C-492/23

EUROOPA KOHTU OTSUS (suurkoda) 2. detsember 2025 ( *1 ) Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Veebituru haldaja vastutus selliste isikuandmete avaldamise eest, mis sisalduvad tema veebiturule kuulutuse esitanud kasutajate lisatud kuulutustes – Artikli 5 lõige 2 – Vastutuse põhimõte – Artikkel 26 – Kaasvastutus kuulutuse esitanud kasutajatega – Artikli 9 lõige 1 ja lõike 2 punkt a – Tundlikke andmeid sisaldavad kuulutused – Töötlemise seaduslikkus – Nõusolek – Artiklid 24, 25 ja 32 – Vastutava töötleja kohustused – Selliseid andmeid sisaldavate kuulutuste eelnev tuvastamine – Kuulutuse esitanud kasutaja isikusamasuse eelnev kontrollimine – Ebaseaduslike kuulutuste avaldamisest keeldumine – Turvameetmed, mis takistavad kuulutuste kopeerimist ja teistel veebisaitidel avaldamist – Elektrooniline kaubandus – Direktiiv 2000/31/EÜ – Artiklid 12–15 – Sellise haldaja võimalus tugineda kõnealuste kohustuste rikkumisega seoses vahendajast infoühiskonna teenuste osutaja vastutusest vabastamisele Kohtuasjas C‑492/23, mille ese on ELTL artikli 267 alusel Curtea de Apel Cluji (Cluji apellatsioonikohus, Rumeenia) 15. juuni 2023. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 3. augustil 2023, menetluses X versus Russmedia Digital SRL, Inform Media Press SRL, EUROOPA KOHUS (suurkoda), koosseisus: president K. Lenaerts, asepresident T. von Danwitz, kodade presidendid F. Biltgen, K. Jürimäe (ettekandja), C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, I. Ziemele, J. Passer, kohtunikud S. Rodin, E. Regan, N. Jääskinen ja D. Gratsias, kohtujurist: M. Szpunar, kohtusekretär: ametnik R. Şereş, arvestades kirjalikku menetlust ja 2. juuli 2024. aasta kohtuistungil esitatut, arvestades seisukohti, mille esitasid: – X, esindaja: avocată I. Kis, – Rumeenia valitsus, esindajad: E. Gane, L. Ghiţă ja R. I. Haţieganu, – Euroopa Komisjon, esindajad: L. Armati, H. Kranenborg, P.‑J. Loewenthal ja L. Nicolae, olles 6. veebruari 2025. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku, on teinud järgmise kohtuotsuse 1 Eelotsusetaotluses palutakse tõlgendada Euroopa Parlamendi ja nõukogu 8. juuni 2000. aasta direktiivi 2000/31/EÜ infoühiskonna teenuste teatavate õiguslike aspektide, eriti elektroonilise kaubanduse kohta siseturul (direktiiv elektroonilise kaubanduse kohta) (EÜT 2000, L 178, lk 1; ELT eriväljaanne 13/25, lk 399) artikleid 12–15 ning Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandus ELT 2018, L 127, lk 3; edaspidi „IKÜM“) artikli 2 lõiget 4, artikli 4 punkte 7 ja 11, artikli 5 lõike 1 punkte b ja f, artikli 6 lõike 1 punkti a ning artikleid 7, 24 ja 25. 2 Taotlus on esitatud vaidluses, mille üks pool on füüsiline isik X ja teine pool on Russmedia Digital SRL ja Inform Media Press SRL (edaspidi koos „Russmedia“) ning mille ese on nõue hüvitada põhikohtuasja hagejale mittevaraline kahju, mis tekitati talle tema isikuandmete ebaseadusliku töötlemisega ning õiguse oma kujutisele, aule ja eraelu puutumatusele rikkumisega. Õiguslik raamistik Liidu õigus Direktiiv 2000/31 3 Direktiivi 2000/31 põhjendustes 14, 42, 46 ja 52 on märgitud: „(14) Üksikisikute kaitset isikuandmete töötlemisel reguleerivad ainult Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta [(EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355)] ning Euroopa Parlamendi ja nõukogu 15. detsembri 1997. aasta direktiiv 97/66/EÜ isikuandmete töötlemise ja eraelu puutumatuse kaitse kohta telekommunikatsioonisektoris [(EÜT 1998, L 24, lk 1)], mis on täielikult kohaldatavad ka infoühiskonna teenuste suhtes; […] käesoleva direktiivi rakendamine ja kohaldamine peaks toimuma täielikus vastavuses isikuandmete kaitse põhimõtetega, eriti mis puudutab pealesunnitud kommertsteadaandeid ja vahendajate vastutust; käesolev direktiiv ei saa tõkestada selliste avalike võrkude nagu Internet anonüümset kasutamist. […] (42) Erandid käesoleva direktiiviga kehtestatud vastutusest hõlmavad ainult neid juhtumeid, kui infoühiskonna teenuse osutaja tegevus piirdub kolmandate osapoolte pakutava teabe edastamiseks või ajutiseks talletamiseks vajaliku sidevõrgu käitamise ja sellele juurdepääsu võimaldamise tehnilise toiminguga, mille ainus eesmärk on side tõhustamine; see tegevus on üksnes tehnilise, automaatse ja passiivse iseloomuga, seega pole infoühiskonna teenuse osutajal edastatava või talletatava teabe kohta teadmisi ega kontrolli selle üle. […] (46) Piiratud vastutuse kasutamiseks peab teabe talletamisega tegelev infoühiskonna teenuse osutaja ebaseaduslikest tegevustest teada saades kiiresti kõrvaldama kõnealuse teabe või tõkestama sellele juurdepääsu; kõrvaldamise või juurdepääsu tõkestamise korral peab järgima sõnavabaduse põhimõtet ja siseriiklikul tasandil sel eesmärgil kehtestatud korda; käesolev direktiiv ei mõjuta liikmesriikide võimalust kehtestada erinõudeid, mida tuleb kiiresti täita enne teabe kõrvaldamist või sellele juurdepääsu tõkestamist. […] (52) […] infoühiskonna teenustega seoses tekkida võivat kahju iseloomustab kiirus ja geograafiline ulatus; pidades silmas seda eripära ja siseriiklike asutuste omavahelise vastastikuse usalduse vajadust, kohustab käesolev direktiiv liikmesriike tagama, et asjakohased õiguskaitsevahendid oleksid kättesaadavad; […]“. 4 Direktiivi 2000/31 artiklis 1 „Eesmärk ja reguleerimisala“ on sätestatud: „1. Käesolev direktiiv püüab kaasa aidata siseturu nõuetekohasele toimimisele, tagades infoühiskonna teenuste vaba liikumise liikmesriikide vahel. […] 5. Käesolevat direktiivi ei kohaldata: […] b) direktiivide [95/46] ja [97/66] rakendusalasse kuuluvate infoühiskonna teenustega seotud küsimuste suhtes; […]“. 5 Direktiivi 2000/31 II peatüki 4. jagu „Vahendajatest teenuseosutajate vastutus“ hõlmas põhikohtuasjas kohaldatavas redaktsioonis direktiivi artikleid 12–15. Direktiivi artiklid 12 ja 13 käsitlesid vastavalt oma pealkirjadele „pelka edastamist“ ja „vahemällu salvestamist“. 6 Direktiivi artiklis 14 „Teabe talletamine“ oli ette nähtud: „1. Kui osutatakse infoühiskonna teenust, mis seisneb teenuse saaja poolt pakutava teabe talletamises, tagavad liikmesriigid, et teenuseosutaja ei vastuta teenuse saaja taotluse põhjal talletatava teabe eest järgmistel tingimustel: a) teenuseosutajal ei ole tegelikku teavet ebaseadusliku tegevuse või teabe kohta ja kahjutasunõuete osas ei tea ta fakte või asjaolusid, millest ilmneb ebaseaduslik tegevus või teave, või b) sellisest asjaoludest teadlikuks saades kõrvaldab teenuseosutaja kiiresti teabe või tõkestab juurdepääsu sellele. 2. Lõiget 1 ei kohaldata, kui teenuse saaja tegutseb teenuseosutaja alluvuses või järelevalve all. 3. Käesolev artikkel ei mõjuta kohtu või haldusasutuse võimalust nõuda vastavalt liikmesriikide õigussüsteemidele teenuse osutajalt rikkumise lõpetamist või vältimist ega liikmesriikide võimalust kehtestada kord, kuidas teave kõrvaldada või juurdepääs sellele tõkestada.“ 7 Direktiivi artikli 15 „Üldise jälgimiskohustuse puudumine“ lõigetes 1 ja 2 oli ette nähtud: „1. Liikmesriigid ei kehtesta artiklites 12, 13 ja 14 käsitletud teenuste osutajatele üldist kohustust jälgida teavet, mida nad edastavad või talletavad, ega üldist kohustust otsida ebaseaduslikku tegevust näitavaid fakte ja asjaolusid. 2. Liikmesriigid võivad kehtestada infoühiskonna teenuse osutajatele kohustuse kiiresti teatada pädevatele ametivõimudele nende teenuse saajate väidetavalt ebaseaduslikest tegevustest või pakutavast teabest või kohustuse edastada pädevatele asutustele nende taotluse põhjal teavet, mis võimaldab identifitseerida nende teenuse saajaid, kellega teenuseosutajal on talletamise kohta lepingud.“ IKÜM 8 IKÜM põhjendustes 4, 10, 39, 51, 74, 75, 78 ja 85 on märgitud: „(4) Isikuandmete töötlemine peaks olema mõeldud teenima inimesi. Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Käesolevas määruses austatakse kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja [Euroopa Liidu põhiõiguste hartas (edaspidi „harta“)] tunnustatud põhimõtetest, eelkõige õigusest era‑ ja perekonnaelu, kodu ja edastatavate sõnumite saladuse austamisele, isikuandmete kaitsest, mõtte‑, südametunnistuse‑ ja usuvabadusest, sõna‑ ja teabevabadusest, ettevõtlusvabadusest, õigusest tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele. […] (10) Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja ‑vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […] […] (39) Isikuandmete igasugune töötlemine peaks olema seaduslik ja õiglane. Füüsilisi isikuid puudutavate isikuandmete kogumine, kasutamine, lugemine või muu töötlemine ja nende andmete töötlemise ulatus praegu või tulevikus peaks olema nende jaoks läbipaistev. Läbipaistvuse põhimõte eeldab, et nende isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Kõnealune põhimõte puudutab eelkõige andmesubjektide teavitamist vastutava töötleja identiteedist ning töötlemise eesmärgist ja täiendavast teabest, et tagada asjaomaste füüsiliste isikute suhtes õiglane ja läbipaistev töötlemine ning nende õigus saada neid puudutavate isikuandmete töötlemise kohta kinnitust ja sõnumeid. […] […] (51) Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja ‑vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja ‑vabadusi olulisel määral ohustada. […] Selliseid isikuandmeid ei tohiks töödelda, välja arvatud käesolevas määruses sätestatud konkreetsetel juhtudel, kui töötlemine on lubatud […] Lisaks sellise töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas, kui andmesubjekt annab selleks oma selgesõnalise nõusoleku, või konkreetse vajaduse korral, eelkõige juhul, kui töödeldakse teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist. […] (74) Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele. (75) Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada […] identiteedivargust või ‑pettust, […] maine kahjustamist, […] kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; […] […] (78) Füüsiliste isikute õiguste ja vabaduste kaitsmine isikuandmete töötlemisel eeldab asjakohaste tehniliste ja korralduslike meetmete võtmist, et tagada käesoleva määruse nõuete täitmine. Selleks et olla võimeline tõendama käesoleva määruse täitmist, peaks vastutav töötleja võtma vastu sise‑eeskirjad ja rakendama meetmeid, mis vastavad eelkõige lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetele. […] […] (85) Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilise, materiaalse või mittemateriaalse kahju, nagu kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, […] maine kahjustamine […]“. 