1.

Acta Diurna са били ежедневни римски официални известия, издълбани в камък или метал и изложени на публични места като Форума в Рим. В цифровата ера въпросът, с който могат да се сблъскат националните органи, е дали обнародваните в държавен вестник на дадена страна данни също са издълбани в камък, образно казано, или могат да бъдат изтрити или променени.

2.

В основата на спора по главното производство е публикуването на данни от белгийския Държавен вестник, Moniteur belge, който обнародва официални документи в печатно издание и в електронен формат.

3.

Спорът по главното производство е между État belge (белгийската държава) и Autorité de protection des données (Орган за защита на данните, Белгия, наричан по-нататък „ОЗД“). След като констатира, че пасаж от нотариално заверено решение на дружество, което освен изискваните от белгийското право данни съдържа и лични данни на физическо лице, е публикуван по погрешка, длъжностното лице по защита на данните (наричано по-нататък „ДЛЗД“) на нотариуса иска от Moniteur belge да заличи тези данни. Service Public Fédéral Justice (Федерална публична служба „Правосъдие“, Белгия, наричана по-нататък „ФПС Правосъдие“), която е управляващ орган на Moniteur belge, обаче отказва да удовлетвори това искане.

4.

В този контекст въпросите, поставени от Cour d’appel de Bruxelles (Апелативен съд Брюксел, Белгия) в преюдициалното му запитване, имат доста тесен обхват. По същество запитващата юрисдикция иска да се установи дали Moniteur belge или ФПС Правосъдие трябва да се считат за „администратор“ по смисъла на член 4, точка 7 от Регламент (ЕС) 2016/679 (наричан по-нататък „ОРЗД“) ( 2 ). При утвърдителен отговор на този въпрос запитващата юрисдикция иска да се установят и границите на задълженията на администратора, когато обработването се извършва последователно от различни субекти.

5.

В член 4 от глава I от ОРЗД, озаглавена „Общи разпоредби“, се определят по-специално следните понятия: „лични данни“, „обработване“, „администратор“ и „обработващ лични данни“.

6.

Членове 5, 6, 17 и 26 от ОРЗД също са приложими по настоящото дело.

7.

Член 67, параграф 1, точки 1 и 2 от Loi du 7 mai 1999 contenant le Code des sociétés ( 3 ) (Закон от 7 май 1999 г. за приемане на Кодекса на търговските дружества, наричан по-нататък „Кодексът на търговските дружества“) предвижда:

„1.   Заверени копия на официални документи, дубликати или оригинали на частни документи и извлечения, независимо дали са в електронен формат или не, чието подаване или обнародване се изисква от следващите членове, се подават в деловодството на съда, в чиято юрисдикция е адресът на управление на дружеството.

[…]

2.   Подадените документи се съхраняват във фирменото дело, водено в това деловодство за всяко дружество, а въпросните дружества се вписват в регистъра на юридическите лица, регистъра на Banque-Carrefour des Entreprises [централен орган за търговска регистрация]“.

8.

Член 71 от Кодекса гласи:

„Извлечението от документи на дружество се подписва, в случай на официални документи — от нотариус, а на частни документи — от всички съдружници заедно и солидарно или от един от тях, упълномощен за това от останалите с изрично пълномощно“.

9.

Член 73, параграф 1 от този кодекс предвижда:

„Обнародването се извършва в приложенията към Moniteur belge в срок до 15 дни след подаването, като в противен случай длъжностните лица, допуснали пропуска или забавянето, носят отговорност за вреди

[…]“.

10.

Съгласно член 74, параграф 1 от този кодекс:

„В съответствие с предходните членове се подава и обнародва следното:

1) актове за изменение на разпоредбите, които подлежат на обнародване съгласно този кодекс.

[…]“.

11.

Член 1 от Arrêté royal du 30 janvier 2001 portant exécution du code des sociétés (Кралски указ от 30 януари 2001 г. за прилагане на Кодекса на търговските дружества) ( 4 ) предвижда:

„[…] Съдебните деловодители на съдилищата[, които водят търговския регистър,] получават всички подадени документи, извлечения от документи, протоколи и документи, които подлежат на оповестяване съгласно Кодекса на търговските дружества […]“.

12.

Член 11 от този кралски указ предвижда:

„1.   Документите, извлеченията от документи и документите, които подлежат на обнародване в приложенията към Moniteur belge, се подават в деловодството заедно с едно копие. […]

2.   Всички подадени на хартиен носител документи трябва да отговарят на следните условия:

[…]

[…]

3.   Копията от документите, извлеченията от документи и документите, посочени в членове 67, 68 и 74 […] от Кодекса на търговските дружества […], предназначени за Moniteur belge, се представят без корекции или редактиране.

[…]“.

13.

Член 14 от Кралския указ има следния текст:

„В срок не по-късно от два работни дни след подаването им [административният секретар] изпраща на ръководството на Moniteur belge копия от документите, извлеченията от документи и документите […], които е получил и които трябва да бъдат обнародвани в приложенията към Moniteur belge.

[…]“.

14.

Член 16 от този кралски указ гласи:

„Когато е необходимо обнародване, то се извършва в приложенията към Moniteur belge в предвидените от закона срокове“.

15.

Член 472 от Loi-programme du 24 décembre 2002 (Програмен закон от 24 декември 2002 г.) ( 5 ) предвижда:

„Moniteur belge е официално издание, обнародвано от ръководството на Moniteur belge, което обединява всички текстове, за които е разпоредено обнародване в Moniteur belge“.

16.

Член 474 от този програмен закон гласи:

„Обнародването в Moniteur belge от ръководството на Moniteur belge се извършва в три екземпляра, отпечатани на хартия.

[…]

Един екземпляр се съхранява в електронен вид. Кралят определя условията за електронно съхранение […]“.

17.

