РЕШЕНИЕ НА СЪДА (трети състав)
11 януари 2024 година(*)
„Преюдициално запитване — Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни и свободно движение на такива данни (Общ регламент относно защитата на данните) — Регламент (ЕС) 2016/679 — Член 4, точка 7 — Понятие „администратор“ — Държавен вестник на държава членка — Задължение за публикуване във вида, в който са представени, на документи на дружество, изготвени от последното или от законните му представители — Член 5, параграф 2 — Последователно обработване от няколко отделни лица или субекти на личните данни, съдържащи се в такива документи — Определяне на отговорностите“
По дело C‑231/22
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Сour d’appel de Bruxelles (Апелативен съд Брюксел, Белгия) с акт от 23 февруари 2022 г., постъпил в Съда на 1 април 2022 г., в рамките на производство по дело
État belge
срещу
Autorité de protection des données,
при участието на:
LM,
СЪДЪТ (трети състав),
състоящ се от: K. Jürimäe, председател на състава, N. Piçarra, M. Safjan (докладчик), N. Jääskinen и M. Gavalec, съдии,
генерален адвокат: L. Medina,
секретар: C. Strömholm, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 23 март 2023 г.,
като има предвид становищата, представени:
– за Autorité de protection des données, от F. Biebuyck, P. Van Muylder, avocates, и E. Kairis, advocaat,
– за белгийското правителство, от P. Cottin, J.‑C. Halleux и C. Pochet, в качеството на представители, подпомагани от S. Kaisergruber и P. Schaffner, avocats,
– за унгарското правителство, от Zs. Biró-Tóth и M. Z. Fehér, в качеството на представители,
– за Европейската комисия, от A. Bouchagiar, H. Kranenborg и A.‑C. Simon, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 8 юни 2023 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 4, точка 7 и на член 5, параграф 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
2 Запитването е отправено в рамките на спор между État belge (белгийската държава) и Autorité de protection des données (Орган за защита на данните, Белгия, наричан по-нататък „ОЗД“), който е надзорният орган в Белгия по член 51 от ОРЗД, по повод на решение, с което този орган е разпоредил на органа, управляващ Moniteur belge (държавен вестник, който осигурява в тази държава членка създаването и разпространението на широк кръг от официални и обществено достъпни публикации на хартия и в електронен формат), да позволи на физическо лице да упражни правото си на изтриване, що се отнася до някои лични данни, съдържащи се в обнародван в този вестник документ.
Правна уредба
Правото на Съюза
3 Член 4, точки 2 и 7 от ОРЗД предвижда:
„За целите на настоящия регламент:
[…]
2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
[…]
7) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;
[…]“.
4 Член 5 от ОРЗД гласи:
„1. Личните данни са:
а) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“);
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“);
д) съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“);
е) обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“);
2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
5 Член 17 от ОРЗД има следния текст:
„1. Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания:
а) личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин;
б) субектът на данните оттегля своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а) или член 9, параграф 2, буква а), и няма друго правно основание за обработването;
в) субектът на данните възразява срещу обработването съгласно член 21, параграф 1 и няма законни основания за обработването, които да имат преимущество, или субектът на данните възразява срещу обработването съгласно член 21, параграф 2;
[…].
3. Параграфи 1 и 2 не се прилагат, доколкото обработването е необходимо:
[…]
б) за спазване на правно задължение, което изисква обработване, предвидено в правото на Съюза или правото на държавата членка, което се прилага спрямо администратора или за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
[…]
г) за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, доколкото съществува вероятност правото, установено в параграф 1, да направи невъзможно или сериозно да затрудни постигането на целите на това обработване; […]
[…]“.
6 Съгласно член 26 от ОРЗД:
„1. Когато двама или повече администратори съвместно определят целите и средствата на обработването, те са съвместни администратори. Те определят по прозрачен начин съответните си отговорности за изпълнение на задълженията по настоящия регламент, по-специално що се отнася до упражняването на правата на субекта на данни и съответните им задължения за предоставяне на информацията, посочена в членове 13 и 14, посредством договореност помежду си, освен ако и доколкото съответните отговорности на администраторите не са определени от правото на Съюза или правото на държава членка, което се прилага спрямо администраторите. В договореността може да се посочи точка за контакт за субектите на данни.
2. Договореността, посочена в параграф 1, надлежно отразява съответните роли и връзки на съвместните администратори спрямо субектите на данни. Съществените характеристики на договореността са достъпни за субекта на данните.
