående överväganden föreslår jag att EU‑domstolen besvarar de tolkningsfrågor som ställts av Curtea de Apel Cluj (Appellationsdomstolen i Cluj, Rumänien) på följande sätt: 1) Artikel 14.1 i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) ska tolkas så, att en leverantör av en av informationssamhällets tjänster, som består i att tillhandahålla användarna en elektronisk marknadsplats där annonser publiceras gratis eller mot betalning, kan omfattas av det undantag från ansvar som föreskrivs i den bestämmelsen även när denne, enligt användarvillkoren för sin elektroniska marknadsplats, inte gör anspråk på äganderätten till detta innehåll samtidigt som vederbörande icke desto mindre bibehåller rätten att använda det innehåll som tillhandahålls eller publiceras, laddas upp eller vidarebefordras, inbegripet rätten att kopiera, sprida, vidarebefordra, publicera, återge, ändra, översätta, överlåta till partner och ta bort detta när som helst, även utan att behöva ange något skäl till detta, under förutsättning att tjänsteleverantören inte vidtar några åtgärder som gör att denne förlorar sin ställning som neutral värdtjänstleverantör. 2) Artiklarna 5.1 f, 6.1 a, 7, 24 och 25 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att en leverantör av informationssamhällets tjänster vars verksamhet består i att på en webbplats hysa annonser gratis eller mot betalning på begäran av sina användare agerar som personuppgiftsbiträde med avseende på personuppgifterna i de annonser som publiceras på dennes elektroniska marknadsplats, att leverantören i detta sammanhang inte behöver kontrollera innehållet i de annonser som publiceras eller vidta skyddsåtgärder för att förhindra eller motverka att innehåll i annonser som publicerats via denne reproduceras eller sprids på nytt, men att leverantören icke desto mindre ska vidta lämpliga organisatoriska och tekniska åtgärder för att säkerställa behandlingens säkerhet i förhållande till tredje part, och att leverantören däremot agerar som personuppgiftsansvarig med avseende på personuppgifter från annonsörer som är registrerade på dennes webbplats och i detta sammanhang är skyldig att kontrollera dessa annonsörers identitet.
1 Originalspråk: franska.
2 Europaparlamentets och rådets direktiv av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) (EGT L 178, 2000, s. 1).
3 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
4 Europaparlamentets och rådets direktiv av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
5 Europaparlamentets och rådets direktiv av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet (EGT L 24, 1998, s. 1).
6 Monitorul Oficial al României, del I, nr 483 av den 5 juli 2002.
7 Monitorul Oficial al României, del I, nr 403 av den 10 maj 2006.
8 Den bestämmelsen återges visserligen inte i beslutet om hänskjutande, men i den fastställs grunderna för försvar för en person vars icke ekonomiska rättigheter har åsidosatts eller äventyrats. En sådan person kan vid domstol bland annat yrka skadestånd eller, i förekommande fall, ekonomisk ersättning för den skada som vederbörande har åsamkats, för det fall att den kan tillskrivas skadevållaren.
9 Tillämpningsföreskrifterna till lag nr 365/2002 har antagits genom Hotărârea Guvernului nr 1.308/2002 (regeringsbeslut nr 1308) och utgör en administrativ rättsakt av normativ karaktär. I artikel 11.1 i det beslutet föreskrivs att ”[l]everantörer av informationssamhällets tjänster som erbjuder sådana tjänster som avses i artiklarna 12–15 i [lag nr 365/2002] är inte skyldiga att kontrollera den information som de överför eller lagrar och inte heller att aktivt söka efter uppgifter om verksamhet eller information som kan vara av olaglig art inom området för de av informationssamhällets tjänster som de tillhandahåller”.
