Προσωρινό κείμενο
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)
της 11ης Ιανουαρίου 2024 (*)
«Προδικαστική παραπομπή – Προσέγγιση των νομοθεσιών – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών (Γενικός Κανονισμός για την Προστασία Δεδομένων) – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 7 – Έννοια του “υπευθύνου επεξεργασίας” – Επίσημη εφημερίδα κράτους μέλους – Υποχρέωση δημοσίευσης των εταιρικών πράξεων όπως αυτές έχουν καταρτιστεί από τις εταιρίες ή τους νομίμους εκπροσώπους τους – Άρθρο 5, παράγραφος 2 – Διαδοχική επεξεργασία, από περισσότερα πρόσωπα ή περισσότερες χωριστές οντότητες, δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στις πράξεις αυτές – Προσδιορισμός της ευθύνης»
Στην υπόθεση C‑231/22,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το cour d’appel de Bruxelles (εφετείο Βρυξελλών, Βέλγιο) με απόφαση της 23ης Φεβρουαρίου 2022, η οποία περιήλθε στο Δικαστήριο την 1η Απριλίου 2022, στο πλαίσιο της δίκης
État belge
κατά
Autorité de protection des données,
παρισταμένου του:
LM,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους K. Jürimäe, πρόεδρο τμήματος, N. Piçarra, M. Safjan (εισηγητή), N. Jääskinen και M. Gavalec, δικαστές,
γενική εισαγγελέας: L. Medina
γραμματέας: C. Strömholm, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 23ης Μαρτίου 2023,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Autorité de protection des données (APD), εκπροσωπούμενη από τις F. Biebuyck και P. Van Muylder, avocates, και από τον E. Kairis, advocaat,
– η Βελγική Κυβέρνηση, εκπροσωπούμενη από τον P. Cottin, τον J.-C. Halleux και την C. Pochet, επικουρούμενους από τους S. Kaisergruber και P. Schaffner, avocats,
– η Ουγγρική Κυβέρνηση, εκπροσωπούμενη από την Zs. Biró‑Tóth και τον M. Z. Fehér,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον Α. Μπουχάγιαρ, τον H. Kranenborg και την A.-C. Simon,
αφού άκουσε τη γενική εισαγγελέα που ανέπτυξε τις προτάσεις της κατά τη συνεδρίαση της 8ης Ιουνίου 2023,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 4, σημείο 7, και του άρθρου 5, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του État belge (Βελγικού Δημοσίου) και της Autorité de protection des données (Αρχής Προστασίας Δεδομένων, Βέλγιο) (στο εξής: APD), ήτοι της εποπτικής αρχής που έχει συσταθεί στο Βέλγιο δυνάμει του άρθρου 51 του ΓΚΠΔ, με αντικείμενο απόφαση με την οποία η εν λόγω αρχή ζήτησε από την υπηρεσία που διαχειρίζεται τη Moniteur belge, ήτοι την επίσημη εφημερίδα στην οποία δημοσιεύεται στο συγκεκριμένο κράτος μέλος, σε χαρτί ή ηλεκτρονικά, ευρύ φάσμα επίσημων και δημόσιων εγγράφων, να προβεί σε ενέργειες σε συνέχεια της άσκησης εκ μέρους φυσικού προσώπου του δικαιώματος διαγραφής όσον αφορά διάφορα δεδομένα προσωπικού χαρακτήρα που περιελήφθησαν σε πράξη δημοσιευθείσα στην επίσημη αυτή εφημερίδα.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Το άρθρο 4, σημεία 2 και 7, του ΓΚΠΔ ορίζει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
[...]
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[...]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,
[...]».
4 Το άρθρο 5 του ΓΚΠΔ ορίζει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 (“περιορισμός του σκοπού”),
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”),
ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (“περιορισμός της περιόδου αποθήκευσης”),
στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”).
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
5 Το άρθρο 17 του ΓΚΠΔ έχει ως εξής:
«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους:
α) τα δεδομένα προσωπικού χαρακτήρα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία,
β) το υποκείμενο των δεδομένων ανακαλεί τη συγκατάθεση επί της οποίας βασίζεται η επεξεργασία σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο α) ή το άρθρο 9 παράγραφος 2 στοιχείο α) και δεν υπάρχει άλλη νομική βάση για την επεξεργασία,
γ) το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2,
[...]
3. Οι παράγραφοι 1 και 2 δεν εφαρμόζονται στον βαθμό που η επεξεργασία είναι απαραίτητη:
[...]
β) για την τήρηση νομικής υποχρέωσης που επιβάλλει την επεξεργασία βάσει του δικαίου της Ένωσης ή του δικαίου κράτους μέλους στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας ή για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο της επεξεργασίας,
[...]
δ) για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1, εφόσον το δικαίωμα που αναφέρεται στην παράγραφο 1 είναι πιθανόν να καταστήσει αδύνατη ή να εμποδίσει σε μεγάλο βαθμό την επίτευξη σκοπών της εν λόγω επεξεργασίας,
[...]».
6 Κατά το άρθρο 26 του ΓΚΠΔ:
«1. Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, αποτελούν από κοινού υπευθύνους επεξεργασίας. Αυτοί καθορίζουν με διαφανή τρόπο τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό, ιδίως όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και τα αντίστοιχα καθήκοντά τους για να παρέχουν τις πληροφορίες που αναφέρονται στα άρθρα 13 και 14, μέσω συμφωνίας μεταξύ τους, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι υπεύθυνοι επεξεργασίας. Στη συμφωνία μπορεί να αναφέρεται ένα σημείο επικοινωνίας για τα υποκείμενα των δεδομένων.
