Voorlopige editie
ARREST VAN HET HOF (Derde kamer)
11 januari 2024 (*)
„Prejudiciële verwijzing – Harmonisatie van de wetgevingen – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) – Verordening (EU) 2016/679 – Artikel 4, punt 7 – Begrip ,verwerkingsverantwoordelijke’ – Publicatieblad van een lidstaat – Verplichting om akten van vennootschappen die deze of hun wettelijke vertegenwoordigers hebben voorbereid, als zodanig bekend te maken – Artikel 5, lid 2 – Opeenvolgende verwerking van in dergelijke akten voorkomende persoonsgegevens door verschillende personen of entiteiten – Aanwijzing van de verantwoordelijkheid”
In zaak C‑231/22,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het hof van beroep Brussel (België) bij beslissing van 23 februari 2022, ingekomen bij het Hof op 1 april 2022, in de procedure
Belgische Staat
tegen
Gegevensbeschermingsautoriteit,
in tegenwoordigheid van:
LM,
wijst
HET HOF (Derde kamer),
samengesteld als volgt: K. Jürimäe, kamerpresident, N. Piçarra, M. Safjan (rapporteur), N. Jääskinen en M. Gavalec, rechters,
advocaat-generaal: L. Medina,
griffier: C. Strömholm, administrateur,
gezien de stukken en na de terechtzitting op 23 maart 2023,
gelet op de opmerkingen van:
– de Gegevensbeschermingsautoriteit, vertegenwoordigd door F. Biebuyck, P. Van Muylder en E. Kairis, advocaten,
– de Belgische regering, vertegenwoordigd door P. Cottin, J.‑C. Halleux en C. Pochet als gemachtigden, bijgestaan door S. Kaisergruber en P. Schaffner, advocaten,
– de Hongaarse regering, vertegenwoordigd door Zs. Biró-Tóth en M. Z. Fehér als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, H. Kranenborg en A.‑C. Simon als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 8 juni 2023,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 4, punt 7, en artikel 5, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen de Belgische Staat en de Gegevensbeschermingsautoriteit (België) (hierna: „GBA”), de toezichthoudende autoriteit die in België is opgericht op grond van artikel 51 AVG, over een besluit waarbij de GBA de autoriteit die het Belgisch Staatsblad beheert – het publicatieblad dat in deze lidstaat een brede waaier aan officiële en openbare publicaties op papier en langs elektronische weg verricht en verspreidt – heeft gelast gevolg te geven aan het verzoek van een natuurlijke persoon om voor verschillende persoonsgegevens uit een in dat publicatieblad gepubliceerde akte zijn recht op wissing uit te oefenen.
Toepasselijke bepalingen
Unierecht
3 Artikel 4 AVG bepaalt in de punten 2 en 7:
„Voor de toepassing van deze verordening wordt verstaan onder:
[...]
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]”
4 Artikel 5 AVG luidt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (‚doelbinding’);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (‚juistheid’);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (‚opslagbeperking’);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (integriteit en vertrouwelijkheid).
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
5 Artikel 17 AVG luidt:
„1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
[...]
3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:
[...]
b) voor het nakomen van een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
[...]
d) met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;
[...]”
6 Artikel 26 AVG bepaalt:
„1. Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.
2. Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld.
3. Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens ieder van de verwerkingsverantwoordelijken uitoefenen.”
7 In artikel 51 AVG staat onder meer te lezen dat elke lidstaat moet bepalen dat een of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening.
Belgisch recht
8 Artikel 472 van de programmawet van 24 december 2002 (Belgisch Staatsblad, 31 december 2002, blz. 58686) bepaalt:
„Het Belgisch Staatsblad is een officiële publicatie uitgegeven door het Bestuur van het Belgisch Staatsblad, die alle teksten waarvoor de bekendmaking in het Belgisch Staatsblad wordt bevolen, verzamelt.”
9 Artikel 474 van deze programmawet luidt:
„De bekendmaking in het Belgisch Staatsblad door het Bestuur van het Belgisch Staatsblad gebeurt in vier exemplaren die op papier gedrukt worden.
[...]
Eén exemplaar wordt bewaard op elektronische wijze. De Koning bepaalt de modaliteiten van de bewaring op elektronische wijze. [...]
[...]”