10 Se dom av den 12 juli 2011 ( C‑324/09, EU:C:2011:474, punkt 116) (nedan kallad domen i mål L’Oréal m.fl.).
11 Se domen i mål L’Oréal m.fl. (punkt 124).
12 Dom av den 11 september 2014 ( C‑291/13, EU:C:2014:2209, punkt 46).
13 Se dom av den 23 mars 2010, Google France och Google ( C‑236/08–C‑238/08, EU:C:2010:159, punkt 107).
14 Se, vad gäller bestämmelser som införlivar unionsrätten, Wilman, F., The Responsibility of Online Intermediaries for Illegal User Content in the EU and the US, Edward Elgar, Cheltenham – Northampton, 2020, s. 18, punkt 2.18. Se även, vad gäller unionsrätten som sådan, skäl 17 i Europaparlamentets och rådets förordning (EU) 2022/2065 av den 19 oktober 2022 om en inre marknad för digitala tjänster och om ändring av direktiv 2000/31/EG (förordningen om digitala tjänster) (EUT L 277, 2022, s. 1) och rättelsen (EUT L 310, 2022, s. 17) (nedan kallad förordningen om digitala tjänster).
15 Enligt domstolen i första instans var nämligen de rättsstridiga handlingar som Russmedia tillskrivits en följd av en överträdelse av dataskyddsförordningen. Diskussionen mellan parterna vid domstolen i andra instans och vid den hänskjutande domstolen rörde dessutom frågan huruvida artikel 14.1 i direktiv 2000/31 kan åberopas för att befria en leverantör från ansvar för en överträdelse av den förordningen. Se punkt 28 i förevarande förslag till avgörande.
16 Se punkt 5 i förevarande förslag till avgörande.
17 Se punkt 29 i förevarande förslag till avgörande.
18 Russmedia har således hävdat att det är ”en leverantör … som påstår sig ha en rent teknisk roll vid publiceringen av användarnas annonser (tillhandahåller plattformen)”.
19 Se punkt 29 i förevarande förslag till avgörande.
20 Se dom av den 23 mars 2010, Google France och Google ( C‑236/08–C‑238/08, EU:C:2010:159, punkterna 112 och 113).
21 Se domen i mål L’Oréal m.fl. (punkt 113).
22 Se domen i mål L’Oréal m.fl. (punkt 115).
23 I den bestämmelsen föreskrivs, i huvudsak, att en sådan tjänsteleverantör inte får ha kännedom om förekomsten av olaglig verksamhet eller olaglig information. Se punkt 68 i förevarande förslag till avgörande.
24 Se, för ett liknande resonemang, dom av den 22 juni 2021, YouTube och Cyando ( C‑682/18 och C‑683/18, EU:C:2021:503, punkt 114) (nedan kallad domen i mål YouTube och Cyando).
25 Domen i mål L’Oréal m.fl. (punkt 116).
26 Dom av den 11 september 2014, Papasavvas ( C‑291/13, EU:C:2014:2209, punkt 45).
27 Såsom kommissionen påpekade vid förhandlingen förekom till exempel en liknande klausul i de allmänna användarvillkoren för den videodelningsplattform som var i fråga i domen i mål YouTube och Cyando (punkt 30). Kommissionen har dessutom i sina skriftliga yttranden påpekat att de allmänna användarvillkoren för Russmedias elektroniska marknadsplats inte förefaller skilja sig väsentligt från dem som tillämpades av den näringsidkare som drev den aktuella plattformen i domen i mål L’Oréal m.fl.
28 Se, för ett liknande resonemang, domen i mål L’Oréal m.fl. (punkt 122) och domen i mål YouTube och Cyando (punkt 115).
29 Se, för ett liknande resonemang, domen i mål YouTube och Cyando (punkt 113).
30 Se, för ett liknande resonemang, domen i mål YouTube och Cyando (punkterna 111 och 112).
31 Se, för ett liknande resonemang, dom av den 3 oktober 2019, Glawischnig-Piesczek ( C‑18/18, EU:C:2019:821, punkt 42).
32 Punkt 108 i den domen.
33 Europaparlamentets och rådets direktiv av den 22 maj 2001 om harmonisering av vissa aspekter av upphovsrätt och närstående rättigheter i informationssamhället (EGT L 167, 2001, s. 10).
34 Se dom av den 14 juni 2017, Stichting Brein ( C‑610/15, EU:C:2017:456, punkterna 36, 45 och 48).
35 Se punkt 76 i förevarande förslag till avgörande.
36 Se, för ett liknande resonemang, mitt förslag till avgörande i målen Airbnb Ireland m.fl. ( C‑662/22–C‑667/22, EU:C:2024:18, punkterna 4 och 5).
