SODBA SODIŠČA (tretji senat)
z dne 11. januarja 2024(*)
„Predhodno odločanje – Približevanje zakonodaj – Varstvo posameznikov pri obdelavi osebnih podatkov in prosti pretok takih podatkov (Splošna uredba o varstvu podatkov) – Uredba (EU) 2016/679 – Člen 4, točka 7 – Pojem ,upravljavec‘ – Uradni list države članice – Obveznost objave aktov družb, ki jih pripravijo te družbe ali njihovi zakoniti zastopniki, takih, kot so bili prejeti – Člen 5(2) – Zaporedna obdelava osebnih podatkov, ki so v takih aktih, s strani več oseb ali subjektov – Določitev odgovornosti“
V zadevi C‑231/22,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo cour d’appel de Bruselj (Belgija) z odločbo z dne 23. februarja 2022, ki je na Sodišče prispela 1. aprila 2022, v postopku
État belge
proti
Autorité de protection des données,
ob udeležbi
LM,
SODIŠČE (tretji senat),
v sestavi K. Jürimäe, predsednica senata, N. Piçarra, M. Safjan (poročevalec), N. Jääskinen in M. Gavalec, sodniki,
generalna pravobranilka: L. Medina,
sodna tajnica: C. Strömholm, administratorka,
na podlagi pisnega postopka in obravnave z dne 23. marca 2023,
ob upoštevanju stališč, ki so jih predložili:
– za Autorité de protection des données F. Biebuyck, P.Van Muylder, avocates, in E. Kairis, advocaat,
– za belgijsko vlado P. Cottin, J.-C. Halleux in C. Pochet, agenti, skupaj s S. Kaisergruberjem in P. Schaffnerjem, avocats,
– za madžarsko vlado Zs. Biró-Tóth in M. Z. Fehér, agenta,
– za Evropsko komisijo A. Bouchagiar, H. Kranenborg in A.-C. Simon, agenti,
po predstavitvi sklepnih predlogov generalne pravobranilke na obravnavi 8. junija 2023
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 4, točka 7, in člena 5(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).
2 Ta predlog je bil vložen v okviru spora med État belge (Belgijska država) in Autorité de protection des données (organ za varstvo podatkov, Belgija) (v nadaljevanju: APD), nadzornim organom, ustanovljenim v Belgiji v skladu s členom 51 SUVP, glede odločbe, s katero je navedeni organ organu, ki upravlja Moniteur belge, uradni list, s katerim se v tej državi članici zagotavlja ustvarjanje in razširjanje širokega nabora uradnih in javnih objav v papirnati in elektronski obliki, naložil, naj fizični osebi omogoči, da izvršuje svojo pravico do izbrisa v zvezi z več osebnimi podatki v aktu, ki je bil objavljen v tem uradnem listu.
Pravni okvir
Pravo Unije
3 Člen 4, točki 2 in 7, SUVP določa:
„V tej uredbi:
[…]
(2) ,obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;
[…]
(7) ,upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice;
[…].“
4 Člen 5 SUVP določa:
„1. Osebni podatki so:
(a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, pravičnost in preglednost‘);
(b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni (,omejitev namena‘);
(c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (,najmanjši obseg podatkov‘);
(d) točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (,točnost‘);
(e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (,omejitev shranjevanja‘);
(f) obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi (,celovitost in zaupnost‘).
2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“
5 Člen 17 SUVP določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:
(a) osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
(b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
(c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
[…]
3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:
[…]
(b) za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
[…]
(d) za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave […]
[…].“
6 Člen 26 SUVP določa:
„1. Dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, so skupni upravljavci. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki.
2. Dogovor iz odstavka 1 ustrezno odraža vlogo vsakega od skupnih upravljavcev in njegovo razmerje do posameznikov, na katere se nanašajo osebni podatki. Vsebina dogovora se da na voljo posamezniku, na katerega se nanašajo osebni podatki.
3. Posameznik, na katerega se nanašajo osebni podatki, lahko ne glede na pogoje dogovora iz odstavka 1 uresničuje svoje pravice v skladu s to uredbo glede vsakega od upravljavcev in proti vsakemu od njih.“
7 Člen 51 SUVP med drugim določa, da morajo države članice določiti enega ali več neodvisnih javnih organov, ki so pristojni za spremljanje uporabe te uredbe.
