TIESAS SPRIEDUMS (trešā palāta)
2024. gada 11. janvārī (*)
Lūgums sniegt prejudiciālu nolēmumu – Tiesību aktu tuvināšana – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) – Regula (ES) 2016/679 – 4. panta 7. punkts – Jēdziens “pārzinis” – Dalībvalsts oficiālais laikraksts – Pienākums publicēt sabiedrību dokumentus, kādus tos sagatavojušas šīs sabiedrības vai to likumiskie pārstāvji – 5. panta 2. punkts – Šādos dokumentos ietverto personas datu secīga apstrāde, ko veic vairākas atsevišķas personas vai struktūras – Atbildības noteikšana
Lietā C‑231/22
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko cour d’appel de Bruxelles (Briseles apelācijas tiesa, Beļģija) iesniegusi ar 2022. gada 23. februāra lēmumu un kas Tiesā reģistrēts 2022. gada 1. aprīlī, tiesvedībā
État belge
pret
Autorité de protection des données,
piedaloties
LM,
TIESA (trešā palāta)
šādā sastāvā: palātas priekšsēdētāja K. Jirimēe [K. Jürimäe], tiesneši N. Pisarra [N. Piçarra], M. Safjans [M. Safjan] (referents), N. Jēskinens [N. Jääskinen] un M Gavalecs [M. Gavalec],
ģenerāladvokāte: L. Medina,
sekretāre: S. Stremholma [C. Strömholm], administratore,
ņemot vērā rakstveida procesu un 2023. gada 23. marta tiesas sēdi,
ņemot vērā apsvērumus, ko snieguši:
– Autorité de protection des données vārdā – F. Biebuyck, P. Van Muylder, advokātes, un E. Kairis, advocaat,
– Beļģijas valdības vārdā – P. Cottin, J.‑C. Halleux un C. Pochet, pārstāvji, kam palīdz S. Kaisergruber un P. Schaffner, advokāti,
– Ungārijas valdības vārdā – Zs. Biró‑Tóth un Z. Fehér, pārstāvji,
– Eiropas Komisijas vārdā – A. Bouchagiar, H. Kranenborg un A.‑C. Simon, pārstāvji,
noklausījusies ģenerāladvokātes secinājumus 2023. gada 8. jūnija tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1 Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 4. panta 7. punktu un 5. panta 2. punktu.
2 Šis lūgums ir iesniegts tiesvedībā starp État belge [Beļģijas valsti] un Autorité de protection des données (Beļģija) (Datu aizsardzības iestāde, turpmāk tekstā – “DAI”), kas ir uzraudzības iestāde, kura izveidota Beļģijā saskaņā ar VDAR 51. pantu, par lēmumu, ar kuru šī iestāde uzdeva iestādei, kas pārvalda Moniteur belge, oficiālo laikrakstu, kurš šajā dalībvalstī nodrošina plaša mēroga oficiālo un publisko publikāciju papīra un elektroniskā formātā sagatavošanu un izplatīšanu, rīkoties pēc tam, kad fiziska persona izmantojusi savas tiesības uz vairāku personas datu, kas ietverti šajā oficiālajā laikrakstā publicētā dokumentā, dzēšanu.
Atbilstošās tiesību normas
Savienības tiesības
3 VDAR 4. panta 2. un 7. punktā ir noteikts:
“Šajā regulā:
[..]
2) “apstrāde” ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana;
[..]
7) “pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; ja šādas apstrādes nolūkus un līdzekļus nosaka ar Savienības vai dalībvalsts tiesību aktiem, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt Savienības vai dalībvalsts tiesību aktos;
[..].”
4 VDAR 5. pantā ir noteikts:
“1. Personas dati:
a) tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
b) tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā; turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89. panta 1. punktu nav uzskatāma par nesavietojamu ar sākotnējiem nolūkiem (“nolūka ierobežojumi”);
c) ir adekvāti, atbilstīgi un ietver tikai to, kas nepieciešams to apstrādes nolūkos (“datu minimizēšana”);
d) ir precīzi un, ja vajadzīgs, atjaunināti; ir jāveic visi saprātīgi pasākumi, lai nodrošinātu, ka neprecīzi personas dati, ņemot vērā nolūkus, kādos tie tiek apstrādāti, bez kavēšanās tiktu dzēsti vai laboti (“precizitāte”);
e) tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā; personas datus var glabāt ilgāk, ciktāl personas datus apstrādās tikai arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89. panta 1. punktu, ar noteikumu, ka tiek īstenoti atbilstoši tehniski un organizatoriski pasākumi, kas šajā regulā paredzēti, lai aizsargātu datu subjekta tiesības un brīvības (“glabāšanas ierobežojums”);
f) tiek apstrādāti tādā veidā, lai tiktu nodrošināta atbilstoša personas datu drošība, tostarp aizsardzība pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu, izmantojot atbilstošus tehniskos vai organizatoriskos pasākumus (“integritāte un konfidencialitāte”).
2. Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
5 VDAR 17. pants ir šāds:
“1. Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:
a) personas dati vairs nav nepieciešami saistībā ar nolūkiem, kādos tie tika vākti vai citādi apstrādāti;
b) datu subjekts atsauc savu piekrišanu, uz kuras pamata veikta apstrāde saskaņā ar 6. panta 1. punkta a) apakšpunktu vai 9. panta 2. punkta a) apakšpunktu, un ja nav cita likumīga pamata apstrādei;
c) datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 1. punktu, un apstrādei nav nekāda svarīgāka leģitīma pamata, vai arī datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 2. punktu;
[..]
3. Šā panta 1. un 2. punktu nepiemēro, ciktāl apstrāde ir nepieciešama:
[..]
b) lai izpildītu juridisku pienākumu, kas prasa veikt apstrādi, kā paredzēts Savienības vai dalībvalsts tiesību aktos, kuri piemērojami pārzinim, vai lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai saistībā ar pārzinim likumīgi piešķirto oficiālo pilnvaru īstenošanu;
[..]
d) arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89. panta 1. punktu, ciktāl 1. punktā minētās tiesības varētu neļaut vai būtiski traucēt sasniegt minētās apstrādes mērķus;
[..].”
6 Atbilstoši VDAR 26. pantam:
“1. Ja divi vai vairāki pārziņi kopīgi nosaka apstrādes mērķus un veidus, tie ir kopīgi pārziņi. Kopīgi pārziņi pārredzamā veidā nosaka savus attiecīgos pienākumus, lai izpildītu šajā regulā uzliktās saistības, jo īpaši attiecībā uz datu subjekta tiesību īstenošanu un pārziņu attiecīgajiem pienākumiem sniegt 13. un 14. pantā minēto informāciju; pārziņi pienākumus nosaka, savstarpēji vienojoties, – izņemot, ja un ciktāl attiecīgie pārziņu pienākumi ir noteikti saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami pārziņiem. Ar vienošanos var noteikt datu subjektu kontaktpunktu.
2. Šā panta 1. punktā minētā vienošanās pienācīgi atspoguļo kopīgo pārziņu attiecīgās lomas un attiecības ar datu subjektiem. Vienošanās galveno saturu dara pieejamu datu subjektam.
3. Neatkarīgi no 1. punktā minētās vienošanās nosacījumiem datu subjekts saskaņā ar šo regulu var īstenot savas tiesības attiecībā uz un pret katru pārzini.”
7 VDAR 51. pantā citastarp ir noteikts, ka dalībvalstīm ir jāparedz viena vai vairākas neatkarīgas publiskas iestādes, kas ir atbildīgas par šīs regulas piemērošanas uzraudzību.
Beļģijas tiesības
8 2002. gada 24. decembra loi‑programme (Programmlikums, 2002. gada 31. decembra Moniteur belge, 58686. lpp.) 472. pantā ir noteikts:
“Moniteur belge ir oficiāls laikraksts, kuru izdod Moniteur belge vadība un kurā apkopoti visi teksti, [ko] uzdots publicēt Moniteur belge.”
9 Šī programmlikuma 474. pantā ir norādīts:
“Moniteur belge vadība publicē Moniteur belge četrus eksemplārus papīra formātā.
[..]
Viens eksemplārs tiek glabāts elektroniski. Karalis nosaka elektronisko dokumentu glabāšanas kārtību [..].”
10 Minētā programmlikuma 475. pants ir formulēts šādi:
“Jebkura cita publiska pieejamība tiek nodrošināta, izmantojot Moniteur belge vadības tīmekļvietni.
Publikācijas, kuras pieejamas tīmekļvietnē, ir precīzas 474. pantā paredzēto drukāto eksemplāru reprodukcijas elektroniskā formā.”