3. Независимо от условията на договореността, посочена в параграф 1, субектът на данни може да упражнява своите права по настоящия регламент по отношение на всеки и срещу всеки от администраторите“.
7 Член 51 от ОРЗД предвижда по-специално, че държавите членки осигуряват един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент.
Белгийско право
8 Член 472 от Loi-programme du 24 décembre 2002 (Програмен закон от 24 декември 2002 г.) (Moniteur belge от 31 декември 2002 г., стр. 58686) предвижда:
„Moniteur belge е официално издание на ръководството на Moniteur belge, което обединява всички текстове, за които е разпоредено обнародване в Moniteur belge“.
9 Член 474 от този програмен закон гласи:
„Обнародването в Moniteur belge от ръководството на Moniteur belge се извършва в четири екземпляра, отпечатани на хартия.
[…]
Един екземпляр се съхранява в електронен вид. Кралят определя условията за електронно съхранение […]“.
10 Член 475 от посочения програмен закон има следния текст:
„Всяко друго предоставяне на обществен достъп се извършва чрез интернет сайта на ръководството на Moniteur belge.
Публикациите, достъпни на този уебсайт, възпроизвеждат точно в електронен формат предвидените в член 474 екземпляри на хартия“.
11 Съгласно член 475а от същия закон:
„Всеки гражданин може да получи от Moniteur belge копие от документите, обнародвани в Moniteur belge, чрез обаждане на безплатен телефонен номер за съдействие и при заплащане на разходите за копирането. Съответната служба отговаря и за предоставяне на гражданите на услуга за съдействие при търсене на документи“.
12 Член 475b от Програмния закон от 24 декември 2002 г. предвижда:
„Други съпътстващи мерки се предприемат с кралски указ, предложен от Министерския съвет, за да се осигурят възможно най-широкото разпространение и достъп до информацията, съдържаща се в Moniteur belge“.
Спорът в главното производство и преюдициалните въпроси
13 Физическо лице е мажоритарен съдружник в частно дружество с ограничена отговорност в Белгия. Тъй като съдружниците в това дружество решават да се намали капиталът му, дружественият договор е изменен с решение на извънредно общо събрание от 23 януари 2019 г.
14 Съгласно Сode des sociétés (Кодекс на търговските дружества) в редакцията му съгласно закона от 7 май 1999 г. (Moniteur belge от 6 август 1999 г., стр. 29440), нотариусът на това физическо лице подготвя извлечение от въпросното решение, след което го подава в деловодството на компетентния съд, а именно Тribunal de l’entreprise (стопански съд, Белгия) по седалището на дружеството. Съгласно релевантните правни разпоредби този съд изпраща извлечението до ръководството на Moniteur belge за обнародване.
15 На 12 февруари 2019 г. в съответствие с приложимите правни разпоредби посоченото извлечение е обнародвано в същия вид (тоест без контрол върху съдържанието му) в приложенията към Moniteur belge.
16 Въпросното извлечение съдържа решението за намаляване на капитала на дружеството, първоначалния размер на капитала, сумата, с която капиталът се намалява, както и новия размер на дружествения капитал и новия текст на дружествения договор. Освен това извлечението съдържа пасаж, в който са посочени имената на двамата съдружници в дружеството, един от които е физическото лице, споменато в точка 13 от настоящото решение, сумите, които са им били възстановени, както и номерата на банковите им сметки (наричан по-нататък „разглежданият в главното производство текст“).
17 След като установява, че нотариусът му е допуснал грешка, като е включил разглеждания в главното производство текст в споменатото в точка 14 от настоящото решение извлечение, при положение че това не се изисква от закона, въпросното физическо лице — чрез същия нотариус и чрез длъжностното лице по защита на данните на последния — прави постъпки за заличаването на този текст в съответствие с правото си на изтриване по член 17 от ОРЗД.
18 С решение от 10 април 2019 г. Service Public Fédéral Justice (Федерална публична служба „Правосъдие“, Белгия, наричана по-нататък „ФПС „Правосъдие“), на подчинение на която е ръководството на Moniteur belge, отказва да удовлетвори такова искане за изтриване.
19 На 21 януари 2020 г. посоченото физическо лице подава жалба до ОЗД срещу ФПС „Правосъдие“ с цел да се установи, че искането за изтриване е основателно и че предвидените в член 17, параграф 1 от ОРЗД условия за упражняване на правото на изтриване са изпълнени.