Член 475 от същия програмен закон е формулиран по следния начин:

„Всяко друго предоставяне на обществен достъп се извършва чрез интернет страницата на ръководството на Moniteur belge.

Публикациите, достъпни на този уебсайт, възпроизвеждат точно в електронен формат предвидените в член 474 екземпляри на печатното издание“.

18.

Съгласно член 475а от Програмния закон от 24 декември 2002 г:

„Всеки гражданин може да получи от Moniteur belge копие от документите и документите, обнародвани в Moniteur belge, чрез обаждане на безплатен телефонен номер за съдействие и при заплащане на разходите за копирането. Тази служба отговаря и за предоставяне на гражданите на услуга за помощ при търсене на документи“.

19.

Според член 475b от този програмен закон:

„Други съпътстващи мерки се предприемат с Кралски указ, предложен от Министерския съвет, за да се осигурят възможно най-широкото разпространение и достъп до информацията, съдържаща се в Moniteur belge“.

20.

LM е мажоритарен съдружник в Bureau LM, белгийско частно дружество с ограничена отговорност.

21.

На 23 януари 2019 г. това дружество провежда общо събрание, на което решава да намали капитала си, като изменя членовете от дружествения си договор за тази цел.

22.

В съответствие със законовите разпоредби относно публикуването, нотариусът подготвя извлечение. На 12 февруари 2019 г. нотариусът го подава в Деловодство на Tribunal de l’entreprise néerlandophone de Bruxelles (Нидерландскоезичен търговски съд Брюксел, Белгия) за официалното му обнародване в Moniteur belge.

23.

На 22 февруари 2019 г. това извлечение е обнародвано в приложенията към Moniteur belge. По-конкретно, то съдържа решението за намаляване на капитала на дружеството, първоначалния размер на капитала, сумата, с която капиталът се намалява, новия размер на дружествения капитал и новия текст на дружествения договор. В допълнение към информацията, обнародвана в съответствие със законовото изискване, въпросното извлечение съдържа и имената на двамата съдружници в дружеството, сумите, които са им били възстановени, както и номерата на банковите им сметки (наричано по-нататък „спорният текст“), чието обнародване не се изисква от закона.

24.

След като установява, че нотариусът е допуснал грешка, като е включил спорния текст в обнародваното извлечение, и позовавайки се на член 17 от ОРЗД, ДЛЗД на нотариуса е поискало от ФПС Правосъдие да заличи спорния текст и да обнародва извлечението отново, този път без въпросния текст.

25.

На 10 април 2019 г. ФПС Правосъдие отказва да удовлетвори това искане ( 6 ), и предлага да обнародва отново извлечението, без спорния текст, като същевременно остави непроменена първоначалната публикация от 22 февруари 2019 г.

26.

На 21 януари 2020 г. LM, един от двамата съдружници във въпросното дружество, подава жалба до ОЗД срещу Moniteur belge (ФПС Правосъдие) за нарушения на член 5 (в частност принципа за свеждане на данните до минимум), член 6 (обработване на лични данни) и член 17 (право на изтриване) от ОРЗД.

27.

С решение от 23 март 2021 г. ОЗД уважава жалбата и по същество разпорежда заличаването на спорния текст.

28.

На 22 април 2021 г. État belge (белгийската държава) подава жалба срещу това решение пред Cour d’appel de Bruxelles (Апелативен съд Брюксел), който е запитващата юрисдикция, с искане за неговата отмяна. LM встъпва в производството.

29.

Запитващата юрисдикция посочва, че страните спорят относно начина, по който следва да се тълкува понятието „администратор“ по член 4, точка 7 от ОРЗД. Тя отбелязва, че след като е получил извлечението от Tribunal de l’entreprise néerlandophone de Bruxelles (Нидерландскоезичен търговски съд Брюксел), Moniteur belge, в съответствие с правните разпоредби, уреждащи неговия статут и задачи, е обнародвал този текст във вида, в който му е предоставен, т.е. без да го преглежда или редактира. По-конкретно, запитващата юрисдикция иска да се установи дали всеки от потенциалните последователни субекти, или само един от тях трябва да бъде квалифициран като „администратор“ по смисъла на този член, и следователно по силата на член 5, параграф 2 от ОРЗД e отговорен за спазването на принципите, предвидени в член 5, параграф 1 от този регламент.

30.

В това отношение запитващата юрисдикция иска да се установи дали в този регламент е заложено такова понятие за последователна или последваща отговорност. Ако се приеме, че Moniteur belge е получател на данните по смисъла на член 4, точка 9 от ОРЗД, тази юрисдикция се пита дали това издание на свой ред е действало като „последващ“ администратор на обработването. Това обаче изглежда не било така, защото съгласно приложимото белгийско право Moniteur belge не е в състояние да определя средствата и целите на извършваното от него обработване по смисъла на член 4, точка 7 от ОРЗД.

31.

В този контекст Cour d’appel de Bruxelles (Апелативен съд Брюксел) поставя на Съда следните въпроси:

32.

ОЗД, белгийското и унгарското правителство и Европейската комисия са представили писмени становища.

33.

В съдебното заседание на 23 март 2023 г. са се явили ОЗД, белгийското правителство и Комисията.

34.

С първия си въпрос запитващата юрисдикция по същество иска да установи дали член 4, точка 7 от ОРЗД трябва да се тълкува в смисъл, че държавен вестник на държава членка има статут на администратор на данни. Най-напред следва да се направят две бележки, които се отнасят до формулировката на този въпрос.

35.

Първо, от акта на запитващата юрисдикция е видно, че Кодексът на търговските дружества предвижда законово задължение за дружествата да обнародват различни документи и решения в приложенията към Moniteur belge. Тази юрисдикция също така отбелязва, че Moniteur belge е на подчинение на ФПС Правосъдие, без това да е допълнително обяснено. Поради това че разделението на компетентностите на националните органи в отделните държави членки се урежда от национални правила, в настоящото заключение ще споменавам само Moniteur belge.

