Menu

Filter op
content
PONT Data&Privacy
  • PONT home
    • molen

    0

    ECLI:EU:C:2025:68

    De verantwoordelijkheid van onlineplatforms voor persoonsgegevens

    Onlineplatforms zijn een essentieel onderdeel van de digitale economie. Gebruikers plaatsen dagelijks miljoenen advertenties, reviews en berichten. Maar wat als een platform wordt misbruikt om zonder toestemming persoonsgegevens te publiceren? Kunnen deze platforms aansprakelijk worden gesteld voor onrechtmatige publicaties door derden? En zijn ze, in juridische zin, verwerkingsverantwoordelijken onder de Algemene Verordening Gegevensbescherming (AVG)? 

    Leandra Beerendonk

    10 maart 2025

    Commentaar jurisprudentie

    Commentaar jurisprudentie
     
    Deze vragen stonden centraal in een recente zaak voor het Hof van Justitie van de Europese Unie (HvJ-EU). Het geschil draait om een onlinemarktplaats waarop een advertentie werd geplaatst met persoonlijke gegevens van een individu, zonder diens toestemming. Het Hof moest bepalen in hoeverre het platform aansprakelijk is en of het moet worden beschouwd als een verwerkingsverantwoordelijke onder de AVG.
      De uitspraak van het HvJ-EU heeft verstrekkende implicaties voor online dienstverleners en de bescherming van persoonsgegevens binnen de EU. In dit artikel analyseren we de juridische kaders, de overwegingen van het Hof en de mogelijke gevolgen voor online platforms.

    De feiten van de zaak

    Het geschil speelt tussen een individu en Russmedia Digital SRL, exploitant van de Roemeense onlinemarktplaats Publi24.ro. Op dit platform werd zonder toestemming een advertentie geplaatst waarin werd beweerd dat de betrokkene seksuele diensten aanbood. De advertentie bevatte haar foto en telefoonnummer.
     
    Na melding bij het platform werd de advertentie binnen een uur verwijderd. Maar het kwaad was al geschied: de advertentie werd overgenomen door andere websites, waardoor haar persoonsgegevens verder werden verspreid.
     
    De zaak draait om twee belangrijke juridische vragen:
     
    1. Kan het onlineplatform aansprakelijk worden gesteld voor de publicatie en verdere verspreiding van de advertentie?   2. Valt het platform onder de definitie van een verwerkingsverantwoordelijke volgens de AVG?
     
    Het Hof moest hiermee de verhouding tussen de AVG en Richtlijn 2000/31/EG (de e-commerce richtlijn) verduidelijken.

    De e-commerce richtlijn vs. de AVG

    De e-commerce richtlijn biedt online dienstverleners een vrijstelling van aansprakelijkheid wanneer zij functioneren als een passieve tussenpersoon. Artikel 14 van de richtlijn stelt dat hostingplatforms niet aansprakelijk zijn voor onrechtmatige content van gebruikers, mits zij geen kennis hadden van de illegale inhoud en snel handelen om de content te verwijderen zodra zij hiervan op de hoogte worden gesteld.
     
    Sinds de inwerkingtreding van de Digital Services Act (DSA) op 17 februari 2024 is deze bepaling echter vervangen door artikel 6 DSA, dat vergelijkbare uitgangspunten hanteert, maar ook aanvullende zorgplichten introduceert voor onlineplatforms. In deze zaak wordt desalniettemin nog verwezen naar artikel 14 van de e-commerce richtlijn (thans artikel 14 REH), waarschijnlijk omdat de feiten plaatsvonden vóór de inwerkingtreding van de DSA. Dit verklaart waarom de oudere bepaling in de juridische beoordeling wordt aangehaald, ondanks dat de wetgeving inmiddels is gewijzigd.
     
    Daartegenover staat de AVG, die verplichtingen oplegt aan partijen die persoonsgegevens verwerken. Artikel 4 van de AVG definieert een verwerkingsverantwoordelijke als een partij die bepaalt welke persoonsgegevens worden verwerkt en met welk doel. Dit brengt verplichtingen met zich mee, zoals:
       
    • Het nemen van beveiligingsmaatregelen om persoonsgegevens te beschermen;
    • Het respecteren van de rechten van betrokkenen;
    • Het kunnen aantonen dat de verwerking van persoonsgegevens rechtmatig is.
     
