62022CC0231
STANOVISKO GENERÁLNÍ ADVOKÁTKY
LAILY MEDINA
přednesené dne 8. června 2023 (
1
)
Věc C‑231/22
État belge
proti
Autorité de protection des données,
za účasti:
LM
[žádost o rozhodnutí o předběžné otázce podaná Cour d’appel de Bruxelles (odvolací soud v Bruselu, Belgie)]
„Řízení o předběžné otázce – Nařízení (EU) 2016/679 – Článek 4 bod 7 a 8 – Zpracování osobních údajů – Pojmy ‚správce‘ a ‚zpracovatel‘ – Určení účelu a prostředků zpracování údajů – Povinnost označení podle vnitrostátního práva – Úřední věstník – Zveřejnění právního aktu společnosti vyhotoveného notářem – Žádost o odstranění – Prostor pro uvážení – Nezměnitelnost – Článek 5 odst. 2 – Po sobě jdoucí správci – Samostatné povinnosti samostatných subjektů“
1.
Acta Diurna byla každodenní římská úřední oznámení tesaná do kamene nebo rytá do kovu a vyvěšovaná na veřejných místech jako například na Foru Romanum. V digitální éře mohou vnitrostátní orgány čelit otázce, zda jsou údaje zveřejněné v úředním věstníku dané země obrazně řečeno také vytesány do kamene, nebo zda je lze vymazat či změnit.
2.
Základ sporu v původním řízení spočívá ve zveřejnění údajů v belgickém Úředním věstníku, Moniteur belge, který zveřejňuje úřední dokumenty v tištěné podobě i elektronicky.
3.
Spor v původním řízení je veden mezi État belge (belgický stát) a Autorité de protection des données (Úřad pro ochranu osobních údajů, Belgie; dále jen „ÚOOÚ“). Poté, co pověřenec pro ochranu osobních údajů (dále jen „pověřenec“) notáře zjistil, že byla omylem zveřejněna pasáž z rozhodnutí společnosti, která byla ověřena notářem a kromě údajů vyžadovaných belgickým právem obsahovala osobní údaje fyzické osoby, požádal Moniteur belge o výmaz těchto údajů. Service public fédéral Justice (federální ministerstvo spravedlnosti, Belgie; dále jen „FMS“), které je řídícím orgánem Moniteur belge, této žádosti nevyhovělo.
4.
Za těchto okolností mají otázky položené Cour d’appel de Bruxelles (odvolací soud v Bruselu, Belgie) v jeho žádosti o rozhodnutí o předběžné otázce poměrně úzký rozsah. Podstatou otázky předkládajícího soudu je, zda musí být Moniteur belge nebo FMS považovány za „správce“ ve smyslu čl. 4 bodu 7 nařízení (EU) 2016/679 (dále jen „GDPR“) (
2
). V případě kladné odpovědi na tuto otázku se předkládající soud rovněž táže na meze povinností správce, pokud zpracování provádějí po sobě jdoucí subjekty.
I. Právní rámec
A.
Unijní právo
5.
V kapitole I GDPR, nadepsané „Obecná ustanovení“, jsou v jeho článku 4 definovány zejména následující pojmy: „osobní údaje“, „zpracování“, „správce“ a „zpracovatel“.
6.
Články 5, 6, 17 a 26 GDPR jsou pro projednávanou věc rovněž relevantní.
B.
Vnitrostátní právo
1. Zákon o obchodních společnostech
7.
Článek 67 odst. 1 a 2 Loi du 7 mai 1999 contenant le Code des sociétés (
3
) (zákon ze dne 7. května 1999 o obchodních společnostech“ dále jen „zákon o obchodních společnostech“) stanovily:
„(1)   Ověřené kopie veřejných listin, stejnopisů nebo originálů soukromoprávních listin a výpisů, ať již v elektronické podobě či nikoliv, jejichž předložení nebo zveřejnění vyžadují následující články, se činí u rejstříku obchodního soudu, v jehož obvodu má společnost sídlo.
[…]
(2)   Podané dokumenty se uchovávají ve spisu vedeném tímto rejstříkem pro každou společnost a dotyčné společnosti se zapisují do rejstříku právnických osob, a sice rejstříku Banque-Carrefour des Entreprises [centrální rejstřík podniků].“
8.
Článek 71 zákona o obchodních společnostech stanovil:
„Výpis z obchodních listin podepisují v případě veřejných listin notáři a v případě soukromoprávních listin všichni společníci společně a nerozdílně nebo jeden z nich, kterého k tomu ostatní pověří zvláštním pověřením.“
9.
Článek 73 uvedeného zákona stanovil:
„Zveřejnění se provede v přílohách Moniteur belge do 15 dnů od uložení dokumentů, jinak úředníci, kterým lze opomenutí nebo prodlení přičítat, odpovídají za škodu.“
10.
Článek 74 odst. 1 uvedeného zákona stanovil:
„Následující dokumenty se ukládají a zveřejňují v souladu s předchozími články:
(1) akty, kterými se mění ustanovení, jejichž zveřejnění tento zákon vyžaduje;“
2. Královská vyhláška ze dne 30. ledna 2001
11.
Článek 1 Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés (královská vyhláška ze dne 30. ledna 2001, kterou se provádí zákon o obchodních společnostech) (
4
) stanovil:
„[…] soudní úředníci [obchodních] soudů přijímají do úschovy všechny listiny, výpisy z listin, protokoly a dokumenty, jejichž zpřístupnění nařizuje zákon o obchodních společnostech […].“
12.
Článek 11 uvedené královské vyhlášky stanovil:
„(1)   Listiny, výpisy z listin a dokumenty, jejichž zveřejnění je vyžadováno v přílohách Moniteur belge, se doručují rejstříku spolu s kopií.
(2)   Všechny předložené dokumenty v listinné podobě musí splňovat následující podmínky:
[…]
6.
být podepsány jednajícím notářem nebo případně osobami oprávněnými zastupovat právnickou osobu ve vztahu ke třetím osobám s uvedením jména a příjmení a funkce podepsaných osob;
[…]
(3)   Kopie listin, výpisů z listin a dokumentů uvedených v článcích 67, 68, 74 […] zákona o obchodních společnostech […] určené pro Moniteur belge, se předkládají bez oprav nebo úprav. […]
[…]“
13.
Článek 14 královské vyhlášky zněl následovně:
„Soudní úředník zašle ředitelství Moniteur belge (Ředitelství belgického Úředního věstníku, Belgie) nejpozději druhý pracovní den následující po dni jejich podání kopie listin, výpisy z listin a dokumenty […], které mu byly doručeny a musí být zveřejněny v přílohách Moniteur belge.
[…]“
14.
Článek 16 uvedené královské vyhlášky stanovil:
„Pokud je zveřejnění nezbytné, provede se prostřednictvím příloh Moniteur belge ve lhůtách stanovených zákonem.“
3. Programový zákon I ze dne 24. prosince 2002
15.
Článek 472 Loi-programme du 24 décembre 2002(programový zákon ze dne 24. prosince 2002) (
5
) stanoví:
„Moniteur belge je úřední publikací vydávanou ředitelstvím Moniteur belge (Ředitelství belgického Úředního věstníku), která shromažďuje všechny texty, jejichž zveřejnění v Moniteur belge je nařízeno.“
16.
Článek 474 uvedeného programového zákona stanoví:
„Ředitelství Moniteur belge (Ředitelství belgického Úředního věstníku) zveřejní v Moniteur belge tři tištěné kopie.
[…]
Jedna kopie se uchovává v elektronické podobě. Král stanoví podmínky pro elektronické uchovávání […]“
17.
Článek 475 téhož programového zákona zní následovně:
„Jakékoli další zpřístupnění veřejnosti se uskutečňuje prostřednictvím internetových stránek ředitelství Moniteur belge (Ředitelství belgického Úředního věstníku).
Publikace zpřístupněné na těchto internetových stránkách jsou přesnými reprodukcemi tištěných kopií uvedených v článku 474 v elektronické podobě.“
18.
