Affaire C-492/23

X

Contre

Russmedia Digital SRL et Inform Media Press SRL

(demande de décision préjudicielle, introduite par Curtea de Apel Cluj)

Arrêt de la Cour (grande chambre) du 2 décembre 2025

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 4, point 7 – Notion de “responsable du traitement” – Responsabilité de l’exploitant d’une place de marché en ligne pour la publication des données à caractère personnel contenues dans des annonces placées sur sa place de marché en ligne par des utilisateurs annonceurs – Article 5, paragraphe 2 – Principe de responsabilité – Article 26 – Responsabilité conjointe avec ces utilisateurs annonceurs – Article 9, paragraphe 1, et paragraphe 2, sous a) – Annonces contenant des données sensibles – Licéité du traitement – Consentement – Articles 24, 25 et 32 – Obligations du responsable du traitement – Identification préalable des annonces contenant de telles données – Vérification préalable de l’identité de l’utilisateur annonceur – Refus de la publication d’annonces illicites – Mesures de sécurité de nature à empêcher la copie des annonces et leur publication sur d’autres sites Internet – Commerce électronique – Directive 2000/31/CE – Articles 12 à 15 – Possibilité pour un tel exploitant de se prévaloir, à l’égard d’une violation de ces obligations, de l’exonération de responsabilité d’un prestataire intermédiaire de services de la société de l’information »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Notion de responsable du traitement – Exploitant d’une place de marché en ligne – Annonces contenant des données à caractère personnel publiées sur cette place de marché par des utilisateurs annonceurs – Inclusion – Traitement portant sur des catégories particulières de données à caractère personnel – Conditions de licéité d’un traitement de données à caractère personnel – Principe de responsabilité du responsable de traitement – Obligations du responsable de traitement – Identification préalable des annonces contenant des données sensibles – Vérification préalable de l’identité de l’utilisateur annonceur – Refus de la publication d’annonces illicites

   [Charte des droits fondamentaux de l’Union européenne, art. 7 et 8 ; règlement du Parlement européen et du Conseil 2016/679, considérant 51 et art. 4, points 7 et 11, art. 5, § 1, d), et 2, art. 6, § 1, art. 7, § 1, art. 9, § 1 et 2, a) à j), art. 13, § 1, a), art. 14, § 1, a), et art. 24 à 26]

   (voir points 59, 66-75, 82-90, 92-106, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement portant sur des catégories particulières de données à caractère personnel – Obligations du responsable du traitement – Sécurité du traitement – Exploitant d’une place de marché en ligne responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa place de marché en ligne – Mise en œuvre des mesures techniques et organisationnelles appropriées – Mesures de sécurité de nature à empêcher la copie des annonces et leur publication sur d’autres sites Internet

   (Règlement du Parlement européen et du Conseil 2016/679, art. 4, point 7, art. 5, § 2, art. 9, § 1, art. 24 et art. 32)

   (voir points 118-126, disp. 2)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Commerce électronique – Directive 2000/31 – Responsabilité des prestataires intermédiaires – Traitement portant sur des catégories particulières de données à caractère personnel – Responsabilité du responsable du traitement – Exploitant d’une place de marché en ligne responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa place de marché en ligne – Possibilité pour un tel exploitant de bénéficier de l’exonération de responsabilité d’un prestataire intermédiaire prévue par la directive 2000/31 – Absence

   (Règlement du Parlement européen et du Conseil 2016/679, 1er art., § 5, art. 2, § 4, art. 4, point 7, art. 5, § 2, art. 24 à 26 et art. 32 ; directive du Parlement européen et du Conseil 2000/31, art. 12 à 15)

   (voir points 131-136, disp.3)

Résumé

Saisie à titre préjudiciel par la Curtea de Apel Cluj (cour d’appel de Cluj, Roumanie), la Cour, réunie en grande chambre, précise les responsabilités de l’exploitant d’une place de marché en ligne en tant que responsable du traitement des données à caractère personnel contenues dans les annonces publiées par des utilisateurs annonceurs sur sa place de marché en ligne, au regard du RGPD ( 1 ). Par ailleurs, dans ce même contexte, la Cour se prononce sur l’articulation entre le régime de responsabilité prévu par le RGPD pour les responsables du traitement des données à caractère personnel et le régime de responsabilité prévu par la directive sur le commerce électronique ( 2 ) pour les prestataires intermédiaires de services de la société de l’information.