11 Saskaņā ar šī paša programmlikuma 475.bis pantu:
“Ikviens iedzīvotājs, izmantojot bezmaksas tālruņa līniju, var vērsties Moniteur belge, lai par pašizmaksu iegādātos Moniteur belge publicēto tiesību aktu un dokumentu eksemplārus. Šā dienesta pienākums ir arī sniegt iedzīvotājiem palīdzību saistībā ar dokumentu meklēšanu.”
12 2002. gada 24. decembra Programmlikuma 475.ter pants noteic:
“Ar Ministru padomē apstiprinātu Karaļa dekrētu nosaka citus papildu pasākumus, kas nepieciešami, lai nodrošinātu pēc iespējas plašāku Moniteur belge iekļautās informācijas izplatīšanu un pieejamību.”
Pamatlieta un prejudiciālie jautājumi
13 Beļģijā kādai fiziskai personai piederēja lielākā daļa kapitāldaļu privātā sabiedrībā ar ierobežotu atbildību. Tā kā šīs sabiedrības dalībnieki nolēma samazināt tās kapitālu, minētās sabiedrības statūti tika grozīti ar tās ārkārtas pilnsapulces 2019. gada 23. janvāra lēmumu.
14 Saskaņā ar code des sociétés (Sabiedrību kodekss), redakcijā, kas izriet no 1999. gada 7. maija likuma (1999. gada 6. augusta Moniteur belge, 29440. lpp.), šīs fiziskās personas notārs sagatavoja minētā lēmuma izrakstu un tad to nosūtīja kompetentās tiesas kancelejai, proti, tai uzņēmumu tiesai, kuras teritoriālajā piekritībā atrodas šīs sabiedrības juridiskā adrese. Saskaņā ar atbilstošajām tiesību normām tiesa nosūtīja šo izrakstu publicēšanai Moniteur belge vadībai.
15 2019. gada 12. februārī minētais izraksts, kāds tas bija, proti, nepārbaudot tā saturu, tika publicēts Moniteur belge pielikumos atbilstoši piemērojamām tiesību normām.
16 Šajā izrakstā ir ietverts lēmums samazināt minētās sabiedrības kapitālu, šī kapitāla sākotnējā summa, attiecīgā samazinājuma summa, kā arī jaunais pamatkapitāla apmērs un šīs pašas sabiedrības statūtu jaunais teksts. Tajā ir arī fragments, kurā ir norādīti abu sabiedrības dalībnieku vārdi, tostarp šī sprieduma 13. punktā minētās fiziskās personas vārds un uzvārds, viņiem atmaksātās summas, kā arī viņu bankas kontu numuri (turpmāk tekstā – “pamatlietā aplūkotais fragments”).
17 Konstatējusi, ka šīs fiziskās personas notārs ir pieļāvis kļūdu, šī sprieduma 14. punktā minētajā izrakstā iekļaujot pamatlietā aplūkoto fragmentu, lai gan tas nav prasīts likumā, šī fiziskā persona ar minētā notāra un viņa datu aizsardzības pārstāvja starpniecību saskaņā ar savām VDAR 17. pantā paredzētajām tiesībām uz dzēšanu veica pasākumus, lai panāktu šī fragmenta dzēšanu.
18 Service public fédéral Justice (Federālais valsts tieslietu dienests, turpmāk tekstā – “SPF Justice”), kuram ir piesaistīta Moniteur belge vadība, citastarp ar 2019. gada 10. aprīļa lēmumu atteicās apmierināt šādu dzēšanas pieprasījumu.
19 2020. gada 21. janvārī minētā fiziskā persona DAI iesniedza sūdzību par SPF Justice, lūdzot konstatēt, ka šis dzēšanas pieprasījums ir pamatots un ka ir izpildīti VDAR 17. panta 1. punktā paredzētie nosacījumi, lai īstenotu tiesības uz dzēšanu.
20 Ar 2021. gada 23. marta lēmumu DAI nosūtīja “rājienu” SPF Justice, vienlaikus pieprasot SPF Justice apmierināt minēto dzēšanas pieprasījumu, cik drīz vien iespējams, ne vēlāk kā 30 dienu laikā no šā lēmuma paziņošanas dienas.
21 2021. gada 22. aprīlī État belge vērsās cour d’appel de Bruxelles (Briseles apelācijas tiesa, Beļģija), kas ir iesniedzējtiesa, lai panāktu minētā lēmuma atcelšanu.
