PRESUDA SUDA (treće vijeće)
11. siječnja 2024.(*)
„Zahtjev za prethodnu odluku – Usklađivanje zakonodavstava – Zaštita pojedinaca pri obradi osobnih podataka i slobodno kretanje tih podataka (Opća uredba o zaštiti podataka) – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam ,voditelj obrade’ – Službeni list države članice – Obveza objavljivanja dokumenata društava koje su ona ili njihovi zakonski zastupnici pripremili onakvih kakvi oni jesu – Članak 5. stavak 2. – Uzastopna obrada osobnih podataka iz takvih akata koju provodi nekoliko osoba ili zasebnih subjekata – Određivanje odgovornosti”
U predmetu C‑231/22,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu, Belgija), odlukom od 23. veljače 2022., koju je Sud zaprimio 1. travnja 2022., u postupku
État belge
protiv
Autorité de protection des données,
uz sudjelovanje:
LM,
SUD (treće vijeće),
u sastavu: K. Jürimäe, predsjednica vijeća, N. Piçarra, M. Safjan (izvjestitelj), N. Jääskinen i M. Gavalec, suci,
nezavisna odvjetnica: L. Medina,
tajnik: C. Strömholm, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 23. ožujka 2023.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Autorité de protection des données, F. Biebuyck, P.Van Muylder, avocates, i E. Kairis, advocaat,
– za belgijsku vladu, P. Cottin, J.-C. Halleux i C. Pochet, u svojstvu agenata, uz asistenciju S. Kaisergrubera i P. Schaffnera, avocats,
– za mađarsku vladu, Zs. Biró-Tóth i Z. Fehér, u svojstvu agenata,
– za Europsku komisiju, A. Bouchagiar, H. Kranenborg i A.-C. Simon, u svojstvu agenata,
saslušavši mišljenje nezavisne odvjetnice na raspravi održanoj 8. lipnja 2023.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. točke 7. i članka 5. stavka 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.; u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između État belge, Belgijske Države i Autorité de protection des données (Tijelo za zaštitu podataka, Belgija; u daljnjem tekstu TZP), nadzornog tijela osnovanog u Belgiji na temelju članka 51. OUZP‑a, u vezi s odlukom kojom je to tijelo tijelu koje upravlja Moniteur belgeom, službenom listu koji u toj državi članici osigurava izradu i distribuciju širokog raspona službenih i javnih publikacija na papiru i elektroničkim putem, naložilo da prati ostvarivanje prava fizičke osobe na brisanje više osobnih podataka iz akta objavljenog u tom službenom listu.
Pravni okvir
Pravo Unije
3 Člankom 4. točkama 2. i 7. OUZP‑a određuje se:
„Za potrebe ove Uredbe:
[…]
2. ,obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7. ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
[…]”
4 Članak 5. OUZP‑a glasi:
„1. Osobni podaci moraju biti:
(a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (,zakonitost, poštenost, transparentnost’);
(b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama (,ograničavanje svrhe’);
(c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (,smanjenje količine podataka’);
(d) točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (,točnost’);
(e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika (,ograničenje pohrane’);
(f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (,cjelovitost i povjerljivost’);
2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’)”.
5 U članku 17. OUZP‑a navodi se sljedeće:
„1. Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
(a) osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
(b) ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;
(c) ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;
[…]
3. Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:
[…]
(b) radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
[…]
(d) u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1. u mjeri u kojoj je vjerojatno da se pravom iz stavka 1. može onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade;
[…]”
6 Prema članku 26. OUZP‑a:
„1. Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza iz ove Uredbe, osobito s obzirom na ostvarivanje prava ispitanika i svojih dužnosti u pogledu pružanja informacija iz članaka 13. i 14., te to čine međusobnim dogovorom, osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu i u mjeri u kojoj su one utvrđene. Dogovorom se može odrediti kontaktna točka za ispitanike.
2. Dogovor iz stavka 1. mora odražavati pojedinačne uloge i odnose zajedničkih voditelja obrade u odnosu na ispitanike. Bit dogovora mora biti dostupna ispitaniku.
3. Bez obzira na uvjete dogovora iz stavka 1. ispitanik može ostvarivati svoja prava iz ove Uredbe u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih.”
