Zaak C‑231/22

Belgische Staat

tegen

Gegevensbeschermingsautoriteit

(verzoek om een prejudiciële beslissing, ingediend door het hof van beroep Brussel)

Arrest van het Hof (Derde kamer) van 11 januari 2024

„Prejudiciële verwijzing – Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) – Verordening (EU) 2016/679 – Artikel 4, punt 7 – Begrip ,verwerkingsverantwoordelijke’ – Publicatieblad van een lidstaat – Verplichting om akten van vennootschappen die deze of hun wettelijke vertegenwoordigers hebben voorbereid, als zodanig bekend te maken – Artikel 5, lid 2 – Opeenvolgende verwerking van in dergelijke akten voorkomende persoonsgegevens door verschillende personen of entiteiten – Aanwijzing van de verantwoordelijkheid”

1. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „verwerkingsverantwoordelijke” – Publicatieblad van een lidstaat dat akten en officiële documenten bekendmaakt die derden hebben voorbereid en dat daarbij geen controlebevoegdheid heeft voor de inhoud ervan – Daaronder begrepen – Voorwaarden – Vaststelling in het nationale recht van de doelstellingen van en de middelen voor de door dat publicatieblad verrichte verwerking van persoonsgegevens – Nadere regels – Geen gevolgen verbonden aan het ontbreken van rechtspersoonlijkheid

   (Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7)

   (zie punten 28, 30, 34‑39, dictum 1)

2. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Beginselen inzake verwerking – Aanwijzing van de personen die verantwoordelijk zijn voor de inachtneming van deze beginselen bij opeenvolgende verwerkingen van dezelfde gegevens – Verantwoordelijkheid van het publicatieblad van een lidstaat dat door derden voorbereide akten en officiële documenten bekendmaakt en dat de hoedanigheid van verwerkingsverantwoordelijke heeft – Omvang – Individuele verantwoordelijkheid van het publicatieblad – Met andere entiteiten gedeelde verantwoordelijkheid – Voorwaarde – Vaststelling in het nationale recht van de doelstellingen en middelen die gemeen zijn aan de verschillende verwerkingen en van de respectieve verplichtingen van de gezamenlijke verwerkingsverantwoordelijken – Nadere regels

   (Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7, art. 5, leden 1 en 2, en art. 26, lid 1)

   (zie punten 42‑45, 49, 50, 52, dictum 2)

Samenvatting

Het Hof, dat om een prejudiciële beslissing is verzocht door het hof van beroep Brussel (België), verduidelijkt de contouren van het begrip „verwerkingsverantwoordelijke” en de grenzen van de verplichtingen van een verwerkingsverantwoordelijke wanneer achtereenvolgens verwerkingen van dezelfde persoonsgegevens worden verricht door verschillende entiteiten.

Op 12 februari 2019 heeft het Belgisch Staatsblad – dat in België een brede waaier aan officiële en openbare publicaties op papier en langs elektronische weg verzorgt en verspreidt – een uittreksel van een besluit van een vennootschap over een vermindering van haar kapitaal gepubliceerd. Dit uittreksel, dat werd opgesteld door de notaris van een vennoot van de vennootschap en dat werd toegezonden aan de bevoegde rechtbank, die het op zijn beurt ter bekendmaking heeft meegedeeld aan het bestuur van voormeld publicatieblad, bevatte persoonsgegevens van die vennoot.

Nadat de betrokkene had vastgesteld dat de passage met zijn gegevens was opgenomen in het uittreksel ten gevolge van een fout van de notaris, heeft hij de verwijdering ervan verzocht op grond van zijn recht op gegevenswissing. ( 1 ) Het verzoek is evenwel afgewezen door de Federale Overheidsdienst Justitie (hierna: „FOD Justitie”), waaronder het Bestuur van het Belgisch Staatsblad ressorteert. Daarop heeft de betrokkene bij de Gegevensbeschermingsautoriteit (België) (hierna: „GBA”) een klacht tegen de FOD Justitie ingediend. Bij besluit van 23 maart 2021 heeft de GBA de FOD Justitie gelast het verzoek tot wissing zo spoedig mogelijk in te willigen. Daarop heeft de Belgische Staat bij het hof van beroep Brussel een vordering tot vernietiging van dit besluit van de GBA ingesteld.

Tegen deze achtergrond heeft het hof van beroep Brussel het Hof de vraag voorgelegd of het Belgisch Staatsblad kan worden aangemerkt als „verwerkingsverantwoordelijke” ( 2 ) en of het als enige verantwoordelijk moet worden gehouden voor de inachtneming van de beginselen inzake gegevensverwerking ( 3 ), dan wel of die verantwoordelijkheid ook cumulatief rust op de entiteiten die de gegevens in de betrokken passage eerder hebben verwerkt.

Beoordeling door het Hof

Wat in de eerste plaats de vraag betreft of de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat als het Belgisch Staatsblad, kan worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van de AVG, verduidelijkt het Hof dat, gezien de ruime definitie van dit begrip, de vaststelling van de doelstellingen van en de middelen voor de verwerking en, in voorkomend geval, de aanwijzing van de verwerkingsverantwoordelijke in het nationale recht, niet alleen expliciet maar ook impliciet kunnen zijn. In dat geval moet die vaststelling evenwel met voldoende zekerheid voortvloeien uit de rol, de taak en de bevoegdheden die aan die dienst of dat orgaan zijn toebedeeld.

