ROZSUDEK SOUDNÍHO DVORA (třetího senátu)
11. ledna 2024(*)
„Řízení o předběžné otázce – Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů a volný pohyb těchto údajů (obecné nařízení o ochraně osobních údajů) – Nařízení (EU) 2016/679 – Článek 4 bod 7 – Pojem ‚správce‘ – Úřední věstník členského státu – Povinnost zveřejnit v nezměněné podobě akty společností, které byly vyhotoveny těmito společnostmi nebo jejich právními zástupci – Článek 5 odst. 2 – Postupné zpracování osobních údajů uvedených v takovýchto aktech několika různými osobami nebo subjekty – Určení odpovědnosti“
Ve věci C‑231/22,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím cour d’appel de Bruxelles (Odvolací soud v Bruselu, Belgie) ze dne 23. února 2022, došlým Soudnímu dvoru dne 1. dubna 2022, v řízení
État belge
proti
Autorité de protection des données,
za účasti:
LM,
SOUDNÍ DVŮR (třetí senát),
ve složení: K. Jürimäe, předsedkyně senátu, N. Piçarra, M. Safjan (zpravodaj), N. Jääskinen a M. Gavalec, soudci,
generální advokátka: L. Medina,
za soudní kancelář: C. Strömholm, radová,
s přihlédnutím k písemné části řízení a po jednání konaném dne 23. března 2023,
s ohledem na vyjádření, která předložili:
– za Autorité de protection des données: F. Biebuyck, P. Van Muyler, avocates, a E. Kairis, advocaat,
– za belgickou vládu: P. Cottin, J.-C. Halleux a C. Pochet, jako zmocněnci, ve spolupráci se S. Kaisergruber a P. Schaffner, avocats,
– za maďarskou vládu: Zs. Biró-Tóth a M. Z. Fehér, jako zmocněnci,
– za Evropskou komisi: A. Bouchagiar, H. Kranenborg a A.-C. Simon, jako zmocněnci,
po vyslechnutí stanoviska generální advokátky na jednání konaném dne 8. června 2023,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 bodu 7 a čl. 5 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
2 Tato žádost byla předložena v rámci sporu mezi État belge (belgický stát) na straně jedné a Autorité de protection des données (Úřad pro ochranu osobních údajů, Belgie) (dále jen „APD“), dozorovým úřadem zřízeným v Belgii podle článku 51 GDPR, na straně druhé ve věci rozhodnutí, kterým tento úřad uložil orgánu odpovědnému za vydávání Moniteur belge (Úřední věstník), který v tomto členském státě zajišťuje vydávání a šíření široké škály úředních a veřejných publikací v tištěné a elektronické podobě, aby vyhověl nároku, který uplatnila fyzická osoba, na výmaz několika jejích osobních údajů uvedených v aktu, který byl zveřejněn v tomto Úředním věstníku.
Právní rámec
Unijní právo
3 Článek 4 body 2 a 7 GDPR stanoví:
„Pro účely tohoto nařízení se rozumí:
[…]
2) ,zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]
7) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
[…]“
4 Článek 5 GDPR stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely (‚účelové omezení‘);
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny (‚přesnost‘);
e) uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů (‚omezení uložení‘);
f) zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením (‚integrita a důvěrnost‘);
2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‛).“
5 Článek 17 GDPR zní následovně:
„1. Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
b) subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
c) subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2;
[…]
3. Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:
[…]
b) pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen;
[…]
d) pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely v souladu s čl. 89 odst. 1, pokud je pravděpodobné, že by právo uvedené v odstavci 1 znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování; […]
[…]“
6 Článek 26 GDPR stanoví:
„1. Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci. Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění povinností podle tohoto nařízení, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článcích 13 a 14, pokud tuto odpovědnost správců nestanoví právo Unie nebo členského státu, které se na správce vztahuje. V ujednání může být určeno kontaktní místo pro subjekty údajů.
2. Ujednání uvedené v odstavci 1 náležitě zohlední úlohy společných správců a jejich vztahy vůči subjektům údajů. Subjekt údajů musí být o podstatných prvcích ujednání informován.
