Väliaikainen versio
UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
11 päivänä tammikuuta 2024 (*)
Ennakkoratkaisupyyntö – Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä sekä näiden tietojen vapaa liikkuvuus (yleinen tietosuoja-asetus) – Asetus (EU) 2016/679 – 4 artiklan 7 alakohta – Rekisterinpitäjän käsite – Jäsenvaltion virallinen lehti – Velvollisuus julkaista sellaisenaan yhtiöiden tai niiden laillisten edustajien valmistelemat yhtiöasiakirjat – 5 artiklan 2 kohta – Useiden erillisten henkilöiden tai yksiköiden suorittama tällaisiin asiakirjoihin sisältyvien henkilötietojen myöhempi käsittely – Vastuiden määrittäminen
Asiassa C‑231/22,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka cour d’appel de Bruxelles (Brysselin ylioikeus, Belgia) on esittänyt 23.2.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 1.4.2022, saadakseen ennakkoratkaisun asiassa
Belgian valtio
vastaan
Autorité de protection des données,
ja jossa asian käsittelyyn osallistuu:
LM,
UNIONIN TUOMIOISTUIN (kolmas jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja K. Jürimäe sekä tuomarit N. Piçarra, M. Safjan (esittelevä tuomari), N. Jääskinen ja M. Gavalec,
julkisasiamies: L. Medina,
kirjaaja: hallintovirkamies C. Strömholm,
ottaen huomioon kirjallisessa käsittelyssä ja 23.3.2023 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Autorité de protection des données, edustajinaan F. Biebuyck ja P. Van Muylder, avocates, ja E. Kairis, advocaat,
– Belgian hallitus, asiamiehinään P. Cottin, J.-C. Halleux ja C. Pochet, avustajinaan S. Kaisergruber ja P. Schaffner,
– Unkarin hallitus, asiamiehinään Zs. Biró-Tóth ja M. Z. Fehér,
– Euroopan komissio, asiamiehinään A. Bouchagiar, H. Kranenborg ja A.-C. Simon,
kuultuaan julkisasiamiehen 8.6.2023 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 4 artiklan 7 alakohdan ja 5 artiklan 2 kohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Belgian valtio ja Autorité de protection des données (Belgia) (Belgian tietosuojaviranomainen, jäljempänä tietosuojaviranomainen), joka on yleisen tietosuoja-asetuksen 51 artiklan nojalla Belgiassa perustettu valvontaviranomainen, ja jossa on kyse päätöksestä, jolla tämä viranomainen määräsi Moniteur belgeä, joka on virallinen lehti, joka vastaa kyseisessä jäsenvaltiossa laajasta valikoimasta paperilla ja sähköisesti julkaistuja virallisia ja julkisia julkaisuja, hallinnoivan viranomaisen ryhtymään toimenpiteisiin, jotta luonnollinen henkilö voi käyttää oikeuttaan useiden henkilötietojen poistamiseen kyseisessä virallisessa lehdessä julkaistusta asiakirjasta.
Asiaa koskevat oikeussäännöt
Unionin lainsäädäntö
3 Yleisen tietosuoja-asetuksen 4 artiklan 2 ja 7 alakohdassa säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
– –
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –
7) ’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,
– –”
4 Yleisen tietosuoja-asetuksen 5 artiklassa säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa ('käyttötarkoitussidonnaisuus');
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään ('tietojen minimointi');
d) niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä ('täsmällisyys');
e) ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi ('säilytyksen rajoittaminen');
f) niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia ('eheys ja luottamuksellisuus').
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
5 Yleisen tietosuoja-asetuksen 17 artiklassa säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
a) henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin;
b) rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut 6 artiklan 1 kohdan a alakohdan tai 9 artiklan 2 kohdan a alakohdan mukaisesti, eikä käsittelyyn ole muuta laillista perustetta;
c) rekisteröity vastustaa käsittelyä 21 artiklan 1 kohdan nojalla eikä käsittelylle ole olemassa ensisijaista perusteltua syytä tai rekisteröity vastustaa käsittelyä 21 artiklan 2 kohdan nojalla;
– –
3. Edellä olevaa 1 ja 2 kohtaa ei sovelleta siltä osin kuin käsittely on tarpeen
– –
b) rekisterinpitäjään sovellettavaan unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan, käsittelyä edellyttävän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely tapahtuu yleistä etua koskevan tehtävän suorittamista tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä varten;
– –
d) yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti, jos 1 kohdassa tarkoitettu oikeus todennäköisesti estää kyseisen käsittelyn tai vaikeuttaa sitä suuresti; – –
– –”
6 Yleisen tietosuoja-asetuksen 26 artiklassa säädetään seuraavaa:
”1. Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Ne määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tässä asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön ja 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Järjestelyn yhteydessä voidaan nimetä rekisteröidyille yhteyspiste.