7 Člankom 51. OUZP‑a određuje se, među ostalim, da države članice moraju predvidjeti jedno ili više neovisnih javnih tijela odgovornih za praćenje primjene te uredbe.
Belgijsko pravo
8 Člankom 472. Programskog zakona od 24. prosinca 2002. (Moniteur belge od 31. prosinca 2002., str. 58686.) određuje se:
„Moniteur belge službena je publikacija koju objavljuje uprava lista Moniteur belge, koja prikuplja sve tekstove [za koje] se nalaže objava u listu Moniteur belge.”
9 Člankom 474. tog programskog zakona određuje se:
„Uprava lista Moniteur belge izdaje Moniteur belge u tri primjerka tiskana na papiru.
[…]
Jedan primjerak pohranjuje se u elektroničkom obliku. Kralj određuje načine elektroničkog pohranjivanja […]”
10 Članak 475. navedene direktive glasi kako slijedi:
„Svako drugo stavljanje na raspolaganje javnosti ostvaruje se posredstvom internetske stranice uprave lista Moniteur belge.
Izdanja koja se stavljaju na raspolaganje na toj internetskoj stranici istovjetne su reprodukcije u elektroničkom obliku primjeraka tiskanih na papiru predviđenih člankom 474.”
11 U skladu s člankom 475.a tog zakona:
„Svaki građanin može od lista Moniteur belge dobiti primjerak akata i dokumenata objavljenih u tom listu putem besplatne telefonske linije za pomoć po nabavnoj cijeni. Ta je služba odgovorna i za pružanje podrške građanima u pogledu pretraživanja dokumenata.”
12 Člankom 475.b Programskog zakona od 24. prosinca 2002. predviđa se:
„Druge popratne mjere poduzimaju se u okviru kraljevske uredbe o kojoj se raspravlja u Vijeću ministara kako bi se osigurali najopsežnije moguće širenje informacija sadržanih u listu Moniteur belge i najširi mogući pristup tim informacijama.”
Glavni postupak i prethodna pitanja
13 U Belgiji je fizička osoba imala većinu udjela u privatnom društvu s ograničenom odgovornošću. Budući da su članovi tog društva odlučili smanjiti njegov kapital, statut navedenog društva izmijenjen je odlukom njegove izvanredne skupštine od 23. siječnja 2019.
14 U skladu sa Zakonikom o trgovačkim društvima, u verziji koja proizlazi iz Zakona od 7. svibnja 1999. (Moniteur belge od 6. kolovoza 1999., str. 29440.), izvadak te odluke sastavio je javni bilježnik te fizičke osobe prije nego što ga je proslijedio tajništvu nadležnog suda, odnosno Trgovačkom sudu na čijem području to društvo ima sjedište. Na temelju relevantnih zakonskih odredbi, sud je taj izvadak radi objave dostavio upravi Moniteur belgea.
15 Navedeni izvadak objavljen je 12. veljače 2019. onakav kakav jest, odnosno bez provjere njegova sadržaja, u prilozima Moniteur belgea u skladu s primjenjivim zakonskim odredbama.
16 Taj izvadak sadržava odluku o smanjenju kapitala navedenog društva, prvotni iznos tog kapitala, iznos dotičnog smanjenja te novi iznos temeljnog kapitala i novi tekst statuta tog društva. U njemu je također sadržan odlomak u kojem su navedena imena dvaju njegovih članova, među kojima i ime fizičke osobe navedene u točki 13. ove presude, iznosi koji su im vraćeni i njihovi brojevi bankovnog računa (u daljnjem tekstu: odlomak o kojem je riječ u glavnom postupku).
17 Budući da je utvrdila da je njezin javni bilježnik počinio pogrešku time što je u izvadak naveden u točki 14. ove presude uključio odlomak o kojem je riječ u glavnom postupku iako to nije bilo propisano zakonom, ta je fizička osoba, posredstvom tog javnog bilježnika i njegova službenika za zaštitu podataka, poduzela korake s ciljem brisanja tog odlomka, u skladu sa svojim pravom na brisanje iz članka 17. OUZP‑a.