10 In artikel 475 van die programmawet staat te lezen:
„Elke andere terbeschikkingstelling van het publiek gebeurt via de internetsite van het Bestuur van het Belgisch Staatsblad.
De op deze internetsite ter beschikking gestelde publicaties zijn de exacte reproducties in elektronisch formaat van de in artikel 474 vermelde exemplaren op papier.”
11 Artikel 475 bis van de programmawet van 24 december 2002 luidt:
„Iedere burger kan bij de diensten van het Belgisch Staatsblad, door middel van een gratis telefonische hulpdienst, een afschrift van de in het Belgisch Staatsblad bekendgemaakte akten en documenten verkrijgen tegen kostprijs. Deze dienst is eveneens belast met het leveren van een hulpdienst aan de burgers bij het zoeken naar documenten.”
12 Artikel 475 ter van deze programmawet bepaalt:
„Bij een koninklijk besluit vastgesteld na overleg in de Ministerraad worden andere begeleidende maatregelen genomen met het oog op een zo ruim mogelijke verspreiding van en toegang tot de in het Belgisch Staatsblad opgenomen informatie.”
Hoofdgeding en prejudiciële vragen
13 In België bezat een natuurlijke persoon de meerderheid van de aandelen van een besloten vennootschap met beperkte aansprakelijkheid. De vennoten van deze vennootschap hadden besloten om het vennootschapskapitaal te verminderen en bijgevolg zijn haar statuten gewijzigd bij een besluit van de buitengewone vergadering van 23 januari 2019.
14 Overeenkomstig het wetboek van vennootschappen, in de versie die voortvloeit uit de wet van 7 mei 1999 (Belgisch Staatsblad, 6 augustus 1999, blz. 29440), heeft de notaris van voormelde natuurlijke persoon een uittreksel van dat besluit voorbereid en vervolgens toegezonden aan de griffie van de bevoegde rechtbank, te weten de ondernemingsrechtbank in het rechtsgebied waar de vennootschap gevestigd is. De rechtbank heeft dit uittreksel overeenkomstig de relevante wettelijke bepalingen ter bekendmaking meegedeeld aan het bestuur van het Belgisch Staatsblad.
15 Op 12 februari 2019 is dat uittreksel overeenkomstig de toepasselijke wettelijke bepalingen als zodanig – dat wil zeggen zonder controle van de inhoud ervan – gepubliceerd in de bijlagen bij het Belgisch Staatsblad.
16 Datzelfde uittreksel bevat het besluit tot vermindering van het vennootschapskapitaal, het oorspronkelijke bedrag van het kapitaal, het bedrag van de kapitaalvermindering, het nieuwe bedrag van het vennootschapskapitaal en de nieuwe tekst van de vennootschapsstatuten. Het bevat ook een passage met de naam van de twee vennoten, waaronder die van de in punt 13 van dit arrest bedoelde natuurlijke persoon, de hun terugbetaalde bedragen en hun bankrekeningnummers (hierna: „in het hoofdgeding aan de orde zijnde passage”).
17 Die natuurlijke persoon heeft geconstateerd dat zijn notaris een fout had begaan door de in het hoofdgeding aan de orde zijnde passage op te nemen in het in punt 14 van dit arrest genoemde uittreksel ofschoon dat wettelijk niet vereist was, en heeft via die notaris en diens functionaris voor gegevensbescherming stappen ondernomen om de passage te doen verwijderen overeenkomstig zijn in artikel 17 AVG neergelegde recht op wissing.
18 De Federale Overheidsdienst Justitie (hierna: „FOD Justitie”), waaronder het Bestuur van het Belgisch Staatsblad ressorteert, heeft met name bij beslissing van 10 april 2019 geweigerd om gehoor te geven aan het verzoek tot wissing.
19 Op 21 januari 2020 heeft de betrokken natuurlijke persoon bij de GBA een klacht tegen de FOD Justitie ingediend om te doen vaststellen dat het verzoek tot wissing gegrond was en dat was voldaan aan de in artikel 17, lid 1, AVG gestelde voorwaarden voor de uitoefening van het recht op gegevenswissing.
20 Bij besluit van 23 maart 2021 heeft de GBA de FOD Justitie een „berisping” toegestuurd en deze dienst gelast het verzoek tot wissing zo spoedig mogelijk – en uiterlijk binnen dertig dagen na kennisgeving van dat besluit – in te willigen.
