【処分事例】欧州： CJEUはマーケットプレイス運営者が広告主によるサードパーティの個人データ処理について管理者としての責任を負うと判断

2025年12月4日　欧州司法裁判所 (CJEU) は、広告コンテンツに対するプラットフォーム運営者を中立的なホストでありデータ処理者に過ぎないと判断した法務官 (AG) とは異なる見解を示し、運営者が処理条件を積極的に決定する立場にあるとし、以下の通り判断した。すなわち、運営者は、ユーザーが投稿した広告に含まれる個人データについてデータ管理者であり、掲載前に、広告主がサードパーティのデータを使用する権限を有するか、有効なGDPR上の法的根拠が存在するかを確認しなければならない。また、法的根拠が示されない場合には掲載を拒否しなければならず、違法な広告の拡散を制限するための合理的な措置を講じなければならない。この判断により、GDPR上の義務が強化され、Eコマース指令上のセーフハーバー免責条項が、GDPR義務を緩和させないことも明確化された。この判断は、法務官の寛容な解釈からの変更になる。