    De kernvraag is of Russmedia slechts een neutrale host was, of dat het platform actief betrokken was bij de publicatie en verspreiding van de advertentie. Als Russmedia enkel een passieve rol speelde, kan het zich beroepen op de vrijstelling uit de e-commerce richtlijn. Maar als het platform een actieve rol had, kan het onder de AVG als verwerkingsverantwoordelijke worden aangemerkt.
     

    De overwegingen van het Hof: passief of actief?

    Het HvJ-EU heeft eerder, zoals in de zaak L'Oréal/eBay, bepaald dat een onlineplatform geen neutrale tussenpersoon is als het actief betrokken is bij de inhoud die gebruikers plaatsen. Wanneer een platform advertenties beheer(s)t, promoot of controleert, kan het niet langer aanspraak maken op de aansprakelijkheidsvrijstelling.  
    In de zaak Russmedia spelen enkele cruciale factoren een rol:
     
    • De gebruiksvoorwaarden van het platform gaven Russmedia het recht om advertenties te wijzigen, verspreiden of verwijderen. Dit kan erop wijzen dat het platform méér deed dan alleen faciliteren:
    • De identiteit van de adverteerder werd vóór publicatie niet gecontroleerd.
    • De advertentie werd snel verwijderd, maar Russmedia nam geen maatregelen om verdere verspreiding te voorkomen
    • Andere websites namen de advertentie over, waarbij Russmedia als oorspronkelijke bron werd genoemd.
     
    Een ander belangrijk aspect is of platforms preventief moeten controleren of gebruikers persoonsgegevens publiceren zonder toestemming. De e-commerce richtlijn verbiedt lidstaten een algemene toezichtverplichting op te leggen aan platforms, wat betekent dat zij niet verplicht zijn om alle inhoud vooraf te screenen. Tegelijkertijd vereist de AVG dat verwerkingsverantwoordelijken passende maatregelen nemen om persoonsgegevens te beschermen. Dit leidt tot een spanningsveld tussen de verplichtingen uit de AVG en de vrijstellingen uit de e-commerce richtlijn.
     

    De conclusie van het Hof: een genuanceerd oordeel

    Het Hof heeft een evenwichtige benadering gekozen door te erkennen dat een platform niet automatisch aansprakelijk is, maar ook niet per definitie beschermd wordt door de e-commerce richtlijn. De belangrijkste conclusies zijn:  
    1. Russmedia kan in aanmerking komen voor de vrijstelling van aansprakelijkheid onder de e-commerce richtlijn, zelfs als het zich het recht voorbehoudt om advertenties te wijzigen of te verwijderen. Dit geldt zolang het platform geen maatregelen neemt die zijn neutrale hostingstatus ondermijne
    2. Een onlineplatform dat advertenties opslaat, handelt als verwerker van persoonsgegevens binnen de AVG. Gebruikers bepalen zelf welke persoonsgegevens zij delen en met welk doel, terwijl het platform enkel de opslag faciliteert zonder eigen doelstelling. Daarom wordt het platform als verwerker aangemerkt en niet als verwerkingsverantwoordelijke. Dit betekent dat het platform niet verplicht is advertenties vooraf te controleren of verspreiding te voorkomen, maar wél moet zorgen voor passende beveiligingsmaatregelen om persoonsgegevens te beschermen.
    3. Wanneer het platform persoonsgegevens verwerkt van adverterende gebruikers die een account hebben, treedt het op als verwerkingsverantwoordelijke. Dit brengt een specifieke verplichting met zich mee om de identiteit van deze gebruikers te verifiëren.
     
    Met deze uitspraak wordt bevestigd dat onlineplatforms niet automatisch als verwerkingsverantwoordelijke worden gezien voor alle gegevens die via hun dienst worden gepubliceerd. Tegelijkertijd worden zij niet volledig gevrijwaard van verplichtingen onder de AVG.
     

    Wat betekent dit voor onlineplatforms?