21 Op 22 april 2021 heeft de Belgische Staat bij het hof van beroep Brussel (België), de verwijzende rechter, een vordering tot vernietiging van voormeld besluit ingesteld.
22 De verwijzende rechter merkt op dat partijen het oneens zijn over de vraag hoe in het hoofdgeding het begrip „verwerkingsverantwoordelijke” van artikel 4, punt 7, AVG moet worden uitgelegd, omdat de persoonsgegevens in de in het hoofdgeding aan de orde zijnde passage, waarvan de bekendmaking niet wettelijk vereist was, zijn verwerkt door meerdere potentiële „opeenvolgende” verwerkingsverantwoordelijken. Het gaat ten eerste om de notaris die het uittreksel met de in het hoofdgeding aan de orde zijnde passage heeft opgesteld en daarin per vergissing die gegevens heeft opgenomen, ten tweede om de griffie van de rechtbank waar dit uittreksel vervolgens is neergelegd alvorens het voor publicatie is toegezonden aan het Belgisch Staatsblad, en ten derde om het Belgisch Staatsblad, dat het uittreksel overeenkomstig de wettelijke bepalingen die zijn statuut en zijn taken regelen, als zodanig – dat wil zeggen zonder controle- of wijzigingsbevoegdheid – heeft gepubliceerd na het van die rechtbank te hebben ontvangen.
23 De verwijzende rechter vraagt zich in dit verband af of het Belgisch Staatsblad kan worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG. Zo ja – en de verwijzende rechter merkt daarbij op dat partijen in het hoofdgeding zich niet beroepen op de gezamenlijke verantwoordelijkheid waarin artikel 26 AVG voorziet – wenst hij tevens te vernemen of het Belgisch Staatsblad op grond van artikel 5, lid 2, van deze verordening als enige verantwoordelijk moet worden gehouden voor de inachtneming van de in artikel 5, lid 1, van die verordening neergelegde beginselen, dan wel of die verantwoordelijkheid ook cumulatief rust op de overheidsinstanties die de gegevens in de in het hoofdgeding aan de orde zijnde passage eerder hebben verwerkt, te weten de notaris die het uittreksel met die passage heeft opgesteld en de ondernemingsrechtbank in het rechtsgebied waar de besloten vennootschap in kwestie haar zetel heeft.
24 In die omstandigheden heeft het hof van beroep Brussel de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moet artikel 4, punt 7, [AVG] aldus worden uitgelegd dat het publicatieblad van een lidstaat – dat belast is met de openbaredienstverleningstaak van bekendmaking en archivering van officiële documenten en dat volgens de toepasselijke nationale wetgeving tot taak heeft de akten en officiële documenten waarvan de bekendmaking hem door derde overheidsinstanties wordt bevolen, bekend te maken zoals zij door die instanties zijn meegedeeld nadat zij de in die akten en documenten opgenomen persoonsgegevens zelf hebben verwerkt, waarbij de nationale wetgever hem geen beoordelingsbevoegdheid heeft gelaten met betrekking tot de inhoud van de bekend te maken documenten of het doel van en de middelen voor de bekendmaking – de hoedanigheid van verwerkingsverantwoordelijke heeft?
2) Indien de eerste vraag bevestigend wordt beantwoord, moet artikel 5, lid 2, [AVG] dan aldus worden uitgelegd dat het betrokken publicatieblad als enige verantwoordelijk is voor de nakoming van de verplichtingen die krachtens deze bepaling rusten op de verwerkingsverantwoordelijke, met uitsluiting van de derde overheidsinstanties die de gegevens in deze akten en officiële documenten eerder hebben verwerkt en dat publicatieblad hebben verzocht om deze gegevens bekend te maken, of rusten die verplichtingen cumulatief op elk van de opeenvolgende verwerkingsverantwoordelijken?”
Beantwoording van de prejudiciële vragen
Eerste prejudiciële vraag
25 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 4, punt 7, AVG aldus moet worden uitgelegd dat de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat volgens de wetgeving van die staat onder meer akten en officiële documenten als zodanig moet bekendmaken die derden onder hun eigen verantwoordelijkheid met inachtneming van de toepasselijke regels hebben voorbereid en die vervolgens worden neergelegd bij een rechterlijke instantie die deze ter bekendmaking doet toekomen aan die dienst of dat orgaan, kan worden aangemerkt als „verwerkingsverantwoordelijke” voor de in die akten en documenten vervatte persoonsgegevens in de zin van voormelde bepaling.