9 Määruse artikli 1 „Reguleerimisese ja eesmärgid“ lõikes 2 on sätestatud: „Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja ‑vabadusi, eriti nende õigust isikuandmete kaitsele.“ 10 Määruse artikli 2 „Sisuline kohaldamisala“ lõikes 4 on ette nähtud: „Käesolev määrus ei piira direktiivi [2000/31], eelkõige selle artiklites 12–15 esitatud vahendusteenuste osutajate vastutust käsitlevate õigusnormide kohaldamist.“ 11 Määruse artikkel 4 „Mõisted“ on sõnastatud järgmiselt: „Käesolevas määruses kasutatakse järgmisi mõisteid: 1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal; 2) „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine; […] 7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses; […] 11) andmesubjekti „nõusolek“ – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega; […]“. 12 IKÜM II peatükk „Põhimõtted“ sisaldab artikleid 5–9. 13 Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud: „1. Isikuandmete töötlemisel tagatakse, et a) töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“); b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus […] („eesmärgi piirang“); […] d) isikuandmed on õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata („õigsus“); […] f) isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“); 2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“ 14 Määruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõike 1 esimeses lõigus on sätestatud: „Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud: a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil; b) isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele; c) isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks; d) isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks; e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks; f) isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja ‑vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.“ 15 Määruse artikli 7 „Nõusoleku andmise tingimused“ lõikes 1 on sätestatud: „Kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega.“ 16 IKÜM artiklis 9 „Isikuandmete eriliikide töötlemine“ on sätestatud: „1. Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. 2. Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest: a) andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt lõikes 1 nimetatud keeldu tühistada; […]“. 17 Määruse artikli 13 „Teave, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt“ lõike 1 punktis a on ette nähtud: „Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe: a) vastutava töötleja ning asjakohasel juhul vastutava töötleja esindaja nimi ja kontaktandmed“. 18 Määruse artikli 14 „Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt“ lõike 1 punktis a on ette nähtud: „Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe: a) vastutava töötleja ning asjakohasel juhul vastutava töötleja esindaja nimi ja kontaktandmed“. 19 Määruse III peatükis „Andmesubjekti õigused“ asuva artikli 17 „Õigus andmete kustutamisele („õigus olla unustatud“)“ lõigetes 1 ja 2 on ette nähtud: „1. Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest: […] d) isikuandmeid on töödeldud ebaseaduslikult; […] 2. Juhul kui vastutav töötleja on isikuandmed avalikustanud ja peab lõike 1 kohaselt isikuandmed kustutama, võtab vastutav töötleja kättesaadavat tehnoloogiat ja rakendamise kulusid arvestades tarvitusele mõistlikud abinõud, sealhulgas tehnilised meetmed, et teavitada kõnealuseid isikuandmeid töötlevaid vastutavaid töötlejaid sellest, et andmesubjekt taotleb neilt kõnealustele isikuandmetele osutavate linkide või andmekoopiate või ‑korduste kustutamist.“ 20 IKÜM IV peatükk „Vastutav töötleja ja volitatud töötleja“ sisaldab 1. jaos „Üldkohustused“ muu hulgas artikleid 24–26. 21 Määruse artikli 24 „Vastutava töötleja vastutus“ lõikes 1 on ette nähtud: „Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.“ 22 Määruse artikli 25 „Lõimitud andmekaitse ja vaikimisi andmekaitse“ lõigetes 1 ja 2 on ette nähtud: „1. Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja nii töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, nagu pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete (nagu võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse nõudeid ja kaitsta andmesubjektide õigusi. 2. Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks.“ 23 Määruse artikli 26 „Kaasvastutavad töötlejad“ lõikes 1 on sätestatud: „Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna käesoleva määruse kohaste kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklites 13 ja 14 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral mil vastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud vastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppe osana võib määrata andmesubjektide jaoks kontaktpunkti.“ 24 IKÜM artiklis 32 „Töötlemise turvalisus“ on sätestatud: „1. Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist: a) isikuandmete pseudonümiseerimine ja krüpteerimine; b) võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus; c) võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral; d) tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord isikuandmete töötlemise turvalisuse tagamiseks. 2. Vajaliku turvalisuse taseme hindamisel võetakse eelkõige arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige edastatavate, salvestatavate või muul viisil töödeldavate isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile juurdepääsu. 3. Käesoleva artikli lõikes 1 osutatud nõuete järgimise tõendamise elemendina võib kasutada artiklis 40 osutatud heakskiidetud toimimisjuhendite või artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist. 4. Vastutav töötleja ja volitatud töötleja võtavad meetmeid selleks, et tagada, et vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, töötlevad isikuandmeid ainult vastutava töötleja juhiste alusel, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab.“ 25 Määruse artikli 82 „Õigus hüvitisele ja vastutus“ lõigetes 1–3 on ette nähtud: „1. Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. 2. Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. Volitatud töötleja vastutab töötlemise käigus tekitatud kahju eest ainult siis, kui ta ei ole täitnud käesoleva määruse nõudeid, mis on suunatud konkreetselt volitatud töötlejatele, või kui ta pole järginud vastutava töötleja seaduslikke juhiseid või on tegutsenud nende vastaselt. 3. Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.“ 26 Määruse artiklis 94 on sätestatud: „1. Direktiiv [95/46] tunnistatakse kehtetuks alates 25. maist 2018. 2. Viiteid kehtetuks tunnistatud direktiivile käsitatakse viidetena käesolevale määrusele. […]“. Rumeenia õigus 27 7. juuni 2002. aasta seaduse nr 365/2002 elektroonilise kaubanduse kohta (Legea nr. 365/2002 privind comerțul electronic; Monitorul Oficial al României, I osa, nr 483, 5.7.2002), mida on muudetud 4. mai 2006. aasta seadusega nr 121/2006 elektroonilise kaubanduse seaduse nr 365/2002 muutmise ja täiendamise kohta (Legea nr. 121/2006 pentru modificarea și completarea Legii nr. 365/2002 privind comerțul electronic; Monitorul Oficial al României, I osa, nr 403, 10.5.2006) (edaspidi „seadus nr 365/2002“), artiklis 11 on ette nähtud: „1. Teenuseosutajate suhtes kohaldatakse tsiviil‑ ja kriminaalvastutust ning haldusrikkumist käsitlevaid õigusnorme, kui käesolevas seaduses ei ole sätestatud teisiti. 2. Teenuseosutajad vastutavad enda esitatud või nende nimel esitatud teabe eest. 3. Teenuseosutajad ei vastuta artiklites 12–15 sätestatud tingimustel edastatud, salvestatud või kättesaadavaks tehtud teabe eest.