2. Η συμφωνία που αναφέρεται στην παράγραφο 1 αντανακλά δεόντως τους αντίστοιχους ρόλους και σχέσεις των από κοινού υπευθύνων επεξεργασίας έναντι των υποκειμένων των δεδομένων. Η ουσία της συμφωνίας τίθεται στη διάθεση του υποκειμένου των δεδομένων.
3. Ανεξάρτητα από τους όρους της συμφωνίας που αναφέρεται στην παράγραφο 1, το υποκείμενο των δεδομένων μπορεί να ασκήσει τα δικαιώματά του δυνάμει του παρόντος κανονισμού έναντι και κατά καθενός από τους υπευθύνους επεξεργασίας.»
7 Το άρθρο 51 του ΓΚΠΔ ορίζει μεταξύ άλλων ότι τα κράτη μέλη διασφαλίζουν ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του ΓΚΠΔ.
Το βελγικό δίκαιο
8 Το άρθρο 472 του loi-programme du 24 décembre 2002 (προγραμματικού νόμου της 24ης Δεκεμβρίου 2002) (Moniteur belge της 31ης Δεκεμβρίου 2002, σ. 58686) ορίζει τα εξής:
«Η Moniteur belge αποτελεί επίσημη έκδοση που δημοσιεύεται από τη Διεύθυνση της Moniteur belge, η οποία συγκεντρώνει το σύνολο των εγγράφων των οποίων διατάσσεται η δημοσίευση στη Moniteur belge.»
9 Το άρθρο 474 του ως άνω προγραμματικού νόμου προβλέπει τα εξής:
«Η δημοσίευση στη Moniteur belge από τη Διεύθυνση της Moniteur belge γίνεται σε τέσσερα αντίγραφα σε έντυπη μορφή.
[...]
Ένα αντίγραφο αποθηκεύεται σε ηλεκτρονική μορφή. Οι σχετικές με την ηλεκτρονική αποθήκευση λεπτομέρειες καθορίζονται από τον Βασιλέα [...]».
10 Το άρθρο 475 του εν λόγω προγραμματικού νόμου έχει ως εξής:
«Οποιαδήποτε άλλη διάθεση στο κοινό πραγματοποιείται μέσω της ιστοσελίδας της Διευθύνσεως της Moniteur belge.
Οι δημοσιεύσεις που διατίθενται μέσω της ως άνω ιστοσελίδας αποτελούν πιστή αναπαραγωγή σε ηλεκτρονική μορφή των εντύπων αντιγράφων που προβλέπονται από το άρθρο 474.»
11 Το άρθρο 475bis του ίδιου προγραμματικού νόμου ορίζει τα εξής:
«Κάθε πολίτης δύναται να λάβει σε τιμή κόστους από τη Moniteur belge αντίγραφο των πράξεων και των εγγράφων που δημοσιεύονται στη Moniteur belge, μέσω μιας δωρεάν υπηρεσίας τηλεφωνικής βοήθειας. Η υπηρεσία αυτή είναι επίσης υπεύθυνη για την παροχή στους πολίτες υπηρεσιών βοήθειας αναζήτησης εγγράφων.»
12 Το άρθρο 475ter του προγραμματικού νόμου της 24ης Δεκεμβρίου 2002 ορίζει τα εξής:
«Με βασιλικό διάταγμα που εκδίδεται κατόπιν προτάσεως του Υπουργικού Συμβουλίου, λαμβάνονται και άλλα συμπληρωματικά μέτρα προκειμένου να εξασφαλιστεί η ευρύτερη δυνατή διάδοση και πρόσβαση στις πληροφορίες που περιέχονται στη Moniteur belge.»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
13 Στο Βέλγιο, ένα φυσικό πρόσωπο κατείχε την πλειοψηφία των μεριδίων μιας ιδιωτικής εταιρίας περιορισμένης ευθύνης. Κατόπιν της αποφάσεως των εταίρων να προβούν σε μείωση του εταιρικού κεφαλαίου, το καταστατικό της εταιρίας αυτής τροποποιήθηκε με την από 23 Ιανουαρίου 2019 απόφαση της έκτακτης συνέλευσης των εταίρων.
14 Σύμφωνα με τον code des sociétés (κώδικα εταιριών), όπως τροποποιήθηκε με τον νόμο της 7ης Μαΐου 1999 (Moniteur belge της 6ης Αυγούστου 1999, σ. 29440), συμβολαιογράφος του οποίου εντολέας ήταν το εν λόγω φυσικό πρόσωπο συνέταξε απόσπασμα της απόφασης της συνέλευσης των εταίρων και, εν συνεχεία, το διαβίβασε στη γραμματεία του αρμόδιου δικαστηρίου, ήτοι του δικαστηρίου επιχειρήσεων στην περιφέρεια του οποίου εδρεύει η εταιρία. Δυνάμει των σχετικών διατάξεων του νόμου, το δικαστήριο απέστειλε το απόσπασμα της απόφασης στη διεύθυνση της Moniteur belge προς δημοσίευση.