20 С решение от 23 март 2021 г. ОЗД отправя „порицание“ до ФПС „Правосъдие“, като разпорежда на тази служба да удовлетвори посоченото искане за изтриване без ненужно забавяне, най-късно в 30‑дневен срок от връчването на това решение.
21 На 22 април 2021 г. État belge (белгийската държава) сезира Cour d’appel de Bruxelles (Апелативен съд Брюксел, Белгия), който е запитващата юрисдикция, с искане за отмяна на посоченото решение.
22 Тази юрисдикция посочва, че страните спорят по въпроса как в главното производство следва да се тълкува понятието „администратор“ по смисъла на член 4, точка 7 от ОРЗД, като се има предвид, че личните данни, съдържащи се в разглеждания в главното производство текст, чието обнародване не е било изисквано от закона, са били обработени от няколко „последователни“ потенциални администратори. Същите са, първо, нотариусът, който е изготвил извлечението, съдържащо разглеждания в главното производство текст, и който по погрешка е включил тези данни в него, второ, деловодството на стопанския съд, където извлечението впоследствие е било подадено, преди да бъде изпратено за обнародване в Moniteur belge, и трето, Moniteur belge, който в съответствие с правните разпоредби, уреждащи статута и задачите му, е обнародвал извлечението във вида, в който му е представено, т.е. без възможност за контрол и изменения, след като го е получил от този съд.
23 В този контекст запитващата юрисдикция поставя въпроса дали Moniteur belge може да се квалифицира като „администратор“ по смисъла на член 4, точка 7 от ОРЗД. При утвърдителен отговор на този въпрос и посочвайки, че страните в главното производство не изтъкват наличието на съвместна отговорност по член 26 от ОРЗД, тази юрисдикция иска също така да се установи дали съгласно член 5, параграф 2 от този регламент само Moniteur belge трябва се счита за отговорен за спазването на принципите, посочени в член 5, параграф 1 от същия регламент, или тази отговорност се носи кумулативно и от публичните органи, които преди това са обработили данните, съдържащи се в разглеждания в главното производство текст, тоест от нотариуса, който е изготвил извлечението, съдържащо този текст, и от стопанския съд по седалището на съответното частно дружество с ограничена отговорност.
24 При това положение Cour d’appel de Bruxelles (Апелативен съд Брюксел) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1. Трябва ли член 4, точка 7 от [ОРЗД] да се тълкува в смисъл, че държавен вестник на държава членка — на който е възложена задача за предоставяне на обществена услуга за обнародване и архивиране на официални документи и който съгласно приложимото национално законодателство отговаря за разпореденото му от трети публични органи обнародване на официални документи във вида, в който са изпратени от тези органи, след като самите те са обработили съдържащите се в тези документи лични данни, без националният законодател да му е предоставил право на преценка по отношение на съдържанието на подлежащите на обнародване документи и на целта и средствата за обнародване — има качеството на администратор?
2. При утвърдителен отговор на първия въпрос, трябва ли член 5, параграф 2 от [ОРЗД] да се тълкува в смисъл, че само съответният държавен вестник е длъжен да спазва задълженията на администратора съгласно тази разпоредба, без това да се отнася за третите публични органи, които преди това са обработили данните, съдържащи се в официалните документи, чието обнародване са поискали, или тези задължения са възложени кумулативно на всеки един от последователните администратори?“.
По преюдициалните въпроси
По първия въпрос
25 С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 4, точка 7 от ОРЗД трябва да се тълкува в смисъл, че агенцията или структурата, която отговаря за държавния вестник на държава членка и която съгласно законодателството на тази държава е длъжна по-специално да обнародва във вида, в който са представени, официални документи, изготвени от трети лица с оглед на тяхната собствена отговорност при спазване на приложимите норми и подадени впоследствие до съдебен орган, който ги изпраща за обнародване на въпросната агенция или структура, може да се квалифицира като „администратор“ на съдържащите се в тези документи лични данни по смисъла на тази разпоредба.
26 Най-напред, следва да се уточни, че понятието „администратор“ по член 4, точка 7 от ОРЗД предполага наличието на „обработване“ на лични данни по смисъла на член 4, точка 2 от този регламент. В настоящия случай от акта за преюдициално запитване е видно, че личните данни, съдържащи се в разглеждания в главното производство текст, са били обработени от Moniteur belge. Макар запитващата юрисдикция да не представя в детайли това обработване, от съвпадащите писмени становища на ОЗД и на белгийското правителство е видно, че тези данни поне са били събрани, записани, съхранени, разкрити чрез предаване и разпространени от Moniteur belge, като такива операции съставляват „обработване“ по смисъла на член 4, точка 2 от посочения регламент.