“ 28 Seaduse nr 365/2002 artiklis 14 „Teabe alaline säilitamine, talletamine“ on sätestatud: „1. Kui infoühiskonna teenus seisneb selle teenuse saaja poolt esitatud teabe talletamises, ei vastuta selle teenuse osutaja teenuse saaja taotlusel talletatava teabe eest, kui täidetud on üks järgmistest tingimustest: a) teenuseosutaja ei ole teadlik tegevuse või talletatud teabe ebaseaduslikkusest ega ole kahju hüvitamise nõude puhul teadlik faktidest või asjaoludest, millest tuleneb, et kõnealune tegevus või teave võib kahjustada kolmanda isiku õigusi; b) kui teenuseosutaja saab teada asjaomase tegevuse või teabe ebaseaduslikkusest või faktidest või asjaoludest, millest tuleneb, et kõnealune tegevus või teave võib kahjustada kolmanda isiku õigusi, tegutseb ta kiiresti, et see kustutada või sellele juurdepääs blokeerida. 2. Lõiget 1 ei kohaldata, kui teenuse saaja tegutseb teenuseosutaja alluvuses või kontrolli all. 3. Käesoleva artikli sätted ei mõjuta õigus‑ või haldusasutuse võimalust nõuda teenuseosutajalt andmete rikkumise lõpetamist või vältimist ega võimalust kehtestada valitsuse menetlusi teabele juurdepääsu piiramiseks või katkestamiseks.“ 29 Seaduse nr 365/2002 elektroonilise kaubanduse kohta rakenduseeskirjade (Normele metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic), mis kiideti heaks valitsuse 20. novembri 2002. aasta otsusega nr 1.308, mis käsitleb seaduse nr 365/2002 elektroonilise kaubanduse kohta rakenduseeskirju (Hotărârea Guvernului nr. 1.308 privind aprobarea Normelor metodologice pentru aplicarea Legii nr. 365/2002 privind comerţul electronic; Monitorul Oficial al României, I osa, nr 877, 5.12.2002), artikli 11 lõikes 1 on ette nähtud: „Need infoühiskonna teenuste osutajad, kes osutavad [seaduse nr 365/2002] artiklites 12–15 nimetatud teenuseid, ei ole kohustatud kontrollima teavet, mida nad edastavad või talletavad, ega aktiivselt otsima andmeid nende osutatavate infoühiskonna teenuste valdkonnas ilmselt ebaseadusliku tegevuse või teabe kohta.“ Põhikohtuasi ja eelotsuse küsimused 30 Rumeenia õiguse alusel asutatud äriühingule Russmedia Digital kuulub veebisait www.publi24.ro, mis on veebiturg, kus saab tasuta või tasu eest avaldada reklaamkuulutusi eelkõige kaupade müügi või teenuste osutamise kohta Rumeenias. 31 Põhikohtuasja hageja väidab, et 1. augustil 2018 avaldas tuvastamata isik sellel veebisaidil eksitava ja kahjustava kuulutuse, milles esitati põhikohtuasja hagejat seksuaalteenuseid pakkuva isikuna. Kuulutus sisaldas muu hulgas põhikohtuasja hageja fotosid, mida kasutati ilma tema nõusolekuta, ja tema telefoninumbrit. Sama kuulutuse võtsid seejärel täpselt samal kujul üle teised reklaamsisuga veebisaidid, kus see avaldati koos viitega algallikale. Russmedia Digital, kellega põhikohtuasja hageja ühendust võttis, eemaldas selle kuulutuse oma veebisaidilt vähem kui tund aega pärast nõude saamist. Sama kuulutus oli siiski endiselt kättesaadav teistel veebisaitidel, mis kuulutuse üle võtsid. 32 Kuna põhikohtuasja hageja leidis, et põhikohtuasjas kõne all olev kuulutus rikub tema õigust oma kujutisele, aule ja mainele ning eraelu puutumatusele, rikkudes ka isikuandmete töötlemise norme, esitas ta Judecătoria Cluj‑Napocale (Cluj‑Napoca esimese astme kohus, Rumeenia) Russmedia vastu hagi. See kohus mõistis Russmedialt põhikohtuasja hageja kasuks välja 7000 euro suuruse hüvitise mittevaralise kahju eest, mis tekitati sellega, et rikuti õigust oma kujutisele, aule ja mainele ning õigust eraelu puutumatusele ning töödeldi ebaseaduslikult põhikohtuasja hageja isikuandmeid. 33 Russmedia kaebas selle otsuse edasi. Tribunalul Specializat Cluj (Cluji erikohus, Rumeenia) rahuldas tema apellatsioonkaebuse, leides, et põhikohtuasja hageja hagi ei ole põhjendatud, kuna põhikohtuasjas kõne all olev kuulutus ei pärine Russmedialt, kes osutas üksnes selle kuulutuse talletamise teenust, ilma et ta oleks selle sisusse aktiivselt kaasatud. Järelikult on seaduse nr 365/2002 artikli 14 lõike 1 punktis b ette nähtud vastutusest vabastamine tema suhtes kohaldatav. Isikuandmete töötlemise kohta leidis kohus, et infoühiskonna teenuse osutaja ei ole kohustatud kontrollima teavet, mida ta edastab, ega aktiivselt otsima andmeid ilmselt ebaseadusliku tegevuse või teabe kohta. Kohus otsustas sellega seoses, et Russmediale ei saa ette heita, et ta ei võtnud meetmeid põhikohtuasjas kõne all oleva laimava kuulutuse veebis levitamise takistamiseks, sest ta eemaldas selle kiiresti põhikohtuasja hageja nõudel. 34 Põhikohtuasja hageja esitas selle otsuse peale kassatsioonkaebuse Curtea de Apel Clujile (Cluji apellatsioonikohus, Rumeenia), leides, et Tribunalul Specializat Cluj (Cluji erikohus) tugines seaduse nr 365/2002 väärale tõlgendusele. Ta väidab muu hulgas, et kuna see seadus ei ole IKÜMi suhtes eriseadus, oleks erikohus pidanud analüüsima selle määruse kohaldatavust käesoleval juhul. Lisaks ei piirdu Russmedia ainult sellega, et pakub oma klientidele spetsiifilist tehnilist vahendit majutusserveri kasutamiseks. Ta tegutseb ka haldajana, kes sekkub teabe hea haldamise huvides teabe sisusse. Põhikohtuasjas kõne all oleva veebisaidi haldajana talletab ja töötleb see äriühing teabe sisu. Andmete talletamine ja nende teatud vormis üldsusele kättesaadavaks tegemine eeldavad kuulutustes sisalduvate andmete ja teabe analüüsimist. Need asjaolud näitavad, et Russmedia on kuulutuste sisu haldamisse ja levitamisse otseselt kaasatud. Järelikult ei ole seaduse nr 365/2002 artikli 14 sätted kohaldatavad. 35 Lisaks väidab põhikohtuasja hageja, et sellise teenuseosutaja vastutusest vabastamine ei ole kohaldatav, kui vastutus on tuvastatud muude õigustloovate aktide, näiteks IKÜMi alusel. Russmedia avaldas põhikohtuasja hageja isikuandmed ilma tema nõusolekuta ja lubab oma veebisaidi kaudu igaühel postitada mis tahes tüüpi kuulutusi, eelkõige kuulutusi, mis ei taga isikuandmete turvalisust, tehes võimatuks veebis avaldatud andmeid lõplikult kustutada. 36 Russmedia väidab omalt poolt, et Tribunalul Specializat Cluji (Cluji erikohus) lahendus on õige. Põhikohtuasja hageja ei ole tõendanud, mille poolest on IKÜM erinorm, mis välistab seaduse nr 365/2002 asjakohaste sätete kohaldamise. 37 Curtea de Apel Cluj (Cluji apellatsioonikohus), kes on eelotsusetaotluse esitanud kohus ja kes lahendab käesolevat kohtuasja kassatsioonikohtuna, kelle otsus on lõplik, peab vajalikuks muu hulgas kindlaks määrata sellise infoühiskonna teenuse osutaja nagu Russmedia vastutusest vabastamise piirid vastavalt direktiivile 2000/31. 38 Viidates Euroopa Kohtu asjakohasele praktikale, tõdeb eelotsusetaotluse esitanud kohus, et kuigi selle kohtupraktika kohaselt ei ole veebituru haldajatel kohustust kuulutuse esitanud kasutajate postitatud teavet või kuulutusi eelnevalt kontrollida, on haldajate vastutusest vabastamine siiski tingimuslik. Nii ei saa vastavalt 12. juuli 2011. aasta kohtuotsusele L’Oréal jt (C‑324/09, EU:C:2011:474) veebipõhiste teenuste osutaja tugineda direktiivi 2000/31 artikli 14 lõikes 1 ette nähtud vastutusest vabastamisele, kui ta oli teadlik faktidest või asjaoludest, mille põhjal hoolas ettevõtja oleks pidanud järeldama, et kõnealused müügipakkumised on ebaseaduslikud, ja ei tegutsenud sellistest asjaoludest teadlikuks saades kiiresti direktiivi artikli 14 lõike 1 punktis b nõutud viisil. Samuti nähtub 11. septembri 2014. aasta kohtuotsusest Papasavvas (C‑291/13, EU:C:2014:2209), et direktiivi 2000/31 artiklites 12–14 sätestatud tsiviilvastutuse piirangud ei ole kohaldatavad äriühingu suhtes, kellele kuulub veebisait, millel avaldatakse ajalehe elektroonilist versiooni, kui see äriühing, kes saab tasu sellel veebisaidil levitatava reklaami eest, on teadlik avaldatavast teabest ja omab selle üle kontrolli. 39 Eelotsusetaotluse esitanud kohus rõhutab siiski, et selles kohtupraktikas üksnes viidatakse veebisaidil postitatud pakkumistele, mille ebaseaduslikkus tuleneb nende faktide ja asjaolude analüüsist, mis edastati vastutavale töötlejale sõnaselgelt pärast kõnealuse kuulutuse avaldamist. Seega ei ole Euroopa Kohtul veel olnud võimalust analüüsida sellist olukorda nagu põhikohtuasjas, kus avaldatud kuulutuse sisu oli ilmselgelt ebaseaduslik ja andmesubjektile äärmiselt kahjulik. 40 Eelotsusetaotluse esitanud kohtul on sellega seoses tekkinud küsimus, kas platvormile peab laekuma teade, et tal tekiks kohustus kustutada ilmselgelt ebaseaduslik ja väga kahjulik sisu. Käesoleval juhul avaldati põhikohtuasjas kõne all olev kuulutus ilma kuulutuse esitanud kasutaja isikut tuvastamata ja ilmselgelt ilma põhikohtuasja hagejalt nõusolekut saamata. 41 Kuigi pärast põhikohtuasja hageja teadet kustutati põhikohtuasjas kõne all olev kuulutus algselt veebisaidilt, on kuulutuse sisu, sealhulgas hageja kontaktandmed ja fotod, paljudel teistel veebisaitidel tervikuna üle võetud koos viitega algallikale. Põhikohtuasja hagejale tekitatud kahju on seega muutunud püsivaks ja tekib veel praegugi. Eelotsusetaotluse esitanud kohus rõhutab sellega seoses, et seksuaalteenuseid, mida väidetavalt pakutakse, võidakse seostada raskete kuritegudega, mis on karistusseadustiku (Codul penal) alusel karistatavad, näiteks kupeldamine ja inimkaubandus. 