15 Στις 12 Φεβρουαρίου 2019 το απόσπασμα δημοσιεύθηκε ως είχε, δηλαδή χωρίς έλεγχο του περιεχομένου του, στα παραρτήματα της Moniteur belge σύμφωνα με τις εφαρμοστέες διατάξεις του νόμου.
16 Το ως άνω απόσπασμα περιέχει την απόφαση μείωσης του εταιρικού κεφαλαίου, το αρχικό ποσό του κεφαλαίου, το ποσό της μείωσης, το νέο ποσό του εταιρικού κεφαλαίου και το νέο κείμενο του καταστατικού. Περιλαμβάνει επίσης ένα χωρίο το οποίο περιέχει τα ονόματα των δύο εταίρων της εταιρίας, εκ των οποίων ο ένας είναι το φυσικό πρόσωπο για το οποίο έγινε λόγος στη σκέψη 13 της παρούσας απόφασης, τα ποσά που τους επεστράφησαν καθώς και τους αριθμούς των τραπεζικών λογαριασμών τους (στο εξής: επίμαχο χωρίο στην κύρια δίκη).
17 Το εν λόγω φυσικό πρόσωπο, αφού διαπίστωσε ότι ο συμβολαιογράφος είχε περιλάβει εκ παραδρομής στο απόσπασμα για το οποίο έγινε λόγος στη σκέψη 14 της παρούσας απόφασης το επίμαχο χωρίο στην κύρια δίκη, ενώ αυτό δεν απαιτούνταν από τον νόμο, ανέλαβε, μέσω του συμβολαιογράφου και του υπευθύνου προστασίας δεδομένων του συμβολαιογράφου, ενέργειες για την απάλειψη του χωρίου, κατ’ εφαρμογήν του δικαιώματος διαγραφής που προβλέπει το άρθρο 17 του ΓΚΠΔ.
18 H service public fédéral Justice (ομοσπονδιακή δημόσια υπηρεσία δικαιοσύνης, στο εξής: SPF Justice), στην οποία υπάγεται η Διεύθυνση της Moniteur belge, αρνήθηκε ιδίως με απόφαση της 10ης Απριλίου 2019 να συμμορφωθεί προς το αίτημα διαγραφής.
19 Στις 21 Ιανουαρίου 2020 το εν λόγω φυσικό πρόσωπο κατέθεσε καταγγελία κατά της SPF Justice ενώπιον της APD, ζητώντας να διαπιστωθεί ότι το αίτημα διαγραφής ήταν βάσιμο και ότι πληρούνταν οι προβλεπόμενες στο άρθρο 17, παράγραφος 1, του ΓΚΠΔ προϋποθέσεις για την άσκηση του δικαιώματος διαγραφής.
20 Με απόφαση της 23ης Μαρτίου 2021, η APD απηύθυνε «επίπληξη» στην SPF Justice, υποχρεώνοντάς την ταυτόχρονα να συμμορφωθεί προς το αίτημα διαγραφής το συντομότερο δυνατόν και το αργότερο εντός 30 ημερών από την κοινοποίηση της απόφασης.
21 Στις 22 Απριλίου 2021 το Βελγικό Δημόσιο προσέφυγε ενώπιον του cour d’appel de Bruxelles (εφετείου Βρυξελλών, Βέλγιο), ήτοι του αιτούντος δικαστηρίου, ζητώντας την ακύρωση της ως άνω απόφασης.
22 Το αιτούν δικαστήριο επισημαίνει ότι οι διάδικοι διαφωνούν ως προς τον τρόπο με τον οποίο θα πρέπει να ερμηνευθεί η έννοια «υπεύθυνος επεξεργασίας» κατά το άρθρο 4, παράγραφος 7, του ΓΚΠΔ, λαμβανομένου υπόψη ότι τα περιλαμβανόμενα στο επίμαχο χωρίο στη κύρια δίκη δεδομένα προσωπικού χαρακτήρα των οποίων η δημοσίευση δεν απαιτείται από τον νόμο αποτέλεσαν αντικείμενο επεξεργασίας από πλείονες «διαδοχικούς» πιθανούς υπευθύνους επεξεργασίας. Αυτοί είναι, πρώτον, ο συμβολαιογράφος που συνέταξε το απόσπασμα που περιείχε το επίμαχο χωρίο στην κύρια δίκη, συμπεριλαμβάνοντας σε αυτό εκ παραδρομής τα ως άνω προσωπικά δεδομένα, δεύτερον, η γραμματεία του δικαστηρίου στο οποίο κατατέθηκε εν συνεχεία το απόσπασμα για να διαβιβαστεί στη Moniteur belge προς δημοσίευση και, τρίτον, η Moniteur belge η οποία, σύμφωνα με τις διατάξεις που διέπουν την οργάνωση και την αποστολή της, το δημοσίευσε ως είχε, ήτοι χωρίς να έχει εξουσία ελέγχου και τροποποίησης, μετά την παραλαβή του εκ μέρους του εν λόγω δικαστηρίου.
