La Cour de justice de l'Union européenne a jugé, dans un arrêt du 2 décembre 2025, que l'opérateur d'une place de marché en ligne est responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa plateforme.

L'affaire concernait la société Russmedia Digital, propriétaire du site de petites annonces en ligne publi24.ro, sur lequel une annonce contenant des photos et le numéro de téléphone d'une femme, utilisés sans son consentement, avait été publiée le 1er août 2018. Bien que retirée rapidement, l'annonce avait été copiée sur d'autres sites. La Cour a qualifié l'opérateur de responsable du traitement au sens du RGPD. Il doit par conséquent, via des mesures techniques et organisationnelles appropriées, identifier avant publication les annonces contenant des données sensibles et vérifier que l'annonceur est bien la personne concernée. À défaut, la publication doit être refusée sauf à démontrer le consentement explicite de la personne ou l'application d'une autre exemption prévue par le RGPD. L'opérateur doit aussi prendre des mesures pour prévenir la copie illicite des annonces et ne peut invoquer les exemptions de responsabilité de la Directive 2000/31/CE pour déroger à ces obligations. Plus d'informations dans notre fiche dédiée !