1.

Acta Diurna oli Roomassa päivittäin ilmestyvä virallinen julkaisu, joka kaiverrettiin kiveen tai metalliin julkisille paikoille, kuten Forum Romanumille. Digitaaliaikana kansalliset viranomaiset voivat joutua pohtimaan, ovatko tietyn valtion virallisen lehden julkaisemat tiedot myös vertauskuvallisesti ilmaistuna kiveen hakattuja vai voidaanko ne poistaa tai muuttaa.

2.

Pääasian taustalla on tietojen julkaiseminen Belgian virallisen lehdessä, Moniteur belgessä, jossa julkaistaan virallisia asiakirjoja paperiversiona ja sähköisenä versiona.

3.

Pääasiassa vastakkain ovat Belgian valtio ja Autorité de protection des données (Belgian tietosuojaviranomainen, jäljempänä tietosuojaviranomainen). Kun notaarin tietosuojavastaava oli todennut, että notaarin vahvistaman yhtiön päätöksen kohta, joka sisälsi Belgian lainsäädännössä vaadittujen tietojen lisäksi luonnollisen henkilön henkilötietoja, oli vahingossa julkaistu, hän pyysi Moniteur belgeä poistamaan nämä tiedot. Service public fédéral Justice (liittovaltion oikeusministeriö, jäljempänä oikeusministeriö), joka on Moniteur belgen hallintoviranomainen, kuitenkin hylkäsi tämän pyynnön.

4.

Tätä taustaa vasten cour d’appel de Bruxellesin (Brysselin ylioikeus, Belgia) ennakkoratkaisupyynnössään esittämät kysymykset ovat varsin suppeat. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko Moniteur belgeä tai oikeusministeriötä pidettävä asetuksen (EU) 2016/679 (jäljempänä yleinen tietosuoja-asetus) 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”. ( 2 ) Jos tähän kysymykseen vastataan myöntävästi, ennakkoratkaisua pyytänyt tuomioistuin pohtii myös rekisterinpitäjän velvollisuuksien rajoja silloin, kun käsittelyn suorittavat peräkkäiset yksiköt.

5.

Yleisen tietosuoja-asetuksen I luvun, jonka otsikkona on ”Yleiset säännökset”, 4 artiklassa määritellään muun muassa seuraavat käsitteet: ”henkilötiedot”, ”käsittely”, ”rekisterinpitäjä” ja ”henkilötietojen käsittelijä”.

6.

Yleisen tietosuoja-asetuksen 5, 6, 17 ja 26 artikla ovat myös merkityksellisiä nyt käsiteltävässä asiassa.

7.

Yhtiökoodeksista 7.5.1999 annetun lain (Loi du 7 mai 1999 contenant le Code des sociétés, jäljempänä koodeksi) ( 3 ) 67 §:n 1 ja 2 momentissa säädetään seuraavaa:

”1)   Virallisten asiakirjojen kappaleet, yksityisten asiakirjojen kaksoiskappaleet tai alkuperäiskappaleet sekä otteet, sähköisessä tai muussa muodossa, joiden jättämistä tai julkaisemista seuraavat pykälät edellyttävät, on jätettävä sen yrityksen tuomioistuimen kirjaamoon, jonka tuomiopiirissä yhtiöllä on kotipaikka.

– –

2)   Toimitetut asiakirjat säilytetään kyseisen kirjaamon kutakin yhtiötä koskevassa asiakirja-aineistossa, ja kyseiset yhtiöt merkitään oikeushenkilörekisteriin, Banque-Carrefour des Entreprisesin [yritystietopankki] rekisteriin.”

8.

Koodeksin 71 §:ssä säädetään seuraavaa:

”Yhtiön asiakirjojen otteen allekirjoittavat virallisten asiakirjojen osalta notaarit ja yksityisten asiakirjojen osalta kaikki osakkaat yhteisvastuullisesti tai heistä yksi, jonka muut ovat valtuuttaneet tähän tarkoitukseen erityisellä valtuutuksella”.

9.

Kyseisen koodeksin 73 §:ssä säädetään seuraavaa:

”Julkaiseminen on tehtävä Moniteur belgen liitteessä 15 päivän kuluessa tallettamisesta; muussa tapauksessa virkamiehet, joiden voidaan katsoa syyllistyneen laiminlyöntiin tai viivästykseen, ovat vahingonkorvausvelvollisia.

– –”

10.

Kyseisen koodeksin 74 §:n 1 momentissa säädetään seuraavaa:

”Seuraavat tiedot talletetaan ja julkaistaan edellisten pykälien mukaisesti:

1) toimet, joilla muutetaan säännöksiä, joiden julkaisemista tässä koodeksissa edellytetään.”

11.

Yhtiökoodeksin täytäntöönpanosta 30.1.2001 annetun kuninkaan asetuksen (Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés) ( 4 ) 1 §:ssä säädetään seuraavaa:

”– – kauppatuomioistuinten kirjaajat ottavat vastaan kaikki talletettavat toimet, toimien otteet, pöytäkirjat ja asiakirjat, joiden julkistamisesta säädetään yhtiökoodeksissa – –”

12.

Kuninkaan asetuksen 11 §:ssä säädetään seuraavaa:

”1)   , Toimet, toimien otteet ja asiakirjat, jotka on julkaistava Moniteur belgen liitteessä, on jätettävä kirjaamoon yhdessä jäljennöksen kanssa – –

2)   Kaikkien toimitettujen paperiasiakirjojen on täytettävä seuraavat ehdot:

– –

– –

3)   Moniteur belgelle tarkoitetut yhtiökoodeksin 67, 68, 74 §:ssä – – tarkoitetut toimien jäljennökset, toimien otteet ja asiakirjat on toimitettava korjaamattomina tai muokkaamattomina. – –

– –”

13.

Kuninkaan asetuksen 14 §:ssä säädetään seuraavaa:

”Kirjaajan on toimitettava Direction du Moniteur belgelle jäljennökset saamistaan toimista, asiakirjojen otteet ja asiakirjat – –, jotka on julkaistava Moniteur belgen liitteessä, viimeistään toisena työpäivänä niiden jättämisestä.

– –”

14.

Kyseisen kuninkaan asetuksen 16 §:ssä säädetään seuraavaa:

”Jos julkaiseminen on tarpeen, se on tehtävä Moniteur belgen liitteessä laissa säädetyssä määräajassa.”

15.

24.12.2002 annetun ohjelmalain (Loi-programme du 24 décembre 2002) ( 5 ) 472 §:ssä säädetään seuraavaa:

”Moniteur belge on Direction du Moniteur belgen toimittama virallinen julkaisu, johon kootaan kaikki tekstit, jotka on määrätty julkaistavaksi Moniteur belgessä.”

16.

Ohjelmalain 474 §:ssä säädetään seuraavaa:

”Direction du Moniteur belgen julkaisema Moniteur belge julkaistaan kolmena paperille painettuna kappaleena.

– –

Yksi kappale tallennetaan sähköisesti. Kuningas päättää sähköistä tallennusta koskevista järjestelyistä – –”.

17.

Ohjelmalain 475 § säädetään seuraavaa:

”Muu yleisön saataville asettaminen tapahtuu Direction du Moniteur belgen verkkosivuston kautta.

Kyseisellä verkkosivustolla saataville asetettujen julkaisujen on oltava 474 §:ssä tarkoitettujen paperille painettujen kappaleiden tarkkoja jäljennöksiä sähköisessä muodossa.”

18.