23 Στο ως άνω πλαίσιο, το αιτούν δικαστήριο διερωτάται αν η Moniteur belge μπορεί να χαρακτηρισθεί ως «υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ. Σε περίπτωση καταφατικής απάντησης, το αιτούν δικαστήριο, επισημαίνοντας πάντως ότι οι διάδικοι της κύριας δίκης δεν επικαλούνται την προβλεπόμενη στο άρθρο 26 του ΓΚΠΔ από κοινού ευθύνη, ζητεί επίσης να διευκρινιστεί αν η Moniteur belge μπορεί να θεωρηθεί ως μοναδική υπεύθυνη, δυνάμει του άρθρου 5, παράγραφος 2, του ΓΚΠΔ, για την τήρηση των αρχών που κατοχυρώνει το άρθρο 5, παράγραφος 1, του ΓΚΠΔ ή αν η ευθύνη αυτή βαρύνει σωρευτικώς και τις δημόσιες αρχές που επεξεργάστηκαν προηγουμένως τα δεδομένα που περιλαμβάνονται στο επίμαχο χωρίο στην κύρια δίκη, ήτοι τον συμβολαιογράφο που συνέταξε το απόσπασμα στο οποίο περιλαμβανόταν το χωρίο αυτό και το δικαστήριο επιχειρήσεων στην περιφέρεια του οποίου εδρεύει η επίμαχη ιδιωτική εταιρία περιορισμένης ευθύνης.
24 Υπό τις συνθήκες αυτές, το cour d’appel de Bruxelles (εφετείο Βρυξελλών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα εξής προδικαστικά ερωτήματα:
«1) Πρέπει το άρθρο 4, σημείο 7, του [ΓΚΠΔ] να ερμηνευθεί υπό την έννοια ότι έχει την ιδιότητα του υπεύθυνου επεξεργασίας η επίσημη εφημερίδα κράτους μέλους –στην οποία έχει ανατεθεί η δημόσια υπηρεσία της δημοσιεύσεως και αρχειοθετήσεως επισήμων εγγράφων και η οποία, σύμφωνα με την εφαρμοστέα εθνική νομοθεσία, είναι αρμόδια να δημοσιεύει τις πράξεις και τα επίσημα έγγραφα των οποίων η δημοσίευση διατάσσεται από τρίτες δημόσιες αρχές, όπως ακριβώς της διαβιβάζονται από τις εν λόγω αρχές, αφού οι τελευταίες έχουν επεξεργαστεί τα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται στις εν λόγω πράξεις και έγγραφα, χωρίς σε αυτή να έχει απονεμηθεί από τον εθνικό νομοθέτη εξουσία εκτιμήσεως ως προς το περιεχόμενο των προς δημοσίευση εγγράφων και ως προς τον σκοπό και τον τρόπο της δημοσιεύσεως;
2) Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα, έχει το άρθρο 5, παράγραφος 2, του [ΓΚΠΔ] την έννοια ότι η επίσημη αυτή εφημερίδα είναι αποκλειστικώς υπεύθυνη για την τήρηση των υποχρεώσεων που βαρύνουν τον υπεύθυνο επεξεργασίας δυνάμει της εν λόγω διατάξεως, αποκλειομένης της ευθύνης των τρίτων δημόσιων αρχών που είχαν επεξεργαστεί προηγουμένως τα δεδομένα που περιλαμβάνονται στις επίσημες πράξεις και έγγραφα των οποίων τη δημοσίευση ζητούν, ή οι υποχρεώσεις αυτές βαρύνουν σωρευτικώς έκαστο εκ των διαδοχικών υπεύθυνων επεξεργασίας;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
25 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 4, σημείο 7, του ΓΚΠΔ έχει την έννοια ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και, δυνάμει της νομοθεσίας του κράτους αυτού, υποχρεούται, μεταξύ άλλων, να δημοσιεύει ως έχουν επίσημες πράξεις και έγγραφα που καταρτίζονται, τηρουμένων των ισχυόντων κανόνων, από τρίτους με δική τους ευθύνη και κατατίθενται σε δικαστική αρχή που τα αποστέλλει προς δημοσίευση στην επίσημη εφημερίδα μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας», κατά τη διάταξη αυτή, των δεδομένων προσωπικού χαρακτήρα που περιέχουν οι επίσημες αυτές πράξεις και έγγραφα.
26 Προκαταρκτικώς, διευκρινίζεται ότι η έννοια του «υπευθύνου επεξεργασίας», κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ, προϋποθέτει την ύπαρξη «επεξεργασίας» δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ. Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται στο επίμαχο χωρίο στην κύρια δίκη αποτέλεσαν αντικείμενο επεξεργασίας από τη Moniteur belge. Μολονότι το αιτούν δικαστήριο δεν εκθέτει τις λεπτομέρειες της επεξεργασίας, τα δεδομένα αυτά, όπως προκύπτει από τις συγκλίνουσες γραπτές παρατηρήσεις της APD και της Βελγικής Κυβερνήσεως, συνελέγησαν, καταχωρίστηκαν, αποθηκεύθηκαν, κοινολογήθηκαν με διαβίβαση και διαδόθηκαν από τη Moniteur belge, οι δε πράξεις αυτές αποτελούν «επεξεργασία» κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ.
27 Κατόπιν της προκαταρκτικής αυτής διευκρίνισης, υπενθυμίζεται ότι, δυνάμει του άρθρου 4, παράγραφος 7, του ΓΚΠΔ, η έννοια του «υπευθύνου επεξεργασίας» καλύπτει τα φυσικά ή νομικά πρόσωπα, τις δημόσιες αρχές, τις υπηρεσίες ή άλλους φορείς οι οποίοι, μόνοι ή από κοινού με άλλους, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας. Η διάταξη αυτή προβλέπει επίσης ότι, όταν οι σκοποί και ο τρόπος της επεξεργασίας καθορίζονται, μεταξύ άλλων, από το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του μπορούν να προβλέπονται από το δίκαιο του κράτους μέλους.