Belgijsko pravo
8 Člen 472 loi-programme du 24 décembre 2002 (programski zakon z dne 24. decembra 2002, Moniteur belge z dne 31. decembra 2002, str. 58686) določa:
„Moniteur belge je uradna publikacija, katere izdajatelj je uprava Moniteur belge, ki zbere vsa besedila, za katera je odrejena objava v Moniteur belge.“
9 Člen 474 tega programskega zakona določa:
„Uprava Moniteur belge objavi štiri tiskane izvode Moniteur belge.
[…]
En izvod se hrani v elektronski obliki. Podrobna pravila elektronske hrambe določi kralj […].“
10 Člen 475 navedenega programskega zakona določa:
„Vse druge oblike dajanja na voljo javnosti se izvajajo prek spletnega mesta uprave Moniteur belge.
Objave, ki so na voljo na tem spletnem mestu, so natančne reprodukcije tiskanih izvodov iz člena 474 v elektronski obliki.“
11 Člen 475a istega programskega zakona določa:
„Vsak državljan lahko od službe Moniteur belge s klicem na brezplačno telefonsko številko pridobi kopije aktov in dokumentov, objavljenih v Moniteur belge, po stroškovni ceni. Ta služba je pristojna tudi za zagotavljanje pomoči državljanom pri iskanju dokumentov.“
12 Člen 475 programskega zakona z dne 24. decembra 2002 določa:
„S kraljevim odlokom, ki ga obravnava svet ministrov, se sprejmejo še drugi spremljevalni ukrepi, da se zagotovita čim širše razširjanje in dostop do informacij, objavljenih v Moniteur belge.“
Spor o glavni stvari in vprašanji za predhodno odločanje
13 Neka fizična oseba v Belgiji je bila lastnica večine poslovnih deležev zasebne družbe z omejeno odgovornostjo. Družbeniki te družbe so se odločili, da bodo izvedli transakcijo zmanjšanja kapitala te družbe, zato je bil statut navedene družbe spremenjen s sklepom izredne skupščine te družbe z dne 23. januarja 2019.
14 V skladu z zakonikom o gospodarskih družbah v različici, ki izhaja iz zakona z dne 7. maja 1999 (Moniteur belge z dne 6. avgusta 1999, str. 29440), je notar te fizične osebe pripravil izvleček tega sklepa, ki je bil nato posredovan sodnemu tajništvu pristojnega sodišča, in sicer gospodarskega sodišča, ki je krajevno pristojno na območju, na katerem ima ta družba sedež. Navedeno sodišče je v skladu z upoštevnimi zakonskimi določbami ta izvleček posredovalo upravi Moniteur belge za objavo.
15 Navedeni izvleček je bil 12. februarja 2019 v skladu z veljavnimi zakonskimi določbami objavljen v prilogah k Moniteur belge tak, kot je bil prejet, torej brez pregleda njegove vsebine.
16 Ta izvleček vsebuje sklep o zmanjšanju kapitala navedene družbe, začetni znesek tega kapitala, znesek zadevnega zmanjšanja, novi znesek osnovnega kapitala in novo besedilo statuta iste družbe. Vsebuje tudi odlomek, v katerem sta navedeni imeni obeh družbenikov navedene družbe, vključno z imenom fizične osebe, omenjene v točki 13 te sodbe, zneska, ki sta jima bila vrnjena, in številki njunih bančnih računov (v nadaljevanju: odlomek, ki je predmet spora o glavni stvari).
17 Po tem, ko je ta fizična oseba ugotovila, da je njen notar v izvleček, omenjen v točki 14 te sodbe, pomotoma vključil tudi odlomek, ki je predmet spora o glavni stvari, čeprav se to z zakonom ne zahteva, je ta oseba v sodelovanju s tem notarjem in pooblaščeno osebo za varstvo podatkov, ki jo je imenoval notar, začela postopek za izbris tega odlomka, in sicer v skladu s svojo pravico do izbrisa iz člena 17 SUVP.
