62022CC0231
SKLEPNI PREDLOGI GENERALNE PRAVOBRANILKE
LAILE MEDINA,
predstavljeni 8. junija 2023 (
1
)
Zadeva C‑231/22
État belge
proti
Autorité de protection des données,
ob udeležbi
LM
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo cour d’appel de Bruxelles (višje sodišče v Bruslju, Belgija))
„Predhodno odločanje – Uredba (EU) 2016/679 – Člen 4, točki 7 in 8 – Obdelava osebnih podatkov – Pojma ‚upravljavec‘ in ‚obdelovalec‘ – Določitev namena in sredstev obdelave podatkov – Obveznost imenovanja na podlagi nacionalnega prava – Uradni list – Objava akta pravne osebe, ki ga sestavi notar – Zahteva za izbris podatkov – Diskrecijska pravica – Nespremenljivost – Člen 5(2) – Zaporedni upravljavci – Ločene obveznosti ločenih subjektov“
1.
V starem Rimu so bila dnevna uradna obvestila Acta Diurna vklesana v kamnite ali kovinske tablice in objavljena na javnih mestih, na primer v rimskem Forumu. V digitalni dobi pa se lahko nacionalni organi srečajo z vprašanjem, ali so podatki, objavljeni v uradnem listu neke države, če se izrazim s prispodobo, ravno tako vklesani v kamen ali pa jih je mogoče izbrisati oziroma spremeniti.
2.
Spor v glavni stvari je nastal zato, ker je belgijski uradni list, Moniteur belge, ki objavlja uradne dokumente v papirni in elektronski obliki, objavil določene podatke.
3.
Postopek v glavni stvari poteka med État belge (Belgijska država) in Autorité de protection des données (organ za varstvo podatkov, Belgija; v nadaljevanju: organ za varstvo podatkov). Pooblaščena oseba za varstvo podatkov, ki jo je imenoval notar, je po tem, ko je ugotovila, da je po pomoti prišlo do objave izvlečka sklepa družbe, ki ga je overil notar in ki je poleg podatkov, katerih navedba je predpisana v belgijskem pravu, vseboval tudi osebne podatke fizične osebe, od Moniteur belge zahtevala, naj se ti podatki izbrišejo. Service Public Fédéral Justice (zvezna javna služba za pravosodje, v nadaljevanju: SPF Justice), ki je organ, pristojen za upravljanje Moniteur belge, pa je to zahtevo zavrnila.
4.
V teh okoliščinah je vsebina vprašanj, ki jih je cour d’appel de Bruxelles (višje sodišče v Bruslju, Belgija) postavilo v predlogu za sprejetje predhodne odločbe, precej ozka. Predložitveno sodišče v bistvu sprašuje, ali je treba Moniteur belge oziroma SPF Justice šteti za „upravljavca“ v smislu člena 4, točka 7, Uredbe (EU) 2016/679 (Splošna uredba o varstvu podatkov, v nadaljevanju: SUVP). (
2
) Če je odgovor na to vprašanje pritrdilen, se predložitveno sodišče sprašuje še, kakšne so meje obveznosti upravljavca v primerih, v katerih obdelavo zaporedno izvaja več subjektov.
I. Pravni okvir
A.
Pravo Unije
5.
V poglavju I SUVP, naslovljenem „Splošne določbe“, so v členu 4 med drugim opredeljeni naslednji pojmi: „osebni podatki“, „obdelava“, „upravljavec“ in „obdelovalec“.
6.
V obravnavani zadevi so upoštevni tudi členi 5, 6, 17 in 26 SUVP.
B.
Nacionalno pravo
1. Zakonik o gospodarskih družbah
7.
Člen 67(1)(1) in (2) Loi du 7 mai 1999 contenant le Code des sociétés (
3
) (zakon z dne 7. maja 1999 o zakoniku o gospodarskih družbah, v nadaljevanju: zakonik o gospodarskih družbah) je določal:
„1.   Overjene kopije javnih listin, dvojniki ali izvirniki aktov, opremljenih z lastnoročnim podpisom, in izvlečki aktov v elektronski ali drugi obliki, ki jih je treba predložiti ali objaviti v skladu z naslednjimi členi, se vložijo v sodnem tajništvu sodišča, ki je krajevno pristojno na območju, na katerem ima gospodarska družba sedež.
[…]
2.   Vloženi akti se hranijo v spisu, ki ga sodno tajništvo vodi za vsako gospodarsko družbo, zadevne gospodarske družbe pa se vpišejo v register pravnih oseb, to je v podatkovno zbirko, ki jo vodi Banque-Carrefour des Entreprises (centralni register podjetij).“
8.
Člen 71 zakonika je določal:
„Izvlečke aktov gospodarskih družb podpišejo notarji, s čimer ti akti pridobijo status javne listine, akte, ki morajo biti opremljeni z lastnoročnim podpisom, pa podpišejo vsi solidarno odgovorni družbeniki ali eden od teh družbenikov, ki so ga ostali za to posebej pooblastili.“
9.
Člen 73 navedenega zakonika je določal:
„Zadevni akti se v prilogah k Moniteur belge objavijo v 15 dneh od vložitve, sicer se lahko uveljavlja odškodninska odgovornost uradnikov, ki jim je mogoče pripisati opustitev ali zamudo objave.
[…]“
10.
Člen 74(1) navedenega zakonika je določal:
„V skladu s prejšnjimi členi se vložijo in objavijo naslednji akti:
(1) akti, s katerimi se spreminjajo ali dopolnjujejo določbe, katerih objava je predpisana s tem zakonikom.
[…]“
2. Kraljevi odlok z dne 30. januarja 2001
11.
Člen 1 Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés (kraljevi odlok z dne 30. januarja 2001 o izvajanju zakonika o gospodarskih družbah) (
4
) je določal:
„[…] Vsi akti, izvlečki aktov, zapisniki in dokumenti, katerih objava je predpisana z zakonikom o gospodarskih družbah, se vložijo pri sodnih tajnikih [gospodarskih] sodišč […]“
12.
Člen 11 navedenega kraljevega odloka je določal:
„(1)   Akti, izvlečki aktov in dokumenti, ki se objavijo v prilogah k Moniteur belge in za katere velja obveznost elektronske predložitve, se skupaj s kopijo vložijo v sodnemu tajništvu. […]
(2)   Vsi akti, predloženi v papirni obliki, izpolnjujejo naslednje pogoje:
[…]
6.
opremljeni so s podpisom notarja, ki deluje v imenu pravne osebe, ali s podpisi oseb, pooblaščenih za zastopanje pravne osebe v razmerju do tretjih oseb, ter vsebujejo navedbo imen in funkcij podpisnikov;
[…]
(3)   Kopije aktov, izvlečkov aktov in dokumentov iz členov 67, 68 in 74 […] zakonika o gospodarskih družbah […], namenjene objavi v Moniteur belge, ter besedilo podatkovnih navedb se predložijo brez popravkov ali prekrivanja vsebine […]
[…]“
13.
Člen 14(1) kraljevega odloka je določal:
„Sodni tajnik kopije aktov, izvlečke aktov in druge dokumente […], ki so mu predloženi in ki jih je treba objaviti v prilogah k Moniteur belge, najpozneje drugi delovni dan po njihovi vložitvi posreduje upravi Moniteur belge.“
14.
Člen 16 navedenega kraljevega odloka je določal:
„Besedila, katerih objava je obvezna, se v zakonsko določenih rokih objavijo v prilogah k Moniteur belge.“
3. Programski zakon I z dne 24. decembra 2002
15.
Člen 472 Loi‑programme du 24 décembre 2002 (programski zakon z dne 24. decembra 2002) (
5
) določa:
„Moniteur belge je uradna publikacija, katere izdajatelj je uprava Moniteur belge, ki zbere vsa besedila, za katera je odrejena objava v Moniteur belge.“
16.
Člen 474 navedenega programskega zakona določa:
„Uprava Moniteur belge objavi tri tiskane izvode Moniteur belge.
[…]
En izvod se hrani v elektronski obliki. Podrobna pravila elektronske hrambe določi kralj […]“
17.
Člen 475 tega programskega zakona določa:
„Vse ostale oblike dajanja na voljo javnosti se izvajajo prek spletnega mesta uprave Moniteur belge.
Objave, ki so na voljo na tem spletnem mestu, so natančne reprodukcije tiskanih izvodov iz člena 474 v elektronski obliki.“
18.
Člen 475a programskega zakona z dne 24. decembra 2002 določa:
„Vsak državljan lahko s klicem na brezplačno telefonsko številko pridobi kopije aktov in dokumentov, objavljenih v Moniteur belge, po ceni, ki jo določi Moniteur belge. Ta služba je pristojna tudi za zagotavljanje pomoči državljanom pri iskanju aktov.“
19.