3. Bez ohledu na podmínky ujednání uvedeného v odstavci 1 může subjekt údajů vykonávat svá práva podle tohoto nařízení u každého ze správců i vůči každému z nich.“
7 Článek 51 GDPR mimo jiné stanoví, že členské státy musí stanovit jeden nebo více nezávislých orgánů veřejné moci, které jsou pověřeny monitorováním uplatňování tohoto nařízení.
Belgické právo
8 Článek 472 loi-programme du 24 décembre 2002 (programový zákon ze dne 24. prosince 2002, Moniteur belge ze dne 31. prosince 2002, s. 58686) stanoví:
„Moniteur belge je úřední publikací vydávanou Direction du Moniteur belge (Ředitelství belgického Úředního věstníku), která shromažďuje všechny texty, jejichž zveřejnění v Moniteur belge je nařízeno.“
9 Článek 474 tohoto programového zákona stanoví:
„Zveřejnění v Moniteur belge provádí Direction du Moniteur belge ve čtyřech vyhotoveních vytištěných na papíře.
[…]
Jedno vyhotovení se uchovává v elektronické podobě. Král stanoví podmínky pro elektronické uchovávání […]“
10 Článek 475 uvedeného programového zákona zní následovně:
„Jakékoli další zpřístupnění veřejnosti se uskutečňuje prostřednictvím internetových stránek Direction du Moniteur belge.
Publikace zpřístupněné na těchto internetových stránkách jsou přesnými elektronickými reprodukcemi vyhotovení v papírové podobě uvedených v článku 474.“
11 Článek 475a tohoto zákona stanoví:
„Každý občan může obdržet kopii dokumentů a listin zveřejněných v Moniteur belge prostřednictvím bezplatné telefonní asistenční linky za cenu nákladů Moniteur belge. Tato služba je rovněž odpovědná za poskytování asistenční služby občanům při vyhledávání dokumentů.“
12 Článek 475b programového zákona ze dne 24. prosince 2002 stanoví:
„Další doprovodná opatření budou přijata královskou vyhláškou projednanou v Radě ministrů za účelem zajištění co nejširšího možného šíření informací obsažených v Moniteur belge a přístupu k nim.“
Spor v původním řízení a předběžné otázky
13 V Belgii vlastnila fyzická osoba většinu podílů v soukromé společnosti s ručením omezeným. Vzhledem k tomu, že se společníci této společnosti rozhodli snížit její kapitál, byly stanovy uvedené společnosti pozměněny rozhodnutím mimořádné valné hromady ze dne 23. ledna 2019.
14 Podle zákona o obchodních korporacích, ve znění zákona ze dne 7. května 1999 (Moniteur belge ze dne 6. srpna 1999, s. 29440), vyhotovil notář této fyzické osobě výňatek z tohoto rozhodnutí a poté jej zaslal kanceláři příslušného soudu, a sice obchodního soudu, v jehož obvodu má tato společnost sídlo. Na základě příslušných právních předpisů tento soud zaslal tento výňatek Direction du Moniteur belge ke zveřejnění.
15 Dne 12. února 2019 byl uvedený výňatek zveřejněn jako takový, tedy bez kontroly obsahu, v přílohách Moniteur belge v souladu s příslušnými právními předpisy.
16 Tento výňatek obsahuje rozhodnutí o snížení kapitálu uvedené společnosti, původní výši tohoto kapitálu, výši dotyčného snížení, jakož i novou výši základního kapitálu a nové znění stanov této společnosti. Obsahuje rovněž pasáž, v níž jsou uvedena jména jejích dvou společníků, mezi nimi jméno fyzické osoby uvedené v bodě 13 tohoto rozsudku, částky, které byly společníkům vyplaceny, jakož i čísla jejich bankovních účtů (dále jen „pasáž dotčená ve věci v původním řízení“).
17 Poté, co tato fyzická osoba zjistila, že její notář pochybil, když do výňatku uvedeného v bodě 14 tohoto rozsudku zahrnul pasáž dotčenou ve věci v původním řízení, ačkoli to zákon nevyžaduje, podnikla prostřednictvím tohoto notáře a notářova pověřence pro ochranu osobních údajů kroky k tomu, aby dosáhla odstranění této pasáže v souladu se svým právem na výmaz podle článku 17 GDPR.