28 Υπενθυμίζεται συναφώς ότι, κατά τη νομολογία του Δικαστηρίου, η διάταξη αυτή αποσκοπεί, μέσω του ευρέος ορισμού της έννοιας του «υπευθύνου επεξεργασίας», στη διασφάλιση αποτελεσματικής και πλήρους προστασίας των υποκειμένων των δεδομένων (πρβλ. αποφάσεις της 5ης Δεκεμβρίου 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, σκέψη 29, και της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 40 και εκεί μνημονευόμενη νομολογία).
29 Λαμβανομένου υπόψη του γράμματος του άρθρου 4, σημείο 7, του ΓΚΠΔ, ερμηνευόμενου υπό το πρίσμα του ανωτέρω σκοπού, συνάγεται ότι, για να διαπιστωθεί αν ορισμένο πρόσωπο ή ορισμένη οντότητα πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια της διάταξης αυτής, πρέπει να εξεταστεί αν το συγκεκριμένο πρόσωπο ή η συγκεκριμένη οντότητα, μόνα ή από κοινού με άλλους, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας ή αν αυτοί καθορίζονται από το εθνικό δίκαιο. Όταν ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας γίνεται από το εθνικό δίκαιο, πρέπει επιπλέον να εξεταστεί αν το εθνικό δίκαιο προβλέπει τον υπεύθυνο της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του.
30 Ως προς το ζήτημα αυτό, διευκρινίζεται ότι, λαμβανομένου υπόψη του ευρέος ορισμού της έννοιας του «υπευθύνου επεξεργασίας», κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ, ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας και, ενδεχομένως, ο ορισμός του υπευθύνου της επεξεργασίας από το εθνικό δίκαιο μπορούν να γίνονται όχι μόνο ρητώς, αλλά επίσης και εμμέσως. Στην τελευταία αυτή περίπτωση, απαιτείται εντούτοις ο ορισμός του υπευθύνου της επεξεργασίας να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τις εξουσίες που ανατίθενται στο συγκεκριμένο πρόσωπο ή στη συγκεκριμένη οντότητα. Πράγματι, η προστασία των υποκειμένων των δεδομένων θα μειωνόταν αν το άρθρο 4, σημείο 7, του ΓΚΠΔ ερμηνευόταν περιοριστικώς ώστε να καλύπτει μόνο τις περιπτώσεις κατά τις οποίες οι σκοποί και ο τρόπος της επεξεργασίας που γίνεται από ορισμένο πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέα ορίζονται ρητώς από το εθνικό δίκαιο, ακόμη και όταν οι σκοποί και ο τρόπος της επεξεργασίας προκύπτουν, κατ’ ουσίαν, από τις διατάξεις του νόμου που διέπουν τη δραστηριότητα της συγκεκριμένης οντότητας.
31 Εν προκειμένω, πρώτον, το αιτούν δικαστήριο επισημαίνει ότι, στην υπόθεση της κύριας δίκης, δεν φαίνεται να έχει δοθεί στη Moniteur belge, βάσει του εθνικού δικαίου, η εξουσία να καθορίζει τους σκοπούς και τον τρόπο της πραγματοποιούμενης από αυτήν επεξεργασίας δεδομένων και το πρώτο προδικαστικό ερώτημα υποβάλλεται με βάση την παραδοχή αυτή. Εξάλλου, από τις συγκλίνουσες διευκρινίσεις της APD και της Βελγικής Κυβερνήσεως κατά την επ’ ακροατηρίου συζήτηση προκύπτει ότι ούτε στη δημόσια αρχή που διαχειρίζεται τη Moniteur belge, ήτοι την SPF Justice, φαίνεται να έχει δοθεί τέτοια εξουσία δυνάμει του εθνικού δικαίου.
32 Δεύτερον, από τα στοιχεία της δικογραφίας που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που περιέχουν οι πράξεις και τα έγγραφα που αποστέλλονται στη Moniteur belge προς δημοσίευση συλλέγονται, καταχωρίζονται, αποθηκεύονται και δημοσιεύονται ως έχουν προκειμένου να ενημερωθεί επισήμως το κοινό για την ύπαρξη των πράξεων και των εγγράφων αυτών και να καταστούν αυτά αντιτάξιμα έναντι τρίτων.
33 Επιπλέον, από τις εξηγήσεις του αιτούντος δικαστηρίου προκύπτει ότι η επεξεργασία γίνεται με χρήση αυτοματοποιημένων μέσων: μεταξύ άλλων, τα εν λόγω δεδομένα αναπαράγονται σε αντίτυπα εκτυπωμένα σε χαρτί, εκ των οποίων ένα αποθηκεύεται ηλεκτρονικά, τα αντίτυπα σε χαρτί αναπαράγονται σε ηλεκτρονική μορφή για τον διαδικτυακό τόπο της Moniteur belge και αντίγραφό τους μπορεί να ληφθεί μέσω υπηρεσίας τηλεφωνικής βοήθειας η οποία είναι επιπλέον επιφορτισμένη με την παροχή στους πολίτες υποστήριξης κατά την αναζήτηση εγγράφων.
