The controller of personal data in advertisements published on the website is the website’s owner
Therefore, website operators should, in particular, identify advertisements containing sensitive data before publishing them and verify whether the advertiser is actually the person whose data is included in such an advertisement or whether the advertiser has the explicit consent of that person.
This is a consequence of the judgment of the Court of Justice of the European Union (CJEU) of 2 December 2025 in Case C-492/23 Russmedia Digital and Inform Media Press, which ruled that the operator of an online marketplace is responsible for personal data contained in advertisements published on its platform. The CJEU points to the need to interpret the provisions in such a way that they form the basis for the controller to implement appropriate technical and organisational measures to identify advertisements containing special categories of data (e.g., data on opinions, sexuality or health) before publication. If an advertisement contains such data, the website’s operator must verify whether it is the advertiser's data. If not, the person posting such content containing another person's data must demonstrate that he or she has obtained the consent of the data subject. If both of these conditions are not met, the website’s operator should prevent the publication of such an advertisement.
Such action is intended to prevent the disclosure of personal data without the knowledge and consent of a data subject, as was the case in the matter proceeded before the Court. The investigated case concerned liability of the Romanian advertising service Russmedia Digital, in which an anonymous person published information about a woman providing sexual services. The information containing her photos, phone number and the data was published without her consent. The woman felt that the advertisement was untrue and harmful. At her request, the advertising service removed them, but despite this, information has already been reproduced on other websites.
She filed a lawsuit against Russmedia Digital. The court of first instance awarded her compensation of EUR 7,000, but the court of next instance ruled that compensation was not due because it considered the advertising platform to be a hosting service provider that is not responsible for the content published by users. The woman appealed and the Court of Appeal, hearing the case, asked the Court of Justice to interpret European Union law.
Administratorem danych osobowych w ogłoszeniach publikowanych na stronie WWW jest jej właściciel
W związku z tym operatorzy stron internetowych powinni w szczególności zidentyfikować, przed ich opublikowaniem, ogłoszenia zawierające dane wrażliwe i zweryfikować, czy reklamodawca jest rzeczywiście osobą, której dane znajdują się w takim ogłoszeniu lub czy posiada wyraźną zgodę tej osoby.
To konsekwencja wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z 2 grudnia 2025 r., w sprawie C-492/23 Russmedia Digital i Inform Media Press, który orzekł, że operator internetowej witryny handlowej ponosi odpowiedzialność za dane osobowe zawarte w ogłoszeniach publikowanych na jego platformie. TSUE wskazuje na konieczność interpretowania przepisów tak, aby były podstawą wdrożenia przez administratora odpowiednich środków technicznych i organizacyjnych, aby przed opublikowaniem zidentyfikować ogłoszenia zawierające dane szczególnych kategorii (np. dane o poglądach, seksualności czy dotyczących zdrowia). A jeżeli ogłoszenie czy reklama zawiera takie dane, to operator takiej strony musi zweryfikować czy są to dane reklamodawcy lub ogłoszeniodawcy. Jeśli nie, to osoba zamieszczająca taką treść z danymi innej osoby musi wykazać, że dysponuje zgodą osoby, której dane dotyczą. W przypadku, gdy oba te warunki nie są spełnione to operator takiej strony powinien uniemożliwić publikację takiego ogłoszenia czy reklamy.
Takie działanie ma zapobiegać przypadkom ujawniania danych osoby bez jej wiedzy i zgody, jak to miało miejsce w sprawie, którą zajmował się Trybunał. Badał on przypadek odpowiedzialności rumuńskiego serwisu ogłoszeniowego Russmedia Digital, w którym anonimowa osoba opublikowała informację o kobiecie świadczącej usługi seksualne. Informacja zawierała jej zdjęcia, numer telefonu i dane te opublikowano bez jej zgody. Kobieta uznała, że ogłoszenie było nieprawdziwe i krzywdzące. Na jej żądanie serwis ogłoszeniowy usunął je, ale mimo to informacje te zostały już powielone na innych stronach internetowych.
Kobieta na drodze sądowej dochodziła odszkodowania od serwisu Russmedia Digital. Sąd pierwszej instancji przyznał jej odszkodowanie w wysokości 7 tys. euro, ale sąd kolejnej instancji orzekł, że odszkodowanie się nie należy, gdyż uznał platformę ogłoszeniową za dostawcę usług hostingowych, który nie ponosi odpowiedzialności za treści publikowane przez użytkowników. Kobieta wniosła apelację i sąd apelacyjny rozpatrując tę sprawę zwrócił się do Trybunału Sprawiedliwości o dokonanie wykładni prawa Unii Europejskiej.
Data controller
When examining the case, the CJEU found that not only the advertiser, but also the advertising service is the data controller in this case. The Court stated that, although Russmedia Digital had not participated in the determination of the false and harmful content, it had participated in the definition of the purposes and means of that publication by making available the online marketplace used to publish the advertisement to the user, who was an online advertiser. Therefore, both the operator and the user who is an advertiser are obliged to ensure compliance with the obligations arising from the GDPR provisions. In particular, they must be able to demonstrate that the personal data contained in the advertisement in question are published lawfully.