2. Edellä 1 kohdassa tarkoitetusta järjestelystä on käytävä asianmukaisesti ilmi yhteisten rekisterinpitäjien todelliset roolit ja suhteet rekisteröityihin nähden. Järjestelyn keskeisten osien on oltava rekisteröidyn saatavilla.
3. Riippumatta 1 kohdassa tarkoitetun järjestelyn ehdoista rekisteröity voi käyttää tämän asetuksen mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan.”
7 Yleisen tietosuoja-asetuksen 51 artiklassa säädetään muun muassa, että jäsenvaltioiden on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta.
Belgian lainsäädäntö
8 24.12.2002 annetun ohjelmalain (loi-programme du 24 décembre 2002; Moniteur belge 31.12.2002, s. 58686) 472 §:ssä säädetään seuraavaa:
”Moniteur belge on Direction du Moniteur belgen toimittama virallinen julkaisu, johon kootaan kaikki tekstit, jotka on määrätty julkaistavaksi Moniteur belgessä.”
9 Ohjelmalain 474 §:ssä säädetään seuraavaa:
”Direction du Moniteur belgen julkaisema Moniteur belge julkaistaan neljänä paperille painettuna kappaleena.
– –
Yksi kappale tallennetaan sähköisesti. Kuningas päättää sähköistä tallennusta koskevista järjestelyistä – –”
10 Mainitun ohjelmalain 475 §:ssä säädetään seuraavaa:
”Muu yleisön saataville asettaminen tapahtuu Direction du Moniteur belgen verkkosivuston kautta.
Kyseisellä verkkosivustolla saataville asetettujen julkaisujen on oltava 474 §:ssä tarkoitettujen paperille painettujen kappaleiden tarkkoja jäljennöksiä sähköisessä muodossa.”
11 Saman ohjelmalain 475bis §:ssä säädetään seuraavaa:
”Jokainen kansalainen voi saada kopion Moniteur belgessä julkaistuista asiakirjoista Moniteur belgen yksiköiltä maksuttoman puhelinpalvelun kautta omakustannushintaan. Tämän puhelinpalvelun tehtävänä on myös tarjota kansalaisille asiakirjahakuapua.”
12 24.12.2002 annetun ohjelmalain 475 §:ssä säädetään seuraavaa:
”Muut liitännäistoimenpiteet toteutetaan ministerineuvostossa tehdyllä kuninkaan asetuksella Moniteur belgen sisältämien tietojen mahdollisimman laajan levittämisen ja saatavuuden varmistamiseksi.”
Pääasia ja ennakkoratkaisukysymykset
13 Luonnollinen henkilö omisti Belgiassa enemmistön erään yksityisen rajavastuuyhtiön osuuksista. Koska kyseisen yhtiön osakkaat päättivät alentaa yhtiön pääomaa, mainitun yhtiön yhtiöjärjestystä muutettiin sen ylimääräisen yhtiökokouksen 23.1.2019 tekemällä päätöksellä.
14 Yhtiökoodeksin, sellaisena kuin se on 7.5.1999 annetussa laissa (Moniteur belge 6.8.1999, s. 29440), mukaisesti kyseisen luonnollisen henkilön notaari laati otteen tästä päätöksestä ennen kuin hän toimitti sen toimivaltaisen tuomioistuimen eli sen kauppatuomioistuimen, jonka alueella kyseisellä yhtiöllä on kotipaikka, kirjaamoon. Asiaa koskevien säännösten nojalla tuomioistuin toimitti tämän otteen Direction du Moniteur belgelle sen julkaisemista varten.