34 Συνεπώς, από τα στοιχεία της δικογραφίας που έχει στη διάθεσή του το Δικαστήριο συνάγεται ότι το βελγικό δίκαιο καθόρισε, τουλάχιστον εμμέσως, τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί η Moniteur belge.
35 Υπό τις συνθήκες αυτές, επισημαίνεται ότι μπορεί να γίνει δεκτό ότι η Moniteur belge, ως υπηρεσία ή οργανισμός επιφορτισμένος με την επεξεργασία, σύμφωνα με τους σκοπούς και τον τρόπο επεξεργασίας που καθόρισε η βελγική νομοθεσία, των δεδομένων προσωπικού χαρακτήρα που περιέχουν οι δημοσιεύσεις της, είναι «υπεύθυνος επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ.
36 Το συμπέρασμα αυτό δεν αναιρείται από το γεγονός ότι η Moniteur belge, ως τομέας της SPF Justice, δεν διαθέτει νομική προσωπικότητα. Πράγματι, από το σαφές γράμμα της ως άνω διάταξης προκύπτει ότι υπεύθυνος επεξεργασίας μπορεί να είναι όχι μόνον ένα φυσικό ή νομικό πρόσωπο, αλλά επίσης και μια δημόσια αρχή, μια υπηρεσία ή ένας φορέας, οντότητες οι οποίες δεν έχουν κατ’ ανάγκην νομική προσωπικότητα σύμφωνα με το εθνικό δίκαιο.
37 Ομοίως, δεν έχει σημασία για τη δυνατότητα χαρακτηρισμού της Moniteur belge ως υπεύθυνης επεξεργασίας το γεγονός ότι, δυνάμει του εθνικού δικαίου, αυτή δεν ελέγχει, πριν από τη δημοσίευση στην επίσημη εφημερίδα, τα δεδομένα προσωπικού χαρακτήρα τα οποία περιέχουν οι πράξεις και τα έγγραφα που παραλαμβάνει.
38 Πράγματι, μολονότι αληθεύει ότι η Moniteur belge πρέπει να δημοσιεύει το κάθε έγγραφο ως έχει, εντούτοις μόνη αυτή αναλαμβάνει το συγκεκριμένο καθήκον και προβαίνει, εν συνεχεία, στη διάδοση της συγκεκριμένης πράξης ή του συγκεκριμένου εγγράφου. Αφενός, η δημοσίευση τέτοιων πράξεων και εγγράφων χωρίς δυνατότητα ελέγχου ή τροποποίησης του περιεχομένου τους συνδέεται άρρηκτα με τους σκοπούς και τον τρόπο επεξεργασίας που καθορίστηκαν από το εθνικό δίκαιο, καθόσον ο ρόλος επίσημης εφημερίδας όπως η Moniteur belge περιορίζεται στην ενημέρωση του κοινού για την ύπαρξη των πράξεων και των εγγράφων αυτών, όπως διαβιβάστηκαν στην επίσημη εφημερίδα υπό τη μορφή αντιγράφου σύμφωνα με το εφαρμοστέο εθνικό δίκαιο, ώστε να καταστούν αντιτάξιμα έναντι τρίτων. Αφετέρου, ο αποκλεισμός της επίσημης εφημερίδας κράτους μέλους από την έννοια του «υπευθύνου επεξεργασίας», για τον λόγο ότι δεν ασκεί έλεγχο επί των δεδομένων προσωπικού χαρακτήρα που περιέχουν οι δημοσιεύσεις της, θα ήταν αντίθετος προς τον σκοπό του άρθρου 4, σημείο 7, του ΓΚΠΔ, για τον οποίο έγινε λόγος στη σκέψη 28 της παρούσας απόφασης (βλ., κατ’ αναλογίαν, απόφαση της 13ης Μαΐου 2014, Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 34).
39 Κατόπιν των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 4, σημείο 7, του ΓΚΠΔ έχει την έννοια ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και, δυνάμει της νομοθεσίας του κράτους αυτού, υποχρεούται, μεταξύ άλλων, να δημοσιεύει ως έχουν επίσημες πράξεις και έγγραφα που καταρτίζονται από τρίτους με δική τους ευθύνη, τηρουμένων των ισχυόντων κανόνων, και κατατίθενται σε δικαστική αρχή που τα αποστέλλει προς δημοσίευση στην επίσημη εφημερίδα μπορεί, παρά την έλλειψη νομικής προσωπικότητας, να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας», κατά τη διάταξη αυτή, των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στις εν λόγω επίσημες πράξεις και έγγραφα, στην περίπτωση που το εθνικό δίκαιο ορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί η επίσημη αυτή εφημερίδα.
Επί του δευτέρου προδικαστικού ερωτήματος
40 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 5, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και χαρακτηρίζεται ως «υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ, πρέπει να θεωρείται ως μόνος υπεύθυνος για την τήρηση των αρχών που προβλέπονται στο άρθρο 5, παράγραφος 1, του ΓΚΠΔ ή αν η τήρηση των συγκεκριμένων αρχών βαρύνει, μαζί με την ως άνω υπηρεσία ή φορέα, και τρίτες δημόσιες οντότητες οι οποίες επεξεργάστηκαν προηγουμένως τα δεδομένα που περιέχουν οι πράξεις ή τα έγγραφα που δημοσιεύονται στην εν λόγω επίσημη εφημερίδα.
