12.12.2025

Hotărârea CJUE în cauza C-492/23 Russmedia (Publi24)

Curtea de Justiție a Uniunii Europene s-a pronunțat în cauza C-492/23 Russmedia (Publi24) și a hotărât că operatorul unei piețe online are, pe baza Regulamentului (UE) 2016/679, calitatea de operator în ceea ce privește datele cu caracter personal cuprinse în anunțurile publicate pe platforma sa. În consecință, acesta trebuie să identifice, înainte de publicare, anunțurile care conțin date sensibile și să verifice dacă autorul anunțului este într-adevăr persoana ale cărei date figurează în respectivul anunț sau dacă acesta a primit consimțământul explicit al acestei persoane.

Russmedia Digital este proprietara site-ului internet www.publi24.ro. Acest site este o piață online pe care pot fi publicate anunțuri, gratuit sau contra cost. Anunțurile privesc, printre altele, vânzarea de bunuri sau furnizarea de servicii în România.

În cauza ce a făcut obiectul hotărârii CJUE, situația de fapt a constat în faptul că la 1 august 2018, o persoană neidentificată a publicat pe acest site un mesaj în care afirma că o femeie oferea servicii sexuale. Mesajul conținea fotografii ale acesteia, utilizate fără consimțământul său, precum și numărul său de telefon. Femeia a semnalat că anunțul era fals și vătămător, solicitând proprietarului site-ului publi24.ro să îl retragă. Acesta a dat curs solicitării și a eliminat postarea. Cu toate acestea, anunțul în cauză fusese deja preluat și diseminat pe alte site-uri internet, unde a rămas accesibil. În aceste împrejurări, considerând că anunțul îi încălca dreptul la imagine, la onoare și la bună reputație, ca și la viață privată, precum și normele referitoare la prelucrarea datelor cu caracter personal, femeia a sesizat instanțele române.

Judecătoria Cluj-Napoca a dat câștig de cauză reclamantei și a obligat Russmedia Digital să îi plătească 7 000 de euro cu titlu de daune morale, însă, în apel, Tribunalul Cluj a exonerat de răspundere societatea, calificând-o drept simplu furnizor de servicii de stocare-hosting, care nu este responsabil pentru conținutul publicat de utilizatorii săi.

Reclamanta a formulat recurs la Curtea de Apel Cluj, iar această instanță a decis să sesizeze Curtea de Justiție pentru a obține clarificări cu privire la interpretarea dreptului Uniunii, în special cu privire la obligațiile care îi revin operatorului unei piețe online în temeiul Regulamentului (UE) 2016/679, precum și cu privire la aspectul dacă acesta poate să se sustragă de la aceste obligații în temeiul exonerării de răspundere prevăzute de Directiva 2000/31/CE privind anumite aspecte juridice ale serviciilor societăţii informaţionale, în special ale comerţului electronic, pe piaţa internă (directiva privind comerţul electronic) pentru furnizorii de servicii ale societății informaționale.

În hotărârea pronunțată, CJUE a statuat că Russmedia Digital are calitatea de operator, în sensul Regulamentului (UE) 2016/679, în ceea ce privește datele cu caracter personal cuprinse în anunțurile publicate pe piața sa online.

Astfel, operatorul unei piețe online trebuie, înainte de publicarea acestor anunțuri și prin intermediul unor măsuri tehnice și organizatorice adecvate, să le identifice pe cele care conțin date sensibile (precum cele în discuție în C-492/23) și să verifice dacă utilizatorul care urmează să plaseze un astfel de anunț este persoana ale cărei date sensibile figurează în acesta. Operatorul unei piețe online trebuie să verifice dacă persoana ale cărei date sunt publicate și-a dat consimțământul explicit pentru publicare. În lipsa acestui consimțământ, trebuie să refuze publicarea anunțului respectiv, cu excepția cazului în care aceasta intră sub incidența uneia dintre celelalte excepții de legalitate a prelucrării prevăzute de art. 9 din Regulamentul (UE) 2016/679.

De asemenea, operatorul unei piețe online trebuie să depună toate eforturile pentru a împiedica copierea și publicarea ilicită pe alte site-uri a anunțurilor care conțin date sensibile publicate pe site-ul său. În acest scop, trebuie să implementeze măsuri de securitate tehnice și organizatorice adecvate, în sensul art. 32 din GDPR.