18 Service Public Fédéral Justice (Savezna javna služba za pravosuđe, Belgija) s kojom je uprava Moniteur belgea povezana, osobito je odlukom od 10. travnja 2019. odbila udovoljiti takvom zahtjevu za brisanje.
19 Navedena fizička osoba je 21. siječnja 2020. podnijela TZP‑u pritužbu protiv SPF Justicea kako bi se utvrdilo da je taj zahtjev za brisanje osnovan i da su ispunjeni uvjeti za ostvarivanje prava na brisanje predviđeni člankom 17. stavkom 1. OUZP‑a.
20 Odlukom od 23. ožujka 2021. TZP je SPF Justiceu uputio „ukor”, pri čemu mu je naložio da u najkraćem mogućem roku udovolji navedenom zahtjevu za brisanje, najkasnije u roku od 30 dana od dostave te odluke.
21 Belgijska Država pokrenula je 22. travnja 2021. postupak pred courom d’appel de Bruxelles (Žalbeni sud u Bruxellesu), sudom koji je uputio zahtjev, kako bi ishodila poništenje navedene odluke.
22 Taj sud ističe da se stranke ne slažu u pogledu pitanja na koji način u glavnom predmetu treba tumačiti pojam „voditelj obrade” iz članka 4. točke 7. OUZP‑a, s obzirom na to da je osobne podatke iz odlomka o kojem je riječ u glavnom postupku, čije objavljivanje nije bilo propisano zakonom, obradilo više potencijalnih „uzastopnih” voditelja obrade. Oni su, kao prvo, javni bilježnik koji je sastavio izvadak koji sadržava odlomak o kojem je riječ u glavnom postupku tako što je u njega pogreškom unio te podatke, kao drugo, tajništvo suda kojem je taj izvadak potom podnesen prije nego li je proslijeđen Moniteur belgeu na objavu i, kao treće, Moniteur belge, koji ga je, u skladu sa zakonskim odredbama koje uređuju njegov položaj i zadaće, objavio onakvog kakav on jest, odnosno bez ovlasti nadzora i izmjene, nakon što ga je taj sud zaprimio.
23 U tom se okviru sud koji je uputio zahtjev pita može li se Moniteur belge kvalificirati kao „voditelj obrade” u smislu članka 4. točke 7. OUZP‑a. U slučaju potvrdnog odgovora i iako ističe da se stranke u glavnom postupku ne pozivaju na zajedničko vođenje obrade iz članka 26. OUZP‑a, taj sud također želi znati treba li Moniteur belge smatrati jedinim odgovornim, na temelju članka 5. stavka 2. te uredbe, za poštovanje načela utvrđenih u članku 5. stavku 1. navedene uredbe, ili je ta odgovornost također kumulativno i na javnim tijelima koja su prethodno obrađivala podatke koji se nalaze u odlomku o kojem je riječ u glavnom postupku, odnosno na javnom bilježniku koji je sastavio izvadak koji sadržava taj odlomak i Trgovačkom sudu na čijem području dotično privatno društvo s ograničenom odgovornošću ima sjedište.
24 U tim je okolnostima cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 4. točku 7. [OUZP‑a] tumačiti na način da službeni list države članice, kojem je povjerena zadaća javne usluge objave i pohrane službenih dokumenata, koji je na temelju primjenjivog nacionalnog zakonodavstva zadužen za objavu službenih akata i dokumenata čiju mu objavu nalažu treća javna tijela i koje mu ta tijela dostave nakon što su ona sama obradila osobne podatke koje ti akti i dokumenti sadržavaju a da mu pritom nacionalni zakonodavac nije dodijelio diskrecijsku ovlast u pogledu sadržaja dokumenata za objavu ni u pogledu svrhe i sredstava objave, ima svojstvo voditelja obrade?
2. U slučaju potvrdnog odgovora na prvo pitanje, treba li članak 5. stavak 2. [OUZP‑a] tumačiti na način da predmetni službeni [list] jedini treba biti dužan poštovati obveze koje ima voditelj obrade u skladu s tom odredbom, isključujući treća javna tijela koja su prethodno obradila podatke navedene u službenim dokumentima čiju objavu od njega traže, ili te obveze kumulativno ima svaki od uzastopnih voditelja obrade?”