Kyseisen 24.12.2002 annetun ohjelmalain 475bis §:ssä säädetään seuraavaa:

”Jokainen kansalainen voi saada kopion Moniteur belgessä julkaistuista toimista ja asiakirjoista Moniteur belgen yksiköiltä maksuttoman puhelinpalvelun kautta omakustannushintaan. Tämän puhelinpalvelun tehtävänä on myös tarjota kansalaisille asiakirjahakuapua.”

19.

Kyseisen ohjelmalain 475ter §:ssä säädetään seuraavaa:

”Muut liitännäistoimenpiteet toteutetaan ministerineuvostossa tehdyllä kuninkaan asetuksella Moniteur belgen sisältämien tietojen mahdollisimman laaja levittämisen ja saatavuuden varmistamiseksi.”

20.

LM on belgialaisen yksityisen osakeyhtiön Bureau LM:n enemmistöosakas.

21.

Kyseisen yhtiön 23.1.2019 pidetyssä yhtiökokouksessa päätettiin vähentää yhtiön pääomaa ja sen yhtiöjärjestystä muutettiin tätä tarkoitusta varten.

22.

Julkistamista koskevien oikeussääntöjen mukaisesti notaari laati päätöksestä otteen. Notaari toimitti sen 12.2.2019 tribunal de l’entreprise néerlandophone de Bruxellesin (Brysselin hollanninkielinen kauppatuomioistuin, Belgia) kirjaamoon, jotta se voidaan julkaista virallisesti Moniteur belgessä.

23.

Kyseinen ote julkaistiin 22.2.2019 sellaisenaan Moniteur belgen liitteessä. Se sisälsi erityisesti päätöksen yhtiön pääoman vähentämisestä, pääoman alkuperäisen määrän, vähennyksen määrän, osakepääoman uuden määrän ja yhtiöjärjestyksen uuden tekstin. Lakisääteisen vaatimuksen nojalla julkaistujen tietojen lisäksi kyseinen ote sisälsi kyseisen yhtiön kahden osakkaan nimet, heille palautetut varat ja heidän pankkitiliensä numerot (jäljempänä ”riidanalainen kohta”), joiden julkaisemista ei vaadittu laissa.

24.

Todettuaan, että notaari oli tehnyt virheen sisällyttämällä riidanalaisen kohdan julkaistuun otteeseen, notaarin tietosuojavastaava pyysi yleisen tietosuoja-asetuksen 17 artiklan perusteella oikeusministeriötä poistamaan riidanalaisen kohdan ja julkaisemaan otteen uudestaan, tällä kertaa ilman kyseistä kohtaa.

25.

Oikeusministeriö hylkäsi 10.4.2019 tämän pyynnön ( 6 ) ja tarjoutui julkaisemaan uuden otteen, josta olisi poistettu riidanalainen kohta, mutta jätti 22.2.2019 julkaistun alkuperäisen otteen ennalleen.

26.

LM, toinen kyseisen yhtiön kahdesta osakkaasta, teki 21.1.2020 Moniteur belgestä (oikeusministeriö) kantelun tietosuojaviranomaiselle ja väitti, että yleisen tietosuoja-asetuksen 5 artiklaa (erityisesti tietojen minimoinnin periaate), 6 artiklaa (henkilötietojen käsittely) ja 17 artiklaa (oikeus tietojen poistamiseen) on rikottu.

27.

Tietosuojaviranomainen hyväksyi kantelun ja määräsi poistamaan riidanalaisen kohdan 23.3.2021 tekemällään päätöksellä.

28.

Belgian valtio nosti 22.4.2021 tästä päätöksestä kanteen ennakkoratkaisupyynnön esittäneessä cour d’appel de Bruxellesissä ja vaati kyseisen päätöksen kumoamista. LM osallistuu asian käsittelyyn.

29.

Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, että asianosaisest ovat eri mieltä siitä, miten yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa olevaa rekisterinpitäjän käsitettä olisi tulkittava. Se toteaa, että saatuaan otteen tribunal de l’entreprise néerlandophone de Bruxellesiltä Moniteur Belge julkaisi sen asemaa ja tehtäviä koskevien oikeussäännösten mukaisesti tekstin sellaisenaan eli sillä ei ollut minkäänlaisia valtuuksia tarkistaa tai muuttaa sitä. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee erityisesti, onko kaikki mahdolliset peräkkäiset yksiköt vai ainoastaan yksi niistä katsottava kyseisessä artiklassa tarkoitetuksi rekisterinpitäjäksi ja näin ollen tahoksi, joka on yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan nojalla vastuussa kyseisen asetuksen 5 artiklan 1 kohdassa säädettyjen periaatteiden noudattamisesta.

30.

Tältä osin kyseinen tuomioistuin kysyy, vahvistetaanko kyseisessä asetuksessa tällainen peräkkäisen tai myöhemmän vastuun käsite. Jos katsotaan, että Moniteur belge on yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdassa tarkoitettu tietojen vastaanottaja, kyseinen tuomioistuin pohtii, onko kyseinen lehti myös osallistunut käsittelyyn ”myöhempänä” rekisterinpitäjänä. Näin ei kuitenkaan näytä olevan, koska Moniteur belge ei Belgian sovellettavan lainsäädännön mukaan voi määritellä suorittamansa käsittelyn keinoja ja tarkoituksia yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetussa merkityksessä.

31.

Tässä tilanteessa cour d’appel de Bruxelles on esittänyt unionin tuomioistuimelle seuraavat kysymykset:

32.

Kirjallisia huomautuksia ovat esittäneet tietosuojaviranomainen, Belgian ja Unkarin hallitukset sekä Euroopan komissio.

33.

Tietosuojaviranomainen, Belgian hallitus ja komissio osallistuivat 23.3.2023 pidettyyn istuntoon unionin tuomioistuimessa.

34.

Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin kysyy lähinnä, onko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa tulkittava siten, että jäsenvaltion virallisella lehdellä on rekisterinpitäjän asema. Haluan aluksi esittää kaksi huomautusta, jotka liittyvät tämän kysymyksen muotoiluun.

35.

Ensinnäkin ennakkoratkaisua pyytäneen tuomioistuimen päätöksestä käy ilmi, että yhtiökoodeksissa säädetään, että yhtiöillä on lakisääteinen velvollisuus julkaista erilaisia asiakirjoja ja päätöksiä Moniteur belgen liitteessä. Kyseinen tuomioistuin toteaa myös, että Moniteur belge kuuluu oikeusministeriön alaisuuteen, mutta tätä seikkaa ei ole tarkemmin selitetty. Jäsenvaltiossa kansallisten viranomaisten välinen toimivallan jako kuuluu kansallisten sääntöjen piiriin, joten viittaan tässä ratkaisuehdotuksessa ainoastaan Moniteur belgeen.

36.

Toiseksi totean, että ennakkoratkaisua pyytänyt tuomioistuin lisää kysymyksessään ajatusviivojen väliin kohdan, joka näyttää selittävän Belgian lainsäätäjän Moniteur belgelle antamat valtuudet.

37.

Näin ollen tämä kysymys voitaisiin muotoilla uudelleen siten, että siinä kysytään lähinnä, voidaanko Moniteur belgen kaltaista jäsenvaltion virallista lehteä, jolle on sovellettavan kansallisen lainsäädännön mukaan annettu virallisten asiakirjojen julkaisemista ja säilyttämistä koskeva tehtävä, pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä, tilanteessa, jossa näiden asiakirjojen julkaisemisesta sellaisenaan määräävät kolmannet yksiköt, jotka ovat itse käsitelleet näihin asiakirjoihin sisältyviä henkilötietoja, ja jossa kyseisellä virallisella lehdellä ei ole harkintavaltaa julkaistavien asiakirjojen sisällön tai julkaisemisen tarkoituksien ja keinojen osalta.