22 Šī tiesa norāda, ka lietas dalībnieki nav vienisprātis par to, kā pamatlietā ir jāinterpretē VDAR 4. panta 7. punktā ietvertais jēdziens “pārzinis”, jo pamatlietā aplūkotajā fragmentā ietvertos personas datus, kuru publicēšana nebija prasīta tiesību aktos, ir apstrādājuši vairāki potenciāli “secīgi” pārziņi. Tie ir, pirmkārt, notārs, kurš ir sagatavojis izrakstu, kas ietver pamatlietā aplūkoto fragmentu, tajā kļūdas pēc iekļaujot šos datus, otrkārt, tās tiesas kanceleja, kurā šis izraksts vēlāk tika iesniegts pirms tā nosūtīšanas publicēšanai Moniteur belge, un, treškārt, Moniteur belge, kurš atbilstoši likuma normām, kas reglamentē tā statusu un uzdevumus, to ir publicējis, kāds tas bija, proti, bez iespējas to pārbaudīt vai grozīt pēc saņemšanas no šīs tiesas.
23 Šajā ziņā iesniedzējtiesa jautā, vai Moniteur belge var kvalificēt kā “pārzini” VDAR 4. panta 7. punkta izpratnē. Apstiprinošas atbildes gadījumā un norādot, ka pamatlietas puses neatsaucas uz VDAR 26. pantā paredzēto kopīgo atbildību, šī tiesa arī vēlas noskaidrot, vai Moniteur belge saskaņā ar šīs regulas 5. panta 2. punktu ir jāuzskata par vienīgo atbildīgo par minētās regulas 5. panta 1. punktā noteikto principu ievērošanu vai šī atbildība kumulatīvi gulstas arī uz publiskajām iestādēm, kuras iepriekš ir apstrādājušas pamatlietā aplūkotajā fragmentā ietvertos datus, proti, notāru, kurš ir sagatavojis izrakstu ar šo fragmentu, un to uzņēmumu tiesu, kuras teritoriālajā piekritībā atrodas attiecīgās privātās sabiedrības ar ierobežotu atbildību juridiskā adrese.
24 Šādos apstākļos cour d’appel de Bruxelles (Briseles apelācijas tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1) Vai [VDAR] 4. panta 7. punkts ir jāinterpretē tādējādi, ka tādam dalībvalsts oficiālajam laikrakstam – kuram ir uzticēts publisko pakalpojumu uzdevums publicēt un arhivēt oficiālus dokumentus un kuram saskaņā ar piemērojamo valsts tiesisko regulējumu ir pienākums citu publisko iestāžu uzdevumā publicēt oficiālus aktus un dokumentus tādus, kādus šīs iestādes ir iesniegušas pēc tam, kad tās pašas ir apstrādājušas personas datus, ja valsts likumdevējs šim laikrakstam nav piešķīris rīcības brīvību attiecībā uz publicējamo dokumentu saturu, publicēšanas nolūku un līdzekļiem, – ir pārziņa statuss?
2) Ja atbilde uz pirmo jautājumu ir apstiprinoša, vai [VDAR] 5. panta 2. punkts ir jāinterpretē tādējādi, ka par šajā tiesību normā pārzinim paredzēto pienākumu izpildi ir atbildīgs tikai attiecīgais oficiālais laikraksts, izslēdzot citas publiskas iestādes, kuras iepriekš ir apstrādājušas datus, kas ietverti oficiālajos aktos un dokumentos, kurus tās ir uzdevušas publicēt, vai arī šie pienākumi ir kumulatīvi attiecināmi uz katru nākamo pārzini?”
Par prejudiciālajiem jautājumiem
Par pirmo jautājumu
25 Ar pirmo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 4. panta 7. punkts ir jāinterpretē tādējādi, ka dienests vai struktūra, kas ir atbildīga par dalībvalsts oficiālo laikrakstu un kam citastarp saskaņā ar šīs valsts tiesību aktiem ir pienākums publicēt tādus oficiālus aktus un dokumentus, kurus trešās personas ir sagatavojušas, pašas uzņemoties atbildību un ievērojot piemērojamos noteikumus, un kuri pēc tam ir iesniegti tiesu iestādē, kas tai tos nosūta publicēšanai, var tikt kvalificēts kā šajos aktos un dokumentos ietverto personas datu “pārzinis” šīs tiesību normas izpratnē.