Russmedia Digital, une société de droit roumain, est propriétaire du site Internet www.publi24.ro, une place de marché en ligne en Roumanie sur laquelle des annonces publicitaires peuvent être publiées gratuitement ou contre rémunération.

X, une personne physique, allègue qu’une tierce personne non identifiée a publié sur ce site, le 1er août 2018, une annonce mensongère et préjudiciable la présentant comme offrant des services sexuels. L’annonce contenait notamment des photos de X, utilisées sans son consentement, ainsi que son numéro de téléphone. Par la suite, cette annonce a été reprise à l’identique sur d’autres sites Internet à contenu publicitaire, avec l’indication de la source d’origine. Russmedia Digital a retiré l’annonce de son site Internet moins d’une heure après la réception d’une demande en ce sens de la part de X. Toutefois, l’annonce est restée disponible sur d’autres sites Internet l’ayant reprise.

Saisie par X, la Judecătoria Cluj-Napoca (tribunal de première instance de Cluj-Napoca, Roumanie) a condamné Russmedia Digital et Inform Media Press SRL (ci-après, ensemble, « Russmedia ») à lui verser des dommages et intérêts au titre du préjudice moral causé par l’atteinte au droit à l’image, à l’honneur et à la réputation ainsi que par la violation du droit au respect de sa vie privée et le traitement illégal de ses données à caractère personnel. L’appel introduit par Russmedia à l’encontre de ce jugement a été accueilli par le Tribunalul Specializat Cluj (tribunal spécialisé de Cluj, Roumanie), qui a considéré que cette société fournissait uniquement un service d’hébergement de l’annonce en cause, sans implication active quant à son contenu et qu’elle pouvait, dès lors, bénéficier d’une des exonérations de responsabilité prévues par la réglementation nationale sur le commerce électronique pour les prestataires de services de la société de l’information.

Saisie du pourvoi introduit par X, la juridiction de renvoi se demande si l’exploitant d’une place de marché en ligne, tel que Russmedia, qui permet à ses utilisateurs de placer de manière anonyme des annonces sur sa place de marché en ligne gratuitement ou contre rémunération, a méconnu les obligations qui lui incombent en vertu du RGPD, lorsqu’une annonce publiée sur sa place de marché en ligne contient des données à caractère personnel, notamment sensibles, en violation de ce règlement. Par ailleurs, la juridiction de renvoi se demande si les dispositions de la directive sur le commerce électronique relatives à la responsabilité des prestataires intermédiaires de services de la société de l’information ( 3 ) sont applicables à Russmedia.

Appréciation de la Cour

À titre liminaire, la Cour constate que l’exploitant d’une place de marché en ligne, tel que Russmedia, peut être qualifié de « responsable du traitement » des données à caractère personnel contenues dans une annonce publiée sur cette place de marché en ligne, au sens du RGPD ( 4 ).

