El Tribunal de Justicia de la Unión Europea ha dictado sentencia en el asunto C-492/23, Russmedia Digital e Inform Media Press, en la que clarifica las obligaciones de los operadores de mercados en línea respecto del tratamiento de los datos personales incluidos en los anuncios publicados por los usuarios. El núcleo jurídico se encuentra en la interpretación de los artículos 4, 6, 9 y 24 del RGPD, que establecen la responsabilidad del responsable del tratamiento y los requisitos aplicables al tratamiento de datos sensibles.

Responsabilidad del operador bajo el RGPD

El TJUE declara que el operador de un mercado en línea es responsable del tratamiento de los datos personales incorporados en los anuncios que se difunden a través de su plataforma. Aunque el contenido sea introducido por un usuario, la puesta a disposición pública del anuncio se produce mediante los medios del operador, lo que encaja en la definición de tratamiento del artículo 4.2 RGPD.

Esta responsabilidad implica la obligación de aplicar medidas técnicas y organizativas adecuadas (art. 24 RGPD) orientadas a:

• Identificar antes de su publicación los anuncios que contengan datos sensibles conforme al artículo 9 RGPD.

• Verificar que quien sube el anuncio es efectivamente el titular de los datos o que ha obtenido un consentimiento explícito del afectado.

• Denegar la publicación cuando no exista base jurídica válida o no concurra alguna de las excepciones del artículo 9.2 RGPD.

Imposibilidad de ampararse en la Directiva 2000/31/CE

El Tribunal rechaza que el operador pueda invocar la exención de responsabilidad prevista para los prestadores de servicios de intermediación en la Directiva 2000/31/CE. Señala que estas exenciones no pueden utilizarse para eludir las obligaciones específicas impuestas por el RGPD, que tienen carácter autónomo y prevalente en materia de protección de datos.

Hechos del litigio que motivan la decisión

El caso se origina cuando en el portal publi24.ro, gestionado por Russmedia Digital, se publicó un anuncio que atribuía a una mujer la prestación de servicios sexuales, incorporando fotografías y su número de teléfono sin consentimiento. Aunque el anuncio se retiró tras la reclamación, ya se había replicado ilícitamente en otros sitios web.

La víctima obtuvo una indemnización en primera instancia, pero la sociedad quedó exonerada en apelación al considerarse mero proveedor de alojamiento. Ello llevó al Tribunal Superior de Cluj a plantear cuestión prejudicial ante el TJUE.

Consecuencias de la sentencia

La resolución establece que los operadores deben implementar controles previos y mecanismos que eviten la copia y difusión ilícita de anuncios con datos sensibles. Refuerza así la protección efectiva de los derechos a la intimidad, honor e imagen, vinculando directamente estas garantías con las obligaciones del responsable del tratamiento.