Člen 475b navedenega programskega zakona določa:
„Drugi spremljevalni ukrepi se sprejmejo s kraljevim odlokom, o katerem razpravlja svet ministrov, da se zagotovi čim širše razširjanje in dostop do informacij, objavljenih v Moniteur belge.“
II. Dejansko stanje, postopek in vprašanji za predhodno odločanje
20.
LM je večinski delničar družbe Bureau LM, belgijske družbe z omejeno odgovornostjo.
21.
Ta družba je 23. januarja 2019 izvedla zasedanje generalne skupščine, na katerem je sklenila, da bo s spremembo statuta zmanjšala svoj kapital.
22.
Notar je v skladu z zakonskimi predpisi, ki urejajo razkritje informacij, sestavil izvleček tega sklepa. Notar je 12. februarja 2019 ta izvleček zaradi uradne objave v Moniteur belge vložil v sodno tajništvo tribunal de l’entreprise néerlandophone de Bruxelles (gospodarsko sodišče v Bruslju za postopke v nizozemščini, Belgija).
23.
Ta izvleček je bil 22. februarja 2019 objavljen v prilogah k Moniteur belge. Natančneje, objavljeni izvleček je vseboval sklep o zmanjšanju kapitala družbe, začetni znesek kapitala, znesek zmanjšanja, nov znesek osnovnega kapitala in novo besedilo statuta družbe. Poleg informacij, katerih objava je določena z zakonom, pa je zadevni izvleček vseboval tudi imeni obeh družbenikov zadevne družbe, zneske, ki so jima bili povrnjeni, in številki njunih bančnih računov (v nadaljnjem besedilu: sporni odlomek), katerih objava ni zakonsko predpisana.
24.
Pooblaščena oseba za varstvo podatkov, ki jo je imenoval notar, je po tem, ko je ugotovila, da je notar v objavljeni izvleček pomotoma vključil tudi sporni odlomek, zahtevala, naj SPF Justice sporni odlomek izbriše in ponovno objavi izvleček, ki tega odlomka ne vsebuje, pri čemer se je sklicevala na člen 17 SUVP.
25.
SPF Justice je 10. aprila 2019 navedeno zahtevo (
6
) zavrnila in ponudila objavo novega izvlečka, ki ne vsebuje spornega odlomka, pri čemer je prvotna objava z dne 22. februarja 2019 ostala nespremenjena.
26.
LM, eden od dveh družbenikov zadevnega podjetja, je 21. januarja 2020 pri organu za varstvo podatkov vložil pritožbo zoper Moniteur belge (SPF Justice), v kateri je trdil, da niso bile izpolnjene obveznosti iz člena 5 (zlasti v zvezi z načelom najmanjšega obsega podatkov), člena 6 (obdelava osebnih podatkov) in člena 17 (pravica do izbrisa) SUVP.
27.
Organ za varstvo podatkov je z odločbo z dne 23. marca 2021 ugodil pritožbi in v bistvu odredil izbris spornega odlomka.
28.
Belgijska država je 22. aprila 2021 pri cour d’appel de Bruxelles (višje sodišče v Bruslju), ki je predložitveno sodišče, vložila pritožbo zoper to odločbo, s katero je predlagala razglasitev njene ničnosti. LM je interveniral v sporu.
29.
Predložitveno sodišče navaja, da se stranki ne strinjata glede razlage pojma „upravljavec“ iz člena 4, točka 7, SUVP. Ugotavlja, da je Moniteur belge po tem, ko mu je tribunal de l’entreprise néerlandophone de Bruxelles (gospodarsko sodišče v Bruslju za postopke v nizozemščini) posredovalo zadevni izvleček, v skladu z zakonskimi določbami, ki urejajo status in naloge tega javnega urada, ta izvleček objavil v obliki, v kakršni ga je prejel, kar pomeni, da nima pristojnosti za pregled ali spremembo zadevnega besedila. Natančneje, predložitveno sodišče se sprašuje, ali je treba za „upravljavca“ v smislu navedenega člena, posledično pa tudi v smislu člena 5(2) SUVP, ki je odgovoren za spoštovanje načel iz člena 5(1) te uredbe, šteti vsakega od morebitnih zaporednih subjektov ali le enega od teh subjektov.
30.
Predložitveno sodišče se v zvezi s tem sprašuje, ali je tak pojem zaporedne ali naknadne odgovornosti sploh določen v tej uredbi. Če namreč šteje, da je Moniteur belge prejemnik podatkov v smislu člena 4, točka 9, SUVP, se to sodišče sprašuje, ali je ta v okviru zadevne obdelave podatkov deloval tudi kot „naknadni“ upravljavec. Predložitveno sodišče pa meni, da ni tako, saj Moniteur belge v skladu z veljavnim belgijskim pravom ne more sam določiti sredstev in namenov obdelave v smislu člena 4, točka 7, SUVP.
31.
V teh okoliščinah je cour d’appel de Bruxelles (višje sodišče v Bruslju) Sodišču v predhodno odločanje predložilo ti vprašanji:
„1.
Ali je treba člen 4, točka 7, [SUVP] razlagati tako, da je uradni list države članice – ki mu je podeljena naloga javne službe objavljanja in arhiviranja uradnih dokumentov ter je v skladu z veljavno nacionalno zakonodajo odgovoren za objavo aktov in uradnih dokumentov, takih, kot mu jih posredujejo tretji javni organi, ki objavo odredijo in so sami že obdelali osebne podatke, vsebovane v teh aktih in dokumentih, ne da bi mu nacionalni zakonodajalec dodelil diskrecijsko pravico glede vsebine dokumentov, ki jih je treba objaviti, ter glede namena in sredstev objave – upravljavec?
2.
Če je odgovor na prvo vprašanje pritrdilen, ali je treba člen 5(2) [SUVP] razlagati tako, da mora samo zadevni uradni list spoštovati obveznosti iz te določbe, ki veljajo za upravljavca, ne pa tudi tretji javni organi, ki so predhodno obdelali podatke v aktih in uradnih dokumentih, katerih objavo zahtevajo, ali tako, da te obveznosti veljajo kumulativno za vsakega od zaporednih upravljavcev?“
32.
Pisna stališča so predložili organ za varstvo podatkov, belgijska in madžarska vlada ter Evropska komisija.
33.
Obravnave, ki je pred Sodiščem potekala 23. marca 2023, so se udeležili organ za varstvo podatkov, belgijska vlada in Komisija.
III. Presoja
A.
Prvo vprašanje za predhodno odločanje
34.
Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 4, točka 7, SUVP razlagati tako, da je uradni list države članice upravljavec podatkov. Na začetku naj podam pripombi, ki se nanašata na besedilo tega vprašanja.
35.
Prvič, iz odločbe predložitvenega sodišča je razvidno, da imajo gospodarske družbe v skladu z zakonikom o gospodarskih družbah zakonsko obveznost, da v prilogah k Moniteur belge objavijo različne akte in sklepe. Predložitveno sodišče prav tako navaja, da Moniteur belge deluje pod okriljem SPF Justice, ne da bi ta vidik podrobneje pojasnilo. Ker se razdelitev pristojnosti med nacionalnimi organi znotraj posamezne države članice ureja z nacionalnimi pravili, se bom v teh sklepnih predlogih sklicevala le na Moniteur belge.
36.
Drugič, ugotavljam, da je predložitveno sodišče v tem vprašanju med pomišljaje vstavilo poved, za katero se zdi, da pojasnjuje pristojnosti, ki jih je belgijski zakonodajalec prenesel na Moniteur belge.
37.
Zato bi se lahko to vprašanje preoblikovalo tako, da se z njim v bistvu sprašuje, ali je mogoče uradni list države članice, kakršen je Moniteur belge, ki mu je v skladu z veljavno nacionalno zakonodajo podeljena naloga objavljanja in arhiviranja uradnih dokumentov, šteti za upravljavca v smislu člena 4, točka 7, SUVP v okoliščinah, v katerih objavo takih dokumentov v nespremenjeni obliki odredijo tretji subjekti, če so ti subjekti sami že obdelali osebne podatke, ki jih vsebujejo ti dokumenti, in če zadevni uradni list nima nobene diskrecijske pravice glede vsebine dokumentov, ki jih je treba objaviti, ali glede namena in sredstev te objave.
38.