26 Vooraf dient te worden gepreciseerd dat het in artikel 4, punt 7, AVG gebezigde begrip „verwerkingsverantwoordelijke” onderstelt dat er een „verwerking” van persoonsgegevens heeft plaatsgevonden in de zin van artikel 4, punt 2, van deze verordening. In casu blijkt uit de verwijzingsbeslissing dat de persoonsgegevens die voorkomen in de in het hoofdgeding aan de orde zijnde passage zijn verwerkt door het Belgisch Staatsblad. Hoewel de verwijzende rechter deze verwerking niet in detail uiteenzet, blijkt uit de – onderling overeenstemmende – schriftelijke opmerkingen van de GBA en de Belgische regering dat het Belgisch Staatsblad die gegevens op zijn minst heeft verzameld, vastgelegd en opgeslagen, door middel van doorzending heeft verstrekt en heeft verspreid. Dergelijke handelingen vormen een „verwerking” in de zin van artikel 4, punt 2, van die verordening.
27 Na deze inleidende precisering zij eraan herinnerd dat het begrip „verwerkingsverantwoordelijke” volgens artikel 4, punt 7, AVG ziet op natuurlijke of rechtspersonen, overheidsinstanties, diensten of andere organen die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen. Verder staat in deze bepaling te lezen dat wanneer de doelstellingen van en de middelen voor deze verwerking bijvoorbeeld in het lidstatelijke recht worden vastgesteld, daarin kan worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.
28 In dit verband zij eraan herinnerd dat voormelde bepaling er volgens de rechtspraak van het Hof toe strekt om via een ruime omschrijving van het begrip „verwerkingsverantwoordelijke” een doeltreffende en volledige bescherming van de betrokkenen te verzekeren (zie in die zin arresten van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punt 29, en 5 december 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punt 40 en aldaar aangehaalde rechtspraak).
29 Gelet op de bewoordingen van artikel 4, punt 7, AVG, gelezen in het licht van die doelstelling, blijkt dat er, om te bepalen of een persoon of entiteit moet worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van deze bepaling, moet worden nagegaan of deze persoon of entiteit alleen of samen met anderen de doelstellingen van en de middelen voor de verwerking vaststelt, dan wel of deze doelstellingen en middelen in het nationale recht zijn bepaald. Indien dit laatste het geval is, moet er worden nagegaan of in dat recht is bepaald wie de verwerkingsverantwoordelijke is of volgens welke specifieke criteria deze wordt aangewezen.
30 In dit verband dient te worden verduidelijkt dat – gezien de ruime definitie van het begrip „verwerkingsverantwoordelijke” in artikel 4, punt 7, AVG – de vaststelling van de doelstellingen van en de middelen voor de verwerking en, in voorkomend geval, de aanwijzing van die verantwoordelijke in het nationale recht, niet alleen expliciet maar ook impliciet kunnen zijn. In dat geval moet die vaststelling evenwel met voldoende zekerheid voortvloeien uit de rol, de taak en de bevoegdheden die aan de persoon of entiteit in kwestie zijn toebedeeld. De bescherming van die personen zou immers worden verminderd indien artikel 4, punt 7, AVG restrictief zou worden uitgelegd, in die zin dat het enkel zou zien op gevallen waarin de doelstellingen van en de middelen voor een gegevensverwerking door een persoon, een overheidsinstantie, een dienst of een orgaan uitdrukkelijk in het nationale recht worden bepaald, ook al blijken die doelstellingen en middelen in wezen uit de wettelijke bepalingen die de activiteit van de entiteit in kwestie regelen.
31 In casu preciseert de verwijzende rechter in de eerste plaats dat in het hoofdgeding het Belgisch Staatsblad naar nationaal recht niet bevoegd lijkt te zijn om de doelstellingen van en de middelen voor de gegevensverwerking die het verricht vast te stellen. De eerste prejudiciële vraag berust op deze premisse. Bovendien blijkt uit de – onderling overeenstemmende – toelichtingen van de GBA en de Belgische regering ter terechtzitting dat ook de overheidsinstantie die het Belgisch Staatsblad beheert, te weten de FOD Justitie, naar nationaal recht niet lijkt te beschikken over een dergelijke bevoegdheid.
