HOTĂRÂREA CURȚII (Camera a treia)
11 ianuarie 2024(*)
„Trimitere preliminară – Apropierea legislațiilor – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulamentul general privind protecția datelor) – Regulamentul (UE) 2016/679 – Articolul 4 punctul 7 – Noțiunea de «operator» – Jurnal oficial al unui stat membru – Obligația de a publica ca atare actele referitoare la societăți, întocmite de acestea sau de reprezentanții lor legali – Articolul 5 alineatul (2) – Prelucrare succesivă, de către mai multe persoane sau entități distincte, a datelor cu caracter personal care figurează în astfel de acte – Stabilirea responsabilităților”
În cauza C‑231/22,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia), prin decizia din 23 februarie 2022, primită de Curte la 1 aprilie 2022, în procedura
État belge
împotriva
Autorité de protection des données,
cu participarea:
LM,
CURTEA (Camera a treia),
compusă din doamna K. Jürimäe, președintă de cameră, și domnii N. Piçarra, M. Safjan (raportor), N. Jääskinen și M. Gavalec, judecători,
avocat general: doamna L. Medina,
grefier: doamna C. Strömholm, administratoare,
având în vedere procedura scrisă și în urma ședinței din 23 martie 2023,
luând în considerare observațiile prezentate:
– pentru Autorité de protection des données, de F. Biebuyck, P. Van Muylder, avocates, și E. Kairis, advocaat;
– pentru guvernul belgian, de P. Cottin, J.‑C. Halleux și C. Pochet, în calitate de agenți, asistați de S. Kaisergruber și P. Schaffner, avocats;
– pentru guvernul maghiar, de Zs. Biró-Tóth și M. Z. Fehér, în calitate de agenți;
– pentru Comisia Europeană, de A. Bouchagiar, H. Kranenborg și A.‑C. Simon, în calitate de agenți,
după ascultarea concluziilor avocatei generale în ședința din 8 iunie 2023,
pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 4 punctul 7 și a articolului 5 alineatul (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).
2 Această cerere a fost formulată în cadrul unui litigiu între État belge (statul belgian), pe de o parte, și Autorité de protection des données (Belgia) (denumită în continuare „APD”), care este autoritatea de supraveghere instituită în Belgia în temeiul articolului 51 din RGPD, pe de altă parte, în legătură cu o decizie prin care această autoritate a somat autoritatea care gestionează Moniteur belge, Jurnalul Oficial care asigură în acest stat membru producerea și difuzarea unei game largi de publicații oficiale și publice pe suport de hârtie și pe cale electronică, să permită unei persoane fizice exercitarea dreptului său la ștergerea mai multor date cu caracter personal care figurează într‑un act publicat în acest Jurnal oficial.
Cadrul juridic
Dreptul Uniunii
3 Articolul 4 punctele 2 și 7 din RGPD prevede:
„În sensul prezentului regulament:
[…]
2 «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
[…]
7 «operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;
[…]”
4 Articolul 5 din RGPD prevede:
„(1) Datele cu caracter personal sunt:
(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile inițiale, în conformitate cu articolul 89 alineatul (1) («limitări legate de scop»);
(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);
(d) exacte și, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere («exactitate»);
(e) păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate («limitări legate de stocare»);
(f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare («integritate și confidențialitate»).
(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”
5 Articolul 17 din RGPD are următorul cuprins:
„(1) Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:
(a) datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;
(b) persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea, în conformitate cu articolul 6 alineatul (1) litera (a) sau cu articolul 9 alineatul (2) litera (a), și nu există niciun alt temei juridic pentru prelucrare;
(c) persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea sau persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (2);
[…]
(3) Alineatele (1) și (2) nu se aplică în măsura în care prelucrarea este necesară:
[…]
(b) pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul;
[…]
(d) în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), în măsura în care dreptul menționat la alineatul (1) este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective; […]
[…]”
6 Potrivit articolului 26 din RGPD:
„(1) În cazul în care doi sau mai mulți operatori stabilesc în comun scopurile și mijloacele de prelucrare, aceștia sunt operatori asociați. Ei stabilesc într‑un mod transparent responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul prezentului regulament, în special în ceea ce privește exercitarea drepturilor persoanelor vizate și îndatoririle fiecăruia de furnizare a informațiilor prevăzute la articolele 13 și 14, prin intermediul unui acord între ei, cu excepția cazului și în măsura în care responsabilitățile operatorilor sunt stabilite în dreptul Uniunii sau în dreptul intern care se aplică acestora. Acordul poate să desemneze un punct de contact pentru persoanele vizate.