Za odgovor na to vprašanje moram uvodoma opozoriti, da člen 4, točka 7, SUVP pojem „upravljavec“ opredeljuje kot „fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice“. Iz te določbe je v povezavi s členom 5(1) SUVP, ki določa načela v zvezi z obdelavo osebnih podatkov, razvidno, da se obstoj upravljavca zahteva v vsaki fazi obdelave podatkov. (
7
) Pri obdelavi osebnih podatkov bi moral torej vselej obstajati upravljavec, ki je glavni akter pri izvajanju prava na področju varstva podatkov, (
8
) zato je treba v vsaki fazi obdelave ugotoviti, kdo je upravljavec. (
9
) Pojem „upravljavec“ zajema tako fizične in pravne osebe kot tudi javne organe, agencije ali druga telesa. Vendar je jasno, da opredelitev vrste subjekta v obravnavani zadevi ni sporna.
39.
Preden se lotim obravnave bistva tega vprašanja, to je opredelitve pojma „upravljavec“ v smislu člena 4, točka 7, SUVP, mislim, da je treba pojasniti, ali dejanja, ki so predmet obravnavane zadeve, pomenijo „obdelavo“„osebnih podatkov“ v smislu točk 2 oziroma 1 člena 4 SUVP.
1. „Obdelava“„osebnih podatkov“
40.
Spomniti je treba, prvič, da „osebni podatki“ v smislu člena 4, točka 1, SUVP pomenijo „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“, pri čemer se ta opredelitev v skladu s sodno prakso uporablja, če so zadevne informacije zaradi svoje vsebine, namena ali učinka povezane z določeno osebo. (
10
) Stranki v obravnavani zadevi ne prerekata dejstva, da so podatki, ki jih vsebuje sporni odlomek, kot so imeni obeh družbenikov in številki njunih bančnih računov, osebni podatki. Zneski, ki so bili tema družbenikoma povrnjeni, pa po mojem mnenju sami po sebi niso nujno osebni podatki. Vendar če so navedeni v povezavi z imeni oseb, ki sta jih prejeli, jih je dejansko treba šteti za osebne podatke.
41.
Drugič, v členu 4, točka 2, SUVP je pojem „obdelava“ opredeljen kot „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih“, kakršno je med drugim „vpogled, uporaba, razkritje s posredovanjem ali razširjanje ali drugačno omogočanje dostopa“ do osebnih podatkov. Ti opredelitvi odražata dejstvo, da je želel zakonodajalec Unije tema pojmoma dati širok pomen. (
11
)
42.
Sodišče je na primer v sodbi Google Spain razsodilo, da je treba dejavnost iskalnika, ki poišče informacije, ki jih objavijo ali postavijo na internet tretje osebe, jih samodejno indeksira, začasno shrani in končno da na voljo internetnim uporabnikom po prednostnem vrstnem redu, šteti za „obdelavo osebnih podatkov“ v smislu člena 2(b) Direktive 95/46/ES – (
12
) ki v bistvu ustreza členu 4, točka 2, SUVP – če te informacije vsebujejo „osebne podatke“. (
13
) Poleg tega je Sodišče v sodbi Fashion ID (
14
) razsodilo, da lahko obdelava osebnih podatkov vsebuje enega ali več postopkov, od katerih se vsak nanaša na eno od različnih faz, ki jih lahko zajema obdelava osebnih podatkov.
43.
Po mojem mnenju so bila v obravnavani zadevi izvedena tri zaporedna dejanja obdelave osebnih podatkov. Prvo dejanje obdelave je izvedel notar, ki je sestavil akt, namenjen objavi v Moniteur belge (in pri tem storil napako, ker je vanj vključil zadevne osebne podatke), in ga vložil v sodno tajništvo gospodarskega sodišča. Drugo dejanje obdelave je izvedlo to sodno tajništvo, ki je ta akt vložilo v spis družbe in ga posredovalo v objavo Moniteur belge. Tretje dejanje obdelave pa je opravil Moniteur belge, ki akta v papirni obliki ni le pretvoril v elektronski dokument, ampak je v zvezi z njim izvedel tudi postopke zbiranja, beleženja, shranjevanja, razkrivanja in razširjanja. Po mojem mnenju ni nobenega dvoma, da vsa tri dejanja, zlasti pa dejanja, ki jih je je izvedel Moniteur belge, pomenijo „obdelavo“ v smislu člena 4, točka 2, SUVP.
44.
Vendar dejstvo, da se je obdelava izvajala v vseh treh navedenih primerih, ne pomeni nujno, da je Moniteur belge deloval kot upravljavec podatkov. To pa zato, ker v SUVP, kot izhaja iz člena 4, točki 7 in 8, te uredbe, obstaja ločnica med upravljavci podatkov na eni in obdelovalci podatkov na drugi strani. Upravljavec namreč določa namene in sredstva obdelave, (
15
) obdelovalec pa osebne podatke obdeluje v imenu upravljavca (
16
). Čeprav je jasno, da zadevna tri dejanja pomenijo „obdelavo“ v smislu člena 4, točka 2, SUVP, pa ta ugotovitev ne zagotavlja odgovora na vprašanje, ali ima Moniteur belge – ali drug subjekt, ki sodeluje v tej tristopenjski verigi dejanj – v obravnavani zadevi status upravljavca.
2. Določitev namenov in sredstev obdelave osebnih podatkov
45.
Za odgovor na vprašanje, ali je Moniteur belge deloval kot „upravljavec“, je treba po mojem mnenju preučiti, ali „določa namene in sredstva obdelave“ v smislu člena 4, točka 7, SUVP.
46.
Na začetku naj poudarim, prvič, da je treba pojem „upravljavec“ v skladu z upoštevno sodno prakso Sodišča opredeliti široko. Sodišče je namreč že razsodilo, da je namen člena 4, točka 7, SUVP s široko opredelitvijo pojma „upravljavec“ zagotoviti učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki. (
17
) Poleg tega sta pojma upravljavec in obdelovalec funkcionalna pojma: njun namen je dodeliti odgovornosti glede na dejanske vloge strank. (
18
) Drugače povedano, „upravljavec osebnih podatkov je oseba, ki odloči, zakaj in kako bodo ti podatki obdelani“. (
19
) Zato določitev odgovornosti upravljavca „bolj kot na formalni analizi temelji na analizi dejstev“. (
20
)
47.
Drugič, člen 4, točka 7, SUVP, ki vsebuje izraz „samo ali skupaj z drugimi“, določa, da lahko „namene in sredstva“ obdelave določi več kot en subjekt. Vendar ima lahko obseg, v katerem dva ali več akterjev skupaj izvajajo nadzor, različne oblike, (
21
) ki jih bom obravnavala v okviru presoje drugega vprašanja za predhodno odločanje.
48.
Tretjič, ugotavljam, da je Kraljevina Belgija sprejela kraljevi odlok z dne 25. junija 2020, s katerim je SPF Justice imenovala za upravljavca v smislu člena 4, točka 7, SUVP. (
22
) Vendar je dejansko stanje v postopku v glavni stvari nastalo pred začetkom veljavnosti tega odloka. Zato se ratione temporis ne uporablja za obravnavano zadevo. Iz navedenega tako izhaja, da mora Sodišče preučiti, kako so bile pristojnosti in odgovornosti med nacionalne subjekte razdeljene pred začetkom veljavnosti tega odloka.
49.
Po teh uvodnih pojasnilih se bom v nadaljevanju lotila preučitve pogojev iz člena 4, točka 7, SUVP, oziroma vprašanja, kateri od zadevnih subjektov „določa namene in sredstva obdelave“ osebnih podatkov.
a) Implicitno imenovanje upravljavca na podlagi nacionalnega prava
50.
Upravljanje se lahko opredeli z zakonom ali pa lahko izhaja iz analize dejanskih elementov ali okoliščin primera. (
23
) Člen 4, točka 7, SUVP določa, da kadar namene in sredstva obdelave določa zlasti pravo države članice, se lahko upravljavec oziroma posebna merila, ki se uporabljajo za njegovo imenovanje, določijo s tem pravom. Iz tega sledi, da je, če je subjekt posebej zakonsko opredeljen kot upravljavec, ta opredelitev odločilna. (
24
) Vendar v obravnavani zadevi ni nobene posebne določbe, na podlagi katere bi bil upravljavec izrecno imenovan.
51.
Prav tako obstaja možnost, da je posamezen subjekt v skladu z zakonom imenovan za upravljavca, čeprav je to imenovanje implicitno. (
25
) Če na primer nacionalna zakonodaja zadevnemu subjektu nalaga obveznost hrambe ali posredovanja določenih podatkov, bi se tak subjekt štel za upravljavca le v zvezi z obdelavo, ki je potrebna za izpolnitev te obveznosti. Do takega implicitnega imenovanja na podlagi nacionalne zakonodaje pride, če je iz vloge, nalog in pristojnosti, ki jih ima posamezen organ, razvidno, da določa namene in sredstva zadevne obdelave. Sodišče se je v sodbi Manni oprlo na presojo dejanskega stanja in navedlo, da organ, ki je zakonsko odgovoren za vodenje registra družb, „s tem, da navedene informacije vpiše v register in jih hrani ter po potrebi posreduje tretjim“, izvaja „obdelavo osebnih podatkov“, zaradi česar je „upravljavec“ v smislu člena 2(b) in (d) Direktive 95/46. (
26
)
52.