42 Eelotsusetaotluse esitanud kohus täpsustab, et vastavalt Russmedia hallatava veebituru üldistele kasutustingimustele ei taotle see äriühing omandiõigust avaldatud kuulutuste sisule, kuid jätab endale siiski õiguse seda sisu kasutada, sealhulgas kopeerida, levitada, edastada, avaldada, reprodutseerida, muuta, tõlkida, koostööpartneritele loovutada ja igal ajal kustutada, isegi kui tal ei ole selleks mõjuvat põhjust. 43 Neil asjaoludel otsustas Curtea de Apel Cluj (Cluji apellatsioonikohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas direktiivi [2000/31] artikleid 12–14 kohaldatakse ka sellise talletamisega seotud [infoühiskonna] teenuste osutaja suhtes, kes teeb kasutajatele kättesaadavaks veebilehe, kus saab postitada tasuta või tasulisi kuulutusi, ning kes väidab, et tema roll kasutajate kuulutuste avaldamises on pelgalt tehniline (platvormi kättesaadavaks tegemine), kuid kes viitab oma veebilehe üldistes kasutustingimustes sellele, et kuigi ta ei taotle esitatud või postitatud, üleslaaditud või edastatud sisu omandiõigust, säilitab ta sisu kasutamise õiguse, sealhulgas õiguse seda kopeerida, levitada, edastada, avaldada, reprodutseerida, muuta, tõlkida, koostööpartneritele loovutada ja igal ajal kustutada, ilma et selleks peaks olema põhjus? 2. Kas [IKÜM] artikli 2 lõiget 4, artikli 4 punkte 7 ja 11, artikli 5 lõike 1 punkti f, artikli 6 lõike 1 punkti a, artikleid 7, 24 ja 25 ning direktiivi 2000/31 artiklit 15 tuleb tõlgendada nii, et niisugune talletamise tüüpi [infoühiskonna] teenuste osutaja, kes on isikuandmete vastutav töötleja, peab enne kuulutuse avaldamist kontrollima, kas isik, kes kuulutuse postitab, ja kuulutuses viidatud isikuandmete omanik on sama isik? 3. Kas [IKÜM] artikli 2 lõiget 4, artikli 4 punkte 7 ja 11, artikli 5 lõike 1 punkti f, artikli 6 lõike 1 punkti a, artikleid 7, 24 ja 25 ning direktiivi 2000/31 artiklit 15 tuleb tõlgendada nii, et niisugune talletamise ja veebimajutuse tüüpi [infoühiskonna] teenuste osutaja, kes on isikuandmete vastutav töötleja, peab eelnevalt kontrollima kasutajate saadetud kuulutuste sisu, et kustutada kuulutused, mis on sisult potentsiaalselt ebaseaduslikud või mis võivad kahjustada isiku era‑ ja perekonnaelu? 4. Kas [IKÜM] artikli 5 lõike 1 punkte b ja f, artikleid 24 ja 25 ning direktiivi 2000/31 artiklit 15 tuleb tõlgendada nii, et niisugune talletamise tüüpi [infoühiskonna] teenuste osutaja, kes on isikuandmete vastutav töötleja, peab rakendama selliseid turvameetmeid, mis takistaksid või piiraksid tema kaudu avaldatud kuulutuste kopeerimist ja edasijagamist?“ Eelotsuse küsimuste analüüs 44 Väljakujunenud kohtupraktika kohaselt on ELTL artiklis 267 sätestatud liikmesriigi kohtute ja Euroopa Kohtu vahelise koostöö raames Euroopa Kohtu ülesanne anda liikmesriigi kohtule tarvilik vastus, mis võimaldab viimasel tema menetluses oleva kohtuasja lahendada. Seda arvestades peab Euroopa Kohus temale esitatud küsimused vajaduse korral ümber sõnastama. Sellisel juhul on Euroopa Kohtu ülesanne tuletada liikmesriigi kohtu esitatud asjaolude kogumist ja eelkõige eelotsusetaotluse põhjendustest need liidu õiguse aspektid, mida on vaidluse eset silmas pidades vaja tõlgendada (vt selle kohta 29. novembri 1978. aasta kohtuotsus Redmond,83/78, EU:C:1978:214, punkt 26; 28. novembri 2000. aasta kohtuotsus Roquette Frères, C‑88/99, EU:C:2000:652, punkt 18, ja 30. aprilli 2024. aasta kohtuotsus M.N. (EncroChat), C‑670/22, EU:C:2024:372, punkt 78). 45 Eelotsusetaotluse esitanud kohtu küsimustega tervikuna soovitakse esiteks kindlaks teha, kas selline veebituru haldaja nagu Russmedia, kes võimaldab oma kasutajatel tema veebiturul anonüümselt postitada tasuta või tasu eest kuulutusi, on rikkunud IKÜMist tulenevaid kohustusi, kui tema veebiturul avaldatud kuulutus sisaldab muu hulgas tundlikke isikuandmeid, millega rikutakse nimetatud määrust, ning teiseks, kas direktiivi 2000/31 artiklid 12–15, mis käsitlevad vahendajatest teenuseosutajate vastutust, on sellise haldaja suhtes kohaldatavad. 46 Nendele küsimustele tarviliku vastuse andmiseks tuleb kõigepealt analüüsida teist kuni neljandat küsimust, millega soovitakse kindlaks teha, millised kohustused on IKÜMi alusel veebituru haldajal niisuguses olukorras nagu põhikohtuasjas, ja sõnastada need küsimused ümber nii, et need puudutavad üksnes selle määruse tõlgendamist. Seejärel analüüsitakse seda, kas niisugune haldaja võib tugineda direktiivi 2000/31 artiklitele 12–15, mis on sisuliselt esimese küsimuse ese. Teine kuni neljas küsimus IKÜMi tõlgendamise kohta Sissejuhatavad märkused 47 Esiteks tuleb märkida, et eelotsusetaotlusest nähtub, et kõnealuses kuulutuses kujutati põhikohtuasja hagejat seksuaalteenuseid pakkuva isikuna ning kuulutus sisaldas muu hulgas tema fotosid, mida kasutati ilma tema nõusolekuta, ja tema telefoninumbrit. 48 Vaidlust pole selles, et selline teave on isikuandmed IKÜM artikli 4 punkti 1 tähenduses, milles on isikuandmed määratletud kui „igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta“ ning milles täpsustatakse, et „tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal“. 49 Väljakujunenud kohtupraktika kohaselt peegeldab väljendi „igasugune teave“ kasutamine IKÜM artikli 4 punktis 1 sisalduva mõiste „isikuandmed“ määratluses liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet arvamuste või hinnangute vormis, tingimusel et need „puudutavad“ asjaomast isikut. Teave puudutab tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või toime tõttu tuvastatava isikuga seotud (3. aprilli 2025. aasta kohtuotsus Ministerstvo zdravotnictví (juriidilise isiku esindaja andmed), C‑710/23, EU:C:2025:231, punkt 21 ja seal viidatud kohtupraktika). 50 Nende isikuandmete raames on IKÜM artikli 9 lõikes 1 lisaks ette nähtud erikord, et kaitsta isikuandmete eriliike, mille hulka kuuluvad andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. 51 Euroopa Kohus on täpsustanud, et selle määruse artikli 9 lõike 1 eesmärk on tagada suurem kaitse niisuguse töötlemise eest, mis võib töödeldavate andmete erilise tundlikkuse tõttu eriti raskelt riivata harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele (21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 41 ja seal viidatud kohtupraktika). 52 Selline suurem kaitse eeldab aga kindlasti selliste „tundlike andmete“ laia määratlemist. Nii on Euroopa Kohus otsustanud, et IKÜM artikli 9 lõige 1 on kohaldatav mitte ainult selles sättes mainitud olemuslikult tundlike isikuandmete töötlemise suhtes, vaid ka siis, kui tegemist on andmetega, mis kaudselt kas loogilise deduktsiooni või ristkontrolli tulemusel paljastavad sellist laadi teabe (5. juuni 2023. aasta kohtuotsus komisjon vs. Poola (kohtunike sõltumatus ja eraelu), C‑204/21, EU:C:2023:442, punkt 344 ja seal viidatud kohtupraktika). 53 Niisuguse laia määratluse puhul ei saa füüsilise isiku seksuaalelu või seksuaalset sättumust puudutavate andmete tõele mittevastavuse ja kahjulikkuse tõttu jätta neid andmeid IKÜM artikli 9 lõike 1 tähenduses „tundlikeks andmeteks“ kvalifitseerimata. 54 Teiseks tuleb tõdeda, et põhikohtuasjas kõne all olev töötlemine seisneb kõnesoleva kuulutuse ja seega nende andmete avaldamises Russmedia veebiturul. Nimelt tuleb toimingut, mis seisneb isikuandmete lisamises veebilehele, pidada IKÜM artikli 4 punkti 2 tähenduses töötlemiseks (1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 65 ja seal viidatud kohtupraktika). 55 Kolmandaks tuleb märkida, et teine kuni neljas küsimus viitavad asjaolule, et kõnealuse veebituru haldaja on isikuandmete vastutav töötleja. Samas on ilmne, et isikuandmed, mille avaldamise üle põhikohtuasjas vaieldakse, sisestas kõnealusesse kuulutusse anonüümne kuulutuse esitanud kasutaja, ilma et haldaja oleks konkreetselt mõjutanud kuulutuse sisu ja ilma et ta oleks olnud teadlik, et see kuulutus on eksitav ja kahjustav. Neil asjaoludel tuleb selgitada mõisteid „vastutav töötleja“ ja „kaasvastutavad töötlejad“ vastavalt IKÜM artikli 4 punkti 7 ja artikli 26 tähenduses. 56 IKÜM artikli 4 punktis 7 on mõiste „vastutav töötleja“ määratletud laialt kui füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. 57 Selle laia määratluse eesmärk on kooskõlas IKÜMi eesmärgiga tagada füüsiliste isikute põhiõiguste ja ‑vabaduste tõhus kaitse ning iga isiku õiguse tema isikuandmete kaitsele kõrgetasemeline kaitse (5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 29 ja seal viidatud kohtupraktika). 58 Seega võib iga füüsilist või juriidilist isikut, kes omaenda eesmärkidel mõjutab selliste andmete töötlemist ja osaleb seetõttu töötlemise eesmärkide ja vahendite kindlaksmääramisel, pidada selle töötlemise eest vastutavaks (5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 30 ja seal viidatud kohtupraktika). 59 Lisaks, kuna IKÜM artikli 4 punktis 7 sõnaselgelt ettenähtu kohaselt on „vastutava töötleja“ all silmas peetud üksust, kes „üksi või koos teistega“ määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid, ei viita see mõiste tingimata üheleainsale üksusele ja võib hõlmata mitut töötlemises osalejat, kellest igaühe suhtes on seega kohaldatavad andmekaitse valdkonna õigusnormid (vt selle kohta 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 67 ja seal viidatud kohtupraktika). 