18 Service Public Fédéral Justice (zvezna javna služba za pravosodje, v nadaljevanju: SPF Justice), h kateri spada uprava Moniteur belge, je zlasti z odločbo z dne 10. aprila 2019 tako zahtevo za izbris zavrnila.
19 Navedena fizična oseba je 21. januarja 202 vložila pritožbo proti SPF Justice pri APD, da bi ta ugotovil, da je ta zahteva za izbris utemeljena in da so pogoji iz člena 17(1) SUVP za uveljavljanje pravice do izbrisa izpolnjeni.
20 APD je z odločbo z dne 23. marca 2021 SPF Justice izrekel opomin, pri čemer je tej službi naložil, naj navedeni zahtevi za izbris brez nepotrebnega odlašanja ugodi, najpozneje pa v 30 dneh od vročitve te odločbe.
21 Belgijska država je 22. aprila 2021 pri cour d’appel de Bruxelles (višje sodišče v Bruslju, Belgija) vložila tožbo, s katero je predlagala razglasitev ničnosti navedene odločbe.
22 Navedeno sodišče ugotavlja, da se stranki ne strinjata glede vprašanja, kako je treba v postopku v glavni stvari razlagati pojem „upravljavec“ iz člena 4, točka 7, SUVP, glede na to, da je osebne podatke v odlomku, ki je predmet spora o glavni stvari, katerih objava se ne zahteva z zakonom, obdelalo več potencialnih „zaporednih“ upravljavcev. To so, prvič, notar, ki je sestavil izvleček, v katerem je odlomek, ki je predmet spora o glavni stvari, in pri tem te podatke pomotoma vstavil, drugič, sodno tajništvo sodišča, pri katerem je bil ta izvleček vložen, preden je bil posredovan Moniteur belge za objavo, in tretjič, Moniteur belge, ki je po tem, ko je ta izvleček prejel od sodišča, tega v skladu z zakonskimi predpisi, ki urejajo njegov status in njegove naloge, objavil takšnega, kot ga je prejel, torej ne da bi ga lahko pregledal ali spremenil.
23 Predložitveno sodišče se v tem okviru sprašuje, ali je mogoče Moniteur belge šteti za „upravljavca“ v smislu člena 4, točka 7, SUVP. Predložitveno sodišče za primer, da je tako, in ob navedbi, da se stranki v postopku v glavni stvari ne sklicujeta na skupno upravljanje iz člena 26 SUVP, želi izvedeti tudi, ali je treba šteti, da je Moniteur belge edini, ki je v smislu člena 5(2) te uredbe odgovoren za spoštovanje načel, določenih v členu 5(1) navedene uredbe, ali pa sta za to kumulativno odgovorna tudi javna organa, ki sta podatke iz odlomka, ki je predmet spora o glavni stvari, obdelala pred tem, in sicer notar, ki je sestavil izvleček, ki vsebuje ta odlomek, in gospodarsko sodišče, ki je krajevno pristojno na območju, na katerem ima zadevna družba z omejeno odgovornostjo svoj sedež.
24 V teh okoliščinah je cour d’appel de Bruxelles (višje sodišče v Bruslju) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:
„1. Ali je treba člen 4, točka 7, [SUVP] razlagati tako, da je uradni list države članice – ki mu je podeljena naloga javne službe objavljanja in arhiviranja uradnih dokumentov ter je v skladu z veljavno nacionalno zakonodajo odgovoren za objavo aktov in uradnih dokumentov, in sicer takih, kot mu jih posredujejo tretji javni organi, ki objavo odredijo in so sami že obdelali osebne podatke, vsebovane v teh aktih in dokumentih, ne da bi mu nacionalni zakonodajalec dodelil diskrecijsko pravico glede vsebine dokumentov, ki jih je treba objaviti, ter glede namena in sredstev objave – upravljavec?