V obravnavani zadevi upravljavec z nacionalno zakonodajo sicer ni izrecno imenovan, je pa v tej zakonodaji določeno, da za gospodarske družbe velja zakonska obveznost objave nekaterih aktov v Moniteur belge. (
27
) Ta zakonodaja torej uvaja zakonsko obveznost obdelave podatkov, to obdelavo pa mora upravljati upravljavec. Nacionalni zakonodajalec je vzpostavil sistem, v katerem podatke v predpisanem zaporedju obdelajo trije subjekti, stranki v tem postopku pa nimata enotnega stališča glede vprašanja, kateri od teh treh subjektov je dejansko upravljavec. (
28
) Da bi se ugotovilo, katerega od teh subjektov je zakonodajalec implicitno imenoval za upravljavca, zadolženega za tretjo fazo obdelave, to je za dejanja, ki jih izvaja Moniteur belge, je treba torej preveriti, katere posebne pristojnosti so bile podeljene tem subjektom.
b) Učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki
53.
V skladu s členom 4, točka 7, SUVP, v katerem se uporablja glagol „določiti“, mora upravljavec z izvajanjem pristojnosti odločanja vplivati na obdelavo podatkov. (
29
) Na primer, v zadevi, ki se je nanašala na uporabo Facebookovega vtičnika „všeč mi je“, (
30
) je bilo obravnavano vprašanje, ali je družba Fashion ID, spletni prodajalec modnih oblačil, ki je na svoje spletno mesto vstavila socialni vtičnik „všeč mi je“ družbenega omrežja Facebook, skupaj z družbo Facebook določila zbiranje osebnih podatkov obiskovalcev njenega spletnega mesta in posredovanje teh podatkov s prenosom. Sodišče je v tej zadevi izrecno navedlo, da družba Fashion ID z vstavitvijo takega socialnega vtičnika na svoje spletno mesto odločilno vpliva na zbiranje in posredovanje osebnih podatkov obiskovalcev navedenega spletnega mesta v korist ponudnika navedenega vtičnika, v tem primeru družbe Facebook Ireland, do česar ne bi prišlo, če navedeni vtičnik ne bi bil vstavljen. (
31
) Iz tega sledi, da to, da subjekt odločilno vpliva na obdelavo osebnih podatkov, pomeni, da je subjekt, ki tak vpliv izvaja, upravljavec. Vendar to, da subjekt nima odločilnega vpliva, ne zadostuje za izključitev možnosti, da lahko ta subjekt vseeno deluje kot upravljavec.
54.
Zaradi širjenja podatkov na internetu se eksponentno povečuje nevarnost poseganja v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, in sicer zaradi načinov, na katere se ustvarjajo in razširjajo informacije v elektronski obliki. (
32
) Sodišče, ki se te nevarnosti dobro zaveda, je sprejelo široko opredelitev pojma „upravljavec“, (
33
) da bi tako omogočilo, da bi SUVP zagotavljala učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki, zlasti pa njihove pravice do spoštovanja zasebnosti. (
34
) Sodišče je zato v sodbi Google Spain razsodilo, da bi bilo v nasprotju ne samo z jasnim besedilom člena 2(d) Direktive 95/46, ki v bistvu ustreza členu 4, točka 7, SUVP, ampak tudi namenom te določbe, če bi bila iz nje izključena družba, ki upravlja iskalnik, ker ne opravlja nadzora nad osebnimi podatki, objavljenimi na spletnih straneh tretjih. (
35
) Ker je Sodišče sprejelo tako široko opredelitev zadevnega pojma, je jasno, da se je odločilo za namensko razlago te določbe: široka opredelitev pojma „upravljavec“ mora zagotoviti učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki. Poleg tega naj poudarim, da lahko SUVP, ki je bila sprejeta na podlagi člena 16(1) PDEU, s katerim je zakonodajalcu Unije podeljeno pooblastilo za varovanje temeljne pravice do varstva osebnih podatkov iz člena 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina), tako razlago le še okrepi. (
36
)
55.
V obravnavani zadevi je jasno, da je nacionalni zakonodajalec vzpostavil sistem, ki zajema tri različna dejanja obdelave, oziroma verigo, ki se začne z notarjem, ki sestavi in podpiše zadevne akte, nadaljuje s sodnim tajništvom gospodarskega sodišča, ki zadevni akt vloži v spis družbe in ga shrani, ter konča z Moniteur belge, ki ta akt pretvori v digitalno obliko in ga objavi. Čeprav drži, da mora Moniteur belge zadevni akt objaviti v obliki, v kakršni ga prejme, pa to ne spremeni dejstva, da tega akta v elektronsko obliko, ki je potrebna zaradi objave, ne spremeni niti notar niti sodno tajništvo gospodarskega sodišča, edini subjekt, ki to stori je Moniteur belge, ki ta akt nato razširja na spletu.
56.
V zvezi s tem naj zlasti poudarim, da je nacionalni zakonodajalec s sprejetjem členov od 474 do 475b programskega zakona z dne 24. decembra 2002 na Moniteur belge prenesel nekatere pristojnosti. Iz navedenih določb izhaja, da Moniteur belge ni zadolžen le za objavo zadevnih aktov v papirni obliki, ampak tudi za omogočanje dostopa do teh aktov prek svojega spletnega mesta v elektronski obliki, za hrambo teh aktov v elektronski obliki, za omogočanje dostopa državljanom do teh aktov prek telefonske linije za pomoč strankam in nudenje storitev pomoči pri iskanju zadevnih aktov ter, nenazadnje, za zagotavljanje čim širšega razširjanja in dostopa do informacij, ki jih vsebuje Moniteur belge. Zato menim, da iz navedenih določb izhaja, da je nacionalni zakonodajalec s tem, da je na Moniteur belge prenesel pristojnosti v zvezi s pretvorbo zadevnih aktov v digitalno obliko ter objavo, razširjanjem in hrambo teh aktov, temu uradnemu listu podelil pristojnosti, ki jih zajema pojem „upravljavec“ v smislu člena 4, točka 7, SUVP. (
37
)
57.
Moniteur belge z izvajanjem navedenih dejanj, ki jih je nanj prenesel zakonodajalec, to je pretvorbe aktov v digitalno obliko ter objave in razširjanja teh aktov, namreč prispeva k eksponentnemu povečanju nevarnosti poseganja v temeljne pravice posameznika, na katere se nanašajo osebni podatki (v primerjavi z objavo akta v tiskani različici uradnega lista). Prav obdelava, ki jo izvaja ta uradni list, dejansko ogroža učinkovito in popolno varstvo zadevnega posameznika, na katerega se nanašajo osebni podatki. Zato menim, da mi ne preostane drugega, kot da ugotovim, da Moniteur belge zaradi cilja zagotavljanja učinkovitega in popolnega varstva posameznikov, na katere se nanašajo osebni podatki, in morebitne škode, ki bi tem posameznikom lahko nastala s pretvorbo aktov v digitalno obliko in razširjanjem teh aktov, ni mogoče izključiti iz opredelitve pojma „upravljavec“ v smislu člena 4, točka 7, SUVP.
58.
Nazadnje, glede možnosti uporabe sodne prakse, ki se je izoblikovala v zvezi z zasebnimi iskalniki, za javne subjekte, kakršen je Moniteur belge, je treba ugotoviti, da je Sodišče v nedavni sodbi to sodno prakso uporabilo za to, da je potrdilo, da je treba državno tožilstvo šteti za „upravljavca“. (
38
) Menim, da nujnost take uporabe temelji na široki opredelitvi pojma „upravljavec“ v smislu člena 4, točka 7, SUVP, katere namen je zagotoviti učinkovito in popolno varstvo temeljnih pravic in svoboščin, ki jih imajo posamezniki, na katere se nanašajo osebni podatki, na podlagi primarnega prava, (
39
) ne glede na to, ali je upravljavec javni ali zasebni subjekt. (
40
) Da bi se zagotovilo tako učinkovito in popolno varstvo, so načela, ki jih morajo spoštovati zasebni iskalniki, upoštevna tako za zasebne kot javne subjekte, ki jih zavezujejo ista splošna načela v zvezi s podatki in obveznostmi iz SUVP, s katerimi je konkretizirano primarno pravo.
c) Možnost, da se za upravljavca šteje tudi kak drug subjekt
59.