Článek 475a programového zákona ze dne 24. prosince 2002 stanoví:
„Každý občan může získat kopii dokumentů a listin zveřejněných v Moniteur belge prostřednictvím bezplatné telefonní asistenční linky za cenu nákladů Moniteur belge. Tato služba je rovněž odpovědná za poskytování občanům asistenční služby při vyhledávání dokumentů.“
19.
Článek 475b uvedeného programového zákona stanoví:
„Další doprovodná opatření budou přijata královskou vyhláškou projednanou v Radě ministrů za účelem zajištění co nejširšího možného šíření informací obsažených v Moniteur belge a přístupu k nim.“
II. Skutkový stav, řízení a předběžné otázky
20.
LM je většinovým společníkem společnosti Bureau LM, belgické společnosti s ručením omezeným.
21.
Dne 23. ledna 2019 se konala valná hromada uvedené společnosti, která rozhodla snížit její kapitálu a za tímto účelem změnila její stanovy.
22.
V souladu s právními předpisy upravujícími zveřejňování informací připravil notář výňatek z tohoto rozhodnutí. Dne 12. února 2019 jej notář doručil rejstříku tribunal de l’entreprise néerlandophone de Bruxelles (nizozemskojazyčný obchodní soud v Bruselu, Belgie) za účelem jeho úředního zveřejnění v Moniteur belge.
23.
Dne 22. února 2019 byl tento výňatek zveřejněn v přílohách Moniteur belge. Obsahoval zejména rozhodnutí o snížení základního kapitálu společnosti, výši počátečního kapitálu, částku snížení, novou výši základního kapitálu a nové znění stanov. Kromě informací zveřejněných na základě zákonného požadavku obsahoval předmětný výňatek jména dvou společníků dotčené společnosti, částky, které jim byly vyplaceny, a čísla jejich bankovních účtů (dále jen „předmětná pasáž“), jejichž zveřejnění nebylo zákonem vyžadováno.
24.
Pověřenec notáře po zjištění, že notář pochybil, když předmětnou pasáž zahrnul do zveřejněného výňatku, požádal FMS s odkazem na článek 17 GDPR o vymazání předmětné pasáže a opětovného zveřejnění výňatku, tentokrát bez ní.
25.
Dne 10. dubna 2019 FMS odmítlo této žádosti vyhovět (
6
) a navrhlo provést nové zveřejnění výňatku s vyškrtnutím předmětné pasáže, přičemž původní znění zveřejněné dne 22. února 2019 by bylo ponecháno beze změn.
26.
Dne 21. ledna 2020 podal LM, jeden ze dvou společníků dotčené společnosti, stížnost k ÚOOÚ proti Moniteur belge (FMS) a tvrdil, že byl porušen článek 5 (zejména zásada minimalizace údajů), článek 6 (zpracování osobních údajů) a článku 17 (právo na výmaz) GDPR.
27.
Rozhodnutím ze dne 23. března 2021 ÚOOÚ stížnosti vyhověl a v podstatě nařídil vymazání dotčené pasáže.
28.
Dne 22. dubna 2021 podal Belgický stát proti tomuto rozhodnutí opravný prostředek ke cour d'appel de Bruxelles (odvolací soud v Bruselu), tedy předkládajícímu soudu, s návrhem na zrušení tohoto rozhodnutí. LM vstoupil do řízení jako vedlejší účastník.
29.
Předkládající soud zdůrazňuje, že účastníci řízení se neshodnou na tom, jak má být vykládán pojem „správce“ uvedený v čl. 4 bodu 7 GDPR. Poznamenává, že Moniteur Belge poté, co obdržel výňatek tribunal de l’entreprise néerlandophone de Bruxelles (nizozemskojazyčný obchodní soud v Bruselu), zveřejnil tento text v nezměněné podobě v souladu s právními předpisy upravujícími jeho postavení a úkoly, tedy bez možnosti přezkumu nebo změny. Předkládající soud zejména klade otázku, zda musí být každý z potenciálních po sobě jdoucích subjektů nebo pouze jeden z nich kvalifikován jako „správce“ ve smyslu uvedeného článku, a tudíž je podle čl. 5 odst. 2 GDPR odpovědný za dodržování zásad stanovených v čl. 5 odst. 1 tohoto nařízení.
30.
V tomto ohledu se předkládající soud táže, zda je takové pojetí postupné nebo následné odpovědnosti zakotveno v uvedeném nařízení. Pokud by na Moniteur belge nahlížel jako na příjemce údajů ve smyslu čl. 4 bodu 9 GDPR, tento soud si klade otázku, zda tento věstník dále jednal jako „následný“ správce zpracování. Tak tomu však patrně není, neboť podle platné belgické právní úpravy Moniteur belge není v takovém postavení, aby mohl definovat prostředky a účely svého vlastního zpracovávání ve smyslu čl. 4 bodu 7 GDPR.
31.
Za těchto okolností položil Cour d'appel de Bruxelles (odvolací soud v Bruselu, Belgie) Soudnímu dvoru následující předběžné otázky:
„(1)
Musí být čl. 4 bod 7 [GDPR] vykládán v tom smyslu, že Úřední věstník členského státu – pověřený výkonem veřejné služby zveřejňování a archivace úředních dokumentů, který je na základě použitelných vnitrostátních právních předpisů pověřen zveřejňovat úřední akty a dokumenty, jejichž zveřejnění mu nařizují třetí veřejné orgány, a to tak, jak jsou postoupeny těmito orgány poté, co samy tyto třetí orgány zpracovaly osobní údaje obsažené v těchto aktech a dokumentech, aniž mu vnitrostátní zákonodárce přiznal posuzovací pravomoc, pokud jde o obsah dokumentů, které mají být zveřejněny, a pokud jde o účel a prostředky zveřejnění – má povahu správce?
(2)
V případě kladné odpovědi na první otázku musí být čl. 5 odst. 2 [GDPR] vykládán v tom smyslu, že dotčený Úřední věstník musí jako jediný splnit povinnosti, které má podle tohoto ustanovení správce, a to s vyloučením třetích veřejných orgánů, které dříve zpracovaly údaje obsažené v úředních aktech a dokumentech, jejichž zveřejnění na něm požadují, nebo tyto povinnosti spočívají kumulativně na každém z po sobě jdoucích správců?“
32.
Písemná vyjádření předložily ÚOOÚ, belgická a maďarská vláda, jakož i Evropská komise.
33.
Jednání konaného dne 23. března 2023 u Soudního dvora se zúčastnily ÚOOÚ, belgická vláda a Komise.
III. Posouzení
A.
První předběžná otázka
34.
Podstatou první otázky předkládajícího soudu je, zda musí být čl. 4 bod 7 GDPR vykládán v tom smyslu, že Úřední věstník členského státu má postavení správce údajů. Na úvod učiním dvě poznámky, které se týkají formulace této otázky.
35.
Zaprvé z rozhodnutí předkládajícího soudu vyplývá, že zákon o obchodních společnostech stanoví, že společnosti mají zákonnou povinnost zveřejňovat různé dokumenty a rozhodnutí v přílohách Moniteur belge. Uvedený soud rovněž podotýká, že Moniteur belge spadá pod FMS, aniž tento aspekt blíže vysvětluje Vzhledem k tomu, že rozdělení pravomocí mezi vnitrostátními orgány v členském státě je předmětem vnitrostátních pravidel, v tomto stanovisku budu odkazovat pouze na Moniteur belge.
36.
Zadruhé poznamenávám, že předkládající soud ve své otázce vkládá pasáž mezi dvě pomlčky, kterou jsou patrně vysvětleny pravomoce svěřené belgickým zákonodárcem Moniteur belge.
37.
Proto může být uvedená otázka přeformulována tak, že se v podstatě týká toho, zda lze takový Úřední věstník členského státu, jako je Moniteur belge, který je podle platných vnitrostátních právních předpisů pověřen zveřejňováním a archivací úředních dokumentů, považovat za správce ve smyslu čl. 4 bodu 7 GDPR za okolností, kdy zveřejnění daných dokumentů v jejich stávající podobě nařídí třetí subjekty, jestliže tyto subjekty samy zpracovaly osobní údaje obsažené v těchto dokumentech a jestliže tento Úřední věstník nemá posuzovací pravomoc, pokud jde o obsah dokumentů, které mají být zveřejněny, a účel a prostředky tohoto zveřejnění.