18 Service public fédéral Justice (Federální ministerstvo spravedlnosti, Belgie) (dále jen „SPF Justice“), kterému Direction du Moniteur belge podléhá, odmítlo, konkrétně rozhodnutím ze dne 10. dubna 2019, takovéto žádosti o výmaz vyhovět.
19 Dne 21. ledna 2020 podala uvedená fyzická osoba stížnost na SPF Justice k APD, kterou se domáhala, aby bylo určeno, že tato žádost o výmaz je opodstatněná a že jsou splněny podmínky pro uplatnění práva na výmaz stanovené v čl. 17 odst. 1 GDPR.
20 Rozhodnutím ze dne 23. března 2021 APD zaslal SPF Justice „výtku“, kterou ho vyzval, aby uvedené žádosti o výmaz co nejdříve, nejpozději však do 30 dnů od doručení tohoto rozhodnutí, vyhověl.
21 Dne 22. dubna 2021 podal belgický stát ke cour d’appel de Bruxelles (Odvolací soud v Bruselu, Belgie), který je předkládajícím soudem, žalobu, kterou se domáhá zrušení uvedeného rozhodnutí.
22 Tento soud uvádí, že se účastníci řízení neshodují v otázce, jakým způsobem je třeba ve věci v původním řízení vykládat pojem „správce“ uvedený v čl. 4 bodu 7 GDPR, protože osobní údaje uvedené v pasáži dotčené ve věci v původním řízení, jejíž zveřejnění zákon nevyžaduje, byly zpracovány několika potenciálními „po sobě jdoucími“ správci. Těmito správci jsou zaprvé notář, který vyhotovil výňatek obsahující pasáž dotčenou ve věci v původním řízení, přičemž do něj tyto údaje omylem zahrnul, zadruhé kancelář soudu, ke které byl tento výňatek následně podán, než byl odeslán Moniteur belge ke zveřejnění, a zatřetí Moniteur Belge, který jej v souladu s právními předpisy upravujícími jeho status a úkoly zveřejnil v nezměněné podobě, tedy aniž měl pravomoc ke kontrole a provedení změn, poté, co ho obdržel od tohoto soudu.
23 V této souvislosti si předkládající soud klade otázku, zda Moniteur belge může být považován za „správce“ ve smyslu čl. 4 bodu 7 GDPR. V případě kladné odpovědi a na základě toho, že se účastníci původního řízení nedovolávají společné odpovědnosti stanovené v článku 26 GDPR, se tento soud rovněž táže, zda Moniteur belge musí být podle čl. 5 odst. 2 tohoto nařízení považován za jediného odpovědného za dodržení zásad stanovených v čl. 5 odst. 1 uvedeného nařízení, nebo zda tuto odpovědnost nesou kumulativně i orgány veřejné správy, které údaje uvedené v pasáži dotčené ve věci v původním řízení předtím zpracovávaly, a sice notář, který vyhotovil výňatek obsahující tuto pasáž, a obchodní soud, v jehož obvodu má dotyčná soukromá společnost s ručením omezeným sídlo.
24 Za těchto podmínek se cour d’appel de Bruxelles (Odvolací soud v Bruselu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Musí být čl. 4 [bod] 7 [GDPR] vykládán v tom smyslu, že úřední věstník členského státu pověřený výkonem veřejné služby zveřejňování a archivace úředních dokumentů, který je na základě použitelných vnitrostátních právních předpisů pověřen zveřejňovat úřední akty a dokumenty, jejichž zveřejnění mu nařizují třetí veřejné orgány, a to tak, jak jsou postoupeny těmito orgány poté, co samy tyto třetí orgány zpracovaly osobní údaje obsažené v těchto aktech a dokumentech, aniž mu vnitrostátní zákonodárce přiznal posuzovací pravomoc, pokud jde o obsah dokumentů, které mají být zveřejněny, a pokud jde o účel a prostředky zveřejnění, má postavení správce?
