Op 2 december 2025 heeft het Hof van Justitie van de Europese Unie (HvJEU) arrest gewezen in een zaak over de rol van exploitanten van onlinemarktplaatsen onder de AVG bij advertenties die persoonsgegevens bevatten.
De zaak betrof een Roemeense onlinemarkplaats waarop een derde een misleidende advertentie plaatste waarin werd gesuggereerd dat een vrouw seksuele diensten aanbood. De advertentie was zonder haar toestemming gepubliceerd en bevatte met foto’s en contactgegevens van de vrouw. De advertentie werd van het platform verwijderd nadat de vrouw melding gemaakt had, maar de advertentie was op dat moment al overgenomen op andere websites.
Het HvJEU benadrukt dat de advertentie persoonsgegevens bevatte en, voor zover zij betrekking hebben op seksueel gedrag, zelfs bijzondere categorieën persoonsgegevens bevatte in de zin van artikel 9 lid 1 AVG. De publicatie van dergelijke gegevens is in beginsel verboden, tenzij een uitzondering van toepassing is in de zin van artikel 9 lid 2 AVG, zoals uitdrukkelijke toestemming van de betrokkene.
Het HvJEU oordeelt dat een exploitant van een onlinemarktplaats waarop advertenties gepubliceerd kunnen worden die persoonsgegevens bevatten als gezamenlijke verwerkingsverantwoordelijke met de adverteerder kwalificeert. Zij moet zodoende de rechtmatigheid van die verwerking in lijn met de AVG waarborgen. Dat houdt volgens het HvJEU in dat de exploitant vóór publicatie van een advertentie op diens platform moet nagaan of de advertentie bijzondere categorieën persoonsgegevens bevat, en zo ja, of de adverteerder ook de betrokkene zelf is. Als dit niet het geval is, moet de publicatie worden geweigerd, tenzij de adverteerder kan bewijzen dat de betrokkene uitdrukkelijk toestemming heeft gegeven voor plaatsen ervan.
Volgens het HvJEU kunnen platformexploitanten zich niet beroepen op de aansprakelijkheidsbeperkingen uit de artikelen 12 tot en met 15 van de e-commerce Richtlijn voor zover zij hun verplichtingen uit de AVG niet naleven. De bescherming die met e-commerce Richtlijn beoogd wordt mag namelijk hoe dan ook geen afbreuk doen aan de vereisten uit de AVG.
Naar aanleiding van dit arrest (dat gezien de verstrekkende gevolgen de nodige stof heeft doen opwaaien) zullen exploitanten van onlinemarktplaatsen moeten bepalen of en hoe zij voorafgaande controles en identiteitsverificatie mogelijk kunnen maken en effectieve beveiligingsmaatregelen te implementeren. Het niet naleven van deze verplichtingen kan leiden tot aansprakelijkheid en schadeclaims.