27 След това предварително уточнение следва да се припомни, че съгласно член 4, точка 7 от ОРЗД понятието „администратор“ обхваща физически или юридически лица, публични органи, агенции или други структури, които сами или съвместно с други определят целите и средствата на обработването. Тази разпоредба предвижда още, че когато целите и средствата за това обработване се определят в частност от правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в това право.
28 В това отношение следва да се припомни, че според практиката на Съда целта на тази разпоредба е да се осигури ефективна и пълна защита на субектите на данни посредством широко определение на понятието „администратор“ (вж. в този смисъл решения от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, т. 29, и от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 40 и цитираната съдебна практика).
29 С оглед на текста на член 4, точка 7 от ОРЗД, разглеждан в светлината на тази цел, е видно, че за да се определи дали дадено лице или субект трябва да се квалифицира като „администратор“ по смисъла на тази разпоредба, следва да се провери дали това лице или субект, самостоятелно или съвместно с други, определя целите и средствата на обработването, или същите са определени от националното право. Когато такова определяне е извършено от националното право, следва да се провери дали това право определя администратора, или предвижда специални критерии за неговото определяне.
30 В това отношение е важно да се уточни, че предвид широкото определение на понятието „администратор“ по член 4, точка 7 от ОРЗД определянето на целите и средствата на обработването и евентуално определянето на този администратор в националното право могат да бъдат извършени не само изрично, но и имплицитно. В последния случай обаче е необходимо определянето да произтича по достатъчно сигурен начин от ролята, задачите и правомощията, предоставени на съответното лице или съответния субект. Всъщност защитата на лицата би била намалена, ако член 4, точка 7 от ОРЗД се тълкува ограничително, за да обхване само случаите, в които целите и средствата на обработването на данни, извършвано от лице, публичен орган, агенция или друга структура, са изрично определени от националното право, въпреки че тези цели и средства по същество произтичат от правните разпоредби, уреждащи дейността на съответния субект.
31 В настоящия случай, първо, запитващата юрисдикция уточнява, че в главното производство Moniteur belge не изглежда оправомощен от националното право да определя целите и средствата на извършваното от него обработване на данни, като първият преюдициален въпрос е поставен, изхождайки от това схващане. Освен това, видно от съвпадащите обяснения на ОЗД и на белгийското правителство, дадени в съдебното заседание, публичният орган, управляващ Moniteur belge, а именно ФПС „Правосъдие“, също не изглежда да има такива правомощия съгласно националното право.
32 Второ, видно от преписката, с която разполага Съдът, личните данни, които се съдържат в документите, изпратени за обнародване в Moniteur belge, се събират, записват, съхраняват и публикуват основно във вида, в който са представени, с цел официално да се информира обществеността за съществуването на тези документи и те да станат противопоставими на третите лица.
33 В допълнение, от обясненията на запитващата юрисдикция следва, че обработването се извършва основно чрез автоматични средства: по-специално съответните данни се възпроизвеждат в отпечатани на хартия екземпляри, един от които се съхранява електронно, хартиените екземпляри се възпроизвеждат в електронен формат за интернет сайта на Moniteur belge, а копие може да бъде получено чрез служба за съдействие по телефона, която освен това отговаря и за предоставяне на гражданите на услуга за съдействие при търсене на документи.
34 Така от преписката, с която разполага Съдът, следва, че белгийското право е определило — поне имплицитно — целите и средствата на извършеното от Moniteur belge обработване на личните данни.
35 При това положение следва да се приеме, че в качеството си на агенция или структура, отговорна за обработването на съдържащите се публикациите ѝ лични данни в съответствие с целите и средствата на обработване, установени в белгийското законодателство, Moniteur belge може да се разглежда като „администратор“ по смисъла на член 4, точка 7 от ОРЗД.
36 Този извод не се опровергава от обстоятелството, че като подразделение на ФПС „Правосъдие“ Moniteur belge няма самостоятелна правосубектност. Всъщност, видно от ясния текст на тази разпоредба, администратор може да бъде не само физическо или юридическо лице, но и публичен орган, агенция или структура, като такива субекти не са задължително персонифицирани съгласно националното право.