60 IKÜM artiklis 26, mis kuulub selle määruse artikli 4 punktis 7 toodud mõiste „vastutav töötleja“ alla, on sisuliselt ette nähtud, et kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, tuleb neid käsitada „kaasvastutavate töötlejatena“. 61 Selline kaasvastutus ei eelda tingimata, et asjaomaste isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramise kohta on olemas ühised otsused. Euroopa Kohus on nimelt otsustanud, et osalemine nende eesmärkide ja vahendite kindlaksmääramises võib toimuda eri vormides, kusjuures selline osalemine võib tuleneda nii kahe või enama üksuse ühisest otsusest kui ka kokkulangevatest otsustest, mis üksteist täiendavad, nii et igal otsusel on konkreetne mõju nende eesmärkide ja vahendite kindlaksmääramisele (vt selle kohta 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 43). 62 Mitme isiku kaasvastutus sama töötlemise eest ei eelda IKÜM artikli 4 punkti 7 kohaselt, et igaühel neist oleks juurdepääs asjaomastele isikuandmetele (29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 69 ja seal viidatud kohtupraktika, ning 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 42). 63 Samast vaatenurgast on Euroopa Kohus täpsustanud, et kaasvastutuse olemasolu ei tähenda tingimata, et erinevad isikud vastutavad sama isikuandmete töötlemise eest võrdselt. Need isikud võivad olla isikuandmete töötlemisse kaasatud hoopis eri etappides ja erineval määral, mistõttu tuleb neist igaühe vastutuse taset hinnata juhtumi kõiki tähtsust omavaid asjaolusid arvesse võttes (vt selle kohta 10. juuli 2018. aasta kohtuotsus Jehovan todistajat, C‑25/17, EU:C:2018:551, punkt 66 ja seal viidatud kohtupraktika, ning 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 42). 64 Käesoleval juhul pole vaidlust selles, et kuulutuse esitanud kasutajat, kes avaldas Russmedia hallataval veebiturul põhikohtuasja hageja isikuandmeid sisaldava eksitava ja kahjustava kuulutuse, tuleb pidada isikuks, kes määras peamiselt kindlaks nende andmete töötlemise eesmärgid ja vahendid ning kes kuulub seega IKÜM artikli 4 punktis 7 sätestatud mõiste „vastutav töötleja“ alla. 65 Samas on tuvastatud, et kuulutus avaldati internetis ja tehti seega internetikasutajatele kättesaadavaks üksnes Russmedia hallatava veebituru kaudu. 66 Kuigi käesoleva kohtuotsuse punktis 58 viidatud kohtupraktikast nähtub, et isiku saab kvalifitseerida isikuandmete „vastutavaks töötlejaks“ vaid siis, kui ta mõjutab seda töötlemist omaenda eesmärkidel, tuleb siiski tõdeda, et nii võib see olla muu hulgas juhul, kui veebituru haldaja avaldab asjaomaseid isikuandmeid äri‑ või reklaamieesmärkidel, mis lähevad kuulutuse esitanud kasutajale pelgalt teenuse osutamisest kaugemale. 67 Käesoleval juhul nähtub eelotsusetaotlusest, et Russmedia avaldab oma veebiturul kuulutusi omaenda ärilistel eesmärkidel. Siinjuures annavad selle veebituru üldised kasutustingimused Russmediale suure vabaduse veebiturul avaldatud teabe kasutamiseks. Eelotsusetaotluse esitanud kohtu andmetel jätab Russmedia endale eelkõige õiguse avaldatud sisu kasutada, levitada, edastada, reprodutseerida, muuta, tõlkida, koostööpartneritele loovutada ja igal ajal kustutada, ilma et selleks peaks olema „mõjuv põhjus“. Russmedia ei avalda seega kuulutustes sisalduvaid isikuandmeid kuulutuse esitanud kasutajate nimel või ei avalda neid ainult viimaste nimel, vaid töötleb neid andmeid ja võib neid kasutada omaenda reklaami‑ ja ärieesmärkidel. 68 Seetõttu tuleb asuda seisukohale, et Russmedia mõjutas omaenda eesmärkidel põhikohtuasja hageja isikuandmete avaldamist internetis ning osales seetõttu kõnealuse avaldamise ja seega vaidlusaluse töötlemise eesmärkide kindlaksmääramises. 69 Seda järeldust ei sea kahtluse alla asjaolu, et Russmedia ilmselgelt ei osalenud sellise eksitava ja kahjustava eesmärgi kindlaksmääramises, mida kuulutuse esitanud kasutaja põhikohtuasjas kõne all oleva kuulutuse avaldamisega taotles. Russmedia osales nimelt sellise töötlemise eesmärkide kindlaksmääramises, mis seisneb põhikohtuasjas kõne all olevas kuulutuses sisalduvate isikuandmete internetikasutajatele kättesaadavaks tegemises nende avaldamisest kasusaamiseks. Lisaks, lubades oma veebiturul kuulutusi anonüümselt lisada, hõlbustas Russmedia isikuandmete avaldamist ilma andmesubjekti nõusolekuta. 70 Peale selle, kuna Russmedia tegi kuulutuse esitanud kasutajale kättesaadavaks oma veebituru, mida kasutati põhikohtuasjas kõne all oleva kuulutuse avaldamiseks, osales ta kõnealuse avaldamise vahendite kindlaksmääramises. 71 Euroopa Kohus on nimelt varem sisuliselt otsustanud, et töötlemise vahendite kindlaksmääramises osaleb füüsiline või juriidiline isik, kes mõjutab otsustavalt isikuandmete kogumist ja edastamist, või ka isik, kes mõjutab selliste andmete töötlemist lähtuvalt oma tegevuse juhtimise või müügiedenduse eesmärkidest veebilehe seadistamise teel (vt selle kohta 5. juuni 2018. aasta kohtuotsus Wirtschaftsakademie Schleswig‑Holstein, C‑210/16, EU:C:2018:388, punkt 36, ja 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 78). Sama kehtib otsingumootori kohta, kui selle tegevusel on isikuandmete ülemaailmses levikus otsustav roll, sest selle tegevusega muudetakse andmed organiseeritult ja koondatult veebis avalikult kättesaadavaks (vt selle kohta 8. detsembri 2022. aasta kohtuotsus Google (väidetavalt ebaõigele sisule suunava lingi eemaldamine), C‑460/20, EU:C:2022:962, punkt 50 ja seal viidatud kohtupraktika). 72 Seega tuleb tõdeda, et kui selline veebituru haldaja nagu Russmedia määrab isikuandmeid sisaldada võivate kuulutuste levitamise seaded asjaomaseid adressaate silmas pidades, määrab kindlaks kujunduse, levitamise kestuse või rubriigid avaldatava teabe struktureerimiseks või ka korraldab sellise levitamise üksikasju määrava järjestuse, osaleb ta asjaomaste isikuandmete avaldamise oluliste vahendite kindlaksmääramises ja mõjutab seega otsustavalt andmete ülemaailmset levikut. 73 Sellega seoses võib asjaomase veebituru üldiste kasutustingimuste sisu anda viiteid selle kohta, et veebituru haldaja mõjutab otsustavalt asjaomast isikuandmete töötlemist ja määrab seega kindlaks sellise töötlemise vahendid. Nii näib see olevat Russmedia veebituru üldiste kasutustingimuste puhul, milles see äriühing jätab endale eeskätt õiguse levitada, edastada, avaldada, kustutada või ka reprodutseerida kuulutustes sisalduvat teavet, sealhulgas neis sisalduvaid isikuandmeid. 74 Igal juhul ei saa veebituru haldaja isikuandmete vastutava töötlejana vastutusest vabaneda põhjusel, et ta ei ole ise sellel veebiturul avaldatud asjaomase kuulutuse sisu kindlaks määranud. Nimelt oleks nii IKÜM artikli 4 punkti 7 selge sõnastusega kui ka selle sätte eesmärgiga, milleks on tagada mõiste „vastutav töötleja“ laia määratluse kaudu andmesubjektide tõhus ja täielik kaitse, vastuolus, kui haldaja jäetaks nimetatud määratluse alt välja ainuüksi sel põhjusel. 75 Seega tuleb tõdeda, et eelotsusetaotluse esitanud kohus tugines oma teises kuni neljandas küsimuses õigesti eeldusele, et niisuguses olukorras, nagu on kõne all põhikohtuasjas, on veebituru haldaja oma veebiturul avaldatud kuulutuses sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses. 76 Nendele küsimustele tuleb vastata kõiki eelnevaid sissejuhatavaid märkusi silmas pidades. Teine ja kolmas küsimus 77 Teise ja kolmanda küsimusega, mida tuleb analüüsida koos, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas IKÜM artikli 5 lõiget 2 ja artikleid 24–26 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses peab enne kuulutuste avaldamist tuvastama need kuulutused, mis sisaldavad tundlikke andmeid IKÜM artikli 9 lõike 1 tähenduses, kontrollima, kas kuulutuse esitanud kasutaja, kes valmistub sellist kuulutust lisama, on isik, kelle tundlikke andmeid see kuulutus sisaldab, ja kui see nii ei ole, siis keelduma kuulutuse avaldamisest ilma andmesubjekti sõnaselge nõusolekuta, kuna selline avaldamine võib kaasa tuua selle isiku harta artiklitega 7 ja 8 tagatud õiguse eraelu puutumatusele ja õiguse isikuandmete kaitsele raske rikkumise. 78 Vastavalt IKÜM artikli 1 lõikele 2, arvestades põhjendusi 4 ja 10, on selle määruse üks eesmärk tagada füüsiliste isikute põhiõiguste ja ‑vabaduste kõrgetasemeline kaitse isikuandmete töötlemisel; seda õigust tunnustatakse ka harta artiklis 8 ja see on tihedalt seotud harta artiklis 7 sätestatud õigusega eraelu puutumatusele (vt selle kohta 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 61 ja seal viidatud kohtupraktika). 79 Selleks on esiteks IKÜM II peatükis sätestatud isikuandmete töötlemise põhimõtted, mida vastutav töötleja peab järgima. Eelkõige peab igasugune isikuandmete töötlemine olema kooskõlas määruse artiklites 5 ja 6 loetletud põhimõtetega andmete töötlemise ja töötlemise seaduslikkuse tingimuste kohta (vt selle kohta 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 62 ja seal viidatud kohtupraktika). 