15 Kyseinen ote julkaistiin 12.2.2019 sellaisenaan eli sen sisältöä tarkastamatta Moniteur belgen liitteissä sovellettavien säännösten mukaisesti.
16 Sama ote sisältää päätöksen mainitun yhtiön pääoman alentamisesta, pääoman alkuperäisen määrän, alennuksen määrän, yhtiöpääoman uuden määrän ja yhtiöjärjestyksen uuden tekstin. Kyseinen ote sisältää myös kohdan, jossa mainitaan kyseisen yhtiön kahden osakkaan nimet, joista toinen on tämän tuomion 13 kohdassa mainittu luonnollinen henkilö, heille palautetut varat ja heidän pankkitiliensä numerot (jäljempänä pääasiassa kyseessä oleva kohta).
17 Todettuaan, että hänen notaarinsa oli tehnyt virheen sisällyttämällä pääasiassa kyseessä olevan kohdan tämän tuomion 14 kohdassa mainittuun otteeseen, vaikka sitä ei edellytetty laissa, kyseinen luonnollinen henkilö ryhtyi notaarin ja tämän tietosuojavastaavan välityksellä toimenpiteisiin, joilla pyrittiin tämän kohdan poistamiseen hänellä yleisen tietosuoja-asetuksen 17 artiklan mukaan olevan tietojen poistamista koskevan oikeuden mukaisesti.
18 Service public fédéral Justice (liittovaltion oikeusministeriö, jäljempänä oikeusministeriö), jonka alaisuuteen Direction du Moniteur belge kuuluu, hylkäsi tällaisen poistamispyynnön 10.4.2019 tekemällään päätöksellä.
19 Mainittu luonnollinen henkilö teki 21.1.2020 oikeusministeriöstä kantelun tietosuojaviranomaiselle sen toteamiseksi, että tietojen poistamista koskeva pyyntö on perusteltu ja että yleisen tietosuoja-asetuksen 17 artiklan 1 kohdassa säädetyt edellytykset tietojen poistamista koskevan oikeuden käyttämiselle täyttyvät.
20 Tietosuojaviranomainen osoitti 23.3.2021 tekemällään päätöksellä oikeusministeriölle ”nuhteita” ja kehotti sitä ryhtymään toimenpiteisiin mainitun poistamispyynnön johdosta mahdollisimman pian ja viimeistään 30 päivän kuluessa tämän päätöksen tiedoksiantamisesta.
21 Belgian valtio nosti 22.4.2021 kanteen cour d’appel de Bruxellesissä (Brysselin ylioikeus, Belgia), joka on ennakkoratkaisua pyytänyt tuomioistuin, ja vaati mainitun päätöksen kumoamista.
22 Kyseinen tuomioistuin toteaa, että asianosaiset ovat eri mieltä siitä, miten yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa olevaa rekisterinpitäjän käsitettä olisi tulkittava pääasiassa, koska useat mahdolliset ”peräkkäiset” rekisterinpitäjät ovat käsitelleet pääasiassa kyseessä olevaan kohtaan sisältyviä henkilötietoja, joiden julkaisemista ei edellytetty laissa. Näitä rekisterinpitäjiä ovat ensiksi notaari, joka on laatinut pääasiassa kyseessä olevan kohdan sisältävän otteen lisäämällä siihen erehdyksessä nämä tiedot, toiseksi sen tuomioistuimen kirjaamo, johon tämä ote on myöhemmin toimitettu ennen sen toimittamista julkaistavaksi Moniteur belgelle, ja kolmanneksi Moniteur Belge, joka on asemaansa ja tehtäviään koskevien lainsäännösten mukaisesti julkaissut sen sellaisenaan eli ilman tarkastus- ja muutosvaltaa sen jälkeen, kun se oli saanut sen tältä tuomioistuimelta.