26 Vispirms ir jāprecizē, ka VDAR 4. panta 7. punktā minētais jēdziens “pārzinis” nozīmē, ka pastāv personas datu “apstrāde” šīs regulas 4. panta 2. punkta izpratnē. Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka pamatlietā aplūkotajā fragmentā ietvertos personas datus apstrādāja Moniteur belge. Kaut arī iesniedzējtiesa nav detalizēti izklāstījusi šo apstrādi, no DAI un Beļģijas valdības saskanīgiem rakstveida apsvērumiem izriet, ka šos datus Moniteur belge katrā ziņā vāca, reģistrēja, glabāja, izpauda nosūtot un izplatot, jo šādas darbības ir “apstrāde” minētās regulas 4. panta 2. punkta izpratnē.
27 Ņemot vērā šo ievada precizējumu, ir jāatgādina, ka saskaņā ar VDAR 4. panta 7. punktu jēdziens “pārzinis” attiecas uz fiziskām vai juridiskām personām, publiskām iestādēm, aģentūrām vai citām struktūrām, kas atsevišķi vai kopīgi ar citiem nosaka apstrādes nolūkus un līdzekļus. Šajā tiesību normā ir arī noteikts, ka, ja apstrādes nolūki un līdzekļi cita starpā ir noteikti dalībvalsts tiesību aktos, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt šajos tiesību aktos.
28 Šajā ziņā ir jāatgādina, ka saskaņā ar Tiesas judikatūru šīs tiesību normas mērķis ir, plaši definējot jēdzienu “pārzinis”, nodrošināt datu subjektu efektīvu un pilnīgu aizsardzību (šajā nozīmē skat. spriedumus, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 29. punkts, un 2023. gada 5. decembris, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 40. punkts, kā arī tajā minētā judikatūra).
29 Ņemot vērā VDAR 4. panta 7. punkta formulējumu, lasot to kopsakarā ar šo mērķi, šķiet, ka, lai noteiktu, vai persona vai struktūra ir jākvalificē kā “pārzinis” šīs tiesību normas izpratnē, ir jāizpēta, vai šī persona vai struktūra viena pati vai kopā ar citiem nosaka apstrādes nolūkus un līdzekļus vai tie ir noteikti valsts tiesību aktos. Ja tie ir noteikti valsts tiesību aktos, tad ir jāpārbauda, vai šajos tiesību aktos ir noteikts pārzinis vai paredzēti īpaši kritēriji, kas piemērojami viņa iecelšanai.
30 Šajā ziņā ir jāprecizē, ka, ņemot vērā jēdziena “pārzinis” plašo definīciju VDAR 4. panta 7. punkta izpratnē, apstrādes nolūki un līdzekļi un attiecīgā gadījumā šis pārzinis valsts tiesībās var būt noteikts ne tikai tieši, bet arī netieši. Pēdējā minētajā gadījumā tomēr tiek prasīts, lai tas pietiekami skaidri izrietētu no attiecīgajai personai vai iestādei piešķirtās lomas, uzdevuma un pilnvarām. Proti, šīs personas būtu mazāk aizsargātas, ja VDAR 4. panta 7. punkts tiktu interpretēts šauri, attiecinot to tikai uz gadījumiem, kad personas, valsts iestādes, aģentūras vai struktūras veiktās apstrādes mērķi un līdzekļi ir skaidri noteikti valsts tiesībās, lai gan šie mērķi un līdzekļi būtībā izriet no tiesību normām, kas reglamentē attiecīgās struktūras darbību.
31 Šajā gadījumā, pirmkārt, iesniedzējtiesa precizē, ka pamatlietā Moniteur belge, šķiet, valsts tiesībās nav piešķirtas pilnvaras noteikt tā veiktās datu apstrādes mērķus un līdzekļus, jo pirmais prejudiciālais jautājums ir uzdots, pamatojoties uz šo pieņēmumu. Turklāt no DAI un Beļģijas valdības saskanīgiem paskaidrojumiem tiesas sēdē izriet, ka arī valsts iestādei, kas pārvalda Moniteur belge, proti, SPF Justice, valsts tiesībās nav piešķirtas šādas pilnvaras.
32 Otrkārt, no Tiesas rīcībā esošajiem lietas materiāliem izriet, ka personas dati, kas ietverti aktos un dokumentos, kuri tiek nodoti publicēšanai Moniteur belge, galvenokārt tiek vākti, reģistrēti, glabāti un publicēti, lai oficiāli informētu sabiedrību par šo aktu un dokumentu esamību un uz tiem varētu atsaukties attiecībā pret trešajām personām.