38.
Za účelem zodpovězení této otázky musím na úvod poznamenat, že pojem „správce“ je definován v čl. 4 bodu 7 nařízení GDPR jako „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení“. Z tohoto ustanovení ve spojení s čl. 5 odst. 1 GDPR, který stanoví zásady zpracování osobních údajů, je zřejmé, že každá fáze zpracování údajů vyžaduje existenci správce (
7
). Při zpracovávání osobních údajů by tedy měl vždy existovat správce, který je „klíčovým aktérem při uplatňování právních předpisů na ochranu údajů“ (
8
), a proto je důležité v každé fázi zpracování údajů určit, kdo je tímto správcem (
9
). Pojem „správce“ zahrnuje jak fyzické, tak právnické osoby, jakož i orgány veřejné moci, agentury nebo jiné subjekty. Je však zřejmé, že kvalifikace druhu subjektu nepůsobí v projednávané věci žádné obtíže.
39.
Dříve než přejdeme k podstatě otázky, a sice k vymezení pojmu „správce“ ve smyslu čl. 4 bodu 7 nařízení GDPR, domnívám se, že je důležité objasnit, zda operace, o něž se jedná v projednávané věci, představují „zpracování“„osobních údajů“ ve smyslu čl. 4 bodu 2 a 1 GDPR.
1. Ke „zpracování“„osobních údajů“
40.
Především je třeba připomenout, že pojmem „osobní údaj“ se ve smyslu čl. 4 bodu 1 GDPR rozumí „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“, přičemž podle judikatury se tato definice použije, pokud dotčené informace z důvodu svého obsahu, účelu nebo účinku souvisí s určitou osobou (
10
). V projednávané věci je mezi účastníky řízení nesporné, že údaje obsažené v předmětné pasáži, jako jsou jména dvou společníků společnosti a čísla jejich bankovních účtů, představují osobní údaje. Mám za to, že částky, které byly těmto společníkům vyplaceny, nepředstavují nutně samy o sobě osobní údaje. Ve spojení se jménem osob, je je obdržely, je však třeba tyto částky za osobní údaje skutečně považovat.
41.
Zadruhé podle čl. 4 bodu 2 GDPR je pojem „zpracování“ definován jako „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů“, jako je mimo jiné „nahlédnutí“, „použití“, „zpřístupnění přenosem“, „šíření“ nebo „jakékoliv jiné zpřístupnění“ osobních údajů. Uvedené definice odrážejí skutečnost, že unijní normotvůrce zamýšlel přiznat těmto dvěma pojmům široký rozsah (
11
).
42.
Soudní dvůr například ve svém rozsudku ve věci Google Spain uvedl, že činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako„zpracování osobních údajů“ ve smyslu čl. 2 písm. b) směrnice 95/46/ES (
12
), který v podstatě odpovídá čl. 4 bodu 2 GDPR, pokud uvedené informace obsahují „osobní údaje“ (
13
). Kromě toho Soudní dvůr v rozsudku ve věci Fashion ID (
14
) konstatoval, že zpracování osobních údajů může sestávat z jedné nebo více operací, přičemž každá z nich se týká jednoho z různých stadií, kterými může procházet zpracování osobních údajů.
43.
Mám za to, že v projednávané věci došlo ke třem po sobě jdoucím případům zpracování osobních údajů. První zpracování se týká notáře, jenž vyhotovil listinu, která měla být zveřejněna v Moniteur belge (a při tom se dopustil omylu, když do této listiny zahrnul dotčené osobní údaje), a doručil ji rejstříku obchodního soudu. Druhé zpracování se týká rejstříku, jenž tuto listinu založil do spisu společnosti a zaslal ji ke zveřejnění Moniteur belge. Třetí zpracování se týkalo Moniteur belge, který nejenže převedl dokument v listinné podobě na elektronický dokument, ale také jej shromažďoval, zaznamenával, uchovával, zpřístupňoval a šířil. Podle mého názoru je nepochybné, že všechny tři případy představují „zpracování“ ve smyslu čl. 4 bodu 2 GDPR, a to zejména operace prováděné Moniteur belge.
44.
Nicméně skutečnost, že v těchto třech případech došlo ke zpracování, nutně neznamená, že Moniteur belge jednal jako správce údajů. Je tomu tak proto, neboť GDPR rozlišuje, jak je stanoveno v čl. 4 bodech 7 a 8 tohoto nařízení, mezi správci údajů na jedné straně a zpracovateli údajů na straně druhé. Zatímco správce určuje účel a prostředky zpracování (
15
), zpracovatel zpracovává osobní údaje pro správce (
16
). Ačkoli je tedy zřejmé, že tyto tři případy představují „zpracování“ ve smyslu čl. 4 bodu 2 GDPR, toto zjištění neurčuje, zda má Moniteur belge – nebo jiný subjekt zapojený do tohoto třístupňového řetězce – v projednávané věci postavení správce.
2. K určení účelů a prostředků zpracování osobních údajů
45.
Otázka, zda Moniteur belge jednal jako „správce“, se podle mého názoru rovná posouzení, zda „určuje účely a prostředky zpracování osobních údajů“ ve smyslu čl. 4 bodu 7 GDPR.
46.
Na úvod je třeba nejprve zdůraznit, že podle příslušné judikatury Soudního dvora musí být pojem „správce“ vymezen široce. Soudní dvůr totiž již dříve uvedl, že cíl čl. 4 bodu 7 GDPR spočívá v zajištění účinné a úplné ochrany subjektů údajů prostřednictvím široké definice pojmu „správce“ (
17
). Kromě toho, „pojmy ‚správce‘ a ‚zpracovatel‘ jsou funkčními pojmy: jejich cílem je rozdělení odpovědnosti v závislosti na skutečné úloze těchto subjektů“ (
18
). Jinými slovy, „správce osobních údajů je osobou, která rozhoduje, proč a jak jsou tyto údaje zpracovány“ (
19
). Určení odpovědnosti správce tedy „vychází […] spíše z faktické než formální analýzy“ (
20
).
47.
Zadruhé tím, že čl. 4 bod 7 GDPR uvádí výraz „sám nebo společně“ s jinými subjekty, uznává, že „účely a prostředky“ zpracování údajů mohou být určeny více než jedním subjektem. Nicméně rozsah, v jakém dva nebo více subjektů společně vykonává správu, může nabývat různých podob (
21
), o nichž bude pojednáno v mé analýze druhé otázky.
48.
Zatřetí poznamenávám, že Belgické království přijetím královské vyhlášky ze dne 25. června 2020 určilo FMS jako správce ve smyslu čl. 4 bodu 7 GDPR (
22
). K událostem v původním řízení však došlo před vstupem této vyhlášky v platnost. Není tudíž ratione temporis použitelná na projednávanou věc. Z výše uvedeného tedy vyplývá, že Soudní dvůr musí přezkoumat rozdělení pravomocí a odpovědnosti mezi vnitrostátní subjekty před vstupem uvedené vyhlášky v platnost.
49.
Po těchto úvodních poznámkách nyní přezkoumám podmínky stanovené v čl. 4 bodu 7 GDPR, tedy který z dotčených subjektů „určuje účely a prostředky zpracování“ předmětných osobních údajů.
a) K implicitnímu určení správce vnitrostátní právní úpravou
50.
Postavení správce může být založeno na příslušných právních předpisech nebo může vyplývat z analýzy skutkového stavu nebo okolností případu (
23
). Článek 4 bod 7 GDPR stanoví, že jsou-li účely a prostředky tohoto zpracování určeny zejména právem členského státu, může toto právo určit správce nebo zvláštní kritéria použitelná pro jeho určení. Z tohoto vyplývá, že pokud byl subjekt zákonem výslovně označen za správce, je toto určení rozhodující (
24
). V projednávané věci však neexistuje žádné konkrétní ustanovení, které by výslovně určovalo správce údajů.
