62022CJ0231_RES
Byla C‑231/22
État belge
prieš
Autorité de protection des données
(Cour d’appel de Bruxelles prašymas priimti prejudicinį sprendimą)
2024 m. sausio 11 d. Teisingumo Teismo (trečioji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Teisės aktų derinimas – Fizinių asmenų apsauga tvarkant asmens duomenis ir laisvas tokių duomenų judėjimas (Bendrasis duomenų apsaugos reglamentas) – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – Valstybės narės oficialusis leidinys – Pareiga skelbti tokius dokumentus, kokius parengė bendrovės ar jų teisiniai atstovai – 5 straipsnio 2 dalis – Paskesnis kelių asmenų ar skirtingų subjektų atliekamas tokiuose dokumentuose esančių asmens duomenų tvarkymas – Atsakomybės nustatymas“
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Sąvoka „duomenų valdytojas“ – Valstybės narės oficialusis leidinys, kuris yra atsakingas už trečiųjų asmenų parengtų aktų ir oficialių dokumentų skelbimą ir kuris neturi įgaliojimų tikrinti jų turinio – Įtraukimas – Sąlyga – To oficialiojo leidinio vykdomo asmens duomenų tvarkymo tikslų ir priemonių nustatymas nacionalinėje teisėje – Tvarka – Juridinio asmens statuso neturėjimo poveikio nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 dalis)
(žr. 35, 28, 30, 34 ir 39 punktus ir rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Su duomenų tvarkymu susiję principai – Už tų principų laikymąsi atsakingų asmenų nustatymas tais atvejais, kai tuos pačius duomenis paeiliui tvarko kelis asmenys – Valstybės narės oficialiojo leidinio, kuris yra atsakingas už trečiųjų asmenų parengtų aktų ir oficialių dokumentų skelbimą ir kuris turi duomenų valdytojo statusą, atsakomybė – Apimtis – Oficialiojo leidinio individuali atsakomybė – Kartu su kitais subjektais bendra atsakomybė – Sąlyga – Atskiras tvarkymo operacijas vienijančių tikslų ir priemonių, taip pat bendrų duomenų valdytojų atitinkamų pareigų nustatymas nacionalinėje teisėje – Tvarka
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 punktas, 5 straipsnio 1 ir 2 dalys ir 26 straipsnio 1 dalis)
(žr. 42–45, 49, 50 ir 52 punktus ir rezoliucinės dalies 2 punktą)
Santrauka
Gavęs Cour d’appel de Bruxelles (Belgija) prašymą priimti prejudicinį sprendimą Teisingumo Teismas patikslino, viena vertus, sąvokos „duomenų valdytojas“ ribas ir, kita vertus, duomenų tvarkytojo pareigų ribas, kai tuos pačius asmens duomenis paeiliui tvarko keli subjektai.
2019 m. vasario 12 d.Moniteur belge, kuris Belgijoje yra atsakingas už įvairių oficialių ir viešų dokumentų rengimą ir platinimą popierine ir elektronine forma, paskelbė bendrovės sprendimo dėl kapitalo mažinimo išrašą. Tame išraše, kurį vieno bendrovės dalyvio notaras parengė ir persiuntė kompetentingam teismui, savo ruožtu perdavusiam jį skelbti oficialiojo leidinio vadovybei, buvo pateikta to dalyvio asmens duomenų.
Konstatavęs, kad ištrauka, kurioje pateikti jo asmens duomenys, buvo įtraukta į išrašą dėl notaro padarytos klaidos, suinteresuotasis asmuo paprašė juos ištrinti, remdamasis teise reikalauti ištrinti duomenis (
1
). Tačiau jo prašymą atmetė service public fédéral Justice (toliau – SPF Justice), kuriai yra atskaitinga Moniteur belge vadovybė. SPF Justice sprendimą atmesti prašymą tas asmuo apskundė Autorité de protection des données (Belgija) (toliau – APD). 2021 m. kovo 23 d. sprendimu APD nurodė SPF Justice kuo skubiau tenkinti prašymą ištrinti duomenis. Tada État belge kreipėsi į Cour d’appel de Bruxelles, kad būtų panaikintas APD sprendimas.
Tokiomis aplinkybėmis Cour d’appel de Bruxelles paklausė Teisingumo Teismo, ar Moniteur belge gali būti laikomas „duomenų valdytoju“ (
2
) ir ar jis turi būti pripažintas vieninteliu atsakingu už su duomenų tvarkymu susijusių principų laikymąsi (
3
), o gal ta atsakomybė taip pat kumuliatyviai tenka subjektams, kurie anksčiau tvarkė aptariamoje ištraukoje esančius duomenis.
Teisingumo Teismo vertinimas
Pirma, dėl klausimo, ar už valstybės narės oficialųjį leidinį atsakinga tarnyba arba įstaiga, kaip antai Moniteur belge, gali būti laikoma „duomenų valdytoja“ pagal BDAR, Teisingumo Teismas pažymėjo, kad, atsižvelgiant į plačią šios sąvokos apibrėžtį, tvarkymo tikslų ir priemonių nustatymas, taip pat, jei taikoma, duomenų valdytojo skyrimas pagal nacionalinę teisę gali būti ne tik eksplicitinis, bet ir implicitinis. Pastaruoju atveju vis dėlto reikalaujama, kad tas nustatymas pakankamai aiškiai būtų susietas su atitinkamai tarnybai ar įstaigai priskirtu vaidmeniu, užduotimis ir pareigomis.