23 Ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä yhteydessä, voidaanko Moniteur belgeä pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”. Jos näin on ja todeten, että pääasian asianosaiset eivät vetoa yleisen tietosuoja-asetuksen 26 artiklassa säädettyyn yhteisvastuuseen, tämä tuomioistuin haluaa myös selvittää, onko Moniteur Belgen katsottava tämän asetuksen 5 artiklan 2 kohdan nojalla vastaavan yksin mainitun asetuksen 5 artiklan 1 kohdassa säädettyjen periaatteiden noudattamisesta vai onko tämä vastuu kumulatiivisesti myös niillä julkisilla elimillä, jotka ovat aluksi käsitelleet pääasiassa kyseessä olevaan kohtaan sisältyviä tietoja, eli notaarilla, joka on laatinut kyseisen kohdan sisältävän otteen, ja kauppatuomioistuimella, jonka tuomiopiirissä asianomaisen rajavastuuyhtiön kotipaikka on.
24 Tässä tilanteessa cour d'appel de Bruxelles on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa tulkittava siten, että jäsenvaltion virallinen lehti – jolle on annettu virallisten asiakirjojen julkaisemista ja säilyttämistä koskeva julkisen palvelun tehtävä ja jonka on sovellettavan kansallisen lainsäädännön nojalla julkaistava viralliset toimet ja asiakirjat, jotka kolmannet julkiset elimet määräävät sen julkaistaviksi, sellaisina kuin nämä elimet ovat ne sille toimittaneet sen jälkeen, kun ne ovat ensin itse käsitelleet näiden toimien ja asiakirjojen sisältämiä henkilötietoja, mutta jolle kansallinen lainsäätäjä ei ole antanut mitään harkintavaltaa vaikuttaa julkaisemiensa asiakirjojen sisältöön eikä julkaisemisen tarkoituksiin ja keinoihin – on rekisterinpitäjä?
2) Jos ensimmäiseen kysymykseen vastataan myöntävästi, onko yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa tulkittava siten, että kyseisen virallisen lehden on oltava ainoa, jonka on noudatettava kyseisessä säännöksessä rekisterinpitäjälle asetettuja velvoitteita, ja etteivät nämä velvoitteet koske kolmansia julkisia elimiä, jotka ovat ensin käsitelleet tietoja, jotka sisältyvät virallisiin toimiin ja asiakirjoihin, joiden julkaisemista ne pyytävät viralliselta lehdeltä, vai kuuluvatko nämä velvoitteet kaikille peräkkäisille rekisterinpitäjille samanaikaisesti?”
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
25 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa tulkittava siten, että jäsenvaltion virastoa tai elintä, joka vastaa virallisesta lehdestä ja jonka on kyseisen valtion lainsäädännön nojalla muun muassa julkaistava sellaisenaan kolmansien omalla vastuullaan sovellettavia sääntöjä noudattaen laatimat toimet ja viralliset asiakirjat, jotka on tämän jälkeen toimitettu oikeusviranomaiselle, joka on osoittanut ne tälle virastolle tai elimelle julkaisemista varten, voidaan pitää kyseisessä säännöksessä tarkoitettuna näissä toimissa ja asiakirjoissa olevien henkilötietojen ”rekisterinpitäjänä”.
26 Aluksi on huomattava, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettu käsite ”rekisterinpitäjä” edellyttää, että henkilötietoja ”käsitellään” kyseisen asetuksen 4 artiklan 2 alakohdassa tarkoitetussa merkityksessä. Nyt esillä olevassa asiassa ennakkoratkaisupyynnöstä ilmenee, että Moniteur belge on käsitellyt pääasiassa kyseessä olevaan kohtaan sisältyviä henkilötietoja. Vaikka ennakkoratkaisua pyytänyt tuomioistuin ei esitä kyseisen käsittelyn yksityiskohtia, tietosuojaviranomaisen ja Belgian hallituksen yhtenevistä kirjallisista huomautuksista ilmenee, että Moniteur belge ainakin keräsi, tallensi, säilytti, luovutti siirtämällä ja levitti näitä tietoja, ja tällaiset toimet ovat mainitun asetuksen 4 artiklan 2 alakohdassa tarkoitettua ”käsittelyä”.
27 Tämän alustavan selvennyksen jälkeen on muistutettava, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan mukaan rekisterinpitäjän käsite kattaa luonnolliset henkilöt tai oikeushenkilöt, viranomaiset, virastot tai muut elimet, jotka yksin tai yhdessä toisten kanssa määrittelevät henkilötietojen käsittelyn tarkoitukset ja keinot. Tässä säännöksessä todetaan myös, että jos tällaisen käsittelyn tarkoitukset ja keinot määritellään muun muassa jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa tämän lainsäädännön mukaisesti.