Belgijska vlada je na obravnavi trdila, da je treba za upravljavca šteti notarja, saj ta določa sredstva in namene obdelave podatkov.
60.
Če bi se štelo, da je notar edini upravljavec, bi to v praksi po mojem mnenju pomenilo, da v tretji fazi obdelave podatkov, to je v okviru dejanj obdelave, ki jih izvaja Moniteur belge, upravljavca sploh ne bi bilo, saj zakonodajalec – kot je razvidno iz dejanskega stanja v obravnavani zadevi – notarju ni podelil pristojnosti, na podlagi katerih bi ta lahko odločilno vplival na tretjo fazo obdelave. Ne glede na navedeno pa je treba poudariti, da so lahko zadevni trije subjekti udeleženi v različnih dejanjih te obdelave in v različnih obsegih, zaradi česar je mogoče vsakega od njih šteti za upravljavca, čeprav v različnem obsegu in z različno ravnjo odgovornosti, ki izhaja iz upravljanja. (
41
) Poleg tega naj poudarim, kot je na obravnavi navedla Komisija, da bi bilo Moniteur belge v skladu z zakonom teoretično sicer mogoče imenovati za obdelovalca, če bi bila obveznost priprave, hrambe in razširjanja zadevnega akta v digitalni obliki na podlagi nacionalne zakonodaje naložena več subjektom. Vendar bi bilo mogoče Moniteur belge kot obdelovalca opredeliti le, če bi bili izpolnjeni pogoji iz člena 28 SUVP, kar pa v okoliščinah obravnavane zadeve, kot so bile predstavljene Sodišču, očitno ne drži, saj je vsak od zadevnih subjektov odgovoren za svoj del obdelave. (
42
) Zato Moniteur belge ni mogoče šteti za obdelovalca v smislu te določbe.
61.
Belgijska vlada je poleg tega trdila, da nacionalni zakonodajalec sam deluje kot upravljavec ali imenuje subjekt, ki je odgovoren za upravljanje podatkov, medtem ko Moniteur belge zgolj izvaja pristojnosti, ki so mu podeljene. Belgijska vlada meni, da sodne prakse, ki se je izoblikovala v zvezi z zasebnimi iskalniki, ni mogoče uporabiti za javne subjekte, saj Moniteur belge kot javni organ, ki ga je ustanovil zakonodajalec, ne more sam določiti svojega poslanstva in nalog.
62.
Kot sem že poudarila, (
43
) je nacionalni zakonodajalec v obravnavani zadevi Moniteur belge implicitno imenoval za upravljavca, saj mu je podelil pristojnosti za izvajanje nekaterih posebnih nalog, ki sem jih predstavila v točkah od 55 do 57 teh sklepnih predlogov.
63.
Vsekakor menim, da bi, če bi Sodišče menilo, da nacionalni zakonodajalec z izvajanjem svoje pristojnosti glede določitve namenov in sredstev posameznega dejanja obdelave deluje kot upravljavec, tak pristop privedel do položaja, v katerem fizične osebe ne bi več imele učinkovitega varstva, s čimer bi se pojmu „upravljavec“ odvzel polni učinek. Učinkovitega varstva posameznikov, na katere se nanašajo osebni podatki, namreč ne bi bilo mogoče zagotoviti, če bi zakonodajalec sam izvajal številne obveznosti, ki jih upravljavcu v zvezi z vsako obdelavo osebnih podatkov nalaga zakonodaja države članice. Zato menim, da v položaju, v katerem so javnemu organu podeljene pristojnosti za obdelavo osebnih podatkov, upravljavec ne more biti zakonodajalec, ampak organ, ki izvaja javne naloge, to je subjekt, ki določa namene in sredstva te obdelave. (
44
) Iz okoliščin obravnavane zadeve je razvidno, da se zadevna obdelava, kot sem pojasnila v točki 43 teh sklepnih predlogov, izvaja v obliki izvrševanja nacionalne zakonodaje, zaradi česar ni mogoče trditi, da zakonodajalec – ko sprejema zakonodajo – sam deluje kot upravljavec obdelave osebnih podatkov.
d) Neobstoj diskrecijske pravice
64.
V obravnavani zadevi je iz nacionalne zakonodaje, kot je bila predstavljena Sodišču, razvidno, da Moniteur belge v zvezi z besedili, ki jih mora objaviti, nima nobene pristojnosti odločanja. (
45
) Kot je namreč v pisnem stališču in na obravnavi poudarila belgijska vlada, je imel Moniteur belge za objavo akta na voljo 15 dni, (
46
) objavljeni akt pa je moral biti natančna kopija akta, ki ga je sestavil notar. Proti uradnikom Moniteur belge naj bi se lahko zaradi opustitve ali zamude objave vložila odškodninska tožba. (
47
) Da bi se temu izognilo, naj ta organ ne bi preverjal izčrpnosti, pravilnosti in točnosti informacij, ki jih mora objaviti. Zato se zdi, kot trdi belgijska vlada, da Moniteur belge ni pristojen za pregled vsebine teh aktov, vključno z osebnimi podatki, ki jih ti lahko vsebujejo.
65.
Ker pa zakonodajalec, ko sprejema zakonodajo, sam ne deluje kot upravljavec in ker na določitev namenov in sredstev zadevne obdelave – to je na pretvorbo zadevnih aktov v digitalno obliko in na razširjanje teh dokumentov v digitalni obliki – ne vpliva noben drug subjekt, je treba Moniteur belge nujno imenovati za upravljavca ter se tako izogniti pravni praznini, ki je nastala v zvezi s tem imenovanjem. Notar in sodno tajništvo gospodarskega sodišča preprosto nimata pristojnosti za posredovanje v tej fazi. Ob tem pa to, da Moniteur belge nima nobene diskrecijske pravice, ne more biti podlaga za neizpolnjevanje obveznosti učinkovitega varstva posameznikov, na katere se nanašajo osebni podatki. Zato je treba ugotoviti, da je Moniteur belge, katerega imenovanje je sicer implicitno, upravljavec v smislu člena 4, točka 7, SUVP, ki v okviru objave aktov, predpisane z nacionalno zakonodajo, obdeluje osebne podatke.
e) Izbris osebnih podatkov
66.
Iz dejanskega stanja v obravnavani zadevi je razvidno, da je pooblaščena oseba za varstvo podatkov, ki jo je imenoval notar, od SPF Justice (ki deluje v imenu Moniteur belge) zahtevala izbris spornega odlomka – oziroma njegov umik s spleta – in objavo zadevnega izvlečka brez tega odlomka. SPF Justice je to zahtevo zavrnil in ponudil objavo novega izvlečka. V teh okoliščinah se zdi, da zadevni notar ni pristojen za odreditev spremembe ali izbrisa spornega odlomka. Vendar je treba poudariti, da se zdi, da te pristojnosti nima niti noben drug subjekt.
67.
Belgijska vlada navaja, da je nacionalni zakonodajalec nameraval zagotoviti, da bi se akti, objavljeni v Moniteur belge, zaradi arhiviranja hranili v nespremenjeni obliki in da bi elektronska različica objav vselej ostala natančna kopija različice v papirni obliki, kar izključuje vsakršno retroaktivno spreminjanje. Belgijska vlada prav tako navaja, da mora notar, ki želi v akt pravne osebe, objavljen v Moniteur belge, vnesti popravek, pri sodnem tajništvu gospodarskega sodišča vložiti akt o spremembi, sodno tajništvo pa mora vodstvo Moniteur belge nato zaprositi za objavo tega akta o spremembi. Po drugi strani pa naj izvirnega akta v skladu z belgijsko zakonodajo sploh ne bi bilo mogoče popolnoma izbrisati, sicer bi bilo kršeno načelo nespremenljivosti Moniteur belge.
68.
Menim, da to, da javni organ zavrne izbris odlomka, ki vsebuje osebne podatke, in zadevni akt objavi brez tega odlomka, privede do položaja, v katerem so ti podatki še naprej dostopni javnosti. To po mojem mnenju pomeni, da ta organ med izvajanjem nacionalne zakonodaje deluje kot „upravljavec“ v smislu člena 4, točka 7, SUVP, saj s tem, da spornega odlomka ne izbriše, ampak javnosti še naprej omogoča dostop do tega odlomka, določa namene in sredstva obdelave osebnih podatkov. Če bi se namreč štelo, da Moniteur belge ni upravljavec, potem se zdi, da tega statusa ne bi imel noben organ. (
48
)
69.