Het Hof constateert dat het Belgische recht op zijn minst impliciet de doelstellingen van en de middelen voor de persoonsgegevensverwerking heeft bepaald die het Belgisch Staatsblad verricht. Bijgevolg kan het Belgisch Staatsblad worden beschouwd als „verwerkingsverantwoordelijke”.

Het Hof benadrukt dat aan deze gevolgtrekking niet wordt afgedaan door de omstandigheid dat het Belgisch Staatsblad geen rechtspersoonlijkheid heeft, noch door het feit dat het Belgisch Staatsblad naar nationaal recht de persoonsgegevens die voorkomen in de door dat publicatieblad ontvangen akten en documenten, niet controleert voordat die gegevens daarin worden bekendgemaakt.

Het Belgisch Staatsblad moet het document in kwestie weliswaar ongewijzigd bekendmaken, maar het is uitsluitend dit orgaan dat deze taak op zich neemt en dat de handeling of het document in kwestie vervolgens verspreidt. Ten eerste is de bekendmaking van dergelijke akten en documenten zonder de mogelijkheid om de inhoud ervan te controleren of wijzigen, intrinsiek verbonden met de doelstellingen van en de middelen voor de verwerking die het nationale recht bepaalt: de rol van dit publicatieblad bestaat er louter in het publiek te informeren over het bestaan van deze akten en documenten, zoals zij overeenkomstig het toepasselijke nationale recht in de vorm van een kopie aan dat blad worden toegezonden, zodat zij aan derden kunnen worden tegengeworpen. Ten tweede zou het in strijd zijn met de doelstelling van artikel 4, punt 7, AVG indien het publicatieblad van een lidstaat van het begrip „verwerkingsverantwoordelijke” zou worden uitgesloten omdat het geen controle uitoefent over de in de publicaties voorkomende persoonsgegevens.

Wat in de tweede plaats de vraag betreft of een orgaan als het Belgisch Staatsblad als enige verantwoordelijk is voor de inachtneming van de in de AVG bedoelde beginselen inzake verwerking van persoonsgegevens ( 4 ), merkt het Hof op dat de verwerking waarmee het Belgisch Staatsblad is belast, plaatsvindt na de verwerking door de notaris en door de griffie van het bevoegde gerecht, en ook technisch gesproken verschilt van de verwerking door deze twee entiteiten aangezien zij daar bovenop komt. De door het Belgisch Staatsblad verrichte handelingen worden immers voorgeschreven door de nationale wetgeving en houden onder meer in dat de gegevens uit de voorgelegde akten of uittreksels digitaal worden omgezet, worden bekendgemaakt, ter beschikking worden gesteld aan een breed publiek en worden opgeslagen. Derhalve moet het Belgisch Staatsblad worden geacht verantwoordelijk te zijn voor de inachtneming van alle verplichtingen die de AVG de verwerkingsverantwoordelijke oplegt.

Voorts herinnert het Hof eraan dat artikel 4, punt 7, AVG niet alleen voorschrijft dat het doel van en de middelen voor de verwerking van persoonsgegevens gezamenlijk kunnen worden bepaald door meerdere personen die verwerkingsverantwoordelijke zijn, maar ook dat het nationale recht deze doelstellingen en middelen kan bepalen en de verwerkingsverantwoordelijke of de specifieke criteria voor zijn aanwijzing kan aanwijzen. Indien er sprake is van een keten van verwerkingen die door verschillende personen of entiteiten worden verricht en op dezelfde persoonsgegevens zien, kan het nationale recht dus het doel van en de middelen voor alle door deze personen of entiteiten achtereenvolgens verrichte verwerkingen op zodanige wijze bepalen dat zij gezamenlijk verantwoordelijk zijn voor de verwerking.

Het Hof onderstreept dat volgens de AVG ( 5 ) het nationale recht kan bepalen dat verschillende actoren in een keten van verwerkingen van dezelfde persoonsgegevens gezamenlijk verantwoordelijk zijn, mits de verschillende verwerkingshandelingen de doelstellingen en middelen delen die het nationale recht in kwestie bepaalt en dit recht de respectieve verplichtingen van elk van de gezamenlijke verwerkingsverantwoordelijken vaststelt. Het nationale recht kan de doelstellingen en middelen die gemeen zijn aan de door verschillende actoren in een keten verrichte verwerkingen en de respectieve verplichtingen van die actoren niet alleen op directe wijze maar ook op indirecte wijze bepalen, op voorwaarde dat zij voldoende expliciet kunnen worden afgeleid uit de wettelijke bepalingen die gelden voor de betrokken personen of entiteiten en voor de persoonsgegevensverwerking die zij verrichten in de door het nationale recht opgelegde verwerkingsketen.

Het Hof komt dan ook tot de slotsom dat de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat wordt aangemerkt als „verwerkingsverantwoordelijke”, bij de persoonsgegevensverwerkingen die hij/het krachtens het nationale recht moet verrichten als enige verantwoordelijk is voor de inachtneming van de in de AVG neergelegde beginselen, tenzij uit dit recht voortvloeit dat hij daarvoor gezamenlijk met andere entiteiten verantwoordelijk is.

( 1 ) Neergelegd in artikel 17 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).

( 2 ) In de zin van artikel 4, punt 7, AVG.

( 3 ) Krachtens artikel 5, lid 2, AVG.

( 4 ) Beginselen die in artikel 5, lid 1, AVG zijn neergelegd in de vorm van verplichtingen.

( 5 ) Volgens een gecombineerde lezing van artikel 26, lid 1, en artikel 4, punt 7, AVG.