41 Κατ’ αρχάς, υπενθυμίζεται ότι, δυνάμει του άρθρου 5, παράγραφος 2, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη της συμμόρφωσης προς τις αρχές που προβλέπονται υπό τη μορφή υποχρεώσεων στην παράγραφο 1 του άρθρου αυτού και πρέπει να είναι σε θέση να αποδείξει ότι οι αρχές αυτές τηρούνται.
42 Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων προσωπικού χαρακτήρα που ανατέθηκε στη Moniteur belge είναι μεταγενέστερη της επεξεργασίας τόσο εκ μέρους του συμβολαιογράφου όσο και εκ μέρους της γραμματείας του αρμόδιου δικαστηρίου και είναι τεχνικά διαφορετική από την επεξεργασία που πραγματοποίησαν οι δύο αυτές οντότητες, καθόσον προστίθεται σε αυτήν. Πράγματι, οι πράξεις επεξεργασίας που πραγματοποιεί η Moniteur belge τής ανατίθενται από την εθνική νομοθεσία και συνεπάγονται την ψηφιοποίηση των δεδομένων που περιέχουν οι πράξεις και τα αποσπάσματα πράξεων που της υποβάλλονται, τη δημοσίευση τους, τη διάθεσή τους σε ένα ευρύ κοινό, καθώς και την αποθήκευσή τους.
43 Ως εκ τούτου, η Moniteur belge πρέπει να θεωρηθεί, δυνάμει του άρθρου 5, παράγραφος 2, του ΓΚΠΔ, ως υπεύθυνη για την τήρηση των αρχών που προβλέπονται στην παράγραφο 1 του άρθρου αυτού όσον αφορά την επεξεργασία στην οποία υποχρεούται να προβεί βάσει του εθνικού δικαίου και, κατά συνέπεια, για την τήρηση του συνόλου των υποχρεώσεων τις οποίες επιβάλλει ο ΓΚΠΔ στον υπεύθυνο επεξεργασίας.
44 Εν συνεχεία, λαμβανομένων υπόψη των αμφιβολιών του αιτούντος δικαστηρίου ως προς το ζήτημα αν η επίσημη αυτή εφημερίδα είναι μόνη υπεύθυνη για την εν λόγω επεξεργασία, υπενθυμίζεται ότι το άρθρο 4, σημείο 7, του ΓΚΠΔ, όπως συνάγεται από το γράμμα του, προβλέπει όχι μόνον ότι τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα μπορούν να τους καθορίζουν από κοινού περισσότερα πρόσωπα ως υπεύθυνοι της επεξεργασίας, αλλά επίσης και ότι το εθνικό δίκαιο μπορεί να καθορίζει το ίδιο τους σκοπούς και τον τρόπο της επεξεργασίας και να προβλέπει τον υπεύθυνο της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του.
45 Συνεπώς, στο πλαίσιο αλυσίδας πράξεων επεξεργασίας, εκ μέρους διαφορετικών προσώπων ή οντοτήτων, των ίδιων δεδομένων προσωπικού χαρακτήρα, το εθνικό δίκαιο μπορεί να καθορίσει τους σκοπούς και τον τρόπο όλων των πράξεων επεξεργασίας τις οποίες πραγματοποιούν διαδοχικά τα διαφορετικά αυτά πρόσωπα ή οντότητες, κατά τέτοιο τρόπο ώστε αυτά να θεωρούνται ως από κοινού υπεύθυνα για την επεξεργασία.
46 Υπενθυμίζεται εξάλλου ότι το άρθρο 26, παράγραφος 1, του ΓΚΠΔ προβλέπει από κοινού ευθύνη στην περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας. Η ίδια διάταξη προβλέπει ότι οι από κοινού υπεύθυνοι επεξεργασίας καθορίζουν με διαφανή τρόπο τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που απορρέουν από τον ΓΚΠΔ μέσω συμφωνίας, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι υπεύθυνοι επεξεργασίας.
47 Από την ανωτέρω διάταξη προκύπτει ότι οι αντίστοιχες ευθύνες των από κοινού υπευθύνων για την επεξεργασία δεδομένων προσωπικού χαρακτήρα δεν εξαρτώνται κατ’ ανάγκην από την ύπαρξη συμφωνίας μεταξύ των διαφόρων υπευθύνων (πρβλ. απόφαση της 5ης Δεκεμβρίου 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, σκέψεις 44 και 45), αλλά μπορούν να καθορίζονται από το εθνικό δίκαιο.
48 Επιπλέον, το Δικαστήριο έχει κρίνει, αφενός, ότι, προκειμένου ορισμένο πρόσωπο να μπορεί να θεωρηθεί ως από κοινού υπεύθυνο για ορισμένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, αρκεί να ασκεί επιρροή, για δικούς του σκοπούς, στην επεξεργασία και να συμμετέχει ως εκ τούτου στον καθορισμό των σκοπών και του τρόπου της επεξεργασίας και, αφετέρου, ότι η από κοινού ευθύνη διαφόρων φορέων για μία και την αυτή επεξεργασία, βάσει της διάταξης αυτής, δεν απαιτεί να έχουν όλοι οι εν λόγω φορείς πρόσβαση στα σχετικά δεδομένα προσωπικού χαρακτήρα (πρβλ. απόφαση της 5ης Δεκεμβρίου 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, σκέψεις 40 έως 43 και εκεί μνημονευόμενη νομολογία).