O prethodnim pitanjima
Prvo pitanje
25 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. točku 7. OUZP‑a tumačiti na način da se služba ili tijelo nadležno za službeni list države članice, koje je, među ostalim, na temelju zakonodavstva te države članice dužno objaviti onakve kakvi jesu službene akte i dokumente koje su na vlastitu odgovornost pripremile treće osobe u skladu s primjenjivim pravilima koji se potom pohranjuju kod pravosudnog tijela koje ih šalje na objavu, može smatrati „voditeljem obrade” osobnih podataka iz tih akata i tih dokumenata u smislu te odredbe.
26 Uvodno valja pojasniti da pojam „voditelj obrade” iz članka 4. točke 7. OUZP‑a pretpostavlja postojanje „obrade” osobnih podataka u smislu članka 4. točke 2. te uredbe. U ovom slučaju iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da je Moniteur belge obradio osobne podatke koji se nalaze u odlomku o kojem je riječ u glavnom postupku. Iako sud koji je uputio zahtjev detaljno ne objašnjava tu obradu, iz usklađenih pisanih očitovanja TZP‑a i belgijske vlade proizlazi da su ti podaci barem bili prikupljeni, snimljeni, pohranjeni, otkriveni prijenosom i šireni od strane Moniteur belgea, pri čemu takvi postupci predstavljaju „obradu” u smislu članka 4. točke 2. navedene uredbe.
27 U skladu s tim uvodnim pojašnjenjem valja podsjetiti na to da na temelju članka 4. točke 7. OUZP‑a pojam „voditelj obrade” obuhvaća fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade. U toj se odredbi navodi i da se, kada su svrhe i sredstva takve obrade utvrđeni osobito pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu predvidjeti tim pravom.
28 U tom pogledu valja podsjetiti na to da je, prema sudskoj praksi Suda, cilj te odredbe osigurati, širokom definicijom pojma „voditelj obrade”, učinkovitu i potpunu zaštitu ispitanika (vidjeti u tom smislu presude od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 29. i od 5. prosinca 2023., Deutsche Wohnen, C‑807/21, EU:C:2023:950, t. 40. i navedenu sudsku praksu).
29 S obzirom na tekst članka 4. točke 7. OUZP‑a, u vezi s tim ciljem, očito je da, kako bi se utvrdilo treba li osobu ili subjekt kvalificirati kao „voditelja obrade” u smislu te odredbe, valja ispitati određuje li ta osoba ili taj subjekt, sam ili zajedno s drugima, svrhe i sredstva obrade ili su oni određeni nacionalnim pravom. Ako se takvo određivanje provodi u skladu s nacionalnim pravom, valja provjeriti je li tim pravom voditelj obrade imenovan ili se njime predviđaju posebni kriteriji za njegovo imenovanje.
30 U tom pogledu valja pojasniti da, s obzirom na široku definiciju pojma „voditelj obrade”, u smislu članka 4. točke 7. OUZP‑a, utvrđivanje svrhe i sredstava obrade i, prema potrebi, imenovanje tog voditelja u nacionalnom pravu može biti ne samo izričito nego i prešutno. U potonjem slučaju ipak se zahtijeva da to određivanje sa dovoljnom sigurnošću proizlazi iz uloge, zadaće i ovlasti koje su dodijeljene dotičnoj osobi ili subjektu. Naime, zaštita tih osoba bila bi smanjena ako bi se članak 4. točka 7. OUZP‑a tumačio usko tako da bi njime bili obuhvaćeni samo slučajevi u kojima su svrhe i sredstva obrade podataka koju provodi osoba, javno tijelo, agencija ili tijelo izričito određeni nacionalnim pravom, čak i kad bi te svrhe i ta sredstva u biti proizlazila iz zakonskih odredbi kojima se uređuje djelatnost dotičnog subjekta.
31 U ovom slučaju, kao prvo, sud koji je uputio zahtjev pojašnjava da se u glavnom postupku čini da Moniteur belge na temelju nacionalnog prava nema ovlast određivanja svrhe i sredstava obrade podataka koju provodi, pri čemu je prvo prethodno pitanje postavljeno polazeći od te pretpostavke. Osim toga, iz usklađenih objašnjenja TZP‑a i belgijske vlade na raspravi proizlazi da se ne čini da je javnom tijelu koje upravlja Moniteur belgeom, odnosno SPF Justiceu, nacionalnim pravom povjerena takva ovlast.