    De uitspraak van het Hof betekent dat platforms zoals Russmedia niet direct aansprakelijk zijn voor gebruikerscontent, maar ook niet volledig vrijgesteld zijn van verantwoordelijkheid. Concreet houdt dit in:  
    • Geen algemene verplichting tot monitoring, maar platforms kunnen niet wegkijken bij evidente misstanden.
    • Hostingdiensten blijven gevrijwaard van aansprakelijkheid, zolang ze snel handelen bij meldingen van onrechtmatige content.
    • Platforms moeten adequate beveiligingsmaatregelen nemen om de persoonsgegevens die zij zelf verwerken te beschermen
    • Als platforms accounts beheren en persoonsgegevens verwerken, moeten zij de identiteit van gebruikers controleren
     

    Conclusie: balans tussen vrijheid en verantwoordelijkheid

     
    Deze uitspraak van het HvJ-EU benadrukt de delicate balans tussen de aansprakelijkheidsvrijstelling voor onlineplatforms en hun verantwoordelijkheid ten aanzien van persoonsgegevens. Het Hof bevestigt dat platforms niet automatisch aansprakelijk zijn voor alle inhoud die gebruikers plaatsen, maar ook niet volledig vrijgesteld zijn van verplichtingen onder de AVG. Dit arrest onderstreept dat de juridische positie van platforms afhangt van hun rol: zolang een platform enkel een passieve host is, kan het zich beroepen op de vrijstelling uit de e-commerce richtlijn. Zodra het echter actief ingrijpt in de inhoud of deze beheert, kunnen zwaardere verplichtingen gelden.
     
    Met de inwerkingtreding van de Digital Services Act (DSA) zijn de regels rond platformaansprakelijkheid verder aangescherpt. De DSA introduceert aanvullende zorgplichten en verduidelijkt dat een platform dat op eigen initiatief illegale content verwijdert, daarmee niet automatisch zijn neutrale status verliest (*Good Samaritan*-clausule). Dit betekent dat platforms niet alleen reactief hoeven op te treden, maar juist ook proactief maatregelen mogen nemen zonder direct als verwerkingsverantwoordelijke te worden aangemerkt.
     
    Voor onlineplatforms heeft deze uitspraak concrete gevolgen: ze moeten niet alleen snel reageren op meldingen van onrechtmatige content, maar ook passende beveiligingsmaatregelen implementeren om persoonsgegevens te beschermen. Tegelijkertijd blijft een algemene verplichting om alle inhoud vooraf te controleren uitgesloten. Dit arrest laat zien dat de wetgeving rond platformaansprakelijkheid continu in ontwikkeling is en dat beleidsmakers, bedrijven en rechters samen de grenzen van verantwoordelijkheid en vrijstelling verder zullen moeten definiëren in het licht van de nieuwe DSA-regels.
    Lex Digitalis

    Artikel delen

    Privacy in perspectief

    Bekijk boek

    Checklist Privacy AVG: privacybeleid in 57 checklists

    Bekijk boek

    Nieuwe EU-Wetgeving: Privacy & Data Essentials in 1 Dag

    Vanuit Brussel komen veel nieuwe wetten en regels rond data, cyber, technologie, AI en digitale platformen op ons af. Denk bijvoorbeeld aan de impact van de Data Act, de AI Act, de CRA en NIS2. Belangrijke nieuwe wetgeving: wat is de laatste stand van zaken? In deze cursus gaan we in op de vraag hoe jij je als professional kunt voorbereiden. Je krijgt overzicht in de belangrijkste wet- en regelgeving en we bespreken de laatste ontwikkelingen.

    Meer informatie

    Pseudonimiseren en anonimiseren van persoonsgegevens

    Wanneer is sprake van gepseudonimiseerde persoonsgegevens en wanneer kunnen data als anoniem worden beschouwd, waardoor de AVG niet (meer) van toepassing is? Wat is de rol van verschillende partijen in het verwerkingsproces (verwerkingsverantwoordelijke, verwerker en derde/ontvanger)? In deze cursus worden niet alleen de juridische aspecten besproken van pseudonimiseren en anonimiseren maar wordt ook uitgelegd welke technieken worden gebruikt bij het pseudonimiseren en anonimiseren.

    Meer informatie

    Word lid van PONT | Data & Privacy

  • Toegang tot Kennisbank
  • Lees e-books
  • Contact met vakgenoten
  • Eigen nieuwsoverzicht
    • WORD LID

    Algemeen

    Service

    Navigeer

    Berghauser Pont Mediagroep

    CONTACT

    𝕏

    Copyright 2025 Berghauser Pont | Website gemaakt door Buro Zero