33 Turklāt no iesniedzējtiesas paskaidrojumiem izriet, ka apstrāde būtībā tiek veikta ar automatizētiem līdzekļiem: tostarp attiecīgie dati tiek reproducēti drukātajās papīra versijās, no kurām viena tiek saglabāta elektroniski, drukātās papīra versijas tiek reproducētas elektroniskā formātā ievietošanai Moniteur belge tīmekļa vietnē un, izmantojot telefondienestu, kura uzdevums ir sniegt iedzīvotājiem atbalstu dokumentu meklēšanā, ir iespējams iegūt šīs versijas kopiju.
34 Tādējādi no Tiesas rīcībā esošajiem lietas materiāliem izriet, ka Beļģijas tiesībās vismaz netieši ir noteikti Moniteur belge veiktās personas datu apstrādes mērķi un līdzekļi.
35 Šādos apstākļos ir jānorāda, ka Moniteur belge var uzskatīt par “pārzini” VDAR 4. panta 7. punkta izpratnē kā aģentūru vai struktūru, kas ir atbildīga par tās publikācijās ietverto personas datu apstrādi atbilstoši Beļģijas tiesību aktos paredzētajiem apstrādes nolūkiem un līdzekļiem.
36 Šo secinājumu neatspēko apstāklis, ka Moniteur belge kā SPF Justice apakšstruktūrai nav juridiskas personas statusa. Proti, no šīs tiesību normas skaidrā formulējuma izriet, ka pārzinis var būt ne tikai fiziska vai juridiska persona, bet arī valsts iestāde, nodaļa vai struktūra, jo šādām struktūrām ne vienmēr ir juridiskas personas statuss saskaņā ar valsts tiesībām.
37 Tāpat tas, ka saskaņā ar valsts tiesībām Moniteur belge pirms publicēšanas šajā oficiālajā laikrakstā nepārbauda saņemtajos dokumentos ietvertos personas datus, neietekmē to, vai Moniteur belge var kvalificēt kā personas datu apstrādātāju.
38 Lai gan Moniteur belge tik tiešām ir jāpublicē attiecīgais dokuments, kāds tas ir iesniegts, tomēr tikai šis laikraksts veic šo uzdevumu un pēc tam izplata attiecīgo aktu vai dokumentu. Pirmkārt, šādu aktu un dokumentu publicēšana bez iespējas pārbaudīt vai grozīt to saturu ir cieši saistīta ar valsts tiesībās noteiktajiem apstrādes mērķiem un līdzekļiem, jo tāda oficiālā laikraksta kā Moniteur belge loma aprobežojas ar sabiedrības informēšanu par šiem aktiem un dokumentiem, kādi tie tikuši iesniegti šim oficiālajam laikrakstam, kopijas formā saskaņā ar piemērojamām valsts tiesību normām, lai uz tiem varētu atsaukties pret trešām personām. Otrkārt, šī sprieduma 28. punktā minētajam VDAR 4. panta 7. punkta mērķim būtu pretrunā no jēdziena “pārzinis” izslēgt dalībvalsts oficiālo laikrakstu, pamatojoties uz to, ka šis laikraksts neīsteno kontroli pār tā publikācijās ietvertajiem personas datiem (pēc analoģijas skat. spriedumu, 2014. gada 13. maijs, Google Spain un Google, C‑131/12, EU:C:2014:317, 34. punkts).
39 Ņemot vērā iepriekš minētos iemeslus, uz pirmo jautājumu ir jāatbild, ka VDAR 4. panta 7. punkts ir jāinterpretē tādējādi, ka aģentūru vai struktūru – kas ir atbildīga par dalībvalsts oficiālo laikrakstu un kurai citastarp saskaņā ar šīs valsts tiesību aktiem ir pienākums publicēt tādus oficiālus aktus un dokumentus, kurus trešās personas ir sagatavojušas, pašas uzņemoties atbildību un ievērojot piemērojamos noteikumus, un kuri pēc tam ir iesniegti tiesu iestādei, kas tos nosūta publicēšanai, – neatkarīgi no tā, ka minētajai struktūrai nav juridiskas personas statusa, var kvalificēt kā minētajos aktos un dokumentos ietverto personas datu “pārzini”, ja šajā oficiālajā laikrakstā veiktās personas datu apstrādes nolūki un līdzekļi ir noteikti attiecīgajos valsts tiesību aktos.