2) V případě kladné odpovědi na první otázku musí být čl. 5 [odst.] 2 [GDPR] vykládán v tom smyslu, že dotčený Úřední věstník musí jako jediný splnit povinnosti, které má podle tohoto ustanovení správce, a to s vyloučením třetích veřejných orgánů, které dříve zpracovaly údaje obsažené v úředních aktech a dokumentech, jejichž zveřejnění na něm požadují, nebo tyto povinnosti spočívají kumulativně na každém z po sobě jdoucích správců?“
K předběžným otázkám
K první otázce
25 Podstatou první otázky předkládajícího soudu je, zda čl. 4 bod 7 GDPR musí být vykládán v tom smyslu, že agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je podle právních předpisů tohoto státu zejména povinen zveřejňovat úřední akty a dokumenty v nezměněné podobě, které na vlastní odpovědnost v souladu s platnými pravidly vyhotovily třetí osoby a poté je předložily soudnímu orgánu, který je zaslal ke zveřejnění, může být považován za „správce“ osobních údajů obsažených v těchto aktech a v těchto dokumentech ve smyslu tohoto ustanovení.
26 Úvodem je třeba upřesnit, že pojem „správce“ uvedený v čl. 4 bodu 7 GDPR předpokládá existenci „zpracování“ osobních údajů ve smyslu čl. 4 bodu 2 tohoto nařízení. V projednávané věci z předkládacího rozhodnutí vyplývá, že osobní údaje uvedené v pasáži dotčené ve věci v původním řízení byly zpracovány Moniteur belge. I když předkládající soud neuvádí podrobnosti tohoto zpracování, ze shodných písemných vyjádření APD a belgické vlády vyplývá, že tyto údaje byly přinejmenším shromážděny, zaznamenány, uloženy, zpřístupněny přenosem a šířeny Moniteur belge, přičemž takovéto operace představují „zpracování“ ve smyslu čl. 4 bodu 2 uvedeného nařízení.
27 Na základě tohoto úvodního upřesnění je třeba připomenout, že podle čl. 4 bodu 7 GDPR pojem „správce“ zahrnuje fyzické nebo právnické osoby, agentury nebo jiné subjekty, které samy nebo společně s jinými určují účely a prostředky zpracování osobních údajů. Toto ustanovení rovněž stanoví, že jsou-li účely a prostředky tohoto zpracování určeny zejména právem členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
28 V této souvislosti je třeba připomenout, že podle judikatury Soudního dvora je cílem tohoto ustanovení zajistit prostřednictvím široké definice pojmu „správce“ účinnou a úplnou ochranu subjektů údajů (v tomto smyslu viz rozsudky ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 29, a ze dne 5. prosince 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, bod 29, jakož i citovaná judikatura).
29 Vzhledem ke znění čl. 4 bodu 7 GDPR ve spojení s tímto cílem je zřejmé, že pro určení toho, zda je třeba osobu nebo subjekt považovat za „správce“ ve smyslu tohoto ustanovení, je třeba přezkoumat, zda tato osoba nebo tento subjekt sám nebo společně s jinými určuje účely a prostředky zpracování, nebo zda jsou tyto účely a prostředky určeny vnitrostátním právem. Pokud je takovéto určení provedeno vnitrostátním právem, je pak třeba ověřit, zda toto právo určuje správce nebo stanoví zvláštní kritéria pro jeho určení.
30 V této souvislosti je třeba upřesnit, že s ohledem na širokou definici pojmu „správce“ ve smyslu čl. 4 bodu 7 GDPR může být určení účelů a prostředků zpracování a případně určení tohoto správce vnitrostátním právem nejen explicitní, ale i implicitní. V posledně uvedeném případě se nicméně vyžaduje, aby toto určení dostatečně jasně vyplývalo z úlohy, poslání a pravomocí svěřených dotyčné osobě nebo dotyčnému subjektu. Ochrana těchto osob by totiž byla narušena, pokud by byl čl. 4 bod 7 GDPR vykládán restriktivně tak, aby se vztahoval pouze na případy, kdy jsou účely a prostředky zpracování údajů prováděného osobou, orgánem veřejné moci, agenturou nebo subjektem výslovně určeny vnitrostátním právem, i když tyto účely a tyto prostředky v podstatě vyplývají z právních předpisů upravujících činnost dotčeného subjektu.