2. Če je odgovor na prvo vprašanje pritrdilen, ali je treba člen 5(2) [SUVP] razlagati tako, da mora samo zadevni uradni list spoštovati obveznosti iz te določbe, ki veljajo za upravljavca, ne pa tudi tretji javni organi, ki so predhodno obdelali podatke v aktih in uradnih dokumentih, katerih objavo zahtevajo, ali tako, da te obveznosti veljajo kumulativno za vsakega od zaporednih upravljavcev?“
Vprašanji za predhodno odločanje
Prvo vprašanje
25 Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 4, točka 7, SUVP razlagati tako, da je mogoče agencijo ali telo, ki je odgovorno za uradni list države članice – pri čemer mora v skladu z veljavno nacionalno zakonodajo te države med drugim objavljati akte in uradne dokumente, in sicer take, kot jih v okviru lastne odgovornosti na podlagi veljavnih predpisov pripravijo tretji, ki jih nato vložijo pri sodnem organu, ta pa jih pošlje navedeni agenciji ali telesu za objavo – šteti za „upravljavca“ osebnih podatkov, ki so v teh aktih in teh dokumentih, v smislu te določbe.
26 Najprej je treba pojasniti, da pojem „upravljavec“ iz člena 4, točka 7, SUVP predpostavlja obstoj „obdelave“ osebnih podatkov v smislu člena 4, točka 2, te uredbe. V obravnavani zadevi je iz predložitvene odločbe razvidno, da so bili osebni podatki iz odlomka, ki je predmet spora o glavni stvari, predmet obdelave, ki jo je opravil Moniteur belge. Čeprav predložitveno sodišče te obdelave ni podrobno opisalo, je iz ujemajočih se pisnih stališč APD in belgijske vlade razvidno, da je Moniteur belge te podatke zbral, zabeležil, shranil, razkril s posredovanjem in razširjal, taka dejanja pa pomenijo „obdelavo“ v smislu člena 4, točka 2, navedene uredbe.
27 Ob upoštevanju tega uvodnega pojasnila je treba spomniti, da v skladu s členom 4, točka 7, SUVP pojem „upravljavec“ zajema fizične ali pravne osebe, javne organe, agencije ali druga telesa, ki sama ali skupaj z drugimi določajo namene in sredstva obdelave. V tej določbi je predpisano tudi, da kadar namene in sredstva obdelave določa zlasti pravo države članice, se lahko upravljavec oziroma posebna merila, ki se uporabljajo za njegovo imenovanje, določijo s tem pravom.
28 V zvezi s tem je treba opozoriti, da je v skladu z ustaljeno sodno prakso Sodišča cilj te določbe, da se s široko opredelitvijo pojma „upravljavec“ zagotovi učinkovito in celovito varstvo zadevnih fizičnih oseb (glej v tem smislu sodbi z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 29, in z dne 5. decembra 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, točka 40 in navedena sodna praksa).
29 Glede na besedilo člena 4, točka 7, SUVP in ob upoštevanju tega cilja je očitno, da je treba za to, da bi se določilo, ali je treba neko osebo ali subjekt šteti za „upravljavca“ v smislu te določbe, ugotoviti, ali ta oseba oziroma subjekt določa – sam ali skupaj z drugimi – namene in sredstva obdelave ali pa so ti določeni z nacionalnim pravom. Če se ti določijo z nacionalnim pravom, je treba preveriti, ali to pravo določa upravljavca ali posebna merila za njegovo imenovanje.
30 V zvezi s tem je treba pojasniti, da je glede na široko opredelitev pojma „upravljavec“ v smislu člena 4, točka 7, RGPD določitev namenov in sredstev obdelave ter, če gre za tak primer, določitev tega upravljavca z nacionalnim pravom lahko ne le eksplicitna, ampak tudi implicitna. Vendar se v zadnjenavedenem primeru zahteva, da ta določitev dovolj zanesljivo izhaja iz vloge, nalog in pooblastil, ki so dodeljena zadevni osebi oziroma subjektu. Varstvo teh oseb bi se namreč zmanjšalo, če bi se člen 4, točka 7, SUVP razlagal ozko, tako da bi pokrival le primere, v katerih so nameni in sredstva obdelave podatkov, ki jo izvaja neka oseba, javni organ, agencija ali drugo telo, izrecno določeni z nacionalnim pravom, medtem ko bi ti nameni in sredstva v bistvu izhajali iz zakonskih določb, ki se uporabljajo za dejavnost zadevnega subjekta.