28 Tältä osin on muistettava, että unionin tuomioistuimen oikeuskäytännön mukaan kyseisen säännöksen tavoitteena on varmistaa ”rekisterinpitäjän” käsitteen laajan määritelmän avulla rekisteröityjen tehokas ja kattava suoja (ks. vastaavasti tuomio 5.12.2023, Nacionalinis visuomenės sveitakos centras, C‑683/21, EU:C:2023:949, 29 kohta ja tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 40 kohta oikeuskäytäntöviittauksineen).
29 Kun otetaan huomioon yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan sanamuoto tämän tavoitteen valossa luettuna, näyttää siltä, että sen määrittämiseksi, onko henkilöä tai yksikköä pidettävä tässä säännöksessä tarkoitettuna ”rekisterinpitäjänä”, on selvitettävä, määrittääkö tämä henkilö tai yksikkö yksin tai yhdessä toisten kanssa käsittelyn tarkoitukset ja keinot vai määritetäänkö ne kansallisessa lainsäädännössä. Kun tällainen määrittäminen tehdään kansallisessa lainsäädännössä, on tarkistettava, nimitetäänkö kyseisessä lainsäädännössä rekisterinpitäjä tai vahvistetaanko siinä tämän nimittämistä koskeat erityiset kriteerit.
30 Tältä osin on täsmennettävä, että kun otetaan huomioon yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen laaja määritelmä, käsittelyn tarkoitusten ja keinojen määrittäminen ja tarvittaessa rekisterinpitäjän nimittäminen kansallisessa lainsäädännössä voidaan tehdä paitsi nimenomaisesti myös implisiittisesti. Viimeksi mainitussa tapauksessa edellytetään kuitenkin, että määrittäminen ilmenee riittävän varmasti asianomaiselle henkilölle tai yksikölle annetusta asemasta, tehtävästä ja toimivaltuuksista. Näiden henkilöiden suojaa nimittäin heikennettäisiin, jos yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa tulkittaisiin suppeasti siten, että se kattaisi vain tapaukset, joissa henkilön, viranomaisen, viraston tai elimen suorittaman tietojenkäsittelyn tarkoitukset ja keinot määritetään nimenomaisesti kansallisessa lainsäädännössä, vaikka nämä tarkoitukset ja keinot kävisivät pääosin ilmi kyseisen yksikön toimintaa sääntelevistä säännöksistä.
31 Nyt käsiteltävässä asiassa ennakkoratkaisua pyytänyt tuomioistuin täsmentää ensiksi, että pääasiassa Moniteur belge ei näytä olevan kansallisen oikeuden mukaan toimivaltainen määrittämään toteuttamansa tietojenkäsittelyn tarkoituksia ja keinoja, ja ensimmäinen ennakkoratkaisukysymys perustuu tähän lähtökohtaan. Lisäksi tietosuojaviranomaisen ja Belgian hallituksen istunnossa esittämistä yhtenevistä selvityksistä ilmenee, että Moniteur belgeä hallinnoivalla viranomaisella eli oikeusministeriöllä ei myöskään näytä olevan tällaista toimivaltaa kansallisen oikeuden nojalla.
32 Toiseksi unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että Moniteur belgessä julkaistavaksi toimitettuihin toimiin ja asiakirjoihin sisältyvät henkilötiedot kerätään, rekisteröidään, säilytetään ja julkaistaan sellaisinaan, jotta yleisölle annetaan virallisesti tieto näistä toimista ja asiakirjoista ja jotta niihin voidaan vedota kolmansia vastaan.
33 Lisäksi ennakkoratkaisua pyytäneen tuomioistuimen selvityksistä ilmenee, että käsittely tapahtuu olennaisin osin automaattisesti: kyseiset tiedot muun muassa jäljennetään paperille painettuihin kappaleihin, joista yksi säilytetään sähköisesti, painetut paperikappaleet jäljennetään sähköisessä muodossa Moniteur belge ‑lehden verkkosivustolle ja kopio on saatavissa puhelinpalvelusta, jonka tehtävänä on myös tarjota kansalaisille apua asiakirjojen haussa.