36.

Второ, следва да се отбележи, че в своя въпрос запитващата юрисдикция поставя между тирета текст, който изглежда като обясняване на правомощията, предоставени на Moniteur belge от белгийския законодател.

37.

Следователно този въпрос може да се преформулира по същество така: дали държавен вестник на държава членка, какъвто е Moniteur belge, на който приложимото национално законодателство възлага задачата да обнародва и архивира официални документи, може да се счита за администратор по смисъла на член 4, точка 7 от ОРЗД, когато обнародването на тези документи във вида, в който са представени, е поръчано от трети лица, като тези лица сами са обработили съдържащите се в тези документи лични данни, и този държавен вестник не разполага с право на преценка относно съдържанието на подлежащите на обнародване документи или относно целта и средствата за това обнародване.

38.

За да се отговори на този въпрос, следва да се отбележи най-напред, че понятието „администратор“ е определено в член 4, точка 7 от ОРЗД като „физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка“. От тази разпоредба, разглеждана във връзка с член 5, параграф 1 от ОРЗД, в който се определят принципите, свързани с обработването на лични данни, става ясно, че за всеки етап от обработването на данните се изисква да има администратор ( 7 ). Така при обработването на лични данни винаги трябва да има администратор, който е ключов участник в прилагането на законодателството за защита на данните ( 8 ), поради което е важно да се определи този администратор на всеки етап от обработването ( 9 ). Понятието „администратор“ обхваща както физически, така и юридически лица, а също и публични органи, агенции или други структури. Ясно е обаче, че определянето на вида на субекта не поражда никакви трудности в настоящия случай.

39.

Преди да премина към същността на въпроса, а именно определянето на понятието „администратор“ по смисъла на член 4, точка 7 от ОРЗД, мисля, че е важно да се изясни дали операциите, разглеждани по настоящото дело, представляват „обработване“ на „лични данни“ по смисъла съответно на член 4, точки 1 и 2 от ОРЗД.

40.

Първо, трябва да се има предвид, че „лични данни“ по смисъла на член 4, точка 1 от ОРЗД означава „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано“, като в съдебната практика се приема, че това определение е приложимо, когато поради своето съдържание, крайна цел или последици информацията е свързана с определено лице ( 10 ). По настоящото дело страните не спорят, че данните, включени в спорния текст, като имената на двамата съдружници в дружеството и номерата на банковите им сметки, представляват лични данни. По мое мнение сумите, които са били възстановени на тези съдружници, не са непременно лични данни на самостоятелно основание. Въпреки това, когато се съчетаят с имената на лицата, които са ги получили, тези суми наистина трябва да се разглеждат като лични данни.

41.

Второ, съгласно член 4, точка 2 от ОРЗД понятието „обработване“ се определя като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства“, като по-специално „консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни“. Тези определения отразяват факта, че законодателят на Съюза е имал за цел да придаде широк смисъл на тези две понятия ( 11 ).

42.

Така например в своето решение Google Spain Съдът постановява, че дейността на интернет търсачка, изразяваща се в намиране на публикувана или въведена в интернет от трети лица информация, автоматичното ѝ индексиране, временно съхраняване и накрая, предоставянето ѝ на разположение на потребителите на интернет в определен ред на предпочитание, трябва да се квалифицира като „обработване на лични данни“ по смисъла на член 2, буква б) от Директива 95/46/ЕО ( 12 ) — който по същество съответства на член 4, точка 2 от ОРЗД – когато тази информация съдържа „лични данни“ ( 13 ). Освен това в решение Fashion ID ( 14 ) Съдът постановява, че обработването на лични данни може да се състои от една или повече операции, всяка от които свързана с един от различните възможни етапи от обработването на лични данни.

43.

По мое мнение в настоящия случай са налице три последователни обработвания на лични данни. Първото обработване е това, извършено от нотариуса, който е изготвил документа, който е трябвало да бъде обнародван в Moniteur belge (и при това е допуснал грешката да включи разглежданите лични данни), и го е подал в деловодството на търговския съд. Второто обработване е извършеното от това деловодство, което е приложило този документ по фирменото дело и го е изпратило за обнародване в Moniteur belge. Третото обработване е извършеното от Moniteur belge, който не само преобразува хартиения документ в електронен, но и го приема, записва, съхранява, разкрива и разпространява. Според мен е несъмнено, че и трите обработвания, и по-специално операциите, извършени от Moniteur belge, представляват „обработване“ по смисъла на член 4, точка 2 от ОРЗД.

44.

Въпреки това фактът, че в тези три случая е извършено обработване, не означава непременно, че Moniteur belge е действал като администратор на данни. Това е така, защото в член 4, точки 7 и 8 от него се прави разграничение между администраторите на данни, от една страна, и обработващите лични данни, от друга. Докато администраторът определя целта и средствата за обработването ( 15 ), обработващият лични данни обработва лични данни от името на администратора ( 16 ). Следователно, макар да е ясно, че трите случая представляват „обработване“ по смисъла на член 4, точка 2 от ОРЗД, тази констатация не определя дали Moniteur belge — или друг субект, участващ в тази тристепенна верига — има статут на администратор в настоящия случай.

45.

Според мен въпросът дали Moniteur belge е действал като „администратор на лични данни“, се свежда до това да се провери дали той „определя целите и средствата за обработването на лични данни“ по смисъла на член 4, точка 7 от ОРЗД.

46.