32 In de tweede plaats blijkt uit de gegevens van het dossier waarover het Hof beschikt dat de persoonsgegevens die voorkomen in de ter bekendmaking aan het Belgisch Staatsblad toegezonden akten en documenten, in wezen worden verzameld, vastgelegd en opgeslagen alsook als zodanig worden bekendgemaakt om het publiek officieel in kennis te stellen van het bestaan van deze akten en documenten en deze te kunnen tegenwerpen aan derden.
33 Bovendien blijkt uit de toelichtingen van de verwijzende rechter dat de verwerking hoofdzakelijk gebeurt op geautomatiseerde wijze: de gegevens in kwestie worden weergegeven op papieren exemplaren waarvan er één elektronisch wordt bewaard, de papieren exemplaren worden in elektronische vorm voor de website van het Belgisch Staatsblad gereproduceerd en een kopie kan worden verkregen via een telefonische hulpdienst die burgers tevens moet helpen bij het zoeken naar documenten.
34 Uit de gegevens van het dossier waarover het Hof beschikt volgt dus dat het Belgisch recht op zijn minst impliciet de doelstellingen van en de middelen voor de persoonsgegevensverwerking heeft bepaald die het Belgisch Staatsblad verricht.
35 Derhalve zij opgemerkt dat het Belgisch Staatsblad, als dienst die of orgaan dat ermee belast is de in de publicaties voorkomende persoonsgegevens te verwerken overeenkomstig de door de Belgische wetgeving voorgeschreven doeleinden en middelen, kan worden beschouwd als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG.
36 Aan deze gevolgtrekking wordt niet afgedaan door de omstandigheid dat het Belgisch Staatsblad, als onderafdeling van de FOD Justitie, geen rechtspersoonlijkheid heeft. Uit de duidelijke bewoordingen van voornoemde bepaling blijkt immers dat een verwerkingsverantwoordelijke niet alleen een natuurlijke of rechtspersoon kan zijn, maar ook een overheidsinstantie, een dienst of een orgaan. Dergelijke entiteiten hebben – naargelang van het nationale recht in kwestie – niet noodzakelijk rechtspersoonlijkheid.
37 Evenzo heeft het feit dat het Belgisch Staatsblad naar nationaal recht de persoonsgegevens die voorkomen in de door dat publicatieblad ontvangen akten en documenten, niet controleert voordat die gegevens daarin worden bekendgemaakt, geen invloed op de vraag of het Belgisch Staatsblad kan worden aangemerkt als verwerkingsverantwoordelijke.
38 Het Belgisch Staatsblad moet het betreffende document weliswaar ongewijzigd bekendmaken, maar het is uitsluitend het Belgisch Staatsblad dat deze taak op zich neemt en dat de handeling of het document in kwestie vervolgens verspreidt. Ten eerste is de bekendmaking van dergelijke akten en documenten zonder de mogelijkheid om de inhoud ervan te controleren of wijzigen, intrinsiek verbonden met de doelstellingen van en de middelen voor de verwerking die het nationale recht bepaalt: de rol van een publicatieblad als het Belgisch Staatsblad bestaat er louter in het publiek te informeren over het bestaan van deze akten en documenten, zoals zij overeenkomstig het toepasselijke nationale recht in de vorm van een kopie aan dat blad worden toegezonden, zodat zij aan derden kunnen worden tegengeworpen. Ten tweede zou het in strijd zijn met de in punt 28 van dit arrest genoemde doelstelling van artikel 4, punt 7, AVG indien het publicatieblad van een lidstaat van het begrip „verwerkingsverantwoordelijke” zou worden uitgesloten omdat het geen controle uitoefent over de in de publicaties voorkomende persoonsgegevens (zie naar analogie arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 34).
39 Gelet op een en ander dient op de eerste prejudiciële vraag te worden geantwoord dat artikel 4, punt 7, AVG aldus moet worden uitgelegd dat de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat volgens de wetgeving van die staat onder meer akten en officiële documenten als zodanig moet bekendmaken die derden onder hun eigen verantwoordelijkheid met inachtneming van de toepasselijke regels hebben voorbereid en die vervolgens worden neergelegd bij een rechterlijke instantie die deze ter bekendmaking doet toekomen aan die dienst of dat orgaan, niettegenstaande het gebrek aan rechtspersoonlijkheid kan worden aangemerkt als „verwerkingsverantwoordelijke” voor de in die akten en documenten vervatte persoonsgegevens, wanneer het betrokken nationale recht de doelstellingen van en de middelen voor de door dat publicatieblad verrichte persoonsgegevensverwerking bepaalt.