(2) Acordul menționat la alineatul (1) reflectă în mod adecvat rolurile și raporturile respective ale operatorilor asociați față de persoanele vizate. Esența acestui acord este făcută cunoscută persoanei vizate.
(3) Indiferent de clauzele acordului menționat la alineatul (1), persoana vizată își poate exercita drepturile în temeiul prezentului regulament cu privire la și în raport cu fiecare dintre operatori.”
7 Articolul 51 din RGPD prevede printre altele că statele membre trebuie să se asigure că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării acestui regulament.
Dreptul belgian
8 Articolul 472 din loi‑programme du 24 décembre 2002 [Legea‑program din 24 decembrie 2002] (Moniteur belge din 31 decembrie 2002, p. 58686) prevede:
„Moniteur belge este o publicație oficială editată de Direcția Moniteur belge, care reunește toate textele pentru care publicarea în Moniteur belge este obligatorie.”
9 Articolul 474 din legea‑program menționată prevede:
„Publicarea în Moniteur belge de către Direcția Moniteur belge se realizează în patru exemplare tipărite pe hârtie.
[…]
Un exemplar este păstrat în format electronic. Regele stabilește modalitățile de stocare electronică […]”
10 Articolul 475 din legea‑program menționată are următorul cuprins:
„Orice alte informații sunt puse la dispoziția publicului prin intermediul site‑ului internet al Direcției Moniteur belge.
Publicațiile puse la dispoziție pe acest site internet sunt reproducerile exacte în format electronic ale exemplarelor pe hârtie menționate la articolul 474.”
11 Potrivit articolului 475 bis din aceeași lege‑program:
„Orice cetățean poate obține contra cost de la Moniteur belge, prin serviciul de asistență telefonică gratuită, o copie a documentelor și a actelor publicate în Moniteur belge. Acest serviciu are de asemenea sarcina de a furniza cetățenilor asistență pentru căutarea de documente.”
12 Articolul 475 ter din Legea‑program din 24 decembrie 2002 prevede:
„Prin decret regal adoptat în Consiliul de Miniștri, se pot stabili alte măsuri de asistență pentru a asigura difuzarea și accesul cât mai largi posibile la informațiile cuprinse în Moniteur belge.”
Litigiul principal și întrebările preliminare
13 În Belgia, o persoană fizică deținea majoritatea părților sociale la o societate privată cu răspundere limitată. Întrucât asociații societății menționate au decis reducerea capitalului, statutul societății a fost modificat printr‑o decizie a adunării extraordinare a acesteia din 23 ianuarie 2019.
14 În conformitate cu Codul societăților, în versiunea ce rezultă din Legea din 7 mai 1999 (Moniteur belge din 6 august 1999, p. 29440), un extras al deciziei a fost pregătit de notarul respectivei persoane fizice înainte ca acesta să îl comunice grefei instanței competente, și anume tribunalul comercial în a cărui circumscripție teritorială se află sediul social al societății. În temeiul dispozițiilor legale pertinente, tribunalul a comunicat acest extras spre publicare Direcției Moniteur belge.
15 La 12 februarie 2019, extrasul a fost publicat ca atare, adică fără un control al conținutului, în anexele la Moniteur belge în conformitate cu dispozițiile legale aplicabile.
16 Același extras conținea decizia de reducere a capitalului societății menționate, cuantumul inițial al capitalului, cuantumul reducerii avute în vedere, precum și noul cuantum al capitalului social și noul text al statutului societății. Extrasul conține totodată un pasaj în care sunt indicate numele celor doi asociați ai societății, inclusiv cel al persoanei fizice menționate la punctul 13 din prezenta hotărâre, sumele care le‑au fost restituite, precum și numerele lor de cont bancar (denumit în continuare „pasajul în discuție în litigiul principal”).