Teisingumo Teismas konstatavo, kad nagrinėjamu atveju Belgijos teisėje bent implicitiškai nustatyti Moniteur belge vykdomo asmens duomenų tvarkymo tikslai ir priemonės. Tuo remiantis darytina išvada, kad jis gali būti laikomas „duomenų valdytoju“.
Teisingumo Teismas pažymėjo, kad šios išvados nepaneigia nei aplinkybė, kad Moniteur belge neturi juridinio asmens statuso, nei aplinkybė, kad, remiantis nacionaline teise, prieš paskelbdamas gautus aktus ir dokumentus jis netikrina juose esančių asmens duomenų.
Nors neginčijama, kad ši įstaiga privalo skelbti atitinkamą dokumentą tokį, kokį gavo, būtent ji vienintelė yra atsakinga už tą užduotį ir paskui užtikrina atitinkamo akto ar dokumento sklaidą. Viena vertus, tokių aktų ir dokumentų skelbimas be galimybės tikrinti ar keisti jų turinį yra glaudžiai susijęs su nacionalinėje teisėje nustatytais tikslais ir priemonėmis. Iš tiesų oficialiojo leidinio vaidmuo apsiriboja visuomenės informavimu apie tų aktų ir dokumentų, kokie jie pateikti tam leidiniui kopijos forma pagal taikytiną nacionalinę teisę, egzistavimą, kad jie galiotų trečiųjų asmenų atžvilgiu. Kita vertus, jeigu valstybės narės oficialiajam leidiniui nebūtų taikoma „duomenų valdytojo“ sąvoka dėl to, kad jis netikrina jo skelbiamuose dokumentuose pateiktų asmens duomenų, tai prieštarautų BDAR 4 straipsnio 7 punkto tikslui.
Antra, dėl klausimo, ar tokia įstaiga, kaip Moniteur belge, turi būti laikoma vienintele atsakinga už BDAR nustatytų asmens duomenų tvarkymo principų laikymąsi (
4
), Teisingumo Teismas pažymėjo, kad Moniteur belge pavestas tvarkymas vyko po to, kai duomenis tvarkė notaras ir kompetentingo teismo kanceliarija, taip pat jis techniškai skirtingas nuo tų dviejų subjektų vykdyto tvarkymo tuo, kad yra papildomas. Iš tiesų Moniteur belge atliktos operacijos jam pavestos remiantis nacionalinės teisės aktais ir apima, be kita ko, jam pateiktuose aktuose ar aktų išrašuose esančių duomenų skaitmeninimą, skelbimą, pateikimą plačiajai visuomenei ir jų saugojimą. Taigi jis turi būti laikomas atsakingu už visų duomenų valdytojui BDAR nustatytų pareigų laikymąsi.
Be to, Teisingumo Teismas priminė, kad BDAR 4 straipsnio 7 punkte numatyta ne tik tai, kad asmens duomenų tvarkymo tikslus ir priemones gali kartu nustatyti keli asmenys kaip duomenų valdytojai, bet ir tai, kad nacionalinėje teisėje gali būti nustatyti tie tikslai ir priemonės ir pagal ją paskirtas duomenų valdytojas arba nurodyti konkretūs jo skyrimo kriterijai. Tuo atveju, kai tuos pačius asmens duomenis tvarko skirtingų asmenų ar subjektų grandinė, nacionalinėje teisėje gali būti numatyti šių skirtingų asmenų ar subjektų paeiliui atliekamų visų tvarkymo operacijų tikslai ir priemonės, kad tie tvarkytojai būtų bendrai laikomi duomenų valdytojais.
Teisingumo Teismas pažymėjo, kad pagal BDAR (
5
) tų pačių asmens duomenų tvarkymo grandinėje veikiančių kelių asmenų bendra atsakomybė gali būti nustatyta nacionalinėje teisėje, jeigu atskiras tvarkymo operacijas vienija toje teisėje nustatyti tikslai ir priemonės ir jeigu joje atitinkamai nustatyta kiekvieno bendro duomenų valdytojo atsakomybė. Kelių grandinėje veikiančių asmenų atskirai atliekamą tvarkymą vienijantys tikslai ir priemonės, taip pat atitinkamos jų pareigos gali būti nustatyti ne tik tiesiogiai, bet ir netiesiogiai nacionalinėje teisėje, jeigu – pastaruoju atveju – tas nustatymas pakankamai aiškiai kyla iš atitinkamų asmenų ar subjektų veiklą, taip pat jų atliekamą asmens duomenų tvarkymą toje teisėje nustatytoje tvarkymo operacijų grandinėje reglamentuojančių teisės aktų nuostatų.
Taigi Teisingumo Teismas padarė išvadą, kad už valstybės narės oficialųjį leidinį atsakinga agentūra ar kita įstaiga, kuri kvalifikuojama kaip „duomenų valdytoj[a]“, yra vienintelė atsakinga už BDAR nustatytų principų laikymąsi, kiek tai susiję su asmens duomenų tvarkymo operacijomis, kurias ji turi atlikti pagal nacionalinę teisę, nebent pagal tą teisę už tas operacijas kyla su kitais subjektais bendra atsakomybė.
(
1
)	Nustatyta 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 17 straipsnyje.
(
2
)	Kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą.
(
3
)	Pagal BDAR 5 straipsnio 2 dalį.
(
4
)	BDAR 5 straipsnio 1 dalyje pareigų forma nustatyti principai.
(
5
)	Remiantis kartu aiškinamomis BDAR 26 straipsnio 1 dalies ir 4 straipsnio 7 punkto nuostatomis.