Menim, da status „upravljavca“ ne sme biti odvisen od dejstva, da organ, kakršen je Moniteur belge, na podlagi nacionalnega prava ne more izpolniti zahteve za izbris podatkov. Če torej v nacionalni zakonodaji obstaja pravna praznina, morajo nacionalni organi, na tej točki pa tudi nacionalno sodišče, z uporabo SUVP imenovati subjekt, zadolžen za izpolnjevanje obveznosti, ki izhajajo iz te uredbe. V obravnavani zadevi so podatki, ker se obdelujejo, še vedno javno dostopni, vendar na podlagi nacionalne zakonodaje za upravljavca ni imenovan noben organ, ki bi bil odgovoren za ta del obdelave.
70.
Ker je nacionalni zakonodajalec, ki ni imenoval upravljavca, povzročil nastanek pravne praznine, bi moralo Sodišče v tem primeru navesti, da mora predložitveno sodišče na podlagi okoliščin, kot so bile predstavljene Sodišču, za upravljavca imenovati Moniteur belge (ali SPF Justice, če se to glede na presojo predložitvenega sodišča izkaže za primerno). Menim namreč, da je to edina razlaga, ki bi bila v skladu s ciljem člena 4, točka 7, SUVP, da se s široko opredelitvijo pojma „upravljavec“ zagotovi učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki. (
49
) S tem bi se tudi izognilo vrzelim in preprečilo morebitno izogibanje pravilom iz SUVP.
71.
Glede praktičnih preudarkov, povezanih z načelom nespremenljivosti informacij, ki jih razširja Moniteur belge, pa mora nacionalni zakonodajalec glede na obveznosti, ki med drugim izhajajo iz členov 5 in 17 SUVP, vzpostaviti zakonodajni okvir, v katerem bo upošteval tako varstvo posameznikov, na katere se nanašajo osebni podatki, kot tudi to načelo. Ker se z objavo osebnih podatkov eksponentno poveča nevarnost, da bo posameznikom, na katere se nanašajo osebni podatki, nastala škoda, je treba v nacionalnem pravu predvideti inovativne rešitve. (
50
)
72.
Skratka, v obravnavani zadevi predlagam, naj Sodišče ugotovi, da Moniteur belge deluje kot „upravljavec“ v smislu člena 4, točka 7, SUVP, ko odloča o zavrnitvi umika spornega odlomka iz javne sfere, to je ko ohranja dostop javnosti do tega odlomka.
3. Vmesni predlog
73.
V tej zadevi se zaradi izpolnjevanja obveznosti, ki izhajajo iz SUVP, z nacionalno zakonodajo uvaja zahteva po imenovanju upravljavca. Prvič, v zvezi s pretvorbo zadevnih podatkov v digitalno obliko ter objavo in razširjanje teh podatkov ugotavljam, da je treba Moniteur belge opredeliti kot „upravljavca“ v smislu člena 4, točka 7, SUVP, da bi se tako zagotovilo varstvo temeljnih pravic posameznika, na katerega se nanašajo osebni podatki. Drugič, glede zavrnitve izbrisa zadevnih podatkov obstaja v nacionalni zakonodaji pravna praznina, saj dovoljenja za izbris teh podatkov nima nobeden od zadevnih subjektov. V takem primeru mora nacionalno sodišče z uporabo SUVP in zaradi zagotavljanja varstva temeljnih pravic posameznikov, na katere se nanašajo osebni podatki, imenovati upravljavca, pri čemer se v obravnavani zadevi zdi, da bi to bil Moniteur belge.
74.
Zato predlagam, naj se na prvo vprašanje odgovori, da je treba člen 4, točka 7, SUVP razlagati tako, da je uradni list države članice, kakršen je Moniteur belge, ki mu je v skladu z veljavno nacionalno zakonodajo podeljena naloga objavljanja in arhiviranja uradnih dokumentov, zaradi zagotavljanja učinkovitega in popolnega varstva posameznikov, na katere se nanašajo osebni podatki, mogoče šteti za upravljavca v smislu člena 4, točka 7, SUVP v okoliščinah, v katerih objavo takih dokumentov v nespremenjeni obliki odredijo tretji subjekti, saj je nacionalni zakonodajalec temu uradnemu listu podelil pristojnost glede določitve sredstev za pretvorbo zadevnih dokumentov v digitalno obliko in za objavo, razširjanje in hrambo teh dokumentov ter določil široko opredelitev namenov objave in razširjanja dokumentov. Glede dejstva, da upravljavec, ki bi bil odgovoren za umik ali izbris podatkov, ni bil imenovan, in ker so zadevni podatki še naprej dostopni javnosti, pa mora nacionalno sodišče imenovati subjekt, ki je zadolžen za izpolnjevanje obveznosti iz SUVP.
75.
Sodišče bo moralo na drugo vprašanje, to je, ali je za izpolnjevanje obveznosti, ki jih upravljavcu nalaga SUVP, odgovoren samo Moniteur belge oziroma organ, ki ta uradni list vodi, odgovoriti le, če bo sprejelo predlagani odgovor na prvo vprašanje.
B.
Drugo vprašanje za predhodno odločanje
76.
Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 5(2) SUVP razlagati tako, da mora obveznosti iz te določbe, ki veljajo za upravljavca, spoštovati samo zadevni uradni list, ne pa tudi tretji subjekti, ki so predhodno obdelali podatke v aktih in uradnih dokumentih, katerih objavo zahtevajo, ali tako, da te obveznosti veljajo kumulativno za vsakega od zaporednih upravljavcev.
77.
V skladu s členom 5(2) SUVP je upravljavec odgovoren za zagotavljanje skladnosti z načeli iz odstavka 1 tega člena, kot je načelo najmanjšega obsega podatkov, (
51
) in mora biti to skladnost tudi zmožen dokazati. Predložitveno sodišče pojasnjuje, da mora glede na to, da je izbris osebnih podatkov, katerih objava ni predpisana v nacionalni zakonodaji, zahtevala fizična oseba, odločiti, ali je za spoštovanje načel najmanjšega obsega in točnosti podatkov odgovoren le Moniteur belge oziroma organ, ki ta uradni list vodi, ali pa sta za spoštovanje teh načel odgovorna tudi druga dva subjekta.
78.
Natančneje, predložitveno sodišče, ki sicer ugotavlja, da se stranki iz postopka v glavni stvari ne sklicujeta na obstoj skupnih upravljavcev v smislu člena 26 SUVP, se sprašuje, ali je treba za „upravljavca“ v smislu člena 4, točka 7, navedene uredbe, ki je v skladu s členom 5(2) te uredbe posledično odgovoren tudi za spoštovanje navedenih načel, šteti vsakega od morebitnih zaporednih upravljavcev ali le enega od teh upravljavcev.
1. Časovno zaporedje dejanj obdelave
79.
Kot sem že izpostavila, (
52
) je zadevne osebne podatke, navedene v spornem odlomku, ki je bil objavljen v Moniteur belge, zaporedoma obdelalo več subjektov, in sicer notar, ki je sestavil izvleček, sodno tajništvo tribunal de l’entreprise néerlandophone de Bruxelles (gospodarsko sodišče v Bruslju za postopke v nizozemščini), ki je ta izvleček vložilo v spis družbe, in, nazadnje, Moniteur belge, ki ga je v nespremenjeni obliki objavil.
80.
V zvezi s to verigo zaporednih dogodkov je treba ugotoviti, da obdelava zadevnih osebnih podatkov, za katero je pristojen Moniteur belge, ne le časovno sledi obdelavi, ki sta jo izvedla notar in sodno tajništvo gospodarskega sodišča, ampak se tudi tehnično razlikuje od obdelave, ki sta jo izvedla navedena subjekta, in jo dopolnjuje. Poudariti je treba, da dejanja obdelave, ki jih je izvedel Moniteur belge, zajemajo zlasti pretvorbo podatkov, navedenih v izvlečkih aktov, ki so mu predloženi, v digitalno obliko ter objavo teh podatkov, omogočanje dostopa javnosti do teh podatkov in hrambo teh podatkov, zato ta dejanja, za katera je zakonsko odgovoren Moniteur belge – v primerjavi z obdelavo, ki jo pred tem izvedeta druga dva subjekta – pomembno in dodatno vplivajo na temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov ter pomenijo nevarnost poseganja v navedeni pravici. (
53
)
81.
Zato mora Moniteur belge v okviru dejanj obdelave, ki mu jih nalaga nacionalno pravo, izpolnjevati vse obveznosti, ki jih upravljavcu nalaga SUVP.
2. Izključitev skupne odgovornosti
82.
Iz člena 4, točka 7, SUVP izhaja, da lahko „namene in sredstva obdelave“ določa več kot en subjekt. V tem členu je navedeno, da se pojem „upravljavec“ nanaša na telo, ki „samo ali skupaj z drugimi“ določa namene in sredstva obdelave. Ta položaj je predviden v členu 26 SUVP, v skladu s katerim lahko več različnih subjektov deluje kot upravljavec v okviru iste obdelave, pri čemer za vsakega od njih veljajo določbe, ki se uporabljajo na področju varstva podatkov. (
54
)
83.