49 Από τις σκέψεις 44 έως 48 της παρούσας απόφασης προκύπτει ότι, δυνάμει των συνδυασμένων διατάξεων του άρθρου 26, παράγραφος 1, και του άρθρου 4, σημείο 7, του ΓΚΠΔ, η από κοινού ευθύνη περισσότερων συμμετεχόντων σε αλυσίδα πράξεων επεξεργασίας των ίδιων δεδομένων προσωπικού χαρακτήρα μπορεί να προβλέπεται από το εθνικό δίκαιο, εφόσον, αφενός, τις διάφορες πράξεις επεξεργασίας συνδέουν σκοποί και τρόπος επεξεργασίας που έχουν καθοριστεί από το εθνικό δίκαιο και, αφετέρου, το εθνικό δίκαιο ορίζει τις αντίστοιχες ευθύνες καθενός από τους από κοινού υπευθύνους επεξεργασίας.
50 Διευκρινίζεται ότι ο ως άνω καθορισμός των σκοπών και του τρόπου της επεξεργασίας οι οποίοι συνδέουν διάφορες πράξεις επεξεργασίας που πραγματοποιούν οι συμμετέχοντες στην εν λόγω αλυσίδα, καθώς και των αντίστοιχων ευθυνών τους, μπορεί να γίνει από το εθνικό δίκαιο όχι μόνο άμεσα, αλλά επίσης και εμμέσως, υπό τον όρο, στην τελευταία αυτή περίπτωση, να είναι δυνατόν να συναχθεί κατά τρόπο αρκούντως σαφή από τις διατάξεις του νόμου που διέπουν τα εμπλεκόμενα πρόσωπα και οντότητες, καθώς και την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αυτά πραγματοποιούν στο πλαίσιο της επιβαλλόμενης από το εθνικό δίκαιο αλυσίδας πράξεων επεξεργασίας.
51 Τέλος και εν πάση περιπτώσει, διευκρινίζεται ότι, εάν το αιτούν δικαστήριο συμπεράνει ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της Moniteur belge δεν είναι μόνος αλλά από κοινού με άλλους υπεύθυνος για την τήρηση των αρχών που προβλέπει το άρθρο 5, παράγραφος 1, του ΓΚΠΔ όσον αφορά τα δεδομένα που περιέχει το επίμαχο χωρίο στην κύρια δίκη, το συμπέρασμα αυτό ουδόλως προδικάζει το ζήτημα αν, λαμβανομένων ιδίως υπόψη των εξαιρέσεων του άρθρου 17, παράγραφος 3, στοιχεία βʹ και δʹ, του ΓΚΠΔ, πρέπει να γίνει δεκτό το αίτημα διαγραφής που υποβλήθηκε από το φυσικό πρόσωπο του οποίου έγινε μνεία στη σκέψη 13 της παρούσας απόφασης.
52 Κατόπιν των ανωτέρω σκέψεων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 5, παράγραφος 2, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 4, σημείο 7, και το άρθρο 26, παράγραφος 1, του ΓΚΠΔ, έχει την έννοια ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και χαρακτηρίζεται ως «υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ, πρέπει να θεωρείται ως μόνος υπεύθυνος για την τήρηση των αρχών που προβλέπονται στο άρθρο 5, παράγραφος 1, του ΓΚΠΔ, όσον αφορά τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα τις οποίες υποχρεούται να εκτελέσει δυνάμει του εθνικού δικαίου, εκτός αν από το εθνικό δίκαιο προκύπτει από κοινού ευθύνη του με άλλες οντότητες σε σχέση με τις πράξεις αυτές.
Επί των δικαστικών εξόδων
53 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1) Το άρθρο 4, παράγραφος 7, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και, δυνάμει της νομοθεσίας του κράτους αυτού, υποχρεούται, μεταξύ άλλων, να δημοσιεύει ως έχουν επίσημες πράξεις και έγγραφα που καταρτίζονται από τρίτους με δική τους ευθύνη, τηρουμένων των ισχυόντων κανόνων, και κατατίθενται σε δικαστική αρχή που τα αποστέλλει προς δημοσίευση στην επίσημη εφημερίδα μπορεί, παρά την έλλειψη νομικής προσωπικότητας, να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας», κατά τη διάταξη αυτή, των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στις εν λόγω επίσημες πράξεις και έγγραφα, στην περίπτωση που το εθνικό δίκαιο ορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί η επίσημη αυτή εφημερίδα.
2) Το άρθρο 5, παράγραφος 2, του κανονισμού 2016/679, ερμηνευόμενο σε συνδυασμό με το άρθρο 4, σημείο 7, και το άρθρο 26, παράγραφος 1, του ίδιου κανονισμού,
έχει την έννοια ότι:
η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και χαρακτηρίζεται ως «υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 4, σημείο 7, του εν λόγω κανονισμού, πρέπει να θεωρείται ως μόνος υπεύθυνος για την τήρηση των αρχών που προβλέπονται στο άρθρο 5, παράγραφος 1, του εν λόγω κανονισμού, όσον αφορά τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα τις οποίες υποχρεούται να εκτελέσει δυνάμει του εθνικού δικαίου, εκτός αν από το εθνικό δίκαιο προκύπτει από κοινού ευθύνη του με άλλες οντότητες σε σχέση με τις πράξεις αυτές.
(υπογραφές)