В началото следва да се отбележи, че според релевантната практика на Съда понятието „администратор“ трябва да се дефинира широко. Действително Съдът вече е постановил, че целта на член 4, точка 7 от ОРЗД е да се гарантира ефикасна и пълна защита на субектите на данни посредством широко по съдържанието си определение на понятието „администратор“ ( 17 ). Освен това „понятията „администратор“ и „обработващ лични данни“ са функционални понятия: те имат за цел да разпределят отговорностите в зависимост от действителните роли на страните“ ( 18 ). Иначе казано, „администратор на лични данни е лицето, което решава защо и как ще бъдат обработвани тези данни“ ( 19 ). Следователно определянето на отговорностите на администратора „се основава по-скоро на фактически, отколкото на формален анализ“ ( 20 ).

47.

Второ, като конкретизира „сама или съвместно“ с други, член 4, точка 7 от ОРЗД признава, че „целите и средствата“ за обработването на данни могат да бъдат определени от повече от едно лице. Степента, в която две или повече лица съвместно упражняват контрол, обаче може да приеме различни форми ( 21 ), които ще бъдат разгледани в анализа ми на втория въпрос.

48.

Трето, следва да се отбележи, че с приемането на Кралския указ от 25 юни 2020 г. Кралство Белгия определя ФПС Правосъдие за администратор по смисъла на член 4, точка 7 от ОРЗД ( 22 ). Фактите по спора в главното производство обаче са настъпили преди влизането в сила на този указ. Поради това той не е приложим ratione temporis към настоящото дело. От това следва, че Съдът трябва да провери разпределението на компетенциите и отговорностите между националните субекти преди влизането в сила на този указ.

49.

След тези предварителни бележки ще премина към разглеждане на условията, предвидени в член 4, точка 7 от ОРЗД, а именно кой от въпросните субекти „определя целите и средствата за обработването“ на въпросните лични данни.

50.

Качеството на администратор може да се основава на приложимото право или да произтича от анализ на фактическите елементи или обстоятелства по делото ( 23 ). Член 4, точка 7 от ОРЗД гласи, че когато целите и средствата за това обработване се определят в частност от правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в това право. Следователно, когато даден субект е изрично определен в закона като администратор, това има решаващо значение ( 24 ). В настоящия случай обаче няма конкретна разпоредба, която изрично да определя кой е администраторът на данни.

51.

Възможно е също така законът, макар и имплицитно, да определя даден субект като администратор ( 25 ). Например, когато националното законодателство налага на въпросния субект задължение да запази или предостави определени данни, такъв субект ще се счита за администратор по отношение на обработването, което е необходимо, за да се съобрази с това задължение. Такова имплицитно определяне от националното законодателство е налице, когато от ролята, задачите и правомощията, предоставени на този орган, е видно, че той определя целите и средствата за въпросното обработване. В решение Manni Съдът въз основа на анализа на фактите посочва, че „като вписва и съхранява посочените сведения в регистъра и при необходимост ги съобщава на трети лица по тяхна молба, органът, на който е възложено воденето на този регистър, извършва „обработване на лични данни“, на което е „администратор“ по смисъла на определенията, съдържащи се в член 2, букви б) и г) от Директива 95/46“ ( 26 ).

52.

По настоящото дело националното законодателство не посочва изрично администратора на данни, но предвижда, че дружествата имат законовото задължение да публикуват определени документи в Moniteur belge ( 27 ). По този начин то е създало правно задължение за обработване на данни, което трябва да се управлява от администратор. Националният законодател е разработил схема, при която има три субекта, които обработват данните последователно; страните обаче спорят кой от тези три субекта всъщност е администраторът ( 28 ). Поради това е необходимо да се установят конкретните правомощия, предоставени на тези субекти, за да се реши кого от тях законодателят имплицитно е определил като администратор на данни за третия етап от обработването, т.е. операциите, извършвани от Moniteur belge.

53.

С използването на глагола „определям“ в член 4, точка 7 от ОРЗД се изисква администраторът да влияе върху обработването по силата на упражняването на правомощието за вземане на решения ( 29 ). Например в решението за Facebook ‘Like’ plugin ( 30 ) въпросът е дали Fashion ID, онлайн търговец на дрехи, който е интегрирал в своя уебсайт социалната приставка „Харесва ми“ („Like“) на социалната мрежа Фейсбук, е определил съвместно с Фейсбук средствата за събиране и разкриване чрез предаване на личните данни на посетителите на уебсайта на Fashion ID. В това решение Съдът изрично посочва, че като интегрира такава социална приставка на своя уебсайт, Fashion ID оказва решаващо влияние върху събирането на лични данни на посетителите на този сайт и предаването им на доставчика на приставката, в случая Facebook Ireland, до каквото не би се стигнало без интегрирането на същата ( 31 ). От това следва, че упражняването на решаващо влияние върху обработването на лични данни означава, че субектът, който упражнява това влияние, е администратор. Липсата на решаващо влияние обаче не е достатъчна, за да се изключи фактът, че въпреки това субектът може да се квалифицира като администратор.

54.

Поради начините, по които информацията се създава и разпространява електронно, разпространението на данни в интернет увеличава експоненциално рисковете от нарушаване на основните права на зачитане на личния живот и защита на личните данни ( 32 ). Съзнавайки добре този риск, Съдът е приел широко определение на понятието „администратор“ ( 33 ), за да може ОРЗД да гарантира ефикасна и пълна защита на субектите на данни, по-специално на правото им на неприкосновеност на личния живот ( 34 ). За тази цел в решение Google Spain Съдът постановява, че да се изключи лицето, което управлява интернет търсачка, от приложното поле на понятието „администратор“, по съображението че не упражнява контрол върху личните данни, публикувани на уебстраниците на трети лица, би противоречало не само на ясния текст на член 2, буква г) от Директива 95/46, който по същество съответства на член 4, точка 7 от ОРЗД, но и на целта на тази разпоредба ( 35 ). Като е приел такова широко определение, Съдът очевидно е предпочел телеологично тълкуване на тази разпоредба: определението за „администратор“ трябва да гарантира ефикасна и пълна защита на субектите на данни. Освен това следва да се отбележи, че ОРЗД може да бъде само в подкрепа на подобно тълкуване, тъй като е приет на основание член 16, параграф 1 ДФЕС, оправомощаващ законодателя на Съюза да гарантира основното право на защита на личните данни, предвидено в член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) ( 36 ).