37 Освен това обстоятелството, че според националното право Moniteur belge не осъществява контрол преди обнародването спрямо личните данни, съдържащи се в получените от него документи, не може да има отражение върху това дали Moniteur belge може да се квалифицира като администратор.
38 Всъщност, макар да е вярно, че Moniteur belge трябва да обнародва съответния документ във вида, в който му е представен, той сам изпълнява тази задача и след това разпространява съответния документ. От една страна, обнародването на такива документи без възможност за контрол и изменение на съдържанието им е тясно свързано с определените в националното право цели и средства на обработването, като ролята на държавен вестник като Moniteur belge е само да информира обществеността за съществуването на тези документи във вида, в който са изпратени на този вестник под формата на копие в съответствие с приложимото национално право, така че да могат да бъдат противопоставени на трети лица. От друга страна, изключването от обхвата на понятието „администратор“ на държавния вестник на държава членка с мотива, че той не упражнява контрол върху личните данни, съдържащи се в публикациите му, би противоречало на целта на член 4, точка 7 от ОРЗД, посочена в точка 28 от настоящото решение (вж. по аналогия решение от 13 май 2014 г., Google Spain и Google, C‑131/12, EU:C:2014:317, т. 34).
39 По изложените съображения на първия въпрос следва да се отговори, че член 4, точка 7 от ОРЗД трябва да се тълкува в смисъл, че агенцията или структурата, която отговаря за държавния вестник на държава членка и която съгласно законодателството на тази държава е длъжна по-специално да обнародва във вида, в който са представени, официални документи, изготвени от трети лица с оглед на тяхната собствена отговорност при спазване на приложимите норми и подадени впоследствие до съдебен орган, който ги изпраща за обнародване до въпросната агенция или структура, може — макар да е неперсонифицирана — да се квалифицира като „администратор“ на съдържащите се в тези документи лични данни, когато съответното национално право определя целите и средствата на обработването на личните данни в този държавен вестник.
По втория въпрос
40 С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 5, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че само агенцията или структурата, която отговаря за държавния вестник на държава членка и която е квалифицирана като „администратор“ по смисъла на член 4, точка 7 от ОРЗД, трябва се счита за отговорна за спазването на принципите, посочени в член 5, параграф 1 от ОРЗД, или отговорността за това спазване се носи кумулативно от тази агенция или структура и от третите публични субекти, които са обработили преди това личните данни, съдържащи се в обнародваните в този вестник документи.
41 Най-напред следва да се припомни, че съгласно член 5, параграф 2 от ОРЗД администраторът носи отговорност за спазването на принципите, предвидени под формата на задължения в параграф 1 на този член, и трябва да бъде в състояние да докаже, че тези принципи се спазват.
42 В настоящия случай, видно от преписката, с която разполага Съдът, обработването на разглежданите в главното производство лични данни, поверено на Moniteur belge, не само е последващо спрямо обработването, извършено от нотариуса и от деловодството на компетентния съд, но е и технически различно и допълващо спрямо обработването, извършено от тези два субекта. Всъщност операциите, извършвани от Moniteur belge, са му възложени с националното законодателство и включват по-специално цифровото преобразуване на данните, съдържащи се в представените му документи или извлечения от документи, обнародването, предоставянето на широк достъп на обществеността и съхраняването на тези данни.
43 Ето защо в съответствие с член 5, параграф 2 от ОРЗД Moniteur belge трябва да се счита за отговорен за спазването на принципите, посочени в параграф 1 от този член, що се отнася до обработването, което той е длъжен да извършва по силата на националното право, и следователно за изпълнението на всички задължения, наложени на администраторите от ОРЗД.
44 По-нататък, като се имат предвид колебанията на запитващата юрисдикция по въпроса дали само този държавен вестник е отговорен за обработването, следва да се припомни, че както е видно от текста на член 4, точка 7 от ОРЗД, тази разпоредба предвижда не само че целите и средствата на обработването на лични данни могат да се определят съвместно от няколко лица в качеството им на администратори, но и че самото национално право може да определи тези цели и средства и да определи администратора или специалните критерии за неговото определяне.
45 Така в рамките на верига на обработвания, извършвани от различни лица или субекти и засягащи едни и същи лични данни, националното право може да определи целите и средствата на всички обработвания, извършвани последователно от тези различни лица или субекти, така че същите да носят съвместна отговорност за обработването.