Ainsi, la Cour souligne que si une personne peut être qualifiée de « responsable du traitement » des données à caractère personnel uniquement si elle influe sur ce traitement à des fins qui lui sont propres, tel peut notamment être le cas lorsque l’exploitant d’une place de marché en ligne publie des données à caractère personnel concernées à des fins commerciales ou publicitaires qui vont au-delà de la simple prestation de service qu’il fournit à l’utilisateur annonceur. En l’occurrence, Russmedia se réserve le droit d’utiliser, de distribuer, de transmettre, de reproduire, de modifier, de traduire, de céder à des partenaires et d’effacer les contenus publiés à tout moment et sans avoir besoin d’une « raison valable » pour le faire. Cette société ne publie donc les données à caractère personnel contenues dans les annonces pas ou pas uniquement pour le compte des utilisateurs annonceurs, mais les traite et peut les valoriser à des fins publicitaires et commerciales qui lui sont propres. Partant, Russmedia a influé, à des fins qui lui sont propres, sur la publication sur Internet des données à caractère personnel de X. Cette constatation n’est pas remise en cause par le fait que Russmedia n’a manifestement pas participé à la détermination de la finalité mensongère et préjudiciable visée par l’utilisateur annonceur au moyen de la publication de l’annonce en cause, dans la mesure où, en permettant que des annonces soient placées de manière anonyme sur sa place de marché en ligne, cette société a facilité la publication de telles données sans le consentement de la personne concernée. En mettant à la disposition de l’utilisateur annonceur sa place de marché en ligne qui a servi à la publication de l’annonce en cause, Russmedia a participé à la détermination des moyens de cette publication. En effet, en fixant les paramètres de diffusion des annonces susceptibles de contenir des données à caractère personnel, en déterminant la présentation, la durée de cette diffusion ou les rubriques structurant les informations publiées ou encore en organisant le classement qui déterminera les modalités d’une telle diffusion, l’exploitant d’une place de marché en ligne, tel que Russmedia, participe à la détermination des moyens essentiels de la publication de ces données à caractère personnel, en influant ainsi de manière décisive sur leur diffusion globale. À cet égard, il ressort des conditions générales d’utilisation de la place de marché en ligne de Russmedia que cette société se réserve notamment le droit de distribuer, de transmettre, de publier, d’effacer ou encore de reproduire les informations contenues dans les annonces, y compris les données à caractère personnel qu’elles contiennent.

En tout état de cause, l’exploitant d’une place de marché en ligne ne saurait échapper à sa responsabilité au motif qu’il n’a pas lui-même déterminé le contenu de l’annonce en cause publiée sur cette place de marché. En effet, toute autre interprétation serait de nature à porter atteinte à l’objectif du RGPD, qui est d’assurer une protection efficace et complète des personnes concernées, par une définition large de la notion de « responsable de traitement ».

Au vu de ces observations liminaires, la Cour examine, en premier lieu, les obligations de l’exploitant d’une place de marché en ligne, tel que Russmedia, en tant que responsable du traitement des données à caractère personnel publiées sur sa place de marché en ligne, au regard du RGPD.

À cet égard, la Cour évalue premièrement, si l’exploitant d’une place de marché en ligne doit identifier les annonces contenant des données sensibles au sens du RGPD ( 5 ), avant de procéder à leur publication. Ainsi, elle rappelle que l’exploitant et l’utilisateur annonceur doivent être considérés comme des responsables conjoints au sens du RGPD ( 6 ).

À ce titre, en vertu des obligations générales de responsabilité et de conformité qui leur incombent en vertu de ce règlement ( 7 ), tant l’exploitant que l’annonceur doivent être en mesure de démontrer, d’une part, que les données à caractère personnel contenues dans l’annonce sont publiées de manière licite, c’est-à-dire avec le consentement explicite de la personne concernée lorsque les données en cause sont des données sensibles ( 8 ), et que ces données sont exactes ( 9 ). D’autre part, l’exploitant d’une place de marché en ligne, en tant que responsable conjoint du traitement des données à caractère personnel, doit mettre en œuvre des mesures techniques et organisationnelles appropriées ( 10 ) pour être en mesure de démontrer que le traitement de ces données a été effectué conformément au RGPD. Le caractère approprié de ces mesures doit être évalué de manière concrète, en tenant compte de la nature, de la portée, du contexte et des finalités du traitement en question ainsi que du degré de probabilité et de gravité des risques pour les droits et libertés de la personne concernée.