31 V obravnavanem primeru, prvič, predložitveno sodišče pojasnjuje, da se v postopku v glavni stvari ne zdi, da bi bilo Moniteur belge z nacionalnim pravom podeljeno pooblastilo, da določi namene in sredstva obdelave podatkov, ki jo izvaja, prvo vprašanje za predhodno odločanje pa je postavljeno tako, da temelji na tej predpostavki. Poleg tega iz ujemajočih se pojasnil APD in belgijske vlade na obravnavi izhaja, da se zdi, da niti javni organ, ki upravlja Moniteur belge, in sicer SPF Justice, nima takega pooblastila na podlagi nacionalnega prava.
32 Drugič, iz elementov spisa, ki je na voljo Sodišču, je razvidno, da so osebni podatki, ki so v teh aktih in dokumentih, ki so bili poslani Moniteur belge za objavo, v bistvu zbrani, zabeleženi, shranjeni in objavljeni taki, kot so bili prejeti, zato da bi bila javnost uradno obveščena o obstoju teh aktov in dokumentov ter da bi ti lahko učinkovali proti tretjim.
33 Poleg tega je iz pojasnil predložitvenega sodišča razvidno, da se obdelava izvaja predvsem z avtomatiziranimi sredstvi, in sicer, zadevni podatki so v izvodih, ki so natisnjeni na papir, od katerih se eden shrani v elektronski obliki, papirnati izvodi pa se reproducirajo v elektronski obliki za spletno mesto Moniteur belge, pri čemer je mogoče pridobiti njihovo kopijo pri službi za telefonsko pomoč, ki je pristojna tudi za zagotavljanje pomoči državljanom pri iskanju dokumentov.
34 Tako iz elementov spisa, ki je na voljo Sodišču, izhaja, da so z belgijskim pravom vsaj implicitno določeni nameni in sredstva obdelave osebnih podatkov, ki jo izvaja Moniteur belge.
35 V teh okoliščinah je treba ugotoviti, da je mogoče šteti, da je Moniteur belge kot služba ali telo, ki je zadolženo za obdelavo osebnih podatkov iz teh objav v skladu z nameni in sredstvi obdelave, ki so predpisani z belgijsko zakonodajo, „upravljavec“ v smislu člena 4, točka 7, SUVP.
36 Tega ne omaje okoliščina, da Moniteur belge kot podenota SPF Justice nima pravne osebnosti. Iz jasnega besedila te določbe je namreč razvidno, da je lahko upravljavec ne le fizična ali pravna oseba, temveč tudi javni organ, agencija ali telo, ti subjekti pa glede na nacionalno pravo nimajo nujno pravne osebnosti.
37 Prav tako to, da v skladu z nacionalnim pravom Moniteur belge pred objavo v tem uradnem listu ne pregleda osebnih podatkov, ki so v aktih in dokumentih, ki jih prejme navedeni uradni list, ne more vplivati na vprašanje, ali je mogoče Moniteur belge šteti za upravljavca.
38 Namreč, čeprav je res, da mora Moniteur belge zadevni dokument objaviti takšnega, kot ga je prejel, je on edini odgovoren za to nalogo in za poznejše razširjanje zadevnega akta ali dokumenta. Na eni strani je objava takih aktov in dokumentov brez možnosti pregledovanja in spreminjanja njihove vsebine neločljivo povezana z nameni in sredstvi obdelave, ki so določeni z nacionalnim pravom, saj je vloga uradnega lista, kakršen je Moniteur belge, zgolj informirati javnost o obstoju teh aktov in dokumentov, kot so bili v skladu z veljavnim nacionalnim pravom v obliki kopije posredovani temu uradnemu listu, da bi lahko učinkovali proti tretjim. Na drugi strani bi bilo v nasprotju s členom 4, točka 7, SUVP, navedenim v točki 28 te sodbe, če bi bil uradni list države članice iz pojma „upravljavec“ izključen, ker ta uradni list ne pregleduje osebnih podatkov, ki jih vsebujejo njegove objave (glej po analogiji sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 34).