34 Unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee siten, että Belgian lainsäädännössä on ainakin implisiittisesti määritetty Moniteur belgessä suoritetun henkilötietojen käsittelyn tarkoitukset ja keinot.
35 Näissä olosuhteissa on todettava, että Moniteur virastona tai elimenä, jonka tehtävänä on käsitellä sen julkaisuihin sisältyviä henkilötietoja Belgian lainsäädännössä säädettyjen käsittelyn tarkoitusten ja keinojen mukaisesti, voidaan pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”.
36 Tätä päätelmää ei kyseenalaista se, että Moniteur belgellä, joka on oikeusministeriön alajaosto, ei ole oikeushenkilöllisyyttä. Kyseisen säännöksen selvästä sanamuodosta käy nimittäin ilmi, että rekisterinpitäjä voi olla luonnollisen henkilön tai oikeushenkilön lisäksi myös viranomainen, virasto tai elin, ja tällaisilla yksiköillä välttämättä ole kansallisen lainsäädännön mukaan oikeushenkilöllisyyttä.
37 Myöskään sillä, että kansallisen lainsäädännön mukaan Moniteur belge ei tarkasta mainitun virallisen lehden vastaanottamiin toimiin ja asiakirjoihin sisältyviä henkilötietoja ennen niiden julkaisemista virallisessa lehdessä, ei voi olla merkitystä sen kannalta, voidaanko Moniteur belgeä pitää rekisterinpitäjänä.
38 Vaikka on totta, että Moniteur belgen on julkaistava kyseinen asiakirja sellaisenaan, se vastaa tästä tehtävästä yksin ja levittää tämän jälkeen kyseisen toimen tai asiakirjan. Yhtäältä tällaisten toimien ja asiakirjojen julkaiseminen ilman mahdollisuutta tarkastaa tai muuttaa niiden sisältöä liittyy erottamattomasti kansallisessa lainsäädännössä määritettyihin käsittelyn tarkoituksiin ja keinoihin, koska Moniteur belgen kaltaisen virallisen lehden tehtävänä on ainoastaan tiedottaa yleisölle tällaisten toimien ja asiakirjojen olemassaolosta sellaisina kun ne toimitetaan tälle viralliselle lehdelle jäljennöksenä sovellettavan kansallisen lainsäädännön mukaisesti, jotta niihin voidaan vedota kolmansia vastaan. Toisaalta olisi tämän tuomion 28 kohdassa mainitun yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan tavoitteen vastaista sulkea rekisterinpitäjän käsitteen ulkopuolelle jäsenvaltion virallinen lehti sillä perusteella, että sillä ei ole määräysvaltaa julkaisuihinsa sisältyvien henkilötietojen osalta (ks. analogisesti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 34 kohta).
39 Edellä esitetyillä perusteilla ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohtaa on tulkittava siten, että jäsenvaltion virallisesta lehdestä vastaavaa virastoa tai elintä, jonka tehtävänä on tämän jäsenvaltion lainsäädännön mukaan muun muassa julkaista sellaisenaan viralliset toimet ja asiakirjat, jotka kolmannet ovat omalla vastuullaan laatineet sovellettavien sääntöjen mukaisesti ja jotka on tämän jälkeen toimitettu oikeusviranomaiselle, joka lähettää ne tälle virastolle tai elimelle julkaisemista varten, voidaan sen oikeushenkilöllisyyden puuttumisesta huolimatta pitää näiden toimien ja asiakirjojen sisältämien henkilötietojen ”rekisterinpitäjänä”, jos kyseisessä kansallisessa lainsäädännössä määritetään tämän virallisen lehden suorittaman henkilötietojen käsittelyn tarkoitukset ja keinot.
Toinen kysymys
40 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa tulkittava siten, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä” pidetyn jäsenvaltion virallisesta lehdestä vastaavan viraston tai elimen on katsottava vastaavan yksin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta, vai onko tällainen noudattaminen kumulatiivisesti kyseisen viraston tai elimen ja sellaisten kolmansien julkisten yksiköiden vastuulla, jotka ovat aiemmin käsitelleet kyseisessä virallisessa lehdessä julkaistuihin toimiin ja asiakirjoihin sisältyviä henkilötietoja.