17 După ce a constatat că notarul său săvârșise o eroare prin includerea în extrasul menționat la punctul 14 din prezenta hotărâre a pasajului în discuție în litigiul principal, deși acest lucru nu era impus prin lege, persoana fizică respectivă a inițiat, prin intermediul notarului și al responsabilului cu protecția datelor al acestuia din urmă, demersuri pentru a obține eliminarea acestui pasaj, în conformitate cu dreptul său la ștergerea datelor prevăzut la articolul 17 din RGPD.
18 Service public fédéral Justice (Ministerul Federal al Justiției, denumit în continuare „SPF Justice”), căruia îi este subordonată Direcția Moniteur belge, printre altele, a refuzat, printr‑o decizie din 10 aprilie 2019, să dea curs unei astfel de cereri de ștergere.
19 La 21 ianuarie 2020, persoana fizică menționată a depus la APD o plângere împotriva SPF Justice solicitând să se constate că această cerere de ștergere era întemeiată și că erau îndeplinite condițiile de exercitare a dreptului la ștergere prevăzute la articolul 17 alineatul (1) din RGPD.
20 Printr‑o decizie din 23 martie 2021, APD a adresat SPF Justice o „mustrare”, solicitându‑i în același timp să dea curs cererii de ștergere în cel mai scurt timp, în maximum 30 de zile de la notificarea acestei decizii.
21 La 22 aprilie 2021, État belge (statul belgian) a sesizat cour d’appel de Bruxelles (Curtea de Apel din Bruxelles) (Belgia), care este instanța de trimitere, în vederea anulării deciziei menționate.
22 Această instanță arată că părțile sunt în dezacord în ceea ce privește modul în care trebuie interpretată în cauza principală noțiunea de „operator” de la articolul 4 punctul 7 din RGPD, din moment ce datele cu caracter personal care figurează în pasajul în discuție în litigiul principal, a cărui publicare nu este impusă de lege, au făcut obiectul unei prelucrări de către mai mulți operatori „succesivi” potențiali. Aceștia sunt, în primul rând, notarul care a redactat extrasul ce conține pasajul în discuție în litigiul principal, inserând din greșeală aceste date, în al doilea rând, grefa tribunalului la care extrasul respectiv a fost ulterior depus înainte de a fi transmis către Moniteur belge spre publicare și, în al treilea rând, Moniteur belge, care, în conformitate cu dispozițiile legale ce reglementează statutul și atribuțiile acestuia, l‑a publicat ca atare, adică fără nicio competență de control și de modificare, după primirea extrasului de la tribunal.
23 În acest cadru, instanța de trimitere ridică problema dacă Moniteur belge poate fi considerat „operator” în sensul articolului 4 punctul 7 din RGPD. În cazul unui răspuns afirmativ și arătând în același timp că părțile din litigiul principal nu invocă responsabilitatea comună prevăzută la articolul 26 din RGPD, această instanță urmărește de asemenea să afle dacă Moniteur belge trebuie să fie considerat, în temeiul articolului 5 alineatul (2) din acest regulament, singurul responsabil de respectarea principiilor prevăzute la articolul 5 alineatul (1) din regulamentul menționat sau dacă această responsabilitate revine în mod cumulativ și autorităților publice care au tratat anterior datele din pasajul în discuție în litigiul principal, și anume notarul care a redactat extrasul ce conține acest pasaj și tribunalul comercial în a cărui circumscripție teritorială se află sediul social al respectivei societăți private cu răspundere limitată.
24 În aceste condiții, cour d’appel de Bruxelles (Curtea de Apel din Bruxelles) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1) Articolul 4 punctul 7 din [RGPD] trebuie interpretat în sensul că un jurnal oficial al unui stat membru – învestit cu o misiune de serviciu public de publicare și de arhivare a unor documente oficiale care, în temeiul legislației naționale aplicabile, are obligația de a publica actele și documentele oficiale a căror publicare îi este impusă de entități publice terțe, astfel cum sunt comunicate de aceste entități după ce au prelucrat ele însele datele cu caracter personal conținute în actele și în documentele respective, fără a fi învestit de legiuitorul național cu o putere de apreciere în ceea ce privește conținutul documentelor care trebuie publicate, precum și în ceea ce privește scopul și mijloacele de publicare – are calitatea de operator de date?