31 V projednávané věci předkládající soud zaprvé upřesňuje, že ve věci v původním řízení není Moniteur belge vnitrostátním právem podle všeho svěřena pravomoc určovat účely a prostředky zpracování údajů, která provádí, protože první předběžná otázka byla položena na základě tohoto předpokladu. Kromě toho ze shodujících se vysvětlení APD a belgické vlády na jednání vyplývá, že zřejmě ani orgán veřejné moci spravující Moniteur belge, tedy SPF Justice, nemá podle vnitrostátního práva takovouto pravomoc.
32 Zadruhé ze spisu, který má Soudní dvůr k dispozici, vyplývá, že osobní údaje uvedené v aktech a dokumentech zaslaných Moniteur belge ke zveřejnění jsou v zásadě shromažďovány, zaznamenávány, uchovávány a zveřejňovány v nezměněné podobě za účelem oficiálního informování veřejnosti o existenci těchto aktů a těchto dokumentů a jejich použitelnosti vůči třetím osobám.
33 Kromě toho z vysvětlení, které poskytl předkládající soud, vyplývá, že zpracování se provádí zejména automatizovanými prostředky: příslušné údaje se zejména reprodukují ve vyhotoveních v papírové podobě, z nichž jedno je uloženo v elektronické podobě, papírová vyhotovení jsou dostupná v elektronické podobě na internetové stránce Moniteur belge a kopii je možné získat prostřednictvím telefonní asistenční služby pověřené mimo jiné poskytováním služby pomoci občanům při vyhledávání dokumentů.
34 Ze skutečností uvedených ve spisu, který má Soudní dvůr k dispozici, tedy vyplývá, že belgické právo přinejmenším implicitně určilo účely a prostředky zpracování osobních údajů prováděného Moniteur belge.
35 Za těchto okolností je třeba uvést, že Moniteur belge je možné, jakožto agenturu nebo subjekt pověřený zpracováním osobních údajů, které jsou v souladu s účely a prostředky zpracování stanovenými belgickými právními předpisy uvedeny v jeho publikacích, považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR.
36 Tento závěr není zpochybněn okolností, že Moniteur belge jakožto útvar SPF Justice nemá právní subjektivitu. Z jasného znění tohoto ustanovení totiž vyplývá, že správcem může být nejen fyzická nebo právnická osoba, ale i orgán veřejné moci, agentura nebo subjekt, přičemž takovéto entity nemusí mít nutně právní subjektivitu podle vnitrostátního práva.
37 Rovněž skutečnost, že podle vnitrostátního práva Moniteur belge před zveřejněním v tomto úředním věstníku nekontroluje osobní údaje uvedené v aktech a v dokumentech, které obdržel, nemůže mít žádný vliv na to, zda Moniteur belge může být kvalifikován jako správce.
38 Je sice pravda, že Moniteur belge musí dotčený dokument zveřejnit v nezměněné podobě, tento úkol však plní pouze on sám a dotčený akt nebo dokument následně šíří. Zaprvé, zveřejnění takovýchto aktů a takovýchto dokumentů bez možnosti kontroly či změny jejich obsahu je neoddělitelně spjato s účely a prostředky zpracování stanovenými vnitrostátním právem, neboť role takového úředního věstníku, jako je Moniteur belge, se omezuje na informování veřejnosti o existenci těchto aktů a těchto dokumentů, tak jak mu byly zaslány ve formě kopie v souladu s použitelným vnitrostátním právem, aby se staly použitelné vůči třetím osobám. Zadruhé by bylo v rozporu s cílem čl. 4 bodu 7 GDPR uvedeným v bodě 28 tohoto rozsudku vyloučit z pojmu „správce“ úřední věstník členského státu z důvodu, že tento stát nevykonává kontrolu nad osobními údaji uvedenými v jeho publikacích (obdobně viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 34).