39 Glede na zgoraj navedene razloge je treba na prvo vprašanje odgovoriti, da je treba člen 4, točka 7, SUVP razlagati tako, da je mogoče agencijo ali telo, ki vodi uradni list države članice – pri čemer mora v skladu z veljavno nacionalno zakonodajo te države med drugim objavljati akte in uradne dokumente, in sicer take, kot jih v okviru lastne odgovornosti na podlagi veljavnih predpisov pripravijo tretji, ki jih nato vložijo pri sodnem organu, ta pa jih pošlje navedeni agenciji ali telesu za objavo – kljub temu, da ta agencija ali telo nima pravne osebnosti, šteti za „upravljavca“ osebnih podatkov, ki so v teh aktih in dokumentih, kadar zadevno nacionalno pravo določa namene in sredstva obdelave osebnih podatkov, ki jo izvaja ta uradni list.
Drugo vprašanje
40 Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 5(2) SUVP razlagati tako, da je treba šteti, da je agencija ali telo, ki vodi uradni list države članice in ki je opredeljeno kot „upravljavec“ v smislu člena 4, točka 7, SUVP, edino odgovorno za spoštovanje načel iz člena 5(1) SUVP, ali pa morajo to spoštovanje kumulativno zagotavljati ta agencija ali telo in tretji javni organi, ki so osebne podatke iz aktov in dokumentov, ki jih je objavil ta uradni list, obdelali pred tem.
41 Najprej je treba opozoriti, da je v skladu s členom 5(2) SUVP upravljavec odgovoren za spoštovanje načel v obliki obveznosti iz odstavka 1 tega člena in da mora biti tudi zmožen dokazati, da so ta načela spoštovana.
42 V obravnavanem primeru je iz spisa, ki je na voljo Sodišču, razvidno, da obdelava osebnih podatkov iz postopka v glavni stvari, za katero je pristojen Moniteur belge, časovno sledi obdelavi, ki sta jo izvedla notar in sodno tajništvo pristojnega sodišča, je pa tudi tehnično ločena od obdelave, ki sta jo izvedla navedena subjekta, saj gre za dodatno obdelavo. Dejanja, ki jih je je izvedel Moniteur belge, so namreč temu zaupana z nacionalno zakonodajo, pri njih pa gre zlasti za digitalizacijo podatkov, ki jih vsebujejo akti ali izvlečki aktov, ki so mu predloženi, objavo teh podatkov, njihovo dajanje na voljo širši javnosti in njihovo shranjevanje.
43 Zato je treba šteti, da je Moniteur belge v skladu s členom 5(2) SUVP odgovoren za spoštovanje načel iz odstavka 1 tega člena, kar zadeva obdelave, ki jih mora izvajati v skladu z nacionalnim pravom, in torej za spoštovanje vseh obveznosti, ki so s SUVP naložene upravljavcu.
44 Dalje, glede na dvome predložitvenega sodišča o tem, ali je tak uradni list edini odgovoren za te obdelave, je treba opozoriti, da – kot izhaja iz besedila člena 4, točka 7, SUVP – ta določba predpisuje ne le, da lahko namene in sredstva obdelave osebnih podatkov skupaj določi več oseb, ki so upravljavci, ampak tudi, da se lahko ti nameni in sredstva določijo z nacionalnim pravom, s katerim se določi tudi upravljavec ali posebna merila za njegovo imenovanje.
45 Torej se lahko v okviru verige obdelav, ki jih izvedejo različne osebe ali subjekti in ki se nanašajo na iste osebne podatke, z nacionalnim pravom določijo nameni in sredstva za vse obdelave, ki jih zaporedno opravijo različne osebe ali subjekti, tako da se ti štejejo za skupne upravljavce.
46 Poleg tega je treba opozoriti, da člen 26(1) SUVP določa, da so dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, skupni upravljavci. Ta določba prav tako predpisuje, da morajo skupni upravljavci na pregleden način z medsebojnim dogovorom določiti dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, razen če in kolikor so dolžnosti vsakega od upravljavcev med drugim določene s pravom Unije ali pravom države članice, ki velja za upravljavce.
47 Iz navedene določbe je tako razvidno, da dolžnosti vsakega od skupnih upravljavcev osebnih podatkov niso nujno odvisne od obstoja dogovora med različnimi upravljavci (glej v tem smislu sodbo z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točki 44 in 45), ampak lahko izhajajo iz nacionalnega prava.