2) În cazul unui răspuns afirmativ la prima întrebare, articolul 5 alineatul (2) din [RGPD] trebuie interpretat în sensul că numai Jurnalul Oficial în discuție trebuie să respecte obligațiile ce revin operatorului potrivit acestei dispoziții, cu excluderea entităților publice terțe care au prelucrat în prealabil datele cuprinse în actele și în documentele oficiale a căror publicare o solicită, sau aceste obligații revin în mod cumulativ fiecăruia dintre operatorii succesivi?”
Cu privire la întrebările preliminare
Cu privire la prima întrebare
25 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 4 punctul 7 din RGPD trebuie interpretat în sensul că agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, care este obligat, în temeiul legislației acestui stat, să publice ca atare, printre altele, acte și documente oficiale întocmite de terți pe propria lor răspundere, cu respectarea normelor aplicabile, și depuse ulterior la o autoritate judiciară care i le transmite spre publicare, poate fi considerat „operator” al datelor cu caracter personal din aceste acte și documente, în sensul acestei dispoziții.
26 Cu titlu introductiv, este necesar să se precizeze că noțiunea de „operator” de la articolul 4 punctul 7 din RGPD presupune existența unei „prelucrări” a datelor cu caracter personal, în sensul articolului 4 punctul 2 din acest regulament. În speță, din decizia de trimitere reiese că datele cu caracter personal din pasajul în discuție în litigiul principal au făcut obiectul unei prelucrări de către Moniteur belge. Chiar dacă instanța de trimitere nu prezintă în detaliu această prelucrare, din observațiile scrise concordante ale APD și ale guvernului belgian reiese că aceste date au fost cel puțin colectate, înregistrate, păstrate, comunicate prin transmitere și difuzate de Moniteur belge, astfel de operațiuni constituind o „prelucrare” în sensul articolului 4 punctul 2 din regulamentul menționat.
27 Sub rezerva acestei precizări introductive, trebuie amintit că, potrivit articolului 4 punctul 7 din RGPD, noțiunea de „operator” include persoanele fizice sau juridice, autoritățile publice, agențiile sau alte organisme care, singure sau împreună cu altele, stabilesc scopurile și mijloacele de prelucrare. Această dispoziție prevede de asemenea că, atunci când scopurile și mijloacele unei astfel de prelucrări sunt stabilite în special prin legislația unui stat membru, operatorul sau criteriile specifice aplicabile pentru desemnarea acestuia pot fi prevăzute în dreptul intern.
28 În această privință, trebuie amintit că, potrivit jurisprudenței Curții, această dispoziție urmărește asigurarea unei protecții eficiente și complete, printr‑o definiție largă a noțiunii de „operator”, a persoanelor în cauză (a se vedea în acest sens Hotărârea din 5 decembrie 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punctul 29, și Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 40, precum și jurisprudența citată).
29 Ținând seama de modul de redactare a articolului 4 punctul 7 din RGPD, interpretat în lumina acestui obiectiv, rezultă că, pentru a stabili dacă se impune ca o persoană sau o entitate să fie considerată „operator” în sensul acestei dispoziții trebuie să se verifice dacă această persoană sau această entitate stabilește, singură sau împreună cu altele, scopurile și mijloacele prelucrării sau dacă acestea sunt stabilite de dreptul intern. Atunci când stabilirea scopurilor și a mijloacelor prelucrării se face prin dreptul intern, trebuie să se verifice dacă acest drept desemnează operatorul sau prevede criteriile specifice pentru desemnarea acestuia.
30 În această privință, trebuie precizat că, având în vedere definiția largă a noțiunii de „operator” în sensul articolului 4 punctul 7 din RGPD, stabilirea scopurilor și a mijloacelor prelucrării și, dacă este cazul, desemnarea acestui operator prin dreptul intern pot fi nu doar explicite, ci și implicite. În acest din urmă caz, este totuși necesar ca stabilirea scopurilor și a mijloacelor prelucrării să rezulte în mod suficient de cert din rolul, misiunea și atribuțiile conferite persoanei sau entității în cauză. Astfel, protecția acestor persoane s‑ar diminua dacă articolul 4 punctul 7 din RGPD ar fi interpretat în mod restrictiv pentru a include numai cazurile în care scopurile și mijloacele unei prelucrări de date efectuate de o persoană, de o autoritate publică, de o agenție sau de un organism sunt stabilite în mod expres prin dreptul intern, chiar dacă aceste scopuri și mijloace ar reieși în esență din dispozițiile legale care reglementează activitatea entității vizate.