51.
Je rovněž možné, že zákon označí za správce určitý subjekt, byť implicitně (
25
). Pokud by například vnitrostátní právní úprava stanovila dotčenému subjektu povinnost uchovávat nebo poskytovat určité údaje, byl by takový subjekt považován za správce, pokud jde o zpracování, které je nezbytné pro splnění této povinnosti. K takovému implicitnímu určení vnitrostátní právní úpravou dochází tehdy, když je z úlohy, úkolů a pravomocí svěřených tomuto orgánu zřejmé, že určuje účely a prostředky daného zpracování. Soudní dvůr v rozsudku ve věci Manni vycházel z posouzení skutkového stavu, přičemž uvedl, že „zápisem a uchováním uvedených informací v rejstříku a případně jejich sdělením na žádost třetím osobám“ provádí orgán zákonem pověřený vedením obchodního rejstříku „zpracování osobních údajů“, pro které je „správcem“, jak je stanoveno v čl. 2 písm. b) směrnice 95/46 (
26
).
52.
Ačkoli v projednávané věcivnitrostátní právní úprava výslovně neurčila správce údajů, stanoví, že společnosti mají zákonnou povinnost zveřejňovat určité dokumenty v Moniteur belge (
27
). Založila tak zákonnou povinnost zpracovávat údaje, kterou musí provádět správce. Vnitrostátní zákonodárce vytvořil systém, v rámci něhož údaje postupně zpracovávají tři subjekty; účastníci řízení se však neshodnou na tom, který z těchto tří subjektů je skutečně správcem (
28
). Je proto třeba určit zvláštní pravomoci svěřené těmto subjektům, a to za účelem zjištění, kterého z nich zákonodárce implicitně označil jako správce pro třetí fázi zpracování, a sice operace prováděné Moniteur belge.
b) Účinná a úplná ochrana subjektů údajů
53.
Článek 4 bod 7 GDPR použitím slovesa „určit“ požaduje, aby správce vykonával vliv na zpracování na základě výkonu rozhodovací pravomoci (
29
). Například ve věci týkající se modulu Facebooku „to se mi líbí“ (
30
) se jednalo o otázku, zda společnost Fashion ID, tedy podnik, který prodával na internetu módní oblečení a začlenil do svých internetových stránek sociální modul „to se mi líbí“ sociální sítě Facebook, společně s Facebookem určovala prostředky sběru a přenosu osobních údajů návštěvníků internetových stránek společnosti Fashion ID či nikoli. V uvedené věci Soudní dvůr výslovně uvedl, že společnost Fashion ID umístěním takového sociálního modulu na své internetové stránky ovlivňuje rozhodujícím způsobem sběr a přenos osobních údajů návštěvníků uvedených stránek ve prospěch poskytovatele uvedeného modulu, v projednávané věci společnost Facebook Ireland, ke kterému by v případě neumístění uvedeného modulu nedošlo (
31
). Z výše uvedeného vyplývá, že disponování rozhodujícím vlivem na zpracování osobních údajů znamená, že subjekt vykonávající tento vliv je správcem. Skutečnost, že subjekt nemá rozhodující vliv, však nestačí pro vyloučení možnosti, že tento subjekt může mít stále postavení správce.
54.
V důsledku způsobu, jakým jsou informace vytvářeny a šířeny v elektronické podobě, šíření údajů na internetu exponenciálně zvyšuje rizika porušení základních práv na soukromí a ochranu osobních údajů (
32
). Soudní dvůr s vědomím existence tohoto rizika přijal širokou definici pojmu „správce“ (
33
), aby mohlo GDPR zaručit účinnou a úplnou ochranu subjektů údajů, zejména jejich práva na soukromí (
34
). Za tímto účelem Soudní dvůr v rozsudku ve věci Google Spain konstatoval, že by bylo v rozporu nejen s jasným zněním čl. 2 písm. d) směrnice 95/46, který v podstatě odpovídá čl. 4 bodu 7 GDPR, ale rovněž s cílem uvedeného ustanovení vyloučit z této definice provozovatele vyhledávače z toho důvodu, že nemá kontrolu nad osobními údaji zveřejněnými na webových stránkách třetích osob (
35
). Je zřejmé, že Soudní dvůr se přijetím takto široké definice rozhodl pro účelový výklad uvedeného ustanovení: definice „správce“ musí zaručit účinnou a úplnou ochranu subjektů údajů. Kromě toho podotýkám, že takový výklad může být pouze posílen GDPR, které bylo přijato na základě čl. 16 odst. 1 SFEU, jenž zmocňuje unijního normotvůrce k ochraně základního práva na ochranu osobních údajů stanoveného v čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) (
36
).
55.
V projednávané věci je nesporné, že vnitrostátní zákonodárce vytvořil režim se třemi různými případy zpracování, a sice řetězec, na jehož počátku je vyhotovení a podepsání dotčených dokumentů notářem následované zařazením dokumentu do spisu společnosti rejstříkem obchodního soudu a jeho uchovávání a na konci Moniteur belge provádí digitální transformaci a zveřejnění těchto dokumentů. I když je pravda, že Moniteur belge musí zveřejnit dotyčný dokument v jeho stávající podobě, nemění to nic na tom, že pro účely jeho zveřejnění to není ani notář, ani rejstřík obchodního soudu, kdo jej převádí na elektronický dokument; provádí to pouze Moniteur belge a následně dotčený dokument šíří na internetu.
56.
Zdůrazňuji především, že vnitrostátní zákonodárce přijetím článků 474 až 475b programového zákona ze dne 24. prosince 2002 svěřil Moniteur belge určité pravomoci. Z těchto ustanovení vyplývá, že Moniteur belge nejen zveřejňuje tištěnou verzi dotčených dokumentů, ale také je zpřístupňuje prostřednictvím svých internetových stránek v elektronické podobě, uchovává je v elektronické podobě, zpřístupňuje je občanům prostřednictvím asistenční linky a asistenční služby pro vyhledávání dokumentu a konečně zajišťuje co nejširší možné šíření a přístup k informacím obsaženým v Moniteur belge. Z těchto ustanovení tedy podle mého názoru vyplývá, že vnitrostátní zákonodárce tím, že udělil Moniteur belge pravomoci týkající se digitální transformace, zveřejňování, šíření a uchovávání dotčených dokumentů, svěřil tomuto věstníku pravomoci spadající pod pojem „správce“ ve smyslu čl. 4 bodu 7 GDPR (
37
).
57.
Tím, že Moniteur belge provádí výše uvedené operace, které mu svěřil zákonodárce, a sice digitální transformaci, zveřejnění a šíření, exponenciálně zvyšuje riziko porušení základních práv dotčené osoby (ve srovnání s pouhým zveřejněním dokumentu v jeho tištěné podobě). Právě zpracování ze strany tohoto Úředního věstníku totiž ohrožuje účinnou a úplnou ochranu dotčeného subjektu údajů. Proto nemohu jinak než konstatovat, že s ohledem na cíl zaručit účinnou a úplnou ochranu subjektů údajů a z důvodu možné újmy, kterou může digitální transformace a šíření těmto subjektům způsobit, Moniteur belge nelze vyloučit z definice pojmu „správce“ údajů ve smyslu čl. 4 bodu 7 GDPR.
58.
Konečně, pokud jde o uplatnitelnost judikatury týkající se soukromých vyhledávačů na takové veřejné subjekty, jako je Moniteur belge, je třeba uvést, že Soudní dvůr použil v nedávném rozsudku tuto judikaturu pro účely potvrzení, že státní zastupitelství musí být považováno za „správce“ (
38
). Domnívám se, že důvod pro takové použití judikatury je podložen širokým výkladem pojmu „správce“ ve smyslu čl. 4 bodu 7 GDPR s cílem zajistit účinnou a úplnou ochranu základních práv a svobod subjektů údajů zakotvených v primárním právu (
39
) bez ohledu na to, zda je správcem veřejný nebo soukromý subjekt (
40
). Za účelem zajištění takové účinné a úplné ochrany jsou zásady ochrany údajů, které jsou závazné pro soukromé vyhledávače, relevantní pro soukromé i pro veřejné subjekty, na něž se vztahují tytéž zastřešující zásady týkající se údajů a povinností podle GDPR, které představují konkrétní vyjádření primárního práva.
c) K otázce, zda je správcem údajů jiný subjekt
59.