37 Se artiklarna 5–7 och 10 i direktiv 2000/31.
38 Se, exempelvis, artikel 5 i Europaparlamentets och rådets förordning (EU) 2021/784 av den 29 april 2021 om åtgärder mot spridning av terrorisminnehåll online (EUT L 172, 2021, s. 79) och artikel 28b i Europaparlamentets och rådets direktiv 2010/13/EU av den 10 mars 2010, om samordning av vissa bestämmelser som fastställs i medlemsstaternas lagar och andra författningar om tillhandahållande av audiovisuella medietjänster (direktiv om audiovisuella medietjänster) (EUT L 95, 2010, s. 1, och rättelse i EUT L 263, 2010, s. 15), i dess lydelse enligt Europaparlamentets och rådets direktiv (EU) 2018/1808 av den 14 november 2018 (EUT L 303, 2018, s. 69).
39 Se artikel 35.1 c i förordningen om digitala tjänster.
40 Se punkt 83 i förevarande förslag till avgörande.
41 Se, för ett liknande resonemang, domen i mål YouTube och Cyando (punkt 113).
42 Se, för ett liknande resonemang, dom av den 3 oktober 2019, Glawischnig-Piesczek ( C‑18/18, EU:C:2019:821, punkt 44).
43 Se artikel 5.2 i dataskyddsförordningen.
44 Se dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949, punkt 36).
45 Se, för ett liknande resonemang, dom av den 11 januari 2024, État belge (Personuppgifter som behandlas av en officiell tidning) ( C‑231/22, EU:C:2024:7, punkt 31).
46 Se dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 37), och dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949, punkt 32), där det framgår att den person som spelar en aktiv roll vid fastställandet av den personkrets vars uppgifter ska behandlas och beslutar vilka uppgifter som ska behandlas är personuppgiftsansvarig.
47 Se, för ett liknande resonemang, dom av den 11 januari 2024, État belge (Personuppgifter som behandlas av en officiell tidning) ( C‑231/22, EU:C:2024:7, punkt 33), där det framgår att valet av de kommunikationskanaler med hjälp av vilka tredje part kan konsultera uppgifterna bestämmer medlen för behandlingen.
48 Se, för ett liknande resonemang, dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 77), och dom av den 11 januari 2024, État belge (Personuppgifter som behandlas av en officiell tidning) ( C‑231/22, EU:C:2024:7, punkt 33).
49 Se, för ett liknande resonemang, van der Sloot, B., Welcome to the Jungle: The Liability of internet Intermediaries for Privacy Violations in Europe, Jipitec, vol. 6 nr 3, 2015, s. 217.
50 Se, beträffande denna problematik, Helberger, N. och van Hoboken, J, Little Brother Is Tagging You – Legal and Policy Implications of Amateur Data Controllers, Computer Law International (CRi), nr 4, 2010, s. 101 och följande sidor, samt Finck, M., Cobwebs of Control: The Two Imaginations of the data controller in EU Law, International Data Privacy Law, vol. 11, nr 4, 2021, s. 338–341.
51 Se, för ett liknande resonemang, dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 74).
52 I och med ikraftträdandet av den allmänna dataskyddsförordningen, ersattes denna arbetsgrupp med Europeiska dataskyddsstyrelsen (se artiklarna 68 och 94.2 i den förordningen).
53 Tillgängligt på följande webbadress: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_sv.pdf, s. 27.
54 Tillgängliga på följande webbadress: https://www.edpb.europa.eu/system/files/2023–10/edpb_guidelines_202007_controllerprocessor_final_fr.pdf, punkt 40.
55 Se punkt 102 i förevarande förslag till avgörande.
56 Se, för ett liknande resonemang, dom av den 25 januari 2024, MediaMarktSaturn ( C‑687/21, EU:C:2024:72).
57 Se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein ( C‑667/21, EU:C:2023:1022, punkt 68).
58 Se punkt 93 i förevarande förslag till avgörande.
59 Se punkt 111 i förevarande förslag till avgörande.
60 Se, för ett liknande resonemang, dom av den 14 december 2023, Natsionalna agentsia za prihodite ( C‑340/21, EU:C:2023:986, punkt 30).
