Predmet C-231/22

État belge

protiv

Autorité de protection des données,

(zahtjev za prethodnu odluku koji je uputio cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu, Belgija))

Presuda suda (treće vijeće) od 11. siječnja 2024.

„Zahtjev za prethodnu odluku – Usklađivanje zakonodavstava – Zaštita pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam „voditelj obrade” – Službeni list države članice – Obveza objavljivanja dokumenata društava koje su ona ili njihovi zakonski zastupnici pripremili onakvih kakvi oni jesu – Članak 5. točka 2. – Uzastopna obrada osobnih podataka iz takvih akata koju provodi nekoliko osoba ili zasebnih subjekata – Određivanje odgovornosti”

1. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Pojam „voditelj obrade” – Službeni list države članice u kojem se objavljuju službeni akti i dokumenti koje su pripremile treće osobe i koji nema ovlasti nadzora nad njihovim sadržajem – Uključenost – Uvjet – Utvrđivanje u nacionalnom pravu svrha i sredstava obrade osobnih podataka koju provodi taj službeni list – Modaliteti – Irelevantnost nepostojanja pravne osobnosti

   (Direktiva 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 7.)

   (t. 28., 30., 34.-39. i t. 1. izreke)

2. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Načela obrade – Određivanje subjekata odgovornih za poštovanje tih načela u slučaju uzastopnih obrada istih podataka – Odgovornost službenog lista države članice u kojem se objavljuju službeni akti i dokumenti koje su pripremile treće osobe i koji ima svojstvo voditelja obrade – Doseg – Individualna odgovornost službenog lista – Zajednička odgovornost s drugim subjektima – Uvjet – Utvrđivanje u nacionalnom pravu svrha i sredstava objedinjavanja različitih postupaka obrade kao i odgovarajućih obveza zajedničkih voditelja obrade u nacionalnom pravu – Modaliteti

   (Direktiva 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 7.. čl. 5. st. 1. i 2. i čl. 26. st. 1.)

   (t. 42.-45., 49., 50.,52. i t. 2. izreke)

Kratak prikaz

Odlučujući o zahtjevu za prethodnu odluku coura d’appel de Bruxelles (Žalbeni sud u Bruxellesu, Belgija), Sud je pojasnio, s jedne strane, granice pojma „voditelj obrade” i, s druge strane, granice obveza voditelja obrade kada postupke obrade koji se odnose na iste osobne podatke provode uzastopni subjekti.

Moniteur belge, koji u Belgiji osigurava izradu i distribuciju širokog raspona službenih i javnih publikacija na papiru i elektroničkim putem, objavio je 12. veljače 2019. izvadak iz odluke društva o smanjenju njegova kapitala. Taj izvadak, koji je sastavio javni bilježnik člana društva i proslijedio nadležnom sudu, koji ga je pak priopćio upravi tog službenog lista radi objave, sadržavao je osobne podatke tog člana.

Nakon što je utvrdila da je odlomak u kojem su se nalazili njezini podaci bio uključen u izvadak nakon pogreške koju je počinio javni bilježnik, dotična osoba zatražila je brisanje tog odlomka na temelju svojeg prava na brisanje ( 1 ). Međutim, njezin je zahtjev odbila savezna javna služba za pravosuđe (u daljnjem tekstu: SPF Justice), s kojom je povezana uprava Moniteur belgea. Nakon tog odbijanja ta je osoba protiv SPF Justicea podnijela pritužbu Autoritéu de protection des données (Tijelu za zaštitu podataka, Belgija) (u daljnjem tekstu: TZP). Odlukom od 23. ožujka 2021. TZP je SPF Justiceu naložio da što prije postupi po zahtjevu za brisanje. Belgijska država zatim je pokrenula postupak pred courom d’appel de Bruxelles (Žalbeni sud u Bruxellesu) radi poništenja odluke TZP-a.

U tom je kontekstu cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu) pitao Sud može li se Moniteur belge smatrati „voditeljem obrade” ( 2 ) i treba li ga smatrati isključivo odgovornim za poštovanje načela koja se odnose na obradu podataka ( 3 ) ili je ta odgovornost također kumulativno i na subjektima koji su prethodno obrađivali podatke koji se nalaze u odlomku o kojem je riječ.

Ocjena Suda

Kao prvo, što se tiče pitanja može li se služba ili tijelo nadležno za službeni list države članice, kao što je to Moniteur belge, smatrati „voditeljom obrade” u smislu OUZP-a, Sud je pojasnio da, s obzirom na široku definiciju tog pojma, utvrđivanje svrhe i sredstava obrade kao i, ovisno o slučaju, imenovanje voditelja obrade u skladu s nacionalnim pravom mogu biti ne samo izričiti nego i prešutni. U potonjem slučaju ipak se zahtijeva da to određivanje s dovoljnom sigurnošću proizlazi iz uloge, zadaće i ovlasti koje su dodijeljene dotičnoj službi ili tijelu.