Belgická vláda na jednání tvrdila, že za správce údajů by měl být považován notář, neboť určuje prostředky a účely zpracování údajů.
60.
Mám za to, že pokud by byl notář považován za jediného správce, znamenalo by to, že v praxi by nikdo nebyl správcem ve třetí fázi zpracování, tedy při operacích prováděných Moniteur belge, neboť zákonodárce nezmocnil notáře – jak dokládají skutkové okolnosti projednávané věci – k tomu, aby tuto třetí fázi zpracování rozhodujícím způsobem ovlivňoval. Zmíněné tři dotčené subjekty se však mohou v různých případech a v různé míře podílet na předmětném zpracování osobních údajů, v důsledku čehož lze každý z nich považovat za správce, i když s různým rozsahem a úrovní odpovědnosti vyplývající z postavení správce (
41
). Kromě toho podotýkám, že jak uvedla Komise na jednání, zákon by teoreticky mohl určit Moniteur belge jako zpracovatele, pokud by vnitrostátní právní úprava uložila více subjektům povinnost vypracovat, uchovávat a digitálně šířit dotčený dokument. Aby nicméně mohl být Moniteur belge zpracovatelem, musely by být splněny podmínky uvedené v článku 28 GDPR, což zjevně neplatí za okolností, které byly předloženy Soudnímu dvoru, neboť každý dotčený subjekt je odpovědný za svou vlastní část zpracování (
42
). Moniteur belge tak nelze považovat za „zpracovatele“ ve smyslu uvedeného ustanovení.
61.
Belgická vláda mimoto tvrdila, že vnitrostátní zákonodárce sám vystupuje jako správce nebo určuje subjekt odpovědný za správu, zatímco Moniteur belge pouze vykonával pravomoci, které mu byly svěřeny. Podle uvedené vlády se judikatura týkající se soukromých vyhledávačů nemůže vztahovat na veřejné subjekty, neboť Moniteur belge jakožto veřejný orgán zřízený zákonodárcem nemůže sám určovat své poslání a úkoly.
62.
Jak jsem již uvedla (
43
), v projednávané věci vnitrostátní zákonodárce implicitně označil Moniteur belge za správce údajů tím, že mu svěřil pravomoc vykonávat určitý počet konkrétních úkolů.
63.
V každém případě se domnívám, že pokud by měl Soudní dvůr za to, že vnitrostátní zákonodárce má postavení správce vždy, když vykonává svou pravomoc stanovit účely a prostředky dané operace zpracování, vedl by takový přístup k tomu, že fyzickým osobám by již nebyla poskytována účinná ochrana, takže pojem „správce“ by byl zbaven svého užitečného účinku. Účinnou ochranu subjektů údajů totiž nelze zajistit, pokud by četné povinnosti správce vykonával, pokud jde o každé zpracování osobních údajů stanovené právními předpisy členského státu, sám zákonodárce. Mám tedy za to, že pokud byla orgánu veřejné moci svěřena pravomoc zpracovávat osobní údaje, není správcem zákonodárce, ale je jím orgán plnící veřejné úkoly, který je subjektem, jenž kontroluje účely a prostředky tohoto zpracování (
44
). V projednávané věci je z okolností zřejmé, že k dotčenému zpracování, jak bylo vysvětleno v bodě 43 tohoto stanoviska, dochází v rámci provádění vnitrostátních právních předpisů, což vylučuje hypotézu, že by sám zákonodárce – při přijímání zákonů – byl správcem zpracování osobních údajů.
d) K nedostatku posuzovací pravomoci
64.
V projednávané věci z vnitrostátní právní úpravy předložené Soudnímu dvoru vyplývá, že Moniteur belge nemá žádnou rozhodovací pravomoc, pokud jde o texty, které je povinen zveřejnit (
45
). Jak totiž zdůraznila belgická vláda ve svých písemných vyjádřeních a na jednání, Moniteur belge má patnáct dní (
46
) na zveřejnění dokumentu, jenž musí být přesnou kopií dokumentu, který vyhotovil notář. V případě opomenutí nebo prodlení se úředník Moniteur belge vystavuje nebezpečí, že bude žalován o náhradu škody (
47
). Za účelem vyhnutí se takové situace, tento orgán nekontroluje úplnost, platnost či správnost údajů, které je povinen zveřejnit. Jak tedy tvrdí belgická vláda, zdá se, že Moniteur belge nemá pravomoc přezkoumávat obsah těchto dokumentů, včetně osobních údajů, které by mohly obsahovat.
65.
Jelikož však při přijímání zákonů samotný zákonodárce nevystupuje jako správce a jelikož žádný jiný subjekt nemá ve skutečnosti vliv na určení účelů a prostředků dotčeného zpracování – tedy digitální transformaci a digitální šíření dotčených dokumentů – musí být jako správce určen Moniteur belge, aby se předešlo vzniku mezery při jeho určování. Notář a rejstřík obchodního soudu jednoduše nemají pravomoc v této fázi zasáhnout. Neexistence posuzovací pravomoci na straně Moniteur belge tedy nemůže sloužit pro vyloučení účinné ochrany subjektů údajů. Je tedy třeba konstatovat, že Moniteur belge je správcem ve smyslu čl. 4 bodu 7 GDPR, byť implicitně určeným, pro zpracování osobních údajů při zveřejňování dokumentů, jak to vyžadují vnitrostátní právní předpisy.
e) K výmazu osobních údajů
66.
Ze skutkových okolností projednávané věci vyplývá, že pověřenec notáře požádal FMS (jednající jménem Moniteur belge) o vymazání – resp. odstranění z internetu – předmětné pasáže a zveřejnění výňatku bez této pasáže. FMS této žádosti nevyhovělo a nabídlo zveřejnění nového výňatku. Za těchto okolností se jeví, že dotyčný notář nemá pravomoc nařídit změnu nebo odstranění předmětné pasáže. Zdůrazňuji však, že takovou pravomoc podle všeho nemá ani žádný jiný subjekt.
67.
Belgická vláda uvádí, že záměrem vnitrostátního zákonodárce bylo, aby dokumenty zveřejňované v Moniteur belge zůstaly v průběhu času neměnné pro účely archivace a aby elektronická verze zveřejněných údajů zůstala vždy přesnou kopií verze tištěné, což vylučuje jakoukoli zpětnou změnu. Tato vláda dodává, že pro opravu dokumentu právnické osoby zveřejněného v Moniteur belge musí notář předložit rejstříku obchodního soudu pozměňující dokument a tento soud pak musí požádat vedení Moniteur belge o zveřejnění tohoto pozměňujícího aktu. Na druhou stranu podle belgického práva není možné původní akt zcela vymazat. Mohla by být porušena zásada nezměnitelnosti Moniteur belge.
68.
Mám za to, že odmítnutí orgánu veřejné moci vymazat pasáž obsahující dotčené osobní údaje a zveřejnit dotčený dokument bez této pasáže má za následek zachování veřejné dostupnosti těchto údajů. To podle mého názoru znamená, že tento orgán při uplatňování vnitrostátních právních předpisů jedná jako „správce“ ve smyslu čl. 4 bodu 7 GDPR, neboť tím, že předmětnou pasáž neodstraní a ponechá ji veřejně přístupnou, určuje účely a prostředky zpracování osobních údajů. Pokud by Moniteur belge nebyl uznán jako správce, pak by žádný orgán podle všeho neměl toto postavení (
48
).
69.