80 IKÜM artikli 5 lõike 1 punkti a kohaselt tagatakse, et isikuandmete töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev. Määruse artikli 5 lõike 1 punktis d on lisatud, et töödeldavad isikuandmed peavad olema õiged ja vajaduse korral ajakohastatud. Seega tuleb võtta kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata. Määruse artikli 5 lõike 1 punktis f on sätestatud, et isikuandmeid tuleb töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitse loata või ebaseadusliku töötlemise eest. 81 Seoses töötlemise seaduslikkuse tingimustega on Euroopa Kohus otsustanud, et IKÜM artikli 6 lõike 1 esimene lõik näeb ette ammendava ja piirava loetelu juhtudest, mil isikuandmete töötlemist saab pidada seaduslikuks. Töötlemine peab seega kuuluma mõne selles sättes ette nähtud juhtumi alla (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Mousse, C‑394/23, EU:C:2025:2, punkt 25 ja seal viidatud kohtupraktika). 82 IKÜM artikli 6 lõike 1 esimese lõigu punkti a kohaselt on isikuandmete töötlemine seaduslik, kui ja kuivõrd andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil. Määruse artikli 7 lõikes 1 on täpsustatud, et sellisel juhul peab vastutav töötleja suutma tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega. Kui sellist nõusolekut ei ole antud või seda ei ole antud vabatahtlikult, konkreetselt, teadlikult ja ühemõtteliselt määruse artikli 4 punkti 11 tähenduses, võib selline töötlemine olla siiski põhjendatud juhul, kui see vastab mõnele määruse artikli 6 lõike 1 esimese lõigu punktides b–f nimetatud vajadusele (9. jaanuari 2025. aasta kohtuotsus Mousse, C‑394/23, EU:C:2025:2, punkt 26 ja seal viidatud kohtupraktika). 83 Nendele põhimõtetele ja tingimustele lisanduvad erinõuded IKÜM artikli 9 lõikes 1 määratletud tundlike andmete suhtes, mille töötlemine on üldjuhul keelatud (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 73). 84 Sellest keelust võib kõrvale kalduda üksnes siis, kui on kohaldatav mõni määruse artikli 9 lõike 2 punktides a–j sätestatud eranditest. Nende erandite hulgas, mida tuleb tõlgendada kitsalt, on määruse artikli 9 lõike 2 punktis a ette nähtud, et tundlike andmete töötlemise keeldu ei kohaldata, kui andmesubjekt on andnud sõnaselge nõusoleku oma tundlike isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt seda keeldu tühistada. 85 Teiseks on IKÜM IV peatükis täpsustatud isikuandmete vastutaval töötlejal IKÜM artikli 5 lõikes 2 sätestatud vastutuse põhimõtte kohaselt lasuvate kohustuste ulatust. 86 Selle sätte kohaselt vastutab vastutav töötleja IKÜM artikli 5 lõike 1 järgimise eest ja ta peab suutma tõendada kõigi selles lõikes 1 sätestatud põhimõtete järgimist, mistõttu see tõendamiskoormis lasub seega temal (4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punkt 53 ja seal viidatud kohtupraktika). 87 Seda vastutuse põhimõtet on täpsustatud eelkõige IKÜM artiklis 24 (vt selle kohta 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkt 43 ja seal viidatud kohtupraktika). Selles nõutakse, et arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendaks vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas selle määrusega. 88 IKÜM artikli 5 lõige 2 ja artikkel 24 kehtestavad seega isikuandmete vastutavatele töötlejatele üldised vastutuse ja vastavuse kohustused. Need nõuavad vastutavalt töötlejalt asjakohaste meetmete võtmist, et IKÜMis andmekaitse tagamiseks ette nähtud reeglite võimalikke rikkumisi ära hoida (vt selle kohta 27. oktoobri 2022. aasta kohtuotsus Proximus (üldkasutatavad elektroonilised kataloogid), C‑129/21, EU:C:2022:833, punkt 81). 89 Seda silmas pidades kohustab IKÜM artikli 25 lõige 1 vastutavat töötlejat rakendama nii isikuandmete töötlemise vahendite kindlaksmääramisel kui ka töötlemisel asjakohaseid tehnilisi ja korralduslikke meetmeid, mille eesmärk on tõhusalt rakendada andmekaitse põhimõtteid ning lõimida töötlemisse vajalikud kaitsemeetmed, et täita määruse nõudeid ja kaitsta andmesubjekti õigusi. Lisaks on artikli 25 lõikes 2, mis käsitleb vaikimisi andmekaitset, muu hulgas ette nähtud, et asjakohased tehnilised ja korralduslikud meetmed, mida vastutav töötleja peab selleks rakendama, tagavad, et isikuandmeid ei tehta vaikimisi ilma asjaomase füüsilise isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks. 90 Kui töödeldavad isikuandmed on tundlikud andmed IKÜM artikli 9 lõike 1 tähenduses, peab vastutav töötleja muu hulgas selleks, et teha kindlaks, millised on asjakohased meetmed selle määruse artiklite 24 ja 25 tähenduses, võtma arvesse seda, et määruse II peatükis sätestatud põhimõtete rikkumine seoses selliste andmete töötlemisega võib eriti raskelt riivata harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele. 91 Teist ja kolmandat küsimust, nagu need on ümber sõnastatud käesoleva kohtuotsuse punktis 77, tuleb analüüsida kõiki neid täpsustusi arvestades. 92 Mis puudutab esimesena küsimust, kas veebituru haldaja peab enne kuulutuste avaldamist tuvastama kuulutused, mis sisaldavad tundlikke andmeid IKÜM artikli 9 lõike 1 tähenduses, siis tuleb meelde tuletada, et nagu nähtub käesoleva kohtuotsuse punktidest 64 ja 75, tuleb kõnealust haldajat ja kuulutuse esitanud kasutajat, kes sellise kuulutuse veebiturule lisas, pidada kaasvastutavateks töötlejateks selle määruse artikli 26 tähenduses, kui asjaomane kuulutus veebiturul avaldatakse. 93 Sellest järeldub, et nii kõnealune haldaja kui ka kuulutuse esitanud kasutaja on kohustatud tagama IKÜM artikli 5 lõikest 2 ning artiklitest 24 ja 25 tulenevate kohustuste täitmise. Eelkõige peavad nad olema suutelised tõendama, et asjaomases kuulutuses sisalduvad isikuandmed on avaldatud seaduslikult, see tähendab, et andmesubjekt on andnud avaldamiseks nõusoleku, välja arvatud juhul, kui nad saavad tugineda mõnele muule IKÜM artikli 6 lõikes 1 ette nähtud tingimusele. Kui asjaomased isikuandmed on tundlikud andmed IKÜM artikli 9 lõike 1 tähenduses, peab nõusolek avaldamiseks olema sõnaselge, nagu nähtub käesoleva kohtuotsuse punktist 84. Samuti peavad vastutavad töötlejad IKÜM artikli 5 lõike 1 punktis d sätestatud õigsuse põhimõtte kohaselt suutma tõendada, et asjaomased isikuandmed on õiged. 94 Selleks et teha kindlaks, milliseid asjakohaseid tehnilisi ja korralduslikke meetmeid peab veebituru haldaja kui kaasvastutav isikuandmete töötleja IKÜM artiklite 24 ja 25 kohaselt rakendama, et tagada ja tõendada kuulutuses sisalduvate tundlike andmete avaldamine kooskõlas selle määrusega, tuleb märkida, et nendest sätetest tuleneb, et selliste meetmete asjakohasust tuleb hinnata konkreetselt, võttes arvesse töötlemise laadi, ulatust, konteksti ja eesmärke ning andmesubjekti enda õigusi ja vabadusi ähvardavate ohtude tõenäosust ja suurust (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 96). 95 Sellega seoses tuleb märkida, et isikuandmete avaldamine veebiturul kätkeb endas märkimisväärset ohtu andmesubjekti õigustele ja vabadustele, kuna need andmed tehakse põhimõtteliselt kättesaadavaks kõigile internetikasutajatele. Lisaks saab neid andmeid pärast veebiturul avaldamist kopeerida ja taasesitada teistel veebisaitidel, mistõttu võib andmesubjektil osutuda keeruliseks, kui mitte võimatuks neid internetist tegelikult kustutada. 96 Sellise avaldamisega seotud ohud on seda tõsisemad, kui tegemist on tundlike andmetega IKÜM artikli 9 lõike 1 tähenduses. Nagu on sõnaselgelt märgitud IKÜM põhjenduses 51, väärivad erilist kaitset isikuandmed, mis on oma olemuselt põhiõiguste ja ‑vabaduste seisukohast eriti tundlikud, sest nende töötlemise kontekst võib neid õigusi ja vabadusi oluliselt ohustada (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 75). Nagu on märgitud käesoleva kohtuotsuse punktis 90, võib selliste andmete töötlemine eriti raskelt riivata harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele. Lisaks on väga tõenäoline, et tundlikke andmeid sisaldava kuulutuse avaldamisega neid õigusi rikutakse, kui kuulutuse esitanud kasutaja ei ole ise andmesubjekt ja kui veebiturg võimaldab selliseid kuulutusi anonüümselt lisada. 97 Järelikult, kui sellise veebituru haldaja, nagu on kõne all põhikohtuasjas, teab või peaks teadma, et üldises plaanis on võimalik, et kuulutuse esitanud kasutajad avaldavad tema veebiturul IKÜM artikli 9 lõike 1 tähenduses tundlikke andmeid sisaldavaid kuulutusi, on haldaja vastutava töötlejana kohustatud juba alates teenuse kavandamisest rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid selliste kuulutuste tuvastamiseks enne avaldamist, et seega kontrollida, kas kuulutustes sisalduvad tundlikud andmed on avaldatud kooskõlas määruse II peatükis sätestatud põhimõtetega. Nagu nähtub eelkõige määruse artikli 25 lõikest 1, on tal nimelt kohustus selliseid meetmeid rakendada mitte ainult töötlemisel, vaid juba töötlemise vahendite kindlaksmääramisel ja seega juba enne seda, kui veebiturul avaldatakse tundlikud andmed neid põhimõtteid rikkudes, kuivõrd see kohustus on ette nähtud just selliste rikkumiste ärahoidmiseks. 98 Mis puudutab teisena küsimust, kas veebituru haldaja kui isik, kes vastutab koos kuulutuse esitanud kasutajaga tema veebisaidil avaldatud kuulutustes sisalduvate delikaatsete andmete töötlemise eest, peab enne avaldamist kontrollima asjaomase kasutaja isikusamasust, siis tuleb meelde tuletada, et IKÜM artikli 9 lõikest 1 koostoimes lõike 2 punktiga a tuleneb, et selliste andmete avaldamine on keelatud, kui andmesubjekt ei ole andnud oma sõnaselget nõusolekut kõnealuste andmete avaldamiseks veebiturul või kui ei ole kohaldatav mõni muu artikli 9 lõike 2 punktides b–j ette nähtud erand, mis käesoleval juhul ei tundu aga nii olevat. 