38.

Vastatakseni tähän kysymykseen totean aluksi, että rekisterinpitäjän käsitteellä tarkoitetaan yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti”. Kun tätä säännöstä luetaan yhdessä yleisen tietosuoja-asetuksen 5 artiklan – jossa säädetään henkilötietojen käsittelyä koskevista periaatteista – 1 kohdan kanssa käy ilmi, että tietojenkäsittelyn jokainen vaihe edellyttää rekisterinpitäjää. ( 7 ) Näin ollen henkilötietoja käsiteltäessä olisi aina oltava rekisterinpitäjä, joka on keskeinen toimija tietosuojalainsäädännön täytäntöönpanossa, ( 8 ) joten on tärkeää määrittää, kuka kyseinen rekisterinpitäjä on käsittelyn jokaisessa vaiheessa. ( 9 ) Rekisterinpitäjän käsite kattaa sekä luonnolliset henkilöt että oikeushenkilöt sekä viranomaiset, virastot ja muut elimet. On kuitenkin selvää, että yksikön tyypin luokittelu ei nyt käsiteltävässä asiassa aiheuta vaikeuksia.

39.

Ennen kuin siirrytään ydinkysymykseen eli yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen määrittelyyn, mielestäni on tärkeää selvittää, ovatko nyt käsiteltävässä asiassa kyseessä olevat toimet yleisen tietosuoja-asetuksen 4 artiklan 1 ja 2 alakohdassa tarkoitettua henkilötietojen käsittelyä.

40.

Ensinnäkin on muistettava, että yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuina ”henkilötietoina” on pidettävä ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön – – liittyviä tietoja”, ja oikeuskäytännön mukaan tätä määritelmää sovelletaan, kun tiedot liittyvät tiettyyn henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi. ( 10 ) Nyt käsiteltävässä asiassa asianosaiset eivät kiistä sitä, että riidanalaiseen kohtaan sisältyvät tiedot, kuten yhtiön kahden osakkaan nimet ja heidän pankkitilinumeronsa, ovat henkilötietoja. Katson, että näille osakkaille palautetut varat eivät välttämättä ole itsessään henkilötietoja. Kun nämä varat yhdistetään niiden henkilöiden nimiin, jotka ovat saaneet ne, niitä on kuitenkin pidettävä henkilötietoina.

41.

Toiseksi yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdan mukaan ”käsittelyllä” tarkoitetaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti”, kuten muun muassa henkilötietojen ”kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville”. Nämä määritelmät ilmentävät sitä, että unionin lainsäätäjän tarkoituksena on ollut antaa näille kahdelle käsitteelle laaja merkitys. ( 11 )

42.

Esimerkiksi tuomiossa Google Spain unionin tuomioistuin katsoi, että hakukoneen toiminnan, joka käsittää sivullisten internetissä julkaisemien tai siihen liittämien tietojen löytämisen, automaattisen indeksoinnin ja tilapäisen tallentamisen sekä lopuksi kyseisten tietojen asettamisen internetin käyttäjien saataville tietyssä etusijajärjestyksessä, on katsottava olevan direktiivin 95/46/EY ( 12 ) 2 artiklan b alakohdassa, joka vastaa olennaisilta osiltaan yleisen tietosuoja-asetuksen 4 artiklan 2 alakohtaa, tarkoitettua ”henkilötietojen käsittelyä” silloin, kun näihin tietoihin sisältyy henkilötietoja. ( 13 ) Lisäksi tuomiossa Fashion ID ( 14 ) unionin tuomioistuin totesi, että henkilötietojen käsittely voi koostua yhdestä tai useammasta toiminnosta, joista jokainen koskee jotakin niistä eri vaiheista, joita henkilötietojen käsittelyyn voi sisältyä.

43.

Mielestäni nyt käsiteltävässä asiassa henkilötietoja käsiteltiin kolmessa peräkkäisessä vaiheessa. Ensimmäisen käsittelyn suoritti notaari, joka laati Moniteur belgessä julkaistavan asiakirjan (ja teki näin tehdessään virheen sisällyttämällä siihen kyseessä olevat henkilötiedot) ja jätti sen tribunal de l’entreprise néerlandophone de Bruxellesin kirjaamoon. Toisen käsittelyn suoritti kyseinen kirjaamo, joka lisäsi kyseisen asiakirjan yhtiön asiakirja-aineistoon ja lähetti sen Moniteur belgelle julkaistavaksi. Kolmannen käsittelyn suoritti Moniteur belge, joka ei ainoastaan muuttanut paperiasiakirjan sähköiseksi asiakirjaksi vaan myös keräsi, tallensi, säilytti, luovutti ja levitti sitä. Mielestäni on kiistatonta, että kaikki nämä kolme tapausta ja erityisesti Moniteur belgen suorittamat toimet ovat yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua käsittelyä.

44.

Se, että käsittely tapahtui näissä kolmessa tapauksessa, ei kuitenkaan välttämättä tarkoita, että Moniteur belge olisi toiminut rekisterinpitäjänä. Tämä johtuu siitä, että yleisessä tietosuoja-asetuksessa tehdään sen 4 artiklan 7 ja 8 alakohdassa ero yhtäältä rekisterinpitäjien ja toisaalta henkilötietojen käsittelijöiden välillä. Rekisterinpitäjä määrittelee käsittelyn tarkoituksen ja keinot, ( 15 ) mutta henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjänlukuun. ( 16 ) Näin ollen, vaikka on selvää, että nämä kolme tapausta ovat tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua käsittelyä, tämä toteamus ei ratkaise sitä, onko Moniteur belge – tai jokin muu tähän kolmivaiheiseen ketjuun osallistuva yksikkö – rekisterinpitäjän asemassa nyt käsiteltävässä asiassa.

45.

Se, onko Moniteur belge toiminut rekisterinpitäjänä, edellyttää mielestäni sen tutkimista, ”määrittelee[kö se] henkilötietojen käsittelyn tarkoitukset ja keinot” yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetussa merkityksessä.

46.

Aluksi on huomautettava, että unionin tuomioistuimen asian kannalta merkityksellisen oikeuskäytännön mukaan rekisterinpitäjän käsite on määriteltävä laajasti. Unionin tuomioistuin onkin aiemmin todennut, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan tavoitteena on varmistaa rekisteröityjen tehokas ja kattava suojelu määrittelemällä rekisterinpitäjän käsite laajasti. ( 17 ) Lisäksi rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet ovat toiminnallisia käsitteitä: niiden tarkoituksena on jakaa vastuut osapuolten todellisten tehtävien mukaan. ( 18 ) Toisin sanoen ”henkilötietojen rekisterinpitäjä on henkilö, joka päättää, miksi ja miten näitä tietoja käsitellään”. ( 19 ) Näin ollen rekisterinpitäjän vastuun määrittäminen ”perustuu tosiasialliseen eikä niinkään muodolliseen analyysiin”. ( 20 )

47.

Toiseksi yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tunnustetaan, että useampi kuin yksi yksikkö voi määritellä tietojenkäsittelyn ”tarkoitukset ja keinot”, kun siinä mainitaan ”yksin tai yhdessä” toisten kanssa. Sitä, missä määrin kahden tai useamman toimijan yhdessä harjoittama rekisterin pitäminen voi olla erimuotoista, ( 21 ) käsitellään toista kysymystä koskevan analyysini yhteydessä.

48.