Mám za to, že postavení „správce“ nemůže záviset na skutečnosti, že takový orgán, jako je Moniteur belge, nemůže na základě vnitrostátního práva vyhovět žádosti o výmaz údajů. V případě existence mezery ve vnitrostátní právní úpravě proto přísluší vnitrostátním orgánům a v této fázi vnitrostátnímu soudu, aby za použití GDPR určily subjekt, který musí plnit povinnosti vyplývající z tohoto nařízení. Vzhledem k tomu, že v projednávané věci jsou údaje zpracovávány, zůstávají veřejně dostupné, ale vnitrostátní právo neurčilo odpovědný orgán jako správce pro tuto část zpracování.
70.
V takovém případě by měl Soudní dvůr konstatovat, že vzhledem k tomu, že vnitrostátní zákonodárce ponechal mezeru v právní úpravě, když neurčil správce, je na předkládajícím soudu, aby na základě okolností popsaných Soudnímu dvoru určil Moniteur belge (nebo FMS, podle posouzení tohoto soudu) jako správce. Pouze takový výklad by byl podle mého názoru v souladu s cílem čl. 4 bodu 7 GDPR, kterým je zajistit prostřednictvím široké definice pojmu „správce“ účinnou a úplnou ochranu subjektů údajů (
49
). Tím by se také předešlo vzniku mezer v právní úpravě a možnému obcházení pravidel GDPR.
71.
Pokud jde o praktické argumenty vycházející ze zásady neměnnosti informací šířených Moniteur belge, je na vnitrostátním zákonodárci, aby s ohledem na povinnosti vyplývající mimo jiné z článků 5 a 17 GDPR přijal právní rámec, který zohlední ochranu subjektů údajů a tuto zásadu. Vzhledem ke skutečnosti, že zveřejňování osobních údajů exponenciálně zvyšuje riziko poškození subjektů údajů, je třeba, aby vnitrostátní právo poskytovalo inovativní řešení (
50
).
72.
Závěrem v projednávané věci navrhuji, aby Soudní dvůr rozhodl, že Moniteur belge jedná jako „správce“ ve smyslu čl. 4 bodu 7 GDPR, když rozhodne o odmítnutí odstranění dotčené pasáže z veřejných zdrojů, tedy když zachová tuto pasáž veřejně dostupnou.
3. Dílčí závěr
73.
V projednávaném případě vnitrostátní právní úprava založila povinnost určit správce údajů za účelem plnění povinností vyplývajících z GDPR. Zaprvé, pokud jde o digitální transformaci, zveřejnění a šíření dotčených údajů, Moniteur belge musí být určen jako „správce“ údajů ve smyslu čl. 4 bodu 7 GDPR pro účely zajištění základních práv dotčené osoby. Zadruhé, pokud jde o neodstranění dotčených údajů, existuje mezera ve vnitrostátní právní úpravě, neboť žádný z dotčených subjektů nemá právo tyto údaje odstranit. V takovém případě přísluší vnitrostátnímu soudu, aby za použití GDPR určil v zájmu zajištění ochrany základních práv dotčených osob správce, kterým je v projednávané věci podle všeho Moniteur belge.
74.
V důsledku výše uvedeného navrhuji odpovědět na první otázku tak, že čl. 4 bod 7 GDPR musí být vykládán v tom smyslu, že takový Úřední věstník členského státu, jako je Moniteur belge, který je podle platných vnitrostátních právních předpisů pověřen zveřejňováním a archivací úředních dokumentů, lze pro účely zajištění účinné a úplné ochrany subjektů údajů považovat za správce ve smyslu čl. 4 bodu 7 GDPR za okolností, kdy zveřejnění těchto dokumentů v jejich stávající podobě nařídí třetí subjekty, neboť vnitrostátní zákonodárce svěřil tomuto věstníku pravomoc určit způsoby digitální transformace, zveřejnění, šíření a uchovávání dotčených dokumentů a stanovil široké účely zveřejnění a šíření. Jestliže se však jedná o případ, kdy není určen správce, pokud jde o odstranění nebo vymazání údajů, pak je vzhledem k tomu, že dotčené údaje zůstávají veřejně dostupné, na vnitrostátním soudu, aby určil subjekt, který musí plnit povinnosti vyplývající z GDPR.
75.
Soudní dvůr by měl odpovědět na druhou otázku, tedy zda musí být Moniteur belge nebo orgán, který jej řídí, výlučně odpovědný za dodržování povinností uložených správci údajů podle GDPR, pouze v případě, že přijme výše uvedenou odpověď na první otázku.
B.
Druhá předběžná otázka
76.
Podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 5 odst. 2 GDPR vykládán v tom smyslu, že dotčený Úřední věstník musí být jako jediný vázán dodržením povinností, které má podle tohoto ustanovení správce, a to s vyloučením třetích subjektů, jež dříve zpracovaly údaje obsažené v úředních dokumentech, jejichž zveřejnění na něm požadují, nebo zda tyto povinnosti spočívají kumulativně na každém z po sobě jdoucích správců.
77.
Podle čl. 5 odst. 2 GDPR správce odpovídá za dodržování zásad stanovených v odstavci 1 uvedeného článku, jako jsou zásada minimalizace údajů a zásada přesnosti (
51
), a musí být schopen doložit, že zásady byly dodrženy. Vzhledem ke skutečnosti, že se fyzická osoba domáhá výmazu osobních údajů, u nichž vnitrostátní právní předpisy nevyžadují zveřejnění, předkládající soud vysvětluje, že musí rozhodnout, zda za dodržování zásad minimalizace údajů a přesnosti musí odpovídat pouze Moniteur belge či orgán, který jej řídí, nebo zda za dodržování těchto zásad odpovídají i další dva subjekty.
78.
Předkládající soud si zejména klade otázku, zda je třeba každého z potenciálních po sobě jdoucích správců či pouze jednoho z nich kvalifikovat jako „správce“ ve smyslu čl. 4 bodu 7 uvedeného nařízení, a tudíž jej činit podle čl. 5 odst. 2 tohoto nařízení odpovědným za dodržování výše uvedených zásad, přičemž konstatuje, že účastníci původního řízení se nedovolávají existence společných správců, jak je stanoveno v článku 26 GDPR.
1. K operacím, k nimž dochází postupně
79.
Jak jsem již uvedla (
52
), dotčené osobní údaje uvedené v předmětné pasáži, která byla zveřejněna v Moniteur belge, byly postupně zpracovány několika subjekty, a sice notářem, který výňatek vyhotovil, rejstříkem tribunal de l’entreprise néerlandophone de Bruxelles (nizozemskojazyčný obchodní soud v Bruselu), který jej založil do spisu společnosti, a konečně Moniteur belge, který jej zveřejnil v nezměněné podobě.
80.
Pokud jde o tento řetězec událostí, je třeba podotknout, že zpracování dotčených osobních údajů svěřené Moniteur belge nejenže následuje po zpracování provedeném notářem a rejstříkem obchodního soudu, ale od zpracování provedeného těmito dvěma subjekty se liší rovněž technicky a doplňuje jej. Je nutno poukázat na skutečnost, že v rozsahu, v němž operace prováděné Moniteur belge zahrnují zejména digitální transformaci údajů obsažených ve výňatcích z dokumentů, které mu byly předloženy, zveřejňování, široké zpřístupňování veřejnosti a uchovávání těchto údajů, mají operace právně svěřené Moniteur belge – ve srovnání se zpracováním prováděným dříve dvěma jinými subjekty – významný a dodatečný dopad na základní práva na respektování soukromého života a ochranu osobních údajů a představují pro ně riziko (
53
).
81.
Je tedy na Moniteur belge, aby splnil všechny povinnosti, které správci ukládá GDPR, pokud jde o operace zpracování, jež mu ukládá vnitrostátní právo.
2. K vyloučení společné odpovědnosti
82.