31 În speță, în primul rând, instanța de trimitere precizează că, în litigiul principal, nu rezultă că Moniteur belge este învestit prin dreptul intern cu competența de a controla scopurile și mijloacele prelucrării datelor pe care o efectuează, prima întrebare preliminară fiind adresată pornind de la această premisă. Pe de altă parte, din explicațiile concordante date de APD și de guvernul belgian în ședință reiese că nici autoritatea publică care administrează Moniteur belge, și anume SPF Justice, nu pare a fi învestită prin dreptul intern cu o astfel de competență.
32 În al doilea rând, din elementele dosarului de care dispune Curtea reiese că datele cu caracter personal din actele și documentele transmise Moniteur belge spre publicare sunt în esență colectate, înregistrate, păstrate și publicate ca atare cu scopul de a informa oficial publicul cu privire la existența acestor acte și documente și de a fi opozabile terților.
33 În plus, din explicațiile furnizate de instanța de trimitere reiese că prelucrarea se efectuează în esență cu mijloace automatizate: printre altele, datele în cauză sunt reproduse pe exemplare tipărite pe hârtie, dintre care unul este păstrat electronic, exemplarele pe suport de hârtie sunt reproduse în format electronic pentru site‑ul internet al Moniteur belge, iar o copie poate fi obținută prin serviciul de asistență telefonică care are în plus sarcina de a furniza cetățenilor asistență pentru căutarea de documente.
34 Rezultă astfel din elementele dosarului de care dispune Curtea că dreptul belgian a stabilit, cel puțin implicit, scopurile și mijloacele prelucrării datelor cu caracter personal efectuate de Moniteur belge.
35 În aceste împrejurări, trebuie arătat că, în calitatea sa de agenție sau de organism însărcinat cu prelucrarea datelor cu caracter personal care figurează în publicațiile sale, în conformitate cu scopurile și mijloacele prelucrării prevăzute de legislația belgiană, Moniteur belge poate fi considerat „operator” în sensul articolului 4 punctul 7 din RGPD.
36 Această concluzie nu este răsturnată de faptul că, fiind o entitate subordonată SPF Justice, Moniteur belge nu are personalitate juridică. Astfel, din modul clar de redactare a acestei dispoziții reiese că un operator poate fi o persoană fizică sau juridică, dar și o autoritate publică, o agenție sau un organism, astfel de entități neavând neapărat personalitate juridică în temeiul dreptului intern.
37 De asemenea, faptul că, în conformitate cu dreptul intern, Moniteur belge nu controlează, înainte de publicarea în acest jurnal oficial, datele cu caracter personal din actele și documentele primite de Jurnalul Oficial menționat nu poate avea o incidență asupra aspectului dacă Moniteur belge poate fi considerat operator.
38 Astfel, deși este adevărat că Moniteur belge trebuie să publice documentul respectiv ca atare, el este singurul care își asumă această sarcină și difuzează ulterior actul sau documentul în cauză. Pe de o parte, publicarea unor astfel de acte și documente fără a le putea controla sau modifica conținutul este intrinsec legată de scopurile și mijloacele prelucrării stabilite de dreptul intern, întrucât rolul unui jurnal oficial precum Moniteur belge se limitează la informarea publicului cu privire la existența acestor acte și documente, astfel cum sunt ele transmise jurnalului oficial amintit, sub formă de copie în conformitate cu dreptul intern aplicabil, astfel încât să fie opozabile terților. Pe de altă parte, ar fi contrar obiectivului articolului 4 punctul 7 din RGPD, menționat la punctul 28 din prezenta hotărâre, să se excludă din noțiunea de „operator” Jurnalul Oficial al unui stat membru pentru motivul că acesta din urmă nu exercită un control asupra datelor cu caracter personal care figurează în publicațiile sale (a se vedea prin analogie Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 34).
39 Având în vedere motivele care precedă, este necesar să se răspundă la prima întrebare că articolul 4 punctul 7 din RGPD trebuie interpretat în sensul că agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, care este obligat, în temeiul legislației acestui stat, să publice ca atare, printre altele, acte și documente oficiale întocmite de terți pe propria lor răspundere, cu respectarea normelor aplicabile, și depuse ulterior la o autoritate judiciară care i le transmite spre publicare, poate fi considerat, deși nu are personalitate juridică, „operator” al datelor cu caracter personal din aceste acte și documente atunci când dreptul intern în cauză stabilește scopurile și mijloacele prelucrării datelor cu caracter personal efectuate de acest jurnal oficial.