55.

В настоящия случай е видно, че националният законодател е създал схема с три различни етапа на обработване; верига, която започва с изготвянето и подписването на съответните документи от нотариуса, преминава през деловодството на търговския съд, който прилага документа по фирменото дело и го съхранява, и завършва с преобразуването в цифров формат и обнародването на тези документи от Moniteur belge. Макар да е вярно, че Moniteur belge трябва да обнародва съответния документ във вида, в който го е получил, това не променя факта, че за целите на обнародването му нито нотариусът, нито деловодството на търговския съд го преобразуват в електронен документ; единствено Moniteur belge извършва това, след което разпространява съответния документ в интернет.

56.

Следва да се отбележи по-конкретно, че с приемането на членове 474—475b от Програмния закон от 24 декември 2002 г. националният законодател предоставя определени правомощия на Moniteur belge. От тези разпоредби е видно, че Moniteur belge не само обнародва печатната версия на съответните документи, но и ги прави достъпни чрез интернет страницата си в електронен формат, съхранява ги електронно, предоставя ги на гражданите, като осигурява телефонен номер за съдействие и услуга за помощ при търсене на документ, и накрая, осигурява възможно най-широко разпространение на и достъп до информацията, съдържаща се в Moniteur belge. Ето защо според мен от тези разпоредби следва, че националният законодател, като е възложил на Moniteur belge правомощия във връзка с цифровото преобразуване, обнародването, разпространението и съхранението на разглежданите документи, е предоставил на този вестник правомощия, попадащи в обхвата на понятието „администратор“ по смисъла на член 4, точка 7 от ОРЗД ( 37 ).

57.

С извършването на гореспоменатите операции, възложени му от законодателя, а именно преобразуване в цифров формат, обнародване и разпространение, Moniteur belge увеличава експоненциално риска от нарушаване на основните права на засегнатото лице (в сравнение с обикновеното обнародване на документа в неговата печатна версия). Именно обработването от страна на този държавен вестник всъщност застрашава ефикасната и пълна защита на разглеждания субект на данни. Вследствие на това не виждам друга алтернатива, освен да приема, че поради целта да се гарантира ефикасна и пълна защита на субектите на данни, и поради потенциалната вреда, която цифровото преобразуване и разпространение могат да причинят на тези субекти, Moniteur belge не може да бъде изключено от определението за „администратор на данни“ по смисъла на член 4, точка 7 от ОРЗД.

58.

Накрая, що се отнася до приложимостта на съдебната практика относно частните търсачки към публични субекти, какъвто е Moniteur belge, следва да се отбележи, че в едно неотдавнашно свое решение Съдът прилага тази съдебна практика, за да потвърди, че прокуратурата трябва да се счита за „администратор“ ( 38 ). Според мен обосновката за такова прилагане е подкрепена от широкото тълкуване на понятието „администратор на данни“ по смисъла на член 4, точка 7 от ОРЗД, за да се осигури ефикасна и пълна защита на основните права и свободи на субектите на данни, залегнали в първичното право ( 39 ), независимо от това дали администраторът е публичен, или частен субект ( 40 ). За да се осигури такава ефикасна и пълна защита, принципите на защита на данните, наложени на частните търсачки, са приложими както за частните, така и за публичните субекти, които са подчинени на едни и същи всеобхватни принципи, свързани с данните и със задълженията съгласно ОРЗД, които представляват конкретен израз на първичното право.

59.

В съдебното заседание белгийското правителство заявява, че нотариусът следва да се счита за администратор на данни, тъй като той определя средствата и целите за обработването на данните.

60.

Според мен, ако нотариусът се счита за единственият администратор, това би означавало, че на практика не би имало администратор на третия етап от обработването, а именно операциите, извършвани от Moniteur belge, тъй като — както показват фактите по настоящото дело — законодателят не е оправомощил нотариуса да оказва решаващо влияние върху този трети етап на обработване. Трите разглеждани субекта обаче могат да участват на различни етапи и в различна степен в обработването на лични данни, в резултат на което всеки от тях може да се счита за администратор, макар и с различен обхват и ниво на отговорност, произтичащи от качеството на администратор ( 41 ). Освен това следва да се подчертае, че както Комисията посочва в съдебното заседание, законът теоретично би могъл да определи Moniteur belge като обработващ лични данни, при условие че националното законодателство е наложило на няколко субекта задължението да изготвят, съхраняват и разпространяват по цифров път разглеждания документ. Въпреки това, за да може Moniteur belge да се квалифицира като обработващ лични данни, следва да са изпълнени условията, конкретизирани в член 28 от ОРЗД, което очевидно не е така при обстоятелствата, представени пред Съда, тъй като всеки от засегнатите субекти отговаря за своята част от обработването ( 42 ). Следователно Moniteur belge не може да се счита за „обработващ лични данни“ по смисъла на тази разпоредба.

61.

Освен това белгийското правителство твърди, че самият национален законодател действа като администратор или определя субект, отговорен за задачите на администратора, а Moniteur belge само е упражнил предоставените му правомощия. Според това правителство съдебната практика относно частни търсачки не може да се прилага за публични субекти, тъй като Moniteur belge в качеството си на създаден от законодателя публичен орган не може сам да определя мисията и задачите си.

62.

Както вече посочих ( 43 ), в настоящия случай националният законодател имплицитно е определил Moniteur belge за администратор на данни, като му е предоставил правомощието да изпълнява определен брой конкретни задачи.