32 Kao drugo, iz elemenata spisa kojim Sud raspolaže proizlazi da se osobni podaci iz akata i dokumenata dostavljenih Moniteur belgeu radi objave u biti prikupljaju, pohranjuju, čuvaju i objavljuju onakvi kakvi jesu kako bi se javnost službeno obavijestila o postojanju tih akata i tih dokumenata te da imaju učinak prema trećim osobama.
33 Osim toga, iz objašnjenja suda koji je uputio zahtjev proizlazi da se obrada uglavnom obavlja automatiziranim sredstvima: konkretno, predmetni podaci reproduciraju se u tiskanim primjercima na papiru od kojih se jedan pohranjuje elektronički, papirnati primjerci reproducirani su u elektroničkom obliku za internetsku stranicu Moniteur belge te se kopija može dobiti putem službe telefonske podrške zadužene za pružanje građanima usluge podrške prilikom pretrage dokumenata.
34 Stoga iz elemenata spisa kojim raspolaže Sud proizlazi da su se belgijskim pravom barem implicitno utvrdili svrha i sredstva obrade osobnih podataka koju je proveo Moniteur belge.
35 U tim okolnostima valja istaknuti da se može smatrati da je Moniteur belge, kao služba ili tijelo zaduženo za obradu osobnih podataka iz svojih publikacija u skladu sa svrhama i sredstvima obrade propisanima belgijskim zakonodavstvom, „voditelj obrade” u smislu članka 4. točke 7. OUZP‑a.
36 Taj zaključak nije doveden u pitanje okolnošću da Moniteur belge, kao pododjel SPF Justicea, nema pravnu osobnost. Naime, iz jasnog teksta te odredbe proizlazi da voditelj obrade može biti ne samo fizička ili pravna osoba nego i javno tijelo, agencija ili tijelo, pri čemu takvi subjekti nemaju nužno pravnu osobnost prema nacionalnom pravu.
37 Isto tako, činjenica da na temelju nacionalnog prava Moniteur belge ne nadzire, prije njihove objave u tom službenom listu, osobne podatke iz akata i dokumenata koje je zaprimio navedeni list ne može utjecati na pitanje može li se Moniteur belge smatrati voditeljem obrade.
38 Naime, iako je točno da Moniteur belge mora objaviti dokument o kojem je riječ onakav kakav on jest, on je isključivo odgovoran za taj zadatak i za naknadno širenje dotičnog akta ili dokumenta. S jedne strane, objava takvih akata i takvih dokumenata bez mogućnosti nadzora ili izmjene njihova sadržaja neodvojivo je povezana sa svrhom i sredstvima obrade utvrđenima nacionalnim pravom, s obzirom na to da se uloga službenog lista kao što je to Moniteur belge ograničava na informiranje javnosti o postojanju tih akata i tih dokumenata, kako su dostavljeni tom listu u obliku kopije u skladu s primjenjivim nacionalnim pravom, na način da imaju učinak prema trećim osobama. S druge strane, bilo bi protivno cilju članka 4. točke 7. OUZP‑a, navedenom u točki 28. ove presude, isključiti iz pojma „voditelj obrade” službeni list države članice zbog toga što taj list ne provodi nadzor nad osobnim podacima iz svojih publikacija (vidjeti po analogiji presudu od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317, t. 34.).
39 S obzirom na prethodno navedeno, na prvo pitanje valja odgovoriti na način da članak 4. točku 7. OUZP‑a treba tumačiti tako da se služba ili tijelo nadležno za službeni list države članice, koje je, među ostalim, na temelju zakonodavstva te države članice dužno objaviti onakve kakvi jesu službene akte i dokumente koje su na vlastitu odgovornost pripremile treće osobe u skladu s primjenjivim pravilima koji se potom pohranjuju kod pravosudnog tijela koje ih šalje na objavu, može bez obzira na nedostatak pravne osobnosti smatrati „voditeljem obrade” osobnih podataka iz tih akata i tih dokumenata u smislu te odredbe ako su nacionalnim pravom o kojem je riječ utvrđene svrhe i sredstva obrade osobnih podataka koju je proveo taj službeni list.