Kolmanneksi on todettava, että antamalla 25.6.2020 kuninkaan asetuksen Belgian kuningaskunta nimesi oikeusministeriön yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetuksi rekisterinpitäjäksi. ( 22 ) Pääasian tosiseikat tapahtuivat kuitenkin ennen kyseisen asetuksen voimaantuloa. Siksi sitä ei voida ajallisesti soveltaa nyt käsiteltävään asiaan. Tästä seuraa näin ollen, että unionin tuomioistuimen on tutkittava kansallisten yksiköiden välistä toimivallan ja vastuun jakoa ennen kyseisen asetuksen voimaantuloa.

49.

Näiden alustavien huomautusten jälkeen tarkastelen nyt yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädettyjä edellytyksiä, eli sitä, mikä kyseisistä yksiköistä ”määrittelee [kyseessä olevien] henkilötietojen käsittelyn tarkoitukset ja keinot”.

50.

Rekisterinpitäjäksi määrittäminen voi perustua asiaa koskevaan lainsäädäntöön tai tapauksen tosiseikkojen tai olosuhteiden analyysiin. ( 23 ) Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädetään, että jos tällaisen käsittelyn tarkoitukset ja keinot määritellään erityisesti jäsenvaltion lainsäädännössä, rekisterinpitäjä voidaan nimetä tai tämän nimeämistä koskevat erityiset kriteerit voidaan vahvistaa kyseisen lainsäädännön mukaisesti. Tästä seuraa, että kun yksikkö on laissa nimenomaisesti yksilöity rekisterinpitäjäksi, tämä nimeäminen on ratkaiseva. ( 24 ) Käsiteltävänä olevassa asiassa ei kuitenkaan ole mitään erityistä säännöstä, jossa rekisterinpitäjä nimenomaisesti nimetään.

51.

On myös mahdollista, että laissa nimetään, vaikkakin implisiittisesti, jokin yksikkö rekisterinpitäjäksi. ( 25 ) Esimerkiksi silloin, kun kansallisessa lainsäädännössä velvoitetaan kyseinen yksikkö säilyttämään tai toimittamaan tiettyjä tietoja, tätä yksikköä pidettäisiin rekisterinpitäjänä sen käsittelyn osalta, joka on tarpeen kyseisen velvoitteen noudattamiseksi. Tällainen kansallisessa lainsäädännössä tapahtuva implisiittinen nimeäminen on kyseessä silloin, kun kyseiselle viranomaiselle annetusta roolista, tehtävistä ja toimivallasta käy ilmi, että se määrittelee kyseisen käsittelyn tarkoitukset ja keinot. Tuomiossa Manni unionin tuomioistuin tukeutui tosiseikkojen arviointiin ja totesi, että ”merkitessään mainitut tiedot rekisteriin ja säilyttäessään niitä rekisterissä sekä luovuttaessaan niitä mahdollisesti ulkopuolisten henkilöiden pyynnöstä” yhtiörekisteriä pitävä viranomainen suorittaa ”rekisterinpitäjän” asemassa ”henkilötietojen käsittelyä” direktiivin 95/46 2 artiklan b ja d alakohtaan sisältyvien määritelmien mukaisesti. ( 26 )

52.

Nyt käsiteltävässä asiassa on niin, että vaikka kansallisessa lainsäädännössä ei ole nimenomaisesti nimetty rekisterinpitäjää, siinä säädetään, että yrityksillä on lakisääteinen velvollisuus julkaista tiettyjä asiakirjoja Moniteur belgessä. ( 27 ) Näin ollen siinä on luotu lakisääteinen velvoite käsitellä tietoja, joita rekisterinpitäjän on hallinnoitava. Kansallinen lainsäätäjä on luonut järjestelmän, jossa on kolme yksikköä, jotka käsittelevät tietoja peräkkäin; osapuolet ovat kuitenkin eri mieltä siitä, mikä näistä kolmesta yksiköstä on tosiasiassa rekisterinpitäjä. ( 28 ) Näin ollen on selvitettävä näille yksiköille annetut erityiset toimivaltuudet, jotta voidaan määrittää, minkä niistä lainsäätäjä on implisiittisesti nimennyt rekisterinpitäjäksi käsittelyn kolmannen vaiheen eli Moniteur belgen suorittamien toimien osalta.

53.

Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa edellytetään verbin ”määritellä” käytöllä, että rekisterinpitäjä vaikuttaa käsittelyyn käyttämällä päätösvaltaa. ( 29 ) Esimerkiksi asiassa, joka koski Facebookin ”tykkää”-liitännäistä, ( 30 ) oli kyse siitä, oliko Fashion ID, joka on muotivaatteita verkossa myyvä yritys ja joka oli sisällyttänyt verkkosivustolleen Facebookin sosiaalisen verkoston ”tykkää”-yhteisöliitännäisen, määrittänyt yhdessä Facebookin kanssa keinot, joilla Fashion ID:n verkkosivustolla kävijöiden henkilötietoja kerättiin ja luovutettiin siirtämällä. Unionin tuomioistuin totesi kyseisessä asiassa nimenomaisesti, että liittämällä tällaisen yhteisöliitännäisen verkkosivustolleen Fashion ID vaikutti ratkaisevasti mainitulla sivustolla käyneiden henkilötietojen keräämiseen ja siirtämiseen mainitun liitännäisen tarjoajan eli käsiteltävässä asiassa Facebook Irelandin hyväksi, mitä ei olisi tapahtunut ilman tämän liitännäisen asentamista. ( 31 ) Tästä seuraa, että ratkaiseva vaikutusvalta henkilötietojen käsittelyssä merkitsee, että tätä vaikutusvaltaa käyttävä yksikkö on rekisterinpitäjä. Ratkaisevan vaikutusvallan puuttuminen ei kuitenkaan riitä sulkemaan pois sitä, että yksiköllä voi silti olla rekisterinpitäjän asema.

54.

Tietojen levittäminen internetissä lisää eksponentiaalisesti yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevien perusoikeuksien loukkaamisen riskiä, mikä johtuu tavasta, jolla tietoa tuotetaan ja levitetään sähköisesti. ( 32 ) Unionin tuomioistuin on hyvin tietoinen tästä riskistä, ja se on määritellyt rekisterinpitäjän käsitteen laajasti, ( 33 ) jotta yleisellä tietosuoja-asetuksella voidaan taata rekisteröityjen tehokas ja kattava suojelu, erityisesti heidän oikeutensa yksityisyyteen. ( 34 ) Tätä varten unionin tuomioistuin katsoi tuomiossa Google Spain, että se, että hakukoneen ylläpitäjä jätettäisiin rekisterinpitäjän käsitteen soveltamisalan ulkopuolelle sillä perusteella, ettei sillä ole määräysvaltaa sivullisten internetsivuilla julkaistuihin henkilötietoihin, olisi ristiriidassa paitsi direktiivin 95/46 2 artiklan d alakohdan, joka vastaa olennaisilta osin yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa, selkeän sanamuodon myös sen tavoitteen kanssa. ( 35 ) Käyttämällä näin laajaa määritelmää on selvää, että unionin tuomioistuin on valinnut kyseisen säännöksen teleologisen tulkinnan: rekisterinpitäjän määritelmän on taattava rekisteröityjen tehokas ja kattava suojelu. Lisäksi on huomautettava, että yleinen tietosuoja-asetus, joka annettiin SEUT 16 artiklan 1 kohdan perusteella, jolla unionin lainsäätäjälle annetaan valtuudet turvata henkilötietojen suojaa koskeva perusoikeus, josta määrätään Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 1 kohdassa, voi vain vahvistaa tällaista tulkintaa. ( 36 )

55.