39 S ohledem na výše uvedené důvody je třeba na první otázku odpovědět, že čl. 4 bod 7 GDPR musí být vykládán v tom smyslu, že agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je podle právních předpisů tohoto státu zejména povinen zveřejňovat úřední akty a dokumenty v nezměněné podobě, které na vlastní odpovědnost v souladu s platnými pravidly vyhotovily třetí osoby a poté je předložily soudnímu orgánu, který je zaslal ke zveřejnění, může být bez ohledu na skutečnost, že nemá právní subjektivitu, považován za „správce“ osobních údajů obsažených v těchto aktech a v těchto dokumentech, pokud příslušné vnitrostátní právo určuje účely a prostředky zpracování osobních údajů prováděného tímto úředním věstníkem.
K druhé otázce
40 Podstatou druhé otázky předkládajícího soudu je, zda čl. 5 odst. 2 GDPR musí být vykládán v tom smyslu, že agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je považován za „správce“ ve smyslu čl. 4 bodu 7 GDPR, musí být považován za jediného odpovědného za dodržování zásad uvedených v čl. 5 odst. 1 GDPR, nebo zda toto dodržování přísluší kumulativně této agentuře nebo tomuto subjektu a třetím veřejnoprávním subjektům, které předtím zpracovávaly osobní údaje uvedené v aktech a v dokumentech zveřejněných tímto Úředním věstníkem.
41 Nejprve je třeba připomenout, že podle čl. 5 odst. 2 GDPR správce odpovídá za dodržování zásad stanovených formou povinností v odstavci 1 tohoto článku a musí být schopen prokázat, že jsou tyto zásady dodržovány.
42 V projednávaném případě ze spisu, který má Soudní dvůr k dispozici, vyplývá, že zpracování osobních údajů, o které se jedná ve věci v původním řízení, které bylo svěřeno Moniteur belge, následuje po zpracování, které provedl notář a soudní kancelář příslušného soudu, a technicky se liší od zpracování, které bylo provedeno těmito dvěma subjekty, neboť jej doplňuje. Činnosti, které provádí Moniteur belge, jsou mu totiž svěřeny vnitrostátní právní úpravou a zahrnují zejména digitální zpracování údajů uvedených v aktech nebo ve výňatcích z aktů, které mu byly předloženy, jejich zveřejnění, jejich zpřístupnění široké veřejnosti, jakož i jejich uchovávání.
43 Moniteur belge musí být proto považován za subjekt, který je podle čl. 5 odst. 2 GDPR odpovědný za dodržování zásad uvedených v odstavci 1 tohoto článku, pokud jde o zpracování, které je povinen provádět podle vnitrostátního práva, a tudíž za dodržování všech povinnosti, které správci ukládá GDPR.
44 Dále vzhledem k pochybnostem předkládajícího soudu o tom, zda je tento Úřední věstník jediným odpovědným za takovéto zpracování, je třeba připomenout, že jak vyplývá ze znění čl. 4 bodu 7 GDPR, toto ustanovení stanoví nejen, že účely a prostředky zpracování osobních údajů mohou být určeny společně několika osobami jakožto správci, ale i že vnitrostátní právo může samo určit tyto účely a prostředky a určit správce nebo zvláštní kritéria pro jeho určení.
45 V rámci řetězce zpracování prováděného různými osobami nebo subjekty a týkajícího se týchž osobních údajů může vnitrostátní právo určit účely a prostředky všech zpracování prováděných postupně těmito různými osobami nebo subjekty tak, aby byly společně považovány za správce.
46 Kromě toho je třeba připomenout, že čl. 26 odst. 1 GDPR stanoví společnou odpovědnost, pokud dva nebo více správců společně určují účely a prostředky zpracování osobních údajů. Toto ustanovení rovněž stanoví, že společní správci si mezi sebou musí transparentním ujednáním vymezit svůj podíl na odpovědnosti za plnění povinností podle tohoto nařízení, pokud tuto odpovědnost správců nestanoví právo Unie nebo členského státu, které se na správce vztahuje.
47 Z uvedeného ustanovení tedy vyplývá, že příslušné povinnosti společných správců při zpracování osobních údajů nutně nezávisí na existenci dohody mezi jednotlivými správci (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 44 a 45), ale mohou vyplývat z vnitrostátního práva.