41 Ensiksi on muistettava, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa kyseisen artiklan 1 kohdassa velvollisuuksina säädettyjen periaatteiden noudattamisesta ja että sen on pystyttävä osoittamaan, että näitä periaatteita noudatetaan.
42 Nyt käsiteltävässä asiassa unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että pääasiassa kyseessä oleva henkilötietojen käsittely, joka on annettu Moniteur belgen tehtäväksi, seuraa notaarin ja toimivaltaisen tuomioistuimen kirjaamon suorittamaa käsittelyä ja että se on teknisesti erilaista kuin näiden kahden yksikön suorittama käsittely, koska se täydentää sitä. Moniteur belgessä suoritetut toimenpiteet on nimittäin annettu sen tehtäväksi kansallisessa lainsäädännössä, ja niihin kuuluu muun muassa sille toimitettuihin toimiin tai toimien otteisiin sisältyvien tietojen digitointi, julkaiseminen, saattaminen yleisön saataville ja säilyttäminen.
43 Näin ollen Moniteur Belgen on katsottava vastaavan yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan nojalla kyseisen artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta niiden käsittelytoimien osalta, jotka sen on kansallisen lainsäädännön mukaan suoritettava, ja näin ollen kaikkien niiden velvoitteiden noudattamisesta, jotka yleisessä tietosuoja-asetuksessa asetetaan rekisterinpitäjälle.
44 Kun seuraavaksi otetaan huomioon ennakkoratkaisua pyytäneen tuomioistuimen kysymykset siitä, onko tällainen virallinen lehti yksin vastuussa näistä käsittelytoimista, on muistettava, että kuten yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan sanamuodosta ilmenee, tässä säännöksessä ei säädetä vain, että useat henkilöt voivat yhdessä määrittää rekisterinpitäjinä henkilötietojen käsittelyn tarkoitukset ja keinot, vaan myös, että kansallisessa lainsäädännössä voidaan itsessään määrittää nämä tarkoitukset ja keinot ja nimittää rekisterinpitäjä tai vahvistaa tämän nimittämistä koskevat erityiset kriteerit.
45 Näin ollen eri henkilöiden tai yksiköiden suorittamien, samoja henkilötietoja koskevien käsittelytoimien ketjun osalta kansallisessa lainsäädännössä voidaan määrittää näiden eri henkilöiden tai yksikköjen kaikkien peräkkäin suorittamien käsittelytoimien tarkoitukset ja keinot sillä tavoin, että ne ovat yhdessä vastuussa käsittelystä.
46 Lisäksi on muistettava, että yleisen tietosuoja-asetuksen 26 artiklan 1 kohdassa säädetään yhteisvastuusta, kun vähintään kaksi rekisterinpitäjää määrittää yhdessä henkilötietojen käsittelyn tarkoitukset ja keinot. Kyseisessä säännöksessä säädetään myös, että yhteisrekisterinpitäjien on määriteltävä keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tässä asetuksessa vahvistettujen velvoitteiden noudattamiseksi, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet.
47 Mainitusta säännöksestä ilmenee siten, että henkilötietojen yhteisrekisterinpitäjien vastuualueet eivät välttämättä riipu eri rekisterinpitäjien välisen järjestelyn olemassaolosta (ks. vastaavasti tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 44 ja 45 kohta), vaan ne voivat johtua kansallisesta lainsäädännöstä.
48 Lisäksi unionin tuomioistuin on todennut yhtäältä, että on riittävää, että henkilö vaikuttaa omia tarkoituksiaan varten henkilötietojen käsittelyyn ja osallistuu tämän vuoksi kyseisen käsittelyn tarkoitusten ja keinojen määrittämiseen, jotta sitä voidaan pitää yhteisrekisterinpitäjänä, ja toisaalta, että se, että useampi toimija on yhteisvastuussa samasta käsittelystä, ei edellytä sitä, että kaikilla niistä on pääsy kyseisiin henkilötietoihin (ks. vastaavasti tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 40–43 kohta oikeuskäytäntöviittauksineen).
