Dana 2. prosinca 2025., Veliko vijeće Suda Europske unije („SEU“) donijelo je presudu u predmetu X protiv Russmedia Digital i Inform Media Press (C-492/23). Presuda nudi niz razmatranja o izuzeću od odgovornosti za posrednike i dužnostima operatera tržišta prema GDPR-u kada sadržaj koji generiraju korisnici uključuje osjetljive podatke.
Presuda također postavlja pitanja o proporcionalnosti i praktičnoj izvedivosti takvih obveza za mala i srednja poduzeća i platforme s velikim volumenom oglašavanja, što signalizira potencijalnu veću odgovornost platforme za obradu osjetljivih podataka. Tvrtke bi trebale pažljivo razmotriti potencijalne posljedice sudske presude, posebno mogućnost da i iskorištavanje sadržaja koji generiraju korisnici mogu izložiti platforme povećanom riziku.
Pozadina slučaja
Russmedia Digital, rumunjska tvrtka, vlasnik je web stranice www.publi24.ro. Ova platforma služi kao online prostor na kojem se oglasi mogu objavljivati besplatno ili uz naknadu.
Dana 1. kolovoza 2018., nepoznati korisnik je objavio oglas u kojem je lažno predstavljao ženu („tužiteljica“) kao da nudi seksualne usluge, uključujući njezine fotografije i telefonski broj, bez njezina pristanka. Nakon što je obaviješten, Russmedia je uklonio oglas u roku od sat vremena, ali oglas je prenesen na nekoliko web stranica trećih strana, uz navođenje izvora početne web stranice.
Tužiteljica je pokrenula postupak zbog kršenja svojih prava na sliku, ugled i prava na zaštitu podataka. Pred nižim nadležnim tijelima razlikovale su se odluke, a najveća dilema je bila oko toga da li Russmedia kao pružatelj hostinga podliježe odgovornosti prema GDPR-u. Žalbeni sud uputio je slučaj Sudu EU-a, tražeći smjernice o tome može li se operater tržišta i pružatelj hostinga pozvati na izuzeće od odgovornosti za posrednike i u kojoj mjeri, prema GDPR-u, ili operater platforme mora spriječiti objavljivanje i daljnje širenje takvih osjetljivih osobnih podataka.
Kao što smo naveli u nastavku, ovaj slučaj pružio je Sudu EU-a priliku da odluči o tome mora li platforma unaprijed provjeriti identitet oglašivača, unaprijed pratiti sadržaj oglasa kako bi otkrila osjetljive podatke i provela mjere za sprječavanje daljnjeg širenja.
Široko tumačenje koncepta voditelja obrade
Sud je utvrdio da je Russmedia voditelj obrade osobnih podataka sadržanih u oglasu, iako je oglas osmislio i postavio korisnik.
Kako bi opravdao svoj stav i pokazao da je Russmedia, u vlastite svrhe, izvršio odlučujući utjecaj na objavljivanje osobnih podataka podnositelja zahtjeva na internetu, Sud EU-a zaključuje:
- Russmedia je sudjelovao u određivanju svrhe obrade koja se sastojala u tome da se osobni podaci sadržani u spornom oglasu učine dostupnima korisnicima interneta kako bi se takve publikacije učinkovito i dalje koristile.
- Osim toga, dopuštajući anonimno postavljanje oglasa na svoje internetsko tržište, Russmedia je olakšao objavljivanje takvih podataka bez pristanka ispitanika.
- Russmedia postavlja parametre za širenje oglasa koji vjerojatno sadrže osobne podatke ovisno o dotičnim primateljima, određuje način i trajanje tog širenja ili naslove koji strukturiraju objavljene informacije, ili čak organizira klasifikaciju koja će odrediti aranžmane za takvo širenje.
Prema sudu, Russmedia ne može izbjeći svoju odgovornost kao voditelj obrade podataka zato što samo nije odredilo sadržaj objavljenog oglasa.
Russmedia objavljuje oglase na svom internetskom tržištu u vlastite komercijalne svrhe, kako je naznačeno u njegovim Uvjetima i odredbama.
U vezi s ovom posljednjom točkom, Russmedijini Uvjeti i odredbe bili su prilično standardni posebno u načinu na koji su korisnici Russmediji davali pravo distribuiranja, prenošenja, objavljivanja, uklanjanja ili reprodukcije informacija sadržanih u oglasima, uključujući osobne podatke sadržane u njima. Prema sudu, to je utjecalo na status voditelja obrade. S obzirom na ostale argumente koje je iznio Sud, sama izmjena sadržaja ugovora možda neće biti dovoljna za borbu protiv kvalifikacije voditelja obrade.
Russmedia i korisnik oglašavanja kvalificiraju se kao zajednički voditelji kada je oglas objavljen
Sud pravde EU-a smatra da se online tržište i korisnik oglašavanja kvalificiraju kao zajednički voditelji kada je oglas objavljen na online tržištu. Sud pravde EU-a ovdje primjenjuje svoj stav prema kojoj zajednički nadzor ne zahtijeva nužno postojanje zajedničke odluke o određivanju svrha i sredstava obrade dotičnih osobnih podataka razvijene u slučajevima kao što je Fashion ID.
Posljedično, i Russmedia i korisnik moraju biti u mogućnosti dokazati da su osobni podaci u oglasu objavljeni zakonito, da je u slučaju osjetljivih podataka dobivena privola ispitanika i da su podaci točni u skladu s načelom točnosti. Što se tiče tehničkih i organizacijskih mjera, one se moraju procijeniti od slučaja do slučaja.