Nyt käsiteltävässä asiassa on selvää, että kansallinen lainsäätäjä on luonut järjestelmän, jossa on kolme eri käsittelyvaihetta, ketjun, joka alkaa siitä, että notaari laatii ja allekirjoittaa kyseiset asiakirjat, jonka jälkeen kauppatuomioistuimen kirjaamo lisää asiakirjan yhtiön asiakirja-aineistoon ja säilyttää sen, ja joka päättyy siihen, että Moniteur belge muuntaa nämä asiakirjat digitaalisiksi ja julkaisee ne digitaalisesti. Vaikka on totta, että Moniteur belgen on julkaistava kyseinen asiakirja sellaisenaan, on kuitenkin niin, ettei notaari eikä kauppatuomioistuimen kirjaamo muunna asiakirjaa sähköiseen muotoon sen julkaisemista varten; ainoastaan Moniteur belge tekee näin ja levittää tämän jälkeen asiakirjaa internetissä.

56.

Haluan erityisesti huomauttaa, että 24.12.2002 annetun ohjelmalain 474–475ter §:n hyväksymisellä kansallinen lainsäätäjä antoi tiettyjä valtuuksia Moniteur belgelle. Näistä säännöksistä seuraa, että Moniteur belge ei ainoastaan julkaise kyseisten asiakirjojen paperiversiota, vaan se myös asettaa ne saataville verkkosivustollaan sähköisessä muodossa, tallentaa ne sähköisesti, asettaa ne kansalaisten saataville neuvontapalvelun ja asiakirjojen hakupalvelun välityksellä ja varmistaa lopuksi Moniteur belgen sisältämien tietojen mahdollisimman laajan levityksen ja saatavuuden. Näin ollen näistä säännöksistä seuraa mielestäni, että kansallinen lainsäätäjä on antamalla Moniteur belgelle kyseisten asiakirjojen digitaaliseksi muuntamista ja niiden digitaalista julkaisemista, levittämistä ja tallentamista koskevat valtuudet, antanut tälle lehdelle yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen piiriin kuuluvia valtuuksia. ( 37 )

57.

Kun Moniteur belge suorittaa edellä mainitut lainsäätäjän sille antamat tehtävät eli digitaaliseksi muuntamisen ja digitaalisen julkaisemisen ja levittämisen, se lisää eksponentiaalisesti riskiä siitä, että asianomaisen henkilön perusoikeuksia loukataan (verrattuna asiakirjan julkaisemiseen pelkästään paperiversiona). Kyseisen virallisen lehden käsittely vaarantaa tosiasiallisesti kyseessä olevan rekisteröidyn tehokkaan ja kattavan suojelun. Näin ollen en näe muuta vaihtoehtoa kuin katsoa, että Moniteur belgeä ei voida jättää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän määritelmän ulkopuolelle, koska tavoitteena on taata rekisteröityjen tehokas ja kattava suojelu ja koska digitaaliseksi muuntamisesta ja digitaalisesta levittämisestä saattaa aiheutua haittaa näille rekisteröidyille.

58.

Lopuksi yksityisiä hakukoneita koskevan oikeuskäytännön sovellettavuudesta Moniteur belgen kaltaisiin julkisiin yksiköihin on todettava, että unionin tuomioistuin sovelsi hiljattain antamassaan tuomiossa kyseistä oikeuskäytäntöä vahvistaakseen, että syyttäjänviranomaista on pidettävä rekisterinpitäjänä. ( 38 ) Mielestäni tällaisen soveltamisen perusteena on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen laaja tulkinta, jotta voidaan varmistaa primaarioikeudessa vahvistettujen rekisteröityjen perusoikeuksien ja ‑vapauksien tehokas ja kattava suoja ( 39 ) riippumatta siitä, onko rekisterinpitäjä julkinen vai yksityinen yksikkö. ( 40 ) Tällaisen tehokkaan ja kattavan suojan varmistamiseksi yksityisille hakukoneille asetetut tietosuojaperiaatteet koskevat sekä yksityisiä että julkisia yksiköitä, joihin sovelletaan samoja tietoja koskevia yleisiä periaatteita ja yleisen tietosuoja-asetuksen mukaisia velvoitteita, jotka ilmentävät konkreettisesti primaarioikeutta.

59.

Belgian hallitus väitti istunnossa, että notaaria olisi pidettävä rekisterinpitäjänä, koska hän määrittelee tietojenkäsittelyn keinot ja tarkoitukset.

60.

Jos notaaria pidettäisiin ainoana rekisterinpitäjänä, se tarkoittaisi mielestäni käytännössä sitä, ettei kukaan olisi rekisterinpitäjä tietojenkäsittelyn kolmannessa vaiheessa, eli Moniteur belgen suorittamissa toimissa, koska lainsäätäjä ei ole antanut notaarille – kuten käsiteltävän asian tosiseikat osoittavat – valtuuksia vaikuttaa ratkaisevasti tietojenkäsittelyn kolmanteen vaiheeseen. Tästä huolimatta kyseiset kolme yksikköä voivat osallistua eri vaiheissa ja eriasteisesti kyseiseen henkilötietojen käsittelyyn, minkä vuoksi kutakin niistä voidaan pitää rekisterinpitäjänä, vaikka rekisterinpitäjyyteen liittyvän vastuun laajuudessa ja tasossa onkin eroja. ( 41 ) Huomautan lisäksi, että – kuten komissio totesi istunnossa – lainsäädännössä voitaisiin teoriassa nimetä Moniteur belge henkilötietojen käsittelijäksi edellyttäen, että kansallisessa lainsäädännössä on asetettu useille yksiköille kyseisen asiakirjan laatimista, säilyttämistä ja digitaalista levittämistä koskeva velvollisuus. Jotta Moniteur belgeä voitaisiin pitää henkilötietojen käsittelijänä, yleisen tietosuoja-asetuksen 28 artiklassa säädettyjen edellytysten olisi kuitenkin täytyttävä, mikä ei selvästikään ole asian laita unionin tuomioistuimelle esitetyissä olosuhteissa, koska kukin asianomainen yksikkö on vastuussa omasta käsittelyosuudestaan. ( 42 ) Näin ollen Moniteur belgeä ei voida pitää kyseisessä säännöksessä tarkoitettuna henkilötietojen käsittelijänä.

61.

Belgian hallitus väitti lisäksi, että kansallinen lainsäätäjä toimii itse rekisterinpitäjänä tai määrittelee käsittelystä vastaavan yksikön, kun taas Moniteur belge käytti vain sille annettuja valtuuksia. Kyseisen hallituksen mukaan yksityisiä hakukoneita koskevaa oikeuskäytäntöä ei voida soveltaa julkisiin yksiköihin, koska Moniteur belge ei lainsäätäjän perustamana viranomaisena voi itse määritellä toimenkuvaansa ja tehtäviään.

62.

Kuten olen jo todennut, ( 43 ) nyt käsiteltävässä asiassa kansallinen lainsäätäjä on implisiittisesti nimennyt Moniteur belgen rekisterinpitäjäksi antamalla sille valtuudet suorittaa tietty määrä eritystehtäviä.

63.