99 Sellest tulenevalt, kui andmesubjekt lisab oma tundlikke andmeid sisaldava kuulutuse veebiturule, võib see olla sõnaselge nõusolek IKÜM artikli 9 lõike 2 punkti a tähenduses, kui kuulutuse lisab aga kolmas isik, selline nõusolek puudub, välja arvatud juhul, kui viimane suudab tõendada, et andmesubjekt on andnud sõnaselge nõusoleku kuulutuse avaldamiseks veebiturul. Järelikult peab veebituru haldaja selleks, et ta saaks tagada ja tõendada, et IKÜM artikli 9 lõike 2 punktis a sätestatud nõuded on täidetud, enne kuulutuse avaldamist kontrollima, kas kuulutuse esitanud kasutaja, kes valmistub kuulutust lisama, on isik, kelle tundlikud andmed selles kuulutuses sisalduvad, mis eeldab asjaomase kasutaja tuvastamist. 100 Lisaks nähtub IKÜM artikli 13 lõike 1 punktist a ja artikli 14 lõike 1 punktist a, et isikuandmete vastutavad töötlejad peavad igal juhul tegema andmesubjektile teatavaks oma nime ja kontaktandmed. 101 Lõpuks tuleb märkida, et IKÜM artikkel 26 paneb samade isikuandmete kaasvastutavatele töötlejatele kohustuse määrata läbipaistval viisil kindlaks oma vastavad kohustused, et tagada määruse kohaste nõuete täitmine. Selline kohustus osutuks aga võimatuks, kui üks vastutavatest töötlejatest saaks jääda teise suhtes anonüümseks. 102 Eeltoodust tuleneb seega, et veebituru haldajal kui isikul, kes vastutab tema veebiturul avaldatud kuulutuses sisalduvate tundlike andmete avaldamise eest koos kuulutuse esitanud kasutajaga, on kohustus tuvastada asjaomase kasutaja isik ja kontrollida, kas viimane on isik, kelle tundlikud andmed kuulutuses sisalduvad. 103 Nagu kohtujurist oma ettepaneku punktis 132 sisuliselt märkis, nähtub IKÜM põhjendusest 75, et eelkõige identiteedi kuritarvitamise korral võib isikuandmete töötlemine ohustada andmesubjektide õigusi ja vabadusi ning andmesubjektidel ei pruugi seetõttu olla võimalik teostada kontrolli oma isikuandmete üle. Nimelt kuritarvitatakse identiteeti üldjuhul eesmärgiga panna toime andmesubjekti või kolmandaid isikuid kahjustavaid pettusi. 104 Neil asjaoludel ja võttes arvesse ka käesoleva kohtuotsuse punktides 95 ja 96 esitatud kaalutlusi, peab veebituru haldaja selleks, et ta saaks olla kindel ja tõendada, et kuulutustes sisalduvaid tundlikke andmeid töödeldakse kooskõlas IKÜMi nõuetega, nägema määruse artiklite 24 ja 25 kohaselt ette asjakohased tehnilised ja korralduslikud meetmed, mis võimaldavad tal enne kuulutuste avaldamist mitte ainult tuvastada kuulutuse esitanud kasutaja isik, vaid ka kontrollida tema isikusamasust, ning seda eelkõige selleks, et oleks võimalik kindlaks teha, kas viimane on isik, kelle tundlikke andmeid kuulutus sisaldab. Nagu kohtujurist oma ettepaneku punktis 134 märkis, peavad sellised meetmed eelkõige võimaldama vähendada andmesubjektide isikuandmete ebaseadusliku töötlemise ohtu ja võidelda veebituru ebaausa kasutamise vastu, vähendades karistamatuse tunnet ja julgustades kuulutuse esitanud kasutajaid järgima isikuandmeid sisaldavate kuulutuste avaldamisel IKÜMi nõudeid. 105 Lõpuks, mis puudutab kolmandana küsimust, kas veebituru haldaja peab keelduma tundlikke andmeid sisaldava kuulutuse avaldamisest, kui kuulutuse esitanud kasutaja – kes valmistub seda kuulutust lisama – isikusamasuse kontrollimise järel selgub, et ta ei ole isik, kelle tundlikke andmeid kuulutus sisaldab, siis tuleb tõdeda, et käesoleva kohtuotsuse punktidest 98 ja 99 tuleneb, et sellisel juhul ei saa välistada, et selline avaldamine rikub tundlike andmete töötlemise keeldu, mis on sätestatud IKÜM artikli 9 lõikes 1. Järelikult, kui kuulutuse esitanud kasutaja ei suuda õiguslikult piisavalt tõendada, et andmesubjekt on andnud artikli 9 lõike 2 punkti a tähenduses sõnaselge nõusoleku kõnealuste andmete avaldamiseks veebiturul, või kui ei ole kohaldatav mõni muu artikli 9 lõike 2 punktides b–j ette nähtud erand, peab veebituru haldaja keelduma asjaomase kuulutuse avaldamisest, milleks ta peab rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid. 106 Kõiki eeltoodud põhjendusi arvestades tuleb teisele ja kolmandale küsimusele vastata, et IKÜM artikli 5 lõiget 2 ja artikleid 24–26 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses peab enne kuulutuste avaldamist asjakohaste tehniliste ja korralduslike meetmete abil – tuvastama kuulutused, mis sisaldavad tundlikke andmeid IKÜM artikli 9 lõike 1 tähenduses; – kontrollima, kas kuulutuse esitanud kasutaja, kes valmistub sellist kuulutust lisama, on isik, kelle tundlikke andmeid kuulutus sisaldab, ja kui see nii ei ole, – keelduma kuulutuse avaldamisest, kui kuulutuse esitanud kasutaja ei suuda õiguslikult piisavalt tõendada, et andmesubjekt on andnud artikli 9 lõike 2 punkti a tähenduses sõnaselge nõusoleku kõnealuste andmete avaldamiseks veebiturul, või kui ei ole kohaldatav mõni muu artikli 9 lõike 2 punktides b–j ette nähtud erand. Neljas küsimus 107 Neljanda küsimusega soovitakse sisuliselt teada, kas veebituru haldaja kui vastutav töötleja on kohustatud rakendama turvameetmeid, mis takistaksid või piiraksid tema veebiturul avaldatud tundlikke andmeid sisaldavate kuulutuste kopeerimist ja edasijagamist. 108 Käesoleval juhul nähtub eelotsusetaotlusest esiteks, et põhikohtuasjas kõne all olev eksitav ja kahjustav kuulutus võeti üle teistel reklaamsisuga veebisaitidel, mis avaldasid selle koos viitega algallikale, ning teiseks jätab Russmedia endale veebituru üldistes kasutustingimustes muu hulgas õiguse veebiturul avaldatud kuulutuste sisu edastada ja koostööpartneritele loovutada. Eelotsusetaotluse esitanud kohus ei täpsusta sellega seoses, kas Russmedia edastas selle kuulutuse vabatahtlikult teistele veebisaitidele või vähemalt lubas neid lepingust tulenevalt avaldada või on nende avaldamiste aluseks vastupidi algse kuulutuse koopiad, mille tegemiseks Russmedia ei ole luba andnud. 109 Kui osutub tõeseks esimene võimalus, kujutab selline edastamine endast isikuandmete uut töötlemist, mille eest vastutab Russmedia IKÜM artikli 4 punkti 7 tähenduses. Seda töötlemist tuleks eristada kuulutuse esitanud kasutaja poolt põhikohtuasjas kõne all oleva eksitava ja kahjustava kuulutuse avaldamisest Russmedia veebiturul. 110 Nimelt tuleb teha vahet samasse toimingute ahelasse kuuluvate isikuandmete erinevate töötlemistoimingute vahel, et võtta arvesse vajadust iga isiku puhul, keda võib kvalifitseerida isikuandmete vastutavaks töötlejaks, eraldi hinnata, mil määral võib teda vastutavaks pidada. Nimelt peab füüsiline või juriidiline isik selleks, et teda saaks pidada kaasvastutavaks töötlejaks, iseseisvalt vastama IKÜM artikli 4 punktis 7 esitatud „vastutava töötleja“ määratlusele (5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 41 ja seal viidatud kohtupraktika). 111 Sellest järeldub, et kui isikuandmeid edastatakse hiljem selle veebituru haldaja, kus asjaomased isikuandmed algul avaldati, ja teiste veebisaitide haldajate vahel sõlmitud levitamislepingute raames, on põhimõtteliselt ainult veebituru haldaja vastutav töötlemise eest, mida selline edastamine endast kujutab. Igal juhul on iga vastutav töötleja kohustatud üksi või koos teistega täitma kõiki IKÜMist tulenevaid kohustusi. 112 Neid täpsustusi arvestades tuleb neljandat küsimust mõista nii, et selles peetakse silmas olukorda, kus Russmedia ei edastanud põhikohtuasjas kõne all olevat eksitavat ja kahjustavat kuulutust teistele reklaamsisuga veebisaitidele ega andnud seega luba nendeks hilisemateks avaldamisteks. 113 Lisaks tuleb ka märkida, et see küsimus puudutab sisuliselt seda, milline ulatus on turvalisuse kohustusel, mida isikuandmete vastutav töötleja peab täitma. IKÜM artikkel 32 käsitleb konkreetselt töötlemise turvalisust. Selles on konkretiseeritud ja täpsustatud määruse artiklis 24 – milles määratletakse koos artikli 5 lõikega 2 üldiselt vastutava töötleja vastutus – esitatud nõuete ühte spetsiifilist aspekti. 114 Neil asjaoludel tuleb asuda seisukohale, et neljanda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas IKÜM artiklit 32 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses on kohustatud rakendama turvameetmeid, mis takistaksid veebiturul avaldatud ja määruse artikli 9 lõike 1 tähenduses tundlikke andmeid sisaldavate kuulutuste kopeerimist ja teistel veebisaitidel ebaseaduslikult avaldamist. 115 IKÜM artikli 32 lõikes 1 on sätestatud, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. 116 Selle määruse artikli 32 lõikes 2 on sätestatud, et vajaliku turvalisuse taseme hindamisel võetakse eelkõige arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile loata juurdepääsu. 117 Euroopa Kohus on otsustanud, et IKÜM artikli 32 lõigetes 1 ja 2 sisalduv viide „ohule vastavale turvalisuse tasemele“ ja „vajalikule turvalisuse tasemele“ annab tunnistust sellest, et selle määrusega on kehtestatud riskijuhtimissüsteem ja see ei tähenda mingil juhul isikuandmetega seotud rikkumiste ohu kõrvaldamist (14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 29). 