Zadeva C‑231/22

État belge

proti

Autorité de protection des données

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Cour d’appel de Bruxelles)

Sodba Sodišča (tretji senat) z dne 11. januarja 2024

„Predhodno odločanje – Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov in prosti pretok takih podatkov (Splošna uredba o varstvu podatkov) – Uredba (EU) 2016/679 – Člen 4, točka 7 – Pojem ‚upravljavec‘ – Uradni list države članice – Obveznost objave aktov družb, ki jih pripravijo te družbe ali njihovi zakoniti zastopniki, takih, kot so bili prejeti – Člen 5(2) – Zaporedna obdelava osebnih podatkov, ki so v takih aktih, s strani več oseb ali subjektov – Določitev odgovornosti“

1. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pojem „upravljavec“ – Uradni list države članice, ki zagotavlja objavo aktov in uradnih dokumentov, ki jih pripravijo tretji in v zvezi s katerimi ta uradni list nima pravice do nadzora vsebine – Vključitev – Pogoj – Določitev namenov in sredstev obdelave osebnih podatkov, ki jo opravlja ta uradni list, z nacionalnim pravom – Pravila za izvajanje – Nevplivanje neobstoja pravne osebnosti

   (Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 7)

   (Glej točke 28, 30 in od 34 do 39 ter točko 1 izreka.)

2. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Načela v zvezi z obdelavo – Določitev odgovornih za spoštovanje teh načel v primeru zaporednih obdelav teh podatkov – Odgovornost uradnega lista države članice, ki zagotavlja objavo aktov in uradnih dokumentov, ki jih pripravijo tretji, in ki je upravljavec – Obseg – Individualna odgovornost uradnega lista – Skupna odgovornost z drugimi subjekti – Pogoj – Določitev namenov in sredstev, ki združujejo razna dejanja obdelave, ter dolžnosti skupnih upravljavcev z nacionalnim pravom – Pravila za izvajanje

   (Uredba 2016/679 Evropskega parlamenta in Sveta, člen 4, točka 7, člen 5(1) in (2) ter člen 26(1))

   (Glej točke od 42 do 45, 49, 50 in 52 ter točko 2 izreka.)

Povzetek

Sodišče, pri katerem je Cour d’appel de Bruxelles (višje sodišče v Bruslju, Belgija) vložilo predlog za sprejetje predhodne odločbe, je na eni strani pojasnilo obseg pojma „upravljavec“, na drugi pa meje obveznosti upravljavca, kadar iste podatke zaporedno obdela več subjektov.

Moniteur belge, ki v Belgiji zagotavlja ustvarjanje in razširjanje širokega nabora uradnih in javnih objav v papirnati in elektronski obliki, je 12. februarja 2019 objavil izvleček sklepa družbe o zmanjšanju njenega kapitala. Ta izvleček, ki ga je sestavil notar enega od družbenikov te družbe in ga posredoval pristojnemu sodišču – to pa ga je nato posredovalo upravi tega uradnega lista – je vseboval osebne podatke tega družbenika.

Zadevna oseba je po tem, ko je ugotovila, da je bil odlomek, v katerem so bili ti podatki, v izvleček vključen zaradi napake, ki jo je storil notar, na podlagi svoje pravice do izbrisa ( 1 ) zahtevala, naj se ta odlomek odstrani. Vendar je Service Public Fédéral Justice (zvezna javna služba za pravosodje, v nadaljevanju: SPF Justice), h kateri spada uprava Moniteur belge, njeno zahtevo za izbris zavrnila. Ta oseba je po tej zavrnitvi proti SPF Justice vložila pritožbo pri Autorité de protection des données (organ za varstvo podatkov, Belgija) (v nadaljevanju: APD). APD je z odločbo z dne 23. marca 2021 SPF Justice naložil, naj zahtevi za izbris brez nepotrebnega odlašanja ugodi. Belgijska država je nato vložila tožbo pri Cour d’appel de Bruxelles (višje sodišče v Bruslju), s katero je predlagala razglasitev ničnosti odločbe APD.

V tem okviru je Cour d’appel de Bruxelles (višje sodišče v Bruslju) Sodišče vprašalo, ali je mogoče Moniteur belge šteti za „upravljavca“ ( 2 ) in ali je treba šteti, da je edini odgovoren za spoštovanje načel v zvezi z obdelavo podatkov ( 3 ), oziroma ali sta za to kumulativno odgovorna tudi subjekta, ki sta podatke iz zadevnega odlomka obdelala pred tem.

Presoja Sodišča

Na prvem mestu, kar zadeva vprašanje, ali je mogoče agencijo ali telo, ki je odgovorno za uradni list države članice, šteti za „upravljavca“ v smislu SUVP, je Sodišče pojasnilo, da je glede na široko opredelitev tega pojma določitev namenov in sredstev obdelave ter – če gre za tak primer – določitev tega upravljavca z nacionalnim pravom lahko ne le eksplicitna, ampak tudi implicitna. Vendar se v zadnjenavedenem primeru zahteva, da ta določitev dovolj zanesljivo izhaja iz vloge, nalog in pooblastil, ki so dodeljena zadevni agenciji oziroma telesu.