Tweede prejudiciële vraag
40 Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 2, AVG aldus moet worden uitgelegd dat de dienst of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat wordt aangemerkt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, als enige verantwoordelijk is voor de inachtneming van de in artikel 5, lid 1, AVG bedoelde beginselen, dan wel aldus dat die verantwoordelijkheid cumulatief berust bij die dienst of dat orgaan en bij de derde overheidsinstanties die de persoonsgegevens die voorkomen in de door dat publicatieblad bekendgemaakte akten en documenten, eerder hebben verwerkt.
41 Om te beginnen zij eraan herinnerd dat volgens artikel 5, lid 2, AVG de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de beginselen die in lid 1 van dat artikel zijn neergelegd in de vorm van verplichtingen, en moet kunnen aantonen dat deze beginselen in acht worden genomen.
42 In casu blijkt uit het dossier waarover het Hof beschikt dat de in het hoofdgeding aan de orde zijnde persoonsgegevensverwerking waarmee het Belgisch Staatsblad is belast, plaatsvindt na de verwerking door de notaris en door de griffie van het bevoegde gerecht, en ook technisch gesproken verschilt van de verwerking door deze twee entiteiten aangezien zij daar bovenop komt. De door het Belgisch Staatsblad verrichte handelingen worden immers voorgeschreven door de nationale wetgeving en houden onder meer in dat de gegevens uit de voorgelegde akten of uittreksels digitaal worden omgezet, worden bekendgemaakt, ter beschikking worden gesteld aan een breed publiek en worden opgeslagen.
43 Derhalve moet het Belgisch Staatsblad op grond van artikel 5, lid 2, AVG worden geacht verantwoordelijk te zijn voor de inachtneming van de in lid 1 van dit artikel bedoelde beginselen wat betreft de verwerkingen die het krachtens het nationale recht moet verrichten, en dus voor alle verplichtingen die de AVG de verwerkingsverantwoordelijke oplegt.
44 Gelet op de twijfels van de verwijzende rechter over de vraag of een dergelijk publicatieblad als enige verantwoordelijk is voor die verwerking, zij er vervolgens aan herinnerd dat artikel 4, punt 7, AVG niet alleen voorschrijft dat het doel van en de middelen voor de verwerking van persoonsgegevens gezamenlijk kunnen worden bepaald door meerdere personen die verwerkingsverantwoordelijke zijn, maar ook dat het nationale recht zelf deze doelstellingen en middelen kan bepalen en de verwerkingsverantwoordelijke of de specifieke criteria voor zijn aanwijzing kan aanwijzen.
45 Indien er sprake is van een keten van verwerkingen die door verschillende personen of entiteiten worden verricht en op dezelfde persoonsgegevens zien, kan het nationale recht dus het doel van en de middelen voor alle door deze personen of entiteiten achtereenvolgens verrichte verwerkingen op zodanige wijze bepalen dat zij gezamenlijk verantwoordelijk zijn voor de verwerking.
46 Bovendien zij eraan herinnerd dat artikel 26, lid 1, AVG voorziet in een gezamenlijke verantwoordelijkheid wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van een gegevensverwerking bepalen. In dat artikellid staat tevens te lezen dat die verwerkingsverantwoordelijken op transparante wijze via een onderlinge regeling hun respectieve verantwoordelijkheden voor de nakoming van de uit de AVG voortvloeiende verplichtingen moeten vaststellen, tenzij en voor zover hun respectieve verantwoordelijkheden zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op hen van toepassing is.
47 Uit die bepaling blijkt dus dat de respectieve verplichtingen van de gezamenlijke verantwoordelijken voor een persoonsgegevensverwerking niet noodzakelijk afhangen van het bestaan van een overeenkomst tussen de verschillende verantwoordelijken (zie in die zin arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punten 44 en 45), maar kunnen voortvloeien uit het nationale recht.
