Operatorzy platform ponoszą teraz odpowiedzialność zgodnie z RODO za reklamy zamieszczane przez użytkowników: koniec ery anonimowych reklamodawców

Wyrok TSUE z grudnia 2025 r. [w sprawie Russmedia Digital](https://curia.europa.eu/juris/document/document.jsf;jsessionid=8E8A425EA3E0DFBA53BD0C0147C7A2D4?text=&docid=306764&pageIndex=0&doclang=EN&mode=req&dir=&occ=first&part=1&cid=15411117) fundamentalnie zmienia sposób, w jaki platformy internetowe przetwarzają treści generowane przez użytkowników, zawierające dane osobowe. Jeśli Twoja firma prowadzi platformę handlową, portal społecznościowy, platformę randkową lub jakąkolwiek inną usługę, w której użytkownicy mogą publikować treści, wyrok ten nakłada natychmiastowe obowiązki w zakresie przestrzegania przepisów, których nie można ignorować.

Co się naprawdę wydarzyło

Rumuńska platforma ogłoszeniowa publi24.ro stanęła przed sądem po tym, jak anonimowy użytkownik opublikował fałszywe ogłoszenie, fałszywie twierdząc, że kobieta oferuje usługi seksualne. Ogłoszenie zawierało jej prawdziwe zdjęcia i numer telefonu. Russmedia usunęła treść w ciągu godziny od powiadomienia, ale do tego czasu została ona już skopiowana na inne strony internetowe.

Sąd pierwszej instancji zasądził 7000 euro odszkodowania. Sąd apelacyjny uchylił wyrok, orzekając, że Russmedia jest jedynie dostawcą usług hostingowych w rozumieniu dyrektywy o handlu elektronicznym i nie ponosi żadnej odpowiedzialności. Sprawa trafiła do TSUE z prostym pytaniem: czy operator platformy może ukrywać się za wyłączeniami odpowiedzialności pośrednika w przypadku naruszenia RODO?

Odpowiedź Sądu była jednoznaczna. Nie.

Główne odkrycie, które zmienia wszystko

TSUE orzekł, że operatorzy platform są administratorami danych osobowych w treściach generowanych przez użytkowników, nawet jeśli sami ich nie tworzą. Nie chodzi o to, co piszesz, ale o to, co umożliwiasz innym publikować za pośrednictwem swojej infrastruktury.

Co sprawiło, że Russmedia stała się administratorem? Regulamin platformy przyznał jej szerokie prawa do wykorzystywania, kopiowania, rozpowszechniania, przesyłania, publikowania, modyfikowania i przekazywania treści partnerom bez uzasadnienia. Trybunał orzekł, że uprawnienia te stanowią udział w określaniu celów i sposobów przetwarzania danych w celu osiągnięcia korzyści komercyjnych, a nie tylko neutralność techniczną.

Ma to znaczenie, ponieważ zmiana regulaminu prawdopodobnie Cię nie uratuje. TSUE jasno stwierdził, że nawet bez tak szerokich uprawnień umownych operator platformy, który wie lub powinien wiedzieć, że użytkownicy mogą publikować szczególne kategorie danych, ma obowiązki wynikające z art. 25(1) RODO – ochrony danych w fazie projektowania.

Trzy kluczowe obowiązki przed publikacją

W przypadku reklam zawierających szczególne kategorie danych osobowych zgodnie z art. 9 ust. 1 RODO – informacje o życiu seksualnym, zdrowiu, przekonaniach religijnych, poglądach politycznych i pochodzeniu rasowym – platformy mają obecnie trzy obowiązkowe wymagania.

Po pierwsze, należy wdrożyć środki techniczne i organizacyjne w celu identyfikacji takich treści przed ich publikacją. Obowiązek ten istnieje od momentu zaprojektowania usługi. Automatyczne systemy wykrywania muszą oznaczać potencjalne szczególne kategorie danych na podstawie tekstu, obrazów i kontekstu. Czasy „najpierw publikuj, potem moderuj” w przypadku danych wrażliwych minęły.