À cet égard, la Cour souligne que la publication de données à caractère personnel sur une place de marché en ligne comporte des risques significatifs pour les droits et libertés de la personne concernée, dès lors qu’elle rend ces données en principe accessibles à tout utilisateur d’Internet. De plus, ces données pouvant être copiées et reproduites sur d’autres sites Internet, il peut s’avérer difficile, voire impossible, pour la personne concernée d’obtenir leur effacement effectif d’Internet. Ces risques sont d’autant plus sérieux lorsqu’il s’agit de données sensibles. En outre, le degré de probabilité d’une violation de ces droits par la publication d’une annonce contenant de telles données est très élevé lorsque l’utilisateur annonceur n’est pas lui-même la personne concernée et lorsque la place de marché en ligne permet de placer de telles annonces de manière anonyme. Partant, dans la mesure où l’exploitant d’une place de marché en ligne, tel que Russmedia, sait ou devrait savoir que, d’une manière générale, des annonces contenant des données sensibles sont susceptibles d’y être publiées par des utilisateurs annonceurs, il est dans l’obligation, dès la conception de son service, de mettre en œuvre les mesures techniques et organisationnelles appropriées pour identifier de telles annonces avant leur publication et pour vérifier si les données sensibles qu’elles contiennent sont publiées dans le respect du RGPD.

Deuxièmement, la Cour analyse si l’exploitant d’une place de marché en ligne, en tant que responsable du traitement des données sensibles contenues dans les annonces publiées sur son site Internet, conjointement avec l’utilisateur annonceur, doit vérifier l’identité de cet annonceur avant une telle publication. Elle précise ainsi que, si le fait pour une personne concernée de placer une annonce contenant ses données sensibles sur une place de marché en ligne peut constituer un consentement explicite, requis par le RGPD ( 11 ), un tel consentement fait défaut lorsque la publication est effectuée par une tierce personne, sans le consentement de la personne concernée. L’exploitant d’une place de marché en ligne est donc tenu de vérifier, avant la publication d’une telle annonce, si l’utilisateur annonceur est la personne dont les données figurent dans l’annonce, ce qui présuppose de recueillir son identité. De telles mesures techniques et organisationnelles doivent notamment permettre de limiter le risque d’un traitement illicite des données à caractère personnel des personnes concernées et de lutter contre l’usage déloyal d’une telle place de marché en ligne, en limitant le sentiment d’impunité et en incitant ainsi les utilisateurs annonceurs à se conformer aux exigences du RGPD lorsqu’ils publient des annonces contenant des données à caractère personnel.

Au vu de ce qui précède, la Cour souligne, troisièmement, que l’exploitant d’une place de marché en ligne doit refuser la publication d’une annonce contenant des données sensibles, en mettant en œuvre des mesures techniques et organisationnelles appropriées, s’il s’avère, après vérification de l’identité de l’utilisateur annonceur, que ce dernier n’est pas la personne dont les données sensibles figurent dans l’annonce et qu’il ne peut pas démontrer à suffisance de droit que la personne concernée par l’annonce a donné son consentement explicite à la publication de ces données ou que l’une des autres exceptions à l’interdiction du traitement de ces données est remplie ( 12 ).

Quatrièmement, la Cour précise la portée de l’obligation de sécurité qui incombe au responsable du traitement des données à caractère personnel, conformément à l’article 32 du RGPD ( 13 ). Elle souligne qu’une fois qu’une annonce contenant des données à caractère personnel est en ligne et qu’elle est ainsi déjà accessible globalement, la dissémination de ces données comporte, notamment, le risque d’une perte de contrôle des données à caractère personnel concernées qui, lorsqu’il advient, prive de tout effet utile les droits et garanties prévus par le RGPD au bénéfice de la personne concernée, au premier chef desquels figure le droit à l’effacement ( 14 ). Partant, la Cour dit pour droit que l’exploitant d’une place de marché en ligne, en tant que responsable du traitement des données à caractère personnel publiées sur sa place de marché en ligne, est tenu de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées afin d’empêcher que des annonces y étant publiées et contenant des données sensibles soient copiées et illicitement publiées sur d’autres sites Internet.