48 Soudní dvůr kromě toho rozhodl, že k tomu, aby byla osoba společně odpovědná za zpracování osobních údajů, stačí, že tato osoba ovlivňuje pro svoje vlastní účely zpracování takovýchto údajů, a v důsledku toho se podílí na určování účelů a prostředků tohoto zpracování, a dále že předpokladem pro společnou odpovědnost několika subjektů za totéž zpracování není, že má každý z nich přístup k dotčeným osobním údajům (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 40 až 43 a citovaná judikatura).
49 Z bodů 44 až 48 tohoto rozsudku vyplývá, že podle ustanovení čl. 26 odst. 1 ve spojení s čl. 4 bodem 7 GDPR může být společná odpovědnost několika subjektů v řetězci zpracování, který se týká týchž osobních údajů, stanovena vnitrostátním právem, pokud jsou jednotlivé operace zpracování spojeny účely a prostředky určenými tímto právem a toto právo vymezuje příslušné povinnosti každého ze společných správců.
50 Je třeba upřesnit, že takovéto určení účelů a prostředků, které spojují různá zpracování, která jsou prováděna několika subjekty jednoho řetězce, jakož i jejich příslušných povinností, může být provedeno nejen přímo, ale i nepřímo vnitrostátním právem za podmínky, že v tomto posledně uvedeném případě může být toto určení dostatečně explicitně vyvozeno z ustanovení právních předpisů, které se vztahují na dotčené osoby nebo subjekty, jakož i na zpracování osobních údajů, které tyto osoby nebo subjekty provádějí v rámci řetězce zpracování stanoveného tímto právem.
51 A konečně, pro každý případ je třeba upřesnit, že pokud by předkládající soud dospěl k závěru, že agentura nebo subjekt pověřený vedením Moniteur belge není sám, ale společně s dalšími subjekty odpovědný za dodržování zásad uvedených v čl. 5 odst. 1 GDPR, pokud jde o údaje uvedené v pasáži dotčené ve věci původním řízení, takovýto závěr by nijak neovlivnil otázku, zda je třeba zejména s ohledem na výjimky uvedené v čl. 17 odst. 3 písm. b) a d) GDPR vyhovět žádosti o výmaz, kterou podala fyzická osoba uvedená v bodě 13 tohoto rozsudku.
52 S ohledem na výše uvedené důvody je třeba na druhou otázku odpovědět, že čl. 5 odst. 2 GDPR ve spojení s čl. 4 bodem 7 a s čl. 26 odst. 1 tohoto nařízení musí být vykládán v tom smyslu, že agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je považován za „správce“ ve smyslu čl. 4 bodu 7 tohoto nařízení, je jediným odpovědným za dodržování zásad uvedených v čl. 5 odst. 1 tohoto nařízení, pokud jde o operace zpracování osobních údajů, které je povinen provádět podle vnitrostátního práva, a pokud z tohoto práva nevyplývá v souvislosti s těmito operacemi společná odpovědnost s těmito subjekty.
K nákladům řízení
53 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:
1) Článek 4 bod 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je podle právních předpisů tohoto státu zejména povinen zveřejňovat úřední akty a dokumenty v nezměněné podobě, které na vlastní odpovědnost v souladu s platnými pravidly vyhotovily třetí osoby a poté je předložily soudnímu orgánu, který je zaslal ke zveřejnění, může být bez ohledu na skutečnost, že nemá právní subjektivitu, považován za „správce“ osobních údajů obsažených v těchto aktech a v těchto dokumentech, pokud příslušné vnitrostátní právo určuje účely a prostředky zpracování osobních údajů prováděného tímto úředním věstníkem.
2) Článek 5 odst. 2 nařízení 2016/679 ve spojení s čl. 4 bodem 7 a s čl. 26 odst. 1 tohoto nařízení
musí být vykládán v tom smyslu, že
agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je považován za „správce“ ve smyslu čl. 4 bodu 7 tohoto nařízení, je jediným odpovědným za dodržování zásad uvedených v čl. 5 odst. 1 tohoto nařízení, pokud jde o operace zpracování osobních údajů, které je povinen provádět podle vnitrostátního práva, a pokud z tohoto práva nevyplývá v souvislosti s těmito operacemi společná odpovědnost s těmito subjekty.
Podpisy