Olen joka tapauksessa sitä mieltä, että jos unionin tuomioistuin katsoisi, että kansallisella lainsäätäjällä on rekisterinpitäjän asema aina, kun se käyttää toimivaltaansa määritellä tietyn käsittelytoimen tarkoitukset ja keinot, tällainen lähestymistapa johtaisi siihen, että luonnollisille henkilöille ei enää annettaisi tehokasta suojelua, jolloin rekisterinpitäjän käsite menettäisi tehokkaan vaikutuksensa. Rekisteröityjen tehokasta suojelua ei nimittäin voida varmistaa, jos rekisterinpitäjän lukuisat velvollisuudet jokaisen jäsenvaltion lainsäädännössä säädetyn henkilötietojen käsittelyn osalta hoitaisi lainsäätäjä itse. Kun viranomaiselle on annettu valtuudet käsitellä henkilötietoja, lainsäätäjä ei siis mielestäni ole rekisterinpitäjä, vaan julkisia tehtäviä hoitava viranomainen eli yksikkö, joka määrittelee käsittelyn tarkoitukset ja keinot. ( 44 ) Nyt käsiteltävän asian olosuhteista käy selvästi ilmi, että, kuten tämän ratkaisuehdotuksen 43 kohdassa selitetään, kyseessä olevalla käsittelyllä pannaan kansallinen lainsäädäntö täytäntöön, mikä sulkee pois sen olettamuksen, että lainsäätäjä itse – lakeja säätäessään – on henkilötietojen käsittelyn rekisterinpitäjä.

64.

Nyt käsiteltävässä asiassa unionin tuomioistuimelle esitetystä kansallisesta lainsäädännöstä ilmenee, että Moniteur belgellä ei ole päätösvaltaa niiden tekstien osalta, jotka sen on julkaistava. ( 45 ) Kuten Belgian hallitus korosti kirjallisissa lausumissaan ja istunnossa, Moniteur belgellä on 15 päivää ( 46 ) aikaa julkaista asiakirja, jonka on oltava tarkka kopio notaarin laatimasta asiakirjasta. Laiminlyönnin tai viivästymisen aiheuttanut Moniteur belgen virkamies on vaarassa joutua vahingonkorvauskanteen kohteeksi. ( 47 ) Tämän välttämiseksi kyseinen viranomainen ei tarkista, että tiedot, jotka sen on julkaistava, ovat kattavia, päteviä tai paikkansapitäviä. Näin ollen, kuten Belgian hallitus väitti, näyttää siltä, että Moniteur belgellä ei ole toimivaltaa tarkistaa näiden asiakirjojen sisältöä, mukaan lukien niiden mahdollisesti sisältämät henkilötiedot.

65.

Koska lainsäätäjä ei kuitenkaan itse toimi rekisterinpitäjänä lakeja säätäessään ja koska mikään muu yksikkö ei voi vaikuttaa kyseisen käsittelyn tarkoitusten ja keinojen määrittelyyn – eli kyseessä olevien asiakirjojen digitaaliseksi muuntamiseen ja digitaaliseen levittämiseen – nimeämisessä olevan aukon välttämiseksi Moniteur belge on nimettävä rekisterinpitäjäksi. Notaarilla kauppatuomioistuimen kirjaamolla ei yksinkertaisesti ole toimivaltaa puuttua asiaan tässä vaiheessa. Näin ollen se, että Moniteur belge ei voi käyttää harkintavaltaa, ei voi sulkea pois rekisteröityjen tehokasta suojelua. Näin ollen on katsottava, että Moniteur belge on yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettu rekisterinpitäjä, vaikkakin implisiittisesti nimetty, kun se käsittelee henkilötietoja julkaistessaan asiakirjoja, kuten kansallisessa lainsäädännössä edellytetään.

66.

Käsiteltävän asian tosiseikoista käy ilmi, että notaarin tietosuojavastaava pyysi oikeusministeriötä (joka toimi Moniteur belgen puolesta) poistamaan – internetistä – riidanalaisen kohdan ja julkaisemaan otteen ilman kyseistä kohtaa. Oikeusministeriö kieltäytyi hyväksymästä tätä pyyntöä ja tarjoutui julkaisemaan uuden otteen. Tässä tilanteessa vaikuttaa siltä, että kyseisellä notaarilla ei ole toimivaltaa määrätä riidanalaisen kohdan muuttamisesta tai poistamisesta. Korostan kuitenkin, että millään muullakaan yksiköllä ei näytä olevan tällaista toimivaltaa.

67.

Belgian hallitus toteaa, että kansallisen lainsäätäjän tarkoituksena on ollut, että Moniteur belgessä julkaistut asiakirjat säilytetään arkistointitarkoituksessa muuttumattomina ja että julkaisujen sähköinen versio on aina tarkka kopio painetusta versiosta, mikä estää taannehtivan muuttamisen. Kyseinen hallitus lisää, että oikeushenkilön Moniteur belgessä julkaistun asiakirjan oikaisemiseksi notaarin on jätettävä muutosasiakirja kauppatuomioistuimen kirjaamoon, jonka on sen jälkeen pyydettävä Direction du Moniteur belgeä julkaisemaan kyseinen muutosasiakirja. Toisaalta Belgian lainsäädännön mukaan alkuperäistä toimea ei ole mahdollista poistaa kokonaan, jotta Moniteur belgen muuttumattomuuden periaatetta ei rikottaisi.

68.

Mielestäni se, että viranomainen kieltäytyy poistamasta kyseisiä henkilötietoja sisältävää kohtaa ja julkaisemasta asiakirjaa ilman kyseistä kohtaa, johtaa siihen, että kyseiset tiedot pysyvät julkisesti saatavilla. Tämä tarkoittaa mielestäni sitä, että kyseinen viranomainen toimii kansallista lainsäädäntöä soveltaessaan yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä, koska se määrittää henkilötietojen käsittelyn tarkoitukset ja keinot, kun se ei poista kyseistä kohtaa ja pitää sen julkisesti saatavilla. Jos Moniteur belgeä ei katsottaisi rekisterinpitäjäksi, vaikuttaa siltä, että millään viranomaisella ei olisi tätä asemaa. ( 48 )

69.

Mielestäni rekisterinpitäjän asema ei voi riippua siitä, että Moniteur belgen kaltainen viranomainen ei kansallisen lainsäädännön nojalla voi noudattaa tietojen poistamista koskevaa pyyntöä. Kun kansallisessa lainsäädännössä on aukko, kansallisten viranomaisten ja tässä vaiheessa kansallisen tuomioistuimen tehtävänä on näin ollen nimetä yleistä tietosuoja-asetusta soveltamalla yksikkö, jonka on noudatettava kyseisestä asetuksesta johtuvia velvoitteita. Nyt käsiteltävässä asiassa on niin, että koska tietoja käsitellään, ne ovat edelleen julkisesti saatavilla, mutta kansallisessa lainsäädännössä ei ole nimetty vastuuviranomaista rekisterinpitäjäksi käsittelyn tämän osan osalta.

70.

Koska kansallinen lainsäätäjä on tällaisessa tilanteessa jättänyt aukon, kun se ei ole nimennyt rekisterinpitäjää, unionin tuomioistuimen olisi ilmoitettava, että ennakkoratkaisupyynnön esittäneen tuomioistuimen tehtävänä on unionin tuomioistuimelle esitettyjen olosuhteiden perusteella nimetä Moniteur belge (tai oikeusministeriö tämän tuomioistuimen arvioinnin mukaan) rekisterinpitäjäksi. Ainoastaan tällainen tulkinta olisi mielestäni sopusoinnussa yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan tavoitteen kanssa, joka on varmistaa rekisteröityjen tehokas ja kattava suojelu määrittelemällä rekisterinpitäjän käsite laajasti. ( 49 ) Näin vältettäisiin myös aukot ja estettäisiin yleisen tietosuoja-asetuksen sääntöjen mahdollinen kiertäminen.

71.