Ova presuda također implicira posljedicu da u takvim okolnostima Russmedia mora sklopiti ugovor o zajedničkom voditelju s korisnikom oglašavanja iz članka 26. kojim se utvrđuju odgovarajuće uloge i odnosi zajedničkih voditelja prema ispitanicima.
Sud pravde EU-a napominje da se, nakon što su objavljeni online i dostupni bilo kojem korisniku interneta, takvi podaci mogu kopirati i reproducirati na drugim web stranicama, tako da ispitaniku može biti teško, ako ne i nemoguće, postići njihovo učinkovito brisanje s interneta. Čini se da je obrazloženje Suda EZ-a napisano s ciljem kako bi se zaštitili pojedinci od ovog rizika i kako bi Sud pojasnio da i Russmedia i korisnik oglašavanja imaju obveze prema GDPR-u.
Poduzimanje odgovarajućih mjera od strane voditelja obrade
Sud EU-a ističe da je stupanj vjerojatnosti kršenja temeljnih prava na privatnost objavom oglasa koji sadrži osjetljive podatke vrlo visok kada korisnik oglašavanja nije sam ispitanik i kada Russmedia omogućuje anonimno postavljanje takvih oglasa. Sud EU stoga zaključuje da, čim se njihova usluga osmisli, voditelji obrade moraju provesti odgovarajuće tehničke i organizacijske mjere za identifikaciju oglasa koji sadrže osjetljive podatke prije nego što se objave i kako bi provjerili jesu li takvi osjetljivi podaci objavljeni u skladu s načelima GDPR-a.
Provjera identiteta prije objave oglasa na internetu
Sud EU-a napominje da, iako činjenica da ispitanik objavljuje oglas koji sadrži njegove osjetljive podatke može predstavljati izričitu privolu u smislu članka 9. stavka 2. točke (a) GDPR-a, takva privola nedostaje kada taj oglas objavljuje treća strana, osim ako ta strana ne može dokazati da je ispitanik dao svoju izričitu privolu za objavu tog oglasa.
Russmedia, kao strana odgovorna za objavu osjetljivih podataka sadržanih u oglasu objavljenom na njegovom tržištu, zajedno s korisnikom oglašavanja, dužan je prikupiti identitet tog korisnika i provjeriti je li taj korisnik osoba čiji se osjetljivi podaci pojavljuju u oglasu. To je dio odgovarajućih tehničkih i organizacijskih mjera. Ako je ova provjera identiteta nemoguća, Russmedia mora odbiti objavu oglasa.
Provedba sigurnosnih mjera
Na kraju, Sud pravde EU zaključuje da voditelj obrade mora provesti odgovarajuće sigurnosne mjere kako bi osigurao da se oglasi koji sadrže osjetljive podatke ne kopiraju i nezakonito objavljuju na drugim web stranicama. Sud ne propisuje kako bi se to trebalo učiniti.
Zašto bi ova presuda mogla imati dalekosežne posljedice?
Pročitana u najdoslovnijem smislu, ova odluka može se činiti kao da nameće nekoliko strogih obveza operaterima platformi, uključujući:
- proaktivne obveze provjere korisnički generiranog sadržaja prije objave radi provjeravanja uključivanja osjetljivih podataka;
- prikupljanje i provjeru identiteta korisnika koji objavljuje (ako postoje osjetljivi podaci); i
- provedbu tehničkih i organizacijskih mjera za sprječavanje širenja navedenog korisnički generiranog sadržaja, uključujući osjetljive podatke.
Međutim, kao i uvijek, sudske odluke neizbježno postavljaju nova pitanja dok pokušavaju odgovoriti na druga - a presuda Russmedia nije iznimka.
Prvo, odluka se prvenstveno oslanja na tumačenje GDPR-a, posebno na obveze voditelja obrade u odnosu na određenu kombinaciju činjenica, tj. korisnički generirani sadržaj koji sadrži ne samo osjetljive podatke već i namjerno štetan sadržaj seksualne prirode. Odluka suda temelji se na nizu činjeničnih elemenata kao što su (i) odabir dizajna platforme, (ii) formulacija primjenivih Općih uvjeta i odredbi, (iii) iskorištavanje korisnički generiranog sadržaja. Moglo bi se tvrditi da se one razlikuju od slučaja do slučaja i stoga mogu utjecati na vlastiti rizik svakog gospodarskog subjekta.
Drugo, gore navedeni nalazi Suda čine se u suprotnosti i s trenutačnom tržišnom praksom i s obvezama platforme prema Direktivi o e-trgovini (ili njezinom nasljedniku, Zakonu o digitalizaciji podataka), bez jasnih uputa za poduzeća kako uskladiti ta razmatranja.
Treće, u praksi se online posrednici mogu suočiti s poteškoćama u prevođenju posljedica presude na operativnoj razini. Na primjer, platforme bi se mogle suočiti s preostalom neizvjesnošću u pogledu, između ostalog, razine provjere identiteta koja je potrebna, koje bi se najsuvremenije sigurnosne mjere smatrale prikladnima itd.
I ovaj slučaj je pokazao koliko je pravna dokumentacija bitna pa i kod klasifikacije pravnog odnosa (što može biti i posljedica).
