2. prosinca 2025. godine Sud Europske unije u Luxembourgu (u daljnjem tekstu: Sud) donio je presudu u predmetu oznake C-492/231 povodom zahtjeva za prethodnu odluku na temelju članka 267. Ugovora o funkcioniranju Europske unije2 (SL C 202, 7.6.2016., str. 1–388, u daljnjem tekstu: UFEU) koju je uputio Žalbeni sud u Cluju, Rumunjska u okviru spora između fizičke osobe X, s jedne strane, te društava Russmedia Digital SRL i Inform Media Press SRL (u daljnjem tekstu zajedno: društvo Russmedia), s druge strane, u vezi s tužbom za naknadu neimovinske štete koju je žaliteljica iz glavnog postupka pretrpjela zbog nezakonite obrade svojih osobnih podataka kao i zbog povrede svojeg prava na osobnu sliku, čast i ugled te privatan život.
Zahtjev za prethodnu odluku odnosi se na tumačenje članaka 12. do 15. Direktive 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini) (SL 2000., L 178, str. 1.; SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 39., str. 58.) te članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točaka (b) i (f), članka 6. stavka 1. točke (a) i članaka 7., 24. i 25. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).
Okolnosti spora i zahtjevi stranaka
Russmedia Digital, društvo osnovano u skladu s rumunjskim pravom, vlasnik je internetske stranice www.publi24.ro. Radi se o internetskoj platformi za trgovanje na kojoj se besplatno ili uz naknadu mogu objaviti oglasi. Ti se oglasi osobito odnose na prodaju robe ili pružanje usluga u Rumunjskoj.
Dana 1. kolovoza 2018. nepoznata osoba objavila je lažan, klevetnički i izrazito štetan oglas u kojem je žaliteljicu lažno prikazala kao osobu koja nudi seksualne usluge, pri čemu su bez njezine privole korištene njezine fotografije i broj telefona. Russmedia je, nakon što je o tome obaviještena, oglas uklonila unutar jednog sata, no sadržaj je ostao dostupan na drugim internetskim stranicama koje su ga ranije preuzele.
Žaliteljica je tužila Russmediju zbog povrede prava osobnosti, privatnosti i nezakonite obrade osobnih podataka. Prvostupanjski sud joj je dosudio 7000,00 EUR neimovinske štete. Međutim, drugostupanjski sud ukinuo je tu odluku, ocijenivši da je Russmedia djelovala kao pasivni pružatelj hosting usluge, bez utjecaja na sadržaj oglasa te da se stoga primjenjuje oslobođenje od odgovornosti iz rumunjskog Zakona 365/2002 o e-trgovini.
U novoj žalbi žaliteljica tvrdi da Russmedia nije pasivni poslužitelj, već aktivno upravlja sadržajem platforme, pohranjuje i obrađuje podatke te time izlazi iz okvira hosting-imuniteta. Također ističe kako oslobođenje od odgovornosti ne može isključiti primjenu OUZP-a ako su osobni podaci nezakonito obrađeni te da platforma omogućuje objavu sadržaja bez provjere identiteta korisnika i bez ikakvih mehanizama za sprječavanje zlouporabe osobnih podataka.
Russmedia osporava te navode i tvrdi da se na nju pravilno primjenjuju pravila o ograničenju odgovornosti za pružatelje usluga informacijskog društva.
Žalbeni sud u Cluju, čija je odluka u ovom predmetu konačna, želio je razjasniti granice oslobođenja od odgovornosti pružatelja usluga informacijskog društva prema Direktivi 2000/31, posebno u kontekstu platformi poput Russmedije.
Stoga je odlučio pokrenuti postupak pred Sudom kako bi dobio pojašnjenja o tumačenju prava Unije, osobito o obvezama koje ima operator internetske platforme za trgovanje na temelju OUZP-a kao i o tome može li on izbjeći te obveze na temelju oslobođenja od odgovornosti predviđenog Direktivom 2000/31 za pružatelje usluga informacijskog društva.