63.

Във всеки случай считам, че ако Съдът приеме, че националният законодател има качеството на администратор, когато упражнява правомощието си да определя целите и средствата за дадена операция по обработване, подобен подход би довел до това физическите лица вече да не се ползват от ефикасна защита, така че понятието за администратор би било лишено от ефективност. Всъщност ефикасната защита на субектите на данни не може да бъде осигурена, ако многобройните отговорности на администратора се изпълняват, по отношение на всяко обработване на лични данни, предвидено в законодателството на дадена държава членка, от самия законодател. Затова според мен, когато на публичен орган са предоставени правомощия да обработва лични данни, администратор на данни е не законодателят, а органът, който изпълнява публичните задачи и контролира целите и средствата за това обработване ( 44 ). В настоящия случай от обстоятелствата е ясно, че разглежданото обработване, както е обяснено в точка 43 от настоящото заключение, се извършва в изпълнение на националното законодателство, което изключва хипотезата самият законодател — когато приема закони — да е администратор на обработването на лични данни.

64.

В настоящия случай от предоставеното на Съда национално законодателство е видно, че Moniteur belge няма право да взема решения относно текстовете, които трябва да обнародва ( 45 ). Всъщност, както бе подчертано от белгийското правителство в писменото му становище и в съдебното заседание, Moniteur belge е разполагал с 15 дни ( 46 ), за да обнародва документа, който трябва да бъде точно копие на съставения от нотариуса. В случай на пропуск или забавяне държавният служител на Moniteur belge рискува да бъде съден за вреди ( 47 ). За да се избегне такава ситуация, този орган не проверява дали информацията, която трябва да обнародва, е пълна, валидна или точна. Следователно, както твърди белгийското правителство, Moniteur belge не разполага с правомощия да проверява съдържанието на тези документи, включително личните данни, които те биха могли да съдържат.

65.

Въпреки това, тъй като при приемането на закони самият законодател не действа като администратор на данни и тъй като никой друг субект не оказва влияние върху определянето на целите и средствата за въпросното обработване — т.е. цифровото преобразуване и разпространение на съответните документи — за да се избегне празнота, Moniteur belge трябва да бъде определен за администратор на данни. Нотариусът и деловодството на търговския съд просто нямат правомощия да се намесят на този етап. Следователно това, че Moniteur belge няма право на преценка, не може да служи като пречка за осигуряване на ефикасната защита на субектите на данни. Поради това трябва да се приеме, че Moniteur belge е администратор по смисъла на член 4, точка 7 от ОРЗД, макар и имплицитно посочен, за обработването на лични данни при обнародването на документи, което се изисква от националното законодателство.

66.

От фактите по настоящото дело изглежда, че ДЛЗД на нотариуса е поискало от ФПС Правосъдие (действаща от името на Moniteur belge) да заличи — да премахне от интернет — спорния текст и да обнародва извлечението без този текст. ФПС Правосъдие отказва да удовлетвори това искане, и предлага да обнародва ново извлечение. При тези обстоятелства става ясно, че съответният нотариус няма правомощия да разпореди изменение или оттегляне на спорния текст. Трябва обаче да се подчертае, че изглежда, и никой друг субект не разполага с такова правомощие.

67.

Белгийското правителство уточнява, че намерението на националния законодател е било документите, обнародвани в Moniteur belge, да се запазят неизменни във времето за целите на архивирането и електронната версия на публикациите да остане завинаги точно копие на печатното издание, което изключва всякакво изменение със задна дата. Това правителство добавя, че за да се коригира документ на юридическо лице, обнародван в Moniteur belge, нотариусът трябва да подаде документ за изменение в деловодството на търговския съд, което след това трябва да поиска от ръководството на Moniteur belge да обнародва този изменителен акт. От друга страна, съгласно белгийското право не било възможно първоначалният акт да бъде изцяло заличен, за да не бъде нарушен принципът на неизменност на Moniteur belge.

68.

Според мен отказът на публичния орган да заличи частта от текста, съдържаща въпросните лични данни, и да обнародва разглеждания документ без тази част има за последица запазването на тези данни като общодостъпни. Това според мен означава, че този орган, прилагайки националното законодателство, действа като „администратор“ по смисъла на член 4, точка 7 от ОРЗД, защото, като не оттегля спорния текст и го запазва публично достъпен, той определя целите и средствата за обработване на личните данни. Ако Moniteur belge не бъде признат за администратор на данни, тогава ще излезе, че нито един орган не би имал това качество ( 48 ).

69.

Според мен качеството на „администратор на данни“ не може да зависи от факта, че орган като белгийския Moniteur belge по силата на националното право не е в състояние да изпълни искане за заличаване на данни. Следователно, когато в националното законодателство има празнота, националните органи, а на този етап и националният съд, трябва да определят, прилагайки ОРЗД, субекта, който трябва да изпълни задълженията, произтичащи от този регламент. В настоящия случай тъй като данните се обработват, те остават публично достъпни, но националното законодателство не е определило отговорен орган като администратор на данни за тази част от обработването.

70.

В такъв случай, тъй като националният законодател е оставил празнота, като не е определил администратор, Съдът следва да посочи, че запитващата юрисдикция е тази, която трябва да определи, въз основа на обстоятелствата, описани пред Съда, Moniteur belge (или ФПС Правосъдие, според преценката на тази юрисдикция) за администратор. Считам, че само това тълкуване би било в съответствие с целта на член 4, точка 7 от ОРЗД да се гарантира ефикасна и пълна защита на субектите на данни посредством широко по съдържанието си определение на понятието „администратор“ ( 49 ). По този начин също така ще се избегнат празнотите и ще се предотврати евентуално заобикаляне на правилата на ОРЗД.

71.