Naj spomnim, da člen 26(1) SUVP določa, da so dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, skupni upravljavci. V tem odstavku je prav tako navedeno, da morajo skupni upravljavci zaradi izpolnjevanja vseh zahtev, ki jih določa SUVP, na pregleden način določiti dolžnosti vsakega od njih, razen če in kolikor so dolžnosti vsakega od upravljavcev med drugim določene s pravom države članice, ki velja za upravljavce. Skupna odgovornost več upravljavcev torej ni nujno odvisna od obstoja medsebojnega dogovora med različnimi upravljavci ali celo od njihove namere, ampak lahko izhaja iz nacionalnega prava, če je iz tega prava mogoče razbrati, da je imenovanih več upravljavcev in kakšne so dolžnosti vsakega izmed njih z vidika izpolnjevanja zahtev, določenih v SUVP.
84.
Vendar dejstvo, da je v isto verigo dejanj obdelave vključenih več akterjev, ne pomeni, da nujno delujejo kot skupni upravljavci. (
55
) Poleg tega je Sodišče razsodilo, da se za fizično ali pravno osebo ne more šteti, da je odgovorna za prejšnje ali poznejše postopke v verigi obdelave, za katere ne določa niti namenov niti sredstev. (
56
) V obravnavani zadevi se torej zdi, da v nacionalnem pravu ni bila predvidena možnost imenovanja skupnih upravljavcev, saj notar nima nobenega nadzora nad dejanji obdelave, ki jih izvaja Moniteur belge.
85.
Menim torej, da v obravnavani zadevi v nacionalnem pravu ni določena skupna odgovornost zadevnih treh subjektov in da obstoja take odgovornosti ni mogoče ugotoviti niti na podlagi dejanskega stanja, kot ga je predstavilo predložitveno sodišče. V zvezi z dejanskim stanjem v postopku v glavni stvari naj zlasti poudarim, da zadevni trije subjekti, ki so del verige dejanj obdelave, ne uporabljajo istih sredstev obdelave, saj Moniteur belge zadevne dokumente pretvarja v digitalno obliko ter skrbi za objavo in razširjanje teh dokumentov. Ob upoštevanju dejanskega stanja v postopku v glavni stvari poleg tega ugotavljam, da bi morala zadevna fizična oseba, ki želi uveljaviti pravico do izbrisa osebnih podatkov iz člena 17 SUVP, pravice, ki jih ima na podlagi SUVP, uresničevati glede vsakega od skupnih upravljavcev in proti vsakemu od skupnih upravljavcev. S tega vidika bi moral biti torej vsak izmed zadevnih akterjev sam odgovoren za spoštovanje načel iz člena 5(1) SUVP. (
57
)
86.
Iz navedenega po mojem mnenju sledi, da na podlagi člena 5(2) SUVP ni mogoče ugotoviti obstoja kakršne koli „kumulativne“ odgovornosti različnih upravljavcev. Posamezen akter, ki je del verige dejanj obdelave, je namreč lahko v zvezi z dejanji obdelave, ki jih je izvedel v skladu z nameni in sredstvi obdelave podatkov, za skladnost z načeli iz člena 5(1) te uredbe odgovoren le posamično. Ker tisti, ki je v obravnavani zadevi netočno objavil podatke, ni bil notar, ampak Moniteur belge, se mi zdi, da je treba šteti, da je ta organ, čeprav zadevnih podatkov sam ni vključil v sporni odlomek, tudi posamično odgovoren za skladnost z načeli iz člena 5(1) SUVP.
87.
Na koncu naj poudarim, da mora predložitveno sodišče preveriti, ali je nacionalno pravo, ki določa možnost popravka, ne pa tudi izbrisa podatkov, objavljenih v Moniteur belge, združljivo s SUVP. Zdi se namreč, da nacionalna zakonodaja Moniteur belge ne omogoča retroaktivnega izbrisa podatkov, ki so bili že objavljeni (tudi v elektronski obliki). V tem okviru je sicer res, da je, kot je navedeno v členu 23 SUVP, mogoče z nacionalnim pravom omejiti pravici do popravka in izbrisa, določeni v členu 16 oziroma 17 te uredbe. Vendar mora biti taka omejitev v skladu s členom 52(1) Listine predpisana z zakonom, spoštovati bistveno vsebino temeljnih pravic fizičnih oseb in upoštevati načelo sorazmernosti. (
58
)
3. Vmesni predlog
88.
Predlagam torej, naj se na drugo vprašanje odgovori, da je treba člen 5(2) SUVP razlagati tako, da mora zadevni uradni list v zvezi z dejanji obdelave, ki jih izvaja, izpolnjevati obveznosti iz te določbe, ki veljajo za upravljavca. Zadevna obdelava ni podlaga za nastanek skupnega upravljanja, Moniteur belge pa je edini subjekt, ki je odgovoren za dejanja obdelave, ki mu jih nalaga nacionalno pravo.
IV. Predlog
89.
Glede na navedeno Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je postavilo cour d’appel de Bruxelles (višje sodišče v Bruslju, Belgija), odgovori:
Člen 4, točka 7, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako,
da je uradni list države članice, kakršen je Moniteur belge, ki mu je z veljavno nacionalno zakonodajo podeljena naloga objavljanja in arhiviranja uradnih dokumentov, zaradi zagotavljanja učinkovitega in popolnega varstva posameznikov, na katere se nanašajo osebni podatki, mogoče šteti za upravljavca v smislu člena 4, točka 7, Uredbe 2016/679 v okoliščinah, v katerih objavo takih dokumentov v nespremenjeni obliki odredijo tretji subjekti, saj je nacionalni zakonodajalec temu uradnemu listu podelil pristojnost glede določitve sredstev za pretvorbo zadevnih dokumentov v digitalno obliko in za objavo, razširjanje in hrambo teh dokumentov ter široko opredelil namene objave in razširjanja dokumentov. Glede dejstva, da upravljavec, ki bi bil odgovoren za umik ali izbris podatkov, ni bil imenovan, pa mora nacionalno sodišče imenovati subjekt, ki je zadolžen za izpolnjevanje obveznosti iz Uredbe 2016/679, saj so zadevni podatki še naprej dostopni javnosti.
Člen 5(2) Uredbe 2016/679
je treba razlagati tako,
da mora zadevni uradni list v zvezi z dejanji obdelave, ki jih izvaja, izpolnjevati obveznosti iz te določbe, ki veljajo za upravljavca. Zadevna obdelava ni podlaga za nastanek skupnega upravljanja, Moniteur belge pa je edini subjekt, ki je odgovoren za dejanja obdelave, ki mu jih nalaga nacionalno pravo.
(
1
)	Jezik izvirnika: angleščina.
(
2
)	Uredba Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1).
(
3
)	Moniteur belge, 6. avgust 1999, str. 29.440.
(
4
)	Moniteur belge, 6. februar 2001, str. 3008.
(
5
)	Moniteur belge, 31. december 2022, str. 58.686.
(
6
)	Pri tem se je oprla na izjemo, določeno v členu 17(3) in členu 86 SUVP.
(
7
)	V skladu s členom 4, točka 2, SUVP je „obdelava“ opredeljena kot „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje“.
(
8
)	Glej sodbo z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317; v nadaljevanju: sodba Google Spain), in Lynskey, O., „Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez“, The Modern Law Review, zv. 78, št. 3, 2015, na str. od 522 do 534.
(
9
)	Glej tudi sklepne predloge generalne pravobranilke T. Ćapeta v zadevi Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, točka 17). Glej tudi sodbo z dne 10. julija 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, točka 68), in Bygrave, L. A., in Tossoni, L., „Article 4(7). Controller“ v Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., in Tosoni, L. (ur.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, str. od 146 do 150.
(
10
)	V tem smislu glej sodbo z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, točka 35).
(
11
)	Prav tam (točka 34), in sodba z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov v davčne namene) (C‑175/20, EU:C:2022:124, točka 35).
(
12
)	Direktiva Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).
(
13
)	Sodba Google Spain (točka 41). Glej tudi sodbo z dne 8. decembra 2022, Google (Odstranitev povezav do domnevno netočne vsebine) (C‑460/20, EU:C:2022:962, točka 49).
(
14
)	Sodba z dne 29. julija 2019 (C‑40/17, EU:C:2019:629, točka 72).
(
15
)	Člen 4, točka 7, SUVP.