Slijedom navedenog, Žalbeni sud u Cluju je Sudu postavio sljedeća prethodna pitanja:
„1. Primjenjuju li se članci 12. do 14. Direktive [2000/31] i na davatelja [usluga informacijskog društva tipa] smještaja informacija na poslužitelju koji korisnicima stavlja na raspolaganje stranicu na kojoj se mogu objavljivati besplatni ili plaćeni oglasi i koji tvrdi da je njegova uloga u objavi oglasa korisnika isključivo tehnička (stavljanje na raspolaganje platforme), ali koji u općim uvjetima korištenja stranice navodi da ne traži pravo vlasništva nad dobivenim, objavljenim, učitanim ili poslanim sadržajem, pri čemu ipak zadržava pravo korištenja sadržaja, što uključuje njegovo umnožavanje, distribuciju, prijenos, objavu, reprodukciju, izmjenu, prijevod, ustupanje partnerima i brisanje u bilo kojem trenutku, a da za to ni ne treba imati razlog?
2. Je li, prema tumačenju članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točke (f), članka 6. stavka 1. točke (a), članaka 7., 24. i 25. [OUZP-a] te članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan prije objave nekog oglasa provjeriti jesu li osoba koja objavljuje oglas i vlasnik osobnih podataka na kojeg se odnosi oglas ista osoba?
3. Je li, prema tumačenju članka 2. stavka 4., članka 4. točaka 7. i 11., članka 5. stavka 1. točke (f), članka 6. stavka 1. točke (a), članaka 7., 24. i 25. [OUZP-a] te članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan prethodno provjeriti sadržaj oglasa koje dostavljaju korisnici kako bi onemogućio oglase koji su eventualno nezakoniti ili koji mogu ugroziti privatni i obiteljski život neke osobe?
4. Je li, prema tumačenju članka 5. stavka 1. točaka (b) i (f) te članaka 24. i 25. [OUZP-a] i članka 15. Direktive 2000/31, takav davatelj [usluga informacijskog društva tipa] smještaja informacija na poslužitelju, koji je voditelj obrade osobnih podataka, dužan primijeniti zaštitne mjere kojima se onemogućuju ili ograničavaju reprodukcija i redistribucija sadržaja oglasa koji su objavljeni njegovim posredstvom?”
Presuda Suda
Odlučujući o postavljenim prethodnim pitanjima, Sud obrazlaže kako je operator internetske platforme za trgovanje, kao što je to društvo Russmedia Digital, odgovoran u smislu OUZP-a za obradu osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje.
Naime, iako oglas postavlja korisnik, taj se oglas objavljuje na internetu i stoga postaje dostupan internetskim korisnicima samo zahvaljujući internetskoj platformi za trgovanje.
Stoga operator internetske platforme za trgovanje mora prije objave tih oglasa odgovarajućim tehničkim i organizacijskim mjerama identificirati one koji sadržavaju osjetljive podatke, poput onih o kojima je riječ u ovom predmetu, i provjeriti je li korisnik koji se sprema postaviti takav oglas osoba čiji se osjetljivi podaci nalaze u tim oglasima.
Ako to nije slučaj, operator mora provjeriti je li osoba čiji se podaci objavljuju dala svoju izričitu privolu za objavu. Ako takva privola ne postoji, operator internetske platforme za trgovanje mora odbiti objavu oglasa o kojem je riječ, osim ako je on obuhvaćen jednom od drugih iznimaka predviđenih OUZP-om.
Osim toga, operator internetske platforme za trgovanje mora nastojati spriječiti da se oglasi koji sadržavaju osjetljive podatke koji su objavljeni na njegovoj internetskoj stranici kopiraju i nezakonito objavljuju na drugim internetskim stranicama. U tu svrhu on mora provesti odgovarajuće tehničke i organizacijske sigurnosne mjere.
Naposljetku, Sud pojašnjava da operator internetske platforme za trgovanje ne može izbjeći te obveze, koje ima na temelju OUZP-a, pozivajući se na oslobođenje od odgovornosti predviđeno Direktivom 2000/31.