Drugo pitanje
40 Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 2. OUZP‑a tumačiti na način da se služba ili tijelo nadležno za službeni list države članice, koji se smatra „voditeljem obrade” u smislu članka 4. točke 7. OUZP‑a, treba smatrati jedinim odgovornim za poštovanje načela iz članka 5. stavka 1. OUZP‑a ili je to poštovanje kumulativno obveza te službe ili tog tijela i trećih javnih subjekata koji su prethodno obradili osobne podatke iz akata i dokumenata objavljenih u tom službenom listu.
41 Najprije valja podsjetiti na to da je na temelju članka 5. stavka 2. OUZP‑a voditelj obrade odgovoran za poštovanje načela predviđenih u obliku obveza iz stavka 1. tog članka i mora biti u mogućnosti dokazati da se ta načela poštuju.
42 U ovom slučaju iz spisa kojim Sud raspolaže proizlazi da obrada osobnih podataka o kojoj je riječ u glavnom postupku i koja je povjerena listu Moniteur belge ne samo da slijedi nakon obrade koju su proveli javni bilježnik i tajništvo nadležnog trgovačkog suda, nego se i tehnički razlikuje od obrade koju su provela ta dva subjekta jer se radi o dodatnoj obradi. Naime, radnje koje je izvršio Moniteur belge povjerene su mu nacionalnim zakonodavstvom i podrazumijevaju, među ostalim, digitalizaciju podataka iz akata ili izvadaka akata koji su mu podneseni, njihovu objavu, stavljanje na raspolaganje široj javnosti i njihovo čuvanje.
43 Stoga treba smatrati da je Moniteur belge na temelju članka 5. stavka 2. OUZP‑a odgovoran za poštovanje načela iz stavka 1. tog članka u pogledu obrada koje je dužan provesti na temelju nacionalnog prava i, prema tome, za sve obveze koje su voditelju obrade propisane OUZP‑om.
44 Nadalje, uzimajući u obzir pitanja suda koji je uputio zahtjev u pogledu pitanja je li takav službeni list jedini voditelj tih obrada, valja podsjetiti na to da se, kao što to proizlazi iz teksta članka 4. točke 7. OUZP‑a, tom odredbom ne predviđa samo to da svrhe i sredstva obrade osobnih podataka zajednički može utvrditi više osoba kao voditeljâ obrade, nego i da se samim nacionalnim pravom mogu utvrditi te svrhe i ta sredstva te imenovati voditelj obrade ili posebni kriteriji za njegovo imenovanje.
45 Stoga, u okviru niza postupaka obrade koje provode različite osobe ili subjekti i koji se odnose na iste osobne podatke, nacionalnim pravom mogu se odrediti svrhe i sredstva svih postupaka obrade koje uzastopno provode te različite osobe ili subjekti na način da se oni smatraju zajedničkim voditeljima obrade.
46 Osim toga, valja podsjetiti na to da se člankom 26. stavkom 1. OUZP‑a predviđa zajedničko vođenje obrade ako dvoje ili više voditelja obrade zajednički odrede svrhe i sredstva obrade osobnih podataka. U toj odredbi navodi se i da zajednički voditelji obrade međusobnim dogovorom na transparentan način definiraju svoje odgovornosti kako bi osigurali poštovanje svih zahtjeva iz te uredbe, osim ako i u mjeri u kojoj su njihove obveze definirane pravom Unije ili pravom države članice koje se primjenjuje na voditelje obrade.
47 Iz navedene odredbe tako proizlazi da obveze zajedničkih voditelja obrade osobnih podataka ne ovise nužno o postojanju dogovora između različitih voditelja obrade (vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 44. i 45.), ali mogu proizlaziti iz nacionalnog prava.