En second lieu, la Cour se prononce sur l’articulation entre le RGPD et la directive sur le commerce électronique et, plus particulièrement, sur la question de savoir si les articles 12 à 15 de cette directive, relatifs à la responsabilité des prestataires intermédiaires, sont susceptibles d’interférer avec le régime de responsabilité prévu par ce règlement. À cet égard, elle rappelle, d’une part, qu’il résulte de l’article 1er, paragraphe 5, sous b), de la directive sur le commerce électronique ( 15 ) que les questions liées à la protection des données à caractère personnel doivent être appréciées à l’aune du RGPD et que cette directive ne peut, en tout état de cause, pas porter atteinte aux exigences résultant de ce règlement. Ainsi, l’éventuel bénéfice de l’exonération de responsabilité prévue à l’article 14, paragraphe 1, de ladite directive, dont l’exploitant d’une place de marché en ligne pourrait se prévaloir quant aux informations hébergées sur son site Internet, ne saurait interférer avec le régime du RGPD qui s’applique à un tel exploitant comme à tout autre opérateur relevant du champ d’application de ce règlement. Il en va de même pour l’article 15 de cette même directive relatif à l’obligation générale en matière de surveillance ( 16 ). Par ailleurs, l’obligation pour l’exploitant d’une place de marché en ligne de se conformer aux exigences découlant du RGPD ne saurait, en tout état de cause, être qualifiée comme une telle obligation générale en matière de surveillance. D’autre part, la Cour souligne qu’il résulte de l’article 2, paragraphe 4, du RGPD ( 17 ) que le fait qu’un opérateur soit le titulaire d’obligations prévues par ce règlement n’exclut pas automatiquement qu’il puisse se prévaloir des articles 12 à 15 de la directive sur le commerce électronique pour des questions autres que celles relatives à la protection des données à caractère personnel. Par conséquent, la Cour conclut que l’exploitant d’une place de marché en ligne, en tant que responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa place de marché en ligne, ne peut pas se prévaloir, à l’égard d’une violation des obligations lui incombant en vertu du RGPD, des articles 12 à 15 de la directive sur le commerce électronique.

( 1 ) Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 2 ) Directive 2000/31/CE du Parlement européen et du Conseil, du 8 juin 2000, relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») (JO 2000, L 178, p. 1).

( 3 ) Articles 12 à 15 de la directive sur le commerce électronique.

( 4 ) Article 4, point 7, du RGPD.

( 5 ) Article 9, paragraphe 1, du RGPD.

( 6 ) Article 26 du RGPD.

( 7 ) Telles que prévues à l’article 5, paragraphe 2, et aux articles 24, 25 et 26 du RGPD.

( 8 ) Article 9, paragraphes 1 et 2, sous a), du RGPD.

( 9 ) Article 5, paragraphe 1, sous d), du RGPD.

( 10 ) En application des articles 24 et 25 du RGPD

( 11 ) Article 9, paragraphe 1 et paragraphe 2, sous a), du RGPD.

( 12 ) Prévues à l’article 9, sous b) à j), du RGPD.

( 13 ) L’article 32, paragraphe 1, du RGPD prévoit l’obligation du responsable du traitement des données à caractère personnel de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.

( 14 ) Article 17 du RGPD.

( 15 ) Selon cette disposition, la directive sur le commerce électronique n’est pas applicable aux questions relatives aux services de la société de l’information couvertes notamment par la directive 95/46, qui a été remplacée par le RGPD.

( 16 ) En vertu de l’article 15 de la directive sur le commerce électronique, les États membres ne peuvent pas imposer aux prestataires, pour la fourniture des services visés notamment à l’article 14 de cette directive, une obligation générale en matière de surveillance.

( 17 ) En vertu de cette disposition, le RGPD s’applique sans préjudice de la directive sur le commerce électronique et notamment de ses articles 12 à 15 relatifs à la responsabilité des prestataires intermédiaires.