48 Poleg tega je Sodišče razsodilo, po eni strani, da zadostuje, da oseba zaradi lastnih ciljev vpliva na obdelavo osebnih podatkov ter s tem sodeluje pri določitvi namenov in sredstev te obdelave, da bi se lahko štela za skupnega upravljavca, po drugi strani pa, da skupna odgovornost več subjektov za isto obdelavo ne zahteva, da ima vsak izmed teh dostop do zadevnih osebnih podatkov (glej v tem smislu sodbo z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točke od 40 do 43 in navedena sodna praksa).
49 Iz točk od 44 do 48 te sodbe izhaja, da se lahko v skladu s členom 26(1) SUVP v povezavi s členom 4, točka 7, SUVP skupna odgovornost več subjektov iz verige obdelav, ki se nanašajo na iste osebne podatke, določi z nacionalnim pravom, če ta razna dejanja obdelave združujejo nameni in sredstva, ki so določeni s tem pravom, in če to pravo opredeljuje dolžnosti vsakega od skupnih upravljavcev.
50 Pojasniti je treba, da je mogoče določitev namenov in sredstev, ki združujejo razne obdelave, ki jih izvaja več subjektov v isti verigi, ter določitev njihovih dolžnosti z nacionalnim pravom opraviti ne le neposredno, temveč tudi posredno, vendar mora v zadnjenavedenem primeru ta določitev dovolj eksplicitno izhajati iz zakonskih določb, ki se uporabljajo za zadevne osebe ali subjekte in obdelavo osebnih podatkov, ki jo ti izvajajo v okviru verige obdelav, ki se zahteva s tem pravom.
51 Nazadnje in za vsak primer je treba pojasniti, da če bi predložitveno sodišče ugotovilo, da agencija ali telo, ki vodi Moniteur belge, ni samo odgovorno za spoštovanje načel iz člena 5(1) SUVP glede podatkov iz odlomka, ki je predmet spora o glavni stvari, temveč odgovarja skupaj z drugimi, ta ugotovitev ne bi nikakor vplivala na vprašanje, ali je treba zlasti ob upoštevanju izjem iz člena 17(3)(b) in (d) SUVP ugoditi zahtevi za izbris, ki jo je podala fizična oseba, navedena v točki 13 te sodbe.
52 Glede na zgoraj navedene razloge je treba na prvo vprašanje odgovoriti, da je treba člen 5(2) SUVP v povezavi s členom 4, točka 7, in členom 26(1) te uredbe razlagati tako, da je agencija ali telo, ki vodi uradni list države članice in ki je opredeljeno kot „upravljavec“ v smislu člena 4, točka 7, navedene uredbe, edino odgovorno za spoštovanje načel iz člena 5(1) iste uredbe v zvezi z dejanji obdelave osebnih podatkov, ki jih mora izvajati v skladu z nacionalnim pravom, razen če iz tega prava izhaja, da je za ta dejanja odgovorno skupaj z drugimi subjekti.
Stroški
53 Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (tretji senat) razsodilo:
1. Člen 4, točka 7, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
je mogoče agencijo ali telo, ki je odgovorno za uradni list države članice – pri čemer mora v skladu z veljavno nacionalno zakonodajo te države med drugim objavljati akte in uradne dokumente, in sicer take, kot jih v okviru lastne odgovornosti na podlagi veljavnih predpisov pripravijo tretji, ki jih nato vložijo pri sodnem organu, ta pa jih pošlje navedeni agenciji ali telesu za objavo – kljub temu, da ta agencija ali telo nima pravne osebnosti, šteti za „upravljavca“ osebnih podatkov, ki so v teh aktih in dokumentih, kadar zadevno nacionalno pravo določa namene in sredstva obdelave osebnih podatkov, ki jo izvaja ta uradni list.
2. Člen 5(2) Uredbe 2016/679 v povezavi s členom 4, točka 7, in členom 26(1) te uredbe
je treba razlagati tako, da
je agencija ali telo, ki vodi uradni list države članice in ki je opredeljeno kot „upravljavec“ v smislu člena 4, točka 7, te uredbe, edino odgovorno za spoštovanje načel iz člena 5(1) iste uredbe v zvezi z dejanji obdelave osebnih podatkov, ki jih mora izvajati v skladu z nacionalnim pravom, razen če iz tega prava izhaja, da je za ta dejanja odgovorno skupaj z drugimi subjekti.
Podpisi