49 Tämän tuomion 44–48 kohdasta seuraa, että yleisen tietosuoja-asetuksen 26 artiklan 1 kohdan ja 4 artiklan 7 alakohdan yhdessä luettujen säännösten nojalla samoja henkilötietoja koskevien käsittelytoimien ketjussa voidaan kansallisessa lainsäädännössä vahvistaa useiden toimijoiden yhteisvastuu edellyttäen, että eri käsittelytoimia yhdistävät kyseisessä lainsäädännössä määritetyt tarkoitukset ja keinot ja että siinä määritellään kunkin yhteisrekisterinpitäjän vastuualueet.
50 On tarkennettava, että tällainen ketjun useiden toimijoiden suorittamia eri käsittelytoimia yhdistävien tarkoitusten ja keinojen sekä näiden toimijoiden vastuualueiden määrittäminen voidaan tehdä paitsi suoraan myös välillisesti kansallisessa lainsäädännössä edellyttäen, että se voidaan jälkimmäisessä tapauksessa johtaa riittävän yksiselitteisesti niistä säännöksistä, jotka koskevat kyseisiä henkilöitä tai yksikköjä sekä henkilötietojen käsittelyä, jonka ne suorittavat kyseisessä lainsäädännössä säädetyssä käsittelyketjussa.
51 Lopuksi on varmuuden vuoksi täsmennettävä, että jos ennakkoratkaisua pyytänyt tuomioistuin päätyy siihen, että Moniteur belgestä vastaava virasto tai elin ei yksin vastaa yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa tarkoitettujen periaatteiden noudattamisesta vaan yhdessä muiden kanssa pääasiassa kyseessä olevaan kohtaan sisältyvien tietojen osalta, tällainen päätelmä ei millään tavoin vaikuta siihen, onko tämän tuomion 13 kohdassa mainitun luonnollisen henkilön esittämä tietojen poistamispyyntö hyväksyttävä, kun otetaan huomioon erityisesti yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan b ja d alakohdassa tarkoitetut poikkeukset.
52 Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa, luettuna yhdessä sen 4 artiklan 7 alakohdan ja 26 artiklan 1 kohdan kanssa, on tulkittava siten, että jäsenvaltion virallisesta lehdestä vastaava virasto tai elin, jota pidetään yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”, vastaa yksin tämän asetuksen 5 artiklan 1 kohdassa mainittujen periaatteiden noudattamisesta niiden henkilötietojen käsittelytoimien osalta, jotka sen on suoritettava kansallisen lainsäädännön nojalla, jos kyseisestä lainsäädännöstä ei voida johtaa näitä toimia koskevaa yhteisvastuuta muiden yksiköiden kanssa.
Oikeudenkäyntikulut
53 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
1) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 4 artiklan 7 alakohtaa
on tulkittava siten, että
jäsenvaltion virallisesta lehdestä vastaavaa virastoa tai elintä, jonka tehtävänä on tämän jäsenvaltion lainsäädännön mukaan muun muassa julkaista sellaisenaan viralliset toimet ja asiakirjat, jotka kolmannet ovat omalla vastuullaan laatineet sovellettavien sääntöjen mukaisesti ja jotka on tämän jälkeen toimitettu oikeusviranomaiselle, joka lähettää ne tälle virastolle tai elimelle julkaisemista varten, voidaan sen oikeushenkilöllisyyden puuttumisesta huolimatta pitää näiden toimien ja asiakirjojen sisältämien henkilötietojen ”rekisterinpitäjänä”, jos kyseisessä kansallisessa lainsäädännössä määritetään tämän virallisen lehden suorittaman henkilötietojen käsittelyn tarkoitukset ja keinot.
2) Yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa, luettuna yhdessä sen 4 artiklan 7 alakohdan ja 26 artiklan 1 kohdan kanssa,
on tulkittava siten, että
jäsenvaltion virallisesta lehdestä vastaava virasto tai elin, jota pidetään yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna ”rekisterinpitäjänä”, vastaa yksin tämän asetuksen 5 artiklan 1 kohdassa mainittujen periaatteiden noudattamisesta niiden henkilötietojen käsittelytoimien osalta, jotka sen on suoritettava kansallisen lainsäädännön nojalla, jos kyseisestä lainsäädännöstä ei voida johtaa näitä toimia koskevaa yhteisvastuuta muiden yksiköiden kanssa.
Allekirjoitukset