Advertisers cannot be anonymous. The advertising platform, as the controller, is obliged to collect information about the identity of the user who is the advertiser and verify whether he or she is indeed a person whose sensitive data is included in the published advertisement.
It is therefore necessary to implement technical and organisational measures to identify advertisements containing special categories of data and to verify whether the user intending to post them is a data subject and, if not, whether he or she has obtained the consent of the data subject.
The CJEU also addressed the issue of the reproduction of sensitive data disclosed on controller’s website on other websites, which occurred in the case under examination. According to the CJEU, the operator of an online trading platform, as the controller of personal data contained in advertisements published on its website, has an obligation to prevent the copying and unlawful publication of such data on other websites.
Administrator danych
TSUE badając sprawę stwierdził, że nie tylko reklamodawca, ale i serwis ogłoszeniowy jest w tym przypadku administratorem danych. Wyjaśnił, że choć Russmedia Digital nie uczestniczyła w określeniu nieprawdziwej i krzywdzącej treści, to udostępniając użytkownikowi będącemu reklamodawcą internetową platformę handlową, która posłużyła do opublikowania ogłoszenia będącego przedmiotem postępowania, brała udział w określeniu celów i sposobów tego opublikowania. Dlatego zarówno operator, jak i użytkownik będący reklamodawcą są zobowiązani zapewnić przestrzeganie obowiązków wynikających z przepisów RODO. W szczególności muszą oni być w stanie wykazać, że dane osobowe zawarte w danym ogłoszeniu są publikowane zgodnie z prawem.
Reklamodawca nie może być anonimowy. Platforma ogłoszeniowa – jako administrator - ma obowiązek zebrania informacji o tożsamości użytkownika będącego reklamodawcą i zweryfikowania, czy jest osobą, której dane wrażliwe znajdują się w publikowanym ogłoszeniu.
Stąd konieczność wdrożenia środków technicznych i organizacyjnych pozwalających identyfikować ogłoszenia, które zawierają dane szczególnych kategorii i zweryfikować, czy użytkownik zamierzający zamieścić takie ogłoszenie, jest osobą, której dane dotyczą, a jeżeli nie jest, czy dysponuje zgodą osoby, której dane te dotyczą.
TSUE odniósł się także do kwestii powielania ujawnionych tzw. wrażliwych danych w jego serwisie na innych stronach internetowych, co miało miejsce w badanej sprawie. Zdaniem TSUE operator internetowej platformy handlowej, jako administrator danych osobowych zawartych w ogłoszeniach publikowanych na jego stronie internetowej, ma obowiązek uniemożliwić kopiowanie i niezgodne z prawem publikowanie w innych witrynach internetowych.
Blow in ‘celeb bait’
This judgment is of great importance for many websites, including social media platforms. Websites of this type cannot make excuses that they have no influence on the content of advertisements or posts containing data. They cannot hide behind the fact that they merely provide the service of ‘hosting’ advertisements. They are not merely intermediaries in the provision of this service, as they provide the appropriate tools for publishing data and thus determine how they can be displayed, for example.
Given the current phenomenon of so-called ‘celeb bait’, i.e., the use of data, including images, of famous people to generate fake advertisements, owners of social media platforms will have to verify whether the publisher of such content has obtained the consent of the person whose data are being disclosed to process data in this particular way. If not, the publication would not be permissible.
This solution will protect not only well-known people from unlawful use of their image, but also social media users from exposing themselves, for example, to financial losses. Often, such false advertisements encourage either risky investments, which most often involves financial losses or extortion of data from Internet users, which in turn exposes these people to the risk of the risk of using their dataheir data, e.g., for criminal purposes.
Cios w „celeb bait”
Wyrok ten ma ogromne znaczenie dla wielu serwisów internetowych w tym mediów społecznościowych. Serwisy tego typu nie mogą się bowiem tłumaczyć, że nie mają wpływ na treść ogłoszeń czy postów z danymi. Nie mogą zasłaniać się tym, że jedynie świadczą usługę „hostingowania” ogłoszeń. Nie są bowiem jedynie pośrednikami w świadczeniu tej usługi, gdyż dostarczają odpowiedni narzędzia do publikacji danych, a więc decydują o tym w jaki sposób mogą być np. wyświetlane.
Biorąc pod uwagę obecne zjawisko tzw. „celeb bait”, a więc wykorzystywania danych, w tym wizerunku, znanych osób do generowania fałszywych reklam, właściciele mediów społecznościowych będą musieli zweryfikować czy publikujący taką treść ma zgodę osoby, której dane ujawnia na przetwarzanie jej danych w taki sposób. Jeżeli nie, to publikacja nie jest niedopuszczalna.
To rozwiązanie uchroni nie tylko np. znane osoby przed bezprawnym wykorzystywaniem ich wizerunku, ale i użytkowników mediów społecznościowych przed narażeniem się np. na straty finansowe. Często takie nieprawdziwe reklamy czy ogłoszenia zachęcają albo do ryzykownych inwestycji, co najczęściej wiąże się ze stratami finansowymi albo do wyłudzenia danych od internautów, co z kolei naraża te osoby na wykosztowanie ich danych np. do celów przestępczych.