Par otro jautājumu
40 Ar otro jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 5. panta 2. punkts ir jāinterpretē tādējādi, ka aģentūra vai struktūra, kas ir atbildīga par dalībvalsts oficiālo laikrakstu un kas ir kvalificēta kā “pārzinis” VDAR 4. panta 7. punkta izpratnē, ir jāuzskata par vienīgo atbildīgo par VDAR 5. panta 1. punktā minēto principu ievērošanu, vai arī par šo ievērošanu kumulatīvi ir atbildīgas šī aģentūra vai struktūra un trešās publiskās struktūras, kuras iepriekš ir apstrādājušas personas datus, kas ietverti šī oficiālā laikraksta publicētajos aktos un dokumentos.
41 Vispirms ir jāatgādina, ka saskaņā ar VDAR 5. panta 2. punktu pārzinis ir atbildīgs par šā panta 1. punktā pienākumu formā paredzēto principu ievērošanu un tam ir jāspēj pierādīt, ka šie principi ir ievēroti.
42 Šajā gadījumā no Tiesas rīcībā esošajiem lietas materiāliem izriet, ka pamatlietā aplūkotā personas datu apstrāde, kas bija uzticēta Moniteur belge, ir notikusi gan pēc notāra un kompetentās tiesas kancelejas veiktās apstrādes, gan tehniski atšķīrās no šo abu subjektu veiktās apstrādes, jo tā ir papildinoša. Darbības, ko veic Moniteur belge, ir tam uzticētas ar valsts tiesību aktiem un jo īpaši ietver tam iesniegtajos dokumentos vai dokumentu izrakstos iekļauto datu digitalizāciju, to publicēšanu, padarīšanu par pieejamiem sabiedrībai, kā arī to glabāšanu.
43 Līdz ar to ir jāuzskata, ka Moniteur belge saskaņā ar VDAR 5. panta 2. punktu ir atbildīgs par šī panta 1. punktā minēto principu ievērošanu attiecībā uz apstrādi, kas tam ir jāveic saskaņā ar valsts tiesībām, un līdz ar to – par visu pārzinim VDAR noteikto pienākumu izpildi.
44 Turpinājumā, ņemot vērā iesniedzējtiesas jautājumus par to, vai šāds oficiālais laikraksts ir šo apstrādes darbību vienīgais pārzinis, ir jāatgādina, kā tas izriet no VDAR 4. panta 7. punkta formulējuma, ka šajā tiesību normā ir paredzēts ne tikai tas, ka personas datu apstrādes nolūkus un līdzekļus var kopīgi noteikt vairākas personas kā pārziņi, bet arī tas, ka šos nolūkus un līdzekļus, un pārzini vai īpašus kritērijus, kas piemērojami viņa iecelšanai, var noteikt valsts tiesību aktos.
45 Tādējādi apstrādes ķēdē, kurā iesaistītas dažādas personas vai struktūras un kura attiecas uz vieniem un tiem pašiem personas datiem, valsts tiesībās var noteikt visas apstrādes, ko secīgi veic šīs dažādās personas vai struktūras, nolūkus un līdzekļus tādējādi, lai tās varētu uzskatīt par kopīgi atbildīgām par apstrādi.
46 Turklāt ir jāatgādina, ka VDAR 26. panta 1. punktā ir paredzēta kopīga atbildība, ja divi vai vairāki pārziņi kopīgi nosaka personas datu apstrādes nolūkus un līdzekļus. Šajā tiesību normā ir arī noteikts, ka kopīgajiem pārziņiem, savstarpēji vienojoties, ir pārredzamā veidā jādefinē savi attiecīgie pienākumi, lai nodrošinātu atbilstību šīs regulas prasībām, izņemot gadījumus, kad un ciktāl viņu attiecīgie pienākumi ir noteikti Savienības vai dalībvalsts tiesību aktos, kas tiem piemērojami.
47 Tādējādi no minētās tiesību normas ir secināms, ka kopīgo pārziņu attiecīgie pienākumi nav obligāti atkarīgi no tā, vai šie dažādie pārziņi par to ir vienojušies (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 44. un 45. punkts), bet tie var izrietēt no valsts tiesību aktiem.
48 Turklāt Tiesa ir nospriedusi, pirmkārt, ka, lai personu varētu uzskatīt par kopīgu pārzini, pietiek ar to, ka tā sev raksturīgajos nolūkos ietekmē personas datu apstrādi un līdz ar to piedalās šīs apstrādes nolūku un līdzekļu noteikšanā, un, otrkārt, ka vairāku subjektu kopīgā atbildība par vienu un to pašu apstrādi nenozīmē, ka katram no tiem ir piekļuve attiecīgajiem personas datiem (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 40.–43. punkts un tajos minētā judikatūra).