(
16
)	Člen 4, točka 8, SUVP. Tako je na primer Sodišče v zvezi z odgovornostjo glede iskalnika razsodilo, da se obdelava osebnih podatkov, ki se izvede v okviru dejavnosti iskalnika, razlikuje od obdelave, ki jo izvedejo izdajatelji spletnih mest in s katero se ti podatki vnesejo na spletno stran, in jo dopolnjuje, ter poudarilo, da je upravljavec iskalnika oseba, ki določa namene in sredstva dejavnosti, ki jo izvaja ta iskalnik (sodba Google (Odstranitev povezav do domnevno netočne vsebine) (C‑460/20, EU:C:2022:962, točka 44).
(
17
)	Glej v tem smislu sodbo Google Spain (točka 34) in sodbo z dne 5. junija 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, točka 28).
(
18
)	Glej Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Evropski odbor za varstvo podatkov (v nadaljevanju: EOVP), točka 12.
(
19
)	Sklepni predlogi generalnega pravobranilca Y. Bota v zadevi Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2017:796, točka 46).
(
20
)	Mnenje 1/2010 o pojmih „upravljavec“ in „obdelovalec“, WP 169, str. 11, delovne skupine za varstvo podatkov iz člena 29, ki je svetovalni organ, ustanovljen s členom 29 Direktive 95/46, ki jo je nadomestil EOVP, ustanovljen na podlagi člena 68 SUVP.
(
21
)	Van Alsenoy, B., „Chapter 4. Allocation of Responsibility“ v Data Protection Law in the EU: Roles, Responsibilities and Liability, 1. izdaja, Intersentia, Mortsel, 2019, str. od 43 do 53.
(
22
)	Glej člen 2 Arrêté royal du 25 juin 2020 établissant le modèle de publication au Moniteur belge visée à l’article 1250 du Code judiciaire (kraljevi odlok z dne 25. junija 2020 o določitvi predloge za objavo v Moniteur belge iz člena 1250 zakonika o sodiščih). Naj poudarim, da SPF Justice kot upravljavec v smislu člena 4, točka 7, SUVP ni zadolžen le za zagotavljanje „operativn[ega] vodenj[a] objave in tehničn[ih] sredst[ev] obdelave“, ampak mora izpolnjevati tudi obveznosti, ki jih ta uredba določa v zvezi z obdelavo (glej zlasti člena 5 in 6 SUVP).
(
23
)	Guidelines 07/2020 on the concepts of controller and processor in the GDPR, EOVP, točka 20.
(
24
)	Prav tam.
(
25
)	Ne glede na navedeno pa se v okviru obveznosti iz člena 4, točka 7, SUVP v povezavi s členom 5(1)(b) te uredbe, v skladu s katero morajo biti nameni obdelave določeni in izrecni, zahteva vsaj to, da posredna določitev namenov obdelave izhaja iz zakonskih določb, na katerih temelji delovanje zadevnega organa.
(
26
)	Glej sodbo z dne 9. marca 2017, Manni (C‑398/15, EU:C:2017:197, točka 35).
(
27
)	Glej člena 71 in 73 zakonika o gospodarskih družbah.
(
28
)	Belgijska vlada je na obravnavi trdila, da je na podlagi nacionalnega prava za upravljavca implicitno imenovan notar, medtem ko je organ za varstvo podatkov zatrjeval, da je ta naloga dodeljena Moniteur belge.
(
29
)	Sodba z dne 10. julija 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, točka 68).
(
30
)	Sodba z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629).
(
31
)	Prav tam (točki 78 in 79).
(
32
)	Kot je poudaril generalni pravobranilec G. Pitruzzella v sklepnih predlogih v zadevi Google (Odstranitev povezav do domnevno netočne vsebine) (C‑460/20, EU:C:2022:271, točka 15), je Sodišče zaradi tega vidika v sodbi Google Spain pojasnilo, da se obdelava osebnih podatkov, ki se izvede v okviru dejavnosti iskalnika, razlikuje od obdelave, ki jo izvedejo izdajatelji spletnih mest in s katero se ti podatki vnesejo na internetno stran, in jo dopolnjuje.
(
33
)	Sodba z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 70).
(
34
)	Glej v tem smislu sodbo z dne 24. septembra 2019, GC in drugi (Odstranitev povezav do občutljivih podatkov) (C‑136/17, EU:C:2019:773, točka 37).
(
35
)	Sodba Google Spain (točka 34).
(
36
)	Glej uvodno izjavo 1 SUVP.
(
37
)	Glej točko 68 teh sklepnih predlogov.
(
38
)	Sodba z dne 8. decembra 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Nameni obdelave osebnih podatkov – Kazenska preiskava) (C‑180/21, EU:C:2022:967, točka 80).
(
39
)	Glej točko 54 teh sklepnih predlogov.
(
40
)	Glej zlasti uvodni izjavi 1 in 4 in člen 1(2) SUVP.
(
41
)	Glej v tem smislu sodbo z dne 10. julija 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, točka 66).
(
42
)	V skladu s členoma 28 in 29 SUVP obdelavo, ki jo izvaja obdelovalec, ureja pogodba ali pravni akt v skladu s pravom EU ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca in v katerem je določena obdelava. Moniteur belge bi bilo torej mogoče šteti za obdelovalca le, če bi nacionalni zakonodajalec določil pravila glede obdelave.
(
43
)	Glej točke od 55 do 57 teh sklepnih predlogov.
(
44
)	Trditev, ki jo je navedla belgijska vlada, je poleg tega v nasprotju s trditvijo, ki jo je ta vlada podala na obravnavi, v skladu s katero naj Moniteur belge ne bi izvrševal zakonodaje, ampak naj bi bolj poskrbel za izpolnitev zahteve notarja.
(
45
)	Členi od 474 do 476 programskega zakona z dne 24. decembra 2002.
(
46
)	Z novimi pravili se je ta rok skrajšal na 10 dni.
(
47
)	Glej zlasti člena 73 in 76 zakonika o gospodarskih družbah.
(
48
)	V zvezi s tem vidikom se postavlja vprašanje, ali je belgijski zakonodajalec pristojnosti upravljavca morda omejil na način, ki je v nasprotju s SUVP. Lahko bi se namreč zagovarjalo stališče, da taka omejitev ni problematična le z vidika člena 17 SUVP, ampak tudi z vidika člena 16(1) PDEU in člena 8(1) Listine, in da bi morda lahko ogrozila polni učinek varstva, ki ga zagotavlja SUVP. Čeprav gre za vprašanja, ki jih bo moralo preučiti predložitveno sodišče, ker zahteva posameznika, na katerega se nanašajo osebni podatki, temelji na členu 17 SUVP, pa ta vprašanja očitno ne spadajo v okvir predloga za sprejetje predhodne odločbe, ki ga je vložilo to sodišče.
(
49
)	Glej točko 54 teh sklepnih predlogov.
(
50
)	Komisija je na obravnavi pojasnila, da je Uradni list Evropske unije mogoče spreminjati in da take rešitve že obstajajo.
(
51
)	Glej člen 5(1)(c) in (d) SUVP.
(
52
)	Glej točko 55 teh sklepnih predlogov.
(
53
)	Kot je poudaril generalni pravobranilec G. Pitruzzella v sklepnih predlogih v zadevi Google (Odstranitev povezav do domnevno netočne vsebine) (C‑460/20, EU:C:2022:271, točka 15), je Sodišče zaradi tega vidika v sodbi Google Spain pojasnilo, da se obdelava osebnih podatkov, ki se izvede v okviru dejavnosti iskalnika, razlikuje od obdelave, ki jo izvedejo izdajatelji spletnih mest in s katero se ti podatki vnesejo na internetno stran, in jo dopolnjuje.
(
54
)	Sodba z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 67). Glej tudi smernice Guidelines 07/2020 on the concepts of controller and processor in the GDPR, EOVP, točka 29.
(
55
)	Glej smernice Guidelines 07/2020 on the concepts of controller and processor in the GDPR, EOVP, točka 67. Kot je navedla Komisija, vse vrste partnerstev ali sodelovanja ne pomenijo, da so udeleženi subjekti skupni upravljavci, saj je za to potrebna analiza vsake zadevne obdelave posebej in natančne vloge, ki jo ima določen subjekt pri posamezni obdelavi. Menim, da bi bilo treba obstoj skupne odgovornosti ugotoviti v primeru, v katerem subjekta izvajata dejanja obdelave, ki jih ni mogoče obravnavati kot ločene korake obdelave.
(
56
)	Glej v tem smislu sodbo z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 74).
(
57
)	Na primer, sporni odlomek lahko v spis gospodarske družbe vloži le sodno tajništvo gospodarskega sodišča.
(
58
)	Glej v tem smislu sodbo z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točke od 172 do 176).