Cu privire la a doua întrebare
40 Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (2) din RGPD trebuie interpretat în sensul că agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, calificat drept „operator” în sensul articolului 4 punctul 7 din RGPD, trebuie considerat singurul responsabil de respectarea principiilor prevăzute la articolul 5 alineatul (1) din RGPD sau dacă respectarea principiilor revine în mod cumulativ acestei agenții sau acestui organism, precum și entităților publice terțe care au prelucrat în prealabil datele cu caracter personal din actele și documentele publicate de Jurnalul Oficial menționat.
41 Mai întâi, trebuie amintit că, potrivit articolului 5 alineatul (2) din RGPD, operatorul este responsabil de respectarea principiilor prevăzute sub forma unor obligații la alineatul (1) al acestui articol și trebuie să fie în măsură să demonstreze că aceste principii sunt respectate.
42 În speță, din dosarul de care dispune Curtea reiese că prelucrarea datelor cu caracter personal din cauza principală, care i‑a fost încredințată Moniteur belge, este în același timp ulterioară prelucrării efectuate de notar și de grefa tribunalului competent, dar și diferită din punct de vedere tehnic de prelucrarea efectuată de aceste două entități, întrucât s‑a adăugat la aceasta. Astfel, Moniteur belge efectuează operațiunile care îi sunt încredințate în temeiul legislației naționale și presupun printre altele transformarea digitală a datelor din actele sau extrasele unor acte care îi sunt transmise, publicarea lor, punerea lor la dispoziția unui public larg, precum și păstrarea lor.
43 Prin urmare, Moniteur belge trebuie considerat, în temeiul articolului 5 alineatul (2) din RGPD, responsabil de respectarea principiilor menționate la alineatul (1) al acestui articol, în ceea ce privește prelucrările pe care este obligat să le efectueze conform dreptului intern și, prin urmare, de respectarea tuturor obligațiilor impuse operatorului prin RGPD.
44 În continuare, ținând seama de întrebările instanței de trimitere în ceea ce privește aspectul dacă un astfel de jurnal oficial este singurul responsabil pentru aceste prelucrări, trebuie amintit că, astfel cum rezultă din modul de redactare a articolului 4 punctul 7 din RGPD, această dispoziție nu prevede doar că scopurile și mijloacele unei prelucrări de date cu caracter personal pot fi stabilite împreună de mai multe persoane în calitate de operatori, ci și că dreptul intern poate stabili el însuși aceste scopuri și mijloace și poate desemna operatorul sau criteriile specifice pentru desemnarea acestuia.
45 Astfel, în cadrul unui șir de prelucrări efectuate de diferite persoane sau entități cu privire la aceleași date cu caracter personal, dreptul intern poate stabili scopurile și mijloacele ansamblului prelucrărilor efectuate în mod succesiv de aceste persoane sau entități diferite astfel încât acestea să fie considerate operatori asociați.
46 Pe de altă parte, trebuie amintit că articolul 26 alineatul (1) din RGPD prevede o responsabilitate comună atunci când doi sau mai mulți operatori stabilesc în comun scopurile și mijloacele prelucrării datelor cu caracter personal. Această dispoziție prevede de asemenea că operatorii asociați trebuie să își stabilească într‑un mod transparent, prin intermediul unui acord între ei, responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul acestui regulament, cu excepția cazului și în măsura în care responsabilitățile operatorilor sunt stabilite în dreptul Uniunii sau în dreptul intern care se aplică acestora.
47 Reiese astfel din dispoziția menționată că obligațiile operatorilor asociați ai unei prelucrări de date cu caracter personal nu depind neapărat de existența unui acord între diferiții operatori (a se vedea în acest sens Hotărârea din 5 decembrie 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punctele 44 și 45), însă pot decurge din dreptul intern.
48 În plus, Curtea a statuat, pe de o parte, că este suficient ca o persoană să influențeze, în scopuri proprii acesteia, prelucrarea datelor cu caracter personal și să participe, ca urmare a acestui fapt, la stabilirea scopurilor și a mijloacelor prelucrării respective pentru a putea fi considerată operator asociat și, pe de altă parte, că responsabilitatea comună a mai multor actori pentru aceeași prelucrare nu presupune ca fiecare dintre aceștia să aibă acces la datele cu caracter personal vizate (a se vedea în acest sens Hotărârea din 5 decembrie 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punctele 40-43 și jurisprudența citată).