49 No šī sprieduma 44.–48. punkta izriet, ka saskaņā ar VDAR 26. panta 1. punktu, lasot to kopsakarā ar 4. panta 7. punktu, vairāku subjektu kopīga atbildība par vienu un to pašu personas datu apstrādi var tikt noteikta valsts tiesībās, ja vien dažādās apstrādes darbības vieno šajās tiesībās noteikti mērķi un līdzekļi un valsts tiesībās ir paredzēti katra kopīgā pārziņa attiecīgie pienākumi.
50 Ir jāprecizē, ka šādus nolūkus un līdzekļus, kas vieno dažādas apstrādes, kuras veic vairāki ķēdes dalībnieki, kā arī to attiecīgos pienākumus var noteikt ne tikai tieši, bet arī netieši, ja vien pēdējā minētajā gadījumā to pietiekami skaidri var izsecināt no tiesību normām, kas piemērojamas attiecīgajām personām vai struktūrām, kā arī personas datu apstrādei, ko tās veic šajās tiesību normās noteiktās apstrādes ķēdes ietvaros.
51 Visbeidzot, lietderības labad ir jāprecizē, ka gadījumā, ja iesniedzējtiesa secinātu, ka par VDAR 5. panta 1. punktā paredzēto principu ievērošanu attiecībā uz pamatlietā aplūkotajā fragmentā ietvertajiem datiem atbildīga nav aģentūra vai struktūra, kas pārvalda Moniteur belge, viena pati, bet gan kopā ar citiem, šāds secinājums nekādi neietekmētu jautājumu par to, vai, ņemot vērā it īpaši VDAR 17. panta 3. punkta b) un d) apakšpunktā minētos izņēmumus, ir jāapmierina šā sprieduma 13. punktā minētās fiziskās personas iesniegtais dzēšanas pieprasījums.
52 Ņemot vērā iepriekš minētos iemeslus, uz otro jautājumu ir jāatbild, ka VDAR 5. panta 2. punkts, skatot to kopsakarā ar tās 4. panta 7. punktu un 26. panta 1. punktu, ir jāinterpretē tādējādi, ka aģentūra vai struktūra, kas atbild par dalībvalsts oficiālo laikrakstu un kas ir kvalificēta kā “pārzinis” šīs regulas 4. panta 7. punkta izpratnē, ir vienīgā atbildīgā par tās 5. panta 1. punktā minēto principu ievērošanu attiecībā uz personas datu apstrādes darbībām, kas tai ir jāveic saskaņā ar valsts tiesībām, ja vien no šīm tiesībām neizriet ar citām struktūrām kopīga atbildība par šīm darbībām.
Par tiesāšanās izdevumiem
53 Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (trešā palāta) nospriež:
1) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 4. panta 7. punkts
ir jāinterpretē tādējādi, ka
aģentūru vai struktūru – kas ir atbildīga par dalībvalsts oficiālo laikrakstu un kurai citastarp saskaņā ar šīs valsts tiesību aktiem ir pienākums publicēt tādus oficiālus aktus un dokumentus, kurus trešās personas ir sagatavojušas, pašas uzņemoties atbildību un ievērojot piemērojamos noteikumus, un kuri pēc tam ir iesniegti tiesu iestādei, kas tos nosūta publicēšanai, – neatkarīgi no tā, ka minētajai struktūrai nav juridiskas personas statusa, var kvalificēt kā minētajos aktos un dokumentos ietverto personas datu “pārzini”, ja šajā oficiālajā laikrakstā veiktās personas datu apstrādes nolūki un līdzekļi ir noteikti attiecīgajos valsts tiesību aktos.
2) Regulas 2016/679 5. panta 2. punkts, skatot to kopsakarā ar tās 4. panta 7. punktu un 26. panta 1. punktu,
ir jāinterpretē tādējādi, ka
aģentūra vai struktūra, kas atbild par dalībvalsts oficiālo laikrakstu un kas ir kvalificēta kā “pārzinis” šīs regulas 4. panta 7. punkta izpratnē, ir vienīgā atbildīgā par tās 5. panta 1. punktā minēto principu ievērošanu attiecībā uz personas datu apstrādes darbībām, kas tai ir jāveic saskaņā ar valsts tiesībām, ja vien no šīm tiesībām neizriet ar citām struktūrām kopīga atbildība par šīm darbībām.
[Paraksti]