In het Russmedia-arrest heeft de Grote Kamer van het Hof van Justitie EU geoordeeld dat een exploitant van een online marktplaats zélf verwerkingsverantwoordelijke is met betrekking tot de persoonsgegevens die voorkomen in een door een adverteerder aangeleverde advertentie. Het arrest legt vérgaande verplichtingen op aan het online platform, waaronder een identificatieplicht met betrekking tot adverteerders die een advertentie met gevoelige persoonsgegevens willen laten plaatsen.
In deze zaak staat de vraag centraal of de onlinemarktplaats zich kan beroepen op haar rol als hostingprovider onder de Richtlijn inzake elektronische handel (de E-commercerichtlijn) bij inbreuken op de AVG. Het online platform stelde dat het in principe slechts een passieve tussenpersoon is die geen invloed uitoefent op de inhoud van de geplaatste advertenties. Volgens de E-commercerichtlijn (inmiddels vervangen door de Digital Services Act) kan een hostingprovider niet aansprakelijk worden gesteld voor door gebruikers geplaatste content als zij geen kennis heeft van het onrechtmatige karakter. Dit is het zogenoemde Safe Harbour principe, waarachter platforms zich kunnen verschuilen om aansprakelijkheid te vermijden, zolang ze een ‘notice and takedown’-beleid hanteren. Na een melding (‘notice’) van onrechtmatige content is het dan voldoende dat het platform die content verwijdert (‘takedown’). Gebruikers die schade lijden door onrechtmatige content kunnen dan vaak nergens terecht met hun schadeclaim. Dat is nu veranderd. Het Hof van Justitie heeft geoordeeld dat de AVG in dit geval voorrang heeft.
Het ging in dit geschil om een online platform dat seksadvertenties verspreidde. Daar plaatste een anonieme adverteerder een seksadvertentie met foto’s en het telefoonnummer van een vrouw, maar zonder haar toestemming. Hoewel het online platform de advertentie binnen een uur na haar melding verwijderd had, was deze advertentie al op andere websites terechtgekomen. Dit duidt het Hof van Justitie aan als ‘het risico dat de controle over de betrokken persoonsgegevens verloren gaat’, ook wel ‘loss of control’ genoemd. Het online platform moet maatregelen treffen om het maken van een kopie zoveel mogelijk tegen te gaan.
Het Hof van Justitie benadrukt dat het in deze zaak gaat om gevoelige persoonsgegevens, die extra bescherming genieten, ook als die gegevens misleidend of onjuist zijn. Vóór de publicatie van de advertentie moet het online platform controleren of de inhoud gevoelige persoonsgegevens bevat, en, zo ja, of de betrokkene daar uitdrukkelijke toestemming voor heeft gegeven. De bewijslast hiervoor rust op het online platform. In dit kader moet het platform ook de identiteit van de adverteerder verifiëren.
Tot slot benadrukt het Hof van Justitie dat de aansprakelijkheidsuitsluiting voor hosting providers op basis van het safe harbour-principe geen nadelige invloed mag hebben op de AVG-rechten van betrokkenen. Kwesties rondom de bescherming van persoonsgegevens dienen dus uitsluitend te worden beoordeeld aan de hand van de AVG. Het safe harbour-principe mag hieraan geen afbreuk doen.