118 Nii nähtub IKÜM artikli 32 sõnastusest koostoimes määruse artikliga 24, et artikkel 32 piirdub sellega, et kohustab vastutavat töötlejat võtma tehnilisi ja korralduslikke meetmeid, mille eesmärk on vältida nii palju kui võimalik igasugust isikuandmetega seotud rikkumist. Meetmete asjakohasust tuleb hinnata konkreetselt, kontrollides, kas vastutav töötleja on neid meetmeid rakendanud, võttes arvesse nimetatud artiklites osutatud erinevaid kriteeriume ja asjaomase töötlemisega konkreetselt seotud andmekaitsevajadusi ning sellega kaasnevaid riske (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 30). 119 Selleks et teha kindlaks, millist konkreetset ohtu asjaomane töötlemine endast kujutab, tuleb arvesse võtta töödeldavate isikuandmete võimalikku tundlikkust. Nimelt, nagu on meelde tuletatud käesoleva kohtuotsuse punktides 51 ja 90, tuleneb teatud liiki andmete suurem kaitse, mis on tingitud nende andmete erilisest tundlikkusest ja mis on sätestatud selle määruse artikli 9 lõikes 1, asjaolust, et selliste andmete töötlemine võib eriti raskelt riivata harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 41 ja seal viidatud kohtupraktika). 120 Kui isikuandmeid sisaldav kuulutus on aga juba veebis ja seega ülemaailmselt kättesaadav, kaasneb nende andmete levitamisega muu hulgas oht kaotada kontroll asjaomaste isikuandmete üle, mis sellisel juhul võtab andmesubjektile IKÜMis ette nähtud õigustelt ja tagatistelt – mille hulka kuulub esmajoones määruse artiklis 17 sätestatud õigus andmete kustutamisele – kogu nende soovitava toime. 121 Kui tundlikud andmed avaldatakse veebis, on vastutatav töötleja IKÜM artikli 32 kohaselt kohustatud võtma kõik tehnilised ja korralduslikud meetmed, et tagada turvalisuse tase, mis võimaldab tulemuslikult ära hoida kontrolli kaotamist nende andmete üle. 122 Selleks peab vastutav töötleja muu hulgas kaaluma kõiki tehnilisi meetmeid, mis on praeguse tehnoloogia arengu juures kättesaadavad ja mis võivad blokeerida veebisisu kopeerimist ja reprodutseerimist. 123 Siiski tuleb veel täpsustada, et IKÜM artikleid 24 ja 32 ei saa mõista nii, et algul veebis avaldatud isikuandmete ebaseaduslik levitamine on piisav järeldamaks, et vastutava töötleja võetud meetmed ei olnud asjakohased nende sätete tähenduses, ilma et töötlejal oleks võimalik esitada vastupidiseid tõendeid (14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 31). 124 Käesoleval juhul nähtub eelotsusetaotlusest, et vaatamata sellele, et põhikohtuasjas kõne all olev eksitav ja kahjustav kuulutus kustutati Russmedia veebiturult, on see kuulutus endiselt veebis kättesaadav teistel veebisaitidel, ilma et põhikohtuasja hagejal näiks olevat võimalik seda kustutada. 125 Samas on ilmne, et andmete üle kontrolli kaotamine on tingitud põhikohtuasjas kõne all oleva eksitava ja kahjustava kuulutuse algsest ebaseaduslikust avaldamisest, millega rikuti IKÜMis ette nähtud nõudeid. Igal juhul oli Russmedia kohustatud rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ohule vastav turvalisuse tase IKÜM artikli 32 alusel, ja blokeerima nii palju kui võimalik kõik selle kuulutuse koopiad. Eelotsusetaotluse esitanud kohtu ülesanne on kontrollida, kas see oli nii. 126 Kõiki eeltoodud põhjendusi arvestades tuleb neljandale küsimusele vastata, et IKÜM artiklit 32 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses on kohustatud rakendama asjakohaseid tehnilisi ja korralduslikke turvameetmeid, et takistada veebiturul avaldatud ja selle määruse artikli 9 lõike 1 tähenduses tundlikke andmeid sisaldavate kuulutuste kopeerimist ja teistel veebisaitidel ebaseaduslikult avaldamist. Esimene küsimus direktiivi 2000/31 tõlgendamise kohta 127 Nagu on märgitud käesoleva kohtuotsuse punktides 45 ja 46, soovib eelotsusetaotluse esitanud kohus veel teada, kas veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses võib seoses selle määruse artikli 5 lõikest 2 ning artiklitest 24–26 ja 32 tulenevate ning käesoleva kohtuotsuse punktides 106 ja 126 tuvastatud kohustuste rikkumisega tugineda direktiivi 2000/31 artiklitele 12–15, mis käsitlevad vahendusteenuse osutajate vastutust. 128 Seega tekib küsimus, kuidas need kaks liidu õigusakti omavahel suhestuvad. Eeskätt tuleb kindlaks teha, kas direktiivi 2000/31 artiklid 12–15 võivad mõjutada IKÜMis sätestatud vastutuse korda. 129 Sellega seoses tuleb esiteks märkida, et direktiivi 2000/31 artikli 1 lõike 5 punktis b on täpsustatud, et seda direktiivi ei kohaldata direktiivide 95/46 ja 97/66 rakendusalasse kuuluvate infoühiskonna teenustega seotud küsimuste suhtes. 130 Euroopa Kohus on seda sätet tõlgendanud nii, et side ja isikuandmete konfidentsiaalsuse kaitsega seotud küsimusi tuleb hinnata lähtuvalt IKÜMist ning Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiivist 2002/58/EÜ, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT 2002, L 201, lk 37; ELT eriväljaanne 13/29, lk 514), millega asendati vastavalt direktiiv 95/46 ja direktiiv 97/66, kusjuures tuleb täpsustada, et kaitse, mille tagamine on direktiivi 2000/31 eesmärk, ei või mingil juhul kahjustada IKÜMist ja direktiivist 2002/58 tulenevaid nõudeid (6. oktoobri 2020. aasta kohtuotsus La Quadrature du Net jt, C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, punkt 200 ja seal viidatud kohtupraktika). 131 Sellest järeldub eelkõige, et direktiivi 2000/31 artikli 14 lõikes 1 sätestatud erandi võimalik kohaldamine, millele veebituru haldaja võib tugineda seoses tema veebisaidil talletatud teabega, ei saa mõjutada IKÜMiga kehtestatud korda, mida kohaldatakse nii veebituru haldaja suhtes kui ka kõikide teiste nimetatud määruse kohaldamisalasse kuuluvate majandustegevuses osalejate suhtes. 132 Sama kehtib direktiivi 2000/31 artikli 15 kohta, mille kohaselt ei tohi liikmesriigid kehtestada muu hulgas direktiivi artiklis 14 käsitletud teenuste osutajatele üldist jälgimiskohustust. Lisaks ei saa veebituru haldaja kohustust täita IKÜMist tulenevaid nõudeid igal juhul pidada selliseks üldiseks jälgimiskohustuseks. 133 Teiseks on IKÜM artikli 2 lõikes 4 sätestatud, et see määrus ei piira direktiivi 2000/31, eelkõige selle artiklites 12–15 esitatud vahendusteenuste osutajate vastutust käsitlevate õigusnormide kohaldamist. 134 Artikli 2 lõiget 4 tuleb mõista nii, et asjaolu, et majandustegevuses osalejal on IKÜMis sätestatud kohustused, ei välista automaatselt, et ta võib tugineda direktiivi 2000/31 artiklitele 12–15 muudes kui isikuandmete kaitsega seotud küsimustes. 135 Seega tuleneb direktiivi 2000/31 artikli 1 lõike 5 punkti b ja IKÜM artikli 2 lõike 4 koostoimes tõlgendamisest, et selle direktiivi sätted, eelkõige artiklid 12–15, ei saa nimetatud määrusega kehtestatud korda mõjutada. 136 Kõiki eeltoodud põhjendusi arvestades tuleb esimesele küsimusele vastata, et direktiivi 2000/31 artikli 1 lõike 5 punkti b ja IKÜM artikli 2 lõiget 4 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses ei saa selle määruse artikli 5 lõikest 2 ning artiklitest 24–26 ja 32 tulenevate kohustuste rikkumise korral tugineda nimetatud direktiivi artiklitele 12–15, mis käsitlevad vahendusteenuse osutajate vastutust. Kohtukulud 137 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse sama kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab: 1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 5 lõiget 2 ja artikleid 24–26 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja selle määruse artikli 4 punkti 7 tähenduses peab enne kuulutuste avaldamist asjakohaste tehniliste ja korralduslike meetmete abil – tuvastama kuulutused, mis sisaldavad tundlikke andmeid selle määruse artikli 9 lõike 1 tähenduses; – kontrollima, kas kuulutuse esitanud kasutaja, kes valmistub sellist kuulutust lisama, on isik, kelle tundlikke andmeid kuulutus sisaldab, ja kui see nii ei ole, – keelduma kuulutuse avaldamisest, kui kuulutuse esitanud kasutaja ei suuda õiguslikult piisavalt tõendada, et andmesubjekt on andnud artikli 9 lõike 2 punkti a tähenduses sõnaselge nõusoleku kõnealuste andmete avaldamiseks veebiturul, või kui ei ole kohaldatav mõni muu artikli 9 lõike 2 punktides b–j ette nähtud erand. 2. Määruse 2016/679 artiklit 32 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja selle määruse artikli 4 punkti 7 tähenduses on kohustatud rakendama asjakohaseid tehnilisi ja korralduslikke turvameetmeid, et takistada veebiturul avaldatud ja kõnealuse määruse artikli 9 lõike 1 tähenduses tundlikke andmeid sisaldavate kuulutuste kopeerimist ja teistel veebisaitidel ebaseaduslikult avaldamist. 3. Euroopa Parlamendi ja nõukogu 8. juuni 2000. aasta direktiivi 2000/31/EÜ infoühiskonna teenuste teatavate õiguslike aspektide, eriti elektroonilise kaubanduse kohta siseturul (direktiiv elektroonilise kaubanduse kohta) artikli 1 lõike 5 punkti b ja määruse 2016/679 artikli 2 lõiget 4 tuleb tõlgendada nii, et veebituru haldaja kui tema veebiturul avaldatud kuulutustes sisalduvate isikuandmete vastutav töötleja määruse 2016/679 artikli 4 punkti 7 tähenduses ei saa selle määruse artikli 5 lõikest 2 ning artiklitest 24–26 ja 32 tulenevate kohustuste rikkumise korral tugineda nimetatud direktiivi artiklitele 12–15, mis käsitlevad vahendusteenuse osutajate vastutust. Allkirjad ( *1 ) Kohtumenetluse keel: rumeenia.