Affaire C-492/23, Russmedia Digital et Inform Media Press: Arrêt de la Cour (Grande chambre) du 2 décembre 2025 (demande de décision préjudicielle de la Curtea de Apel Cluj – Roumanie) – X / Russmedia Digital SRL, Inform Media Press SRL [Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 4, point 7 – Notion de responsable du traitement – Responsabilité de l’exploitant d’une place de marché en ligne pour la publication des données à caractère personnel contenues dans des annonces placées sur sa place de marché en ligne par des utilisateurs annonceurs – Article 5, paragraphe 2 – Principe de responsabilité – Article 26 – Responsabilité conjointe avec ces utilisateurs annonceurs – Article 9, paragraphe 1, et paragraphe 2, sous a) – Annonces contenant des données sensibles – Licéité du traitement – Consentement – Articles 24, 25 et 32 – Obligations du responsable du traitement – Identification préalable des annonces contenant de telles données – Vérification préalable de l’identité de l’utilisateur annonceur – Refus de la publication d’annonces illicites – Mesures de sécurité de nature à empêcher la copie des annonces et leur publication sur d’autres sites Internet – Commerce électronique – Directive 2000/31/CE – Articles 12 à 15 – Possibilité pour un tel exploitant de se prévaloir, à l’égard d’une violation de ces obligations, de l’exonération de responsabilité d’un prestataire intermédiaire de services de la société de l’information]

1)

L’article 5, paragraphe 2, ainsi que les articles 24 à 26 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que:

l’exploitant d’une place de marché en ligne, en tant que responsable du traitement, au sens de l’article 4, point 7, de ce règlement, des données à caractère personnel contenues dans des annonces publiées sur sa place de marché en ligne, est tenu, avant la publication des annonces et au moyen de mesures techniques et organisationnelles appropriées,

2)

L’article 32 du règlement 2016/679

doit être interprété en ce sens que:

l’exploitant d’une place de marché en ligne, en tant que responsable du traitement, au sens de l’article 4, point 7, de ce règlement, des données à caractère personnel contenues dans des annonces publiées sur sa place de marché en ligne, est tenu de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées afin d’empêcher que des annonces y étant publiées et contenant des données sensibles, au sens de l’article 9, paragraphe 1, dudit règlement, soient copiées et illicitement publiées sur d’autres sites Internet.

3)

L’article 1er, paragraphe 5, sous b), de la directive 2000/31/CE du Parlement européen et du Conseil, du 8 juin 2000, relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur («directive sur le commerce électronique»), et l’article 2, paragraphe 4, du règlement 2016/679,

doivent être interprétés en ce sens que:

l’exploitant d’une place de marché en ligne, en tant que responsable du traitement, au sens de l’article 4, point 7, du règlement 2016/679, des données à caractère personnel contenues dans des annonces publiées sur sa place de marché en ligne, ne peut pas se prévaloir, à l’égard d’une violation des obligations découlant de l’article 5, paragraphe 2, ainsi que des articles 24 à 26 et 32 de ce règlement, des articles 12 à 15 de cette directive, relatifs à la responsabilité des prestataires intermédiaires.