49 Din cuprinsul punctelor 44-48 din prezenta hotărâre rezultă că, în temeiul dispozițiilor coroborate ale articolului 26 alineatul (1) și ale articolului 4 punctul 7 din RGPD, responsabilitatea comună a mai multor actori dintr‑un șir de prelucrări cu privire la aceleași date cu caracter personal poate fi stabilită de dreptul intern cu condiția ca diferitele operațiuni de prelucrare să fie unite prin scopuri și mijloace stabilite în temeiul acestui drept și ca dreptul respectiv să definească obligațiile fiecăruia dintre operatorii asociați.
50 Trebuie precizat că o astfel de stabilire a scopurilor și a mijloacelor comune diferitelor prelucrări efectuate de mai mulți actori dintr‑un șir de prelucrări, precum și a obligațiilor ce revin acestora poate fi efectuată nu numai în mod direct, ci și în mod indirect prin dreptul intern, cu condiția ca, în acest din urmă caz, ea să poată fi dedusă în mod suficient de explicit din dispozițiile legale care reglementează persoanele sau entitățile vizate, precum și prelucrarea datelor cu caracter personal pe care acestea o efectuează în șirul de prelucrări impus în temeiul acestui drept.
51 În sfârșit și în măsura în care este relevant, trebuie precizat că, în cazul în care instanța de trimitere ar ajunge la concluzia că agenția sau organismul responsabil de Moniteur belge nu este responsabil singur, ci împreună cu alți operatori, de respectarea principiilor prevăzute la articolul 5 alineatul (1) din RGPD în ceea ce privește datele din pasajul în discuție în litigiul principal, o astfel de concluzie nu ar aduce cu nimic atingere chestiunii dacă, având în vedere în special excepțiile prevăzute la articolul 17 alineatul (3) literele (b) și (d) din RGPD, trebuie admisă cererea de ștergere formulată de persoana fizică menționată la punctul 13 din prezenta hotărâre.
52 Având în vedere motivele care precedă, este necesar să se răspundă la a doua întrebare că articolul 5 alineatul (2) din RGPD coroborat cu articolul 4 punctul 7 și cu articolul 26 alineatul (1) din acesta trebuie interpretat în sensul că agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, considerat „operator” în sensul articolului 4 punctul 7 din regulamentul amintit, este singurul responsabil de respectarea principiilor menționate la articolul 5 alineatul (1) din același regulament în ceea ce privește operațiunile de prelucrare a datelor cu caracter personal pe care este obligat să le efectueze în temeiul dreptului intern, cu excepția cazului în care din acest drept decurge o responsabilitate comună cu alte entități cu privire la aceste operațiuni.
Cu privire la cheltuielile de judecată
53 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a treia) declară:
1) Articolul 4 punctul 7 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, care este obligat, în temeiul legislației acestui stat, să publice ca atare, printre altele, acte și documente oficiale întocmite de terți pe propria lor răspundere, cu respectarea normelor aplicabile, și depuse ulterior la o autoritate judiciară care i le transmite spre publicare, poate fi considerat, deși nu are personalitate juridică, „operator” al datelor cu caracter personal din aceste acte și documente atunci când dreptul intern în cauză stabilește scopurile și mijloacele prelucrării datelor cu caracter personal efectuate de acest jurnal oficial.
2) Articolul 5 alineatul (2) din Regulamentul 2016/679 coroborat cu articolul 4 punctul 7 și cu articolul 26 alineatul (1) din acesta
trebuie interpretat în sensul că
agenția sau organismul responsabil de Jurnalul Oficial al unui stat membru, considerat „operator” în sensul articolului 4 punctul 7 din regulamentul amintit, este singurul responsabil de respectarea principiilor menționate la articolul 5 alineatul (1) din același regulament în ceea ce privește operațiunile de prelucrare a datelor cu caracter personal pe care este obligat să le efectueze în temeiul dreptului intern, cu excepția cazului în care din acest drept decurge o responsabilitate comună cu alte entități cu privire la aceste operațiuni.
Semnături