46 Освен това следва да се припомни, че член 26, параграф 1 от ОРЗД предвижда съвместна отговорност, когато двама или повече администратори съвместно определят целите и средствата на обработването на лични данни. Тази разпоредба предвижда също, че съвместните администратори трябва да определят по прозрачен начин и посредством договореност помежду си съответните си отговорности за изпълнение на задълженията по този регламент, освен ако и доколкото съответните отговорности на администраторите не са определени от правото на Съюза или правото на държавата членка, което се прилага спрямо тях.
47 Така от посочената разпоредба следва, че съответните задължения на съвместните администратори на лични данни не зависят непременно от наличието на договореност между различните администратори (вж. в този смисъл решение от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, т. 44 и 45), а може да произтичат от националното право.
48 В допълнение, Съдът е постановил, от една страна, че е достатъчно дадено лице да влияе за собствени цели върху обработването на лични данни и по този начин да участва в определянето на целите и средствата на това обработване, за да може да се счита за съвместен администратор, и от друга страна, че съвместната отговорност на няколко субекта за една и съща обработка не предполага всеки от тях да има достъп до съответните лични данни (вж. в този смисъл решение от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, т. 40—43 и цитираната съдебна практика).
49 От точки 44—48 от настоящото решение следва, че съгласно разпоредбите на член 26, параграф 1 във връзка с член 4, точка 7 от ОРЗД съвместната отговорност на няколко субекта по веригата на обработване на едни и същи лични данни може да бъде установена в националното право, стига различните операции по обработване да са обединени от определени от това право цели и средства и това право да определя съответните задължения на всеки от съвместните администратори.
50 Следва да се уточни, че подобно определяне на целите и средствата, обединяващи различните видове обработване, извършвано от няколко субекта по веригата, както и на съответните задължения на тези субекти, може да се извърши не само пряко, но и непряко от националното право, при условие че в последния случай то може да бъде изведено достатъчно ясно от правните разпоредби, уреждащи съответните лица или субекти и обработването на лични данни, което те извършват в рамките на предвидената в това право верига от операции по обработване.
51 Накрая, за изчерпателност следва да се уточни, че ако запитващата юрисдикция стигне до извода, че агенцията или структурата, която отговаря за Moniteur belge, е не самостоятелно, а съвместно отговорна за спазването на принципите по член 5, параграф 1 от ОРЗД, що се отнася до данните, съдържащи се в разглеждания в главното производство текст, подобен извод по никакъв начин не би предрешил въпроса дали с оглед по-специално на изключенията, предвидени в член 17, параграф 3, букви б) и г) от ОРЗД, следва да се уважи искането за изтриване, отправено от физическото лице, посочено в точка 13 от настоящото решение.
52 По изложените съображения на втория въпрос следва да се отговори, че член 5, параграф 2 във връзка с член 4, точка 7 и член 26, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че само агенцията или структурата, която отговаря за държавния вестник на държава членка и която е квалифицирана като „администратор“ по смисъла на член 4, точка 7 от този регламент, е отговорна за спазването на принципите, посочени в член 5, параграф 1 от него, що се отнася до операциите по обработване на лични данни, които тя е длъжна да извършва по силата на националното право, освен ако от това право произтича съвместна отговорност с други субекти по отношение на въпросните операции.
По съдебните разноски
53 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
1) Член 4, точка 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
агенцията или структурата, която отговаря за държавния вестник на държава членка и която съгласно законодателството на тази държава е длъжна по-специално да обнародва във вида, в който са представени, официални документи, изготвени от трети лица с оглед на тяхната собствена отговорност при спазване на приложимите норми и подадени впоследствие до съдебен орган, който ги изпраща за обнародване до въпросната агенция или структура, може — макар да е неперсонифицирана — да се квалифицира като „администратор“ на съдържащите се в тези документи лични данни, когато съответното национално право определя целите и средствата на обработването на личните данни в този държавен вестник.
2) Член 5, параграф 2 от Регламент 2016/679 във връзка с член 4, точка 7 и член 26, параграф 1 от него
трябва да се тълкува в смисъл, че
само агенцията или структурата, която отговаря за държавния вестник на държава членка и която е квалифицирана като „администратор“ по смисъла на член 4, точка 7 от този регламент, е отговорна за спазването на принципите, посочени в член 5, параграф 1 от него, що се отнася до операциите по обработване на лични данни, които тя е длъжна да извършва по силата на националното право, освен ако от това право произтича съвместна отговорност с други субекти по отношение на въпросните операции.
Подписи