Moniteur belgen levittämien tietojen muuttumattomuuden periaatteesta johtuvien käytännön argumenttien osalta kansallisen lainsäätäjän tehtävänä on muun muassa yleisen tietosuoja-asetuksen 5 ja 17 artiklasta johtuvien velvoitteiden perusteella antaa lainsäädäntökehys, jossa otetaan huomioon rekisteröityjen suojelu ja tämä periaate. Koska henkilötietojen julkaiseminen lisää eksponentiaalisesti rekisteröityihin kohdistuvaa haitan riskiä, tarvitaan innovatiivisia ratkaisuja, joista säädetään kansallisessa lainsäädännössä. ( 50 )

72.

Näin ollen ehdotan, että nyt käsiteltävässä asiassa unionin tuomioistuin toteaa, että Moniteur belge toimii yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä sekä silloin, kun se päättää kieltäytyä poistamasta kyseistä kohtaa julkisuudesta, että silloin, kun se pitää kyseisen kohdan julkisesti saatavilla.

73.

Nyt käsiteltävän kaltaisessa asiassa kansallisessa lainsäädännössä on otettu käyttöön velvollisuus nimetä rekisterinpitäjä yleisestä tietosuoja-asetuksesta johtuvien velvoitteiden noudattamiseksi. Ensinnäkin Moniteur belge on riidanalaisten tietojen digitaaliseksi muuntamisen ja digitaalisen julkaisemisen ja levittämisen osalta määriteltävä yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetuksi rekisterinpitäjäksi asianomaisen henkilön perusoikeuksien varmistamiseksi. Toiseksi kyseisten tietojen poistamatta jättämisen osalta kansallisessa lainsäädännössä on aukko siltä osin kuin yksikään asianomaisista yksiköistä ei saa poistaa näitä tietoja. Tällaisessa tapauksessa kansallisen tuomioistuimen tehtävänä on yleisen tietosuoja-asetuksen mukaisesti ja asianomaisten henkilöiden perusoikeuksien suojelun varmistamiseksi nimetä rekisterinpitäjä, joka tässä tapauksessa näyttäisi olevan Moniteur belge.

74.

Näin ollen ehdotan, että ensimmäiseen kysymykseen vastataan, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa on tulkittava siten, että Moniteur belgen kaltaista jäsenvaltion virallista lehteä, jolle on kansallisen lainsäädännön nojalla annettu virallisten asiakirjojen julkaisemista ja säilyttämistä koskeva tehtävä, voidaan rekisteröityjen tehokkaan ja kattavan suojelun varmistamiseksi pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä tilanteessa, jossa kolmannet tahot määräävät kyseiset asiakirjat julkaistaviksi sellaisinaan, koska kansallinen lainsäätäjä on antanut kyseiselle lehdelle valtuudet määrittää kyseisten asiakirjojen digitaaliseksi muuntamisen ja digitaalisen julkaisemisen, levittämisen ja säilyttämisen keinot ja määrittänyt laajat julkaisemista ja levittämistä koskevat tarkoitukset. Siltä osin kuin kyse on rekisterinpitäjän nimeämättä jättämisestä tietojen poistamisen osalta ja koska kyseessä olevat tiedot ovat edelleen julkisesti saatavilla, kansallisen tuomioistuimen tehtävänä on kuitenkin nimetä yksikkö, jonka on noudatettava yleisestä tietosuoja-asetuksesta johtuvia velvoitteita.

75.

Jos unionin tuomioistuin hyväksyy tämän vastauksen ensimmäiseen kysymykseen, sen on vasta sen jälkeen vastattava toiseen kysymykseen eli siihen, onko Moniteur belge tai sitä hallinnoiva viranomainen yksin vastuussa yleisessä tietosuoja-asetuksessa rekisterinpitäjälle asetettujen velvoitteiden noudattamisesta.

76.

Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa tulkittava siten, että kyseisen virallisen lehden on oltava ainoa, jonka on noudatettava kyseisessä säännöksessä rekisterinpitäjälle asetettuja velvoitteita, ja etteivät nämä velvoitteet koske kolmansia yksiköitä, jotka ovat ensin käsitelleet tietoja, jotka sisältyvät virallisiin asiakirjoihin, joiden julkaisemista ne pyytävät vai kuuluvatko nämä velvoitteet kaikille peräkkäisille rekisterinpitäjille samanaikaisesti.

77.

Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä on vastuussa kyseisen artiklan 1 kohdassa säädettyjen periaatteiden, kuten tietojen minimointia ja täsmällisyyttä koskevien periaatteiden, ( 51 ) noudattamisesta, ja sen on pystyttävä osoittamaan, että näitä periaatteita on noudatettu. Koska luonnollinen henkilö vaatii niiden henkilötietojen poistamista, joiden julkaisemista kansallinen lainsäädäntö ei edellytä, ennakkoratkaisua pyytänyt tuomioistuin selittää, että sen on ratkaistava, onko Moniteur belge tai sitä hallinnoiva viranomainen yksin vastuussa tietojen minimointia ja täsmällisyyttä koskevien periaatteiden noudattamisesta vai ovatko kaksi muuta yksikköä myös vastuussa näiden periaatteiden noudattamisesta.

78.

Ennakkoratkaisua pyytänyt tuomioistuin toteaa erityisesti, että vaikka pääasian asianosaiset eivät vetoa siihen, että kyse on yleisen tietosuoja-asetuksen 26 artiklassa tarkoitetuista yhteisrekisterinpitäjistä, se pohtii, onko kaikki mahdolliset peräkkäiset rekisterinpitäjät vai ainoastaan yksi niistä katsottava kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitetuksi rekisterinpitäjäksi ja näin ollen tahoksi, joka on kyseisen asetuksen 5 artiklan 2 kohdan nojalla vastuussa edellä mainittujen periaatteiden noudattamisesta.

79.

Kuten olen jo todennut, ( 52 ) Moniteur belgessä julkaistuun riidanalaiseen kohtaan sisältyviä henkilötietoja käsittelivät vuorotellen useat yksiköt, nimittäin otteen laatinut notaari, tribunal de l’entreprise néerlandophone de Bruxellesin kirjaamo, joka lisäsi sen yhtiön asiakirja-aineistoon, ja lopuksi Moniteur belge, joka julkaisi sen sellaisenaan.

80.

Tämän tapahtumaketjun osalta on todettava, että kyseisten henkilötietojen käsittely, joka on annettu Moniteur belgen tehtäväksi, ei ainoastaan seuraa notaarin ja kauppatuomioistuimen kirjaamon suorittamaa käsittelyä, vaan se on myös teknisesti erilainen kuin näiden kahden yksikön suorittama käsittely ja menee sitä pidemmälle. On tärkeää huomauttaa, että siltä osin kuin Moniteur belgen suorittamat toimet edellyttävät erityisesti sille toimitettujen asiakirjojen otteiden sisältämien tietojen digitaaliseksi muuntamista, julkaisemista, saattamista yleisön saataville ja säilyttämistä, Moniteur belgen tehtäväksi lakisääteisesti annetuilla toimilla on – verrattuna kahden muun yksikön aiemmin suorittamaan käsittelyyn – merkittävä lisävaikutus yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin ja kyseiset toimet vaarantavat ne. ( 53 )

81.

Näin ollen Moniteur belgen on noudatettava kaikkia niitä velvoitteita, jotka rekisterinpitäjälle asetetaan yleisessä tietosuoja-asetuksessa sille kansallisessa lainsäädännössä määrättyjen käsittelytoimien osalta.

82.

Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa todetaan, että useampi kuin yksi toimija voi määrittää ”käsittelyn tarkoitukset ja keinot”. Siinä todetaan, että rekisterinpitäjän käsitteellä tarkoitetaan elintä, joka ”yksin tai yhdessä toisten kanssa” määrittelee käsittelyn tarkoitukset ja keinot. Yleisen tietosuoja-asetuksen 26 artiklassa säädetään tällaisesta tilanteesta, jossa useat eri yksiköt voivat toimia rekisterinpitäjinä samassa käsittelyssä, ja kuhunkin niistä on sovellettava tietosuojan alalla sovellettavia säännöksiä. ( 54 )

83.