Slijedom svega navedenog, presuda Suda glasi:
1. Članak 5. stavak 2. i članke 24. do 26. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti osobnih podataka)
treba tumačiti na način da je:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan prije objave oglasa i posredstvom odgovarajućih tehničkih i organizacijskih mjera
– identificirati oglase koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe,
– provjeriti je li korisnik koji je oglašivač koji se sprema postaviti takav oglas osoba čiji se osjetljivi podaci nalaze u tom oglasu i, ako to nije slučaj,
– odbiti objavu predmetnog oglasa, osim ako taj korisnik koji je oglašivač može dokazati da je ispitanik dao svoju izričitu privolu za objavu predmetnih podataka na toj internetskoj platformi za trgovanje u smislu tog članka 9. stavka 2. točke (a) ili da je ispunjena jedna od drugih iznimaka predviđenih navedenim člankom 9. stavkom 2. točkama (b) do (j).
2. Članak 32. Uredbe 2016/679
treba tumačiti na način da je:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. te uredbe, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, dužan provesti odgovarajuće tehničke i organizacijske sigurnosne mjere kako bi spriječio kopiranje i nezakonito objavljivanje na drugim internetskim stranicama oglasa koji su objavljeni na toj internetskoj platformi za trgovanje i koji sadržavaju osjetljive podatke u smislu članka 9. stavka 1. navedene uredbe.
3. Članak 1. stavak 5. točku (b) Direktive 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini) i članak 2. stavak 4. Uredbe 2016/679
treba tumačiti na način da se:
operator internetske platforme za trgovanje, kao voditelj obrade, u smislu članka 4. točke 7. Uredbe 2016/679, osobnih podataka sadržanih u oglasima objavljenima na njegovoj internetskoj platformi za trgovanje, ne može pozivati u pogledu povrede obveza koje proizlaze iz članka 5. stavka 2. i članaka 24. do 26. i 32. te uredbe na članke 12. do 15. te direktive koji se odnose na odgovornost posrednih davatelja usluga.
Zaključak
Presuda u predmetu C-492/23 predstavlja važnu prekretnicu u razgraničenju odgovornosti internetskih platformi. Sud Europske unije utvrdio je da operator internetske platforme, kada omogućuje objavu sadržaja koji sadrži osobne, osobito osjetljive podatke, preuzima ulogu voditelja obrade te mora postupati u skladu s OUZP-om. U takvim okolnostima platforma više ne može zadržati status pasivnog pružatelja usluge smještaja niti se može pozivati na oslobođenje od odgovornosti iz Direktive o e-trgovini kako bi izbjegla obveze iz GDPR-a.
Sud je istaknuo da je operator dužan poduzeti odgovarajuće mjere kako bi, prije objave, utvrdio postoji li valjana pravna osnova za obradu podataka, uključujući provjeru privole ispitanika te, prema potrebi, odbiti objavu nezakonitih ili visokorizičnih sadržaja. Nadalje, u situacijama kada takvi podaci predstavljaju ozbiljan rizik za prava i ugled pojedinca, platforma je obvezna osigurati učinkovite mehanizme koji sprječavaju njihovo daljnje širenje.
Ovom odlukom Sud je postavio jasnu granicu između tehničkog posredovanja i stvarne odgovornosti za obradu osobnih podataka, učvrstivši standard prema kojem digitalne platforme moraju proaktivno štititi korisnike i sprječavati zlouporabe. Presuda stoga ima izniman značaj za sve pružatelje online usluga u Europskoj uniji i bitno jača razinu zaštite pojedinaca u digitalnom okruženju.
Maja Bilić Paulić, mag. iur.
Izvori:
^ 1 Cjeloviti tekst presude Suda u predmetu C-492/23 dostupan je na hrvatskom jeziku na sljedećoj poveznici: https://curia.europa.eu/juris/document/document.jsf;jsessionid=2853AA6E5FED393B590BD09C823899A2?text=&docid=306764&pageIndex=0&doclang=HR&mode=req&dir=&occ=first&part=1&cid=15317044
^ 2 Prema čl. 267. UFEU-a, prethodni postupak omogućuje sudovima država članica da u okviru postupka koji se pred njima vodi upute Sudu pitanja o tumačenju prava Unije ili o valjanosti nekog akta Unije. Sud ne rješava spor pred nacionalnim sudom. Na nacionalnom je sudu da predmet riješi u skladu s odlukom Suda. Ta odluka jednako obvezuje i druge nacionalne sudove pred kojima bi se moglo postaviti slično pitanje.