CJUE a mai precizat și că operatorul unei piețe online nu poate să se sustragă de la obligațiile care îi revin în temeiul Regulamentului (UE) 2016/679.

Astfel, CJUE a hotărât că:

          ”1) Articolul 5 alineatul (2), precum și articolele 24-26 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

          trebuie interpretate în sensul că

          operatorul unei piețe online, în calitate de operator în sensul articolului 4 punctul 7 din acest regulament în ceea ce privește datele cu caracter personal cuprinse în anunțuri publicate pe piața sa online, este obligat, înainte de publicarea anunțurilor și prin intermediul unor măsuri tehnice și organizatorice adecvate,

          – să identifice anunțurile care conțin date sensibile, în sensul articolului 9 alineatul (1) din regulamentul menționat,

          – să verifice dacă utilizatorul care publică anunțul, care urmează să plaseze un astfel de anunț, este persoana ale cărei date sensibile figurează în acest anunț și, în caz contrar,

          – să refuze publicarea anunțului, cu excepția cazului în care utilizatorul care publică anunțul poate demonstra că persoana vizată și-a dat consimțământul explicit ca datele în cauză să fie publicate pe această piață online, în sensul articolului 9 alineatul (2) litera (a), sau că se aplică una dintre celelalte excepții prevăzute la respectivul articol 9 alineatul (2) literele (b)-(j).

          2) Articolul 32 din Regulamentul 2016/679

          trebuie interpretat în sensul că

          operatorul unei piețe online, în calitate de operator în sensul articolului 4 punctul 7 din acest regulament în ceea ce privește datele cu caracter personal cuprinse în anunțuri publicate pe piața sa online, este obligat să implementeze măsuri de securitate tehnice și organizatorice adecvate în vederea împiedicării copierii și publicării ilicite pe alte site-uri internet a unor anunțuri publicate pe piața sa online care conțin date sensibile, în sensul articolului 9 alineatul (1) din regulamentul menționat.

          3) Articolul 1 alineatul (5) litera (b) din Directiva 2000/31/CE a Parlamentului European și a Consiliului din 8 iunie 2000 privind anumite aspecte juridice ale serviciilor societății informaționale, în special ale comerțului electronic, pe piața internă (Directiva privind comerțul electronic) și articolul 2 alineatul (4) din Regulamentul 2016/679

          trebuie interpretate în sensul că

          operatorul unei piețe online, în calitate de operator în sensul articolului 4 punctul 7 din Regulamentul 2016/679 în ceea ce privește datele cu caracter personal cuprinse în anunțuri publicate pe piața sa online, nu se poate prevala, în privința unei încălcări a obligațiilor care decurg din articolul 5 alineatul (2) și din articolele 24-26 și 32 din acest regulament, de articolele 12-15 din această directivă, referitoare la răspunderea furnizorilor de servicii intermediari.”

În același sens, a fost exprimată anterior opinia Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, transmisă în 01.11.2023 Ministerului Afacerilor Europene – Agentului Guvernamental CJUE, în vederea formulării poziției României, anterior judecării acestei cauze.

Astfel, ANSPDCP a subliniat, printre altele, că ”(...) furnizorul de servicii ale societății informaționale de tip hosting care este și operator de date cu caracter personal și prelucrează datele postate de (utilizatori) destinatari ai serviciilor societății informaționale de tip hosting, trebuie să respecte GDPR și, printre altele, să depună toate diligențele necesare și suficiente și să implementeze măsuri tehnice şi organizatorice adecvate, în vederea asigurării unui nivel de securitate corespunzător riscului încălcării securității și pierderii confidențialității datelor persoanelor vizate (de ex. prin implementarea de mecanisme tehnice și organizatorice care să îi permită să verifice, prealabil postării unui anunț, dacă există identitate între persoana care postează anunțul și titularul datelor cu caracter personal la care se referă anunțul ori să verifice în prealabil conținutul anunțurilor expediate de către utilizatori, pentru a le elimina pe cele cu potențial caracter ilicit sau care pot afecta viața privată și de familie a unei persoane).”

Hotărârea Curții poate fi consultată în întregime utilizând următorul link:

https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:62023CJ0492

Direcția juridică și comunicare

A.N.S.P.D.C.P.