On muistutettava, että yleisen tietosuoja-asetuksen 26 artiklan 1 kohdassa säädetään, että jos vähintään kaksi rekisterinpitäjä määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Samassa kohdassa lisätään, että yhteisrekisterinpitäjät määrittelevät läpinäkyvällä tavalla kunkin vastuualueen sen varmistamiseksi, että kaikkia yleisen tietosuoja-asetuksen vaatimuksia noudatetaan, paitsi jos ja siltä osin kuin muun muassa jäsenvaltion lainsäädännössä, jota sovelletaan rekisterinpitäjään, määritellään rekisterinpitäjien vastuualueet. Näin ollen useiden rekisterinpitäjien yhteisvastuu ei välttämättä riipu eri rekisterinpitäjien välisen sopimuksen olemassaolosta tai edes niiden aikomuksesta, vaan se voi johtua kansallisesta oikeudesta edellyttäen, että kyseisestä oikeudesta voidaan päätellä useiden rekisterinpitäjien nimeäminen ja kunkin rekisterinpitäjän vastuualueet yleisen tietosuoja-asetuksen vaatimusten valossa.

84.

Se, että samaan käsittelyketjuun osallistuu useita toimijoita, ei kuitenkaan tarkoita, että ne toimisivat välttämättä yhteisrekisterinpitäjinä. ( 55 ) Unionin tuomioistuin on lisäksi katsonut, että luonnollista henkilöä tai oikeushenkilöä ei voida pitää vastuussa käsittelyketjun edeltävistä tai myöhemmistä vaiheista, joiden osalta se ei määrittele tarkoitusta eikä keinoja. ( 56 ) Näin ollen nyt käsiteltävässä asiassa ei näytä siltä, että kansallisessa oikeudessa olisi nimetty yhteisrekisterinpitäjiä, koska notaari ei voi mitenkään käyttää määräysvaltaa Moniteur belgen suorittamien toimien osalta.

85.

Näin ollen katson, että nyt käsiteltävässä asiassa näiden kolmen yksikön yhteisvastuuta ei ole vahvistettu kansallisessa lainsäädännössä eikä sitä voida myöskään todeta ennakkoratkaisupyynnön esittäneen tuomioistuimen esittämien tosiseikkojen perusteella. Pääasian tosiseikkojen osalta haluan erityisesti huomauttaa, että ketjun kolmea yksikköä eivät koske samat käsittelyn keinot, koska Moniteur belge huolehtii kyseisten asiakirjojen digitaaliseksi muuntamisesta, julkaisemisesta ja levittämisestä. Pääasian tosiseikat huomioon ottaen asianomaisen luonnollisen henkilön, joka haluaa käyttää yleisen tietosuoja-asetuksen 17 artiklan mukaista oikeuttaan tietojen poistamiseen, on lisäksi käytettävä yleisen tietosuoja-asetuksen mukaisia oikeuksiaan suhteessa kuhunkin yhteisrekisterinpitäjään ja kutakin yhteisrekisterinpitäjää vastaan. Tästä näkökulmasta katsottuna jokainen toimija olisi näin ollen erikseen vastuussa yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta. ( 57 )

86.

Nähdäkseni tästä seuraa, ettei eri rekisterinpitäjien ”kumulatiivista” vastuuta yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan nojalla voida todeta. Kukin käsittelyketjuun osallistuvista toimijoista voi nimittäin olla vastuussa kyseisen asetuksen 5 artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta vain erikseen niiden käsittelytoimien osalta, jotka ne ovat suorittaneet tietojenkäsittelyn tarkoitusten ja keinojen mukaisesti. Koska nyt käsiteltävässä asiassa virheellisiä tietoja ei ole julkaissut notaari vaan Moniteur belge, minusta näyttää siltä, että tätä viranomaista on pidettävä myös erikseen vastuussa kyseisen asetuksen 5 artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta, vaikka se ei itse sisällyttänyt kyseisiä tietoja riidanalaiseen kohtaan.

87.

Lopuksi haluan huomauttaa, että ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on varmistaa, että kansallinen lainsäädäntö, jossa säädetään mahdollisuudesta oikaista mutta ei mahdollisuudesta poistaa Moniteur belgessä julkaistuja tietoja, on yleisen tietosuoja-asetuksen mukainen. Vaikuttaa nimittäin siltä, ettei kansallisessa lainsäädännössä sallita Moniteur belgen poistaa taannehtivasti jo (myös sähköisessä muodossa) julkaistuja tietoja. Tässä yhteydessä on totta, että yleisen tietosuoja-asetuksen 16 ja 17 artiklassa säädettyjä oikeuksia tietojen oikaisemiseen ja poistamiseen voidaan, kuten yleisen tietosuoja-asetuksen 23 artiklassa todetaan, rajoittaa kansallisessa lainsäädännössä. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan tällaisesta rajoituksesta on kuitenkin säädettävä lailla luonnollisten henkilöiden perusoikeuksien keskeistä sisältöä kunnioittaen ja suhteellisuusperiaatetta noudattaen. ( 58 )

88.

Ehdotan näin ollen, että toiseen kysymykseen vastataan, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa on tulkittava siten, että kyseessä olevan virallisen lehden on noudatettava rekisterinpitäjälle kyseisen säännöksen nojalla kuuluvia velvollisuuksia toteuttamiensa toimien osalta. Kyseessä oleva käsittely ei johda yhteisrekisterinpitäjyyteen, ja Moniteur belge on yksin vastuussa käsittelytoimista, jotka sille on määrätty kansallisessa lainsäädännössä.

89.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa cour d’appel de Bruxellesin esittämään ennakkoratkaisukysymykseen seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 4 artiklan 7 alakohtaa

on tulkittava siten, että Moniteur belgen kaltaista jäsenvaltion virallista lehteä, jolle on sovellettavan kansallisen lainsäädännön nojalla annettu virallisten asiakirjojen julkaisemista ja säilyttämistä koskeva tehtävä, voidaan rekisteröityjen tehokkaan ja kattavan suojan varmistamiseksi pitää asetuksen 2016/679 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä tilanteessa, jossa kolmannet tahot määräävät nämä asiakirjat julkaistaviksi sellaisinaan, koska kansallinen lainsäätäjä on antanut kyseiselle lehdelle valtuudet määrittää kyseisten asiakirjojen digitaaliseksi muuntamisen ja digitaalisen julkaisemisen, levittämisen ja säilyttämisen keinot ja määrittänyt laajat julkaisemista ja levittämistä koskevat tarkoitukset. Siltä osin kuin kyse on rekisterinpitäjän nimeämättä jättämisestä tietojen poistamisen osalta ja koska kyseessä olevat tiedot ovat edelleen julkisesti saatavilla, kansallisen tuomioistuimen tehtävänä on kuitenkin nimetä yksikkö, jonka on noudatettava asetuksesta 2016/679 johtuvia velvoitteita.

Asetuksen 2016/679 5 artiklan 2 kohtaa on tulkittava siten, että kyseessä olevan virallisen lehden on noudatettava rekisterinpitäjälle kyseisen säännöksen nojalla kuuluvia velvollisuuksia toteuttamiensa toimien osalta. Kyseessä oleva käsittely ei johda yhteisrekisterinpitäjyyteen, ja Moniteur belge on yksin vastuussa käsittelytoimista, jotka sille on määrätty kansallisessa lainsäädännössä.