TJUE: los operadores de las webs de anuncios son responsables de los datos personales publicados en sus plataformas

El Tribunal de Justicia de la Unión Europea (TJUE) ha emitido una sentencia con impacto en el funcionamiento de las webs de anuncios y la protección de datos en el espacio digital europeo. La STJUE n.º C-492/23, de 2 de diciembre, ECLI:EU:C:2025:935, ha determinado que los operadores de plataformas de anuncios en línea son responsables del tratamiento de los datos personales que aparecen en los anuncios publicados en sus sitios web, en virtud del Reglamento General de Protección de Datos (RGPD).

La decisión responde a una cuestión prejudicial elevada por el Tribunal Superior de Cluj (Rumanía) en un caso que enfrentaba a una usuaria, víctima de un anuncio falso y lesivo, y a la sociedad propietaria del sitio web en el que estaba publicado. El fallo no solo clarifica los deberes de los operadores de webs de anuncios, sino que además subraya que las obligaciones recogidas en el RGPD no pueden esquivarse invocando la exención de responsabilidad establecida en la Directiva 2000/31/CE, de 8 de junio, sobre el comercio electrónico.

Los hechos: un caso paradigmático sobre vulneración de derechos y protección de datos

El origen del litigio remite a agosto de 2018, cuando una persona no identificada publicó en la web demandada un anuncio en el que afirmaba que una mujer ofrecía servicios sexuales. El anuncio, que incluía fotografías y el número de teléfono de la afectada sin su consentimiento, fue considerado por la víctima como engañoso, lesivo para su honor e intimidad, y contrario a la normativa sobre protección de datos. A pesar de que la empresa retiró el anuncio poco después de recibir la solicitud de la mujer, este ya había sido duplicado en otros portales, multiplicando su difusión y los daños ocasionados.

La afectada emprendió acciones judiciales en Rumanía. El Tribunal de Primera Instancia de Cluj-Napoca le dio la razón, condenando a la entidad a indemnizarla con 7.000 euros por daños morales. Sin embargo, en apelación, el Tribunal Especializado de Cluj estimó el recurso del operador, calificándolo simplemente como un prestador de servicios de alojamiento y, por tanto, no responsable del contenido generado por usuarios.

La cuestión alcanzó el Tribunal Superior de Cluj, que planteó ante el TJUE una remisión prejudicial para esclarecer las obligaciones de estos operadores bajo el RGPD y si la Directiva 2000/31/CE les exime de tales responsabilidades.

La decisión del Tribunal: obligaciones reforzadas para los operadores de webs de anuncios

El TJUE ha fallado que el propietario de un sitio web de anuncios es responsable, en los términos del RGPD, de los datos personales contenidos en los anuncios publicados en su plataforma, incluidos los datos sensibles como los afectados en el caso presente. En concreto, esta responsabilidad implica para el operador una serie de obligaciones claras:

• Obligación de identificar antes de la publicación aquellos anuncios que incluyan datos personales sensibles.
• Verificación del consentimiento: el operador debe comprobar si el anunciante es realmente la persona cuyos datos aparecen en el anuncio, o si ha obtenido su consentimiento explícito y válido. De no ser así, la publicación debe ser denegada.
• Implementación de medidas técnicas y organizativas: deben adoptarse herramientas que dificulten la copia y distribución ilícita de los anuncios sensibles en otras plataformas.
• No aplicabilidad de la exención de la Directiva 2000/31/CE: el tribunal recalca que estas obligaciones bajo el RGPD no pueden ser eludidas acogiéndose a la exención de responsabilidad prevista para los prestadores de servicios de la sociedad de la información por el artículo 14 de la citada Directiva, modificado por el art. 6 del Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales.

Fundamentos jurídicos y alcance del fallo

En su sentencia, el TJUE recuerda que el mero hecho de que los anuncios sean publicados por un usuario no exime de responsabilidad al operador, dado que es su plataforma la que posibilita la difusión masiva de dichos datos a través de Internet.

La publicación de datos altamente sensibles, como los relacionados con la vida sexual o la orientación sexual de una persona identificada, exige especial diligencia y protección, en línea con el RGPD. Además, se subraya la obligación de tomar medidas preventivas, no bastando las actuaciones reactivas a posteriori tras la denuncia de una víctima.

Por otra parte, el TJUE aclara que corresponde a los tribunales nacionales dirimir la controversia concreta a la luz de esta interpretación, pero la decisión del Tribunal europeo es vinculante para otros tribunales que se enfrenten a situaciones análogas.

Conclusiones

La decisión delimita el marco de responsabilidad de los operadores de plataformas de anuncios en línea, aumentando su deber de diligencia en la protección de los datos personales y de la privacidad de los usuarios. Este deber de las empresas comprende la revisión en profundidad sus sistemas de control, la moderación y autorización de anuncios, así como la fijación de protocolos para responder a incidentes de uso indebido de datos personales.

Este caso pone de manifiesto los riesgos a los que se expone la ciudadanía en la economía digital, en la que la fácil difusión de informaciones puede causar graves perjuicios personales. La jurisprudencia europea refuerza así el mandato de tutela efectiva frente a los peligros del entorno digital, elevando los estándares de diligencia a los que deben responder los actores de la economía digital en el contexto europeo.