48 Voorts heeft het Hof geoordeeld dat het voldoende is dat een persoon om hem moverende redenen invloed uitoefent op de verwerking van persoonsgegevens en dientengevolge deelneemt aan de vaststelling van het doel van en de middelen voor de verwerking, opdat hij gezamenlijk verantwoordelijk kan worden gehouden voor de verwerking, alsmede dat de omstandigheid dat meerdere deelnemers verantwoordelijk zijn voor dezelfde verwerking niet onderstelt dat ieder van hen toegang heeft tot de persoonsgegevens in kwestie (zie in die zin arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punten 40‑43 en aldaar aangehaalde rechtspraak).
49 Uit de punten 44 tot en met 48 van het onderhavige arrest volgt dat volgens artikel 26, lid 1, juncto artikel 4, punt 7, AVG het nationale recht kan bepalen dat verschillende actoren in een keten van verwerkingen van dezelfde persoonsgegevens gezamenlijk verantwoordelijk zijn, mits de verschillende verwerkingshandelingen de doelstellingen en middelen delen die het nationale recht in kwestie bepaalt en dit recht de respectieve verplichtingen van elk van de gezamenlijke verwerkingsverantwoordelijken vaststelt.
50 Gepreciseerd dient te worden dat het nationale recht de doelstellingen en middelen die gemeen zijn aan de door verschillende actoren in een keten verrichte verwerkingen en de respectieve verplichtingen van die actoren niet alleen op directe wijze maar ook op indirecte wijze kan bepalen, op voorwaarde dat zij voldoende expliciet kunnen worden afgeleid uit de wettelijke bepalingen die gelden voor de betrokken personen of entiteiten en voor de persoonsgegevensverwerking die zij verrichten in de door het nationale recht opgelegde verwerkingsketen.
51 Ten slotte moet volledigheidshalve worden verduidelijkt dat indien de verwijzende rechter tot de slotsom zou komen dat de dienst die of het orgaan dat belast is met het Belgisch Staatsblad, niet alleen maar samen met anderen verantwoordelijk is voor de inachtneming van de in artikel 5, lid 1, AVG bedoelde beginselen wat betreft de gegevens die voorkomen in de in het hoofdgeding aan de orde zijnde passage, deze gevolgtrekking geenszins zou vooruitlopen op de vraag of gevolg moet worden gegeven aan het verzoek tot gegevenswissing dat werd ingediend door de in punt 13 van dit arrest bedoelde natuurlijke persoon, met name gelet op de uitzonderingen in artikel 17, lid 3, onder b) en d), AVG.
52 Gelet op een en ander dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 5, lid 2, AVG junctis artikel 4, punt 7, en artikel 26, lid 1, van deze verordening aldus moet worden uitgelegd dat de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat wordt aangemerkt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, bij de persoonsgegevensverwerkingen die hij krachtens het nationale recht moet verrichten als enige verantwoordelijk is voor de inachtneming van de in artikel 5, lid 1, AVG bedoelde beginselen, tenzij uit dit recht voortvloeit dat hij daarvoor gezamenlijk met andere entiteiten verantwoordelijk is.
Kosten
53 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
1) Artikel 4, punt 7, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat volgens de wetgeving van die staat onder meer akten en officiële documenten als zodanig moet bekendmaken die derden onder hun eigen verantwoordelijkheid met inachtneming van de toepasselijke regels hebben voorbereid en die vervolgens worden neergelegd bij een rechterlijke instantie die deze ter bekendmaking doet toekomen aan die dienst of dat orgaan, niettegenstaande het gebrek aan rechtspersoonlijkheid kan worden aangemerkt als „verwerkingsverantwoordelijke” voor de in die akten en documenten vervatte persoonsgegevens, wanneer het betrokken nationale recht de doelstellingen van en de middelen voor de door dat publicatieblad verrichte persoonsgegevensverwerking bepaalt.
2) Artikel 5, lid 2, van verordening 2016/679 junctis artikel 4, punt 7, en artikel 26, lid 1, van deze verordening
moet aldus worden uitgelegd dat
de dienst die of het orgaan dat belast is met het publicatieblad van een lidstaat en die/dat wordt aangemerkt als „verwerkingsverantwoordelijke” in de zin van artikel 4, punt 7, AVG, bij de persoonsgegevensverwerkingen die hij krachtens het nationale recht moet verrichten als enige verantwoordelijk is voor de inachtneming van de in artikel 5, lid 1, AVG bedoelde beginselen, tenzij uit dit recht voortvloeit dat hij daarvoor gezamenlijk met andere entiteiten verantwoordelijk is.
ondertekeningen