Sodišče je ugotovilo, da so v obravnavani zadevi z belgijskim pravom vsaj implicitno določeni nameni in sredstva obdelave osebnih podatkov, ki jo izvaja Moniteur belge. Iz tega izhaja, da ga je mogoče šteti za „upravljavca“.

Sodišče je poudarilo, da tega ne omaje okoliščina, da Moniteur belge nima pravne osebnosti, niti to, da ta pred objavo ne pregleda osebnih podatkov, ki so v aktih in dokumentih, ki jih prejme.

Čeprav je res, da mora to telo zadevni dokument objaviti takšnega, kot ga je prejelo, je to edino odgovorno za to nalogo in za poznejše razširjanje zadevnega akta ali dokumenta. Na eni strani je objava takih aktov in dokumentov brez možnosti pregledovanja in spreminjanja njihove vsebine neločljivo povezana z nameni in sredstvi obdelave, ki so določeni z nacionalnim pravom. Vloga tega uradnega lista je namreč zgolj informirati javnost o obstoju teh aktov in dokumentov, kot so bili v skladu z veljavnim nacionalnim pravom v obliki kopije posredovani temu uradnemu listu, da bi lahko učinkovali proti tretjim. Na drugi strani bi bilo v nasprotju s členom 4, točka 7, SUVP, če bi bil uradni list države članice iz pojma „upravljavec“ izključen, ker ta uradni list ne pregleduje osebnih podatkov, ki jih vsebujejo njegove objave.

Na drugem mestu, kar zadeva vprašanje, ali je telo, kot je Moniteur belge, treba šteti za edino odgovorno za spoštovanje načel v zvezi z obdelavo osebnih podatkov iz SUVP ( 4 ), je Sodišče ugotovilo, da obdelava, za katero je pristojen Moniteur belge, časovno sledi obdelavi, ki sta jo izvedla notar in sodno tajništvo pristojnega sodišča, je pa tudi tehnično ločena od obdelave, ki sta jo izvedla navedena subjekta, saj gre za dodatno obdelavo. Dejanja, ki jih je izvedel Moniteur belge, so namreč temu zaupana z nacionalno zakonodajo, pri njih pa gre zlasti za digitalizacijo podatkov, ki jih vsebujejo akti ali izvlečki aktov, ki so mu predloženi, objavo teh podatkov, njihovo dajanje na voljo širši javnosti in njihovo shranjevanje. Zato je treba šteti, da je Moniteur belge odgovoren za spoštovanje vseh obveznosti, ki so s SUVP naložene upravljavcu.

Dalje, Sodišče je opozorilo, da člen 4, točka 7, SUVP določa ne le, da lahko namene in sredstva obdelave osebnih podatkov skupaj določi več oseb, ki so upravljavci, ampak tudi, da se lahko ti nameni in sredstva določijo z nacionalnim pravom, s katerim se določi tudi upravljavec ali posebna merila za njegovo imenovanje. Torej se lahko v okviru verige obdelav, ki jih izvedejo različne osebe ali subjekti in ki se nanašajo na iste osebne podatke, z nacionalnim pravom določijo nameni in sredstva za vse obdelave, ki jih zaporedno opravijo različne osebe ali subjekti, tako da se ti štejejo za skupne upravljavce.

Sodišče je poudarilo, da se lahko v skladu s SUVP ( 5 ) skupna odgovornost več subjektov iz verige obdelav, ki se nanašajo na iste osebne podatke, določi z nacionalnim pravom, če ta razna dejanja obdelave združujejo nameni in sredstva, ki so določeni s tem pravom, in če to pravo opredeljuje dolžnosti vsakega od skupnih upravljavcev. Tako določitev namenov in sredstev, ki združujejo razne obdelave, ki jih izvaja več subjektov v isti verigi, ter določitev njihovih dolžnosti z nacionalnim pravom je mogoče opraviti ne le neposredno, temveč tudi posredno, vendar mora v zadnjenavedenem primeru ta določitev dovolj eksplicitno izhajati iz zakonskih določb, ki se uporabljajo za zadevne osebe ali subjekte in obdelavo osebnih podatkov, ki jo ti izvajajo v okviru verige obdelav, ki se zahteva s tem pravom.

Sodišče je tako odločilo, da je agencija ali telo, ki vodi uradni list države članice in ki je opredeljeno kot „upravljavec“, edino odgovorno za spoštovanje načel iz SUVP v zvezi z dejanji obdelave osebnih podatkov, ki jih mora izvajati v skladu z nacionalnim pravom, razen če iz tega prava izhaja, da je za ta dejanja odgovorno skupaj z drugimi subjekti.

( 1 ) Določena v členu 17 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).

( 2 ) V smislu člena 4, točka 7, SUVP.

( 3 ) V skladu s členom 5(2) SUVP.

( 4 ) Načela, določena v obliki obveznosti v členu 5(1) SUVP.

( 5 ) Glede na člen 26(1) SUVP v povezavi s členom 4, točka 7, te uredbe.