48 Osim toga, Sud je presudio, s jedne strane, da je dovoljno da osoba utječe, u vlastite svrhe, na obradu osobnih podataka i time sudjeluje u utvrđivanju svrha i sredstava te obrade kako bi je se moglo smatrati zajedničkim voditeljem obrade i, s druge strane, da zajedničko vođenje više sudionika iste obrade ne pretpostavlja da svaki od njih ima pristup osobnim podacima o kojima je riječ (vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 40. do 43. i navedenu sudsku praksu).
49 Iz točaka 44. do 48. ove presude proizlazi da se, na temelju zajedničke primjene odredbi članka 26. stavka 1. i članka 4. točke 7. OUZP‑a, zajedničko vođenje obrade podataka više sudionika u lancu obrada koje se odnose na iste osobne podatke može utvrditi nacionalnim pravom pod uvjetom da su različiti postupci obrade ujedinjeni svrhama i sredstvima utvrđenima tim pravom i da se njime utvrđuju obveze svakog od zajedničkih voditelja obrade.
50 Valja pojasniti da se takvo utvrđivanje svrhe i sredstava kojim se ujedinjuju različite obrade koje provodi više sudionika u lancu kao i određivanje njihovih dužnosti može nacionalnim pravom provesti ne samo izravno nego i neizravno, pod uvjetom da se, u potonjem slučaju, ono može na dovoljno izričit način izvesti iz pravnih odredbi koje se primjenjuju na dotične osobe ili subjekte i obradu osobnih podataka koju provode u okviru lanca obrade koji je propisan tim pravom.
51 Naposljetku i radi korisnosti, valja pojasniti da, u slučaju da sud koji je uputio zahtjev iz toga zaključi da služba ili tijelo zaduženo za Moniteur belge nije jedino, nego zajedno s drugima, odgovorno za poštovanje načela iz članka 5. stavka 1. OUZP‑a u pogledu podataka navedenih u odlomku o kojem je riječ u glavnom postupku, takav zaključak ni na koji način ne bi utjecao na pitanje treba li, osobito s obzirom na iznimke iz članka 17. stavka 3. točaka (b) i (d) OUZP‑a, prihvatiti zahtjev za brisanje koji je podnijela fizička osoba iz točke 13. ove presude.
52 S obzirom na prethodno navedeno, na drugo pitanje valja odgovoriti tako da članak 5. stavak 2. OUZP‑a, u vezi s njegovim člankom 4. točkom 7. i člankom 26. stavkom 1., treba tumačiti na način da je služba ili tijelo nadležno za službeni list države članice, koje je kvalificirano kao „voditelj obrade” u smislu članka 4. točke 7. te uredbe, jedino odgovorno za poštovanje načela iz njezina članka 5. stavka 1. u pogledu postupaka obrade osobnih podataka koje je dužno provesti na temelju nacionalnog prava, osim ako u pogledu tih radnji iz tog prava ne proizlazi zajedničko vođenje obrade s drugim subjektima.
Troškovi
53 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (treće vijeće) odlučuje:
1. Članak 4. točku 7. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da se:
služba ili tijelo nadležno za službeni list države članice, koje je, među ostalim, na temelju zakonodavstva te države članice dužno objaviti onakve kakvi jesu službene akte i dokumente koje su na vlastitu odgovornost pripremile treće osobe u skladu s primjenjivim pravilima koji se potom pohranjuju kod pravosudnog tijela koje ih šalje na objavu, može bez obzira na nedostatak pravne osobnosti smatrati „voditeljem obrade” osobnih podataka iz tih akata i tih dokumenata u smislu te odredbe ako su nacionalnim pravom o kojem je riječ utvrđene svrhe i sredstva obrade osobnih podataka koju je proveo taj službeni list.
2. Članak 5. stavak 2. Uredbe 2016/679, u vezi s člankom 4. stavkom 7., i njezin članak 26. stavak 1.
treba tumačiti na način da je:
služba ili tijelo nadležno za službeni list države članice, koje je kvalificirano kao „voditelj obrade” u smislu članka 4. točke 7. OUZP -a, jedino odgovorno za poštovanje načela iz njegova članka 5. stavka 1. u pogledu postupaka obrade osobnih podataka koje je dužno provesti na temelju nacionalnog prava, osim ako u pogledu tih radnji iz tog prava ne proizlazi zajedničko vođenje obrade s drugim subjektima.
Potpisi