61 Se punkt 99 i förevarande förslag till avgörande.
62 Se, beträffande denna problematik, punkt 115 i förevarande förslag till avgörande.
63 Se punkt 137 i förevarande förslag till avgörande.
64 Se punkt 120 i förevarande förslag till avgörande.
65 Se, för ett liknande resonemang, Keller, D., The Right Tools: Europe’s Intermediary Liability Laws and the EU 2016 General Data Protection Regulation, Berkeley Technology Law Journal, vol. 33, nr 1, 2018, s. 373.
66 Se dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317).
67 Se dom av den 23 mars 2010, Google France och Google ( C‑236/08–C‑238/08, EU:C:2010:159, punkterna 106–120).
68 Se dom av den 23 mars 2010, Google France och Google ( C‑236/08–C‑238/08, EU:C:2010:159, punkterna 114–119).
69 Se punkt 49 i förevarande förslag till avgörande.
70 Se punkterna 113–115 i förevarande förslag till avgörande.
71 Se punkt 148 i förevarande förslag till avgörande.
72 Se, beträffande denna rättsliga kvalificering, punkt 120 i förevarande förslag till avgörande.
73 Se artikel 89 i förordningen om digitala tjänster.
74 Min kursivering.
75 Se, för ett liknande resonemang, domen i mål YouTube och Cyando (punkt 115).
76 Enligt vissa författare i doktrinen ska det undantag från ansvar som föreskrivs i artikel 14.1 i direktiv 2000/31 tillämpas kumulativt med dataskyddsförordningen. Se, för ett liknande resonemang, Keller, D., The Right Tools: Europe’s Intermediary Liability Laws and the EU 2016 General Data Protection Regulation, Berkeley Technology Law Journal, vol. 33, nr 1, 2018, s. 371, och Sartor, G., Providers’ Liabilities in the New EU Data Protection Regulation: A threat to internet freedom?, International Data Privacy Law, vol. 3, nr 1, 2013, s. 5 och 8. Andra författare anser att dessa båda regelverk inte överlappar varandra. Se, för ett liknande resonemang, Riordan, J., The Liability of internet Intermediaires, Oxford University Press, Oxford, s. 383 och 384.
77 Se punkt 157 i förevarande förslag till avgörande.
78 Se punkt 120 i förevarande förslag till avgörande.
79 Se, för ett liknande resonemang, dom av den 28 april 2022, Meta Platforms Ireland ( C‑319/20, EU:C:2022:322, punkt 78).
80 Se, för ett liknande resonemang, dom av den 4 oktober 2024, Lindenapotheke ( C‑21/23, EU:C:2024:846, punkt 60).
81 Enligt artikel 94.2 i dataskyddsförordningen ska hänvisningar till direktiv 95/46 anses som hänvisningar till den förordningen.
82 Europaparlamentets och rådets direktiv av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37). Enligt artikel 19 i direktiv 2002/58 ska hänvisningar i unionsrätten till direktiv 97/66 anses som hänvisningar till det förstnämnda direktivet.
83 Dom av den 29 januari 2008 ( C‑275/06, EU:C:2008:54, punkterna 41 och 56).
84 Se, för ett liknande resonemang, dom av den 29 januari 2008, Promusicae ( C‑275/06, EU:C:2008:54, punkt 57).
85 Dom av den 6 oktober 2020 ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 193).
86 Se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 194).
87 Se dom av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 212).
88 Se dom av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 200).
89 Se, även, skäl 21 i dataskyddsförordningen.
90 Se punkt 176 i förevarande förslag till avgörande.
91 Se punkt 178 i förevarande förslag till avgörande.
92 Se dom av den 14 december 2023, Natsionalna agentsia za prihodite ( C‑340/21, EU:C:2023:986, punkt 72).
93 Se, för ett liknande resonemang, dom av den 21 december 2023, Krankenversicherung Nordrhein ( C‑667/21, EU:C:2023:1022, punkt 94).
94 Se, för ett liknande resonemang, dom av den 4 oktober 2024, Agentsia po vpisvaniyata ( C‑200/23, EU:C:2024:827, punkt 163).
95 Se punkt 126 i förevarande förslag till avgörande.