V článku 4 bodu 7 GDPR se uznává, že „účely a prostředky zpracování“ mohou být určeny více než jedním subjektem. Článek uvádí, že pojem „správce“ se vztahuje na subjekt, který „sám nebo společně s jinými“ určuje účely a prostředky zpracování. Tato situace je upravena v článku 26 GDPR, podle něhož několik různých subjektů může při tomtéž zpracování údajů jednat jako správci, přičemž na každého z nich se vztahují použitelná ustanovení pro ochranu údajů (
54
).
83.
Připomínám, že čl. 26 odst. 1 GDPR stanoví, že pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci. Tentýž odstavec dodává, že společní správci mezi sebou transparentním způsobem vymezí své podíly na odpovědnosti pro účely zajištění plnění všech požadavků GDPR, pokud jejich příslušné povinnosti nestanoví mimo jiné právo členského státu, které se na správce vztahuje. Společná odpovědnost několika správců tedy nemusí nezbytně záviset na existenci dohody mezi jednotlivými správci nebo dokonce na jejich úmyslu, ale může vyplývat z vnitrostátního práva za předpokladu, že z tohoto práva lze odvodit určení několika správců a příslušné povinnosti každého z těchto správců s ohledem na požadavky GDPR.
84.
Skutečnost, že je do téhož řetězce zpracování zapojeno více subjektů, však nutně neznamená, že jednají jako společní správci (
55
). Kromě toho, Soudní dvůr uvedl, že fyzickou nebo právnickou osobu nelze považovat za odpovědnou za předchozí nebo pozdější operace v postupu zpracování, při kterých neurčuje účely ani prostředky (
56
). V projednávané věci tedy nic nenasvědčuje tomu, že by vnitrostátní právo určilo společné správce, jelikož notář nevykonává žádnou kontrolu nad operacemi prováděnými Moniteur belge.
85.
Mám tedy za to, že v projednávané věci není společná odpovědnost zmíněných tří subjektů stanovena vnitrostátním právem ani ji nelze určit na základě skutkového stavu uvedeného předkládajícím soudem. Pokud jde o skutkové okolnosti věci v původním řízení, musím zejména zdůraznit, že na zmíněné tři subjekty v řetězci se nevztahují tytéž způsoby zpracování, neboť Moniteur belge provádí digitální transformaci, zveřejnění a šíření dotčených dokumentů. Kromě toho, s ohledem na skutkové okolnosti věci v původním řízení by musela dotčená fyzická osoba, která chce využít svého práva na výmaz podle článku 17 GDPR, uplatnit svá práva podle GDPR ohledně každého ze společných správců a vůči každému z nich. Z tohoto hlediska by tedy každý z těchto subjektů samostatně odpovídal za dodržování zásad uvedených v čl. 5 odst. 1 GDPR (
57
).
86.
Z výše uvedeného podle mého názoru vyplývá, že nelze stanovit žádnou „kumulativní“ odpovědnost různých správců podle čl. 5 odst. 2 GDPR. Každý ze subjektů zapojených do řetězce zpracování totiž může být odpovědný za dodržování zásad uvedených v čl. 5 odst. 1 tohoto nařízení ve vztahu k operacím zpracování, které provedl v souladu s účely a prostředky zpracování údajů, pouze samostatně. Vzhledem ke skutečnosti, že v projednávané věci údaje nezveřejnil nesprávně notář, ale Moniteur belge, mám za to, že právě tento orgán musí být rovněž samostatně odpovědný za dodržení zásad uvedených v čl. 5 odst. 1 GDPR, přestože sám dané údaje do dotčené pasáže nezahrnul.
87.
Konečně zdůrazňuji, že je na předkládajícím soudu, aby ověřil soulad vnitrostátního práva, které stanoví možnost opravy, nikoli však výmazu údajů zveřejněných v Moniteur belge, s GDPR. Vnitrostátní právní úprava totiž podle všeho neumožňuje Moniteur belge zpětně vymazat již zveřejněné údaje (včetně údajů v elektronické podobě). V této souvislosti platí, že práva na opravu a výmaz stanovená v článcích 16 a 17 GDPR mohou být, jak je uvedeno v článku 23 GDPR, omezena na základě vnitrostátního práva. Takové omezení však musí být v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem, musí respektovat podstatu základních práv fyzických osob a dodržovat zásadu proporcionality (
58
).
3. Dílčí závěr
88.
Navrhuji tedy odpovědět na druhou otázku tak, že čl. 5 odst. 2 GDPR musí být vykládán v tom smyslu, že dotčený Úřední věstník je povinen dodržovat povinnosti správce údajů stanovené podle tohoto ustanovení, pokud jde o operace, které provedl. Dotčené zpracování nezakládá postavení společných správců a Moniteur belge má výlučnou odpovědnost, pokud jde o operace zpracování, které mu ukládá vnitrostátní právo.
IV. Závěry
89.
S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Cour d’appel de Bruxelles (odvolací soud v Bruselu, Belgie) následovně:
„Článek 4 bod 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že takový Úřední věstník členského státu, jako je Moniteur belge, který je podle platných vnitrostátních právních předpisů pověřen zveřejňováním a archivací úředních dokumentů, lze pro účely zajištění účinné a úplné ochrany subjektů údajů považovat za správce ve smyslu čl. 4 bodu 7 nařízení 2016/679 za okolností, kdy zveřejnění těchto dokumentů v jejich stávající podobě nařídí třetí subjekty, neboť vnitrostátní zákonodárce svěřil tomuto věstníku pravomoc určit způsoby digitální transformace, zveřejnění, šíření a uchovávání dotčených dokumentů a stanovil široké účely zveřejnění a šíření. Jestliže se však jedná o případ, kdy není určen správce, pokud jde o odstranění nebo vymazání údajů, pak je vzhledem k tomu, že dotčené údaje zůstávají veřejně dostupné, na vnitrostátním soudu, aby určil subjekt, který musí plnit povinnosti vyplývající z nařízení 2016/679.
Článek 5 odst. 2 nařízení 2016/679 musí být vykládán v tom smyslu, že dotčený Úřední věstník je povinen dodržovat povinnosti správce údajů podle tohoto ustanovení, pokud jde o operace, které provedl. Dotčené zpracování nezakládá postavení společných správců a Moniteur belge má výlučnou odpovědnost, pokud jde o operace zpracování, které mu ukládá vnitrostátní právo.“
(
1
) – Původní jazyk: angličtina.
(
2
) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).
(
3
) – Moniteur belge, 6. srpna 1999, s. 29440.
(
4
) – Moniteur belge, 6. února 2001, s. 3008.
(
5
) – Moniteur belge, 31. prosince 2022, s. 58686.
(
6
) – Vycházel přitom z výjimky stanovené v čl. 17 odst. 3 a článku 86 GDPR.
(
7
) – Podle čl. 4 bodu 2 GDPR se „zpracováním“ rozumí „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.
(
8
) – Viz rozsudek ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317; dále jen „rozsudek ve věci Google Spain“, a Lynskey, O., „Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez“, The Modern Law Review, svazek 78, č. 3, 2015, s. 522–534.
(
9
) – Viz stanovisko generálního advokátky T. Ćapeta ve věci Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, bod 17). Viz také rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 68) a Bygrave, L. A. a Tosoni, L., „Article 4(7). Controller“ v Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. a Tosoni, L. (vyd.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, s. 146–150.
(
10
) – V tomto smyslu viz rozsudek ze dne 20. prosince 2017, Nowak, (C‑434/16, EU:C:2017:994, bod 35).
(
11
) – Tamtéž, bod 34, a rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) (C‑175/20, EU:C:2022:124, bod 35).
(
12
) – Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).
(
13
) – Rozsudek ve věci Google Spain, bod 41. Viz také rozsudek ze dne 8. prosince 2022, Google (Odstranění odkazu na údajně nepravdivé informace), (C‑460/20, EU:C:2022:962, bod 49).
(
14
) – Rozsudek ze dne 29. července 2019(C‑40/17, EU:C:2019:629, bod 72).
(
15
) – Článek 4 bod 7 GDPR.