Що се отнася до практическите доводи, произтичащи от принципа на неизменност на информацията, разпространявана от Moniteur belge, с оглед на задълженията, произтичащи по-специално от членове 5 и 17 от ОРЗД, националният законодател трябва да приеме законодателна рамка, която взема предвид защитата на субектите на данни и този принцип. Тъй като публикуването на лични данни увеличава експоненциално риска от вреди за субектите на данни, има необходимост от иновативни решения, които да бъдат предвидени в националния закон ( 50 ).

72.

В заключение, по настоящото дело предлагам на Съда да приеме, че Moniteur belge действа като „администратор“ по смисъла на член 4, точка 7 от ОРЗД, когато взема решение да откаже да оттегли спорния текст от публичното пространство, тоест когато запазва този текст публично достъпен.

73.

В настоящия случай националното законодателство е създало задължение за определяне на администратор на данни, за да се спазят задълженията, произтичащи от ОРЗД. Първо, що се отнася до цифровото преобразуване, обнародване и разпространение на въпросните данни, Moniteur belge трябва да бъде определен като „администратор“ на данни по смисъла на член 4, точка 7 от ОРЗД, за да се гарантират основните права на засегнатото лице. Второ, що се отнася до липсата на възможност за оттегляне на разглежданите данни, в националното законодателство е налице празнота, доколкото на нито един от засегнатите субекти не е разрешено да оттегля тези данни. В такъв случай националният съд, прилагайки ОРЗД, за да гарантира защитата на основните права на засегнатите лица, трябва да определи администратор, който в настоящия случай, изглежда, следва да е Moniteur belge.

74.

Поради това предлагам отговорът на първия въпрос да бъде, че член 4, точка 7 от ОРЗД трябва да се тълкува в смисъл, че държавен вестник на държава членка, какъвто е Moniteur belge, на който съгласно приложимото национално законодателство е възложена задачата да обнародва и архивира официални документи, може за целите на осигуряване на ефикасна и пълна защита на субектите на данни да се счита за администратор по смисъла на член 4, точка 7 от ОРЗД, когато обнародването на тези документи във вида, в който са представени, е по искане на трети лица, тъй като националният законодател е предоставил на този вестник правомощието да определя средствата за цифрово преобразуване, обнародване, разпространение и съхранение на въпросните документи, и е определил широки цели на публикуване и разпространение. Що се отнася обаче до непосочването на администратор на данни по отношение на оттеглянето или заличаването на данни и понеже разглежданите данни остават публично достъпни, националният съд следва да определи субекта, който трябва да изпълни произтичащите от ОРЗД задължения.

75.

Ако Съдът даде този отговор на първия въпрос, едва след това трябва да отговори на втория въпрос, а именно дали Moniteur belge, или управляващият го орган трябва да носят цялата отговорност за спазването на задълженията, наложени от ОРЗД на администратора на данни.

76.

С втория си въпрос запитващата юрисдикция иска по същество да се установи дали член 5, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че само въпросният държавен вестник трябва да спазва задълженията на администратора на данни по тази разпоредба, изключвайки другите субекти, които преди това са обработвали данните, съдържащи се в официалните документи, чието обнародване те искат, или тези задължения се носят кумулативно от всеки от следващите администратори.

77.

Съгласно член 5, параграф 2 от ОРЗД администраторът отговаря за спазването на принципите, установени в параграф 1 от същия член, като например принципа за свеждане на данните до минимум и за точност ( 51 ), и трябва да може да докаже, че тези принципи са били спазени. Тъй като физическо лице иска да постигне заличаване на личните данни, по отношение на които националното законодателство не изисква обнародване, запитващата юрисдикция обяснява, че трябва да реши дали единствено Moniteur belge или управляващият го орган трябва да отговарят за спазването на принципите за свеждане на данните до минимум и за точност, или и другите два субекта отговарят за спазването на тези принципи.

78.

Запитващата юрисдикция, в частност като отбелязва, че страните по главното производство не се позовават на наличието на съвместни администратори, както е предвидено в член 26 от ОРЗД, изпитва съмнения дали всеки от потенциалните последователни администратори, или само един от тях трябва да бъде квалифициран като „администратор“ по смисъла на член 4, точка 7 от този регламент и следователно да отговаря съгласно член 5, параграф 2 от същия регламент за спазването на горепосочените принципи.

79.

Както вече отбелязах ( 52 ), въпросните лични данни, които се съдържат в спорния текст, обнародван в Moniteur belge, са били обработвани от няколко субекта поред, а именно от нотариуса, който е изготвил извлечението, от деловодството на Tribunal de l’entreprise néerlandophone de Bruxelles (Нидерландскоезичен търговски съд Брюксел), което го е приложило по фирменото дело на дружеството, и накрая — от Moniteur belge, който го е обнародвал в същия вид.

80.

Що се отнася до тази верига от събития, трябва да се отбележи, че обработването на въпросните лични данни, поверено на Moniteur belge, не само е последващо спрямо обработването, извършено от нотариуса и от деловодството на търговския съд, но е и технически различно и допълващо спрямо обработването, извършено от тези два субекта. Важно е да се подчертае, че доколкото операциите, извършвани от Moniteur belge, включват по-специално цифрово преобразуване на данните, съдържащи се в извлеченията от представени му документи, обнародването, предоставянето на широк достъп на обществеността и съхраняването на тези данни, операциите, възложени на Moniteur belge по закон, имат — в сравнение с обработването, извършено преди това от другите два субекта — значително и допълнително въздействие и носят риск за основните права на зачитане на личния живот и на защита на личните данни ( 53 ).

81.

Следователно Moniteur belge трябва да спазва всички задължения, наложени на администратора на данни от ОРЗД, по отношение на операциите по обработване, наложени му от националното законодателство.

82.