Sud je utvrdio da se u ovom slučaju belgijskim pravom barem prešutno utvrdilo svrhu i sredstva obrade osobnih podataka koju je proveo Moniteur belge. Iz toga proizlazi da se on može smatrati „voditeljem obrade”.

Sud je naglasio da taj zaključak nije doveden u pitanje okolnošću da Moniteur belge nema pravnu osobnost niti činjenicom da na temelju nacionalnog prava on ne nadzire, prije njihove objave, osobne podatke iz akata i dokumenata koje je zaprimio.

Iako je točno da to tijelo mora objaviti dokument o kojem je riječ onakav kakav on jest, on je isključivo odgovoran za taj zadatak i naknadno distribuira dotični akt ili dokument. S jedne strane, objava takvih akata i takvih dokumenata bez mogućnosti nadzora ili izmjene njihova sadržaja neodvojivo je povezana sa svrhom i sredstvima obrade utvrđenima nacionalnim pravom. Naime, uloga tog službenog lista ograničena je na informiranje javnosti o postojanju tih akata i dokumenata, kako su mu dostavljeni u obliku preslike u skladu s primjenjivim nacionalnim pravom, na način da se na njih može pozivati protiv trećih osoba. S druge strane, bilo bi protivno cilju članka 4. točke 7. OUZP‑a isključiti iz pojma „voditelj obrade” službeni list države članice zbog toga što taj list ne provodi nadzor nad osobnim podacima iz svojih publikacija.

Kao drugo, što se tiče pitanja treba li tijelo kao što je Moniteur belge smatrati jedinim odgovornim za poštovanje načela koja se odnose na obradu osobnih podataka iz OUZP-a ( 4 ), Sud je napomenuo da obrada povjerena Moniteur belgeu ne samo da slijedi nakon obrade koju su proveli javni bilježnik i tajništvo nadležnog suda, nego se i tehnički razlikuje od obrade koju su provela ta dva subjekta jer se radi o dodatnoj obradi. Naime, radnje koje je izvršio Moniteur belge povjerene su mu nacionalnim zakonodavstvom i podrazumijevaju, među ostalim, digitalizaciju podataka iz akata ili izvadaka akata koji su mu podneseni, njihovu objavu, stavljanje na raspolaganje široj javnosti i njihovo čuvanje. Stoga ga treba smatrati odgovornim za poštovanje svih obveza koje su OUZP-om propisane za voditelja obrade.

Osim toga, Sud je podsjetio da se člankom 4. točkom 7. OUZP-a ne predviđa samo to da svrhe i sredstva obrade osobnih podataka zajednički može utvrditi više osoba kao voditeljâ obrade, nego i da se samim nacionalnim pravom mogu utvrditi te svrhe i ta sredstva te imenovati voditelj obrade ili posebni kriteriji za njegovo imenovanje. Stoga, u okviru niza postupaka obrade koje provode različite osobe ili subjekti i koji se odnose na iste osobne podatke, nacionalnim pravom mogu se odrediti svrhe i sredstva svih postupaka obrade koje uzastopno provode te različite osobe ili subjekti na način da se oni smatraju zajedničkim voditeljima obrade.

Sud je naglasio da se, na temelju OUZP-a ( 5 ), zajednička odgovornost više sudionika u lancu obrada koje se odnose na iste osobne podatke može utvrditi nacionalnim pravom pod uvjetom da su različiti postupci obrade ujedinjeni svrhama i sredstvima utvrđenima tim pravom i da se njime utvrđuju obveze svakog od zajedničkih voditelja obrade. Takvo utvrđivanje svrha i sredstava koji ujedinjuju različite obrade koje provodi više sudionika u lancu kao i njihovih obveza može se provesti ne samo izravno nego i neizravno nacionalnim pravom, pod uvjetom, u potonjem slučaju, da se ono može na dovoljno izričit način izvesti iz pravnih odredbi koje se primjenjuju na dotične osobe ili subjekte i obradu osobnih podataka koju provode u okviru lanca obrada koji je propisan tim pravom.

Stoga je Sud zaključio da je služba ili tijelo zaduženo za službeni list države članice, koje je kvalificirano kao „voditelj obrade”, jedino odgovorno za poštovanje načela iz OUZP-a u pogledu postupaka obrade osobnih podataka koje je dužno provesti na temelju nacionalnog prava, osim ako u pogledu tih radnji iz tog prava ne proizlazi zajednička odgovornost s drugim subjektima.

( 1 ) Predviđeno u članku 17. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: GDPR).

( 2 ) U smislu članka 4. točke 7. OUZP-a.

( 3 ) Na temelju članka 5. stavka 2. OUZP-a.

( 4 ) Načela predviđena u obliku obveza iz članka 5. stavka 1. OUZP-a.

( 5 ) U skladu s člankom 26. stavkom 1. u vezi s člankom 4. točkom 7. OUZP-a.