(
16
) – Článek 4 bod 8 GDPR. Soudní dvůr například konstatoval, pokud jde o odpovědnost vyhledávače, že zpracování osobních údajů prováděné v rámci činnosti vyhledávače se liší od zpracování prováděného vydavateli internetových stránek, které spočívá v umístění uvedených údajů na internetové stránce, a doplňuje jej, přičemž zdůraznil, že provozovatel vyhledávače je osobou, která určuje účely a prostředky činnosti prováděné tímto vyhledávačem (rozsudek ze dne 8. prosince 2022, Google (Odstranění odkazu na údajně nepravdivé informace), C‑460/20, EU:C:2022:962, bod 44).
(
17
) – V tomto smyslu viz rozsudek ve věci Google Spain, bod 34, a rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, bod 28).
(
18
) – Viz Pokyny 07/2020 k pojmům „správce“ a „zpracovatel“ v GDPR, ESOOÚ, bod 12.
(
19
) – Stanovisko generálního advokáta Y. Bota ve věci Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2017:796, bod 46).
(
20
) – Stanovisko 1/2010 k pojmům „správce“ a „zpracovatel“, WP 169, s. 11, Pracovní skupiny pro ochranu údajů zřízené podle článku 29, která byla poradním orgánem zřízeným článkem 29 směrnice 95/46 a jež je nyní nahrazena Evropským sborem pro ochranu osobních údajů (dále jen „ESOOÚ“) zřízeným podle článku 68 GDPR.
(
21
) – Van Alsenoy, B., „Chapter 4. Allocation of Responsibility“ v Data Protection Law in the EU: Roles, Responsibilities and Liability, 1. vydání, Intersentia, Morstel, 2019, s. 43-53.
(
22
) – Viz článek 2 královské vyhlášky ze dne 25. června 2020, kterou se stanoví vzor zveřejnění v Moniteur belge uvedený v článku 1250 Code judiciaire (soudní řád). Je třeba podotknout, že FMS jako správce údajů ve smyslu čl. 4 bodu 7 GDPR nemusí pouze zajišťovat „provozní řízení zveřejňování a poskytovat technické prostředky pro zpracovávání“, ale musí také plnit povinnosti stanovené uvedeným nařízením ohledně zpracovávání (viz konkrétně články 5 a 6 GDPR).
(
23
) – Pokyny 07/2020 k pojmům „správce“ a „zpracovatel“ v GDPR, ESOOÚ, odst. 20.
(
24
) – Tamtéž.
(
25
) – Povinnost stanovená v čl. 4 bodu 7 GDPR ve spojení s čl. 5 odst. 1 písm. b) GDPR, podle níž musí být účely určeny a výslovně vyjádřeny, však přinejmenším vyžaduje, aby jakékoli nepřímé určení účelů zpracování vyplývalo z právních předpisů, na nichž je založena činnost dotčeného orgánu.
(
26
) – Viz rozsudek ze dne 9. března 2017, Manni (C‑398/15, EU:C:2017:197, bod 35).
(
27
) – Viz článek 71 a 73 zákona o obchodních společnostech.
(
28
) – Belgická vláda na jednání tvrdila, že zákon implicitně určil notáře jako správce, zatímco ÚOOÚ tvrdil, že touto funkcí pověřil Moniteur belge.
(
29
) – Rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 68).
(
30
) – Rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629).
(
31
) – Tamtéž body 78 a 79.
(
32
) – Jak zdůraznil generální advokát G. Pitruzzella ve svém stanovisku ve věci Google (Odstranění odkazu na údajně nepravdivé informace) (C‑460/20, EU:C:2022:271, bod 15), z tohoto důvodu Soudní dvůr uvedl ve svém rozsudku ve věci Google Spain, že zpracování osobních údajů prováděné v rámci činnosti vyhledávače se liší od zpracování prováděného vydavateli webových stránek, které spočívá v umístění uvedených údajů na internetové stránce, a doplňuje jej.
(
33
) – Rozsudek ze dne 29. července 2019, Fashion ID, (C‑40/17, EU:C:2019:629, bod 70).
(
34
) – V tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), (C‑136/17, EU:C:2019:773, bod 37).
(
35
) – Rozsudek ve věci Google Spain, bod 34.
(
36
) – Viz bod 1 odůvodnění GDPR.
(
37
) – Viz bod 68 níže.
(
38
) – Rozsudek ze dne 8. prosince 2022, Inspektor v. Inspektorata kam Visshia sadeben savet (Účely zpracování osobních údajů – trestní vyšetřování), (C‑180/21, EU:C:2022:967, bod 80).
(
39
) – Viz bod 54 výše.
(
40
) – Viz konkrétně body 1 a 4 odůvodnění a čl. 1 odst. 2 GDPR.
(
41
) – V tomto smyslu viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 66).
(
42
) – Podle článku 28 a 29 GDPR se zpracování prováděné zpracovatelem řídí smlouvou nebo právním aktem podle práva Evropské unie nebo členského státu, které zavazují zpracovatele vůči správci a toto zpracování vymezují. Vnitrostátní zákonodárce by tak musel stanovit pravidla pro zpracování, aby mohl být Moniteur belge kvalifikován jako zpracovatel.
(
43
) – Viz body 55 až 57 tohoto stanoviska.
(
44
) – Kromě toho, tento argument předložený belgickou vládou je v rozporu s jejím argumentem uplatněným na jednání, kdy tvrdila, že Moniteur belge nevykonává právo, ale naopak provádí žádost notáře.
(
45
) – Články 474 až 476 programového zákona ze dne 24. prosince 2002.
(
46
) – Nyní se jedná o 10 dní podle nových pravidel.
(
47
) – Viz zejména články 73 a 76 zákona o obchodních společnostech.
(
48
) – Vyvstává zde otázka, zda belgický zákonodárce neomezil pravomoci správce způsobem, který je v rozporu s GDPR. Bylo by možné tvrdit, že takové omezení je problematické nejen z hlediska článku 17 GDPR, ale také čl. 16 odst. 1 SFEU a čl. 8 odst. 1 Listiny, a může potenciálně narušit užitečný účinek ochrany přiznané GDPR. Ačkoli však předkládající soud bude muset tyto otázky přezkoumat, neboť žádost subjektu údajů se opírá o článek 17 GDPR, zjevně nespadají do působnosti této žádosti o rozhodnutí o předběžné otázce podané uvedeným soudem.
(
49
) – Viz bod 54 výše.
(
50
) – Komise na jednání vysvětlila, že například Úřední věstník Evropské unie může být změněn a taková řešení existují.
(
51
) – Viz čl. 5 odst. 1 písm. c) a d) GDPR.
(
52
) – Viz bod 55 výše.
(
53
) – Jak zdůraznil generální advokát G. Pitruzzella ve svém stanovisku ve věci Google (Odstranění odkazu na údajně nepravdivé informace) (C‑460/20, EU:C:2022:271, bod 15), z tohoto důvodu Soudní dvůr uvedl ve svém rozsudku ve věci Google Spain, že zpracování osobních údajů prováděné v rámci činnosti vyhledávače se liší od zpracování prováděného vydavateli webových stránek, které spočívá v umístění uvedených údajů na internetové stránce, a doplňuje jej.
(
54
) – Rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 67). Viz také pokyny 07/2020 k pojmům „správce“ a „zpracovatel“ v GDPR, ESOOÚ, bod 29.
(
55
) – Viz pokyny 07/2020 k pojmům „správce“ a „zpracovatel“ v GDPR, ESOOÚ, bod 67. Jak uvedla Komise, ne všechny druhy partnerství, spolupráce nebo kooperace znamenají, že subjekty jsou společnými správci, neboť toto postavení si vyžaduje analýzu každého jednotlivého zacházení s údaji a přesné úlohy, kterou každý subjekt při každém zacházení s údaji sehrává. Dovolím si tvrdit, že společná odpovědnost by měla být zvažována, pokud dva subjekty provádějí operace zpracování, které nelze rozlišit jako samostatné kroky zpracování.
(
56
) – V tomto smyslu viz rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 74).
(
57
) – Například pouze rejstřík obchodního soudu může založit předmětnou pasáž do spisu společnosti.
(
58
) – V tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, body 172 až 176.