Член 4, точка 7 от ОРЗД признава, че „целите и средствата за обработването“ могат да се определят от повече от едно лице. Той гласи, че понятието „администратор“ се отнася до структурата, която „сама или съвместно с други“ определя целите и средствата за обработването. Тази хипотеза е предвидена в член 26 от ОРЗД, според който няколко различни субекта могат да действат като администратори при едно и също обработване, за всеки от които при това положение съществува задължение да спазва приложимите разпоредби за защита на данните ( 54 ).

83.

Следва да се припомни, че член 26, параграф 1 от ОРЗД предвижда, че когато двама или повече администратори съвместно определят целите и средствата на обработването, те са съвместни администратори. В същия параграф е добавено, че съвместните администратори определят по прозрачен начин съответните си отговорности за изпълнение на всички задължения по ОРЗД, освен ако и доколкото съответните отговорности на администраторите не са определени, в частност, от правото на държава членка, което се прилага спрямо администраторите. Следователно съвместната отговорност на няколко администратора не зависи непременно от наличието на споразумение между различните администратори или дори от тяхното намерение, а може да произтича от националното право, при условие че от това право може да се направи извод за определянето на няколко администратора и съответните задължения на всеки от тези администратори в светлината на изискванията на ОРЗД.

84.

Същевременно фактът, че няколко лица участват в една и съща верига на обработване, не означава, че те непременно действат като съвместни администратори ( 55 ). Освен това Съдът е постановил, че не може да се счита, че дадено физическо или юридическо лице носи отговорност за предходните или последващите операции по веригата, на които не определя нито целите, нито средствата ( 56 ). Така в настоящия случай не изглежда националното право да е определило съвместни администратори, тъй като нотариусът не контролира операциите, извършвани от Moniteur belge.

85.

Затова считам, че по настоящото дело съвместната отговорност на трите субекта не е установена от националното право, нито може да бъде установена от фактите, както са представени от запитващата юрисдикция. Що се отнася до фактите по главното производство, следва да се отбележи по-конкретно, че трите субекта по веригата не използват едни и същи средства за обработване, тъй като Moniteur belge извършва цифровото преобразуване, обнародването и разпространението на въпросните документи. По-нататък, предвид фактите по главното производство засегнатото физическо лице, което иска да се възползва от своето право на изтриване по член 17 от ОРЗД, трябва да упражни правата си по ОРЗД по отношение на и срещу всеки от съвместните администратори. Следователно от тази гледна точка всеки от участниците поотделно ще бъде отговорен за спазването на принципите, посочени в член 5, параграф 1 от ОРЗД ( 57 ).

86.

Според мен от това следва, че не може да се установи „кумулативна“ отговорност на различните администратори по член 5, параграф 2 от ОРЗД. Всъщност всеки от участниците във веригата на обработване може да носи само индивидуална отговорност за спазването на принципите, посочени в член 5, параграф 1 от този регламент, във връзка с операциите по обработване, които е извършил в съответствие с целите и средствата за обработване на данни. В настоящия случай, тъй като данните са неправилно обнародвани не от нотариуса, а от Moniteur belge, ми се струва, че този орган, въпреки че той самият не е включил данните в спорния текст, също трябва да носи индивидуална отговорност за спазването на принципите, посочени в член 5, параграф 1 от ОРЗД.

87.

Накрая искам да отбележа, че запитващата юрисдикция е тази, която трябва да провери съответствието с ОРЗД на националното право, което предвижда възможност за поправяне на обнародваните в Moniteur belge данни, но не и за тяхното изтриване. Всъщност националното законодателство не позволява на Moniteur belge да заличава с обратна сила вече обнародвани данни (включително в електронна форма). В този контекст е вярно, че правата на коригиране и изтриване, предвидени съответно в членове 16 и 17 от ОРЗД, могат, както е посочено в член 23 от ОРЗД, да бъдат ограничени съгласно националното законодателство. В съответствие с член 52, параграф 1 от Хартата обаче това ограничение трябва да бъде наложено със закон, да зачита основното съдържание на основните права на физическите лица и да спазва принципа на пропорционалност ( 58 ).

88.

Ето защо предлагам отговорът на втория въпрос да бъде, че член 5, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че въпросният държавен вестник е длъжен да спазва задълженията на администратора на данни по тази разпоредба за извършените от него операции. При разглежданото обработване не е налице хипотеза на съвместни администратори и единствено Moniteur belge носи отговорност за наложените му от националното право операции по обработване.

89.

С оглед на изложените съображения предлагам на Съда да отговори на преюдициалното запитване, отправено от Cour d’appel de Bruxelles (Апелативен съд Брюксел, Белгия), както следва:

„Член 4, точка 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

трябва да се тълкува в смисъл, че държавен вестник на държава членка, какъвто е Moniteur belge, на който приложимото национално законодателство възлага задачата да обнародва и архивира официални документи, може за целите на осигуряването на ефикасна и пълна защита на субектите на данни да се счита за администратор по смисъла на член 4, точка 7 от Регламент 2016/679, когато обнародването на тези документи във вида, в който са представени, е по искане на трети лица, тъй като националният законодател е предоставил на този вестник правомощието да определя средствата за цифрово преобразуване, обнародване, разпространение и съхранение на разглежданите документи, и е определил широки цели на публикуване и разпространение. Що се отнася обаче до непосочването на администратор на данни по отношение на оттеглянето или заличаването на данни, понеже разглежданите данни остават публично достъпни, националният съд следва да определи субекта, който трябва да изпълни произтичащите от Регламент 2016/679 задължения.

Член 5, параграф 2 от Регламент 2016/679 трябва да се тълкува в смисъл, че въпросният държавен вестник е длъжен да спазва задълженията на администратора на данни съгласно тази разпоредба за извършените от него операции. При разглежданото обработване не е налице хипотеза на съвместни администратори и единствено Moniteur belge носи отговорност за наложените му от националното право операции по обработване“.