Po drugie, należy zweryfikować tożsamość reklamodawcy i sprawdzić, czy jest on zgodny z osobą, której dane są publikowane. Anonimowe publikowanie staje się niemożliwe w przypadku danych szczególnych. Należy zebrać informacje o tożsamości i ustalić, czy osoba publikująca jest osobą, której dane dotyczą, lub czy posiada wyraźną zgodę zgodnie z art. 9 ust. 2 lit. a RODO.

Po trzecie, należy odmówić publikacji, jeśli reklamodawca nie jest osobą, której dane dotyczą i nie może wykazać wyraźnej zgody lub innej podstawy prawnej określonej w art. 9 ust. 2. Nie można publikować, jeśli istnieje ryzyko naruszenia zakazu przetwarzania szczególnych kategorii danych.

Wymagania te obowiązują przed pojawieniem się treści na platformie, a nie po złożeniu przez użytkowników skargi na daną treść.

Główne odkrycie, które zmienia wszystko

TSUE orzekł, że operatorzy platform są administratorami danych osobowych w treściach generowanych przez użytkowników, nawet jeśli sami ich nie tworzą. Nie chodzi o to, co piszesz, ale o to, co umożliwiasz innym publikować za pośrednictwem swojej infrastruktury.

Co sprawiło, że Russmedia stała się administratorem? Regulamin platformy przyznał jej szerokie prawa do wykorzystywania, kopiowania, rozpowszechniania, przesyłania, publikowania, modyfikowania i przekazywania treści partnerom bez uzasadnienia. Trybunał orzekł, że uprawnienia te stanowią udział w określaniu celów i sposobów przetwarzania danych w celu osiągnięcia korzyści komercyjnych, a nie tylko neutralność techniczną.

Ma to znaczenie, ponieważ zmiana regulaminu prawdopodobnie Cię nie uratuje. TSUE jasno stwierdził, że nawet bez tak szerokich uprawnień umownych operator platformy, który wie lub powinien wiedzieć, że użytkownicy mogą publikować szczególne kategorie danych, ma obowiązki wynikające z art. 25(1) RODO – ochrony danych w fazie projektowania.

Trzy kluczowe obowiązki przed publikacją

W przypadku reklam zawierających szczególne kategorie danych osobowych zgodnie z art. 9 ust. 1 RODO – informacje o życiu seksualnym, zdrowiu, przekonaniach religijnych, poglądach politycznych i pochodzeniu rasowym – platformy mają obecnie trzy obowiązkowe wymagania.

Po pierwsze, należy wdrożyć środki techniczne i organizacyjne w celu identyfikacji takich treści przed ich publikacją. Obowiązek ten istnieje od momentu zaprojektowania usługi. Automatyczne systemy wykrywania muszą oznaczać potencjalne szczególne kategorie danych na podstawie tekstu, obrazów i kontekstu. Czasy „najpierw publikuj, potem moderuj” w przypadku danych wrażliwych minęły.

Po drugie, należy zweryfikować tożsamość reklamodawcy i sprawdzić, czy jest on zgodny z osobą, której dane są publikowane. Anonimowe publikowanie staje się niemożliwe w przypadku danych szczególnych. Należy zebrać informacje o tożsamości i ustalić, czy osoba publikująca jest osobą, której dane dotyczą, lub czy posiada wyraźną zgodę zgodnie z art. 9 ust. 2 lit. a RODO.

Po trzecie, należy odmówić publikacji, jeśli reklamodawca nie jest osobą, której dane dotyczą i nie może wykazać wyraźnej zgody lub innej podstawy prawnej określonej w art. 9 ust. 2. Nie można publikować, jeśli istnieje ryzyko naruszenia zakazu przetwarzania szczególnych kategorii danych.

Wymagania te obowiązują przed pojawieniem się treści na platformie, a nie po złożeniu przez użytkowników skargi na daną treść.